iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

單日新增29例本土案例！其中7例尚未查明感染相關性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情再升溫！中央流行疫情指揮中心今（14日）宣布新增29例本土病例，其中16例與臺北市萬華區群聚案例有關，5例與蘆洲個案1203相關，1例與宜蘭遊藝場相關，7例尚未查到相關性，指揮中心將持續調查。</p> <p>指揮官陳時中也針對昨日公布的社區群聚案例足跡補充說明，更新內容包括案1203於5月8日下午5點至7點於新北市蘆洲區的阿秋越南美食用餐，同日也曾至臺北地下街Y區。5月9日中午12點至2點於新竹縣峨眉鄉的二泉湖畔咖啡館、晚上7點至9點曾至新北市泰山區鴻囍宴會館。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1620972085375.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1620972108620.jpg" /></p> <p>陳時中也更新萬華茶藝館群聚案件的活動足跡，包括5月6日早上8點至桃園市中壢區內壢郵局、下午1點至臺北市萬華區雲雀清茶館，其餘為時間更正。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210514%E8%90%AC%E8%8F%AF%E5%8D%80%E8%8C%B6%E8%97%9D%E9%A4%A8%E5%8F%8A%E5%91%A8%E9%82%8A%E7%9B%B8%E9%97%9C%E5%80%8B%E6%A1%88%E5%85%AC%E5%85%B1%E5%A0%B4%E6%89%80%E6%B4%BB%E5%8B%95%E5%8F%B2-%20513%E6%96%B0%E5%A2%9E%E5%80%8B%E6%A1%881.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210514%E8%90%AC%E8%8F%AF%E5%8D%80%E8%8C%B6%E8%97%9D%E9%A4%A8%E5%8F%8A%E5%91%A8%E9%82%8A%E7%9B%B8%E9%97%9C%E5%80%8B%E6%A1%88%E5%85%AC%E5%85%B1%E5%A0%B4%E6%89%80%E6%B4%BB%E5%8B%95%E5%8F%B2-%20513%E6%96%B0%E5%A2%9E%E5%80%8B%E6%A1%882.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210514%E8%90%AC%E8%8F%AF%E5%8D%80%E8%8C%B6%E8%97%9D%E9%A4%A8%E5%8F%8A%E5%91%A8%E9%82%8A%E7%9B%B8%E9%97%9C%E5%80%8B%E6%A1%88%E5%85%AC%E5%85%B1%E5%A0%B4%E6%89%80%E6%B4%BB%E5%8B%95%E5%8F%B2-%20513%E6%96%B0%E5%A2%9E%E5%80%8B%E6%A1%883.jpg" /></p> <p>陳時中也鼓勵民眾下載臺灣社交距離App，他指出，民眾可透過該App了解自己是否與確診者近距離接觸，而且使用人數越多，通知也就越迅速。目前該App已80多萬人次下載，指揮中心盼能有更多民眾採用。</p> <div id="gtx-anchor" style="position: absolute; visibility: hidden; left: 438.906px; top: 22px; width: 651.094px; height: 15px;"> </div> <div aria-describedby="bubble-2" class="jfk-bubble gtx-bubble" role="alertdialog" style="visibility: visible; left: 159px; top: 47px; opacity: 1;"> <div class="jfk-bubble-content-id" id="bubble-2"> <div id="gtx-host" style="min-width: 200px; max-width: 400px;"> </div> </div> <div aria-label="Close" class="jfk-bubble-closebtn-id jfk-bubble-closebtn" role="button" tabindex="0"> </div> <div class="jfk-bubble-arrow-id jfk-bubble-arrow jfk-bubble-arrowup" style="left: 744.406px;"> <div class="jfk-bubble-arrowimplbefore"> </div> <div class="jfk-bubble-arrowimplafter"> </div> </div> </div> </div></div></div>
2021/5/14 14:57作者王若樸https://www.ithome.com.tw/news/144422
資安業者Rapid7原始碼因Codecov攻擊而外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式碼覆蓋率（Code Coverage）解決方案供應商Codecov在今年的4月中旬，<a href="https://www.ithome.com.tw/news/143917" target="_blank">對外宣布遭到駭客入侵</a>，危及採用Codecov服務的眾多客戶，美國資安業者<a href="https://www.rapid7.com/blog/post/2021/05/13/rapid7s-response-to-codecov-incident/" target="_blank">Rapid7則於本周表示</a>，該公司內部所使用的某些工具程式碼因此而外洩，但並未波及產品程式碼。</p> <p><a href="https://about.codecov.io/security-update/" target="_blank">根據Codecov的說法</a>，該公司Docker映像檔的建立程序含有一個錯誤，而讓駭客盜走了可用來存取與竄改Bash Uploader腳本程式的憑證。Bash Uploader主要是讓客戶把程式碼覆蓋率報告傳送至Codecov，駭客變更了該腳本程式，以將存放於客戶持續整合（Continuous Integration，CI）環境中的資訊，匯出至由駭客代管的伺服器上。此外，Codecov的調查顯示，其Bash Uploader腳本程式最早在今年的1月31日，就遭到駭客破壞。</p> <p>Rapid7則說，在得知此一意外之後，該公司立即展開安全意外回應程序，結合第三方的資安鑑識公司，調查內部環境可能受到的影響，不過，Rapid7對Bash Uploader腳本程式的使用是有限的，只在單一的CI伺服器上測試及建置某些內部使用的工具，而這些工具只應用在Managed Detection and Response（MDR）服務上。</p> <p>因此，只有應用在MDR服務上的某些內部工具的程式碼，遭到未經授權的存取，包含內部憑證，以及少數MDR客戶的警報相關資料。Rapid7已經變更這些憑證，通知受影響的客戶，且無其它企業系統或產品環境遭到存取。</p> <p>Codecov在全球有2.9萬家客戶，且不乏知名業者，包括P&G、GoDaddy與IBM等，迄今Codecov並未對外公布遭到波及的客戶數量，但已個別通知受影響的客戶。</p> </div></div></div>
2021/5/14 15:10作者陳曉莉https://www.ithome.com.tw/news/144423
【臺灣資安大會直擊】奧義智慧指出AD管理上出現的常見問題，恐成為駭客攻擊的破口
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及駭客鎖定AD的攻擊事故，許多人可能會先聯想到的是2020年8月微軟修補的Zerologon漏洞（CVE-2020-1472），該漏洞公開不久就遭到APT組織濫用。但事實上，網管人員對於企業的AD架構不夠熟悉，而產生配置不當（Misconfiguration）的現象，也可能成為攻擊者濫用的管道。</p> <p>我們可能會認為，配置不當通常是出現在架構較為複雜的雲端服務，但企業很可能會因為先前歷任網管留下來的設置，再加上網管人員很有可能是兼任，而不甚清楚相關配置情況。</p> <p>在2021臺灣資安大會的議程上，奧義智慧資安研究員姜尚德就針對他們在研究AD的安全，以及實際調查案例中，發現到的一些情況，像是為了資安而全面更換密碼、使用預設的管理群組等現象，這些AD功能的說明與需要留意的細節，其實微軟都有記載於相關文件，但很容易被工作繁重的網管人員給忽略。姜尚德也特別對此提出管理AD的建議。</p> <p>針對網管人員對於AD管理上的迷思，姜尚德認為，主要可區分為3種，首先是為了防堵攻擊者入侵而重設所有的密碼，卻忽略了AD內建的系統帳號；再者，則是使用者權限分配的現象，很有可能無意間套用了預設管理者群組而給予過多權限，而成為駭客可濫用的對象；其次，姜尚德也指出攻擊者很可能藉由控制AD，進一步入侵企業使用的雲端服務。</p> <p>但為何管理人員會缺乏相關資安意識，而規畫可能潛藏危機的AD架構？姜尚德說，其實像是MCSE的課程裡都有介紹到他所提及的AD功能，但由於在MCSE等相關的證照考試中，很可能較為偏重如何設定與滿足使用者需求，而非設計安全的AD權限賦予管理結構，因此，對於許多網管人員來說，這些AD的高權限可能是理所當然，而不知道可能潛藏的危害，因為，這些權限同樣也給予駭客濫用的機會。</p> <h2><strong>全面更換密碼應將AD內建特殊帳號納入範圍</strong></h2> <p>一般來說，為了防範駭客再度濫用AD，一旦企業的網域控制器遭到駭客入侵，網管人員尋求廠商協助最常得到的建議，就是全面更換所有使用者的密碼，甚至是重新架設AD。但全面更換密碼不僅非常麻煩，使得網管人員面臨使用者大量抱怨，姜尚德說實際上的效果也非常有限，因為，有些AD內建的預設帳號，沒有更換密碼可能直接讓上述的「苦工」功虧一簣。</p> <p>他舉出AD處理使用者身分認證的預設帳號Krbtgt，一旦駭客能夠取得該帳號的密碼雜湊值（Hash），就能偽造任意使用者帳號的Ticket Granting Ticket（TGT），發動Golden Ticket攻擊。換言之，若是企業全面換AD使用者的密碼，沒有修改Krbtgt的密碼，很有可能讓駭客能繼續使用原本竊得的密碼雜湊值，冒用任何使用者的身分，並存取相關的資源。</p> <p>然而，管理者想要重設Krbtgt的密碼並非易事。姜尚德引用微軟的說明文件指出，網管人員若要重設該帳號的密碼，必須執行2次才能真正達到變更的目的，而且，這2次重設密碼的間隔要超過10個小時，原因是10個小時是使用者票證（Ticket）有效時間的上限，同時也是在服務票證原則中，允許票證存留時間的上限。若是管理者於不滿10小時就執行第2次重設密碼作業，就有可能沒有真正達到重設Krbtgt帳號密碼的目的。</p> <h2><strong>高權限帳號群組應避免使用</strong></h2> <p>不過，即使是上述如此勞師動眾來更換AD各式密碼，駭客不久後又再度掌控網域控制器的情況依舊相當發生。但為何會如此？姜尚德認為，原因很可能跟AD預設的高權限群組濫用有關，他舉出Account Operators系統管理員群組為例，微軟的最佳實務是建議不應使用，但他在網路上卻看到有人建議網管人員，將想要具備新增AD帳號權限的使用者，加入Account Operators群組。對此姜尚德頗不以為然，因為，網管人員很可能參考網路上的教學照做，而使用了微軟認為不該採用的群組，而造成企業面臨相關資安風險。</p> <p>除了Account Operators群組，還有那些群組是常被網管人員誤用的呢？姜尚德舉出6個也可能會被誤用的群組：包含了Backup Operators、Server Operators、Remote Desktop Users、DNSAdmins，以及Group Policy Creator Owners等。因此，姜尚德建議網管人員，不要在這些群組建立使用者帳號，以免增加額外的資安風險。</p> <p>究竟這些群組的使用者一旦遭到濫用，會造成那些資安風險呢？其中，Backup Operators與Server Operators群組的成員，能夠登入網域控制器並備份資料庫，一旦具有這種權限的AD用戶帳密遭竊，便有可能讓攻擊者取得所有用戶的帳號和密碼。</p> <p>而Print Operators群組的成員同樣能存取網域控制器，雖然不若上述2種群組能備份網域控制器的資料庫，但可以關掉網域控制器造成AD服務中斷。</p> <p>對於Remote Desktop Users這個群組，顧名思義應該是提供遠端桌面用戶使用，但姜尚德指出，若是管理者直接套用預設的群組原則物件（GPO），這個群組的使用者可存取網域裡的所有電腦。</p> <p>至於DNSAdmins與Group Policy Creator Owners群組的使用者，一旦遭到濫用，分別可能會造成權限提升，以及竄改群組原則物件等情況。</p> <h2>部分坊間傳聞僅供參考，網管人員不應以偏概全</h2> <p>在上述修改用戶密碼和濫用管理者群組的情形之外，姜尚德也舉出一些網路上口耳相傳，看似有用實際上效果相當有限的AD防護措施，解析這些做法是否有效。例如，將Windows伺服器的Administrator改名，以免管理者帳號直接被攻擊者濫用，這樣的措施甚至在我國的政府組態基準（GCB）列入。但姜尚德說，此類做法雖然能防範腳本小子（Script Kids）隨意測試本機管理者密碼，但在AD環境下無效，因為AD就像是電話簿，即使伺服器的管理者帳號更名，攻擊者仍然能透過AD查到伺服器管理者帳號的名稱。</p> <p>此外，也有人會認為駭客愛用Mimikatz攻擊AD，因此網管人員要對於這類工具的濫用加以防範。不過，實際上駭客運用的作案工具並非只有Mimikatz，姜尚德認為，企業不能以偏概全，只依賴單一的方法來保護AD。</p> </div></div></div>
2021/5/13 16:13作者周峻佑https://www.ithome.com.tw/news/144403
本土疫情升溫，全民應落實防護措施
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入5月第二週，臺灣武漢肺炎感染態勢日益嚴峻，11日本土個案有7例，其中有6例感染源待釐清，對此，中央流行疫情指揮中心宣布，提升疫情警戒至第二級，直到6月8日為止，主要原因在於「出現感染源不明之本土病例」。而在這樣的警戒規範下，若是室外500 人以上，或是室內100人以上的集會活動舉行，原則上應該停辦，但若能採固定座位且為梅花座、實聯制、全程佩戴口罩、禁止飲食，得提報防疫計畫報請地方主管機關核准後實施。</p> <p>隔日，疫情指揮中心公布新增16位本土病例，3例感染源待釐清，而在16位感染者當中，有高達10例是11日其中1位感染者的接觸者（1位同住家人，其餘為友人）。以這兩天而言，總共有2起群聚，以及數個感染源不明個案，若感染規模擴大或感染源不明的病例激增，警戒等級可能會提高，屆時對企業營運與民眾日常生活，會產生更巨大的影響。</p> <p>根據中央流行疫情指揮中心公布的<a href="https://www.tygh.mohw.gov.tw/?aid=301&page_name=detail&iid=1001" target="_blank">《疫情警戒標準及因應事項》</a>，若是單週出現3件以上社區群聚事件，或是一天有10名以上感染源不明之本土病例，將進入第三級疫情警戒階段，屆時，將停止室外10人以上，室內5人以上之聚會，大部分營業場所及公共區域都需關閉，僅保留維生、秩序維持和必要性服務、醫療或公務所需的部份，而且營業或公共場所都需要戴口罩，此外，針對發生群聚感染的社區，如需執行「快速圍堵」，民眾需要配合病毒篩檢，不得任意離開圍堵區，並且停止所有聚會活動及停班、停課。</p> <p class="rtecenter"><img alt="" src="https://www.tygh.mohw.gov.tw/public/news/b4b7a723524d10e20c836bacbc3475d7.PNG" style="width: 600px;" /></p> <p>面對瞬息萬變的疫情，即使過去維持得不錯，但仍難以百分之百擔保未來繼續保持這樣的佳績，全體國民應提高警覺，隨時注意疫情警戒等級的變化，持續落實勤洗手、戴好口罩，維持人與人之間的社交距離，才能平抑、中止感染鏈的擴大，讓傳染風險降低至可正常生活的水準。</p> <p>在此同時，我們對於政府進行的疫情調查與公布相關資訊的作法，也須多多了解，才能知道這些工作如何於法有據地持續推動。衛生福利部疾病管制署先前已在自家網站公布多項文件，都值得大家去看看，像是：《<a href="https://www.tygh.mohw.gov.tw/?aid=301&page_name=detail&iid=1001" target="_blank">疫情警戒標準及因應事項</a>》、《<a href="https://www.cdc.gov.tw/File/Get/B0h3BBa-bXGwwBwkxoUb1g" target="_blank">嚴重特殊傳染性肺炎疫情調查及接觸者追蹤指引</a>》、《<a href="https://www.cdc.gov.tw/File/Get/Q7S9plIfoltiejeYIXTgjw" target="_blank">嚴重特殊傳染性肺炎疫調單</a>》、《<a href="https://www.cdc.gov.tw/Category/Page/910D0evkfVGuIt-3d_wPsA" target="_blank">指揮中心記者會確診個案資料發布原則</a>》。</p> <p>防疫如是，面對資安威脅時，我們也能持續從中學習，在推動實務工作時，獲得更多啟發。誠如2021臺灣資安大會第二天的主題演講〈跟阿中學勒索軟體防疫之道〉，TeamT5杜浦數位安全執行長蔡松廷分析了疾管署、中央疫情指揮中心的作法，將其對應知名的資安框架NIST Cybersecurity Framework，讓與會大眾更清楚了解公衛與資安之間的共通性。</p> <p>而在這樣的相互參照之下，無論是禍延全球的傳染病或是網路資安威脅，我們都可持續運用識別（Identify）、保護（Protect）、偵測（Detect）、反應（Respond）、復原（Recover），來進行事中與事後的減災，甚至是未雨綢繆，而橫貫這些作為的關鍵，更在於事權統一（成立疫情指揮中心，充分授權）、作業透明（召開每日記者會，持續與各界溝通）、有法源依據（訂定傳染病防治法，於法有據）。</p> <p>而基於這樣的作業框架，無論是面對數量突然暴增的感染者，或是被勒索軟體加密綁架的大量檔案與資料夾，也正考驗著既有的流程設計是否完備，以及防疫人員、政府機關、企業，以及所有民眾的應變能力與耐力，過去能夠成功圍堵這些威脅，並非得之於僥倖，事實上，我們的確有妥善的方法，也有足夠的決心、洞察力與行動力，一定能化險為夷，但前提是我們不能掉以輕心。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item odd"><a href="/tags/%E6%AD%A6%E6%BC%A2%E8%82%BA%E7%82%8E">武漢肺炎</a></div><div class="field-item even"><a href="/tags/bcp">BCP</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E6%8C%81%E7%BA%8C%E7%87%9F%E9%81%8B">企業持續營運</a></div></div></div>
2021/5/14 11:39作者李宗翰https://www.ithome.com.tw/voice/144416
報導：Colonial Pipeline在被攻擊的幾小時內就付了近500萬美元的贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大燃油管道系統Colonial Pipeline在上周五（5/7）<a href="https://www.ithome.com.tw/news/144276" target="_blank">遭到勒索軟體DarkSide的攻擊</a>，原本有媒體報導Colonial Pipeline無意支付贖金，但彭博社（Bloomberg）引述多名消息來源報導，Colonial Pipeline在意識到被攻擊之後的幾個小時之內，便已支付了接近500萬美元的贖金。</p> <p>根據報導，駭客在取得贖金之後就提供了解密工具，只是因為該解密工具速度太慢，使得Colonial Pipeline繼續利用自己的備份來復原系統。</p> <p>資安業者Cybereason分析，DarkSide駭客集團一向採用雙重勒索形式，一方面加密受害者的檔案，另一方面也下載受害者的機密檔案以迫使受害者付款，且DarkSide所要求的贖金範圍通常介於20萬美元到200萬美元之間。若彭博社的報導為真，那麼Colonial Pipeline很可能創下DarkSide的贖金紀錄。</p> <p>另一方面，Colonial Pipeline肩負美國東岸45%的燃料供應，在遭到攻擊的當下暫停了所有的管道作業，使得美國燃油供應不足，油價更因此而上漲，讓美國於周日（5/9）宣布進入緊急狀態，破例讓燃油業者透過一般道路運送燃油。</p> <p>此外，Colonial Pipeline除了在上周日（5/9）開放部份小型支線的燃油運送之外，也在本周三（5/12）宣布恢復運作。儘管如此，由於Colonial Pipeline在美國配置的管線長達5,500哩（8,851公里），所有的燃油輸送還需要一段時間才能恢復正常，美國總統拜登<a href="https://www.whitehouse.gov/briefing-room/speeches-remarks/2021/05/13/remarks-by-president-biden-on-the-colonial-pipeline-incident/" target="_blank">（Joe Biden）則指出</a>，Colonial Pipeline的燃油供給自本周末到下周將會依據區域逐漸恢復。</p> <p>這意謂著就算支付了贖金，取得了解密工具，Colonial Pipeline還是需要一周以上的時間來回到正常狀態。</p> <p>美國聯邦調查局（FBI）並不鼓勵勒索軟體受害者支付贖金，以免助長駭客氣焰並增加攻擊企圖，而沒有任何美國官方機構願意向彭博社證實Colonial Pipeline是否支付了贖金，多半採取「不予評論」的態度。不過，美國網路暨新興科技副國家安全顧問Anne Neuberger向媒體透露，他們知道當企業的資料被加密且無法復原的時候，通常會陷入困境。</p> <p>Colonial Pipeline的受駭驚動了美國政府，拜登也在記者會上特別說明了此事，指出他們相信執行該攻擊的駭客居住在俄羅斯，但不認為與俄羅斯政府有關，也已要求俄羅斯政府應該要採取行動來打擊這些勒索軟體集團。</p> <p>美國國土安全部旗下的網路安全暨基礎架構安全署（CISA）與FBI<a href="https://us-cert.cisa.gov/ncas/alerts/aa21-131a" target="_blank">已公布了DarkSide的攻擊細節</a>，指出駭客通常是透過網釣取得系統的遠端存取帳號，再於受駭系統上注入勒索軟體，也提出完整的建議，包括啟用多因素認證、建立垃圾訊息過濾機制、過濾網路流量、定期更新軟體、限制特定資源的存取，以及部署防毒軟體等。</p> </div></div></div>
2021/5/14 12:20作者陳曉莉https://www.ithome.com.tw/news/144418
Confluent供用戶在私有雲部署和管理企業級Kafka服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Confluent發表<a href="https://www.confluent.io/blog/confluent-for-kubernetes-offers-cloud-native-kafka-automation/">Confluent for Kubernetes</a>，這是一個雲端原生控制平臺，讓用戶在私有雲端環境部署和管理企業級Kafka服務Confluent，其提供了一個標準的界面，藉由宣告式API，來簡單地自定義、部署和管理Confluent平臺。</p> <p>2011年LinkedIn開源釋出的分散式串流分析平臺Kafka，在2014年時，原本LinkedIn的員工創辦新的公司Confluent，專門提供企業級Kafka服務，該公司的Confluent平臺，讓用戶可以快速方便地整理各資料源，並彙總到單一來源。該公司最新的產品Confluent for Kubernetes，則重構了Confluent平臺，讓用戶可以在本地環境，建構自己的私有雲Kafka服務。</p> <p>過去Confluent提供完全託管的雲端原生服務，可以用來連接和處理所有用戶的資料，全託管的Apache Kafka服務讓用戶無需考慮基礎架構，當用戶需要更高的吞吐量時，系統能夠自動的擴展，但是用戶無法跨使用案例和環境，在本地端享有這種雲端原生體驗。</p> <p>官方提到，用戶可能在本地端累積了需要移動的資料，又或是本地端資料中心，存在需要轉換成即時範式的應用程式架構，還有企業可能面臨法規要求，需要將資料、系統和應用程式，隔離於本地端的環境中。</p> <p>藉由Confluent for Kubernetes，用戶可以利用API驅動的自動化功能，在私有環境中部署和管理Kafka，官方還提到，透過應用打包好的最佳實踐，來執行可靠且安全的資料移動（Data-In-Motion）平臺，能夠降低風險和成本投資。Confluent for Kubernetes能部署到任意私有雲，一致地執行資料移動工作負載，並透過擴展資源來滿足不斷變化的業務需求。</p> <p>匯集Confluent在雲端執行5,000多個叢集的經驗，Confluent for Kubernetes經仔細調校，強化了私有雲Confluent平臺的彈性、易操作性和韌性。Confluent for Kubernetes提供與公有雲相同的簡易和靈活性，用戶無需擔心與Kafka相關的複雜基礎設施操作，該解決方案含有配置企業級平臺所有元件，在數分鐘內，用戶便可完成叢集部署，開始操作動態資料。</p> <p>Confluent for Kubernetes讓用戶可以對開發和生產配置定義宣告式規範，並且選擇在任意私有雲環境進行部署和管理，官方提到，他們持續改進Confluent for Kubernetes，未來將讓用戶可以在同一平面，監控多個環境的平臺運作狀態，並且可以使用GUI和CLI界面，跨環境部署和管理Confluent。</p> </div></div></div>
2021/5/14 10:24作者李建興https://www.ithome.com.tw/news/144410
Niantic擴充AR工具以及其開發者平臺推出Niantic Lightship
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Niantic將原本稱為Niantic Real World Platform的開發平臺，強化並且更名為<a href="https://nianticlabs.com/blog/?hl=en">Niantic Lightship</a>增強實境開發工具包（ARDK），供開發人員建構沉浸式AR應用程式。Niantic Lightship完整覆蓋Niantic平臺，包括Ingress、PokémonGO以及其他與Nintendo的合作遊戲，都是由Niantic Lightship支援的工具和服務套件打造。</p> <p>ARDK是一個強大的開發工具，讓開發人員可以創建多人遊戲，並使用深度、物理、遮蔽和語義分割等功能豐富遊戲體驗。Niantic現在向開發者釋出ARDK私人Beta測試版本，相較早前釋出的Alpha版本，這個新版更新有三大重點，分別是即時映射和網格化功能，官方也改進語義分割以及提供更強健的多人遊戲功能。</p> <p>即時映射和網格化是智慧型手機鏡頭和神經網路相結合的技術，可將環境即時映射到重複細分的三角形網格中，以機器可讀的方式呈現物質世界。而ARDK的Beta版本中，官方改進了語義分割功能，能夠依據特徵將各種空間，像是地面、天空和建築物分割開來，所以虛擬物體能以逼真的方式，在空間中移動，Lightship可以自動分割場景中不同的物體，使AR內容能夠與特定表面互動。</p> <p>Niantic Lightship也強化了多人遊戲功能，讓開發人員應用共同定位、網路和同步功能，最多讓8名玩家在同一個真實世界空間中共享AR體驗，官方提到，雖然目前錨定內容是短暫的，但是他們仍在改進ARDK，將會支援長期虛擬內容錨定，使得開發人員可以建構持續的AR體驗。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/nianticweb-media/nianticlabs/meshing_lightship.gif" style="width: 200px; height: 356px;" /><img alt="" src="https://storage.googleapis.com/nianticweb-media/nianticlabs/multiplayer_lightship.gif" style="width: 200px; height: 355px;" /><img alt="" src="https://storage.googleapis.com/nianticweb-media/nianticlabs/semantics_lightship.gif" style="width: 200px; height: 356px;" /></p> <p>網格化是AR空間的一項基礎功能，而Niantic僅利用常見的智慧手機鏡頭，就可實現網格化功能，這使得Niantic可以在更多的裝置上提供更豐富的功能，官方解釋，Niantic使用大多數相機中的RGB感測器創建網格，不需要高階裝置的LiDAR掃描儀，使用網格技術掃描玩家周圍環境，就可以即時創建3D地圖。</p> <p>不過，Niantic Lightship ARDK同時也無縫支援包括iPhone 12 Pro等高階LiDAR手機，讓開發者可以不需要擔心裝置型號，創建動態地圖，在任何硬體都可以提供良好的AR體驗。Niantic還提到，他們正在建構虛擬定位系統（Virtual Positioning System，VPS），讓AR內容可以精確地利用地理位置精確錨定，這項虛擬定位系統將會以全球規模提供支援。</p> </div></div></div>
2021/5/14 10:29作者李建興https://www.ithome.com.tw/news/144411
AWS開源可加速雲端應用程式專案開發的SaaS Boost
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布<a href="https://aws.amazon.com/tw/blogs/opensource/aws-saas-boost-released-as-open-source/">開源SaaS Boost工具</a>，該工具可以助開發人員將當前的解決方案，搬遷到雲端上，轉換成軟體即服務（SaaS）交付模式。官方提到，SaaS Boost可以大幅加速軟體轉換為SaaS的速度，極大程度降低開發工作負擔，而現在SaaS Boost原始碼已經在GitHub上公開。</p> <p>AWS提到，SaaS產品需要一些基本元件，提供租戶基礎架構、監控、配置、計費以及重要指標等功能，這些功能對於SaaS擴展與營運至關重要，但如果每個SaaS公司，都需要在建構應用程式前先建構這些功能，那將會大量消耗重複的開發能量，也減慢產品上市的速度。</p> <p>而AWS SaaS Boost能夠解決這個問題，該工具是一個即用型參照環境，可以讓開發者以較為簡單地方式，將現有應用程式轉為SaaS產品，用戶只需要進行環境配置工作，就能使用SaaS Boost來提供SaaS服務，同時AWS SaaS Boost還整合了CloudFormation、Elastic Load Balancing、ECS和Lambda等多項AWS服務，用戶不只可以遵循SaaS最佳實踐，同時還能獲得高安全性和隔離性。</p> <p>對SaaS建構者來說，租戶隔離、資料分區、監控和計費等皆為基礎功能，盡管這些功能的需求普遍存在，但是在實作上並非如此，官方解釋，每個應用程式對資料庫，或是文件系統的相依性都不一樣，計量單位也因用戶不同而變化，計費系統更因地理位置而不同。AWS SaaS Boost是以Apache 2.0授權許可釋出，讓用戶可以按照需求自定義程式碼，並自己發布新的版本。</p> <p>AWS提到開源SaaS Boost工具的原因，他們收到許多產業的關注，包括大型軟體公司，希望能以更簡單地方式供應傳統產品，還有新創公司，也想利用SaaS Boost來開發新產品，而系統整合商則期望透過SaaS Boost，對企業軟體進行現代化改造。</p> <p>開源SaaS Boost可獲得更多開發者和企業的貢獻，以加速新功能開發，並且和各種SaaS軟體整合，提供各種規模和位置的企業，皆可使用的高品質解決方案，為此，AWS還提出了一套SaaS Boost章程和指導原則。隨著SaaS Boost專案越來越成熟，AWS也計畫邀請其他維護者，在確定的專案方向積極貢獻。</p> </div></div></div>
2021/5/14 10:13作者李建興https://www.ithome.com.tw/news/144409
【臺灣資安大會直擊】從實際攻擊看企業防禦資安破口，戴夫寇爾紅隊演練經驗大揭露，企業防護存在4大常見資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對各式資安威脅與風險，臺灣企業真的夠了解自己實際存在的問題嗎？在今年臺灣資安大會的一場演講上，戴夫寇爾（Devcore）執行長翁浩正除了<a href="https://www.ithome.com.tw/news/144387">強調國內企業在識別風險層面投入不夠的問題</a>，還有一個實際經驗分享，更是備受關注，這是他們這三年的紅隊演練的經驗，將他們看到國內企業防禦上常出現可被利用的破口，進一步歸納出4大企業常見資安問題。</p> <h2><strong>從百分百入侵成功的紅隊演練經驗，看國內企業防護上的4大常見問題</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2(1).jpg" style="width: 220px; float: right;" /></p> <p>在戴夫寇爾的紅隊演練經驗中，翁浩正表示，自2017年來已3年，他們每次都能在專案時程內成功入侵演練目標。因此，臺灣企業可能存在那些問題而不自知呢？他們透過實際攻擊的經驗，統整出常見於臺灣企業，但可能一直不夠關注的常見資安問題。</p> <p>對於攻擊者可以如何繞過企業防禦體系？翁浩正列舉出4大常見狀況，舉例來說，他們發現有6成4企業外洩了可利用的資訊，包含帳號密碼、原始碼與內部文件。因此，企業可以自己先去檢查這樣的情況，例如，在網際網路上是否有用公司信箱註冊外部服務的情況，若是外部服務帳號密碼外洩，就有機會被用。</p> <p>不僅如此，有高達7成9企業，存在已知漏洞未修補的情況，使得他們在演練時的入侵路徑上，就能找到透過這樣的漏洞並成功入侵，當中並有7成漏洞是已經公開半年之久。翁浩正表示，雖然一些企業可能因業務不能中斷而沒有及時修補，但超過半年都有要修補，這是嚴重的問題。</p> <p>此外，以預設或固定密碼作為認證方式的問題也不小，有6成7的企業有此情況。企業可能購買設備之後，就直接使用預設密碼沒有修改，或是廠商原廠預留了維運工程使用的密碼，都成為防護上的破口；而密碼設定安全不足的情況依然多見，有8成3的企業其密碼在專案期間內就可被破解，使得攻擊方可利用於後滲透使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>翁浩正分享他們執行3年紅隊演練中，可以如何繞過企業防禦體系，而這些可能是企業並未關注或發現的問題，這有4大常見問題包括：可利用資訊遭外洩、已知漏洞未修補、以預設或固定密碼作為認證方式，以及帳號複雜度不足。</p> </blockquote> <p>因此，翁浩正歸類出前五大最常見的攻擊樣態，包括：第一，外部服務存在漏洞；第二，第三方服務存在高風險漏洞；第三，網路區隔存在利用機會；第四，帳號權限保護不足；第五，監控回應不如預期。</p> <p>相對來看，這其實等於是企業在資安防禦上的五大挑戰。</p> <p>以外部服務存在漏洞而言，翁浩正指出，在他們紅隊演練經驗當中，企業外部網路其實仍然很脆落，可以藉由入侵外部網站，有機會進一步入侵到企業內部網路，攻入更多主機取得更多資料，但從資安大調查中的企業重點來看，多數企業將防禦主軸放在內部網路安全，包括網路安全、端點防護、資料洩漏等，而網站安全只居於第十名，因此企業對於外部網路相對是不夠看重。</p> <p>在第三方服務存在高風險漏洞方面，他們演練時的常見狀況是，發現企業使用的特規系統或外部系統存在零時差漏洞，而且常有SQL Injection這種不應該犯的簡單錯誤，而他們就能利用這樣的漏洞入侵企業核心系統。現在大家都在談供應鏈安全，但企業在採購商業系統或特規系統時，會要求對方做滲透測試嗎？翁浩正拋出此一問題讓大家思考，當然他也表示，企業幫廠商做滲透測試並不太合理，加上廠商不一定配合，而如果僅為合規使用資安涵蓋率品質不好的滲透測試或弱點掃描，也沒有辦法到達好的效果。因此，這對企業來說是相當大的挑戰。</p> <p>在網路區隔存在利用機會方面，企業可能因為區隔的位置與設備擺放的位置錯誤，導致他們在演練時有機可趁。他指出，雖然從資安大調查中結果看出，臺灣多數企業是重視IT基礎架構防護等解決方案，已經意識到網路區隔存在風險，但實際風險仍高，而也同樣是企業的一大挑戰，畢竟網路區隔與業務運作有莫大關聯。</p> <p>在帳號權限保護不足方面，他們在演練時可透過利用已經掌握的主機，從記憶體當中取得密碼，再從內部網路中看那些主機使用同樣的密碼，或是同樣的特權帳號。因此，企業除了投資存取控管權限相關解決方案，同時也要考量搭配其他縱身防禦來強化。</p> <p>另外他們發現的企業常見問題，是監控回應不如預期。由於事件回應處理或設備的誤判，都還是人去處理，但目前較少有解決方案，可幫助企業改善監控的回應，因此這也成為企業難解決的問題與挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966~10%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.gif" style="width: 600px;" /></p> <blockquote><p>在戴夫寇爾的紅隊演練經驗中，有哪些是企業防禦上的挑戰，翁浩正歸納出5種攻擊樣態，包括：外部服務存在漏洞、第三方服務存在高風險漏洞、網路區隔存在利用機會、帳號權限保護不足，以及監控回應不如預期。（圖中IP位址非真實資訊）</p> </blockquote> <p>更進一步，翁浩正引用了2020年iThome資安大調查的內容，以資安投資重點上的調查結果為出發，對應這五大攻擊樣態，來說明他看到的企業防禦採購現況，以及企業需要重新思考的問題與挑戰。</p> <p>在此之前，翁浩正已經提到資安投資項目，可畫分為用於識別風險，或是處理風險。他指出，就2020年企業資安投資意向來看，企業在處理風險的投資比重較高，而識別風險方面的投入較少。</p> <p>例如，在在外部服務與第三方服務的漏洞方面，包括滲透測試、源碼檢查、威脅情資與漏洞獎金計畫，以及相關弱點管理這種比較重要的解決方案，都不在企業資安投入的前十名。</p> <p>此外，在網路區隔與帳號權限保護方面，以識別風險項目而言，也只有資安稽核／認證位於企業投資第12名，導入NIST CSF與紅隊演練的企業更少；而監控與回應在識別風險這一塊，更是只有滲透測試與紅隊演練，可以確實知道企業回應是否確實。</p> <p>因此，他希望大家理解的是，面對資安趨勢的調查內容，他山之石，可以參考，不能盡信，原因很簡單，每個企業組織架構不同，資源與威脅也不同，最好應先識別風險，才能對症下藥。至於企業防禦戰略上，要從外部檔起還是從內部穩固核心系統為優先，他認為，這兩個戰略不一樣，沒有誰對誰錯的問題，若對於境外勢力最憂心，就先把資源投放最外面，如果和資料資產重要，盤點以及相關介接，從這些系統來優先防禦比較省力。</p> <p>無論如何，資安觀念推動已經許多年了，以這次翁浩正所提醒的重點來看，顯示是就是希望企業在看待資安時，不應該忘記資安調查結果是個輔助，可以觀察到整體趨勢與產業趨勢，自己並要從自身現狀盤點做起，同時，普遍企業應該多想想識別風險層面的資安解決方案，過去是否真的不夠重視。</p> </div></div></div>
2021/5/13 12:26作者羅正漢https://www.ithome.com.tw/news/144388
【臺灣資安大會直擊】無法100％防禦入侵怎麼辦？第一銀行數位安全處處長一句話揭露資安防護關鍵原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「駭客攻防中，攻方通常攻擊一個點，但守方得守一個面，隨著攻方技術不斷改變，守方的防護也要有不同作法。」第一銀行數位安全處處長張晉榮在臺灣資安大會的金融資安論壇專場表示。</p> <p>張晉榮提到，資安人員要先釐清，自身所待的產業吸引駭客的地方在哪？比如，在高科技業，駭客要竊取商業機密，或是癱瘓生產線，而金融業的誘因就是轉匯、個資、服務提供，「釐清後才能開始針對吸引駭客的地方，進行資安防護措施。」</p> <p>然而，「守方不可能百分之百防禦駭客入侵。」張晉榮再次強調這個企業應有的資安觀念。他解釋，資訊產品總有漏洞，可能有些還沒被挖掘，或內部撰寫的程式有漏洞而不自知，除了實體隔離，否則滲透只是時間上的問題，</p> <p>所以，他用一句話點出一銀的防禦策略是，「將重要目標往後擺，增加駭客入侵困難度，來延遲駭客達到目標的時間，趁這段時間，想辦法偵測駭客的攻擊，進而清除補漏。」</p> <p>他表示，駭客攻擊手法可分為「已知」與「未知」，一銀也分別針對這兩方面來防護，「更要以情資為驅動來應變，」對於已知的資安情資，大多來自如F-ISAC、公開情資、廠商情資，企業現有導入的防護機制或資安產品，多能偵測得到這類資安威脅。可是，針對零時差攻擊（Zero Day Attack），或是駭客客製化的手法，企業防護機制一定要搭配因應未知行為模式攻擊的機制，才能有效交錯防護。</p> <p>「情資處理的關鍵在於即時與迅速反應。」張晉榮表示，情資落後卻遇到駭客立刻攻擊時，企業會來不及防護。所以，除了情資來源要夠廣之外，需有專人負責分析，也通知相關處理人員，而且還得導入能自動化匯入情資的資安設備。</p> <h4><strong><span style="color:#0066ff;">對外服務網站安全有7項重點需注意</span></strong></h4> <p>他提到，駭客攻擊主要從兩大面向著手，一方面是員工個人電腦與公司Email，透過社交工程等手法侵入；另一面向是透過對外服務，包括對外服務網站或VPN來侵入。一銀認為，對外服務網站安全上，除了基本的防火牆、入侵偵測等偵測機制，一銀更從以往經驗中，歸類出需注意的7大重點。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7521%202.JPG" /></p> <p>第一點是，對外服務網站對於程式資料格式的檢測，一定要嚴格要求。他解釋，很多對外服務委外開發，或是過往內部開發時的資安不夠落實，很有可能有漏洞。張晉榮特別強調：「得嚴格檢查輸入資料，以及操作權限的轉移與參數傳遞」，必須以零信任方式檢查每次權限的轉移。 </p> <p>第二點是，必須每日檢查Web日誌。另外是，得將Web啟動服務權限最小化，盡量讓駭客駭入後拿到的權限最小化，避免駭客取得可啟動服務的高權限。他進一步表示，有些徵兆得留意，例如駭客駭入後會開始埋下惡意程式，所以，企業必須對監控落地的目錄的檔案異動，這是第四項重點，張晉榮強調，企業能否第一時間發現程式遭竄改，或者新增了惡意程式，得從落地目錄來監控。</p> <p>第五個重點是，針對惡意程式啟動後所執行的行為，得靠端點偵測與回應的解決方案（EDR）來監控異常活動。然而，若駭客更進一步開始橫向滲透，他提到，網段隔離要做得非常好，主機防火牆也要設定完整，這是第六項。最後一項重點是，企業機敏資料也要盡量往後擺，避免讓駭客可以一次大量取得。這些都是一銀對於企業強化Web網站防護的建議。</p> <h4><span style="color:#0066ff;"><strong>以駭客入侵造成的風險多大來區分網段</strong></span></h4> <p>一銀認為，網段分隔是最簡單及有效防止橫向滲透的分法，如何做到細緻的網段隔離？可按重要業務性質來區分網段，比如ATM、SWIFT、網銀、AD等；或用特殊性來區分網段如EOS等。也可以按重要伺服器性質來區分，像是Web、DB、管理性、檔案等。</p> <p>張晉榮進一步提到，許多人認為管理性的伺服器不是業務系統，沒那麼重要；不過，他個人的看法是，從資安角度來說，因管理性伺服器串接了各伺服器，反而才是最高的風險。所以，「不是以業務性質來看，而是以駭客入侵造成的風險高低來區分網段。」他強調。</p> <p>既然劃分了網段，就要進行網段之間的強化。張晉榮表示，企業要對重要網段實施相對安全服務（Boundary Security Service），比如說，在Web網段間加入WAF，或是在EOS網段加入Virtual Patch。</p> <p>此外，為了避免員工收到惡意郵件，或員工上網下載惡意程式進到公司。一銀採取了虛擬上網隔離，切斷員工電腦與外網，只能用虛擬化主機來存取外部網站，以阻擋惡意程式入侵途徑，也可防止駭客遙控電腦。而員工從外部網站下載的檔案都會經過清洗。這是一銀認為更安全的OA區防護作法。</p> <p>張晉榮強調，企業必須有詳實的事件追蹤處理。以一銀過去經驗中，若發現蛛絲馬跡，再往下追蹤會有更不對勁的地方。「魔鬼就藏在細節中。」一銀曾對某些異常追查後，發現很多應用系統的行為不合理，之後才發現是程式設計有問題，並進一步進行修補。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_7525%202.JPG" /></p> <p>一銀的作法上，整合多個資料來源，包括資安日誌、弱點掃描、情資通報、滲透測試、資安監控等各種異常資訊，匯入資安風險管理系統，會自動判斷標的傳送給處理人員。接著，依據風險程度等級自動開單，決定核決等級並追蹤處理時限，因應單位的處理效率也納入KPI考核。</p> <p>不過，企業如何驗證資安防護做得好不好？一銀認為，最有效的方式是用紅藍對抗、滲透測試，來驗證防護監控的有效性。張晉榮表示，紅藍對抗時有兩種作法，一種是只有監控，目的是找出內部防護不周的地方，當紅隊攻擊時，藍隊不啟動阻擋，這種作法就需要將所有事件記錄下來，對應相關活動的軌跡，透過紅隊的攻擊軌跡，來發現內部是否還有問題。</p> <p>另一種，企業內部自認資安防護達到一定程度，就可用藍隊對抗紅隊。一銀每年會找不同的紅隊來進行演練，張晉榮解釋，不同駭客群組所用的技術及人員都不同，每個人擅長的手法也不一樣。他建議，最好嘗試找世界有名或臺灣有名的紅隊來測試企業的防護能力。</p> <p>不過，他進一步提到，紅隊攻擊是找漏洞鑽進來，但他們的人力與時間有限，不見得會替企業找出或釐清所有漏洞。所以，這時企業就可以MITRE ATT&CK的對照表，來對照自家防護監控的完整性。</p> <h4><strong><span style="color:#0066ff;">企業需建立廠商安全標準評估機制來遴選廠商</span></strong></h4> <p>一銀也常常發現，資安問題並非出現在企業本身，而是委外廠商端。張晉榮提到，企業必須建立廠商安全標準評估機制，來遴選安全的廠商。如果廠商內部若相關安全措施保護自己，企業如何相信該廠商開發的程式會好？這是企業要有的反思。</p> <p>他個人也認為，委外開發的完整性測試非常重要，許多程式問題都因為安全測試做得不夠好，企業不能單純期待廠商撰寫程式時能考慮到非常詳盡，得想辦法能自己測試。</p> <p>張晉榮強調：「企業內部得發展安全測試機制，而且，要有一組專門負責安全測試的人員，不能由開發小組來測試，因為很容易陷入盲點。」</p> <p>在資安治理架構上，資安單位該如何在企業推動整體資安營運？首先，張晉榮表示，內部各單位一定要有資訊專員這類人力，來替各單位要求的資安控制措施，或在資安要求事項進行統整；在進行資安控制措施前，組織內要成立資安技術小組來評估導入技術可行度；同時，要跟各單位成立資安推動小組，評估要推動的事件是否會對組織造成影響。</p> <p>「資安不是民主，而是強制要求，是較為專制的。」張晉榮強調，落實資安的原則是絕對不退步、不讓步，但可用軟姿態要求大家配合。甚至，企業要將所有資安進行的計畫與結果，到風險管理委員會進行報告。他認為，企業應該有資安治理架構，資安才會較為完整。</p> <h4><span style="color:#0066ff;"><strong>組織內可明訂由一線業管單位負起主要責任，讓資安策略更為有效推動</strong></span></h4> <p>此外，另一個常見問題是，成立資安單位以後，其他單位都認為資安是資安單位的事情，與自身無關，對於資安單位要推動的事項愛理不理。「企業必須養成資安文化，讓所有人都重視。」張晉榮表示。</p> <p>張晉榮提到，較有效的方法是，組織可明文規定，資安主要責任應由一線業管單位來承擔。比如說，在資安三道防線中，一線業管單位擔起6成的主要責任，資安單位則負起3成規畫與監督執行品質的責任，稽核處則負責查稽、糾正的責任，董事會則負責其中1成的督導與治理責任。</p> <p>如此一來，他表示，一線業管單位才會小心謹慎，並要求底下人員配合，否則大家都會將事情推給資訊處或資訊安全單位。一銀就是靠這方式，避免資安在業管單位不受重視也無法徹底執行。</p> <p>一銀認為，資安單位要有6大資安人才：資安法規人才、系統網路人才、程式安全人才、防護監控人才、事件分析人才、鑑識人才。他進一步解釋，在資安法規人才部分，除了金融業對於資安法規相當重視之外，金融業在海外各個國家設立分行時，當地對於資安的要求也越來越重視，所以在資安合規上必須要培養自家的人才。</p> <p>張晉榮也提到，企業的資安單位也必須自行培養程式安全人才，才有辦法要求委外開發廠商或資訊處。另外，也必須擁有對企業資訊系統環境相當熟悉的事件分析人才。他也強調，企業得要自行培養鑑識人才，以往，鑑識通常會找廠商來做，可是，很多事情要釐清真相，其實在平常就要針對懷疑的事情展開鑑識，找出蛛絲馬跡後就有辦法立即修補與調整。文⊙李靜宜</p> </div></div></div>
2021/5/13 18:44作者李靜宜https://www.ithome.com.tw/news/144365
【臺灣資安大會直擊】企業5G專網如何抵擋惡意基地臺攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業評估建置5G專網，除了如何利用5G的高速、低延遲、大規模連結，優化現有的工作環境之外，也不能輕視5G專網的資安風險，若駭客以惡意基地臺偽裝為合法基地臺，對企業專網內的IoT裝置發動DoS攻擊，影響企業日常營運。</p> <p>目前的5G網路大多採用NSA非獨立組網架構，也就是在現有的4G網路之外，布建5G基地臺提供服務，在5G NSA的網路架構中，資料層（data plane）是透過gNB傳輸，而控制層（control plane）則是透過eNB傳輸。</p> <p>臺灣科技大學資工系副教授鄭欣明指出，5G NSA的網路架構依附在現有的4G核網，因此對4G LTE可行的攻擊，特別是在控制面，基本上，對5G NSA架構也同樣有用。</p> <p>在2G時代，惡意基地臺攻擊盛行，自從3G開始採用AKA(Authentication and Key Agreement)，要求基地臺和手機間做雙向認證，讓擁有SIM卡的手機確認基地臺是合法的，基地臺也確認擁有SIM卡的手機為合法用戶，兩邊互相確認，杜絕偽造基地臺攻擊。</p> <p>而進入5G時代，採用更安全的做法，例如要求SIM卡的IMSI或SUPI用Public Key加密，還採用更新型態的AKA做法，確保5G網路與用戶的安全。</p> <p>MEC（Mobile Edge Computing）也在5G專網安全中扮演重要角色。例如在本地端，利用MEC作為存取控管，監控惡意UE（User Equitment）的流量。</p> <p>鄭欣明指出，如果認證都在核網端執行，MEC就無法發揮低延遲的功能，因此本地端身分認證很重要，需要設計出一個機制，讓MEC能授權IoT裝制的存取控管，並紀錄IoT裝置做了什麼。</p> <p>另外，利用開源的Inspector軟體，讓介於基地臺和核網中間的MEC化身為中介者，觀察所有封包內容，例如傳送封包通過MEC，經過變化後再送到MME，得以觀察核網的反應，相反地，當封包從MME經過MEC送到基地臺，通過MEC觀察兩邊的反應是否有異常。</p> <p>隨著軟體定義網路、白牌設備成本降低，鄭欣明表示，MEC也能當作中介者，檢視白牌設備是否存在安全疑慮。</p> <p>例如在MEC導入以機器學習技術為基礎，用以偵測IoT的惡意軟體，許多企業使用攝影機，從遠端監視工廠內狀況，攝影機如使用公開IP可能成為駭客攻擊的目標，企業可利用MEC監控惡意酬載，發現異常時就將其阻擋下來。MEC也能看到控制層、資料層流量，如同更深層次的防火牆，能夠看到封包層的方向流，檢查是否有異常，去判斷是否為惡意的用戶裝置。</p> <p>鄭欣明表示，針對5G專網的攻擊相當廣泛，例如針對5G的低延遲應用，只要讓系統延遲時間拉長就能造成影響，使產線的機械手臂作業大亂，或是自駕車反應不及導致交通事故等等。</p> <p><span style="font-size:28px;"><strong>惡意基地臺攻擊成本大降</strong></span></p> <p>自3G開始採用AKA，惡意基地臺攻擊手法已減少，但最近幾年，由於開源軟體、軟體定義網路降低了5G網路的成本，相較以往，更容易實現惡意基地臺攻擊。因此，全球有許多團隊研究惡意基地臺攻擊，包括美國、歐洲、韓國。</p> <p>鄭欣明指出，Software Define Radio等開源軟體興起，只要花費5萬元就能做出一個軟體定義的基地臺，整個4G網路，可能只要花20萬左右，和投資數百萬元相比，成本低了許多。這也使得惡意基地臺攻擊的成本下降。</p> <p>由於5G NSA的控制層都是走LTE，理論上，鎖定LTE的攻擊，也能用在5G NSA網路。</p> <p>目前惡意基地臺攻擊手法有幾種，其中之一是區隔型（isolated）手法，它的原理是，一般手機會自動偵測附近的基地臺訊號強弱，從而判斷是否連接到訊號較強的新基地臺，這中間的訊號傳送為明文。駭客調整惡意基地臺的參數，使其和一般基地臺相同，再以較大的功率吸引被害者的手機，讓手機誤以為附近有個訊號較強的基地臺，從原有的電信商管理的基地臺，轉向駭客偽造的惡意基地臺。</p> <p>鄭欣明表示，因惡意基地臺不會連接電信商的核心網路，避開了的AKA雙向認證（before AKA），避免偽造身分被識破的風險，同時也取得手機和基地臺間的明文通訊內容。</p> <p>另一種則是中間人攻擊（Man-in-the-middle），當惡意基地臺取得被害者的手機資料後，再將資料拆解，偽造為合法用戶的手機（UE）向電信商的基地臺通訊，由於中間接替的時間要短，否則和電信商基地臺間的通訊可能中斷，且後續的通訊都經過加密，因此這個攻擊手法難度較高。</p> <p>還有一種手法是覆寫合法訊號，駭客經過精密的計算，掌握電信商基地臺和被害手機間原有的通訊行為，訊號、角度、時間等等，再調整惡意基地臺參數，以較高的功率發射訊號，強行蓋過被害手機和電信商基地臺間的通訊。</p> <p>臺科大研究團隊以第一種區隔型攻擊手法為主，即惡意基地臺偽裝為電信商的合法基地臺，以較大的功率吸引被害者的手機，當手機從合法基地臺轉至惡意基地臺，就會和基地臺間進行TAU（Tracking area update）更新。事實上，惡意基地臺不會連接電信商核網，避免被識破偽造的身分，因此無法進行TAU更新，惡意基地臺直接回傳拒絕TAU更新，並要求手機Attach程序，要求手機提供身分識別，手機就會傳送裝置識別的GUTI或IMSI給惡意基地臺，被害手機的SIM卡身分資料外洩。</p> <p>駭客可進一步控制惡意基地臺，拒絕手機的Attach請求，並且告知被害手機附近的合法基地臺都無法連線，使被害手機信不再和電信商的合法基地臺連線，達到DoS阻斷服務攻擊的效果。</p> <p>鄭欣明指出，這個攻擊手法應用在部署5G NSA專網的智慧工廠，駭客以惡意基地臺接近工廠，以較大的發射功率吸引廠內IoT裝置與其連線，通過惡意基地臺取得IoT裝置的身分資料，再欺騙手機附近的合法基地臺均無法連線，對IoT裝置發動DoS攻擊，導致這些裝置無法連線，對企業造成相當大的影響。</p> <p>實驗對不同廠牌手機的影響性，發現可能和晶片有關，一部分廠牌的手機不受影響，有些廠牌手機會受影響，包括受騙送出SIM卡身分資料，中斷網路連線或暫時中斷網路，需開啟手機的飛航模式或重新開機才能重新連線。此外，手機的時鐘功能，或手機的緊急警報廣播功能也會受影響。</p> <p>研究證實惡意基地臺攻擊手法對4G LTE及5G NSA有效，鄭欣明表示，企業的解決方法，是加強工廠外的實體安全防禦，發現可疑人物接近，另一個就是將工廠建在外部訊號進不來的地方，避免受到攻擊的可能性。</p> <p>企業也可在工廠布建感應器，因惡意基地臺加大發射功率吸引IoT裝置，當陌生基地臺出現，感應器捕捉到訊號，送到MEC分析判斷。</p> </div></div></div>
2021/5/13 17:25作者蘇文彬https://www.ithome.com.tw/news/144407
確診案例最新全臺活動史公布！企業需注意員工活動史若有必要得要求自主健康監測（文末有活動史文字表格版）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今（13日）公布近幾起本土案例活動史，足跡遍布臺灣北、中、南，指揮官陳時中呼籲，到過這些地方的民眾需進行自主健康監測。對企業來說，也須以此調查員工活動史，並適當要求自主健康監測。</p> <p>這次指揮中心公布的活動史之一為萬華區，匡列時間為4月15日至5月12日，範圍為東至康定路、南至和平西路三段、西至梧州街、北至桂林路，指揮中心表示，政府將針對進出過該高風險區域的民眾，發送警示簡訊。陳時中提醒，進出過該區的民眾，若於4月15日後出現發燒、呼吸道症狀、腹瀉，或嗅覺、味覺異常等疑似症狀，需至社區採檢所檢查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0513-%E8%90%AC%E8%8F%AF%E5%8D%80%E7%96%AB%E6%83%85%E8%AD%A6%E7%A4%BA%E7%B0%A1%E8%A8%8A.jpg" style="height: 375px; width: 500px;" /></p> <p>指揮中心同時也公布萬華茶藝館群聚案之公共場所活動史，首先是5月1日，活動足跡為新北市磅磅仔、南投竹山、臺南府城鹿耳門、臺南萬國路創意觀光工廠，以及高雄市兩處宮廟景點。5月2日則有彰化鹿港天后宮、雲林東勢開安宮、臺中沙鹿金華福餐廳、苗栗白沙屯，以及新北市土城區和台北市萬華區等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210513%E8%90%AC%E8%8F%AF%E8%8C%B6%E8%97%9D%E9%A4%A8%E7%BE%A4%E8%81%9A%E6%A1%88%E6%B4%BB%E5%8B%95%E5%8F%B2.jpg" style="height: 456px; width: 300px;" /></p> <p>再來是5月7日進出過的場所，範圍包括基隆信義市場、臺北市萬華區，以及青龍宮、鹿港竹安宮、芳苑普天宮、北港朝天宮、布袋家應廟、新塭嘉應廟、南鯤鯓等地。5月8日則是南鯤鯓、嘉應廟沖水路、桃園龍潭儷宴餐廳、青龍宮，以及基隆市中正區的小峨嵋川菜館，還有臺北市萬華區的鴻達茶藝館、良食小吃店、美金飲酒店。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210513%E8%90%AC%E8%8F%AF%E8%8C%B6%E8%97%9D%E9%A4%A8%E7%BE%A4%E8%81%9A%E6%A1%88%E6%B4%BB%E5%8B%95%E5%8F%B2(13%E9%BB%9E%E7%89%88)2.jpg" style="height: 418px; width: 300px;" /></p> <p>萬華茶藝館群聚案活動史還包括5月9日的銀河百家樂（宜蘭縣羅東鎮）、大地球遊藝場（宜蘭縣宜蘭市新民路）、巨城電玩（宜蘭縣礁溪鄉）、美金飲酒店（臺北市萬華區）。5月10日有銀河百家樂、大地球遊藝場、巨城電玩，此外還包括臺北市萬華區的楓香清茶館和美金飲酒店。至於5月11日，則有新北市樹林區的Q burger樹林千歲店和保安市場，以及臺北市萬華區的美金飲酒店。5月12日則是新北市樹林區的保安市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210513%E8%90%AC%E8%8F%AF%E8%8C%B6%E8%97%9D%E9%A4%A8%E7%BE%A4%E8%81%9A%E6%A1%88%E6%B4%BB%E5%8B%95%E5%8F%B2(13%E9%BB%9E%E7%89%88)3.jpg" style="height: 339px; width: 300px;" /></p> <p>另一方面，指揮中心也公布案1203群聚案公共場所活動史，時間和足跡包括5月4日的新北市新莊區、臺北市萬華區；5月6日的新北市蘆洲區、新北市三重區；5月7日新北市新莊區、臺北市大安區，以及5月8日新北市新莊區、新北市三重區、新北市蘆洲區、林口Outlet、新北市信義區、桃園市蘆竹區等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111111-01.png" style="height: 425px; width: 300px;" /></p> <p>5月9日至10日，進出地點位於基隆八斗子、新北市五股區、新北市新莊區、新竹縣峨眉鄉、新北市新店區、新竹市北區、臺北市士林區、新北市三重區和蘆洲區等，此外還有桃園市桃園區、臺北市北投區、新北市石門區和淡水區等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111111-02(1).png" style="height: 425px; width: 300px;" /></p> <p>企業可根據這些活動史，來進行員工活動史調查，若曾進出過高風險區域，則需進行自主健康監測。指揮中心指出，若於5月25日前出現發燒、上呼吸道、腹瀉、嗅味覺異常等症狀，應配戴口罩至附近社區採檢中心評估，且不得搭乘大眾運輸工具。</p> <table border="1" cellpadding="1" cellspacing="0" style="width:817px;" width="815"><colgroup><col /><br /><col /><br /><col /><br /><col /><br /></colgroup><tbody><tr height="23"><td colspan="4" style="height: 23px; width: 817px; background-color: rgb(51, 153, 255);"><span style="font-size:14px;"><strong><span style="font-size:18px;">萬華茶藝館群聚案活動史公共場所活動史</span><br /> (案1217、1220、1221、1247、249、1252、1254)</strong></span></td> </tr><tr height="23"><td height="23" style="height:23px;">日期</td> <td style="width:176px;">時間</td> <td style="width:252px;">地點</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">07:00</td> <td style="width:252px;">自新北市磅磅仔三府宮出發</td> <td style="width:264px;">新北市瑞芳區瑞濱路55-2號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">10:00</td> <td style="width:252px;">南投竹山紫南宮</td> <td style="width:264px;">南投縣竹山鎮大公街40號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">12:00</td> <td style="width:252px;">南投竹山丸滿餐廳</td> <td style="width:264px;">南投縣竹山鎮集山路一段2121號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">13:00-14:00</td> <td style="width:252px;">台南府城正統鹿耳門</td> <td style="width:264px;">台南市安南區城安路160號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">13:00-14:00</td> <td style="width:252px;">台南萬國通路創意觀光工廠</td> <td style="width:264px;">台南市歸仁區中正南路二段1號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">17:00</td> <td style="width:252px;">高雄市大寮朝鳳宮</td> <td style="width:264px;">高雄市大寮區翁園路162號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/1</td> <td style="width:176px;">20:30-07:00(+1)</td> <td style="width:252px;">高雄市金獅湖保安宮</td> <td style="width:264px;">高雄市三民區鼎金一巷36號</td> </tr><tr height="45"><td height="45" style="height:45px;">5/2</td> <td style="width:176px;">約07:00-13:00</td> <td style="width:252px;">自金獅湖保安宮出發前往彰化鹿港天后宮</td> <td style="width:264px;">彰化縣鹿港鎮中山路430號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">約07:00-13:00</td> <td style="width:252px;">雲林東勢開安宮</td> <td style="width:264px;">雲林縣東勢鄉同安村同安路55號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">約13:00-18:00</td> <td style="width:252px;">台中沙鹿金福華餐廳</td> <td style="width:264px;">台中市沙鹿區中清路七段376號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">約13:00-18:00</td> <td style="width:252px;">苗栗白沙屯拱天宮</td> <td style="width:264px;">苗栗縣通霄鎮8號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">約13:00-18:00</td> <td style="width:252px;">後龍乾富宮</td> <td style="width:264px;">苗栗縣後龍鎮龍津里176號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">約18:00</td> <td style="width:252px;">土城古都餐廳</td> <td style="width:264px;">新北市土城區中華路二段257號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/2</td> <td style="width:176px;">11:00-1800</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街112號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/3</td> <td style="width:176px;">11:00-18:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街112號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/4</td> <td style="width:176px;">11:00-18:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街113號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/5</td> <td style="width:176px;">11:00-18:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街113號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">11:00-18:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街113號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">約14:00-22:00</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約09:00-10:00</td> <td style="width:252px;">基隆信義市場</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">11:00-18:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街113號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">17:30-23:30</td> <td style="width:252px;">良食小吃店</td> <td style="width:264px;">臺北市萬華區廣州街186巷10號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約中午-18:00</td> <td style="width:252px;">珠海飲酒店(珠海清茶館)</td> <td style="width:264px;">臺北市萬華區3水街131號1樓</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約14:00-22:00</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約06:00 </td> <td style="width:252px;">青龍宮</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約中午前</td> <td style="width:252px;">鹿港竹安宮</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">午餐</td> <td style="width:252px;">芳苑普天宮</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約下午</td> <td style="width:252px;">北港朝天宮</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">晚餐</td> <td style="width:252px;">布袋家應廟</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約晚上</td> <td style="width:252px;">新塭嘉應廟</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">夜宿</td> <td style="width:252px;">南鯤鯓</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">早餐</td> <td style="width:252px;">南鯤鯓</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">午餐 </td> <td style="width:252px;">嘉應廟沖水路</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">晚餐 </td> <td style="width:252px;">桃園龍潭儷宴餐廳</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">約晚上 </td> <td style="width:252px;">青龍宮</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">約18:30-19:30</td> <td style="width:252px;">小峨嵋川菜館</td> <td style="width:264px;">基隆市中正區義一路58號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">11:00-14:00</td> <td style="width:252px;">鴻達茶藝館</td> <td style="width:264px;">臺北市萬華區三水街113號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">17:30-23:30</td> <td style="width:252px;">良食小吃店</td> <td style="width:264px;">臺北市萬華區廣州街186巷10號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">約14:00-22:00</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">銀河百家樂</td> <td style="width:264px;">宜蘭縣羅東鎮中正北路42號2樓</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">大地球遊藝場</td> <td style="width:264px;">宜蘭縣宜蘭市新民路121號B1</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">巨城電玩</td> <td style="width:264px;">宜蘭縣礁溪鄉信義路34巷17號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">1400-2200</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">銀河百家樂</td> <td style="width:264px;">宜蘭縣羅東鎮中正北路42號2樓</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">大地球遊藝場</td> <td style="width:264px;">宜蘭縣宜蘭市新民路121號B1</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">1500-2400</td> <td style="width:252px;">巨城電玩</td> <td style="width:264px;">宜蘭縣礁溪鄉信義路34巷17號</td> </tr><tr height="45"><td height="45" style="height:45px;">5/10</td> <td style="width:176px;">1500-2300</td> <td style="width:252px;">楓香清茶館</td> <td style="width:264px;">臺北市萬華區西園路1段136巷16弄10號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">約14:00-22:00</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/11</td> <td style="width:176px;">07:00-07:40</td> <td style="width:252px;">Qburger樹林千歲店</td> <td style="width:264px;">新北市樹林區千歲街12號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/11</td> <td style="width:176px;">07:40-09:00</td> <td style="width:252px;">保安市場</td> <td style="width:264px;">新北市樹林區保安街一段14巷17號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/11</td> <td style="width:176px;">約16:00-21:00</td> <td style="width:252px;">美金飲酒店</td> <td style="width:264px;">臺北市萬華區青山里三水街110號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/12</td> <td style="width:176px;">07:00-08:00</td> <td style="width:252px;">保安市場</td> <td style="width:264px;">新北市樹林區保安街一段14巷17號</td> </tr></tbody></table><table border="1" cellpadding="1" cellspacing="0" style="width:817px;" width="815"><colgroup><col /><br /><col /><br /><col /><br /><col /><br /></colgroup><tbody><tr height="23"><td colspan="4" style="height: 23px; width: 817px; background-color: rgb(153, 255, 153);"><strong><span style="font-size:18px;">案1203相關接觸群聚案公共場所活動史</span></strong><br /> (案1203、案1218、案1219、家1223、案1224、案1225、案1226、案1227、案1228、案1229、案1230、案1245、案1246、案1248、案1250、案1251、案1253·案1255、案1256、案1257)</td> </tr><tr height="23"><td height="23" style="height:23px;">日期</td> <td style="width:176px;"> 時間 </td> <td style="width:252px;">地點</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/4</td> <td style="width:176px;">晚上(調查中)</td> <td style="width:252px;">晶華亭餐廳</td> <td style="width:264px;">新北市新莊區中港路199號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/4</td> <td style="width:176px;">晚上(調查中)</td> <td style="width:252px;">臺北市萬華區某茶藝館(調查中)</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">約16:00-17:30 (調查中)</td> <td style="width:252px;">來來按摩蘆洲長安店</td> <td style="width:264px;">新北市蘆洲區長安街116號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">16:00-16:40</td> <td style="width:252px;">家庭理髮店</td> <td style="width:264px;">新北市三重區中正北路上,調查中</td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">19:00-21:00</td> <td style="width:252px;">大風車婚宴會館</td> <td style="width:264px;">新北市三重區集賢路395號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">06:00-06:30</td> <td style="width:252px;">菜市場</td> <td style="width:264px;">福壽街及中原路口</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">11:00-20:30</td> <td style="width:252px;">楊老爹肉圓</td> <td style="width:264px;">新北市新莊區復興路一段35號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">16:00-18:00</td> <td style="width:252px;">遠東SOGO台北復興館</td> <td style="width:264px;">台北市大安區忠孝東路三段300號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">約07:30-08:30 (調查中)</td> <td style="width:252px;">三重力行市場</td> <td style="width:264px;">新北市三重區力行路一段38巷2號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">11:00-20:30</td> <td style="width:252px;">楊老爹肉圓</td> <td style="width:264px;">新北市新莊區復興路一段35號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">12:30-13:30</td> <td style="width:252px;">菘賓餐廳</td> <td style="width:264px;">新北市成泰路2段183-12號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">19:00-20:00</td> <td style="width:252px;">阿秋越南美食</td> <td style="width:264px;">新北市蘆洲區中央路93號對面,無門牌</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">19:30-21:00</td> <td style="width:252px;">林口三井Outlet</td> <td style="width:264px;">新北市林口區文化三路一段356號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">21:00-22:45</td> <td style="width:252px;">三重區某熱炒店(調查中)</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">晚上(調查中)</td> <td style="width:252px;">醐同燒肉夜食五號店</td> <td style="width:264px;">台北市信義區松壽路22號2樓</td> </tr><tr height="45"><td height="45" style="height:45px;">5/8</td> <td style="width:176px;">調查中</td> <td style="width:252px;">國父紀念館巧虎奇幻樂世界演奏(場次10:30)</td> <td style="width:264px;">台北市信義區仁愛路四段505號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">調查中</td> <td style="width:252px;">台北市地下街</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">調查中</td> <td style="width:252px;">方記三杯滷味</td> <td style="width:264px;">桃園市蘆竹區南山路一段1號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/8</td> <td style="width:176px;">晚間 (調查中)</td> <td style="width:252px;">海霸王餐廳蘆洲店</td> <td style="width:264px;">新北市蘆洲區中山一路88號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">07:00-12:00</td> <td style="width:252px;">基隆八斗子釣魚</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">8:00-12:00</td> <td style="width:252px;">成泰里守望相助活動中心</td> <td style="width:264px;">新北市五股區御史路1之5號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">11:00-16:00</td> <td style="width:252px;">卡拉OK（調查中）</td> <td style="width:264px;">市民大道及東興路交界</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">11:00-14:00</td> <td style="width:252px;">好市多Costco新莊店</td> <td style="width:264px;">新北市新莊區建國一路138號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">（調查中）</td> <td style="width:252px;">二泉湖畔咖啡</td> <td style="width:264px;">新竹縣峨眉鄉湖光村12寮21-6號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">中午（調查中）</td> <td style="width:252px;">下城老地方酒餐館</td> <td style="width:264px;">新北市新店區安坑路1段262-2號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">下午（調查中）</td> <td style="width:252px;">新竹市城隍廟</td> <td style="width:264px;">新竹市北區中山路75號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">晚上（調查中） </td> <td style="width:252px;">天母銀座日式料理</td> <td style="width:264px;">台北市士林區德行東路101號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">14:00-15:00</td> <td style="width:252px;">尚井日式涮涮鍋</td> <td style="width:264px;">新北市三重區忠孝路三段55號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">18:00-19:30</td> <td style="width:252px;">人从众牛排館</td> <td style="width:264px;">新北市蘆洲區長榮路68號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/9</td> <td style="width:176px;">約19:00</td> <td style="width:252px;">松風日本料理用餐</td> <td style="width:264px;">桃園區大興路265號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">約12:00（調查中）</td> <td style="width:252px;">好市多Costco 北投店</td> <td style="width:264px;">台北市北投區立德路117號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">中午（調查中） </td> <td style="width:252px;">英芳飯店海鮮餐廳</td> <td style="width:264px;">新北市石門區中央路臨9號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">14:00-17:30</td> <td style="width:252px;">茶自點-中正店</td> <td style="width:264px;">桃園市桃園區中正路743號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">14:30-16:30</td> <td style="width:252px;">泰式按摩店</td> <td style="width:264px;">新北市蘆洲區長榮路上，調查中</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">下午（調查中）</td> <td style="width:252px;">康舒工程</td> <td style="width:264px;">新北市淡水區淡金路三段159號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">18:00-19:00</td> <td style="width:252px;">孫東寶牛排館</td> <td style="width:264px;">新北市蘆洲區長榮路343號</td> </tr></tbody></table><table border="1" cellpadding="1" cellspacing="0" width="815"><colgroup><col /><br /><col /><br /><col /><br /><col /><br /></colgroup><tbody><tr height="23"><td colspan="4" style="height: 23px; width: 817px; background-color: rgb(153, 102, 255);"><strong><span style="font-size:14px;">遊藝場群聚事件公共場所活動史(案1202、1208、1209、1210、1211、1216、1231、1232)5/12晚上更新</span></strong></td> </tr><tr height="23"><td height="23" style="height:23px;">日期</td> <td style="width:176px;">時間</td> <td style="width:252px;">地點</td> <td style="width:264px;"> </td> </tr><tr height="23"><td height="23" style="height:23px;">5/6-5/9</td> <td style="width:176px;">00:00-08:00</td> <td style="width:252px;">銀河百家樂遊藝場</td> <td style="width:264px;">宜蘭縣羅東鎮中正北路42號2樓</td> </tr><tr height="23"><td height="23" style="height:23px;">5/6</td> <td style="width:176px;">約18:00 (調查中)</td> <td style="width:252px;">三媽臭臭鍋羅東中山店</td> <td style="width:264px;">宜蘭縣羅東鎮中山路二段305號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約01:00-02:00 (調查中)</td> <td style="width:252px;">老將自助餐</td> <td style="width:264px;">宜蘭縣礁溪鄉礁溪路二段128號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/7</td> <td style="width:176px;">約17:30-18:30(調查中)</td> <td style="width:252px;">八方悅鍋物羅東店</td> <td style="width:264px;">宜蘭縣冬山鄉廣興路90巷61號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">晚上(調查中)</td> <td style="width:252px;">久千代海鮮百匯餐廳</td> <td style="width:264px;">宜蘭縣宜蘭市復興路二段168號</td> </tr><tr height="23"><td height="23" style="height:23px;">5/10</td> <td style="width:176px;">晚上(調查中)</td> <td style="width:252px;">全聯宜蘭嵐峰門市（調查中）</td> <td style="width:264px;">宜蘭縣宜蘭市嵐峰路1段50.52號1樓</td> </tr></tbody></table><p> </p> <p> </p> </div></div></div>
2021/5/13 15:37作者王若樸https://www.ithome.com.tw/news/144395
高雄興達電廠無預警故障！下午3點緊急針對C區與D區實施輪流停電，初步判斷非網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（13日）下午3點06分左右，民眾紛紛從手機收到緊急警報通知，內容是台灣電力公司公布的緊急訊息，說明位於高雄的興達火力發電廠在下午2點37分，因事故導致全廠停機。資安處處長簡宏偉表示，初步判斷非網路攻擊。</p> <p>關於興達發電廠，設置地點位於高雄市永安區與茄萣區交界，鄰近興達漁港與興達港內海，以燃煤發電。</p> <p>受到該電廠停機的影響，台電為了供電的調度，現已宣布緊急實施分區輪流停電來因應。根據台電電力調度處的說明，將從3點開始執行緊急分區輪流停電。而為了讓民眾了解輪流停電的狀況，建議民眾可撥打1911或是至台電官網查詢。然而，台電官網在當時已經難以連上，不確定是否因大量民眾前往查詢，造成該網站無法負荷。</p> <p>面對無預警斷電，以及分區輪流限電，對於企業而言，之前準備的緊急發電來源就很關鍵，包括UPS不斷電系統與臨時的發電機供電，而在電力恢復之後，也需注意UPS優先充電等情況，而企業員工也要注意保存手邊資料。</p> <p>關於這起電廠事故的原因，高雄市長陳其邁在3點10分於臉書貼文說明停電狀況，並不斷更新。目前消息是，關於興達電廠停機的主因，是位於北高雄市路竹路北超高壓變電所發生匯流排故障，導致該廠的4部機組（燃氣、燃煤各兩部）跳脫，造成系統頻率驟降，因此台電也立即啟動低頻卸載因應。</p> <p>關於目前的分區輪流供電機制狀況，目前是針對C組與D組來進行輪流停電，每50分鐘一輪，限電量約300萬瓩。企業與民眾將可從電費單查看輪流停電組別，估計受影響戶數，約200萬戶。</p> <p>第一輪限電時間1500-1550，限電量300萬瓩，限電同時200萬戶。<br /> 第二輪限電時間1550-1640，限電量300萬瓩，限電同時193萬戶。</p> <p>而台電現在也正警急搶修設備，目前燃氣跟燃煤機組也陸續升載，將會陸續恢復供電。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E4%B8%BB%E5%9C%96)%E5%8F%B0%E9%9B%BB%E8%88%88%E9%81%94%E9%9B%BB%E5%BB%A0%E4%BA%8B%E6%95%85.jpg" style="width: 600px;" /></p> <blockquote><p>今日下午三點左右，民眾紛紛從手機收到緊急警報通知，台灣電力公司發布電力中斷通知，引發全國關注。當中說明位於高雄的興達火力發電廠在下午2點37分，因事故導致全廠停機。並將緊急分區輪流停電。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-05-13_165940.jpg" style="width: 600px;" /> </p> <blockquote><p>高雄市長陳其邁也透過不斷的消息更新，說明興達電廠事故的原因在於北高雄市路竹路北超高壓變電所發生匯流排故障所導致。</p> </blockquote> </div></div></div>
2021/5/13 16:09作者羅正漢https://www.ithome.com.tw/news/144402
Tor專案對外拍賣全球首個洋蔥網域的數位作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Tor專案（Tor project）周四（5/13）透過Foundation平台，以「不可替代代幣」（Non-Fungible Token，NFT）形式，對外拍賣該專案所建立的<a href="http://duskgytldkxiuqc6.onion" target="_blank">全球第一個洋蔥網域Dusk</a>，正確地說，Tor專案所拍賣的是Dusk的金鑰，以及根據該金鑰及Dusk歷史所創作的<a href="https://foundation.app/torproject/dreaming-at-dusk-35855" target="_blank">數位作品「Dreaming at Dusk」</a>。</p> <p>Tor專案建立了一個由7千多個中繼站所組成的同名網路，也設計了匿名的洋蔥（.onion）頂級網域名稱，而Dusk則是Tor專案所建立的第一個洋蔥網站，主要作為洋蔥服務的範例，由於不管是Tor網路或洋蔥網站都必須使用特定的瀏覽器才造訪，並不支援一般瀏覽器，使得Tor與洋蔥網站又經常被稱為暗網。</p> <p>根據「Dreaming at Dusk」的作品說明，洋蔥服務出現在15年前，從那時起洋蔥生態體系便蓬勃發展，為了紀念這個隱私史上的里程碑，他們與藝術家@ixshells 共同創造了一個數位作品，此一作品即是由最早的洋蔥服務duskgytldkxiuqc6.onion所使用的金鑰衍生而來。</p> <p>此一數位作品包含RSA1024加密金鑰，是個MP4檔案，具備1020x1280的解析度，每秒可刷新60個畫面（60fps）。</p> <p><a href="https://www.bleepingcomputer.com/news/technology/tor-project-auctions-off-the-first-onion-url-ever-created-as-an-nft/" target="_blank">BleepingComputer</a>報導，得標者可透過任何管道接收「Dreaming at Dusk」的NFT，包括加密訊息、區塊鏈，或是把它裝在隨身碟或CD，雖然也會拿到Dusk的私鑰，但洋蔥網路預計在今年10月中旬就會從2.0版升級到3.0版，之後得標者才會拿到Dusk的舊版私鑰，因此也只能當作紀念而無法真的使用。</p> <p>Tor專案也很坦白的說，此一拍賣活動可用來贊助該專案為保障人權及隱私所作的努力。</p> </div></div></div>
2021/5/13 15:55作者陳曉莉https://www.ithome.com.tw/news/144401
Google Docs變更渲染方式，或將影響部分Chrome擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2021/05/Google-Docs-Canvas-Based-Rendering-Update.html">Google將更改其文書處理應用Google Docs的渲染方式</a>，接下來幾個月，Google會將Docs的底層技術實作，從當前基於HTML的渲染方式，轉換成為以Canvas為基礎的渲染方式，為的是要提高顯示效能，並且提高相同內容在不同平臺上的顯示一致性。</p> <p>這項更改不會影響Docs中的功能，但可能會影響部分Chrome的擴充套件，這些套件或將無法正常執行。Google解釋，部分Chrome擴充套件仰賴Google Docs後端的架構方法，或是特定的HTML位元來正常運作，因此Docs從HTML渲染轉換成Canvas渲染方法，這些Chrome擴充套件可能無法在docs.google.com上正常運作，需要進行必要更新。</p> <p>想要建立Google Docs擴充套件的開發者，Google則建議使用Google Workspace附加元件框架，該框架使用受支援的API和整合點，有助於支援未來Docs的周期性UI實作變更。Google也提醒企業中的IT管理員，應該查看組織中當前部署的擴充套件，並且進行測試，當企業私有Chrome擴充套件受變更影響，卻無法搬遷到Google Workspace附加元件框架，可以填寫表單回報Google。</p> </div></div></div>
2021/5/13 16:01作者李建興https://www.ithome.com.tw/news/144398
【臺灣資安大會直擊】資安不只看他人怎麼做，自身資安需求與實際落差更應從資安風險評估著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年資安威脅趨勢不斷變化，各家資安業者都會發布各式威脅趨勢研究報告，或是企業資安現況調查，但企業在看待這些資訊時，有時是否可能忽略應從自身風險角度來切入。這幾年來，儘管普遍一直在強調企業應重視資安成熟度、資安規畫的概念，就是要企業能夠了解自身風險，盤點出強化順序，才能每年一步步提升資安防護。</p> <p>但企業真的夠了解自己的問題嗎？戴夫寇爾（Devcore）執行長翁浩正在今年臺灣資安大會的演講上，特別強調了攻擊趨勢只是識別風險中的一部分，並且國內企業在識別風險層面上還不夠重視的問題。</p> <h2><strong>如何確保企業防禦措施符合預期，先理解識別風險與處理風險</strong></h2> <p>過去大家已經常聽到，企業經營需要鑑別所面臨的營運威脅和衝擊，但臺灣企業因為產業型態與規模大小不一，因此這樣的觀念可能並不健全，針對企業資安風險，翁浩正在本次演講中，特別從風險看待方式談起，並區分為識別風險與處理風險兩大類，讓大家在此方面能夠更進一步去理解。</p> <p>他用了一個簡單的比喻，當我們每個人在看待自身健康狀況時，一方面會吃維他命、健身等來補足自身，一方面也會透過健康檢查，了解身體狀況進而因應，也就是透過評估，而資安也有同樣的類似概念。</p> <p>翁浩正將風險分成兩大類，一種是識別風險，另一種是處理風險。同時，他以NIST 網路安全框架（CSF）的5大功能來對應，例如，識別風險對應的就是CSF的識別，相當明確，而處理風險則對應CSF的保護、偵測、回應與復原，這些都是用於處理風險。</p> <p>在識別風險層面上，企業可以怎麼做？翁浩正指出有四大面向，例如，從關注攻擊趨勢看其他企業發生的風險，從自己在內部發生發現的高風險漏洞，也就是已知的高風險，另外還包括企業已知有問題，但風險並不高，目前還沒有要處理的潛在風險，以及企業平時不知道、無徵兆，但實際存在的未知風險。</p> <p>而在處理風險層面上，現在很多資安廠商提供的各種設備及解決方案，就是為了要處理風險，當中需要注意的面向可不少，包括各種設備軟體的採購優先順序，以及布署範圍與布署位置，還有誤報率與回應時間等。</p> <p>看待這兩類風險時，企業可以如何進一步思考？簡而言之，識別風險時要關注的重點在於，有哪些是攻擊者認為最有利用價值的風險，將是企業列為最優先需要找出的問題，而處理風險時的重點在於，最常在事件過程當中發生的問題，他舉例，像是內部應變是否不夠，還是已有應變但應變團隊有狀況，或是SOC沒有通知等情形。</p> <p>而在上述說明當中，翁浩正更是特別強調了兩件事，首先，識別風險將是企業需要更重視的面向，其次，攻擊趨勢與企業現況不一定相符合，參考現有的攻擊脈絡，不能只看別人怎麼做，也要看自己發生怎樣的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>對於企業自身資安的需求與實際情形的落差，戴夫寇爾（Devcore）執行長翁浩正先從資安風險談起，他並分成識別風險與處理風險兩大類來解釋，前者可對應CSF中的識別，後者則可對應保護、偵測、回應與復原。</p> </blockquote> <p>接下來，他並藉由2020年2020年iThome資安大調查的內容，以資安投資重點上的調查結果，來進一步說明企業需要重新思考的問題與挑戰。</p> <p>他先談到處理風險的部分，市面上有相當多的資安投資項目，都是屬於這一類，包括2020年國內企業前10大投資項目，像是網路安全、IT基礎架構防護、郵件安全、異地被援、端點安全、資安教育訓練、災難復原、強化存取控管權限、資料外洩保護與Web安全，其他還有行動裝置安全、身分識別機制、雲端安全、IoT安全、高層資安意識、CSIRT、威脅情資、OT安全與GDPR等。</p> <p>至於歸納為識別風險的項目，包含資安稽核認證、滲透測試、源碼檢測、NIST CSF、紅隊演練、威脅獵捕與漏洞獎金計畫等。翁浩正指出，在此當中，國內企業投資比例較高的項目，僅有資安稽核認證與滲透測試，但去年也僅有2成左右企業有此打算，至於其他項目要投入的企業，比例則是更低。</p> <p>雖然這只是蓋括的畫分，但翁浩正的用意明顯是希望能突顯出，企業對於識別風險面向的不夠重視。</p> <p>同時也提醒企業，威脅或防護的趨勢調查是可以反映大環境的概況，但個別企業更是要從自身風險看起。畢竟，每一間企業的資安防護架構不同，強化優先順序不同，而每年的調查結果將是一個參考性的輔助。</p> <p>畢竟，像是上述的調查結果本來就是整體概況，讓各企業可以知道那些資安防護面向，有很多企業正在做，而自己是否已經投入，或是企業自身已經開始做了，別的企業現在才跟上，甚至別的企業都還沒有投入，表示企業自己的行動比別人要快。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>藉由2020年iThome資安大調查的投資重點結果來看，翁浩正指出，可幫助企業識別風險的解決方案，包括資安稽核認證、滲透測試、源碼檢測、NIST CSF、紅隊演練、威脅獵捕與漏洞獎金計畫等，然而，要投資這些項目的臺灣企業比例都明顯偏少。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></h2> <blockquote><p>在本場演講中，翁浩正也引用了今年3月KPMG發布的臺灣企業資安曝險大調查，當中透過多種外部曝險項目的調查，並量化為分數來呈現產業現況，其中金融業87分最高，其他產業則普遍在75分平均之下。翁浩正表示，這意味著金融業在法規要求之下，資安防護走得比較前面，但面對有經驗的駭客組織還是有可能被入侵，而像是製造業、電子零組件、通訊與電腦及周邊等產業，面臨資安威脅相對更是比較辛苦。</p> <p>另一方面，翁浩正也從他們執行紅隊演練的經驗來說明，至今為止，他們每次演練全部都能入到企業內部網路，入侵成功率是百分之百，並有6成是可以直接進入到企業AD伺服器，或是VMware vCenter等核心系統，這樣的結果顯示，企業面對ATP組織或網軍攻擊，防禦能力還是偏弱。</p> </blockquote> </div></div></div>
2021/5/13 12:24作者羅正漢https://www.ithome.com.tw/news/144387
研究人員再掀蘋果AirTag與Find My安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員似乎對蘋果在今年4月發表的AirTag物件追蹤器很感興趣，<a href="https://www.ithome.com.tw/news/144343" target="_blank">日前德國安全研究人員Thomas Roth</a>才入侵了AirTag的微控制器，竄改AirTag用來連結所有人資訊的網址，本周另一家德國資安業者<a href="https://positive.security/blog/send-my" target="_blank">Positive Security又披露了另一個破解路徑</a>，先仿冒AirTag以廣播資料，再利用蘋果的Find My網路來傳播資料。</p> <p>AirTag為蘋果Find My服務的新成員，Find My則是蘋果的裝置追蹤服務，可利用藍牙來追蹤iPhone、iPad、iPod touch、AirPods、Apple Watch、Mac與AirTag的位置，若是這些裝置離開了使用者所在的藍牙傳輸範圍，即可透過全球的Find My系統來替使用者尋找裝置，而內建於蘋果裝置的Find My系統預設值是開啟的，代表每個蘋果裝置都可成為尋找遺失裝置的節點。</p> <p>在尋找一個遺失AirTag時，Find My的流程是這樣的：一支陌生的iPhone接收到遺失AirTag的位置與其廣播的公鑰，把它的加密位置上傳到蘋果伺服器，失主再用另一臺蘋果裝置下載及解密位置，由於全球有數十億個蘋果裝置，因此失主幾乎可以畫出AirTag的流浪地圖。</p> <p>而Positive Security則利用兩個元件來開採Find My網路，一是單晶片微控制器ESP32，二是macOS程式DataFetcher。研究人員先撰寫了ESP32韌體，把它變成一臺數據機，以模仿AirTag來傳送資料，再打造DataFetcher來接收及解密ESP32所傳遞的資料。</p> <p>此一攻擊實際上只是利用全球的Find My網路來幫忙傳送資料而已，主要是消耗了這些Find My設備（節點）的頻寬，但研究人員也提出了另一個相對危險的可能性，例如駭客可在被隔離、無網路的空間中，利用此一管道來傳送機密的感應器數據。</p> <p>蘋果的Find My服務已行之有年，但AirTag的發表讓它重新躍上媒體版面，原因之一可能是只要29美元的AirTag很適合用來進行各種實驗，例如<a href="https://www.intego.com/mac-security-blog/i-mailed-an-airtag-and-tracked-its-progress-heres-what-happened/" target="_blank">科技部落客Kirk McElhearn</a>就用郵件把自己的AirTag寄給朋友，以展示它可用來追蹤包裏，還能清楚掌握包裏的進度，不過，他發現AirTag在送到朋友的手上之後，朋友的手機並未因接近一個不屬於自己的AirTag而跳出警告訊息，與蘋果的宣稱不符。</p> </div></div></div>
2021/5/13 13:31作者陳曉莉https://www.ithome.com.tw/news/144390
【臺灣資安大會直擊】製造業如何落實供應鏈資安？PwC建議先從6大面向開始做起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> 近兩年，供應鏈資安問題逐漸浮上檯面，越來越多臺灣製造公司，隨時得面對來自全球駭客團隊或組織發動的各種供應鏈攻擊，而且單只有企業自己資安做好還不夠，更要協同供應鏈夥伴，才能夠顧好每個供應鏈資安環節。針對供應鏈資安的威脅，資誠（PwC）建議企業可從供應鏈資安框架6大面向開始著手做起。</p> <p>由於傳統的供應鏈，僅專注於生產相關的原物料上，因此，若從業務策略的角度來看，供應鏈管理大多圍繞著產品生命周期、採購、客戶服務管理、倉儲管理等，主要目的在於避免供應鏈中斷或是營運意外的發生，但這裡面卻不包含資安。</p> <p>資誠智能風險管理諮詢公司風險及控制執行董事張晉瑞就引用2013年一項PwC調查指出，當時僅2%受訪企業將資安當作供應鏈的重要風險，比例連一成都不到。</p> <p>不過即使到了現今，不少重大資安事件，都跟供應鏈資安息息相關，但是一些製造公司供應鏈管理思維，仍停留在上一世代，而沒有因為這些供應鏈攻擊的出現而跟著一起前進。</p> <p>甚至因應過去幾年全球化潮流，供應商管理朝向全球化管理發展，網路攻擊行為也跟著全球化，企業面對供應鏈攻擊的風險，也是全球化的威脅，</p> <p>為了成功入侵目標對象，「全球駭客團隊或犯罪組織，比你想像中還要關心你自己的供應商」他直言，這些駭客通常會透過各種管道，找到與目標企業的業務有密切往來的供應商，並鎖定整個供應鏈中安全防護較弱的環節進行攻擊。</p> <p>從攻擊手法來看，可分成軟體與硬體供應鏈攻擊，以軟體面而言，駭客會透過入侵特定軟體或韌體開發公司或委外人員電腦，進行竄改程式或下載連結等行為，造成大範圍感染與擴散，又或是利用入侵的軟體開發商做為跳板，再透過客戶環境，利用受信任的管道進行散播。</p> <p>另就硬體面來說，攻擊者也能透過在設備生產階段植入惡意程式，利用自有品牌業者的品牌名氣，讓消費者購入，亦或是透過設備的特性取得客戶不同敏感資訊如SIM卡、OTP密碼、企業機密資料等，從中獲取不當利益。</p> <p>他將製造業缺乏供應鏈安全管理風險分為3大類，一個是資訊系統中常被遺忘的IoT設備安全管理，以及常常不在資安管控範圍內的工控OT安全管理，還有複雜難以確認的供應鏈風險管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_065537521.jpg" style="width: 600px; height: 338px;" /></p> <p>作為供應鏈資安的一環，他指出，企業當務之急，就是先強化自身的資安體質，做好內部工控OT及IoT設備的資安管理。</p> <p>具體作為，張晉瑞表示，企業可以優先從供應鏈資安框架6大面向開始著手，包括權限管理、資安治裡、事件管理、資訊保護、弱點管理、資產管理。</p> <p>舉例來說，在物聯網及工控OT設備資安方面，資產管理是第一步，也就是從這裡開始著手，包括設備定義、盤點，以及繪製拓譜圖，找到相連的路徑的關聯，如屬於內網或外網，並針對不同等級風險，給予不同安全防護強度。</p> <p>再來是對這些工控OT設備或IoT裝置進行弱掃測試，並即時更新，避免出現漏洞，若是設備老舊無法更新，下一步就可擬定汰換計畫，或是暫時將它從對外網路區段換到內網，或是改用獨立網段，來降低其風險。</p> <p>第三個面向是權限管理，例如嚴格限制所有連網的IoT裝置或系統的存取的權限，藉此來管制這些裝置存取敏感資料及關鍵應用程式的權限，並提供更安全的保護機制，如搭配帳密管理或身分驗證機制。</p> <p>當然，這些工控OT設備或IoT裝置通過網路回傳的各種數據，也得做好資料保護。如所有裝置連線都要加密，並關閉不必要的網路連線及服務，同時以白名單等機制進行設備管理，還有建立資料流拓譜圖，隨時掌握這些資料的流向，以及做好資料存取的管控。</p> <p>另外，事件通報與處理程序的建立也相當重要，例如由企業事先與設備供應商明定權責，並將資安列入合約要求，以便發生資安事件時，對方可以盡快協助處理，避免資安災情擴大。這是第5個面向</p> <p>最後一個面向是資安治理，企業在自己內部應設有資安組織和專責人員，來負責整家公司資安防護與安全管理，並定期對內提供資安教育訓練等，來提升公司整體資安防護意識。</p> <p>完成自我資安強化之後，接下來則是強化供應鏈安全。他表示，首先是建立一套資安框架，當作與供應商夥伴溝通的共同語言，進而從供應鏈上游到下游之間形成一個互動的合作關係模式，如此一來，才能幫助企業完成整個供應鏈的資安管理。</p> <p>當然，他強調，要落實供應鏈資安，絕對不是閉門造車，而是要跟國際標準接軌，才可以讓公司的供應鏈夥伴具有共同語言，一起向前進，避免多頭馬車式的強化而形成的資安漏洞，並且為公司及供應鏈夥伴打造共同量尺，以衡量資安強化的成熟度。</p> <p>舉例來說，上述提到的供應鏈資安框架6大面向，皆可對應到工控資訊安全標準IEC62443，而不會重工，例如在IEC62443-2-1裡面提到運營實體環境的資安管控、基礎設施資安診斷，就可對應到6大面向中的資產管理，而弱點與更新管理對應的就是弱點管理，至於終端客戶資安評估對應的就是權限管理等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_070450538.jpg" style="width: 600px; height: 370px;" /></p> <p>另在供應商的管理上，張晉瑞表示，企業也可依據IEC62443-2-4管理要點，來建立供應商安全管理框架，作為供應商安全檢核的依據，要求供應商逐一落實，包括無線網路環境、遠端連線管理、網路系統架構、內外部查核活動、解決方案維運人員、帳戶權限管理、資訊安全儀表板、資安事件處理回應、更新修補管理、惡意程式管理、系統配置強化管理、備份復原管理等12項。這些項目都與供應鏈資安框架6大面向相關。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_071041257.jpg" style="width: 600px; height: 338px;" /></p> <p>除此之外，他還提到，針對提供OT與IoT設備的供應商，需要建立資安風險評估機制。他彙整了常見的供應商評估形式，並依獨立性與信賴度的強弱來區分，其中擁有高度獨立性與信賴性的評估形式，是獨立第三方SOC2報告或供應鏈SOC報告框架，其內容包含需由獨立的第三方執行，相關評估報告亦需涵蓋細部的控制點說明與測試結果，並且任何測試缺口與例外都要揭露於報告中。其次是第三方評估報告，或是經由外部ISO認證取得證書，至於企業自行稽核與供應商填答問卷，在獨立性與信賴度方面則較為偏弱。</p> <p>面對供應鏈資安威脅，張晉瑞強調，企業資安已經不能獨善其身，不單自身做好資安就行，因供應鏈太長，就連企業自己可能是別人供應鏈裡的一環。他表示，唯有建立共同語言，再透過適當方式呈現出來做出的結果，如取得獨立報告或ISO相關認證等，如此才能夠顧好每個供應鏈資安環節。</p> </div></div></div>
2021/5/13 12:15作者余至浩https://www.ithome.com.tw/news/144356
思科收購活動規畫平臺Socio，支援線上、實體混合的活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.cisco.com/press-release-content?type=webcontent&articleId=2160121" target="_blank">思科昨（12）日宣布</a>收購實體、線上或混合式活動的規畫平臺新創公司Socio，使現有WebEx線上會議功能，擴充到支援實體活動。</p> <p>Socio提供端到端的活動管理平臺，支援線上串流、與會者互動、贊助、1對1網路會議，以及活動的進階分析等。合併後，Socio將整合至WebEx客戶體驗部門中，並向安全與協同事業群總經理Jeetu Patel報告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0513-socio-2.png" style="width: 500px;" /></p> <p>思科表示，透過整合Socio，將有助於讓WebEx Events的功能不再只有線上會議、webinar及webcast，還可以執行大型、多連線的混合式活動或會議。</p> <p>COVID-19改變了商務活動的面貌，一開始活動全部轉為純線上形式，隨著歐美疫情紓解，活動也逐漸恢復實體形式而和線上活動混合，如今虛擬、實體混合活動成為一種新的主流型態。</p> <p>因此思科力圖擴充WebEx的服務陣容。二個星期前<a href="https://www.cisco.com/c/en/us/about/corporate-strategy-office/acquisitions/slido.html" target="_blank">思科另外買下</a>提供線上及實體活動中和觀眾互動的服務商Slido，像是Q&A、遊戲化活動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0513-slido.png" style="width: 500px;" /></p> <p>Slido和Socio也將整合到思科現有WebEx會議及活動產品中，使思科WebEx提供線上串流、網路和進階分析，以及在活動前、中、後期的與會者互動，像是投票、Q&A、交談及即時翻譯等。</p> <p>雙方未透露交易金額。這項收購預計思科會計年度2021第4季，即今年7月底完成。</p> </div></div></div>
2021/5/13 12:41作者林妍溱https://www.ithome.com.tw/news/144389
【臺灣資安大會直擊】資安不只看他人怎麼做，自身風險評估更應重新審視，戴夫寇爾並公布紅隊演練經驗中發現的4大常見資安問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年資安威脅趨勢不斷變化，各家資安業者都會發布各式威脅趨勢研究報告，或是企業資安現況調查，但企業在看待這些資訊時，有時是否可能忽略應從自身風險角度來切入。這幾年來，儘管普遍一直在強調企業應重視資安成熟度、資安規畫的概念，就是要企業能夠了解自身風險，盤點出強化順序，才能每年一步步提升資安防護。</p> <p>但企業真的夠了解自己的問題嗎？戴夫寇爾（Devcore）執行長翁浩正在今年臺灣資安大會的演講上，特別強調了國內企業在識別風險層面上還不夠重視的問題，同時揭露他們在這三年紅隊演練經驗下，所發現的企業5大常見資安問題。</p> <h2><strong>如何確保企業防禦措施符合預期，先理解識別風險與處理風險</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 220px; float: right;" /></p> <p>過去大家已經常聽到，企業經營需要鑑別所面臨的營運威脅和衝擊，但臺灣企業因為產業型態與規模大小不一，因此這樣的觀念可能並不健全，針對企業資安風險，翁浩正在本次演講中，特別從風險看待方式談起，並區分為識別風險與處理風險兩大類，讓大家在此方面能夠更進一步去理解。</p> <p>他用了一個簡單的比喻，當我們每個人在看待自身健康狀況時，一方面會吃維他命、健身等來補足自身，一方面也會透過健康檢查，了解身體狀況進而因應，也就是透過評估，而資安也有同樣的類似概念。</p> <p>翁浩正將風險分成兩大類，一種是識別風險，另一種是處理風險。同時，他以NIST 網路安全框架（CSF）的5大功能來對應，例如，識別風險對應的就是CSF的識別，相當明確，而處理風險則對應CSF的保護、偵測、回應與復原，這些都是用於處理風險。</p> <p>在識別風險層面上，企業可以怎麼做？翁浩正指出有四大面向，例如，從關注攻擊趨勢看其他企業發生的風險，從自己在內部發生發現的高風險漏洞，也就是已知的高風險，另外還包括企業已知有問題，但風險並不高，目前還沒有要處理的潛在風險，以及企業平時不知道、無徵兆，但實際存在的未知風險。</p> <p>而在處理風險層面上，現在很多資安廠商提供的各種設備及解決方案，就是為了要處理風險，當中需要注意的面向可不少，包括各種設備軟體的採購優先順序，以及布署範圍與布署位置，還有誤報率與回應時間等。</p> <p>看待這兩類風險時，企業可以如何進一步思考？簡而言之，識別風險時要關注的重點在於，有哪些是攻擊者認為最有利用價值的風險，將是企業列為最優先需要找出的問題，而處理風險時的重點在於，最常在事件過程當中發生的問題，他舉例，像是內部應變是否不夠，還是已有應變但應變團隊有狀況，或是SOC沒有通知等情形。</p> <p>而在上述說明當中，翁浩正更是特別強調了兩件事，首先，識別風險將是企業需要更重視的面向，其次，攻擊趨勢與企業現況不一定相符合，參考現有的攻擊脈絡，不能只看別人怎麼做，也要看自己發生怎樣的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>對於企業自身資安的需求與實際情形的落差，戴夫寇爾（Devcore）執行長翁浩正先從資安風險談起，他並分成識別風險與處理風險兩大類來解釋，前者可對應CSF中的識別，後者則可對應保護、偵測、回應與復原。</p> </blockquote> <p>接下來，他並藉由2020年2020年iThome資安大調查的內容，以資安投資重點上的調查結果，來進一步說明企業需要重新思考的問題與挑戰。</p> <p>他先談到處理風險的部分，市面上有相當多的資安投資項目，都是屬於這一類，包括2020年國內企業前10大投資項目，像是網路安全、IT基礎架構防護、郵件安全、異地被援、端點安全、資安教育訓練、災難復原、強化存取控管權限、資料外洩保護與Web安全，其他還有行動裝置安全、身分識別機制、雲端安全、IoT安全、高層資安意識、CSIRT、威脅情資、OT安全與GDPR等。</p> <p>至於歸納為識別風險的項目，包含資安稽核認證、滲透測試、源碼檢測、NIST CSF、紅隊演練、威脅獵捕與漏洞獎金計畫等。翁浩正指出，在此當中，國內企業投資比例較高的項目，僅有資安稽核認證與滲透測試，但去年也僅有2成左右企業有此打算，至於其他項目要投入的企業，比例則是更低。</p> <p>雖然這只是蓋括的畫分，但翁浩正的用意明顯是希望能突顯出，企業對於識別風險面向的不夠重視。</p> <p>同時也提醒企業，威脅或防護的趨勢調查是可以反映大環境的概況，但個別企業更是要從自身風險看起。畢竟，每一間企業的資安防護架構不同，強化優先順序不同，而每年的調查結果將是一個參考性的輔助。</p> <p>換言之，像是從上述調查結果，可以知道那些資安防護面向，有很多企業正在做，而自己是否已經投入，或是企業自身已經開始做了，別的企業現在才跟上，甚至別的企業都還沒有投入，表示企業自己的行動比別人要快。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9612s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>藉由2020年iThome資安大調查的投資重點結果來看，翁浩正指出，可幫助企業識別風險的解決方案，包括資安稽核認證、滲透測試、源碼檢測、NIST CSF、紅隊演練、威脅獵捕與漏洞獎金計畫等，然而，要投資這些項目的臺灣企業比例都明顯偏少。</p> </blockquote> <h2><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></h2> <blockquote><p>在本場演講中，翁浩正也引用了今年3月KPMG發布的臺灣企業資安曝險大調查，當中透過多種外部曝險項目的調查，並量化為分數來呈現產業現況，其中金融業87分最高，其他產業則普遍在75分平均之下。翁浩正表示，這意味著金融業在法規要求之下，資安防護走得比較前面，但面對有經驗的駭客組織還是有可能被入侵，而像是製造業、電子零組件、通訊與電腦及周邊等產業，面臨資安威脅相對更是比較辛苦。</p> <p>另一方面，翁浩正也從他們執行紅隊演練的經驗來說明，至今為止，他們每次演練全部都能入到企業內部網路，入侵成功率是百分之百，並有6成是可以直接進入到企業AD伺服器，或是VMware vCenter等核心系統，這樣的結果顯示，企業面對ATP組織或網軍攻擊，防禦能力還是偏弱。</p> </blockquote> <h2><strong>從百分百入侵成功的紅隊演練經驗，看國內企業防護上的4大常見問題</strong></h2> <p>在本場演講上，翁浩正還有一個經驗分享更是備受關注，那就是他們自2017年以來的紅隊演練過程中，每次都能在專案時程內成功入侵目標企業，在這些實際經驗下，他們統整出臺灣企業在防護上，普遍存在但可能一直不夠關注的常見資安問題。</p> <p>攻擊者可以如何繞過企業防禦體系？翁浩正列舉出4大常見問題，舉例來說，他們發現有6成4企業外洩了可利用的資訊，包含帳號密碼、原始碼與內部文件。因此，企業可以自己先去檢查這樣的情況，例如，在網際網路上是否有用公司信箱註冊外部服務的情況，若是外部服務帳號密碼外洩，就有機會被用。</p> <p>不僅如此，有高達7成9企業，存在已知漏洞未修補的情況，使得他們在演練時的入侵路徑上，就能找到透過這樣的漏洞並成功入侵，當中並有7成漏洞是已經公開半年之久。翁浩正表示，雖然一些企業可能因業務不能中斷而沒有及時修補，但超過半年都有要修補，這是嚴重的問題。</p> <p>此外，以預設或固定密碼作為認證方式的問題也不小，有6成7的企業有此情況。企業可能購買設備之後，就直接使用預設密碼沒有修改，或是廠商原廠預留了維運工程使用的密碼，都成為防護上的破口；而密碼設定安全不足的情況依然多見，有8成3的企業其密碼在專案期間內就可被破解，使得攻擊方可利用於後滲透使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>翁浩正分享他們執行3年紅隊演練中，可以如何繞過企業防禦體系，而這些可能是企業並未關注或發現的問題，這有4大常見問題包括：可利用資訊遭外洩、已知漏洞未修補、以預設或固定密碼作為認證方式，以及帳號複雜度不足。</p> </blockquote> <p>因此，翁浩正歸類出前五大最常見的攻擊樣態，包括：第一，外部服務存在漏洞；第二，第三方服務存在高風險漏洞；第三，網路區隔存在利用機會；第四，帳號權限保護不足；第五，監控回應不如預期。</p> <p>相對來看，這其實等於是企業在資安防禦上的五大挑戰。</p> <p>以外部服務存在漏洞而言，翁浩正指出，在他們紅隊演練經驗當中，企業外部網路其實仍然很脆落，可以藉由入侵外部網站，有機會進一步入侵到企業內部網路，攻入更多主機取得更多資料，但從資安大調查中的企業重點來看，多數企業將防禦主軸放在內部網路安全，包括網路安全、端點防護、資料洩漏等，而網站安全只居於第十名，因此企業對於外部網路相對是不夠看重。</p> <p>在第三方服務存在高風險漏洞方面，他們演練時的常見狀況是，發現企業使用的特規系統或外部系統存在零時差漏洞，而且常有SQL Injection這種不應該犯的簡單錯誤，而他們就能利用這樣的漏洞入侵企業核心系統。現在大家都在談供應鏈安全，但企業在採購商業系統或特規系統時，會要求對方做滲透測試嗎？翁浩正拋出此一問題讓大家思考，當然他也表示，企業幫廠商做滲透測試並不太合理，加上廠商不一定配合，而如果僅為合規使用資安涵蓋率品質不好的滲透測試或弱點掃描，也沒有辦法到達好的效果。因此，這對企業來說是相當大的挑戰。</p> <p>在網路區隔存在利用機會方面，企業可能因為區隔的位置與設備擺放的位置錯誤，導致他們在演練時有機可趁。他指出，雖然從資安大調查中結果看出，臺灣多數企業是重視IT基礎架構防護等解決方案，已經意識到網路區隔存在風險，但實際風險仍高，而也同樣是企業的一大挑戰，畢竟網路區隔與業務運作有莫大關聯。</p> <p>在帳號權限保護不足方面，他們在演練時可透過利用已經掌握的主機，從記憶體當中取得密碼，再從內部網路中看那些主機使用同樣的密碼，或是同樣的特權帳號。因此，企業除了投資存取控管權限相關解決方案，同時也要考量搭配其他縱身防禦來強化。</p> <p>另外他們發現的企業常見問題，是監控回應不如預期。由於事件回應處理或設備的誤判，都還是人去處理，但目前較少有解決方案，可幫助企業改善監控的回應，因此這也成為企業難解決的問題與挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%9611s%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966~10%EF%BC%89Devcore%E7%B4%85%E9%9A%8A%E6%BC%94%E7%B7%B4%E5%A4%A7%E6%8F%AD%E9%9C%B2.gif" style="width: 600px;" /></p> <blockquote><p>在戴夫寇爾的紅隊演練經驗中，有哪些是企業防禦上的挑戰，翁浩正歸納出5種攻擊樣態，包括：外部服務存在漏洞、第三方服務存在高風險漏洞、網路區隔存在利用機會、帳號權限保護不足，以及監控回應不如預期。（圖中IP位址非真實資訊）</p> </blockquote> <p>不僅如此，翁浩正同樣以iThome資安大調查的投資重點相對照，對應這五大攻擊樣態來分析現況，他指出，關於企業在處理風險的資安投資比重較高，而識別風險方面的資安投入較少。</p> <p>例如，在在外部服務與第三方服務的漏洞方面，包括滲透測試、源碼檢查、威脅情資與漏洞獎金計畫，以及相關弱點管理這種比較重要的解決方案，都不在企業資安投入的前十名。</p> <p>此外，在網路區隔與帳號權限保護方面，以識別風險項目而言，也只有資安稽核／認證位於企業投資第12名，導入NIST CSF與紅隊演練的企業更少；而監控與回應在識別風險這一塊，更是只有滲透測試與紅隊演練，可以確實知道企業回應是否確實。</p> <p>因此，他希望大家理解的是，面對資安趨勢的調查內容，他山之石，可以參考，不能盡信，原因很簡單，每個企業組織架構不同，資源與威脅也不同，最好應先識別風險，才能對症下藥。至於企業防禦戰略上，要從外部檔起還是從內部穩固核心系統為優先，他認為，這兩個戰略不一樣，沒有誰對誰錯的問題，若對於境外勢力最憂心，就先把資源投放最外面，如果和資料資產重要，盤點以及相關介接，從這些系統來優先防禦比較省力。</p> <p>無論如何，資安觀念推動已經許多年了，以這次翁浩正所提醒的重點來看，顯示是就是希望企業在看待資安時，不應該忘記資安調查結果是個輔助，可以觀察到整體趨勢與產業趨勢，自己並要從自身現狀盤點做起，同時，普遍企業應該多想想識別風險層面的資安解決方案，過去是否真的不夠重視。</p> <p> </p> </div></div></div>
2021/5/13 09:56作者羅正漢https://www.ithome.com.tw/news/144371
微軟將於9月10日關閉Azure區塊鏈服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出兩年後，<a href="https://docs.microsoft.com/en-us/azure/blockchain/service/migration-guide" target="_blank">微軟宣布</a>將關閉Azure區塊鏈服務，並未說明原因。</p> <p>微軟在Azure服務網頁上貼出公告，表示Azure Blockchain服務將於2021年9月10日終止服務，呼籲用戶根據使用或評估階段，將總帳（ledger）資料轉到其他服務。</p> <p><a href="https://www.ithome.com.tw/news/130385" target="_blank">2019年微軟在Build開發者大會發布</a>全雲端代管的Azure Blockchain Service，旨在簡化企業公有鏈（consortium blockchain）網路的建構、管理與治理工作。微軟宣稱企業只要點擊幾次，就能在Azure設立區塊鏈。</p> <p>微軟建議根據用戶正式營運和測試階段尋找替代服務。如果用戶已進入正式營運和前導專案，微軟建議改用Quorum或是Azure VM服務。Quorum Blockchain ServiceConsenSys是以Azure為基礎的代管服務，提供總帳服務。用戶可以將Azure Blockchain Service中的總帳資料，搬移到Quorum Blockchain Service上。但微軟建議建立新的企業聯盟（consortium），就不必再搬移現有資料。</p> <p>微軟的Azure VM服務上也有些區塊鏈資源管理範本，提供Quorum總帳技術，以自主管理介面支援企業自行管理雲端基礎架構和區塊鏈堆疊。</p> <p>至於處於全新部署或評估階段的用戶，Azure Marketplace有Quorum和Besu的範本。</p> <p>雖然Azure區塊鏈服務9月才關閉，但本周一（5/10）起，就不再接受建立新會員或建立新系統。</p> </div></div></div>
2021/5/13 11:57作者林妍溱https://www.ithome.com.tw/news/144384
開採比特幣危害環境，特斯拉暫停消費者以比特幣買車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球電動車龍頭特斯拉（Tesla）<a href="https://www.ithome.com.tw/news/143447" target="_blank">甫於今年3月，開放</a>消費者以比特幣（Bitcoin）買車，但特斯拉執行長馬斯克<a href="https://twitter.com/elonmusk/status/1392602041025843203" target="_blank">（Elon Musk）今天（5/13）宣布</a>，為了環保問題，決定暫停消費者以比特幣買車。</p> <p>馬斯克表示，他們擔心比特幣的開採與交易會讓化石燃料的使用變多，特別是煤炭，它是所有燃料中排放最嚴重的；從許多角度來看，加密貨幣都是個好主意，特斯拉也相信它的未來很光明，但不能以環境作為代價。</p> <p>因此，特斯拉決定未來不再出售任何的比特幣，等到比特幣的開採與交易是基於永續能源之時，他們將會儘快恢復以比特幣購車的服務。</p> <p>值得注意的是，特斯拉仍在尋找其它的加密貨幣，準備聚焦於那些所使用的能源不到比特幣1%的產品。</p> <p>包括比特幣在內的許多加密貨幣，都是採用「工作量證明」（Proof of Work）的概念，必須以大量的電力才能解決困難的運算，根據估計，開採比特幣一年約要使用148太瓦時（TWh）的電力，約等於波蘭全國一年的用電量。</p> <p>另一方面，BitTorrent作者Bram Cohen在2017年創立了Chia Network，以「空間證明」（Proof of Space）概念來開挖奇亞幣（Chia），驗證者可藉由證明者所傳送的資料，來確認證明者預留了一定的空間，其驗證過程僅消耗少量的時間與空間，因為相對環保，於是又被稱為綠色加密貨幣。除了奇亞幣之外，基於空間證明的加密貨幣還包括Storj、Sia與Filecoin。</p> <p>在馬斯克發布了該聲明之後，今日的比特幣價格從52,984美元，一度跌至47,720美元，跌幅接近10%。</p> </div></div></div>
2021/5/13 12:14作者陳曉莉https://www.ithome.com.tw/news/144386
將來銀行新任總座許柏林今上任，將加強系統驗測、調整組織分工，力求盡速通過開業審查進入營運階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前將來銀行總經理劉奕成在今年3月中旬閃辭後，總經理職位懸空2個月，今天（5/13）將來銀行宣布，新任總經理許柏林正式上任，更揭露到任後將採取4大發展方向。</p> <p>許柏林在金融界資歷深厚，在華南銀行一路從分行經理，升任數位金融部經理，之後更接任華南銀行營運管理事業群暨資訊科技管理群副總，也是帶領華南銀行走向數位轉型的關鍵人物之一。在華南銀行任內，積極推動開放銀行（Open Banking），以及AI行動銀行，並內建AI語音助理「小n機器人」等服務。</p> <p>許柏林在華南銀行的期間，不僅一手撐起營運管理事業群底下的數位金融部、營運管理部、客戶服務部，就連資訊科技管理群底下的資訊規畫開發部、資訊作業服務部、資訊安全部，共約400人的IT團隊，也是由他掌舵。同時，擔任銀行公會電子支付業務委員會副主委、財金區塊鏈企業金融組召集人等，可見在公股銀行中扮演重要角色。</p> <p>今天是許柏林就任將來銀行總經理的第一天，對於未來經營理念，許柏林提出4大發展方向。第一點是落實內部控制，強化公司治理；二則是調整組織分工，提高團隊績效；第三點是加強系統驗測，確保正常運作；最後是提升資安防護，目標永續經營。</p> <p>許柏林強調，將來銀行目前首要面對的課題是盡速通過開業審查，並取得營業執照進入營運階段。他也提到，到任後，除了持續強化並落實內部治理制度與促進內部團結和諧之外，針對資訊系統、資訊安全與行動銀行App功能的完整性與有效性，也將加強辦理系統及業務演練，包括桌上及實地演練，盡速讓所有開業準備就緒。文⊙李靜宜</p> </div></div></div>
2021/5/13 10:32作者李靜宜https://www.ithome.com.tw/news/144375
開源API閘道器KrakenD框架現進入Linux基金會接受託管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>API閘道器KrakenD與Linux基金會共同<a href="https://www.linuxfoundation.org/en/press-release/open-source-api-gateway-krakend-becomes-linux-foundation-project/">宣布</a>，KrakenD將其核心引擎貢獻給Linux基金會，並稱作Lura專案。Lura專案的目的，是要提供雲端原生和本地部署，一個可擴展、簡單且無狀態的高效能API閘道器框架，能夠良好支援新興雲端應用程式與微服務。</p> <p>Linux基金會託管的Lura專案，前身為KrakenD開源專案，官方提到，Lura是一個適用建置API閘道器的框架，其不僅是提供簡單反向代理的功能，還可充當許多微服務的聚合器，還是可用來創建端點的宣告式工具。Lura並非用來解決特定的使用案例，而是提供一個元件函式庫，像是能夠組合成自定義客製化API閘道器系統的積木組合。</p> <p>KrakenD執行長提到，在Linux基金會中託管Lura專案，將可擴展KrakenD開源框架，以更好地資源，來支援每月超過百萬臺伺服器的大規模使用，而借助Linux基金會的開放治理模型，將可加速對開發和社群的支援。</p> <p>API閘道器逐漸成為雲端應用程式和微服務的必要結構，KrakenD創立於2016年，原本是給工程師快速建立API閘道器的函式庫，但是經過一段時間的發展，KrakenD已經被使用在一些大型網際網路應用中。</p> <p>Lura專案為一個無狀態、分散式的高效能API閘道器，能夠良好地支援微服務，Lura引擎著名API實作便是KrakenD社群版和企業版，KrakenD也會使用Lura作為KrakenD 2.0的新引擎。KrakenD官方提到，KrakenD API閘道器將會繼續提供，無論是社群版還是企業版都沒有任何變更，使用者不需採取任何的措施。</p> <p>而KrakenD框架進入Linux基金會旗下，影響的是KrakenD執行專案的方式，KrakenD團隊將會是最初的技術指導委員會，負責所有開源專案的技術監督，但是因為採用開放的治理模型，也帶進工程師改善框架。官方提到，KrakenD框架成為Lura專案進入Linux基金會，將是目前唯一一個由中立開放組織，所託管的企業級API閘道器。</p> </div></div></div>
2021/5/13 10:48作者李建興https://www.ithome.com.tw/news/144364
Qt 6.1加入多個Qt 5.15好用附加模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨平臺開發框架<a href="https://www.qt.io/blog/qt-6.1-released" target="_blank">Qt 6.1已經發布</a>，這是在Qt 6推出以來第一個次要版本更新，這個更新的重點之一，在於官方把原本Qt 5.15中支援的許多附加模組加到了Qt 6中，包括支援Windows上的COM和ActiveX控件的Active Qt模組，還有一些視覺化模組，像是在應用程式增加圖表的Qt Charts，以及可將動態與靜態資料視覺化的Qt Data Visualization，以及能夠渲染Adobe After Effects圖形和動畫的Qt Lottie，現在於嵌入式裝置，也可以使用Qt虛擬鍵盤加入螢幕鍵盤功能。</p> <p>Qt在去年底的時候，發布了Qt 6.0，這個新版本加入許多新功能，為的是要更好地支援現代工作負載，除了採用較新的C++語言結構，也使用全新的圖形架構，改善2D與3D應用開發體驗。但是Qt 6.0遭到詬病的缺點，便是原本Qt 5.15中的許多附加模組，在Qt 6.0都沒有提供，而且官方又在2021年1月，突然宣布Qt 5.15 LTS進入商用階段，使得部分用戶處在尷尬階段，此舉引來反彈聲浪。</p> <p>而原本官方預告要到Qt 6.2才支援大多數的模組，現在於Qt 6.1就實現了大部分。Qt 6.1的更新修復了許多針對Qt 6.0或Qt 5.15回報的錯誤，官方表示，除了加入原本的模組之外，修補錯誤也是重要的工作，隨著Qt 6.2即將到來，修補錯誤會繼續成為官方的重點關注部分，官方計畫讓Qt 6.2成為Qt 6系列的第一個長期支援版本。</p> <p>在Qt Core中，多數的更新都是在API中加入更多的新功能，像是加入了removeIf()方法，並擴充erase_if()支援更多的類別。官方還在QStringView中添加了一些缺少的方法，使得QString API更加完整，另外，Qt加入了溢出安全（Overflow-Safe）的加、減和乘法函式，並且改進16位元浮點數支援。</p> <p>在Qt 6.0加入的屬性綁定，官方也對相關的API進行一些改進。而Qt 6.1另一大更新重點，則是加入能夠簡化Java、QJniEnvironment和QJniObject整合的新類別，主要用例為Android開發。而在Qt Gui中，現在有一個新的QUrlResourceProvider類別，該類別可避免子類別化QTextDocument，以及避免重新實作loadResource()，並且能夠被QLabel使用。</p> <p>在圖形顯示方面，現在Qt 6.1的Vulkan API打包器，能更好地支援Vulkan 1.1和1.2，並且QColorSpace可以使用自定義傳遞函式。Qt Quick 3D開始支援變形目標動畫，且實例渲染以及3D粒子功能進入技術預覽階段，官方提到，當要在場景中渲染大量相似物件的時候，實例渲染可大幅提高渲染效能，而3D粒子效果則是應用實例渲染的粒子特效。</p> <p>在Qt Network中，官方加入新的QNetworkInformation類別，該類別公開系統的可存取性，Cookie處理開始支援SameSite功能。官方還提到，他們即將發布Qt for Python更新版本，會作為Qt 6.1的模組支援。這次官方在Qt 6.1加入了一些Qt 5.15中的模組，但還有一些模組仍無法使用，官方提到，Qt 6.2版本還會額外增加2個附加模組。</p> </div></div></div>
2021/5/13 10:57作者李建興https://www.ithome.com.tw/news/144366
【iThome 2021企業資安大調查：整體資安態勢】整體產業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coverzheng_ti_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業面臨的資安威脅一年比一年嚴峻，但可投入的資安人力和資源，成長幅度卻沒有跟著等比例增加。根據iThome 2021年CIO暨資安大調查，雖然整體企業2021年的平均資安預算預估772萬元，約占IT預算的4.8%，但是仍然距離CIO和資安長們的期待還有很大的落差，CIO認為還要多增加4成的資安預算，才足以因應企業當下面臨的威脅。這也是為何，今年調查結果中，企業對自身資安防護能力的信心，只有62.4分，大致有信心能抵抗威脅，這個信心水準比去年還要略低。威脅驟增的壓力，讓CIO和資安長得更審慎善用有限的資安預算，才能用在刀口上。</p> <p>資安風險評估資訊，就是一種可以用來分配資安資源的參考。今年CIO暨資安大調查，我們特別設計了一組題目，讓填答的CIO和資安長來自評，企業未來一年最可能發生以及最不可能發生的資安項目，同時也自評這些資安項目對企業自身的衝擊高低。透過未來一年發生的可能性和衝擊程度，來設計出一份「企業資安風險圖」，透過四象限的XY圖，來呈現19種資安風險項目的分布態勢。</p> <p>水平X軸代表了發生可能性，位置越往右代表這項資安風險發生的可能性越大，反之，往左則是發生可能性越小。垂直Y軸則代表了衝擊程度，位置越高代表這項資安風險對企業的影響越大，反之，位置越往下就越低。中間零值代表了這項資安風險的衝擊和可能性不高也不低。</p> <p>這19項常見的資安風險還可以分為三類，第一種是常見資安事件，例如資安漏洞事件、勒索軟體導致的外洩事件等，第二種則是攻擊者，例如駭客、離職員工、競爭公司等，還有第三種則是攻擊向量（Attack Vector），這是指發動資安攻擊的途徑或管道，可以是成為跳板的對象、遭利用的設備或是攻擊手法，例如行動應用、社交工程、第三方業者。</p> <p>在企業資安風險圖中，還劃分出四個象限，列入了第1象限中的項目，代表了「衝擊高可能性也高」的資安風險項目。其餘同理，第2象限是「衝擊高可能性低」，第3象限是「衝擊低但可能性高」，而最後一個第4象限則是「衝擊低可能性也低」的資安風險項目。列入第1象限的項目，都值得企業高度重視，但我們更進一步在第1象限中，圈選出企業最需要優先關注的首要風險項目，以及次要風險項目，作為企業可以優先投入資安資源的標的。</p> <p>以整體產業2021企業資安風險圖來說，未來1年，對臺灣大型企業來說，首要資安風險有3項，包括了駭客攻擊、勒索軟體造成的外洩事件，以及資安漏洞引起的資安事件。這是不分產業，所有企業都應該要優先防範的項目。次要風險則有來自社交工程發動的攻擊，以及網路犯罪者引發的攻擊。值得注意的癱瘓關鍵基礎設施的網路攻擊，雖然只是針對特定對象發動的攻擊，而非所有企業，但這些攻擊也會波及其他企業，因此，也進入了企業資安風險圖的第1象限，屬於衝擊高可能性也高的風險項目。</p> <p>在今年大調查中，我們彙整了439家企業CIO和資安長們的資安風險自評結果，繪製出了這份企業資安風險圖，包括了企業整體和六大產業各自的資安風險圖。這些資安風險圖，等於是這些臺灣大型企業，自己所看到的未來1年資安威脅態勢。資安主管或IT主管也可以自行評估，你對這19項資安風險項目，每一項對自身企業的衝擊高低，以及發生可能性大小，可分10級，1到10分，再自行繪製到這一張資安風險圖上，就可以比較，自身察覺到的資安威脅，和業界觀察之間的落差。可以用來找出，那些自己不夠重視，或是過去沒有留意，但卻是同業認為需要高度重視的資安風險項目，就能用來重新檢視自家資安資源的分配或資安防護策略的安排。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E6%95%B4%E9%AB%94-2576X1327.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=2576,height=1327'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E6%95%B4%E9%AB%94600.png" style="width: 600px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color:#3399ff;">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 問卷說明 </span></span> <span style="color:#3399ff;">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144253
【iThome 2021企業資安大調查：一般製造業資安態勢】一般製造業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coveryi_ban_zhi_zao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據iThome 2021 CIO與資安大調查，一般製造業而言，未來1年首要資安風險有3項，分別是勒索軟體導致的外洩事件，來自駭客的攻擊以及資安漏洞導致的事件。次要風險則有兩項，來自網路犯罪者的攻擊以及透過社交工程發動的攻擊。這個態勢和整體產業的資安風險態勢相當，都是一般製造業者首要因應的風險項目。</p> <p>在衝擊程度評估上，6成一般製造業者將駭客破壞和勒索軟體導致的外洩事件，列為衝擊極高的資安風險。另外，也有高達6成的一般製造業資訊主管認為，他們未來1年極有可能會遭遇到勒索軟體而導致資料外洩事件。這個資安風險的可能性，遠高於其他兩項主要風險。</p> <p>此外，一般製造業者對於現任員工可能無意或有意造成資安事件的警戒心，也比整體產業來得高，有23.7%一般製造業者將這一項列為未來一年極有可能發生的資安風險。</p> <p>一般製造業者今年的資安投資金額仍舊是各產業最低者，只有321萬元，這個金額大約占一般製造業2021年IT預算的一成，比去年大幅成長了17%，這個資安投資力道的增加，反映出一般製造業今年積極想要強化自身防禦能力的企圖。</p> <p>不過，值得留意的是，一般製造業者將來自委外第三方業者的風險，以及第四方業者所發動的攻擊，列在「衝擊低可能性低」的第4象限。因為這兩年，軟體供應鏈的資安事件頻傳，不少上游開源元件的漏洞，往往會影響了下游的軟體，若因資安預算不足而重視依賴委外的企業，還是得提高對第三方或第四方風險的重視，例如要求外購的軟體必須解決弱點掃描後的漏洞，避免受到牽連。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-1915X1031.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1915,height=1031'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144254
【iThome 2021企業資安大調查：高科技製造業資安態勢】高科技製造業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-covergao_ke_ji_zhi_zao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近，接連發生了好幾起，知名高科技製造業者的內部機密資料，遭勒索軟體駭客集團入侵而資料外洩的事件，勒索集團不只加密綁架企業的資料，還威脅要公開，這正是高科技產業資訊和資安主管今年的重要資安課題。</p> <p>根據iThome 2021 CIO與資安大調查，對高科技製造業而言，未來1年首要資安風險，如同一般製造業者一樣，也有同樣的3項，分別是勒索軟體導致的外洩事件，來自駭客的攻擊以及資安漏洞導致的事件。</p> <p>而高科技製造業者的次要風險則有一項，是來自網路犯罪者的攻擊。高科技製造業者自我評估的資安風險態勢，大多與整體產業所面臨的資安風險態勢相當。社交工程資安風險的評估上，雖也列入了第1象限，但所在位置比整體產業來得低，不屬於次要風險的範圍。特別要注意，高科技製造業將離職員工的資安風險，列出了第1象限，這是其他產業少見的威脅高度。</p> <p>高科技製造業者今年資安投資金額是435萬元，增加幅度只有1%，與去年相當。高科技業者近年越來越依賴雲端，企業內部應用上雲的比例，從去年的17%，今年增加到了24%，將過半應用都上雲的高科技業者也有高達6.1%，這也進而讓高科技業者提高對雲端供應商的警戒。在高科技製造業2021資安風險圖上也可以看到，針對雲端服務的網路攻擊風險，進入了第2象限，屬於衝擊低但可能性高的風險項目。另一個需要重新思考的是，高科技製造業者紛紛投入AIoT應用，也比過去更加投入物聯網的應用，但對於物聯網的資安風險，卻將其列入了「衝擊低可能性也低」的第4象限，若防護不足，可能成為遭攻擊的破口。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-1937X1042.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1937,height=1042'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144255
【iThome 2021企業資安大調查：服務業資安態勢】服務業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coverfu_wu_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣防疫有成，服務業受到疫情衝擊的程度，沒有像其他國家因人潮消失而蕭條。但是，服務業者已意識到後疫新常態的變化，根據iThome 2021 CIO與資安大調查，有56.1%服務業者因疫情而加快數位轉型的腳步，更有32.7%服務業者為了抗疫，而增加數位轉型的投資。數位化的比重越高，資安風險的影響也會越大，</p> <p>對服務業而言，未來1年首要資安風險有3項，分別是來自駭客的攻擊，資安漏洞導致的事件以及勒索軟體導致的外洩事件，其中，資安漏洞未來1年發生的可能性，比勒索軟體導致的外洩事件略高一些。次要風險則有2項，來自網路犯罪者的攻擊以及透過社交工程發動的攻擊。其他也列入第1象限的資安風險還有，癱瘓關鍵基礎設施的網路攻擊，以及來自現任員工無意或有意造成的資安事件。這個趨勢和整體產業資安風險態勢相當，優先順序略有不同。</p> <p>服務業未來1年的資安投資金額平均是535萬元，相較去年，則有2位數成長，高達13%。不過，在整體IT預算中，資安投資的比例仍然只有4.3%，比整體產業平均比重略低一些。</p> <p>上雲發展電商，是不少服務業者數位轉型的目標，而服務業內部應用上雲的比例，也從去年的26%，今年底預計將提高到33%，更有2.6%的服務業者已經將內部所有應用全面上雲，是雲端化腳步最快的產業。但是，值得留意的是，服務業對雲端環境的資安風險，服務業卻和高科技製造業的看法相當。例如將對雲端服務的網路攻擊視為「衝擊低可能性高」的風險，甚至將來自供應商途徑造成的資安風險，視為衝擊低且可能性低的第4象限。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E6%9C%8D%E5%8B%99-1928X1041.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1928,height=1041'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E6%9C%8D%E5%8B%99%E6%A5%AD-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144256
【iThome 2021企業資安大調查：金融業資安態勢】金融業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coverjin_rong_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據iThome 2021 CIO與資安大調查，向來重視資安的金融業，未來1年，首要面對的風險有4項，來自駭客的攻擊、透過社交工程手法發動的攻擊、勒索軟體導致的外洩事件，以及最後一項是資安漏洞造成的資安事件。比起其他產業，金融業更在意來自社交工程的威脅，金融業不只得防範自身員工遭社交工程攻擊的威脅，還得盡可能降低顧客遭社交工程詐騙的可能性，甚至得重新調整自家服務或App機制來防範。例如今年農曆年發生了多起假冒銀行簡訊的釣魚簡訊詐騙事件，成了銀行今年的重要課題。</p> <p>在衝擊程度評估上，高達61.4%金融業將社交工程途徑列為衝擊程度極高的風險，其次，也有超過5成金融業者將駭客攻擊和勒索軟體導致的外洩事件這兩項列為極高衝擊的風險。未來1年的威脅態勢上，超過5成的金融業資訊和資安主管都擔心，自家企業極有可能會遭遇駭客攻擊、社交工程攻擊，以及資安漏洞的資安事件。</p> <p>次要風險則有2項，包括了來自網路犯罪者發動的攻擊，像是科技詐騙集團的威脅也越來越高，另一項則是癱瘓關鍵基礎設施的網路攻擊，同樣會連帶對金融業的數位服務造成影響，也需要特別警戒。</p> <p>值得注意的是，行動應用攻擊途徑的風險，也進入了高衝擊高風險的第1象限。隨著純網銀和各種數位銀行越來越普及，App變成了高資安風險的途徑。金融業資安投資向來居各產業之冠，今年也不例外，2021年資安投資平均高達3,230萬元，比去年多了4%，但因金融IT預算也向來極高，資安預算在IT預算的占比只有3.9%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E9%87%91%E8%9E%8D-1921X1025.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1921,height=1025'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E9%87%91%E8%9E%8D-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> <p> </p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144257
【iThome 2021企業資安大調查：醫療業資安態勢】醫療業2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coveryi_liao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2019年開始，新版資安法開始將許多大型醫療院所列為關鍵基礎設施醫院（CI醫院）後，掀起了一波醫院資安發展，不只強化傳統IT環境的安全，還開始重視IT與OT整合的資安。另一方面，疫情也促使醫院更善用IT，建立各種零接觸的診療機制與環境，再加上政府開始放寬遠距醫療的法規限制，這些新挑戰帶來了更多醫院資安的新課題。</p> <p>根據iThome 2021 CIO與資安大調查，醫療業，未來1年，首要風險有4項，來自駭客的攻擊、資安漏洞造成的資安事件、勒索軟體導致的外洩事件，以及透過社交工程手法發動的攻擊。醫療業這4項，也正是同樣嚴格法遵規範的金融業未來1年所面對的4大首要風險。</p> <p>在衝擊程度評估上，高達72.1%醫療業者，將駭客視為衝擊程度極高的風險，也有53.5%醫院，將資安漏洞事件視為衝擊極高的風險。未來1年的威脅態勢上，駭客攻擊、資安漏洞事件、勒索軟體造成的外洩事件，都有超過5成醫院資訊和資安主管擔心，極有可能發生的資安威脅。醫療業今年平均資安投資514萬元，比去年大幅減少了3成。</p> <p>值得注意的是委外第三方業者的安全風險，也進入了「衝擊高可能性高」的第1象限。醫療業IT人力不甚寬裕，平均只有33人，六大產業中只比一般製造業的IT人力規模來得高。但是，在零接觸趨勢和遠距醫療的數位化需求帶動下，醫院IT預算遠高於高科技製造業和一般製造業， 2021年醫院IT投資高達1億1,532萬元，其中不少是透過委外方式來建置。因此，委外第三方業者的安全風險，也是醫院資安長今年格外重視的課題。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E9%86%AB%E7%99%82-1926X1032.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1926,height=1032'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E9%86%AB%E7%99%82-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144258
【iThome 2021企業資安大調查：政府與學校資安態勢】政府與學校2021企業資安風險圖（未來1年）
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-coverzheng_fu_yu_xue_xiao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府機關向來是各種資安威脅覬覦的目標，根據iThome 2021 CIO與資安大調查，未來1年，政府機關與學校要面對的首要風險有4項，透過社交工程手法發動的攻擊、來自駭客的攻擊、資安漏洞造成的資安事件，以及最後一項是勒索軟體導致的外洩事件。</p> <p>因為政府機關是資安法納管的8大關鍵基礎設施產業之一，再加上近年來，政府大力發展數位政府，要盡可能將更多種政府服務行動化。</p> <p>因此，比起其他產業，政府機關與學校更重視，那些會癱瘓關鍵基礎設施的大規模網路攻擊事件。因為政府機關的網站若遭遇網路攻擊而癱瘓，不只是自身，還會衝擊其他各產業，甚至是民眾生活。在資安風險圖中，癱瘓關鍵基礎設施的網路攻擊被列為未來1年的次要風險。</p> <p>隨著政府服務高度數位化，政府機關與學校內部應用上雲的比例，居各產業之冠，2021年底將達到39%，也因此，「針對雲端服務的網路攻擊」，也進入了「高衝擊可能性高」的資安風險。這些政府數位服務，也長年大力仰賴委外開發，所以，「委外第三方業者的資安風險」，也是政府與學校資安主管須高度重視的第1象限資安風險。另外值得注意的是，來自物聯網的風險，也開始進入了第1象限資安風險。</p> <p>政府部門對假消息事件的重視，遠高於其他產業，在資安風險圖中，假消息事件也列入了第3象限，屬於衝擊低但可能性高的資安風險。</p> <p>政府機關與學校資安投資向來很高，僅次於金融業，今年資安投資平均1,553萬元，但是比去年足足減少了1成，資安預算約占今年IT投資的7.2%。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover%E6%94%BF%E5%BA%9C%E8%88%87%E5%AD%B8%E6%A0%A1-1907X1020.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1907,height=1020'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover%E6%94%BF%E5%BA%9C%E8%88%87%E5%AD%B8%E6%A0%A1-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業資安風險圖製作說明 </span> </strong></span><strong><span style="color: rgb(51, 153, 255);">在iThome 2021年CIO暨資安大調查中，由企業自評各資安項目的風險程度，還分為2類風險，一是此資安項目對企業的衝擊程度（衝擊很大和衝擊很小），以及這個資安項目未來1年發生的可能性（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1年發生該項目的可能性，位置越右，代表可能性越大。</span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 問卷說明 </span></span> <span style="color: rgb(51, 153, 255);">大調查執行期間從2021年3月8日到4月5日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷調查，有效問卷439家，其中68.4%填答者為企業資安最高主管。</span></strong></p> </div></div></div>
2021/5/13 07:00作者王宏仁https://www.ithome.com.tw/article/144259
iThome 2021企業資安大調查
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1024-26-feng_mian_p1-open-960x420.jpg?itok=dBORNm7H" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安威脅不斷，2020年遭遇50次以上資安事件的臺灣企業比例多達四分之一，而在持續面對全球疫情之際，今年整體資安投資預算平均為772萬元，且資安投資占IT投資的比例提升到4.8%</p> </div></div></div>
2021/5/13 07:00未署名https://www.ithome.com.tw/article/144260
20年偏鄉醫療經驗結合IT，長庚翻轉遠距診療要建新模式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我希望能夠落實醫療平權，不因居住地點的差異影響民眾就醫權益。發展遠距醫療，讓醫療資源能夠妥善運用，提升山地離島偏鄉地區民眾就醫可近性。」長庚醫療財團法人行政中心總執行長潘延健談起遠距醫療，滿是期待的說個不停。遠距醫療，正是長庚醫療集團實現偏鄉醫療未來願景的關鍵。</p> <p>長庚投入偏鄉醫療長達了20年，南北院區都動員，年年派出醫生深入偏鄉巡迴，花東臨海鄉鎮、桃園復興山區，甚至離島的澎湖將軍嶼，都有長庚巡迴診療醫生的身影。「直到現在，我們的醫生還是會上山。」潘延健強調。</p> <p>潘延健是多年來推動長庚遠距醫療發展的關鍵人物，也是數十年前打下臺灣電子病歷基礎的核心成員。</p> <p>去年，因應COVID-19疫情，衛福部2次函釋，讓居家檢疫和隔離民眾也成為通訊診療的對象，進一步帶動了全臺許多醫療院所都加入遠距醫療行列。</p> <p>今年，配合「全民健康保險遠距醫療給付計畫」，健保署更正式將遠距醫療納入健保給付範圍，在潘延健眼中，「今年可說是遠距醫療健保元年，既充滿希望，也充滿挑戰。」</p> <p><span style="font-size:28px;"><strong>耕耘偏鄉醫療20年，悟出遠距醫療最佳實踐方法</strong></span></p> <p>臺灣大型醫療院所大多集中在都會區，山上或臨海偏鄉的醫療資源嚴重不足，不只人力，醫療設備也遠不如都會區齊全。</p> <p>過去只能靠大型醫院出動醫生，帶著可移動的醫療設備和裝置，深入偏鄉來進行巡迴診療，或是支援人力和設備都有限的在地醫療站，長庚醫療財團法人就是其中一家長年投入的醫療集團。</p> <p>儘管政府早在1986年就修訂醫師法第11條，打下了通訊診療基礎後，但當時法規仍要求，醫生必須親自看診，只有在山區、離島、偏僻地區，或是遇到特殊、急迫情形患者，醫生得以通訊方式診療。所以，過去數十年來，像長庚仍舊得年年派出醫生下鄉。</p> <p>直到2018年通過的通訊診察治療辦法，是一大轉捩點。這個辦法放寬了遠距診療對象的資格，定義出5類特殊患者，像是健保居家醫療照護計畫患者、家庭醫師照護計畫患者、急性住院後3個月內須追蹤的患者，以及居住於長照機構的長者和國際病患。</p> <p>但這個辦法也不是完全開放遠距醫療，仍有兩個限制，一是除偏鄉、急迫情形和國際患者外，初診病人不能接受通訊診療。再者是，除了山區離島、偏鄉和急迫情形外，其餘情況，醫師不得開給方劑。</p> <p>通訊診察治療辦法的出現，讓長庚看到了另一種截然不同的偏鄉治療模式，甚至可以回過頭來，改變原有的醫院門診型態，他們認為，遠距醫療模式的發展開始成熟了。</p> <p>過去數十年的偏鄉巡迴醫療經驗，長庚相當熟悉第一線巡迴醫生的情況，也清楚知道偏鄉民眾難以被滿足的在地需求，所以，2018年，長庚決定自己跳下來，自己來研發遠距醫療設備產品。</p> <p>從規畫到產品製作，「不論是採購視訊元件，技術模組，再組合成自己的系統等，已經超乎了一般醫院的角度來投入。」潘延健強調，我們清楚實際需求，也自己有能力組合，「不論軟體、硬體都自己開發。」</p> <p>花了1年時間，長庚團隊最後打造出兩款遠距醫療設備，也就是站立式遠距醫療車，以及手提式遠距醫療箱。</p> <p>這款站立式遠距醫療車配有高解析度鏡頭、手持式檢查設備，像是眼底鏡、耳鏡、口腔鏡和皮膚鏡等五官鏡，甚至還有以及深度腹部超音波和淺層超音波儀器。</p> <p>2019年，長庚醫院就在海拔1,600公尺高的桃園市復興區華陵醫療站，啟用了這套站立式遠距醫療推車。遠端支援醫院的專科醫生，可以遙控自由調整鏡頭角度，來檢視山上醫療站內的病患，也可以請醫療站醫師，利用手持式檢查設備，像是眼底鏡、耳鏡、口腔鏡和皮膚鏡等五官鏡，直接在病人身上操作這些設備，再讓人在遠端支援醫院的醫師隔空診斷。</p> <p>長庚後來還開發了很多種遠距醫療設備，也可以銜接到這臺遠距醫療車上，比如內視鏡或居家生理量測設備等。潘延健表示：「幾乎可以應用大多數的情況。」</p> <p>儘管山上的華陵醫療站只有一位家醫科醫師和一位護理師進駐，但是，遠端長庚醫院的各專科醫生，透過這套遠距醫療設備，就能支援山上民眾不同的專科看診需求。</p> <p>但是，長庚團隊還不滿足，潘延健解釋，尤其天候不好，醫生要上山時，得冒著生命危險，有了方便開車就能攜帶的設備，就可以進行巡迴醫療。</p> <p>因此，長庚進一步打造出了第二代的手提式遠距醫療箱，體積更小，甚至還設計成登機箱的大小，讓需要巡迴醫療或居家照護的醫護人員，可以直接拉了就走。「我們想讓醫師可以直接帶去離島，才設計成符合登機的尺寸和重量，連電池配置考慮到了。」最近，長庚在澎湖將軍澳嶼的遠距診療，就是靠這一箱手提式遠距醫療箱來支援。</p> <p>不過，「研發遠距醫療設備不難，更難的挑戰是系統。」潘延健指出。</p> <p>例如視訊軟體是遠距醫療的核心軟體，若用現成的雲端視訊服務或常見視訊軟體，不只解析度或互動方式，無法符合醫療需求，也因將醫療記錄上雲而有法遵的疑慮。</p> <p>所以，長庚也花了很多時間自行建置核心的視訊系統，部署在內部伺服器環境中，來確保醫療資料和民眾個資的安全性。</p> <p>一方面自行打造出全新的遠距醫療設備，另一方面，長庚思考的目標，不只是透過IT技術，打造出容易攜帶的設備，做到過去不容易實現的遠距診療方式，他們還想要進一步超越過去的遠距診療看診模式。</p> <table align="center" border="0" cellpadding="1" cellspacing="1" style="width:500px;"><tbody><tr><td> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0513-%E6%BD%98%E5%BB%B6%E5%81%A5-500.png" style="width: 500px;" /></p> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);"><strong>今年可說是遠距醫療健保元年，既充滿希望，也充滿挑戰。─── 長庚醫療財團法人行政中心總執行長潘延健　</strong>（攝影／洪政偉）</span></p> </td> </tr></tbody></table><p><span style="font-size:28px;"><strong>整合醫院HIS，打破遠距診療與一般門診的區分</strong></span></p> <p>傳統的遠距診療看診模式，是讓遠端支援醫院的醫師在特定時段、特定診間，提供特定專科的遠距會診服務，遠距支援醫師須等待偏鄉病人呼叫，進行看診。潘延健指出，這個模式因受限於特定的時段與科別，因此降低了山地離島偏鄉地區民眾的就醫意願，導致看診量不大，「一個上午有2、3位病人就算多了」，但衍生出醫師給付不足的問題，醫院也得思考補助方法。</p> <p>「如果遠距診療可以與一般門診，都在同一診間進行看診，就不會有補助問題。」他指出。意思是，如果可以打破這兩種類型診療的區分，遠距支援醫師就不必移動至特定的診間，而是直接在一般門診診間與時段，按叫號順序來對一般病人和遠距病人進行穿插看診。這樣一來，醫師能同時提供一般門診與遠距會診的服務，醫院也不必為補助問題苦惱。甚至，偏鄉民眾也可以一次預約不同科別，比如眼科、耳鼻喉科或皮膚科等，等待預約醫院叫號即可。</p> <p>但要做到這一點，「醫療資訊系統（HIS）就得先進行整合。」潘延健舉例，透過遠距診療平臺來介接支援醫院HIS和偏鄉衛生所HIS，利用標準介面銜接不同的醫療資訊系統，讓遠距醫療服務可不限於同一個醫療機構，偏鄉民眾就能直接在遠端大醫院的HIS系統掛號、看診與病歷資訊的交換，支援醫院醫師也不必再到特定診間，使用特定系統來記錄病歷。</p> <p>所以，長庚團隊整合了臺灣醫療院所常用的兩大HIS廠牌，包括大同醫護、展望亞洲科技的HIS，讓遠端支援醫院可直接調閱病人在偏鄉衛生所的病史和就醫記錄，而且遠端看診的資訊如病歷、醫囑等，也可直接儲存進各醫院自己的HIS系統。潘延健認為，未來，若進一步整合至多數大型醫院HIS後，醫療人員進行術後居家照護時，就可直接連接至患者手術的醫院。</p> <p><span style="font-size:28px;"><strong>整合主流HIS廠牌，讓遠距診療模式從點對點變成多對多模式</strong></span></p> <p>如此一來，潘延健強調，就算沒有使用長庚的HIS系統，其他大型醫院也可串接到同樣的遠距醫療模式中，長庚希望打破傳統「點對點」的遠距診療模式，轉換成「多對多」的模式，「一家醫院可支援很多偏遠地區，一個偏遠地區也可以有很多家醫院支援。」這是他更長遠的願景。</p> <p>雖然這個遠距診療制度，讓大醫院可靠IT，將專科門診帶到偏鄉地區，甚至利用巡迴醫療，把醫療服務帶到更偏遠的角落。但潘延健認為，遠距醫療規範應可再放寬。比如，可將遠距醫療作業模式應用在居家照護時，可由受過嚴格訓練的專科護理師來操作數位五官鏡等設備，而非一定要醫師本人操作，或是一定要醫師在場。</p> <p>他解釋，透過專業的教育訓練與考核認證，護理師可依照遠端支援醫院醫師的指令，將儀器（如眼底鏡、口腔鏡、皮膚鏡或鼻咽喉鏡等）在居家照護病人身上進行操作，同步將影像分享給遠端醫師進行診斷。如此一來，就可解決原本稀缺的專科醫師人力問題。</p> <p>潘延健也建議政府，開放讓專科護理師操作的同時，也能放寬遠距醫療適用的範圍，「如果能讓醫師或護理師在巡迴醫療時，能夠依據病人原有處方箋協助給予藥物。」就會方便許多。亦可針對出院後居家照護病人進行遠距醫療傷口照護與病情追蹤，提升醫療照護品質。他認為，未來遠距醫療法規鬆綁與適用範圍能再擴大，以提供更多元與更完善的遠距醫療照護服務。</p> <p><span style="font-size:28px;"><strong>下一波鎖定更多偏鄉</strong></span></p> <p>潘延健指出，不論是兩套遠距醫療解決方案，還是單一遠距醫療檢查儀器，都已通過衛福部食藥署（TFDA）認證。接下來，長庚要將這些設備推廣到更多偏鄉，如苗栗、屏東、臺東等。</p> <p>但他也很清楚，偏鄉政府經費不足，對設備購置可能有所猶豫。他建議：「國家也許能將對偏遠地區的醫療建設經費，挹注到遠距醫療健保給付端，」來提高偏鄉政府對遠距醫療的擁抱。</p> <p>長庚耕耘偏鄉醫療長達20年，遠距醫療是他們眼中最能改善偏鄉醫療品質的關鍵一步。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>潘延健</strong></p> <p><strong>長庚醫療財團法人行政中心總執行長</strong></p> <p>學歷：成功大學工管系學士</p> <p>經歷：在長庚醫院有超過30年IT經歷，從在電腦處服務（資訊管理部前身）時，參與程式設計，進入行政中心後，轉而管理資訊系統，先後擔任電腦處副處長、醫務管理部組長、特別助理等，2018年8月接任行政中心副主任，而後升為行政中心總執行長，延續負責規畫及設計資訊系統的制度和流程的工作。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>長庚醫療財團法人</strong></p> <p>● 地址：臺北市敦化北路199號</p> <p>● 成立時間：1976 年</p> <p>● 主要業務：急性、慢性綜合醫療服務，分布臺北、基隆、林口、桃園、嘉義、雲林、高雄及鳳山（高市府委託經營），以及長庚養生文化村</p> <p>● 員工數：逾 20,000人</p> <p>● 服務量：病床數10,054床、門診860萬人次／年、急診53萬人次／年、住院250萬人日／年</p> <p>● 董事長：王瑞慧</p> <p>● 主任委員：程文俊</p> <p>● 網址：<a href="http://www.cgmh.org.tw">www.cgmh.org.tw</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>● 1976年：創院時就已建立基本的計價、行政管理及帳務系統。採用IBM 大型主機系統</p> <p>● 1988年至1997年：分別依序全面導入門診醫囑系統、住院醫囑系統、護理醫囑系統、檢驗設備全部完成連線，自動提供檢驗報告</p> <p>● 2000年：Y2K資訊系統適型化，改採Oracle資料庫、Develop 程式開發系統</p> <p>● 2002年：嘉義院區開院實施以電子化病歷看診，不調閱紙本病歷，後續2年內落實至全體系</p> <p>● 2004年：全體系醫療影像無片化</p> <p>● 2008年：實施電子病歷無紙化</p> <p>● 2010年：檢驗備管和軌道自動化</p> <p>● 2012年：從藥物開始發展閉環安全管理</p> <p>● 2015年：啟動資訊再造，全部98個系統重新流程檢討，並採微軟.Net、MVC架構及全面模組化方式重新開發</p> <p>● 2018年：完成資訊再造，邁向全智能醫院（AI Center、臉部辨識、機器人、影像自動判讀、全面導入結構化病歷、行政無紙化）</p> <p>● 2019年：完成遠距醫療設備開發，率先於桃園復興區華陵醫療站啟用；林口長庚醫院通過HIMSS EMRAM七級電子病歷國際認證</p> <p>● 2020年：長庚機器人手術訓練中心啟用</p> <p>● 2021年：長庚體系醫院病理切片全面數位化，利於整合AI判讀系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0513-pan_yan_jian_-960.png" width="960" height="420" alt="" title="長庚醫療財團法人行政中心總執行長潘延健　（攝影／洪政偉）" /></div></div></div>
2021/5/13 07:00作者王若樸https://www.ithome.com.tw/people/144301
信任重建
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為世界各國的疫情不止，臺灣守護全國民眾的健康有成，使得<a href="https://www.ithome.com.tw/article/144263" target="_blank">5月初舉行的臺灣資安大會</a>，再度成為這兩年來全球少數以實體形式舉辦的大型資安會議，總統蔡英文再度蒞臨這場活動，重申去年就職時宣示與資安相關的核心產業建設目標，那就是：發展結合5G時代、數位轉型，以及國家安全的資安產業，全力打造有效保護自己，也能被世界信賴的資安系統及產業鏈。總統表示，接下來政府將進階推出「資安即國安2.0」戰略，規畫新設數位發展部、成立專責的資通安全署，提升對關鍵基礎設施及核心資料庫的防護韌性。</p> <p>除了總統宣示重視資安決心，臺灣資安大會也迎來美國在台協會處長酈英傑（William Brent Christensen），表達美國持續高度重視資安，以及與臺灣政府、民間的密切合作，提供必要資源和頂尖科技來維護資安計畫，並且強調公私部門共同合作的重要性。</p> <p>他特別提到，美國政府近期成立了「資安與基礎建設安全局（Cybersecurity and Infrastructure Security Agency）」（編按：2018年11月總統川普簽署行動法案），也設立「國家網路總監（National Cyber Director）」（編按：2021年4月總統拜登提名Chris Inglis），而且，美國國會跨黨派成員也組成「網路空間日光室委員會（Cyberspace Solarium Commission）」（編按：美國財政年度2019年成立），他們提出的主要建議當中，也強調公私部門共同合作。同時，與產業的協力合作上，雙方有志一同，因為，美國政府的首席資訊安全長Chris DeRusha也表示，拜登政府將會致力於「敞開大門」。</p> <p>而在今年臺灣資安大會提出的主要訴求「TRUST : redefined」，也別具深意，因為，這個口號似乎回應了這幾年以來熱門的「零信任（Zero Trust）」資安概念。</p> <p><a href="https://business.facebook.com/ithomeonline/videos/205363964512260/" target="_blank">從開場播放的影片內容</a>來看，呈現了主辦單位想要向大家傳達的資安防護發展主旨。事實上，大會所謂的TRUST，不只是我們一般認知的信任，也包含了Talent（人才）、Resilience（韌性）、Ubiquitous（無所不在）、Sharing（共享）、Transformation（轉化），這分別意指了：縮短資安「人才」缺口、為一切的「韌性」做好準備、防護「周遍」的全球網路、透過合作「共享」來壯大彼此、從被動反應「轉化」為主動因應。透過這5個行動，來重新建構整個IT產業與資安產業的「信任」。</p> <p>不過，期許之餘，我們還是必須正視殘酷的現實。根據本期週刊公布的<a href="https://www.ithome.com.tw/article/144260" target="_blank">《2021資安大調查》</a>結果來看，每4家臺灣大型企業，就有1家在2020年遭遇「50次以上」的資安事件，而在各產業當中，政府機關學校占36.1％，高科技業是29.5％，金融業28.9％，醫療業25％，一般製造業22.8％，服務業為20.4％。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144234" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-4-V2.png" style="width: 532px;" /></a></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144234" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-1.png" style="width: 544px;" /></a></p> <p>無獨有偶，資安廠商<a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/2020" target="_blank">趨勢科技也發布2020網路安全報告</a>，裡面提到勒索軟體攻擊鎖定五大產業，分別是政府、銀行業、製造業、醫療照護業、金融業。相較之下，上述兩份調查有不少共通處，例如，公部門都是居首，銀行與金融產業加起來也是主要目標，不論是否區分高科技或一般的製造業，仍難逃被網路與惡意軟體攻擊鎖定的命運。</p> <p>而值得注意的是，製造業資安防護能力的好壞，有可能會動搖國本，甚至影響全球數位轉型的腳步，重創世界經濟。誠如<a href="https://www.ithome.com.tw/news/144206" target="_blank">在本次臺灣資安大會首次登臺演講的趨勢科技執行長陳怡樺</a>所言，製造業是臺灣經濟的重要命脈，占國內生產毛額的3成，若因資安威脅而影響企業的生產製造，將會帶來極大的損失。當然，這是無可迴避的挑戰，也是多年難逢的機會，若我們能做到內建資安（Security Inside），也意味著能替臺灣製造提供絕佳的獨特價值。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144263" style="font-size: 16px;" target="_blank"><strong><span style="color: rgb(51, 153, 255);"><span style="font-size:22px;">相關報導請見</span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/0509-zi_an_da_hui_zhuan_ti_-960.png?itok=wYd1W0-4" style="width: 400px;" /></span></strong></a></p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/144260" style="font-size: 16px;" target="_blank"><strong><span style="color: rgb(51, 153, 255);"><span style="font-size:22px;">相關報導請見</span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1024-26-feng_mian_p1-open-960x420.jpg?itok=dBORNm7H" style="width: 400px;" /></span></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/2021%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5">2021資安大調查</a></div><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item odd"><a href="/tags/cio">CIO</a></div></div></div>
2021/5/13 07:00作者李宗翰https://www.ithome.com.tw/voice/144328
國內疫情升溫，臺北市加緊科技防疫部署，擬開放公共實聯制讓民間場域也能用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國內COVID-19疫情升溫，中央流行疫情指揮中心已將全臺疫情警戒升級至第二級，並祭出多項防疫措施，包括限制室內外活動參加人數，並要求餐飲業落實用餐實聯制，各營業場所及公共場域建立實聯制。臺北市政府因應民間業者實聯制的需要，近期準備開放北市公共實聯制工具給民間業者使用，未來民眾進出北市公、私場館，只要使用台北通、myCode+就能完成實聯制登記。</p> <p>隨著國內本土確診案例的快速增加，中央流行疫情指揮中心周二宣布提升防疫等級至第二級，並要求各場所落實實聯制，臺北市長柯文哲隨後也召開記者會，宣布立即提升北市的防疫等級，包括取消大型展演活動，畢業旅行、老人共餐等活動，也將加強對八大場所嚴格控管，採用實聯制。</p> <p>去年臺北市政府運用資訊科技強化北市防疫服務，例如去年成立的大數據中心，綜整各方面資料建置總覽疫情儀表板，將確診人數、居家隔離、負壓病床數量、各里消毒頻率、防疫旅館住房人數、口罩調度、實聯制場館等資訊綜合在疫情儀表板呈現，供市府疫情小組第一時間掌握臺北市的疫情發展，以加快防疫決策。</p> <p>隨著國內疫情警戒升至第二級，臺北市政府對應提高防疫的周延性及頻率，相較於先前疫情風險較和緩時，防疫小組可能每周或每天瀏覽資料、評估決策，目前已提高至一天多次，同時在疫情儀表板也增加新指標，包括疫情控管指數，全球及印度確診人數、桃園機場入境人數。</p> <p>其中疫情控管指數，以儀表板呈現北市疫情控管各方面的數據，其中一部分為臺北市每天接種疫苗人數，包括第一劑、第二劑接種人數，以及每天新增加的確診人數，供防疫決策小組掌握臺北市疫苗施打進度。</p> <p>市府也加強掌握北市的防疫資源整備、調度情形，例如一般隔離病房、負壓隔離病房，目前的空床資源有多少，都匯整在疫情儀表板裡。</p> <p>在國內疫情再度爆發後，許多民眾可能想儘快施打疫苗，臺北市政府也準備在市府的COVID-19專區，推出施打疫苗的地圖查詢服務，民眾線上查詢哪裡可施打疫苗，並查詢該地點的疫苗施打剩餘預約名額。</p> <p><span style="color:#B22222;"><strong>將開放北市公共實聯制讓民間場域也能使用</strong></span></p> <p>至於實聯制方面，去年在疫情嚴峻之下，為代替Google表單或手動填寫資料可能出現錯誤，導致疫調追蹤無法正確聯絡到民眾，臺北市政府資訊局去年推出公共實聯制系統myCode隨行碼，民眾只要輸入姓名、手機門號，系統回傳簡訊提供民眾入場可用的QR Code，供館方掃描後，完成實聯制記錄，今年1月改版推出myCode+，進一步支援台北通QR Code掃碼。</p> <p>原先myCode只提供給臺北市的公有場館作為實聯制紀錄使用，後來擴大到附屬公共場館，以及特定場館申請使用，民眾進出各場館時能夠留下實聯制資料。隨著疫情升溫，鑑於公私場館都有建立實聯制的需求，臺北市政府準備開放給臺北市的民間場所使用這套公共實聯制系統，將公共實聯制推向更多民間場所。</p> <p>臺北市資訊局長呂新科表示，未來，在臺北市境內的民間場所，只要向市府要求使用實聯制系統資源，市府會以專案支援方式，開放民間場所也能使用台北通或myCode的實聯制機制。相較於個別民間業者的實聯制，這套公共實聯制提供可供可讓民眾信賴的實聯制，實聯資料不落地，因此店家不會取得資料，資料均經過加密儲存到雲端資料庫，日後若有防疫追蹤需要，依法規調閱資料，若28天內沒有疫調需求，就會清除實聯資料。</p> <p>呂新科表示，除了北市的公共場域，先前myCode只開放少數的臺北市境內非直轄學校，以專案方式申請經市府審核通過，讓學校能使用北市的公共實聯制系統。接下來，臺北市的民間場域，例如其他的商業場域如果有同樣的需要，市府會儘量開放民間場域使用。至於想要申請的民間單位或其他公部門，需要有合法的登記編號，例如統編或公部門的機關編號。</p> <p>「防疫工作很難區分界線，若只是守好公部門場域，並不代表臺北市就沒事，同樣地，光是臺北市守好也不代表臺灣就沒事」，呂新科表示，隨著防疫等級拉高，所有場館被要求落實實聯制，如果沒有提供資源，業者各自使用自己的方式執行實聯制，反而可能產生資安風險、服務落差，臺北市已紮下基礎的公共實聯制，應該對外開放使用。</p> <p>考量到一次對外開放，可能為後端實聯制系統帶來挑戰，呂新科表示，市府會儘量在可負擔的情況下，以同心圓方式逐步開放外界使用，先讓myCode、台北通的公共實聯制，從臺北市的公場域擴大到私場域。目前資訊局規畫強化北市公共實聯制系統的前端流量負擔平衡，並加強後端系統資料庫採用HA架構，以因應未來大量實聯制資料湧入的需求。</p> <p>臺北市政府準備在未來幾周開放臺北市的民間場域申請使用公共實聯制系統，未來民眾進出臺北市的公私場域，除了能以台北通、myCode+的QR Code完成實聯制登記，不熟悉科技的民眾也能以身分證掃碼，完成實名制登記。</p> <p> </p> </div></div></div>
2021/5/12 22:11作者蘇文彬https://www.ithome.com.tw/news/144367
【臺灣資安大會直擊】資安人員在臺灣資安大會首度揭露Slack新漏洞，一旦駭客濫用可發動SSRF攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在企業對外提供網頁應用程式的時候，使用者電腦的瀏覽器或是應用程式API，通常要發出請求，經由代理伺服器（Proxy）引導，連線到實際的應用程式伺服器，才能存取相關服務，但在過程中用戶端發出的連線資訊，也可能被攻擊者濫用。在2021年的臺灣資安大會上，IBM軟體工程師陳孝勇首度揭露在協作平臺Slack發現的漏洞（目前尚未取得CVE編號），攻擊者可藉由這項防護上的瑕疵，進而發動伺服器端請求偽造（SSRF）攻擊。這項漏洞經陳孝勇通報後，Slack已經完成相關修補，並即將在漏洞懸賞平臺HackerOne上公布。</p> <p>為何Slack會出現這樣的漏洞？陳孝勇說，現在的雲端服務非常普及，而用戶端的每個API發出呼叫請求後，都會經由許多的代理伺服器轉傳，最終才會到達真正提供服務的目標伺服器，而在轉傳的過程裡，企業的網頁應用程式要如何得知原始用戶端來源IP位址、要引導的應用程式伺服器位置等資訊？這時就是利用X-Forwarded-For、X-Forwarded-Host等HTTP標頭（Header）來取得有關資訊。而陳孝勇所發現的漏洞，就是Slack在對於X-Forwarded-Host資訊的處理上不夠嚴謹，一旦有人發現就能用來發送惡意請求，進而對應用程式伺服器為所欲為，例如，探測Slack的內部網路環境。</p> <p>這些由用戶端發出的HTTP標頭資訊，包含了X-Forwarded-For、X-Forwarded-Host、X-Forwarded-Port，以及X-Forwarded-Proto等。X-Forwarded-For提供了來源的IP位址與經過的代理伺服器位址；X-Forwarded-Host則是指定要連線的應用程式伺服器位址；而X-Forwarded-Port、X-Forwarded-Proto分別是指定存取的連接埠和通訊協定。由於這些資訊是用戶端提供，對於網站應用程式而言，很有可能接收到攻擊者刻意下達的指令，而成為系統被入侵的破口。</p> <p>更進一步來說，在本次揭露漏洞的概念性驗證展示中，陳孝勇利用可修改發送標頭資訊的工具，向Slack存放用戶附件的file.slack.com網域下手，發送特定的X-Forwarded-Host資訊－－將「file.slack.com」當成帳號名稱放在前端，再接上「＠」與他自己事先架設的網站網址35.229.x.x（下圖紅線標示處），如此一來，這組字串代表的意思，是要求Slack的代理伺服器將使用者引導到陳孝勇的網站，而這樣的做法卻又能騙過Slack代理伺服器的檢查機制：X-Forwarded-Host資訊必須是「file.slack.com」開頭的網址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/file-slack-com_poc-XFH.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/file-slack-com_poc-XFH.png" style="width: 580px; height: 287px;" /></a></p> <p>照理來說，Slack限制X-Forwarded-Host開頭的做法，目的是使用者只能存取「file.slack.com」網域下的資源，這乍聽之下似乎很合理，卻無法防範上述把該網域當成帳號名稱的手法。由於這樣防護瑕疵很有可能存在於其他企業的網頁應用程式，因此陳孝勇呼籲網站管理者，必須使用較為嚴格的過濾政策，來防範這種濫用X-Forwarded-Host的攻擊行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ap-server-regex-protect.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ap-server-regex-protect.png" style="width: 580px; height: 280px;" /></a></p> <blockquote><p>對於前述Slack的漏洞中，可讓攻擊者操弄X-Forwarded-Host的攻擊手法，陳孝勇指出其他網站應用程式的管理者也要防範相關攻擊，例如，可從應用程式伺服器下手，並使用圖中的正規表示法，限制用戶端存取應用程式伺服器的網址，來避免攻擊者挾帶其他字元的情況。</p> </blockquote> </div></div></div>
2021/5/12 16:03作者周峻佑https://www.ithome.com.tw/news/144358
蘋果App Store在去年阻止300萬張被盜金融卡的交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144173" target="_blank">Epic Games控告蘋果一案</a>，讓對自家事務一向選擇緘默的蘋果，也不得不公布App Store的審核成效，向外界證明蘋果對該程式市集的掌控，是為了保障用戶安全與隱私，本周<a href="https://www.apple.com/newsroom/2021/05/app-store-stopped-over-1-5-billion-in-suspect-transactions-in-2020/" target="_blank">蘋果發布了新聞稿</a>，陳列了蘋果打擊惡意程式或詐騙的成果，包括在去年阻止了300萬張被盜的金融卡於App Store上進行交易。</p> <p>蘋果每年約要審核500萬款企圖登上App Store的行動程式，根據蘋果的統計，App Store在去年拒絕了4.8萬款含有隱藏功能的行動程式，更拒絕超過15萬款的垃圾、仿冒及容易誤導使用者的程式，亦阻止逾21.5萬款侵犯用戶隱私的程式。</p> <p>除了上述比較嚴重的問題之外，另有接近100萬個新程式，以及100萬個程式更新，是因為含有臭蟲而被拒絕。</p> <p>對於詐騙的問題，蘋果去年阻止駭客利用多達300萬張盜來的金融卡於App Store上進行消費，其潛在詐騙金額超過15億美元。同一年蘋果還撤銷了2.4億名用戶帳號，拒絕4.24億個帳號的建立，並終止了4.7萬名的開發者帳號。</p> <p>蘋果還說，過去1年來，App Store也封鎖了近11萬個非法程式，這些非法程式假冒為熱門程式，或是竄改了熱門程式，並繞過App Store的安全保護機制。而光是上個月，蘋果即攔阻了320萬款企圖透過Apple Developer Enterprise Program散布的惡意程式。</p> <p>Epic Games控告蘋果濫用其市場主導地位，危害競爭，且對行動程式有差別待遇，亦批評App Store的諸多缺失，迫使蘋果公開有關App Store的統計數據。</p> <p>雖然App Store已是市場上公認最安全的行動市集，然而，因訴訟案而曝光的蘋果內部郵件，的確也透露了蘋果的某些不周之處。例如在2015年有一名駭客改寫了蘋果專為Mac OS X與iOS所設計的Xcode程式開發環境，還把此一被外界稱為XcodeGhost的版本置放在百度的雲端分享上，估計有超過2,500個程式採用了XcodeGhost，影響1.28億名蘋果用戶。</p> <p>XcodeGhost會蒐集程式資訊，從名稱、語言、國家、程式安裝時間、設備名稱與設備類型等，雖然也嵌入了廣告功能，但被發現時尚未啟用。</p> <p>從曝光的蘋果內部郵件中可看出，蘋果曾經考慮要通知這1.28億名受影響的用戶，但並無證據顯示蘋果真的通知了他們。</p> </div></div></div>
2021/5/12 15:16作者陳曉莉https://www.ithome.com.tw/news/144354
陳時中：疫情警戒尚未升到第3級，但企業可小規模演練異地辦公
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（12日）一口氣新增16例本土案例，中央流行疫情指揮中心指揮官陳時中指出，目前疫情警戒標準仍為第2級，尚未升級到第3級，不過，他建議，企業可開始小規模演練異地辦公。</p> <p>陳時中解釋，疫情警戒第3級的標準是，單周發生3起社區群聚感染事件，或單日新增10起感染源不明的本土病例，而今日新增的16起本土案例中，目前有3起感染源不明病例，以及2起社區群聚案例（宜蘭與蘆洲案例），因此「未達升級標準，目前仍為第2級。」</p> <p>不過，他也說明，疫情警戒第3級規定「停止室內5人以上、室外10人以上之聚會」，並非指辦公環境，而是一般聚會。關於企業是否該超前部署、進行異地辦公或在家辦公，陳時中表示，企業可開始小規模演練異地辦公，也可參考指揮中心去年發布的持續營運指引，來先行準備；指揮中心也會視疫情發展來通知企業何時該啟動。</p> <p>針對目前疫情發展，指揮中心推出6大防疫措施，包括落實全國營業場所防疫管理；加速加強疑似個案通報、盡早發現可能個案；擴增防疫旅館；擴大匡列接觸者；專責醫院全數啟動，並且要在一周內恢復專責、啟動隔離病房區域；最後則是短期商務縮短檢疫，將從嚴審查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/210512%E5%85%AD%E5%A4%A7%E6%8E%AA%E6%96%BD_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpg" /></p> <p>指揮中心<a href="https://www.cdc.gov.tw/Bulletin/Detail/PHRzem5q4pU7_vHvVdCmRw?typeid=9">昨日也重申</a>疫情警戒標準和因應措施，第2級標準為出現感染源不明之本土案例，因應措施包括停辦室內100人以上、室外500以上之集會活動，並請參與者全程配戴口罩、量體溫，並落實實聯制、使用隔板、消毒、人流管制、動線規劃等措施。要是集會活動超過上限人數，舉辦單位必須提交防疫計畫，說明防疫配套措施（如全程配戴口罩、禁止飲食、採梅花座、實聯制等），再由主管機關來審核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0121%E9%9B%86%E6%9C%83%E6%89%8B%E6%9D%BF-02_0.png" /></p> </div></div></div>
2021/5/12 15:23作者王若樸https://www.ithome.com.tw/news/144355
所有Wi-Fi裝置皆存在FragAttacks漏洞，可被駭客用來竊取個人資訊和攻擊裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名資安研究人員Mathy Vanhoef發表一系列Wi-Fi裝置安全漏洞，這些漏洞被統稱為<a href="https://www.fragattacks.com/">FragAttacks</a>，是碎片（Fragmentation）以及聚合攻擊（Aggregation Attacks）的組合字，全球Wi-Fi裝置無一倖免，連最新的WPA3規範都存在設計缺陷。位在受害者無線電範圍內的攻擊者，可以利用FragAttacks漏洞竊取用戶資訊並且攻擊裝置。</p> <p>FragAttacks一系列的漏洞，其中3個來自Wi-Fi標準中的設計缺陷，所以大多數的裝置都受到影響，而更重要的是，Mathy Vanhoef還發現了一些漏洞，這些漏洞是由Wi-Fi產品中普遍存在的程式錯誤引起。經證實，每個Wi-Fi產品都至少受一個FragAttacks漏洞影響，並且絕大多數的產品都存在多個漏洞。</p> <p>這些漏洞影響所有Wi-Fi的安全協定，包括最新的WPA3規範，甚至是Wi-Fi最初的安全協定WEP都在影響範圍中，也就是說，從1997年Wi-Fi發布一樣，這些設計缺陷已經成為Wi-Fi的一部分。值得慶幸的是，設計缺陷難以被駭客利用，Mathy Vanhoef提到，因為這些設計缺陷必須要有用戶參與，才有可能被濫用，又或是只有在使用不常見的網路配置時，才有可能被實現。</p> <p>因此FragAttacks漏洞最大的隱憂，還是在Wi-Fi產品的程式錯誤，其中幾個漏洞可輕易地被惡意攻擊者利用。</p> <p>FragAttacks漏洞包括了一個明文注入漏洞，惡意攻擊者可以濫用實作缺陷，將一些惡意內容注入到受保護的Wi-Fi網路中，尤其是攻擊者可以注入一個精心建構的未加密Wi-Fi訊框（Frame），像是透過誘使客戶端使用惡意DNS伺服器，以攔截用戶的流量，或是路由器，也可能被濫用來繞過NAT或防火牆，進而使攻擊者之後可以攻擊本地端中的Wi-Fi裝置。</p> <p>另外還有一些實作漏洞，例如即便發送者未通過身分驗證，部分路由器也會將交握訊框發送給另一個客戶端，這個漏洞讓攻擊者不需要用戶交握，即可執行聚合攻擊注入任意訊框。還有一個極為常見的實作錯誤，便是接收者不檢查所有片段是否屬於同一訊框，這代表攻擊者可以混和兩個不同訊框的片段，來偽造訊框。</p> <p>即便部分裝置不支援分段或是聚合功能，但是仍然容易受到攻擊，因為這些裝置會將分段的訊框，當做完整的訊框進行處理，在部分情況這可能會被濫用來注入資料封包。</p> <p>Mathy Vanhoef表示，發現這些漏洞很讓人驚訝，因為在過去幾年中，Wi-Fi的安全性實際上應該獲得改善。過去Mathy Vanhoef團隊所發現的KRACK攻擊，其後來加入的防禦機制已經被證明其安全性，而且最新的WPA3安全規範也獲得安全性改進，但是本來可以被用來防止新發現的設計缺陷之一的功能，並未在實踐中實際被採用，而另外兩個設計缺陷則是在先前未被廣泛研究的Wi-Fi功能中被發現。</p> <p>因此Mathy Vanhoef也強調，即便是最著名的安全協定，都要仔細進行分析，定期測試Wi-Fi產品的安全漏洞也是非常重要的工作。為了保護廣大的用戶，安全更新工作已經進行了9個月，現在才對外揭露漏洞資訊，漏洞修補工作由Wi-Fi聯盟和ICASI進行監督，Mathy Vanhoef提到，當裝置還沒接收到關於FragAttacks漏洞的安全更新，用戶要確保網站使用HTTPS協定，並且盡可能安裝所有可用的更新，以緩解部分攻擊。</p> </div></div></div>
2021/5/12 15:31作者李建興https://www.ithome.com.tw/news/144352
追趕TikTok！YouTube也設立1億美元的YouTube Shorts創作者基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了搶食字節跳動所開發的TikTok短影片市場，YouTube去年9月率先於已封鎖TikTok的印度市場，發表了同性質的YouTube Shorts，並在今年3月擴張至美國市場，<a href="https://blog.youtube/news-and-events/introducing-youtube-shorts-fund/" target="_blank">本周YouTube發表</a>了YouTube Shorts Fund，準備以1億美元的基金，在今年與明年獎勵YouTube Shorts的創作者。</p> <p>目前YouTube Shorts依然只現身於印度及美國，根據規畫，只要創作者建立的是原始內容，且不違反其社群守則，任何人都有資格取得獎勵。YouTube Shorts每個月都會找出數千名創造最多點閱率及話題的短影片作者，並以獎金感謝他們的貢獻。</p> <p>上線不到一年的YouTube Shorts最多可紀綠長達60秒的影片，可自動新增字幕，還能自手機圖庫加入影片，並提供基本的濾鏡功能。</p> <p>YouTube Shorts可能還處於測試市場水溫的狀態，因為其最大競爭對手TikTok已於全球150個市場提供服務，估計其每月用戶數超過10億，就算去年被印度封鎖，但它在2020年依然是全球下載次數最多的行動程式。</p> <p>此外，TikTok去年也在美國推出創作者基金（Creator Fund），原本只準備2億美元的基金，但很快就擴大基金規模，宣布該基金在未來3年將超過10億美元。</p> <p>不過，有鑑於TikTok上的用戶眾多，申請TikTok創作者基金的規定也較嚴格，例如從今年3月25日起，使用者所建立的短影片在最近的30天內必須超過10萬次的觀賞次數，才符合申請資格。</p> </div></div></div>
2021/5/12 16:02作者陳曉莉https://www.ithome.com.tw/news/144357
Zigbee聯盟改名為連網標準聯盟、首個標準Matter
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://zigbeealliance.org/news_and_articles/connectivity-standards-alliance/" target="_blank">Zigbee聯盟昨（11）日宣布</a>將改名為Connectivity Standards Alliance (CSA)，而由Zigbee聯盟連同Amazon、蘋果、Google合推的智慧家庭連網標準Matter，也於今天問世。</p> <p>這項計畫也是Zigbee推動智慧家庭聯盟標準的成果。Zigbee聯盟於2019年底和Amazon、蘋果、Google三巨頭及其他業者合組<a href="https://www.ithome.com.tw/news/134920" target="_blank">產業聯盟Project Connected Home over IP</a>，或稱Project CHIP，旨在建立共通規格並號召軟、硬體及網路業者加入。<a href="https://www.ithome.com.tw/news/139882" target="_blank">Project CHIP預定</a>去年底釋出標準草案，並於今年釋出正式規格。</p> <p>CSA指出，從Zigbee到IP based的Matter，Zigbee聯盟旨在簡化和協調IoT產業標準。在此之前，CSA/Zigbee聯盟還制定過產業化協定如Smart Energy、Green Power、rf4ce等等。聯盟的標準建立在開放、共通資料模型、以及各產業會員公司的產業專精基礎上。改名也是為了反映CSA建立全球標準，以型塑IoT未來的企圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-csa%2001.png" style="width: 306px;" /></p> <p><a href="https://www.businesswire.com/news/home/20210511005928/en/The-Connectivity-Standards-Alliance-Unveils-Matter-Formerly-Known-" target="_blank">新規格</a>正式命名為Matter。CISA指出，Matter是以經驗證的技術打造出免權利金、統合性的IP連網協定，旨在促成各種IoT裝置的安全連結。它也是一種許可證，證明任何以該標準開發的物件穩定、安全，且可和多種裝置相容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0512-matter(1).jpg" style="width: 350px;" /></p> <p>長期而言，Matter將可確保製造商生產的裝置和智慧家庭服務，以及AI語音服務如Amazon Alexa、Apple HomeKit with Siri、Google Assistant、SmartThings等相容。第一版Matter協定規格可執行在現有網路技術如Ethernet (802.3)、Wi-Fi (802.11)、和Thread (802.15.4) 上，並可和Bluetooth Low Energy互通。</p> <p>早期採用者包括Amazon、Google、Comcast、華為、英飛凌、NXP，以及SmartThings及CISA理事會員如IKEA、Legrand、NXP Semiconductors、Resideo、施耐德電機（Schneider Electric）、Signify、Silicon Labs、Somfy及南京傳感物聯。</p> <p>首批支援Matter技術的產品可望在今年底前問世，包括照明、電力控制（如插座）、門鎖、空調、安全（如感測器、保全產品）、窗帘、電子、AP、無線路由器等。</p> <p>而2019年由CISA及三巨頭共組的產業聯盟，如今成員已增加到350多家會員廠商，及3000多個會員。</p> </div></div></div>
2021/5/12 14:41作者林妍溱https://www.ithome.com.tw/news/144351
微軟5月Patch Tuesday修補55個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於5月的Patch Tuesday（5/11）修補了55個安全漏洞，相較於其它月份少了許多，當中有4個屬於重大（Critical）等級漏洞，另有3個為零時差漏洞，其中之一已有攻擊程式現身。</p> <p>3個零時差漏洞分別為.NET與Visual Studio的權限擴張漏洞CVE-2021-31204，Exchange Server安全功能的繞過漏洞CVE-2021-31207，以及存在於Common Utilities的遠端程式執行漏洞CVE-2021-31200，<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-31200" target="_blank">並已出現</a>鎖定CVE-2021-31200的攻擊程式。</p> <p>至於4個重大漏洞則是CVE-2021-31166、CVE-2021-28476、CVE-2021-31194與CVE-2021-26419。趨勢科技旗下Zero Day Initiative（ZDI）團隊特別點名了<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-31166" target="_blank">CVE-2021-31166</a>及<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-28476" target="_blank">CVE-2021-28476</a>，CVE-2021-31166是個HTTP協定堆疊遠端程式攻擊漏洞，駭客只要傳送一個特製的封包到受影響的伺服器就能開採該漏洞，不必經過授權就能自遠端執行惡意程式，由於Windows 10也能配置成一網頁伺服器，因此同樣受到影響。</p> <p>CVE-2021-28476為Hyper-V的遠端程式漏洞，其CVSS風險指數高達9.9，也是此次所修補的最嚴重的漏洞，不過，要開採該漏洞來執行任意程式並不容易，微軟認為駭客更容易利用它來執行服務阻斷攻擊。</p> <p>其它兩個重大漏洞分別牽涉到Object Linking and Embedding（OLE）與腳本引擎，駭客可誘導使用者造訪惡意網站，以開採相關漏洞並執行遠端程式攻擊。</p> <p>ZDI也提醒Visual Studio用戶應該要優先修補<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-27068" target="_blank">CVE-2021-27068</a>，這是一個無需任何使用者互動就能執行遠端程式攻擊的罕見漏洞，另一個需要注意的是資訊揭露漏洞CVE-2020-24587，因為該漏洞可揭露的是加密無線封包的內容。</p> </div></div></div>
2021/5/12 14:16作者陳曉莉https://www.ithome.com.tw/news/144350
【臺灣資安大會直擊】從駭客在暗網兜售的外洩資料，看臺灣高科技製造業當前迫切需解決的4個資安裂縫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「今天又一家上市公司遭勒索了。」奧義智慧科技共同創辦人吳明蔚一開口就語出驚人，儘管，他沒有明講是哪家公司，但臺下的聽眾們也跟著人人自危。因為這些人不少都是上市公司企業資訊長或資安長。</p> <p>但像這樣的勒索軟體攻擊事件在臺灣，幾乎已經變成了許多企業的日常，尤其是高科技製造業，已經成為了全球駭客集團覬覦的對象，吳明蔚也觀察到，國內高科技產業遭攻擊事件頻傳，幾乎到了每周一間上市公司的頻率，比例十分驚人，他甚至用「欺負」一詞形容，凸顯整個製造業面對駭客的威脅下迄今仍處於一面倒的態勢。</p> <p>而且與傳統勒索多以加密檔案作為威脅，向企業索取贖金的攻擊型式有所不同，吳明蔚指出，現在越來越多複合型攻擊，在勒索犯罪集團出現，他們不再只是利用勒索軟體阻斷使用者存取檔案，而是利用APT手法入侵後，先偷取重要資料後再加密，接著才向目標對象勒索。若對方不從，犯罪組織還會進一步採取「擠牙膏」談判策略，通過逐步洩露對方的機密或重要客戶資料，逼迫其乖乖就範。</p> <p>他並綜合了高科技製造公司面臨勒索常見的4個步驟手法，包括竊取（Steal）、加密（Encrypt）、勒索（Extort）、洩密（Leak）。除此之外，他補充說到，現在最新手法還出現了DDoS攻擊，透過癱瘓目標企業網站，讓其客戶無法使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_061851289.jpg" style="width: 600px; height: 359px;" /></p> <p>儘管，針對這類型攻擊的防禦，企業可以強化事前、事中及事後的資安配置，但吳明蔚直言，多數企業的最脆弱環節是在中場防線，原因是，他進一步解釋，企業在建立5乘5資安防護矩陣（Cyber Defense Matrix，CDM）時，迄今很多仍採用傳統資安防護思維，將重點放在事前防護，以阻檔型、預防型的資安產品為主，如設置防火牆、防毒軟體等，但當勒索軟體進到中場防線後，針對中場需要的事中偵測、反應的資安韌性防護能力，很多企業都遲遲未跟上，使得防護矩陣的中場防線出現很大空缺，讓攻擊者因此有了可乘之機，能像APT般進出，利用勒索軟體長驅直入。</p> <p>「但只要提到資安投資，企業高層還是會有不同想法，這就是臺灣還需要持續進步的地方。」他語重心長地說。</p> <p>不僅如此，當遭遇勒索軟體綁架時，他看到現在高科技製造公司，很多採取作為仍較為消極，例如只是盡快將日常的備份資料還原資料或整個系統，避免產線中斷，卻沒有花時間調查入侵管道，從中學到新經驗讓自己防護能力持續進步，他認為，這其實容易帶來惡性循環，久而久之，這家公司對於這類攻擊缺少恐懼感，沒有意識到自己已經岌岌可危，甚至一夕之間可能遭駭客徹底摧毀，「這是非常可怕的事」他說。</p> <p>在對抗過程中，他也提到說，現在企業防禦不是0或1，而是0到100%的過程。即使一開始防毒軟體沒偵測到，在攻擊者入侵一連串過程中，企業還是有機會來補救，端看自己有沒有辦法從很小的風吹草動，關聯出這些異常活動或行為，就有機會抓住它，甚至也能結合AI自動化處理機制，讓AI盡量把這些細微線索拼湊起來。讓它變成足夠大到讓企業注意得到。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_062310819.jpg" style="width: 600px; height: 339px;" /></p> <p>他也將駭客在暗網（dark web）上兜售來自臺灣高科製造業的各種外洩數據，以有系統的方式進行整理並經過去識別化後，列出當前迫切需要解決的4道資安裂縫，帳密裂縫、人資裂縫、資安供應商裂縫以及供應鏈裂縫。當然，除此之外，他也說還有其他沒提到的裂縫，同樣也是值得注意。</p> <p>他認為，其中供應鏈裂縫最嚴重，雖然企業自己本身的資安做得好，但其供應商的資安沒做好，因此讓駭客成功入侵，就有可能導致其資料外洩。</p> <p>再者，公司的HR人資也是個很脆弱的入侵點。駭客在E- mail求職信中挾帶病毒，人資只點開履歷信就中毒，進而掌握這家公司所有重要員工資料，他說，這樣的資料在暗網上販售也相當多，而且有的不只有人事資料，還有詳細的人資訪談記錄。這是他提到的第二個資安裂縫。</p> <p>再來是資安供應商裂縫，舉例來說，他從暗網上發現，有企業委外辛苦演練社接工程，但演練結果被壞人拿走，結果駭客知道這家企業裡的哪些員工最容易受騙點開釣魚信，大大增加威脅風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20210506_063013084.jpg" style="width: 600px; height: 361px;" /></p> <p>最後是帳密裂縫，他強調，只要需要記帳密，壞人就有機會竊取，所以，他認為最好的方式，就是使用免密碼的OTP（One-Time Password），或是透過可信的裝置，甚至連使用者名稱都不用記的FIDO2身分驗證，如此一來，就不會存在這個裂縫。</p> <p>他表示，這4個裂縫也對應4個契機，讓企業能早一步將這些裂縫加以填補。他建議企業未來半年短中長期可採取的資安策略，短期可將包括雲端服務在內等所有服務帳號加入雙重身分驗證機制，接著，在3個月內完成CDM矩陣的評估，掌握企業曝險情況、AD核心架構、服務安全、端點安全等，以及用MITRE 的ATT&CK資安框架制定企業遭受駭客入侵等被攻擊情境，最後6個月內，由IT或資安部門開始展開小規模兵棋推眼，包括事前、事中及事後，並透過CDM與MITRE ATT&CK持續改善並量測評估計畫。當然，他說，更重要的是獲得高層的支持。</p> </div></div></div>
2021/5/12 11:25作者余至浩https://www.ithome.com.tw/news/144345
Adobe修補已被開採的Adobe Acrobat Reader程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://helpx.adobe.com/security/products/acrobat/apsb21-29.html" target="_blank">Adobe昨（11）日釋出安全更新</a>，修補43項漏洞，包括一個已經被開採的Windows版Acrobat Reader任意程式碼執行漏洞。</p> <p>被開採的漏洞發生在Acrobat Reader Windows及mac版，編號CVE-2021-28550。Adobe沒有詳述細節，只說明一旦開採成功，可在現有用戶環境下允許執行任意程式碼。該漏洞也被列為重大風險漏洞。</p> <p>受這項漏洞影響的產品包括Acrobat DC、Acrobat Reader DC、Acrobat 2020、 Acrobat Reader 2020、Acrobat 2017和Acrobat Reader 2017。使用者只要透過上述產品開啟經過惡意變造的PDF檔，即可觸發該漏洞。</p> <p>Adobe指出，網路上已發生針對Windows版Adobe Acrobat Reader「有限」的攻擊。Adobe也呼籲用戶儘速下載安裝安全更新。</p> <p>CVE-2021-28550只是Adobe發佈的五月份安全更新修補的43項漏洞之一，不過也是本月唯一被外界知悉的漏洞。macOS及Windows版Adobe Acrobat and Reader 產品線另外也包含重要風險等級的漏洞。</p> <p>其他還包括14項重要（important）和重大（critical）風險漏洞，涵括頻外寫入、頻外讀取、堆積型緩衝溢位漏洞，及使用已釋放記憶體（use after free）漏洞，影響Adobe Experience Manager、<a href="https://helpx.adobe.com/security/products/indesign/apsb21-22.html" target="_blank">InDesign</a>、<a href="https://helpx.adobe.com/security/products/illustrator/apsb21-24.html" target="_blank">Illustrator</a>、InCopy、 Adobe Genuine Service、<a href="https://helpx.adobe.com/security/products/magento/apsb21-30.html" target="_blank">Magento</a>、<a href="https://helpx.adobe.com/security/products/creative-cloud/apsb21-31.html" target="_blank">Creative Cloud Desktop</a>、Media Encoder、Medium和Animate等產品。其中InDesign、Illustrator、Creative Cloud Desktop及Mageno皆包含任意程式碼執行的重大漏洞。</p> </div></div></div>
2021/5/12 11:46作者林妍溱https://www.ithome.com.tw/news/144348
德國政府命令臉書不得處理WhatsApp用戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/144333" target="_blank">本周六（5/15）WhatsApp啟用新版用戶條款</a>前夕，<a href="https://datenschutz-hamburg.de/pressemitteilungen/2021/05/2021-05-11-facebook-anordnung" target="_blank">德國資料主管機關下達命令</a>，禁止臉書處理來自WhatsApp德國用戶的個資。</p> <p>根據WhatsApp新版用戶條款，用戶在臉書、Instagram、WhatsApp平臺上購物、點入廣告，以及以WhatsApp和店家通訊時，WhatsApp將蒐集部份用戶個資作為顯示個人化廣告之用，並且分享給臉書和旗下其他服務，以「適當方式」處理的資料包括地點、裝置軟硬體資訊、上網紀錄等。</p> <p>德國漢堡資料保護與自由委員會指出，在評估現況及和臉書國際總部愛爾蘭分公司取得的資訊下，德國政府認為推行此條款法律基礎不足。首先，從WhatsApp到臉書之間的資料傳輸，牽涉多個不同層次的資料保護，難以區分歐洲版及國際版。用戶條款內容既誤導，又多所矛盾。此外，WhatsApp也未說明按下同意後，對使用者後果為何，甚至用戶也不是在自願情況下同意該條款，而是為了換取持續使用WhatsApp功能而不得不給出的同意。</p> <p>德國主管機關在歐盟隱私法GDPR之下，動用緊急程序發布命令，要求臉書三個月之內不得分享資料。</p> <p>德國資料保護委員會主席Johannes Caspar指出，本項命令旨在確保德國境內數百萬同意該條款的用戶的權利和自由，並且防止此類黑箱作業的缺點和損害。從臉書過去幾年的資料防護醜聞，從劍橋分析到近日影響超過5億臉書用戶的資料外洩(<a href="https://www.ithome.com.tw/news/143631">https://www.ithome.com.tw/news/143631</a>)事件，顯示大規模資料建檔(profiling)之普及與危險性。</p> <p><a href="https://techcrunch.com/2021/05/11/facebook-ordered-not-to-apply-controversial-whatsapp-tcs-in-germany/" target="_blank">WhatsApp公司在同一天發布聲明回應</a>，指德國主管機關誤解了WhatsApp更新用戶條款的目的和效果，而且該公司已解釋使用者利用WhatsApp和店家通訊享有的選擇，也更清楚說明資料蒐集和使用。</p> <p>WhatsApp指出，由於德國資料保護委員會的宣稱是錯誤的，因此該命令不會影響新版用戶條款的持續部署。言下之意是將忽視這項命令。但德國當局指出，已照會歐洲資料保護委員會，目的在提高歐盟層級，以發布具拘束力的決定要求27個會員國加入抵制。</p> <p>根據WhatsApp政策網頁，從5月15日起，未接受新版用戶政策的用戶一開始將無法存取對話清單，但仍然可接聽來電和視訊通話。幾週後這些用戶將無法接聽來電或接收通知，連傳送訊息和接聽通話都無法使用。而在120天後，這些用戶可能被列為不常用用戶而遭刪除帳號。</p> </div></div></div>
2021/5/12 12:10作者林妍溱https://www.ithome.com.tw/news/144349
Google研究只用智慧型手機前鏡頭準確追蹤使用者眼球移動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新<a href="https://ai.googleblog.com/2021/05/accelerating-eye-movement-research-for.html">眼動追蹤技術</a>，透過使用機器學習技術，僅使用智慧型手機的前鏡頭，就能夠準確地捕捉使用者的視線，低成本的眼動追蹤，將有助於發展視覺、無障礙和醫療保健等領域新應用。而Google也討論了將該技術用於精神疲勞的應用，只要幾分鐘使用者的注視資料，就能準確偵測精神疲勞。</p> <p>Google提到，從1970年以來，眼動研究已經廣泛用於視覺科學、語言和可用性領域，而除了基礎研究之外，眼球運動也能用於用戶體驗研究、遊戲和駕駛等廣泛的應用上，但是因為過去的眼動研究，都必須使用專門的眼動儀，導致應用成本高且難以擴展。</p> <p>Google新開發的注視模型，是使用MIT GazeCapture資料集訓練的前饋卷積神經網路ConvNet，臉部偵測演算法會標記出使用者眼睛區域，並且將剪裁的影格送給ConvNet進行處理。為了評估模型，Google收集了研究參與者，觀看空白螢幕上隨機點的眼動資料，Google發現，使用非個人化的模型，會有較高的誤差，但在使用約30秒的校準資料個人化後，誤差可降低4倍。</p> <p>額外的實驗則顯示，當手機放在支架上，或是由用戶手持靠近臉部，手機眼動追蹤模型的準確度，可以媲美最新的眼動儀，但是比起專門的眼睛追蹤硬體，在智慧型手機上執行注視模型，並使用單個前置RGB鏡頭，成本約便宜100倍，更重要的是應用容易擴展。</p> <p>使用智慧型手機進行眼動追蹤，就更容易複製並且驗證過去神經科學和心理學，對於眼動的研究，包括標準動眼任務和自然圖像理解。盡管智慧型手機的注視熱圖，比專門的眼動儀分布更廣，也就是說看起來更模糊，但熱圖分布與畫素等級和物體等級高度相關，Google提到，這樣的結果表示，新技術可針對複雜畫面進行縮放注視分析，像是用於自然與醫療圖像。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-pdzkTpr_fDk/YJlMuc888wI/AAAAAAAAHlI/eVWlWEn41RIQxRmDF-8Sk4m7kufUiXLWACLcBGAsYHQ/w640-h206/similar_example_cropped.gif" style="width: 580px;" /></p> <p>Google發現，智慧手機的注視還可以用於檢測閱讀理解困難，當參與研究者在閱讀測驗中，正確回答問題時，花費在閱讀正確答案相關段落的時間較多，但是隨著理解難度增加，參與研究者花了更多的時間在不相關的文章段落中，研究人員提到，花費在正確答案相關段落的注視時間，是理解程度的預測指標。</p> <p>另外，Google也用新的眼動追蹤技術研究精神疲勞，注視偵測是檢查警覺性和健康狀況的重要工具，已經被醫藥、睡眠領域，以及像是醫療手術和飛行等重要任務環境廣泛研究，不過疲勞研究通常主觀且耗時，而研究人員利用了智慧型手機注視偵測，來研究使用者的精神疲勞，並且可進一步用於追蹤疲勞的發生和發展。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-Hk9J62XUaaI/YJmPL8V_q2I/AAAAAAAAHlU/btoLa8Bab4w1crYFk1obYRY4w69hWBtJgCLcBGAsYHQ/w400-h228/Gazelle%2B05.gif" style="width: 400px;" /></p> <p>研究人員使用機器學習模型，只要收集研究參與者幾分鐘的注視資料，就能夠可靠地預測精神疲勞，在非疲勞的對象中，參與者的視線會依循圓形的軌跡（上圖右），而疲勞者的視線則高機率出現誤差與偏差（上圖左）。這個研究結果顯示，智慧手機的注視偵測可用於偵測精神疲勞。</p> <p>不只如此，智慧型手機注視還可以用來篩檢和監控健康狀況，像是自閉症譜系障礙（Autism Spectrum Disorders）、閱讀障礙和腦震盪的情況，在無障礙的使用情境中，言語和運動能力受損患者，也可以透過手機注視偵測來進行互動。但研究人員也提到，注視研究是一項需要謹慎使用的技術，需要用戶明確允許且知情同意，而且也應該讓用戶可以隨時退出並且刪除資料，他們也會繼續研究隱私保護方式，並且提高跨人群注視技術的強健性。</p> </div></div></div>
2021/5/12 09:34作者李建興https://www.ithome.com.tw/news/144339
VS Code的Python擴充套件現預設啟用Pylance語言支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-may-2021-release/">最新適用VS Code的Python擴充套件</a>已經發布，微軟在這個版本預設Pylance為Python的預設語言伺服器，並且與核心Python擴充套件綑綁在一起，另外，微軟也加速了擴充套件啟動時間，並且加入新的除錯器功能。</p> <p>Python擴充套件預設語言支援現在由Pylance提供，微軟認為，這次升級是有史以來，他們所提供最高效能且用戶友好的Python編輯體驗。從2021年5月新版開始，Pylance成為Python擴充套件的核心，開發者不需要額外安裝，就可以立即獲得開箱即用的語言支援。</p> <p>開發團隊持續改進Python擴充套件的穩定性和效能，在這個新版本，開發團隊更是對Python環境做出重大改進，Python擴充套件載入速度更快更可靠。Windows和macOS用戶載入擴充套件的時間減少10％，而在Linux更是快了20％，Python擴充套件無回應的次數，還減少15％。</p> <p>開發團隊也在新版Python擴充套件加入新的除錯功能，開發者可以即時重新載入Python腳本，也就是說，開發者對程式碼的更新，可在除錯器開始執行並到達中斷點後自動應用，開發者不需要重新啟動除錯器。</p> </div></div></div>
2021/5/12 09:42作者李建興https://www.ithome.com.tw/news/144341
蘋果物件追蹤器AirTag被研究人員破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果甫於4月20日發表全新的物件追蹤器AirTag，但一名德國安全研究人員Thomas Roth本周就將它破解，允許它將使用者導至任何網站。</p> <p>Roth宣稱他入侵了AirTag的微控制器，該微控制器可透過微處理器、記憶體與其它周邊來控制裝置，儘管這意味著駭客可能可以改造AirTag的功能，但Roth所展示的，是讓AirTag在遺失模式（Lost Mode）下，把協助尋獲AirTag的使用者導至任何網站。</p> <p>蘋果所設計的AirTag可用來繫在皮包、鑰匙或其它物件上，讓使用者可利用手機的藍牙功能來尋找它，處於藍牙範圍內的AirTag即會發出聲音，若是物件遺失了，離開了手機的藍牙範圍，那麼使用者即可啟用遺失模式，透過全球數十億蘋果裝置的Find My網路來協助尋找。</p> <p>當有蘋果裝置用戶發現了某個遺失的AirTag時，即可點擊它，並連至一個顯示失主資訊的網址。而<a href="https://twitter.com/ghidraninja/status/1391336535929368576" target="_blank">Roth則破解了此一功能</a>，竄改了該網址，將使用者導至一個YouTube網站。</p> <p>外界非常好奇Roth是如何辦到的，也說該漏洞將可被應用在網釣攻擊，或連至其它惡意網站，惟Roth並未公布他破解AirTag的細節。</p> <p> </p> </div></div></div>
2021/5/12 09:20作者陳曉莉https://www.ithome.com.tw/news/144343
【iThome 2021企業資安大調查：資安災情】臺灣企業資安事件頻傳，2020年有多嚴重？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-cover02-960-v2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2018年以來，iThome已連續四年進行資安大調查，每年我們都會針對大型企業調查他們面臨的資安災情現況，以瞭解每一年的資安嚴峻程度，以及企業的應變能力與關注風險。</p> <p>在2020一整年中，企業遭遇資安事件的頻率上，10次以內的企業比例是45.3%，與去年的45.7%相比，算是持平，而10次到49次的企業比例比上一年降低3%，較值得關注的是，發生50次以上資安事件的企業比例，呈現逐年提升的趨勢，從2018年的16.1%，到2019年的21.5%，2020更是來到25.6%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-4-V2.png" style="width: 532px;" /></p> <p>從上述數據來看，儘管可能還有被攻擊而不自知，或是資安事件可能沒被偵測到的問題存在，但企業資安事件發生已是更頻繁，甚至已有2成5的大型企業平均每週發生一次。以產業別來看，政府機關與學校發生50次以上資安事件的比例最高，達36.1%；其次為高科技業的29.5%，金融業的28.9%，而醫療、一般製造與服務業，比例也都在不低，在25%到20.4％之間，但整體來看，政府機關與學校、高科技業，以及金融這三大產業，最常受到攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-1.png" style="text-align: center; width: 544px;" /></p> <p>而另一個觀察面向是，大型企業對於資安事件的狀況，企業主管回答「不知道」的比例漸漸變少，從2018年的11%、2019年6%，到2020年的4.7%，而進一步觀察其產業別，2020年是高科技業比例最低，只有2.3%，但金融業有7.9%表示不知道，比例偏高。</p> <p>而企業發生資安事件的復原時間，更是許多企業都很關心的議題。在2020年，有69.8%的企業能在一天之內回復，比起2019年的65.9%與2018年的63.1%要高些，雖不及2018年的74%，但大致來看，2020年仍有近7成能在一天內復原，不過，有23.3%需要一周時間內來復原，並有5.1%需要到兩週，甚至超過兩週的還有1.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-2-v2.png" style="width: 544px;" /></p> <p>由於復原速度也緊密關係到企業能否正常營運，而我們也預期，企業今年將更有能力加速資安事件復原，主要原因是，在今年的IT投資的相關調查中，我們看到企業對於強化數位韌性一項，今年預估投入的企業比例，較2020年大幅增加，從6.4%提升到11.6%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover02-600-3.png" style="width: 544px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(51, 153, 255);"><strong>以臺灣2千大規模的企業為主，針對iThome歷屆CIO大調查企業、政府一級機構、大專院校IT和資安主管，進行線上問卷調查。調查時間2021年3月8日到4月5日，有效問卷數439份。68.4％填答者是企業資安最高主管。</strong></span></p> </div></div></div>
2021/5/12 07:00作者羅正漢https://www.ithome.com.tw/article/144234
【iThome 2021企業資安大調查：資安挑戰】今年臺灣企業最關心的資安威脅是什麼？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-cover03-960-v2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據今年調查，企業認為這一年內最容易遭遇的資安風險與議題中，前三名分別是駭客、勒索軟體攻擊與資安漏洞，且比例幾乎都在5成左右，顯然每兩家企業就有一家企業認為將會遭遇這些威脅，而社交工程（34.9%）與網路犯罪者（28.9%）則居於第四與第五。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover03-600-1.png" style="text-align: center; width: 541px;" /></p> <p>面對各式資安威脅，企業對於本身的防護能力是否有信心？根據IT與資安主管自評（依信心程度所轉化的信心分數），今年的分數為62.4分，企業整體分數連續四年都在60分及格邊緣之上，只是，今年有稍微明顯的下滑，比起2020年的63.8分要低，並且比前三年的平均62.7分還稍低。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover03-600-4-V2.png" style="text-align: center; width: 554px;" /></p> <p>而這個分數也顯示出，在經歷2020疫情之年後，面對新威脅趨勢與數位轉型等變化，企業主管在資安防護的信心程度上，雖然大致上有信心，但不及往年水準。</p> <p>儘管資安預算編列與資安人才招募每年都在進行，但面對現有的威脅態勢，仍是無法讓資安防護的信心程度大幅提升。若是進一步以產業來看，一般製造業與高科技業對信心程度偏低，分數不到60，等於不及格，至於服務業與醫療業算是中等，金融業、政府機關與學校對自身的資安防護則是信心度較高。</p> <p>至於為何難以抵禦資安攻擊？員工資安意識不足是主管認為最大主因，占58.1%，而從我們這四年統計資料來看，這項原因持續名列第一，換言之，這似乎已成為企業最不易改變的問題；排名第二的原因是資安工具提供的資訊不足，雖然與往年名次沒有變化，但比例增至32.3%，過去幾乎都在28%左右，顯然今年有更多主管認為這是擋不住攻擊的原因。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover03-600-2.png" style="text-align: center; width: 537px;" /></p> <p>至於缺乏熟練的人員（30.3%）、預算不足（29.2%）與資安解決方案的整合不佳（25.1%），則居於第三至五名，因此，在資安人才與資安投資面向上，都有3成企業認為還有進步的空間，還有2成5企業認為有解決方案整合的需求。</p> <p>與去年相比，這五大原因的企業比例是全數往上提升，僅排名稍有變化，預算不足比去年下降一名。</p> <p>較特別的是，儘管近年資安議題越來越受企業所重視，不過，有一項調查結果值得關注，在難以抵禦資安攻擊的原因中，目前仍有2成企業認為，內部管理高層資安意識不足的問題，是無法抵擋資安威脅的主因。若進一步從產業別來看，以一般製造業（28.9%）與政府機關學校（24.4%）比例較高，顯示這兩個產業中，每四家企業就有一家企業的高階主管資安意識急需強化，而金融業（9.1%）的比例明顯相對較低。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover03-600-3.png" style="width: 537px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(51, 153, 255);"><strong>以臺灣2千大規模的企業為主，針對iThome歷屆CIO大調查企業、政府一級機構、大專院校IT和資安主管，進行線上問卷調查。調查時間2021年3月8日到4月5日，有效問卷數439份。68.4％填答者是企業資安最高主管。</strong></span></p> </div></div></div>
2021/5/12 07:00作者羅正漢https://www.ithome.com.tw/article/144236
【iThome 2021企業資安大調查：資安投資】今年臺灣企業資安投資趨勢有何變化？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-cover04-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣大型企業的資安投資變化，隨著資安建置逐步妥善，投資成長明顯趨緩，2021年的規畫預算約772萬元，而去年底的實際資安支出約789萬元，今年企業資安投資是偏向保守，也可說是回歸常態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover04-600-1.png" style="text-align: center; width: 527px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover04-600-2.png" style="text-align: center; width: 525px;" /></p> <p>進一步從各產業來看，去年政府與學校投資成長率最高，而醫療業前兩年投資預算已暴增，今年兩者皆變少，是造成整體投資成長率下滑的主因；至於金融業、一般製造業、高科技業與服務業，都還是維持小幅成長的局面。</p> <p>若以資安預算與IT預算相互做比較，2021年的企業整體IT預算約1.609億元，因此資安預算的占比是4.8%，比前兩年調查結果提升的4.4%與4.2%要高，這也意謂企業對於資安投資的重視程度，其實並未隨著預算降低而減少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover04-600-3.png" style="text-align: center; width: 533px;" /></p> <p>至於今年資安預算夠不夠用？從CIO本身評估的期望預算值來看，其實還要再多4成才夠用。在各產業中，金融業投資金額依然最高，去年資安實際支出平均就達3,098萬元，今年又編列3,230萬元；特別的是，一般製造業的今年投資預算雖然最低，平均僅321萬元，但相較去年支出的274萬元，增長了1成7，且CIO期望理想預算值還要再多5成4，這兩項比例增長幅度皆為各產業最高。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1024-cover04-600-4-BIG-1118x413.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1118,height=413'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover04-600-4.png" style="width: 520px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(51, 153, 255);"><strong>以臺灣2千大規模的企業為主，針對iThome歷屆CIO大調查企業、政府一級機構、大專院校IT和資安主管，進行線上問卷調查。調查時間2021年3月8日到4月5日，有效問卷數439份。68.4％填答者是企業資安最高主管。</strong></span></p> </div></div></div>
2021/5/12 07:00作者羅正漢https://www.ithome.com.tw/article/144246
【iThome 2021企業資安大調查：資安投資】今年臺灣企業資安投資重點最新動向？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-cover05-960-v2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從企業資安投資重點來看，在2021年的調查中，今年五大投資重點為網路安全、IT基礎架構防護、異地備援、郵件安全與災難復原，其中，前兩項持續為最多企業所看重，分別有將近6成與5成5的企業要投資。</p> <p>異地備援與災難復原是今年值得關注的焦點，不僅都有4成企業今年要投資，而且，較去年比例顯著增加1成。這意味著，在現今的威脅趨勢變化下，今年有更多企業看重異地備援與災難復原的規畫。而這似乎也反映出，企業除了持續強化各項資安防護，面對防不勝防的威脅，也同時會更加考量事後的復原。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover05-600-1.png" style="text-align: center; width: 549px;" /></p> <p>在今年其他投資重點方面，有多項比去年投資比例高出不少。</p> <p>例如，包括端點安全、資安稽核／認證、滲透測試、應用程式安全、行動程式安全，以及高層資安意識、威脅情資、威脅獵捕，都比往年比例多出5%，這顯示出今年要投資這些項目的企業，明顯變得更多。不僅如此，包括員工資安意識／教育訓練、強化內部權限與存取控管，以及源碼檢測，也同樣有4%多比例的增長。</p> <p>進一步從產業別來看，在今年投資重點的變化上，包括一般製造業、高科技業、服務業，以及政府機關學校，這4大產業的投資重點與整體趨勢，比較沒有那麼大的差異，不過，在金融業與醫療業中，從10大投資重點可看出側重的面向，與整體是有很大的不同。</p> <p>以金融業而言，在網路安全與IT基礎架構防護之外，滲透測試、法規遵循、應用程式安全是新重點，都有4成5企業要投資，而且源碼檢測（38.6%）需求更高，幾乎比去年多一倍企業看重於此，不像去年金融業是聚焦於端點安全、法規遵循、資料外洩防護與Web安全。另外，還有紅隊測試（29.5%）與威脅情資（25%）也在現今法規要求下，今年要投資的金融業其實也不少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover05-600-2.png" style="text-align: center; width: 530px;" /></p> <p>而以醫療業而言，資安稽核／認證（32.6%）與法規遵循（27.9%），以及OT安全（32.6%）與IoT安全（27.9%）是今年投資上的新重點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover05-600-3.png" style="text-align: center; width: 536px;" /></p> <p>回到整體面向來看，還有一些在國際上興起的資安做法，也漸漸受到國內大型企業看重，包括緊急應變處理CSIRT（10.9%）、資安保險（5.9%）、紅隊測試（6.4%），以及導入NIST網路安全框架（3.2%）與推出漏洞獎勵計畫（1.6%），今年持續有企業朝這些方向規畫。</p> <p>以緊急應變處理CSIRT而言，金融業比例最高，每4家就有1家有此規畫，高科技業次之；在導入NIST網路安全框架的部分，今年各產業都有要這麼做的企業，金融業最高（4.5%），一般製造業最低（1%）。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(51, 153, 255);"><strong>以臺灣2千大規模的企業為主，針對iThome歷屆CIO大調查企業、政府一級機構、大專院校IT和資安主管，進行線上問卷調查。調查時間2021年3月8日到4月5日，有效問卷數439份。68.4％填答者是企業資安最高主管。</strong></span></p> </div></div></div>
2021/5/12 07:00作者羅正漢https://www.ithome.com.tw/article/144247
【iThome 2021企業資安大調查：資安人力】今年臺灣企業資安人力現況，以及需求缺多少？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1024-cover06-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安防護除了設備與技術的投資，資安人才的缺口也是企業一直都很關心的議題，儘管與IT人才需求相比，資安仍然算是少數，但整體資安人才市場每年需求都強勁，不僅越多的企業自發性或依循主管機關要求，建立專責資安團隊或設立專責資安人員，根據iThome今年資安大調查，以臺灣大型企業而言，現有平均資安人力約3.5人，預計要擴編到5.8人，因此今年還要招募2.3人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover06-600-1.png" style="width: 511px;" /></p> <p>換言之，今年資安人力需求仍高，今年整體還要招募多6成才夠用。進一步從產業面來看，金融業對資安人力的需求依然最高，除了現有7.8人，今年打算再多聘3.8人，顯然，即便是被認為已經很重視資安的金融業，對於資安人力的需求仍然相當高；政府與學校次之，現有5.6人之外，還要多找3.2人。</p> <p>整體來看，在今年產業招募需求中，共有4大產業預計招聘資安人數超過去年人數，在上述金融業、政府與學校之外，高科技業從現有2.7人要再找2.1人，最特別的是，一般製造業的資安人才缺口相當大，今年還要找2.3人，比現有的資安人力（2.1人）還多，等於資安人力還要增加一倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover06-600-2.png" style="text-align: center; width: 541px;" /></p> <p>這不僅反映了一般製造業的資安人力成長幅度最高，若同時與產業資安投資成長率來看，製造業也是居六大產業之冠，顯然今年一般製造業對資安強化更重視，而且不論是在資金與人力的投入，都要有實際動作。由於過去幾年，一般製造業在資安人力需求與資安投資並無明顯增長，這很可能是受近年資安威脅趨勢的影響，使得今年製造業有如此明顯的變化。</p> <p>而今年有要招募資安人才的企業，達到3成1的比例，比往年的2成初頭更高，意味著今年有更多企業會開出資安職缺，每10家企業就有3家企業要搶資安人才。</p> <p>在從各產業有資安職缺的比例來看，金融業最積極，有5成6企業都要招募資安人力，等於是過半的金融業，都確定要擴編資安團隊，顯示目前資安人力仍呈現普遍不足的概況；而一般製造業則低於平均只有2成1，等於約每5家企業才有1家要招募，比例上是相對較少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover06-600-3.png" style="text-align: center; width: 541px;" /></p> <p>若進一步從其他觀察面來看，企業除了期望要補充更多資安人力，對於優秀資安人才的重視程度，也變得更看重。在企業自評難以阻擋駭客的原因中，有一項是缺乏熟練人員，今年此項調查結果來到3成，比起去年的2成2高出許多，這可能意味著企業對於資安熟手的重視程度，已經大幅增加。而且，在今年這項調查中，認為缺乏熟練人員（30.3%）的比例，已經追上預算不足（29.2%）的比例，顯然優秀資安人才的培育與招募，會是今年企業更重視與關注的面向。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-cover06-600-4.png" style="width: 541px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(51, 153, 255);"><strong>以臺灣2千大規模的企業為主，針對iThome歷屆CIO大調查企業、政府一級機構、大專院校IT和資安主管，進行線上問卷調查。調查時間2021年3月8日到4月5日，有效問卷數439份。68.4％填答者是企業資安最高主管。</strong></span></p> </div></div></div>
2021/5/12 07:00作者羅正漢https://www.ithome.com.tw/article/144248
資安一周第145期：美國最大燃油供應商Colonial Pipeline遭勒索軟體攻擊，當局宣布進入緊急狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">5/6-5/12 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃能源產業</strong></span></h3> <h2><strong style="vertical-align: top;">美國最大燃油供應商Colonial Pipeline遭勒索軟體攻擊，美國宣布進入緊急狀態</strong></h2> <p>提供汽柴油的能源公司一旦遭到網路攻擊，而使得服務中斷，很有可能會嚴重波及交通運輸。美國燃油供應業者Colonial Pipeline，傳出於在5月7日遭到勒索軟體攻擊，被迫暫停所有管道作業。由於該公司是美國最大的精煉油輸送系統，供應當地東岸近半數的燃油，也是7個機場油料的來源，美國運輸部（DoT）於9日宣布進入緊急狀態，暫時特許機動車輛經由一般道路運送燃油，以緩解因本次事故造成的燃油短缺問題。</p> <p>美國聯邦調查局（FBI）隨後於10日證實，Colonial Pipeline是遭到勒索軟體組織DarkSide的攻擊。<strong><a href="https://www.ithome.com.tw/news/144327">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/145-1-FBI-Colonial-incident.png" style="width: 400px; height: 162px;" /></p> <p><span style="color:#808080;">圖片來源：美國聯邦調查局</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃高科技產業＃資料外洩</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體集團公布竊得的MacBook電路圖</strong></h2> <p>蘋果筆電製造商廣達遭到勒索軟體REvil攻擊，駭客宣稱自廣達盜走蘋果產品藍圖向蘋果勒索，根據新聞網站Motherboard於5月10日報導，與MacBook相關的設計文件已流入地下論壇，內容包含了MacBook元件的接線圖，以及該款筆電的主機板布局，雖然沒有說明元件名稱與功能，而無法用來複製整臺MacBook，但相關資料讓第三方的蘋果維修工程師如獲至寶，因為他們可能得以藉此回復客戶電腦的重要資料。<strong><a href="https://www.ithome.com.tw/news/144336">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃漏洞攻擊＃學術機構 </strong></h3> <h2><strong style="vertical-align: top;">歐洲研究單位遭勒索軟體Ryuk攻擊，起因是學生安裝盜版軟體惹禍</strong></h2> <p>學術單位遭到攻擊，原因竟是使用者私自安裝非法軟體，而成為攻擊者入侵的管道。根據Sophos於5月6日公布的Ryuk勒索軟體攻擊的調查報告指出，位於歐洲、參與COVID-19及其他生命科學研究的生物分子研究中心遭到Ryuk攻擊，Sophos調查源頭發現，有一名學生想要安裝盜版的資料視覺化軟體，但實際上這是可竊取電腦的惡意程式，結果，不到2週的時間，這名學生的帳號密碼就被使用俄語的電腦濫用，再過不久，該研究中心也淪為Ryuk的受害者。<strong><a href="https://www.ithome.com.tw/news/144251">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃惡意程式攻擊＃漏洞攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">新Rootkit悄悄感染舊版Windows伺服器電腦</strong></h2> <p>卡巴斯基在亞洲和非洲國家的區域性外交組織網路上，發現稱為TunnelSnake的攻擊行動，攻擊者使用的rootkit被命名為Moriya。它是一種被動後門程式，感染連向網際網路的Windows伺服器。根據該公司從受害系統取得的惡意程式分析，這支後門可能是經由IIS 6.0伺服器漏洞CVE-2017-7269，使用中國菜刀（China Chopper）工具而駭入執行Windows Server 2003的伺服器。<strong><a href="https://www.ithome.com.tw/news/144271">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/145-2-CVE-2017-7269-attack.png" style="width: 400px; height: 223px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：卡巴斯基</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃行動裝置＃Android</strong></h3> <h2><strong style="vertical-align: top;">高通晶片漏洞影響全球3成手機</strong></h2> <p>資安業者Check Point揭露允許駭客存取手機簡訊或通話內容的漏洞CVE-2020-11292，該漏洞藏匿在高通行動數據機（MSM）晶片，估計波及全球30%手機，涵蓋來自Google、三星、LG、小米，以及One Plus等品牌的高階手機。</p> <p>這項漏洞Check Point於2020年8月通報，高通亦在12月修補，Google則預計於今年6月Android安全公告中提供相關修補。<strong><a href="https://www.ithome.com.tw/news/144272">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃DDoS攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">比利時ISP被DDoS攻陷，200多個政府與學術單位網路中斷</strong></h2> <p>負責提供網路服務的ISP業者一旦遭到攻擊，很可能直接影響連接該網路的用戶。由比利時政府資助、負責該國政府單位網路連線的ISP業者Belnet，約於5月4日中午遭到DDoS攻擊，影響200多個比利時政府單位、科學研究機構，以及大學等。Belnet於8日宣稱，情況已經完全得到控制。<strong><a href="https://www.ithome.com.tw/news/144202">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/145-3-BE-Gov-ISP-DDoS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Belnet.png" style="width: 400px; height: 327px;" /></p> <p><span style="color:#808080;">圖片來源：Belnet</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃網路釣魚攻擊＃惡意軟體攻擊</strong></span></h3> <h2><strong>中國駭客網釣滲透俄羅斯潛艇設計系統</strong></h2> <p>資安業者Cybereason於4月30日揭露，攻擊者利用名為RoyalRoad的惡意軟體發動魚叉式網釣攻擊，並夾帶先前未有記錄的後門Portdoor惡意軟體。而這次攻擊鎖定的目標，疑似俄羅斯的國防部承攬商紅寶石海洋機械中央設計局的董事總經理。該承攬商是俄羅斯三大潛艇設計公司之一，協助俄羅斯海軍設計核潛艇。<strong><a href="https://www.ithome.com.tw/news/144165">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露</strong></span></h3> <h2><strong style="vertical-align: top;">Dell修補存在12年的驅動程式漏洞</strong></h2> <p>Dell在5月4日發布資安公告，修補存在長達12年的驅動程式漏洞，該漏洞估計恐影響上千萬臺Dell筆電與桌機等產品。這項漏洞是CVE-2021-21551，由資安業者Sentinel通報，且由5項瑕疵組成，存在於驅動程式DBUtil（dbutil_2_3.sys）之中，並被Dell歸類為存取控管不足的漏洞，一旦遭到濫用，攻擊者可藉此執行惡意程式碼。<strong><a href="https://www.ithome.com.tw/news/144199">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞揭露＃勒索軟體攻擊＃SSL VPN</strong></span></h3> <h2><strong style="vertical-align: top;">SonicWall SSL VPN設備漏洞被用於勒索軟體攻擊</strong></h2> <p>FireEye於4月29日揭露濫用Fivehands勒索軟體的攻擊行動，駭客目標是歐洲和北美的組織，一旦勒索軟體攻擊成功，駭客不只會藉由媒體的關注來向受害者施加壓力，還會在駭客論壇出售資料獲利。而攻擊者入侵企業的管道，就是透過SonicWall SSL VPN設備的重大漏洞CVE-2021-20016，然後在受害電腦植入名為SombRAT的後門程式，並展開勒索軟體攻擊。<strong><a href="https://www.ithome.com.tw/news/144166">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃漏洞攻擊＃勒索軟體攻擊</strong></span></h3> <h2><strong style="vertical-align: top;">勒索軟體瞄準微軟SharePoint伺服器漏洞發動攻擊</strong></h2> <p>駭客組織濫用應用程式漏洞入侵的現象，時有所聞，根據趨勢科技近期發布的研究分析指出，攻擊者利用名為Hello的勒索軟體，並持續濫用SharePoint漏洞CVE-2019-0604。由於攻擊者要求受害者使用Wickr通訊軟體討論贖金相關事宜，因此該勒索軟體亦被稱為WickrMe。<strong><a href="https://www.ithome.com.tw/news/144143">詳全文</a></strong></p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144142">研究機構籲全球執法單位應共同對抗勒索軟體</a><br /> ●<a href="https://www.ithome.com.tw/news/144171">微軟預告7月將擴大強制移除Flash Player</a><br /> ●<a href="https://www.ithome.com.tw/news/144240">Google將強制用戶使用雙因素驗證</a><br /> ●<a href="https://www.ithome.com.tw/news/144198">美國國防部擴大抓漏專案到所有對外網路系統</a></h3> </div></div></div>
2021/5/11 19:27作者周峻佑https://www.ithome.com.tw/news/144342
資安一周第144期：威聯通NAS遭勒索軟體攻擊疑似與新的漏洞有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">4/29-5/4 一定要看的資安新聞</strong></h3> <h3> </h3> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃漏洞攻擊＃NAS</strong></span></h3> <h2><strong style="vertical-align: top;">威聯通NAS遭勒索軟體Qlocker攻擊有了新的進展，疑似與新的漏洞有關</strong></h2> <p>威聯通科技（QNAP）NAS設備遭勒索軟體Qlocker攻擊的事故，<a href="https://www.ithome.com.tw/news/144004">該公司最初在4月21日向新聞網站Bleeping Computer表示</a>，他們懷疑與QTS、多媒體主控臺，以及影音串流附加元件的重大漏洞有關，後來，該公司於4月22日指出，另一個漏洞CVE-2021-28799也與這起攻擊有所關連－－這項漏洞是臺灣資安業者如梭世代（ZUSO Generation）在3月通報，存在於提供備份與同步功能的Hybrid Backup Sync套件。</p> <p>對於Qlocker攻擊，威聯通於4月28日再度提出說明，表明經調查後發現，駭客僅濫用CVE-2021-28799，並利用程式碼內的弱點，非法取得存取權限而得手。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/144-1-Qlocker-QSA-21-13.png" style="width: 400px; height: 270px;" /></p> <p><span style="color:#808080;">圖片來源：威聯通</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃勒索軟體攻擊＃政府機關</strong></span></h3> <h2><strong style="vertical-align: top;">華盛頓特區警局遭勒索軟體入侵，駭客以公布線人身分作為要脅</strong></h2> <p>勒索軟體駭客組織鎖定警方下手，攻擊成功後以公布線民個資要脅受害單位支付贖金！勒索軟體駭客Babuk組織於4月26日宣稱，他們入侵華盛頓哥倫比亞特區大都會警察局（MPD），取得超過250GB資料。受害警局亦證實伺服器遭未經授權的存取。</p> <p>駭客公布部分取得檔案的螢幕截圖，揚言若是MPD在3天內不回應，就會向當地幫派洩露線人資訊。<strong><a href="https://www.ithome.com.tw/news/144077">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/144-2-DC-Police-Babuk.png" style="width: 400px; height: 230px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源：The Record</span></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃供應鏈攻擊＃DevOps </strong></h3> <h2><strong style="vertical-align: top;">DevOps基礎架構工具廠商HashiCorp成Codecov供應鏈攻擊受災戶</strong></h2> <p>在Codecov事件爆發後，資安業者認為很可能有軟體業者採用相關服務，影響範圍恐怕不只Codecov近3萬用戶。DevOps工具提供商HashiCorp表示，自家GPG私密金鑰已暴露外流，造成SHA256SUM簽章機制受影響，雖調查後沒發現非法使用情況，但已經更換金鑰來預防，同時也表示會持續調查、應變並通知用戶。<strong><a href="https://www.ithome.com.tw/news/144058">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃殭屍網路＃Emotet</strong></span></h3> <h2><strong style="vertical-align: top;">全球執法機構自遠端移除殭屍網路病毒Emotet</strong></h2> <p>今年1月下旬，Emotet被歐洲刑警組織（Europol）聯手多國執法機構拿下，為進一步移除相關威脅，當時美國司法部即預告，將定於4月25日遠端清除惡意程式：藉由原本派送病毒的管道，讓Emotet連結的伺服器更新檔案，置換為執法機構所提供的版本。如今也依照當時的規畫，執行清除惡意程式的作業。<strong><a href="https://www.ithome.com.tw/news/144089">詳全文</a></strong></p> <p> </p> <h3><strong style="color: rgb(178, 34, 34); vertical-align: top;">＃殭屍網路</strong></h3> <h2><strong style="vertical-align: top;">Sysrc-hello殭屍網路增強C2伺服器架構，大量受害電腦成為宿主，以擴展感染規模</strong></h2> <p>資安廠商Lackwork揭露名為Sysrc-hello的殭屍網路，利用已知漏洞散播其具挖礦劫持能力（Cryptojacking）的惡意軟體。攻擊者透過各種媒介散播，針對雲端工作負載（Cloud workloads）的漏洞，並執行注入的遠端程式碼，進而取得最初的存取權。而這些被利用媒介，包括了編程結構框架、開源企業搜尋平臺，以及企業軟體等。<strong><a href="https://www.ithome.com.tw/news/144065">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃iOS ＃應用程式追蹤政策 </strong></span></h3> <h2><strong style="vertical-align: top;">蘋果釋出iOS 14.5，應用程式追蹤透明化政策正式上路</strong></h2> <p>蘋果的應用程式追蹤透明化政策，也隨著近期正式發布的iOS 14.5上路。日後應用程式必須取得用戶許可，才能夠跨程式或跨網站追蹤，或是分享追蹤資料給其他單位等，並強調若是用戶拒絕被追蹤，開發者仍應提供一致的功能。<strong><a href="https://www.ithome.com.tw/news/144059">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃macOS ＃漏洞攻擊</strong></span></h3> <h2><strong>蘋果釋出macOS 11.3</strong></h2> <p>蘋果macOS於4月26日推出11.3版，其中修補的60個漏洞中，最值得留意的是CVE-2021-30657，這項漏洞允許攻擊者繞過Gatekeeper等作業系統內建的防護機制，且已傳出漏洞被用於攻擊行動，無論是採用Intel處理器或M1處理器的Mac電腦，都會受到影響，多名研究蘋果漏洞的資安研究員皆呼籲，用戶要儘速安裝Big Sur 11.3。<strong><a href="https://www.ithome.com.tw/news/144063">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃應用程式追蹤政策</strong></span></h3> <h2><strong style="vertical-align: top;">Google實做疫情追蹤機制存在瑕疵，Android手機恐曝露用戶隱私</strong></h2> <p>能確認手機用戶周遭是否有COVID-19確診人員的系統GAEN，疫情、地理位置、系統資訊可能會被特定平臺的手機洩露。AppCensus的共同創辦人Joel Reardon指出，由於開發GAEN平臺之一的Google採用的流程有瑕疵，可能導致Android使用者與週遭用戶的GAEN資訊曝光。</p> <p>為何會存在這樣的隱私曝露風險？Joel Reardon表示，原因與Google將GAEN的資訊存放於系統記錄有關，而這些記錄許多Android手機的預裝程式都能存取，一旦有人利用這些預裝程式取得GAEN記錄，不只能推斷手機使用者的健康狀態，還能推測手機使用者與其他人的關係。</p> <p>Joel Reardon於2月19日通報上述研究成果，但Google認為這不是漏洞而拒絕處理，使得該研究人員決定公開細節來督促Google修補。<strong><a href="https://www.ithome.com.tw/news/144105">詳全文</a></strong></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃金融業＃資安法規遵循</strong></span></h3> <h2><strong style="vertical-align: top;">證交所修訂重大訊息處理程序，上市公司發生資安事故應揭露於重大訊息</strong></h2> <p>為了強化資安事件重大訊息發布的重要性，並使得法源依據明確，臺灣證券交易所在4月27日傍晚發布公告，修訂重大訊息處理程序，指出已明訂上市公司一旦發生重大資安事件，應對外發布重大訊息。</p> <p>對於相關修正條文的發布，是在第4條上市公司重大訊息中的第26項規範，正式將資通安全事件明確訂於法規定義需公告的重大情事範圍。<strong><a href="https://www.ithome.com.tw/news/144098">詳全文</a></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/144-3-disclosure-info.png" /></p> <p><span style="color:#808080;">圖片來源：臺灣證券交易所</span></p> <p> </p> <h3><span style="vertical-align: top; color: rgb(178, 34, 34);"><strong style="vertical-align: top;">＃資安大型會議</strong></span></h3> <h2><strong style="vertical-align: top;">臺灣資安大會於5月4日舉行，新增資安人才專區</strong></h2> <p>臺灣最大的資安盛事「Cybersec 2021臺灣資安大會」在5月4日至6日，於臺北南港展覽館二館舉行，總統蔡英文、美國在臺協會處長酈英傑將親臨現場，預計會有超過8千名與會者參加。此次大會有超過200名國內外資安專家帶來多元主題演講，臺灣資安大展展覽規模擴大1.5倍，超過200家國內外領導品牌展出最新解決方案。</p> <p>有鑑於全球對資安人才迫切需求，本次大會特設「Cyber Talent專區」，串連資安新鮮人與資安育才、用才單位。自2020年推出、廣受好評的「Cybersec Playground資安體驗區」，今年將擴大為7個體驗活動。</p> <p> </p> <p> </p> <h2><span style="vertical-align: top; color: rgb(51, 153, 255);"><strong style="vertical-align: top;">更多資安動態</strong></span></h2> <h3>●<a href="https://www.ithome.com.tw/news/144067">英特爾與微軟聯手對抗挖礦惡意程式</a><br /> ●<a href="https://www.ithome.com.tw/news/144042">殭屍網路Prometei利用Exchange漏洞進行攻擊</a><br /> ●<a href="https://www.ithome.com.tw/news/144088">Clop成為2021年第1季前5大勒索軟體駭客組織</a><br /> ●<a href="https://www.ithome.com.tw/news/144038">研究DNS快取污染的資安研究員Dan Kaminsky驟逝</a></h3> </div></div></div>
2021/5/11 18:11作者周峻佑https://www.ithome.com.tw/news/144340
AWS Systems Manager加入事件管理器助IT快速解決突發事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其系統管理服務Systems Manager中，加入意外事件管理功能<a href="https://aws.amazon.com/tw/blogs/aws/resolve-it-incidents-faster-with-incident-manager-a-new-capability-of-aws-systems-manager/">Incident Manager</a>，協助用戶準備應對事件回應資源，並在應用程式和基礎設施意外事件發生時，可快速有效應對，而在解決事件之後，也能詳細地分析事件發生原因，且加以改善。</p> <p>從1995年Amazon.com上線以來，Amazon團隊負責了該服務的意外事件回應，而在總結多年應對各種規模的應用程式以及基礎設施意外事件的經驗，Amazon主要事件管理團隊設計出了Incident Manager，協助AWS用戶準備並快速回應突發事件。</p> <p>用戶可以使用Incident Manager為意外事件做準備，創建事件回應資源集，而這些回應資源在警示響起時，早已準備好隨時可供使用，事件回應資源集有三個部分，第一是聯絡人，包括參與解決事件的成員，以及聯絡方式，第二是事件升級（Escalation）計畫，當主要待命的回應者沒有即時對事件做出回應，則呼叫其他聯絡人，第三則是回應計畫，規畫參與回應的人員，應該要執行的工作，以及協作的管道。</p> <p>IT系統總有發生意外的時候，值班工程師便需要能快速恢復服務，因此分秒必爭，而準備好的資源可以讓工程師，不需要慌張的找尋操作文件，以及協作成員的聯絡方式，AWS提到，嚴重的問題通常需要升級，盡管可以從團隊成員獲得幫助，但要進行協作迅速解決問題，需要有效的溝通，在事件解決之後，工程師也需要從事件記錄中，找到問題根源，以改善平臺和事件回應程序。</p> <p>而Incident Manager的設計目的，是要協助企業建立事件準備以及回應實踐。用戶透過創建回應計畫，以標準化地方式準備事件，一旦事件發生時，就能立即做出反應並且快速解決，而回應事件可以由用戶選擇使用Amazon CloudWatch警示，或是Amazon EventBridge事件通知自動觸發，必要的時候，用戶也可以手動啟用回應計畫。</p> <p>當回應計畫啟動時，用戶可以快速找到聯絡人資訊，而新的儀表板會自動出現在事件管理器控制臺中，提供事件所涉及事務的資訊，包括事件概述，讓回應者可以迅速準確了解情況，還有與事件相關的CloudWatch指標和警示圖，可供回應者掌握最新狀況。</p> <p>事件時間軸會列出事件管理器中所有事件，還有回應者手動添加的自定義事件，回應者也可查看回應計畫中的手冊與當前執行狀態，事件管理器提供預設模版，提供分類、診斷、緩解和恢復步驟，一旁還有聯絡人資訊以及聯絡頻道連結。</p> <p>當事件解決之後，用戶可以使用內建模版，或是自定義的模版，來創建事件分析，以快速找出事件發生的根本原因，並規畫未來遭遇相同情況時，更快解決問題的方法。AWS提到，透過查看和編輯事件時間表，用戶可以放大特定事件及其處理方式，Incident Manager會自動在分析中添加問題，用戶可以透過回答這些問題，找出潛在改進的方法，並且在事件回應程序中加入這些方法。</p> <p>最後事件管理器會提供建議操作項目，用戶可以選擇接受或是關閉，當用戶接受某個項目，該項目便會被加入清單中，用戶必須完成清單所有項目，才能夠關閉分析。目前Incident Manager已經在美東、美西、歐洲啟用，而亞太則在東京、新加坡和雪梨提供。</p> </div></div></div>
2021/5/11 16:09作者李建興https://www.ithome.com.tw/news/144337
勒索軟體集團盜走並公布MacBook電路圖，蘋果第三方維修工程師如獲至寶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前<a href="https://www.ithome.com.tw/news/143958" target="_blank">BleepingComputer</a>報導，蘋果筆電製造商廣達遭到勒索軟體REvil攻擊，駭客並以自廣達盜走的蘋果產品藍圖向蘋果勒索，本周<a href="https://www.vice.com/en/article/4avven/how-rehacking-group-did-apple-repair-p-an-accidental-favor" target="_blank">Motherboard</a>則報導，與MacBook相關的設計文件已流落在地下論壇，且讓第三方的蘋果維修工程師如獲至寶。</p> <p>外傳駭客向廣達與蘋果索取高達5,000萬美元的贖金，但不管是廣達或蘋果都未對外證實或評論此事。</p> <p>不論如何，駭客已於網路上公布了某些文件，而根據Motherboard的訪查，外流的PDF檔內含MacBook元件的接線圖，以及MacBook主機板的布局，這些文件其實只是MacBook元件的連接圖，並沒有說明每個元件是什麼或其功能，也無法利用相關文件來複製一臺MacBook，然而，主機板的布局對維修工程師而言異常重要，它充滿了電路與晶片，且為能否回復重要資料的關鍵。</p> <p>儘管這些文件屬於蘋果的智慧財產權，光是分享就可能觸法，但根據報導，相關文件不但廣為流傳，而且深受維修工程師的歡迎，他們透過網路、隨身碟與光碟互相分享，而且認為這些資訊原本就不該是秘密，因此也不覺得這有什麼道德上的問題。</p> <p>蘋果產品維修中心Rossmann Repair Group創辦人Louis Rossmann向媒體透露，這些外洩的文件將協助他能夠回復某些人的資料，他並不贊成駭客攻擊並外洩蘋果資訊，但倘若蘋果願意，他願意每年支付1,000美元的金額來訂閱相關資訊。</p> </div></div></div>
2021/5/11 16:03作者陳曉莉https://www.ithome.com.tw/news/144336
四名經營防彈主機服務的東歐人士遭逮認罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/four-individuals-plead-guilty-rico-conspiracy-involving-bulletproof-hosting-cybercriminals" target="_blank">美國政府昨（10）日宣布</a>，提供多個惡意程式代管服務的防彈主機（bulletproof hosting）罪嫌在本周坦承犯行。</p> <p>2015年美國聯邦調查局（FBI）協助德國、英國及愛沙尼亞警方合作下，查獲由俄羅斯人Aleksandr Grichishkin、Andrei Skvortsov、拉脫維亞人Aleksandr Skorodumov及愛沙尼亞人Pavel Stassi營運的防彈主機服務。這類服務專門出租IP位址、伺服器、網域給網路罪犯，以散布惡意程式。</p> <p>從2009到2015年Zeus、SpyEye、Citadel和Blackhole背後的組織，使用這四人經營的代管服務散布惡意程式，攻擊美國企業及金融業。美國司法部文件指出，他們的防彈主機服務監控封鎖、過濾罪犯使用的伺服器，將惡意程式移到新網域上，並將這些網域以不實或竊取來的實體名稱註冊，藉此躲避執法單位的偵測。</p> <p>美國代理助理司法部長Nicholas McQuaid指出，防彈主機業者、洗錢者、竊取身份資訊供應商的罪行不小於惡意程式主謀，都應該接受法律制裁。</p> <p>歐、美政府近來多次破獲協助犯罪的基礎架構服務。去年年底美國和德國、荷蘭等多國警方，<a href="https://www.ithome.com.tw/news/141828" target="_blank">聯手破獲受網路罪犯愛用的VPN服務Safe-Inet</a>。今年初歐洲警方也聯手<a href="https://www.ithome.com.tw/news/142186" target="_blank">破獲網路最大黑市DarkMarket</a>。今年二月<a href="https://www.ithome.com.tw/news/142789" target="_blank">司法部也起訴三名北韓人士</a>涉嫌參與Lazarus組織，後者犯下索尼影業（Sony Pictures Entertainment）網路攻擊行動、入侵包括臺灣在內的銀行網路與詐騙SWIFT訊息以盜走12億美元現金，以及發動WannaCry勒索軟體等。</p> </div></div></div>
2021/5/11 14:24作者林妍溱https://www.ithome.com.tw/news/144330
WhatsApp本周即將啟用新用戶條款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月初因宣布蒐集用戶個資的新版用戶條款引發眾怒的WhatsApp，將在本周六（5/15）正式啟用新版條款。不過WhatsApp重申，不同意者也不會被刪除帳號，但是功能會變少，包括無法收取訊息或視訊。</p> <p><a href="https://www.ithome.com.tw/news/142081" target="_blank">一月初WhatsApp宣布</a>新版用戶條款，並計畫上路後若用戶不同意，即會被刪除帳號。此舉引發用戶不滿，一來是因為用戶誤以為WhatsApp要把用戶資訊，全部分享給臉書集團事業單位，如IG、以臉書帳號的Oculus及Portal等，並引發出走潮，湧向Signal、Telegram等有加密的通訊軟體。隨後臉書也兩度妥協，一是<a href="https://www.ithome.com.tw/news/142298" target="_blank">將日期推遲到5月15日</a>，二是<a href="https://www.ithome.com.tw/news/142851" target="_blank">即使宣布</a>用戶不接受也不會被刪帳號，只是部份功能暫時無法使用，但如果日後用戶同意了，就會恢復功能。</p> <p>WhatsApp澄清，只有用戶點入臉書和IG廣告、或在臉書、IG、WhatsApp購物，或是和店家通訊時，才需要分享電話、使用裝置軟硬體、上網紀錄及用戶部分個資，以顯示個人化廣告。</p> <p>針對堅持離開WhatsApp的用戶，根據<a href="https://faq.whatsapp.com/general/security-and-privacy/what-happens-when-our-terms-and-privacy-policy-updates-take-effect/?lang=zh_tw" target="_blank">WhatsApp政策網頁</a>，從5月15日起，未接受新版用戶政策的用戶將無法存取對話清單，但仍然可接聽來電和視訊通話。若有啟用通知，可以點擊通知閱讀或回應訊息，或回撥漏接的語音通話或視訊通話。</p> <p>幾週後這些用戶將無法接聽來電或接收通知，連傳送訊息和接聽通話都無法使用。</p> <p>這些用戶可以在Android或iPhone手機上匯出對話記錄，或<a href="https://faq.whatsapp.com/general/account-and-profile/how-to-request-your-account-information" target="_blank">下載帳號報告</a>。</p> <p>但值得注意的是，雖然WhatsApp說不會刪除用戶帳號，但是這些用戶也將適用<a href="https://faq.whatsapp.com/general/account-and-profile/about-inactive-account-deletion" target="_blank">不活躍使用者相關政策</a>。在此政策下，如果WhatsApp使用者連續 120 天沒有任何活動，他們的 WhatsApp帳號將遭刪除。</p> </div></div></div>
2021/5/11 14:51作者林妍溱https://www.ithome.com.tw/news/144333