AWS Security HubがSBOMインベントリを追加、Essentialsに追加料金なしで含まれる：表示されるのはAmazon Inspectorがスキャンするリソースのみで、新しいSBOMの反映には数時間かかることがあり、接続したAzureリソースも対象という点は発表でなくガイドに書かれている

2026年11月6日、AWSはAWS Security Hubがソフトウェア部品表（SBOM）のインベントリを提供するようになったと発表しました。計算リソースにインストールされたソフトウェアパッケージの、組織全体にわたる継続的に更新される一覧です。Security Hubは、Amazon InspectorがすでにAmazon EC2インスタンス、Amazon ECRコンテナイメージ、AWS Lambda関数について生成しているSBOMからこれを作り、追加の設定は要りません。AWSによれば、Security Hub Essentialsに追加料金なしで含まれ、新たな有効化は不要で、Security Hubが使えるすべてのAWSリージョンで利用できます。 「追加料金なし」はEssentials内のこのインベントリ機能に限ります。既存サービスの料金は各サービスの価格設定に従い、導入全体が無料という意味ではありません。

発表はインベントリに何が表示されるかを説明しています。SBOMページには各パッケージが、バージョン、種類、インストールされているリソースの数とともに並び、パッケージの属性、アカウント、リージョンで絞り込みやグループ化ができます。リソースの詳細ページでは「インストール済みソフトウェア」タブにそのリソース上のすべてのパッケージが並び、アナリストは検出結果をトリアージする際に、そのリソースが何をするものか、どれだけ重要かを判断できます。同じインベントリはSecurity Hub APIでも照会できます。狙いは1つの問いにすばやく答えることで、新しい脆弱性が公表されたとき、影響を受けるパッケージを含むリソースはどれかを知ることです。

Security Hubのユーザーガイドは、実際に何が見えるかを決める条件を補っています。インベントリはAmazon Inspectorがスキャンするリソースだけを対象にします。InspectorがEC2インスタンスをスキャンしてもLambda関数をスキャンしていなければ、インベントリにはEC2インスタンスのソフトウェアしかなく、Inspectorが有効でなければ、ページには「Inspectorを有効にする」ボタン付きのメッセージが表示されます。したがって「追加の設定は不要」とは、Security Hub側で追加の設定が不要という意味で、Inspectorの対象範囲がすでにあることが前提です。ガイドはまた、インベントリがAWSに限られないと述べています。Security Hubに接続したクラウドプロバイダーの、たとえばMicrosoft Azureの仮想マシンやAzure Container Registryのイメージなど、仮想マシン、コンテナイメージ、サーバーレス関数が対象です。発表が挙げるのはAWSの3種類のリソースだけです。

鮮度と範囲には限界が明記されています。Security Hubはリソースごとに最新のSBOMを保持し、リソースが終了・削除されるか、Inspectorの対象から外れると、そのソフトウェアを取り除き、スケジュールに従ってInspectorと照合します。ガイドによれば、InspectorがSBOMを新しく生成してから変更が表示されるまでに数時間かかることがあるため、インベントリはリアルタイムの表示ではありません。管理者アカウントは組織内の有効なすべてのアカウントのソフトウェアを見られ、メンバーアカウントは自分のリソースしか見られません。数え方に関する細部が読者を混乱させるかもしれません。パッケージはいくつのリソースに入っていても表には1回だけ現れ、集計チャートはリソースごとに1回のインストールと数えるため、チャートの合計が表の行数を上回ることがあります。たとえば1つのパッケージが3つのリソースにあれば、1行で3インストールです。

発表が述べていないことも役に立ちます。リソースやパッケージの数の上限、性能の数字、特定のイメージやインスタンスについてSBOMがどれほど完全か（これはInspectorが何を検出できるかによります）は書かれていません。このインベントリが脆弱性スキャンやコンプライアンス報告の代わりになるとも述べておらず、ガイドはこれを、パッケージを含むリソースを見つけ、トリアージ時にリソースを理解し、コンプライアンスのためにソフトウェアサプライチェーンの記録を残す手段と説明しています。当方は試していません。

当方の見方では、すでにInspectorとSecurity Hubを使っているセキュリティチームにとって、控えめですが実用的な機能です。リソースごとに散らばったSBOMを、追加料金なしで、組織全体の検索できるビューにします。チームはInspectorが関心のあるすべてのリソースの種類をカバーしているかを確認し、数時間の遅れを見込み、自分のロールが見られるアカウントを確かめ、このインベントリを「Inspectorが検出したあるパッケージが、どのスキャン対象リソースにインストールされているか」への答えとして扱うべきで、すべてのマシンのすべてのパッケージが見つかった証拠とはみなさないでください。