AWS Security Hub에 SBOM 인벤토리 추가, Essentials에 추가 비용 없이 포함: Amazon Inspector가 스캔하는 리소스만 표시되고 새 SBOM 반영에 몇 시간이 걸릴 수 있으며, 연결한 Azure 리소스도 대상이라는 점은 발표가 아니라 가이드에 적혀 있음

2026년 11월 6일 AWS는 AWS Security Hub가 이제 소프트웨어 자재 명세서(SBOM) 인벤토리를 제공한다고 발표했습니다. 컴퓨팅 리소스에 설치된 소프트웨어 패키지를 조직 전체에 걸쳐 지속적으로 갱신하는 목록입니다. Security Hub는 Amazon Inspector가 이미 Amazon EC2 인스턴스, Amazon ECR 컨테이너 이미지, AWS Lambda 함수에 대해 만드는 SBOM으로 이를 구성하며 추가 설정이 필요 없습니다. AWS는 Security Hub Essentials에 추가 비용 없이 포함되고, 새로 활성화할 필요가 없으며, Security Hub가 제공되는 모든 AWS 리전에서 쓸 수 있다고 말합니다. “추가 비용 없음”은 Essentials 안의 이 인벤토리 기능에 한정됩니다. 기존 서비스 요금은 각 서비스의 가격에 따르며 전체 배포가 무료라는 뜻은 아닙니다.

발표는 인벤토리가 무엇을 보여 주는지 설명합니다. SBOM 페이지는 각 패키지를 버전, 유형, 설치된 리소스 수와 함께 나열하고, 패키지 속성, 계정, 리전별로 필터링하고 그룹화할 수 있습니다. 리소스 상세 페이지의 설치된 소프트웨어 탭에는 그 리소스의 모든 패키지가 나열되어, 분석가가 발견 항목을 분류할 때 리소스가 무슨 일을 하고 얼마나 중요한지 판단할 수 있습니다. 같은 인벤토리는 Security Hub API로도 조회할 수 있습니다. 목적은 한 가지 질문에 빨리 답하는 것입니다. 새 취약점이 공개되면 영향을 받는 패키지를 가진 리소스는 무엇인가 하는 질문입니다.

Security Hub 사용자 가이드는 실제로 무엇이 보이는지를 결정하는 조건을 덧붙입니다. 인벤토리는 Amazon Inspector가 스캔하는 리소스만 다룹니다. Inspector가 EC2 인스턴스는 스캔하고 Lambda 함수는 스캔하지 않으면 인벤토리에는 EC2 인스턴스의 소프트웨어만 있고, Inspector가 켜져 있지 않으면 페이지에 Inspector 활성화 버튼이 있는 메시지가 뜹니다. 따라서 '추가 설정 없음'은 Security Hub에서 추가 설정이 필요 없다는 뜻이며, Inspector의 적용 범위가 이미 갖춰져 있다고 전제합니다. 가이드는 인벤토리가 AWS에 한정되지 않는다고도 말합니다. Security Hub에 연결한 클라우드 제공자의 가상 머신, 컨테이너 이미지, 서버리스 함수가 대상이며, 예로 Microsoft Azure 가상 머신과 Azure Container Registry 이미지를 듭니다. 발표는 AWS의 세 가지 리소스 유형만 언급합니다.

최신성과 범위에는 명시된 한계가 있습니다. Security Hub는 리소스마다 최신 SBOM을 보관하고, 리소스가 종료·삭제되거나 Inspector 적용 범위를 벗어나면 그 소프트웨어를 지우며, 일정에 따라 Inspector와 대조합니다. 가이드에 따르면 Inspector가 새 SBOM을 만든 뒤 변경이 나타나기까지 몇 시간이 걸릴 수 있으므로, 인벤토리는 실시간 화면이 아닙니다. 관리자 계정은 조직 안의 활성화된 모든 계정의 소프트웨어를 볼 수 있고, 멤버 계정은 자신의 리소스만 봅니다. 집계 방식의 세부 사항이 독자를 헷갈리게 할 수 있습니다. 패키지는 몇 개의 리소스에 있든 표에는 한 번만 나타나고, 요약 차트는 리소스마다 설치 한 건으로 세므로 차트 합계가 표의 행 수보다 클 수 있습니다. 예컨대 한 패키지가 세 리소스에 있으면 한 행에 설치 세 건입니다.

발표가 말하지 않은 것도 유용합니다. 리소스나 패키지 수의 한도, 성능 수치, 특정 이미지나 인스턴스에서 SBOM이 얼마나 완전한지(이는 Inspector가 무엇을 탐지할 수 있는가에 달려 있습니다)는 나와 있지 않습니다. 이 인벤토리가 취약점 스캔이나 컴플라이언스 보고를 대체한다는 말도 없고, 가이드는 이를 패키지를 가진 리소스를 찾고, 분류할 때 리소스를 이해하며, 컴플라이언스 프로그램을 위해 소프트웨어 공급망 기록을 유지하는 수단으로 설명합니다. 저희는 시험하지 않았습니다.

저희의 판단은, 이미 Inspector와 Security Hub를 쓰는 보안 팀에게 소박하지만 실용적인 기능이라는 것입니다. 리소스별로 흩어진 SBOM을 추가 요금 없이 조직 전체에서 검색할 수 있는 화면으로 바꿔 줍니다. 팀은 Inspector가 관심 있는 모든 리소스 유형을 다루는지 확인하고, 몇 시간의 지연을 예상하며, 자신의 역할이 볼 수 있는 계정을 점검하고, 이 인벤토리를 'Inspector가 탐지한 특정 패키지가 어떤 스캔 대상 리소스에 설치되어 있는가'에 대한 답으로 다루어야 하며, 모든 기기의 모든 패키지를 찾았다는 증거로 보아서는 안 됩니다.