全社のソフトウェア構成が一目で！AWS Security Hub に SBOM インベントリが登場

みんな、しぃちゃんだよ！今日はセキュリティチームに嬉しい発表だよ。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Security Hub が SBOM（Software Bill of Materials）インベントリを提供するようになったよ。コンピュートリソースにインストールされているソフトウェアパッケージやアプリケーションを、組織全体で継続的に更新される形で見られるの。

なぜ重要なの？

脆弱性が見つかったときに「そのパッケージはどこにあるの？」をすぐ答えられるかは、セキュリティ運用でとても大事だよね。それを一箇所で見られるようになるよ。

これで何が変わるの？

• 中央のセキュリティチームが、組織全体のパッケージ一覧を確認できる
• 検出結果のトリアージ時に、リソースの詳細ページで、そこに入っているパッケージを確認し、役割や重要度を判断できる
• API でもインベントリを照会できる

深く潜ってみよう

SBOM は Amazon Inspector が生成したものを元に作られるよ。対象はこの 3 つ。

• Amazon EC2 インスタンス
• Amazon ECR コンテナイメージ
• AWS Lambda 関数

できることはこうだよ。

• SBOM ページに、パッケージごとにバージョン、種類、インストールされているリソース数が一覧表示される
• パッケージの属性、アカウント、リージョンで絞り込み・グループ化ができる
• リソース詳細ページの「Installed software」タブに、そのリソースの全パッケージが表示される

料金と提供範囲は次のとおりだよ。

• Security Hub Essentials に追加料金なしで含まれる
• 新しい有効化は不要。Amazon Inspector が有効な場所で自動的に表示される
• Security Hub が使えるすべての AWS リージョンで利用可能

まとめ

• Inspector の SBOM を元に、組織全体のパッケージインベントリを表示
• EC2・ECR・Lambda が対象、API でも照会可能
• 追加費用・追加設定なし

SBOM を使って脆弱性対応を素早くしたいセキュリティ担当の人に刺さる更新だよ！