AWS Security Hub ajoute un inventaire SBOM inclus dans Essentials sans coût supplémentaire : il ne montre que les ressources analysées par Amazon Inspector, les nouveaux SBOM peuvent mettre des heures à apparaître, et c’est le guide, non l’annonce, qui dit que les ressources Azure connectées sont couvertes

Le 6 novembre 2026, AWS a annoncé qu’AWS Security Hub fournit désormais un inventaire de nomenclature logicielle (SBOM) : une liste, mise à jour en continu et couvrant toute l’organisation, des paquets logiciels installés sur les ressources de calcul. Security Hub la construit à partir des SBOM qu’Amazon Inspector produit déjà pour les instances Amazon EC2, les images de conteneurs Amazon ECR et les fonctions AWS Lambda, sans configuration supplémentaire. AWS dit qu’elle est incluse dans Security Hub Essentials sans coût additionnel, n’exige aucune nouvelle activation et est disponible dans toutes les régions AWS où Security Hub l’est. « Sans coût additionnel » vise cette fonction d’inventaire dans Essentials ; les services déjà utilisés restent facturés selon leurs tarifs, sans signifier un déploiement gratuit.

L’annonce décrit ce que montre l’inventaire. La page SBOM liste chaque paquet avec sa version, son type et le nombre de ressources où il est installé, et la liste peut être filtrée et regroupée par attributs de paquet, compte et région. Sur la page de détail d’une ressource, un onglet Logiciels installés liste chaque paquet de cette ressource, ce qui permet à un analyste de juger ce que fait la ressource et son importance pendant le tri d’une alerte. Le même inventaire peut être interrogé par l’API de Security Hub. Le but est de répondre vite à une question : quand une nouvelle vulnérabilité est divulguée, quelles ressources contiennent le paquet concerné.

Le guide de l’utilisateur de Security Hub ajoute les conditions qui déterminent ce que vous verrez réellement. L’inventaire ne couvre que les ressources qu’Amazon Inspector analyse. Si Inspector analyse les instances EC2 mais pas les fonctions Lambda, l’inventaire ne contient que les logiciels des instances EC2, et si Inspector n’est pas activé, la page affiche un message avec un bouton Activer Inspector. « Aucune configuration supplémentaire » signifie donc aucun réglage de plus dans Security Hub, et suppose que la couverture d’Inspector existe déjà. Le guide dit aussi que l’inventaire ne se limite pas à AWS : il couvre les machines virtuelles, les images de conteneurs et les fonctions sans serveur, par exemple les machines virtuelles Microsoft Azure et les images Azure Container Registry, chez les fournisseurs de cloud que vous connectez à Security Hub. L’annonce ne mentionne que les trois types de ressources AWS.

La fraîcheur et l’étendue ont des limites indiquées. Security Hub conserve le dernier SBOM de chaque ressource et retire ses logiciels quand la ressource est arrêtée, supprimée ou quitte la couverture d’Inspector, et il se réconcilie avec Inspector selon un calendrier. Le guide dit qu’après la génération d’un nouveau SBOM par Inspector, le changement peut mettre quelques heures à apparaître : l’inventaire n’est donc pas une vue en direct. Les comptes administrateurs voient les logiciels de tous les comptes activés de leur organisation, tandis que les comptes membres ne voient que leurs propres ressources. Un détail de comptage peut dérouter : un paquet n’apparaît qu’une fois dans le tableau quel que soit le nombre de ressources où il se trouve, et les graphiques de synthèse comptent une installation par ressource, de sorte que les totaux des graphiques peuvent dépasser le nombre de lignes. Par exemple, un paquet sur trois ressources fait une ligne et trois installations.

Ce que l’annonce ne dit pas est aussi utile. Elle ne donne aucune limite sur le nombre de ressources ou de paquets, aucun chiffre de performance, et rien sur l’exhaustivité d’un SBOM pour une image ou une instance donnée, qui dépend de ce qu’Inspector peut détecter. Elle ne dit pas que l’inventaire remplace l’analyse de vulnérabilités ou les rapports de conformité, et le guide le décrit comme un moyen de trouver les ressources contenant un paquet, de comprendre une ressource pendant le tri et de tenir un registre de la chaîne d’approvisionnement logicielle pour les programmes de conformité. Nous ne l’avons pas testé.

Notre lecture : c’est une fonction modeste mais pratique pour les équipes de sécurité qui utilisent déjà Inspector et Security Hub. Elle transforme des SBOM dispersés par ressource en une vue interrogeable à l’échelle de l’organisation, sans frais supplémentaires. Les équipes devraient vérifier qu’Inspector couvre tous les types de ressources qui les intéressent, prévoir un délai de quelques heures, vérifier les comptes que leur rôle peut voir et traiter l’inventaire comme une réponse à la question « sur quelles ressources analysées est installé un paquet détecté par Inspector », et non comme la preuve que chaque paquet de chaque machine a été trouvé.