开源工具cnspec：开源、云原生安全和政策项目开源工具

cnspec是一个开源工具，当您试图控制云、容器、API和端点的蔓延设置时，它会有所帮助。它检查了所有内容的安全性和合规性，这使得它更容易看到需要关注的内容。

其核心是，cnspec在公共和私有云环境、Kubernetes集群、容器、容器注册表、服务器、端点、SaaS产品、基础设施作为代码和API中寻找漏洞和错误配置。它使用基于安全数据结构构建的策略即代码引擎，允许您编码检查并大规模运行它们。

cnspec的与众不同之处在于其目标的广度。其支持的扫描目标包括从AWS、谷歌云和Azure等云帐户到Kubernetes集群和清单、容器映像和注册表、Linux、macOS和Windows上的服务器端点、Microsoft 365、Atlassian或Okta等SaaS平台、基础设施即代码人工制品（Terraform HCL、计划或状态文件）、网络主机或DNS记录、版本控制系统（GitHub、GitLab）、物联网或OPC-UA设备、VMware平台等。这意味着安全专业人员可以在跨越云构建管道到运行时操作的环境中应用一套一致的策略。

安装cnspec后，您可以运行扫描和策略检查，或使用交互式外壳进行临时查询。默认策略开箱即用，因此您不必从零开始，尽管您可以扩展或自定义它们以适应您的环境。

使用从基础设施到代码到运行时的工具有真正的优势。您可以在管道的早期执行策略，并持续监控整个环境。对于CISO或安全架构师来说，跨云、平台和服务应用一致检查的能力意味着更少的差距，并更好地协调合规性、安全操作和DevSecOps。

当然，像这样的工具并不能取代你安全堆栈的所有其他部分。有效使用意味着将cnspec集成到您的流程中：连接到源控制、CI/CD、注册表扫描、运行时监控和资产库存。您仍然需要警报、仪表板、对发现进行上下文感知的优先排序和补救工作流程。但通过减少扫描中的碎片化，您可以减轻这种负担。

cnspec在GitHub上免费提供。

原文链接地址：https://www.helpnetsecurity.com/2025/11/24/cnspec-open-source-cloud-native-security-policy-project/