服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- AWS 于 2026 年 11 月 6 日宣布组织级、持续更新的软件包与应用清单，数据来自 Inspector 为 EC2、ECR 和 Lambda 生成的 SBOM。
- Inspector 已启用的位置会自动填充，清单本身无需额外配置；公告没有说开启 Security Hub 会自动启用 Inspector。
- SBOM 页面显示软件包版本、类型和关联资源数量，可按软件包属性、账号及 Region 筛选或分组；资源详情页的 Installed software 标签可继续查看单项资源。
- 清单包含在 Security Hub Essentials 中，无额外清单费用；可用范围是 Security Hub 提供服务的 Regions，Inspector 等服务的费用需另行核实。
这份软件清单解决什么问题？
SBOM 是 Software Bill of Materials，即软件物料清单，用来列出软件包或组件等组成信息。AWS 在 2026 年 11 月 6 日为 Security Hub 增加组织级、持续更新的 SBOM 清单，让中央安全团队查看计算资源上安装的软件包和应用。
它帮助团队从某个软件包追踪到关联资源，并在分析安全发现时了解软件的功能和重要性。清单提供调查线索；某个包出现在列表中，不代表它已经完成漏洞评估或修复。
需要先满足 Inspector 的哪些条件？
公告明确列出三类数据来源：Amazon Inspector 为 Amazon EC2 实例、Amazon ECR 容器镜像和 AWS Lambda 函数生成的 SBOM。不要将这个范围直接扩展到所有 AWS 服务或每一项云资源。
AWS 表示，Inspector 已启用的位置会自动填充清单，清单无需额外配置。因此，应先核对目标账号和 Region 的 Inspector 覆盖。公告未提供 Inspector 启用步骤、IAM 权限或其他具体前置条件，也没有说开启 Security Hub 会自动启用 Inspector。
如何从软件包查看到具体资源？
第一步，查看 Security Hub 的 SBOM 页面。列表显示软件包版本、类型，以及安装该包的资源数量；按软件包属性、账号或 Region 筛选、分组，可以缩小需要调查的范围。
第二步，进入相关资源的详情页，打开 Installed software 标签，查看该资源上列出的软件包。把包信息与正在调查的安全发现结合起来，再决定交给哪个团队处理；查看清单本身不会升级软件或关闭发现。
自动更新和 API 查询能确认到什么程度？
AWS 将清单描述为持续更新，但这篇公告未给出具体刷新间隔、延迟承诺、保留期或软件覆盖完整度指标。需要判断一次部署后的新版本是否已反映在清单中时，应核对实际资源和观察时间，不能把“持续更新”理解成实时或零延迟。
公告还确认可通过 Security Hub API 查询清单，但没有命名具体 API 操作或说明请求参数、权限与限制。准备接入自动化前，应先取得对应官方接口说明；这篇公告不足以支持直接照写 API 调用。
无额外费用适用于哪里，哪些 Region 可用？
费用表述限于：SBOM 清单包含在 Security Hub Essentials 中，清单本身不额外收费。它没有说明 Essentials 计划、Inspector 或其他 AWS 服务免费，也未列出这些服务的价格；评估总成本时应分别核对。
区域表述是“Security Hub 提供服务的所有 AWS Regions”，并非全球每一个 Region。公告未列逐区域名单，也不证明某个具体账号已启用相关服务。先确认目标 Region 和 Inspector 覆盖，再判断当前环境是否应当出现这份清单。
资料来源
常见问题
同一个软件包出现在更多资源上，就应该优先修复吗？
资源数量有助于判断影响范围，但不能单独决定修复优先级。还需要结合安全发现、受影响版本、业务用途和资源的重要性进行判断；清单中的数量不是风险评分。
把调查交给应用团队时，最好保留哪些信息？
可记录软件包名称与版本、关联资源、账号和 Region，以及观察时间和对应安全发现，便于团队在同一范围内复核。这是调查记录建议，不是公告新增的必填字段或 API 合约。