iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 20:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

DuckDuckGo也打造桌機瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以隱私著稱的搜尋業者<a href="https://spreadprivacy.com/duckduckgo-2021-review/" target="_blank">DuckDuckGo宣布將開發自有瀏覽器</a>，進軍瀏覽器市場。</p> <p>DuckDuckGo為一整合性App，可提供搜尋及隱私防護。DuckDuckGo今年7月宣布<a href="https://www.spreadprivacy.com/introducing-email-protection-beta/" target="_blank">免費郵件轉寄服務beta版</a>，可移除郵件中的追蹤軟體。11月DuckDuckGo預覽<a href="https://www.ithome.com.tw/news/147965" target="_blank">App追蹤防護服務</a>，可封鎖App中植入的第三方追蹤器，如Google及Facebook。</p> <p>DuckDuckGo執行長Gabriel Weinberg指出，DuckDuckGo App在其主要市場中，是下載量最高的Android App，以iOS App而言則是第二高，僅次於Chrome。DuckDuckGo搜尋平均每天超過1億次，有9%，約2,700萬美國人使用。而DuckDuckGo自2018年投入開放文件搜尋以來，全球下載次數已超過1.5億。</p> <p>本周DuckDuckGo宣布開發桌機版且加入瀏覽器功能。但Wienberg強調它不是像Brave之類的「隱私瀏覽器」，而是尊重用戶隱私的瀏覽App，具有橫跨搜尋、瀏覽、電子郵件等情境的隱私防護。DuckDuckGo強調新App將整合原有的隱私防護功能、一鍵清除分頁及瀏覽資料的Fire Button等。</p> <p>此外，DuckDuckGo桌機App並非是從Chromium或其他核心分叉出來，DuckDuckGo是以OS渲染引擎全新打造的桌機App，使其可避免多年來其他主要瀏覽器的雜亂、臃腫問題。它結合簡單、乾淨的用戶介面及DuckDuckGo手機版App的「Fire Button」。和Chrome相比，DuckDuckGo桌機版App更乾淨、更保障隱私，而且早期測試顯示執行速度更快。</p> <p>在手機版本方面，DuckDuckGo今年新增功能包括保留部份網站登入資料的Fireproofing、簡化搜尋、以及加速在Android平臺的載入時間等。搜尋功能方面強化地方性、地圖及方向搜尋結果，提升搜尋頁的設計，以及加入翻譯即時解答、自訂期間篩選、圖片條件篩選、和進階搜尋等。該公司並強調2022年還會有更多功能強化。</p> </div></div></div>
2021/12/24 15:07作者林妍溱https://www.ithome.com.tw/news/148580
【資安日報】2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4Shell漏洞的風波已經延燒了半個月，但除了Log4j的漏洞之外，Apache基金會近期修補HTTP伺服器的漏洞相當值得注意，因為，這些漏洞極為嚴重，其中1個可被用來接管網站伺服器，恐影響近3億網站，而使得美國政府特別發出資安通報。稍微值得慶幸的是，Apache HTTP伺服器軟體並未採用Log4j，而沒有受到Log4Shell影響。</p> <p>而在Log4Shell的態勢而言，日前Google對於熱門Java套件庫Maven Central進行調查，近2萬個套件曝露此漏洞風險。該套件庫的管理者Sonatype，最近也對於漏洞揭露後的下載情況提供分析，臺灣竟是全球最為嚴重的地區，下載有漏洞的Log4j超過8成，且有日益攀升的現象！這樣的態勢相當值得我們留意。</p> <p>除了上述的漏洞，使得IT人員疲於奔命修補，網路釣魚也出現新的攻擊手法而值得留意。今天是聖誕夜，對於外國人而言，年關將近，很多人可能正在考慮在過完聖誕節要轉換跑道，但網釣攻擊也搭上這一波風潮，以解僱員工的名義來散布惡意軟體，還祝開啟惡意文件的受害者聖誕快樂。這種搭上時事的誘餌，也很容易讓人上當。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="http://www.sonatype.com/resources/log4j-vulnerability-resource-center#latest-insights"><span style="color: rgb(0, 0, 0);"><strong>臺灣曝露Log4Shell風險的比例全球之冠，下載存在漏洞的Log4j超過8成，且比例有變多的趨勢</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg" style="width: 300px; height: 186px; float: right;" /></a>同時管理知名Java套件庫Maven Central的資安業者Sonatype，近期公布自12月10日Log4Shell漏洞細節公開後，開發人員從該套件庫下載Log4j的情形。其中，他們特別提及臺灣的情況最為嚴重，且有惡化的趨勢。我們於23日向代理商群鉅確認時，臺灣下載存在漏洞的Log4j版本，比例已達80.03％，24日上午已增至85%，遠高於全球平均（43%）。該公司也呼籲開發人員，應留意仍有不少存在漏洞的Log4j被下載使用的現象。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/12/20/logjam-log4j-exploit-attempts-continue-in-globally-distributed-scans-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass利用Log4Shell漏洞攻擊歐美等多個地區，臺灣也有受害者</span></a></strong></h4> <p>繼勒索軟體TellYouThePass被發現疑似針對中國發動攻擊之後，資安業者Sophos指出，這個勒索軟體的攻擊行動已經蔓延到歐洲和美國，而另一家資安業者Curated Intelligence也有類似觀察，他們在12月13日至17日，觀察到臺灣、香港、日本、白俄羅斯也有組織成為受害者。</p> <h4><a href="https://www.trendmicro.com/en_us/research/21/l/examining-log4j-vulnerabilities-in-connected-cars.html"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell漏洞可被用於攻擊多種車用系統</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/figure%204%20canarytokens%20alert.jpg" style="width: 300px; height: 174px; float: right;" />趨勢科技指出，許多嵌入式設備可能會採用Apache Log4j軟體，而汽車在採用大量電子控制設備後，也很可能導入含有漏洞的Log4j元件，而被用於Log4Shell攻擊。他們針對以Java建置的車用系統，包含電動汽車所使用的車輛電力網（V2G）、可做為車鑰匙或控制車輛的智慧型手機App，以及車用資訊娛樂系統（IVI）等進行研究，發現都有可能存在Log4Shell漏洞而用於發動攻擊，例如打開車門、操控空調等，進而影響車輛安全。該公司認為，可能還有其他汽車採用的電子元件也可能會受到Log4Shell波及。</p> <h4><a href="https://www.whitesourcesoftware.com/resources/blog/log4shell-vulnerability-in-ruby-applications/"><span style="color: rgb(0, 0, 0);"><strong>非Java程式語言開發的應用系統也可能受到Log4Shell波及</strong></span></a></h4> <p>引起全球關注的Log4Shell漏洞，使得許多Java開發人員戒慎恐懼，找尋應用系統裡存在漏洞的Log4j並採取緩解措施。但資安業者WhiteSource指出，並非只有Java程式才會曝露Log4Shell漏洞，研究人員舉出Ruby程式語言為例，開發者可使用JRuby來使用Java套件，並透過Log4j來記錄事件。他們在JRuby應用程式進行概念性驗證攻擊，並指出Log4Shell漏洞也可能會存在於其他基於JVM執行的程式語言，如Jython，Node-java，Jgo等。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dridex-malware-trolls-employees-with-fake-job-termination-emails/"><span style="color: rgb(0, 0, 0);">惡意軟體Dridex以解僱郵件來發動網釣攻擊</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dridex-termination-letter-email.jpg" style="width: 300px; height: 138px; float: right;" />研究人員TheAnalyst指出，近期有一波散布惡意軟體Dridex的網路釣魚攻擊，是佯稱要解僱員工的名義，宣稱僱庸關係將在12月24日結束，並引誘收信者開啟附件裡，以密碼保護的惡意Excel檔案。一旦對方不慎開啟附件，便會看到模糊的表單，攻擊者宣稱要啟用巨集才能正常閱讀。當收信人依照指示啟用巨集，就會出現彈出視窗顯示「聖誕節快樂！」，但在此同時，惡意巨集從Discord下載Dridex並植入受害電腦，進而安裝其他惡意軟體，或是竊取各式帳密。</p> <h4><a href="https://threatpost.com/spider-man-no-way-home-download-installs-cryptominer/177254/"><span style="color: rgb(0, 0, 0);"><strong>盜版蜘蛛人電影被用於散布挖礦軟體</strong></span></a></h4> <p>近期上映的《蜘蛛人：無家日》相當熱門，但資安業者ReasonLabs指出，有人藉由提供盜版影片的名義，以發布下載影片的BT種子（Torrent），來散布挖礦軟體。研究人員指出，一旦使用者下載了挖礦程式，很可能電腦就暗中執行這個軟體，並占用大量運算資源。</p> <h4><a href="https://news.sophos.com/en-us/2021/12/22/avos-locker-remotely-accesses-boxes-even-running-in-safe-mode/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體AvosLocker透過網管工具散布</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Avos-deployment-of-tools-in-a-folder.png" style="width: 300px; height: 140px; float: right;" />資安業者Sophos指出，他們近期觀察到勒索軟體AvosLocker的攻擊行動，駭客利用遠端桌面軟體AnyDesk來存取Windows受害電腦，然後透過軟體派送工具PDQ Deploy散布惡意批次檔，並在電腦重新啟動為安全模式的狀態之前執行，批次檔的功能為濫用登錄檔停用防毒軟體，以便植入AvosLocker。研究人員指出，由於攻擊者強制電腦切換到安全模式，使得防毒軟體無法正常運作，受害者難以因應攻擊行動。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/apaches-new-security-update-for-http-server-fixes-two-flaws/"><span style="color: rgb(0, 0, 0);">Apache HTTP伺服器存在重大漏洞，恐被用於挾持攻擊</span></a></strong></h4> <p>Apache修補HTTP伺服器的2個重大漏洞CVE-2021-44790、CVE-2021-44224，CVSS風險層級分別為9.8分與10分，美國網路安全暨基礎架構安全局（CISA）提出警告，其中一個攻擊者可用於遠端控制網站伺服器。資安業者Netcraft指出，Apache HTTP伺服器系統雖然沒有使用Log4j，而不受Log4Shell影響，但全球有近3億個網站使用該軟體架設，上述2個漏洞未來很有可能被用於攻擊行動。</p> <h4><strong><a href="https://portswigger.net/daily-swig/popular-wordpress-platform-flywheel-vulnerable-to-subdomain-takeover-researcher-claims"><span style="color: rgb(0, 0, 0);">WordPress代管網站存在漏洞，恐導致子網域遭到挾持</span></a></strong></h4> <p>資安研究人員Ahmed Elmalky發現，代管WordPress網站的業者Flywheel存在漏洞，攻擊者可藉由部署惡意程式碼，模仿合法網站，並挾持子網域。研究人員進行概念性驗證攻擊，花了15美元訂閱Flywheel服務，建立1個網站並利用上述的漏洞，連結到易受攻擊的子網域，隨後便接管了網站。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-macos-security-flaw-behind-gatekeeper-bypass/"><span style="color: rgb(0, 0, 0);">蘋果macOS出現可繞過Gatekeeper防護機制的漏洞</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS_infection_vectors.png" style="width: 300px; height: 146px; float: right;" />蘋果於9月修補macOS漏洞CVE-2021-30853，這項漏洞能讓攻擊者使用沒有簽章或沒有公證的應用程式，繞過該作業系統的保護機制Gatekeeper，並用來下載與部署第2階段的惡意酬載。發現該漏洞的資安業者Box Offensive指出，攻擊者若是使用「shebang (!#)」開頭的指令碼來執行應用程式，就有可能觸發這項漏洞。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017de6c1f04902ec　https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E4%B8%8A%E5%B8%82%E4%B8%8A%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E6%8E%A7%E6%8C%87%E5%BC%95_final1_20211221111831.docx"><span style="color: rgb(0, 0, 0);">協助上市櫃公司資安規畫，證交所制定「上市上櫃公司資通安全管控指引」</span></a></strong></h4> <p>在金管會強化上市公司資通安全管理政策之下，今年有多項法令增訂陸續實施，包括要求揭露重大資安事件，在年報說明資安治理作為，明年還有設置資安長等要求，另一方面，為了幫助上市公司在資安推動上能有效規畫，在12月23日，<a href="https://dsp.twse.com.tw/listedCompanyFileDownload/list">臺灣證券交易所新發布「上市上櫃公司資通安全管控指引」</a>，當中列出37項重點，希望企業能夠有所依循，並且衡量產業特性、規模大小及資安風險以適度採行。另外，也鼓勵上市公司免費申請成為TWCERT/CC會員，獲得資安事件因應相關諮詢。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> </div></div></div>
2021/12/24 13:53作者周峻佑https://www.ithome.com.tw/news/148576
Apache HTTP Server軟體也傳2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了延燒近三個星期的Log4j漏洞後，<a href="https://httpd.apache.org/download.cgi" target="_blank">Apache軟體基金會本周釋出更多人使用的HTTP Server專案最新版2.4.52</a>，以解決2個漏洞，包含一個9.8風險值的重大漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1224-%20Apache%20HTTP%20Server-600.jpg" style="width: 550px;" /></p> <p>這次版本是Apache HTTPD 2.4.x分支的最新GA版本。Apache HTTP Server專案提供3000多個檔案，共近百萬行程式碼，可組成不同模組和選項，提供的強大功能及其開源碼特性，讓它成為現今最普及的網頁伺服器，部分情形中用戶直接使用HTTP Server，但它往往包含在企業用戶使用的產品或服務中而不為人知。</p> <p><a href="https://downloads.apache.org/httpd/CHANGES_2.4.52" target="_blank">根據Apache軟體基金會說明</a>，除了一些功能更新，最新版本主要修補2個漏洞包括CVE-2021-44790及CVE-2021-44224。其中CVE-2021-44790出在HTTP Server中mod_lua元件解析multipart格式的內容過程，攻擊者可傳送惡意呼叫觸發mod-lua multipart解析器的緩衝溢位。<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44790" target="_blank">本漏洞影響Apache HTTP Server 2.4.51及以前版本</a>，CVSS 3.1風險值9.8，屬重大漏洞。Apache HTTPD團隊尚未接獲開採漏洞的消息。</p> <p>CVE-2021-44224則是在HTTP Server的正向代理（forward proxy）設定中，攻擊者可傳送惡意URI到HTTPd引發伺服器崩潰。如果HTTP Server是設定為正、逆向混合代理的組態下，則可能允許呼叫導向宣告的Unix Domain Socket端點，引發伺服器端請求偽造（SSRF，Server Side Request Forgery）攻擊。若未使用正向代理組態（關閉ProxyRequest服務）則不受影響。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44224" target="_blank">本漏洞影響Apache HTTP Server 2.4.7到2.4.51版本</a>，CVSS 3.1風險值8.2，屬高度漏洞。</p> <p>Apache軟體基金會呼籲用戶儘速更新。<a href="https://nakedsecurity.sophos.com/2021/12/21/apaches-other-product-critical-bugs-in-httpd-web-server-patch-now/" target="_blank">安全廠商Sophos指出</a>，由於這些漏洞影響的是選用的run time組態，並不會影響所有用戶。但使用Apache HTTP的用戶則面臨伺服器當掉、資料外洩甚至被遠端執行程式碼的安全風險。</p> </div></div></div>
2021/12/24 14:26作者林妍溱https://www.ithome.com.tw/news/148577
勒索軟體AvosLocker在安全模式下利用AnyDesk展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sophos.com/en-us/2021/12/22/avos-locker-remotely-accesses-boxes-even-running-in-safe-mode/" target="_blank">資安業者Sophos本周指出</a>，今年6月才現身的勒索軟體AvosLocker於今年底的攻擊量大增，並揭露其攻擊手法是透過系統的安全模式（Safe Mode），在關閉防毒軟體的情況下，利用遠端桌面管理程式AnyDesk部署勒索軟體。</p> <p>安全模式為作業系統的一種特殊診斷模式，主要用來替系統除錯，因此，在進入安全模式之際，系統會關閉絕大多數的第三方驅動程式與軟體，包括防毒軟體在內。由於它讓系統失去了防毒軟體的保護，有利勒索軟體的部署，因此，不只是AvosLocker，採用安全模式來部署勒索軟體的前輩還包括 Snatch、REvil與BlackMatter。</p> <p>而AvosLocker的特別之處在於，駭客還變更了安全模式的啟動配置，以於該模式中安裝及使用遠端桌面管理程式AnyDesk。</p> <p class="rtecenter"><img alt="" src="https://news.sophos.com/wp-content/uploads/2021/12/Avos-deployment-of-tools-in-a-folder.png?resize=768,358" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Sophos</span></p> <p>此外，Sophos發現AvosLocker駭客集團的部署彷若IT專家，採用了另一個IT管理工具PDQ Deploy將Windows的批次處理腳本程式傳送到目標對象上，這些批次檔案在電腦進入安全模式之前就執行，目的為協調攻擊的每一個階段，並替最後一個部署勒索軟體的最終階段奠定了基礎。</p> <p class="rtecenter"><a href="https://news.sophos.com/wp-content/uploads/2021/12/Avos-Love-batch-attack-flow-logo.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=975,height=1039'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1224-PDQ%20Deploy-600.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Sophos</span></p> <p>Sophos提醒，在駭客如此縝密的規畫下，各大組織的IT安全團隊所面臨的將不只是阻止勒索軟體，因為就算成功防堵了勒索軟體，也應該移除受害系統上的其它駭客足跡，例如AnyDesk，否則駭客將能很輕易地再利用AnyDesk載入各式的惡意程式並重新展開攻擊。</p> <p>迄今AvosLocker攻擊的範圍已橫跨美洲、中東及亞太地區，鎖定Windows及Linux作業系統，<a href="https://www.ithome.com.tw/news/147432" target="_blank">臺灣的技嘉科技也曾在10月淪為AvosLocker的受害者</a>。</p> </div></div></div>
2021/12/24 14:52作者陳曉莉https://www.ithome.com.tw/news/148579
挖礦軟體冒充蜘蛛人最新電影散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又屆新年假期，歐美許多大片紛紛上檔，但也成了資安陷阱。<a href="https://blog.reasonsecurity.com/2021/12/23/spider-miner-with-great-power-comes-great-problems/" target="_blank">安全廠商近日觀察到</a>有駭客假借蜘蛛人最新電影《蜘蛛人：無家日》散布Monero挖礦軟體。</p> <p>ReasonSecurity偵測到惡意執行檔，名為spiderman_net_putidomoi.torrent.exe，這字串是俄文「spiderman_no_wayhome.torrent.exe」翻譯而來，可能源自一個俄語影片交換網站。這執行檔安裝後會關閉Microsoft Defender偵測以維持潛伏，最後在用戶電腦植入Monero挖礦程式。</p> <p>Spiderman是以.Net撰寫，未獲得簽章，在揭露之前都沒有被上傳到Virus Total上，顯示未引發注意。原因之一是它下載的檔案使用知名且合法名稱，例如宣稱是由Google提供、植入檔名為sihost64.exe的檔案，並且注入svchost.exe（是Windows裡專門用來執行DLL程式的前導程式）。</p> <p>原因之二是它具有躲避偵測的手法。分析顯示，它在執行後，會立即建立排程作業名為services註冊機碼，以便每次用戶登入後執行。之後它砍掉真正的合法檔案，以建立2個冒充合法的sihost64.exe和svchost.exe檔案，其中sihost64.exe為watchdog行程，而svchost.exe即為挖礦軟體，藉由這些名稱躲過安全軟體偵測。同時它還在Microsoft Defender的例外清單加入以下類別，包括使用者設定檔下所有資料夾、系統磁碟（C:\\槽）及所有附檔名為.exe或.dll的檔案，以便躲過微軟防毒工具的偵測。</p> <p>研究人員還發現這隻程式具有躲避主要監控工具，包括Process Explorer、Process Hacker、Perfmon及工作管理員的能力。</p> <p>挖礦軟體冒充合法軟體，或是受歡迎內容散布的例子屢見不鮮。研究人員指出，雖然此類程式不見得有真正危害，但是它是幕後執行，也會造成過度耗電及佔用CPU頻寬，使電腦跑得很慢。</p> <p>研究人員建議用戶對來自非官方來源的內容要格外留心，不論是不明來源的郵件附檔、破解檔或BT網站下載的檔案。此外，研究人員也提醒，如果是影片，檔案附檔應為.mp4，而非.exe。為防惡意程式隱藏副檔名，在資料夾上方找到「檢視」選單，勾選「副檔名」即可顯示完整副檔名。</p> </div></div></div>
2021/12/24 12:22作者林妍溱https://www.ithome.com.tw/news/148573
年底新成立的SF-CERT揭露進度，將推動資安演練與應變協處
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，政府推動國家級資安戰略與資安聯防，8大關鍵基礎建設領域紛紛打造ISAC，以及CERT與二線SOC，在金融領域，除了金管會推動成立的F-ISAC，金管會轄下證券期貨相關機構在2021年初已開始籌畫「證券暨期貨市場電腦緊急應變支援小組」（Security and Future Computer Emergency Response Team，SF-CERT），在11月30日終於宣布成立，將從12月開始，辦理資安演練及訓練，2022年將全天候協助業者應變資安事件。</p> <p>基本上，金融領域面向多元，主要分為銀行業、證期業與保險業，不同領域將依照各自情況建立應變組織，原則上，應變組織的設置位置傾向越貼近業者越好，像是大型金融業者本身如有能力，本身就能建構自己的應變組織。以證期業的SF-CERT而言，背後由臺灣證券交易所、臺灣期貨交易所、財圖法人中華民國證券櫃檯買賣中心、台灣集中保管結算所，以及相關同業公會所共同合作維運。</p> <p>從目前SF-CERT規畫服務內容來看，他們的作為主要聚焦事前、事中的面向，協助提升業者資安體質，這是長期性的工作，事後也將檢討改善。</p> <p>以事前的部分而言，將提供資安事件應變處理參考指引，這部分是告訴業者如何應變常見類型的事件，包括網頁攻擊、非法入侵、惡意程式感染、設備異常，以及機敏性資料外洩，另外，也將提供日誌留存參考指引，讓業者可以有相關依循建議。同時，SF-CERT還將規畫資安演練與事件應變訓練，例如，針對全體證券期貨業者進行資安通報的演練，需在30分鐘內要有初步通報，而每年也將針對10多家業者，進行資安事件應變桌面演練，以及DDoS防護演練。另外，也會舉辦事件應變的教育訓練。</p> <p>具體而言，DDoS防護演練之前已經在進行，因為國內在2017年曾有多達13家券商集體遭DDoS攻擊勒索的事件，而在SF-CERT成立後，負責辦理該演練的同時，也新推動另三項演練，其中資安通報演練一項，是屬於全體證券期貨業者都要參與，並是目前最要求的部分，演練內容將涵蓋30分鐘內知悉事件的初步通報，查明事件後的正式通報，以及事件處理完成的解除通報。</p> <p>而資安事件應變桌面演練，以及電子郵件社交工程演練，每年僅針對部分業者實施，其中電子郵件社交工程演練一項僅針對實收資本額未達40億的第四級證券商、期貨商與投信顧業者，對此，SF-CERT表示，主要考量大型業者本身即有能力，因此SF-CERT會將資源放在中小型業者。</p> <p>在事中的面向，基本上，在2018年底，國內已建立證券期貨市場資通安全通報系統，而SF-CERT也將提供事中應變方面的支援，一旦資安事件發生，將提供協助與顧問諮詢，協助加速現場事件應變與鑑識調查，並分享產業攻擊資訊，研擬產業對應策略、協調外部資源，以及擔任事件回應管道。較特別的是，在協助加速現場事件應變與鑑識調查一項，SF-CERT表示，這是透過預先談定的事件鑑識合約，讓業者一旦發生事件能及時啟用服務，節省一些作業流程的時間。</p> <p>至於事後方面，SF-CERT也將針對上述參考指引進型檢討修訂，並納入演練及教育訓練素材。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SF-CERT%E6%9C%8D%E5%8B%99%E9%9D%A2%E5%90%91%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>隨著SF-CERT在11月30日正式成立，從今年12月開始，將辦理資安演練及訓練，其中資安演練項目將有4種類型，除了之前已有的DDoS防護演練，還將進行資安通報演練、資安事件應變桌面演練，以及電子郵件社交工程演練。</p> </blockquote> </div></div></div>
2021/12/24 12:16作者羅正漢https://www.ithome.com.tw/news/148555
Omicron來襲，多家大廠退出CES 2022實體展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2021/12/23/google-cancels-ces-show-presence-amid-omicron-concerns/" target="_blank">Techcruch</a>、<a href="https://www.theverge.com/2021/12/21/22849223/ces-2022-t-mobile-bailed-keynote-meta-pinterest-twitter-iheart" target="_blank">The Verge</a>等多家媒體報導，Omicron變種病毒肆虐引發最新一波COVID-19疫情，多家大廠包括Google、聯想、英特爾等已經宣布退出明年1月初於拉斯維加斯舉行的消費電子大展（consumer electronics show, CES）。</p> <p>就在COVID-19自2020年初爆發將近二年、疫苗問世後，人際活動都逐漸回復之際，新變種Omicron近日又在歐美地區擴大感染，引發矽谷廠商疑慮。Google周四表示，經過審慎評估，公司退出CES是對團隊健康和安全最好的決定，並將和主辦單位合作虛擬活動。<a href="https://twitter.com/lenovonews/status/1473824084018360321" target="_blank">聯想</a>也表示嚴密觀察後，為了員工、客戶及合作夥伴的健康，將停止在拉斯維加斯一切實體活動。<a href="https://techcrunch.com/2021/12/23/intel-becomes-the-latest-company-to-back-away-from-an-in-person-ces/" target="_blank">英特爾也在昨天表示</a>在諮詢醫療主管機關後，決定將CES參展內容轉為數位化。</p> <p>在此之前，已經有Alphabet下的Waymo、AT&T、T-Mobile、Meta、Amazon、Twitter、Tiktok、Nvidia等公司宣布，不會前往1月5日的CES 2022布展及參展。</p> <p>此外，因應疫情轉趨嚴重，<a href="https://www.techradar.com/news/omicron-causes-amazon-nvidia-and-others-to-drop-plans-to-attend-ces-2022" target="_blank">媒體報導</a>，美國科技媒體包括TechRadar、The Verge、CNET、Engadget、TechCrunch、Gizmodo等媒體，也不會派記者前往CES 2022現場採訪。</p> <p>CES 2022預訂1月5日到1月8日在拉斯維加斯舉行。目前主辦單位仍表示實體活動會照常舉行。不過根據CES 2011的經驗，主辦單位最後一刻取消也不令人意外。</p> <p>受新一波疫情影響，繼上周關閉三家Apple Store及恢復入店戴口罩規定後，<a href="https://www.theverge.com/2021/12/22/22850946/apple-store-covid-two-hour-free-shipping-option" target="_blank">蘋果本周又再關閉</a>美國、加拿大共7家門市營運。</p> </div></div></div>
2021/12/24 10:27作者林妍溱https://www.ithome.com.tw/news/148569
英特爾發布最新oneAPI 2022工具包，加入更多跨基礎架構開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發布了最新<a href="https://www.businesswire.com/news/home/20211222005124/en/Intel-Empowers-Developers-with-oneAPI-2022-Toolkits">oneAPI工具包2022版本</a>，在這個新版本中，英特爾擴展了oneAPI跨基礎架構的功能，提供開發人員更多公用工具，以及許多用來加速運算的架構選擇。這個版本的亮點在於，oneAPI軟體工程團隊，進行了超過900項的技術改進，目標是要加快CPU和GPU應用程式的開發時間和效能。</p> <p>oneAPI工具包中，包含了編譯器、效能函式庫、框架和各種分析除錯工具，供開發者用來建置、分析和最佳化，運作在CPU和GPU之上的高效能跨基礎架構應用程式。oneAPI跨基礎架構的開發模型，提供開發者一些工具，以加快建構跨架構應用程式。</p> <p>不少開發人員面臨的困境，在於需要針對具有不只一種類型的處理器、處理器核心和協同處理器的異構系統開發系統，而oneAPI能夠跨CPU、GPU、FPGA和其他加速器的異構結構，推動跨架構運算創新，開發這些硬體程式所需要的軟體，都包含在oneAPI完整解決方案中，開發人員可以自由地根據硬體選擇最佳解決方案，不需承擔專有程式開發模型的經濟和技術負擔。</p> <p>而在2022新版本中，oneAPI加入第一個使用通用LLVM後端，針對CPU和GPU實作的C++、SYCL和Fortran統一編譯器，並可在CPU和GPU上平行運算加速Python程式運算，而且英特爾還提供DPC++相容性工具，能夠自動搬遷90％到95％的CUDA程式碼到SYCL/DPC++。</p> <p>oneAPI工具包經過最佳化，支援最新和即將推出的硬體新功能，包括採用AVX-VNNI的第12代英特爾酷睿處理器，以及代號為Sapphire Rapids，搭載英特爾高階矩陣擴充的至強可擴展處理器，還有即將推出的資料中心GPU等。</p> <p>英特爾也在人工智慧效能改進下功夫，2022版本oneAPI工具包加入由英特爾最佳化的TensorFlow和PyTorch，能夠提升深度學習框架效能達10倍，新的Scikit-learn英特爾擴充也能在英特爾CPU上，加速機器學習演算法，提升速度到開源版本的100倍以上。</p> <p>oneAPI工具包的用戶也能使用到許多高效率開發工具，像是CPU和加速器的效能分析工具，以及高級射線追蹤技術等。另外，oneAPI還擴充支援開發環境，包括更深入整合VS Code，新增支援Visual Studio 2022，以及支援在Windows上的Linux開發環境WSL2。</p> </div></div></div>
2021/12/24 09:28作者李建興https://www.ithome.com.tw/news/148564
Visual Studio回饋功能升級，舊版本將不再能提交意見回饋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/were-upgrading-visual-studios-feedback/">微軟宣布</a>舊版本的Visual Studio將不相容於新的回饋功能，開發者需要使用16.7以上，或是2021年4月之後的LTSC（Long Term Servicing Channel）版本。</p> <p>官方提到，新的系統會使他們的工程團隊，更容易追蹤、組織和轉移維修票券。而更新系統的目的，是希望在未來用戶和Visual Studio工程團隊能維持更好的溝通管道，並提高對問題的回應能力，最終提供更好的用戶體驗。</p> <p>但採用新系統需要付出代價，搬遷到新系統後，有部分版本不再能夠提交回饋訊息，包括15.9.0-15.9.34、16.4.0-16.4.20和16.5.0-16.6.X，微軟表示，新系統提供的能力和可擴展性更高，他們認爲這是產品發展的正確方向。</p> </div></div></div>
2021/12/24 09:31作者李建興https://www.ithome.com.tw/news/148565
微軟將Graph Bookings API從測試版移動至正式版端點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布將其線上預約服務<a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">Microsoft Bookings API集，從測試端點搬遷到v1</a><a href="http://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">正式版</a><a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">端點</a>，不過，測試端點仍會繼續運作，官方提到，他們會在測試端點中提供核心功能，以及最近推出的新功能。</p> <p>微軟Bookings服務提供企業，簡單地在線上和行動應用程式中提供預約服務，像是美髮沙龍、事務所和汽車維修等企業組織，都可以利用Bookings服務來管理預定，更有效的運用時間資源。</p> <p>而微軟近期整合Microsoft Graph和Microsoft Bookings服務，目的是要簡化預約手續，如此企業便不會錯過其客戶的預定，客戶可以隨時在預定頁面、商業網站或是臉書上，查看可用的服務和預約。企業可以在網頁、行動應用程式，甚至是電話中提供預約服務，並且還能夠重新預定、取消和重分配給其他工作人員。</p> <p>企業同時還能減少其客戶放鳥的機會，在預定政策中，制定預約和取消的限制，並且執行自動確認和提醒，而且藉由使用相同的Microsoft Graph REST端點，企業可以存取Bookings API，並且與Microsoft 365整合，以支援更多元的用例。Microsoft Graph是一個資料和情報入口網站，可以提供統一的程式開發模型，供使用者存取Microsoft 365中大量的資料。</p> <p>Graph Bookings API中的bookingBusiness將會從測試端點搬遷到新的v1端點，bookingBusiness是Bookings服務其他資源的父實體，在這次更新中，除了Microsoft Graph端點，bookingBusiness底下的資源類型功能都沒有變更，不過，bookingService和bookingStaffMember的資源類型端點則皆有變更。</p> </div></div></div>
2021/12/24 09:42作者李建興https://www.ithome.com.tw/news/148567
MongoDB兩年內向AWS挖走了8名高階主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2021-12-21/mongodb-poaches-top-amazon-executives-to-compete-with-aws" target="_blank">根據《彭博社》的報導</a>，打造同名開源資料庫的MongoDB Inc這兩年來、已向Amazon Web Services（AWS）挖角了8名高階主管，包括現有的技術長Mark Porter、負責開發者關係的副總裁 Ian Massingham，或是全球合作夥伴負責人Matt Asay，全都是來自AWS，不過，AWS似乎不以為忤。</p> <p>Porter先前為AWS關聯性資料庫業務的總經理，Massingham曾是AWS新創解決方案架構的總監，Asay則曾負責AWS的開發者行銷，他們全都轉戰到MongoDB負責類似的業務。</p> <p>不過，雙方似乎並未因此而破壞關係。AWS向《彭博社》表示，該公司與MongoDB為密切的合作夥伴，協助共有的客戶進行雲端部署，每一個職業的決定都是個人的，很開心看到AWS的客戶與合作夥伴能夠繼續得到AWS前員工的幫助；員工可能會因為個人或專業因素離開AWS，但也有不少人之後會再回到AWS。</p> <p>MongoDB Inc既是AWS的客戶，也是AWS的競爭對手。其MongoDB Atlas服務是由AWS、Google Cloud Platform、Microsoft Azure或其它雲端平臺代管，但非關聯式資料庫與這些公有雲平臺上相關產品亦屬競爭關係。</p> <p>其實IT產業的挖角時有所聞，但通常不怎麼愉快，例如<a href="https://www.ithome.com.tw/news/138136" target="_blank">Amazon去年就曾控告</a>跳槽到Google Cloud的前任副總裁Brian Hall違反競業禁止條款；而且據傳SpaceX創辦人馬斯克（Elon Musk）在2019年，於一篇Amazon衛星公司Kuiper Systems計畫發射大量通訊衛星的新聞底下留言，稱Amazon創辦人Jeff Bezos為很愛模仿人的「複製貓」（Copy Cat），是由於不滿Kuiper Systems挖走了SpaceX負責Starlink計畫的副總裁Rajeev Badyal，因而出言不遜。</p> <p><a href="https://www.growthbusiness.co.uk/google-microsoft-13-tech-companies-poach-employees-2549509/" target="_blank">獵人頭業者Talentful曾在2017年公布一項研究報告</a>，顯示包括Google、微軟、Amazon、蘋果及IBM等美國五大科技業者經常彼此挖角，例如Google向微軟挖角的員工人數超過4,000名，微軟也向Google挖角近千名員工，蘋果與微軟之間亦經常有員工的流動。</p> </div></div></div>
2021/12/24 09:04作者陳曉莉https://www.ithome.com.tw/news/148568
Azure App服務NotLegit漏洞恐導致用戶程式碼儲存庫暴露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安服務Wiz的研究團隊，發現了一個在Azure App服務中不安全的預設行為，當用戶使用本地端Git（Local Git）選項部署應用程式時，Azure App服務將會暴露以PHP、Python、Ruby或Node編寫的應用程式原始碼，這個被稱為<a href="https://www.wiz.io/blog/azure-app-service-source-code-leak">NotLegit</a>的漏洞，從2017年9月就已經存在，研究團隊提到，這個漏洞很可能已經被開採利用了。</p> <p>Azure App服務是一個雲端運算平臺，能夠用來託管網站和網頁應用程式，由於使用起來非常方便，因此受開發者歡迎，開發人員選擇受支援的程式語言和作業系統後，便可以利用FTP、SSH或從Git服務拉取程式碼，來部署應用程式或是構件。經部署後，網際網路使用者都可以使用*.azurewebsites.net網域存取該程式。</p> <p>而本地端Git是Azure所支援，將程式碼和構件部署到Azure App服務的一種方法，使用本地端Git，用戶可以在Azure App服務容器中，創建一個本地端Git儲存庫，並且直接將程式碼推送到伺服器中。</p> <p>在最佳實務中，當開發者將Git儲存庫部署到網頁伺服器和儲存桶中時，要確保沒有上傳.git資料夾，因為.git資料夾包含原始碼、開發人員電子郵件和其他敏感資料，而當用戶使用本地端Git方式部署到Azure App服務時，git儲存庫將位於/home/site/wwwroot，也就是可供任何人存取的公開目錄。</p> <p>研究團隊提到，微軟會在公開目錄中的.git資料夾，添加一個web.config檔案，來限制公開目錄中的.git資料夾被存取，但是只有微軟的IIS網頁伺服器會處理web.config檔案，當用戶C#或ASP.NET這些使用IIS部署的應用程式，都會被妥善的保護。</p> <p>但問題在於PHP、Ruby、Python或Node開發的應用程式，由於這些程式語言部署在Apache、Nginx和Flask等不同的網頁伺服器，這些伺服器不處理web.config檔案，因此.git資料夾裡的資料便會暴露在外，惡意攻擊只要從應用程式中擷取/.git資料夾，就可以直接存取程式碼。</p> <p>有趣的是，研究團隊發現web.config檔案有一個小錯誤，配置標籤沒有被正確關閉，因此其實IIS也無法正確解析該文件，但由於拼寫錯誤，也阻擋了整個目錄被存取，因此誤打誤撞，web.config檔案還是發揮了阻擋存取的功能。</p> <p>微軟在之後，又發現了使用其他Git部署工具，也可能造成程式碼暴露的問題，當任何Git部署之前，Azure App服務容器曾創建或修改檔案，該服務會進入就地部署狀態，這將會強制未來Git部署都會存在於可公開存取的目錄中。</p> <p>具體來說，受NotLegit影響的用例，包括在2017年9月以來，使用Azure App服務中預設在應用程式，使用本地端Git部署的PHP、Node、Ruby和Python應用程式，以及在2017年9月以來，在應用程式容器中創建和修改文件後，使用任何Git來源部署到Azure App服務中的所有PHP、Node、Ruby和Python應用程式。</p> <p>這個漏洞可能已經被廣泛地利用，研究團隊為了要評估該漏洞的嚴重性，特別部署了一個易受攻擊的Azure App服務應用程式，並將其連接到未被使用的網域，觀察是否有攻擊者試圖存取.git檔案，而就在部署4天後，有未知的人士對.git資料夾進行多次請求。目前微軟已經修復該漏洞，並且在12月7日發送電子郵件通知易受攻擊的用戶。</p> </div></div></div>
2021/12/24 09:15作者李建興https://www.ithome.com.tw/news/148563
金管會開放3類型金融機構間可資料共享，未來更計畫開放非金融機構共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升金融機構客戶便利性、強化金融機構風險控管，以及促進金融機構間跨業合作，金管會今天（12/23）發布金融機構間資料共享指引，即日起正式實施。</p> <p>金管會今年初展開金融機構間資料共享適法性的討論，4月底擬定具體版本，參考了新加坡與澳洲的規定，訂出這份金融機構間資料共享指引。這也是金融科技發展路徑圖中在資料共享政策上，重要推動的措施之一。</p> <p>金管會副主委邱淑貞表示，該指引重視全市場的發展，適用對象共區分為3類型，第一類是金控公司與旗下金融機構子公司間，比如，A金控與旗下銀、保、證子公司的資料共享；第二類是非金控公司的金融集團與旗下金融機構子公司間，比如B證券金融集團與旗下投顧、期貨子公司的資料共享；除了以上兩類以外，不同金融機構間相互資料共享，則屬於第三類型的適用對象，像是A金控旗下銀行子公司與B證券集團旗下投顧子公司，或者C銀行與D產險公司間的資料共享。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0075.JPG" /></p> <p>金管會綜合規劃處處長胡則華表示，資料共享的態樣上，共分為2項資料共享目的與適用機構。第一項資料共享目的是，辨識風險或進行風險控管。僅有第一類與第二類金融機構可執行，取得客戶同意的前提下，可由金控公司或控股的金融機構統籌建置資料庫、管理資料共享，且能指定旗下金融機構子公司建置資料庫。</p> <p>另一項資料共享目的是，減少客戶重複輸入資料等便利客戶作業，或者金融機構間合作辦理業務。包括第一類、第二類、第三類金融機構都能辦理，在取得客戶同意下，各金融機構間皆可採簽訂合約方式，建立業務合作關係來共享資料。</p> <p>邱淑貞表示，可共享的資料範圍包括客戶基本資料、身分核驗資料、帳戶資料、金融商品或服務的交易記錄、負面資訊、認識客戶（KYC）資料及金融機構加值過後的資料、電子通訊歷程記錄如IP位址，或其他經客戶與合作金融機構同意共享的資料。</p> <p>邱淑貞進一步舉例，加值過的資料比如金融機構風險等級分析，當一家金融機構判斷客戶風險屬性時，能再加上另一家合作金融機構的參考資料，對客戶的了解能更加清楚，可減少重新從基礎資料調查分析所花的時間。此外，依照不同的交易內容，金融機構間傳輸的資料也會不一樣，金管會規定，金融機構間資料共享採取客戶逐次同意，客戶更可就不同資料來選擇是否共享。</p> <p>胡則華表示，金融機構間的資料共享，若屬於現行金融法規沒有明確規定或沒有限制的範圍，金融機構需完備內控規範，並依該指引、個人資料保護法來辦理資料共享，同時，得對外揭露隱私權政策。此外，金融機構在進行資料共享時，必須事先取得客戶同意、落實客戶權益保障、確保個人資料保護、確保資料傳輸安全，並訂定妥適的內部管理政策。</p> <p>在資料共享案件的申請原則上，胡則華提到，金管會重視金融機構內控制度及落實執行，所以，辦理資料共享不需要特別向金管會申請核准。不過，因為證券期貨業以往較缺乏與其他金融機構間共享客戶資料的依據與應用，所以，針對第三類金融機構間資料共享，將對證券期貨業採取首案申請核准制。</p> <p>邱淑貞透露，開放金融機構間的資料共享只是第一階段，未來建立起信任的基礎後，在第二階段，規畫開放金融集團下的非金融機構也能資料共享，甚至，第三階段有可能開放非集團金融機構與非金融機構之間資料共享，將依序往前推進。</p> <p>至於金融機構間資料共享如何確保個資保護水準一致，胡則華表示，金融機構彼此合作簽約前，需要了解雙方的內控機制、資安水準是否完備，因為發生資安事件時雙方都得承擔一定的責任，所以，在合作前得審慎考量彼此是否為可信任的金融機構。文⊙李靜宜</p> </div></div></div>
2021/12/23 21:22作者李靜宜https://www.ithome.com.tw/news/148566
Twitter創辦人與馬斯克點燃Web3戰火
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Web3近來成為與元宇宙（Metaverse）不相上下的網路關鍵字，它指的是基於區塊鏈技術的去中心化網路，讓使用者握有更多的網路主導權，而非由少數企業掌控，然而，同樣擁抱比特幣（Bitcoin）的Twitter創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk），卻於近日相繼質疑Web3，點燃了與Web3支持者之間的戰火。</p> <p>Web 1.0指的是全球網路尚處靜態供應資訊的階段，Web 2.0則為由使用者創造網路內容且加強互動的階段，Web 3.0原本指的是語意網（Semantic Web），利用元資料更清楚定義資訊內容，以理解人類查詢的脈絡，Web3有時也會被稱為Web 3.0，不過它的定義更明確，指的是去中心化的網路，也是目前全球網路的主要趨勢之一。</p> <p>Web3的支持者相信此一新架構、將允許使用者逃離諸如Google或Meta等大型企業的掌控，大型企業無法再持有或銷售使用者資料，不會再向使用者展示廣告，政府也無從再監視民眾，使用者得以控制自己的資料、控制自己在網路上想從事的事物，還能藉此賺錢。</p> <p>然而，<a href="https://twitter.com/jack/status/1473139010197508098" target="_blank">Dorsey在21日表示</a>，人們並不擁有Web3，真正擁有Web3的是創投（VC）與負責出錢的有限合夥人（LP），Web3永遠無法脫離它們的動機，終究仍會只是一個具有不同標籤的中心化實體，也依然能夠知道網路使用者的行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-Dorsey%20web3.jpg" style="width: 555px;" /></p> <p>而<a href="https://twitter.com/elonmusk/status/1473165434518224896" target="_blank">馬斯克也在同一天貼文</a>「有人見過Web3嗎？我找不到」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-elon%20musk%20web3.png" style="width: 424px;" /></p> <p>Dorsey等於是在詔告天下，那些推廣Web3，並說分散式網路將能帶給使用者更多網路控制權的宣傳都是謊言，所謂的新一代網路只是將控制權由大型企業的手上轉交給VC/LP而已。至於Musk的態度則顯示，迄今Web3仍處於「只聞樓梯響，不見人下來」的概念性階段。</p> <p>Dorsey的發文引來了大量的討論，且反對多於贊同。數位時代的創業家、擔任過美國最大加密貨幣交易平臺Coinbase技術長，也曾擔任a16z創投普通合夥人的Balaji Srinivasan很快就跳出來反對Dorsey，他舉Twitter為例，指出雖然該平臺最初是個主張言論自由的溝通管道，但之後其企業化與政治動機導致了去平臺化與審查，Web3雖然不能保證，但至少提供了讓網路變得更好的可能性。</p> <p><a href="https://www.theverge.com/2021/12/21/22848162/jack-dorsey-web3-criticism-a16z-ownership-venture-capital-twitter" target="_blank">《The Verge》分析了Dorsey的說法</a>，指出這是因為VC/LP針對全球的區塊鏈或加密貨幣業者投入了大量的資金，當這些新創未來成了氣候，那麼就等於是VC/LP控制了Web3。</p> <p>而22日Dorsey再說，有問題的是VC，不是大眾，結果23日Dorsey就被投資大量區塊鏈新創的<a href="https://twitter.com/jack/status/1473725424387694601" target="_blank">a16z創辦人Marc Andreessen給封鎖</a>了。</p> <p>由於Andreessen並未公開提及此事，外界則揣測是Dorsey在馬斯克「有人見過Web3嗎？我找不到」貼文中以「It’s somewhere between a and z」回應，暗指a16z，且Dorsey對Web3的態度也可能影響a16z於相關領域的投資，直接惹毛了Andreessen。</p> </div></div></div>
2021/12/23 17:02作者陳曉莉https://www.ithome.com.tw/news/148558
【資安日報】2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4Shell漏洞仍是今日新聞的焦點，但最引起關注的事件，並非是攻擊態勢的變化，而是政府介入漏洞通報的現象。最早發現漏洞的阿里巴巴因為沒有優先向中國政府通報，而傳出被中國工業和信息化部（工信部）處罰，中止威脅情資合作夥伴的身分半年。在此之前，中國已經明目張膽立法要求當地業者，對於自家產品漏洞必須先通報政府，但這起事件代表了他們打算進一步掌握所有中國研究員發現的漏洞。</p> <p>而這起事件所帶來的隱憂，是中國政府拿到這些漏洞資訊後，很可能會轉手交給他們資助的駭客，用於攻擊敵對國家，而這樣的顧慮，勢必影響該國與其他國家之間的資安研究交流。此外，中國政府藉由立法和對通報者施壓的做法，脅迫資安人員把發現的漏洞交給政府，會不會有其他國家跟進，影響漏洞資訊的流通？這些都是日後值得觀察的重點。</p> <p>而在Log4Shell的威脅態勢之外，微軟協作平臺Teams的數項漏洞也相當值得關注，因為這些漏洞影響廣大的個人電腦和安卓手機用戶，有可能洩露IP位址或是被用於發送詐騙URL攻擊。但目前為止，微軟只修補部分漏洞，使得研究人員呼籲用戶要小心防範。</p> <p>另一個也相當值得留意的漏洞，存在於部分交易所加密貨幣錢包會用到的「幣安閾值簽章程式庫（tss-lib）」，由於這樣的漏洞涉及密鑰保護機制「Shamir的秘密共享（Shamir's Secret Sharing，SSS）」，研究人員也特別發布ZKDocs技術文件，讓其他資安人員也能投入相關研究。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.securityweek.com/chinese-government-punishes-alibaba-not-telling-it-first-about-log4shell-flaw-report"><span style="color: rgb(0, 0, 0);">阿里巴巴因未先通報中國政府Log4Shell漏洞，遭到當局處罰</span></a></strong></h4> <p>引發全球關注的Log4Shell漏洞CVE-2021-44228，最初由阿里巴巴於11月底向Apache基金會通報，並於12月9日公布細節，但最近卻傳出該公司因為沒有先向中國政府通報而遭到處罰。根據南華早報於12月22日的報導指出，中國工業和信息化部（工信部）將暫停阿里雲的網路安全威脅情報夥伴身分6個月，理由是該公司在發現Log4Shell漏洞後，沒有立即向電信主管部門報告，而未盡協助工信部的責任。裁罰期滿後，將根據阿里雲改善的情況恢復合作夥伴身分。此舉恐衝擊阿里雲的業務，且難以評估具體損失的情形。</p> <p>南華早報指出，中國今年的確通過一項法案，要求當地業者對於自家產品的漏洞，必須第一個讓中國政府知悉，但對於其他軟體的漏洞，該法則沒有強制要求，此舉將影響中國資安界的漏洞通報機制。</p> <h4><strong><a href="https://www.govinfosecurity.com/cisa-international-partners-advise-all-orgs-to-patch-log4j-a-18183"><span style="color: rgb(0, 0, 0);">五眼聯盟共同對Log4Shell漏洞提出警告</span></a></strong></h4> <p>美國網路安全和基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國國家安全局（NSA）、澳洲網路安全中心（ACSC）、加拿大網絡安全中心（CCCS）、紐西蘭電腦應急響應小組（CERT NZ）、紐西蘭國家網絡安全中心（NZ NCSC）、英國國家網路安全中心（NCSC-UK）於12月22日，聯合發出Apache Log4j漏洞的網路安全咨詢指南，指出攻擊者正在積極利用Log4Shell漏洞，用戶應儘速清點存在漏洞的Log4j，並採取緩解措施。</p> <h4><a href="https://thehackernews.com/2021/12/new-exploit-lets-malware-attackers.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Formbook繞過已修補MSHTML漏洞發動攻擊</strong></span></a></h4> <p>資安業者Sophos發現，微軟於9月修補的MSHTML重大漏洞CVE-2021-40444，在10月24日至25日，有攻擊者改造了概念性驗證工具CAB-less 40444，並繞過修補程式發動攻擊36個小時，過程中利用格式錯誤的RAR附件，發動釣魚郵件攻擊，這個附件內含程式碼和Word文件，一旦受害者開啟文件，就會連線託管惡意JavaScript程式碼的伺服器，下載惡意軟體Formbook。但為何攻擊行動只持續36個小時？研究人員指出，原因和這個RAR附件只能透過新版WinrRAR開啟，而無法對舊版軟體用戶發動攻擊。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cisa-releases-apache-log4j-scanner-to-find-vulnerable-apps/"><span style="color: rgb(0, 0, 0);">美國政府推出Log4Shell自動掃描框架</span></a></strong></h4> <p>針對可能受到Log4Shell漏洞影響的應用程式，美國網路安全暨基礎架構安全局於12月22日發布Log4j-scanner漏洞掃描框架，這項工具以資安業者FullHunt開發的工具為基礎製作，能檢查網路應用程式中，存在CVE-2021-44228與CVE-2021-45046漏洞的弱點，並能模糊測試超過60種HTTP請求標頭，以及HTTP POST資料參數、JSON資料參數等，且能掃描是否有惡意酬載繞過網頁應用程式防火牆（WAF）的能力。</p> <h4><strong><a href="https://portswigger.net/daily-swig/multiple-vulnerabilities-in-microsoft-teams-could-spoof-urls-leak-ip-addresses"><span style="color: rgb(0, 0, 0);">協作平臺Teams的漏洞恐洩露用戶IP位址，或被用於詐騙連結攻擊協作平臺</span></a></strong></h4> <p>資安業者Positive Security揭露4個微軟協作平臺Teams的漏洞，這些漏洞影響個人電腦及安卓行動裝置用戶，其中，存在於電腦版應用程式的漏洞，攻擊者可用於伺服器端偽造請求（SSRF）攻擊、URL預覽的欺騙攻擊；而安卓App的漏洞，可能會洩露使用者的IP位址，或是被攻擊者用來發動阻斷服務（DoS）攻擊。研究人員指出，目前微軟只修補了IP位址外洩的漏洞，但他們認為針對安卓裝置的DoS攻擊恐怕難以防範。</p> <h4><strong><a href="https://securityboulevard.com/2021/12/disclosing-shamirs-secret-sharing-vulnerabilities-and-announcing-zkdocs/"><span style="color: rgb(0, 0, 0);">加密貨幣錢包簽章程式庫漏洞恐洩露金鑰</span></a></strong></h4> <p>資安業者Trail of Bits揭露加密貨幣錢包簽章程式庫的漏洞，影響幣安閾值簽章程式庫（tss-lib），幣安、Clover Network、Keep Network等6個加密貨幣交易平臺受到影響。攻擊者一旦利用這種漏洞，只要在密錀產生或重新共享的協議開頭，配置惡意ID，就有可能竊取他人的密錀，或是導致節點無法使用。研究人員通報後，多數交易平臺已修補上述漏洞。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/microsoft-azure-app-service-flaw-exposed-customer-source-code/"><span style="color: rgb(0, 0, 0);">微軟應用程式代管服務驚傳洩露客戶原始碼的弱點</span></a></strong></h4> <p>網站安全業者Wiz揭露應用程式代管服務Azure App Service的漏洞NotLegit，這項漏洞曝露部署於Azure的內部Git管理程式碼系統，波及以PHP、Python、Ruby、Node編寫的應用程式。研究人員指出，這項漏洞從2017年9月存在至今，可能已遭到利用，他們於今年10月7日通報微軟，漏洞已修補，微軟也在12月7日開始，向用戶發出資安通告來說明此漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hack-dhs-bug-bounty-program-expands-to-log4j-security-flaws/"><span style="color: rgb(0, 0, 0);">美國國防部漏洞懸賞計畫擴及Log4Shell漏洞</span></a></strong></h4> <p>美國國防部日前宣布Hack DHS漏洞懸賞計畫，召集資安人員來找出該單位的漏洞，最近因應Log4Shell威脅，宣布要將該漏洞納入懸賞範圍。該單位表示，他們在美國網路安全暨基礎架構安全局（CISA）發布緊急命令後，決定擴大Hack DHS的適用範圍，來因應這些以遭利用的Log4j漏洞。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> </div></div></div>
2021/12/23 14:23作者周峻佑https://www.ithome.com.tw/news/148544
美國正式針對特斯拉允許駕駛玩遊戲一事展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《紐約時報》（The New York Times）、《彭博社》（Bloomberg）與《路透社》（Reuters）<a href="https://www.ithome.com.tw/news/148271" target="_blank">三大媒體在12月初揭露特斯拉允許駕駛在行進間玩遊戲一事</a>，已經引起美國國家公路交通安全管理局（National Highway Traffic Safety Administration，NHTSA）的注意，<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/23120234/INOA_PE21023_9605.PDF" target="_blank">NHTSA下轄的缺陷調查辦公室（Office of Defects Investigation，ODI）已於21日正式對此展開調查</a>。</p> <p>ODI調查的對象是2017年到2022年出廠的、配備乘客遊玩（Passenger Play）功能的Model 3、Model S、Model X與Model Y，估計涉及58萬輛特斯拉電動車。</p> <p>ODI表示，該辦公室正式對特斯拉駕駛在行進間能夠玩遊戲的功能展開初步評估，目前只收到一位車主的描述，也確定該功能自2020年12月就出現在具備Passenger Play功能的車輛上了，在這之前，駕駛只能在停車時才能執行遊戲功能。</p> <p>由於若允許駕駛在行進間玩遊戲，可能造成駕駛分心進而導致車禍，讓ODI決定評估該功能的各個面向，包括駕駛使用Passenger Play的頻率與場景。</p> <p>事實上，就在媒體踢爆特斯拉讓駕駛玩遊戲的過幾天，<a href="https://static.nhtsa.gov/odi/rcl/2021/RCAK-21V931-9501.pdf" target="_blank">賓士（Mercedes-Benz）就因類似問題召回了227輛汽車</a>，只要特定車款的車主登入了Mercedes me connect功能，其資訊娛樂系統就可在行進間顯示電視及網路功能，但這原本是不被允許的。</p> <p>由於這只是賓士伺服器端的配置錯誤，因此所謂的召回並不需要車主回到原廠，僅需由賓士更新後端伺服器即可。然而，有了此一案例，外界推測NHTSA應該不會輕易放過特斯拉，以免惹來雙重標準的爭議。</p> </div></div></div>
2021/12/23 14:31作者陳曉莉https://www.ithome.com.tw/news/148545
波音、空中巴士以飛安為由呼籲美國推遲5G部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/business/aerospace-defense/boeing-airbus-executives-urge-delay-5g-wireless-deployment-2021-12-21/" target="_blank">路透社報導</a>，兩大航太巨頭波音及空中巴士本周以5G可能影響飛航安全為由，要求美國政府推遲部署5G網路服務的時程。</p> <p>路透社取得波音執行長Dave Calhoun及空中巴士Jeffrey Knittel致美國運輸部長Pete Buttigieg的聯名信，籲其支持AT&T及Verizon部署C頻段（C-Band）5G服務的計畫由明年1月再延後。雙方執行長指出，5G干擾可能影響飛機安全操作，對飛航業負面影響極鉅。</p> <p>反對派相信，5G服務使用的3.7GHz C頻段無線電訊號，可能干擾飛機雷達高度計，尤其是在接近地面時，進而影響飛航安全。由於美國聯邦航空總署（FAA）對此提出疑慮，11月兩大電信商AT&T及Verizon延後開通C頻段的5G服務到2022年1月5日，並將美國46座機場其他重要地點附近的基地臺功率降低6個月。</p> <p>FAA雖然抱持疑慮，但認為飛安及5G部署可以兼顧。<a href="https://www.ainonline.com/aviation-news/general-aviation/2021-12-07/faa-issues-new-5g-interference-airworthiness-directives" target="_blank">12月初FAA再發布5G相關的適航指令</a>，要求在有5G訊號干擾的地區，直升機、旋翼航空器、民航機不得執行某些需使用雷達高度計的飛行作業，或需要其他輔助儀器。</p> <p><a href="https://www.theverge.com/2021/12/7/22822875/5g-faa-rule-c-band-landing-airport-bad-weather-visibility" target="_blank">FAA限制使用雷達高度計理由是</a>，5G訊號對雷達高度計的干擾將影響視線不佳時的降落。航空公司若能證明其使用的雷達高度計不受5G訊號影響，則不受限制。</p> <p>FAA的折衷作法讓航空業不滿。兩名CEO信中引用產業組織Airlines for America (A4A)的分析報告指出，如果2019年FAA的5G指令就生效的話，將會有34.5萬民航班次及5,400貨運班次可能延後、改道或取消。</p> <p>不過支持5G者如無線電產業CTIA（Cellular Telecommunications Industry Association）則稱航空業者是製造大眾恐慌、扭曲事實。<a href="https://www.5gandaviation.com/wp-content/uploads/2021/11/Fact-Sheet-International-Use-of-5G-in-C-Band.pdf" target="_blank">根據CITA公布的報告</a>，C頻段的5G無線訊號並不會影響飛安，有近40個國家使用C頻段提供5G服務。</p> </div></div></div>
2021/12/23 14:50作者林妍溱https://www.ithome.com.tw/news/148546
CISA釋出掃瞄Log4j漏洞工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應Apache Log4j重大風險漏洞，<a href="https://twitter.com/CISAgov/status/1473401212468932609" target="_blank">美國網路安全暨基礎架構管理署（CISA）昨日釋出掃瞄工具</a>，方便企業或政府IT人員掃瞄自家軟體。</p> <p><a href="https://github.com/cisagov/log4j-scanner" target="_blank">名為Log4j Scanner的工具已發布在GitHub上</a>，是由開源社群其他成員開發，旨在協助企業組織辨識可能受Log4j漏洞影響的Web服務。這個儲存庫可掃瞄CVE-2021-44228（Log4Shell）及CVE-2021-45046，兩者皆為遠端程式碼執行漏洞，CVSS 3.1風險值各為10.0及9.0。</p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa21-356a" target="_blank">美國政府機構CISA、FBI、國安局（NSA），以及五眼聯盟成員澳洲、紐西蘭、加拿大及英國網路安全主管機關昨（22）日發布聯合安全公</a>告，針對Log4j三項漏洞包括CVE-2021-44228 （Log4Shell）、CVE-2021-45046及CVE-2021-45105（DoS）提供緩解指引。公告指出，手法高明的網路威脅行動者已經積極掃瞄網路以伺機開採。目前CVE-2021-44228 和CVE-2021-45046已經有積極開採的行為。</p> <p>五眼聯盟國的安全指引建議企業及政府單位先找出受Log4j 多項漏洞影響的軟體產品，更新Log4j及受影響的軟體版本，再啟動尋找及部署事件回應措施來偵測是否有被開採的情形。</p> <p><a href="https://logging.apache.org/log4j/2.x/download.html" target="_blank">Apache軟體基金會已經釋出Log4j最新版本2.17.0</a>。</p> <p>各國政府對Log4j多項漏洞抱持高度警戒，尤其本周<a href="https://www.ithome.com.tw/news/148477" target="_blank">比利時國防部坦承遭不明人士開採網路系統漏洞</a>，致部份系統中斷服務數天。</p> <p><a href="https://www.cisa.gov/emergency-directive-22-02" target="_blank">CISA上周發布緊急指令</a>，要求美國聯邦行政部門在12月23日前，緩解對外連網系統的相關漏洞。</p> <p><a href="https://www.securityweek.com/cisa-says-no-federal-agencies-compromised-log4shell-attacks-date" target="_blank">CISA昨日對美國媒體指出</a>，尚未有證實對聯邦政府機關的成功入侵。</p> </div></div></div>
2021/12/23 11:20作者林妍溱https://www.ithome.com.tw/news/148543
Nvidia：BlueField-2破DPU效能測試世界紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2021/12/21/bluefield-dpu-world-record-performance/">Nvidia自家測試</a>使用2個BlueField-2資料處理單元，可以達到4,150萬的IOPS，這個數字是目前市面上任何DPU（Data Processing Unit）的4倍以上。這項測試使用標準網路協定和開源軟體，在BlueField-2 DPU上運作，而為了加快人工智慧和高效能計算應用，BlueField採用了熱門的RoCE網路傳輸協定，來達到更高的儲存效能。</p> <p>在測試中，Nvidia使用不同類型的儲存軟體函式庫，以及各種工作負載，來模擬真實世界的儲存裝置，BlueField達到4,150萬的IOPS是目前世界紀錄1,000萬IOPS的4倍，Nvidia還提到，前一個世界紀錄還是使用專用的儲存產品。</p> <p>在測試中，Nvidia連接2臺Hewlett Packard Enterprise Proliant DL380 Gen 10 Plus伺服器，其中一臺作為應用程式伺服器（儲存啟動器，Storage Initiator），另一臺作為儲存系統（儲存目標，Storage Target）。</p> <p>每臺伺服器都搭載時脈2.3GHz的英特爾Ice Lake Xeon Platinum 8380 CPU，總共可以提供160個超執行緒核心、512 GB的記憶體，還有120 MB的L3快取和PCIe Gen4匯流排。官方提到，由於要加速網路和NVMe-oF，每臺伺服器配置2張Nvidia BlueField-2 P系列DPU卡，每張卡上都有2個100 Gb乙太網路連接埠，因此在2臺伺服器間，就能有4個網路連接埠，並且有400 Gb/s的有線頻寬。</p> <p>作業系統使用RHEL 8.3，而儲存啟動器則使用SPDK、標準上游Linux核心以及適用於SPDK的FIO擴充套件3種儲存啟動器，I/O大小則以中小型儲存常見的大小，分別使用4 KB和512 B進行測試。這樣的硬體和軟體組合，除了創單一BlueField-2世界紀錄，達到4,150萬次的IOPS之外，官方還發現，使用較小的512B I/O大小進行測試，會獲得更高的IOPS但較低的吞吐量，而4KB I/O大小則獲得較高的吞吐量，但是更低的IOPS量。</p> <p>使用SPDK會產生比核心空間軟體更高的效能，但代價是更高的CPU使用率，Nvidia提到，這個現象在預期之內，因為SPDK在用戶空間以恆定輪詢的方式運作。而比較Linux核心的效能，官方表示，因為Linux社群持續改進儲存功能，因此5.15版本核心比4.18版本效能更好。</p> </div></div></div>
2021/12/23 09:29作者李建興https://www.ithome.com.tw/news/148531
微軟收購AT&T Xandr以強化廣告業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.ads.microsoft.com/en-us/blog/post/december-2021/microsoft-to-acquire-xandr-to-accelerate-its-digital-advertising-and-retail-media-solutions">微軟宣布</a>從AT&T手中收購廣告和分析部門Xandr。Xandr提供資料分析平臺與工具，使網路的第一方，能夠利用資料驅動的廣告解決方案，推動多元生態系，串連起行銷和媒體角色，不過，雙方都沒有透露任何交易的財務細節。</p> <p>微軟提到，在後Cookie世界，需要更尊重消費者隱私偏好，但仍要了解媒體和消費者間的關係，並幫助廣告主實現目標，因此他們選擇與微軟擁有共同願景，並且產品能夠互補的Xandr，來強化開放網路的能力。</p> <p>借助Xandr，微軟能夠將原本的受眾理解、相關技術以及全球廣告客戶群，和Xandr的大型資料驅動廣告平臺相結合，加快開放網路的數位廣告解決方案交付速度。在收購完成之後，微軟將會使用Xandr的跨螢幕，以第一方資料為中心的投放平臺Xandr Invest，來改進廣告效果，並且大規模取用第一方資料，以及結合Xandr Monetize和全漏斗行銷產品，強化媒體獲利能力。</p> <p>再加上微軟自家全球原生廣告投放解決方案Audience Network，能提高廣告效果和供應全球存取，而PromoteIQ則能強化零售媒體解決方案，並使行銷人員可以藉由開放網路，善用微軟客戶經驗平臺，接觸更多高價值潛在客戶，並且強化觸及和提高投資報酬率的能力。</p> </div></div></div>
2021/12/23 09:32作者李建興https://www.ithome.com.tw/news/148538
Ruby on Rails 7.0加入新的前端框架以及App層級加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過多年的策畫，最新的網頁應用程式開發框架<a href="https://rubyonrails.org/2021/12/15/Rails-7-fulfilling-a-vision">Ruby on Rails 7.0</a>，實現了真正全端網頁開發方法，官方提到，在數年前，這個全端願景是不可能實現的，因為Rails並沒有到位的核心技術，但是隨著瀏覽器對ES6/ESM的支援、HTTP/2廣泛採用以及更多的新標準，使得這項目標成為可能。</p> <p>Rails 7特別改進前端開發，其提供一種無Node的預設方法，在不犧牲對Npm套件和現代JavaScript存取的狀況下，使得前端開發更為方便。其所包含的網頁前端開發框架Hotwire，由Turbo和Stimulus組合而成，這提供了出色的開發體驗，此為用來取代Turbolinks和Rails UJS的Rails應用程式預設選項。</p> <p>Rails 7所加入的Hotwire，是由Ruby on Rails的創始人DHH（David Heinemeier Hansson）所創建的Basecamp，在2020年底的時候，所發布用來減少使用JavaScript，並且加速頁面載入的前端框架，其透過傳送HTML來達到快速載入頁面的效果。由於Hotwire不使用大量JavaScript，因此能加快載入初次存取的頁面，且透過伺服器渲染模板，開發者仍可以靈活地開發網頁程式，來提升生產力。</p> <p>另外，Webpack不再緊密捆綁Webpacker，開發者可以使用任意JavaScript打包器，像是esbuild、rollup.js甚至是Webpack，藉由新的jsbundling-rails整合，開發者可以隨心所欲使用熟悉的工具。在CSS打包工具也一樣，使用Rails 7時，只要開發者能夠良好編譯應用程式CSS檔案，便能夠順利整合在一起，無論是使用Tailwind CSS、Bootstrap還是PostCSS都沒問題。</p> <p>Rails 7.0預設了前端開發最佳選項，官方提到，不使用Node帶來更簡單的開發體驗，具有同樣強大的功能，但比起過去更輕巧更符合規範。</p> <p>除了前端開發大革新之外，取自Basecamp所開發的電子郵件應用Hey，Rails 7.0在Active Record中添加了加密屬性，因此開發者的應用程式在靜態和傳輸中，都能夠對資料進行加密，官方提到，加密帶來最直接的好處，是提供額外的安全保護，當資料庫遭到攻擊時，即便攻擊者取得資料庫、快照甚至是應用程式日誌，也無法理解其中的資訊，而且即便不考慮攻擊事件，檢查應用程式日誌時，也不應該暴露使用者個人資訊。</p> <p>而且透過使用Active Record加密功能，開發者可以在程式碼等級，定義應用程式中的敏感資訊組成，而這能夠控制存取這些資訊的方式，並且依此建構相關的服務。</p> </div></div></div>
2021/12/23 09:38作者李建興https://www.ithome.com.tw/news/148539
未獲即時通知Log4j漏洞，中國工信部暫停與阿里巴巴合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://m.21jingji.com/article/20211222/herald/8882565614ce981673c1d2b42c240417.html" target="_blank">中國媒體報導</a>，阿里巴巴旗下安全實驗室發現Log4j漏洞，先告知了Apache軟體基會卻未第一時間通報中國主管機關，遭中國工信部暫時與阿里雲合作6個月的處分。</p> <p>11月間，阿里巴巴安全研究室通報Apache Log4j 2.14.0以前版本，存在遠端程式碼執行（RCE）漏洞。該軟體擁有單位Apache軟體基金會<a href="https://www.ithome.com.tw/news/148332" target="_blank">於12月10日發布安全公告</a>以及2.15.0版本，以修補編號CVE-2021-44228的漏洞。</p> <p><a href="https://wap.miit.gov.cn/jgsj/waj/gzdt/art/2021/art_d0cd32999d9941209ba9358a2e62638c.html" target="_blank">中國工信部安全管理局於上周五發布公告</a>，工信部的網路安全威脅和漏洞信息共享平臺於12月9日收到網路安全專業機構報告，得知此一消息，於是召集阿里雲、資安廠商及資安專業機構研究，並稱其通報督促Apache基金會修補漏洞及發出風險預警。</p> <p>根據公告，該漏洞可能導致設備遠程受控，進而引發敏感資訊竊取、設備服務中斷等嚴重危害，屬高危險漏洞。工信部網路安全管理局也持續展開漏洞處置，防範網路安全漏洞風險。</p> <p>雖然中國政府已經較官方安全公告發布時間更早得知訊息，但顯然並不滿意。中國媒體報導，工信部認為，阿里雲作為工信部網路安全威脅訊息共享平臺的合作單位，在發現漏洞後卻未能及時向電信主管部門報告，未有效支持工信部推動網路安全威脅及漏洞管理的政策。工信部決定暫停和阿里雲參與該訊息共享平臺的合作6個月。之後根據阿里雲整改情況再研究是否恢復合作。</p> <p>中國今年9月1日上路的《網路產品安全漏洞管理規定》要求，網路產品供應商在發現漏洞後，必須在2天內向工信部網路安全威脅和漏洞信息共享平臺通報，且不得向供應商以外的境外組織及個人提供未公開的漏洞訊息。有些人擔心新法可讓中國政府提早得知消費或企業軟體的零時差漏洞，而得以發動攻擊。</p> <p>雖然確切損失尚難確定，但失去官方信任將可能影響阿里雲的業務前景。該消息發布時值美股早盤時段，<a href="https://tw.news.yahoo.com/%E9%98%BF%E9%87%8C%E9%9B%B2%E9%81%AD%E4%B8%AD%E5%9C%8B%E5%B7%A5%E4%BF%A1%E9%83%A8%E6%9A%AB%E5%81%9C%E5%90%88%E4%BD%9C-%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4adr%E6%8C%AB%E8%B7%8C-153041350.html" target="_blank">阿里巴巴ADR大跌4%</a>。</p> <p>而這也是阿里巴巴近來最新一起遭中國政府監管的例子。今年4月阿里巴巴集團在中國境內網路零售平臺市場、禁止平臺上的店家在其他平臺上開店或促銷，被中國市場監督管理總局裁罰183億人民幣。</p> </div></div></div>
2021/12/23 10:01作者林妍溱https://www.ithome.com.tw/news/148540
靠多年敏捷實踐加速IT現代化，金士頓下一步全面擁抱雲原生
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家跨國老牌記憶體模組大廠，在全球配置200多人的IT團隊，已經是個10年Scrum老團隊，但不像IT開發方法早早現代化，走向敏捷開發，這家公司過去所採用IT技術並未完全跟上，直到2年前因為數位轉型開始出現轉變，不只要引進現代化IT技術，甚至今年更為了全面導入雲端CRM，轉而擁抱雲端原生架構，還要借重業界一流IT經驗和實踐作法，加速商業創新。</p> <p>金士頓科技亞太區資訊部資深處長曹世杰表示：「導入雲端CRM就是我們的起點，要擁抱這些現代化IT架構與技術。」</p> <p><span style="font-size:28px;"><strong>靠2百人IT團隊支援全球各地營運</strong></span></p> <p>身為全球最大記憶體模組製造商，金士頓科技（Kingston）一直以來對IT相當倚重，不僅善用IT來協助工廠生產，彈性因應少量多樣、高度客製化的生產模式，還透過IT支援全球營運的快速拓展，服務全球18個營運據點，超過175個國家及地區。</p> <p>為了支援全球各營運據點，金士頓全球IT團隊規模這些年不斷成長，截至目前，IT人數占了整體員工5%，超過200人，其中100多人分布在亞太區，多數是在臺灣分公司，來提供必要技術與全球營運支援。</p> <p>不光是支撐全球營運，金士頓在軟體開發上也十分依賴IT，金士頓的資訊系統多是自主開發，滿足業務上的需求。曹世杰表示，過去約7～8成系統皆自行開發，如CRM、HR，以及工廠端GPS全球生產系統等，只有少數系統除外，如核心ERP採用套裝產品等。</p> <p>不過，許多ERP客製功能仍是由IT團隊重新改寫成，從業務流程到財務分析功能都有，他笑稱，原先買來的套裝ERP軟體，用到最後只保留資料庫功能，其他功能幾乎都全部重寫，「因為金士頓很強調彈性。」他說。</p> <p><span style="font-size:28px;"><strong>總部IT策略因疫情衝擊開始改變，不再強調自主開發</strong></span></p> <p>過去採取自主開發的IT策略，固然讓金士頓IT團隊有很高的客製彈性，但也因此少了突破和發展創新的機會，只能專注於滿足內部使用者的需求。這樣的IT策略，雖然前幾年仍然可行，但過去兩年開始遇到考驗。</p> <p>面對全球疫情嚴重衝擊，為了能夠持續營運，對於製造業來說，尤其是大型的跨國製造公司，未來更需要具備有現代化IT、數位化和創新的能力，協助公司建立高強度的營運韌性。面對不確定的未來情勢，金士頓近兩年開始加快數位轉型的腳步，在數位轉型的大方向下，金士頓高層毅然決定轉變原有IT策略，不再強調自行開發，而是開始與業界頂尖合作，嘗試借助業界一流經驗和創新實踐作法，來協助公司加速轉型。</p> <p>曹世杰解釋，之所以會有這樣的轉變，是因為過去金士頓許多舊系統自行開發，長年下來疊床架屋的舊架構，遇到新變動和新需求時，就容易導致開發時程冗長，甚至因為技術沒有翻新，仍沿用前一代技術，也很難引進外面創新的實務作法，阻礙公司發展。</p> <p>「一家企業導入IT技術，最重要的是希望能幫助企業發展更好、更有效率，而不是為了導IT而IT。」他指出，所以，金士頓才決定採用新IT策略，來加速內部轉型與創新。</p> <p><span style="font-size:28px;"><strong>IT轉型關鍵起點，從引進業界一流CRM方案做起</strong></span></p> <p>金士頓轉型關鍵第一步，是決定投入大手筆預算來導入雲端CRM，取代原有地端CRM。這是金士頓近來最重要一次大型系統專案導入，更是由曹世杰一手主導。</p> <p>曹世杰表示，這套大廠的雲端CRM，服務底層已經微服務化、API化、物件化，所以，金士頓IT團隊可以在這個框架下，使用其現代化開發工具來開發，或是利用CRM內建的開發平臺，來保有開發和客製彈性，也較不容易受後續版本更新的影響，「金士頓IT團隊因此可以站在CRM巨人的肩膀上開發，不用從零開始。」</p> <p>金士頓今年開始導入新版CRM，未來要用於全球服務、行銷與業務使用，甚至導入過程中，金士頓IT團隊也重新檢視現有的商業和業務流程，找出更好作法來改善，同時調整組織結構和相關人員心態，來因應這樣的轉變，「這就是數位轉型」他再三強調，數位轉型最重要的是人，而不是IT技術本身。</p> <p>為了要翻新CRM，金士頓不只調整組織結構、人員和業務流程，現有的IT技術也跟著轉變。</p> <p>由於這套CRM採用雲端原生（Cloud Native）架構，金士頓為了要使用這些雲端原生CRM功能，也開始擁抱新技術，邁向Cloud Native架構。</p> <p>曹世杰表示，目前在臺灣分公司已經有一組DevOps團隊，負責微服務和容器技術相關開發，近兩年開始逐步將部分應用程式拆分，變成API方式來呼叫，系統重構將採取API-First策略，未來優先利用API來建立互連的應用程式，再逐漸發展成SaaS應用。</p> <p><span style="font-size:28px;"><strong>靠過去10年Scrum敏捷經驗，IT團隊轉換雲原生架構因此變更容易</strong></span></p> <p>不像一般企業從老舊系統架構，轉換Cloud Native架構時，會同時遇到開發方法和技術架構的雙重轉型挑戰，金士頓的軟體開發方法，很早就採取現代化架構常用的敏捷開發，所以在轉換Cloud Native架構過程，比其他企業的IT團隊更容易。</p> <p>早在10年前，金士頓臺灣分公司從國外引進Scrum方法，改用敏捷開發來取代傳統瀑布式開發，這些年實踐之後，敏捷文化已經深植於金士頓IT團隊之中，因此，曹世杰表示，現在要採用同樣需要敏捷架構的雲端原生技術時，技術轉換過程比較容易。</p> <p>不光是CRM系統改用大廠的雲端CRM，金士頓還有兩大製造生產相關系統，包括MES製造執行系統以及SCM供應鏈管理系統，也都找來各自領域中最厲害的廠商來協助其導入，目前都在評估中。</p> <p>但要從原本高度自主開發的團隊，轉而站在別人肩膀上來開發，曹世杰直言，這樣的轉變，也要付出不少代價，開發團隊不再像以前擁有高度自主彈性，未來能否用新平臺和架構來彌補，「我們正在實驗，目前還沒有成功，這條路還很漫長。」他坦言。</p> <p>由於上雲已經成為一種企業IT發展趨勢，金士頓早在2016年，軟體開發流程已經上雲，近幾年也開始擬定自己的雲端策略，IT基礎設施今年開始採用公有雲方案，包括DR備份、資安SOC等，內部資訊系統方面，不只正在導入中的雲端CRM，和開始評估導入的雲端SCM，金士頓還有更大目標是，未來要連ERP也都上雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%9B%B9%E4%B8%96%E6%9D%B0_%E9%81%A0%E6%9D%B1%E9%87%91%E5%A3%AB%E9%A0%93-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>金士頓科技亞太區資訊部資深處長曹世杰表示，一家企業導入IT技術，最重要的是希望能幫助企業發展更好、更有效率，而不是為了導IT而IT。</strong></span></p> <p><span style="font-size:28px;"><strong>擬定長期雲端策略，未來核心ERP也要跟著上公雲</strong></span></p> <p>為何金士頓ERP沒辦法馬上搬上雲？曹世杰進一步說明，現階段地端ERP還無法上雲，因為這是沿用30年的老舊系統，不只背負許多技術債，甚至程式執行語言都已老舊不再使用，例如這套ERP部署在AS/400主機，單是採用RPG語言編寫的客製程式就超過上千支，這些程式都需要經過重新定義和梳理，甚至得用新工具全部重寫，這不是一件容易的事。</p> <p>所以金士頓的策略是，趁著明年上線新改版的地端ERP後，開始對既有ERP內部進行全面盤點和重整，再將ERP從地端搬上雲。「這是我們未來5～10年策略。」他表示。</p> <p><span style="font-size:28px;"><strong>Scrum敏捷開發團隊要能發展持久，由下而上推動是關鍵</strong></span></p> <p>身為臺灣早期Scrum先行者，歷經10多年發展，金士頓IT團隊已經是個相當成熟的Scrum老團隊。</p> <p>從這些年實踐經驗中，曹世杰也歸納出自己一套Scrum的成功心法，像是前期必須能獲得團隊成員認可，不能全靠由上而下政策來推動，發展到一定程度後，仍須培養由下而上的力量來推動才能持久。他認為，這樣作法，才能讓團隊成員打從心底認同，進而自發性的採用敏捷方法。</p> <p>再者，推動過程中，勢必會遇到人員反彈，所以一開始就必須讓團隊清楚知道，採用Scrum帶來的效益，能讓專案交付更快，更有品質，進而提高使用者滿意度。</p> <p>採用Scrum最重要的目的，他認為，就是要在最短時間得到使用者回饋，這是在傳統瀑布式開發方式很難做到之處，但透過敏捷開發可以辦到。</p> <p>金士頓開發團隊現在可以做到每兩周一個衝刺（Sprint），找來使用者一起檢視IT開發的產品功能，開發團隊就可以很快得到使用者回饋。</p> <p>金士頓臺灣分公司IT，目前有5個Scrum團隊，每個團隊約8人，每天站立會議已成了潛意識的習慣。</p> <p>曹世杰表示，起初先照著教科書上的許多Scrum實踐來進行，後面敏捷開發越用越成熟以後，每個Scrum團隊會自行演化出最適合自己團隊的實踐作法，就不一定要完全遵循Scrum的作法。</p> <p>不過，他提醒，Scrum團隊需要有很強的自主性，才能靠團隊決定如何運作和執行專案的方式。所以，金士頓也都要求Scrum團隊是自主團隊，但在績效管理上，也必須搭配不一樣的作法，除了主管和第三方Scrum教練來評量考績分數之外，在團隊考績評分中有一項，是讓團隊成員彼此互相打分數，這個分數會直接影響到最後的考績，而且頻率達到每季一次。</p> <p>他表示，透過這樣的方式，可以營造良幣驅逐劣幣的氛圍，讓Scrum團隊成員能力保持在一定水準，甚至，金士頓今年開始採用類似DDI測驗的360度績效評估方式，要從各面向來了解每個成員的表現。</p> <p><span style="font-size:28px;"><strong>營運策略轉以臺灣作為營運重心，臺灣IT角色也越顯重要</strong></span></p> <p>近幾年，金士頓營運策略明顯轉變，開始以臺灣作為營運重心，不論是製造生產中心、RD研發中心、全球規劃團隊都設置在臺灣，金士頓臺灣分公司IT人數也比10年前翻了兩倍以上，成長到將近80人。</p> <p>曹世杰表示，因為公司營運重心轉移到臺灣之後，臺灣分公司IT扮演的角色越來越顯得重要，平時不只負責臺灣，更要支援全球營運，甚至開始主導部分數位轉型專案，協助公司加速轉型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>金士頓科技亞太區資訊部資深處長曹世杰</strong></p> <p>學歷：雲林科技大學資管學士</p> <p>經歷：在金士頓IT任職逾20年，1999年加入臺灣分公司後，從程式設計師做起，一路擔任到資訊部經理，2008年因應總部全球IT策略轉變，開始對內持續推動IT團隊朝向敏捷團隊來發展，大約2015年時接下亞太區IT主管一職，同時掌管臺灣、中國等地IT，支援全球營運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>金士頓科技</strong></p> <p>地址：新竹市新竹科學園區力行一路1-5號</p> <p>網址：<a href="http://www.kingston.com">www.kingston.com</a></p> <p>成立時間：1987年</p> <p>主要業務：記憶體、快閃記憶體模組生產製造等</p> <p>員工數：超過4,000人</p> <p>年營收：約150億美元</p> <p>創辦人：杜紀川孫大衛</p> <p>總經理：杜紀川</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：亞太區資訊部資深處長</p> <p>資訊部門主管姓名：曹世杰</p> <p>資訊部門人數：亞太區逾100人（含臺灣）</p> <p>資訊部門分工：Service Desk、網通基礎設施、BA商業分析、PC維護和技術支援、開發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>•2018年：啟動大型IT客戶B2B新專案、將舊有JD Edwards ERP升級到E1新版</p> <p>•2021年：開始導入Salesforce雲端CRM方案，用於全球服務、行銷跟業務的使用、評估導入新MES製造執行以及雲端SCM供應鏈管理系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1056-cio-cao_shi_jie_yuan_dong_jin_shi_dun_-she_ying_-hong_zheng_wei_-960.png" width="960" height="420" alt="" title="金士頓科技亞太區資訊部資深處長曹世杰　（攝影／洪政偉）" /></div></div></div>
2021/12/23 07:00作者余至浩https://www.ithome.com.tw/people/148432
【打破長年束縛儲存陣列效能的瓶頸，邁向新世代I/O架構】首款PCIe 4企業級儲存陣列問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_6000-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以HPE今年中發表的Alletra 6000為開端，企業儲存領域正開始一波I/O架構革新潮流。</p> <p>為了追求存取效能的突破，以NAND Flash記憶體為基礎，10年前開始了快閃儲存陣列潮流。然而隨著固態儲存應用的逐漸深入，傳統的磁碟傳輸協定，成了制約儲存效能進一步提升的瓶頸，於是，在5年前又開始了儲存陣列傳輸架構NVMe化的潮流，以嫁接在PCIe匯流排上、專為固態儲存裝置發展的NVMe協定，取代傳統的ACHI協定。</p> <p>當NVMe介面的應用逐漸普及後，此時，PCIe 3.0匯流排又成了束縛NVMe擴展應用的原因。而儲存陣列控制器的匯流排架構，之所以長期停滯在PCIe 3.0，又與掌握儲存處理器市場的Intel保守的發展策略，脫離不了關係。</p> <p>這樣的態勢，一直到了HPE的Alletra 6000，才終於有了革命性的變化，這款產品透過引進AMD處理器，將控制器匯流排架構升級為PCIe 4.0，不僅打破PCIe 3.0導致的I/O效能限制，連帶也鬆動Intel對儲存處理器的壟斷局面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-HPE%20Alletra%206000%20%E4%B8%BB%E5%9C%96.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>Alletra 6000是HPE原有Nimble儲存陣列家族的進化發展，是業界第1款採用PCIe 4.0的企業級儲存陣列產品，結合全新運算核心與全面NVMe化的I/O架構，擁有3倍於上一世代產品的效能。</strong></span></p> <p><span style="font-size:28px;"><strong>Nimble家族的繼承與發展</strong></span></p> <p>今年年中新推出的Alletra 6000，其實，可看作HPE原有Nimble儲存家族的進化升級版本，也是Nimble Storage自2017年併入HPE以來，Nimble儲存家族最重大的一次更新。</p> <p>在HPE剛併購Nimble Storage之初，仍延續原本Nimble的CS混合陣列，以及AF全快閃陣列兩大產品系列（前者為SSD+硬碟混合儲存架構，後者為純SSD的全快閃架構）。後來，在2018年中，HPE針對Nibmle家族進行了「HPE化」的改款，於是，CS系列改款為HF混合陣列，AF系列也從AFx000轉為新的AFx0系列，硬體則換成HPE自身的儲存伺服器。</p> <p>接下來，HPE又在2020年中為Nimble AF系列小幅升級，引進儲存級記憶體（Storage Class Memory，SCM）模組。</p> <p>時隔1年後，Nimble家族迎來了歷來最重要的一次更新，新的Alletra 6000繼承Nimble家族既有的軟體核心，同時還全面翻新硬體架構，導入了AMD處理器平臺、PCIe 4.0，以及全NVMe架構等3大更新。</p> <p><span style="font-size:28px;"><strong>業界首款PCIe 4.0儲存陣列登場</strong></span></p> <p>十多年來，Intel處理器幾乎統治整個企業級儲存設備的核心處理器應用，從低階的入門級產品，到中、高階儲存陣列，系統核心幾乎都被各式各樣的Intel x86處理器占據。但另一方面，Intel在儲存處理器領域的壟斷，也給儲存核心架構的進步帶來負面影響，特別是在匯流排架構方面。</p> <p>儲存設備對I/O吞吐能力的需求永不嫌多，但Intel處理器平臺的匯流排架構，長期停滯在PCIe 3.0，等於阻礙儲存設備廠商對於提高資料吞吐量的期望，越來越無法因應新一代網路介面，以及資料傳輸架構的要求。</p> <p>面對Intel處理器在技術變革採取了「擠牙膏」式的保守策略，也使得率先採用PCIe 4.0介面的AMD，有了重回儲存設備處理器市場的機會。</p> <p>早在3、4年前，AMD處理器便開始進到儲存產品應用，部分廠商在入門級NAS產品採用AMD Ryzen處理器。接著在2020年中，HPE與Dell等兩大廠，又先後在超融合產品線引進AMD EPYC處理器。時隔一年，HPE的Alletra 6000成為第1款採用AMD處理器，以及應用PCIe 4.0架構的主流儲存陣列產品。</p> <p><span style="font-size:28px;"><strong>PCIe 4.0帶動I/O介面新進化</strong></span></p> <p>Alletra 6000採用AMD處理器，象徵Intel對於儲存處理器的統治出現鬆動，更重要的是，藉此導入了PCIe 4.0架構，一舉打破針對PCIe 3.0對儲存陣列控制器I/O效能提升所造成的長年瓶頸，並且也獲得了更充份的PCIe傳輸通道資源，來因應安裝新一代高速傳輸介面的要求，讓Alletra 6000能安裝Nimble系列原本沒有的100GbE網路介面，並支援更多數量的32Gb FC介面。</p> <p>而憑藉著PCIe 4.0所帶來的傳輸能力增長，Alletra 6000也導入全NVMe架構的後端儲存介面，不僅所有SSD模組都採用NVMe介面，甚至，連結擴充櫃的外接介面，也採用NVMe-oF架構。</p> <p>憑藉採用全新的硬體核心，HPE宣稱Alletra 6000比Nimble AF系列，提升了3倍效能。事實上，在HPE提供的SAP HANA認證測試結果中，作為中階產品的Alletra 6000，透過4節點叢集組態，表現甚至超過一些高階產品。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%9C%96%E8%A1%A8-big.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=925,height=700'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></a></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000儲存組態</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80-box1.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">全面支援NVMe SSD</span></strong><br /><span style="color:#696969;">Alletra 6000系列採用4U/24Bay規格的控制器機箱，並全面支援NVMe介面，出廠時預載了12或24臺NVMe SSD，並有1.92TB、3.84 TB、7.68 TB與15.36 TB等4種SSD容量可選。對於預載12臺NVMe SSD的控制器組態，HPE另外提供了安裝另外12臺SSD的容量升級套件選項，並同樣有1.92 TB、3.84 TB、7.68 TB與15.36 TB等4種SSD容量規格可選。<br /> 如同上一代的Nimble AF系列，Alletra 6000的控制器機箱也提供了外接擴充櫃的擴展能力，每臺控制器機箱可以外接1或2組擴充櫃，不過目前HPE尚未備妥Alletra 6000的外接擴充櫃功能，要等到日後才能實際提供。</span></p> <p><strong>繼承過往HPE Nimble系列儲存陣列的特性，今年登場的Alletra 6000系列也具備Scale-Out橫向擴展，以及Suale-Up縱向擴展能力。</strong></p> <p><strong>相較於過往Nimble系列所採用的4U/48Bay機箱，Alletra 6000改用4U/24Bay機箱，機箱容納的SSD模組數量只有前者一半，但是，可以使用容量更大的SSD模組，因而仍能提供同等級的系統容量。</strong></p> <p><strong>例如，Nimble AF系列最大支援7.68 TB的SAS SSD，Alletra 6000則能支援15.36 TB的NVMe SSD模組。</strong></p> <p><strong>在Suale-Up縱向擴展模式下，Nimble AF系列支援的容量是6至1,106 TB，而Alletra 6000則為23至1,104 TB。在4系統組成的Scale-Out橫向擴展模式下，Nimble AF系列的最大擴展能力為4,424 TB，而Alletra 6000亦達到4,416 TB。</strong></p> <p><strong>關於儲存級記憶體（SCM）搭配，如同上一代的Nimble AF系列，Alletra 6000同樣是以PCIe擴充介面卡的型式來支援，目前的Alletra 6000系列中，以較高階的3款（6050、6070與6090）而言，每臺陣列可安裝1張1.5 TB的SCM卡。</strong></p> <p><strong>至於SCM的應用形式上，Alletra 6000也和Nimble AF一樣，是作為輔助的快取讀取緩衝區，而非ㄧ般的儲存區。</strong></p> <p><strong>但是，Alletra 6000目前同時繼承了過去Nimble家族專屬的快取加速循序布局（Cache Accelerated Sequential Layout，CASL）存取技術，因此，這系列產品可透過SCM模組，承載前端主機的讀取負載，搭配高命中率的快取演算法，可達到「All SCM」的讀取加速效果，原廠宣稱藉此可縮短50%的平均讀取延遲。</strong></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000硬體解剖</strong></span></span></p> <p><strong>就產品沿革來說，Alletra 6000可視為原有Nimble AF系列的硬體更新版本。但從Nimble AF到Alletra 6000的發展，可說是一次大躍進，因為這當中引進了「AMD處理器」、「PCIe 4.0」、「全NVMe儲存架構」，蘊含了3大更新。</strong></p> <p><strong>Alletra 6000控制器全面翻新了控制器核心，以AMD EPYC處理器取代Nimble家族過去長期使用的Intel Xeon處理器，並以PCIe 4.0架構，取代已沿用多年的PCIe 3.0，同時，儲存介面也已全面支援NVMe。</strong></p> <p><span style="color:#B22222;"><strong>導入AMD處理器與PCIe 4.0</strong></span></p> <p><strong>雖然HPE並未公布Alletra 6000採用的處理器型號，但作為HPE合作廠商的AMD，則公開透露Alletra 6000採用了他們的EPYC 7002系列處理器，這當中包括EPYC 7252、EPYC 7302、EPYC 7502與EPYC 7742等幾款，可提供8至64個核心，相較於上一代的Nimble AF系列，Alletra 6000每個處理器插槽提供的運算能力可提升一倍。</strong></p> <p><strong>隨著導入AMD EPYC 7002，Alletra 6000一併獲得這系列處理器內含的PCIe 4.0架構。EPYC 7002系列處理器支援128條PCIe 4.0傳輸通道（lane），每條傳輸通道的頻寬都比PCIe 3.0高出一倍，大幅提高了Alletra 6000控制器的I/O吞吐率，也能藉此提供更多的PCIe擴充槽，從而配置更多的I/O埠。</strong></p> <p><strong>事實上，前代Nimble AF系列的每組控制器只能提供3組PCIe擴充槽，而Alletra 6000增為6組PCIe擴充槽，不僅可配置的I/O埠數量提高一倍，頻寬也更大，足以因應100GbE網路、NVMe等十分消耗PCIe傳輸資源的新技術需求。</strong></p> <p><span style="color:#B22222;"><strong>全NVMe儲存架構</strong></span></p> <p><strong>憑藉著PCIe 4.0介面的引進而大幅提高控制器內部傳輸能力，也讓Alletra 6000邁向「全NVMe儲存架構」打好了基礎。</strong></p> <p><strong>上一代的Nimble AF，對於NVMe儲存裝置的支援相當有限，只能透過預留擴充槽安裝NVMe介面的SCM卡，至於SSD模組則仍然是SAS介面。</strong></p> <p><strong>而Alletra 6000藉由引進PCIe 4.0介面，大幅提高了控制器可提供的PCIe傳輸通道與頻寬，進而導入全NVMe架構的儲存介面，不僅SSD模組全面採用NVMe介面，與外接擴充櫃的連接，同樣也是採用基於NVMe的NVMe-oF傳輸架構，因此，構成了「端到端（End-to-End）」的NVMe傳輸架構。</strong></p> <p><strong>當前雖然已有部分儲存陣列產品，先一步採用了全NVMe儲存傳輸架構，但這些產品是在PCIe 3.0的基礎上，來打造全NVMe架構，在PCIe傳輸通道資源的限制下，讓這些產品的擴展能力都受到很大制約，不論是能支援的SSD數量，或是擴展容量，都明顯不如原本基於SAS介面的同系列產品。</strong></p> <p><strong>但Alletra 6000則透過導入PCIe 4.0，為兼顧NVMe的傳輸頻寬，以及SSD模組擴展數量等兩方面的需求，提供了解決辦法。PCIe 4.0每條傳輸通道的頻寬，較PCIe 3.0高出一倍，可在使用同等傳輸通道數量的情況下，提供高出一倍的總頻寬；而在提供同等總頻寬的前提下，PCIe 4.0只需耗用PCIe 3.0一半的傳輸通道數量，從而可支援更多的PCIe裝置。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E6%A9%9F%E7%AE%B1%E6%AD%A3%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">機箱正面</span></strong><br /><span style="color:#696969;">如同上一代的Nimble AF系列，Alletra 6000也是由內含控制器、稱為「Head」的基礎陣列機箱（Base Array），搭配擴充櫃（Expansion Shelve）組成，每組基礎陣列機箱可以外接1或2組擴充櫃。差別在於Alletra 6000的基礎陣列機箱改用4U/24Bay規格，不同於Nimble家族長期慣用的4U/48Bay規格。Alletra 6000基礎陣列機箱與擴充櫃之間的連接，也改用NVMe-oF架構，而非Nimble系列的傳統SAS連接架構。此外，Alletra 6000的機箱深度也比較短，只有800公釐，短於Nimble AF系列的890公釐，可以更方便地安裝到標準伺服器機架。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E6%A9%9F%E7%AE%B1%E8%83%8C%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">機箱背面</span></strong><br /><span style="color: rgb(105, 105, 105);">Alletra 6000的每組基礎陣列機箱，含有2組控制器，以及4組電源供應器，所有關鍵元件都是雙重配置，可避免發生單點故障的狀況，目前整體的可用性達到6個9（99.9999%）。<br /> 控制器仍沿用Nimble家族一貫的Active-Standby架構，雖然資源利用率較低，不過，一旦Active控制器失效時，接手的Standby控制器有完整的效能可提供服務。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E9%9B%BB%E6%BA%90%E4%BE%9B%E6%87%89%E5%99%A8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">電源供應器</span></strong><br /><span style="color: rgb(105, 105, 105);">Alletra 6000系列的電源供應器，有800瓦與1600瓦等2種規格。較低階的6010、6030與6050等3款機型，可選用800 瓦規格，較高階的6070與6090等2款，則只能選擇1600瓦規格。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80-box-%E6%8E%A7%E5%88%B6%E5%99%A8%E8%A7%A3%E5%89%96.png" style="width: 590px;" /></p> <p><span style="color:#696969;"><strong>控制器解剖</strong><br /> Alletra 6000的最大特色，便是全新設計的控制器核心，搭載了2顆AMD的EPYC 7002系列處理器，基於PCIe 4.0的匯流排架構。在控制器主機板上配置了16組DDR4 DIMM記憶體插槽，並含有附帶供電線路的NVDIMM記憶體模組。而憑藉著PCIe 4.0，也讓Alletra 6000能夠更容易地支援100 GbE網路卡、全NVMe SSD組態等非常耗用PCIe資源的硬體配置。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-IO%E4%BB%8B%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">I/O介面配置</span></strong></p> <p><span style="color:#696969;">每組Alletra 6000的控制器都內建了4組管理用的GbE埠 </span><span style="color:#FFFFFF;"><span style="background-color:#FF0000;"> </span><strong><span style="background-color:#FF0000;">1 </span></strong></span><span style="color:#696969;">，另提供了6個PCIe擴充槽 </span><strong><span style="color: rgb(255, 255, 255); background-color: rgb(255, 0, 0);"> 2</span></strong><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 0);"> </span></strong><span style="color:#696969;">，用於安裝選購的I/O介面卡，包括用於iSCSI傳輸的10GbE、25GbE或100GbE網路卡，或是雙埠或4埠的32Gb FC HBA卡，依不同的網路介面卡選項，可提供4至48個主機端埠的連接能力。除了安裝網路卡，也能安裝1張1.5TB容量的儲存級記憶體介面卡。控制器底部還預留了一個特殊的OCP介面卡插槽位置 <span style="background-color:#FF0000;"> </span></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#FF0000;">3</span></strong></span><strong><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 0);"> </span></strong></strong><span style="color:#696969;">，可安裝用於連接擴充櫃的NVMe-oF介面卡（但目前HPE尚未開始提供）。</span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000系統管理架構</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%206000%20%E5%9C%969%20New.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">提供標準的本地端網頁控制臺</span></strong><br /><span style="color:#696969;">如同一般的儲存陣列產品，本地端的網頁控制臺是Alletra 6000最基本的管理工具，可用於系統狀態監控與設定、儲存資源配置與掛載，以及進階資料服務功能操作等所有主要管理作業<span style="font-size:14px;">。圖片來源／HPE</span></span></p> <p><strong>除硬體架構的全面翻新，Alletra 6000另一特點，是引進新的雲端管理平臺。</strong></p> <p><strong>上一代Nimble AF系列的系統管理，分為本地端管理，以及InfoSight雲端管理，總共有兩個層級。本地端管理包括網頁控制臺與文字命令列，用於系統組態設定、儲存資源配置、調整，以及資料服務功能操作；InfoSight雲端管理平臺則提供遠端集中監控、故障預測與警示、健康狀態診斷、升級建議諮詢等功能。</strong></p> <p><strong>而Alletra 6000的系統管理，除了同樣有本地端控制臺，以及InfoSight雲端管理平臺，還增加了新的Data Services Control Console（DSCC）雲端平臺可用，形成3個系統管理層級。</strong></p> <p><strong>DSCC是HPE今年中新推出的雲端管理平臺，未來將成為HPE雲端服務統一入口與管理平臺，目前提供4項主要服務，包括用於儲存設備管理的資料管理器（Data Ops Manager），用於監控用戶端事件的Audit功能，以及用於協助負載配置的Intent-Based Provision功能，最後是InfoSight平臺，現在也納入DSCC平臺。</strong></p> <p><strong>其中資料管理器是DSCC的重點功能，可讓用戶從遠端管理本地端儲存設備，能執行儲存區設定、掛載等作業，包括創建Volume儲存區、設定屬性、掛載給指定主機，以及快照等資料服務功能。也就是說，本地端管理控制臺的主要核心功能，都可改由DSCC的資料管理器來執行，可以涵蓋本地端控制臺的管理功能，但又不像本地端控制臺會受地理環境所限，未來DSCC還可提供跨平臺、跨產品線的遠端管理能力。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pcie-4">PCIe 4</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/hpe-alletra-6000">HPE Alletra 6000</a></div></div></div>
2021/12/23 07:00作者張明德https://www.ithome.com.tw/tech/148444
全家從代收開啟轉型之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-qi_ye_chuang_sheng_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>便利商店在台灣發展的第一個階段，是以食品和日用品販售為主，早期也有很多報紙雜誌，後來又增加便當和飯糰等鮮食，但其實各家超商差別不大。要如何做出自己的特色與差異化？全家回到便利商店的本質思考，「便利商店，顧名思義就是需要便利，」全家便利商店會長潘進丁說，於是他們開始研究在這個小小的商圈裡，消費者生活上還有什麼不方便？這個思考，使得全家從「追求便利性」進入「提供差異化商品及多樣化服務」，也重新定義了「便利商店」。</p> <p>全家便利商店董事長表示，當時員工到日本觀摩，發現日本的便利店會代收一些單據，這給了大家靈感，回來之後就找銀行討論是否能夠代收費用。溝通一輪之後，雖然有兩家規模相當大的銀行很感興趣，但苦於財政部不肯答應。努力了一年多，最終仍無功而返。</p> <p>直到1997年在陳水扁擔任台北市長時，轉機出現，台北市希望改革停車費的收費方式，找通路代收路邊停車費。問題是，停車單上並沒有條碼，手續繁瑣、單筆金額又小，所以一開始沒有通路願意接手，全家自告奮勇成為第一家提供代收服務的便利商店。從此開始，逐步延伸到電話費、電費、水費、學費與信用卡帳單，現在甚至連社區的管理費都可以代收。很快地，代收的服務從全家擴大為所有便利商店的必備服務。這個改變是台灣便利商店發展非常重要的一步。葉榮廷說，純就獲利而言，代收的手續費並不多，但是人流帶來的併買率大概20%，也就是繳費同時順便購物的人大約有兩成，不容忽視。其次，代收也改變了便利商店的獲利模式，「台灣便利商店的密度這麼高，就是因為有代收作為支撐。」葉榮廷說，也由於代收建立起來的收費系統，加速了台灣電子商務發展，「大約有七、八成的網購消費者選擇在超商取貨，是大家心目中的首選。」</p> <p>便利商店的功能就此逐步擴張，不再只是方便買東西的地方，而成為「街區服務中心」，這是最關鍵的轉變。大約在2000年左右奠定了基礎，民眾也養成到便利商店購買食物和日用品的消費習慣，潘進丁稱之為「便利商店在台灣取得公民權」。這一年，全家正好達到一千店。</p> <p><span style="font-size:28px;"><strong>累積錯誤，兩大學習摸索出成功之路</strong></span></p> <p>從零到一千，除了眾所皆知的幾項重要成功創新之外，全家也從多次失敗中學習到不少功課。</p> <p>「我早期在店裡面工作，非常清楚店裡的變化，」葉榮廷說，早期做便利商店想的是「我要賣什麼給顧客」，全家既然是日商設立的公司，一開始必定是將日本販售的商品導入。</p> <p>「店裡大概40%是進口商品，顧客根本叫好不叫座，」他強調，這種以內需為主的零售業，就需要本土化，「沒有本土化不行！」這是全家營運初期學到的第一個重要功課。</p> <p>潘進丁說明，這牽涉到「標準化」與「在地化」的取捨，像便利商店以販售加工食品與日用品為主，要滿足消費者對於「便利」的需求，一定要瞭解當地的生活模式、要接地氣。但是像星巴克（Starbucks）這樣的咖啡連鎖店，則可以先走標準化路線，再慢慢加入當地特色，和便利商店的模式不一樣。</p> <p>第二個學習是，有些事雖然對，從國外的例子來看也會成功，但如果時機不對，離消費者的需求太遠，同樣會失敗。</p> <p>例如早在1988年全家就開始賣日式的十八度冷便當。這在日本沒問題，但與台灣的生活習慣不合；用微波加熱嗎？又覺得不安全，「隔壁麵攤現煮的比你還便宜、還好吃，」葉榮廷說：「所以我們大概賣倒了兩家便當工廠。」但現在便利商店不只能賣便當，還有牛肉麵、各式湯品甚至麻辣鍋都沒有問題，「消費需求就是這樣在演進的。」</p> <p>全家便利商店最知名的一堂功課是賣手機。當時手機剛出現，內部研究過後認為，3C產品的單價跟毛利高，且完全規格化、不需要店員再加說明，很適合超商販售。不料投入大量資金進貨之後才發現，3C產品的更新速度快，還沒來得及開始賣，新型手機已經上市，舊機根本賣不掉。但由於全家已經買斷整批貨，所以這個決策造成公司非常大的損失。葉榮廷笑著說，如果不是全家有容許犯錯的創新精神，「我們早就被砍頭了。」</p> <p>潘進丁說，從這個單一事件學到了，3C產品不要實體上架進貨，最好是預購，客人先訂再到店取貨，所以基本精神還是賣服務而不只是賣產品。最重要的學習則是，決策不可脫離消費者太遠。</p> <p>相當熟悉日本的潘進丁說，日本有一句話叫「半步行」，意思是領先半步就好，「比消費者領先太多的話，接受度還不到的時候，學習成本會太高，」這是全家從各種錯誤中所學到的重大課題。</p> <p><span style="font-size:28px;"><strong>不為數位而數位，用科技解決「未來的問題」</strong></span></p> <p>以街區商圈與消費者需求作為經營核心，全家便利商店的數位化在這幾年讓消費者們相當有感，例如手機預購咖啡，不僅取代過去的紙本登記，還可以隨時送給親友或同事，只要帶著手機，就能在全台灣各店領取。不過，葉榮廷強調：「我們不是為了數位化而數位化，而是在想未來會碰到什麼問題。」</p> <p>葉榮廷指出，像高齡化社會是一個可預見的未來，原本便利商店主力消費客群是二十幾歲到三十九歲，年輕人一週來店超過五次，六十歲以上的大概只有三次多一點。但台灣年齡中位數目前已經超過四十歲，所以一定要扭轉局勢。</p> <p>還有人口結構造成的缺工問題，十八至六十五歲的勞動人口平均每年減少十六到十八萬人，但是便利商店是勞力密集的產業，這個可預見的未來又該如何面對？</p> <p>當然談流通業最重要的趨勢就是網路購物崛起，新冠疫情之後，「我們覺得它是回不去的，對消費行為是不可逆的，」葉榮廷分析，當網路購物成為消費行為的常態後，實體零售業者必須思考的就是，「我要被排除在外還是要介接？」</p> <p>新科技快速發展使得商業模式不斷翻新，過去成功的經營模式在未來不見得有用，因此全家在定義問題之後，就設定了一些目標，而數位化則是用來達成目標的方法。全家推動會員制就從這個概念出發。</p> <p>首先，經營顧客的終身價值，是全家希望能夠達到的目標。葉榮廷說，過去經常是「開發一個商品想賣給很多人」，但現在希望做到的是「賣很多產品給同一個人」，要解決的問題就跟之前完全不同。「你認識他嗎？你瞭解他嗎？你在乎他嗎？他喜歡的是什麼？」葉榮廷連問了幾個關鍵問題，而這些都必須從顧客辨識開始著手。</p> <p>「一開始我們還想要投機取巧，」葉榮廷口中的「投機取巧」，指的是希望以合作方式讓別的企業把會員帶進來，但很快發現別人根本不願意分享資源。「我們就想，與其靠別人，不如自己來。」這個轉念，促成了全家開始做自己的會員，透過App的開發與應用，不僅解決客戶痛點，還提升會員的忠誠度與其他附加價值。2021年全家的會員數已經突破一千三百萬，穩居四大超商之首。</p> <p>全家目前數位化發展的重點有兩個，一個是系統建立，另外一個則是數據研發。系統部分主要指的是供應鏈數位化與營運自動化，而數據研發則是嘗試從資料庫行銷起步，最終能夠開發出預測模型，早一步預測消費行為與趨勢的轉變。零售業原本就有很多數據，但過去經常只是拿數據來參考，還沒有把數據當成決策依據，與理想之間還有一段距離，葉榮廷強調：「必須把domain knowhow跟演算法技術結合，在我們的場域進行多次實驗之後，那個數據才有價值。」</p> <p>預測未來，是每個產業都希望能夠達成的目標，對便利商店而言更是重要。「我們這個行業面對變動已經習以為常，」什麼叫變動？葉榮廷說，像溫度的改變，今天二十八度、明天三十度，根據全家的統計，溫度每升高一度就會增加7.9個客人，「這些客戶進來了會買什麼東西？我們就要去因應。」</p> <p>不僅每天有短的變動，還有大且慢但回不去的變動，例如網路購物、人口結構改變、數位支付，以及商業模式的推陳出新，這些都是不可逆的趨勢，需要長期投資，並且提早進行基礎建設。<strong><span style="color:#696969;">（摘錄整理自本書第8章，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%9C%961_%E4%BC%81%E6%A5%AD%E5%89%B5%E7%94%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88(1).png" style="width: 249px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商周出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>企業創生‧台灣走新路：企業五大轉型突圍心法，打造新護國群山</strong></span></p> <p>黃日燦／總主筆</p> <p>商周出版</p> <p>售價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>總主筆　黃日燦</strong></p> <p>台灣產業創生平台創辦人暨董事長，律師執業逾四十載，專長涵蓋企業併購、產業策略、公司治理、跨國經營諮詢、科技產業事務與家族企業規劃。</p> <p>黃創辦人積極協助台灣產業脫胎換骨，是企業轉型升級的策略軍師與產業發展的意見領袖。現任裕隆集團執行長特別顧問、台元紡織董事長特別顧問，以及台灣併購與私募股權協會榮譽理事長。</p> </div></div></div>
2021/12/23 07:00未署名https://www.ithome.com.tw/article/148451
技術網站架設經驗雜談
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果開發者有寫作的習慣，建議擁有專屬的技術網站。首先，我們要做的是：買個專屬網址，然後，使用Markdown寫作，透過靜態網站產生器來生成內容。</p> <p><span style="font-size:28px;"><strong>我的網站黑歷史</strong></span></p> <p>就今日來說，開發者可以找到許多關於開發者寫文件的好處。在撰寫這篇專欄的時間點，iThome鐵人賽也已經進入第13屆完賽的階段，這是個很有意義的活動，誕生出許多高品質文章，還催生出不少技術書籍，為臺灣的中文技術書籍注入一股活水。</p> <p>由於擔任鐵人賽評審的關係，這陣子我剛從審閱文件地獄爬出來，每次估量參賽者文件時，我始終都回想最初是怎麼開始寫文件？差不多是2003年吧！那時，只是在個人電腦上架個基於PHP的BBS系統，透過包月制的ADSL，用免費網域銜接動態IP位址的服務，就這樣架設起我的技術網站了。</p> <p>很快地，有人覺得我寫的文件還不錯，然而，網站速度很慢，畢竟ADSL上下傳輸速率不對稱，別人的下載速度是受限於我的ADSL上傳，於是，我找了一家虛擬主機商，使用附贈的免費網址，架設基於PHP的Wiki系統，將文件重新整理為Wiki的形式。</p> <p>由於虛擬主機共享運算資源，當時使用的Wiki系統有時佔用過多運算，不久之後，被虛擬主機商警告耗用太多資源，後來心裡想：基本上，我不需要動態頁面（JavaScript那時還是未翻身的鹹魚），乾脆全改成純HTML檔案，用所視即所得的HTML編輯器來寫文件。</p> <p>不久之後，臺灣網路日益普及，部落格文化興起，我的網站流量也突破了單日萬人訪客數，沒想到突然遇上主機商停用免費網址的狀況。是的，我竟然都沒想過要買個專屬網址，雖然主機商給了我三個月緩衝時間，不過，更換網址畢竟太傷，免費網站停用之後，單日訪客數一下子腰斬。</p> <p>無論如何，後來網站繼續存活，然而，以HTML來儲存文件，讓內容維護越來越麻煩，那陣子正好Markdown興起，評估後決定用Markdown來寫文件，自己寫了程式，可設置樣版，將Markdown依樣版轉為HTML頁面，而樣版套用了<a href="https://bit.ly/3l8hBpU" target="_blank">Pure.CSS方案的Responsive Side Menu</a>，並整合了Google的code-prettify為程式碼著色等，於是，這些成為目前我網站頁面的生成方式。</p> <p>至於舊有的HTML檔案，我寫了另一個轉換器，試著抽取出必要內容來套用新樣版，不過，所視即所得HTML編輯器生成的HTML滿混亂的，因此，轉換後的文件在後續還是花了不少時間手動修正。</p> <p><span style="font-size:28px;"><strong>考慮專屬文件網站</strong></span></p> <p>每次看鐵人賽的文件時，若參賽者的水準不錯，我會試著找看看他有沒有自己的技術網站。用心的參賽者為了更能表達內容，除了會符合要求而在iThome邦幫忙發表，通常也會附上自己網站的連結，若參賽者水準不錯，卻沒有自己的網站，我都會覺得有點可惜。</p> <p>若已有寫作習慣，開發者可以考慮擁有專屬的技術網站，如果你正打算這麼做，就我過去近二十年的經驗而言，第一件該做的事不是選擇WordPress、Medium之類的平台服務，而是買個專屬網址。</p> <p>你可能不會像我這麼笨，一直使用免費的網址直到被停用，不過你可能會換平臺服務，與其後來再去煩惱流量重導的問題，不如一開始就有自己的網址，日後就算更換存放位置，只要能將內容架構重現，重新綁定網址，流量就自動導過去了。</p> <p>接著是決定寫作的格式，無論如何，請不要用所視即所得的HTML編輯器來寫文件，這會造成日後維護或轉移文件格式的麻煩，就開發者而言，使用Markdown格式是目前最佳的選擇，如果還沒有任何的偏好，請使用標準Markdown，因為可支援的內容管理系統、plugin、編輯器或程式庫等最多，甚至還有機會轉換為PDF、ePub等電子書格式。</p> <p>選用Markdown的另一個好處是，事先不用太多考慮外觀問題，寫作的環境是越單純越好，因為想表達的主體是內容，至於外觀，存在許多樣版或轉換器之類的方案，視你選擇的方案而定，甚至還有成套的佈景主題可以使用。</p> <p>至於文件要放在哪，取決於你還需要的額外功能，像是想使用哪個內容管理系統、資料庫等，以及預算的問題；然而，如果可以的話，找個能放HTML等相關靜態資源的地方就可以了，靜態資源的話，基本上，也不太需要煩惱下載流量，現在的虛擬主機或雲端方案在流量限制上都很寬鬆，真的不想花錢的話，放在GitHub也可以。</p> <p><span style="font-size:28px;"><strong>考慮靜態網站產生器</strong></span></p> <p>因為內容才是最重要的，網站只是個便於瀏覽的地方，放在上頭的資源越單純越好，就我個人經驗而言，就算是當年用所視即所得HTML編輯器寫文件之後，就幾乎沒煩惱過任何後端維護的問題。</p> <p>當年自己寫Markdown轉HTML，只是為了迴避虛擬主機運算資源共享的問題，後來在技術圈裡，有人開始推廣靜態網站產生器，我第一次看到時，心想這不就是我現在網站的運作模式嗎？</p> <p>現今靜態網站產生器的選擇非常多，各主流語言都有相關的方案，而且，多半都有許多佈景主題可以選擇，如果單純想撰寫文件，可依據自己組織文件的架構、風格，先看看有無適合的佈景主題——這會比選哪個語言來實作重要，在最簡單的情況下，安裝好產生器與佈景主題、建個專案，之後就可以寫文件、生成、發布網站了。</p> <p>當然，身為開發者總是會想修修改改，這時可選擇自己熟悉語言的實作方案，看相關佈景主題的活躍度，例如，近來想重新整理網站的文件與風格，因為對Go語言算有一定程度的熟悉，就選擇Hugo，並結合、修改了Relearn佈景主題，<a href="https://bit.ly/3cP8iXr" target="_blank">弄了與目前網站相近風格的新版面</a>。</p> <p>修改佈景主題，甚至是修改產生器本身？這樣不是在寫作以外的事情分心？不會的！調整完成後，幾乎不用理它們，當年我寫了Markdown轉HTML，也只是單純使用，幾乎不需去調整它。</p> <p>當年之所以必須自行寫Markdown轉HTML，主要是因為尚未興起靜態網站產生器，所以，不得不自行整合Markdown、Pure.CSS、code-prettify等，那時的程式是用Java寫出來的，如果你有興趣了解，<a href="https://bit.ly/3DYv4rW" target="_blank">可參考Markdown2Template這個repo</a>。</p> <p>今日各種靜態網站產生器，基本上，都已經將相關需求整合在一起，但身為開發者，自己寫靜態網站產生器依舊是選項，而且出發點並不困難。如果有興趣，你可以參考〈<a href="https://bit.ly/3CQd4yk" target="_blank">Writing a small static site generator</a>〉，作者示範如何用Python來寫靜態網站產生器，其中也談了些Frontmatter等現代靜態網站產生器會用到的概念。</p> <p><span style="font-size:28px;"><strong>內容的掌控權</strong></span></p> <p>擁有自己的技術網站，才能擁有對內容的掌控權，也就是不會因為平臺服務等因素，導致內容的消失，或者是轉移平臺服務時發生困難；而對內容有掌控權，也包含了內容不被寫作時採用的技術所綁架，所以，這也是我推薦Markdown的原因──就目前而言，它在各種技術間轉移最為方便，就算只是開啟Markdown檔案本身，也依然能夠閱讀內容。</p> <p>對內容有掌控權還包含了開發者自身，不用分神去處理網站等維護問題。總而言之，雖然是架設技術網站，然而技術上越簡單、越單純，在寫作時越能讓你集中心力的方案，就是最好的選擇。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%8A%80%E8%A1%93%E7%B6%B2%E7%AB%99">技術網站</a></div><div class="field-item even"><a href="/tags/markdown">Markdown</a></div><div class="field-item odd"><a href="/tags/%E9%9D%9C%E6%85%8B%E7%B6%B2%E7%AB%99%E7%94%A2%E7%94%9F%E5%99%A8">靜態網站產生器</a></div><div class="field-item even"><a href="/tags/ithome%E9%90%B5%E4%BA%BA%E8%B3%BD">iThome鐵人賽</a></div></div></div>
2021/12/23 07:00作者林信良https://www.ithome.com.tw/voice/148476
Fintech周報第205期：全盈支付與全支付2大零售起家電支品牌，宣布策略結盟共享彼此合作通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1218～1224</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 全盈支付 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 全支付 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全盈支付與全支付2大零售起家電支品牌，宣布策略結盟共享彼此合作通路</span></strong><br /><span style="vertical-align: top;">由全家便利商店、玉山銀行、拍付國際資訊公司共同合資成立的「全盈支付」，及全聯百分之百出資的「全支付」，雖未正式取得專營電子支付機構營業執照，但，雙方近期共同發布重磅消息，要以通路共享的策略結盟，讓雙方各自的電子支付工具可跨通路付款，以合作代替競爭關係。未來，雙方用戶可拿著自家支付工具到對方的合作商店付款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">目前，由財金公司建置的電子支付跨機構共用平臺，提供電支帳戶可與任何銀行帳戶互相轉帳，電支帳戶間也可互轉，下階段將配合電支機構系統開發進度，上線繳費、繳稅等跨機構服務。不過，要真正做到電支業者透過共用平臺提供跨電支機構購物，如何計算合作通路投入成本，來訂定商業條件、分潤方式，是推動上的挑戰。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">全盈支付、全支付的策略結盟，也代表著雙方開放自有的支付通路，來擴大彼此的影響力，也將共享全家便利超商與全聯等大型零售通路，以及各自未來的合作商家。在共享支付通路作法上，合作店家仍需個別與全盈支付或全支付簽約與結算，透過2家電支業者間的資訊直接轉傳，來節省與合作店家重複串接金流的成本。未來，雙方合作範圍將逐步拓展到日常生活連鎖餐飲、百貨購物、飲料店、遊樂園、交通等支付場景。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">根據時程，全盈支付、全支付2家業者必須在12月24日前向金管會提出營業執照申請。2家業者也表示，確切業務合作內容，待正式取得金管會核發的營業執照後，將依照金管會核准範圍，以及電子支付機構管理條例等相關法令的規範來辦理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴克萊銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 私有雲 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> HPE GreenLake </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴克萊銀行全球基礎架構將搬上HPE GreenLake私有雲平臺，來執行數千項應用與十萬多項任務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20Barclays_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Barclays.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">HPE近期宣布英國巴克萊銀行（Barclays）將把全球基礎架構搬上HPE GreenLake私有雲平臺，以執行10萬多項工作任務。在這項合約下，巴克萊銀行將把舊式系統搬上以HPE GreenLake邊緣到雲端（edge to cloud）平臺架構私有雲，以推動這家銀行的混合雲及數位轉型策略。未來這朵巴克萊全球私有雲將執行數千項應用，以及10萬多項任務，涵括虛擬桌機基礎架構（virtual desktop infrastructure，VDI）、SQL Server資料庫，以及Windows和Linux系統。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">HPE Pointnext 服務部門會與巴克萊合作將舊式系統上雲工作，日後包括私有雲的管理、安全修補、功能更新及最佳化也都由HPE負責。未來巴克萊只需依使用資源付費，相關採購、擴充、使用量、或安全控管設定都可直接在平臺上操作。<a href="https://www.ithome.com.tw/news/148429">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技發展路徑圖 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會年底將發布金融機構間資料共享要點，規畫3種情況訂定資料共享範圍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會預計在今年底對外發布金融機構之間資料共享要點，金管會規畫以3種情況來訂定這份資料共享要點。金管會金融科技發展與創新中心副執行秘書林羲聖表示，第一，金控底下各子公司之間的資料共享，第二是非金控，但，屬於同一個金融集團底下各公司之間的資料共享，最後是針對業務合作的金融機構之間的資料共享。他提到，資料共享要點將訂出更為詳細的資料共享範圍，包括客戶的基本資料，甚至是較為機敏的個資或信用資料，但仍僅限於金融機構間共享。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 外匯交易結算 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">富國銀行與匯豐銀行將利用區塊鏈技術進行外匯交易結算</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%AF%8C%E5%9C%8B%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Wells%20Fargo.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">富國銀行（Wells Fargo）與匯豐銀行（HSBC）近期宣布達成一項<a href="http://newsroom.wf.com/English/news-releases/news-release-details/2021/Wells-Fargo-and-HSBC-Establish-Bilateral-Agreement-to-Settle-FX-Transactions-Through-a-Blockchain-based-Solution/default.aspx">協議</a>，將運用匯豐銀行的區塊鏈技術平臺FX Everywhere，來快速完成兩家銀行帳戶之間的貨幣匯款結算。根據協議，富國銀行與匯豐銀行將共同使用一個結算分類帳來處理美元、加拿大元、英鎊、歐元的跨境外匯交易，未來，更計畫擴展平臺來結算更多種類的貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">雙方表示，使用區塊鏈技術進行跨境外匯結算交易，將可提升結算過程的透明度，同時，降低外匯結算風險與處理外匯交易的相關成本。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT 熱潮 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Nike </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位產品 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Nike收購NFT工作室RTFKT，以延伸自家在數位領域的能力與足跡</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">知名運動品牌Nike近期宣布，已買下了近來熱度很高的NFT工作室RTFKT，以延伸Nike於數位領域的能力與足跡，儘管外界非常好奇RTFKT的身價，但雙方並未公布交易金額。RTFKT為2020年1月由3名創作者成立的新公司，結合了遊戲引擎、不可替代代幣（NFT）、區塊鏈驗證及擴增實境等應用，創作了各種虛擬運動鞋與數位產品。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">儘管雙方未揭露交易價格，但RTFKT已在今年5月募集800萬美元，當時身價約為3,330萬美元。Nike執行長John Donahoe表示，該公司所併購的是一個非常有才華的團隊，Nike打算繼續投資RTFKT這個品牌，推動該品牌的創意與社群，同時延伸Nike的數位足跡與能力。<a href="https://www.ithome.com.tw/news/148382">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> My Data </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山證券 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山證券串接MyData平臺資料，讓民眾可線上調整授信額度</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E7%8E%89%E5%B1%B1%E8%AD%89%E5%88%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E8%AD%89%E5%88%B8.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國發會推動的MyData個人化資料自主運用平臺，在今年初正式啟動服務，並與金管會擴大合作，開放適用範圍，讓MyData平臺能夠介接證券、保險等相關服務。近期，玉山證券宣布串接MyData平臺，讓證券顧客可透過MyData平臺，申請財產清單作為財力證明，進行線上授信額度調整，乃國內證券商首創。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分驗證 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融三業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">政大明年Q2將提出金融通用數位身分驗證發展建議</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會已委外政治大學金融科技研究中心，來研究單一數位金融服務管理規範的可行性，先聚焦各業者需求最大的多元數位身分驗證，進行金融場景、技術面、法規面的盤點與研究。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">首先，政大盤點了身分認證在金融場景的應用，在銀行業像是多元身分驗證資料串接、運用電子簽章簽署所有紙本文件、開放法人能使用電子或數位簽章及視訊方式來開戶。而保險業，比如行動投保客戶簽名事宜、視訊投保等。在證券與期貨業部分，則像是建立第三方平臺開放業者共用客戶KYC資料、基金銷售平臺串接電支機構的身分認證、開放電支帳戶在境外基金的申購與贖回等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在技術面，涵蓋了身分確認機制、電子簽章或數位簽章、OIDC（OpenID Connect ）認證、Face OTP、防詐欺機制、生物特徵、個人資料檔案維護、交易安全設計、統一API標準與安全機制。在法規面向，則要深入研究電子簽章法、金融機構作業委託他人處理內部作業制度及程序辦法，以及銀行、保險、證券各業別的細部規範。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">政治大學金融科技研究中心主任王儷玲表示，政大將聯合相關業者訂定出這一套數位金融服務管理規範，並針對現行規範提出修正建議，目標是建立起通用的身分驗證與電子簽章機制。她預告，此研究案將在2022年4月進行期中報告發表，來揭露最新研究進度。<a href="https://www.ithome.com.tw/news/148361">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Barclays</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">Wells Fargo、</span><span style="font-size: 14pt;">玉山證券</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>樂天國際銀行取得ISO 27001資訊安全管理系統標準、BS 10012個人資料保護雙項國際標準驗證</strong><br /><strong style="vertical-align: top;">2.</strong><strong style="vertical-align: top;"> </strong><strong>為了與Line Pay區分服務提供公司，電子支付Line Pay Money將更名為一卡通Money，服務與操作流程仍維持現狀</strong><br /><strong style="vertical-align: top;">3.</strong><strong style="vertical-align: top;"> </strong><strong>摩根大通允許員工以WhatApp等未經授權的通訊平臺進行證券業務交流，繞過必須保存通訊記錄的規定，遭罰2億美元</strong><br /><strong style="vertical-align: top;">4. </strong><strong>多家證券客戶遭冒名下單港股，金管會將要求證券期貨業者強化3大防護措施</strong><strong style="vertical-align: top;"> </strong><strong style="vertical-align: top;"> </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年12月</strong></p> </div></div></div>
2021/12/22 18:16作者李靜宜https://www.ithome.com.tw/news/148535
臺灣微軟推Surface Go 3，主打教育市場與第一線工作者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣微軟Surface家族又有新成員加入，二合一平板Surface Go 3，搭載Windows 11與10.5吋螢幕，不含鍵盤底座，裝置重量只有544公克，強調適合攜帶使用，鎖定教育市場及第一線的工作者。</p> <p>相較於先前的Surface Go 2，Surface Go 3在軟硬體均有革新，除了作業系統從Windows 10改為Windows 11，內建Microsoft Teams，處理器從英特爾第8代Core m3處理器改為第10代Core i3，採用10.5吋的PixelSense觸控螢幕，如同前代產品，Surface Go 3也採二合一設計，只要搭配鍵盤底座就能化身為筆電的作業模式。</p> <p>Surface Go 3內建4GB或8GB LPDDR3記憶體，64GB或128GB儲存空間，官方宣稱平板電腦模式下，續航力可達11小時，並支援Windows Hello臉部辨識及TPM安全晶片。同時為了支援視訊會議、遠距學習，該款平板內建500萬畫素的前相機，以及800萬的後置相機。</p> <p>臺灣微軟Surface事業群副總經理周文英表示，Surface Go 3的可攜性，搭配觸控螢幕與微軟手寫筆，可滿足疫後混合辦公的需求，除了適合一般使用之外，針對教育市場及第一線的工作者，微軟和第三方業者合作，提供軟硬體組合的完整方案給商用市場。以教育市場為例，結合MDM提供行動裝置管理，以及Microsoft Learn與Minecraft的教育資源，搭配第三方業者合作的教材內容，提供完整方案給教育市場。</p> <p>Surface Go的10.5吋觸控平板及輕巧的設計，主要針對蘋果iPad而來，特別是目前iPad已在教育學習，以及餐飲服務、製造業等工作場所已有不低的能見度，微軟憑藉著Surface Go，結合第三方夥伴，挑戰iPad的市場地位。</p> <p>臺灣微軟也在展示Surface Go與第三方夥伴合作下，依不同場景的商業應用，在醫療院所使用的數位床頭卡，在咖啡店使用的POS系統，製造現場使用的安全巡檢，以及用於非接觸、遠端簽署合約使用的防偽數位簽核等等。</p> <p>在醫療方面，長庚醫療財團法人採用緯謙科技所開發的數位床頭卡，有別於傳統醫院在病床前的床頭卡使用紙張紀錄病人的訊息，目前在台北長庚醫院使用的數位床頭卡，內部其實是一臺Surface Go平板電腦，取代紙本的床頭卡，螢幕顯示該床病患的個人訊息，專責照護的醫師及護士、照護資訊等等，床頭卡顯示的資訊統一由護理站管理，還可搭配感應器模組，以NFC存取識別卡片的資訊。(圖片來源：微軟提供)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-%E6%95%B8%E4%BD%8D%E5%BA%8A%E9%A0%AD%E5%8D%A1.jpg" style="width: 600px; height: 407px;" /></p> <p> </p> <p>雲想科技則開發防偽數位簽核SelfieSign，可應用在保險合約的遠距簽核上，在疫情影響之下，民眾與保險業者在沒有面對面的情形下，如何讓民眾在遠端簽署保險服務，並確保簽核者的身分？ SelfieSign可讓民眾在Surface Go平板電腦上以手寫筆，在螢幕上簽署保險合約時，同時開啟前置鏡頭、錄音功能，錄下民眾簽署合約的影像及聲音，整合為特殊的檔案後，連同簽署的數位合約一併寄給保險業者，確保簽署者的身分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-SelfieSign.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>另一項安全巡檢應用，以平板電腦結合第三方開發的安全巡檢系統，讓巡檢人員攜帶Surface Go巡行製造現場，可以手寫或相機拍照的方式，紀錄各種巡檢資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-%E8%87%AA%E5%8B%95%E5%8C%96%E5%B7%A1%E6%AA%A2.jpg" style="width: 600px; height: 406px;" /></p> </div></div></div>
2021/12/22 18:33作者蘇文彬https://www.ithome.com.tw/news/148536
【資安日報】2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，近日波及各類應用系統的Log4Shell漏洞，許多IT人員可能找尋存在相關漏洞的Log4j而疲於奔命。針對這種現象，近期多個資安專家也疾呼，組織應重視「軟體材料清單（SBOM）」的維護，美國網路安全暨基礎設施安全局（CISA）也趁機舉辦SBOM-a-Rama研討會，來推廣這項工作。這樣的元件管理概念確實很理想，但也有資安人員認為，SBOM只是管理這些元件的第一步。</p> <p>日前有不少資安專家提出警告，做為入侵的管道，許多攻擊者購買能存取目標組織內部網路的帳號及密碼，但究竟這些帳密從那裡取得？有資安業者揭露近期受到買家歡迎的暗網市集2easy，但值得留意的是，駭客不若以往以量取勝，一次上架數百萬、數千萬用戶的資料（資料的有效性也難以判斷），而是以竊密軟體從受害電腦裡，從瀏覽器等應用程式偷取各式的帳密，還能藉由市集提供的平臺讓買家挑選，而且還很便宜（低於5美元），這樣的態勢，讓買家很有可能以極為低廉的成本，買到受害者的信用卡資料、已儲存應用系統的帳密等可被用於攻擊行動的資料，而成為大型攻擊行動的入侵管道。</p> <p>遊戲公司Ubisoft傳出因為遭到網路攻擊，旗下熱門遊戲《舞力全開（Just Dance）》的玩家資料外洩。但這次事故值得留意的原因，在於該公司仍在找尋配置不當的問題來源，為何會如此？疑似與該公司1年半以來已有不少員工出走有關。雖然配置不當造成的原因仍不得而知，但在此起事故發生之前，已有前員工透露，他離職後曾因為公司裡沒有人知道如何處理某些問題，而被請回去協助的情形。即使組織有了各式的規範和要求，但人力資源的管理不當，也可能衍生資安問題。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://ke-la.com/2easy-logs-marketplace-on-the-rise/"><span style="color: rgb(0, 0, 0);">暗網市集2easy兜售60萬臺電腦遭竊的帳密</span></a><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture5.png" style="width: 300px; height: 123px; float: right;" /></strong></h4> <p>暗網情報業者Kela指出，自2018年開始運作的暗網市集2easy，自去年開始快速成長，近期更受到許多網路犯罪者的歡迎，原因是該市集提供的價格低廉，是俄羅斯市場行情的三分之一，且該市集的使用者操作介面功能強大，可讓買家查看竊密軟體感染的電腦。研究人員表示，他們看到該市集半數的賣家以RedLine竊密，但也有賣家搭配Raccoon Stealer、Vidar、AZORult等其他竊密軟體使用。Kela指出，初期存取攻擊目標管道的市場正在成長，且與勒索軟體攻擊直接相關，因此這樣的市集動態值得關注。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/800k-wordpress-sites-still-impacted-by-critical-seo-plugin-flaw/"><span style="color: rgb(0, 0, 0);"><strong>80萬WordPress網站曝露於SEO外掛程式重大漏洞風險</strong></span></a></h4> <p>資安業者Automattic指出，名為All in One SEO的WordPress網站外掛程式，開發者日前修補了極為容易被利用的漏洞CVE-2021-25036、CVE-2021-25037，攻擊者可利用前者提升權限，而後者則能用於發動SQL注入攻擊。但修補程式推出2週後，研究人員發現仍有超過82萬個WordPress網站使用舊版外掛程式，而曝露於上述漏洞的風險之中。Automattic表示，攻擊者只要取得低權限用戶的帳戶（如訂閱者），就能利用，而使得這2個漏洞極為危險。</p> <h4><strong><a href="https://www.cadosecurity.com/the-continued-evolution-of-abcbot/"><span style="color: rgb(0, 0, 0);">殭屍網路Abcbot鎖定中國雲端業者代管的Linux伺服器</span></a></strong></h4> <p>資安業者Cado Security指出，殭屍網路Abcbot在近期的攻擊行動中，鎖定的目標為阿里、百度、騰訊、華為等中國雲端服務業者所代管的Linux虛擬機器，這些主機往往使用弱密碼，或是執行缺乏修補的應用程式，而成為容易被入侵的目標。一旦Abcbot成功入侵後，便會部署Bash程式碼，並停用SELinux防護機制，為攻擊者建立後門，接著會尋找其他能被感染的主機。研究人員認為，攻擊者會鎖定中國雲端業者代管的Linux虛擬機器下手，主要是這些業者普遍缺乏相關的異常警示機制，而讓攻擊行動較為容易進行。</p> <h4><strong><a href="https://blog.pradeo.com/pradeo-identifies-app-joker-malware-google-play"><span style="color: rgb(0, 0, 0);">騙錢安卓App暗中訂閱高價服務，已有50萬人上當</span></a></strong></h4> <p>資安業Pradeo者在12月16日指出，他們發現Google Play市集上名為Color Message的安卓應用程式，內含騙錢軟體（Fleeceware）Joker，會模擬用戶點選螢幕上的內容，且會攔截簡訊，然後擅自替受害者訂閱高額付費服務，為了讓受害者不易刪除，安裝完成後還會隱藏圖示，在Google獲報下架前已有50萬人安裝。研究人員表示，Joker的開發者刻意隱藏其行蹤而難以發現，且最近2年出現在數百個應用程式裡，他們呼籲用戶即便是從市集下載App，最好從用戶評價等方面來進行評估。</p> <h4><strong><a href="https://www.zdnet.com/article/ubisoft-confirms-just-dance-data-breach-amid-developer-exodus/"><span style="color: rgb(0, 0, 0);">遊戲公司Ubisoft驚傳遭到攻擊，舞力全開玩家資料遭到外流</span></a></strong></h4> <p>遊戲公司Ubisoft於12月21日發出公告指出，他們的IT基礎設施遭到網路攻擊，攻擊者是針對旗下的熱門遊戲《舞力全開（Just Dance）》而來。這起事件發生的原因，該公司認為是配置不當造成，而他們還在找尋有問題的配置並儘速修復，但已經導致未經授權的人士能夠用來複製部分玩家的資料。Ubisoft並未透露受害人數的規模，但表示已發出通知給受影響的玩家。ZDNet認為，這起配置不當很可能與近日Unisoft爆發離職潮有關。</p> <h4><strong><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-november-2021-439934"><span style="color: rgb(0, 0, 0);">勒索軟體Pysa攻擊大幅增加</span></a></strong></h4> <p>針對近期的勒索軟體威脅態勢，資安業者NCC Group提出他們的觀察，在2021年11月，勒索軟體Pysa（亦稱Mespinoza）的攻擊行動大幅增加50%，首度超過Conti，而與LockBit成為這個月最嚴重的2大勒索軟體威脅。再者，該公司亦提及，工業領域仍是駭客偏好的目標，但鎖定汽車、房屋、娛樂、零售業的攻擊也有所增加，超過科技產業。</p> <h4><strong><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-november-2021-439934"><span style="color: rgb(0, 0, 0);">針對不付錢的受害者，勒索軟體駭客出新招：出賣受害組織的入侵方法</span></a></strong></h4> <p>資安業者NCC Group公布對於2021年11月的勒索軟體威脅態勢分析，當中提及最值得觀察的勒索軟體是Everest，雖然對於不願付贖金的受害組織，他們也要脅會外洩機密資料，但實際上，該組織從11月開始，開始出售受害組織IT基礎設施的存取帳密。這些受害組織包含了阿根廷政府、秘魯財政部、巴西警方等。研究人員認為，這樣的手法可能會在2022年有更多駭客組織仿效。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/new-mobile-network-vulnerabilities.html"><span style="color: rgb(0, 0, 0);">新的行動網路漏洞影響2G至5G 網路</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/acsac21-49-fig3.jpg" style="width: 250px; height: 299px; float: right;" /></h4> <p>紐約大學阿布扎比分校的研究人員指出，他們發現1項影響自2G時代就存在的行動網路漏洞，攻擊者可藉由低成本的設備，發動阻斷服務（DoS）與中間人（MitM）攻擊。這項漏洞與基地臺之間的電話與資料傳輸過程有關，研究人員表示，雖然這些訊號在交換的過程中受到加密保護，但內容並沒有進行驗證，而使得攻擊者能強制設備將訊號傳送到惡意基地臺，且因為來源基地臺無法對量測報告出現的錯誤進行處理，而使得這種攻擊很可能不會被發現。</p> <h4><strong><a href="https://www.securityweek.com/facebook-patches-vulnerability-exposing-page-admin-identity"><span style="color: rgb(0, 0, 0);">臉書修補曝露網頁管理員身分的漏洞</span></a></strong></h4> <p>年僅19歲的尼泊爾資安研究人員Sudip Shah，發現安卓版臉書App中，存在不安全的直接物件引用（IDOR）漏洞，恐導致網頁管理員的身分曝光。這項漏洞影響啟用直播影片的臉書網頁，研究人員認為，大多數臉書的頁面可能都具備相關功能而受到影響。臉書10月5日獲報後於同月21日修補，並在11月5日給予這名研究人員4,725美元的抓漏獎勵。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.forrester.com/blogs/log4j-open-source-maintenance-and-why-sboms-are-critical-now/"><span style="color: rgb(0, 0, 0);">Log4Shell漏洞突顯軟體材料清單議題</span></a></strong></h4> <p>引起全球震憾的Log4Shell漏洞，因為Log4j存在於許多軟體專案裡，而使得IT人員可能疲於奔命找出需要修補的元件。研究機構Forrester指出，這起漏洞事件突顯軟體材料清單（SBOM）的重要性，許多資安人員表明，精準的SBOM能有助於組織快速找出這種無所不在的元件，並予以修補。適逢美國網路安全暨基礎設施安全局（CISA）的推廣SBOM活動，他們認為組織應趁著本次事件，儘速為軟體專案導入SBOM。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/whitesource-launches-free-tool-to-detect-and-remediate-log4j-vulnerabilities-301445546.html"><span style="color: rgb(0, 0, 0);">資安業者提供免費的Log4Shell漏洞偵測工具</span></a></strong></h4> <p>因Log4j存在於許多軟體套件裡，使得重大漏洞Log4Shell的修補作業極為困難。對此，開源軟體管理解決方案業者WhiteSource自12月15日宣布，提供免費的Log4Shell漏洞CLI檢測工具Log4jDetect，目前已更新至1.2.1版，IT人員可從GitHub下載這項工具，來找出開發專案中存在的CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-4104等Log4j漏洞，該檢測工具也會呈現直接與間接的相依性，並顯示在Maven、Gradle等套件管理器裡，是否有修補完成的套件能夠更新。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> </div></div></div>
2021/12/22 15:04作者周峻佑https://www.ithome.com.tw/news/148522
CDP平臺吹進臺灣，iKala資料科學家點出2大推力加速企業更需整合顧客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">行銷科技圈近年崛起的顧客<font style="box-sizing: border-box; vertical-align: inherit;">數據平臺</font>（CDP），也開始吹進臺灣，iKala資料科學家林辰駿更觀察，疫情帶動的企業數位轉型，驅動更多顧客資料分析的需求出現，再加上第三方Cookie逐漸退場，企業對第一方數據的蒐集需求也更加迫切，這是帶動CDP在臺灣崛起的推力。</p> <p dir="ltr">CDP是近年是行銷科技業的明星產品，知名<font style="box-sizing: border-box; vertical-align: inherit;">CDP學院調查</font>，計畫在2021年採用或已經導入CDP的企業超過7成，市調公司ReportLinker更預估，CDP市場規模5年後將翻5倍，達到153億美元。</p> <p dir="ltr">參與過CDP平臺開發的林辰駿指出，造成CDP採用加速的關鍵有二，一是疫情的來襲，為企業數位轉型添了一把火，驅動更多顧客資料分析的需求出現。由於CDP的資料整合功能，能讓企業取得更完整的顧客資料，掌握顧客偏好以進行精準行銷，因而有更多企業要採用CDP，來強化獲客與留客。</p> <p dir="ltr">再加上，隨著第三方Cookie逐漸退場，企業對第一方數據的蒐集需求也更加迫切。他解釋，企業過去較聚焦第三方數據的整合，也就是透過用戶瀏覽器或裝置的身份識別ID，蒐集第三方數據來執行廣告行銷活動。然而，科技巨頭日益嚴格的資料隱私政策，讓第三方數據的蒐集更加困難，「這個趨勢讓企業重新思考，該如何重新經營顧客關係、蒐集顧客數據？」</p> <h3 dir="ltr"><span style="color:#FF8C00;">CDP強項是顧客數據整合，整合第三方自動化行銷工具更可達到精準行銷</span></h3> <p dir="ltr">CDP主要功能是數據整合能力，可將企業散落在多個系統的數據，彙整到單一平臺中，「解決資料孤島的問題。」林辰駿以iKala接觸的金融業者來說明CDP的好處，由於金融業者販售的金融商品眾多，且每個商品都有對應蒐集的顧客資料，不同商品的顧客採用資料，就分散在多個系統中。這類情境，就適合透過CDP將數據彙整，來更完整檢視單一顧客與多項產品的互動歷程。</p> <p dir="ltr">不過，市場常見的CDP，大多都採SaaS服務，企業必須將自己位於地端、雲端甚至是外部數據彙整到CDP中，才能重新整合與梳理後，再根據行銷目的進行精準行銷。林辰駿指出，整合資料的過程，通常需要業務端與IT技術人員合作，釐清數據在企業中存放位置，或是根據需求重新蒐集相關數據，才能匯入。</p> <p dir="ltr">但是，金融業仍有機敏資料上雲的疑慮，對涉及個資或較敏感的資料，例如顧客的轉帳交易、個人資產數據等，企業得進行資料加密處理才能上雲。但林辰駿說明，CDP主要蒐集的顧客數位足跡，大多是基於顧客的身份識別碼來進行資料蒐集與媒合，這類資料就不屬於機敏資料，較不會有上雲疑慮。</p> <p dir="ltr">企業整合數據後，下一步，則是要提高廣告行銷活動的成效，需要將顧客分眾來進行精準行銷。林辰駿指出，現有CDP不一定內建這類功能，廠商多半得合作串接其他Martech廠商的服務，比如顧客數據分析與行銷自動化（Marketing Automation，MA）工具，才能讓企業更容易執行如再行銷、優惠券發送等任務。</p> <p dir="ltr">不過，林辰駿觀察，國外CDP平臺串接第三方自動執行廣告行銷流程的能力，已經相當成熟，而且，運用這些工具執行活動期間的數據，也都會回頭彙整到CDP中，讓企業完整掌握廣告行銷的流程與成效。</p> <p dir="ltr">除了整合數據，林辰駿指出，CDP的另一大特色，是能提供使用者友善的介面，讓非資訊人員也能藉由容易操作的介面，降低使用數據的門檻，「讓行銷人員可以用CDP，更快、更精準的找出溝通受眾，同時提升跨部門資料分析的效率，也能透過多項指標，快速觀察行銷成效。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">臺灣企業CDP採用觀察：疫情後更多企業擁抱數位行銷，驅動顧客數據整合需求</span></h3> <p dir="ltr">林辰駿也接觸過一些採用CDP的企業，如電商、零售或是線上教育業者都因會員經營需求而採用。除了大企業要導入或自建CDP，也有越來越多中小企業要採用。他也觀察到，更多企業開始有匯入外部第三方數據的需求，比如匯入Google Ads Data Hub數據，或是臉書的公開社群行為數據。</p> <p dir="ltr">不只B2C企業，B2B企業也需要整合客戶資料。尤其，去年疫情爆發後，臺灣許多B2B企業開始導入數位行銷工具，轉而以官網與社群媒體來獲客，行銷數位化帶來了更多數據整合需求，林辰駿指出，比如客戶在網路上的瀏覽歷程、客服諮詢數據、過往交易資料等，「雖然數據量不大，但還是需要CDP這類平臺來整合。」</p> <p dir="ltr">從市場趨勢的變化來看，林辰駿觀察，臺灣這股CDP需求，吸引了不少國外業者來臺搶市場，包括Salesforce、SAP、Oracle、微軟、Adobe等，也有不少本土CDP業者崛起，「臺灣市場的CDP廠商尚未達到飽和，但在持續收斂當中。」</p> </div></div></div>
2021/12/22 17:38作者翁芊儒https://www.ithome.com.tw/news/148405
Speedtest：Starlink使用者增加導致2021Q3連線速度下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路測速網站<a href="https://www.speedtest.net/insights/blog/starlink-hughesnet-viasat-performance-q3-2021/">Speedtest</a>針對興起的衛星網路進行評比，透過2021年第二、三季的資料，來比較全球衛星網際網路的效能，還有衛星網際網路與全球固網速度的差異。</p> <p>衛星網路供應商最近動作頻頻，SpaceX Starlink不只在許多新國家和地區拓展服務之外，Viasat也計畫收購Inmarsat，而究竟目前衛星網路實際提供的的速度為何，Speedtest揭露了多個國家的速度資料。</p> <p>全球目前主要有三家衛星網路供應商，Starlink、HughesNet以及Viasat。以美國來說，2021年第三季與第二季的整體衛星網路效能下降，Speedtest所提供的資料顯示，Starlink的中位下載速度，就從97.23 Mbps下降到了87.25 Mbps，Speedtest提到，這個現象可能是因為Starlink新增許多使用者的關係。</p> <p>HughesNet提供的下載速度則遠不及Starlink，下載速度只有19.30 Mbps，而Viasat則緊接在後，下載速度為18.75 Mbps。第三季Starlink與美國全部固網所提供的中位下載速度為119.84 Mbps，相差32.59 Mbps。Speedtest表示，Starlink的中位上傳速度為13.54 Mbps，與固網所提供的中位上傳速度18.03 Mbps相去不遠，而HughesNet以及Viasat的中位上傳速度，則分別為2.54 Mbps和2.96 Mbps。</p> <p>在延遲上，固網的延遲最低，僅有15 ms，而Starlink的中位延遲為44 ms，HughesNet和Viasat的延遲則遠高於前兩者，分別是744 ms和629 ms。由於Starlink是唯一一家低軌道（LEO）衛星網路供應商，而Viasat和HughesNet則是使用更高的地球同步軌道，因此Starlink延遲中位數硬是比競爭對手少上一個量級。</p> <p>不過，Starlink的中位數下載速度，在美國304個郡各有不同，甚至差異高達100 Mbps，新墨西哥州聖達菲郡擁有最快中位下載速度146.58 Mbps，而密西根州德拉蒙市則只有46.63 Mbps，但因為FCC規定最低的速度為25 Mbps，因此仍在基準之上。</p> <p>Starlink在其他國家的表現，與在美國境內的情況相去不遠，在澳洲，Starlink仍然明顯優於Viasat，中位數下載速度為138.12 Mbps，上傳速度達22.63 Mbps，但是由於澳洲固網中位下載速度僅有51.17 Mbps，因此Speedtest提到，Starlink在澳洲可以成為有吸引力的固網替代方案。不過在延遲上，Starlink的中位延遲為44 ms，而固網為10 ms。</p> <p>其實不只澳洲，在比利時、巴西、德國、英國、紐西蘭和加拿大，都有與澳洲相似的情況，Starlink在2021年第三季所提供的中位下載和上傳速度，都高於當地固網的速度，特別是幅員廣闊的國家，在很多地區沒有固網服務，因此Starlink便會成為極具吸引力的選項。但Starlink在美國和澳洲，都有因為使用者人數增加，導致第三季較上一季速度緩慢的情況發生，這點值得使用者特別注意。</p> </div></div></div>
2021/12/22 16:05作者李建興https://www.ithome.com.tw/news/148523
麥當勞把個人化平臺Dynamic Yield轉手賣給萬事達卡公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20211221005354/en/" target="_blank">麥當勞（McDonald's）與萬事達卡公司（Mastercard）周二（12/21）宣布</a>，麥當勞已同意把於2019年收購的個人化平臺Dynamic Yield出售給萬事達卡公司，預計於明年上半年完成交易。雖然雙方並未公布財務細節，但<a href="https://www.cnbc.com/2021/12/21/mcdonalds-to-sell-digital-tech-startup-dynamic-yield-to-mastercard-.html" target="_blank">外傳此一交易的規模超過3億美元</a>。</p> <p>成立於2011年的Dynamic Yield為一個人化的消費者經驗平臺，透過機器學習技術並根據消費者的購買紀錄、瀏覽紀錄或其它特性，來提供個人化的推薦服務，全球有超過400個品牌為該平臺的客戶，包括零售、金融、旅遊及餐館等。</p> <p>麥當勞在買下Dynamic Yield之後，也利用該平臺的技術於多個市場提供點餐Kiosk及得來速的個人化服務，此外，在短短的3年內，Dynamic Yield的營收也翻了一倍。</p> <p>至於萬事達卡公司則表示，未來將利用Dynamic Yield技術提供更多的個人化服務予客戶及合作夥伴，不管是在消費者的購物上，或是協助企業發展業務，建立一個統一的消費者互動及忠誠度中心將進一步擴展萬事達卡網路的價值。</p> </div></div></div>
2021/12/22 14:26作者陳曉莉https://www.ithome.com.tw/news/148521
Google Maps拍到美國B-2隱形轟炸機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Maps可以找到許多有趣的東西，像是已逝長者在世最後身影、軍事基地、失落文明遺跡、神祕大地圖案等等。<a href="https://www.reddit.com/r/Damnthatsinteresting/comments/rkl236/a_stealth_bomber_in_flight_caught_on_google_maps/" target="_blank">近日有多名用戶在Google Maps上發現美國軍方的B-2隱形轟炸機</a>。</p> <p>Google Maps不但拍攝到了這軍方武器，還是它正在飛行中的影像。似乎不只一個人看到，有另外<a href="https://www.reddit.com/r/interestingasfuck/comments/rll67s/i_spy_a_stealth_bomber_google_maps_edition/" target="_blank">數名用戶</a>也張貼類似但不一樣的<a href="https://www.reddit.com/r/NonCredibleDefense/comments/rfmy54/google_maps_can_see_stealth_aircraft/" target="_blank">Google Maps截圖</a>。</p> <p class="rtecenter"><img alt="" src="https://preview.redd.it/2ji4e9nyvc581.png?width=960&crop=smart&auto=webp&s=23280f2273e49c5a01606a7ce4b5c2bd0c782f44" style="width: 600px;" /></p> <p><a href="https://www.reddit.com/r/NonCredibleDefense/comments/rfmy54/google_maps_can_see_stealth_aircraft/" target="_blank"><span style="color:#696969;">Photo by u/Purple_Calico via Reddit</span></a></p> <p>B-2隱形轟炸機是美國在冷戰期間打造，以其特殊材質及機構設計能躲過雷達偵測聞名，還能裝載2.2萬公斤的炸彈，更有長程飛行作戰及將近每小時1,000公里的飛行速度。迄今仍被視為最強大的轟炸機，鮮有國家望其項背。每臺造價7.4億美元，全球僅有21架。</p> <p>根據Google Maps顯示的座標，顯示這是位於密蘇里州懷特曼空軍基地（Whiteman Air Force Base）北方40公里處。</p> <p>拍攝到的B-2有點模糊，<a href="https://www.techradar.com/news/eagle-eyed-redditor-spots-a-flying-stealth-bomber-on-google-maps" target="_blank">TechRadar解釋</a>這是因為以衛星攝影機量測紅、綠、藍光波長並整合成一張照片的結果。這張照片來自Google合作的Maxar Technologies的衛星影像。</p> <p>2017年也有Reddit用戶發現Google Maps在英國南部一座國家公園<a href="https://www.reddit.com/r/screenshots/comments/6p205t/airliner_caught_mid_flight_on_google_maps/" target="_blank">拍攝到一張民航機影像</a>。</p> </div></div></div>
2021/12/22 12:32作者林妍溱https://www.ithome.com.tw/news/148519
Cloudflare：TikTok超越Google，成為全球最熱門的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路與資安服務的<a href="https://blog.cloudflare.com/popular-domains-year-in-review-2021/" target="_blank">Cloudflare在本周一（12/20）公布全球流量報告</a>，指出TikTok已於今年底超越Google，成為全球最熱門的網域。</p> <p>Cloudflare是在2020年9月才發表<a href="https://radar.cloudflare.com/" target="_blank">Cloudflare Radar服務</a>，利用該平臺所處理的來自10億個獨立IP的HTTP與DNS請求，來偵測全球網路的現象與趨勢，包括流量、瀏覽器、作業系統，或是新技術的採用。也希望在全球網站流量排名系統<a href="https://www.ithome.com.tw/news/148264" target="_blank">Alexa Internet退休</a>後，成為全球用戶的參考指標。</p> <p>Cloudflare Radar的數據顯示，Google一直是全球網路流量的龍頭，去年還立於明顯領先地位，TikTok去年僅排名第七，但今年以來，其單日流量已時不時被TikTok超越，到了10月與11月，TikTok於大多數日子的流量都已超過Google。</p> <p>TikTok從去年的第七名竄升到今年的第一名，而其它前幾名的順序則沒有變動，第二名到第五名依序是Google、臉書、微軟及蘋果。</p> <p>TikTok不僅在全球網域流量排行榜上超越Google，想當然爾地，它也在社交媒體網域奪下第一，擊敗去年第一名的臉書，其它依序為YouTube、Twitter與Instagram。</p> <p>另外，影片串流服務的前五名為Netflix、YouTube、Roku、HBOMax與Hulu；電子商務的前五名為Amazon、淘寶、eBay、Walmart與京東；聊天網域只列出了前四名，依序是WhatsApp、微信、Signal與Telegram。</p> <p>Cloudflare還列出了熱門的元宇宙（Metaverse）流量排行榜，入榜的前三名全為遊戲業者，它們是Roblox、Epicgames與Secondlife。</p> </div></div></div>
2021/12/22 12:43作者陳曉莉https://www.ithome.com.tw/news/148520
1.7萬個Maven Java套件受Log4j漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j漏洞之所以震撼全球，是因為使用的網站及軟體太多。<a href="https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html" target="_blank">Google上周發現</a>許多開發人員常用的Maven Central儲存庫（repository）、也有高達1.7萬個Java套件受到該漏洞影響，可能引發軟體供應攻擊，其中有約1/4已經修補。</p> <p>Maven Central儲存庫用以協助開發人員解決函式庫的相依性管理問題，是最主要的Java套件庫之一。Google開源碼分析洞見小組上周（12/17）指出，Maven Central儲存庫有35,863 個Java套件使用受影響的Log4j程式碼，占所有Maven Central套件的8%。不修補的結果將成為軟體用戶的災難，攻擊者可使用惡意JNDI 查詢指令，在用戶系統上遠端執行程式碼。許多版函式庫中是預設開啟JNDI查詢功能。</p> <p>不過Google稍後指出，這3.5萬是根據原先CVE公告，將依賴log4j-core及log4j-api的Java套件列入計算。之後，CVE公告澄清只有log4j-core有Log4j漏洞影響。截至12月19日，因log4j-core相依而受影響的Java套件有1.7萬餘個，占所有Maven Central Java套件約4%。</p> <p>Google以Java套件是否升級到2.16.0（最新版為2.17.0）或移除和Log4j相依性定義它是否修補。到12月19日，有25%（約4200個套件）已經完成修補。</p> <p>在這1.7萬受影響的Java套件中，大部份是間接依賴log4j。研究人員解釋，當漏洞位於相依鏈（dependency chain）愈深層，就需花愈多步驟來解決。Google分析Maven Central Java套件大部份都超過1層深，而5到9層深者也為數不少。</p> <p>至於所有受Log4j漏洞影響的Java套件修補要多久時間，Google認為很難說，由於目前修補比例並不高，因此全部修補好要花幾年也說不定。<a href="https://commondatastorage.googleapis.com/log4j_vulnerability/log4j_top_500_dependents.csv" target="_blank">Google也提供</a>500個和Log4j直接相依的Java套件，及是否修補的清單供開發人員及管理員參考。</p> <p>除了發送惡意JNDI查詢指令外，<a href="https://www.ithome.com.tw/news/148482" target="_blank">Blumira另外也發現攻擊者可藉由WebSocket協定傳送惡意HTTP請求觸發Log4j漏洞（Log4Shell）</a>，而在用戶機器或本地網路主機上執行任意程式碼。此外2.16.0版本<a href="https://www.ithome.com.tw/news/148457" target="_blank">還發現一個DoS漏洞</a>。為確保安全，Apache呼籲開發人員及管理員應升級到最新的2.17.0版。</p> <p><a href="https://www.ithome.com.tw/news/148482" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/21相關報導 </span></span> </strong></span><span style="color:#3399ff;"><span style="font-size:20px;"><strong>WebSocket成Log4j漏洞攻擊新管道，連不對外網路主機也曝險</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Log4j 2.15.0修補不全、Apache再釋2.16.0新版</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/22 11:21作者林妍溱https://www.ithome.com.tw/news/148508
下載50萬次的Android App會幫用戶偷偷訂閱高價服務，還竊取聯絡人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.pradeo.com/pradeo-identifies-app-joker-malware-google-play" target="_blank">研究人員發現</a>一隻在Google Play Store上下載次數超過50萬的App，內含惡意程式Joker，下載安裝後不但會竊取用戶聯絡人清單，還會偷偷幫用戶訂閱高價服務。</p> <p>這款App為Color Message，看似文字通訊的外掛程式，可為文字訊息加入表情符號及攔阻垃圾訊息。在被Google移除前，它在Google Play Store上已經被50多萬人下載。安全廠商Pradeo Security發現，它並不像表面上那麼單純。Color Message內含一隻叫Joker的惡意程式。後者是一種騙錢軟體（Fleeceware），主要活動是模擬點擊以及攔截簡訊，目的在偷偷代用戶訂閱貴死人的付費服務。Joker作者只使用很少程式碼來開發，而且為免被發現，它會在安裝後刪除圖示。這些特性使它相當難被偵測到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-color%20message%20joker%20malware-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Pradeo</span></p> <p>進一步分析，這隻App還會存取用戶裝置的聯絡人清單，並且送到位於俄羅斯的伺服器。Color Message的使用者條款也很可疑，不但代管在一個不知名的一頁式部落格上，而且內容十分簡略，未說明該App會在用戶裝置上會做哪些事，像是存取用戶聯絡人資料。Google Play Store上使用者怨聲載道，有人抱怨被該App詐騙，另有人想聯絡開發者卻不得其門而入。</p> <p>Google獲報後，已經在周二從Play Store將Color Message移除。</p> <p>事實上，Color Message不是第一隻內含Joker的App，研究人員過去兩年發現Joker已經感染了數百個下載次數都超多的App。<a href="https://www.ithome.com.tw/news/135301" target="_blank">去年Google也曾從Play Store上移除</a>1,700多個內含Joker的應用程式。</p> </div></div></div>
2021/12/22 10:00作者林妍溱https://www.ithome.com.tw/news/148496
伊頓揭露明年在臺產品策略，首推UPS儲能系統搶搭用電大戶能源轉型潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">搶搭再生能源需求潮，國外UPS業者伊頓（Eaton）宣布明年在臺產品新策略，將鎖定用電大戶的企業省電需求，主推可儲電的雙功能UPS，不只可用於斷電備援供電，還能在尖峰高電價時段提供替代電力的需求。因此，伊頓明年將在臺主推儲能系統規劃服務，也將在臺設置高階儲能方案展示中心。</p> <p dir="ltr">伊頓臺灣關鍵客戶協理陳如芃表示，臺灣電價便宜，不似其他國家，用電尖峰與離峰時段的電價差異大，儲電設備投資後效益不明顯，企業較不具迫切需求採用。直到今年初，再生能源發展條例增列，超大用電量企業須在五年內建置10%再生能源設備，也稱為「用電大戶條款」，才讓大企業面臨能源轉型，出現儲能的需求。</p> <p dir="ltr">其中一大要在臺灣推動的策略，即是儲能系統的規劃與客製化建置。伊頓約在2017年，與微軟合作開發了雙功能UPS（Dual Purpose UPS），兼具UPS不斷電及儲能系統兩種功能，除了能在斷電時刻緊急供電之外，另一項儲電功能，則能讓企業在電價相對較低的用電離峰時段儲電，並在電價高的尖峰時段釋放電力，取代原本高電價時段的用電量，來節省電費支出。這項產品鎖定對供電穩定性、節能有迫切需求的企業。2019年也已經在臺推出。</p> <p dir="ltr">再加上，台電今年11月推出電力交易平臺，大力推動民間企業儲能，以供台電用電吃緊時，能向民間購買電力。換言之，企業建置儲能設備後，不僅平時可以靠高低電力價差來節省電費，緊急時刻將電賣給台電，更能獲得一筆收益。由於儲能設備投資的效益提升，能以更短時間回本，不只企業需求應加，市場上也出現更多儲能設備商，要搶攻臺灣市場。伊頓明年策略也將提供能源顧問服務，來提供能源系統建置、試算效益服務等。</p> <p dir="ltr">不只如此，伊頓更計畫在亞太區設立高階儲能方案展示中心，首個據點就是臺灣，預計在明年落成，同時也要成立能源管理系統軟體展示中心。伊頓過去在臺灣半導體市場奠下基礎，現在要進一步搶進持續成長的資料中心市場，尤其是，要搶攻5G多邊緣設備的複雜電力管理需求。</p> <p dir="ltr">伊頓臺灣行銷及技術支援協理江嘉倫指出，5G時代來臨，資料中心走向分散式架構，更多邊緣運算設備就像一個個小型的資料中心，也帶來更複雜的電力管理需求。伊頓不只要鎖定超大型、大型雲端服務企業、分散式架構的串流平臺，也要瞄準中小型企業。</p> <p dir="ltr">除了硬體產品，伊頓也將力推自家智慧能源管理平臺軟體Brightlayer，近來增加了3D可視化功能，已經內建主流廠牌硬體伺服器的3D模型，可供企業根據自家機房配置來建立虛擬機房，這個做法類似室內設計軟體，將各類傢俱模型拖曳擺放的概念。透過將設備虛擬化呈現，當設備發生問題，管理人員就能從虛擬機房顯示的問題處，快速在實體機房中比對、找出實體設備，更快進行危機處理，取代過去要透過眾多表格與數據查找問題設備的做法。除了可以進行電力設備和IT設備的能源管理，也具備災害預警、預測維修等智能預測能力。</p> </div></div></div>
2021/12/22 10:01作者翁芊儒https://www.ithome.com.tw/news/148493
Google：在Chromebook上執行Android程式的用戶一年成長50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近來持續推動Chrome OS用戶採用Android程式，<a href="https://chromeos.dev/en/posts/android-recap-2021" target="_blank">並宣布</a><a href="http://chromeos.dev/en/posts/android-recap-2021" target="_blank">在Chromebook上執行Android程式的使用者數量</a>，一年來成長了50%。</p> <p>Google是在2017年的1月宣布，未來所有新發表的Chromebook都將支援Android程式，Google的作法是讓Chromebook用戶安裝Google Play，再由Google Play下載Android程式，以於Chromebook上運作。</p> <p><a href="https://chromeos.dev/en/posts/whats-new-in-chrome-os-announcements-news-and-resources-from-io-21" target="_blank">根據Google今年5月的說法</a>，目前全球有超過4,000萬的學生或老師使用Chromebook，而且2020年由大型企業採購的Chromebook出貨量成長了83%。</p> <p>Google並未說明有多少比例的Chromebook用戶使用Android，僅以成長率來表示。</p> <p>但Google指出，現階段正逐步升級所有的Chromebook，使其支援Android 11；基於Chrome OS 93或以上版本的Chromebook，將改善對Android程式的視窗管理功能，讓使用者得以輕易切換Android程式的視窗大小；而Chrome OS 96或以上版本的Chromebook用戶，則可藉由Android平臺的 Nearby Share⁠功能，與Android或Chromebook用戶分享檔案。</p> <p>Chrome OS與Android都是由Google開發的平臺，相較於可能只有4,000萬用戶的Chromebook，Android全球用戶多達2.5億，且Google Play上提供了逾185萬種Android程式，不難理解Google想讓Chromebook用戶善用Android資源的政策，不過，自宣布近5年來，從<a href="https://www.ithome.com.tw/news/146416" target="_blank">微軟終止Android版Office支援Chromebook</a>，而Google還在推動市場採用的情況來看，該政策的執行似乎不怎麼成功。</p> </div></div></div>
2021/12/22 09:22作者陳曉莉https://www.ithome.com.tw/news/148495
微軟釋出新一代對話理解客戶端函式庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出下一代的<a href="https://devblogs.microsoft.com/azure-sdk/introducing-the-next-generation-of-the-conversational-language-understanding-client-library/">對話語言理解（Conversational Language Understanding）客戶端函式庫</a>，供開發者利用Azure雲端對話語言理解服務，訓練模型並且將其用於應用程式，提供相關的語言服務。開發者可以選擇使用.NET或Python，目前這些函式庫仍在測試階段。</p> <p>由於企業對於理解短文的智慧解決方案需求逐漸增加，微軟提到，隨著更複雜的解決方案被開發出來，改進和支援這些複雜使用案例的需求也不斷成長。這些場景從智慧客服機器人，到能夠理解開發者輸入的獨立系統，微軟提供語言認知服務來應對這些場景。</p> <p>語言認知服務（Language Cognitive Service）採用多語言Transformer模型，與現有的語言理解服務相比，官方表示，開發者能夠感受到明顯的效能改進。</p> <p>對話語言理解是一種雲端服務，能夠讓開發者使用先進的技術訓練對話語言模型，而對話語言理解API是Azure認知服務的一部分，為雲端機器學習訓練和人工智慧演算法的集合，開發者可以將這些功能與REST API或是客戶端函式庫一起使用。</p> <p>新的對話語言理解服務還支援創建調度專案（Orchestration Project）的能力，多語言Transformer模型支援這些調度專案，並且讓開發者配置專案，以路由到多個自定義的語言服務，這些服務包括問答知識庫、其他對話語言理解和經典的語言理解服務（LUIS）。</p> <p>開發者可以使用微軟新發布的對話理解客戶端函式庫來建立各種對話應用，像是分析聊天機器人場景的對話，藉由將終端用戶提供的文字對話作為輸入，呼叫客戶端來執行同步操作，指定模型和部署槽以進行分析。開發者也可以對同一模型提供不同語言的話語，來使用嵌入式多語言功能。</p> </div></div></div>
2021/12/22 09:34作者李建興https://www.ithome.com.tw/news/148490
Google在行動鍵盤Gboard使用聯合重建技術改進推薦品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google揭露行動裝置鍵盤Gboard，所使用的新聯合學習（Federated Learning）技術，這項技術被Google稱為<a href="https://ai.googleblog.com/2021/12/a-scalable-approach-for-partially-local.html">聯合重建（Federated Reconstruction）</a>，目標是要大規模進行部分本地聯合學習，使得在訓練模型時，讓部分模型參數永遠不會在伺服器聚合。</p> <p>Google提到，在矩陣分解（Matrix Factorization）用例，他們推薦使用聯合重建，因為可以將用戶的嵌入保留在用戶的裝置本地端，也就是說，在訓練模型時，針對每個用戶完全個人化，但是又能避免這些參數交流。Google將這項聯合學習技術部署到Gboard中，提供數億鍵盤使用者更好的推薦結果。</p> <p>聯合學習技術讓用戶能夠在不將原始資料發送到中央伺服器的情況下訓練模型，進而避免隱私敏感資料被收集。傳統聯合學習技術，通常所有用戶擁有單一全域模型，像是行動鍵盤應用程式的用戶，會共同訓練建議模型，但因為每個人對建議有不同的偏好，這種差異驅使全域模型可針對每個用戶進行個人化。</p> <p>但研究人員解釋，在特定情況下，因為隱私的考量，可能無法訓練全域模型，像是推薦系統的矩陣分解模型，要訓練一個完全全域模型的聯合模型，將會需要發送用戶嵌入更新到中央伺服器，而這個動作可能會揭露嵌入中用戶的喜好，而且即便模型沒有使用者特有的嵌入，將部分參數完全留在使用者裝置上，也能夠減少伺服器和客戶端的通訊，並且負責任地替每個使用者個人化這些參數。</p> <p>過去部分本地端聯合學習方法使用有狀態演算法，這會需要用戶的裝置儲存多輪聯合訓練的狀態，也就是說，這些方法需要裝置跨輪儲存本地參數。在大規模聯合學習環境中，這些演算法往往不夠實用，因為大多數用戶不參與訓練，而參加的用戶可能僅參與一次，導致狀態很少可用，或是在數輪之後狀態過於陳舊，此外，不參與的用戶都沒有經過訓練的本地端參數，也就阻礙了實際應用。</p> <p>而聯合重建技術是無狀態的，用戶裝置不需要儲存本地端參數，當用戶參與訓練時，在更新任何全域模型參數之前，會在全域參數凍結的情況下，在本地端參數上使用梯度下降法，隨機初始化和訓練本地端參數，接著便可以在本地端參數凍結的情況，計算全域參數更新。聯合重建方法不假設用戶具有前幾輪的訓練狀態，如此便能實現大規模訓練，並且不斷重建本地端參數，避免參數過時。</p> <p>Google為了驗證聯合重建在大規模用例的實用性，便將演算法部署到擁有數億使用者的Gboard中。Gboard用戶使用GIF和表情符號與其他人交流，而用戶對於這些情緒表達有高度的差異，因此剛好非常適合使用矩陣分解，來預測用戶想要分享的情緒表達。</p> <p>Google在用戶情緒表達歸類上使用聯合重建，訓練了矩陣分解模型，將用戶嵌入留存在每個Gboard用戶的本地端，然後部署使用該模型，研究發現表達推薦的點擊率大幅增加29.3%。</p> </div></div></div>
2021/12/22 09:39作者李建興https://www.ithome.com.tw/news/148492
零信任存取解決方案BeyondCorp Enterprise新增政策疑難排除工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的零信任存取解決方案BeyondCorp Enterprise，現在正式加入<a href="https://cloud.google.com/blog/products/identity-security/unblock-bce-users-for-easy-zero-trust-access">政策疑難排除（Policy Troubleshooter）</a>，供管理員快速分類封鎖存取事件，並且解封使用者。</p> <p>BeyondCorp Enterprise對用戶提供跨雲和跨裝置的應用程式安全存取，管理員能夠配置精細的規則，來管理敏感的企業資源存取，Google提到，雖然這些政策定義了建立和維護信任的方法，但作為零信任模型的一部分，有時候規則分層會使得用戶，難以理解存取應用程式和資源失敗的原因。</p> <p>因此管理員可以啟用BeyondCorp Enterprise政策疑難排除功能，替每個IAP資源存取被拒絕事件，即時產生故障排除URL，被阻擋的用戶會看到該故障排除URL，將其複製並傳送給管理員，管理員便可以快速透過該URL，診斷出問題所在，找出存取請求失敗的原因。</p> <p>政策疑難排除提供管理員，對整個存取事件發生的可見性，在疑難排除分析頁面中，管理員可以看到各種檢視圖，總結檢視圖會顯示所有相關政策，和成員資格調查結果的匯總。另外，IAM政策檢視圖則會顯示有效IAM綁定評估結果、權限授予情況，以及故障發生位置等資訊，同時管理員還可以查看用戶和裝置的上下文資訊列表。</p> <p>管理員可以利用這些檢視圖，向終端用戶提供存取失敗的詳細原因，包括群組成員身份、時間、位置限制和裝置規則等內容，管理員也能夠利用政策疑難排除功能，更新政策來允許用戶存取。</p> </div></div></div>
2021/12/22 09:44作者李建興https://www.ithome.com.tw/news/148494
金管會將開放純網保！需由金融機構與Fintech公司共同發起，最快2023年公布設立許可名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在今天（12/21）首度揭露開放設立純網路保險公司（以下簡稱純網保）5大政策目的，及設立純網保的發起人條件、營業據點及監理原則、最低實收資本額、業務範圍、風險管控等規畫細節，更預計2023年4月，臺灣將有純網路保險公司取得設立許可。</p> <p>金管會表示，消費者透過網路取得金融服務形成一股趨勢，國際上紛紛成立純網保公司或以網路保險為主的保險公司，來提供創新、多元、便利的保險商品與服務，擴大普惠保險，提供保險服務可及性及使用性。甚至，純網保公司更透過AI、大數據分析等技術，推動保險業數位轉型。</p> <p>因此，金管會參考了香港、中國、日本、新加坡、美國、歐盟等國家或地區發展純網保的國際經驗，訂定臺灣開放設立純網保公司的5大政策目的與規畫方向。首先，因應零工經濟、平臺經濟、共享經濟等數位化新經濟模式的興起，民眾在面臨新經濟風險時，所需的保險保障也逐漸增加，所以，金管會認為，開放純網保的營運模式，能夠滿足數位時代民眾保險需求，這是第一大目的。</p> <p>目前，國外針對零工經濟已發展出自有工作者保險，在共享經濟也發展出如共享汽車保險、共享房屋保險、共享辦公室保險，在平臺經濟更有租車平臺保險、外送人員平臺保險等創新商品推出。</p> <p>金管會設立純網保的第二大目的是推廣創新商品，金管會解釋，目前國內保險市場商品同質性高，且缺乏創新研發的保險商品，因此，需導入金融科技及數據資源與金融機構合作，來開發創新商品，比如，碎片型保險商品、場景風險保險。</p> <p>此外，擴大保險保障是金管會的第三大目的，金管會表示，臺灣民眾偏好購買儲蓄類型及投資型商品，僅有7成國人有投保人壽保險，且平均保險金額偏低，導致保險保障不足。因此，金管會表示，純網保將結合創新科技，主要提供簡單、易懂的保障型商品，來擴展保險的可及性與使用性。</p> <p>金管會的另一大目的是透過純網保的開放，來加速保險產業數位轉型與升級，進一步提升整體產業競爭力。另外，金管會認為，傳統中介通路主導，追求大量保費，不利推展保障型商品，因此，第五大目的是，開放純網保可運用金融科技，建構直接銷售通路，擴大保障型商品市場，讓有需求的民眾可快速取得保險商品。</p> <h3><span style="color:#0099ff;"><strong>純網保需由金融機構與金融科技業者共同申請成立</strong></span></h3> <p>金管會更一次揭露設立純網保規畫方向，包括最低實收資本額、業務範圍、發起人條件、預定負責人及大股東適格性、營業據點及監理原則、風險管控等。</p> <p>然而，產、壽險業有不同標準，針對產險業的純網保公司，業務範圍需以創新商品為主，保險契約多屬1年期或短期性質，資金以短期運用為主，最低實收資本額為10億元。而壽險業的純網保公司，業務範圍需以保障型商品為主，同時，限制保障年期，考量費率結構、保險金給付金額、不確定性等因素，資金將以中、短期運用為主，最低實收資本額則為20億元。</p> <p>此外，金管會規定，在純網保公司發起人條件中，需同時具備金融機構與金融科技業者2種角色，其中，金融機構部分，需有一家保險公司，或設有保險子公司的金控公司共同發起；另一共同發起人，必須是從事大數據資料分析、介面設計、軟體研發、物聯網、無線通訊等業務的金融科技業者，且得提出成功的業務經營模式。</p> <p>另外，純網保公司除了設置總公司及客戶服務中心外，不得設立其他實體營業據點。在監理原則，金管會認為，純網保公司與一般保險公司的差異點，在於提供服務的通路不同，因此，適用與現有保險公司相同的法規與監理要求。</p> <p>在風險管理面向，金管會表示，純網保公司需考量業務的風險性質、規模及複雜程度，依據保險業風險管理實務守則，建立起適當的風險管理機制，比如，流動性風險、保險風險、資訊安全等風險管理。另外，需建立投保限額、通報作業等機制進行控管。</p> <p>為因應純網保設立，金管會將修正保險業設立許可及管理辦法中，有關最低實收資本額、發起人條件、營業計畫書要求、營運據點等規範。同時，也將針對相關業務執行法規配合修正。</p> <p>金管會更訂出開放設立純網保的時程規畫，接下來，將進行外界意見徵詢，明年3月前將召開公聽會，4到7月將進行法規檢討及預告，並訂定審查機制，在8月時將發布修正法規，並對外公告受理純網保公司設立申請，11月將公布申請設立情形，經過5個月的審查期間，預計在2023年4月，將公布許可設立純網保公司的業者名單。文⊙李靜宜</p> </div></div></div>
2021/12/21 20:13作者李靜宜https://www.ithome.com.tw/news/148491
遠傳成立5G元宇宙加速器，將與新創業者組隊共搶消費、企業商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好元宇宙商機，遠傳電信宣布成立5G元宇宙加速器，並找來前臺灣微軟專家技術部總經理暨新創加速器執行長胡德民，擔任遠傳電信資訊暨數位轉型科技群執行副總經理，由胡德民擔任CIO，並負責推動5G元宇宙加速器。</p> <p>遠傳電信總經理井琪表示，元宇宙是以人為基礎發展出的虛擬世界，讓人們利用數位分身，在虛擬世界中克服真實世界的限制，例如距離與時間，從事社交、金融、娛樂、商業等活動。由於人們以數位分身在虛擬世界進行互動，背後仰賴高速傳輸巨量數據及低延遲的網路，才能提供沈浸式的體驗，因此5G成為元宇宙發展的有力條件。</p> <p>看好新科技形塑人們未來的行動生活，遠傳去年推出遠傳心生活，今年在元宇宙概念發燒之下，該公司更進一步成立5G元宇宙加速器，希望結合新創業者與該公司的技術、商模、資金、場景，發展元宇宙中各種場域應用。相較於擁有全球數億用戶的Meta所提出的宏觀元宇宙概念，遠傳聚焦在人們在數位生活、企業不同商業場景的應用，井琪期待元宇宙未來能成為5G的殺手級應用。</p> <p>遠傳所推動的5G元宇宙加速器，包括遠傳心生活共創平臺、遠傳大人物生態圈，分別鎖定消費、商用應用兩大市場。遠傳心生活共創平臺以消費者的行動數位生活體驗為主，將和新創業者合作，鎖定元宇宙、虛擬經濟、5G數位生活，提升消費者在社交、工作、娛樂、購物、教育等方面的體驗。</p> <p>至於遠傳大人物生態圈，則以企業的數位轉型方案為主，遠傳電信認為不論是元宇宙或是數位分身，基礎仍在於大數據、人工智慧、物聯網等技術，與遠傳推動的大人物（大數據、人工智慧、物聯網）不謀而合，未來將引薦新創業者介接遠傳的企業客戶，，依不同企業的應用場景，進行PoC概念驗證、PoS服務驗證與PoB商業驗證，提供數位轉型解決方案，加智慧醫療、智慧金融、智慧製造、智慧交通的實現。</p> <p>今年8月才加入遠傳的胡德民，先前就具有豐富的新創加速扶植經驗，他表示，相較於其他加速器，遠傳電信投入10億元成立的5G元宇宙加速器，除了資金之外，更重要的是提供遠傳的技術及場景支援，加速新創業者技術、商業模式、資金的發展，並有機會進入企業的場域。</p> <p>今天成立之後，到明年1月底前，接受新創業者申請，明年過年後將公布評選結果，4月啟動go to market，預定在明年9月發表成果。遠傳歡迎其他加速器的推薦，並且歡迎其他創投業者或國發基金，對感興趣的新創業者挹注資金。</p> <p>遠傳電信推出加速器的背後，內部也悄悄推動組織改造，前任CIO束宜鵬退休後，井琪將原本的IT部門（遠傳電信資訊科技群），和原本由她帶領的數位轉型辦公室合併，成為遠傳電信資訊暨數位轉型科技群，由胡德民帶領新的部門，同時IT也不只對內，也對外提供顧問服務，協助其他企業加速數位轉型發展。</p> <p>井琪表示，新的資訊暨數位轉型科技群，將遠傳電信內部轉型的最佳實踐方案，例如遠傳在大數據、上雲方面的經驗，向企業客戶推廣。</p> </div></div></div>
2021/12/21 18:48作者蘇文彬https://www.ithome.com.tw/news/148489
【資安日報】2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自Log4Shell漏洞傳出各式各樣的攻擊行動，國家級駭客、惡名昭彰的勒索軟體駭客組織相繼利用這個軟體的漏洞下手，已有國防單位成為受害者。比時時國防部證實於12月16日遭到網路攻擊，且駭客入侵的管道就是Log4Shell漏洞，而成為第1個未修補漏洞而被攻擊者得逞的政府機關。而這個漏洞的威脅態勢加劇的情況，也可以從其他防禦者的動作看出端倪。例如，新加坡特別召集關鍵資訊基礎設施（CII）業者來宣導相關防禦工作。</p> <p>除了上述的漏洞威脅，網路釣魚的威脅也值得我們留意。研究人員發現一波假冒輝瑞（Pfizer）藥廠的釣魚郵件攻擊，特別的是，他們沒有挾帶有惡意軟體或巨集的文件，研究人員推測，攻擊者很可能是為了收集用來商業郵件詐騙（BEC）所需的資料。</p> <p>而在國內的資安新聞中，東元電機與東捷資訊在證交所發布資安事故重大訊息，表明部分資訊系統遭到網路攻擊，後續發展值得關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.brusselstimes.com/belgium/198521/belgian-defence-ministry-network-partially-down-following-cyber-attack"><span style="color: rgb(0, 0, 0);">比利時國防部遭到Log4Shell漏洞攻擊，部分系統暫停使用</span></a></strong></h4> <p>根據VRT新聞網站的報導，比利時國防部遭到網路攻擊，從12月16日開始，郵件系統等數個基礎設施因此而癱瘓。比利時國防部發言人表示，他們在12月16日當天發現遭到攻擊的跡象，隨即隔離受到影響的部分，整個團隊於整個週末動員來因應攻擊事故。而該單位遭到入侵的原因，就是近期引起全球關注的Apache Log4j漏洞「Log4Shell」，但為何會沒有修補相關漏洞而受害？比利時國防部拒絕進一步說明。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/log4j-vulnerability-now-used-to-install-dridex-banking-malware/"><span style="color: rgb(0, 0, 0);">攻擊者利用Log4Shell漏洞散布金融木馬Dridex</span></a></strong></h4> <p>資安研究團隊Cryptolaemus指出，他們發現針對Windows電腦的Log4Shell漏洞攻擊行動，攻擊者使用RMI來入侵存在漏洞的Log4j，並下載、啟動惡意HTA檔案，在受害電腦植入Dridex金融木馬。值得留意的是，若是惡意程式偵測到並非在Windows電腦，便會啟動另一種模式，針對Linux或Unix主機下載Python程式碼，安裝遠端Shell工具Meterpreter，以便攻擊者部署更多惡意程式或是執行命令。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-attacks-impersonate-pfizer-in-fake-requests-for-quotation/"><span style="color: rgb(0, 0, 0);">駭客假冒輝瑞藥廠名義發動網路釣魚攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/PDF.jpg" style="width: 300px; height: 284px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Inky指出，他們看到一起冒充輝瑞（Pfizer）藥廠的釣魚郵件攻擊事故，攻擊者約自2021年8月15日開始行動，以緊急報價、招標、工業設備供應的名義，挾帶沒有攻擊特徵的PDF附件，並要求受害者將報價資料傳送到指定的電子郵件信箱。研究人員指出，雖然攻擊者的目的尚不明朗，但他們將付款資訊列在PDF文件裡面，代表著攻擊者可能會要求受害者提供銀行帳戶的詳細資料，一旦收信人提供有關資料，就可能日後會被用於商業郵件詐騙（BEC）攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/meta-sues-people-behind-facebook-and-instagram-phishing/"><span style="color: rgb(0, 0, 0);">Meta起訴濫用臉書和IG發動網路釣魚的人士</span></a></strong></h4> <p>Meta於12月20日向美國加洲法院提出訴訟，遏止以他們旗下的臉書、Messenger、Instagram、WhatsApp等社群網站與即時通訊軟體，來發動的網路釣魚攻擊行動。發動這起攻擊的人士，約自2021年3月開始，架設了近4萬個假的登入網頁，來騙取使用者的帳密。Meta也與攻擊者所使用的中繼服務業者合作，封鎖此起攻擊行動裡數千個假登入網頁。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125792/cyber-crime/clop-ransomware-uk-police.html"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop洩露英國警方資料</span></a></strong></h4> <p>根據每日郵報的報導，勒索軟體駭客Clop在暗網公布他們竊得的英國警察資料，而這些資料竊得的來源是IT業者Dacoll，資料被公布的原因是Dacoll拒絕支付贖金。這家IT業者為該國警方提供多項IT服務，而能存取警方的電腦。而該公司是在10月遭到漏洞攻擊而被入侵，Clop取得管理資料的存取權限，竊得警方持有的1,300萬人個資，此事亦得到Dacoll確認。</p> <h4><a href="https://www.ithome.com.tw/news/148450"><span style="color: rgb(0, 0, 0);"><strong>埃及流亡人士手機遭植入2種間諜程式</strong></span></a></h4> <p>加拿大多倫多大學的公民實驗室（Citizen Lab）揭露，2位埃及知名人士的iPhone被植入了間諜程式，一位是埃及流亡政治人物Ayman Nour，另一位則是不願具名的埃及新聞節目主持人，手機都被植入了由以色列網路攻擊業者Cytrox所打造的Predator間諜程式。此外，Ayman Nour的手機上不但擁有Predator，還被植入網路攻擊公司NSO Group所開發的Pegasus間諜程式。公民實驗室相信，這些間諜程式是由2個不同國家所植入。</p> <h4><strong><a href="https://cointelegraph.com/news/defi-protocol-grim-finance-lost-30m-in-5x-reentrancy-hack"><span style="color: rgb(0, 0, 0);">DeFi平臺Grim Finance遭駭客攻擊，損失3千萬美元</span></a></strong></h4> <p>去中心化金融（DeFi）平臺Grim Finance於12月18日表示，他們發現有外部的攻擊者利用DeFi平臺，竊取價值超過3千萬美元的加密貨幣。Grim Finance指出，本次攻擊事故駭客的手法相當高超，他們利用5個可重入循環的利用協議，而在該平臺處理第1筆款項時，將另外5筆存款偽造到金庫。事發後該平臺業者暫停交易，並呼籲用戶儘速將存款領出，以減少損失。</p> <h4><strong><a href="https://gbhackers.com/hackers-stole-over-1-8-million-people-credit-card-data/"><span style="color: rgb(0, 0, 0);">體育用品商城遭到網路攻擊，外洩180萬人信用卡資料</span></a></strong></h4> <p>根據GBHackers資安新聞網站的報導，Running Warehouse、Tennis Warehouse、Skate Warehouse、Tackle Warehouse等4個體育用品商城，於10月1日遭到大規模網路攻擊，駭客入侵這些網站並竊得超過180萬人信用卡資料。這些商城於10月15日發現攻擊跡象，並於11月29日開始通知客戶此事，12月16日確認受影響的客戶，且寄發資安通報給他們。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148473"><span style="color: rgb(0, 0, 0);">東元電機與東捷資訊有部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>在12月20日傍晚接近6時，國內傳產上市大廠東元電機與上櫃公司東捷資訊，在臺灣證券交易所發布資安事件重大訊息，說明部分資訊系統遭受駭客網路攻擊，他們已在察覺網路異常後，啟動防禦機制與被援作業，目前受影響的系統正陸續復原中，並表示這次事件不影響營運。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-easy-windows-domain-takeover-via-active-directory-bugs/"><span style="color: rgb(0, 0, 0);">攻擊者可串連AD網域服務權限提升漏洞，接管網域</span></a></strong></h4> <p>微軟於12月20日發出警告，<a href="https://www.ithome.com.tw/news/147751">在11月例行修補（Patch Tuesday）中</a>，有兩個關於AD網域服務權限提升的漏洞修補，值得關注。根據微軟說明，這兩個漏洞是CVE-2021-42287、CVE-2021-42288，可被輕易利用，使用者要儘速修補網域伺服器，因為攻擊者可串連這些漏洞，將自己提升為網域管理員的權限。另外，微軟指出，日前已有研究人員公開概念性驗證攻擊手法，可能日後會出現攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-state-hackers-exploiting-new-zoho-zero-day-since-october/"><span style="color: rgb(0, 0, 0);">Zoho裝置管理平臺出現零時差漏洞，已遭APT駭客利用</span></a></strong></h4> <p>美國聯邦調查局（FBI）於12月17日發出警告，他們發現從2021年10月下旬開始，背後有政府撐腰的APT駭客，鎖定裝置管理平臺ManageEngine Desktop Central的零時差漏洞CVE-2021-44515下手，破壞Desktop Central的伺服器，投放Web Shell並列舉用戶和群組，進行偵察並嘗試橫向移動及外洩帳密。這項漏洞的CVSS風險層級為9.8分，Zoho於12月初完成修補，美國網路安全暨基礎架設安全局（CISA）於12月10日要求各聯邦機構，在聖誕節前完成修補作業。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/singapore-holds-emergency-meetings-with-cii-sectors-over-log4j/"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的因應，新加坡對關鍵資訊基礎設施業者召開緊急會議</span></a></strong></h4> <p>隨著Log4Shell漏洞的威脅與日遽增，新加坡網路安全局（CSA）於12月17日，發布第2次資安通報並召集關鍵資訊基礎建設（CII）業者開會，探討Log4Shell的技術細節，並要求要加強異常活動的監控。CSA指出，Log4Shell攻擊正迅速蔓延，已有許多攻擊者探測並攻擊存在漏洞的系統，他們呼籲要儘速安裝修補軟體，不建議CII採用修改配置的緩解措施來因應。</p> <h4><strong><a href="https://therecord.media/the-nca-shares-585-million-passwords-with-have-i-been-pwned/"><span style="color: rgb(0, 0, 0);">英國與Have I Been Pwned網站共享5.85億個外洩密碼</span></a></strong></h4> <p>英國國家犯罪局（NCA）與知名密碼外洩查詢網站Have I Been Pwned（HIBP）合作，共享逾5.85億個遭竊的帳密資料，這是在HIBP與美國聯邦調查局（FBI）合作之後，第2個進行合作的執法單位。HIBP網站經營者Troy Hunt表示，經分析後發現，NCA共提供了2.25億筆新的外洩帳密，這些帳密的來源為英國企業的雲儲存設施，但無法確認與那些網路服務業者有關。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> </div></div></div>
2021/12/21 14:28作者周峻佑https://www.ithome.com.tw/news/148484
美國控告5名取得機密資訊以從事違法股票交易的俄羅斯駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-ma/pr/russian-national-extradited-role-hacking-and-illegal-trading-scheme" target="_blank">美國司法部周一（12/20）控告</a>5名俄羅斯駭客，理由是他們駭進兩家協助美國企業發布財報的代理商，以獲得尚未提交給美國證券交易委員會（SEC），或尚未公諸於世的企業季報或年報，而自美國股票市場取得數千萬美元的不法獲利。其中，41歲的Vladislav Klyushin在今年3月於瑞士被捕，且已引渡至美國。</p> <p>除了Klyushin之外，遭到美國控告的其他駭客還包括35歲的Ivan Ermakov，33歲的Nikolay Rumyantsev，43歲的Mikhail Vladimirovich Irzak與42歲的Igor Sergeevich Sladkov。</p> <p>其中，Klyushin、Ermakov與Rumyantsev曾是俄羅斯資訊科技公司M-13的同事，M-13是家專門提供滲透測試與先進持續威脅工具的IT業者，此外，M-13還出售投資管理服務予投資人，並從投資人的獲利中取得最高60%的分潤。</p> <p>調查顯示，這5名俄羅斯駭客從2018年的1月到2020年的9月間，入侵了兩家協助企業提交財報予SEC的代理商，獲取上市公司尚未公開的資料（MNPI），再根據這些財報資料，事先於紐約股市或那斯達克股市大買或放空特定公司的股票，並因此獲利數千萬美元。</p> <p>駭客於受駭代理商所部署的惡意架構，具備獲取員工憑證的能力，因而得以隨時以員工帳號出入，取得上市企業尚未公開的財報資訊，此外，為了躲避追蹤，他們在不同的國家開設了銀行帳戶進行交易，包括俄羅斯、美國、塞普勒斯、丹麥及葡萄牙等。</p> <p>他們被指控串謀未經授權存取電腦、電信詐欺及證券詐欺等罪名，最多可能被處以超過40年的刑期，但目前只有Klyushin落網。</p> </div></div></div>
2021/12/21 15:36作者陳曉莉https://www.ithome.com.tw/news/148485
微軟呼籲用戶儘快修補11月公布的兩個Windows AD漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699" target="_blank">微軟周一（12/20）警告</a>，今年11月Patch Tuesday所修補的兩個Windows Active Directory漏洞已出現概念性驗證攻擊程式，呼籲用戶檢查是否遭到入侵並儘速修補。</p> <p>這兩個漏洞分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42278" target="_blank">CVE-2021-42278</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42287" target="_blank">CVE-2021-42287</a>，它們皆屬於Active Directory網域服務的權限擴張漏洞，影響Windows Server產品，雖然皆只被列為重要（Important）漏洞，但其CVSS風險等級高達7.5分。</p> <p>微軟是在11月9日修補了這兩個漏洞，但12月12日就出現了同時開採這兩個漏洞的概念性驗證程式。負責Defender for Identity的微軟資深產品經理Daniel Naim指出，當這兩個漏洞被結合時，駭客就能夠建立一個直接路徑至Active Directory環境的網域管理員（Active Directory）用戶，輕鬆地把一般用戶的權限提升為網域管理員。</p> <p>為了因應潛在的攻擊行動，Defender for Identity團隊公布了一個查詢指南以辨識用戶系統內部的可疑行為，判斷相關漏洞是否已被開採，此一查詢指南將可偵測異常變更的裝置名稱，並將它們與用戶環境中的網域控制器進行比對。</p> <p>Naim建議尚未修補相關漏洞的用戶，最好先檢查是否已被開採之後再行修補。</p> </div></div></div>
2021/12/21 15:44作者陳曉莉https://www.ithome.com.tw/news/148486
FBI警告：國家級駭客正在開採Zoho桌面中心產品的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2021/211220.pdf" target="_blank">美國聯邦調查局（FBI）上周警告</a>，已有多個國家級駭客正在開採Zoho的ManageEngine Desktop Central伺服器上的安全漏洞，雖然Zoho已於今年的12月3日修補該漏洞，但駭客的開採行動早在10月便展開了。</p> <p>Zoho為印度軟體業者，最知名的產品是網頁版的生產力軟體Zoho Office Suite，旗下也有另一個專門提供中、小企業IT管理的ManageEngine品牌，桌面中心（Desktop Central）則是ManageEngine中的統一端點管理解決方案，可協助中、小企業集中管理內部的伺服器、個人電腦、手機及平板電腦等。</p> <p><a href="https://www.manageengine.com/products/desktop-central/cve-2021-44515-authentication-bypass-filter-configuration.html" target="_blank">Zoho在今年12月所修補的漏洞為CVE-2021-44515</a>，此為ManageEngine Desktop Central 的身分認證繞過漏洞，將允許駭客繞過認證機制並於Desktop Central伺服器上執行任意程式，被列為重大（Critical）等級漏洞。</p> <p>FBI則說，早在今年10月就有多個先進持續威脅（APT）駭客組織開採了該漏洞，它們以一個惡意的Webshell取代了Desktop Centrl上的合法功能，再下載其它攻擊工具，列舉分析所入侵網頁的使用者及群組，進行網路偵察並企圖橫向移動，還到處蒐集憑證。</p> <p>由於Zoho修補時該漏洞已被開採，因此Zoho也打造了<a href="https://downloads.zohocorp.com/dnd/Desktop_Central/JWcfd8UkKcYzkjN/detector.zip" target="_blank">開採偵測工具</a>及入侵指標，讓用戶在修補前先檢查是否已被入侵，倘若答案是肯定的，就必須先格式化後再重新部署Desktop Central。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1221-FBI%EF%BC%9ACVE-2021-44515-%20600-2.jpg" style="width: 600px;" /></p> </div></div></div>
2021/12/21 16:09作者陳曉莉https://www.ithome.com.tw/news/148487
Visual Studio針對.NET與跨平臺App提供多項好用的測試小功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/visualstudio/vs22-test-tools-for-net-and-cross-platform-apps/">Visual Studio的測試工具</a>中，加入幾項簡單的小功能，供開發者用於測試迴圈中，來讓測試工作更輕鬆容易。像是測試總管（Test Explorer）現在可以在測試執行完成時，播放提示聲音，用戶可以選擇兩種聲音，一種表示測試執行成功，且通過所有測試，另一種音效則用來表示測試執行完成，但至少有一個測試失敗，用戶可以在Windows聲音對話框中進行自訂。</p> <p>測試總管也提供新的指令（Ctrl+E,S），能夠讓用戶快速地從編輯器跳轉到測試總管中，或是用戶也可在編輯器右鍵點擊選單、CodeLens測試字型，以及在解決方案總管上點擊右鍵、跳轉至測試總管。而測試總管中的Console.WriteLine，現在也會出現在測試詳細資訊窗格中，標準輸出和標準錯誤都會顯示在該窗格，用戶能方便地存取測試輸出結果。</p> <p>另外，現在用戶也可以在Linux容器、WSL或是利用SSH連接執行除錯測試。使用Visual Studio進行遠端測試，將讓跨平臺開發更加容易，利用測試總管就能夠連接到遠端環境，在Visual Studio執行Linux測試。微軟提到，過去用戶必須從Linux測試或其他作業系統，將程式碼推送至CI執行，才能獲得測試回饋，但是藉由遠端測試的支援，用戶可以在內部開發循環，就能獲得這些測試回饋，包括在Linux容器中除錯也是。</p> <p>Visual Studio還提供Playwright供開發者測試網頁應用程式，Playwright是最新的跨平臺非同步Web UI測試工具，其在建置的時候，考量了現代瀏覽器和服務，這代表在每個階段Playwright都會使用awaits，微軟提到，這減少Web UI測試脆弱性所帶來的困擾。</p> <p>Playwright不僅跨平臺，還跨語言支援TypeScript、JavaScript、Python、Java和.NET，並且帶有一個紀錄程式，能夠根據用戶的操作生成測試。</p> </div></div></div>
2021/12/21 16:17作者李建興https://www.ithome.com.tw/news/148488
WebSocket成Log4j漏洞攻擊新管道，連不對外網路主機也曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公開兩周的Apache Log4j漏洞，讓全球伺服器管理員疲於奔命忙著修補漏洞及更新軟體。一項研究發現，本漏洞也可能讓包含這項軟體元件的終端機器、或本地主機被遠端執行程式碼。</p> <p><a href="https://www.blumira.com/analysis-log4shell-local-trigger/" target="_blank">這是安全廠商Blumira在Log4j軟體的CVE-2021-44228漏洞發現的另一個攻擊管道</a>。原本該漏洞出在Log4j的JNDI API未能驗證由遠端LDAP、或其他端點發送修改過參數的log訊息，讓遠端攻擊者可從LDAP伺服器下載惡意程式碼至受害伺服器執行。這種情況下，主要是執行Jog4j的對外伺服器曝險。</p> <p>但Blumira團隊發現，攻擊者也可以使用Javascript WebSocket連線來觸發這漏洞，以便在用戶機器上遠端執行程式碼。WebSocket是現代瀏覽器都支援的協定，可用於許多種任務，像是從網站傳送通訊訊息或警示到瀏覽器，讓瀏覽器能快速回覆訊息。</p> <p>但研究人員指出，WebSocket並不像一般跨域的HTTP請求，受同源政策（same-origin policy）規範，而是需伺服器本身自行驗證呼叫來源。這就可能引發跨網域攻擊，由惡意網站呼叫另一網站的服務。<a href="https://www.ithome.com.tw/news/142156" target="_blank">這缺點曾被用在以WebSocket連線傳送惡意呼叫到線纜數據機</a>，或是今天的主角：本地主機。此類攻擊手法也可用來掃瞄本地主機開放的傳輸埠。</p> <p>用戶端本身一般並不能直接控管WebSocket連線，後者是在網頁下載時悄悄啟動。更糟的是，用戶主機內的WebSocket連線可能很難看到連線內容，使得此類攻擊的偵測更加困難。</p> <p>這項研究無疑擴大了Log4Shell漏洞的攻擊表面，即使主機並未對外部網路開放。研究人員表示，這使得用戶機器或內部本地網路也可能遭到攻擊，只要機器上安裝了有漏洞的Log4j應用程式。</p> <p>在一項測試中，Blumira研究人員使用JNDI開採套件，即可在包含SpringFramework框架的本地Java應用程式（版本為Log4j 2.13）引發RCE。研究人員另外也展示了利用WebSocket掃瞄開放傳輸埠，以及執行任意程式。不過目前他們尚未發現開採這漏洞的情形。</p> <p class="rtecenter"><a href="https://www.blumira.com/wp-content/uploads/2021/12/POC_Example.gif" target="_blank"><img alt="" src="https://www.blumira.com/wp-content/uploads/2021/12/POC_Example.gif" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Blumira</span></p> <p>安裝最新的<a href="https://issues.apache.org/jira/browse/LOG4J2-3230" target="_blank">Apache Log4j 2.17.0版</a>可以修補這個漏洞，研究人員也呼籲用戶儘速更新。<a href="https://www.ithome.com.tw/news/148457" target="_blank">周末釋出的2.17.0版</a>旨在修補原始中的Log4Shell及RCE漏洞CVE-2021-45046、以及2.16.0版本中新發現的阻斷服務（DoS）漏洞CVE-2021-45105。</p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Log4j 2.15.0修補不全、Apache再釋2.16.0新版</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/21 14:12作者林妍溱https://www.ithome.com.tw/news/148482
甲骨文以283億美元收購電子病歷軟體商Cerner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/oracle-buys-cerner-301448252.html" target="_blank">甲骨文昨（20）日宣布</a>以283億美元收購電子病歷軟體供應商Cerner，成為該公司金額最高的收購案。</p> <p>甲骨文將每股95美元，總價近283億美元全現金交易收購這家軟體商，預計2022年完成。<a href="https://www.wsj.com/articles/oracle-in-talks-to-buy-cerner-11639697730" target="_blank">華爾街日報</a>昨日率先引述消息人士報導這樁交易案。</p> <p>Cerner是美國兩大電子病歷軟體供應商之一。<a href="https://www.healthleadersmedia.com/innovation/epic-dominates-emr-market-share-wars-cerner-loses-ground" target="_blank">Cerner和EPIC合計</a>占美國電子病歷軟體市場的55%。此外它還提供各種醫療科別應用、護理資訊系統、客戶關係管理及分析軟體、資料倉儲平臺等軟體。根據<a href="https://www.cerner.com/about" target="_blank">該公司網站</a>，Cerner去年營收55億美元，全球20多個國家聘請了2.6萬名夥伴（associate）並擁有600多項專利，<a href="https://www.fedhealthit.com/2021/04/cdc-to-award-contract-for-data-licensing-and-technical-support-services-to-cerner/" target="_blank">客戶涵括</a>全球35國的2.7萬家醫院、診所、照護機構等。</p> <p>這項交易將讓甲骨文的雲端服務得以跨入健康照護業。甲骨文董事長暨執行長Larry Ellison指出，透過收購Cerner，甲骨文可提供工作負載過重的醫護人員更好的資訊存取工具，像是以語音介面存取雲端應用。甲骨文指出，新一代的醫療資訊系統將能減輕醫護人員的行政作業，提升病患隱私和照護效果，以及降低醫療成本。</p> <p>甲骨文財務長Safra Catz則指出，單是在美國，健康照護業市場就高達3.8兆，而Cerner有助於甲骨文打造繼NetSuite之後另一個成長引擎。</p> <p>Cerner客戶包括美國國防部、退伍軍人事務部（VA）、美國海岸防衛隊等軍方單位。<a href="https://federalnewsnetwork.com/defense-main/2021/11/dod-picks-amazon-microsoft-google-and-oracle-for-multibillion-dollar-project-to-replace-jedi-cloud/" target="_blank">甲骨文上個月成為</a>美國國防部准許參與JWCC（Joint Warfighting Cloud Capability）標案的4家廠商之一，另三家為微軟、Amazon 及Google。</p> <p>甲骨文相信，其自主資料庫（Autonomous Database）、低程式碼開發工具及語音數位助理用戶介面等工具有助於現代化Cerner系統，並將之搬上甲骨文第2代雲。甲骨文指出Cerner最大的業務系統及最重要臨床系統已經跑在Oracle Database上，對客戶而言，不需變更什麼，唯一會變的使用者介面；甲骨文預計將使Oracle語音數位助理（Voice Digital Assistant）成為Cerner臨床系統的主要介面，減少醫療人員以鍵盤輸入的比例。</p> <p>Cerner執行長David Feinberg今年年中從Google健康事業群跳槽過來。Google發展醫療AI應用成效不佳，<a href="https://www.ithome.com.tw/news/145213" target="_blank">今年大舉縮編</a>該部門，員工分散到Fitbit及搜尋部門。</p> <p>不過市場似乎並不看好，這樁交易消息一出，甲骨文股價大跌5%。</p> </div></div></div>
2021/12/21 11:54作者林妍溱https://www.ithome.com.tw/news/148478
繼美國之後，英國也加入提供外洩密碼予Have I Been Pwned的行列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由澳洲安全專家Troy Hunt在2013年所建立的Have I Been Pwned（HIBP）外洩密碼查詢平臺，<a href="https://www.ithome.com.tw/news/144690" target="_blank">在今年5月開源之際</a>，宣布美國聯邦調查局（FBI）將把所查獲的外洩資料匯入HIBP專案，<a href="https://www.troyhunt.com/open-source-pwned-passwords-with-fbi-feed-and-225m-new-nca-passwords-is-now-live/" target="_blank">本周Hunt指出</a>，英國的國家犯罪調查局（National Crime Agency，NCA）也已將大量的外洩密碼貢獻給HIBP。</p> <p>HIBP原本就蒐集了6.13億筆的外洩密碼，此次NCA則提供了逾5.8億筆的外洩密碼，當中近2.3億筆屬於新密碼，也讓HIBP的外洩密碼資料庫規模超越8.4億筆，增加了38%。HIBP也計算出這8.4億筆的外洩密碼總計被使用了近56億次，顯示有不少使用者在不同的服務中採用同樣的密碼。</p> <p>NCA表示，這些外洩資料都是該組織於過去幾年所取得，特別是與那些平臺被駭或用戶資料遭竊的企業合作，協助企業保護用戶的帳號安全。</p> <p>NCA也透露，最近該組織還在一個曝露的雲端儲存服務中，看到大量的外洩憑證，包含電子郵件帳號與密碼，同時涉及多個已知或未知的資料外洩事件。</p> <p>HIBP服務可讓使用者以電子郵件查詢自己所使用的服務與密碼是否曾外洩過，同時也能讓各業者了解自家服務的安全狀況。研究人員或業者可透過Pwned Passwords API來查詢特定帳號曾在哪些服務外洩，或是那些曾外洩用戶資料的服務，也能查詢單一網站的外洩狀況與外洩模式。</p> <p>雖然HIBP允許外界下載整個外洩資料庫，但壓縮後的檔案大小仍高達17.2GB，建議外界可啟用保障使用者隱私的k-anonymity API來辨識那些新的外洩密碼。</p> </div></div></div>
2021/12/21 12:05作者陳曉莉https://www.ithome.com.tw/news/148479
比利時國防部證實系統因Log4j漏洞遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年最嚴重漏洞Log4Shell成為最近企業及政府資安人員的最大挑戰，修補不及者可能就遭到惡意活動入侵。<a href="https://www.brusselstimes.com/belgium/198521/belgian-defence-ministry-network-partially-down-following-cyber-attack" target="_blank">比利時媒體報導</a>該國國防部證實部份系統的Log4j漏洞，已遭不明人士開採致網路斷線。</p> <p>報導指出，上周四起比利時國防部某系統軟體安全漏洞遭「嚴重攻擊」後、網路就掛掉多天，受影響的包括郵件系統等。<a href="https://www.standaard.be/cnt/dmf20211220_92316559" target="_blank">比利時國防部發言人對當地媒體證實</a>，這事件發生在Apache Log4j軟體上。國防部相關部門周末已全部動員控制災情，並確保網路正常運作。不過比國國防部不願評論重大攻擊的來源為何。</p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank">微軟上周指出</a>，已觀測來自中國、伊朗、北韓及土耳其等多個國家支持的駭客組織，開採名為Log4Shell的Log4j漏洞CVE-2021-44228。<a href="https://securityscorecard.com/blog/log4j-active-exploitation-from-nation-state-actors-findings" target="_blank">另一家安全廠商則偵測到據信是源自俄羅斯及中國的開採活動</a>。</p> <p>這也是比國政府近半年來第三次揭露遭到攻擊。<a href="https://www.ithome.com.tw/news/144202" target="_blank">5月代管比國政府單位、科學研究機構及大學的ISP Belnet</a>遭不明人士發動分散式阻斷攻擊（Distributed Denial of Service，DDoS）造成斷線，影響200多個單位。此外，比利時主管警務、移民、選務單位及身份證派發等事務的內政部，<a href="https://www.ithome.com.tw/news/144665" target="_blank">該單位Exchange Server的ProxyLogon漏洞同月間也遭不明組織開</a>採，攻擊者已存取了部份地方性資料。</p> <p>針對Log4j漏洞，<a href="https://www.cisa.gov/emergency-directive-22-02" target="_blank">美國網路安全暨基礎架構安全署（CISA）上周五公布緊急指令</a>，要求聯邦政府機關儘速辨識連網系統是否使用Log4j，以及是否受Log4j漏洞CVE-2021-44228的影響，CISA要求美國聯邦政府機關需在12月23日以前修補、採取緩解措施，或是移除曝險軟體。</p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16</span></span></strong></a><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">相關報導</span></span></strong></span></a><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span> <span style="color: rgb(51, 153, 255);">Log4j 2.15.0修補不全、Apache再釋2.16.0新版，國家駭客已開始行動</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/148391" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span></strong></a><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);">Log4j相關修補時間軸</span></span></strong></span></a><a href="https://www.ithome.com.tw/news/148337" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> </span></span> <span style="color: rgb(51, 153, 255);">【資安警訊】 Apache Log4j日誌框架系統重大漏洞</span></strong></a></p> </div></div></div>
2021/12/21 10:20作者林妍溱https://www.ithome.com.tw/news/148477
Go泛型終於在Go 1.18測試版初登場！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go 1.18預計在數月內正式釋出，而現在官方先釋出了<a href="https://go.dev/blog/go1.18beta1">第一個Go 1.18 Beta測試版</a>，這個版本有許多重要更新，但最受矚目的莫過於泛型，這個社群敲碗多年的功能，另外，Go 1.18還加入模糊測試，也提高ARM64的程式碼執行效能。</p> <p>這個Go 1.18 Beta測試版是首個支援參數化類別泛型程式碼的Go版本，而泛型是Go第一個主要版本以來，最重要的變化，也是官方有史以來，所做過最大的單一語言變更，官方提到，對於任何大型新功能，存在錯誤是很常見的情況，因此開發者要小心謹慎使用。</p> <p>對於特殊的使用案例，像是特定類型的遞迴泛型類別，則推延到之後的版本加入，官方希望開發者踴躍把泛型應用在各種用例，以協助開發團隊除錯。</p> <p>這個版本還內建模糊測試支援，自動找尋導致程式崩潰的無效輸入。模糊測試是一種自動化測試，可以操縱程式的輸入來發現各種臭蟲，透過輸入半隨機的資料，能夠發現既有單元測試可能遺漏的程式碼覆蓋（Code Coverage），並且找出被忽略的邊緣案例，對於發現安全漏洞和臭蟲特別有用。</p> <p>用戶還能夠在此Go 1.18測試版用到新的Go工作區模式，供開發者同時使用多個Go模組，該功能對於大型專案用例特別重要。新功能還包含經擴展的Go版本-m指令，該指令現在會記錄建置細節，像是編譯器旗標等，程式可以使用debug.ReadBuildInfo查詢自己的建置詳細資訊，並且使用新的debug/buildinfo套件，從其他二進位檔案中讀取建置詳細資訊。</p> <p>另外，官方在Go 1.17中增加了一個暫存器呼叫約定更新，用來加速x86-64系統上的Go程式碼執行速度，而現在這項更新擴展到了ARM64和PPC64上，執行速度可以提高20％。</p> </div></div></div>
2021/12/21 08:33作者李建興https://www.ithome.com.tw/news/148469
甲骨文更新OCI DevOps服務使其成為端到端CI/CD平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）雲端基礎設施的<a href="https://blogs.oracle.com/cloud-infrastructure/post/devops-service-a-complete-cicd-platform">DevOps服務</a>，現在加入持續整合功能，使其成為一個完整的CI/CD平臺。這次的更新的目標，是要在OCI商業地區提供端到端CI/CD工具，因此開發人員現在能夠將原始碼提交到DevOps程式碼儲存庫，並且使用建置執行程式，建置、執行和測試軟體構件，接著將構件交付到OCI平臺進行部署。</p> <p>官方提到，無論是開發人員所新建置的雲端原生應用程式，還是將現有的應用程式搬遷到OCI中，DevOps服務都能夠簡化軟體交付流程，藉由自動化軟體交付生命周期各個階段，來更快地發布功能減少錯誤發生。</p> <p>DevOps服務現在可作為完整的CI/CD平臺，用戶能夠將GitHub或GitLab儲存庫鏡像到OCI程式碼儲存庫，來加快建置速度。另外，用戶也可以將現有的應用程式，無論是在本地端還是其他雲端平臺，搬遷到OCI上，並同時一併搬遷軟體交付和部署工作管線，OCI DevOps服務可以靈活地和用戶現有CI/CD工作流程整合。</p> <p>當用戶希望保留像是Jenkins等現有CI工作流程，用戶可以將部署程序移到DevOps，從現有CI工作管線觸發部署工作，並使用DevOps部署工作管線調度發布步驟。由於OCI DevOps服務與OCI平臺緊密結合，屬於OCI平臺的一部分，所以用戶可以使用IAM使用者和政策，來配置團隊的存取權限，以OCI資源最低存取權限來保護使用者的建置和部署。</p> <p>DevOps不按使用者數量收費，用戶對建置工作管線和程式碼儲存庫，所使用的運算和儲存資源支付費用，建置執行程式由DevOps服務託管，因此用戶不需要管理或是操作底層建置執行器主機，DevOps專案提供了完整的軟體交付生命周期頁面，所有程式碼儲存庫、建置工作管線、部署工作管線，還有構建和環境，都在該頁面供用戶統一管理查看。</p> </div></div></div>
2021/12/21 08:36作者李建興https://www.ithome.com.tw/news/148474
Meta開源Bean Machine函式庫可量測AI模型不確定性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發布稱為<a href="https://research.facebook.com/blog/2021/12/introducing-bean-machine-a-probabilistic-programming-platform-built-on-pytorch/">Bean Machine</a>的機率程式開發系統，該系統能夠用來表達和了解，日常所使用機器學習模型中的不確定性。Bean Machine供使用者開發特定領域的機率模型，並使用自動、不確定性學習演算法，來學習模型所未觀察到的屬性。</p> <p>Bean Machine是一種通用的機率程式開發語言，能夠讓使用者使用宣告式語法，對以Python編寫的統計模型進行推理，官方提到，Bean Machine能夠實現快速準確的貝氏分析，讓開發和部署生成式機率模型變得直覺且高效率。</p> <p>Bean Machine的生成式建模，不僅提供有用的預測，就像是傳統機器學習技術所提供的結果一樣，更特別的是，Bean Machine還能用機率分布的形式，估計問題的不確定，而估計不確定性有助於確保預測的可靠性和強健性。</p> <p>與其他機器學習方法相比，使用Bean Machine主要有三大好處，不確定性估計、表現性和可解釋性。不確定性估計讓分析師能夠更全面掌握預測系統的行為，因為預測是透過機率分布形式，來可靠地測量不確定性，分析師不僅可以了解系統的預測，也可以了解其他預測的相對可能性。</p> <p>而且Bean Machine能夠更好地表達結果的意義，直接在原始程式碼中編碼模型，這將讓用戶能夠將模型的結構，以及問題的結果相對應。最後，因為模型與領域相對應，所以可以查詢模型中的中間學習屬性，這代表用戶不僅可以使用模型「黑盒子」，還可以對特定預測的結果做出解釋，對於模型開發過程有很大的幫助。</p> <p>由於Bean Machine建構在PyTorch之上，具有宣告式建模語法，所以能高效率又直覺地建構機率模型時，其透過實作最先進的推理演算法，允許用戶對不同的問題和子問題，選擇和自定義推理方法，進而在自動化和靈活性間取得平衡。</p> <p>Bean Machine所提供的宣告式語法，對隨機變數提供頂級的支援，因此用戶能夠非常直覺地在程式中推論模型，就像在紙上計算一樣，模型簡單地由一組以特定方式相互作用的隨機變數所定義，在Bean Machine中，隨機變數被實現成經裝飾的Python函式，其提供了指向該隨機變數的唯一指標，使用函式就可以輕鬆地確定隨機參數的定義。</p> <p>雖然Bean Machine對張量模型提供良好地推理效能，但是許多機率模型因為結構問題，對大型張量操作來說難以編寫，為了解決這個問題，Meta正在開發Bean Machine Graph（BMG），結合特別的編譯器和Runtime，使得未張量化的模型也能執行推理。BMG推理使用自定義編譯器來解釋Bean Machine模型，並將其轉換成沒有Python相依項目的專門實作，這些都會是自動化運作，但目前支援功能集有限，官方正快速解決該問題，來支援常見的模組問題。</p> </div></div></div>
2021/12/21 08:40作者李建興https://www.ithome.com.tw/news/148475
東元與旗下東捷資訊遭駭客網路攻擊，部分資訊系統受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上市櫃公司再傳遭駭客攻擊，今日（12月20日）下午5時50多分，上市大廠東元電機與東元集團旗下東捷資訊，先後在臺灣證券交易所發布重大訊息，說明部分資訊系統遭受駭客網路攻擊，並表示資訊系統正陸續復原，對公司營運無重大影響。</p> <p>國內上市傳產大廠東元電機，從早期生產馬達聞名，後續更是跨入諸多產業領域，不只是外界熟知的重電、家電、資訊、通訊、電子關鍵零組件基礎工程建設，包括東元精電、東元家電、東捷資訊、東訊與聯昌電子等，本身的馬達事業也很早就切入到風電領域，此外，東元集團還包括餐飲與服務，例如安心食品旗下品牌摩斯漢堡、宅配通等。目前，東元集團共有6大事業群，包括，機電、電子科技、通訊電信、資訊服務、投資控股，以及餐飲、服務事業。</p> <p>而在1999年從東元獨立出來的東捷資訊，是東元集團第8家上市櫃公司，主要業務為企業資訊服務、業務流程委外服務委外，包含ERP整合規畫、企業e化、CRM，以及其他創新發展應用等，近年並切入到資安產品研發與銷售。</p> <p>根據東元電機的資安事件公告內容，該公司指出偵測到部分資訊系統，遭受駭客網路攻擊，而屬於東元集團旗下的東捷資訊，公告的內容亦完全相同，資安事件重訊發布時間也只相差不到2分鐘，因此，兩起公告應為同一事件。</p> <p>對於事件處理過程，兩家公司表示，在查知網路異常狀態後，資安部門已啟動相關防禦機制與備援作業，同時協調外部資安公司合作處置。</p> <p>從事件影響的揭露狀況來看，兩家公司已說明，經查後對公司營運並無重大影響，目前資訊系統正陸續回復運作中，同時，等到彙集完整異常資料後，他們也將通報政府執法部門與資安單位。</p> <p>整體而言，這次公告僅揭露資訊量有限的初步調查結果，是否遭遇勒索軟體攻擊，還有待官方說明。</p> <p>另外，我們發現東元電機的官方網站，在20日晚間有部分網頁無法正常瀏覽，包括首頁與CSR頁面，會跳轉至ErrorPage，官網其他頁面雖然顯示，但也有些資訊無法顯示的狀況。</p> <p>同時我們檢視東元集團其他公司的狀況，包括東訊、聯昌、東友、菱　光、安心食品與宅配通等，在20日晚間並未發布相關公告。因此，目前看來，這次資安事件僅影響東元電機與東捷資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-20_212800.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-12-20_212923.jpg" style="width: 600px;" /></p> </div></div></div>
2021/12/20 22:19作者羅正漢https://www.ithome.com.tw/news/148473
中華電信明年將以國產5G開放網路設備，在桃園、臺南、高雄建立5G示範應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信配合國發會「亞洲.矽谷-5G開放網路整合驗證暨推廣計畫」，除了在中華電信研究院建置5G開放網路端到端實網整合驗測環境，今年也和耀登集團旗下耀睿實驗室合作成立亞洲首個獲O-RAN聯盟認證（全球5個）的OTIC（Open Testing and Integration Centre）實驗室，並將在明年和國產5G設備商合作，在桃園、臺南、高雄三地建置5G示範應用。</p> <p>中華電信與耀睿合作的OTIC認證實驗室，讓國內5G網通設備業者不需遠赴國外，在位於桃園的OTIC實驗室就近驗測，驗測國產5G設備的一致性、互通性、效能，加上中華電信電信研究院的場域測試，獲得O-RAN聯盟與電信商的認證，協助國產5G設備業者走向國際。</p> <p>桃園的OTIC實驗室自今年4月中開放申請以來，已有14家國產5G網通設備商提出申請，包括啟碁、和碩、台達電、萊昂仕、HTC、光寶、亞旭、明泰、中磊、仁寶、泰金寶、富鴻網、雲達、智易等，驗測國產O-RAN設備介接雲達、思科、Nokia、Nokia、Ericsson等業者的5G核心網路。</p> <p>而為了加速國內5G開放網路設備發展，12月初中華電信與耀睿實驗室在臺灣舉辦O-RAN聯盟第三次Global PlugFest 2021插拔大會，以測試不同品牌、種類的5G開放網路設備的互通性，共吸引32家國內外廠商參加，展現5G開放網路的生態系。</p> <p>不只是提供國產5G開放網路設備的驗測環境，國內唯一參與O-RAN聯盟的中華電信，明年更將和國產設備商聯手，與縣市政府合作，明年6月底之前在桃園、臺南、高雄三地建立5個示範應用。</p> <p>中華電信行動通信分公司總經理簡志誠表示，目前國內5G專網應用仍以國際廠牌設備為主，為推廣國產5G開放網路設備，明年將和3縣市政府合作實證場域，使用國產的RU、CU、DU三種網元設備，不同於過去多在實驗環境測試，將在3縣市的實證場域環境進行測試。</p> <p>其中在桃園市，明年將在桃園機場捷運A18站建置3D沈浸式體驗與全息投影，而在臺南市則會選定赤嵌樓建置WebAR應用，以5G開放網路傳輸，民眾只要使用手機或平板電腦掃描古蹟模型，就能獲得該古蹟的影音導覽內容。高雄市則以5G開放網路設備，結合路口感測、監控系統與AI辨識，為經常遭到入侵的輕軌建置防撞機制，另外也會以5G開放網路建置電競的示範應用，以5G的高速、低延遲支援電競比賽。</p> <p>為鼓勵國產5G設備的發展，NCC今年擬定5G基地臺2年共155億元的補助條件，除了要求電信業者依所承諾建置的基地臺數量為基礎，對建置超過承諾的基地臺數量給予補助之外，還要求電信業者使用一定程度的國產5G設備，設定2023年達成4成採用國產基地臺的目標。</p> </div></div></div>
2021/12/20 17:47作者蘇文彬https://www.ithome.com.tw/news/148467
ONNX Runtime 1.10支援Xamarin，供開發者建構AI行動應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習推理引擎ONNX Runtime從1.10版本開始，支援使用Xamarin以C#建置行動應用程式。<a href="https://cloudblogs.microsoft.com/opensource/2021/12/14/add-ai-to-mobile-applications-with-xamarin-and-onnx-runtime/">ONNX Runtime 1.10版本</a>的NuGet套件中，包含了對Android和iOS的支援，這使得開發人員可以於存在ONNX Runtime的行動裝置上執行ONNX模型，也就是說，賦予開發人員建置跨行動裝置人工智慧應用程式的能力。</p> <p>ONNX Runtime為一個機器學習開源專案，能夠加速各種框架、作業系統和硬體平臺的機器學習模型運算，而ONNX Runtime Mobile則是針對Android和iOS裝置的輕量級推理引擎版本，開發人員可以建置占用較小磁碟容量，經過最佳化的智慧行動應用程式。</p> <p>在這個新釋出的1.10版本中，官方支援開發者使用Xamarin.Forms，建構Android和iOS跨平臺應用程式，其包括使用預設CPU Execution Provider，在裝置CPU上執行ONNX模型，而對於部分行動裝置所使用的專用硬體，ONNX Runtime Mobile套件提供Execution Provider，讓開發者能夠在Android使用NNAPI，在iOS上使用CoreML。</p> <p>Xamarin是一個開源應用程式平臺，供開發者以C#和.NET，建構現代且高效能的iOS和Android應用程式，由於NuGet套件中加入對Android和iOS的支援，開發人員便可以利用ONNX Runtime，在應用程式中加入人工智慧功能。</p> <p>除了對Android和iOS的支援之外，ONNX Runtime 1.10的新功能還包括加入X64和ARM64上的新量化核心，提升運算效能。在硬體的靈活度方面，新版本更新了TensorRT、DirectML、OpenVINO和DNNL Execution Providers，在Nvidia GPU上，Python GPU套件同時支援CUDA和TensorRT Provider，讓用戶能夠更易於測試和使用。</p> <p>新版本也簡化對Mac的部署，Rosetta允許單個二進位檔案跨Apple Silicon和英特爾晶片運作。另外，ONNX Runtime Web則支援WebAssembly SIMD，改進量化模型（Quantized Model）的效能。</p> </div></div></div>
2021/12/20 16:30作者李建興https://www.ithome.com.tw/news/148466
【資安日報】2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCe…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自上週末到今天，Log4Shell漏洞的相關攻擊事故與手法，仍是資安界的焦點。這項漏洞已接二連三被勒索軟體駭客利用，且又有新的漏洞、新的攻擊手法出現，光是本日的新聞就有7則與Log4Shell有關。首先，對於IT人員而言，Apache基金會第3度推出Log4j的更新軟體（2.17版），這項新的漏洞CVE-2021-45105，恐被用於阻斷服務（DoS）攻擊，CVSS風險等級為7.5分。不過，該基金會也把不久前修補的第2個漏洞（CVE-2021-45046），CVSS風險分數一舉從3.7分大幅調整到9分，理由是這項漏洞不只能用於發動DoS攻擊，攻擊者還能進行RCE攻擊。新漏洞的危險程度會不會被上修？顯然是值得觀察的重點。</p> <p>值得留意的是，惡名昭彰的勒索軟體Conti也運用Log4Shell漏洞，並鎖定尚未發布修補程式的VMware vCenter下手。這樣的情況，很有可能還有其他的勒索軟體會跟進。</p> <p>在Log4Shell的攻擊之外，RAT木馬程式DarkWatchman的手法也相當引人關注，因為，攻擊者大肆濫用登錄檔作為傳輸資料的媒介，而使得惡意軟體幾乎不會在磁碟留下蹤跡。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/upgraded-to-log4j-216-surprise-theres-a-217-fixing-dos/"><span style="color: rgb(0, 0, 0);">Apache再度修補Log4j可造成服務阻斷的漏洞</span></a></strong></h4> <p>針對Log4Shell修補不完全的漏洞CVE-2021-45046，Apache基金會推出更新版Log4j 2.16，但研究人員又找到另一個能被用於發動阻斷服務攻擊（DoS）的漏洞，使得該基金會再度修補。Vx-Underground和Hacker Fantastic等研究人員於12月18日指出，雖然在Log4j 2.16版裡，JNDI搜尋功能已經被全面停用來防堵Log4Shell漏洞，但在某些情況下仍然有可能會被使用，而觸發CVE-2021-45105漏洞，此漏洞CVSS風險層級為7.5分，影響2.0 Alpha1至2.16版Log4j，Apache基金會亦於同日發布2.17版予以修補。</p> <h4><strong><a href="https://www.lunasec.io/docs/blog/log4j-zero-day-severity-of-cve-2021-45046-increased/"><span style="color: rgb(0, 0, 0);">Log4Shell修補不全漏洞恐被用於RCE攻擊，Apache改列為重大風險層級</span></a></strong></h4> <p>針對Log4Shell修補不全的漏洞CVE-2021-45046，Apache基金會於12月17日大幅調整CVSS風險層評分，從原本的3.7分提高到9.0分，原因是當初他們認為，這項漏洞僅會被用於阻斷服務（DoS）攻擊，但後來有研究人員發現，攻擊者能繞過Log4j 2.15版中，允許LDAP只能連接到本機的限制，而可被用於RCE攻擊，使得這項漏洞的危險程度大幅增加。</p> <h4><strong><a href="https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement"><span style="color: rgb(0, 0, 0);">勒索軟體Conti開始利用Log4Shell漏洞，攻擊VMware vCenter<img alt="" src="https://s4.itho.me/sites/default/files/images/f5c79d_7ca69f78224844af92d9fa94ca8c1db2_mv2.png" style="width: 300px; height: 297px; float: right;" /></span></a></strong></h4> <p>威脅情報業者Advanced Intelligence指出，他們發現勒索軟體駭客Conti，自12月12日開始，開始利用Log4Shell漏洞（CVE-2021-44228）發動攻擊，鎖定VMware vCenter環境下手，藉著漏洞在攻擊目標的內部網路環境中進行橫向移動，已有美國和歐洲的受害組織。針對Log4Shell漏洞，VMware發出資安通報並提供緩解措施，但尚未提供修補程式，vCenter用戶仍有可能成為駭客的攻擊目標。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/tellyouthepass-ransomware-revived-in-linux-windows-log4j-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass攻擊再度升溫，利用Log4Shell漏洞入侵受害電腦</span></a></strong></h4> <p>資安研究團隊KnownSec 404約於12月13日，發現名為TellYouThePass勒索軟體的攻擊行動，並表明攻擊者利用了Log4Shell漏洞下手，攻擊執行舊版Windows作業系統的電腦。隨後Curated Intelligence發現，當天至少有30個TellYouThePass的惡意軟體樣本發動攻擊。隔日，中國資安業者深信服指出，這個勒索軟體攻擊的受害範圍，已有多個中國省份出現災情，資料遭到加密，受害電腦的共通點，都是執行特定的OA系統，再者，TellYouThePass也同時對Linux伺服器展開攻擊。</p> <h4><strong><a href="https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"><span style="color: rgb(0, 0, 0);">逾3.5萬個Java套件受到Log4Shell波及</span></a><img alt="" src="https://s4.itho.me/sites/default/files/images/blocked_dep_fix.png" style="width: 300px; height: 238px; float: right;" /></strong></h4> <p>重大漏洞Log4Shell的影響究竟有多廣？Google針對知名的Java套件庫Maven Central進行調查，結果發現，當中有35,863個Java套件依賴存在漏洞的Log4j，相當於有8%的套件受到此漏洞的影響，目前當中已有4,620個套件修補該漏洞完成。研究人員指出，上述逾3.5個套件裡，僅有7千個是直接引入了Log4j程式庫，其餘多數為間接引用，這樣的現象，可能使得開發人員難以能充分了解他們的Java套件中，是否受到Log4Shell影響。</p> <h4><a href="https://www.blumira.com/analysis-log4shell-local-trigger/"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell攻擊出現利用WebSocket的新手法</strong></span></a></h4> <p>繼日前資安業者發現，部分駭客利用Log4Shell漏洞發動攻擊的態勢，從LDAP轉移到RMI服務，有資安業者發現更為隱蔽的手法。資安業者Blumira指出，他們發現能透過JavaScript程式碼，使用WebSocket通訊協定的攻擊手法，由於這類協定只向伺服器驗證來源，而不受限瀏覽器的同源政策管制。研究人員也公布他們概念性驗證攻擊的實作方式，並成功以這項手法觸發Log4Shell漏洞，執行Windows伺服器上的小算盤（Calc.exe）。</p> <h4><strong><a href="https://www.zdnet.com/article/nsw-government-casual-recruiter-suffers-ransomware-hit/"><span style="color: rgb(0, 0, 0);">人力資源業者Finite Recruitment遭到勒索軟體Conti攻擊</span></a></strong></h4> <p>為澳洲新南威爾士州政府提供臨時人力的Finite Recruitment，近日證實他們在10月經歷網路攻擊事件，該公司部分的資料遭駭客公布於暗網。該公司強調，在攻擊事故當下，該公司的營運並未因此中斷。而對於攻擊者的身分，勒索軟體Conti將該公司列為受害者，並宣稱竊得超過300 GB資料，包含財務資料、合約、客戶資料庫，以及員工的詳細資料等。新南威爾士州政府發言人表示，他們採用該公司的服務，並未因為此起事故受到影響。</p> <h4><strong><a href="https://www.independent.ie/news/ransomware-cyberattack-hits-coombe-hospital-it-services-locked-down-as-precaution-41156106.html"><span style="color: rgb(0, 0, 0);">愛爾蘭婦女醫院Coombe遭勒索軟體攻擊，部分IT系統遭到波及</span></a></strong></h4> <p>愛爾蘭婦女醫院Coombe於12月16日指出，他們在15日開始遭到勒索軟體的攻擊，該院發言人表示，他們發現遭到攻擊的跡象，為了防範災情擴大，已經隔離部分IT服務，並與當地衛生部（HSE）通報，HSE則證實，這次事故已經影響該院IT基礎設施的數個系統，且該院已暫時與國家網路切斷連接。</p> <h4><a href="https://decoded.avast.io/threatintel/avast-finds-backdoor-on-us-government-commission-network/"><span style="color: rgb(0, 0, 0);"><strong>美國政府委員會驚傳遭植入後門程式<img alt="" src="https://s4.itho.me/sites/default/files/images/ocidlls.png" style="width: 300px; height: 245px; float: right;" /></strong></span></a></h4> <p>防毒廠商Avast於12月16日指出，他們在美國政府委員會的內部網路上，發現攻擊者以偽裝成OCI.DLL的攻擊工具，並濫用WinDivert來監聽所有網際網路流量，然後在受害電腦下載並執行惡意程式。研究人員也發現另一款攻擊者用來解密的工具，攻擊者可能是用來在受害電腦上執行任意程式碼。Avast認為，這種行動是攻擊者用來偵察網路環境並取得控制，可能是多階段攻擊的第一步。</p> <h4><a href="https://www.prevailion.com/darkwatchman-new-fileness-techniques/"><span style="color: rgb(0, 0, 0);"><strong>木馬程式DarkWatchman藏身於Windows登錄檔進行寄生攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/scheduled_task.png" style="width: 300px; height: 160px; float: right;" /></strong></span></a></h4> <p>資安業者Prevailion於11月下旬，發現了名為DarkWatchman的RAT木馬程式，這個木馬程式以JavaScript程式碼打造而成，大小僅32 kb。DarkWatchman使用網域產生演算法（DGA）與C2中繼站連線，並大量使用現成執行檔、程式碼，以及程式庫來進行寄生攻擊（LoL）。這個木馬程式在每次使用者登入受害電腦時，以工作排程啟動，並執行PowerShell程式碼來編譯鍵盤側錄工具，然後在記憶體內執行。比較特別的是，此款鍵盤側錄工具並非直接與C2中繼站連線傳輸資料，也不會把資料寫入磁碟，而是先把側錄得到的資料儲存於登錄檔，再由DarkWatchman將資料外傳。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://security.googleblog.com/2021/12/improving-oss-fuzz-and-jazzer-to-catch.html"><span style="color: rgb(0, 0, 0);">模糊測試工具OSS-Fuzz加入檢測Log4Shell的能力</span></a></strong></h4> <p>針對波及全球各項應用系統的Log4Shell漏洞，也有程式碼檢測工具加入有關的檢測機制，來協助開發者找出可能曝露在這項漏洞的程式碼。Google於12月16日宣布與Code-Intelligence合作，透過後者改良Jazzer模糊測試引擎，以能夠檢測遠端JNDI搜尋的異常情形，來強化OSS-Fuzz模糊測試工具對於Log4Shell的偵測能力。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> <p><a href="https://www.ithome.com.tw/news/148368">2021年12月15日</a></p> </div></div></div>
2021/12/20 15:19作者周峻佑https://www.ithome.com.tw/news/148463
摩根大通允許員工以WhatApp等平臺通訊，遭罰2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國金融服務機構摩根大通（JPMorgan Chase）因旗下華爾街部門允許員工透過WhatsApp與其它未經授權的通訊平臺，繞過必須保存通訊記錄的規定，而分別遭到<a href="https://www.sec.gov/news/press-release/2021-262" target="_blank">美國證券交易委員會（SEC）</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8470-21" target="_blank">美國商品期貨交易委員會（CFTC）</a>判罰1.25億美元及7,500萬美元。</p> <p>不管是SEC或CFTC都規定企業必須保存通訊記錄與帳本記錄，而且相關記錄必須受到適當的監督，不得藉由官方管道之外的平臺進行。</p> <p>然而，根據SEC的調查，摩根大通從2018年1月至2020年11月間，員工就經常於個人的行動設備上進行證券業務上的交流，包括文字簡訊、WhatsApp或個人的電子郵件帳號，由於是在個人裝置或帳號上執行，因此相關記錄並未被妥善保留，違反了美國聯邦證券法令的規定。</p> <p>調查還顯示，不僅是低階員工，就算是摩根大通的高階主管也都透過自己的個人裝置，來從事有關該公司證券業務的交流。</p> <p>CFTC則說，摩根大通違反相關規定的時間點最早可追溯到2015年，而且該公司並未收集或保留這些藉由其它管道交流的訊息。</p> <p>摩根大通除了接受總計2億美元的罰款之外，也同意聘請法遵顧問，以審查該公司如何管理員工於個人裝置上的通訊行為，並提出改善建議。</p> </div></div></div>
2021/12/20 15:38作者陳曉莉https://www.ithome.com.tw/news/148464