AWS Security Hub がコンピューティングリソース向けの SBOM インベントリ機能を提供開始

AWS Security Hub は、Amazon EC2、Amazon ECR、および AWS Lambda を対象としたソフトウェア部品表（SBOM）のインベントリ機能を提供します。Amazon Inspector が生成する SBOM データを活用し、組織全体のソフトウェアパッケージやアプリケーションのインストール状況を、追加設定なしで継続的に可視化できます。この機能は Security Hub Essentials に含まれており、追加費用なしで利用可能です。

💡 今回のアップデートのポイント

これまで、組織内の膨大なコンピューティングリソースに「どのライブラリのどのバージョンが入っているか」を把握するのは、セキュリティチームにとって非常に高いハードルでした。脆弱性（CVE）が発表された際、影響範囲を特定するために各リソースを個別に調査する必要があったからです。

今回の機能により、Security Hub 上で一元的に SBOM を管理できるようになります。Amazon Inspector が既に動いていれば、設定変更なしで自動的にインベントリが構築される点は、運用負荷の観点からも非常に強力です。

🇯🇵 日本国内での利用について

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。Security Hub が提供されているリージョンであれば、問題なく導入できます。

🛠 運用上のアドバイス

• コスト面: Security Hub Essentials の範囲内であるため、追加コストを気にせず「まずは可視化する」というアプローチが取れます。
• セキュリティ運用: 脆弱性検知（Finding）が発生した際、リソース詳細ページの「Installed software」タブを即座に確認できるため、トリアージ（優先順位付け）のスピードが劇的に向上します。
• 自動化: Security Hub API を通じてインベントリをクエリできるため、独自のダッシュボードやレポート作成ツールへの組み込みも検討してみてください。

✅ 次のアクション

まずは、Amazon Inspector が有効化されている環境で、Security Hub のコンソールに新しい「SBOM」ページが表示されているかを確認してみましょう。既存の EC2 や Lambda のデータがどのように集約されているかをチェックすることをお勧めします。

参照ドキュメント:

• AWS Security Hub User Guide: https://docs.aws.amazon.com/securityhub/latest/userguide/