AWS Security Hub מציעה כעת מלאי SBOM ארגוני שמתעדכן באופן רציף ומרכז את חבילות התוכנה המותקנות במשאבי מחשוב. המלאי נבנה מתוך ה‑SBOMs שמייצר Amazon Inspector עבור מופעי EC2, תמונות קונטיינר ב‑ECR ופונקציות Lambda, ללא הגדרה נוספת בתוך Security Hub.
היכולת נועדה לענות על שאלה שצוותי אבטחה מתקשים לפתור בזמן אמת: כאשר מתפרסמת חולשה בספרייה מסוימת, באילו חשבונות, אזורים ומשאבים היא מותקנת? במקום לייצא קבצים ולבצע הצלבה ידנית, Security Hub מציגה את החבילה, הגרסה, הסוג ומספר המשאבים שבהם היא נמצאת.
מה רואים במלאי החדש
עמוד ה‑SBOM מציג שורה אחת לכל חבילה וגרסה. אם למשל openssl 3.1.4 מותקנת בשלושה משאבים, היא תופיע פעם אחת עם ספירת Resources של שלוש. אפשר לסנן ולקבץ לפי שם חבילה, גרסה, סוג, חשבון, Region, סוג משאב וספק ענן.
אפשר לנוע בשני הכיוונים: לבחור חבילה כדי לראות את כל המשאבים שמכילים אותה, או לפתוח משאב ולבחור בלשונית Installed software כדי לראות את כל החבילות המותקנות עליו. המידע זמין גם דרך ה‑API של Security Hub.
אילו משאבים נכללים
לפי תיעוד AWS, המלאי מכסה מכונות וירטואליות, תמונות קונטיינר ופונקציות Serverless ש‑Amazon Inspector סורק. ההכרזה הראשונית מציינת EC2, ECR ו‑Lambda. התיעוד מוסיף שגם משאבים מספקי ענן אחרים, כגון מכונות Azure ותמונות Azure Container Registry, יכולים להופיע לאחר חיבור הספק והפעלת הסריקה המתאימה.
חשבון Administrator יכול לראות תוכנה מכל החשבונות המופעלים בארגון. חשבון Member רואה רק את המשאבים שלו. Security Hub שומר את ה‑SBOM העדכני ביותר לכל משאב ומסיר את התוכנה מהמלאי כאשר המשאב נמחק, מסתיים או יוצא מכיסוי Inspector.
דרישות והשהיה בעדכון
אין צורך להפעיל הגדרה נפרדת ב‑Security Hub, אך קיימים שני תנאים:
- Security Hub חייב להיות פעיל בחשבון וב‑Region.
- Amazon Inspector חייב לסרוק את סוגי המשאבים שאותם רוצים להציג.
אם Inspector סורק EC2 אך לא Lambda, המלאי יציג רק את תוכנת EC2. AWS גם מזהירה שלאחר יצירת SBOM חדש עשויות לחלוף כמה שעות עד שהשינוי מופיע במלאי.
שימושים מעשיים לצוות אבטחה
- תגובה ל‑CVE: חיפוש חבילה וגרסה כדי לזהות במהירות את כל המשאבים שנפגעים.
- תיעדוף Findings: בדיקת התוכנה המותקנת על משאב לצד הקריטיות וההתראות שלו.
- ניהול שרשרת אספקה: שמירת תמונת מצב עדכנית של רכיבי תוכנה ללא איסוף ידני.
- ציות וביקורת: הוכחת כיסוי לפי חשבון, Region וסוג משאב, והצגת מקור הנתונים.
- צמצום חשיפה: איתור גרסאות ישנות או חבילות שאינן אמורות להופיע בסביבת ייצור.
מה ה‑SBOM לא פותר
המלאי אינו מחליף תהליך Vulnerability Management. הוא תלוי בכיסוי של Inspector, עשוי להתעדכן בהשהיה, ואינו מעיד לבדו שחבילה מסוימת ניתנת לניצול בתצורה הספציפית. צוות האבטחה עדיין צריך לשלב הקשר של חשיפה לרשת, קריטיות עסקית, זמינות תיקון וראיות לניצול.
בנוסף, "ללא הגדרה נוספת" אינו אומר שכל הסביבה מכוסה אוטומטית. אם חשבון, Region או סוג משאב אינם מחוברים ל‑Security Hub ול‑Inspector, הם לא יופיעו במלאי.
עלות וזמינות
AWS כוללת את מלאי ה‑SBOM ב‑Security Hub Essentials ללא תשלום נוסף עבור היכולת עצמה. הוא זמין בכל אזורי AWS שבהם Security Hub נתמך. עם זאת, עלויות השירותים התלויים, ובהם Amazon Inspector, עדיין חלות לפי השימוש והתמחור שלהם.
השורה התחתונה
החידוש הופך את SBOM מקובץ שיש לייצר ולאסוף לתצוגת מלאי שאפשר לחקור. היתרון המרכזי הוא הקישור בין חבילה למשאב ובין משאב לכל התוכנה שמותקנת עליו. עבור ארגונים מרובי חשבונות, זה יכול לקצר משמעותית את שלב ה‑Discovery באירוע חולשה — בתנאי שכיסוי Inspector מלא ומתוחזק.
מקורות
- AWS What's New — Security Hub SBOM inventory, 6 בנובמבר 2026.
- AWS Security Hub User Guide — Software bill of materials.
קרדיט תמונה: CHUTTERSNAP / Unsplash. התמונה היא המחשה למלאי חבילות ואינה מסך של AWS. דף המקור: Unsplash. רישיון: Unsplash License, המתיר שימוש מסחרי ולא־מסחרי באתר, בסושיאל ובחומר שיווקי; אין למכור ללא שינוי מהותי ואין ליצור מאגר מתחרה. אומת ב‑10.11.2026.
