Bài viết này do AI tạo ra, tổng hợp từ thông báo chính thức của AWS tháng 11/2026.
AWS thông báo AWS Security Hub có thêm Software Bill of Materials (SBOM) inventory. Tính năng tập hợp dữ liệu SBOM do Amazon Inspector sinh ra để đội security có một góc nhìn tập trung, liên tục cập nhật về package và ứng dụng đang có trên tài nguyên compute trong tổ chức.
Khi có CVE mới hoặc một package bị đánh giá rủi ro, câu hỏi đầu tiên không phải chỉ là “CVE nghiêm trọng đến đâu?” mà là “nó đang nằm ở tài nguyên nào, account nào, Region nào và có nằm trong workload quan trọng hay không?”. Nếu inventory bị phân tán giữa VM, container registry và serverless, đội phản ứng sẽ tốn thời gian ghép dữ liệu trước khi vá.
Security Hub đưa danh mục package về một giao diện tập trung. Theo AWS, danh sách nêu package, version, loại package và số resource cài nó. Đây là dữ liệu phục vụ asset visibility và triage, không tự động chứng minh package đó có thể khai thác hay workload có bị xâm phạm.
Inventory được xây từ SBOM của Amazon Inspector cho ba nhóm: EC2 instance, ECR container image và Lambda function. Trên trang chi tiết resource, tab Installed software liệt kê package thuộc resource đó, giúp analyst đánh giá chức năng và mức độ quan trọng trong lúc xử lý finding.
Vì nguồn dữ liệu là Amazon Inspector, tổ chức cần bảo đảm Inspector đã bật đúng account, Region và loại workload cần quản lý. Tài nguyên hoặc Region ngoài phạm vi enablement sẽ không tự nhiên xuất hiện đầy đủ trong inventory.
AWS cho phép filter và group theo package attributes, account và Region. Điều này hữu ích khi cần khoanh vùng một version dễ tổn thương, kiểm tra workload trong một môi trường, hoặc phân chia trách nhiệm remediation theo account. Inventory cũng truy vấn được qua Security Hub API, nên có thể kết hợp với CMDB, ticketing hoặc dashboard nội bộ.
AWS nói SBOM inventory được bao gồm trong Security Hub Essentials mà không có chi phí bổ sung, không cần enable thêm và tự populate tại nơi Amazon Inspector đang hoạt động. Tính năng có mặt ở mọi AWS Region hỗ trợ Security Hub. “Không thêm phí” không đồng nghĩa toàn bộ chuỗi quan sát không có chi phí: tổ chức vẫn cần kiểm tra pricing và phạm vi vận hành của Amazon Inspector theo môi trường của mình.
Giá trị lớn nhất của SBOM inventory là rút ngắn bước “tôi có bị ảnh hưởng không?” sau mỗi advisory. Khi inventory, finding và resource context cùng ở Security Hub, đội security có thể chuyển nhanh hơn từ CVE sang danh sách chủ sở hữu và hành động. Tuy vậy, đây là lớp inventory chứ không phải hệ thống ưu tiên rủi ro hoàn chỉnh: package hiện diện không có nghĩa lỗ hổng reachable, còn package không thấy có thể phản ánh coverage Inspector thiếu. Hiệu quả phụ thuộc vào việc bật Inspector đầy đủ, chuẩn hóa account ownership và ghép dữ liệu này với exposure thực tế.
AWS What’s New, “AWS Security Hub now provides an SBOM inventory for your compute resources”, tháng 11/2026. Bài công khai không đặt liên kết nguồn ngoài.
