iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 29篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 141 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>嚴重程度僅次於Heartbleed、ShellShock之重大漏洞Log4Shell，不光是利用相關漏洞的攻擊態勢加劇，還傳出有第2個（CVE-2021-45046）、第3個衍生漏洞！而且，漏洞的影響範圍可能還到了火星。值得留意的是，攻擊者已經開始進一步使用其他攻擊手法，例如，在攻擊流程改以針對JVM使用遠端方法呼叫（RMI）的管道發動攻擊，取代多數Log4Shell攻擊行動所鎖定的LDAP。</p> <p>除此之外，透過間諜軟體攻擊工業控制系統（ICS）的情況，有資安業者看到針對全球的大規模攻擊行動，駭客融合了北韓Lazarus和中國APT41的攻擊手法，而難以判斷攻擊者的身分。</p> <p>趨勢科技最近也發布了2022年的資安趨勢預測，當中特別提及，他們認為勒索軟體駭客將會發動4重勒索，不光加密及外洩檔案、DDoS攻擊，且會對受害組織的上下游進行供應鏈攻擊，以脅迫受害者付贖金，而相當值得留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/hackers-begin-exploiting-second-log4j.html"><span style="color: rgb(0, 0, 0);">Log4Shell衍生的漏洞遭到廣泛利用</span></a></strong></h4> <p>網路基礎設施業者Cloudflare指出，Log4Shell未修補完全而產生的第2個漏洞CVE-2021-45046，他們已經看到攻擊者積極利用這項漏洞，呼籲IT人員要儘速更新Log4j至2.16.0版。揭露這項漏洞的資安業者Praetorian指出，他們又在2.15.0版找到第3個漏洞，攻擊者可在特定情況下用於洩露資料，不過，該公司為了避免此漏洞遭到利用，並未透露更多細節。這個Log4j漏洞是否已於2.16.0版修補，目前仍不明朗。</p> <h4><strong><a href="https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi"><span style="color: rgb(0, 0, 0);">鎖定Log4Shell漏洞的攻擊手法出現變化，駭客以RMI發動挖礦攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/Log4j_rmi_attack.png" style="width: 300px; height: 172px; float: right;" /></span></a></strong></h4> <p>利用Apache Log4j重大漏洞「Log4Shell」發動攻擊的態勢，已出現多種型態的手法，且國家級駭客也加入行列。不過，也有部分的攻擊者調整戰術，而讓IT人員更難以防範。資安業者Juniper Networks指出，他們看到部分利用Log4Shell的攻擊者，從原本使用LDAP的服務，改用遠端方法呼叫（RMI）的API來進行，亦有一些駭客是LDAP、RMI同時並用，最終目的是注入門羅幣挖礦程式。這些駭客改用RMI的原因，研究人員指出，主要是防守方和相關防護工具，聚焦於JNDI和LDAP監控，RMI可能會被忽略，若是受害電腦使用的JVM缺乏嚴略的管制政策，攻擊者有機會更容易發動RCE攻擊。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148425"><span style="color: rgb(0, 0, 0);">NASA探索火星的機智號故障，傳出疑似受到Log4Shell漏洞波及</span></a></strong></h4> <p>在全球造成嚴重災情的Log4Shell漏洞，傳出也可能波及到了外太空！根據The Register等媒體的報導，本月初美國太空總署（NASA）用來探索火星的機智號（Ingenuity）直升機，在第17次探勘任務中，發生飛行過程資料傳輸中斷的情況，再加上Apache在今年6月公開機智號使用Log4j的推文遭到刪除，外界懷疑本次任務出錯與Log4Shell有關。對此，NASA沒有正面回應，僅表示機智號系統正常，只是回傳的資訊不足導致任務沒有圓滿成功。</p> <h4><strong><a href="https://ics-cert.kaspersky.com/reports/2021/12/16/pseudomanuscrypt-a-mass-scale-spyware-attack-campaign/"><span style="color: rgb(0, 0, 0);">大規模間諜軟體PseudoManuscrypt攻擊鎖定工控系統而來<img alt="" src="https://s4.itho.me/sites/default/files/images/2112-pseudomanuscrypt-13-en.png" style="width: 300px; height: 154px; float: right;" /></span></a></strong></h4> <p>卡巴斯基指出，他們從2021年6月發現疑似鎖定工業控制系統（ICS）而來的間諜程式PseudoManuscrypt，自1月20日至11月10日，他們在全球195個國家、35,000臺電腦上攔截這個間諜程式的攻擊，攻擊目標為政府組織、軍工業、實驗室，其中，至少有7.2%受害電腦是ICS的一部分。這個間諜軟體具備Lazarus惡意程式Manuscrypt的特徵，但採用中國駭客組織APT41常用的KCP通訊協定，再加上攻擊者使用中文，駭客很有可能來自中國。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/l/collecting-in-the-dark-tropic-trooper-targets-transportation-and-government-organizations.html"><span style="color: rgb(0, 0, 0);">駭客組織Earth Centaur利用ProxyLogon漏洞入侵運輸業者<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-EarthCentaur.png" style="width: 300px; height: 164px; float: right;" /></span></a></strong></h4> <p>趨勢科技揭露自2020年7月開始，名為Earth Centaur（亦稱Tropic Trooper）的網路間諜發起攻擊行動，目標是運輸業有關的組織與政府機構。該組織透過易受攻擊的IIS與Exchange伺服器入侵組織（如利用ProxyLogon漏洞），並使用惡意程式載入器Nerapack來投放RAT木馬程式Quasar，攻擊者亦在攻擊行動中，企圖存取航班時刻表、財務規畫文件等組織內部資料，以及探測受害電腦的個人資料。研究人員指出，Earth Centaur精通紅隊演練的技巧，並依據攻擊目標使用各式後門，或是透過反向代理繞過資安系統的監控。</p> <h4><a href="https://blog.checkpoint.com/2021/12/16/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/"><span style="color: rgb(0, 0, 0);"><strong>殭屍網路Phorpiex變種挾持加密貨幣交易，得手近50萬美元</strong></span></a></h4> <p>資安業者Check Point發現名為Twizt的殭屍網路病毒，藉由名為Crypto Clipping的攻擊手法，自動透過作業系統剪貼簿的功能，將受害者的錢包網址替換成駭客的錢包，在最近1年內，至少有969筆交易遭到攔截，攻擊者得手3.64個比特幣、55.87個以太幣，以及價值5.5萬美元的ERC20代幣，價值接近50萬美元，受害者大多位於衣索比亞、奈及利亞、印度。研究人員指出，Twizt是自2016年出現的殭屍網路Phorpiex變種。</p> <h4><a href="https://www.pentestpartners.com/security-blog/gumtree-leaking-your-data-and-not-really-listening/"><span style="color: rgb(0, 0, 0);"><strong>英國廣告網站Gumtree洩露廣告主個資<img alt="" src="https://s4.itho.me/sites/default/files/images/gtree1.png" style="width: 300px; height: 163px; float: right;" /></strong></span></a></h4> <p>滲透測試服務業者Pen Test Partners指出，他們發現英國知名廣告網站Gumtree，在HTML程式碼洩露賣家的個資，包含了電子郵件地址、郵遞區號、GPS位置，以及賣家的姓氏。研究人員指出，他只需要在瀏覽廣告網頁時按下F12，就能取得上述個資。這樣的情況，使得賣家在廣告裡拒絕透露上述資訊的配置形同虛設。此外，該公司指出，Gumtree專門提供給iOS設備的API，容易受到不安全的直接物件參照（IDOR）攻擊，而洩露賣家全名與更多個資。Gumtree獲報後已著手修復，但一度告知研究人員「得到回應就是一種獎勵」，企圖拒絕支付IDOR漏洞的懸賞獎金。</p> <h4><strong><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-alphv-rust-ransomware"><span style="color: rgb(0, 0, 0);">Rust勒索軟體BlackCat透過遠端桌面軟體入侵受害電腦</span></a></strong></h4> <p>資安研究團隊MalwareHunterTeam於12月3日，向Bleeping Computer透露，<a href="https://www.bleepingcomputer.com/news/security/alphv-blackcat-this-years-most-sophisticated-ransomware/">他們在11月21日看到第一個以Rust程式語言製作，且被用於攻擊行動的勒索軟體BlackCat（亦稱Alphv、Noberus）</a>。賽門鐵克於12月16日揭露了更多細節，指出他們看到在11月3日就有相關的攻擊行動，迄今他們已經發現3種BlackCat的變種，並發現攻擊者入侵受害電腦的管道，是透過名為ConnectWise Connect的遠端桌面軟體。</p> <h4><strong><a href="https://www.trendmicro.com/content/dam/trendmicro/global/zh_tw/security-intelligence/threat-report/report/2022%20Predictions_TW_Final.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體駭客將攻擊範圍擴及受害者的供應鏈，形成「4重勒索」</span></a></strong></h4> <p>趨勢科技發表2022年資安預測，提出3大觀察重點，首先是高科技製造業是勒索軟體駭客的頭號目標，駭客可能會發展「4重勒索」攻擊模式，不只加密檔案、外洩內部機密、發動DDoS攻擊，還會藉由供應鏈攻擊讓受害層面擴大；再者，供應鏈也是駭客著眼的攻擊目標，他們會針對開發者、企業配合的外部廠商下手。此外，民眾對於各式網路服務更加依賴，再加上共用密碼的情況相當普及，也使得攻擊者竊取個資的情況將會更為嚴重。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/sap-patches-log4shell-vulnerability-20-applications"><span style="color: rgb(0, 0, 0);">SAP修補20個應用程式的Log4Shell漏洞</span></a></strong></h4> <p>針對Log4j的重大漏洞「Log4Shell」，許多廠商已盤點旗下產品有那些受到影響。例如，根據資安業者Onapsis指出，截至12月14日，SAP已經確認旗下有32個應用程式受到Log4Shell波及，並對於其中20個發布修補程式，另外12個軟體的更新檔案正在製作中。但在Log4Shell漏洞之外，Onapsis也提醒用戶也要安裝SAP推出的例行修補，當中也修復數個重大漏洞。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148416"><span style="color: rgb(0, 0, 0);">聯想電腦管理軟體爆權限擴張漏洞，影響ThinkPad、Yoga系列產品</span></a></strong></h4> <p>資安業者NCC Group在聯想筆電的管理軟體Lenovo Vantage中、系統管理服務Lenovo System Interface Foundation中，發現可被用來提升攻擊者權限的漏洞。這些漏洞存在於上述軟體的IMController元件，影響該公司旗下ThinkPad與Yoga系列的產品。聯想獲報後已完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.cyberscoop.com/malvertising-dod-ron-wyden-adblockers/"><span style="color: rgb(0, 0, 0);">美國國防部全面部署防範惡意廣告威脅的措施</span></a></strong></h4> <p>根據美國國防部（DoD）12月13日發出的信件指出，美國國家安全局（NSA）、中央情報局（CIA）、聯邦調查局（FBI）等軍情單位（IC），國防資訊系統局（DISA）已採取一系列的防禦措施，來因應惡意廣告（Malvertising）所帶來的威脅。這些措施包含了網頁內容過濾器、Sharkseer人工智慧偵測工具，以及基於雲端的網際網路隔離系統（CBII）等。</p> <p><strong><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/9590697f-3908-487b-bd85-7120cfb1192e">資安處公布11月資安事件通報數91件，並公布9大事項要各機關注意</a></strong></p> <p><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/9590697f-3908-487b-bd85-7120cfb1192e"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-17_141353_%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%B6%B2%E8%B7%AF%E6%9C%88%E5%A0%B1.jpg" style="width: 280px; float: right;" /></a></p> <p>在12月15日，行政院資通安全處發布資通安全網路月報（110年11月），除指出本月資安事件通報數量為91件，當中也提到近期多項重要政策已施行，執行面需要各機關配合，包括：包括優先採購國內資安自主產品、落實原則禁止遠端連線，導入資安弱點通報（VANS）及端點偵測機制（EDR），以及參考最新版資訊服務採購契約範本，在今年12月底前將資安相關要求，納入契約規範等。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148380"><span style="color: rgb(0, 0, 0);">密碼管理服務LastPass成為獨立公司</span></a></strong></h4> <p>IT服務業者LogMeIn於14日宣布，有鑑於全球市場愈來愈重視密碼安全，他們準備讓旗下的密碼管理服務LastPass，成為獨立的公司來因應這樣的趨勢。LogMeIn表示，LastPass獨立之後，將會增加對客戶經驗、市場功能、工程的投資，以加速其密碼管理、單一簽入（SSO）與多因素認證（MFA）的研發。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kali-linux-20214-released-with-9-new-tools-further-apple-m1-support/"><span style="color: rgb(0, 0, 0);">滲透測試工具Kali Linux強化Samba相容性，改善Arm裝置支援<img alt="" src="https://s4.itho.me/sites/default/files/images/banner-2021_4-release.jpg" style="width: 300px; height: 157px; float: right;" /></span></a></strong></h4> <p>美國資安業者Offensive Security近日發布Kali Linux 2021.4，新版本增加9項工具，並改良Samba的相容性，以便更容易執行相關的滲透測試工作。值得一提的是，對於搭載蘋果M1處理器的電腦，除了能透過Parallels虛擬化平臺執行，新版本因為導入了Linux Kernel 5.14版，而擁有對應的GPU元件，也能夠在VMware Fusion上運作。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> </div></div></div>
2021/12/17 13:31作者周峻佑https://www.ithome.com.tw/news/148426
巴克萊銀行將私有雲搬上HPE GreenLake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2021/12/barclays-selects-hpe-greenlake-for-private-cloud-platform.html" target="_blank">HPE昨（16）日宣布</a>英國巴克萊銀行（Barclays）將把全球基礎架構搬上HPE GreenLake私有雲平臺，以執行10萬多項工作任務。</p> <p>在這項合約下，巴克萊銀行將把舊式系統搬上以HPE GreenLake邊緣到雲端（edge to cloud）平臺架構私有雲，以推動這家銀行的混合雲及數位轉型策略。未來架構在HPE GreenLake上的巴克萊全球私有雲將執行數千項應用，以及10萬多項任務，涵括虛擬桌機基礎架構（virtual desktop infrastructure，VDI）、SQL Server<em>資</em>料庫，以及Windows和Linux系統。</p> <p>由舊式系統搬到HPE GreenLake的工作，將由HPE Pointnext 服務部門和巴克萊合作。這私有雲的管理、安全修補、功能更新及最佳化也都由HPE負責。未來巴克萊只需依使用資源付費，一切採購、擴充、使用量、或安全控管設定都可由HPE GreenLake Central介面來操作。</p> <p>HPE GreenLake目前在50國有1,250家客戶，客戶合約價值57億美元。<a href="https://www.ithome.com.tw/news/146352" target="_blank">HPE 8月公布成立GreenLake銷售部門</a>，將Ezmeral容器管理、協同、IT自動化、AI產品、GreenLake Lighthouse零信任安全軟體以及相關軟體整合為一，強化以GreenLake為中心的雲端服務（as a service）業務。</p> <p>HPE的雲端業務將直接與<a href="https://www.ithome.com.tw/news/148306" target="_blank">由IBM分拆的IT服務商Kyndryl</a>競爭。10月Kyndryal與Google Cloud簽訂合作，將鎖定雲端資料分析、人工智慧應用、SAP搬上雲端等業務重點，也將推動金融業採用Google Cloud平臺的建置及維運。</p> </div></div></div>
2021/12/17 14:43作者林妍溱https://www.ithome.com.tw/news/148429
蘋果釋出Swift Playgrounds 4，可直接在iPad上打造並提交程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.apple.com/news/?id=v868vy6e&1639593362" target="_blank">蘋果本周三（12/15）正式釋出了Swift Playgrounds 4</a>，這是蘋果專為Swift程式語言所設計的學習及建置環境，最新的版本允許開發者直接於iPad上撰寫程式，並直接將程式提交至App Store Connect。</p> <p>Swift Playgrounds同時支援iPad與Mac，但過去只能在Mac上撰寫及提交程式，在iPad上的功能則是著重於學習。然而，Swift Playgrounds 4翻轉了此一情況，開發者不但能在iPad上建置程式，還能邊修改程式碼邊預覽程式，或是以全螢幕預覽，並直接提交程式，讓iPad搖身一變成為開發裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-Swift%20Playgrounds-4.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_蘋果</span></p> <p>此外，Swift Playgrounds 4也支援Swift Packages，它內含許多可重複使用的程式碼，以加速程式開發腳步。此一版本支援採用iPadOS 15.2或更新版本的iPad。</p> </div></div></div>
2021/12/17 14:49作者陳曉莉https://www.ithome.com.tw/news/148430
美國政府以侵害人權為由，將DJI等8家中國業者列入投資黑名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141789" target="_blank">美國商務部去年基於國安理由</a>，將大疆科技（DJI）等中國業者列入禁止科技輸入的實體清單。<a href="https://home.treasury.gov/news/press-releases/jy0538" target="_blank">本周美國財政部再將DJI等8家中國廠商加入投資黑名單</a>，理由是協助中國政府監控新疆地區維吾爾人。</p> <p>美國財政部外國資產控管制辦公室（Office of Foreign Assets Control）指出，這8家廠商協助開發生物辨識技術，支持中國政府對少數民族及宗教團體的監控，包括新疆自治區的維吾爾穆斯林，它們已被列入「非SDN-中國軍事綜合體企業（Non-SDN Chinese Military-Industrial Complex Companies (NS-CMIC)）清單。此舉將禁止美國人買賣與這些公司有關的證券或股票。</p> <p>美國政府指出，中國自2016年擴大對新疆維吾爾自治區的監控，包括設立警察監控哨、無所不在的監控攝影機、收集生物辨識資料以查證身份、侵入式監控網路使用，以及關押上百萬當地人民。美國政府指控這8家廠商提供科技或技術，協助中國政府執行侵害人權的監控行動。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy0538" target="_blank">根據這項清單</a>，這8家廠商包括大疆科技、曠視科技（Megvii）、東方網力科技（NETPOSA）、立昂技術（LEON TECHNOLOGY）、曙光信息（Dawning Industry）、雲從科技（Cloudwalk）、依圖科技（Yitu）、美亞柏（Meiyo Pico）。</p> <p>這些業者都未公開回應。但<a href="https://www.theverge.com/2021/12/16/22839970/dji-chinese-military-industrial-complex-investment-blacklist" target="_blank">The Verge</a>引述DJI公司去年被列入實體清單時的聲明，指出DJI從未涉入任何實體清單指稱的作為，該公司向來致力於開發拯救性命造福社會的產品。</p> <p><a href="https://www.ithome.com.tw/news/148045" target="_blank">上個月美國商務部也公布最新實體清單</a>，禁止美國量子電腦技術輸出給8家廠商及學術機構。美國政府宣稱此舉是為了防範其量子技術被用於協助中國解放軍開發破解加密的量子電腦，以及不可被破解的加密技術等。</p> </div></div></div>
2021/12/17 14:05作者林妍溱https://www.ithome.com.tw/news/148427
Alphabet旗下打造智慧城市應用的Sidewalk Labs結束營運，相關產品將併入Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/sidewalk-talk/my-next-chapter-fighting-als-207ce7ca69c8" target="_blank">Alphabet旗下專門研發智慧城市的Sidewalk Labs本周宣布</a>，將結束公司，並將相關產品與技術轉移至Google。</p> <p><a href="https://www.ithome.com.tw/news/96723" target="_blank">Google在2015年成立Sidewalk Labs</a>，因<a href="https://www.ithome.com.tw/news/98007" target="_blank">Google組織重組</a>之故，Sidewalk Labs同年即成為Alphabet子公司，而Sidewalk Labs從創立以來一直由Daniel Doctoroff擔任執行長。</p> <p>Doctoroff表示，他的家族有遺傳性硬化症（ALS，漸凍人），而這兩年他也幾乎被確診為ALS，決定多留一些時間陪伴家人，以及投入他在2010年創立的Target ALS硬化症研究組織，因此將辭去Sidewalk Labs執行長一職，而Sidewalk Labs在他任內所建立的產品與服務，都將移轉至Google。</p> <p>Sidewalk Labs在2017年於加拿大發起Quayside專案，計畫於當地建立一個導入先進城市設計與數位技術的Quayside社區，該社區可能充斥著自動車、以創新的方式來收集垃圾、有全新設計的建築、特別的自行車道，還會架設數百個監視器，來偵測空氣品質或人們的移動。</p> <p>然而，Quayside專案卻受到當地居民的排斥，民眾拒絕成為數位實驗的白老鼠，批評眾多的監視器會讓該社區變成監控烏多邦，也擔心隱私問題，使得該專案的腹地從最初規畫的800英畝（323萬平方米）土地，大幅縮小至12英畝（4.8萬平方米），Sidewalk Labs則在去年5月，以受到COVID-19疫情影響為由，宣布放棄Quayside專案。</p> <p>不論Sidewalk Labs結束原因為何，該公司在這幾年所開發的產品及服務都將轉移至Google，包括<a href="https://www.sidewalklabs.com/insights/introducing-pebble-a-low-cost-way-to-manage-parking-and-curbs" target="_blank">停車管理產品Pebble</a>、<a href="https://www.sidewalklabs.com/products/mesa" target="_blank">大樓電力管理產品Mesa</a>、<a href="https://www.sidewalklabs.com/products/delve" target="_blank">房地產設計工具Delve</a>，以及<a href="https://www.sidewalklabs.com/products/affordable-electrification" target="_blank">家用電力管理產品Affordable Electrification</a>。</p> <p>上述產品或服務雖然將轉至Google，但仍將由Sidewalk Labs的城市產品總裁Prem Ramaswami與技術長Craig Nevill-Manning負責。</p> <p>此外，Sidewalk Labs原本計畫成立一家可製造大型木結構建築的<a href="https://www.sidewalklabs.com/products/mass-timber" target="_blank">自動化工廠Canopy Buildings</a>，此一任務則會交由Alphabet接棒。</p> </div></div></div>
2021/12/17 14:15作者陳曉莉https://www.ithome.com.tw/news/148428
NASA探索火星的機智號可能也被Log4Shell漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j漏洞已經影響地表上多數知名網站，甚至也可能影響到火星上。因為美國太空總署（NASA）用以探索火星的機智號（Ingenuity）直升機也使用了這項軟體。</p> <p><a href="https://www.theregister.com/2021/12/16/ingenuity_mars_helicopter_log4j_network/" target="_blank">The Register報導</a>，<a href="https://webcache.googleusercontent.com/search?q=cache:_Tc7UHqzsHAJ:https://twitter.com/theasf/status/1400875147163279374+&cd=1&hl=zh-TW&ct=clnk&gl=tw" target="_blank">今年6月Apache基金會宣布</a>機智號直升機使用了Log4j。不過<a href="https://twitter.com/TheASF/status/1400875147163279374" target="_blank">這則推文</a>現已被刪除。</p> <p>但在本月初機智號出任務時卻發生問題。機智號與地面探勘車毅力號（Perseverance）在12月5日的第17次火星探勘任務中，機智號飛行結束前資料傳輸發生不預期中斷。毅力號負責提供機智號與地球控制中心的通訊基地臺，以便將機智號收到的火星影像傳回給地球。透過毅力號隨後傳回的資料，<a href="https://www.nasa.gov/feature/jpl/nasa-s-ingenuity-mars-helicopter-reaches-a-total-of-30-minutes-aloft" target="_blank">NASA指出</a>機智號系統正常，但是提供的資訊太少，使NASA無法宣布任務圓滿成功。</p> <p>機智號事件和Log4j 2漏洞是否有關不得而知。</p> <p>所幸機智號健康情況良好。本月初這架直升機在火星以每秒5公尺的速度，離火星表面12公尺處飛行3,592公尺，全程歷時30分鐘48秒。</p> <p>上周Apache公布的Log4j 2 RCE漏洞（又稱Log4Shell）影響Amazon、Google Cloud、微軟、遊戲平臺Steam及推特等網路服務及眾多軟體。安全廠商已經偵測到該漏洞有駭客試圖掃瞄不幸的受害者，以植入殭屍網路程式、勒索軟體、挖礦軟體、木馬程式等，<a href="https://www.ithome.com.tw/news/148391" target="_blank">並且已有國家支持的駭客組織開始行動</a>。</p> <p><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#Minecraft" target="_blank">微軟證實由第三方廠商代管的Minecraft平臺，已經遭人開採感染勒索軟體Khonsari</a>。</p> <p>安全廠商並發現上周的Log4j 2.15.0版修補不全，而且還有至少1個以上的新漏洞可引發阻斷服務（Denial of Service，DoS）攻擊及資訊外洩。新漏洞被列為CVE-2021-45046。資安廠商呼籲企業用戶應立刻升級到周一釋出的2.16.0版。</p> </div></div></div>
2021/12/17 12:28作者林妍溱https://www.ithome.com.tw/news/148425
臺灣資安即國安戰略意涵大公開，推動資安不只是政府的事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，大家都在談論日益嚴峻的資安問題，當中有些是企業面臨的威脅，有些是個人面對的威脅，但，到底什麼是國家層級的資安威脅？這些資安層面又有何差異？</p> <p>有人質疑，為何資安要與國安掛勾？然而，他們可能不曾試圖瞭解背後關連與概念，或是常指責資安事件發生，但未站在不同角度思考如何幫忙，近日行政院資通安全處處長簡宏偉對此提出說明。</p> <p>透過相當淺顯易懂的表達方式，介紹基本的觀念與議題，簡宏偉希望能讓大眾對政府推動資安產生更大的認同，協助不熟悉資安領域的人，建立相關背景認知的輪廓，了解到資安不只是政府的事。事實上，政府的確要將該做的事做好，但產業與個人也要一起協力。</p> <h3><strong>政府對於資安事件與議題是如何解析？</strong></h3> <p>以國家層級資安威脅而言，一般人可能馬上聯想到的是，有他國政府扶植的網軍，透過跳板攻擊臺灣，但政府考量的角度只有這樣嗎？</p> <p>簡宏偉首先以GPS定位的普遍應用，舉例說明資安何以與國安有關。</p> <p>在2018年，有日本人感念臺灣對311的幫助，運用跑步與GPS定位，以及Google地圖時間軸，顯示愛臺灣的文字。但這樣的作法，也會讓敏感地區資訊被記錄，例如，民眾使用健身App記錄的地理資訊，其實就相當敏感──在國內，可以透過這樣的程式與數據，看到宜蘭監獄的巡邏路線圖，而國際上，則能看到中東衝突地區外國軍事基地營區。</p> <p>雖然這只是個人應用，GPS定位也僅是服務的一項功能，但從上述國防的角度來看，其實，不論是個人資料、資安、國家威脅，其實都相互關連。</p> <p>還有像是個人資料外洩，雖然看似只攸關個人，但政府也必須關注，因為從社會安全面而言，資料外洩可用於詐騙，而國家安全面，資料外洩也能被用來建立個人側寫（Profile）。</p> <p>簡宏偉指出，這也是為何臺灣2016年就主張資安即國安，隨著科技與威脅的演變，政府已充分體認三者是一脈相承。</p> <p>再從國際上發生的種種資安事件來看，有那些攸關國家安全議題？最明顯的例子，就是對能源、金融產業的攻擊，因為相關資安事件可能造成經濟崩潰，危害國家安全，但不僅如此，在2021年發生美國淨水廠遭駭，對方意圖將水中的氫氧化鈉濃度調高100倍，使添加物超過上限，這些也都是資安事件，影響的層面不只是社會安全、社會穩定，還包括人民生命財產，這也是近年許多國家都在強調關鍵基礎設施防護的原因。</p> <h3><strong>政府推動資安的挑戰：人力、資源與落實</strong></h3> <p>面對各式資安議題，政府在資安推動上，又是如何應對？</p> <p>簡宏偉表示，資安其實可以畫分三大層面，分別是國家層級的資安、政府與社會層級的資安，以及個人層級的資安。</p> <p>在此當中，個人的資安，對應到個人資料保護法；國家層級的資安，對應到國家安全法；而政府與社會的資安，就是資安管理法的範圍。這些是政府之前已經做的事。</p> <p>若更進一步、從國際資安戰略來看，簡宏偉指出，推動資安，並不是政府說了，就能做得好，需要與產業合作。</p> <p>以政府角度而言，除了做好法規治理，並特別重視關鍵基礎建設，同時，政府與業界也需要共同發力，帶動國內資安產業興起，並要讓所有產業都有資安。此外，包括提升產業資安意識，政府與產業合作，以及如何確保供應鏈安全，已是每個國家都再關切的議題。</p> <p>但是，這些工作都是逐步推動，並非一蹴可成，而人力與資源的面向，更是近年我們看到的最大挑戰。</p> <p>特別是人才不足的問題，簡宏偉指出，雖然國內有資通安全管理法，要求ABC級機關設資安長與專責人力，同時，對於國內產業，也將要求上市櫃公司依不同等級來設置，藉此推動產業對於資安治理與文化。</p> <p>因此，資安人才的需求端已經創造，但供給端的缺口很大，他強調，這不只是政府與民間在競爭，人才需求是全球競爭，因為，其他國家也會向我們挖角。因此，國內資安人才培育，需跨部會進行並與產業、社群合作。</p> <p>而且，除了國家與產業的面向，事實上，在每個面向中，都有本身的防護工作要推動。以個人來說，必須體認到個資保護的重要性，謹慎提供這些資訊。例如，今年調查局破獲房仲小白機的事件，對於一般民眾而言，除了責怪業者沒有妥善保護個資，也必須反思是否管好自己的個資，例如，在填寫線上或實體活動資料時，是否曾注意到個人資訊的去向，以及對方能否妥善保管、不外洩的狀況。</p> <p>而政府方面也有同樣的狀況，隨著資通安全法逐步推動，近年也將開始要求產業做好資安，而政府對於機關組織，也將從之前的逐步要求，進一步發展到逐步落實。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E5%9C%961%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px; height: 403px;" /></p> <blockquote><p>從國際資安戰略發展來看，政府本身除了從法規治理出發，並重視關鍵基礎建設安全，還要推動防禦、應變與復原，以及物聯網安全、產業資安環境與資安意識，但這些其實需要政府與產業的合作，才能有效進行，同時近年更聚焦於供應鏈安全與資安人才培育。</p> </blockquote> <p>另一方面，政府在資安推動上，從風險管理角度，資源分配與成本也是重要考量，這是各界往往忽略之處。</p> <p>簡宏偉表示，在他們資安稽核的經驗中，常看到許多機關單位為了節省經費，而將印表機的管理維運作業開放給廠商透過遠端來維護，但這就會帶來一定程度的資安風險。</p> <p>但他更要強調的是，資安並不是要無限上綱，通通做到百分百安全，在風險管理的考量因子中，其實包含了資源的分配。</p> <p>他用一個簡單易懂的例子，來說明這個考量原則，「不要用一千元去保護十元，但可以用一百元去保護一千元。」</p> <p>事實上，在每個層面其實會有不同的考量，例如，國家安全領域需要做到百分之百，這時「用一千元保護十元」，都是必要手段；但在政府與社會層面，考量的是風險管理，我們可以「用一千元保護一萬元」，但不要「用一千元保護一百元」。</p> <p>而且，從國家角度來看，要讓整體環境的安全防護提升，需要每個組織、企業自己都把資安做好。</p> <p>對此，簡宏偉提到木桶理論。這常被引用在資安領域，其概念是木桶的最大裝水量，取決於最短的一根木材，說明整體資安防護，要提升到一致的水準，因為木桶裝滿水的高度，就是這根短木板的長度，一旦超過，就會溢出。</p> <p>不僅如此，資安上還有種種考量，例如，當為了因應資安而做出種種限制，使得組織人員作業不方便時，往往會想出奇怪招式與對策，如同「生命自然會找到出路」道理。例如，在一些地方內部網路雖然嚴格禁止把資料送出去，但工作人員仍能用手機傳出去，因此，重點將是如何改善資安管理。</p> <h3><strong>資安落實與跨域聯防是近年政府資安推動主軸</strong></h3> <p>知己知彼，百戰不殆，想要做好資安，對於那些有意滲透、傷害我們的對手，不能不了解。</p> <p>而從資安攻擊的來源與動機來看，我們需知道：入侵者的型態有哪些？</p> <p>以最簡單的方式來看，簡宏偉指出，可區分為組織型與非組織型，而組織型又可細分為兩種：一種是有政治目的的網軍，像是Winnti等，一種是有經濟利益的駭客組織，像是Darkside、REvil等。</p> <p>為了讓大家更容易理解，若對比現實社會，組織型的網軍就像軍隊，組織型的駭客組織就像黑幫，非組織型的入侵者則像小偷。</p> <p>對於不同來源的威脅，基本上，政府主要聚焦在組織型的攻擊，會協助處理，而針對個人的威脅，政府也會關注，但我們自己同樣要做好防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px;" /></p> <blockquote><p>關於資安攻擊的來源，主要分為三大類，包括組織型的網軍、組織型的駭客組織，以及非組織型的入侵者，政府主要聚焦的是組織型的攻擊，但同時也要推動產業與個人重視安全防護。（攝影／羅正漢）</p> </blockquote> <p>基本上，在面對組織型的攻擊時，政府會更花更多心力在國家級的攻擊層面。不過，面對真正的網路作戰部隊，其實各機關政府是擋不住的，因此防護策略是需要政府、國安體系聯手合作，才有辦法因應，但並不是要做到完全阻擋，而是希望要把衝擊降到最小。</p> <p>真的不容易抵擋資安威脅嗎？例如，年初發生、轟動全美的SolarWinds供應鏈攻擊事件，不只是震撼美國的政府和民間，全球資安領域也在關切原因與過程，而這家IT廠商從遭入侵到察覺受駭，時間長達一年三個月，溯源追蹤必須花上幾個禮拜，這也顯示國家級駭客組織攻擊的威脅之難防。</p> <p>因此，他也談到資安攻擊與防護的最大差異。基本上，發動攻擊時，對方只要在範圍中找到一小點的破洞，就能趁虛而入；但防守時，我們必須要確保整個範圍都沒有問題。而這其實相當難，所以資安防護才會強調縱深防禦，透過第二層、第三層防護來鞏固安全。</p> <p>只是，在機構與企業自身的防護之外，整體供應鏈與委外安全也是近年各界關注焦點，因此這也可以看出，資安防護的範圍越來越大。</p> <p>但實務上，更應注意的地方在於：許多的資安事件之所以發生，不一定是因為對方擁有高深的攻擊技術，而是身為目標的我們，在資安的層面存在著種種控管不落實的問題，例如：採用過時的作業系統，軟體漏洞沒修補，存在共用密碼的問題等。</p> <p>因此，近年政府在推動資安防護的策略上，我們常看到會所強調的重點，在於發展聯防體系，以及推動資安落實，來因應高級的威脅，以及減少低級的錯誤。</p> <p>整體而言，事實上，資安即國安的戰略報告內容，其實是很全面的說明資安上的挑戰，提出願景、目標與方針，並規畫推動策略，但對於一般民眾而言，這些專業領域的資訊不易吸收，加上資安本就是一環扣一環，許多觀念需要能先建立。</p> <p>儘管還有許多資安議題與面向可談，但從上述內容來看，已將整體資安概念的輪廓描繪出，讓大家在關注資安議題的同時，可以有較通盤且全面的角度去看待，讓大家對於資安的想像，不要只有局部的認知。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%82%BA%E4%BD%95%E8%B3%87%E5%AE%89%E5%8D%B3%E5%9C%8B%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2_%E8%A3%81.jpg" style="width: 600px;" /></p> <blockquote><p>關於資安攻擊的來源，主要分為三大類，包括組織型的網軍、組織型的駭客組織，以及非組織型的入侵者，政府主要聚焦的是組織型的攻擊，但同時也要推動產業與個人重視安全防護。（攝影／羅正漢）</p> </blockquote> </div></div></div>
2021/12/17 10:55作者羅正漢https://www.ithome.com.tw/news/148415
Martech雙周報第14期：Line Pay官方帳號如何精準發送訊息來提升用戶體驗？Line揭露兩大關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1126~1216)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line Pay官方帳號 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 精準訊息發送 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Line Pay官方帳號精準推播兩大關鍵，先量化訊息價值再鎖定相似受眾</span></strong></p> <p dir="ltr">Line在年底開發者大會中分享，如何透過量化Line Pay官方帳號訊息的價值，以及提升對用戶投放訊息的精準度，來改善Line Pay官方帳號的使用者體驗。</p> <p dir="ltr">Line Pay目前有那約4,800萬用戶為Line Pay官方帳號好友。Line金融資料科學團隊資料科學家Koya Sugimoto指出，在2019年8月前，Line Pay官方帳號的用戶，每月都會從Line Pay官方帳號收到超過30則訊息通知，像是功能更新或活動促銷等資訊。由於這些訊息大多對用戶無用，Line決定從兩個方向來展開訊息發送的優化。</p> <p dir="ltr">第一步先將官方帳號的訊息價值量化，來找出對用戶更有用的資訊，提高有用資訊的傳遞。Line先透過所有官方帳號訊息發送後，統計其訊息點擊率與官方帳號未封鎖率（Non-block rate）兩個指標，藉由用戶的點擊與封鎖反應，來衡量該則訊息的有用程度。然而，這遇到了一個問題，因為一天也可能發布2～3則訊息，在官方帳號未封鎖率的衡量上，較難用簡單的邏輯來找出每封訊息帶來的封鎖影響。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-13%20%E4%B8%8B%E5%8D%885_36_16.png" style="width: 700px;" /></p> <p dir="ltr">因此，Line將一個統計模型，應用到一段時間封鎖數量的時間序列資料中，並將其分別解構為，因訊息而封鎖、因其他原因而封鎖兩大類。</p> <p dir="ltr">Line首先分析用戶的封鎖行為，發現未發送訊息仍被封鎖的行為有其週期性，每週的統計數據相差無幾；而因訊息發送而被封鎖的行為，這類封鎖隨著訊息剛被發送出來數量會急遽增加，隨著時間久了增加幅度會趨緩，這個曲線同時符合累積的訊息點擊量，訊息發送後點擊率同樣會先大幅攀升再逐漸趨緩，且統計後發現，80%的用戶會在訊息發送後的6小時內點擊，20%則是超過6小時後點擊。</p> <p dir="ltr">有了這項數據後，Line也反過來用於封鎖率，將訊息發送後6小時內的封鎖行為，歸咎於無用訊息所致。接著，藉由週期性的封鎖、受訊息影響而封鎖這兩大數據，Line建立出能夠衡量每則訊息封鎖率的模型。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-15%20%E4%B8%8A%E5%8D%8810_33_49.png" style="width: 700px;" /></p> <p dir="ltr">至此，透過點擊率與未封鎖率，Line已經能找出更有用的訊息類型，比如特惠訊息、Line Pay新功能發布等，以及較無用的訊息，比如Line金融與家庭服務的推廣訊息，來減少無用訊息的發送。</p> <p dir="ltr">下一步，則是要透過更精準的訊息發送，改善Line Pay官方帳號的使用者體驗。Line為此採用了ML團隊開發的相似受眾瞄準方法，將種子用戶輸入，根據這群用戶使用Line服務的多元行為（Z Features），找出Line Pay官方帳號用戶中與這類用戶相似的受眾。</p> <p dir="ltr">Koya Sugimoto指出，這項任務的關鍵問題是，Line如何在減少訊息發送的同時，維持甚至增加新用戶的數量？</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202021-12-15%20%E4%B8%8A%E5%8D%8810_34_12.png" style="width: 700px;" /></p> <p dir="ltr">為了找出答案，Line採用了A/B測試方法。Koya Sugimoto舉例，在Line提供加密資產交易服務Bitmax這個訊息上，原本的行銷方法，是根據Bitmax用戶統計，瞄準30多歲男性白領階級用戶來發送訊息，然而，這個方式卻不太有效。因此，Line分別針對與Bitmax用戶高度相似的受眾，以及基於種子用戶特徵的相似受眾，來發送相關訊息，經過兩種方法的測試比較後，發現後者方法更加有效，只要發送與前者相比1/10的訊息量，就能達到前者獲客數的1/2。</p> <p>經過這項測試後，Line決定施行相似受眾瞄準的訊息發送策略，並開發了一套系統，讓規劃者能透過API，從內容管理系統（CMS）使用這項功能。當種子用戶名單被上傳到CMS之後，系統將會呼叫API來生成相似用戶的名單，由規劃者對這群受眾發送訊息。而種子名單則是會從企業產品中以SQL提取出來，再同樣以API上傳到CMS中。（<a data-reactroot="" data-token-index="1" href="https://www.youtube.com/watch?v=4AxGriBzYBQ" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全家 </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">3D導購廊道</span></strong></span></strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛實整合 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">全家試驗3D導購廊道，要靠影像辨識、AI推薦與3D虛擬商品打造虛實整合的顧客體驗</span></strong></p> <p>全家便利商店忠孝光復店正在進行一項3D導購廊道POC驗證，目標要靠AI互動體驗達到如「櫥窗購物」（Window shopping）的攬客功效，透過螢幕進行更加個人化的互動推薦，將顧客導流到實體店消費，創造OMO、虛實整合的消費體驗。例如當行人路過廊道時，以AI即時辨識顧客服裝和年齡，來預測消費者偏好，並主動推薦適合的產品；在虛擬商品的呈現上，則能以螢幕呈現商品720度3D影像，讓顧客能透過觸控螢幕觀看商品細節，包括珠寶奢侈品、話題性公仔等不易於店內陳列的商品。同時，透過虛擬小幫手導覽及互動遊戲，也能提供顧客優惠券，將其導流至實體店舖購買，藉此打造差異化的導客策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image002(4).jpg" style="width: 611px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 特力集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客數據分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 精準行銷 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">特力集團大力發展數據來了解消費者偏好，發展從精準行銷到熟客經營管理等加值應用</span></strong></p> <p dir="ltr">國內涵蓋特力屋、HOLA特力和樂等零售通路，且國外合作供應商超過4千家的特力集團（以下簡稱特力），這2年開始大力發展數據。特力2018年率先推動零售資訊系統數位轉型，建立營運中臺架構機制，將服務的概念與架構逐步拆出。當時，他們先延用既有的資料倉儲、資料市集與資料分析平臺，結合CRM進行精準行銷推薦，比如嘗試以數據化、科學化方式來推薦如枕頭、床墊等寢具商品，甚至在零售端與貿易端，都利用銷售資訊進行數據彙整分析，提供給供應商或自家商品的開發與採購單位，來了解各地區消費者偏好，進而設計產品。這正是特力運用數據加值後，發展出的新商業模式。</p> <p dir="ltr">去年，特力開始發展零售數據中臺，目的是結合線上數位軌跡與線下交易記錄，將客戶360度資訊彙整到數據中臺，今年上線的首個試行應用是熟客經營與管理。這也是特力展開零售端數據創新應用的第一步。（<a data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/people/148129" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 家樂福 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">家樂福要靠臉書社群與數位工具，強化數位行銷、提升顧客體驗</span></strong></p> <p dir="ltr">家樂福在11月宣布與Meta達成合作，來強化員工及顧客更加個人化與連結性的體驗，臺灣家樂福也涵蓋在這次包括9個國家的策略合作中。這個合作橫跨許多家樂福內部溝通、員工體驗到顧客關係、數位廣告、數位化傳單、在地溝通與社交商務（social commerce）。</p> <p dir="ltr">在數位行銷方面，家樂福要透過WhatsApp與Messenger提供即時與個人化的用戶體驗。因應直播購物與新型態消費的興起，家樂福也要透過臉書的客製工具和新格式來開發電子目錄，並透過WhatsApp Business API進行數位推銷。兩家公司更在數據平臺Carrefour Links中，開發一個活動受眾定位與衡量功能，要透過該平臺集結零售媒體解決方案，來改善廣告活動的成效。（<a data-reactroot="" data-token-index="1" href="https://www.carrefour.com/en/actuality/partenariatmeta" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linkedin </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第一方資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> B2B行銷工具 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Linkedin正在開發基於用戶隱私的B2B數位行銷解決方案</span></strong></p> <p>Linkedin宣布要在兼顧企業用戶數據隱私的前提下，提供更多B2B行銷工具。比如說，Linkedin將利用自身的第一方數據，將相同專業身份屬性的企業分群，像是資歷或產業，讓用戶能跨管道接觸到目標受眾，但不需進行個人級別（individual-level）的跨網站追蹤。針對B2B行銷活動的衡量，Linkedin提出三大投資方向，其一，是利用AI來更準確的衡量成效轉換，其二，是將線下的轉換歸因，其三，則是改用第一方Cookie來統計成效轉換。</p> <p>Linkedin也提出另外三項擴大B2B行銷成效的發展方向，其一，持續測試多種方法，以擴大受眾的媒合，讓行銷人員可以利用在Linkedin上發布的內容來觸及第一方受眾；其二，是找出在用戶裝置上處理資料的方法，來更有效衡量活動轉換、瞄準目標受眾，同時確保個人隱私資料與第三方資料不會在平臺中分享；其三，則是建立聚焦隱私的活動ROI最佳化工具，來自動廣告優化活動，不僅要能蒐集有效轉換，更要能在跨通道的所有展示位置中，找出性價比高的版位。（<a data-reactroot="" data-token-index="1" href="https://www.linkedin.com/business/marketing/blog/measurement/how-were-helping-b2b-marketers-in-a-changing-privacy-landscape" rel="noopener noreferrer" target="_blank">詳全文</a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snapchat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 食物掃描 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相似商品推薦 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Snap相機一鍵掃描除了可查詢商品資訊、推薦相似單品，現在更能查詢食譜</span></strong></p> <p>社交媒體Snapchat加入了一項「<a href="https://newsroom.snap.com/food-scan" target="_blank">食物掃描（Food Scan）</a>」新功能，讓使用者在以此掃描一項食材後，能夠在Allrecipes平臺中找出這項食材製作的食譜，給使用者參考，掃描功能目前也經能識別上百種狗食、超過60萬種植物以及上百萬首歌與產品，只要掃描即可取得商品資訊。Snap今年5月的發佈更指出，若用戶以相機掃描朋友的服裝，Screenshop功能就能從數百種品牌中，進行相似商品的購物推薦。外媒Social Media Today則指出，相機掃描功能是Snap AR生態圈的一環，掃描功能未來可能促成另一個層次的AR連結，成為Snap產品中的重要元素。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Untitled_presentation__1_.jpeg" style="width: 700px;" /></p> </div> </div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><strong>1.Google、蘋果皆因用戶資料在義大利被罰1,000萬歐元（<a href="https://www.ithome.com.tw/news/148063" target="_blank">詳全文</a>）</strong></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／Line、資策會、Snap</p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/17 11:14作者翁芊儒https://www.ithome.com.tw/news/148417
臺灣推動金融監理科技面臨4大挑戰，監理機關需促進技術的多樣化與創新才能有效管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只金融機構運用金融科技來創新，科技巨頭也紛紛靠科技力量進軍金融體系，這促使了各國金融監理機關，也需用科技方案有效監理，才能因應金融科技帶來的創新風險。政治大學金融科技研究中心監理科技創新實驗室執行長臧正運，近日在一場論壇中，借鏡國外金融監理科技作法，進一步探討臺灣推動監理科技面臨的挑戰與成功要件。</p> <p>臧正運表示，金融機構、非金融機構、監理官、消費者、生態系的輔助者等，都是金融生態系的重要成員，其中，非金融機構又能細分，像是Fintech新創、巨型科技業者（Big Tech），以及如零售業者、醫療機構、科技系統製造商。他提到，每個成員會在金融生態系中運作與互動，都會受到科技變革、市場特性、法制監理等3大環境因子所帶來的影響。</p> <p>如巨型科技業者也帶來哪些金融科技監理挑戰呢？他引述國際清算銀行（BIS）旗下金融穩定研究所（FSI）在今年3月發布的一份報告，梳理了全球巨型科技業者包括Google、Apple、Facebook、Amazon、Alibaba等共11家科技巨頭，紛紛進軍銀行、信用供給、支付、保險、資產管理、群眾募資等金融領域。</p> <p>臧正運提到，巨型科技業者有4大特色，不只會匯集網路效應，也能成為數位市場中重要的守門員角色，一旦形成一套會員網絡，就有決定他人能否進入市場的權力，另外也擁有龐大群眾基礎和極為巨量的資料。</p> <p>所以，他觀察，當巨型科技業者踏進金融服務產業，就帶來了3種風險，第一種風險是，造成金融體系的動盪不安。再者，這些巨型科技業者挾帶通路優勢，可提供客戶貸款，甚至進行更有效率的徵信，久而久之削弱了傳統銀行的角色，這是第二種風險，科技業者排擠了既有金融業的生存空間，為市場帶來不公平的競爭。第三種風險是，巨型科技業者掌握了龐大資料，對於金融生態系成員來說，帶來資料運用上許多不可預測的問題。為此，國際上多家監理機關對巨型科技業者提出的監理議題，包括了資料隱私、消費者保護、洗錢防制。</p> <h3><span style="color:#0099ff;"><strong>全球多國正在發展數位監理申報機制，臺灣也開始推動但面臨4大挑戰</strong></span></h3> <p>反觀臺灣金融科技發展，近年因法規開放，帶來了法制監理環境的變遷。他舉例，比如，開放3家純網銀為金融業帶來新型物種，監理科技的運用帶來科技平臺的創新，雲端委外作業則影響了Fintech業者的發展，開放銀行影響了第三方服務業者，虛擬通貨平臺管理辦法則影響到傳統非金融體系以外的加密貨幣服務提供者。</p> <p>臧正運表示，在物種多元化、科技與環境變遷快速的狀況下，監理的主責機關就得有相應的作法。比如，在監理資源有限的狀況下，靠監理科技以利精準投入資源。甚至，他認為，隨著金融科技快速發展，政府應促進監理技術的多樣化與創新，來發展監理科技。</p> <p>不過，監理科技要多元化發展，他進一步指出，前提是必須提供監理官足夠的資料，才能進一步預測與判斷。目前，已有十多個國家，如澳洲審慎監理署、義大利央行、歐洲央行、英國金融行為監理總署、新加坡金融管理局等，都在推行數位監理申報機制，用數位化、自動化方式，由受監理機關以特定方式，將營運資料遞送給監理機關。臧正運提到，這些國家在數位監理申報的創新，包括了資料標準化、規則轉換、申報格式、申報資料的顆粒度、資料傳輸、資料可及性等場域。</p> <p>臺灣在發展數位監理申報機制的腳步也不落人後，為了因應3家純網銀的流動性風險管理，金管會委由中央存款保險公司開發一套純網銀監理系統，以API串接來蒐集純網銀的申報資料。在即時流動性警訊監控機制上，若發現有一筆存款交易超過10分鐘仍無法執行，或當跨行業務結算擔保專戶餘額不足等情況發生時，系統能自動偵測到異常並進行警示，第一時間通報監理機關。</p> <p>不過，臧正運梳理了數位監理申報系統的流程，歸納出臺灣發展監理科技時面臨的4項挑戰，一是目前的監理資源仍不足，再者監理文化也必須改變，他解釋，這套數位監理申報機制未來落實到所有銀行、證券業者，監理機關需要擁抱創新，來帶動監理機關內的職能與文化的變革。此外，第三項挑戰是監理官的監理責任如何有效分攤。如何評估監理科技方案帶來的監理效果則是最後一項。</p> <h3><span style="color:#0099ff;"><strong>資料治理是推動監理科技的關鍵</strong></span></h3> <p>借鏡國際經驗，臧正運提到，推動監理科技有4項成功要件。包括建構完善的問責制度，具備客觀衡量成效的標準，並充實監理資源的法治環境，「沒有監理資源的話，不可能期待監理官大力推動創新，」因此，這是第一項成功要件。此外，必須有來自監理機關與受監理機關高層的強力支持。第三項成功要件是，必須有文化的變革與創新，需建構資料驅動、勇於發展開放性實驗的文化，以及建立能夠推翻機關內傳統保守思維的文化創新。最後一項是需要形成資料策略並建立資料治理框架。</p> <p>他建議，可參考國際現有資料治理相關規範。比如，在資料分享上，澳洲立法訂定了消費者資料權的制度，或者新加坡金融管理局訂定了資料分析制度，以及科技風險治理框架。</p> <p>「監理科技是讓金融生態系永續發展最重要的根基，而資料治理則是監理科技能夠成功的關鍵。」臧正運表示，政府需重視幾項基礎工程，數位身分機制、推動機器可讀及可執行的數位監理系統、建立科技監理的公用設施以及消費者資料賦權機制的法制設計，還要從生態系的視角進行系統性的思考。</p> <p>更進一步，臧正運建議，未來，或許臺灣能夠建置一個巨型的科技監理平臺，彙整金管會與央行底下的單一申報平臺，中央存保公司針對純網銀建置的的即時流動性風險監控平臺，集保結算所針對票券公司建置的即時監控平臺，以及聯徵中心的信用資料，聯合信用卡中心的信用卡詐欺報告與偵測，還有法務部洗錢防制處與經濟部的洗錢防制可疑交易申報、實質受益人申報等，進行橫向、跨部會的運用，將會是金融生態系永續發展的根基。文⊙李靜宜</p> </div></div></div>
2021/12/17 11:42作者李靜宜https://www.ithome.com.tw/news/148376
Meta封鎖7家於該公司平臺從事監控的業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2021/12/Threat-Report-on-the-Surveillance-for-Hire-Industry.pdf" target="_blank">Meta於本周四（12/16）發布了《監控僱傭產業威脅報告》</a>（Threat Report on the Surveillance-for-Hire Industry），揭露各國組織如何透過該產業於網路上蒐集資訊與監控目標用戶，<a href="https://about.fb.com/news/2021/12/taking-action-against-surveillance-for-hire/" target="_blank">同時宣布已在臉書及Instagram平臺上封鎖7家提供相關服務的業者</a>，並通知5萬名遭到鎖定的用戶。</p> <p><a href="https://about.fb.com/news/2021/12/taking-action-against-surveillance-for-hire/" target="_blank">Meta說明</a>，監控僱傭（Surveillance-For-Hire）產業鎖定全球網路來蒐集資訊，並提供入侵軟體工具予那些原本不具備相關能力的組織，而且通常分三階段進行，從一開始的資訊蒐集，到與目標對象建立關係，一直到最後竊取目標對象的憑證或於其裝置上植入惡意軟體。</p> <p>這些受僱的網路傭兵會先透過網路上的所有資源，蒐集目標對象的資訊，包括社交媒體、部落格、維基百科、新聞、論壇或暗網；繼之企圖與目標對象建立連結並贏取信任；再伺機傳送網釣頁面以竊取目標對象的社交網站、電子郵件、金融服務或企業的憑證，也會傳送惡意連結企圖於目標對象的裝置上植入惡意程式。</p> <p>遭到Meta封鎖的7家業者中有4家來自以色列，包括Cobwebs Technologies、Cognyte、Black Cube與Bluehawk CI，還有來自印度的BellTroX，北馬其頓的Cytrox，以及另一家不確定名稱的中國公司。</p> <p>Meta移除了上述業者於臉書及Instagram上所建立的1,500個帳號，也通知了遭到這些業者鎖定、散布在逾100個國家的5萬名用戶。</p> <p>Meta指出，在該公司平臺上進行監控已違反社群守則及服務條款，除了移除相關帳號之外，也封鎖其網路基礎設施，發出停止及終止（cease and desist）信件，亦已與資安社群、其它平臺及政府官員分享其研究結果，以提醒它們採取適當行動。</p> </div></div></div>
2021/12/17 11:48作者陳曉莉https://www.ithome.com.tw/news/148421
聯想電腦管理軟體爆權限擴張漏洞，影響ThinkPad、Yoga系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.lenovo.com/cy/en/product_security/len-75210" target="_blank">聯想（Lenovo）近日公告</a>筆電內建的電腦管理軟體2項安全漏洞，可使攻擊者取得權限控制用戶電腦，從ThinkPad到Yoga系列都受影響。</p> <p class="rtecenter"><a href="http://support.lenovo.com/cy/en/product_security/len-75210" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-%E8%81%AF%E6%83%B3%E9%9B%BB%E8%85%A6%E7%AE%A1%E7%90%86%E8%BB%9F%E9%AB%94%E6%BC%8F%E6%B4%9E-600(1).png" style="width: 450px;" /></a></p> <p>2項漏洞是出現在聯想筆電管理軟體Lenovo Vantage中、系統服務Lenovo System Interface Foundation的IMController元件。Lenovo System Interface Foundation是整合驅動程式更新、系統服務及擴充服務的套件，IMController服務可讓聯想裝置和其通用軟體，例如Lenovo Settings、Lenovo ID或Lenovo Companion互動。聯想旗下筆電如ThinkPad或Yoga等產品都內建這些元件。</p> <p>兩項漏洞分別為CVE-2021-3922及CVE-2021-3969，<a href="https://research.nccgroup.com/2021/12/15/technical-advisory-lenovo-imcontroller-local-privilege-escalation-cve-2021-3922-cve-2021-3969/" target="_blank">是由NCC Group於11月間發現並通報聯想</a>。CVE-2021-3922為一條件競爭（race condition）漏洞，可讓本機攻擊者連結IMController的子行程的命名管理，並下載檔案到檔案系統。CVE-2021-3969則為TOCTOU（Time of Check Time of Use）漏洞，允許本機攻擊者升高權限。NCC Group指出，IMController是以系統權限執行，會定期執行子行程設定系統組態及系統維護工作。這2項漏洞發生在IMController處理高權限子行程未適當驗證，使僅具一般權限的攻擊者擴充權限到系統管理員身分，最後在檔案系統中寫入惡意檔案並執行。可升級到系統權限的威脅，往往能讓攻擊者接管整臺系統。</p> <p>這兩項漏洞影響IMController 1.1.20.3以前的版本。聯想已經於11月釋出新版本，IMController 會自動由Lenovo System Interface Foundation升級到1.1.20.3版。</p> <p>電腦預載官方軟體經常成為安全破口。<a href="https://www.ithome.com.tw/news/132632" target="_blank">2019年聯想筆電內建軟體Lenovo Solution Centre（LSC）中一個第三方軟體爆發漏洞</a>，可使駭客取得管理員權限執行程式，甚至接管裝置。<a href="https://www.ithome.com.tw/news/145255" target="_blank">今年6月Dell裝置也傳出內建管理軟體SupportAssist的BIOSConnect元件含有4個安全漏洞</a>，使駭客可自遠端執行任意程式</p> </div></div></div>
2021/12/17 11:00作者林妍溱https://www.ithome.com.tw/news/148416
Brave：所有瀏覽器皆存在泳池派對攻擊漏洞，允許追蹤器跨站追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Brave瀏覽器隱私團隊發現了一個新類型的追蹤漏洞，利用該漏洞發動的攻擊被稱為<a href="https://brave.com/privacy-updates/13-pool-party-side-channels/">泳池派對攻擊（Pool-party Attacks）</a>。第三方追蹤器能夠使用瀏覽器有限但是共享的資源集合，來創建側通道，追蹤器便能使用這些側通道來跨站追蹤用戶，規避瀏覽器的隱私保護功能。目前已知所有瀏覽器都存在該漏洞，Brave在接下來幾周會釋出相關更新，防範用戶遭受泳池派對攻擊。</p> <p>過去已經有部分論文，發表類似的攻擊研究，而泳池派對攻擊的發現，建立在過去的研究成果，更完整呈現該類攻擊的全貌。泳池派對攻擊的嚴重性，遠超過之前的認知，嚴重且受影響範圍也非常廣，官方提到，更令人擔心的是，泳池派對攻擊可以針對Gecko引擎瀏覽器，透過用戶檔案來追蹤用戶，並且將隱私瀏覽和一般瀏覽關聯起來，暴露隱私瀏覽者的身份。</p> <p>多數瀏覽器原來都有防跨站追蹤的保護機制，無論是Brave、Firefox、Safari還是Tor Browser，皆使用分區（Partitioning）的技術，來阻止追蹤器跨網站追蹤使用者，也就是防止網站上的追蹤器，在用戶瀏覽另一個網站時，關聯兩次瀏覽為同一使用者，能夠避免用戶受到最常見的跨網站追蹤。</p> <p>雖然分區功能並非萬能，無法阻擋特定的追蹤方法，但仍是保護網頁隱私有用且重要的技術。而Brave新發現的泳池派對攻擊，也能使分區保護失效，網站可以繞過瀏覽器中基於分區的隱私保護，Brave隱私團隊把利用共享資源來跨網站邊界進行溝通的攻擊手法，稱為泳池派對攻擊，在他們的研究之中，有三點新發現。</p> <p>第一，過去的研究工作只發現了泳池派對攻擊中的特定案例，事實上瀏覽器充斥這類攻擊漏洞，第二，這類攻擊所產生的影響，實際比過去研究大上許多，網站可利用泳池派對攻擊漏洞，在網站之間傳遞任意資料，第三，泳池派對攻擊不只是理論上可執行的攻擊手法，而是已經可實際應用的隱私威脅。</p> <p>目前所有熱門瀏覽器都受到泳池派對攻擊的威脅，只要瀏覽器所提供的API滿足特定功能，就能夠被追蹤器用於跨站追蹤，像是當網站資源使用受到限制，也就是網站從資源池中請求資源，直到達到限制，網站便無法存取更多資源，又或是資源沒有分區，不同的網站都可以從同一個有限的資源池要求資源，甚至是網站可不受限制地消耗資源池的資源，這些API都可被用於泳池派對攻擊。</p> <p>Brave隱私團隊解釋，泳池派對攻擊是一種存在於所有瀏覽器引擎中的側通道攻擊，比多數側通道容易被使用，由於大多數的側通道都使用CPU快取、記憶體快取等共享資源，在實務中，因為這些資源雜訊過多而難以被用來通訊，相對來說，泳池派對攻擊的目標，是由瀏覽器管理，且特定於瀏覽器的共享資源，雜訊要少得多，很容易用於通訊。</p> <p>要防禦泳池派對攻擊並不簡單，因為電腦一定會限制提供給網站的資源，電腦擁有有限的記憶體和磁碟空間，攻擊者可以利用這些限制進行泳池派對攻擊。雖然瀏覽器無法從根本解決問題，但是卻可以讓這項攻擊難以實作，像是在網頁出現異常行為時，便自動關閉瀏覽器。</p> <p>Brave隱私團隊在論文中提出的解決方法，主要是解除對高頻寬資源使用的限制，當追蹤器需要消耗夠多的資源，來使系統產生飢餓現象，則使用者便會注意到這個攻擊，停止瀏覽發動泳池派對攻擊的網站，就能立刻阻止攻擊。</p> <p>Brave現在正積極部署第一套泳池派對攻擊防禦機制，在接下來數周會陸續推送更新給用戶，同時Brave也正與其他瀏覽器合作，以保護網路使用者免受相關攻擊影響。</p> </div></div></div>
2021/12/17 08:54作者李建興https://www.ithome.com.tw/news/148408
MLCommons釋出多語言口語大型語音辨識資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球開放非營利組織MLCommons發布第一個<a href="https://mlcommons.org/en/news/spoken-words-blog/">多語言口語語料庫（Multilingual Spoken Words Corpus，MSWC）</a>版本，這個大規模資料集包含50種不同語言的口語音訊資料，而且資料集容量還持續不斷增加。MSWC的貢獻者包含來自Coqui、Factored、Google、哈佛大學、英特爾、Landing AI、Nvidia和密西根大學的研究人員。</p> <p>MSWC資料集內容包含的50種語言，涵蓋全球50億人口，對於不少語言來說，MSWC是第一個可用來訓練語音介面的公開免費資料集，官方在MSWC使用CC-BY 4.0授權對外釋出，來促進全球關鍵字探索、口語搜尋和各種學術與商業應用，官方提到，他們的最終目標是要讓基於語音的關鍵字辨識介面，能夠支援更多語言的關鍵字。</p> <p>目前語音互動技術已經普及，無論是Apple Siri、Amazon Alexa，還是Google的語音助理，都已經搭載至用戶的手機和智慧裝置上，關鍵字辨識系統使用低功耗的硬體來持續監聽關鍵短語，以觸發像是開燈或是喚醒複雜介面的動作，對於視障人士等，更是足以改變其生活方式。</p> <p>但官方提到，強大的語音互動功能，需要使用大型資料集來訓練機器學習模型，這些關鍵字資料集需要付出大量的資源，從不同的說話者和背景環境中，收集並驗證每個包含關鍵字的語句，而現在多數公共關鍵字資料集，都為單語言並且只包含少數關鍵字，許多常用的語言缺乏可用的公共資料集，使得要為這些語言使用者，提供基本的語音功能更為困難。</p> <p>MLCommons所開發和維護的MSWC資料集，便是要解決這個問題，MSWC是一個包含50種語言的口語大型語音辨識資料集，該資料集總共包含超過34萬個單詞和2,300萬個一秒音訊樣本，總共有超過6,000小時的語音，官方提到，他們利用開源工具，從Common Voice群眾外包專案收集的句子中，擷取單詞來建構這個資料集，語音助理開發者便可以使用這個資料集，訓練模型聽懂各種語言的關鍵字。</p> <p>在MSWC資料集中，有12種高資源語言，具有超過100小時的資料，12種中等資源語言，擁有10到100小時不等的音訊資料，而其中26種是低資源語言，只有不到10小時的音訊，而MSWC資料集中，有46種語言的資料，是該語言唯一的開源口語資料集。</p> </div></div></div>
2021/12/17 09:04作者李建興https://www.ithome.com.tw/news/148409
Meta擴大臭蟲賞金計畫，要研究人員幫忙尋找資料爬蟲漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2021/12/15/security/bug-bounty-scraping/">Meta宣布</a>改進其臭蟲賞金計畫，開出兩個新的臭蟲獎勵領域，分別是資料抓取漏洞以及未受保護的臉書使用者資料集，同時還要提供研究人員進一步教育機會。</p> <p>因為資料爬蟲普遍存在於網際網路之中，而Meta在打擊爬蟲行為的工作面臨困難，所以他們試圖透過臭蟲賞金計畫，解決爬蟲對Meta平臺造成的影響。因此在Meta Gold+ HackerPlus研究人員的私人賞金計畫中，臭蟲賞金計畫將會獎勵有關爬蟲漏洞的回報。</p> <p>這項計畫的目標，是要找出攻擊者會用來繞過抓取限制，進而存取比預期更大規模資料的漏洞，使得Meta能夠快速辨識，並且找出能低成本執行資料抓取的場景，官方提到，這是目前業界第一個爬蟲漏洞賞金計畫。</p> <p>另外，擴大的賞金計畫，還包含新增獎勵尋找未受保護或公開的臉書使用者公共資料集，Meta要安全研究人員幫忙尋找包含10萬筆以上，不重複的臉書使用者紀錄資料集，資料包括電子郵件、電話號碼、實際地址、宗教或政治傾向等資訊。安全人員必須回報獨特、過去Meta未曾發現過的資料集，官方提到，他們會與相關實體合作，致力刪除該資料集，並透過法律途徑解決問題。</p> <p>不過在資料集尋找的獎勵上，Meta會以慈善捐贈的形式，向特定的非營利組織捐贈獎勵，官方提到，這個作法是為了避免錯誤獎勵資料爬蟲活動。</p> <p>考量臭蟲賞金計畫長久發展，Meta想透過提供教育，擴大這些安全研究人員能夠涵蓋的領域，官方提到，部分長期合作的研究人員向他們反映希望能夠獲得教育訓練，來擴大研究的範圍，特別是部分難以跨越的領域，像是軟體到硬體的臭蟲搜尋。</p> <p>Meta從自家年度賞金會議BountyCon中獲得靈感，他們發現研究人員共同提交臭蟲時，能夠發現更嚴重的臭蟲，並且相互了解各自擅長的領域，為了支援這種團隊合作和學習，Meta在今年度推出了研究人員協作計畫，接著還要在今年稍晚時候，推出專門的教育中心，協助臭蟲賞金研究人員快速了解不同產品和技術，縮短他們尋找新漏洞需要的時間。</p> </div></div></div>
2021/12/17 09:11作者李建興https://www.ithome.com.tw/news/148410
國內多家證券客戶遭冒名下單港股，金管會強調帳戶安全的落實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上月底<a href="https://www.ithome.com.tw/news/148072">國內傳出證券用戶遭不明人士下單港股的情況，多家券商都出狀況</a>，為保障整體市場交易安全，數日後，臺灣證券交易所與金管會先是宣布，11月30日證券期貨業者共同<a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017d6abcba2f0144">成立「證券暨期貨市場電腦緊急應變支援小組」（SF-CERT）</a>，最近，在<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202112140001&aplistdn=ou=news,ou=multisite,ou=chinese,ou=ap_root,o=fsc,c=tw&dtable=News">12月14日，金管會宣布再推因應辦法</a>，要求證券商與期貨商需強化三大防護措施，包括多因子認證、密碼錯誤3次中斷連線與異常登入方面的落實。同時，在SF-CERT方面，近日也揭露了相關規畫，將提供指引與辦理多項資安演練。</p> <p>金管會表示，金融帳號密碼是客戶身分識別、認證，以及各項交易服務授權的主要工具，為保障網路下單交易安全，證券期貨商需強化安全措施，民眾也該有相關資安意識。</p> <p>在金管會這次公布內容中，指出臺灣證券交易所與臺灣期貨交易所，需督導證券商及期貨商，針對三大防護措施面做好強化。</p> <p>第一，應於網路下單登入時落實採多因子認證方式，如下單憑證、綁定裝置、OTP、生物辨識等，並強化憑證換發之驗證機制，以確保為客戶本人登入。</p> <p>第二、應使用優質密碼設定，也就是建立密碼安全設定原則並進行控管，同時，需確實執行密碼輸入錯誤次數達3次，應中斷連線。此外，還有密碼更新的加強宣導。</p> <p>第三、針對核心系統的帳號登入失敗紀錄、非客戶帳號登入嘗試紀錄等，應每日進行監控及分析異常登入原因，並於異常IP登入時，通知投資人，及留存相關紀錄。</p> <p>此外，對於投資人而言，為避免下單帳戶遭盜用，金管會也再三呼籲，應謹記多項原則，包括：提高交易密碼強度，勿在不同服務使用相同的帳號密碼，不要於公用電腦輸入敏感資訊，不要共用帳密或交由他人保管，以及妥善保存身分證件、網路交易帳號密碼及相關的電子憑證。</p> <p>值得關注的是，這些措施應是證券業早有的基本安全規範，但，這次事件似乎反映出業者不夠落實的問題。</p> <p>金管會證期局回覆表示，在<a href="http://www.selaw.com.tw/LawArticle.aspx?LawID=G0100479">「建立證券商資通安全檢查機制」的法規</a>中，已有明確條列，是證券商必須遵循，且納入內控的規範，若未遵循將可依證交法處置。例如，在第8條的存取控制中，在密碼管理一項，就有包含「密碼輸入錯誤次數達三次者，應予中斷連線。」的規範。此外，管理單位的督導與查核，同樣是需關注的面向。</p> <p>附帶一提的是，以近期而言，在今年<a href="https://www.sfb.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202105040003&dtable=News">5月初，金管會也曾要求證券商強化相關措施</a>，這是因為發現詐騙集團製作假冒的證券商頁面，並利用釣魚簡訊誘導民眾連至該網頁，騙取交易帳號與密碼。而我們也從金融資安資訊分享與分析中心網站找到疑似相關資訊，例如，在4月19日有疑似偽冒群益金鼎證券網站，在4月21日有疑似偽冒元大證券網站，還有疑似偽冒富邦證券、富邦期貨的App。而現在這次事件，金管會除了要證交所與證期所都要督導，內容也多了強化憑證換發的驗證機制，以及確實執行密碼輸入錯誤次數達3次者應予中斷連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E5%88%B8%E5%95%86%E4%B8%8B%E5%96%AE%E4%B8%89%E5%A4%A7%E5%9B%A0%E6%87%89.jpg" style="width: 600px;" /></p> <blockquote><p>對於近期券商用戶疑似遭撞庫攻擊導致冒名下單的事件，金管會在本月14日表示，將要求臺灣證交所與臺灣證期所督導券商強化三大措施。</p> </blockquote> </div></div></div>
2021/12/16 22:07作者羅正漢https://www.ithome.com.tw/news/148411
Windows終端機明年將成為Windows 11的預設終端機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/commandline/windows-terminal-as-your-default-command-line-experience/" target="_blank">微軟周二（12/14）宣布</a>，明年將把Windows 11的預設終端機，從Windows主控臺（Windows Console Host）改為Windows終端機（<a href="https://www.microsoft.com/zh-tw/p/windows-terminal/9n0dx20hk701?rtc=1&activetab=pivot:overviewtab#" target="_blank">Windows Terminal</a>）。</p> <p>Windows中的預設終端機是一個終端機模擬器，會在使用者開啟命令列應用時啟用，在Windows有史以來，其預設值就是Windows主控臺。</p> <p>不過，微軟在2019年發表了Windows終端機，打算取代Windows主控臺，它可於單一視窗上開啟多個分頁，並支援命令提示字元、PowerShell及各式Linux版本。</p> <p class="rtecenter"><img alt="" src="https://store-images.s-microsoft.com/image/apps.28865.13926773940052066.16e93a5b-b25f-4aaf-8a38-77375e237879.78e2aeac-6ede-4855-acb1-79a854b5556d?w=1399&h=792&q=90&format=jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>現在微軟已經開放Windows 11用戶將Windows終端機或其它終端機、設為Windows預設的虛擬終端機，而且會在明年直接將Windows終端機設為Windows 11的預設終端機，計畫逐步從Windows Insider專案、擴大到所有Windows 11的用戶。</p> </div></div></div>
2021/12/16 17:25作者陳曉莉https://www.ithome.com.tw/news/148406
全聯搶攻線上生鮮用品外送商機，年底將開設24小時幕後店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯在今年初與Uber Eats合作生鮮外送，消費者透過Uber Eats訂購全聯的生鮮用品，由外送員將訂購的商品送到指定地點，今天（12/16）兩家公司再宣布，Uber Eats上接受訂購的全聯門店，從50家擴大到214家，一舉提高到全聯總店數的十分之一，全聯更準備在今年底開設7間24小時幕後店（Dark Store），專門服務線上訂購的消費者。</p> <p>今年初全聯就已推出自家外送服務「小時達」，隨後和外送業者Uber Eats的合作，擴大電商的服務版圖，除了今天宣布擴大Uber Eats合作門店至214家，明年將增加至270家門市上線，雙方也公布合作以來的成果，全聯在Uber Eats上架的商品數已超過2500件，外送帶動單點業績提升2到3倍。</p> <p>全聯總經理室協理初貴民表示，上線至Uber Eats的全聯門市，需考慮到門市密集、周邊用戶的需求，也會參考Uber Eats的訂單熱點分析。全聯在經營生鮮外送服務有三大策略，包括線上與線下商品定價一致、線上菜單更新頻率、PDA揀貨改善外送效率。</p> <p>其中之一，為了提升生鮮用品的外送效率，全聯和Uber Eats以API整合雙方的系統，當消費者從Uber Eats訂購全聯的生鮮日用品，訂單就會送到指定全聯門市的行動智能揀貨PDA，再由專人根據揀貨PDA在賣場揀貨，目前已能在十分鐘內完成揀貨，呼叫外送員取貨，縮短送到消費者指定地點的時間，約30分鐘至40分鐘送至消費者手中。</p> <p>全聯能夠縮短揀貨時間，除了系統串接訂單外，還有熟練的揀貨人員，在賣場快速完成揀貨，但目前線上訂購，受限於全聯線上門市的營業時間，因此，全聯計畫今年底開設7家幕後店，不對外開放購物，專門服務線上訂購的消費者，明年擴大至50家幕後店。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pxmart-ue.jpg" style="width: 600px; height: 414px;" /></p> <p>初貴民表示，相較於一般門市，24小時經營的幕後店，可在一般門市關門後，繼續服務的線上消費者，由於幕後店性質不同，空間坪數規畫也會比較小，有利於快速揀貨，因此幕後店能再縮短揀貨時間。此外，Uber Eats上線的全聯門市，外送服務範圍為門市周邊的3公里，未來幕後店將擴大到5公里。</p> <p>全聯投入生鮮用品外送服務，一方面是透過線上服務敦促線下門市改善服務品質，另方面蒐集線上消費者數據，整合線上線下數據打造數據中臺，從大量數據挖出更多黃金。</p> <p>初貴民表示，生鮮用品外送服務為超短鏈的模式，全聯目前以4項指標衡量外送服務績效，上線率、覆約率、缺貨率、揀貨率，4項指標不僅用來衡量線上服務，也能促使線下門市改善服務。例如以前消費者在實體門市採買，如果因為缺貨而買不到商品，最後可放棄購買或是改買其他商品替代，門市不容易獲得消費者的反映，但是在線上，這樣的消費經驗就能透過揀貨率指標衡量，消費者線上訂購商品，因門市庫存不足而買不到，在系統上都能留下足跡，以此敦促實體門市的商品庫存管理，改善消費者體驗。</p> <p>目前全聯的線上電商服務，除了與Uber Eats合作，還有全聯自家經營的箱購、小時達、分批取，其中的小時達和Uber Eats生鮮外送相似，但是由全聯和物流業者合作外送，並且和Uber Eats生鮮外送服務客群略有不同，小時達以40歲以上的家庭主婦為主，而Uber Eats生鮮外送是原本就使用外送餐點的年輕客群。</p> </div></div></div>
2021/12/16 17:53作者蘇文彬https://www.ithome.com.tw/news/148407
Google發表創作者EC平臺Qaya
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/area-120/qaya/" target="_blank">Google內部的Area 120育成中心本周發表</a>了一項新產品<a href="https://qaya.area120.google.com/" target="_blank">Qaya</a>，這是替創作者所設計的電子商務平臺，定位為創作者的商業中心，除了用來展示產品或服務之外，還能整合創作者在其它平臺上的檔案或資源，並提供了管理與分析工具。</p> <p>Qaya總經理Nathaniel Naddaff-Hafrey認為，他相信創作者將是下一代的企業家，而他們也需要與其它創業家同樣的商業工具，從今年1月開始測試以來，創作者透過Qaya銷售各種產品與服務，從健身指南、健康訓練影片、照片濾鏡、背景圖案，甚至是ASMR朗讀等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-google%20Qaya-600-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>該平臺同時支援付費及免費的產品/服務，也允許使用者透過小費或訂閱來鼓勵創作者，未來亦會推出其它的付費方式。創作者將會擁有獨立的頻道，以展示自己的產品或服務，或是連結創作者在其它社交網站上的自我介紹，亦能使用Qaya內建的支付機制、管理及分析工具。</p> <p>Qaya於本周正式邁入公開測試，但僅於美國市場試行，期望未來可擴充至其它市場。</p> </div></div></div>
2021/12/16 16:47作者陳曉莉https://www.ithome.com.tw/news/148404
【資安日報】2021年12月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起全球關注的Log4j重大漏洞「Log4Shell」（CVE-2021-44228），自Apache基金會於上週公布修補程式後，已成為攻擊者大肆利用的對象，不只有資安業者看到10組惡意軟體運用於攻擊行動，甚至國家級駭客也加入行列。而之前Minecraft傳出已有遭到攻擊的現象，現在攻擊者針對非官方的伺服器下手。但在此同時，竟傳出漏洞修補不夠完全的情況！Apache基金會發布了Log4j 2.16.0來緩解這種現象。</p> <p>另一個焦點是因間諜程式Pegasus而惡名昭彰的網路攻擊公司NSO Group，這家公司傳出因為外界的壓力，考慮關閉Pegasus的部門，不排除賣掉整家公司，其背後的因素，主要應該與美國日前祭出實體名單的制裁有關。此外，資安研究員也分析近期Pegasus利用的iOS漏洞Forcedentry，並指出這項攻擊手法極為新穎且難以察覺，而且，使用者有可能幾乎看不到有什麼異狀。</p> <p>再者，APT駭客濫用Slack的免費工作空間發動攻擊的現象也值得留意，因為這種常見的雲端服務，流量往往被視為合法，而被攻擊者用來挾帶攻擊流量。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/second-log4j-vulnerability-cve-2021.html"><span style="color: rgb(0, 0, 0);">疑似修補不完整，Apache再度針對Log4Shell發布修補程式</span></a></strong></h4> <p>Apache上週公布並修補Log4Shell漏洞CVE-2021-44228，傳出修補不完整情況，導致在部分非預設配置的Log4j系統中，攻擊者仍有機會藉由JNDI查詢特徵產生惡意輸入的資料，觸發Log4Shell漏洞，進行阻斷服務（DoS）攻擊。這項漏洞被列為CVE-2021-45046，CVSS風險層級為3.7分。對此，Apache發布2.16.0版Log4j修補。</p> <h4><strong><a href="https://blog.netlab.360.com/ten-families-of-malicious-samples-are-spreading-using-the-log4j2-vulnerability-now/"><span style="color: rgb(0, 0, 0);">至少10個惡意軟體利用Log4Shell散布</span></a></strong></h4> <p>針對攻擊者大肆利用Log4Shell漏洞發動攻擊的現象，資安業者提出警告。360網路安全實驗室於12月13日指出，他們從密罐系統中，已經看到10種惡意程式利用這項漏洞進行散布，包含了殭屍網路Muhstik、Mirai、Elknot，以及Linux惡意軟體SitesLoader等，攻擊來源包含德國、荷蘭、中國等國，攻擊者偏好的目標是Apache Flink和Apache Solr，這些軟體都包含了Log4j。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">中國、伊朗國家級駭客已開始利用Log4Shell漏洞</span></a></strong></h4> <p>重大Apache Log4j漏洞「Log4Shell」在公布之後，已遭到攻擊者大肆利用，其中國家級駭客也加入了行列。微軟在12月14日指出，他們觀察到中國、伊朗、北韓、土耳其的國家級駭客，已經在使用Log4Shell發動攻擊。其中，該公司點名伊朗、中國駭客組織Phosphorus與Hafnium，前者藉此散布勒索軟體，後者利用此漏洞攻擊虛擬化平臺。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="color: rgb(0, 0, 0);">非官方Minecraft伺服器的Log4Shell漏洞，被用於發動勒索軟體攻擊</span></a></strong></h4> <p>廣受玩家歡迎的電玩遊戲Mincraft，微軟繼日前證實Java版本受到Log4Shell漏洞影響後，他們於12月15日提出警告，表示勒索軟體Khonsari鎖定非官方架設的Minecraft伺服器下手，發送惡意訊息，來感染玩家的電腦。他們呼籲自行架設Minecraft伺服器的用戶，應儘速更新軟體；玩家也應該只連接到受信任的Minecraft伺服器。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148373"><span style="color: rgb(0, 0, 0);">網路攻擊公司NSO Group有意出售或關閉間諜軟體Pegasus部門</span></a></strong></h4> <p>彭博社、金融時報、華爾街日報相繼引述消息人士的說法指出，最近成為眾矢之的的以色列網路攻擊公司NSO Group，因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門，以從美國的實體名單解脫。金融時報指出，NSO Group在2019年市值約10億美元，被美國列為實體名單後，違約貸款近5億元。NSO Group拒絕回應上述報導。</p> <h4><a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html"><span style="color: rgb(0, 0, 0);"><strong>間諜軟體Pegasus只需電話號碼就能入侵iPhone</strong></span></a></h4> <p>蘋果在9月修補名為Forcedentry的零時差漏洞CVE-2021-30860，當時已遭NSO Group用來植入間諜程式Pegasus，這項漏洞存在於iMessage，但為何會如此難以察覺？Google威脅情報小組Project Zero取得間諜程式進行分析後發現，間諜軟體Pegasus只需電話號碼（或Apple ID），就有機會透過IMessage簡訊圖片引誘點選，進而入侵iPhone；再者，Pegasus在攻擊的過程中無需使用者操作，並使用假造的GIF檔案，來觸發iMessage內含的ImageIO程式庫漏洞。 </p> <h4><a href="https://securityintelligence.com/posts/nation-state-threat-group-targets-airline-aclip-backdoor/"><span style="color: rgb(0, 0, 0);"><strong>伊朗APT駭客利用Slack攻擊航空公司<img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1mYmE3MGQ3ODVkNjMxMWVjOWNlY2Y2OTA2ODJjZDI1ZQ%3D%3D.png" style="width: 300px; height: 287px; float: right;" /></strong></span></a></h4> <p>IBM威脅情報團隊在2021年3月，發現針對1家亞洲航空公司的攻擊行動，攻擊者利用Slack的免費工作空間，掩蓋攻擊意圖，這起攻擊行動約從2019年10月開始，攻擊者部署以PowerShell程式碼製成而成的後門程式Aclip，此後門程式濫用Slack的API，來接收或是傳送資料給C2中繼站。根據分析，攻擊者的身分疑似是伊朗駭客組織ITG17（亦稱MuddyWater）。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/anubis-android-malware-returns-to-target-394-financial-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Anubis鎖定近400家金融機構客戶</span></a></strong></h4> <p>資安業者Lookout指出，他們發現最近一波的金融木馬Anubis攻擊行動，針對394家金融機構的安卓客戶而來，攻擊者宣稱是名為Orange S.A.的應用程式，企圖竊取用戶的登入帳密。為了避免遭到作業系統內建的防護機制攔截，Anubis會顯示假的對話框，以讓系統能正常運作的名義，要求受害者關閉Google Play Protect。研究人員指出，這些遭到鎖定的金融機構，其中包含了美國和法國等地的銀行。</p> <h4><strong><a href="https://www.trendmicro.com/en_us/research/21/l/yanluowang-ransomware-code-signed-terminates-database-processes.html"><span style="color: rgb(0, 0, 0);">勒索軟體閰羅王運用來源不明但有效的軟體簽章，佯裝合法軟體，並疑似透過RDP入侵受害電腦</span></a></strong></h4> <p>自賽門鐵克於8月發現名為「閰羅王（Yanluowang）」的勒索軟體，這個勒索軟體會停用所有虛擬機器，並終止SQL資料庫和Veeam資料備份解決方案，讓受害組織難以復原。最近趨勢科技也透露更多調查結果，他們發現，這個勒索軟體入侵受害電腦的管道，應該是透過遠端桌面連線（RDP）進行，而難以被發現的原因，主要是此勒索軟體使用了有效的軟體簽章，但對於簽章的來源仍然不明朗，研究人員認為，有可能是偷來的，或是偽造的簽章。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dhs-announces-hack-dhs-bug-bounty-program-for-vetted-researchers/"><span style="color: rgb(0, 0, 0);">美國國土安全部宣布推出Hack DHS漏洞懸賞計畫</span></a></strong></h4> <p>為了找出潛在的漏洞以提升安全，美國國土安全部（DHS）於12月14日，宣布啟動名為Hack DHS的漏洞懸賞計畫，他們邀及網路安全專家參與以找出漏洞，然後進行修補，這項計畫將分3個階段執行，其目標是開發一種可供其他聯邦機構運用的模型，用來提升機構的網路安全。在Hack DHS計畫中，研究人員因找到的漏洞最多可獲得5千美元獎金。</p> <h4><strong><a href="https://brave.com/privacy-updates/13-pool-party-side-channels/"><span style="color: rgb(0, 0, 0);">隱私瀏覽器Brave著手因應跨站洩露攻擊</span></a></strong></h4> <p>瀏覽器業者Brave於12月15日指出，新興跨來源攻擊手法「Pool-Party」日益嚴重，這種手法是攻擊者利用網站來操縱瀏覽器，從瀏覽器未分區的資源池來建立隱密的通道。對此，該業者預計在接下來的幾個星期內，提供相關的防護措施，並部署到用戶的瀏覽器上，同時，他們也與其他瀏覽器業者共同合作來解決這個問題。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> </div></div></div>
2021/12/16 14:18作者周峻佑https://www.ithome.com.tw/news/148402
疫情不可控，蘋果關閉3門市，延後員工回辦公室上班的時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於全球COVID-19的病例持續增加，再加上新病毒株的現身，蘋果本周採取了多項措施，包括暫時關閉位於邁阿密、馬里蘭與安大略州的3家門市，以及重新要求進入美國蘋果門市的所有客戶都必須配戴口罩，同時發布了內部備忘錄，把原本預計於明年2月返回辦公室上班的策略，改為無限期延後。</p> <p>蘋果才在11月對內公告，希望員工可以自明年2月開始返回辦公室上班，但本周三（12/15）蘋果再度改口，將把進辦公室上班的要求無限期延後，而且還會提供每名員工1,000美元的費用，以讓他們添購在家工作所需的設備。</p> <p>其實蘋果的辦公室一直是開放的，讓有需要的員工能夠進辦公室工作，且就算要求員工進辦公室上班，也是一周進辦公室3天，只不過若未訂出規則，有可能就有員工永遠不進辦公室。</p> <p>然而，由於疫情的狀況難測，蘋果要求員工進辦公室的時間一改再改，從今年6月、<a href="https://www.ithome.com.tw/news/144802" target="_blank">9月</a>、10月到明年1月、2月，直至現在已無法再訂出日期。不僅是蘋果，<a href="https://www.ithome.com.tw/news/146638" target="_blank">微軟也已經放棄訂定員工回辦公室上班的時程了</a>。</p> <p>此外，蘋果執行長Tim Cook也在本周鼓勵員工施打疫苗與加強針，以保障自身及周遭親友的安全。</p> </div></div></div>
2021/12/16 14:40作者陳曉莉https://www.ithome.com.tw/news/148403
Google公布NSO Group用來駭進蘋果iMessage的Forcedentry攻擊程式細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146698" target="_blank">公民實驗室（Citizen Lab）日前揭露</a>以色列資安業者NSO Group以Forcedentry攻擊程式駭進iPhone，再於受害者手機上植入Pegasus間諜程式，Google Project Zero團隊向公民實驗室取得了Forcedentry樣本，<a href="https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html" target="_blank">於本周公布該攻擊程式的細節</a>，並說這是該團隊所見過的最精細的攻擊程式之一，證明了過去原本以為只有少數國家所具備的能力，其實也能由NSO Group提供給其它的國家。</p> <p>Forcedentry所開採的是位於蘋果作業系統圖像渲染函式庫CoreGraphics的CVE-2021-30860漏洞，它是一個整數溢位漏洞，在處理惡意的PDF檔案時，將允許駭客執行任意程式。蘋果已於今年9月13日修補該漏洞。</p> <p>根據Google Project Zero團隊的分析，Forcedentry是個零點擊攻擊程式，在駭客透過iMessage傳送假GIF檔案時，iMessage在手機顯示這些圖像時就已先行進行解析，而成為駭客的切入點，代表駭客只要知道目標對象的電話號碼或是Apple ID的使用者名稱就能展開攻擊，完全不需要使用者的任何互動。</p> <p>至於CVE-2021-30860漏洞具體的位置則在於CoreGraphics的PDF解析器，駭客利用PDF內建之影像壓縮標準JBIG2的漏洞展開攻擊，儘管JBIG2本身並未具備編寫腳本的能力，但結合漏洞之後卻能在任何記憶體上模擬任何邏輯閘電路，等於可建置自己的電腦架構及腳本程式，而這就是Forcedentry的功能，它的速度並不如Javascript，但在運算能力上卻是相當的。</p> <p>Google Project Zero團隊指出，Forcedentry便運作在這個邏輯電路上，而整個攻擊環境則是由JBIG2串流的單一解壓縮所造就的，這非常的不可思議，也極為可怕。</p> <p>NSO Group不僅能駭入蘋果裝置，也能駭入Android裝置，Google則說，他們知道NSO Group也銷售鎖定Android的零點擊攻擊程式，歡迎握有樣本的組織或個人與其接洽。</p> </div></div></div>
2021/12/16 14:14作者陳曉莉https://www.ithome.com.tw/news/148401
不打COVID-19疫苗的Google員工傳面臨解僱後果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>變種Omicron推升COVID-19疫情近日在歐美再度升溫，<a href="https://www.cnbc.com/2021/12/14/google-employees-to-lose-pay-if-dont-comply-with-vaccination-policy.html" target="_blank">CNBC報導</a>Google已要求員工施打疫苗，否則可能飯碗不保。</p> <p>根據CNBC取得上個月起Google對內發送的文件，Google要求員工必須在12月3日前申報疫苗接種狀態並上傳文件證明，否則就需申請基於醫療或宗教理由不施打的豁免。之後未上傳文件或豁免被獲得批准的員工會接到公司的詢問。</p> <p>文件顯示，2022年1月18日之前未能完成接種或被批准不施打疫苗的員工，將會要求放30天「支薪行政假」，之後則會被要求放「6個月無薪個人假」，最後結果就是解聘。</p> <p>Google公司發出聲明表示，公司的接種要求是確保員工安全及服務持續的最重要方式之一，且Google表示會堅持接種政策。</p> <p>由於疫情升溫，Google多次延後員工回公司作業的時程。<a href="https://www.cnbc.com/2021/12/02/google-workers-in-us-wont-return-to-office-as-expected-on-jan-10.html" target="_blank">12月初Google最新公布的時程是2022年1月10日</a>。</p> <p>許多企業以保護員工健康為由，延後他們回公司上班的日期，但是<a href="https://www.nbcbayarea.com/news/tech/silicon-valley-tech-companies-tighten-their-rules-on-covid-19-vaccinations/2610842/" target="_blank">CNBC報導</a>矽谷的大小公司漸漸失去耐心，態度趨於嚴格。<a href="https://www.washingtonpost.com/technology/2021/07/28/google-office-vaccinate/" target="_blank">Google在7月首先要求</a>員工打疫苗才能進公司，但<a href="https://www.bizjournals.com/sanjose/news/2021/11/24/googlers-sign-manifesto-opposing-vaccine-mandate.html" target="_blank">遭到Google員工抗議</a>，要求撤回成命。但Google目前的堅持接種政策顯然已不再有妥協的餘地。</p> </div></div></div>
2021/12/16 13:08作者林妍溱https://www.ithome.com.tw/news/148399
【大話資安直播預告】後量子密碼標準箭在弦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準技術研究院（NIST）在去年十月，公布第三輪後量子密碼（PQC）候選演算法名單，預計最晚在2024年，美國NIST將會公布後量子密碼標準作為全世界參考。</p> <p>大家知道，量子電腦具有強大的運算能力，可以破解現行採用非對稱加密演算法，例如RSA或ECC（橢圓曲線）的各種加密技術和設備，當所有的網路通訊和身分認證都必須仰賴加密演算法作為基礎時，不管是國家安全或者是與民眾生活息息相關的網路和金融相關服務，都已經到了必須面對後量子密碼動向的時刻。</p> <p>在這一波後量子密碼標準的候選名單中，臺灣有三位傑出學者，分別在不同的候選演算法中有傑出貢獻。其中，大話資安很榮幸邀請在「Rainbow」以及「NTRU Prime」有貢獻的中研院資訊科學所楊柏因研究員，以及臺大數學系兼任教授暨匯智安全科技陳君明董事長於2021年12月23日（四）中午12點半，以「後量子密碼標準箭在弦上」為題，與觀眾分享後量子密碼的現況以及標準的進度？為什麼必須採用後量子密碼？而這個後量子密碼標準對於產業界帶來的影響為何？都有專家深入淺出分享解說。</p> <p>＠題目：後量子密碼標準箭在弦上</p> <p>＠時間：2021/12/23（四）中午12點30分</p> <p>＠來賓：</p> <p>＠楊柏因 - 中央研究院資訊科學所研究員 / 臺大電機系兼任教授</p> <p>臺灣最聰明的金頭腦之一，18歲臺大物理系畢業，22歲取得美國MIT博士，回臺後，曾在淡江大學數學系任教職，2011年於中研院資訊所擔任研究員迄今，主要研究專注在應用密碼學組合和演算法分析</p> <p>＠陳君明 - 匯智安全科技董事長 / 臺大數學系兼任助理教授</p> <p>臺大「教學傑出獎」得主，教授課程包括密碼學、破密學、後量子密碼學、金融科技理論與實務。</p> <p>＠臉書直播網址：<a href="https://business.facebook.com/events/313504720647668/">https://business.facebook.com/events/313504720647668/</a></p> <p> </p> </div></div></div>
2021/12/16 10:50作者黃彥棻https://www.ithome.com.tw/news/148383
【Log4Shell漏洞資訊更新】Log4j 2.15.0修補不全、Apache再釋2.16.0新版，國家駭客已開始行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache Log4j日誌軟體漏洞Log4Shell引發全球企業及政府趕忙修補，不過資安專家呼籲IT部門應確認安裝的是最新版修補程式，因為上周五釋出的版本未能修補完全，而衍生新漏洞。而另一方面，攻擊方則愈來愈兇猛，現在國家駭客也加入戰局。</p> <p>編號CVE-2021-44228的Log4j漏洞讓遠端攻擊者發送惡意log訊息、即可開採以執行任意程式碼，影響知名網站如蘋果iCloud、微軟Azure、Amazon、Google等，以及Oracle、IBM、Red Hat、VMware、Cisco、Splunk產品，被視為近10年最嚴重的漏洞。</p> <p><a href="https://www.ithome.com.tw/news/148332" target="_blank">上周五Apache基金會釋出Log4j 2.15.0</a>，不過Apache基金會周一又再釋出2.16.0版。原來是因為之前版本並未能完全解決漏洞。</p> <p><a href="https://www.praetorian.com/blog/log4j-2-15-0-stills-allows-for-exfiltration-of-sensitive-data/" target="_blank">周二安全廠商Praetorian解釋</a>，他們發現2.15.0版仍然允許攻擊者在某些情況下外洩敏感資訊，因而通報並促使Apache基金會再釋出新版軟體。前一版更新未能修補Log4Shell之處，<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45046" target="_blank">被列為新漏洞CVE-2021-45046</a>。Praetorian<a href="https://logging.apache.org/log4j/2.x/download.html" target="_blank">呼籲用戶應儘速升級到2.16.0版</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-hacker-log4j-600.jpg" style="width: 600px;" /></p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-45046" target="_blank">CVE-2021-45046</a>讓攻擊者在輸入Log4j2 ThreadContext（MDC）資料時使用非預設的Patten Layout改造成惡意查詢輸入，可引發阻斷服務（DoS）攻擊。2.16.0版可解決這個問題。</p> <p>企業及政府機構動作必須要快，因為安全廠商警告，掃瞄系統漏洞的活動數量和類型快速增加。微軟上周已偵測網路有在受害系統安裝採礦軟體、木馬程式及Cobalt Strike意圖的活動。此外還有殭屍網路病毒Mirai、Tsunami/Muhstik和Kinsing。<a href="https://www.ithome.com.tw/news/148362" target="_blank">本周駭客企圖開採漏洞散布第一隻勒索軟體Khonsari</a>。</p> <p>周二在最新分析下，微軟威脅情報小組表示，已觀測來自中國、伊朗、北韓及土耳其等多個國家支持的駭客組織，開始利用Log4Shell/CVE-2021-44228進行的活動涵括開發中的測試、將漏洞整合到惡意程式部署，以及實際攻擊目標系統等。</p> <p>伊朗駭客Phophorus已在部署勒索軟體並取得Log4j的開採程式來修改，但微軟判斷已經開始運作。另一組國家駭客是<a href="https://www.ithome.com.tw/news/143001" target="_blank">今年攻擊Exchange Server ProxyLogon漏洞的Hafnium</a>。微軟發現該中國駭客組織利用DNS服務來辨識並擴大目標範疇。</p> <p>此外，微軟Microsoft 365 Defender部門也發現多個銷售攻擊服務的組織利用Log4Shell漏洞。他們提供存取管道給勒索軟體即服務（ransomware-as-a-service）同夥，讓最終端「客戶」得以在受害者網路上植入勒索軟體。Linux和Windows都是這幫歹徒的目標，微軟預期不久後，人為操作的勒索軟體攻擊會更頻繁。</p> <p>CISA已經將Log4Shell漏洞加入到「已知被開採漏洞」清單，要求美國聯邦政府機關緊急修補或緩解該漏洞。美國國土安全部的安全命令要求聯邦政府，必須在12月24日前完成修補。</p> </div></div></div>
2021/12/16 11:59作者林妍溱https://www.ithome.com.tw/news/148391
微軟修補67項漏洞，包括1個被開採的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周稍早釋出12月Patch Tuesday的安全更新，共修補67項漏洞，其中包含一項已被開採的零時差漏洞。</p> <p>本月修補的漏洞影響產品涵括Windows、Windows元件、Office、Office元件、Edge、SharePoint Server、Windows Mobile Device Management、Hyper-V、ASP.NET Core、Visual Studio、Windows Remote Desktop Client、iSNS Server等。67項漏洞中有7項屬重大漏洞，60項為重要漏洞。6項漏洞已被公開，其中1項則遭到公開開採。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43890" target="_blank">遭到公開開採的漏洞編號 CVE-2021-43890</a>，影響Windows AppX Installer，這是用於在Windows 10電腦上安裝AppX app的工具。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43890" target="_blank">微軟接獲通報</a>，本漏洞被用來散佈Emotet、Trickbot及Bazaloader等惡意程式。攻擊者可利用釣魚信件散布惡意附件誘使用戶開啟文件以植入惡意程式。本漏洞需要用戶權限來執行程式，若用戶帳號具備管理員權限，影響更為嚴重。安全廠商ZDI指出，這項漏洞屬於中度風險，但若結合權限擴張漏洞，則可能導致系統被接管。</p> <p>其他5項遭公開的漏洞皆屬「重要」風險的權限擴張漏洞，影響產品包括NTFS Set Short Name<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43240" target="_blank">（CVE-2021-43240）</a>、Windows Encrypting File System S<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43893" target="_blank">（CVE-2021-43893）</a>、Windows Installer、Windows Mobile Device Management<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43880" target="_blank">（CVE-2021-43880）</a>及Windows Print Spooler<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-41333" target="_blank">（CVE-2021-41333）</a>。</p> <p>所幸7項重大（critical）風險漏洞皆未被公開。其中較重要的包括3項風險值9.8的程式碼執行（RCE）漏洞，分別涉及iSNS（Internet Storage Name Service）伺服器<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43215" target="_blank">（CVE-2021-43215）</a>、4K Wireless Display Adapter<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43899" target="_blank">（CVE-2021-43899）</a>以及Visual Studio WSL外掛<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43907" target="_blank">（CVE-2021-43907）</a>。影響建置儲域網路（SAN）的客戶、連接4K無線顯示器的電腦、以及以WSL（Windows Subsystem for Linux）開發及執行Linux 環境的開發人員。</p> <p>此外，微軟也修補了Microsoft Office App存在的一個9.6風險值的RCE漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-43905" target="_blank">（CVE-2021-43905）</a>，攻擊者透過社交工程傳送惡意Office文件，用戶開啟文件即可被執行程式碼。</p> </div></div></div>
2021/12/16 12:17作者林妍溱https://www.ithome.com.tw/news/148394
密碼管理服務LastPass成為獨立公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.logmein.com/zh/newsroom/press-release/2021/logmein-set-to-establish-lastpass-as-an-independent-cloud-security-company-amid-strong-market-demand#" target="_blank">LogMeIn於14日宣布</a>，有鑑於全球市場愈來愈重視密碼的安全性，準備讓旗下的密碼管理服務LastPass成為一家獨立公司，以迎接未來的商機。</p> <p>LogMeIn為一軟體即服務（SaaS）供應商，它在2015年以1.1億美元買下了LastPass，除了LastPass之外，LogMeIn的麾下還有專門提供線上會議與桌面分享的GoToMeeting服務，雲端電話系統與虛擬會議平臺GoToConnect，以及遠端支援服務Rescue。</p> <p>至於2008年就創立的LastPass則號稱是全球最受歡迎的密碼管理服務，全球用戶數超過3,000萬名，以及8.5萬家企業客戶。LogMeIn表示，在成為一家獨立的公司之後，LastPass將會增加對客戶經驗、市場功能與工程的投資，以加速其密碼管理、單一簽入與多功能認證的進步。</p> <p><a href="https://www.logmein.com/zh/newsroom/press-release/2021/lastpass-psychology-of-passwords-report-finds-people-are-still-practicing-poor-password-hygiene-while-increasing-their-online-presence" target="_blank">根據LastPass今年9月發表的密碼調查報告</a>，全球約有50%的使用者所持有的帳號數量是疫情前的兩倍，意味著疫情所帶動的遠端工作風潮，讓使用者採用了更多的新應用與帳號。</p> <p>負責資安產品的IDC專案總監 Jay Bretzmann指出，全球各種規模的組織，都擁有缺乏SAML或OpenID等單一簽入介面的應用，它們的管理階層也已經意識到不斷重設憑證所帶來的財務成本與對生產力所造成的負擔，LastPass看到了這樣的機會，也計畫替客戶提供更高的策略價值。</p> <p><a href="https://blog.lastpass.com/2021/12/lastpass-investing-even-more-in-your-password-security-in-2022/" target="_blank">LastPass表示</a>，就算轉為獨立公司，客戶的帳號或服務不會有所變更，但將看見加速釋出的新功能。</p> </div></div></div>
2021/12/16 09:32作者陳曉莉https://www.ithome.com.tw/news/148380
英國暗示將對Google與蘋果展開反壟斷行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在今年6月宣布，將調查蘋果與Google的行動生態體系是否危及市場競爭及消費者權益，<a href="https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/1040662/Mobile_ecosystems_interim_report_-_FINAL__-_.pdf" target="_blank">並於本周公布了期中報告</a>，指出這兩大業者控制了行動裝置，並暗示可能會對此採取行動，而正式的報告預計要到明年6月才會出爐。</p> <p>CMA之所以會對蘋果及Google展開調查，是因為這兩家業者掌控了行動作業系統（iOS與Android），也控制了行動程式市集（App Store及Google Play），以及行動裝置所使用的瀏覽器（Safari與Chrome），而它們皆是行動生態體系的關鍵元素，事實上，現代人所購買的行動裝置，若不是採用iOS作業系統，就是使用Android。</p> <p>在英國市場上，2020年有超過一半的手機用戶使用iPhone，其它的則是使用Android手機；而英國人所下載的行動程式中，有95%來自App Store或Google Play；在行動裝置上所使用的瀏覽器，有接近50%為Safari，Chrome則占了40%。</p> <p><a href="https://www.gov.uk/government/news/apple-and-google-duopoly-limits-competition-and-choice" target="_blank">CMA行政首長Andrea Coscelli指出</a>，蘋果與Google已經控制了人們使用手機的方式，而這可能會讓英國民眾成為輸家。大多數的人知道蘋果與Google是手機市場的主要玩家，卻很容易忘記所有的規則都是由這兩家業者訂定的，包括要讓哪些程式上架，或者是讓人們不容易更換其它的瀏覽器。</p> <p>他說，任何的干預都必須能夠解決這兩家業者在作業系統、行動市集與瀏覽器市場上的龐大影響力，<a href="https://www.ithome.com.tw/news/141347" target="_blank">而最佳的管道就是由政府賦予權力的數位市場部門（Digital Markets Unit）</a>。</p> <p>依照CMA的看法，在蘋果及Google以雙占（Duopoly，只有兩個競爭者）方式控制了行動生態體系之後，人們將會失去來自新產品或服務的創新，例如網頁應用程式，或是在手機上透過雲端執行遊戲，而缺乏競爭也可能會讓業者提高產品及服務的售價。</p> <p>雖然這只是期中報告，但CMA已經列出了可能採取的行動，包括讓使用者更容易在iPhone及Android手機之間切換，讓使用者更容易自App Store或Google Play之外安裝程式，所有的行動程式皆能提供更多元的付費模式及管道，以及讓使用者決定所要使用的瀏覽器或將其它瀏覽器列為預設。</p> <p>外界可於明年2月7日以前針對此一期中報告提出意見或看法，正式報告則將在明年6月出爐。</p> </div></div></div>
2021/12/16 09:40作者陳曉莉https://www.ithome.com.tw/news/148381
Nike收購NFT工作室RTFKT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.nike.com/news/nike-acquires-rtfkt" target="_blank">知名運動鞋/服飾品牌Nike周一（12/13）宣布</a>，已買下了近來熱度很高的NFT工作室RTFKT，以延伸Nike於數位領域的能力與足跡，儘管外界非常好奇RTFKT的身價，但雙方並未公布交易金額。</p> <p>RTFKT為2020年1月由3名創作者成立的新公司，結合了遊戲引擎、不可替代代幣（Non-Fungible Token，NFT）、區塊鏈驗證及擴增實境等應用，創作了各種虛擬運動鞋與數位產品<a href="https://cryptopunk.rtfkt.com/" target="_blank">。RTFKT不僅在今年5月與創造加密龐克（CryptoPunks）的Larva Labs合作</a>，替1萬個加密龐克角色打造專屬的虛擬運動鞋，<a href="https://clonex.rtfkt.com/" target="_blank">也在今年12月與日本藝術家村上龍合作推出CloneX專案</a>，發行2萬個3D的虛擬化身，由村上龍設計它們的眼睛、嘴巴或衣著，而每個虛擬化身都是源自這些特色的隨機組合，且<a href="https://opensea.io/collection/clonex" target="_blank">CloneX專案的銷售活動正如火如荼地進行中</a>。</p> <p>儘管雙方未揭露交易價格，但RTFKT今年5月募集800萬美元的資金時，身價約為3,330萬美元。</p> <p>Nike執行長John Donahoe表示，該公司所併購的是一個非常有才華的團隊，Nike打算繼續投資RTFKT這個品牌，推動該品牌的創意與社群，同時延伸Nike的數位足跡與能力。</p> </div></div></div>
2021/12/16 09:48作者陳曉莉https://www.ithome.com.tw/news/148382
東台精機靠IT加速傳產轉型，還要整合數據分析優化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球爆發COVID-19疫情後，口罩成為各國防疫的重要物資，但當時口罩供應不足，加上引發的搶購浪潮，導致不少民眾買不到口罩，政府去年1月31日找來口罩製造商、工具機業者、法人組織、經濟部、國軍共同組成口罩國家隊，來緊急生產口罩。</p> <p>然而，要在短時間內快速增加口罩生產線並不容易，臺灣工具機暨零組件工業同業公會主動與政府聯絡，成立超過半世紀的老牌工具機業者東台精機也加入這支工具機國家隊，一起支援口罩產線建置。</p> <p>去年2月6日實地勘察口罩製造商產線，他們隨即在2月10日進駐，各家工具機業者自備工具箱、壓縮機等器具，動員主管及工程師支援，終於在40多天內完成92條口罩機生產線，不只大幅提高了臺灣的口罩產能，甚至能在國外疫情吃緊下，提供口罩給有需要的國家。</p> <p>能在這麼短的時間內，建置多個口罩機生產線，背後少不了IT的協助。東台精機資訊中心經理林義傑回憶，去年農曆年休假過後，東台精機也派出IT主管級人員跟著產線團隊北上支援，林義傑則和整個資訊部門在高雄廠內待命，扮演後勤支援的角色，協助如VPN建置、帳號建立，程式開發等，協助統整需要的資料，協助北上團隊查找料件狀況，建立檔案資料共享機制等，「IT必需很快完成遠端支援環境，後續研發、採購、生產管理單位才能加入」，IT成了東台精機參與國家隊快速建置口罩機產線的隱形助力。</p> <p><span style="font-size:28px;"><strong>2008年展開數位化作業</strong></span></p> <p>東台精機之所以能以IT支援口罩國家隊，源於他們從2008年開始打下的數位化基礎。如同其他傳統產業一樣，早期東台精機也相當仰賴紙本作業方式，以工具機業相當重要的售後服務來說，當售服人員接到客戶的訊息，可能直接手寫在紙張、便利貼，或是輸入Excel，但是在資料處理的過程中可能因為紙張遺失，導致資訊傳遞中斷，訊息沒有傳遞給相關單位，使得客戶的體驗不好。</p> <p>其次是，這些紙本資料歸檔之後，不容易查找資料，甚至最後可能發現關鍵資料有缺漏的情形。另一個問題是，當接到客戶的案子後，單位主管無法掌握維修人員出勤動態，僅能從事後的售後服務表去了解。</p> <p>為了改善這些問題，東台精機從2008年開始將紙本作業數位化，將櫃子裡的紙本文件、資料夾，靠人工登打來建立檔案，儲存到資料庫中，後來更進一步以表單的資料欄位，建立一套售服客訴系統，更以此建立一個完整的售服流程，將原來紙本作業登錄方式，改為線上系統資料登錄。現在，維修人員出勤回到公司，必須清楚填寫資料，由專人進行後續系統作業、歸檔。</p> <p>林義傑坦言，對一家超過50年的工具機業者而言，因為新的作業方式對公司文化帶來一大挑戰。一方面當時的主管大多較資深，缺乏系統化管理思維，系統剛上線時，老師傅也對要填寫不少資料，感到相當麻煩。資訊團隊花了許多心力與時間教育使用者，逐漸將過去的紙本作業資料輸入系統後，主管們開始感受到查找資料更方便的好處，甚至主動要求回溯更多的舊資料。</p> <p>現在所有資料都有歸檔，並提供超連結路徑，讓資料查找變得比較方便，主管也能知道客訴點被停留多久沒有被完成，從明細資料也能查詢人員出勤維修次數，每個售服報告表留下客戶簽名，避免後續紛爭。</p> <p>這套新的售服作業模式，加速了東台精機內部的數位化發展，系統上線初期登錄資料維度並不多，但在系統化管理資訊後，管理階層對資料的分析維度不斷增加，直到2014年仍不斷擴充資料欄位，明年規畫將內部管理系統行動化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%96%87%E5%BD%AC-%E6%9D%B1%E5%8F%B0-%E5%9C%962.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影_洪政偉</span><br /><strong>東台精機資訊中心經理林義傑表示，資訊部門不只是開發、維運系統的單位，更重要的是扮演管理階層和基層員工之間，承上啟下的橋樑角色。</strong></span></p> <p><span style="font-size:28px;"><strong>導入國外ERP系統</strong></span></p> <p>在售服客訴系統上線後，資訊團隊後續又開發生產管理系統，2017年開始導入國外廠商的ERP系統，以取代原本在AS400大型主機上執行的舊ERP系統，這是東台精機朝向數位化、現代化的重要一步。</p> <p>原本在AS400的舊ERP系統，整合母公司與子公司的ERP，隨著使用時間一久，漸漸無法跟上現在的業務需求。</p> <p>由於舊ERP系統使用介面比較傳統，林義傑指出，舊系統如同房子的主結構，IT在內部建築房間，往往疊床架屋，更讓人詬病的是資料庫，從源頭設計出圖，後續採購、組裝，到後面的總帳成本，各個流程的資料是斷裂的，雖然資料會拋轉，但前端與後端資料並沒有連動，看似整個作業流程是通暢的，但基於作業的方便，人員往往會直接改後端總帳資料，最後發現總帳和源頭的資料不一致。</p> <p>這樣的問題對資深維護人員可能影響不大，因為資深人員清楚前後連動關係，同時調整前後端資料，但後續新的人員接手，不清楚連動關係，會發生前後資料不一致的情形。</p> <p>另外，AS400上的舊ERP系統資料欄位不足，早期的客戶資料只有代號、名稱，所在國家或地區，由於沒有行業別，因而無法以行業別分析客戶相關的資料，雖可透過增加新欄位因應，卻使得資料欄位愈來愈複雜化。</p> <p>因此，東台精機趁著導入新ERP系統的機會，希望解決舊ERP系統前後資料不連動的問題，同時也藉由新的ERP系統導入邏輯性，更細緻化的資料維度，因新舊ERP系統資料欄位不同，他們先和使用單位、顧問討論，找出新舊系統的差異處，對不足處補強資料欄位、增加作業行為或勾稽的動作。為了整合資料，他們以外掛的整合性資料庫介接新ERP系統的資料，將資料庫結構定義非常清楚。</p> <p>然而，新的ERP系統在2017年3月上線，「系統上線才是問題的開始」，林義傑說。</p> <p>林義傑表示，導入新系統遭遇的問題是，因舊系統資料和現場實務資料不一致，雖然盤點資料，但並沒有落實執行，將舊系統錯誤資料置於新系統，使得前後資料不一致，帳、料資料不符。</p> <p>新舊系統在作業模式也有差異之處，舊系統作業模式可植入現場，一個工單可以綁另一個工單，工單直接進入產線，但新的ERP系統必需清楚區分入庫、出庫。有時候最後結帳出現問題，才發現是前面的資料出錯，需要整個重做。光是兩者在作業模式上的差異，資訊團隊就花了兩年時間，教育使用單位如何使用新系統。</p> <p>歷經三年的磨合期，新系統運作才趨於穩定。林義傑有感而發的表示，透過導入新ERP系統，讓東台精機了解自己的不足之處，痛點在哪？哪些資料紊亂？再從流程面、資料面、作業面進行補強。</p> <p>新的ERP系統上線初期，東台精機也花費較多的IT人力維運這套新系統，考量到人力有限，林義傑要求清楚撰寫維護文件，以便將來如果人員離開，後續的新手可以參考維護文件儘早接手。</p> <p>這些年協助東台精機推動數位化轉型，讓林義傑深刻體認到，「數位轉型的背後是大數據的概念，資料必需很嚴謹的串接」。</p> <p><span style="font-size:28px;"><strong>整合各系統資料推動BI分析應用</strong></span></p> <p>東台精機從2008年開始數位化作業，到2012年開發售服系統，後續再推出生產管理系統、汰換ERP系統，並在去年開發品質系統，各項資訊系統翻新，蒐集更多資料之後，東台精機運用林義傑稱為Data Center的數據整合中心，整合各個系統的資料，作為推動數據分析應用的基礎。</p> <p>東台精機如何讓資料串接整合？林義傑表示，先從主管每天看的報表開始，研究其中需要哪些資料，這些資料可能在哪些系統，再利用API從相關的系統取得資料，透過排程將資料集中到數據整合中心，再以此為基礎推展BI分析應用。</p> <p>儘管目前東台精機並沒有使用雲端服務，但林義傑考慮到數據整合並不影響底層資料，未來將數據整合中心放在雲端，能夠降低管理伺服器所需要的人力。</p> <p>原本東台精機的資訊部門包含林義傑在內共有15人，但先前人員遭到挖角後，現在團隊降至10人，需要更有效率的善用人力。</p> <p>接下來，以數據整合中心為基礎，今年資訊團隊委託外部的顧問，正在規畫開發數位戰情室，準備在明年初完成。</p> <p>林義傑坦言，過去資料沒有整合之前，資訊部門一直無法推動數位戰情室，但現在資料蒐集較完整之後，才能往下一步前進，發展相關的大數據分析應用。</p> <p><span style="font-size:28px;"><strong>數位轉型應讓使用者了解價值</strong></span></p> <p>由於數位轉型往往需扭轉公司文化，林義傑認為，企業推動數位轉型，不能只由IT主導推動，而是應該和使用單位充分溝通、討論需求，啟發他們如何去思考需求，讓使用單位了解將數據放到資料庫，從資料庫產生資訊，當使用單位開始有了數位的概念，推動轉型才能夠成功。</p> <p>由於資訊單位經常扮演承上啟下角色，一方面接受管理階層的指令，另方面需和基層部門溝通，推動新系統、新的作業模式。林義傑坦言，IT扮演管理層與基層間的平衡角色確實不容易，以資料為例，管理層因為內部營運決策的需要，要求可分析的資料愈多愈好，但基層往往認為這些是額外的工作，輸入的資料愈少愈好，考驗資訊部門溝通協調能力。</p> <p>林義傑認為，數位轉型可以從兩個方向來看，一個是由上而下，指的是管理階層由上而下所下達的命令，另一個由下而上，底層系統的推動，必須由下而上，蒐集一筆筆的資料。資訊部門從管理層獲得管理的方向後，才能和員工溝通。例如管理階層需要哪些資料，如何以IT的立場，推動業務流程和作業行為的改善。</p> <p>至於如何向其他單位推動數位轉型，林義傑不吝分享他的看法，可以先從小系統示範作起，以現有系統的資料為範本，展示一個小系統，讓他們了解新系統可帶來的效益，將新的需求引導出來。「資訊部門不只是開發、維運系統的單位，更重要的是扮演管理階層和基層員工之間，承上啟下的橋樑角色」。</p> <p>他認為，IT不能只是坐在辦公室寫程式，完成其他部門的需求，而要多和使用者聊天，透過從現場挖掘資料，才能知道如何讓員工的作業更順利，「IT就是服務單位，服務全公司的內部單位」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>林義傑　東台精機資訊中心經理</strong></p> <p>學歷：高雄第一科技大學資訊管理所</p> <p>經歷：2003年加入東台精機資訊部門，擔任MIS程式設計師，負責總帳、應收應付、固定資產系統等維護，2012年升任副課長，協助推動客訴系統、生產管理系統、BPM系統導入，2018年擔任副理，導入新ERP系統、開發品質系統等，今年6月接任經理職務，帶領資訊團隊</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>東台精機</strong></p> <p>地址：高雄市路竹區路科3路3號</p> <p>成立時間：1969年</p> <p>主要業務：提供工具機產品線，包含立臥式加工中心機、立臥式車床、複合式加工中心、搪銑床、金屬積層製造設備、PCB加工機、雷射加工機等，以及Turnkey方案經驗與整廠整線輸出，從機台選定到最後機台加工的規劃執行。</p> <p>員工數：700人</p> <p>年營收：2020年為77.79億元</p> <p>董事長：嚴瑞雄</p> <p>總經理：嚴瑞雄</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊中心經理</p> <p>資訊部門主管姓名：林義傑</p> <p>資訊部門人數：10人</p> <p>IT預算：年營收千分之5到10</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：開發售服客訴系統</p> <p>●2014年：建置生產管理系統</p> <p>●2015年：蘇州東昱系統整合，BPM系統導入</p> <p>●2017年：導入國外ERP系統</p> <p>●2018年：開發SCM供應鏈系統</p> <p>●2020年：品質系統上線</p> <p>●2021年：規畫開發數位戰情室環境</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-wen_bin_-dong_tai_-tu_1.png" width="960" height="420" alt="" title="東台精機資訊中心經理林義傑　（攝影／洪政偉）" /></div></div></div>
2021/12/16 07:00作者蘇文彬https://www.ithome.com.tw/people/148296
思考Python結構化模式比對
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當Python 3.10推出後，為人關注的新特性之一是結構化模式比對（Structural Pattern Matching），而這個特性最早是在PEP622中提出，後來整理為PEP634，到了PEP635與636當中，分別討論動機，以及提供文件入門；然後，有許多文件就開始嚷嚷著：「Python的switch語法終於出現了」！</p> <p><span style="font-size:28px;"><strong>Python不需要switch？</strong></span></p> <p>當然，Python結構化模式比對使用的是關鍵字match，而不是switch，然而，這其實反映了一件事實：其他語言幾乎都有switch之類的語句，因為「別人都有，就你沒有」的關係，使得Python沒有switch這件事，相對而言就像個異端。</p> <p>因為其他語言幾乎都有，這就使得從其他語言來到Python的使用者，理所當然地，會想要有switch的方案，在Python社群中，也確實曾有提案與討論，而且歷史甚為悠久——早在2001年就提出了PEP275，後來在2006年又有了PEP3103，然而最終它們都被否決了。</p> <p>基本上，否決的原因在於，在社群各式各樣的提案中，沒有一個實現可適切地融入Python既有的語法與風格。事實上，Python之父Guido van Rossum在PEP3103也分析許多情境與方案，以及它們面對的問題，但都覺得過於複雜，若不使用switch的方案還比較單純，於是，其在PEP3103的最後結論就是「現在定案還太早了（It is too early to decide）」。</p> <p>Guido後來在PyCon 2007時做了個快速調查，就投票結果來聲稱PEP3103不受歡迎，合理正當地予以否決了。只不過，「為什麼沒有switch？」這問題仍然被問到爛掉了。甚至，在Python官方的<a href="https://bit.ly/3HtOOpl" target="_blank">〈Design and History FAQ〉</a>直接列出條目來回答這陳年問題，就結論而言，使用if/elif/else或dict完全可以應付需求，然而，乍看之下，很多人應該也會覺得這就是在說「Python就是不需要switch」！</p> <p><span style="font-size:28px;"><strong>不要使用switch？</strong></span></p> <p>「講這麼多，最後還不是加入了switch？」是有些人面對PEP634的論調，這結果論看似大快人心，但社群中也有人不怎麼買單，像是<a href="https://bit.ly/3HFJj7h" target="_blank">Ben Hoyt寫的文章</a>就論述了正反面的效益，在反面批判上雖不留情，然而，在是否使用新特性這方面，是有些可以採納、參考的觀點。</p> <p>Python官方FAQ談到，可以使用if/elif/else來滿足switch的需求，若是覺得寫來冗長，可以改用dict。</p> <p>因為，在Python建立dict很容易，而且，函式在Python中是一級值，可以將動作封裝為函式，作為dict映射的對象，如此一來，就能滿足值與動作的映射需求。</p> <p>如果你是屬於「要求有switch」的一派，對於這種建議可能不以為然，那麼，來看看本來就有switch的語言吧！搜尋「don't use switch」，你可能會訝異這些語言在不少文件中，竟然建議不要使用switch。</p> <p>舉例來說，O'Reilly的《JavaScript應用程式開發實務》，其JavaScript風格指南就建議不要使用switch，可以採用物件實字，透過特性名稱查詢相對應的函式更為靈活，作者也提出了幾個情境，在想要寫下switch處理這些情境前，多思考一下是否有其他可行的設計。</p> <p>你可能會說「那是JavaScript啊！」而在O'Reilly的《21世紀C語言》第二版中的〈教科書過分強調的進階語法〉也談到，switch的break與default可能帶來微妙的臭蟲，若想避免，就不要使用switch，其中也說到替代方案之一，就是使用一系列的if與else。</p> <p>你可以找到更多類似的文件，有些switch可以進一步地改用子型態多型來取代，有些則談到switch會讓階層失控、流程複雜化而難以除錯等。看到這裡，突然間你會覺得，使用switch反而是一種罪過了。</p> <p><span style="font-size:28px;"><strong>switch或match？</strong></span></p> <p>在具有switch的語言中，完全地拒用switch又有點矯枉過正了，畢竟就一名語言初學者而言，若要將特定值對應至某些動作或（傳回）值，switch是個簡單、便利、學習曲線低的工具，如果程式邏輯極為簡單，原始碼在閱讀上也不複雜而直覺，沒道理不使用；然而，請切記不要濫用，若各個case的邏輯或層次變得複雜而難以閱讀時，就應考慮其他設計方式的可行性。</p> <p>當然，Python到3.10之前就是沒有switch，也沒因此而有什麼功能寫不出來，畢竟if/elif/else可以涵蓋switch的作用，使用dict也可以處理掉很多事，甚至<a href="https://bit.ly/3FppBKY" target="_blank">有人覺得</a>，沒有switch的Python，反而讓他累積許多映射的實務經驗，成為更好的開發者。</p> <p>確實地，switch的本質上就是映射，「將值映射至值或動作」，而這就是字典之類的結構可以作為替代方案的原因，某些程度上，Python生態圈沒有switch成為一種良性約束，也讓程式碼有機會獲得更好的設計。</p> <p>Python 3.10的match語法，從名稱上看來就代表映射，不過，請別忘了PEP634的全名是結構化模式比對，而match是將具有特定結構的資料映射至值或動作，其結構就包含了型態、資料成員的名稱、順序、值等。</p> <p>這也就是為什麼match可以搭配的，都是些能提供結構資訊的對象，像是：list、dict、datatclass、namedtuple，以及具有__match_args__定義名稱的類別實例，否則，就要明確地以關鍵字引數指出結構資訊。</p> <p>也就是說，match語法非常強大而複雜，而這份複雜，也只是剛好涵蓋了將值映射至值或動作的單純任務。</p> <p>如果你只是將match像switch那樣使用，等於是解除了方才提及的良性約束，那麼，相對地就要思考：「有因此而獲得更好的設計嗎？」或者只是因為一時的方便使用了match，從而之後因為更複雜的情況，不斷使用了match更複雜的語法，讓match變得更複雜難懂，甚至後續必須得面對match更高的學習曲線，以及維護負擔呢？</p> <p>如果只是將將值映射至值或動作的單純任務，Python過去幾十年來已經累積許多經驗了，這類需求在Python 3.10以後，不見得就要改用match來滿足；相對地，match的應用場合，就是在那些真的要有特定結構的資料映射至值或動作的場合。</p> <p><span style="font-size:28px;"><strong>match根本就不是switch</strong></span></p> <p>那麼，哪些場合才適用結構化模式比對呢？接觸過函數式語言的開發者，可能早就知道答案了：函數式中的模式比對，才是Python結構化模式比對的模仿對象。也因此，函數式中的模式比對應用場合，可以作為借鏡的對象。</p> <p>這時，就不得不提一下Java未來的發展路線，這並不算離題，因為Java也正朝著結構化模式比對的類似道路前進，先前三篇專欄〈<a href="https://www.ithome.com.tw/voice/147531" target="_blank">不只是語法糖的記錄類別</a>〉、〈<a href="https://www.ithome.com.tw/voice/147716" target="_blank">揭露型態邊界的彌封類別</a>〉、〈<a href="https://www.ithome.com.tw/voice/147830" target="_blank">模式比對與多型</a>〉中的相關討論與思考，對Python結構化模式比對的應用會有助益。</p> <p>當然，Python並不是要提倡函數式設計了，只是有些場合會適用結構化模式比對，應用時的思考出發點並非研究match本身，是「為什麼Python始終不加入switch？」記得，那是一種良性的約束，而在面對match新功能時，請謹記：「match根本就不是switch」，它真正處理的是「將特定結構的資料映射至值或動作」！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/switch">Switch</a></div><div class="field-item odd"><a href="/tags/%E7%B5%90%E6%A7%8B%E5%8C%96%E6%A8%A1%E5%BC%8F%E6%AF%94%E5%B0%8D">結構化模式比對</a></div><div class="field-item even"><a href="/tags/structural-pattern-matching">Structural Pattern Matching</a></div><div class="field-item odd"><a href="/tags/match">Match</a></div></div></div>
2021/12/16 07:00作者林信良https://www.ithome.com.tw/voice/148315
5G專網前進災害搜救現場第一線，未來結合AI、AR頭盔、無人機打造智慧搜救平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球氣候劇烈變化加上天災，突如其來的地震、短時間內的強降雨、強風經常造成災難，為強化我國對災害的應變救援能力，政府推動消防科技專案，其中結合5G推動的消防5G場域計畫，目的之一是建立臺灣的智慧搜救平臺，運用5G專網、AI、AR等科技，強化臺灣在防災救援能力。</p> <p>在災害救援的第一線，需要快速整合各項資訊，例如救災人員、設備的管理，各種救災資源的調度，災害現場的影像、音訊或是文字，儘管臺灣特種搜救隊使用資訊管理系統INSARAG，但在實務上仍是以紙本作業為主，由於災難現場惡劣環境限制，填寫資料不易，加上通訊網路不穩定，也造成資訊傳遞的困難，使得資訊的匯整、傳遞不便且無效率，無法有效提升搜救作業效率。</p> <p>因此，內政部消防署今年開始推動的消防5G場域計畫，利用5G的大頻寬（eMBB）、低延遲（uRLLC）、廣連結（mMTC）三項特性，將5G用於防災教育、搜救作業上，並打造智慧搜救平臺，可整合搜救人員配戴的AR頭盔，獲得災區現場即時影像，並利用空拍機建立災區3D模型，透過現場臨時搭建的5G專網，提升整體搜救作業效率。</p> <p><span style="color:#B22222;"><strong>打造智慧搜救平臺，匯整人員、設備、表單、影像各種資訊</strong></span></p> <p>消防5G場域計畫，底下分為三項子計畫，包括結合VR的防災人員訓練，導入AI與AR的特種搜救隊數位AI救援平臺，以及利用5G通訊控制交通號誌，確保消防車輛通行安全。其中，富鴻網今年取得特種搜救隊5G數位AI救援平臺標案，規畫將參考聯合國INSARAG國際搜救諮詢小組手冊及ICMS救災防災指南，開發智慧搜救平臺。</p> <p>富鴻網智慧城市事業部經理黃守榮表示，目前我國特種搜救所遭遇的困難，在於對人員、設備缺乏資訊化的管理，缺乏系統化管理災害現場的救災資訊，需要導入智慧科技、通訊應用。5G數位AI救援平臺建置專案的目標有三項，首先發展接軌INSARAG的AI智慧搜救平臺，其次，是發展智慧科技及垂直領域應用，第三則是，淬煉5G通信設備與應用服務的國產化、國際化。</p> <p>由於災難救援需要管理大量的資訊，富鴻網指出，目前特種搜救隊對人員、設備的管理，主要使用Google表單，搜救作業則是使用INSARAG，缺乏資訊化的系統管理，因此該專案將建立AI智慧搜救平臺，以符合INSARAG規定，以資訊系統管理搜救作業相關的資訊。</p> <p>這個AI智慧搜救平臺，分為平時與災害時兩種情境，平時部署於內政部消防署資訊室的雲端機房內，當災害發生時，則以具有邊緣運算能力的智慧行動指揮車為主，使用符合INSARAG規範的電子表單管理資料。個別的災害搜救行動則是以專案進行管理，包括每次搜救行動的人員管理、裝備管理、INSARAG表單、GIS圖臺、3D建模、AI影音辨識、資訊整合看板、統計報表、數據分析等等，以專案封包移動資料，管理所有的數據資料，作為災後的行動檢討，以及平時演練之用。</p> <p>黃守榮以人員管理為例，目前在搜救人員管理上，主要是採用紙本紀錄，不僅耗費時間，且不易保存管理，未來人員管理將採電子化管理，運用證件辨識系統，辨識人員的護照、身分證等身分證件；至於傳統裝備管理，也將從人工登打資料，改為以條碼、QR Cod對裝備作紀錄，除了用於平時設備管理，在救災出勤時，追蹤設備的動向。</p> <p>由於INSARAG表單多達86種，而未來完成的AI智慧搜救平臺使用的電子表單系統，目的是化繁為簡，提供即時更新資料、權限管理、勾稽比對, 提供更簡便的表單作業方式。</p> <p>GIS圖臺則介接EMIC的資訊，除了整合靜態資料，還包括現場搜救的圖資，透過圖資套疊的方式，提高搜救作業的效率。</p> <p>傳統的救援工作，經常手寫資訊在白板上，AI智慧搜救平臺提供資訊整合看板，即時更新資訊欄位、受困者解救情形、救災據點盤點及執行狀況，工作指派情形，台灣版還增加6大功能模組：時間序檢索、GIS圖臺、3D模型、AI辨釋、AR影像、UAV影像。</p> <p>搜救人員可戴上AR頭盔，搭配遠端視訊、協作指導子系統，利用AI影像辨識，或是熱顯像、流程操作的功能。可以定位每位搜救人員位置，同時將災區救援的即時影像，回傳給現場的指揮官。</p> <p><strong>搜救人員使用頭盔，搭配AR眼鏡，利用眼鏡上的攝影鏡頭，將現場即時影像回傳給現場搜救指揮中心（圖片由富鴻網提供）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AR%E7%9C%BC%E9%8F%A1%E9%A0%AD%E7%9B%94-1.jpg" style="width: 600px; height: 338px;" /></p> <p>目前傳統的搜救方式，搜救人員抵達現場才能拍照，而現在AI智慧搜救平臺結合無人機，在出發救援之前，可以先派無人機前往災區，空拍災區的現場影像，了解當地的地形地貌；而在救援時，根據無人機的影像建立災區的3D模型，可以任意縮放、量測、評估災區的範圍，富鴻網表示，以維冠大樓空倒塌的3D模型，1小時內可完成3D建模。</p> <p><strong>現場展示各式無人機，包括專門拍攝影像的無人機，旁邊展示運用空拍影像建立的3D模型，另外，還有通訊中繼無人機，以無人機擴大網路通訊範圍（圖片來源，富鴻網提供）：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%A8%8A%E7%84%A1%E4%BA%BA%E6%A9%9F.jpg.jpg" style="width: 600px; height: 405px;" /></p> <p>在AI智慧搜救平臺裡，更整合AI影像辨識，傳統的搜救工作多仰賴經驗判斷，導入AI影音辨識模組，以提高重覆確認的正確性，提升搜救作業的效率。未來進一步透過AI影像辨識，可針對AR眼鏡拍攝的影像、熱顯像，或是UAV無人機空拍影像作辨識。</p> <p><span style="color:#B22222;"><strong>在災區搭建臨時5G</strong><strong>專網，確保搜救作業通暢</strong></span></p> <p>當重大災害發生時，往往導致災區通訊網路中斷，需要搭建網路通訊、調度發電機等設備，未來智慧搜救平臺將結合5G網路，趕赴災害現場的行動指揮車，配備衛星、5G專網設備，讓特搜隊能在災區現場搭建臨時的5G專網，確保現場的救援工作和遠端的指揮中心保持網路通訊。</p> <p>而為了延伸通訊網路，甚至可以無人機隊建立空中無線中繼骨幹網路，擴大無線網路的通訊範圍。該計畫也將開發智能自動組態網路建立技術，讓無人機隊建立的空中串接網路具備自我修復的機制，當其中部分的無人機無法建立通訊時，自動建立備援路徑。</p> <p>富鴻網表示，當災區的通訊網路中斷時，智慧行動指揮車能夠以5G建立搜救作業專用的區域網路，搜救人員則能透過AR眼鏡或是平板電腦，存取行動指揮車提供AI智慧搜救平臺及GIS圖資，行動指揮車扮演搜救作業的中樞角色。</p> <p>智慧行動指揮車預計在2023年交付，車上配備有衛星通訊、5G通訊設備、發電機、災區直播監控顯示設備、軍規筆電、無人空拍機，還有用於簡報說明搜救作業的觸控式指揮面板。</p> <p>整個計畫時程從2021年到2023年，富鴻網將與特搜隊合作分階段完成目標，2021年會先確認智慧搜救平臺使用的表單，完成整合地理空間資訊、災害類別情境、災損統計、建築結構分析等資訊的大數據分析資料庫架構規畫；2022年完成大數據分析資料庫，以及智慧自動組建網路技術；2023年完成物品倉儲管理、整合無人機空拍影像的智慧搜救平臺，預計將交付一輛5G行動指揮車。</p> </div></div></div>
2021/12/15 18:23作者蘇文彬https://www.ithome.com.tw/news/148375
採用Android 12 Go的新手機將於明年問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/introducing-android-12-go-edition/" target="_blank">Google在14日揭露了Android 12 Go的細節</a>，此一專為低階智慧型手機所開發的Android作業系統著重在降低對裝置資源的需求，新版本強化了啟用程式的速度、電池壽命及隱私，預計在明年就會看到採用Android 12 Go的新手機。</p> <p>Android Go為Android平臺的精簡版，它能安裝在擁有較少記憶體、儲存空間或低階處理器的手機上，第一個版本為2017年12月釋出的Oreo，此後Google每年都會發表一個新版Android Go，並跟隨最新Android版本的命名，例如Android 12 Go。迄今全球已有超過2億名使用者啟用Android Go手機。</p> <p>根據Google的說明，Android 12 Go啟用行動程式的速度，比去年發表的Android 11 Go快了30%，程式幾乎是瞬間叫出，而不必再等待；它還能自動將數月未使用的程式變更為休眠（Hibernation）狀態，以釋出手機的儲存空間，並延長電池壽命；更新的Files Go程式允許使用者取回30天內刪除的檔案，讓使用者可以安心地刪除檔案以釋出空間。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Android_Blog_speed_comp.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Google</span></p> <p>此外，Android 12 Go變得更聰明，在移到最近開啟的程式畫面時，可直接選擇聽取內容或是進行翻譯。為了節省用戶頻寬，Android 12 Go得以藉由Nearby Share及Google Play與鄰近的裝置分享程式。若要與友人分享自己的裝置，則可切換至客座檔案來保護自己的隱私。</p> <p>Android 12 Go亦整合了隱私功能，能夠從隱私儀表板上看到各個程式所存取的機密資料，諸如麥克風、攝影機或地理位置，並隨時取消程式權限。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Priavacy_Dashboard_V3_Zoom.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源_Google</span></p> <p>包括三星、Nokia、Ulefone、Tecno、Umidigi、realme及Motorola都加入了打造Android Go手機的行列，除了少數產品，例如Samsung Galaxy J2 Core要價200美元之外，Android Go手機的售價多在100美元以下。</p> </div></div></div>
2021/12/15 16:49作者陳曉莉https://www.ithome.com.tw/news/148374
Oppo發表Air Glass，邁入智慧眼鏡市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國消費者電子產品製造商<a href="https://www.oppo.com/en/newsroom/press/oppo-air-glass/" target="_blank">Oppo周二（12/14）發表了Air Glass</a>，它被Oppo定義為「輔助實境」（assisted Reality，aR）裝置，<a href="https://www.youtube.com/watch?v=DMQUDSk_4B0" target="_blank">可將2D的訊息投射到使用者的視野裡</a>，並內建天氣、行事曆、翻譯及導航等應用，預計明年第一季在中國市場推出，價格未定。</p> <p>美國媒體把Air Glass視為與Google Glass類似的產品。Google在2013年發表的Google Glass提供語音命令及攝影功能，同樣能在使用者的視野內顯示資訊，首個版本要價高達1,500美元。然而，它在消費者市場並未激起太多漣漪，攝影功能還帶來了隱私爭議，<a href="https://www.ithome.com.tw/news/115656" target="_blank">這使得Google在2017年讓Google Glass轉戰企業市場</a>。</p> <p>而Oppo在多年後才發表的Air Glass更像是尋常的眼鏡，它有半鏡框與全鏡框兩種規格，後者可用來嵌入近視/遠視鏡片，而智慧眼鏡的功能則仰賴Oppo自行開發的Spark微型投影機（Spark Micro Projector），它是Air Glass顯示系統的核心，只有咖啡豆大小，整合在Air Glass顯示系統上，其顯示系統是個單鏡片的設計，只要將它依附在鏡框上就能發揮智慧眼鏡的功能，但並未具備拍照或攝影功能。</p> <p>Air Glass可搭配Oppo Watch 2或任何Oppo手機使用，也能透過Air Glass顯示系統的觸控面板或是語音來控制，它內建天氣、行事曆、健康、提詞、翻譯及導航功能。</p> <p>初期Air Glass支援中文與英文、日本及韓文的雙向翻譯，當對方說出一長串的日文時，Air Glass用戶即可在眼前看到中文翻譯，而其提詞功能則是簡報人士的最佳助手。</p> <p>Oppo尚未公布Air Glass的售價，僅說將在明年第一季於中國市場推出。<a href="https://www.counterpointresearch.com/infographic-q3-2021/" target="_blank">根據Counterpoint今年第三季的調查</a>，Oppo與同樣源自中國的Vivo以10%的市占率並列為全球第四大智慧型手機製造商，落後三星（20%）、蘋果（14%）及小米（13%）。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/DMQUDSk_4B0?start=5" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2021/12/15 15:36作者陳曉莉https://www.ithome.com.tw/news/148372
OpenAI API服務供用戶自定義GPT-3模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員現在可以使用自己的資料，來微調語言模型GPT-3，以創建適合其應用程式的自定義版本，OpenAI表示，<a href="https://openai.com/blog/customized-gpt3/">自定義GPT-3</a>，讓模型能可靠地用於更多使用案例中，並且執行成本更低，速度更快。</p> <p>開發人員可以使用任意大小的資料集自定義模型，或是根據用戶的回饋，來逐步添加資料進行調整，官方提到，透過微調，可使模型輸出的正確率，從83％提升到95％。而要自定義模型也非常簡單，用戶只需要提供資料集檔案，並在OpenAI命令列工具執行單個指令，系統便會自動開始自定義版本訓練，並且在OpenAI API中提供服務。</p> <p>OpenAI從去年開始提供GPT-3的API服務，而只要幾個樣本進行額外的訓練，GPT-3就可以進一步執行各式各樣自然語言任務，這個技術被稱為少樣本學習。用戶只需要提供不到100個樣本，就可以提升GPT-3的效能，隨著用戶提供更多的資料，模型效能就會不斷提高，在去年OpenAI所發表的研究，研究人員使用少於100個樣本，就能有效提高GPT-3在特定任務上的效能，而且研究也發現，樣本數量提高1倍，改進品質會以線性增加。</p> <p>對GPT-3模型是棘手問題的國小數學，使用資料集自定義後，模型解題精確度就可以提升達2到4倍。OpenAI還提到，自定義GPT-3能提高輸出的可靠性，從他們用戶的案例中發現，使用自定義GPT-3模型，不可靠的輸出結果發生頻率從17％下降到了5％，整體工作流程更加順暢，成本和延遲都獲得降低。</p> </div></div></div>
2021/12/15 15:41作者李建興https://www.ithome.com.tw/news/148371
被逼急了？傳NSO Group有意出售或關閉Pegasus間諜軟體部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2021-12-13/spyware-firm-nso-mulls-shutdown-of-pegasus-unit-sale-of-company" target="_blank">《彭博社》</a>（Bloomberg）、<a href="https://www.ft.com/content/c3e90890-0a4d-4290-a111-cb37a5b7d502?desktop=true&segmentId=d8d3e364-5197-20eb-17cf-2437841d178a#myft:notification:instant-email:content" target="_blank">《金融時報》</a>（Financial Times）與<a href="https://www.wsj.com/articles/israeli-cyber-firm-nso-explores-sale-closure-of-spyware-unit-11639503139?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（The Wall Street Journal）本周相繼引述消息來源報導，最近成為眾矢之的的以色列資安業者NSO Group因不堪外界壓力，有意出售整家公司，或關閉Pegasus間諜軟體部門。</p> <p>NSO Group所開發的Pegasus間諜軟體，可透過Android/iOS平臺或行動程式的零時差漏洞進駐手機裝置，並存取手機簡訊、電子郵件、照片/影片、GPS資料、行事曆、通訊錄，還能啟用麥克風與攝影機，並將相關資料傳送至遠端伺服器。</p> <p>儘管NSO Group不斷強調Pegasus出售給用來追蹤恐怖分子或犯罪行動的政府，但不少調查發現Pegasus被安裝在記者、人權鬥士、活動人士甚至政治人物的手機上，因而懷疑NSO根本就是光明正大地銷售駭客/間諜工具，而且並未真的篩選客戶。</p> <p>這使得Meta在去年12月，<a href="https://www.ithome.com.tw/news/141807" target="_blank">因NSO Group開採WhatsApp漏洞而控告該公司</a>，<a href="https://www.ithome.com.tw/news/145929" target="_blank">以色列政府今年7月決定針對NSO Group的行為展開調查</a>，<a href="https://www.ithome.com.tw/news/147654" target="_blank">美國商務部在今年11月出手制裁NSO Group</a>，緊接著<a href="https://www.ithome.com.tw/news/147998" target="_blank">蘋果也在11月對NSO Group提告</a>。在被列入美國《實體名單》（Entity List）之後，NSO Group當時的執行長Itzik Benbenisti也被迫下臺，而由該公司的共同創辦人Shalev Hulio接任。</p> <p>根據《金融時報》的報導，NSO Group在2019年的身價約為10億美元，但列入《實體名單》後，違約貸款已接近5億美元。</p> <p>各家的報導則指出，NSO Group正與至少兩家的投資基金討論該公司的未來，包括直接出售，或是關閉頻惹爭議的Pegasus部門。也不排除將Pegasus轉為防禦性產品，以從《實體名單》中解脫，惟如何確保Pegasus只被應用在防禦上則是另一難題。</p> <p>對於這三大媒體的報導與求證，NSO Group皆拒絕回應。</p> </div></div></div>
2021/12/15 15:58作者陳曉莉https://www.ithome.com.tw/news/148373
【資安日報】2021年12月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起各界高度關注的日誌框架系統Log4j漏洞「Log4Shell」，很快就成為攻擊者大肆利用的目標。之前有多家資安業者指出，他們在這2個星期，看到此漏洞被殭屍網路用於大規模挖礦攻擊，或是植入Cobalt Strike來操控受害電腦。但今天有資安業者指出，他們發現有針對Windows電腦的勒索軟體攻擊行動，會將受害電腦使用者的多個資料夾檔案加密。</p> <p>論及修補Log4Shell這個漏洞，對於許多IT人員而言，安裝修補檔案很可能會存在影響應用系統運作的風險，有資安業者特別製作「疫苗」，宣稱能在干擾較少的情況下，暫時防堵攻擊者利用Log4Shell的攻擊行為。</p> <p>行動裝置的安全，很可能因為Wi-Fi和藍牙晶片共用部分軟硬體資源，而讓攻擊者有可趁之機。近期多個歐洲大學聯手發布的研究指出，使用Broadcom、Silicon Labs、Cypress晶片的數十億裝置存在可被攻擊的漏洞，但這些漏洞能否得到妥善處理？有待後續觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild"><span style="color: rgb(0, 0, 0);">勒索軟體Khonsari利用Log4Shell漏洞發動攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/5(17).png" style="width: 300px; height: 133px; float: right;" /></span></a></strong></h4> <p>自Apache Log4j重大漏洞CVE-2021-44228（Log4Shell）被公布以來，許多資安業者和研究人員發現，該漏洞已被用於對Linux主機下手，發動挖礦攻擊，或是拿來植入木馬程式。防毒業者BitDefender指出，他們觀察到針對Windows電腦而來的攻擊行動，勒索軟體Khonsari利用這個漏洞散布，使用AES 128 CBC演算法，加密受害電腦的使用者桌面、文件、圖片等資料夾。同時，他們也看到RAT木馬Orcus的攻擊行動。</p> <h4><strong><a href="https://www.cybereason.com/blog/cybereason-releases-vaccine-to-prevent-exploitation-of-apache-log4shell-vulnerability-cve-2021-44228"><span style="color: rgb(0, 0, 0);">針對無法修補Log4j的系統，資安業者推出防堵漏洞濫用的工具</span></a></strong></h4> <p>引起資安界高度重視的Apache Log4j重大漏洞CVE-2021-44228，資安業者和研究人員不斷呼籲用戶要儘速升級Log4j，但無法安裝更新程式的用戶要如何因應？資安業者Cybereason於12月10日推出名為Logout4Shell的「疫苗」，讓無法升級Log4j的用戶，能暫時防堵被用來發動漏洞的管道。Cybereason於GitHub上提供這項工具，並表示IT人員僅需具備基本Java技能就可以操作。</p> <h4><strong><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/espionage-campaign-telecoms-asia-middle-east"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Seedworm鎖定亞洲和中東的電信業者下手</span></a></strong></h4> <p>賽門鐵克在最近半年內，發現一起針對亞洲和中東的攻擊行動，駭客主要的目標是電信業者，但也有一些IT服務業者，以及1家公營事業公司受害。研究人員指出，他們發現駭客幾乎沒有使用自製的攻擊工具，多半為可公開取得的軟體，以寄生攻擊（LoL）的策略進行攻擊，根據他們取得的證據，攻擊者與伊朗駭客組織Seedworm（亦稱 MuddyWater）有關。</p> <h4><strong><a href="https://securelist.com/owowa-credential-stealer-and-remote-access/105219/"><span style="color: rgb(0, 0, 0);">竊密軟體入侵亞洲政府組織的Exchange伺服器</span></a></strong></h4> <p>卡巴斯基在調查Exchange伺服器可能存在的惡意程式時，意外發現可疑的IIS附加模組「Owowa」，一旦Exchange啟用了網頁收信介面Outlook Web Access（OWA），Owowa將會竊取使用者在OWA登入的帳密，並能讓遠端的攻擊者在伺服器底層執行命令。研究人員在馬來西亞、蒙古、印尼、菲律賓發現攻擊行動，受害者多為政府組織，此外，他們認為歐洲可能是下一波的攻擊目標。</p> <h4><strong><a href="https://www.bloomberg.com/news/articles/2021-12-12/philippines-union-bank-freezes-some-accounts-on-hacking-report"><span style="color: rgb(0, 0, 0);">菲律賓民眾銀行帳戶遭駭，當地央行正監控此事發展，並將協調補救措施</span></a></strong></h4> <p>近日菲律賓傳出部分銀行帳戶遭駭，在12月12日菲律賓中央銀行總裁Benjamin Diokno出面說明，指出民眾在社群平臺投訴銀行帳戶遭駭事件激增的情形，當地央行正持續監控，並將與當地金融銀行（BDO Unibank）與菲律賓聯合銀行（Unionbank of the Philippines）合作。目前，BDO表示這次事件是一種複雜的欺詐技術，聯合銀行也已凍結數個帳戶，但相關銀行還無法估計多少資金遭轉移，另根據馬尼拉公報報導，盜取的錢被用於購買比特幣。</p> <h4><a href="https://www.zdnet.com/article/brazilian-ministry-of-health-hit-by-second-cyberattack-in-less-than-a-week/"><span style="color: rgb(0, 0, 0);"><strong>巴西衛生部一週內遭到2次網路攻擊</strong></span></a></h4> <p>巴西衛生部（MoH）於12月10日凌晨，驚傳遭勒索軟體攻擊後，該單位所有網站停止運作，駭客組織Lapsus$宣稱他們竊得約50 TB資料，該國的國家資料保護局（ANPD）著手調查。但就在12月14日，巴西衛生部長Marcelo Queiroga證實，他們於13日晚間遭到第2次攻擊，導致武漢肺炎疫苗證書系統ConecteSUS，無法依照計畫於14日復原。</p> <h4><a href="https://www.hackread.com/indian-pm-modi-twitter-account-hacked-bitcoin-scam/"><span style="color: rgb(0, 0, 0);"><strong>印度總理推特帳號遭駭，被用於發布假消息</strong></span></a></h4> <p>印度總理Narendra Modi的推特帳號於12月12日上午，遭到不明人士入侵，發布推文宣稱，該國將比特幣視為法定貨幣，政府購買了500個比特幣並打算分配給該國國民。在此推文遭到刪除之前，粗估已影響印度總理7,300萬名粉絲，印度當局表示正在著手調查，並向推特進行通報。但此起事故並非印度總理的推特帳號首度遭駭，2020年9月就曾發生且得到推特的證實。</p> <h4><strong><a href="https://www.fujitsu.com/global/about/resources/news/notices/2021/1209-02.html"><span style="color: rgb(0, 0, 0);">針對日本政府的資料外洩事故，富士通表示攻擊者是利用ProjectWEB漏洞入侵</span></a></strong></h4> <p><a href="https://www.ithome.com.tw/news/144686">富士通經營的專案資訊協作平臺ProjectWEB於今年5月遭駭</a>，影響日本國土交通省、外務省等多個政府部門而引起關注。該公司於12月9日公布調查結果指出，他們發現攻擊者使用數個漏洞來存取ProjectWEB帳號，並以合法帳號來取得額外的存取權限，其中1個帳號被用於非法獲取合法帳密。該公司決定停止提供ProjectWEB，並打算將客戶移轉到新的服務，並宣稱此服務符合零信任資安的要求。</p> <h4><strong><a href="https://blog.emsisoft.com/en/39389/forget-the-dark-web-ransomware-gangs-weaponize-social-media-to-pressure-victims/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客利用社群網站向受害者施壓的情況增加</span></a></strong></h4> <p>為了能讓受害者付贖金，近年來勒索軟體駭客往往在網站上公布受害者的身分，來引起媒體注意，進而形成壓力迫使受害者付錢。但資安業者Emsisoft指出，駭客發現在時下新聞已充斥著各式網路攻擊事故，他們的網站宣傳效果有限，改用社群網站來公開攻擊事故的情況越來越多。繼10月攻擊美國步槍協會（NRA）的勒索軟體駭客Grief，透過推特帳號散布有關消息後，Emsisoft指出，他們也看到其他組織如DoppelPaymer、54bb47h、Marketo，採取更直接的方式將社群網站武器化，以推特做為公布的管道。此外，駭客組織RobinHood則是成立了Tumblr帳號，打算以此公布受害者資料。</p> <h4><a href="https://www.cna.com.tw/news/asoc/202112140294.aspx">台北馬拉松跑者遭詐騙，警方證實中華民國路跑協會資料庫遭駭</a></h4> <p>本周165反詐騙諮詢公布解除風險高風險賣場名單，包括：誠品書店、中華民國路跑協會、東森購物、資生堂、樂購蝦皮、老爺酒店與西堤牛排。值得關注的是，上周傳出的中華民國路跑協會的相關詐騙案，根據中央社報導，警方在12月14日指出，已受理17件，經初步調查，發現有駭客使用境外IP位址入侵中華民國路跑協會網站資料庫，進而利用所盜取的會員資料進行詐騙。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/bugs-in-billions-of-wifi-bluetooth-chips-allow-password-data-theft/"><span style="color: rgb(0, 0, 0);">研究人員發現影響數十億裝置的Wi-Fi漏洞<img alt="" src="https://s4.itho.me/sites/default/files/images/resource-sharing.jpg" style="width: 300px; height: 175px; float: right;" /></span></a></strong></h4> <p>達姆施塔特工業大學、布雷西亞大學、CNIT、安全行動網路實驗室聯手，揭露一系列的臭蟲，讓攻擊者可藉由裝置藍牙元件下手，操控Wi-Fi晶片的網路流量，以及竊取密碼等攻擊行為，影響採用Broadcom、Silicon Labs、Cypress晶片的數十億裝置。研究人員指出，智慧型手機等現代連網裝置的SoC，具備獨立的藍牙、Wi-Fi、LTE元件，但它們通常共享天線和無線頻譜等資源，而這些共享的資源就能讓攻擊者有可趁之機，跨晶片發動橫向的提升權限攻擊，執行任意程式碼、讀取記憶體內容，或是造成阻斷服務（DoS）。這些漏洞部分能透過韌體修補，有些則必須透過新的硬體才能處理。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2021-patch-tuesday-fixes-6-zero-days-67-flaws/"><span style="color: rgb(0, 0, 0);">微軟發布例行修補，修補6個零時差漏洞</span></a></strong></h4> <p>微軟於12月14日發布Patch Tuesday例行修補，當中總共修補了6個已被公開的零時差漏洞，其中最受到注目的是CVE-2021-43890，這項漏洞與統一視窗平臺（UWP）的安裝程式（APPX、APPXBUNDLE檔案）有關，已被攻擊者用於散布惡意軟體Emotet、TrickBot、BazarLoader等。微軟指出，其他5個零時差漏洞尚未被用於攻擊行動。</p> <h4><strong><a href="https://thehackernews.com/2021/12/latest-apple-ios-update-patches-remote.html"><span style="color: rgb(0, 0, 0);">蘋果修補了同時影響iOS、macOS的越獄漏洞</span></a></strong></h4> <p>蘋果於12月13日發布iOS 15.2、macOS Monterey 12.1、watchOS 8.3、tvOS 15.2，修補數個在中國天府盃漏洞挖掘競賽被發現的漏洞。其中，最受到關注的漏洞，是CVE-2021-30955，這個漏洞可被攻擊者以核心層級的權限，讓惡意程式執行任意程式碼，進而越獄iOS設備，此漏洞亦影響macOS。這個漏洞讓盤古團隊在天府盃賽事中，成功攻陷執行iOS 15的iPhone13 Pro。 </p> <h4><strong><a href="https://www.cisa.gov/uscert/ics/advisories/icsma-21-343-01"><span style="color: rgb(0, 0, 0);">Hillrom心臟診斷設備存在零時差漏洞，恐遭攻擊者挾持</span></a></strong></h4> <p>美國網路安全暨基礎設施安全局（CISA）近日針對Hillrom旗下的多款Welch Allyn設備提出警告，指出當中存在CVE-2021-43935漏洞，一旦攻擊者利用此漏洞，將能繞過身分驗證，存取特權帳號。這項漏洞的CVSS風險層級為8.1分，Hillrom正在製作修補程式，在此修補程式推出之前，該公司建議用戶暫停使用單一簽入（SSO）的功能。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/sandisk-secureaccess-bug-allows-brute-forcing-vault-passwords/"><span style="color: rgb(0, 0, 0);">SanDisk敏感資料保護軟體出現漏洞，能讓攻擊者暴力破解密碼存取</span></a></strong></h4> <p>硬碟製造商Western Digital近期針對SanDisk SecureAccess軟體（現在更名為SanDisk PrivateAccess），修補漏洞CVE-2021-36750，該公司指出，這項漏洞與SanDisk SecureAccess 3.0.2採用單向加密雜湊與可被猜測的加鹽密碼，而容易受到字典攻擊有關，他們在近期推出的SanDisk PrivateAccess 6.3.5版中，改用PBKDF2-SHA256演算法，以及隨機產生的加鹽密碼來防堵上述漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202112140001&dtable=News#"><span style="color: rgb(0, 0, 0);">針對國內近期多家證券期貨客戶遭冒名下單港股，金管會公布三大因應措施，並提醒民眾妥善保管密碼</span></a></strong></h4> <p>上月國內傳出券商用戶遭不明人士下單港股的情況，除了將成立SF-CERT，後續又有新的因應辦法，金管會在12月14日發布公告，將要求證券商與期貨商採取三大措施，簡單來說，包括：應於網路下單登入時採多因子認證方式的落實；密碼輸入錯誤次數達3次，應中斷連線的落實；對於帳號登入失敗的記錄，以及對登入異常的監控分析。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148354">2021年12月14日</a></p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> </div></div></div>
2021/12/15 13:38作者周峻佑https://www.ithome.com.tw/news/148368
福特於底特律測試自駕車送食物給行動不便長者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://media.ford.com/content/fordmedia/fna/us/en/news/2021/12/14/ford-to-bring-10-000-pounds-of-fresh-food-to-southwest-detroit-r.html" target="_blank">福特汽車周二（12/14）宣布</a>將測試以自駕車為底特律地區的年長者遞送生鮮食材到府。</p> <p>這是福特汽車一系列自駕車開發計畫之一。在這項6個月的測試計畫，福特汽車和其公益基金會合作，將在底特律西南部密西根中央車站區，以自駕車遞送1萬磅（約4.5公噸）的新鮮食材，包括蔬果、牛奶、起司送到當地因行動不便無法出門購物的長者住處。</p> <p>福特基金會之前已經對當地高齡照養中心提供生鮮食物，但這次首先啟用自駕車。自駕車是由福特未來自駕車團隊及全資子公司Quantum Signal AI開發，將以低速循固定路線在底特律研發中心及一棟高齡共同公寓之間行駛，按時將食材發送給居民。自駕車內裝是由福特根據生鮮食品包裝、運送及上、下貨而設計。車上將會全程配置隨車人員，並由遠端營運團隊監控。</p> <p>福特目前在底特律市密西根中央區開發多項行車技術，該公司表示透過日常用品遞送計畫，將累積未來自駕車遞送商品的經驗，包括如何滿足當地居民生活需求。</p> <p>福特是最新一家推動自駕車服務的業者。<a href="https://www.ithome.com.tw/news/146373" target="_blank">Alphabet旗下的Waymo 8月起</a>和Jaguar在美國舊金山試推出自駕車載客服務。另外，<a href="https://www.ithome.com.tw/news/147732" target="_blank">Walmart也和自駕車新創業者Gatik</a>上個月測試以全無人卡車配送商品到超市。</p> </div></div></div>
2021/12/15 14:59作者林妍溱https://www.ithome.com.tw/news/148370
Google將開發新的AR作業系統、裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書改名Meta，掀起虛擬實境（VR）及擴增實境（AR）的產業浪潮後，先一步推出AR產品的Google將以新一代AR作業系統及裝置搶下話語權。</p> <p><a href="https://www.linkedin.com/feed/update/urn%3Ali%3Aactivity%3A6876290097113833473/" target="_blank">原本在Facebook Oculus擔任工程主管的Mark Lucovsky本周宣布已加入Google</a>，他將主掌一個AR作業系統的開發團隊。他指出OS只是整個計畫的一部份，最終目標是提供「優異的用戶價值」，而主軸是在OS上開發的使用經驗功能。</p> <p>這個團隊已開始招募人馬。<a href="https://careers.google.com/jobs/results/114627139782746822-senior-software-engineer-full-stack-augmented-reality/" target="_blank">根據一項職缺說明</a>，這個部門正在尋找開發行動裝置、穿戴裝置、Web、Console及桌機應用的人才。</p> <p><a href="https://9to5google.com/2021/12/13/google-augmented-reality-os/" target="_blank">9to5Google則發現其他職缺</a>，工作內容包括開發控制、管理AR裝置的軟體元件以及和AR裝置相關的相機軟體。Google表示OS底層團隊將是第一個和Google未來成立的「創新」AR裝置產品部門合作的單位。</p> <p>9to5Google報導，這些職缺位於美國及加拿大安大略省滑鐵盧（Waterloo）市，<a href="https://www.ithome.com.tw/news/138529" target="_blank">後者是Google去年買下的智慧眼鏡新創公司North所在地</a>。而AR OS部門將歸屬在Google裝置及服務部門，與Pixel手機、智慧螢幕Nest或智慧型手錶同一事業群。</p> <p>事實上Google 很早即投入AR領域。<a href="https://www.ithome.com.tw/news/133629" target="_blank">在Daydream VR 失敗後</a>，Google開發手機AR平臺ARCore以深度感測配合Pixel 4的毫米波雷達，期能發展AR應用。然而相關應用皆未起飛。<a href="https://www.ithome.com.tw/news/143146" target="_blank">臉書公布AR智慧眼鏡相關計畫</a>，今年更改名Meta宣示轉型AR應用開發，掀起元宇宙（metaverse）的產業浪潮，聲勢上似乎後來居上，顯然也促使Google革新再起的想法。</p> <p>Google也不是唯一有動作的業者。一直傳聞開發智慧眼鏡的蘋果，<a href="https://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">本月</a><a href="http://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">Ars Technica</a><a href="https://arstechnica.com/gadgets/2021/11/apples-first-mixed-reality-headset-will-run-games-with-top-tier-graphics/" target="_blank">也報導</a>，可能在明年推出一款支援Wi-Fi 6E、著重電玩、影音及通訊的高階混合實境智慧型頭戴裝置。</p> </div></div></div>
2021/12/15 12:59作者林妍溱https://www.ithome.com.tw/news/148366
今年以來新浪微博已因張貼違法內容被中國判罰44次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國互聯網信息辦公室（網信辦）在14日以多次張貼違法內容，對新浪微博祭出300萬元人民幣的罰款，而這已是新浪微博今年以來第44次被罰款，也讓新浪微博當天在香港股市的股價下滑近5%，以219.8港幣作收。</p> <p>新浪微博為中國新浪在2009年推出的微型部落格服務，目前每月用戶超過5.7億，它先行在2014年於美國那斯達克股市公開發行股票，繼之因中、美雙方關係緊張，於今年12月8日另行登上香港股市。</p> <p><a href="http://www.cac.gov.cn/2021-12/14/c_1641080795548173.htm" target="_blank">網信辦指出</a>，最近新浪微博與該平臺上的帳號屢次出現遭到法令或法規禁止發布或傳輸的資訊，依據《網路安全法》及《未成年人保護法》等法令，向其母公司北京微夢創科網路技術公司處以300萬元人民幣的罰款。</p> <p>網信辦還說，從今年1月到11月，新浪微博已被處罰44次，累計罰款為1,430萬元人民幣。</p> <p>這使得甫於香港上市的新浪微博當天股價下挫近5%。新浪微博8日在香港股市的發行價為272.8港幣，但上市後一路下滑，本周二（12/14）的收盤價為219.8港幣。</p> </div></div></div>
2021/12/15 13:13作者陳曉莉https://www.ithome.com.tw/news/148367
Log4Shell漏洞已被開採散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被稱為Log4Shell的Apache Log4j安全漏洞CVE-2021-44228公布後，開採活動大舉展開。<a href="https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild" target="_blank">安全廠商發現</a>，駭客已經出手，藉由開採這項漏洞散布一隻新勒索軟體Khonsari。CISA要求美國聯邦政府機構應在聖誕節前完成修補。</p> <p>Log4Shell漏洞公布後的開採活動多半以Linux系統為目標，不過安全廠商包括BitDefender偵測到的Khonsari則鎖定Windows機器。它是一個.NET binary檔，一旦被執行，該檔案會列出受害機器所有磁碟，除C:\槽外整個加密，而在C:\槽上，Khonsari會加密包括使用者目錄下的文件、影片、圖片、下載及桌面資料夾中，除了.ini及.lnk以外的檔案。檔案被加密後就會加上khonsari的副檔名。</p> <p>安全專家Michael Gillspie指出，Khonsari並非高明的開發人員撰寫，但仍然使用了有效加密法，一旦用戶中招，不是得自行破解就是付贖金一途。</p> <p>奇妙的是，和一般勒索軟體不同，勒索訊息中並未留下付贖金的電子錢包網址或是互動式聯絡方式，而是美國路易西安那州一家名為Khonsari的古董店的Gmail信箱及電話。研究人員以之為該勒索軟體命名，但不確定這名字是個誘餌或是受害者，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-now-being-deployed-in-log4shell-attacks/" target="_blank">也懷疑Khonsari更可能是個Wiper程式</a>，受害檔案將一去不復返無法贖回。</p> <p>BitDefender也發現，下載Khonsari的伺服器，隨後也散布遠端存取木馬程式（Remote Access Trojan，RAT）Orcus。</p> <p>這是第一起利用Log4Shell漏洞的勒索軟體攻擊。一般相信，針對Log4j重大漏洞的開採活動接下來將不斷湧現，包括手法高度複雜的惡意程式。<a href="https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/" target="_blank">CheckPoint周一指出</a>，Log4Shell開採程式上線一天內，已經快速衍生出60種更強大的變形，像是可經由HTTP或HTTPS開採，而有的開採程式結合了多種繞過防護的手法，意謂著一層防護已經不足以阻擋可能的惡意活動。</p> <p><a href="https://www.ithome.com.tw/news/148345" target="_blank">微軟已偵測到</a>試圖安裝採礦軟體、木馬程式及滲透測試工具Cobalt Strike的活動。其他安全廠商則觀測到殭屍網路病毒Mirai、Tsunami/Muhstik和Kinsing的蠢動。</p> <p><a href="https://www.cisa.gov/news/2021/12/11/statement-cisa-director-easterly-log4j-vulnerability" target="_blank">美國國土安全部下網路安全暨基礎架構安全署（CISA）主任Jen Esterly上周指出Log4Shell漏洞已遭到大量開採</a>，由於其使用廣泛，對網路防禦人員形成重大挑戰，要求資訊系統廠商必須立刻辨識、緩解及修補使用Apache Log4j的產品，並向客戶提出清楚說明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-%20LOG4J%20%20Vulner%20%20CISA.jpg" style="width: 600px;" /></p> <p>CISA已經將Log4Shell漏洞加入到「已知被開採漏洞」清單，要求美國聯邦政府機關緊急修補或緩解該漏洞。<a href="https://www.ithome.com.tw/news/147648" target="_blank">根據11月美國國土安全部的安全命令</a>，今年內公布的漏洞應該在2周內修補。由於該漏洞是於12月10日公布，因此聯邦政府必須在12月24日前修補完成。</p> </div></div></div>
2021/12/15 10:57作者林妍溱https://www.ithome.com.tw/news/148362
Microsoft Teams 1對1 VoIP通話支援全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/end-to-end-encryption-for-one-to-one-microsoft-teams-calls-now/ba-p/3037697" target="_blank">微軟昨（14）日宣布</a>，通訊及社交平臺Microsoft Teams 1對1 VoIP通話全程加密（end to end encryption，E2EE）功能正式上線。</p> <p><a href="https://www.ithome.com.tw/news/144824" target="_blank">6月份微軟首次公告這項計畫</a>，10月份公告Teams 1對1的視訊及VoIP通話E2EE釋出公眾預覽版。1對1 VoIP是Teams第一個正式支援E2EE的服務。Teams並不會預設啟用全程加密，而需由企業管理員啟用，IT部門可全權控管誰可以使用這項功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-End-to-end%20encryption%20for%20one-to-one%20Microsoft%20Teams%20calls-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_微軟</span></p> <p>微軟表示，目前美國及歐洲多家大型企業，像是航太業、製造、電信及專業服務產業已經著手部署Teams 1對1通訊的全程加密。</p> <p>用戶可以在Teams的「設定」下「隱私」頁，找到並啟用全程加密通話（End-to End Encrypted Calls）。</p> <p>一旦Teams啟用E2EE，有多項功能將無法使用，包括錄音、即時字幕及轉錄、來電轉接、來電保留、來電整併、來電轉接到另一臺裝置，以及在1對1電話中加入新與會者等功能。必須先關閉E2EE才能使用這些功能。</p> <p><a href="https://www.microsoft.com/en-ww/microsoft-365/roadmap?filters=&searchterms=70780" target="_blank">按照微軟原定計畫</a>，桌機及手機版（Android、iOS）1:1 VoIP都會支援E2EE，不過微軟正式宣布中，目前僅部署到最新版Windows及Mac版Teams App，但預計手機版應該不久後也會支援。</p> <p>微軟正加緊追上其他通訊軟體腳步。除了較早實施E2EE的WhatsApp、Signal外，Zoom於今年初陸續導入E2EE，<a href="https://www.ithome.com.tw/news/146211" target="_blank">Meta旗下的Facebook Messenger也在8月間針對語音、視訊提供全程加密（E2EE）</a>， Messenger群組通訊及Instagram（IG）也正在開發測試中。</p> </div></div></div>
2021/12/15 11:08作者林妍溱https://www.ithome.com.tw/news/148364
紅帽推出映像檔自動建置服務Image Builder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）在其RHEL訂閱中，加入了一個稱為<a href="https://www.redhat.com/en/blog/introducing-hosted-beta-experience-red-hat-enterprise-linux-image-builder">Image Builder</a>的託管服務，該服務簡化自訂RHEL作業系統的工作，使用戶能夠在混合雲環境中得以應用最新的內容，並且持續獲得安全更新。</p> <p>官方提到，當前在混合雲環境中，建構和安裝用來部署應用程式的作業系統環境，整個過程不只緩慢且繁瑣，也很容易出錯，而且在傳統虛擬化平臺建構和更新伺服器映像檔，需要各種工具和修改，才能夠順利地在公有雲上運作，另外，本地端資料中心或邊緣實體伺服器，需要不同配置和工作流程，才能符合情境需求。</p> <p>替應用程式制定標準作業環境的工作充滿麻煩和障礙，需要付出許多人力資源和時間，而紅帽所發布的Image Builder服務，能夠提供單一且簡單的映像檔建置體驗，讓用戶針對環境，量身訂做需要的環境映像檔，針對目標環境定義黃金模板套件。</p> <p>Image Builder託管服務現在進入公共測試階段，在這個初始版本中，預設提供Amazon EC2、微軟Azure和GCP最小且推薦的RHEL伺服器映像檔。用戶可以在映像檔配置其他需要的RHEL內容，在創建完成後，便可以將其整合到部署工作流程中，這些映像檔擁有自動註冊現有RHEL訂閱的選項，能夠持續接收未來的更新。</p> <p>除了三個主要公有雲之外，紅帽還計畫要在Image Builder支援VMware vSphere、自定義檔案系統布局，並且要讓用戶能夠下載映像檔，安裝到實體伺服器，支援的RHEL包括9.0、8.5、8.4和7.9等多個版本。</p> </div></div></div>
2021/12/15 08:33作者李建興https://www.ithome.com.tw/news/148359
開源全文檢索、搜尋函式庫Apache Lucene 9.0效能大幅提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用於全文檢索和搜尋的開源專案<a href="https://mail-archives.apache.org/mod_mbox/www-announce/202112.mbox/%3CCAPsWd+OZmAyMjBoaoxyNbt=mW0TMSHpTWp9RN6UiC2tH5CH3Vw@mail.gmail.com%3E">Apache Lucene，開發團隊釋出最新的9.0版本</a>，這個版本的更新重點之一，便是大幅度的效能提升，無論是分面式分類（Taxonomy Faceting）還是排序演算法，速度都有數倍的提升。</p> <p>Apache Lucene是一個高效能且全功能的搜尋引擎函式庫，以程式語言Java開發而成，幾乎適用於所有結構搜尋、全文檢索、分面、跨高維向量最鄰近搜尋，也可用於拼寫校正或是查詢建議等使用情境。Apache Lucene同時也是Elasticsearch和MongoDB Atlas應用程式和服務的基礎。</p> <p>這個版本加入的新功能，開發團隊藉由使用HNSW（Hierarchical Navigable Small World）圖演算法，對高維數值向量提供了最鄰近搜尋法。同時還強化了對多語言的支援，包括加入新的塞爾維亞語、尼泊爾語和泰米爾語的分析器，並且對日語提供IME友善的自動提示，在Snowball 2分析器提供印地語、印尼語、塞爾維亞語、泰米爾語和意第緒語等詞幹分析。</p> <p>Apache Lucene 9.0在效能上，更是有顯著的提升，像是分面式分類法的速度提升至400％，多維度點索引則快10％到15％。而且點索引的欄位排序速度也提升了數倍，官方解釋，該最佳化在8.x後期版本，就開始提供用戶選擇性啟用，但從9.0開始預設啟用，但用戶也可以選擇停用。</p> <p>開發團隊重新調整ConcurrentMergeScheduler設定，透過假設系統使用現代高速I/O，來提高索引效能，能夠避免過去系統以啟發式方法，錯誤偵測系統使用I/O所產生的問題。另外，發布列表的編碼，從FOR-delta變更為PFOR-delta，能夠更節省磁碟空間。</p> <p>而在Apache Lucene 9.0中，不再有拆分的套件，但這項調整需要重新命名Lucene核心JAR外的一些套件，因此用戶可能需要對匯入進行一些相對應調整，另外，值得注意的是，用戶要在Apache Lucene 9.0中使用模組系統，要將其假設為試驗性階段，官方提到，在9.x版本將會有更多的改進。</p> </div></div></div>
2021/12/15 08:36作者李建興https://www.ithome.com.tw/news/148360
政大明年4月發布數位金融服務管理規範研究新進度，將提出金融通用身分驗證發展建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政治大學金融科技研究中心主任王儷玲今天（12/14）在一場金融產業論壇預告，政大明年4月將發布數位金融服務管理規範初步研究成果和政策建議。</p> <p>王儷玲表示，政大與勤業眾信今年4月發布的臺灣金融科技趨勢展望報告中，提到疫情加速了金融產品與服務數位化轉型，技術面要應用AI、大數據、雲端、身分識別等重要技術來發展金融科技。</p> <p>尤其，王儷玲提到：「身分驗證將是服務創新的關鍵。」金管會在訂定金融科技發展路徑圖時，考量到金融三業（銀行、保險、證券）發展數位金融時，有各自的身分驗證機制與規範，為了讓各業別提供金融服務時有同一套規範能夠共同遵循。因此，今年8月，已由金融科技共創平臺中，擔任監理科技組召集人的集中保管結算所，委外政治大學金融科技研究中心，來研究單一數位金融服務管理規範的可行性，更先聚焦各業者需求最大的多元數位身分驗證，進行金融場景、技術面、法規面的盤點與研究。</p> <p>政大盤點了身分認證在金融場景的應用，在銀行業像是多元身分驗證資料串接、運用電子簽章簽署所有紙本文件、客戶開戶及KYC表格整合專案、開放法人能使用電子或數位簽章及視訊方式來開戶。而保險業，比如行動投保客戶簽名事宜、視訊投保等。在證券與期貨業部分，則像是銀行帳戶約定核驗、建立第三方平台開放業者共用客戶KYC資料、基金銷售平臺串接電支機構的身分認證、開放電支帳戶在境外基金的申購與贖回、線上申辦各類金融服務等。</p> <p>在技術面向，涵蓋了身分確認機制、電子簽章或數位簽章、OIDC（OpenID Connect ）認證、Face OTP、防詐欺機制、生物特徵、個人資料檔案維護、交易安全設計、統一API標準與安全機制。在法規面向，則要深入研究電子簽章法、金融機構作業委託他人處理內部作業制度及程序辦法，以及銀行、保險、證券各業別的細部規範。</p> <p>王儷玲表示，要解決數位身分驗證問題，政大將聯合相關業者訂定出這一套數位金融服務管理規範，並針對現行規範提出修正建議，目標是建立起通用的身分驗證與電子簽章機制。她預告，此研究案將在2022年4月進行期中報告發表，來揭露最新研究進度。</p> <h3><span style="color:#0099ff;"><strong>金融機構間資料共享要點，將分為三種情況來訂定</strong></span></h3> <p>另外，金管會金融科技發展與創新中心副執行秘書林羲聖也在此場論壇中，揭露了金融科技發展路徑圖中另一項重點項目，也就是資料共享的新進展。他表示，金管會將訂定金融機構之間資料共享的要點，目前正在整理階段，也已對外徵詢各公會意見。</p> <p>林羲聖表示，金管會以3種情況，訂定這份資料共享要點。第一，金控底下各子公司之間的資料共享，第二是非金控，但屬於同一個金融集團底下各公司之間的資料共享，最後是針對業務合作的金融機構之間的資料共享。他提到，資料共享要點將訂出更為詳細的資料共享範圍，包括客戶的基本資料，甚至是較為機敏的個資或信用資料，但仍僅限於金融機構間共享。</p> <p>持續推動開放銀行也是資料共享中的政策之一，目前，臺灣開放銀行仍停留在第二階段「消費者資訊查詢」，已有12家銀行與2家第三方服務提供者（TSP）獲准推出相關金融服務。</p> <p>林羲聖表示，金管會將視第二階段執行情形，包括資安、消費者保護是否發生重大疑慮，以及TSP業者的規範可以更為落實時，將會考慮進行開放銀行第三階段的「交易面資訊」。文⊙李靜宜</p> </div></div></div>
2021/12/14 19:36作者李靜宜https://www.ithome.com.tw/news/148361
Google緊急修補已被用來攻擊的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html" target="_blank">Google在12月13日釋出了Chrome 96.0.4664.110</a>，緊急修補了一個已遭到駭客開採的CVE-2021-4102漏洞，亦順手修補其它4個安全漏洞，此一版本並無任何功能上的更新，而且距離下一個Chrome 97版本的問世應該只有短短幾天的時間。</p> <p>已經被開採的CVE-2021-4102漏洞為V8 JavaScript引擎中的釋放後使用漏洞，僅屬於高度風險漏洞，Google並未公布其漏洞細節或遭到攻擊的規模與方式。</p> <p>此次修補的漏洞還包括被列為重大風險的CVE-2021-4098，肇因於Mojo中不足的資料驗證；CVE-2021-4099則為Swiftshader的釋放後使用漏洞；CVE-2021-4100為ANGLE的物件生命周期有問題；CVE-2021-4101屬於Swiftshader中的堆積緩衝區溢位漏洞。</p> <p>該更新適用於Windows、macOS及Linux平臺，預計於未來數日或數周部署，使用者也可逕行檢查Chrome的版本狀態以展開手動更新。</p> </div></div></div>
2021/12/14 15:31作者陳曉莉https://www.ithome.com.tw/news/148357
MGM飯店讓面試者以VR裝置預覽新工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情以來，歐美國家出現年輕世代離職潮，增加企業招聘的困難度及成本。<a href="https://www.businessinsider.com/mgm-resorts-vr-strivr-virtual-reality-labor-shortage-attrition-retention-2021-12" target="_blank">Business Insider報導</a>，旗下擁有多家飯店的MGM飯店集團（MGM Resorts）讓面試者以VR裝置體驗未來工作內容，降低新進員工很快就離職的問題。</p> <p>擁有包括拉斯維加斯Bellagio及MGM Grand等休閒飯店的MGM集團計畫明年1月起面試新員工時，分配一套VR頭戴裝置讓他們體驗真實的工作內容。這些VR頭戴裝置主要用於招聘客服人員，以及新進員工訓練。</p> <p>MGM Resorts人資長Laura Lee指出，光是口頭說明或影片，很難讓應試者真的體會工作內容，而VR頭戴裝置可呈現更逼真的工作體驗。MGM飯店和VR裝置廠商Strivr合作開發工作體驗內容，其中包含「非常困難的客戶互動情境」。MGM飯店希望藉由更清楚溝通，讓應試者想清楚再進來，以降低新進員工短時間離職的問題。MGM Resorts計畫明年進軍特別講求服務的日本。</p> <p><a href="https://www.youtube.com/watch?v=AekzuFWc350" target="_blank">2019年Walmart也和Strivr合作開發VR內容</a>，評估零售賣場內員工應付各種實務狀況的能力，藉此作為員工升職的判斷依據。</p> </div></div></div>
2021/12/14 16:07作者林妍溱https://www.ithome.com.tw/news/148358
【資安日報】2021年12月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末（12月10日）引起資安界高度關注的Apache Log4j重大漏洞「Log4Shell」（CVE-2021-44228），有越來越多資安業者和研究人員揭露他們的發現。其中，有數家資安業者指出，至少在12月9日漏洞揭露的1個星期前，就有攻擊者開始利用這項漏洞的跡象，後續效應可能還會再擴大。</p> <p>而在這項漏洞之外，Dell驅動程式漏洞修補不全的情況，也值得留意，因為，攻擊者很可能會用來發動BYOVD（Bring Your Own Vulnerable Driver）攻擊，而難以被察覺。</p> <p>近期關鍵基礎設施頻繁遭到攻擊，大家的焦點往往聚焦在能源產業、醫療產業，但貨物流通扮演重要角色的物流業者也值得我們留意，因為這些業者在疫情中營運更加嚴峻，一旦遭遇資安事故，情況恐怕會雪上加霜。跨國物流業者漢宏國際物流（Hellmann Worldwide Logistics）於上週（12月9日）驚傳遭到網路攻擊，而一度影響營運，這樣的情況也可能對於民眾的生活帶來衝擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148345"><span style="color: rgb(0, 0, 0);">Apache Log4j重大漏洞已出現攻擊行動超過1週</span></a></strong></h4> <p>甫於上週修補的Apache Log4j重大漏洞CVE-2021-44228，因已出現攻擊行動且影響範圍甚廣，引起資安界高度重視。但根據Cloudflare指出，這個漏洞並非在9日被揭露後才遭到利用，他們最早在12月1日就看到被用於攻擊行動的跡象。也有其他資安業者指出已被用來發動挖礦攻擊，或是植入木馬程式、Cobalt Strike的情形。</p> <h4><strong><a href="https://www.aircargonews.net/business/cyber-attack-victim-bounces-back/"><span style="color: rgb(0, 0, 0);">跨國物流業者漢宏遭到網路攻擊</span></a></strong></h4> <p>根據新聞網站Air Cargo的報導，跨國物流業者漢宏國際物流（Hellmann Worldwide Logistics）於12月9日發出公告，表示他們遭到網路攻擊，為了防範災害擴大，他們暫時切斷與資料中心的所有連結，對於營運造成重大影響。12月13日，漢宏再度更新公告內容，指出他們已經恢復基本的營運業務，但仍然不能確定是否有資料外洩的情況。</p> <h4><a href="https://finance.yahoo.com/news/crypto-exchange-ascendex-hacked-losses-105802631.html"><span style="color: rgb(0, 0, 0);"><strong>加密貨幣交易所AscendEX遭駭，損失7,700萬美元</strong></span></a></h4> <p>加密貨幣交易所AscendEX於12月12日公告，他們在12月11日發現，1個熱錢包出現未經授權的交易，該公司將未受影響的資產移轉到冷錢包因應。而這起事件的受害規模，區塊鏈資安業者PeckShield估計，AscentEX被盜走約7,700萬美元的加密貨幣，其中大多數為以太坊、幣安智能鏈，以及Polygon。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/kronos-ransomware-attack-may-cause-weeks-of-hr-solutions-downtime/"><span style="color: rgb(0, 0, 0);">人資管理解決方案業者Kronos遭勒索軟體攻擊，雲端服務用戶受到波及</span></a></strong></h4> <p>人資管理解決方案業者Kronos於12月13日表示，他們因12月11日遭遇勒索軟體攻擊，導致該公司透過私有雲建置的數種UKG解決方案無法使用，復原有可能需要數個星期。其中1個受影響的組織向資安新聞媒體Bleeping Computer透露，他們被迫改用試算表軟體和紙本，來因應人資系統停止運作的情況。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/cox-discloses-data-breach-after-hacker-impersonates-support-agent/"><span style="color: rgb(0, 0, 0);"><strong>美國電信業者Cox證實，有人冒充客服竊取用戶資料</strong></span></a></h4> <p>根據資安新聞網站Bleeping Computer的報導，美國電信業者Cox Communications自12月初，開始向用戶發出郵件，表示他們在10月11日，發現有不明人士冒充客服人員，並成功竊得少數客戶帳號的存取權限，該公司隨即展開調查並通報執行單位，結果發現，這些人士可能存取了用戶的姓名、地址、Cox帳號、PIN碼，以及帳號的安全問題與答案等資料。不過，對於受害的規模，Cox並未透露。</p> <h4><strong><a href="https://medium.com/ochrona/3-new-malicious-packages-found-on-pypi-a6bbb14b5e2"><span style="color: rgb(0, 0, 0);">惡意Python套件被下載超過1萬次</span></a></strong></h4> <p>Palo Alto Networks高階產品經理Andrew Scott在近期的研究裡，在PyPI套件庫裡發現3個Python惡意套件dpp-client、dpp-client1234、aws-login0tool，總共被下載了近1.5萬次。其中，dpp-client就被下載了10,194次。而研究人員經由VirusTotal分析aws-login0tool，只有14防毒軟體能識別為有害。PyPI獲報後於12月10日下架這些惡意套件。</p> <h4><strong><a href="https://www.fortinet.com/blog/threat-research/phishing-campaign-targeting-korean-to-deliver-agent-tesla-new-variant"><span style="color: rgb(0, 0, 0);">惡意程式Agent Tesla利用簡報檔案，攻擊韓國用戶<img alt="" src="https://s4.itho.me/sites/default/files/images/picture1.png" style="width: 300px; height: 242px; float: right;" /></span></a></strong></h4> <p>惡名昭彰的惡意程式Agent Tesla再度發起攻擊行動了！資安業者Fortinet指出，他們看到新的Agent Tesla攻擊行動，駭客寄送內容為韓文的釣魚郵件，以採購訂單的名義，要求收件人打開附件的PowerPoint簡報檔案，一旦收件人開啟此簡報檔案，攻擊者就會以自動播放來執行巨集，並進而使用VBScript、PowerShell程式碼下載Agent Tesla。新的Agent Tesla變種約能竊取70種應用程式的帳密，涵蓋網頁瀏覽器、VPN用戶端、FTP用戶端、收信軟體、即時通訊軟體等類型。</p> <h4><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/tinynuke-banking-malware-targets-french-entities"><span style="color: rgb(0, 0, 0);">金融木馬TinyNuke鎖定法國企業而來</span></a></strong></h4> <p>資安業者Proofpoint指出，曾在2017年至2018年大肆攻擊法國實體的金融木馬TinyNuke，今年1月與11月，又有再度發動大規模攻擊的跡象，這些活動完全針對法國企業而來，以發票為誘餌，攻擊製造業、工業、科技業、金融業等。研究人員在11月看到多個TinyNuke攻擊行動，大約發送2,500封釣魚信，影響數百個組織。</p> <h4><strong><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/hancitor-doc-drops-via-clipboard/"><span style="color: rgb(0, 0, 0);">惡意程式載入器Hancitor藉由Windows剪貼簿來投放酬載</span></a></strong></h4> <p>資安業者McAfee自2021年9月開始，觀察到新型態的惡意軟體投放手法，駭客使用名為Hancitor的惡意程式載入器，藉由VBA程式碼，以Selection.Copy方法使用Windows內建的剪貼簿功能，來投放惡意酬載，如FickerStealer、Pony、CobaltStrike、勒索軟體Cuba等。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.rapid7.com/blog/post/2021/12/13/driver-based-attacks-past-and-present/"><span style="color: rgb(0, 0, 0);">Dell驅動程式修補不完全，恐被用於Windows核心層級的攻擊</span></a></strong></h4> <p>Dell於今年5月，修補DBUtil驅動程式存在長達9年的CVE-2021-21551，但最近資安業者Rapid7發現，該公司並未修補完全，僅是限縮管理者帳號的存取。研究人員指出，這樣的情況可讓攻擊者投放存在已知漏洞的驅動程式，在行動的過程裡提升權限，或是執行特定的程式碼，發動被稱為BYOVD（Bring Your Own Vulnerable Driver）的攻擊手法。</p> <h4><strong><a href="https://chromereleases.googleblog.com/2021/12/stable-channel-update-for-desktop_13.html"><span style="color: rgb(0, 0, 0);">Google緊急修補Chrome已被利用的漏洞</span></a></strong></h4> <p>針對Chrome的零時差漏洞攻擊，今年已有十多起。Google於12月13日，對於Windows、macOS、Linux使用者，推出Chrome 96.0.4664.110，這次總共修補5個漏洞，其中最受到關注的是CVE-2021-4102，這是記憶體使用後釋放（UAF）漏洞，存在於該瀏覽器的JavaScript引擎V8。該公司指出，這個漏洞已出現相關攻擊行動，呼籲使用者要儘速更新瀏覽器。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/attackers-can-get-root-by-crashing-ubuntu-s-accountsservice/"><span style="color: rgb(0, 0, 0);">Ubuntu的帳號服務元件存在漏洞，恐讓攻擊者能取得Root權限</span></a></strong></h4> <p>GitHub資安研究員Kevin Backhouse於12月13日提出警告，Ubuntu作業系統裡的桌面環境GNOME，其中的AccountsService元件，存在記憶體雙重釋放的漏洞CVE-2021-3939，影響Ubuntu 21.10、21.04、20.04 LTS。一旦攻擊者利用這項漏洞，就能在本機端提升權限，他也提出概念性驗證攻擊影片，並指出此漏洞並非每次都能馬上觸發，但攻擊者可慢慢測試數個小時到成功為止。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148340"><span style="color: rgb(0, 0, 0);">Visual Studio Code加入能突顯不可見Unicode字元，防範程式碼欺騙攻擊</span></a></strong></h4> <p>針對日益嚴重的Unicode字元濫用的攻擊行為，程式開發工具的業者也開始有所行動。例如，微軟在最近的Visual Studio Code（VS Code）1.63版更新中，加入了新功能Invisible Unicode highlighting，能突顯程式碼裡看不見的Unicode字元，而能夠提醒開發者疑似出現不尋常、易混淆的字元，有可能已經出現Unicode欺騙攻擊的現象。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148334">2021年12月13日</a></p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> </div></div></div>
2021/12/14 13:57作者周峻佑https://www.ithome.com.tw/news/148354
研究人員找出Teams造成Android手機打不出緊急電話的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148280" target="_blank">日前發生Android 手機上的Teams造成用戶無法打911緊急求助電話情形</a>。Google和微軟都未說明原因，不過一名研究人員本周說明他的見解。</p> <p>Pixel 3用戶11月底以手機撥911，電話響了一聲後，手機就卡住沒有回應。Google研究後，僅指出這是Teams App和底層Android系統發生「不小心互動」的結果。Google認為僅Android 10版本以上手機安裝了微軟Teams App，卻又沒有登入時會發生這情形。</p> <p><a href="https://medium.com/@mmrahman123/how-a-bug-in-android-and-microsoft-teams-could-have-caused-this-users-911-call-to-fail-6525f9ba5e63" target="_blank">前XDA總編，現任Esper資深技術編輯的Mishaal Rahman和其友人合作找出原因</a>出在Android程式碼和Teams一連串錯誤造成的結果。根本原因在Android要求第三方打電話的App要註冊PhoneAccount加入Android的TelecomManager服務，不論是打普通電話或是緊急電話。Teams可以打普通電話，但不能打緊急電話。有趣的是，一旦使用者撥緊急電話時，Android緊急電話服務卻載入所有打普通電話的App PhoneAccount清單。</p> <p>由於Teams不能打緊急電話，此時Android緊急電話服務的判斷邏輯會按多種條件，找出下一個遞補名單。通常也不難，因為註冊PhoneAccount的App也不多。但這時又碰上另一個Teams的問題：若用戶手機上的Teams App未登入，Teams App每次當掉或重啟（稱為冷啟動）時，就會建立新的UUID（Universally Unique Identifier）來產生PhoneAccount instance。多次之後形成重複的PhoneAccount instance。於是當Android緊急電話服務在尋找遞補名單時，碰到衝突的Instance而引發整數溢位或下溢錯誤（integer overflow/underflow），造成緊急電話當掉。</p> <p>Rahman團隊發現，Teams是在2021年10月底的版本出現這行為，剛好是在Pixel 3用戶事件發生前一個月。</p> <p>至於為什麼會在Android 10才發生。Rahman認為，Teams是在API level 28+ （Android 9 Pie以後）才開始註冊PhoneAccount，但Google方面則是Android 10才導入這項變更，因此只有這個版本以後的手機才會出現問題。</p> <p><a href="https://play.google.com/store/apps/details?id=com.microsoft.teams" target="_blank">微軟昨日釋出Teams 1416/1.0.0.2021194504</a>，解決這隻臭蟲。不過這只解決Teams的問題，其他App可能也有類似狀況，導致Android手機無法撥出911緊急電話。Google上周表示會在明年1月4日將新版Android釋出給合作夥伴，包括硬體製造商。</p> </div></div></div>
2021/12/14 15:02作者林妍溱https://www.ithome.com.tw/news/148356
iFixit與微軟合作，於iFixit站上銷售Surface官方維修工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ifixit.com/News/56078/ifixit-works-with-microsoft-to-manufacture-service-tools-for-repair-techs" target="_blank">3C產品DIY維修教學網站iFixit本周宣布</a>，將與微軟合作，於iFixit平臺上提供Surface產品的官方維修工具，但這次雙方的合作著重於協助維修業者提升維修能力，而非針對一般的使用者。</p> <p>此一合作計畫是由微軟設計了3款維修工具，並由iFixit負責生產與銷售，但銷售對象僅限於取得iFixit認證的iFixit Pro維修人員、微軟授權的服務供應商、微軟體驗中心以及微軟商業（Microsoft Commercial）客戶。</p> <p>這3款維修工具包括Surface螢幕的黏合框架，可在置換Surface螢幕時，以具備重量的框架來把螢幕正確地壓進裝置中；可安全移除Surface螢幕的工具；以及在打開Surface裝置時，可用來保護裝置內部元件的電池蓋。iFixit也正著手撰寫新的Surface維修手冊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-ifixit%20surface%20repair.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_iFixit</span></p> <p>過去3C產品業者並不鼓勵使用者透過官方以外的管道，或是自己維修3C產品，但近來呼籲消費者具備維修權的聲浪已從歐洲蔓延至美國，蘋果除了逐漸擴大第三方維修計畫之外，<a href="https://www.ithome.com.tw/news/147900" target="_blank">也準備在明年設立自助維修的線上商店</a>，讓使用者可以自行購買官方零件來維修蘋果產品。</p> <p>現在微軟雖然仍僅支援商家維修，但很可能未來也會協助使用者自行維修，以減少全球的電子垃圾。</p> </div></div></div>
2021/12/14 14:17作者陳曉莉https://www.ithome.com.tw/news/148355
蘋果發表Tracker Detect程式以避免Android用戶遭到AirTag追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://play.google.com/store/apps/details?id=com.apple.trackerdetect" target="_blank">蘋果於本周發表了支援Android的Tracker Detect程式</a>，這個程式主要的功能就是避免Android用戶遭到諸如AirTag等相容於Find My網路的裝置的追蹤。</p> <p>AirTag為蘋果於今年4月發表的物件追蹤器，可繫在諸如鑰匙圈或包包上，讓iPhone或iPad等用戶透過內建的Find My網路/功能進行追蹤。</p> <p>為了防止有使用者利用AirTag來追蹤人，iPhone或iPad得以偵測身邊有否陌生的AirTag，還能關閉它，而Tracker Detect即是蘋果為了預防Android用戶遭到AirTag或其它相容於Find My的裝置的追蹤，所釋出的行動程式。</p> <p>根據該程式的介紹，它可偵測到身邊不屬於自己的AirTag或其它追蹤裝置，要求它發出聲音，檢視AirTag的序號與所有人資訊。若Android用戶不願被追蹤或想關閉AirTag，蘋果還指導Android用戶如何卸下AirTag的電池。</p> <p>不過，有人認為這其實是個沒什麼太大用處的程式，因為每次都要主動啟用掃描功能才能偵測附近的陌生AirTag，在Android尚未支援Find My的情況下，最大的用途可能就是幫友人尋找他們不小心遺落的AirTag。</p> </div></div></div>
2021/12/14 12:31作者陳曉莉https://www.ithome.com.tw/news/148353
雲端勞動力管理業者Kronos遭勒索軟體攻擊，服務可能停擺數周之久
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供勞動力與人力資本管理解決方案的<a href="https://community.kronos.com/s/feed/0D54M00004wJCdJSAW?language=en_US" target="_blank">Kronos在12日傳出</a>其Kronos Private Cloud（KPC）私有雲服務發生故障，13日證實是遭到勒索軟體攻擊，雖已立即展開調查並緩解災難，但向客戶警告系統可能要長達數周的時間才能恢復，建議客戶評估及採用其它讓業務持續運作的方法。</p> <p>Kronos Private Cloud為Kronos所提供的雲端解決方案，它代管了各式的UKG（人資與勞動力管理解決方案）應用，涵蓋勞動力管理Workforce Central、公安調度Workforce TeleStaff、遠端工作管理TeleTime IP、Enterprise Archive、醫療保健管理（EHC）與績效分析FMSI等。</p> <p><a href="https://community.kronos.com/s/feed/0D54M00004wJKHiSAO?language=en_US" target="_blank">Kronos則說</a>，駭客的攻擊影響了使用KPC的UKG，但並未波及其它並未部署於KPC的UKG Pro、UKG Ready或UKG Dimensions等解決方案，也未影響就地部署的產品，已與資安業者合作進行解決，亦已通知執法機構。</p> <p>然而，其KPC服務迄今仍舊關閉中，而且預期可能要花費數周才能恢復正常運作，使得Kronos建議客戶暫時採用其它方式，來滿足讓業務持續運作的需求。</p> <p>另一薪資軟體供應商Frontier Software也曾在今年11月遭到勒索軟體攻擊，駭客不僅加密了Frontier Software的系統，也盜走了受害系統上的資料，<a href="https://www.ithome.com.tw/news/148333" target="_blank">外洩了南澳政府至少3.8萬名員工的資料</a>。</p> <p>目前Kronos尚未說明勒索軟體的類型，或是否有客戶資料遭竊。</p> </div></div></div>
2021/12/14 11:52作者陳曉莉https://www.ithome.com.tw/news/148351
Dell今年5月針對陳年漏洞發布的新版驅動程式，被質疑修補不全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144199" target="_blank">Dell 5月修補一個存在長達12年的驅動程式漏洞CVE-2021-21551</a>，可能讓駭客在Dell裝置上執行惡意程式碼。不過安全廠商發現，該漏洞仍存在BYOVD（Bring Your Own Vulnerable Driver）風險。</p> <p>CVE-2021-21551位於Dell驅動程式DBUtil（dbutil_2_3.sys）之中，實際涵括5項瑕疵，後果涵括權限擴張，1項可引發阻斷服務（Denial of Service，DoS）攻擊，Dell統稱為CVE-2021-21551存取控管不足漏洞。該漏洞估計影響上千萬臺Dell筆電或桌機等產品。</p> <p><a href="https://www.rapid7.com/blog/post/2021/12/13/driver-based-attacks-past-and-present/" target="_blank">安全廠商Rapid 7發現</a>，雖然Dell 5月間重新發布了dbutildrv2.sys作為新的驅動程式，但並不完全解決上述漏洞，仍然讓用戶曝露於BYOVD（Bring Your Own Vulnerable Driver）的攻擊風險中。</p> <p>所謂BYOVD是指企業用戶電腦安裝了合法，但並不安全的驅動程式。微軟雖然推動Windows DSE（Driver Signature Enforcement），任何驅動程式或第三方程式都要經過微軟簽章才能確保為正版、安全的程式。由於驅動程式可在Windows核心執行，因此利用BYOVD技倆散布的惡意程式更加危險。<a href="https://www.ithome.com.tw/news/147448" target="_blank">惡意程式取得微軟簽章而散布</a>的情形仍然屢見不鮮，而用於BYOVD攻擊的驅動程式還包括asrdrv101.sys、asrdrv102.sys、ucorew.sys、piddrv.sys、atillk64.sys等。</p> <p>5月後Dell發布了dbutildrv2.sys 2.5 及2.7版驅動程式，<a href="https://docs.microsoft.com/en-us/windows-hardware/drivers/install/kernel-mode-code-signing-policy--windows-vista-and-later-" target="_blank">新版本已經符合微軟新版驅動程式簽章要求</a>，但Rapid7發現，<a href="https://cwe.mitre.org/data/definitions/123.html" target="_blank">新版本並未解決write-what-where問題</a>，即攻擊者可能引發緩衝溢位，而可在任意地點寫入任意值。這使得惡意程式突破微軟LSA防護，而在Windows核心執行任意程式碼。LSA防護是Windows的防護機制，可防止未防護行程讀取Windows LSASS（Local Security Authority Subsystem Service）記憶體或注入程式。</p> <p>研究人員開發了一個概念驗證Metasploit模組，只要攻擊者具備管理員權限，即可用dbutildrv2.sys 2.5 及2.7版本來開啟或關閉行程。</p> <p><a href="https://www.bleepingcomputer.com/news/security/dell-driver-fix-still-allows-windows-kernel-level-attacks/" target="_blank">Bleeping Computer引述Dell說法指出</a>，依據微軟驅動程式模型（Windows Driver Model）指引，由於需要特殊權限才能發動攻擊，Dell將這問題列為弱點（weakness）而非漏洞（vulnerability）。Dell不會對此發布安全公告或漏洞編號。</p> <p>安全公司目前尚未發現這兩款驅動程式被用於惡意目的。</p> </div></div></div>
2021/12/14 12:09作者林妍溱https://www.ithome.com.tw/news/148352
基礎設施即程式碼工具Terraform 1.1更新重構機制並強化Cloud CLI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HashiCorp釋出最新的基礎設施即程式碼工具<a href="https://www.hashicorp.com/blog/terraform-1-1-improves-refactoring-and-the-cloud-cli-experience">Terraform 1.1</a>，這個版本加入了moved陳述式，讓用戶更簡單安全地進行重構，另外，官方還改進了Terraform Cloud和Enterprise的CLI，提供更多新功能以及更好的錯誤訊息提示。</p> <p>Terraform被廣泛地用來配置多雲基礎設施，以及自動化資源調度，而隨著企業所管理的基礎設施和複雜性不斷增加，Terraform配置管理難度也跟著提升。過去在發生這種情況時，用戶通常會想要進行重構，例如把單個模組拆分成多個模組，可能由多個模組共用單一配置，又或是使用多個不同的配置。</p> <p>現在Terraform加入了moved陳述式，使用模組本身程式碼來進行重構的新機制，用戶能夠同時計畫、預覽和驗證多個重構操作。在之前的版本，重構工作需要透過使用CLI，來執行terraform state mv指令，並且對配置進行相對應的更改，官方提到，這個過程通常複雜且具有風險，用戶需要在不破壞以及重建的情況下，更新基礎設施的狀態。</p> <p>另外，模組作者和Terraform Cloud用戶也無法直接重構模組，官方解釋，對模組作者來說，重構模組需要發布一個新的主要版本，以及針對終端使用者提供手動更新狀態的指南，而Terraform Cloud和Enterprise用戶，在核心Terraform Cloud工作流程中進行重構更是不可行，因為用戶需要根據配置更改創建計畫，而這通常會需要管理員使用CLI將工作區切換到本地狀態，來進行有風險的變更。</p> <p>而新的moved陳述式會被寫入到新的模組程式碼中，在計畫階段，Terraform就能夠結合狀態更新和配置變更，因此能夠安全地重構Terraform模組和配置。moved陳述式可被用於重新命名資源、重新命名模組呼叫，還有拆分模組成多個模組等用途。由於這些操作都是在配置中宣告，Terraform會將更新解釋為計畫輸出的一部分，因此用戶可以一次驗證和應用多個操作，在用戶不需要操作狀態的情況下，能更容易且安全地進行重構，模組作者和Terraform Cloud，也就能夠順暢地重構工作流程。</p> <p>在Terraform 1.1中，官方想要透過添加Terraform Cloud和Terraform Enterprise的新整合，來強化由CLI驅動的工作流程。在之前的版本，用戶須在後端配置中宣告一個遠端後端，來連接到Terraform Cloud，雖然這種整合方式可以運作，但是整體體驗和功能不盡理想，新的整合方式做了多項改進，包括更新錯誤訊息和CLI提示、澄清遠端狀態儲存和遠端操作，還讓用戶更好地了解Terraform Cloud工作區等。</p> </div></div></div>
2021/12/14 09:34作者李建興https://www.ithome.com.tw/news/148338
Elastic 7.16強化與第三方資料源整合，用戶擷取分析資料更方便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業資料搜尋分析工具Elastic更新至7.16版本，這個版本加入許多新功能，特別值得關注的是，Elastic提供許多預建置新工具，簡化搜尋平臺從任何來源獲取資料的過程，而且Elastic搜尋平臺的統一使用者介面，現在還支援Kibana，帶來更強大的視覺化搜尋體驗。</p> <p>官方在<a href="https://www.elastic.co/blog/whats-new-elastic-7-16-0">Elastic 7.16</a>中，更新Elastic Agent加入了數個預建置的資料整合工具，包括AWS網頁應用程式防火牆、Cisco Duo、CrowdStrike和GitHub，讓用戶可一鍵式整合簡單地擷取資料，動態解決DevOps以及SecOps的問題，方便集中管理機隊。</p> <p>Elastic 7.16在Kibana提供了統一的使用者介面，簡化分散式端點代理的管理，因此無論是Elastic Agent、Logstash、Beats，還是特定使用案例的資料整合，像是App Search網路爬蟲，用戶現在都可以花更少的時間，編輯資料擷取工作管線和YAML檔案，花更多時間在資料分析上。</p> <p>Elastic 7.16針對ServiceNow，交付了兩個新認證的應用程式，分別是ServiceNow IT服務管理（ITSM），以及ServiceNow安全事件回應（SIR），同時還更新ServiceNow IT營運管理（ITOM）整合。藉由改善Elastic與ServiceNow的整合，企業可以標準化和簡化警示和案例管理工作流程，來促進ITOps、DevOps、站點可靠性工程和SecOps團隊相互合作。</p> <p>由於ServiceNow ITSM和ITOM的整合，企業能夠自動將Elastic的警示，轉送到ServiceNow中，並且生成相對應的ServiceNow事件，以快速解決營運問題，並且確保各團隊都能持續獲得最新訊息，以大幅縮短回應和解決問題的平均時間。而ServiceNow ITSM和ServiceNow SIR的整合，則可以加快調查和回應時間，清楚切分不同團隊的工作界線，同時調整工作流程，來衡量平均解決問題的時間，降低企業所面臨的風險。</p> <p>藉由在Elastic 7.16中原生整合AWS FireLens，讓用戶更簡單地將AWS中的資料擷取到Elastic Cloud中，包括Amazon ECS和AWS Fargate。AWS FireLens是一種容器日誌路由器，能夠提供可擴展性，使得AWS和合作夥伴的服務能夠相互整合，進行日誌分析和儲存。</p> </div></div></div>
2021/12/14 09:37作者李建興https://www.ithome.com.tw/news/148339
VS Code能突出顯示不可見Unicode字元，助用戶防禦Unicode欺騙攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_63">VS Code最新的11月更新</a>，雖然沒有加入大功能，但是藉由改善許多操作體驗，能夠讓開發工作更加順利，從主題安裝、Notebook到編輯器等，都有許多有用的更新。</p> <p>VS Code現在會預設突出顯示不常見，且不可見的字元，同時還會突出顯示可能和ASCII字元混淆的字元。官方提到，惡意攻擊者可能會透過利用不可見，或是易混淆的字元，來進行Unicode欺騙攻擊，而VS Code能夠減少這種情況發生的可能性。</p> <p>不過VS Code並無法偵測所有可能的Unicode欺騙攻擊，因為這取決於用戶的字體和區域設定，此外，歧義字元是以啟發式方法偵測，所以為了安全起見，開發者應該使用VS Code工作區域的受信任限制模式來查看原始碼，因為所有非ASCII字元，都會在不受信任的工作區域中突出顯示。</p> <p>而VS Code現在還支援擴充套件的預發布版本，用戶可以選擇安裝這些預發布的擴充套件，來使用擴充套件的最新功能，VS Code在擴充套件安裝下拉選項中，新增額外的安裝選項，能夠安裝預發布版本。</p> <p>變更VS Code的主題現在更直覺，用戶在安裝主題之前，可以先預覽主題帶來的視覺變化，用戶只要從顏色主題下拉選單中，選擇瀏覽其他顏色主題，就可以將滑鼠懸停在不同主題時，看到整個VS Code介面的改變。</p> </div></div></div>
2021/12/14 09:39作者李建興https://www.ithome.com.tw/news/148340
Apache Log4j漏洞開採活動早在官方公布9天前便開始，現已大舉展開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148332" target="_blank">上周Apache基金會緊急修補的Log4j日誌框架漏洞CVE-2021-44228</a>，安全專家提醒企業必須儘速修補，因為研究發現，這個漏洞的開採行動早在公布前9天就開始。而且，駭客掃瞄未修補漏洞的系統不論活動次數及攻擊類型都快速增加中。</p> <p>又被稱為Log4Shell的Log4j漏洞出在JNDI功能允許修改過參數的log訊息，使受害系統從攻擊者控制的LDAP伺服器下載惡意程式執行，甚至遭到接管。Log4j 2.14.1以前版本受影響，Apache基金會於上周五（12/10）公布最新版2.15.0版。</p> <p><a href="https://twitter.com/eastdakota/status/1469800951351427073" target="_blank">Cloudflare執行長Matthew Price周末指出</a>，Log4j開採活動跡象最早可推到12月1日。雖然當時尚未到大規模開採活動，不過一旦漏洞公布，情況就迅速惡化。</p> <p>安全廠商GreyNoise第一天內就偵測到100多臺Tor網路出口節點的主機開採該漏洞。<a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/" target="_blank">微軟威脅情報中心暨Microsoft 365 Defender威脅情報小組指出</a>，依據漏洞特性，一旦攻擊者取得應用完整控制權，就可用來做很多事。微軟偵測到大量掃瞄主機以及實際開採的活動，包括安裝採礦軟體、多個木馬程式及Cobalt Strike，攻擊者可竊取憑證、在內部網路上橫向移動以及外洩資料。攻擊目標涵括Windows及Linux系統。</p> <p><a href="https://blog.netlab.360.com/threat-alert-log4j-vulnerability-has-been-adopted-by-two-linux-botnets/" target="_blank">Net360發現有2隻殭屍網路程式</a>，包括Mirai及Muhstik已經針對Linux系統發動開採感染，其中Muhstik就是使用Tor網路為掩護。<a href="https://news.sophos.com/en-us/2021/12/12/log4shell-hell-anatomy-of-an-exploit-outbreak/" target="_blank">Sophos則偵測到Mirai、Tsunami（和Muhstik相關）和Kinsing</a>。這家安全公司的資料顯示，從上周四以來，已經有數十萬次利用Log4Shell漏洞執行程式碼的意圖行動，竊取資料類型包括AWS金鑰及其他機密資料。</p> <p><a href="https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/" target="_blank">CheckPoint周一指出</a>他們已攔阻了超過84萬次掃瞄行動，其中一項開採行動甚至掃瞄了全球超過40%的企業網路。</p> <p>Log4j使用者遍及大型網站，<a href="https://www.ithome.com.tw/news/148337" target="_blank">根據一份網路清單</a>，受漏洞影響者包括iCloud、推特（Twitter）、微軟Minecraft及遊戲平臺Steam、Google、Amazon、ElasticSearch，甚至美國國安局的ghidra。由於開採容易，以微軟Minecraft而言，攻擊者只要發送一則惡意log訊息就能觸發。Log4Shell風險值被列為最嚴重等級的10分，被安全專家視為近10年最嚴重漏洞。</p> </div></div></div>
2021/12/14 10:06作者林妍溱https://www.ithome.com.tw/news/148345
【資安警訊】 Apache Log4j日誌框架系統重大漏洞（CVE-2021-44228），已出現攻擊行動，需儘速採取…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h2><strong>漏洞概要</strong></h2> <p>漏洞編號：CVE-2021-44228<br /> 風險等級：CVSS 3.0評分10分（最嚴重10分） <br /> 影響產品：Apache Log4j 2.0-beta9至2.14.1<br /> 解決方法：1. 安裝Apache推出的Log4j 2.15版 2. 使用較新版本的Java SDK（JDK），限制JNDI漏洞利用<br /> 攻擊利用：已知攻擊手法與攻擊事件</p> <h2><strong>事件概覽</strong></h2> <p>Apache甫於12月初前發布Log4j修補版本2.15.0，修補漏洞CVE-2021-44228，此漏洞約於12月10日受關注。這次漏洞的警訊，是阿里雲安全團隊率先公告，他們指出是在11月24日向Apache官方提報這次漏洞，至於CVE漏洞編號，當時GitHub Advisory Database列出此RCE漏洞是CVE-2021-44228，而NIST NVD的漏洞頁面則尚未公開。</p> <p>到了12月11日與12日，隨著更多資安人員關注到此漏洞，相關漏洞資訊與影響也接連曝光，該漏洞被命名為Log4Shell，CVSS風險分數為滿分10分，而且許多大型IT公司的應用系統都使用這款工具，也導致許多業者已經發布產品資安公告，包括Cisco、NetApp等，還有研究人員指出蘋果iCloud、遊戲平臺Steam等都受影響。研究人員Marcus Hutchins更是指出，「有數百萬款應用程式使用Log4j記錄程式活動，而攻擊者只需在聊天欄位發出訊息，將可能觸發與利用這個漏洞。」</p> <h2><strong>漏洞說明</strong></h2> <p>編號為CVE-2021-44228的日誌框架系統Apache Log4j重大漏洞，肇因於某些功能存在遞迴解析功能，存在JNDI注入漏洞，而攻擊者可直接發出惡意請求，觸發遠端程式碼執行漏洞。</p> <h2><strong>影響程度</strong></h2> <p>此漏洞經由CVSS 3.0漏洞評分系統評估為10分（最嚴重為10分），屬重大危險等級的漏洞。</p> <p>由於使用存在漏洞版本的Log4j，將無法防範攻擊者控制LDAP與其他JNDI有關的端點，一旦攻擊者掌握了事件記錄訊息或是參數，有可能在訊息探索啟用的情況下，從LDAP伺服器載入程式碼的管道，執行任意程式碼。</p> <h2><strong>漏洞利用</strong></h2> <p>研究人員p0rz9於GitHub上揭露該漏洞的概念驗證攻擊程式，公布不到1天，資安廠商GreyNoise已偵測到有將近100臺主機利用CVE-2021-44228發動攻擊，這些伺服器大部分是Tor出口節點。</p> <p>此外，<a href="https://www.cert.govt.nz/it-specialists/advisories/log4j-rce-0-day-actively-exploited/">紐西蘭電腦緊急回應小組（CERT NZ）也於12月10日指出</a>，他們獲報此漏洞遭到廣泛利用的跡象。<a href="https://blog.talosintelligence.com/2021/12/apache-log4j-rce-vulnerability.html">思科亦於12日表示</a>他們在2日開始觀察到相關攻擊活動。<a href="https://news.sophos.com/en-us/2021/12/12/log4shell-hell-anatomy-of-an-exploit-outbreak/">Sophos則發現Mirai、Tsunami、Kinsing等殭屍網路開始利用CVE-2021-44228</a>，以利用受害伺服器進行挖礦，他們從12月9日開始，檢測到數十萬次的漏洞利用探測行為。</p> <h2>漏洞修補</h2> <p>由於有多款軟體套件裡包含了Log4j，例如：Apache Struts2、Apache Solr、Apache Druid、Apache Flink，故應用系統的管理者需著手調查，是否採用名稱含有log4j-core的JAR檔案，假如此檔案有被引入使用，且為受影響的版本，<a href="https://logging.apache.org/log4j/2.x/download.html">管理者應從Apache網站下載最新版本</a>，並儘速升級（2.15.0以上版本）。</p> <p>若是無法更新Log4j，阿里雲也提到能使用較新版本的Java SDK（JDK），藉由限制JNDI漏洞利用的方式，來暫時緩解漏洞所帶來的風險。這些版本的SDK是6u211、7u201、8u191、11.0.1。再者，對於Log4j 2.10以上版本，亦可修改配置來達到緩解效果：將log4j2.formatMsgNoLookups的值設定為True，或將JndiLookup類別從classpath路徑刪除。</p> <p>Log4j 1.x不會直接受到這個漏洞影響，但該版本產品生命週期已經結束（EOL），可能存在其他RCE漏洞且不會有修補程式，使用者仍應升級2.15.0以上版本。</p> <h2><strong>事件時間軸</strong></h2> <p>2021年11月24日阿里雲安全團隊向Apache通報Log4j遠端程式碼執行漏洞CVE-2021-44228<br /> 2021年12月11日 Apache發布Log4j 2.15.0修補漏洞</p> <h2><strong>相關資訊</strong></h2> <ul><li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://www.alibabacloud.com/blog/apache-log4j2-%E9%98%BF%E9%87%8C%E9%9B%B2%E6%9C%8D%E5%8B%99%E6%87%89%E5%B0%8D%E8%88%87%E5%AE%89%E5%85%A8%E5%BB%BA%E8%AD%B0_598345">阿里雲資安通告</a></span></span></p> </li> <li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://www.ithome.com.tw/news/148332">Apache Log4j驚爆近年最嚴重漏洞，殃及蘋果、微軟、推特重要服務，連美國國安局都受影響</a></span></span></p> </li> <li> <p><span style="font-size:18px;"><span style="font-family:lucida sans unicode,lucida grande,sans-serif;"><a href="https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592">各IT廠商的CVE-2021-44428資安通報彙整</a></span></span></p> </li> <li> <p><a href="https://github.com/YfryTchsGD/Log4jAttackSurface"><span style="font-size: 18px;">可能受影響的業者名單</span></a></p> </li> <li> <p><a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/"><span style="font-size: 18px;">防範、檢測、獵捕CVE-2021-44228漏洞的指南</span></a></p> </li> <li> <p><a href="https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/"><span style="font-size: 18px;">針對Log4j零日漏洞的利用分析</span></a></p> </li> </ul><p> </p> </div></div></div>
2021/12/13 16:14作者周峻佑https://www.ithome.com.tw/news/148337
【資安日報】2021年12月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天，資安圈最受到關注的新聞，應該就屬日誌框架系統Apache Log4j的重大漏洞「Log4Shell」（CVE-2021-44228），由於許多知名的大型應用系統如推特、iCloud、Minecraft等都使用了Log4j，且這項漏洞極為容易被利用，已經出現攻擊行動的情況，被資安專家稱為近10年來最嚴重的漏洞。</p> <p>另一個值得留意的態勢，是勒索軟體攻擊事故不斷傳出，包含了汽車大廠Volvo疑似遭到勒索軟體攻擊，而可能對公司營運造成影響，再者，則是南澳洲政府因薪資系統服務業者遭到勒索軟體攻擊，而導致員工個資曝險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148332"><span style="color: rgb(0, 0, 0);">日誌框架系統Apache Log4j重大漏洞波及iCloud、Minecraft、Steam等大型應用系統，且已被用於攻擊行動</span></a></strong></h4> <p>甫被Apache修補的日誌框架系統Log4j漏洞「Log4Shell」（CVE-2021-44228），CVSS風險層級到到滿分10分，被資安專家稱為近10年來最嚴重的漏洞之一，Cloudflare執行長Matthew Price認為，是繼Heartbleed、ShellShock之後最為嚴重的漏洞。</p> <p>由於Log4j的JNDI功能可用於組態、記錄訊息，而包含於Apache Struts2、Apache Solr、Apache Druid等許多軟體專案中，有許多大型IT公司或應用系統都使用這款工具，例如蘋果iCloud、推特、微軟Minecraft，以及Valve遊戲平臺Steam等，再加上這個漏洞利用極為容易，已經出現相關攻擊行動。要利用這個漏洞究竟有多容易？研究人員Marcus Hutchins指出，採用這個日誌框架系統的遊戲Minecraft，攻擊者只需在聊天欄位發出訊息就有可能觸發。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148328"><span style="color: rgb(0, 0, 0);">汽車大廠Volvo驚傳遭到入侵，研發資料外洩</span></a></strong></h4> <p>汽車產業遭到攻擊的現象，今年有數起事故發生。最近，瑞典汽車大廠Volvo也證實成為受害者，他們於12月10日發出公告，指出檔案資料庫遭到非法存取，少量研發資產被竊，且有可能對公司營運造成影響。根據資安新聞網站Bleeping Computer的報導，這起事故是Snatch勒索軟體駭客所為，他們亦公布少量從Volvo竊得的文件。</p> <h4><a href="https://www.zdnet.com/article/south-australian-government-employee-data-taken-in-frontier-software-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>南澳洲政府的員工資料外洩，起因是薪資系統服務業者遭到勒索軟體攻擊</strong></span></a></h4> <p>南澳洲政府於12月10日發出公告，因薪資系統服務業者Frontier Software遭到勒索軟體攻擊，導致他們可能有8萬名員工的資料遭到外洩，資料包含姓名、出生日期、稅務編號、居住地址、銀行帳號、薪水等。而這是Frontier Software在12月9日公布遭到攻擊的事故調查結果後，南澳洲政府透露受到影響的情形。</p> <h4><strong><a href="https://www.cyber.gov.au/acsc/view-all-content/alerts/conti-ransomware-incidents-australia"><span style="color: rgb(0, 0, 0);">澳洲對於勒索軟體Conti攻擊提出警告</span></a></strong></h4> <p>澳洲網路安全中心（ACSC）於12月10日發布資安通報，表示自2021年11月，他們獲報當地數個組織遭到Conti勒索軟體攻擊，並提供入侵指標(IoC)，以及攻擊的策略、技巧，以及步驟（TTP）等資訊，供當地組織進行防範。ACSC提到，該組織會使用BloodHound偵察AD環境，並透過滲透測試工具Metasploit入侵受害電腦，且使用遠端桌面存取軟體AnyDesk維持持久性。此外，該組織也可能會透過網釣攻擊部署後門程式BazarLoader。</p> <h4><a href="https://therecord.media/alphv-blackcat-is-the-first-professional-ransomware-gang-to-use-rust/"><span style="color: rgb(0, 0, 0);"><strong>研究人員揭露以Rust程式語言製作的勒索軟體BlackCat<img alt="" src="https://s4.itho.me/sites/default/files/images/BlackCat-forum-1.png" style="width: 300px; height: 135px; float: right;" /></strong></span></a></h4> <p>為了資安業者Recorded Future與MalwareHunterTeam聯手，公布他們發現的勒索軟體BlackCat（亦稱Alphv），其最與眾不同之處，就是使用Rust程式語言進行編譯。研究人員指出，這是他們首度看到以這種程式語言製作，且運用於實際攻擊行動的勒索軟體，並警告日後可能會有更多的駭客採用Rust來編譯。但為何攻擊者會想要採用這種程式語言？研究人員沒有進一步說明。</p> <h4><strong><a href="https://www.accenture.com/us-en/blogs/cyber-defense/karakurt-threat-mitigation"><span style="color: rgb(0, 0, 0);">駭客組織Karakurt透過寄生攻擊竊密，向受害組織勒索</span></a></strong></h4> <p>資安顧問公司Accenture指出，自2021年9月開始發動攻擊並竊取組織機密的駭客組織Karakurt，在短短2個月內宣稱已攻擊全球超過40個組織，被鎖定的目標主要是規模較小的公司，或者是子公司，且大多數位於北美。該組織使用多種常見、甚至是現成的工具，如AnyDesk、RDP、PowerShell，發動寄生攻擊（LoL），以持續存取受害的網路環境，但不一定會運用Cobalt Strike。研究人員提到，雖然Karakurt也透過專屬網站公布受害組織身分及洩密，但該組織似乎不太使用勒索軟體進行環境破壞。</p> <h4><strong><a href="https://www.ftc.gov/news-events/press-releases/2021/12/ftc-data-show-major-increase-gift-cards-scam-payment-method"><span style="color: rgb(0, 0, 0);">美國禮品卡詐騙攻擊氾濫，損失近1.5億美元</span></a></strong></h4> <p>美國聯邦貿易委員會（FTC）於12月8日提出警告，在2021年的前9個月裡，他們接獲近4萬起禮品卡的詐騙案件，損失金額達到1.48億美元，已超過2020年全年總和。FTC指出，Target禮品卡是今年詐騙案件最常見的對象，是其他禮品卡的2倍以上，平均每個受害者損失2,500美元，其中近三分之一損失超過5,000美元。</p> <h4><strong><a href="https://cofense.com/blog/german-users-targeted-in-digital-bank-heist-phishing-campaigns/"><span style="color: rgb(0, 0, 0);">網站摘要訂閱服務FeedBurner遭濫用，被用於針對德國銀行用戶的網釣攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/German-Bank-feedbruner-5.png" style="width: 300px; height: 356px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Cofense揭露駭客鎖定德國兩大銀行Sparkasse、Volksbanken Raiffeisenbanken用戶，發動釣魚郵件攻擊的新手法，駭客透過Google旗下的網站摘要訂閱服務FeedBurner，產生重新導向的URL，以規避郵件安全系統的偵測；再著，研究人員也發現駭客也在釣魚郵件使用QR Code，可能是針對行動裝置用戶而來。</p> <h4><strong><a href="https://www.wordfence.com/blog/2021/12/massive-wordpress-attack-campaign/"><span style="color: rgb(0, 0, 0);">160萬個WordPress網站遭到近1,400萬次攻擊</span></a></strong></h4> <p>網站安全業者WordPress揭露一起針對WordPress網站的攻擊行動，駭客自12月8日開始，針對4個外掛程式Kiwi Social Share、WordPress Automatic、Pinterest Automatic、PublishPress的已知漏洞，以及多個Epsilon框架主題的函數注入漏洞，透過1.6萬個IP位址，在36個小時內發動1,370次攻擊。研究人員呼籲管理者應儘速修補相關漏洞，並檢查網站是否遭到入侵。</p> <h4><strong><a href="https://www.microsoft.com/security/blog/2021/12/09/a-closer-look-at-qakbots-latest-building-blocks-and-how-to-knock-them-down/"><span style="color: rgb(0, 0, 0);">研究人員揭露惡意軟體QBot的新興攻擊手法<img alt="" src="https://s4.itho.me/sites/default/files/images/Fig7-Craigslist-Excel.png" style="width: 300px; height: 325px; float: right;" /></span></a></strong></h4> <p>微軟在12月9日揭露他們對於惡意軟體QBot（亦稱Qakbot）的發現，指出駭客採用模組化的方式，在發動攻擊時組裝所需模組，而有不同的特徵。因此，他們在相同的攻擊行動裡，往往會發現駭客使用多種用途的QBot，針對不同的受害電腦，發動勒索軟體攻擊、進行橫向移動，以及竊取帳號與密碼等工作。再者，為了引誘受害者啟用Office巨集，讓QBot能順利執行，攻擊者也謊稱文件由DocuSign服務加密。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148307">2021年12月10日</a></p> <p><a href="https://www.ithome.com.tw/news/148267">2021年12月9日</a></p> <p><a href="https://www.ithome.com.tw/news/148252">2021年12月8日</a></p> </div></div></div>
2021/12/13 14:49作者周峻佑https://www.ithome.com.tw/news/148334
Cloudflare正式推出Page Shield，可防禦惡意腳本攻擊提升網頁安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare推出<a href="https://blog.cloudflare.com/page-shield-generally-available/">Page Shield正式版本</a>，供網路管理員能夠掌握網頁應用程式正在執行的腳本，並且在腳本被入侵或是執行洩露用戶資料等惡意行為時收到通知，用戶只需要在Cloudflare防火牆頁籤中，透過滑鼠點擊啟用Page Shield，不需要額外繁瑣的配置。</p> <p>官方提到，平均而言，任何網頁應用程式都會從八個第三方主機載入腳本，這些腳本可能來自Google等大型企業，也有可能是來自小公司，所提供的隨插即用功能強化模組，像是聊天系統、日期選擇器或是結帳平台等，而這些第三方都可能成為供應鏈攻擊的目標。由於複雜的腳本來源，使得攻擊面變得很大難以監控，Cloudflare還指出，每月有50％的應用程式，會從新的第三方主機載入腳本，這使得攻擊面更加複雜。</p> <p>而Page Shield能在可見性、偵測、緩解和預防各方面著手，使得網路管理員有能力阻擋惡意腳本攻擊，Page Shield將Cloudflare所提供的網路服務當作反向代理，從瀏覽器接收有關載入JavaScript檔案和模組的資訊，並且透過分析這些JavaScript檔案，在發現惡意行為時通知用戶。</p> <p>使用者在啟用Page Shield之後，該服務會利用內容安全策略（Content Security Policy，CSP）中的唯讀指令，來從瀏覽器收集資料，因此Page Shield能夠提供用戶應用程式執行的所有腳本列表，報告的資訊涵蓋載入腳本的頁面、違反CSP的指令、JavaScript檔案的連結等。CSP是一個電腦安全標準，可用來防禦跨站指令碼、點擊劫持等程式碼注入攻擊，阻擋惡意內容在受信任的網頁環境中運作。</p> <p>Page Shield會對JavaScript檔案進行一系列惡意行為掃描，系統會標記來自有疑慮來源的腳本，當有特定URL被確定為惡意來源，Page Shield會下載惡意檔案，並且在分類器中執行，經過去混淆工程、標準化和解碼等程序，確認真正惡意的攻擊腳本。</p> <p>除了用戶可以藉由HTTP回應標頭實作CSP之外，Page Shield之後將會提供進一步的預防和緩解功能，供用戶以觀察到的腳本作為基礎，利用儀表板或是API快速生成CSP來進行阻擋，或是利用Cloudflare的代理，從HTTP回應主體中移除惡意腳本。</p> </div></div></div>
2021/12/13 15:46作者李建興https://www.ithome.com.tw/news/148335
AWS公布上周大規模故障原因：自動化擴充容量造成網路設備過載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148246" target="_blank">AWS（Amazon Web Services）美東US-EAST-1服務區域在太平洋標準時間（PST）周二（12/7）上午7:30（臺北時間7日晚上11:30）出現故障</a>，而且一直到PST當天下午2:22分（臺北時間8日上午6:22分）才排除問題，延續了近7個小時，<a href="https://aws.amazon.com/tw/message/12721/" target="_blank">AWS在10日公布了詳細的故障原因</a>，指出是因為一個自動化的容量擴充程序導致網路設備過載而造成的意外事件。</p> <p>根據AWS的說明，大多數的AWS服務與客戶的應用都是在主要的AWS網路上運作，但AWS還運用一個內部網路來代管許多基本服務，像是監控、內部DNS、授權服務或是部份的EC2控制平面。由於在內部網路中執行的服務非常重要，因此AWS利用多個於地理上隔離的網路設備來連結內部網路，同時還會擴充此一網路的容量來確保網路連結的高可用性。</p> <p>這些網路設備用來提供額外的路由及網路位址的轉換，以支援各種AWS服務在主要網路及內部網路之間的通訊。</p> <p>意外的發生始於PST時間上午7:30，AWS主要網路上的某個AWS服務進行自動化的容量擴充，觸發了內部網路大量客戶端的意外行為，造成主要網路與內部網路的連線活動激增，而讓網路設備不堪負荷，導致這兩個網路之間的通訊延誤。</p> <p>延誤的通訊帶來更多的延遲與錯誤，也造成系統不斷重試，使得連結這兩個網路的設備持續出現擁塞與效能問題。</p> <p>事實上，AWS客戶的負載並未直接受到此一網路問題的影響，因為AWS的主要網路並未出現問題，但只要是必須連結到內部網路的服務幾乎都受到波及。</p> <p>舉例來說，EC2實例並未受到影響，但要透過位於AWS內部網路的EC2控制平面來發布新實例的任務就會遇到錯誤；要存取Amazon S3及DynamoDB也是正常的，但若透過VPC Endpoints存取則會遭遇問題；既有的容器可正常運作，但使用Fargate、ECS與EKS等容器服務則會出錯。</p> <p>此外，由於內部網路代管了監控服務，使得此一意外不僅波及AWS的CloudWatch監控服務，令用戶無法存取服務健康儀表板，還讓AWS在第一時間無法辨識問題的所在。</p> <p>AWS指出，因其內部團隊無法存取即時的監控資料，只好仰賴日誌來辨識與追蹤問題，並率先將內部的DNS流量移出，減少網路擁塞的狀況，再陸續移除其它流量以減輕網路設備的負荷，同時新增其它的網路能力。</p> <p>花了快7個小時的時間才解決，AWS提出了3個原因，一是網路擁塞同時也限制了內部團隊尋找問題的能力，其次是內部系統也受到波及，第三則是主要網路上的服務是正常的，必須很謹慎才能在恢復服務時，不影響這些正常運作的任務。</p> <p>這起意外除了讓AWS暫時關閉並重新設計擴充活動外，也使得該平臺決定於明年初發表全新的服務健康儀表板，以及全新的支援系統架構，以強化與客戶之間的聯繫。</p> </div></div></div>
2021/12/13 16:10作者陳曉莉https://www.ithome.com.tw/news/148336