AWS Security Hub新增SBOM清单，包含在Essentials中不另收费：只显示Amazon Inspector扫描的资源，新SBOM可能要数小时才出现，公告没提的是指南说它也涵盖已接入的Azure资源

2026年11月6日，AWS宣布AWS Security Hub现在提供软件物料清单（SBOM）清单：一份持续更新的、覆盖整个组织的计算资源上已安装软件包列表。Security Hub根据Amazon Inspector已经为Amazon EC2实例、Amazon ECR容器镜像和AWS Lambda函数生成的SBOM来构建它，无需额外配置。AWS称它包含在Security Hub Essentials中、不另收费、无需新的启用步骤，并在提供Security Hub的每个AWS区域可用。 “不另收费”只指Essentials中的这项清单功能；已用服务的账单仍按各自定价，不能推成整个部署免费。

公告说明了这份清单显示什么。SBOM页面列出每个软件包及其版本、类型和安装它的资源数量，可按包的属性、账号和区域筛选与分组。在资源详情页上，“已安装软件”选项卡列出该资源上的每个软件包，分析人员在分诊某条发现时，可以判断这个资源做什么、有多关键。同一份清单也可以通过Security Hub API查询。目的是快速回答一个问题：新漏洞披露时，哪些资源包含受影响的软件包。

Security Hub用户指南补充了决定你实际能看到什么的条件。清单只覆盖Amazon Inspector扫描的资源。如果Inspector扫描EC2实例而不扫描Lambda函数，清单里就只有EC2实例上的软件；如果没有启用Inspector，页面会显示一条带“启用Inspector”按钮的提示。因此“无需额外配置”指的是Security Hub中无需额外设置，并且假定Inspector覆盖已经就位。指南还说清单并不限于AWS：它涵盖虚拟机、容器镜像和无服务器函数，例如你接入Security Hub的云服务商中的Microsoft Azure虚拟机和Azure Container Registry镜像。公告只提到三种AWS资源类型。

新鲜度和范围也是有限制的。Security Hub为每个资源保留最新的SBOM，在资源被终止、删除或离开Inspector覆盖时移除它的软件，并按计划与Inspector对账。指南说，Inspector生成新的SBOM之后，变化可能需要几个小时才出现，所以清单不是实时视图。管理员账号可以看到其组织内所有已启用账号的软件，成员账号只能看到自己的资源。有一个计数细节可能让读者困惑：无论一个软件包装在多少资源上，它在表格里只出现一次，而汇总图表对每个资源计一次安装，所以图表合计可能超过表格行数。例如，一个包在三个资源上就是一行、三次安装。

公告没有说的内容同样有用。它没有给出资源或软件包数量的限制，没有性能数字，也没有说明某个镜像或实例的SBOM有多完整，这取决于Inspector能检测到什么。它没有说这份清单取代漏洞扫描或合规报告，指南把它描述为找出含有某个软件包的资源、在分诊时了解资源，以及为合规项目保留软件供应链记录的手段。我们没有测试它。

背景说明：SBOM是软件物料清单，就像食品的配料表，列出被扫描识别的软件包及版本。出现新漏洞时，最难的往往不是修补，而是先弄清楚哪些机器上装了受影响的版本；有了组织范围的清单，这一步可以从逐台排查变成一次搜索。Amazon Inspector是AWS的漏洞扫描服务，它为SBOM提供原始数据，所以清单的完整程度取决于Inspector能识别多少软件。管理员账号与成员账号的区分，让集中的安全团队能看到全局，而各业务账号只看自己的部分。对安全团队来说，这份清单最有用的场景是漏洞响应：当某个库爆出严重漏洞，可以先按包名和版本搜索，列出所有受影响的资源及其所属账号和区域，再按资源的重要性排序处理。清单本身不修补任何东西，也不判断某个包是否真的被调用。最后，清单只回答“装了什么”，不回答“是否可被利用”或“是否已修补”；这些问题仍要靠Inspector的发现项和各团队自己的修补流程来回答，清单是它们的索引，而不是替代，也不会自动告诉你哪些包在运行时真的被加载。

我们的判断：对已经在用Inspector和Security Hub的安全团队来说，这是一个不大但实用的功能。它把分散在各资源上的SBOM变成一个可搜索的、覆盖整个组织的视图，而且不另收费。团队应确认Inspector覆盖了自己关心的每一种资源类型，预期会有数小时的延迟，查看自己的角色能看到哪些账号，并把这份清单当作“Inspector检测到的某个软件包安装在哪些受扫描资源上”的答案，而不是已经找到每台机器上每个软件包的证明。