AWS Security Hub ganha inventário de SBOM para EC2, ECR e Lambda

O que o Security Hub passa a mostrar

Desde 6 de novembro de 2026, o AWS Security Hub tem uma página dedicada de inventário de SBOM (Software Bill of Materials) para recursos de computação. Ela cobre instâncias Amazon EC2, imagens do Amazon ECR e funções AWS Lambda, com atualização contínua e visão única para toda a organização.

Cada linha da lista traz o pacote, a versão, o tipo e o número de recursos onde ele está instalado. Dá para filtrar e agrupar por atributo do pacote, conta e região, o que ajuda times que lidam com várias contas a enxergar esse panorama sem precisar cruzar dados manualmente recurso por recurso.

De onde vêm os dados

O inventário não é uma funcionalidade nova de varredura: ele reaproveita os SBOMs que o Amazon Inspector já gera para os recursos que monitora. O Security Hub só agrega e expõe essa informação de forma consolidada, sem motor de scan adicional e sem configuração extra.

Isso tem uma implicação direta para quem desenha o ambiente: o inventário só existe onde o Inspector está habilitado. Se uma conta ou um workload não está sob varredura do Inspector, ele simplesmente não aparece na lista de SBOM. Para quem já usa Inspector para gestão de vulnerabilidades, o ganho é imediato; para quem ainda não ativou, a decisão de habilitar o Inspector passa a pesar também nesse inventário, não só nos achados de CVE.

Onde encontrar e como consultar

Além da página central de SBOM, a página de detalhe de cada recurso ganhou a aba Installed software, que lista todos os pacotes instalados naquele EC2, naquela função Lambda ou naquela imagem de container. Na prática, isso ajuda a julgar a função e a criticidade de um pacote no momento de triagem de um finding, sem sair do console para rodar outra ferramenta.

O inventário também pode ser consultado pela API do Security Hub, o que abre caminho para alimentar CMDBs internos, pipelines de evidência de auditoria ou dashboards de governança já existentes no time.

Por que isso importa na hora do incidente

O cenário clássico de SRE e arquitetura: surge uma CVE crítica numa biblioteca amplamente usada e a primeira pergunta é "onde, exatamente, essa versão está rodando na nossa frota?". Antes, a resposta exigia cruzar achados do Inspector recurso por recurso, ou manter script próprio de inventário de dependências.

Com o inventário de SBOM, o caminho fica mais direto:

• Filtrar a lista pelo nome e pela versão do pacote na página de SBOM do Security Hub.
• Agrupar o resultado por conta e por região para enxergar o raio de exposição na organização inteira.
• Abrir a aba Installed software do recurso específico para confirmar o contexto de uso antes de priorizar a correção.

Isso reduz o tempo entre "saiu uma CVE grave" e "sabemos exatamente quais contas e recursos estão expostos", sem depender de automação própria para esse cruzamento.

Para quem responde por LGPD e evidência de auditoria

Esse inventário fala diretamente com quem cuida de compliance e resposta a incidentes sob a LGPD. A lei prevê que, havendo incidente com risco relevante aos titulares, a empresa precisa comunicar a ANPD e os afetados, descrevendo a natureza dos dados e os sistemas envolvidos.

Ter um SBOM organizacional atualizado automaticamente encurta justamente essa etapa: em vez de levantar manualmente quais sistemas rodavam o componente vulnerável no momento do incidente, o time de compliance consulta o inventário do Security Hub e já tem o escopo técnico para compor o relatório.

O mesmo vale para evidência de auditoria em frameworks como ISO 27001 ou PCI DSS, que cobram controle sobre a cadeia de software. Exportar o inventário pela API do Security Hub para alimentar a ferramenta de GRC da empresa vira uma rotina possível, em vez de um levantamento pontual feito às pressas antes de cada auditoria.

Custo, regiões e o que ainda fica de fora

O recurso está incluído no Security Hub Essentials sem custo adicional, não exige nova habilitação e passa a popular automaticamente onde o Amazon Inspector já está ativo. Está disponível em todas as Regiões onde o Security Hub opera.

O ponto de atenção fica na cobertura: o anúncio da AWS cobre especificamente EC2, ECR e Lambda, que são os tipos de recurso para os quais o Inspector já gera SBOM hoje. A fonte não menciona cobertura para tarefas ECS no Fargate, nós de EKS ou outros tipos de workload, nem detalha se o inventário segue um formato padrão como SPDX ou CycloneDX para exportação. Até a AWS publicar mais detalhes, essas lacunas continuam em aberto para quem planeja usar o inventário como fonte única de verdade de dependências.

Fonte 1: AWS What's New (https://aws.amazon.com/about-aws/whats-new/2026/11/security-hub-sbom-inventory/)

AWS Security Hub now provides an SBOM inventory for your compute resources - AWS

Skip to main content

AWS Security Hub now provides an SBOM inventory for your compute resources

Posted on: Nov 6, 2026

Today, AWS announces that AWS Security Hub now provides a Software Bill of Materials (SBOM) inventory, giving central security teams a continuously updated, organization-wide view of the software packages and applications installed on their compute resources.

Security Hub builds the inventory from the SBOMs that Amazon Inspector generates for Amazon EC2 instances, Amazon ECR container images, and AWS Lambda functions, with no additional configuration. The SBOM page lists each package with its version, type, and the number of resources where it is installed. You can filter and group the list by package attributes, account, and region. On the resource detail page, the Installed software tab lists every package on that resource, so you can judge its function and criticality while triaging any finding. You can also query the inventory through the Security Hub API.

The SBOM inventory is included with Security Hub Essentials at no additional cost. It requires no new enablement and populates automatically where Amazon Inspector is enabled. It is available in all AWS Regions where Security Hub is available. To learn more, see the AWS Security Hub User Guide and the AWS Security Hub product page .

Fonte: AWS What's New