Kurzfassung
cnspec ist ein quelloffener Security- und Compliance-Scanner von Mondoo. Es bewertet Infrastruktur anhand von als Code formulierten Policies – Security-Benchmarks, Härtungsvorgaben und Compliance-Kontrollen – und liefert klare Pass/Fail-Ergebnisse, was zu kontinuierlichen Prüfungen in CI/CD-Pipelines passt.
Was ist cnspec?
cnspec wendet Policy-as-Code über mehrere Schichten an: Betriebssysteme und VMs (etwa CIS-Benchmarks), Docker-Runtimes, Container-Images und Anwendungsabhängigkeiten. Es kann laufende Systeme, Cloud-Accounts und Kubernetes-Cluster scannen und integriert sich in Build-Pipelines – inklusive eines Packer-Plugins, das Golden Images bereits während des Builds scannt.
Auf derselben Engine wie cnquery aufbauend, macht cnspec aus Discovery Durchsetzung: cnquery stellt offene Fragen, cnspec stellt sicher, dass definierte Kontrollen eingehalten werden, und meldet Drift über die Zeit. Das macht es zu einem praktischen Instrument, um die technischen Checks hinter regulatorischen Anforderungen – etwa Aspekten der NIS2- oder EU-AI-Act-Konformität – in CI/CD zu automatisieren, statt sie bei der Dokumentation zu belassen. Mondoo wurde vom Schöpfer von InSpec gegründet, und cnspec führt diese Linie ausführbarer Compliance fort.
Warum ist cnspec relevant?
- Policy as Code: Security- und Compliance-Kontrollen werden versionierbar, testbar und automatisierbar
- Kontinuierliche Compliance: Pass/Fail-Checks laufen in CI/CD und erkennen Drift, nicht nur Stichtags-Audits
- Mehrschichtige Abdeckung: OS, Cloud, Container, Images und Kubernetes in einem Tool
- Unterstützt Compliance-Arbeit: Automatisiert technische Checks, die für NIS2- und EU-AI-Act-Compliance relevant sind, in der Delivery-Pipeline