iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

媒體關係暫時無法取得，文章仍可正常瀏覽。

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

未及時向中國政府通報Log4j漏洞，阿里雲稱未意識漏洞嚴重性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里雲發現Apache Log4j重大漏洞後未能第一時間通報中國政府<a href="https://www.ithome.com.tw/news/148540" target="_blank">，上周遭到中國工信部暫停合作6個月處分</a>。阿里雲上周指事出於未意識漏洞嚴重性而錯誤判斷，未來將改善。</p> <p><a href="https://news.sina.com.tw/article/20211223/40881518.html" target="_blank">中國媒體報導</a>，阿里雲於上周四（12/23）透過官方微信公眾號發布關於Log4j漏洞通報概況。<a href="https://www.ithome.com/0/594/373.htm" target="_blank">阿里雲指出</a>，其安全實驗室一名研發工程師發現Log4j (2)組件的一個安全瑕疵，於是按業界慣例以郵件方式向原開發組織Apache開源社群通報以請求協助，經後者確認是一個安全漏洞，並向全球發布修補程式。而後該漏洞被外界證實是全球性的重大漏洞。</p> <p>阿里雲並未提及任何和工信部停止它參與網路安全威脅、和漏洞信息共享平臺的資格被中止6個月一事，僅解釋是按資安業界通例，先通報Apache軟體基金會。</p> <p>阿里雲表示，他們在早期未意識到Log4j漏洞（CVE-2021-44228）的嚴重性，以致未及時共享漏洞訊息，未來該公司會強化漏洞管理，提升合規（compliance）意識，積極協同各方做好網路安全風險防範工作。</p> <p>中國工信部的處分導致的損失尚難確定，但失去官方信任可能影響阿里雲的業務前景。阿里雲同時也是中國工信部推動「互聯網＋先進製造業」的跨行業跨領域工業互聯網平臺的合作清單廠商。</p> <p>阿里巴巴今年4月遭中國市場監管局重罰183億人民幣（約臺幣800億元），以處罰它強迫平臺店家不得在其他電商平臺開店及促銷的壟斷行為。阿里巴巴之後公開表達感激政府。</p> </div></div></div>
2021/12/27 09:04作者林妍溱https://www.ithome.com.tw/news/148587
預算卡關，美司法部推遲控告蘋果、Google作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politico.com/news/2021/12/23/apple-google-doj-delay-526072" target="_blank">美國媒體Politico報導</a>，由於拜登政府新年政府總預算案上周在國會卡關，致使美國司法部欠缺預算，控告蘋果及Google的壟斷官司被迫推遲到2022年初。</p> <p>報導引述消息人士指出，由於同為民主黨的參議員Joe Manchin上周對拜登政府提出的《重建美好未來法案》（Build Back Better Act）投下反對票，使1.75兆美元預算無法過關，也讓司法部進行中的官司難以為繼，包括控告蘋果App Store及Google網路廣告及搜尋業務的壟斷官司。</p> <p><a href="https://www.ithome.com.tw/news/132010" target="_blank">2020年10月司法部</a>連同佛州、德州等11州控告Google搜尋以不當手段，維持其在搜尋、搜尋廣告業務上的壟斷地位，排擠競爭者。今年司法部同步蒐集遊戲開發大廠Epic控告蘋果App Store諸多壟斷規定，包括必須內建蘋果自有程式內購買（in-app purchase）以抽取30%佣金，及不允許開發商透過郵件或其他平臺聯繫用戶等。</p> <p>消息人士指出，司法部原本計畫今年12月31日完成對兩家大廠的調查，但受到預算卡關影響，現在司法部被迫將工作推遲到2022年3月以後，司法部也將再討論何時提出控告，以及是否由現任助理司法部長Jonathan Kanter主審本案，因其曾在訴訟案中為Google對手擔任律師，<a href="https://www.nytimes.com/2021/11/19/technology/jonathan-kanter-google.html" target="_blank">Google質疑</a>有判斷不公之嫌。</p> <p>拜登新法案預定將撥5億美元作為司法部反托拉斯官司的預算。當然國會明年1月會有專門的司法部預算案1600萬美元，但是司法部手上還有其他案件也會占用這筆預算，包括<a href="https://www.ithome.com.tw/news/132010" target="_blank">2019年啟動的Google搜尋及廣告業務壟斷案</a>、及其他產業的反托拉斯案。</p> </div></div></div>
2021/12/27 09:11作者林妍溱https://www.ithome.com.tw/news/148588
【資安實例分享：臺中榮總】中榮院級IT危機應變作法大公開，更靠3招心法鞏固資安體質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可用性是醫療資安的第一原則，臺中榮總一方面打造了一套院級的資訊危機緊急應變組織，來提供1小時甚至是半小時的緊急應變速度，更自行開發了一套單機版門診軟體，就算後端伺服器當機、網路中斷，只要有一臺PC和印表機，就能讓醫生繼續看診，甚至能離線查詢過去半年的病歷資料和檢驗報告，來實現病患看診不中斷。</p> <p>中榮如何打造出這套應變措施？第一步先從訂定組織做起。臺中榮總資訊室主任賴來勳指出，臺中榮總按照醫療事件指揮系統（HICS）架構，設立一個全院等級的資訊危機緊急應變組織，專門因應資安事件。院長擔任指揮官，負責授權啟動應變，副指揮官則由副院長兼任，來協助院內外訊息發布。</p> <p>資訊室主任則領導主要執行單位，負責統合緊急事件資訊，來建立執行計畫。執行單位下有6個小組，如醫療照護組、持續運作組、待命區組、設施運作組、安全管制和病人家屬關懷組，分別由護理部、醫企室、資訊室應用組、資訊室系統組、駐警隊和社工室來負責。</p> <p>不光有執行單位，緊急應變組織還有一個由總務、社工室組成的行政部，來調度人力資源，支援執行單位。</p> <p><span style="font-size:28px;"><strong>服務中斷0.5至1小時就啟動應變</strong></span></p> <p>有了組織架構，他們也根據不同層級和事件影響範圍，劃分相對應的緊急應變程序，比如，門急住系統、電子病歷系統、影像系統和網路系統等影響全院層級的系統，有各自的應變程序。而其他一級單位，像是放射部、檢驗部等，也有對應的作業程序。</p> <p>這些程序該在何時啟動呢？</p> <p>臺中榮總的原則很簡單，依臨床單位可容許的作業中斷時間，來決定啟動時機。賴來勳舉例，以使用量最龐大的門診系統來說，當服務中斷30分鐘且短時間內無法修復時，就會由資訊室主任或授權人員通報院部長官，來啟動緊急應變程序。不只如此，他們還會同步進行資安通報，來知會主管機關衛福部。</p> <p>至於院內急診系統和住院系統，則是服務中斷1小時、無法在短時間內修復時，才會啟動應變程序。事件發生後，臺中榮總也會執行作業檢討，除了撰寫事件處理檢討紀錄表，每年還會召開會議，來修訂各項緊急應變程序。</p> <p><strong><span style="font-size:28px;">服務中斷怎麼辦？中榮打造單機版門診程式</span></strong></p> <p>為了讓醫院最頻繁使用的門診系統，遇到危機時也能持續運作，臺中榮總IT打造一款單機版門診程式，來確保醫院各單位可持續醫療行為。這也點出，醫療資安以可用性為第一優先的特性。</p> <p>這款單機版軟體鎖定的使用情境是，假設在沒有伺服器主機、沒有網路、只剩一臺電腦和印表機時，醫生可持續醫療作業的狀態。</p> <p>目前，臺中榮總這套程式已經優化到第二版，可提供與正常系統完全相同的操作模式，而且，平時沒有啟動時，院內門診系統會每日產生一份最新資料的加密壓縮檔，涵蓋過去6個月以內的病歷資料和檢驗報告，讓醫生離線透過這單機套系統查詢，不必擔心資料不同步。</p> <p><span style="font-size:28px;"><strong>事前預防1：藉自動化分析掌握資安動態</strong></span></p> <p>不只靠單機程式因應資安事件，為防範未然，臺中榮總還利用3種方法，來鞏固資安體質。</p> <p>首先是建立資安事件自動化分析機制。賴來勳指出，這個機制可分為3步驟，第1是資料收集，IT團隊會先在醫院網路設備、主機和個人電腦上，裝設代理程式（Agent），對於無法裝設代理程式的設備，他們則透過無代理程式監控器（Agentless monitor）來收集資料。</p> <p>第2步是可視化管理，這時，IT團隊運用開源工具，將收集到的資料匯入工具平臺中，方便IT人員從視覺化儀表板上，來查看設備的狀態。賴來勳點出，他們更將過去需要人工檢查的作業，透過自製程式改為自動化處理，讓數據更即時同步到儀表板上。</p> <p>有了這些數據，IT團隊就能進行第3步，也就是自動化分析。他們導入資安監控SOC服務，以及資安事件管理平臺（SIEM），來分析這些數據，希望能自動阻斷潛在威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%84%80%E8%A1%A8%E6%9D%BF-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／賴來勳</span><br /><strong>臺中榮總利用開源平臺打造可視化儀表板，將院內關鍵設備的數據即時呈現，方便進行下一步的SOC和SIEM平臺自動化分析。</strong></span></p> <p><span style="font-size:28px;"><strong>事前預防2：整合外部威脅情資</strong></span></p> <p>臺中榮總鞏固資安體質的另一個方法，則是整合外部情資。這個方法一樣有3個步驟，首先是收集情資，比如整理衛福部資安資訊分享與分析中心（H-ISAC）公告的勒索軟體相關情資、行政院發布的國家資通安全會報、學術網路資訊和資安廠商提供的情資等。</p> <p>擁有各方情資後，第2步要做的是消化情資，釐清情資是否符合醫院需求，比如醫院是否具備情資提及的設備等。</p> <p>接著，第3步就是運用研判過的情資，來進行設備修補或更新、調整程式碼（如更新軟體、韌體等），這些工作會由資訊室透過排程來處理。此外，資訊室也攬起人員宣導與教育訓練的責任，在院內討論區定期公告情資，並宣導惡意網站訊息，來提高人員資安意識。</p> <p>「經年累月下來，同仁們的資安意識是有成長的！」賴來勳指出，IT團隊原以為資訊公告不太會有人關注，但久而久之，會有同仁打電話詢問相關資訊，主動理解資安動態。</p> <p><span style="font-size:28px;"><strong>事前預防3：資安攻防演練</strong></span></p> <p>臺中榮總還有一個鞏固資安體質的方法，也就是資安攻防演練。「這個攻防分為兩部分，」賴來勳透露，首先是針對一般使用者的攻防演練，資訊室自建一套社交工程演練系統，每個月專門發送10種類型以上的釣魚電子郵件，給總院和分院人員，並透過系統，來記錄開啟郵件、點閱連結和開啟附件的狀況。</p> <p>他們每季彙整演練結果，比如單位的開啟率、點閱率等，以公文發送給各單位，並要求不合格的人員參加資安教育訓練。「一開始，我們的開啟率都過半！」賴來勳分享，醫院開始進行社交工程演練時，許多單位都會毫不猶豫開啟釣魚郵件，但經過幾次演練，「現在的開啟率非常低，不到2%。」</p> <p>另一方面，臺中榮總也設計不少針對IT的資安攻防演練。這部分由資訊室先研擬攻擊劇本，再選定環境，實際演練。演練時，團隊會針對不同系統風險，採取不同演練方式，比如針對採多機分流運作的正式系統，如通常開設10臺主機的網路預約掛號系統，直接攻擊其中一臺正式系統，因為「就算這一臺當機，也可以直接復原，不會影響醫療作業，」賴來勳說。</p> <p>另一類是無法承受演練當機風險的正式系統，臺中榮總會先複製一套系統，再於沙箱環境攻擊，之後再根據系統表現，來調整資安防護措施，防範未然。</p> <p><span style="font-size:28px;"><strong>資安最重要的是人員，醫院還得注重法遵證照</strong></span></p> <p>除了自動化分析、整合情資、攻防演練，賴來勳認為，一些基本措施如架設防火牆、防毒軟體，或是備份資料、頻繁更換密碼、限制網路存取、評估委外廠商等，甚至是制定復原計畫，也都能幫助醫院打好資安底子。但對他來說，做好資安的關鍵，還是文化養成。</p> <p>因為，「人員是最重要的資產，資安得靠眾人之力才能做好，」他解釋，IT人員雖能在重要關卡防守破口，但一般使用者若保持良好習慣，就能預防資安危機。因此，「一般使用者和IT人員都同等重要。」</p> <p>另一方面，賴來勳也強調人員與資安法遵的重要。他透露，臺中榮總與旗下兩家分院，至少都有ISO27001:2013 LA和資安職能證照，總院另外還有網路安全技術認證機構EC-Council認證，以及資安基礎認證CompTIA Security。「張數不能太少，」他點出，醫院得考慮人員流動，因此證照數量至少得多準備，才能符合法規要求。</p> <p>未來，臺中榮總資安將繼續朝可視化管理和自動化分析前進，來降低人力負荷、提高自動化處理程度。</p> </div></div></div>
2021/12/27 07:00作者王若樸https://www.ithome.com.tw/news/148542
【醫院設立資安長的必要性】資安法成醫院評鑑依據，公立及CI醫院需設資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蔡英文總統上任以來，積極推動「資安即國安」的國家政策，並且在2019年1月1日，正式實施《資通安全法》，作為公務機關及特定非公務機關的資安準則。其中，特定非公務機關除政府機關外，還囊括能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院及高科技園區，總計八大關鍵基礎設施，還包括公營事業和特定法人機關；而臺灣目前已有46家醫療院所被指定為關鍵基礎設施醫院，也必須受到《資通安全法》的規範。</p> <p>臺灣醫療院所分成四大類：公私立醫學中心、區域醫院、地區醫院，以及基層診所，其中，衛生福利部已經陸續指定46家公、私立醫學中心和區域醫院，作為CI（關鍵基礎設施）的指定醫院。</p> <p>衛生福利部資訊處處長龐一鳴表示，臺灣醫院最重視醫院評鑑，為了讓醫院更重視資安，衛福部之前曾特別宣布，將ISO 27001的ISMS資通安全管理列為醫院評鑑項目，後來在2019年醫院評鑑的資訊資安項目，改以符合《資通安全法》作為醫院評鑑資安項目的基準。</p> <p>龐一鳴進一步解釋，《資通安全法》作為醫院評鑑的基準項目，但醫院有分成公立和私立醫院，公立醫院中，還分為不同部會管理。他表示，若依照《資通安全法》的架構，公立醫院屬於公務機關，私立醫院中，則只有部分被指定為CI醫院，才是符合《資通安全法》所謂的「特定非公務機關」。</p> <p>龐一鳴強調，上述公立醫院及部分特定非公務機關的指定醫院，都必須符合《資通安全法》的法遵要求，像是公務機關要求應設置「資通安全長」，由機關首長指派副首長或適當人員兼任，所以，公立醫院及指定的CI醫院，都必須依照該法，指派副首長或適當人選兼任資安長一職，對於其他的私立醫院，並沒有強制要求遵循資安法規範。關於設立資安長一職，雖然政府採取鼓勵態度，但因為醫院評鑑「稽核事項」中，有資安架構的相關事項，所以衛福部認為，醫院設立資安長的強度，屬於行政程序法所定義的「行政指導」。</p> <p>也就是說，公立醫院和CI指定醫院依照資安法規定，必須強制設立資安長一職，其他私立醫院雖然不設立資安長也不違法，但主管機關衛福部仍然可以採用其他「鼓勵」方式，要求私立醫院朝著設立資安長的目標前進。</p> <p><span style="font-size:28px;"><strong>資通安全法的法遵強度最高，已經成為醫院評鑑的重要項目</strong></span></p> <p>不過，要落實資安，龐一鳴認為，除了要有強烈法規遵循的要求外，對醫院而言，當資安已經成為醫院評鑑和稽核的一環時，稽核就會著重在「資安組織」、「決策方式」、「管理制度」、「資源配置」以及「組織文化」。</p> <p>以法遵要求而言，為了強化醫院對於資安的防護措施，衛福部在政策推動上，也有不同強度的措施。</p> <p>強度最高的，其實就是依照《資通安全法》的要求，建立資安聯防機制，成立H-ISAC，強化關鍵基礎設施的防護能力，主要適用於公立醫院以及CI指定醫院；強度居次的，則是：將資安項目納入醫院評鑑的基準項目中，透過醫院評鑑基準的方式，引導並提高醫院的資安防護水準，主要適用於CI指定醫院以及其他非CI醫院；強度最弱的，則是：訂定各級醫療院所的資訊安全防護基準參考原則，是用對象除了CI指定醫院和非CI醫院外，還包含基層診所在內。</p> <p>也就是說，資安長其實並不等同於傳統的資訊長。龐一鳴表示，醫院資安長所把關的範圍，遠遠大於傳統的資訊系統範圍，直接從傳統資訊機房、骨幹網路、醫療資訊系統等的IT系統，更進一步向外擴大到整體資通範圍，包括：各種行動化設備、OT裝置（例如醫療儀器、工控設備、工程電腦等），以及各種IoT物聯網裝置（例如環境控制系統、監視器等）。他說：「《資通安全法》是一套風險管理的法令規章，對醫療院所的適用範圍，其實就是監管整體醫療機構。」</p> <p>既然臺灣的醫療院所都受到《資通安全法》的規範，醫院也必須參考該法相關的架構，制定相關的配套措施。所以，《資通安全法》制定後，適用的醫院，都必須依照先期計畫、持續運作、通報應變和協處改善等四個階段，制定相關的配套法案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1057-%E5%B0%81%E9%9D%A2-%E5%BD%A5%E6%A3%BB-%E9%86%AB%E9%99%A2%E8%B3%87%E5%AE%89%E9%95%B7-PNG-600.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>許多公立醫院以及指定的CI醫院，依照資安法規定，資安長需由副首長或適當人士兼任。從醫院提供的各種問卷和回收資料統計發現，臺灣醫院的資安長，八成以上是由副院長以上的高層主管兼任，但可惜的是，有資安長職稱的醫院不到一成。</strong></span></p> <p><span style="font-size:28px;"><strong>CI醫院成立資安管理委員會，並設置副首長層級的資安長</strong></span></p> <p>資安稽核針對資安組織的部份，龐一鳴指出，可參考《基層醫療院所資安防護參考指引(草案)》，針對CI指定醫院的規定，應成立「資通安全管理委員會」，並且設置資安長的職位，掌管全院資安事宜；資安長下設單位，包括：負責訂定資安計畫的資通安全管理中心和執行資安計畫的執行單位，以及提供情資因應、緊急應變與負責稽核的機動小組。</p> <p>龐一鳴直言，有許多系統設備或服務像是「消失的密室」，可能不在資訊長的掌握之中，例如：研究計畫案提供的醫療儀器輔助系統、監控設施及環控系統、廠商服務所提供的優規項目，甚至是一些不受管理的網路、電路，都可能串接醫院內部的網路架構等。這些都會是醫院資安的漏洞，也成為資安長必須掌握和把關的範疇。</p> <p>更重要的是，必須以「全機關」為中心，從管理面、技術面，以及認知訓練面，制定資通安全維護計畫書。其中，在管理面的部分，除了須建立分級資通系統和設立防護基準，最關鍵的工作，就是要將資安管理系統全數導入核心資訊系統，並在三年內完成第三方驗證；同時，依照資安法對於A級機關的規定，聘請四位專職資安人員。</p> <p><span style="font-size:28px;"><strong>有八成CI醫院的資安長為副首長以上層級，他們大多具備醫療專業</strong></span></p> <p>依照2020年資安計畫實施情形、2021年資安維護計畫，以及2021年問卷調查內容的分析數據，公立醫院與指定CI醫院的資安長，有80％是執行長/院長/副院長層級；由單位部門主管兼任資安長占10％，有資安長職稱為7％，其他如院長室主任秘書兼任資安長則占3％。</p> <p>龐一鳴表示，目前醫院資安長大多數為醫療人員兼任，有部分是資訊專業人員兼任，因為醫院資安長是醫院的決策階層，衛福部的立場並不會限制資安長的資格，讓醫院有更多的任用彈性。</p> <p>醫院設立資安長的確是未來趨勢，不過，龐一鳴坦言，因為疫情關係，醫院評鑑已經停辦兩年，目前醫院評鑑的資安基準中，是以「是否加入醫療領域資安資訊分享與分析中心（H-ISAC）會員？」作為評鑑基準，設立資安長與否目前還不是醫院評鑑的固定評鑑項目。</p> <p>龐一鳴也說，衛福部會透過《醫療法》的評鑑制度，導引資安防護的要求等同病人安全防護，要求公立醫院依法設立資安長，私立醫院則優先以鼓勵設立資安長的方式為主。</p> </div></div></div>
2021/12/27 07:00作者黃彥棻https://www.ithome.com.tw/news/148548
臺灣第一批醫院資安長現身，披露醫療資安管理者的兩難
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年資安法上路以來，不論是否為關鍵基礎設施，不少醫院管理階層，都多了一批前所未有的新角色，陸續新設置了資安長，來統籌全院資安事宜。但是，這群臺灣第一批的醫院資安長們，也面臨很大的磨合課題，業務執行上也遭遇不少挑戰。在衛福部日前舉辦的醫療資安長共識營上，他們紛紛現身，道出第一線醫療資安的甘苦。</p> <p><span style="font-size:28px;"><strong>醫生角色與資安長定位的兩難，成了醫院管理架構新課題</strong></span></p> <p>「資安長角色應該是監督資安，而非做資安！」高醫副院長黃明國說道。如同多數醫院，高醫資安統籌由副院長負責，並非單獨設立一個資安部門，由資安長處理。</p> <p>對醫師出身的黃明國來說，擔下資安管理這個工作，不只要懂IT，還得熟稔各種醫療儀器（OT）和IoT設備，甚至5G上線後，副院長得學習更多相關知識，來因應潛在的資安威脅。這對原本業務繁忙的副院長來說，會是個負擔，學習成效也不見得比具有IT背景的專業人員好。</p> <p>因此他認為，資安長應定位為監督資安，而非執行資安專案。他建議衛福部，應在跨醫院資安情資分享與分析的H-ISAC會員章程中，明確規範資安長的角色，以及資安業務的執行、管理和監督單位。</p> <p>另一方面，同為醫師背景出身的部立桃園醫院副院長陳厚全也表示，這幾年扮演資安長的經驗，讓他明顯意識到，醫院架構與角色對立的問題。他形容，對醫院來說，醫師往往會是潛在的資安威脅，因為，醫師執行醫療業務時，為求順利，多半會答應醫療設備廠商提出的要求，若高層反對，醫師則會以影響醫療業務、病人安全等原因，來說服高層長官。「這就容易打破資安規則，」他強調。</p> <p>但在醫院管理架構中，院長、副院長幾乎都是醫師出身，這個安排，對各醫療單位的管理相當合適，但以相同架構來處理資安課題，就會造成衝突。</p> <p>陳厚全舉例，部桃內部遭受的資安攻擊，不少情況的潛伏期至少超過6個月，「要是前端人員沒有資安觀念，後面用盡力氣補洞，效果也不會好。」他認為，醫師擔任資安長時，必須受到適當的訓練，才能取得平衡，而且要下定決心在事前解決問題，而非事後補救。</p> <p>他也建議，院長、副院長等醫院高層得培養資安觀念，在面對醫師和各種醫療服務時，才能充分應對。</p> <p>醫生與IT、資安的關係不純然只是對立，也需要互補。臨床醫師出身的奇美行政副院長鄭天浚強調：「資安要做好，合作比較重要。」他解釋，國家政策鼓勵醫院發展智慧醫療，醫院免不了要與外界傳遞資料，就會面臨資安和IT議題。</p> <p>因此，醫院除了該整合IT與資安，在「資安作業的推動上，一定要有推動IT政策的人來參與！」他強調，唯有兩者合作，才能在第一線落實IT和資安，才不會各做各的。</p> <p><span style="font-size:28px;"><strong>獨立設置資安部門，才能全面推動</strong></span></p> <p>臺灣已有少數醫院獨立設置資安長而非兼任，童綜合醫院資安長王炳仁就是其中之一，他也認同，資安部門應獨立發展。他表示，衛福部及資訊處處長龐一鳴1年多前至童綜合醫院稽核，就建議醫院應單獨設置資安長，才不會與IT角色衝突。童綜合醫院採納這個建議，在院長室下設資安長，由原院長室副資訊長王炳仁來擔任。</p> <p>不過，童綜合醫院單獨設置資安長了，還是會面臨一些角色衝突問題。王炳仁舉例，資安長旗下缺乏資安管理人才，現有的資安人力由資訊部調任，仍隸屬於資訊部，因此推動資安政策時，仍得透過資訊部。</p> <p>另一個問題是，資安長推動資安政策時得有配套措施，比如，要關閉網路芳鄰，就得提供雲端磁碟，甚至在供應鏈處理上也是如此，資安長得在不同單位奔走，釐清設備購買限制。</p> <p>這與他過去在資訊部的工作經驗大相徑庭，資訊長可專心維運醫療系統，資安長若要專心推行政策，就得設置獨立部門，才能實現。這也是王炳仁的期望和建議。</p> <p><span style="font-size:28px;"><strong>資安長面臨人力薪資問題，法遵可成為向上管理關鍵</strong></span></p> <p>彰化基督教醫院是早期就獨立編制資安長的醫院，彰基資安長粘良祁除了同意資安長會面臨角色定位衝突外，還分享了他面臨的另一類挑戰，也就是人才難覓。</p> <p>「資安法要求A級醫院配置4位資安人員，但我上任2年了，還是找不到人。」粘良祁指出，2年來，資安處仍只靠他一人作業，今年初，為了留住一位資安人才，他不惜向上級努力爭取，得到比醫院慣例更高的待遇，但還是無法與業界相比，該名人才最終還是選擇薪資更高的公司，高就他處。</p> <p>粘良祁點出，醫院間常以同儕最低薪資相互比較，這個最低薪資，甚至會成為醫院招人時的給薪參考。「大家都在比誰最低，但我希望醫院不要惡性競爭，」粘良祁認為，醫院IT和資安人員工作不易，應給予相當的待遇，這是醫療產業需調整之處。</p> <p>臺北市立聯合醫院同樣是臺灣少數在2019年就設置獨立資安處和資安長職位的醫院，曾任北市聯醫資安長、現任門羅醫院行政副院長的許世欣表示：「做資安，最重要的還是主管態度。」高層樂意支持，資安政策推行就更容易。</p> <p>他回憶，2019年資安法公布前幾個月，北市聯醫就下令獨立設置了資通安全管理委員會和資通安全諮詢委員會，他也從資訊室副資訊長的職位，轉任資安長，掌管全院資安事宜。在他任期內，也陸續與同仁建立不少資安制度，比如醫療儀器風險管理制度。之所以能專心推動資安策，他歸功於上級大力的支持。</p> <p>不過，話鋒一轉，現今許多醫院全力發展智慧醫療，CIO、CDO等角色越受上級重視，資安長如何與這些CXO們競爭資源？</p> <p>許世欣的方法很簡單，就是直白地告知法規應辦事項、需要投資，來與高層溝通，爭取應有的資源。他分享，當時，北市聯醫將資安與IT部門，設計為互相分工的單位，將資安處列為管理部門，資訊室則為執行部門。由資安處申請預算，通過後再由資訊室接手評選設備或服務，採購完成後再交由資安室負責執行。</p> <p>聽到這些醫療資安長先鋒們的眾多甘苦和建議，衛福部資訊處處長龐一鳴也很清楚，在醫院中，不論是資訊長、數據長、數位長還是資安長，執行作業都得仰賴上層決策。所以，他也預告，衛福部計畫，明年醫療資安長會議將聚焦於領導力，來探討資安管理、領導議題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 他山之石：金管會資訊服務處處長蔡福隆 </span></strong></span><br /><span style="color:#3399ff;"><span style="font-size:28px;"><strong>金融業如何分級強化資安整體韌性，推動跨產業聯防到內部應變制度化</strong></span></span></p> <p><span style="color:#696969;"><strong>金管會近年也大力透過不同政策要求，來強化金融產業的整體資安韌性，在這次醫療資安長會議，統籌金融資安政策的金管會資訊服務處處長蔡福隆，也現身揭露金融產業資安聯防和企業資安應變的推動經驗，作為醫界推動資安政策的參考。</strong></span></p> <p><span style="color:#696969;"><strong>「金融資安應變小組（CERT）機制，是以資源共享來規畫，」蔡福隆第一句話，就點出金融資安特別之處。這個由下而上的設計，先要求金融機構本身（如銀行、證券）要有自己的CERT，再上一層的金控，也要有專屬的CERT，如此就能共享資源，由金控支援體系下較弱的機構。</strong></span></p> <p><span style="color:#696969;"><strong>不只在企業內部，同樣原則也落實到金融跨產業的組織上，例如銀行公會和證交所都設置了應變小組，比如11月底才問世的證交所SF-CERT。要是金控難以支援自家銀行或證券，就能尋求銀行公會或證交所的應變小組。再擴大一步，當事件涉及跨業，金管會旗下還有更完整的金融資安資訊分享與分析中心（F-ISAC）和F-CERT，來提供資源。</strong></span></p> <p><strong><span style="color:#696969;">光有互相支援的組織設計還不夠，金管會也要求金融機構落實災害應變機制，因為，「資訊不可能100%安全，得建立終極防護能量。」蔡福隆表示，金融業強化災害應變從3要點著手，一是營運持續，金融機構除了訂定最大可容忍的服務中斷時間，也得識別核心業務，進行壓力測試和演練。</span></strong></p> <p><strong><span style="color:#696969;">再來是備援機制。為確保金融機構有足夠的復原能力，金管會要求，金融機構必須進行本地備援和異地備援，不只要在本地資料中心執行核心業務，還要在異地中心執行次要業務，如此，遭遇災害時就能彈性切換。同時，金管會也力推，金融機構每年將特定業務改由備援中心接手，執行一段時間再轉換回原中心，來驗證備援的可行性。</span></strong></p> <p><strong><span style="color:#696969;">災害應變最後一要點是關鍵資料的保全。金管會鼓勵金融機構將備份、備援資料，如客戶、金融市場相關資料，儲存至第三方，「一個能做到網路切割、獨立的第三方，讓資料得到更妥善的保護，」蔡福隆說。</span></strong></p> <p><strong><span style="color:#696969;">他強調，資安不只是IT的責任，更是全體的責任，他更以日前國泰世華ATM大當機事件引發民怨為例來說明。蔡福隆表示，這起事件，原是單純的Oracle資料庫升級與跨行系統升級，國泰世華在系統上線前，演練過兩種風險情境，一是新版本無法使用時，即時退回舊版，二是匯款業務由另一家銀行接手。</span></strong></p> <p><strong><span style="color:#696969;">雖然演練時正常，但蔡福隆點出，到了複雜的正式環境運作卻出錯，這是國泰世華事先沒有料想到的。因此，行內處理過程，許多流程關卡得經過層層核准來決定能否放行，回應效率不彰，而他們的客服專線更沒有因應緊急事件而調整，而是如往常要求民眾輸入不同號碼來導流，更加劇了心急民眾的怒火。他舉例，若客服專線改為「請您留下電話，一有消息就會回撥」的作法可能更好。蔡福隆還點出，媒體溝通也是一大重點，例如ATM當機後，國泰只發一篇新聞稿而難平民怨，金管會要求改善後，國泰不只追加新聞稿說明，也找來高階主管親自出面道歉後才平息抱怨聲浪。</span></strong></p> <p><strong><span style="color:#696969;">綜觀這個事件，蔡福隆總結，緊急事件演練不只是IT，而是全體系都要參與的事，而且，客戶權益是緊急應變計畫中的重要一環，更得妥善處理。衛福部資訊處處長龐一鳴也建議醫界，可參考金融緊急應變作法，也能汲取金融資安長制度和經驗。</span></strong></p> </div></div></div>
2021/12/27 07:00作者王若樸https://www.ithome.com.tw/news/148550
【專家建議：安永管理顧問公司總經理萬幼筠】醫院資安長優先順序和其他產業不一樣，得首重三大課題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部在11月底第三屆醫療資安長共識營中，大力呼籲46家關鍵基礎設施醫院和私立醫院設置資安長，甚至明確透露，未來將透過評鑑手段來鼓勵醫院設置資安長。衛福部對資安長的設置越來越積極，甚至鎖定醫院高層，作為明年醫院資安推廣對象。</p> <p>這次，衛福部也邀請安永管理顧問公司總經理萬幼筠，來分享資安長該注意的新趨勢。</p> <p>「我們的國家安全，很大程度仰賴關鍵基礎設施，醫療產業更是八大關鍵之一！」萬幼筠強調：「不過，醫療業對資安風險的優先順序，與其他產業大不相同。」一般產業談資安，不外乎先是機密保護、資料正確性，再來才考量可用性，但醫療業卻相反，可用性大於一切，比如手術中的達文西手臂，就得確保能即時運作。而這些高度聯網設備的精確性和可用性，「會帶來非常多的潛在風險，」他說。</p> <p><span style="font-size:28px;"><strong>資安長該關注這三大重點</strong></span></p> <p>既然醫療產業的優先順序不同，對醫療資安長來說，該關注哪些課題呢？</p> <p>「韌性。」萬幼筠點出，資安長首要關注的是韌性，也就是系統盡量不要被癱瘓、被癱瘓後要能快速復原，以及，「這個復原要在業務可容忍的範圍內。」而整個產業對韌性的重視，也改變業界的績效指標，從過去要求的不要出事，轉變為現在的出事後要能快速復原，甚至，出事當下要能立即察覺。這些都是資安長得注意的韌性。</p> <p>其次則是可信任度。比如，醫療業數位化程度高，許多儀器高度精密、聯網，再加上AI、大數據分析興起，資料傳遞更是頻繁快速。在這種條件下，這些儀器就存在資安風險，如何能被醫院信任、使用，是資安長該著墨的議題。</p> <p>第三道課題是當責性。「法律永遠是最後一道防線，」萬幼筠表示，臺灣與其他國家一樣，資安法從最高層級的國家法，往下延伸至產業法規，走進醫療、金融等領域。層層法規，就是為了強調資安非做不可，政府因此建議關鍵基礎設施設置資安長，來帶頭規畫、編列預算，執行資安策略。這就是資安長必須意識到的當責性。</p> <p><span style="font-size:28px;"><strong>資安關鍵在於風險管理，9大關鍵不可忽視</strong></span></p> <p>既然強調韌性，這就意味著，落實資安並非追求100%的安全，而是要會管理風險。</p> <p>萬幼筠歸納出9大風險管理關鍵，提供醫院資安長參考。首先是擬訂一套資安策略，這個策略要具備風險管理範圍與藍圖，還有對應的風險管理規畫和方法，以及因應資安事件所需的資源與持續營運能力。</p> <p>這套策略，就能配合內部組織與流程來落實。在組織上，得先明確畫分風險管理權責，並定義角色與責任（R&R），比如，醫院得有一組人來定期檢視資安風險，診間人員就能擔任這種角色。而且，組織人員得進行資安訓練、培養資安意識。這麼做，就能與風險處理流程相輔相成，甚至，醫院也得藉助科技，如自動化風險管理工具或即時監控通報機制，來掌握資安動態。</p> <p>不只要有策略、組織、流程和科技，醫院還得打好資安基礎。比如建立一套共通語言，不光是內部要有一套共通的風險定義，還得有套符合所屬產業的風險實務。</p> <p>再來，醫院也需一套衡量標準，像是風險管理成熟度指標、績效要求（KPI），以及風險改善的優先順序，來調整管理做法。此外，還得設計一套風險管理架構，來與其他制度整合。最後，組織人員得培養風險管理的技能和知識，來塑造風險管理文化。掌握這9個關鍵，資安長就能成功管理資安風險。</p> <p><span style="font-size:28px;"><strong>不只是技術，資安是人員、流程、科技的經營課題</strong></span></p> <p>不過，「資安長要了解，資安不全然是技術課題，而是經營課題，」萬幼筠強調，這個經營課題就是人員、流程和科技的整合。以人員來說，醫院資安長得知道，醫院最大的利害關係人是醫護人員，其次是照護、行政、膳食、工友等人員，因此得按影響力來優先排序需資安保護的對象、理解風險高低，而非一視同仁。</p> <p>有了資安保護對象的優先順序，再來就是運用科技，如自動化風險管理和監控工具，來把關資安狀態。至於流程，不只是理解系統安全，如帳號密碼管理、弱點掃描，還要更進一步建立可永續操作的資安流程，這時，「教育訓練就十分重要。」</p> <p><span style="font-size:28px;"><strong>下一步：供應鏈管理、聯防體系</strong></span></p> <p>萬幼筠也強調，未來3到5年一大資安重點，就是供應鏈管理，一如國家資安法架構所聚焦的。他舉例說明供應鏈管理的重要性，比如，臺灣醫院採購醫療儀器時，容易參考同儕經驗，採買國際大廠、市占率高的儀器。但這個作法，就有可能造成，國外一家醫院同廠牌的儀器遭駭，臺灣醫院也跟著遭殃。</p> <p>還有一個例子是，供應商容易洩漏使用者機密。比如一家資料倉儲廠商，將前一家金控客戶導入的系統模組，刪除資料後套用給另一家金控客戶，在短時間內快速完成專案。但這種做法，就容易洩漏機密。</p> <p>萬幼筠建議，不論是IT還是OT委外廠商，醫院都可訂立績效指標，來定期檢視委外廠商，並且，雙方不只要簽訂保密協定，還要簽訂資安協定。如此一來，才能防範供應商引發的資安問題。他也指出，醫院須將保密協定和資安協定納入績效指標，以此教育內部人員。</p> <p>不過，醫院資安不能只靠自己。「沒有一家機構可以單獨防禦，」萬幼筠鼓勵醫院加入衛福部設置的H-ISAC情資中心，透過情資共享，來抵禦資安威脅。他也舉例，就連臺灣，也得聯手美國、日本、新加坡等國，以共享情資的方式，織成一張防禦網，共同抵抗資安威脅。</p> </div></div></div>
2021/12/27 07:00作者王若樸https://www.ithome.com.tw/news/148570
【資安實例分享：馬偕紀念醫院】資安緊急應變不只要制度化，應變演練的溝通協調更是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要提升組織資安危機的應變能力，除了建立資通安全事件通報制度與應變指揮架構，演練的重要性同樣是關鍵，一旦真正情況發生時，才能減低慌亂，讓組織人員有所適從。已納入關鍵CI的馬偕紀念醫院，在資安管理政策面上，除了訂定資通安全維護計畫，將醫療儀器設備與工控、工務資產納入管理範圍，在資安應變的規畫上，他們也在架構面與作業流程面持續精進，希望讓「應變」不只是紙上談兵，而是能夠真正落實到各單位。</p> <p>關於馬偕醫院的資安應變規畫，目前涵蓋那些面向？基本上，組織架構是推動這項機制的基礎，馬偕紀念醫院資訊室主任鄭聰貴鄭聰貴指出，他們過去已經成立資通安全委員會，制定管理組織架構，隨著個資保護的重要性提升，他們現在更將其發展為資通安全暨個資保護委員會。</p> <p>在應變組織架構的發展上，以整個醫療體系而言，過去已有緊急災害管理應變措施計畫，而馬偕目前也將資安納入醫院災害防救架構，換言之，是將資安委員會納入危機管理委員會，讓應變體系更統一，並且，針對院內一線單位，包括病例課、業務課、門診、住院、藥劑科、檢驗科與放射科等，建立各自的資安應變標準作業程序，讓應變管理可以細化。</p> <p>因此，關於資通安全事件通報及應變，他們也依循緊急災害應變組織指揮架構（HICS），構成資通安全事件的應變指揮架構。同時，他們也遵循應變處理作業程序，依據資安事件通報嚴重性分組，例如，當發生第一、二級資安事件時，由或資訊長（資訊室主管）擔任事件指揮官，發生嚴重的第三、四級資安事件時，則由更高層級的資安長（副院長）擔任指揮官，</p> <p>在此應變架構之下，指揮官的底下需設執行秘書與新聞官，若以馬偕的規畫而言，出現三級事件時，由資安長擔為總指揮，資訊室主任與院長室主任就是副手，他們旗下設有4個執行小組，包括應變執行組、情資及計畫組、新聞組與後勤調度組，一旦啟動緊急應變程序時，就能有具體的責任分工。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%EF%BC%91%EF%BC%89%E9%A6%AC%E5%81%95%E6%8E%A8%E5%8B%95%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%B6%93%E9%A9%97.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／馬偕紀念醫院</span><br /><strong>為了因應緊急災害事件，醫院依據醫療法應設置緊急災害應變組織與指揮架構，而在資通安全事件通報及應變小組當中，上層組織架構可參照辦理，讓制度統一而不混亂，再依需求調整，讓責任分工更為具體。</strong></span></p> <p><span style="font-size:28px;"><strong>應變演練是落實關鍵，臨床與急診更是院方關注的焦點</strong></span></p> <p>有了應變組織架構，能否持續進行應變演練、提升處理的熟練度，更是重點，遇到事件才不會慌了手腳，馬偕從2019年開始，已經每年進行這些練習。然而，特別的是，馬偕所設計的應變演練項目相當多元。</p> <p>基本上，他們應變演練的對象，包含資訊單位，以及醫事與臨床單位。以資訊單位的應變演練而言，共有9種項目，包含電子病歷（EMR）、醫療資訊系統（HIS）與資料庫、網路設備、時戳伺服器、PACS系統備援，以及雲端藥歷批次下載。另外，這項演練也涵蓋機房環控的空調、電源與消防，原則上，這部分演練作業，資訊單位自己就可以進行，每年演練一項，或可配合工務單位進行。</p> <p>以醫事與臨床單位的應變演練而言，馬偕設計了2個項目，包含門急診系統，以及住院系統的資安演習，重點放在事件發生時能有現成的劇本可參考，並要做好充分溝通，一旦事件不幸發生時，先前的演練經驗就能幫上忙。這部分他們是每兩年演練一次，而且是不同項目交替執行。</p> <p>特別的是，為了讓醫院24小時不中斷的急診作業，在遇到危機時也能持續運作，馬偕增加了急診區專屬的備援網路，並建置一套離線的設備，目的是預防網路出問題時，可透過這樣的機制，確保急診單位的網路服務正常運作。</p> <p>同樣地，為了確保事故發生時，院方能有效應變，他們在最近兩年多，針對急診備援網路切換及離線系統運作，總共已舉辦14次演練。這也點出，面對資安事件的應變處理，實際進行多次演練，確保作業的熟悉度，至關重要，尤其是醫院急診的正常運作，往往攸關人命。此外，鄭聰貴表示，復原也是持續演練所要改進的重點，畢竟在事發過後，如何將各式資訊更新到原有系統，存在相當多溝通協調的議題。</p> <p><span style="font-size:28px;"><strong>資安防護需有通盤規畫，現階段著重內部網路監控與管理</strong></span></p> <p>除了上述應變演練，在資安防護架構的規畫，馬偕也有全面考量。鄭聰貴展示一份防禦藍圖，是以安全模型Cyber Defense Matrix（CDM）為依據，可呈現事前、事中與事後的技術防禦面向。</p> <p>以事前識別與保護的面向而言，除了普遍常見的各式資安防護解決方案，包含：設備弱點檢查、可攜式媒體檢查、WAF、API安全、次世代防火牆、APT防護、DLP、資料庫安全等，特別的是，也涵蓋到源碼檢測、檔案清洗、企業曝險分析、免密碼多因子身分驗證，以及權限回收。</p> <p>而在事中偵測與回應方面，包括聚焦MDR、NDR、新世代檔案控管，以及內部使用者行為分析，還有紅藍隊演練；在事後復原面向，則有異地備援、重建還原與避風港計畫。此外，還加上針對服務面的資安健診、滲透測試與弱點掃描。</p> <p>透過這樣的防禦藍圖呈現，涵蓋組織現有及未來要進行的防護規畫，也等於讓組織在資安防護規畫上，定出明確的強化方向。</p> <p>難得的是，過去有些資安業者會運用這樣的模型，來解釋資安產品的防禦範圍，但我們很少看到組織或企業，懂得運用此模型來建構自身的防禦藍圖，這點很值得大家學習。</p> <p>另外，在資安防護的網路隔離面向，鄭聰貴提到幾個重點。例如，防火牆的規畫要完善，在每個關鍵點都設置，不論是在網頁應用、IoT、醫療與影像系統等，並將防火牆所蒐集的資料，彙整到一個大數據分析平臺集中監控，並透過戰情室進行管理。此外，針對IoT與儀器設備等，也會分流到不同的網路環境，降低風險。</p> <p>特別的是，對於掛號、看診記錄的查詢，普遍醫院提供網站API服務，已成常態，除了可以透過大數據分析，來了解API呼叫是否存在異常，同時也可利用網站應用程式防火牆（WAF），並增加API閘道器，做到雙重防護，讓協力廠商的自動化程式在存取時，還需要Token驗證才能執行，實現零信任的安全確認。</p> <p>此外，導入端點防護系統也是重點，畢竟現在不少資安威脅都會先潛伏在內部一段時間，院方必須及早偵測，以免後續出現惡意威脅大爆發或資料外洩，同時，對於連接院內網路的設備他們規範一套申請流程，要求所有聯網設備一律需經過申請，避免不明設備連入的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%A6%AC%E5%81%95%E6%8E%A8%E5%8B%95%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%B6%93%E9%A9%97.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／馬偕紀念醫院</span><br /><strong>若要檢視醫院組織內部資安的整體狀況，導入安全模型Cyber Defense Matrix（CDM）是不錯的方法，難得的是，馬偕紀念醫院已這麼做，他們描繪現有與未來要進行的防禦藍圖，掌握不同層面的事前、事中與事後規畫方向。</strong></span></p> </div></div></div>
2021/12/27 07:00作者羅正漢https://www.ithome.com.tw/news/148571
【H-ISAC新進展：衛福部】會員規章制度化也大秀醫院參與成果，兩策略擴大聯防規模
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安情資分享是預防資安事件的一大關鍵，衛福部為了提升醫療院所整體資安防護能量，早在2018年完成H-ISAC（醫療領域資安資訊分享與分析中心），陸續也將H-SOC和H-CERT功能進行整併。但是，光有H-ISAC平臺不夠，必須要有更多醫院加入才有意義。</p> <p>目前衛福部參考「國家資安資訊分享與分析中心（N-ISAC) 」會員規章，訂定衛生福利部資安資訊分享與分析中心（H-ISAC）會員規章（草案），並積極邀請更多有經驗的醫院會員分享使用H-ISAC提升醫院資安防護能力的經驗，預計在2022年度通過（H-ISAC）會員規章，並且將H-ISAC會員數量，可以從既有的57個會員進一步增加。</p> <p><span style="font-size:28px;"><strong>制定H-ISAC會員規章草案，預計2022年通過</strong></span></p> <p>衛生福利部為了強化醫療院所的資安作為，不僅將《資通安全法》作為醫院評鑑的法源基準，醫院也必須參考該法相關的架構，制定相關的配套措施。</p> <p>衛福部資訊處處長龐一鳴指出，雖然醫院評鑑因為疫情關係已經停辦兩年，但在2020年公布的「醫院評鑑補充資料表（草案）」第一篇經營管理的查核表中，第十一項資訊安全管理的評鑑基準，就直接以「是否加入醫療領域資安資訊分享與分析中心（H-ISAC）會員？」作為查核項目。</p> <p>衛福部在2018年已經完成H-ISAC的建置，但只有平臺不足以發揮情資交換的影響力，為了鼓勵醫院加入進行情資分享，衛福部更參考「國家資安資訊分享與分析中心（N-ISAC) 」會員規章，訂定衛生福利部資安資訊分享與分析中心（H-ISAC)會員規章（草案），預計2022年通過該規章。</p> <p>截至十月底已經有57家醫院加入H-ISAC平臺，為了強化資安聯防的成較，未來將鼓勵更多CI以及非CI醫院成為醫院會員，同時開放提供醫院資訊服務的業者，加入該平臺成為廠商會員。</p> <p>龐一鳴表示，要讓醫院做好資安防護，就必須推廣「資安即病安」，而H-ISAC就是一個情資分享的儀表板，透過將醫院代碼匿名化，讓各種資安攻擊事件可以如實地呈現在資安儀表板中。他也指出，未來，將會邀請更多醫院會員分享H-ISAC的使用經驗，也會鼓勵會員多看儀表板的相關內容，只要醫院資安主管願意多花時間看情資儀表板，一定會越看越有感覺，也越願意進一步分享資安情資；衛福部則會要求H-ISAC的建置業者，持續精進各種功能和操作介面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/H-ISAC%E6%9C%83%E5%93%A1-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／衛福部<br /><strong>衛福部參考N-ISAC的機制草擬H-ISAC會員規章草案，分成醫院會員以及廠商會員兩種，預計2022年會通過相關會員規章，也希望透過更多醫院會員分享，可以鼓勵更多醫院會員加入H-ISAC</strong>。</span></p> <p><span style="font-size:28px;"><strong>依照資安法架構，加入H-ISAC成醫院評鑑基準</strong></span></p> <p>依照資安法架構的以先期計畫階段為例，醫院為了要落實醫院資安責任等級分級提報，必須制定《資通安全責任等級分級辦法》、《資通安全管理法施行細則》；在持續運作階段，必須制定《特定非公務機關資通安全維護計畫實施情形稽核辦法》。</p> <p>在通報應變階段，醫院為了通報資安事件則必須制定《資通安全事件通報及應變辦法》；在協處改善階段，醫院必須提出稽核改善報告外，必須制定《資通安全情資分享辦法》、《公務機關所屬人員資通安全事項獎懲辦法》等。</p> <p>衛福部也在2019年的「醫院評鑑基準及評量項目-區域醫院及地區醫院」規範，第一篇「經營管理」中第1.4.4條文中明定：建立資安管理機制，制定系統當機緊急應變標準和風險管理計畫，並確保病人隱私和資訊安全。</p> <p>至於符合項目裡面則明定，依照《資通安全法》應有資訊系統使用權限設定以防止資料外洩的資訊管理作業規範，確保病人個人隱私；設定資料正確性檢查、改善機制；資訊設備機房有門禁管制及防火設施，醫院的電子病歷應有病人資料異地或雲端備份功能；制定資訊系統故障緊急應變標準作業規範，並針對緊急應變計畫做演練及故障原因和處理改善；制定資訊系統風險管理計畫，進行風險管理分析、監測、管理與執行；加入H-ISAC會員，進行情資分享。</p> <p><span style="font-size:28px;"><strong>H-ISAC會員目前只有57家，需要更多醫院投入</strong></span></p> <p>協助衛福部建置H-ISAC的數聯資安資深顧問吳俍穎表示，為了提高醫院資安防護能力，數聯資安和資策會合作，打造事前的H-ISAC，事中的H-SOC，事後的H-CERT。</p> <p>H-ISAC在2018年6月完成，目前H-ISAC會員只有57家，將鼓勵其他四百多家非CI醫院，二萬多家基層診所，都可以加入H-ISAC的醫院會員。</p> <p>吳俍穎表示，H-ISAC在2020年11月開放CI指定醫院上傳資安事件單與醫院系統介接，並在2021年完成基礎設計，可以收容更多資安情資，運用SIEM進行專業的資安情資分析匯集指標情資。</p> <p>他說，對於醫院資安長而言，更重要的是SOC資安戰情中心可以從管理者角度，提供何種資安分析情報，而監控情資越多元、情資越準確。</p> <p>吳俍穎以H-ISAC情資為例，重點是，指揮官在戰情中心到底看到哪些分析數據，包括：前一個月和前二個月的情資分析，攻擊來自哪些國家？哪幾類攻擊手法最多？</p> <p>衛福部的H-SOC也會將收集到的攻擊IP，透過H-ISAC第一時間通報到所有醫院，有越來越多的駭客會針對同類型產業發動攻擊；也會比對攻擊手法和各種CVE漏洞，也提供各種防火牆或是WAF（應用程式防火牆）設備阻擋駭客攻擊的規則等。光是2020年9月，H-SOC就直接阻擋長期監控的91個惡意IP位址。</p> <p><span style="font-size:28px;"><strong>只有一成醫院，將資通系統列為醫院核心業務</strong></span></p> <p>衛福部關鍵基礎設施資安工作推動專案辦公室專案經理吳伊婷表示，資安就是要界定你想保護的標的，包括：偵測非法入侵、抵禦非法行為及進行災害復原，最重要的是「鑑定核心業務」。</p> <p>吳伊婷分析CI醫院所提交的2021年資安維護計畫內容，只有10.71％的CI醫院，將資通系統列為核心業務，其他CI醫院所界定的核心業務項目，都是醫療照護類別，有過半醫院（53.57％）將衛福部指定核心業務項目列為核心業務；另外有35.72％CI醫院，則將醫療診治照護服務、醫療作業管理、醫療業務、醫療服務，以及臨床醫療診斷、治療及護理照護作業，視為醫院的核心業務。</p> <p>關於H-ISAC的會員權利責任，吳伊婷表示，最重要的重點在於提供更精準的資安情資，包括醫療設備資安情報以及IP入侵偵測及告警服務；另外，也會提供醫療儀器資源分享統計資訊，並進行資安事件通報，因為，資安事件發生在一家醫院或一百家醫院，造成的資安嚴重程度不一樣；其他就是要落實事前資安監控，有需要技術支援時，可以委由H-ISAC提供協助。</p> <p><span style="font-size:28px;"><strong>長庚醫院分享H-ISAC應用實例，有助提升資安防禦量能</strong></span></p> <p>長庚紀念醫院醫療資訊管理部副組長石蕙源在先前，也實際分享該醫院使用H-ISAC的經驗。他表示，醫院最重要的，就是將H-SOC情資儀表板完成介接測試，完成帳號申請、登入儀表板後，就可以看到最重要的兩個功能：戰情中心和醫院戰情趨勢儀表板。</p> <p>他說，戰情中心會員版九項功能，最喜歡看新增案件總數，並比較過去三十天所有案件數總和，可觀察是否有第三、四級資安事件；看近三十天，有無相同IP位址是進行跨機關攻擊的來源IP，以及跨機關所使用的攻擊技術。</p> <p>他表示，H-ISAC透過燈號示警的方式，協助醫療機構進行資安預測燈號，一旦有資安威脅變化，可以即刻示警，也可以透過雷達圖顯示主要的資安威脅種類，也可以直接從儀表板看出目前威脅最嚴重的資安事件。</p> <p>石蕙源實際使用過H-ISAC後表示，戰情儀表板提供醫院可以了解醫療機構整體的資安威脅趨勢，並可以透過儀表板方式，即時得知當前整體威脅事件的種類、數量、手法和攻擊來源等，對於醫院在茲情事件的預防上有很大幫助。</p> <p>石蕙源建議，未來H-ISAC可以新增更多同儕醫院的資安整體情資比較，有助於醫院檢視自身資安防護能量；他也建議H-SOC可增加更多介接的資安設備，擴大資安聯防的量能。</p> </div></div></div>
2021/12/27 07:00作者黃彥棻https://www.ithome.com.tw/news/148572
醫院資安長的必要性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1057-feng_mian_-1-open-960x420_kao_bei_.jpg?itok=Of64-DGi" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安法納管醫院關鍵基礎設施2年來，醫療資安聯防逐漸完善，46家CI醫院資安應變機制陸續到位，衛福部開始聚焦管理面，下一步要強化醫院領導團隊的資安力，先從推動資安長設立做起</p> </div></div></div>
2021/12/27 07:00未署名https://www.ithome.com.tw/article/148574
【資安週報】2021年12月20日至24日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期的資安新聞，Log4Shell依舊是各界關注的焦點，包含Apache基金會已修補第3個可被濫用的漏洞CVE-2021-45046，且大幅提升第2個漏洞CVE-2021-45046的風險層級。有鑑於有漏洞的Log4j可能廣泛存在應用系統的許多地方，多家資安廠商推出了掃描工具給IT人員使用，同時，這起事故也有資安專家提倡維護軟體元件列管（SBOM）的重要性。</p> <p>但在上述進展之餘，最出現讓人意外的情況，中國政府竟然藉此伸手漏洞揭露，對於揭露Log4Shell的阿里巴巴處罰，要求當地的資安人員必須先將漏洞提報給政府。此舉無異是把漏洞變成政府攻擊敵對國家的工具，且將漏洞通報流程變得不透明。先不論是否會引起其他集權國家比照辦理，光是漏洞通報變成要先通過政府的審核，就會可能因此延後公告與修補，增加駭客能濫用的機會。</p> <p>另一個值得留意的漏洞揭露，是與Apache HTTP伺服器有關，最近Apache基金會發布了2.4.52版，當中修補了1個近乎滿分的漏洞CVE-2021-44790而引起關注，也使得美國網路安全暨基礎架構安全局（CISA）也特別發布公告，呼籲近3億個採用此軟體架設的網站伺服器管理者，要儘速安裝修補軟體。</p> <p>此外，惡意軟體Dridex攻擊的行動也值得留意，先是傳出有人利用Log4Shell漏洞來散布這個惡意軟體，接著就有另一波以聖誕節和年底工作調度為由的網釣攻擊，而Dridex被攻擊者用於投放其他惡意程式及竊密工作，甚至被用於勒索軟體攻擊，其動態相當值得觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/upgraded-to-log4j-216-surprise-theres-a-217-fixing-dos/"><span style="color: rgb(0, 0, 0);">Apache再度修補Log4j可造成服務阻斷的漏洞</span></a></strong></h4> <p>針對Log4Shell修補不完全的漏洞CVE-2021-45046，Apache基金會推出更新版Log4j 2.16，但研究人員又找到另一個能被用於發動阻斷服務攻擊（DoS）的漏洞，使得該基金會再度修補。Vx-Underground和Hacker Fantastic等研究人員於12月18日指出，雖然在Log4j 2.16版裡，JNDI搜尋功能已經被全面停用來防堵Log4Shell漏洞，但在某些情況下仍然有可能會被使用，而觸發CVE-2021-45105漏洞，此漏洞CVSS風險層級為7.5分，影響2.0 Alpha1至2.16版Log4j，Apache基金會亦於同日發布2.17版予以修補。</p> <h4><strong><a href="https://www.lunasec.io/docs/blog/log4j-zero-day-severity-of-cve-2021-45046-increased/"><span style="color: rgb(0, 0, 0);">Log4Shell修補不全漏洞恐被用於RCE攻擊，Apache改列為重大風險層級</span></a></strong></h4> <p>針對Log4Shell修補不全的漏洞CVE-2021-45046，Apache基金會於12月17日大幅調整CVSS風險層評分，從原本的3.7分提高到9.0分，原因是當初他們認為，這項漏洞僅會被用於阻斷服務（DoS）攻擊，但後來有研究人員發現，攻擊者能繞過Log4j 2.15版中，允許LDAP只能連接到本機的限制，而可被用於RCE攻擊，使得這項漏洞的危險程度大幅增加。</p> <h4><strong><a href="https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement"><span style="color: rgb(0, 0, 0);">勒索軟體Conti開始利用Log4Shell漏洞，攻擊VMware vCenter</span></a></strong></h4> <p>威脅情報業者Advanced Intelligence指出，他們發現勒索軟體駭客Conti，自12月12日開始，開始利用Log4Shell漏洞（CVE-2021-44228）發動攻擊，鎖定VMware vCenter環境下手，藉著漏洞在攻擊目標的內部網路環境中進行橫向移動，已有美國和歐洲的受害組織。針對Log4Shell漏洞，VMware發出資安通報並提供緩解措施，但尚未提供修補程式，vCenter用戶仍有可能成為駭客的攻擊目標。</p> <h4><strong><a href="https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html"><span style="color: rgb(0, 0, 0);">逾3.5萬個Java套件受到Log4Shell波及</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/blocked_dep_fix.png" style="width: 300px; height: 238px; float: right;" />重大漏洞Log4Shell的影響究竟有多廣？Google針對知名的Java套件庫Maven Central進行調查，結果發現，當中有35,863個Java套件依賴存在漏洞的Log4j，相當於有8%的套件受到此漏洞的影響，目前當中已有4,620個套件修補該漏洞完成。研究人員指出，上述逾3.5個套件裡，僅有7千個是直接引入了Log4j程式庫，其餘多數為間接引用，這樣的現象，可能使得開發人員難以能充分了解他們的Java套件中，是否受到Log4Shell影響。</p> <h4><a href="https://www.blumira.com/analysis-log4shell-local-trigger/"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell攻擊出現利用WebSocket的新手法</strong></span></a></h4> <p>繼日前資安業者發現，部分駭客利用Log4Shell漏洞發動攻擊的態勢，從LDAP轉移到RMI服務，有資安業者發現更為隱蔽的手法。資安業者Blumira指出，他們發現能透過JavaScript程式碼，使用WebSocket通訊協定的攻擊手法，由於這類協定只向伺服器驗證來源，而不受限瀏覽器的同源政策管制。研究人員也公布他們概念性驗證攻擊的實作方式，並成功以這項手法觸發Log4Shell漏洞，執行Windows伺服器上的小算盤（Calc.exe）。</p> <h4><a href="http://www.sonatype.com/resources/log4j-vulnerability-resource-center#latest-insights"><span style="color: rgb(0, 0, 0);"><strong>臺灣曝露Log4Shell風險的比例全球之冠，下載存在漏洞的Log4j超過8成，且比例有變多的趨勢</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg" style="width: 300px; height: 186px; float: right;" /></a>同時管理知名Java套件庫Maven Central的資安業者Sonatype，近期公布自12月10日Log4Shell漏洞細節公開後，開發人員從該套件庫下載Log4j的情形。其中，他們特別提及臺灣的情況最為嚴重，且有惡化的趨勢。我們於23日向代理商群鉅確認時，臺灣下載存在漏洞的Log4j版本，比例已達80.03％，24日上午已增至85%，遠高於全球平均（43%）。該公司也呼籲開發人員，應留意仍有不少存在漏洞的Log4j被下載使用的現象。</p> <h4><a href="https://www.trendmicro.com/en_us/research/21/l/examining-log4j-vulnerabilities-in-connected-cars.html"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell漏洞可被用於攻擊多種車用系統</strong></span></a></h4> <p>趨勢科技指出，許多嵌入式設備可能會採用Apache Log4j軟體，而汽車在採用大量電子控制設備後，也很可能導入含有漏洞的Log4j元件，而被用於Log4Shell攻擊。他們針對以Java建置的車用系統，包含電動汽車所使用的車輛電力網（V2G）、可做為車鑰匙或控制車輛的智慧型手機App，以及車用資訊娛樂系統（IVI）等進行研究，發現都有可能存在Log4Shell漏洞而用於發動攻擊，例如打開車門、操控空調等，進而影響車輛安全。該公司認為，可能還有其他汽車採用的電子元件也可能會受到Log4Shell波及。</p> <h4><a href="https://www.whitesourcesoftware.com/resources/blog/log4shell-vulnerability-in-ruby-applications/"><span style="color: rgb(0, 0, 0);"><strong>非Java程式語言開發的應用系統也可能受到Log4Shell波及</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/log4j-everywhere.png" style="width: 300px; height: 233px; float: right;" />引起全球關注的Log4Shell漏洞，使得許多Java開發人員戒慎恐懼，找尋應用系統裡存在漏洞的Log4j並採取緩解措施。但資安業者WhiteSource指出，並非只有Java程式才會曝露Log4Shell漏洞，研究人員舉出Ruby程式語言為例，開發者可使用JRuby來使用Java套件，並透過Log4j來記錄事件。他們在JRuby應用程式進行概念性驗證攻擊，並指出Log4Shell漏洞也可能會存在於其他基於JVM執行的程式語言，如Jython，Node-java，Jgo等。</p> <h4><strong><a href="https://ke-la.com/2easy-logs-marketplace-on-the-rise/"><span style="color: rgb(0, 0, 0);">暗網市集2easy兜售60萬臺電腦遭竊的帳密</span></a></strong></h4> <p>暗網情報業者Kela指出，自2018年開始運作的暗網市集2easy，自去年開始快速成長，近期更受到許多網路犯罪者的歡迎，原因是該市集提供的價格低廉，是俄羅斯市場行情的三分之一，且該市集的使用者操作介面功能強大，可讓買家查看竊密軟體感染的電腦。研究人員表示，他們看到該市集半數的賣家以RedLine竊密，但也有賣家搭配Raccoon Stealer、Vidar、AZORult等其他竊密軟體使用。Kela指出，初期存取攻擊目標管道的市場正在成長，且與勒索軟體攻擊直接相關，因此這樣的市集動態值得關注。</p> <h4><a href="https://www.prevailion.com/darkwatchman-new-fileness-techniques/"><span style="color: rgb(0, 0, 0);"><strong>木馬程式DarkWatchman藏身於Windows登錄檔進行寄生攻擊</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/scheduled_task.png" style="width: 300px; height: 160px; float: right;" />資安業者Prevailion於11月下旬，發現了名為DarkWatchman的RAT木馬程式，這個木馬程式以JavaScript程式碼打造而成，大小僅32 kb。DarkWatchman使用網域產生演算法（DGA）與C2中繼站連線，並大量使用現成執行檔、程式碼，以及程式庫來進行寄生攻擊（LoL）。這個木馬程式在每次使用者登入受害電腦時，以工作排程啟動，並執行PowerShell程式碼來編譯鍵盤側錄工具，然後在記憶體內執行。比較特別的是，此款鍵盤側錄工具並非直接與C2中繼站連線傳輸資料，也不會把資料寫入磁碟，而是先把側錄得到的資料儲存於登錄檔，再由DarkWatchman將資料外傳。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dridex-malware-trolls-employees-with-fake-job-termination-emails/"><span style="color: rgb(0, 0, 0);">惡意軟體Dridex以解僱郵件來發動網釣攻擊</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dridex-termination-letter-email.jpg" style="width: 300px; height: 138px; float: right;" />研究人員TheAnalyst指出，近期有一波散布惡意軟體Dridex的網路釣魚攻擊，是佯稱要解僱員工的名義，宣稱僱庸關係將在12月24日結束，並引誘收信者開啟附件裡，以密碼保護的惡意Excel檔案。一旦對方不慎開啟附件，便會看到模糊的表單，攻擊者宣稱要啟用巨集才能正常閱讀。當收信人依照指示啟用巨集，就會出現彈出視窗顯示「聖誕節快樂！」，但在此同時，惡意巨集從Discord下載Dridex並植入受害電腦，進而安裝其他惡意軟體，或是竊取各式帳密。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148473"><span style="color: rgb(0, 0, 0);">東元電機與東捷資訊有部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>在12月20日傍晚接近6時，國內傳產上市大廠東元電機與上櫃公司東捷資訊，在臺灣證券交易所發布資安事件重大訊息，說明部分資訊系統遭受駭客網路攻擊，他們已在察覺網路異常後，啟動防禦機制與被援作業，目前受影響的系統正陸續復原中，並表示這次事件不影響營運。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/apaches-new-security-update-for-http-server-fixes-two-flaws/"><span style="color: rgb(0, 0, 0);">Apache HTTP伺服器存在重大漏洞，恐被用於挾持攻擊</span></a></strong></h4> <p>Apache修補HTTP伺服器的2個重大漏洞CVE-2021-44790、CVE-2021-44224，CVSS風險層級分別為9.8分與8.2分，美國網路安全暨基礎架構安全局（CISA）提出警告，其中一個攻擊者可用於遠端控制網站伺服器。資安業者Netcraft指出，Apache HTTP伺服器系統雖然沒有使用Log4j，而不受Log4Shell影響，但全球有近3億個網站使用該軟體架設，上述2個漏洞未來很有可能被用於攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-easy-windows-domain-takeover-via-active-directory-bugs/"><span style="color: rgb(0, 0, 0);">攻擊者可串連AD網域服務權限提升漏洞，接管網域</span></a></strong></h4> <p>微軟於12月20日發出警告，<a href="https://www.ithome.com.tw/news/147751">在11月例行修補（Patch Tuesday）中</a>，有兩個關於AD網域服務權限提升的漏洞修補，值得關注。根據微軟說明，這兩個漏洞是CVE-2021-42287、CVE-2021-42288，可被輕易利用，使用者要儘速修補網域伺服器，因為攻擊者可串連這些漏洞，將自己提升為網域管理員的權限。另外，微軟指出，日前已有研究人員公開概念性驗證攻擊手法，可能日後會出現攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-state-hackers-exploiting-new-zoho-zero-day-since-october/"><span style="color: rgb(0, 0, 0);">Zoho裝置管理平臺出現零時差漏洞，已遭APT駭客利用</span></a></strong></h4> <p>美國聯邦調查局（FBI）於12月17日發出警告，他們發現從2021年10月下旬開始，背後有政府撐腰的APT駭客，鎖定裝置管理平臺ManageEngine Desktop Central的零時差漏洞CVE-2021-44515下手，破壞Desktop Central的伺服器，投放Web Shell並列舉用戶和群組，進行偵察並嘗試橫向移動及外洩帳密。這項漏洞的CVSS風險層級為9.8分，Zoho於12月初完成修補，美國網路安全暨基礎架設安全局（CISA）於12月10日要求各聯邦機構，在聖誕節前完成修補作業。</p> <h4><strong><a href="https://portswigger.net/daily-swig/multiple-vulnerabilities-in-microsoft-teams-could-spoof-urls-leak-ip-addresses"><span style="color: rgb(0, 0, 0);">協作平臺Teams的漏洞恐洩露用戶IP位址，或被用於詐騙連結攻擊協作平臺</span></a></strong></h4> <p>資安業者Positive Security揭露4個微軟協作平臺Teams的漏洞，這些漏洞影響個人電腦及安卓行動裝置用戶，其中，存在於電腦版應用程式的漏洞，攻擊者可用於伺服器端偽造請求（SSRF）攻擊、URL預覽的欺騙攻擊；而安卓App的漏洞，可能會洩露使用者的IP位址，或是被攻擊者用來發動阻斷服務（DoS）攻擊。研究人員指出，目前微軟只修補了IP位址外洩的漏洞，但他們認為針對安卓裝置的DoS攻擊恐怕難以防範。</p> <h4><strong><a href="https://securityboulevard.com/2021/12/disclosing-shamirs-secret-sharing-vulnerabilities-and-announcing-zkdocs/"><span style="color: rgb(0, 0, 0);">加密貨幣錢包簽章程式庫漏洞恐洩露金鑰</span></a></strong></h4> <p>資安業者Trail of Bits揭露加密貨幣錢包簽章程式庫的漏洞，影響幣安閾值簽章程式庫（tss-lib），幣安、Clover Network、Keep Network等6個加密貨幣交易平臺受到影響。攻擊者一旦利用這種漏洞，只要在密錀產生或重新共享的協議開頭，配置惡意ID，就有可能竊取他人的密錀，或是導致節點無法使用。研究人員通報後，多數交易平臺已修補上述漏洞。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/microsoft-azure-app-service-flaw-exposed-customer-source-code/"><span style="color: rgb(0, 0, 0);">微軟應用程式代管服務驚傳洩露客戶原始碼的弱點</span></a></strong></h4> <p>網站安全業者Wiz揭露應用程式代管服務Azure App Service的漏洞NotLegit，這項漏洞曝露部署於Azure的內部Git管理程式碼系統，波及以PHP、Python、Ruby、Node編寫的應用程式。研究人員指出，這項漏洞從2017年9月存在至今，可能已遭到利用，他們於今年10月7日通報微軟，漏洞已修補，微軟也在12月7日開始，向用戶發出資安通告來說明此漏洞。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/800k-wordpress-sites-still-impacted-by-critical-seo-plugin-flaw/"><span style="color: rgb(0, 0, 0);"><strong>80萬WordPress網站曝露於SEO外掛程式重大漏洞風險</strong></span></a></h4> <p>資安業者Automattic指出，名為All in One SEO的WordPress網站外掛程式，開發者日前修補了極為容易被利用的漏洞CVE-2021-25036、CVE-2021-25037，攻擊者可利用前者提升權限，而後者則能用於發動SQL注入攻擊。但修補程式推出2週後，研究人員發現仍有超過82萬個WordPress網站使用舊版外掛程式，而曝露於上述漏洞的風險之中。Automattic表示，攻擊者只要取得低權限用戶的帳戶（如訂閱者），就能利用，而使得這2個漏洞極為危險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/singapore-holds-emergency-meetings-with-cii-sectors-over-log4j/"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的因應，新加坡對關鍵資訊基礎設施業者召開緊急會議</span></a></strong></h4> <p>隨著Log4Shell漏洞的威脅與日遽增，新加坡網路安全局（CSA）於12月17日，發布第2次資安通報並召集關鍵資訊基礎建設（CII）業者開會，探討Log4Shell的技術細節，並要求要加強異常活動的監控。CSA指出，Log4Shell攻擊正迅速蔓延，已有許多攻擊者探測並攻擊存在漏洞的系統，他們呼籲要儘速安裝修補軟體，不建議CII採用修改配置的緩解措施來因應。</p> <h4><strong><a href="https://www.forrester.com/blogs/log4j-open-source-maintenance-and-why-sboms-are-critical-now/"><span style="color: rgb(0, 0, 0);">Log4Shell漏洞突顯軟體材料清單議題</span></a></strong></h4> <p>引起全球震憾的Log4Shell漏洞，因為Log4j存在於許多軟體專案裡，而使得IT人員可能疲於奔命找出需要修補的元件。研究機構Forrester指出，這起漏洞事件突顯軟體材料清單（SBOM）的重要性，許多資安人員表明，精準的SBOM能有助於組織快速找出這種無所不在的元件，並予以修補。適逢美國網路安全暨基礎設施安全局（CISA）的推廣SBOM活動，他們認為組織應趁著本次事件，儘速為軟體專案導入SBOM。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/whitesource-launches-free-tool-to-detect-and-remediate-log4j-vulnerabilities-301445546.html"><span style="color: rgb(0, 0, 0);">資安業者提供免費的Log4Shell漏洞偵測工具</span></a></strong></h4> <p>因Log4j存在於許多軟體套件裡，使得重大漏洞Log4Shell的修補作業極為困難。對此，開源軟體管理解決方案業者WhiteSource自12月15日宣布，提供免費的Log4Shell漏洞CLI檢測工具Log4jDetect，目前已更新至1.2.1版，IT人員可從GitHub下載這項工具，來找出開發專案中存在的CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-4104等Log4j漏洞，該檢測工具也會呈現直接與間接的相依性，並顯示在Maven、Gradle等套件管理器裡，是否有修補完成的套件能夠更新。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cisa-releases-apache-log4j-scanner-to-find-vulnerable-apps/"><span style="color: rgb(0, 0, 0);">美國政府推出Log4Shell自動掃描框架</span></a></strong></h4> <p>針對可能受到Log4Shell漏洞影響的應用程式，美國網路安全暨基礎架構安全局於12月22日發布Log4j-scanner漏洞掃描框架，這項工具以資安業者FullHunt開發的工具為基礎製作，能檢查網路應用程式中，存在CVE-2021-44228與CVE-2021-45046漏洞的弱點，並能模糊測試超過60種HTTP請求標頭，以及HTTP POST資料參數、JSON資料參數等，且能掃描是否有惡意酬載繞過網頁應用程式防火牆（WAF）的能力。</p> <h4><strong><a href="https://security.googleblog.com/2021/12/improving-oss-fuzz-and-jazzer-to-catch.html"><span style="color: rgb(0, 0, 0);">模糊測試工具OSS-Fuzz加入檢測Log4Shell的能力</span></a></strong></h4> <p>針對波及全球各項應用系統的Log4Shell漏洞，也有程式碼檢測工具加入有關的檢測機制，來協助開發者找出可能曝露在這項漏洞的程式碼。Google於12月16日宣布與Code-Intelligence合作，透過後者改良Jazzer模糊測試引擎，以能夠檢測遠端JNDI搜尋的異常情形，來強化OSS-Fuzz模糊測試工具對於Log4Shell的偵測能力。</p> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017de6c1f04902ec　https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E4%B8%8A%E5%B8%82%E4%B8%8A%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E6%8E%A7%E6%8C%87%E5%BC%95_final1_20211221111831.docx"><span style="color: rgb(0, 0, 0);">協助上市櫃公司資安規畫，證交所制定「上市上櫃公司資通安全管控指引」</span></a></strong></h4> <p>在金管會強化上市公司資通安全管理政策之下，今年有多項法令增訂陸續實施，包括要求揭露重大資安事件，在年報說明資安治理作為，明年還有設置資安長等要求，另一方面，為了幫助上市公司在資安推動上能有效規畫，在12月23日，<a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017de6c1f04902ec">臺灣證券交易所新發布「上市上櫃公司資通安全管控指引」</a>，當中列出37項重點，希望企業能夠有所依循，並且衡量產業特性、規模大小及資安風險以適度採行。另外，也鼓勵上市公司免費申請成為TWCERT/CC會員，獲得資安事件因應相關諮詢。<span style="color: rgb(0, 51, 102);">指引下載頁面：</span><a href="http://（https://dsp.twse.com.tw/listedCompanyFileDownload/list）"><span style="color: rgb(0, 51, 102);">A045 上市上櫃公司資通安全管控指引</span></a><span style="color: rgb(255, 255, 255);">㊣</span></p> </div></div></div>
2021/12/24 16:14作者周峻佑https://www.ithome.com.tw/news/148583
玉山銀行如何打造新一代核心系統，微服務架構轉換經驗大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2020年8月，玉山銀行上線以雲端原生技術、微服務架構，自行打造的新核心系統，創下國內金融業自建銀行核心的首例。玉山銀行副資訊長劉帥君近期在Kubernetes Summit上，對外揭露玉山銀行新一代核心系統架構，從摸索階段到具體成形的經歷，甚至，玉山內部重新整編了架構師團隊，為的就是找出真正能夠滿足新一代核心系統的架構。</p> <p>「這並非一天能達成」，劉帥君提到，玉山新核心系統經過5年時間，從討論、規畫、整理需求，並清理出28年來業務邏輯的資料，加上開發，與長達1年的測試後才正式上線。「非常刺激」，他這樣形容自家團隊從無到有打造新核心的心境。</p> <p>不過，要重新設計一套核心系統的框架，該從何處先下手？玉山IT團隊面臨的第一大挑戰是，1992年自行在IBM大型封閉系統上開發的第一套核心系統，經過28年，已經發展成錯綜複雜而且疊床架屋的狀況。</p> <p>劉帥君回憶，一開始接到建置新核心系統的任務後，團隊規畫出一套玉山銀行未來的資訊藍圖，採取了服務導向架構（SOA），由核心系統加上對外通路（Channel），洗錢防制與風險控管等法遵相關系統，以及如清算、卡片管理等內部作業系統，底層則是數據管理與儲存的基礎設施，甚至，與外部機構如中央銀行、財金公司、國際Swift組織、其他銀行的連線等。另外，也透過企業服務匯流排（Enterprise Service Bus，ESB）集成所有對外的連線與服務，來存取核心系統的資料功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0035.jpg" /></p> <p>劉帥君提到，這套資訊藍圖滿足了玉山對未來業務發展的想像，但，從另一個層面來思考，這套資訊藍圖是否也能滿足系統工程中6大非功能性的需求（Non-functional requirement），這包括了自主開發、獨立部署、增加系統韌性，以及第四項需求是系統發生錯誤時能進行熔斷，第五項則是能包容與接納多種技術來建置新核心系統，還要考慮每個服務的可擴展性。最後，發現原本設計的資訊藍圖無法滿足這幾項非功能性需求，於是，玉山決定採取其他作法來打造核心系統。</p> <p>摸索過程中，玉山團隊開始更深入了解自家系統的樣貌，劉帥君表示，光是一套櫃員系統的串接就相當複雜（如下圖），何況銀行每個業務、產品大多有一套獨立系統，如何梳理每套系統間的串接，是一大挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0040.JPG" /></p> <p>為此，玉山內部重新整編了架構師團隊，將企業架構師（Enterprise Architect）、部門架構師（Segment Architect ）、技術架構師（Technaical Architect）等成員獨立組成一個團隊，「讓架構師的職責更為清楚，來思考相關解決方案，經過論辯、論證後，才找出真正能滿足未來核心系統的架構」，他說。</p> <p>假設以信貸作為一家銀行的重點產品為例，劉帥君解釋，企業架構師的職責是規畫與設計整體企業願景架構、業務發展架構。接下來，部門架構師需決定發展信貸業務的準則，再有專案團隊中的技術架構師接手，負責建置信貸業務相關系統。這3類架構師的職責不同，在組織內的高度也不一樣，比如，在專案辦公室中，企業架構師與部門架構師皆為重要成員，負責訂定方向策略與準則。同時，部門架構師也需負責檢視專案團隊開發系統的過程，確保往對的方向前進。</p> <p>完成架構師團隊整編，也制定出相關原則與準則後，劉帥君提到，玉山開始發展新一版的資訊藍圖，以顧客為中心的思考模式，訂出從通路、顧客管理、產品管理、財務會計、風險管理到管理資訊的業務發展模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0046.JPG" /></p> <p>接著，玉山團隊開始發想IT架構藍圖，先從顧客觀點與企業觀點2面向來設計。從顧客觀點設計的部分，包括了通路平臺層（Channel Segment）、跨通路整合層（Cross-channel Segment）。從企業觀點設計的部分，則分為產品與交易層（Product and Transation Segment）、應用整合層（Intergration Segment）與分析應用層（Business insights Segment）。</p> <p>建構出完整的資訊藍圖，下一個挑戰是如何落地，玉山選擇嘗試導入微服務的設計架構。不過，劉帥君坦言，一開始，團隊大部分成員都沒有微服務架構開發系統的經驗。為此，玉山內部訂出一套微服務設計訓練3大準則，包含高內聚力的設計、鬆散耦合與單一功能，來讓團隊遵循。</p> <p>玉山的微服務開發方法，是以業務導向來拆分微服務，劉帥君表示，玉山先天優勢是，許多待了十年、二十年的資深IT成員，相當了解核心系統一路以來的發展，所以，拆分微服務沒有遭遇太大困難，後來所累積的微服務數量也越來越多。此外，在導入容器技術上，玉山的要求是必須做到標準化、一致性管理，並能到處部署。他提到，採用微服務架構與容器技術打造核心系統的策略底定後，團隊就開始往前衝，一路開發新核心系統直到上線。文⊙李靜宜</p> </div></div></div>
2021/12/24 16:49作者李靜宜https://www.ithome.com.tw/news/148584
IoT雙周報第105期：克服上千種料件、數萬個捲料的搬運考驗，技嘉開始用AMR無人搬運車改善揀料流程提高生產效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>12/11~12/24精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">製造業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AMR無人搬運車 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>克服4千種料件、高達4.2萬個捲料的搬運考驗，主機板大廠技嘉導入AMR無人搬運車來加快生產</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 288px;" /></p> <p>近兩年，受疫情影響，不只電商、物流業，也開始有越來越多製造業決定導入AGV、AMR無人搬運車，來提高生產效率、減少人力和降低錯誤率。例如主機板大廠技嘉近來與無人搬運車業者Geek+合作在自家工廠導入更聰明的AMR無人搬運車，協助搬運生產料件，來改善揀貨、生產流程。在近日一場鼎新數智夥伴大聯盟成立大會上展示這項應用成果。</p> <p>技嘉現今存放倉儲的生產料件約4千種，儲存捲料更高達4.2萬捲。不僅品項繁多，以往一張工單需3百個料件，由人工方式揀料，至少得動用10名人力，花3～4小時才能揀完，相當耗費時間，也因此，技嘉去年開始在桃園工廠導入9臺AMR搬運車，來輔助作業員揀料，同時搭配雷射指引揀貨，不同搬運車之間能相互通訊，彼此協作完成運送任務，透過這種作法，不僅大大減少揀貨人流，只要原人力一半，約3～4人就能完成，搬運時間也減為1～ 2小時。</p> <p>技嘉以外，另一家代工大廠富士康同樣在自己工廠內導入許多無人搬運車，甚至還將AMR與機器手臂結合，運用到SMT產線，透過串接WMS、 MES系統，來取得訂單和物料生產資訊，來協助作業員完成物料配送，到機臺指定位置進行生產。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>廣達伺服器生產組配檢測引進Edge AI技術，全靠邊緣AI視覺的機器手臂來完成</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 400px;" /></p> <p>廣達旗下達明機器人，近日首度公開展示了一項Edge AI新應用，透過結合AI視覺的機器手臂，來對組裝伺服器做內部零件組配檢測，把原本人工檢測流程，變成改由自動化的機器手臂結合AI來進行外觀檢測，藉此來提高作業效率，也減少人為出錯。這項Edge AI新應用目前已實際用於廣達伺服器生產裝配的檢測作業。</p> <p>通常一臺伺服器組裝完後，至少須經過27道檢測步驟，通過才能出貨，像是需確認所有裝配元件的型號、散熱風扇數量、DRAM插槽裝配有無正確、CPU上探針有無損壞、料鍵盤點與瑕疪檢測等，檢測過程十分繁鎖。不同傳統AOI需要在檢測物件周圍架設多支相機，達明展示新的裝配檢測方式，則是在產線端以AI機器手臂搭配一臺工業電腦來進行檢測。作法上，以機器手臂結合攝影鏡頭，即時取得伺服器內部配置元件的影像畫面，再將擷取影像回傳到工業電腦做處理，利用其AI辨識軟體逐一比對，是否正確吻合，再將比對結果顯示在電腦螢幕上，方便人員確認，例如標示為綠色代表檢測沒問題，紅色代表異常，需要進一步人工檢驗。</p> <p>在這項實證計畫中，中華郵政與航見科技等多家無人機業者合作，打造郵務無人機，用來測試離島快遞送貨服務，經由空中往返屏東東港郵局到琉球郵局兩地約10多公里的距離。</p> <p>為了能偵測和辨識不同硬體元件，他們結合多種AI技術，來進行條碼讀取、字串比對、OCR文字識別、圖像分類、AOI瑕疪檢測等。最多可以支援4臺機器手臂進行裝配檢測。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 全聯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 5G AMR </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>全聯開始測試內建5G通訊的AMR無人搬運車，來進行低溫倉儲搬貨</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0008691.jpg" style="width: 600px; height: 400px;" /></p> <p>超市龍頭全聯今年於瑞芳租用最新一座冷凍理貨中心，開始結合內建5G通訊的AMR無人搬運車，來測試以無人車完成低溫環境下的配送商品的搬運作業。</p> <p>在近日舉行的2021臺北國際自動化工業大展上，專門從事AMR搬運車研發的廣運機械工程展示了這輛AMR搬運車的性能，如何透過5G大頻寬、低延遲、多連結特性來進行資料傳遞。</p> <p>廣運機械表示，結合5G能力的AMR，除了較不容受室內外或環境限制，可改善過去AMR因使用Wi-Fi易受訊號干擾而影響搬運作業的情形，借助5G大頻寬，在進行搬貨時，也能讓不同AMR間取得資訊更即時，通過彼此協作完成搬運任務，甚至也能實現更大規模的部署和管理。</p> <p>這臺5G連網的AMR無人車還具備動態環境偵測能力，透過車頂上的光達可以自動避障和窄巷內穿梭，也可因應各種地形環境、不同場域配置。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端IoT </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>AWS推出兩項雲端IoT新服務，聚焦製造業數位分身與運輸物聯網應用</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 318px;" /></p> <p>在12月re:Invent大會上，AWS推出兩項雲端IoT新服務AWS IoT TwinMaker以及AWS IoT FleetWise，分別鎖定製造業數位分身和運輸行業的物聯網應用。</p> <p>其中AWS IoT TwinMaker是一個雲端數位分身服務方案，強調使用者可以利用它來迅速打造出工廠實體系統的3D模型數位分身，搭配Grafana視覺化儀表板來進行監控和優化營運。該服務能整合許多現有AWS物聯網服務，包括設備管理的AWS IoT SiteWise、影像串流Amazon Kinesis、S3儲存等，不僅如此，還能夠與第三方平臺連接，包括西門子物聯網雲端平臺MindSphere以及Snowake資料倉儲等。</p> <p>另一項IoT FleetWise服務，則是提供車輛IoT數據傳雲新服務，讓汽車製造商可以快速取得這些行駛車輛上數據，用於車輛遠程診斷、監測車隊車輛的機械健康狀態，以及數據蒐集用於ML模型訓練，改善自動駕駛和ADAS系統等。該服務使用方式也很簡單，只要在一臺負責蒐集數據監控用的車內閘道器上，安裝AWS IoT FleetWise應用程式，就可以讀取到車輛上的數據，再將需用到的數據即時上傳雲端做分析，就能及早發現潛在問題進行處置。目前兩項服務都是預覽版，並僅於美歐部分地區或新加坡推出。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">國產機械雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SMB裝置 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>國產智慧機械雲正式商轉，超過1千家廠商加入，多達152個App上架</strong></span></strong></p> <p>歷經試營運後，由政府力推的產業智慧機械雲，終於在12月初正式完成商轉對外啟用營運，目前超過1千家廠商加入，一共上架152個App，可供工具機、塑膠、金屬成型、PCB、紡織業者做應用，當中還有23家店中店進駐，如研華、台達、Autodesk、微軟、三菱電機等。</p> <p>現有加入成員中，已有400～500家業者安裝連網功能的IoT智慧機上盒SMB，來與機械雲App Store互連，其中有41家業者導入相關應用。在商轉同時，也有相關應用成果展示。像是奕達精機使用機械雲App，來替代人力自動調整切削機臺上的優化參數和加工程式碼，將原10分鐘製程，減少至 2分鐘內完成。另一家金豐機器則是用於金屬成型機臺設備維護，使機械雲App來監控機臺設備狀態，可提前預知設備異常，將不良品發生率降低10% 。</p> <p>機械雲平臺的UI使用者介面也翻新，除了操作上更直覺，還增加App熱門排行和上架等資訊，以及提供個人化設定等。另外新增使用者評價機制、App下載資訊，可供使用者判斷App品質。新增推薦功能，則可依據使用者瀏覽網站習慣和近期使用App來進行推薦。</p> <p><strong> </strong></p> <p><strong>攝影／余至浩　圖片來源／Geek+、AWS</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. Volvo推全車型GPS定位追蹤服務，能結合IoT監控和定位車輛位置</strong></strong></p> <p><strong><strong>2. Raspberry Pi子公司Raspberry Pi Trading將於明年春季掛牌上市</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2021年12月</strong></strong></p> </div></div></div>
2021/12/24 14:43作者余至浩https://www.ithome.com.tw/news/148578
DuckDuckGo也打造桌機瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以隱私著稱的搜尋業者<a href="https://spreadprivacy.com/duckduckgo-2021-review/" target="_blank">DuckDuckGo宣布將開發自有瀏覽器</a>，進軍瀏覽器市場。</p> <p>DuckDuckGo為一整合性App，可提供搜尋及隱私防護。DuckDuckGo今年7月宣布<a href="https://www.spreadprivacy.com/introducing-email-protection-beta/" target="_blank">免費郵件轉寄服務beta版</a>，可移除郵件中的追蹤軟體。11月DuckDuckGo預覽<a href="https://www.ithome.com.tw/news/147965" target="_blank">App追蹤防護服務</a>，可封鎖App中植入的第三方追蹤器，如Google及Facebook。</p> <p>DuckDuckGo執行長Gabriel Weinberg指出，DuckDuckGo App在其主要市場中，是下載量最高的Android App，以iOS App而言則是第二高，僅次於Chrome。DuckDuckGo搜尋平均每天超過1億次，有9%，約2,700萬美國人使用。而DuckDuckGo自2018年投入開放文件搜尋以來，全球下載次數已超過1.5億。</p> <p>本周DuckDuckGo宣布開發桌機版且加入瀏覽器功能。但Wienberg強調它不是像Brave之類的「隱私瀏覽器」，而是尊重用戶隱私的瀏覽App，具有橫跨搜尋、瀏覽、電子郵件等情境的隱私防護。DuckDuckGo強調新App將整合原有的隱私防護功能、一鍵清除分頁及瀏覽資料的Fire Button等。</p> <p>此外，DuckDuckGo桌機App並非是從Chromium或其他核心分叉出來，DuckDuckGo是以OS渲染引擎全新打造的桌機App，使其可避免多年來其他主要瀏覽器的雜亂、臃腫問題。它結合簡單、乾淨的用戶介面及DuckDuckGo手機版App的「Fire Button」。和Chrome相比，DuckDuckGo桌機版App更乾淨、更保障隱私，而且早期測試顯示執行速度更快。</p> <p>在手機版本方面，DuckDuckGo今年新增功能包括保留部份網站登入資料的Fireproofing、簡化搜尋、以及加速在Android平臺的載入時間等。搜尋功能方面強化地方性、地圖及方向搜尋結果，提升搜尋頁的設計，以及加入翻譯即時解答、自訂期間篩選、圖片條件篩選、和進階搜尋等。該公司並強調2022年還會有更多功能強化。</p> </div></div></div>
2021/12/24 15:07作者林妍溱https://www.ithome.com.tw/news/148580
【資安日報】2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4Shell漏洞的風波已經延燒了半個月，但除了Log4j的漏洞之外，Apache基金會近期修補HTTP伺服器的漏洞相當值得注意，因為，這些漏洞極為嚴重，其中1個可被用來接管網站伺服器，恐影響近3億網站，而使得美國政府特別發出資安通報。稍微值得慶幸的是，Apache HTTP伺服器軟體並未採用Log4j，而沒有受到Log4Shell影響。</p> <p>而在Log4Shell的態勢而言，日前Google對於熱門Java套件庫Maven Central進行調查，近2萬個套件曝露此漏洞風險。該套件庫的管理者Sonatype，最近也對於漏洞揭露後的下載情況提供分析，臺灣竟是全球最為嚴重的地區，下載有漏洞的Log4j超過8成，且有日益攀升的現象！這樣的態勢相當值得我們留意。</p> <p>除了上述的漏洞，使得IT人員疲於奔命修補，網路釣魚也出現新的攻擊手法而值得留意。今天是聖誕夜，對於外國人而言，年關將近，很多人可能正在考慮在過完聖誕節要轉換跑道，但網釣攻擊也搭上這一波風潮，以解僱員工的名義來散布惡意軟體，還祝開啟惡意文件的受害者聖誕快樂。這種搭上時事的誘餌，也很容易讓人上當。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="http://www.sonatype.com/resources/log4j-vulnerability-resource-center#latest-insights"><span style="color: rgb(0, 0, 0);"><strong>臺灣曝露Log4Shell風險的比例全球之冠，下載存在漏洞的Log4j超過8成，且比例有變多的趨勢</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vul-log4j-download.jpg" style="width: 300px; height: 186px; float: right;" /></a>同時管理知名Java套件庫Maven Central的資安業者Sonatype，近期公布自12月10日Log4Shell漏洞細節公開後，開發人員從該套件庫下載Log4j的情形。其中，他們特別提及臺灣的情況最為嚴重，且有惡化的趨勢。我們於23日向代理商群鉅確認時，臺灣下載存在漏洞的Log4j版本，比例已達80.03％，24日上午已增至85%，遠高於全球平均（43%）。該公司也呼籲開發人員，應留意仍有不少存在漏洞的Log4j被下載使用的現象。</p> <h4><strong><a href="https://news.sophos.com/en-us/2021/12/20/logjam-log4j-exploit-attempts-continue-in-globally-distributed-scans-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體TellYouThePass利用Log4Shell漏洞攻擊歐美等多個地區，臺灣也有受害者</span></a></strong></h4> <p>繼勒索軟體TellYouThePass被發現疑似針對中國發動攻擊之後，資安業者Sophos指出，這個勒索軟體的攻擊行動已經蔓延到歐洲和美國，而另一家資安業者Curated Intelligence也有類似觀察，他們在12月13日至17日，觀察到臺灣、香港、日本、白俄羅斯也有組織成為受害者。</p> <h4><a href="https://www.trendmicro.com/en_us/research/21/l/examining-log4j-vulnerabilities-in-connected-cars.html"><span style="color: rgb(0, 0, 0);"><strong>Log4Shell漏洞可被用於攻擊多種車用系統</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/figure%204%20canarytokens%20alert.jpg" style="width: 300px; height: 174px; float: right;" />趨勢科技指出，許多嵌入式設備可能會採用Apache Log4j軟體，而汽車在採用大量電子控制設備後，也很可能導入含有漏洞的Log4j元件，而被用於Log4Shell攻擊。他們針對以Java建置的車用系統，包含電動汽車所使用的車輛電力網（V2G）、可做為車鑰匙或控制車輛的智慧型手機App，以及車用資訊娛樂系統（IVI）等進行研究，發現都有可能存在Log4Shell漏洞而用於發動攻擊，例如打開車門、操控空調等，進而影響車輛安全。該公司認為，可能還有其他汽車採用的電子元件也可能會受到Log4Shell波及。</p> <h4><a href="https://www.whitesourcesoftware.com/resources/blog/log4shell-vulnerability-in-ruby-applications/"><span style="color: rgb(0, 0, 0);"><strong>非Java程式語言開發的應用系統也可能受到Log4Shell波及</strong></span></a></h4> <p>引起全球關注的Log4Shell漏洞，使得許多Java開發人員戒慎恐懼，找尋應用系統裡存在漏洞的Log4j並採取緩解措施。但資安業者WhiteSource指出，並非只有Java程式才會曝露Log4Shell漏洞，研究人員舉出Ruby程式語言為例，開發者可使用JRuby來使用Java套件，並透過Log4j來記錄事件。他們在JRuby應用程式進行概念性驗證攻擊，並指出Log4Shell漏洞也可能會存在於其他基於JVM執行的程式語言，如Jython，Node-java，Jgo等。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/dridex-malware-trolls-employees-with-fake-job-termination-emails/"><span style="color: rgb(0, 0, 0);">惡意軟體Dridex以解僱郵件來發動網釣攻擊</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dridex-termination-letter-email.jpg" style="width: 300px; height: 138px; float: right;" />研究人員TheAnalyst指出，近期有一波散布惡意軟體Dridex的網路釣魚攻擊，是佯稱要解僱員工的名義，宣稱僱庸關係將在12月24日結束，並引誘收信者開啟附件裡，以密碼保護的惡意Excel檔案。一旦對方不慎開啟附件，便會看到模糊的表單，攻擊者宣稱要啟用巨集才能正常閱讀。當收信人依照指示啟用巨集，就會出現彈出視窗顯示「聖誕節快樂！」，但在此同時，惡意巨集從Discord下載Dridex並植入受害電腦，進而安裝其他惡意軟體，或是竊取各式帳密。</p> <h4><a href="https://threatpost.com/spider-man-no-way-home-download-installs-cryptominer/177254/"><span style="color: rgb(0, 0, 0);"><strong>盜版蜘蛛人電影被用於散布挖礦軟體</strong></span></a></h4> <p>近期上映的《蜘蛛人：無家日》相當熱門，但資安業者ReasonLabs指出，有人藉由提供盜版影片的名義，以發布下載影片的BT種子（Torrent），來散布挖礦軟體。研究人員指出，一旦使用者下載了挖礦程式，很可能電腦就暗中執行這個軟體，並占用大量運算資源。</p> <h4><a href="https://news.sophos.com/en-us/2021/12/22/avos-locker-remotely-accesses-boxes-even-running-in-safe-mode/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體AvosLocker透過網管工具散布</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Avos-deployment-of-tools-in-a-folder.png" style="width: 300px; height: 140px; float: right;" />資安業者Sophos指出，他們近期觀察到勒索軟體AvosLocker的攻擊行動，駭客利用遠端桌面軟體AnyDesk來存取Windows受害電腦，然後透過軟體派送工具PDQ Deploy散布惡意批次檔，並在電腦重新啟動為安全模式的狀態之前執行，批次檔的功能為濫用登錄檔停用防毒軟體，以便植入AvosLocker。研究人員指出，由於攻擊者強制電腦切換到安全模式，使得防毒軟體無法正常運作，受害者難以因應攻擊行動。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/apaches-new-security-update-for-http-server-fixes-two-flaws/"><span style="color: rgb(0, 0, 0);">Apache HTTP伺服器存在重大漏洞，恐被用於挾持攻擊</span></a></strong></h4> <p>Apache修補HTTP伺服器的2個重大漏洞CVE-2021-44790、CVE-2021-44224，CVSS風險層級分別為9.8分與10分，美國網路安全暨基礎架構安全局（CISA）提出警告，其中一個攻擊者可用於遠端控制網站伺服器。資安業者Netcraft指出，Apache HTTP伺服器系統雖然沒有使用Log4j，而不受Log4Shell影響，但全球有近3億個網站使用該軟體架設，上述2個漏洞未來很有可能被用於攻擊行動。</p> <h4><strong><a href="https://portswigger.net/daily-swig/popular-wordpress-platform-flywheel-vulnerable-to-subdomain-takeover-researcher-claims"><span style="color: rgb(0, 0, 0);">WordPress代管網站存在漏洞，恐導致子網域遭到挾持</span></a></strong></h4> <p>資安研究人員Ahmed Elmalky發現，代管WordPress網站的業者Flywheel存在漏洞，攻擊者可藉由部署惡意程式碼，模仿合法網站，並挾持子網域。研究人員進行概念性驗證攻擊，花了15美元訂閱Flywheel服務，建立1個網站並利用上述的漏洞，連結到易受攻擊的子網域，隨後便接管了網站。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-macos-security-flaw-behind-gatekeeper-bypass/"><span style="color: rgb(0, 0, 0);">蘋果macOS出現可繞過Gatekeeper防護機制的漏洞</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS_infection_vectors.png" style="width: 300px; height: 146px; float: right;" />蘋果於9月修補macOS漏洞CVE-2021-30853，這項漏洞能讓攻擊者使用沒有簽章或沒有公證的應用程式，繞過該作業系統的保護機制Gatekeeper，並用來下載與部署第2階段的惡意酬載。發現該漏洞的資安業者Box Offensive指出，攻擊者若是使用「shebang (!#)」開頭的指令碼來執行應用程式，就有可能觸發這項漏洞。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.twse.com.tw/zh/news/newsDetail/ff8080817d22b9cb017de6c1f04902ec　https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E4%B8%8A%E5%B8%82%E4%B8%8A%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E6%8E%A7%E6%8C%87%E5%BC%95_final1_20211221111831.docx"><span style="color: rgb(0, 0, 0);">協助上市櫃公司資安規畫，證交所制定「上市上櫃公司資通安全管控指引」</span></a></strong></h4> <p>在金管會強化上市公司資通安全管理政策之下，今年有多項法令增訂陸續實施，包括要求揭露重大資安事件，在年報說明資安治理作為，明年還有設置資安長等要求，另一方面，為了幫助上市公司在資安推動上能有效規畫，在12月23日，<a href="https://dsp.twse.com.tw/listedCompanyFileDownload/list">臺灣證券交易所新發布「上市上櫃公司資通安全管控指引」</a>，當中列出37項重點，希望企業能夠有所依循，並且衡量產業特性、規模大小及資安風險以適度採行。另外，也鼓勵上市公司免費申請成為TWCERT/CC會員，獲得資安事件因應相關諮詢。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> </div></div></div>
2021/12/24 13:53作者周峻佑https://www.ithome.com.tw/news/148576
Apache HTTP Server軟體也傳2重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了延燒近三個星期的Log4j漏洞後，<a href="https://httpd.apache.org/download.cgi" target="_blank">Apache軟體基金會本周釋出更多人使用的HTTP Server專案最新版2.4.52</a>，以解決2個漏洞，包含一個9.8風險值的重大漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1224-%20Apache%20HTTP%20Server-600.jpg" style="width: 550px;" /></p> <p>這次版本是Apache HTTPD 2.4.x分支的最新GA版本。Apache HTTP Server專案提供3000多個檔案，共近百萬行程式碼，可組成不同模組和選項，提供的強大功能及其開源碼特性，讓它成為現今最普及的網頁伺服器，部分情形中用戶直接使用HTTP Server，但它往往包含在企業用戶使用的產品或服務中而不為人知。</p> <p><a href="https://downloads.apache.org/httpd/CHANGES_2.4.52" target="_blank">根據Apache軟體基金會說明</a>，除了一些功能更新，最新版本主要修補2個漏洞包括CVE-2021-44790及CVE-2021-44224。其中CVE-2021-44790出在HTTP Server中mod_lua元件解析multipart格式的內容過程，攻擊者可傳送惡意呼叫觸發mod-lua multipart解析器的緩衝溢位。<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44790" target="_blank">本漏洞影響Apache HTTP Server 2.4.51及以前版本</a>，CVSS 3.1風險值9.8，屬重大漏洞。Apache HTTPD團隊尚未接獲開採漏洞的消息。</p> <p>CVE-2021-44224則是在HTTP Server的正向代理（forward proxy）設定中，攻擊者可傳送惡意URI到HTTPd引發伺服器崩潰。如果HTTP Server是設定為正、逆向混合代理的組態下，則可能允許呼叫導向宣告的Unix Domain Socket端點，引發伺服器端請求偽造（SSRF，Server Side Request Forgery）攻擊。若未使用正向代理組態（關閉ProxyRequest服務）則不受影響。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44224" target="_blank">本漏洞影響Apache HTTP Server 2.4.7到2.4.51版本</a>，CVSS 3.1風險值8.2，屬高度漏洞。</p> <p>Apache軟體基金會呼籲用戶儘速更新。<a href="https://nakedsecurity.sophos.com/2021/12/21/apaches-other-product-critical-bugs-in-httpd-web-server-patch-now/" target="_blank">安全廠商Sophos指出</a>，由於這些漏洞影響的是選用的run time組態，並不會影響所有用戶。但使用Apache HTTP的用戶則面臨伺服器當掉、資料外洩甚至被遠端執行程式碼的安全風險。</p> </div></div></div>
2021/12/24 14:26作者林妍溱https://www.ithome.com.tw/news/148577
勒索軟體AvosLocker在安全模式下利用AnyDesk展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sophos.com/en-us/2021/12/22/avos-locker-remotely-accesses-boxes-even-running-in-safe-mode/" target="_blank">資安業者Sophos本周指出</a>，今年6月才現身的勒索軟體AvosLocker於今年底的攻擊量大增，並揭露其攻擊手法是透過系統的安全模式（Safe Mode），在關閉防毒軟體的情況下，利用遠端桌面管理程式AnyDesk部署勒索軟體。</p> <p>安全模式為作業系統的一種特殊診斷模式，主要用來替系統除錯，因此，在進入安全模式之際，系統會關閉絕大多數的第三方驅動程式與軟體，包括防毒軟體在內。由於它讓系統失去了防毒軟體的保護，有利勒索軟體的部署，因此，不只是AvosLocker，採用安全模式來部署勒索軟體的前輩還包括 Snatch、REvil與BlackMatter。</p> <p>而AvosLocker的特別之處在於，駭客還變更了安全模式的啟動配置，以於該模式中安裝及使用遠端桌面管理程式AnyDesk。</p> <p class="rtecenter"><img alt="" src="https://news.sophos.com/wp-content/uploads/2021/12/Avos-deployment-of-tools-in-a-folder.png?resize=768,358" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Sophos</span></p> <p>此外，Sophos發現AvosLocker駭客集團的部署彷若IT專家，採用了另一個IT管理工具PDQ Deploy將Windows的批次處理腳本程式傳送到目標對象上，這些批次檔案在電腦進入安全模式之前就執行，目的為協調攻擊的每一個階段，並替最後一個部署勒索軟體的最終階段奠定了基礎。</p> <p class="rtecenter"><a href="https://news.sophos.com/wp-content/uploads/2021/12/Avos-Love-batch-attack-flow-logo.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=975,height=1039'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1224-PDQ%20Deploy-600.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_Sophos</span></p> <p>Sophos提醒，在駭客如此縝密的規畫下，各大組織的IT安全團隊所面臨的將不只是阻止勒索軟體，因為就算成功防堵了勒索軟體，也應該移除受害系統上的其它駭客足跡，例如AnyDesk，否則駭客將能很輕易地再利用AnyDesk載入各式的惡意程式並重新展開攻擊。</p> <p>迄今AvosLocker攻擊的範圍已橫跨美洲、中東及亞太地區，鎖定Windows及Linux作業系統，<a href="https://www.ithome.com.tw/news/147432" target="_blank">臺灣的技嘉科技也曾在10月淪為AvosLocker的受害者</a>。</p> </div></div></div>
2021/12/24 14:52作者陳曉莉https://www.ithome.com.tw/news/148579
挖礦軟體冒充蜘蛛人最新電影散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又屆新年假期，歐美許多大片紛紛上檔，但也成了資安陷阱。<a href="https://blog.reasonsecurity.com/2021/12/23/spider-miner-with-great-power-comes-great-problems/" target="_blank">安全廠商近日觀察到</a>有駭客假借蜘蛛人最新電影《蜘蛛人：無家日》散布Monero挖礦軟體。</p> <p>ReasonSecurity偵測到惡意執行檔，名為spiderman_net_putidomoi.torrent.exe，這字串是俄文「spiderman_no_wayhome.torrent.exe」翻譯而來，可能源自一個俄語影片交換網站。這執行檔安裝後會關閉Microsoft Defender偵測以維持潛伏，最後在用戶電腦植入Monero挖礦程式。</p> <p>Spiderman是以.Net撰寫，未獲得簽章，在揭露之前都沒有被上傳到Virus Total上，顯示未引發注意。原因之一是它下載的檔案使用知名且合法名稱，例如宣稱是由Google提供、植入檔名為sihost64.exe的檔案，並且注入svchost.exe（是Windows裡專門用來執行DLL程式的前導程式）。</p> <p>原因之二是它具有躲避偵測的手法。分析顯示，它在執行後，會立即建立排程作業名為services註冊機碼，以便每次用戶登入後執行。之後它砍掉真正的合法檔案，以建立2個冒充合法的sihost64.exe和svchost.exe檔案，其中sihost64.exe為watchdog行程，而svchost.exe即為挖礦軟體，藉由這些名稱躲過安全軟體偵測。同時它還在Microsoft Defender的例外清單加入以下類別，包括使用者設定檔下所有資料夾、系統磁碟（C:\\槽）及所有附檔名為.exe或.dll的檔案，以便躲過微軟防毒工具的偵測。</p> <p>研究人員還發現這隻程式具有躲避主要監控工具，包括Process Explorer、Process Hacker、Perfmon及工作管理員的能力。</p> <p>挖礦軟體冒充合法軟體，或是受歡迎內容散布的例子屢見不鮮。研究人員指出，雖然此類程式不見得有真正危害，但是它是幕後執行，也會造成過度耗電及佔用CPU頻寬，使電腦跑得很慢。</p> <p>研究人員建議用戶對來自非官方來源的內容要格外留心，不論是不明來源的郵件附檔、破解檔或BT網站下載的檔案。此外，研究人員也提醒，如果是影片，檔案附檔應為.mp4，而非.exe。為防惡意程式隱藏副檔名，在資料夾上方找到「檢視」選單，勾選「副檔名」即可顯示完整副檔名。</p> </div></div></div>
2021/12/24 12:22作者林妍溱https://www.ithome.com.tw/news/148573
年底新成立的SF-CERT揭露進度，將推動資安演練與應變協處
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，政府推動國家級資安戰略與資安聯防，8大關鍵基礎建設領域紛紛打造ISAC，以及CERT與二線SOC，在金融領域，除了金管會推動成立的F-ISAC，金管會轄下證券期貨相關機構在2021年初已開始籌畫「證券暨期貨市場電腦緊急應變支援小組」（Security and Future Computer Emergency Response Team，SF-CERT），在11月30日終於宣布成立，將從12月開始，辦理資安演練及訓練，2022年將全天候協助業者應變資安事件。</p> <p>基本上，金融領域面向多元，主要分為銀行業、證期業與保險業，不同領域將依照各自情況建立應變組織，原則上，應變組織的設置位置傾向越貼近業者越好，像是大型金融業者本身如有能力，本身就能建構自己的應變組織。以證期業的SF-CERT而言，背後由臺灣證券交易所、臺灣期貨交易所、財圖法人中華民國證券櫃檯買賣中心、台灣集中保管結算所，以及相關同業公會所共同合作維運。</p> <p>從目前SF-CERT規畫服務內容來看，他們的作為主要聚焦事前、事中的面向，協助提升業者資安體質，這是長期性的工作，事後也將檢討改善。</p> <p>以事前的部分而言，將提供資安事件應變處理參考指引，這部分是告訴業者如何應變常見類型的事件，包括網頁攻擊、非法入侵、惡意程式感染、設備異常，以及機敏性資料外洩，另外，也將提供日誌留存參考指引，讓業者可以有相關依循建議。同時，SF-CERT還將規畫資安演練與事件應變訓練，例如，針對全體證券期貨業者進行資安通報的演練，需在30分鐘內要有初步通報，而每年也將針對10多家業者，進行資安事件應變桌面演練，以及DDoS防護演練。另外，也會舉辦事件應變的教育訓練。</p> <p>具體而言，DDoS防護演練之前已經在進行，因為國內在2017年曾有多達13家券商集體遭DDoS攻擊勒索的事件，而在SF-CERT成立後，負責辦理該演練的同時，也新推動另三項演練，其中資安通報演練一項，是屬於全體證券期貨業者都要參與，並是目前最要求的部分，演練內容將涵蓋30分鐘內知悉事件的初步通報，查明事件後的正式通報，以及事件處理完成的解除通報。</p> <p>而資安事件應變桌面演練，以及電子郵件社交工程演練，每年僅針對部分業者實施，其中電子郵件社交工程演練一項僅針對實收資本額未達40億的第四級證券商、期貨商與投信顧業者，對此，SF-CERT表示，主要考量大型業者本身即有能力，因此SF-CERT會將資源放在中小型業者。</p> <p>在事中的面向，基本上，在2018年底，國內已建立證券期貨市場資通安全通報系統，而SF-CERT也將提供事中應變方面的支援，一旦資安事件發生，將提供協助與顧問諮詢，協助加速現場事件應變與鑑識調查，並分享產業攻擊資訊，研擬產業對應策略、協調外部資源，以及擔任事件回應管道。較特別的是，在協助加速現場事件應變與鑑識調查一項，SF-CERT表示，這是透過預先談定的事件鑑識合約，讓業者一旦發生事件能及時啟用服務，節省一些作業流程的時間。</p> <p>至於事後方面，SF-CERT也將針對上述參考指引進型檢討修訂，並納入演練及教育訓練素材。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SF-CERT%E6%9C%8D%E5%8B%99%E9%9D%A2%E5%90%91%E6%8F%AD%E9%9C%B2.jpg" style="width: 600px;" /></p> <blockquote><p>隨著SF-CERT在11月30日正式成立，從今年12月開始，將辦理資安演練及訓練，其中資安演練項目將有4種類型，除了之前已有的DDoS防護演練，還將進行資安通報演練、資安事件應變桌面演練，以及電子郵件社交工程演練。</p> </blockquote> </div></div></div>
2021/12/24 12:16作者羅正漢https://www.ithome.com.tw/news/148555
Omicron來襲，多家大廠退出CES 2022實體展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2021/12/23/google-cancels-ces-show-presence-amid-omicron-concerns/" target="_blank">Techcruch</a>、<a href="https://www.theverge.com/2021/12/21/22849223/ces-2022-t-mobile-bailed-keynote-meta-pinterest-twitter-iheart" target="_blank">The Verge</a>等多家媒體報導，Omicron變種病毒肆虐引發最新一波COVID-19疫情，多家大廠包括Google、聯想、英特爾等已經宣布退出明年1月初於拉斯維加斯舉行的消費電子大展（consumer electronics show, CES）。</p> <p>就在COVID-19自2020年初爆發將近二年、疫苗問世後，人際活動都逐漸回復之際，新變種Omicron近日又在歐美地區擴大感染，引發矽谷廠商疑慮。Google周四表示，經過審慎評估，公司退出CES是對團隊健康和安全最好的決定，並將和主辦單位合作虛擬活動。<a href="https://twitter.com/lenovonews/status/1473824084018360321" target="_blank">聯想</a>也表示嚴密觀察後，為了員工、客戶及合作夥伴的健康，將停止在拉斯維加斯一切實體活動。<a href="https://techcrunch.com/2021/12/23/intel-becomes-the-latest-company-to-back-away-from-an-in-person-ces/" target="_blank">英特爾也在昨天表示</a>在諮詢醫療主管機關後，決定將CES參展內容轉為數位化。</p> <p>在此之前，已經有Alphabet下的Waymo、AT&T、T-Mobile、Meta、Amazon、Twitter、Tiktok、Nvidia等公司宣布，不會前往1月5日的CES 2022布展及參展。</p> <p>此外，因應疫情轉趨嚴重，<a href="https://www.techradar.com/news/omicron-causes-amazon-nvidia-and-others-to-drop-plans-to-attend-ces-2022" target="_blank">媒體報導</a>，美國科技媒體包括TechRadar、The Verge、CNET、Engadget、TechCrunch、Gizmodo等媒體，也不會派記者前往CES 2022現場採訪。</p> <p>CES 2022預訂1月5日到1月8日在拉斯維加斯舉行。目前主辦單位仍表示實體活動會照常舉行。不過根據CES 2011的經驗，主辦單位最後一刻取消也不令人意外。</p> <p>受新一波疫情影響，繼上周關閉三家Apple Store及恢復入店戴口罩規定後，<a href="https://www.theverge.com/2021/12/22/22850946/apple-store-covid-two-hour-free-shipping-option" target="_blank">蘋果本周又再關閉</a>美國、加拿大共7家門市營運。</p> </div></div></div>
2021/12/24 10:27作者林妍溱https://www.ithome.com.tw/news/148569
英特爾發布最新oneAPI 2022工具包，加入更多跨基礎架構開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾發布了最新<a href="https://www.businesswire.com/news/home/20211222005124/en/Intel-Empowers-Developers-with-oneAPI-2022-Toolkits">oneAPI工具包2022版本</a>，在這個新版本中，英特爾擴展了oneAPI跨基礎架構的功能，提供開發人員更多公用工具，以及許多用來加速運算的架構選擇。這個版本的亮點在於，oneAPI軟體工程團隊，進行了超過900項的技術改進，目標是要加快CPU和GPU應用程式的開發時間和效能。</p> <p>oneAPI工具包中，包含了編譯器、效能函式庫、框架和各種分析除錯工具，供開發者用來建置、分析和最佳化，運作在CPU和GPU之上的高效能跨基礎架構應用程式。oneAPI跨基礎架構的開發模型，提供開發者一些工具，以加快建構跨架構應用程式。</p> <p>不少開發人員面臨的困境，在於需要針對具有不只一種類型的處理器、處理器核心和協同處理器的異構系統開發系統，而oneAPI能夠跨CPU、GPU、FPGA和其他加速器的異構結構，推動跨架構運算創新，開發這些硬體程式所需要的軟體，都包含在oneAPI完整解決方案中，開發人員可以自由地根據硬體選擇最佳解決方案，不需承擔專有程式開發模型的經濟和技術負擔。</p> <p>而在2022新版本中，oneAPI加入第一個使用通用LLVM後端，針對CPU和GPU實作的C++、SYCL和Fortran統一編譯器，並可在CPU和GPU上平行運算加速Python程式運算，而且英特爾還提供DPC++相容性工具，能夠自動搬遷90％到95％的CUDA程式碼到SYCL/DPC++。</p> <p>oneAPI工具包經過最佳化，支援最新和即將推出的硬體新功能，包括採用AVX-VNNI的第12代英特爾酷睿處理器，以及代號為Sapphire Rapids，搭載英特爾高階矩陣擴充的至強可擴展處理器，還有即將推出的資料中心GPU等。</p> <p>英特爾也在人工智慧效能改進下功夫，2022版本oneAPI工具包加入由英特爾最佳化的TensorFlow和PyTorch，能夠提升深度學習框架效能達10倍，新的Scikit-learn英特爾擴充也能在英特爾CPU上，加速機器學習演算法，提升速度到開源版本的100倍以上。</p> <p>oneAPI工具包的用戶也能使用到許多高效率開發工具，像是CPU和加速器的效能分析工具，以及高級射線追蹤技術等。另外，oneAPI還擴充支援開發環境，包括更深入整合VS Code，新增支援Visual Studio 2022，以及支援在Windows上的Linux開發環境WSL2。</p> </div></div></div>
2021/12/24 09:28作者李建興https://www.ithome.com.tw/news/148564
Visual Studio回饋功能升級，舊版本將不再能提交意見回饋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/were-upgrading-visual-studios-feedback/">微軟宣布</a>舊版本的Visual Studio將不相容於新的回饋功能，開發者需要使用16.7以上，或是2021年4月之後的LTSC（Long Term Servicing Channel）版本。</p> <p>官方提到，新的系統會使他們的工程團隊，更容易追蹤、組織和轉移維修票券。而更新系統的目的，是希望在未來用戶和Visual Studio工程團隊能維持更好的溝通管道，並提高對問題的回應能力，最終提供更好的用戶體驗。</p> <p>但採用新系統需要付出代價，搬遷到新系統後，有部分版本不再能夠提交回饋訊息，包括15.9.0-15.9.34、16.4.0-16.4.20和16.5.0-16.6.X，微軟表示，新系統提供的能力和可擴展性更高，他們認爲這是產品發展的正確方向。</p> </div></div></div>
2021/12/24 09:31作者李建興https://www.ithome.com.tw/news/148565
微軟將Graph Bookings API從測試版移動至正式版端點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布將其線上預約服務<a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">Microsoft Bookings API集，從測試端點搬遷到v1</a><a href="http://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">正式版</a><a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-bookings-apis-now-available-on-the-v1-endpoint/">端點</a>，不過，測試端點仍會繼續運作，官方提到，他們會在測試端點中提供核心功能，以及最近推出的新功能。</p> <p>微軟Bookings服務提供企業，簡單地在線上和行動應用程式中提供預約服務，像是美髮沙龍、事務所和汽車維修等企業組織，都可以利用Bookings服務來管理預定，更有效的運用時間資源。</p> <p>而微軟近期整合Microsoft Graph和Microsoft Bookings服務，目的是要簡化預約手續，如此企業便不會錯過其客戶的預定，客戶可以隨時在預定頁面、商業網站或是臉書上，查看可用的服務和預約。企業可以在網頁、行動應用程式，甚至是電話中提供預約服務，並且還能夠重新預定、取消和重分配給其他工作人員。</p> <p>企業同時還能減少其客戶放鳥的機會，在預定政策中，制定預約和取消的限制，並且執行自動確認和提醒，而且藉由使用相同的Microsoft Graph REST端點，企業可以存取Bookings API，並且與Microsoft 365整合，以支援更多元的用例。Microsoft Graph是一個資料和情報入口網站，可以提供統一的程式開發模型，供使用者存取Microsoft 365中大量的資料。</p> <p>Graph Bookings API中的bookingBusiness將會從測試端點搬遷到新的v1端點，bookingBusiness是Bookings服務其他資源的父實體，在這次更新中，除了Microsoft Graph端點，bookingBusiness底下的資源類型功能都沒有變更，不過，bookingService和bookingStaffMember的資源類型端點則皆有變更。</p> </div></div></div>
2021/12/24 09:42作者李建興https://www.ithome.com.tw/news/148567
MongoDB兩年內向AWS挖走了8名高階主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2021-12-21/mongodb-poaches-top-amazon-executives-to-compete-with-aws" target="_blank">根據《彭博社》的報導</a>，打造同名開源資料庫的MongoDB Inc這兩年來、已向Amazon Web Services（AWS）挖角了8名高階主管，包括現有的技術長Mark Porter、負責開發者關係的副總裁 Ian Massingham，或是全球合作夥伴負責人Matt Asay，全都是來自AWS，不過，AWS似乎不以為忤。</p> <p>Porter先前為AWS關聯性資料庫業務的總經理，Massingham曾是AWS新創解決方案架構的總監，Asay則曾負責AWS的開發者行銷，他們全都轉戰到MongoDB負責類似的業務。</p> <p>不過，雙方似乎並未因此而破壞關係。AWS向《彭博社》表示，該公司與MongoDB為密切的合作夥伴，協助共有的客戶進行雲端部署，每一個職業的決定都是個人的，很開心看到AWS的客戶與合作夥伴能夠繼續得到AWS前員工的幫助；員工可能會因為個人或專業因素離開AWS，但也有不少人之後會再回到AWS。</p> <p>MongoDB Inc既是AWS的客戶，也是AWS的競爭對手。其MongoDB Atlas服務是由AWS、Google Cloud Platform、Microsoft Azure或其它雲端平臺代管，但非關聯式資料庫與這些公有雲平臺上相關產品亦屬競爭關係。</p> <p>其實IT產業的挖角時有所聞，但通常不怎麼愉快，例如<a href="https://www.ithome.com.tw/news/138136" target="_blank">Amazon去年就曾控告</a>跳槽到Google Cloud的前任副總裁Brian Hall違反競業禁止條款；而且據傳SpaceX創辦人馬斯克（Elon Musk）在2019年，於一篇Amazon衛星公司Kuiper Systems計畫發射大量通訊衛星的新聞底下留言，稱Amazon創辦人Jeff Bezos為很愛模仿人的「複製貓」（Copy Cat），是由於不滿Kuiper Systems挖走了SpaceX負責Starlink計畫的副總裁Rajeev Badyal，因而出言不遜。</p> <p><a href="https://www.growthbusiness.co.uk/google-microsoft-13-tech-companies-poach-employees-2549509/" target="_blank">獵人頭業者Talentful曾在2017年公布一項研究報告</a>，顯示包括Google、微軟、Amazon、蘋果及IBM等美國五大科技業者經常彼此挖角，例如Google向微軟挖角的員工人數超過4,000名，微軟也向Google挖角近千名員工，蘋果與微軟之間亦經常有員工的流動。</p> </div></div></div>
2021/12/24 09:04作者陳曉莉https://www.ithome.com.tw/news/148568
Azure App服務NotLegit漏洞恐導致用戶程式碼儲存庫暴露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資安服務Wiz的研究團隊，發現了一個在Azure App服務中不安全的預設行為，當用戶使用本地端Git（Local Git）選項部署應用程式時，Azure App服務將會暴露以PHP、Python、Ruby或Node編寫的應用程式原始碼，這個被稱為<a href="https://www.wiz.io/blog/azure-app-service-source-code-leak">NotLegit</a>的漏洞，從2017年9月就已經存在，研究團隊提到，這個漏洞很可能已經被開採利用了。</p> <p>Azure App服務是一個雲端運算平臺，能夠用來託管網站和網頁應用程式，由於使用起來非常方便，因此受開發者歡迎，開發人員選擇受支援的程式語言和作業系統後，便可以利用FTP、SSH或從Git服務拉取程式碼，來部署應用程式或是構件。經部署後，網際網路使用者都可以使用*.azurewebsites.net網域存取該程式。</p> <p>而本地端Git是Azure所支援，將程式碼和構件部署到Azure App服務的一種方法，使用本地端Git，用戶可以在Azure App服務容器中，創建一個本地端Git儲存庫，並且直接將程式碼推送到伺服器中。</p> <p>在最佳實務中，當開發者將Git儲存庫部署到網頁伺服器和儲存桶中時，要確保沒有上傳.git資料夾，因為.git資料夾包含原始碼、開發人員電子郵件和其他敏感資料，而當用戶使用本地端Git方式部署到Azure App服務時，git儲存庫將位於/home/site/wwwroot，也就是可供任何人存取的公開目錄。</p> <p>研究團隊提到，微軟會在公開目錄中的.git資料夾，添加一個web.config檔案，來限制公開目錄中的.git資料夾被存取，但是只有微軟的IIS網頁伺服器會處理web.config檔案，當用戶C#或ASP.NET這些使用IIS部署的應用程式，都會被妥善的保護。</p> <p>但問題在於PHP、Ruby、Python或Node開發的應用程式，由於這些程式語言部署在Apache、Nginx和Flask等不同的網頁伺服器，這些伺服器不處理web.config檔案，因此.git資料夾裡的資料便會暴露在外，惡意攻擊只要從應用程式中擷取/.git資料夾，就可以直接存取程式碼。</p> <p>有趣的是，研究團隊發現web.config檔案有一個小錯誤，配置標籤沒有被正確關閉，因此其實IIS也無法正確解析該文件，但由於拼寫錯誤，也阻擋了整個目錄被存取，因此誤打誤撞，web.config檔案還是發揮了阻擋存取的功能。</p> <p>微軟在之後，又發現了使用其他Git部署工具，也可能造成程式碼暴露的問題，當任何Git部署之前，Azure App服務容器曾創建或修改檔案，該服務會進入就地部署狀態，這將會強制未來Git部署都會存在於可公開存取的目錄中。</p> <p>具體來說，受NotLegit影響的用例，包括在2017年9月以來，使用Azure App服務中預設在應用程式，使用本地端Git部署的PHP、Node、Ruby和Python應用程式，以及在2017年9月以來，在應用程式容器中創建和修改文件後，使用任何Git來源部署到Azure App服務中的所有PHP、Node、Ruby和Python應用程式。</p> <p>這個漏洞可能已經被廣泛地利用，研究團隊為了要評估該漏洞的嚴重性，特別部署了一個易受攻擊的Azure App服務應用程式，並將其連接到未被使用的網域，觀察是否有攻擊者試圖存取.git檔案，而就在部署4天後，有未知的人士對.git資料夾進行多次請求。目前微軟已經修復該漏洞，並且在12月7日發送電子郵件通知易受攻擊的用戶。</p> </div></div></div>
2021/12/24 09:15作者李建興https://www.ithome.com.tw/news/148563
金管會開放3類型金融機構間可資料共享，未來更計畫開放非金融機構共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升金融機構客戶便利性、強化金融機構風險控管，以及促進金融機構間跨業合作，金管會今天（12/23）發布金融機構間資料共享指引，即日起正式實施。</p> <p>金管會今年初展開金融機構間資料共享適法性的討論，4月底擬定具體版本，參考了新加坡與澳洲的規定，訂出這份金融機構間資料共享指引。這也是金融科技發展路徑圖中在資料共享政策上，重要推動的措施之一。</p> <p>金管會副主委邱淑貞表示，該指引重視全市場的發展，適用對象共區分為3類型，第一類是金控公司與旗下金融機構子公司間，比如，A金控與旗下銀、保、證子公司的資料共享；第二類是非金控公司的金融集團與旗下金融機構子公司間，比如B證券金融集團與旗下投顧、期貨子公司的資料共享；除了以上兩類以外，不同金融機構間相互資料共享，則屬於第三類型的適用對象，像是A金控旗下銀行子公司與B證券集團旗下投顧子公司，或者C銀行與D產險公司間的資料共享。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0075.JPG" /></p> <p>金管會綜合規劃處處長胡則華表示，資料共享的態樣上，共分為2項資料共享目的與適用機構。第一項資料共享目的是，辨識風險或進行風險控管。僅有第一類與第二類金融機構可執行，取得客戶同意的前提下，可由金控公司或控股的金融機構統籌建置資料庫、管理資料共享，且能指定旗下金融機構子公司建置資料庫。</p> <p>另一項資料共享目的是，減少客戶重複輸入資料等便利客戶作業，或者金融機構間合作辦理業務。包括第一類、第二類、第三類金融機構都能辦理，在取得客戶同意下，各金融機構間皆可採簽訂合約方式，建立業務合作關係來共享資料。</p> <p>邱淑貞表示，可共享的資料範圍包括客戶基本資料、身分核驗資料、帳戶資料、金融商品或服務的交易記錄、負面資訊、認識客戶（KYC）資料及金融機構加值過後的資料、電子通訊歷程記錄如IP位址，或其他經客戶與合作金融機構同意共享的資料。</p> <p>邱淑貞進一步舉例，加值過的資料比如金融機構風險等級分析，當一家金融機構判斷客戶風險屬性時，能再加上另一家合作金融機構的參考資料，對客戶的了解能更加清楚，可減少重新從基礎資料調查分析所花的時間。此外，依照不同的交易內容，金融機構間傳輸的資料也會不一樣，金管會規定，金融機構間資料共享採取客戶逐次同意，客戶更可就不同資料來選擇是否共享。</p> <p>胡則華表示，金融機構間的資料共享，若屬於現行金融法規沒有明確規定或沒有限制的範圍，金融機構需完備內控規範，並依該指引、個人資料保護法來辦理資料共享，同時，得對外揭露隱私權政策。此外，金融機構在進行資料共享時，必須事先取得客戶同意、落實客戶權益保障、確保個人資料保護、確保資料傳輸安全，並訂定妥適的內部管理政策。</p> <p>在資料共享案件的申請原則上，胡則華提到，金管會重視金融機構內控制度及落實執行，所以，辦理資料共享不需要特別向金管會申請核准。不過，因為證券期貨業以往較缺乏與其他金融機構間共享客戶資料的依據與應用，所以，針對第三類金融機構間資料共享，將對證券期貨業採取首案申請核准制。</p> <p>邱淑貞透露，開放金融機構間的資料共享只是第一階段，未來建立起信任的基礎後，在第二階段，規畫開放金融集團下的非金融機構也能資料共享，甚至，第三階段有可能開放非集團金融機構與非金融機構之間資料共享，將依序往前推進。</p> <p>至於金融機構間資料共享如何確保個資保護水準一致，胡則華表示，金融機構彼此合作簽約前，需要了解雙方的內控機制、資安水準是否完備，因為發生資安事件時雙方都得承擔一定的責任，所以，在合作前得審慎考量彼此是否為可信任的金融機構。文⊙李靜宜</p> </div></div></div>
2021/12/23 21:22作者李靜宜https://www.ithome.com.tw/news/148566
Twitter創辦人與馬斯克點燃Web3戰火
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Web3近來成為與元宇宙（Metaverse）不相上下的網路關鍵字，它指的是基於區塊鏈技術的去中心化網路，讓使用者握有更多的網路主導權，而非由少數企業掌控，然而，同樣擁抱比特幣（Bitcoin）的Twitter創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk），卻於近日相繼質疑Web3，點燃了與Web3支持者之間的戰火。</p> <p>Web 1.0指的是全球網路尚處靜態供應資訊的階段，Web 2.0則為由使用者創造網路內容且加強互動的階段，Web 3.0原本指的是語意網（Semantic Web），利用元資料更清楚定義資訊內容，以理解人類查詢的脈絡，Web3有時也會被稱為Web 3.0，不過它的定義更明確，指的是去中心化的網路，也是目前全球網路的主要趨勢之一。</p> <p>Web3的支持者相信此一新架構、將允許使用者逃離諸如Google或Meta等大型企業的掌控，大型企業無法再持有或銷售使用者資料，不會再向使用者展示廣告，政府也無從再監視民眾，使用者得以控制自己的資料、控制自己在網路上想從事的事物，還能藉此賺錢。</p> <p>然而，<a href="https://twitter.com/jack/status/1473139010197508098" target="_blank">Dorsey在21日表示</a>，人們並不擁有Web3，真正擁有Web3的是創投（VC）與負責出錢的有限合夥人（LP），Web3永遠無法脫離它們的動機，終究仍會只是一個具有不同標籤的中心化實體，也依然能夠知道網路使用者的行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-Dorsey%20web3.jpg" style="width: 555px;" /></p> <p>而<a href="https://twitter.com/elonmusk/status/1473165434518224896" target="_blank">馬斯克也在同一天貼文</a>「有人見過Web3嗎？我找不到」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-elon%20musk%20web3.png" style="width: 424px;" /></p> <p>Dorsey等於是在詔告天下，那些推廣Web3，並說分散式網路將能帶給使用者更多網路控制權的宣傳都是謊言，所謂的新一代網路只是將控制權由大型企業的手上轉交給VC/LP而已。至於Musk的態度則顯示，迄今Web3仍處於「只聞樓梯響，不見人下來」的概念性階段。</p> <p>Dorsey的發文引來了大量的討論，且反對多於贊同。數位時代的創業家、擔任過美國最大加密貨幣交易平臺Coinbase技術長，也曾擔任a16z創投普通合夥人的Balaji Srinivasan很快就跳出來反對Dorsey，他舉Twitter為例，指出雖然該平臺最初是個主張言論自由的溝通管道，但之後其企業化與政治動機導致了去平臺化與審查，Web3雖然不能保證，但至少提供了讓網路變得更好的可能性。</p> <p><a href="https://www.theverge.com/2021/12/21/22848162/jack-dorsey-web3-criticism-a16z-ownership-venture-capital-twitter" target="_blank">《The Verge》分析了Dorsey的說法</a>，指出這是因為VC/LP針對全球的區塊鏈或加密貨幣業者投入了大量的資金，當這些新創未來成了氣候，那麼就等於是VC/LP控制了Web3。</p> <p>而22日Dorsey再說，有問題的是VC，不是大眾，結果23日Dorsey就被投資大量區塊鏈新創的<a href="https://twitter.com/jack/status/1473725424387694601" target="_blank">a16z創辦人Marc Andreessen給封鎖</a>了。</p> <p>由於Andreessen並未公開提及此事，外界則揣測是Dorsey在馬斯克「有人見過Web3嗎？我找不到」貼文中以「It’s somewhere between a and z」回應，暗指a16z，且Dorsey對Web3的態度也可能影響a16z於相關領域的投資，直接惹毛了Andreessen。</p> </div></div></div>
2021/12/23 17:02作者陳曉莉https://www.ithome.com.tw/news/148558
【資安日報】2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4Shell漏洞仍是今日新聞的焦點，但最引起關注的事件，並非是攻擊態勢的變化，而是政府介入漏洞通報的現象。最早發現漏洞的阿里巴巴因為沒有優先向中國政府通報，而傳出被中國工業和信息化部（工信部）處罰，中止威脅情資合作夥伴的身分半年。在此之前，中國已經明目張膽立法要求當地業者，對於自家產品漏洞必須先通報政府，但這起事件代表了他們打算進一步掌握所有中國研究員發現的漏洞。</p> <p>而這起事件所帶來的隱憂，是中國政府拿到這些漏洞資訊後，很可能會轉手交給他們資助的駭客，用於攻擊敵對國家，而這樣的顧慮，勢必影響該國與其他國家之間的資安研究交流。此外，中國政府藉由立法和對通報者施壓的做法，脅迫資安人員把發現的漏洞交給政府，會不會有其他國家跟進，影響漏洞資訊的流通？這些都是日後值得觀察的重點。</p> <p>而在Log4Shell的威脅態勢之外，微軟協作平臺Teams的數項漏洞也相當值得關注，因為這些漏洞影響廣大的個人電腦和安卓手機用戶，有可能洩露IP位址或是被用於發送詐騙URL攻擊。但目前為止，微軟只修補部分漏洞，使得研究人員呼籲用戶要小心防範。</p> <p>另一個也相當值得留意的漏洞，存在於部分交易所加密貨幣錢包會用到的「幣安閾值簽章程式庫（tss-lib）」，由於這樣的漏洞涉及密鑰保護機制「Shamir的秘密共享（Shamir's Secret Sharing，SSS）」，研究人員也特別發布ZKDocs技術文件，讓其他資安人員也能投入相關研究。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.securityweek.com/chinese-government-punishes-alibaba-not-telling-it-first-about-log4shell-flaw-report"><span style="color: rgb(0, 0, 0);">阿里巴巴因未先通報中國政府Log4Shell漏洞，遭到當局處罰</span></a></strong></h4> <p>引發全球關注的Log4Shell漏洞CVE-2021-44228，最初由阿里巴巴於11月底向Apache基金會通報，並於12月9日公布細節，但最近卻傳出該公司因為沒有先向中國政府通報而遭到處罰。根據南華早報於12月22日的報導指出，中國工業和信息化部（工信部）將暫停阿里雲的網路安全威脅情報夥伴身分6個月，理由是該公司在發現Log4Shell漏洞後，沒有立即向電信主管部門報告，而未盡協助工信部的責任。裁罰期滿後，將根據阿里雲改善的情況恢復合作夥伴身分。此舉恐衝擊阿里雲的業務，且難以評估具體損失的情形。</p> <p>南華早報指出，中國今年的確通過一項法案，要求當地業者對於自家產品的漏洞，必須第一個讓中國政府知悉，但對於其他軟體的漏洞，該法則沒有強制要求，此舉將影響中國資安界的漏洞通報機制。</p> <h4><strong><a href="https://www.govinfosecurity.com/cisa-international-partners-advise-all-orgs-to-patch-log4j-a-18183"><span style="color: rgb(0, 0, 0);">五眼聯盟共同對Log4Shell漏洞提出警告</span></a></strong></h4> <p>美國網路安全和基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國國家安全局（NSA）、澳洲網路安全中心（ACSC）、加拿大網絡安全中心（CCCS）、紐西蘭電腦應急響應小組（CERT NZ）、紐西蘭國家網絡安全中心（NZ NCSC）、英國國家網路安全中心（NCSC-UK）於12月22日，聯合發出Apache Log4j漏洞的網路安全咨詢指南，指出攻擊者正在積極利用Log4Shell漏洞，用戶應儘速清點存在漏洞的Log4j，並採取緩解措施。</p> <h4><a href="https://thehackernews.com/2021/12/new-exploit-lets-malware-attackers.html"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Formbook繞過已修補MSHTML漏洞發動攻擊</strong></span></a></h4> <p>資安業者Sophos發現，微軟於9月修補的MSHTML重大漏洞CVE-2021-40444，在10月24日至25日，有攻擊者改造了概念性驗證工具CAB-less 40444，並繞過修補程式發動攻擊36個小時，過程中利用格式錯誤的RAR附件，發動釣魚郵件攻擊，這個附件內含程式碼和Word文件，一旦受害者開啟文件，就會連線託管惡意JavaScript程式碼的伺服器，下載惡意軟體Formbook。但為何攻擊行動只持續36個小時？研究人員指出，原因和這個RAR附件只能透過新版WinrRAR開啟，而無法對舊版軟體用戶發動攻擊。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/cisa-releases-apache-log4j-scanner-to-find-vulnerable-apps/"><span style="color: rgb(0, 0, 0);">美國政府推出Log4Shell自動掃描框架</span></a></strong></h4> <p>針對可能受到Log4Shell漏洞影響的應用程式，美國網路安全暨基礎架構安全局於12月22日發布Log4j-scanner漏洞掃描框架，這項工具以資安業者FullHunt開發的工具為基礎製作，能檢查網路應用程式中，存在CVE-2021-44228與CVE-2021-45046漏洞的弱點，並能模糊測試超過60種HTTP請求標頭，以及HTTP POST資料參數、JSON資料參數等，且能掃描是否有惡意酬載繞過網頁應用程式防火牆（WAF）的能力。</p> <h4><strong><a href="https://portswigger.net/daily-swig/multiple-vulnerabilities-in-microsoft-teams-could-spoof-urls-leak-ip-addresses"><span style="color: rgb(0, 0, 0);">協作平臺Teams的漏洞恐洩露用戶IP位址，或被用於詐騙連結攻擊協作平臺</span></a></strong></h4> <p>資安業者Positive Security揭露4個微軟協作平臺Teams的漏洞，這些漏洞影響個人電腦及安卓行動裝置用戶，其中，存在於電腦版應用程式的漏洞，攻擊者可用於伺服器端偽造請求（SSRF）攻擊、URL預覽的欺騙攻擊；而安卓App的漏洞，可能會洩露使用者的IP位址，或是被攻擊者用來發動阻斷服務（DoS）攻擊。研究人員指出，目前微軟只修補了IP位址外洩的漏洞，但他們認為針對安卓裝置的DoS攻擊恐怕難以防範。</p> <h4><strong><a href="https://securityboulevard.com/2021/12/disclosing-shamirs-secret-sharing-vulnerabilities-and-announcing-zkdocs/"><span style="color: rgb(0, 0, 0);">加密貨幣錢包簽章程式庫漏洞恐洩露金鑰</span></a></strong></h4> <p>資安業者Trail of Bits揭露加密貨幣錢包簽章程式庫的漏洞，影響幣安閾值簽章程式庫（tss-lib），幣安、Clover Network、Keep Network等6個加密貨幣交易平臺受到影響。攻擊者一旦利用這種漏洞，只要在密錀產生或重新共享的協議開頭，配置惡意ID，就有可能竊取他人的密錀，或是導致節點無法使用。研究人員通報後，多數交易平臺已修補上述漏洞。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/microsoft-azure-app-service-flaw-exposed-customer-source-code/"><span style="color: rgb(0, 0, 0);">微軟應用程式代管服務驚傳洩露客戶原始碼的弱點</span></a></strong></h4> <p>網站安全業者Wiz揭露應用程式代管服務Azure App Service的漏洞NotLegit，這項漏洞曝露部署於Azure的內部Git管理程式碼系統，波及以PHP、Python、Ruby、Node編寫的應用程式。研究人員指出，這項漏洞從2017年9月存在至今，可能已遭到利用，他們於今年10月7日通報微軟，漏洞已修補，微軟也在12月7日開始，向用戶發出資安通告來說明此漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/hack-dhs-bug-bounty-program-expands-to-log4j-security-flaws/"><span style="color: rgb(0, 0, 0);">美國國防部漏洞懸賞計畫擴及Log4Shell漏洞</span></a></strong></h4> <p>美國國防部日前宣布Hack DHS漏洞懸賞計畫，召集資安人員來找出該單位的漏洞，最近因應Log4Shell威脅，宣布要將該漏洞納入懸賞範圍。該單位表示，他們在美國網路安全暨基礎架構安全局（CISA）發布緊急命令後，決定擴大Hack DHS的適用範圍，來因應這些以遭利用的Log4j漏洞。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> </div></div></div>
2021/12/23 14:23作者周峻佑https://www.ithome.com.tw/news/148544
美國正式針對特斯拉允許駕駛玩遊戲一事展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《紐約時報》（The New York Times）、《彭博社》（Bloomberg）與《路透社》（Reuters）<a href="https://www.ithome.com.tw/news/148271" target="_blank">三大媒體在12月初揭露特斯拉允許駕駛在行進間玩遊戲一事</a>，已經引起美國國家公路交通安全管理局（National Highway Traffic Safety Administration，NHTSA）的注意，<a href="https://cdn.vox-cdn.com/uploads/chorus_asset/file/23120234/INOA_PE21023_9605.PDF" target="_blank">NHTSA下轄的缺陷調查辦公室（Office of Defects Investigation，ODI）已於21日正式對此展開調查</a>。</p> <p>ODI調查的對象是2017年到2022年出廠的、配備乘客遊玩（Passenger Play）功能的Model 3、Model S、Model X與Model Y，估計涉及58萬輛特斯拉電動車。</p> <p>ODI表示，該辦公室正式對特斯拉駕駛在行進間能夠玩遊戲的功能展開初步評估，目前只收到一位車主的描述，也確定該功能自2020年12月就出現在具備Passenger Play功能的車輛上了，在這之前，駕駛只能在停車時才能執行遊戲功能。</p> <p>由於若允許駕駛在行進間玩遊戲，可能造成駕駛分心進而導致車禍，讓ODI決定評估該功能的各個面向，包括駕駛使用Passenger Play的頻率與場景。</p> <p>事實上，就在媒體踢爆特斯拉讓駕駛玩遊戲的過幾天，<a href="https://static.nhtsa.gov/odi/rcl/2021/RCAK-21V931-9501.pdf" target="_blank">賓士（Mercedes-Benz）就因類似問題召回了227輛汽車</a>，只要特定車款的車主登入了Mercedes me connect功能，其資訊娛樂系統就可在行進間顯示電視及網路功能，但這原本是不被允許的。</p> <p>由於這只是賓士伺服器端的配置錯誤，因此所謂的召回並不需要車主回到原廠，僅需由賓士更新後端伺服器即可。然而，有了此一案例，外界推測NHTSA應該不會輕易放過特斯拉，以免惹來雙重標準的爭議。</p> </div></div></div>
2021/12/23 14:31作者陳曉莉https://www.ithome.com.tw/news/148545
波音、空中巴士以飛安為由呼籲美國推遲5G部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/business/aerospace-defense/boeing-airbus-executives-urge-delay-5g-wireless-deployment-2021-12-21/" target="_blank">路透社報導</a>，兩大航太巨頭波音及空中巴士本周以5G可能影響飛航安全為由，要求美國政府推遲部署5G網路服務的時程。</p> <p>路透社取得波音執行長Dave Calhoun及空中巴士Jeffrey Knittel致美國運輸部長Pete Buttigieg的聯名信，籲其支持AT&T及Verizon部署C頻段（C-Band）5G服務的計畫由明年1月再延後。雙方執行長指出，5G干擾可能影響飛機安全操作，對飛航業負面影響極鉅。</p> <p>反對派相信，5G服務使用的3.7GHz C頻段無線電訊號，可能干擾飛機雷達高度計，尤其是在接近地面時，進而影響飛航安全。由於美國聯邦航空總署（FAA）對此提出疑慮，11月兩大電信商AT&T及Verizon延後開通C頻段的5G服務到2022年1月5日，並將美國46座機場其他重要地點附近的基地臺功率降低6個月。</p> <p>FAA雖然抱持疑慮，但認為飛安及5G部署可以兼顧。<a href="https://www.ainonline.com/aviation-news/general-aviation/2021-12-07/faa-issues-new-5g-interference-airworthiness-directives" target="_blank">12月初FAA再發布5G相關的適航指令</a>，要求在有5G訊號干擾的地區，直升機、旋翼航空器、民航機不得執行某些需使用雷達高度計的飛行作業，或需要其他輔助儀器。</p> <p><a href="https://www.theverge.com/2021/12/7/22822875/5g-faa-rule-c-band-landing-airport-bad-weather-visibility" target="_blank">FAA限制使用雷達高度計理由是</a>，5G訊號對雷達高度計的干擾將影響視線不佳時的降落。航空公司若能證明其使用的雷達高度計不受5G訊號影響，則不受限制。</p> <p>FAA的折衷作法讓航空業不滿。兩名CEO信中引用產業組織Airlines for America (A4A)的分析報告指出，如果2019年FAA的5G指令就生效的話，將會有34.5萬民航班次及5,400貨運班次可能延後、改道或取消。</p> <p>不過支持5G者如無線電產業CTIA（Cellular Telecommunications Industry Association）則稱航空業者是製造大眾恐慌、扭曲事實。<a href="https://www.5gandaviation.com/wp-content/uploads/2021/11/Fact-Sheet-International-Use-of-5G-in-C-Band.pdf" target="_blank">根據CITA公布的報告</a>，C頻段的5G無線訊號並不會影響飛安，有近40個國家使用C頻段提供5G服務。</p> </div></div></div>
2021/12/23 14:50作者林妍溱https://www.ithome.com.tw/news/148546
CISA釋出掃瞄Log4j漏洞工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應Apache Log4j重大風險漏洞，<a href="https://twitter.com/CISAgov/status/1473401212468932609" target="_blank">美國網路安全暨基礎架構管理署（CISA）昨日釋出掃瞄工具</a>，方便企業或政府IT人員掃瞄自家軟體。</p> <p><a href="https://github.com/cisagov/log4j-scanner" target="_blank">名為Log4j Scanner的工具已發布在GitHub上</a>，是由開源社群其他成員開發，旨在協助企業組織辨識可能受Log4j漏洞影響的Web服務。這個儲存庫可掃瞄CVE-2021-44228（Log4Shell）及CVE-2021-45046，兩者皆為遠端程式碼執行漏洞，CVSS 3.1風險值各為10.0及9.0。</p> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa21-356a" target="_blank">美國政府機構CISA、FBI、國安局（NSA），以及五眼聯盟成員澳洲、紐西蘭、加拿大及英國網路安全主管機關昨（22）日發布聯合安全公</a>告，針對Log4j三項漏洞包括CVE-2021-44228 （Log4Shell）、CVE-2021-45046及CVE-2021-45105（DoS）提供緩解指引。公告指出，手法高明的網路威脅行動者已經積極掃瞄網路以伺機開採。目前CVE-2021-44228 和CVE-2021-45046已經有積極開採的行為。</p> <p>五眼聯盟國的安全指引建議企業及政府單位先找出受Log4j 多項漏洞影響的軟體產品，更新Log4j及受影響的軟體版本，再啟動尋找及部署事件回應措施來偵測是否有被開採的情形。</p> <p><a href="https://logging.apache.org/log4j/2.x/download.html" target="_blank">Apache軟體基金會已經釋出Log4j最新版本2.17.0</a>。</p> <p>各國政府對Log4j多項漏洞抱持高度警戒，尤其本周<a href="https://www.ithome.com.tw/news/148477" target="_blank">比利時國防部坦承遭不明人士開採網路系統漏洞</a>，致部份系統中斷服務數天。</p> <p><a href="https://www.cisa.gov/emergency-directive-22-02" target="_blank">CISA上周發布緊急指令</a>，要求美國聯邦行政部門在12月23日前，緩解對外連網系統的相關漏洞。</p> <p><a href="https://www.securityweek.com/cisa-says-no-federal-agencies-compromised-log4shell-attacks-date" target="_blank">CISA昨日對美國媒體指出</a>，尚未有證實對聯邦政府機關的成功入侵。</p> </div></div></div>
2021/12/23 11:20作者林妍溱https://www.ithome.com.tw/news/148543
Nvidia：BlueField-2破DPU效能測試世界紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2021/12/21/bluefield-dpu-world-record-performance/">Nvidia自家測試</a>使用2個BlueField-2資料處理單元，可以達到4,150萬的IOPS，這個數字是目前市面上任何DPU（Data Processing Unit）的4倍以上。這項測試使用標準網路協定和開源軟體，在BlueField-2 DPU上運作，而為了加快人工智慧和高效能計算應用，BlueField採用了熱門的RoCE網路傳輸協定，來達到更高的儲存效能。</p> <p>在測試中，Nvidia使用不同類型的儲存軟體函式庫，以及各種工作負載，來模擬真實世界的儲存裝置，BlueField達到4,150萬的IOPS是目前世界紀錄1,000萬IOPS的4倍，Nvidia還提到，前一個世界紀錄還是使用專用的儲存產品。</p> <p>在測試中，Nvidia連接2臺Hewlett Packard Enterprise Proliant DL380 Gen 10 Plus伺服器，其中一臺作為應用程式伺服器（儲存啟動器，Storage Initiator），另一臺作為儲存系統（儲存目標，Storage Target）。</p> <p>每臺伺服器都搭載時脈2.3GHz的英特爾Ice Lake Xeon Platinum 8380 CPU，總共可以提供160個超執行緒核心、512 GB的記憶體，還有120 MB的L3快取和PCIe Gen4匯流排。官方提到，由於要加速網路和NVMe-oF，每臺伺服器配置2張Nvidia BlueField-2 P系列DPU卡，每張卡上都有2個100 Gb乙太網路連接埠，因此在2臺伺服器間，就能有4個網路連接埠，並且有400 Gb/s的有線頻寬。</p> <p>作業系統使用RHEL 8.3，而儲存啟動器則使用SPDK、標準上游Linux核心以及適用於SPDK的FIO擴充套件3種儲存啟動器，I/O大小則以中小型儲存常見的大小，分別使用4 KB和512 B進行測試。這樣的硬體和軟體組合，除了創單一BlueField-2世界紀錄，達到4,150萬次的IOPS之外，官方還發現，使用較小的512B I/O大小進行測試，會獲得更高的IOPS但較低的吞吐量，而4KB I/O大小則獲得較高的吞吐量，但是更低的IOPS量。</p> <p>使用SPDK會產生比核心空間軟體更高的效能，但代價是更高的CPU使用率，Nvidia提到，這個現象在預期之內，因為SPDK在用戶空間以恆定輪詢的方式運作。而比較Linux核心的效能，官方表示，因為Linux社群持續改進儲存功能，因此5.15版本核心比4.18版本效能更好。</p> </div></div></div>
2021/12/23 09:29作者李建興https://www.ithome.com.tw/news/148531
微軟收購AT&T Xandr以強化廣告業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.ads.microsoft.com/en-us/blog/post/december-2021/microsoft-to-acquire-xandr-to-accelerate-its-digital-advertising-and-retail-media-solutions">微軟宣布</a>從AT&T手中收購廣告和分析部門Xandr。Xandr提供資料分析平臺與工具，使網路的第一方，能夠利用資料驅動的廣告解決方案，推動多元生態系，串連起行銷和媒體角色，不過，雙方都沒有透露任何交易的財務細節。</p> <p>微軟提到，在後Cookie世界，需要更尊重消費者隱私偏好，但仍要了解媒體和消費者間的關係，並幫助廣告主實現目標，因此他們選擇與微軟擁有共同願景，並且產品能夠互補的Xandr，來強化開放網路的能力。</p> <p>借助Xandr，微軟能夠將原本的受眾理解、相關技術以及全球廣告客戶群，和Xandr的大型資料驅動廣告平臺相結合，加快開放網路的數位廣告解決方案交付速度。在收購完成之後，微軟將會使用Xandr的跨螢幕，以第一方資料為中心的投放平臺Xandr Invest，來改進廣告效果，並且大規模取用第一方資料，以及結合Xandr Monetize和全漏斗行銷產品，強化媒體獲利能力。</p> <p>再加上微軟自家全球原生廣告投放解決方案Audience Network，能提高廣告效果和供應全球存取，而PromoteIQ則能強化零售媒體解決方案，並使行銷人員可以藉由開放網路，善用微軟客戶經驗平臺，接觸更多高價值潛在客戶，並且強化觸及和提高投資報酬率的能力。</p> </div></div></div>
2021/12/23 09:32作者李建興https://www.ithome.com.tw/news/148538
Ruby on Rails 7.0加入新的前端框架以及App層級加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過多年的策畫，最新的網頁應用程式開發框架<a href="https://rubyonrails.org/2021/12/15/Rails-7-fulfilling-a-vision">Ruby on Rails 7.0</a>，實現了真正全端網頁開發方法，官方提到，在數年前，這個全端願景是不可能實現的，因為Rails並沒有到位的核心技術，但是隨著瀏覽器對ES6/ESM的支援、HTTP/2廣泛採用以及更多的新標準，使得這項目標成為可能。</p> <p>Rails 7特別改進前端開發，其提供一種無Node的預設方法，在不犧牲對Npm套件和現代JavaScript存取的狀況下，使得前端開發更為方便。其所包含的網頁前端開發框架Hotwire，由Turbo和Stimulus組合而成，這提供了出色的開發體驗，此為用來取代Turbolinks和Rails UJS的Rails應用程式預設選項。</p> <p>Rails 7所加入的Hotwire，是由Ruby on Rails的創始人DHH（David Heinemeier Hansson）所創建的Basecamp，在2020年底的時候，所發布用來減少使用JavaScript，並且加速頁面載入的前端框架，其透過傳送HTML來達到快速載入頁面的效果。由於Hotwire不使用大量JavaScript，因此能加快載入初次存取的頁面，且透過伺服器渲染模板，開發者仍可以靈活地開發網頁程式，來提升生產力。</p> <p>另外，Webpack不再緊密捆綁Webpacker，開發者可以使用任意JavaScript打包器，像是esbuild、rollup.js甚至是Webpack，藉由新的jsbundling-rails整合，開發者可以隨心所欲使用熟悉的工具。在CSS打包工具也一樣，使用Rails 7時，只要開發者能夠良好編譯應用程式CSS檔案，便能夠順利整合在一起，無論是使用Tailwind CSS、Bootstrap還是PostCSS都沒問題。</p> <p>Rails 7.0預設了前端開發最佳選項，官方提到，不使用Node帶來更簡單的開發體驗，具有同樣強大的功能，但比起過去更輕巧更符合規範。</p> <p>除了前端開發大革新之外，取自Basecamp所開發的電子郵件應用Hey，Rails 7.0在Active Record中添加了加密屬性，因此開發者的應用程式在靜態和傳輸中，都能夠對資料進行加密，官方提到，加密帶來最直接的好處，是提供額外的安全保護，當資料庫遭到攻擊時，即便攻擊者取得資料庫、快照甚至是應用程式日誌，也無法理解其中的資訊，而且即便不考慮攻擊事件，檢查應用程式日誌時，也不應該暴露使用者個人資訊。</p> <p>而且透過使用Active Record加密功能，開發者可以在程式碼等級，定義應用程式中的敏感資訊組成，而這能夠控制存取這些資訊的方式，並且依此建構相關的服務。</p> </div></div></div>
2021/12/23 09:38作者李建興https://www.ithome.com.tw/news/148539
未獲即時通知Log4j漏洞，中國工信部暫停與阿里巴巴合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://m.21jingji.com/article/20211222/herald/8882565614ce981673c1d2b42c240417.html" target="_blank">中國媒體報導</a>，阿里巴巴旗下安全實驗室發現Log4j漏洞，先告知了Apache軟體基會卻未第一時間通報中國主管機關，遭中國工信部暫時與阿里雲合作6個月的處分。</p> <p>11月間，阿里巴巴安全研究室通報Apache Log4j 2.14.0以前版本，存在遠端程式碼執行（RCE）漏洞。該軟體擁有單位Apache軟體基金會<a href="https://www.ithome.com.tw/news/148332" target="_blank">於12月10日發布安全公告</a>以及2.15.0版本，以修補編號CVE-2021-44228的漏洞。</p> <p><a href="https://wap.miit.gov.cn/jgsj/waj/gzdt/art/2021/art_d0cd32999d9941209ba9358a2e62638c.html" target="_blank">中國工信部安全管理局於上周五發布公告</a>，工信部的網路安全威脅和漏洞信息共享平臺於12月9日收到網路安全專業機構報告，得知此一消息，於是召集阿里雲、資安廠商及資安專業機構研究，並稱其通報督促Apache基金會修補漏洞及發出風險預警。</p> <p>根據公告，該漏洞可能導致設備遠程受控，進而引發敏感資訊竊取、設備服務中斷等嚴重危害，屬高危險漏洞。工信部網路安全管理局也持續展開漏洞處置，防範網路安全漏洞風險。</p> <p>雖然中國政府已經較官方安全公告發布時間更早得知訊息，但顯然並不滿意。中國媒體報導，工信部認為，阿里雲作為工信部網路安全威脅訊息共享平臺的合作單位，在發現漏洞後卻未能及時向電信主管部門報告，未有效支持工信部推動網路安全威脅及漏洞管理的政策。工信部決定暫停和阿里雲參與該訊息共享平臺的合作6個月。之後根據阿里雲整改情況再研究是否恢復合作。</p> <p>中國今年9月1日上路的《網路產品安全漏洞管理規定》要求，網路產品供應商在發現漏洞後，必須在2天內向工信部網路安全威脅和漏洞信息共享平臺通報，且不得向供應商以外的境外組織及個人提供未公開的漏洞訊息。有些人擔心新法可讓中國政府提早得知消費或企業軟體的零時差漏洞，而得以發動攻擊。</p> <p>雖然確切損失尚難確定，但失去官方信任將可能影響阿里雲的業務前景。該消息發布時值美股早盤時段，<a href="https://tw.news.yahoo.com/%E9%98%BF%E9%87%8C%E9%9B%B2%E9%81%AD%E4%B8%AD%E5%9C%8B%E5%B7%A5%E4%BF%A1%E9%83%A8%E6%9A%AB%E5%81%9C%E5%90%88%E4%BD%9C-%E9%98%BF%E9%87%8C%E5%B7%B4%E5%B7%B4adr%E6%8C%AB%E8%B7%8C-153041350.html" target="_blank">阿里巴巴ADR大跌4%</a>。</p> <p>而這也是阿里巴巴近來最新一起遭中國政府監管的例子。今年4月阿里巴巴集團在中國境內網路零售平臺市場、禁止平臺上的店家在其他平臺上開店或促銷，被中國市場監督管理總局裁罰183億人民幣。</p> </div></div></div>
2021/12/23 10:01作者林妍溱https://www.ithome.com.tw/news/148540
靠多年敏捷實踐加速IT現代化，金士頓下一步全面擁抱雲原生
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家跨國老牌記憶體模組大廠，在全球配置200多人的IT團隊，已經是個10年Scrum老團隊，但不像IT開發方法早早現代化，走向敏捷開發，這家公司過去所採用IT技術並未完全跟上，直到2年前因為數位轉型開始出現轉變，不只要引進現代化IT技術，甚至今年更為了全面導入雲端CRM，轉而擁抱雲端原生架構，還要借重業界一流IT經驗和實踐作法，加速商業創新。</p> <p>金士頓科技亞太區資訊部資深處長曹世杰表示：「導入雲端CRM就是我們的起點，要擁抱這些現代化IT架構與技術。」</p> <p><span style="font-size:28px;"><strong>靠2百人IT團隊支援全球各地營運</strong></span></p> <p>身為全球最大記憶體模組製造商，金士頓科技（Kingston）一直以來對IT相當倚重，不僅善用IT來協助工廠生產，彈性因應少量多樣、高度客製化的生產模式，還透過IT支援全球營運的快速拓展，服務全球18個營運據點，超過175個國家及地區。</p> <p>為了支援全球各營運據點，金士頓全球IT團隊規模這些年不斷成長，截至目前，IT人數占了整體員工5%，超過200人，其中100多人分布在亞太區，多數是在臺灣分公司，來提供必要技術與全球營運支援。</p> <p>不光是支撐全球營運，金士頓在軟體開發上也十分依賴IT，金士頓的資訊系統多是自主開發，滿足業務上的需求。曹世杰表示，過去約7～8成系統皆自行開發，如CRM、HR，以及工廠端GPS全球生產系統等，只有少數系統除外，如核心ERP採用套裝產品等。</p> <p>不過，許多ERP客製功能仍是由IT團隊重新改寫成，從業務流程到財務分析功能都有，他笑稱，原先買來的套裝ERP軟體，用到最後只保留資料庫功能，其他功能幾乎都全部重寫，「因為金士頓很強調彈性。」他說。</p> <p><span style="font-size:28px;"><strong>總部IT策略因疫情衝擊開始改變，不再強調自主開發</strong></span></p> <p>過去採取自主開發的IT策略，固然讓金士頓IT團隊有很高的客製彈性，但也因此少了突破和發展創新的機會，只能專注於滿足內部使用者的需求。這樣的IT策略，雖然前幾年仍然可行，但過去兩年開始遇到考驗。</p> <p>面對全球疫情嚴重衝擊，為了能夠持續營運，對於製造業來說，尤其是大型的跨國製造公司，未來更需要具備有現代化IT、數位化和創新的能力，協助公司建立高強度的營運韌性。面對不確定的未來情勢，金士頓近兩年開始加快數位轉型的腳步，在數位轉型的大方向下，金士頓高層毅然決定轉變原有IT策略，不再強調自行開發，而是開始與業界頂尖合作，嘗試借助業界一流經驗和創新實踐作法，來協助公司加速轉型。</p> <p>曹世杰解釋，之所以會有這樣的轉變，是因為過去金士頓許多舊系統自行開發，長年下來疊床架屋的舊架構，遇到新變動和新需求時，就容易導致開發時程冗長，甚至因為技術沒有翻新，仍沿用前一代技術，也很難引進外面創新的實務作法，阻礙公司發展。</p> <p>「一家企業導入IT技術，最重要的是希望能幫助企業發展更好、更有效率，而不是為了導IT而IT。」他指出，所以，金士頓才決定採用新IT策略，來加速內部轉型與創新。</p> <p><span style="font-size:28px;"><strong>IT轉型關鍵起點，從引進業界一流CRM方案做起</strong></span></p> <p>金士頓轉型關鍵第一步，是決定投入大手筆預算來導入雲端CRM，取代原有地端CRM。這是金士頓近來最重要一次大型系統專案導入，更是由曹世杰一手主導。</p> <p>曹世杰表示，這套大廠的雲端CRM，服務底層已經微服務化、API化、物件化，所以，金士頓IT團隊可以在這個框架下，使用其現代化開發工具來開發，或是利用CRM內建的開發平臺，來保有開發和客製彈性，也較不容易受後續版本更新的影響，「金士頓IT團隊因此可以站在CRM巨人的肩膀上開發，不用從零開始。」</p> <p>金士頓今年開始導入新版CRM，未來要用於全球服務、行銷與業務使用，甚至導入過程中，金士頓IT團隊也重新檢視現有的商業和業務流程，找出更好作法來改善，同時調整組織結構和相關人員心態，來因應這樣的轉變，「這就是數位轉型」他再三強調，數位轉型最重要的是人，而不是IT技術本身。</p> <p>為了要翻新CRM，金士頓不只調整組織結構、人員和業務流程，現有的IT技術也跟著轉變。</p> <p>由於這套CRM採用雲端原生（Cloud Native）架構，金士頓為了要使用這些雲端原生CRM功能，也開始擁抱新技術，邁向Cloud Native架構。</p> <p>曹世杰表示，目前在臺灣分公司已經有一組DevOps團隊，負責微服務和容器技術相關開發，近兩年開始逐步將部分應用程式拆分，變成API方式來呼叫，系統重構將採取API-First策略，未來優先利用API來建立互連的應用程式，再逐漸發展成SaaS應用。</p> <p><span style="font-size:28px;"><strong>靠過去10年Scrum敏捷經驗，IT團隊轉換雲原生架構因此變更容易</strong></span></p> <p>不像一般企業從老舊系統架構，轉換Cloud Native架構時，會同時遇到開發方法和技術架構的雙重轉型挑戰，金士頓的軟體開發方法，很早就採取現代化架構常用的敏捷開發，所以在轉換Cloud Native架構過程，比其他企業的IT團隊更容易。</p> <p>早在10年前，金士頓臺灣分公司從國外引進Scrum方法，改用敏捷開發來取代傳統瀑布式開發，這些年實踐之後，敏捷文化已經深植於金士頓IT團隊之中，因此，曹世杰表示，現在要採用同樣需要敏捷架構的雲端原生技術時，技術轉換過程比較容易。</p> <p>不光是CRM系統改用大廠的雲端CRM，金士頓還有兩大製造生產相關系統，包括MES製造執行系統以及SCM供應鏈管理系統，也都找來各自領域中最厲害的廠商來協助其導入，目前都在評估中。</p> <p>但要從原本高度自主開發的團隊，轉而站在別人肩膀上來開發，曹世杰直言，這樣的轉變，也要付出不少代價，開發團隊不再像以前擁有高度自主彈性，未來能否用新平臺和架構來彌補，「我們正在實驗，目前還沒有成功，這條路還很漫長。」他坦言。</p> <p>由於上雲已經成為一種企業IT發展趨勢，金士頓早在2016年，軟體開發流程已經上雲，近幾年也開始擬定自己的雲端策略，IT基礎設施今年開始採用公有雲方案，包括DR備份、資安SOC等，內部資訊系統方面，不只正在導入中的雲端CRM，和開始評估導入的雲端SCM，金士頓還有更大目標是，未來要連ERP也都上雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%9B%B9%E4%B8%96%E6%9D%B0_%E9%81%A0%E6%9D%B1%E9%87%91%E5%A3%AB%E9%A0%93-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>金士頓科技亞太區資訊部資深處長曹世杰表示，一家企業導入IT技術，最重要的是希望能幫助企業發展更好、更有效率，而不是為了導IT而IT。</strong></span></p> <p><span style="font-size:28px;"><strong>擬定長期雲端策略，未來核心ERP也要跟著上公雲</strong></span></p> <p>為何金士頓ERP沒辦法馬上搬上雲？曹世杰進一步說明，現階段地端ERP還無法上雲，因為這是沿用30年的老舊系統，不只背負許多技術債，甚至程式執行語言都已老舊不再使用，例如這套ERP部署在AS/400主機，單是採用RPG語言編寫的客製程式就超過上千支，這些程式都需要經過重新定義和梳理，甚至得用新工具全部重寫，這不是一件容易的事。</p> <p>所以金士頓的策略是，趁著明年上線新改版的地端ERP後，開始對既有ERP內部進行全面盤點和重整，再將ERP從地端搬上雲。「這是我們未來5～10年策略。」他表示。</p> <p><span style="font-size:28px;"><strong>Scrum敏捷開發團隊要能發展持久，由下而上推動是關鍵</strong></span></p> <p>身為臺灣早期Scrum先行者，歷經10多年發展，金士頓IT團隊已經是個相當成熟的Scrum老團隊。</p> <p>從這些年實踐經驗中，曹世杰也歸納出自己一套Scrum的成功心法，像是前期必須能獲得團隊成員認可，不能全靠由上而下政策來推動，發展到一定程度後，仍須培養由下而上的力量來推動才能持久。他認為，這樣作法，才能讓團隊成員打從心底認同，進而自發性的採用敏捷方法。</p> <p>再者，推動過程中，勢必會遇到人員反彈，所以一開始就必須讓團隊清楚知道，採用Scrum帶來的效益，能讓專案交付更快，更有品質，進而提高使用者滿意度。</p> <p>採用Scrum最重要的目的，他認為，就是要在最短時間得到使用者回饋，這是在傳統瀑布式開發方式很難做到之處，但透過敏捷開發可以辦到。</p> <p>金士頓開發團隊現在可以做到每兩周一個衝刺（Sprint），找來使用者一起檢視IT開發的產品功能，開發團隊就可以很快得到使用者回饋。</p> <p>金士頓臺灣分公司IT，目前有5個Scrum團隊，每個團隊約8人，每天站立會議已成了潛意識的習慣。</p> <p>曹世杰表示，起初先照著教科書上的許多Scrum實踐來進行，後面敏捷開發越用越成熟以後，每個Scrum團隊會自行演化出最適合自己團隊的實踐作法，就不一定要完全遵循Scrum的作法。</p> <p>不過，他提醒，Scrum團隊需要有很強的自主性，才能靠團隊決定如何運作和執行專案的方式。所以，金士頓也都要求Scrum團隊是自主團隊，但在績效管理上，也必須搭配不一樣的作法，除了主管和第三方Scrum教練來評量考績分數之外，在團隊考績評分中有一項，是讓團隊成員彼此互相打分數，這個分數會直接影響到最後的考績，而且頻率達到每季一次。</p> <p>他表示，透過這樣的方式，可以營造良幣驅逐劣幣的氛圍，讓Scrum團隊成員能力保持在一定水準，甚至，金士頓今年開始採用類似DDI測驗的360度績效評估方式，要從各面向來了解每個成員的表現。</p> <p><span style="font-size:28px;"><strong>營運策略轉以臺灣作為營運重心，臺灣IT角色也越顯重要</strong></span></p> <p>近幾年，金士頓營運策略明顯轉變，開始以臺灣作為營運重心，不論是製造生產中心、RD研發中心、全球規劃團隊都設置在臺灣，金士頓臺灣分公司IT人數也比10年前翻了兩倍以上，成長到將近80人。</p> <p>曹世杰表示，因為公司營運重心轉移到臺灣之後，臺灣分公司IT扮演的角色越來越顯得重要，平時不只負責臺灣，更要支援全球營運，甚至開始主導部分數位轉型專案，協助公司加速轉型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 經理人小檔案 </span></strong></span></p> <p><strong>金士頓科技亞太區資訊部資深處長曹世杰</strong></p> <p>學歷：雲林科技大學資管學士</p> <p>經歷：在金士頓IT任職逾20年，1999年加入臺灣分公司後，從程式設計師做起，一路擔任到資訊部經理，2008年因應總部全球IT策略轉變，開始對內持續推動IT團隊朝向敏捷團隊來發展，大約2015年時接下亞太區IT主管一職，同時掌管臺灣、中國等地IT，支援全球營運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>金士頓科技</strong></p> <p>地址：新竹市新竹科學園區力行一路1-5號</p> <p>網址：<a href="http://www.kingston.com">www.kingston.com</a></p> <p>成立時間：1987年</p> <p>主要業務：記憶體、快閃記憶體模組生產製造等</p> <p>員工數：超過4,000人</p> <p>年營收：約150億美元</p> <p>創辦人：杜紀川孫大衛</p> <p>總經理：杜紀川</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：亞太區資訊部資深處長</p> <p>資訊部門主管姓名：曹世杰</p> <p>資訊部門人數：亞太區逾100人（含臺灣）</p> <p>資訊部門分工：Service Desk、網通基礎設施、BA商業分析、PC維護和技術支援、開發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>•2018年：啟動大型IT客戶B2B新專案、將舊有JD Edwards ERP升級到E1新版</p> <p>•2021年：開始導入Salesforce雲端CRM方案，用於全球服務、行銷跟業務的使用、評估導入新MES製造執行以及雲端SCM供應鏈管理系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1056-cio-cao_shi_jie_yuan_dong_jin_shi_dun_-she_ying_-hong_zheng_wei_-960.png" width="960" height="420" alt="" title="金士頓科技亞太區資訊部資深處長曹世杰　（攝影／洪政偉）" /></div></div></div>
2021/12/23 07:00作者余至浩https://www.ithome.com.tw/people/148432
【打破長年束縛儲存陣列效能的瓶頸，邁向新世代I/O架構】首款PCIe 4企業級儲存陣列問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_6000-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以HPE今年中發表的Alletra 6000為開端，企業儲存領域正開始一波I/O架構革新潮流。</p> <p>為了追求存取效能的突破，以NAND Flash記憶體為基礎，10年前開始了快閃儲存陣列潮流。然而隨著固態儲存應用的逐漸深入，傳統的磁碟傳輸協定，成了制約儲存效能進一步提升的瓶頸，於是，在5年前又開始了儲存陣列傳輸架構NVMe化的潮流，以嫁接在PCIe匯流排上、專為固態儲存裝置發展的NVMe協定，取代傳統的ACHI協定。</p> <p>當NVMe介面的應用逐漸普及後，此時，PCIe 3.0匯流排又成了束縛NVMe擴展應用的原因。而儲存陣列控制器的匯流排架構，之所以長期停滯在PCIe 3.0，又與掌握儲存處理器市場的Intel保守的發展策略，脫離不了關係。</p> <p>這樣的態勢，一直到了HPE的Alletra 6000，才終於有了革命性的變化，這款產品透過引進AMD處理器，將控制器匯流排架構升級為PCIe 4.0，不僅打破PCIe 3.0導致的I/O效能限制，連帶也鬆動Intel對儲存處理器的壟斷局面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-HPE%20Alletra%206000%20%E4%B8%BB%E5%9C%96.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>Alletra 6000是HPE原有Nimble儲存陣列家族的進化發展，是業界第1款採用PCIe 4.0的企業級儲存陣列產品，結合全新運算核心與全面NVMe化的I/O架構，擁有3倍於上一世代產品的效能。</strong></span></p> <p><span style="font-size:28px;"><strong>Nimble家族的繼承與發展</strong></span></p> <p>今年年中新推出的Alletra 6000，其實，可看作HPE原有Nimble儲存家族的進化升級版本，也是Nimble Storage自2017年併入HPE以來，Nimble儲存家族最重大的一次更新。</p> <p>在HPE剛併購Nimble Storage之初，仍延續原本Nimble的CS混合陣列，以及AF全快閃陣列兩大產品系列（前者為SSD+硬碟混合儲存架構，後者為純SSD的全快閃架構）。後來，在2018年中，HPE針對Nibmle家族進行了「HPE化」的改款，於是，CS系列改款為HF混合陣列，AF系列也從AFx000轉為新的AFx0系列，硬體則換成HPE自身的儲存伺服器。</p> <p>接下來，HPE又在2020年中為Nimble AF系列小幅升級，引進儲存級記憶體（Storage Class Memory，SCM）模組。</p> <p>時隔1年後，Nimble家族迎來了歷來最重要的一次更新，新的Alletra 6000繼承Nimble家族既有的軟體核心，同時還全面翻新硬體架構，導入了AMD處理器平臺、PCIe 4.0，以及全NVMe架構等3大更新。</p> <p><span style="font-size:28px;"><strong>業界首款PCIe 4.0儲存陣列登場</strong></span></p> <p>十多年來，Intel處理器幾乎統治整個企業級儲存設備的核心處理器應用，從低階的入門級產品，到中、高階儲存陣列，系統核心幾乎都被各式各樣的Intel x86處理器占據。但另一方面，Intel在儲存處理器領域的壟斷，也給儲存核心架構的進步帶來負面影響，特別是在匯流排架構方面。</p> <p>儲存設備對I/O吞吐能力的需求永不嫌多，但Intel處理器平臺的匯流排架構，長期停滯在PCIe 3.0，等於阻礙儲存設備廠商對於提高資料吞吐量的期望，越來越無法因應新一代網路介面，以及資料傳輸架構的要求。</p> <p>面對Intel處理器在技術變革採取了「擠牙膏」式的保守策略，也使得率先採用PCIe 4.0介面的AMD，有了重回儲存設備處理器市場的機會。</p> <p>早在3、4年前，AMD處理器便開始進到儲存產品應用，部分廠商在入門級NAS產品採用AMD Ryzen處理器。接著在2020年中，HPE與Dell等兩大廠，又先後在超融合產品線引進AMD EPYC處理器。時隔一年，HPE的Alletra 6000成為第1款採用AMD處理器，以及應用PCIe 4.0架構的主流儲存陣列產品。</p> <p><span style="font-size:28px;"><strong>PCIe 4.0帶動I/O介面新進化</strong></span></p> <p>Alletra 6000採用AMD處理器，象徵Intel對於儲存處理器的統治出現鬆動，更重要的是，藉此導入了PCIe 4.0架構，一舉打破針對PCIe 3.0對儲存陣列控制器I/O效能提升所造成的長年瓶頸，並且也獲得了更充份的PCIe傳輸通道資源，來因應安裝新一代高速傳輸介面的要求，讓Alletra 6000能安裝Nimble系列原本沒有的100GbE網路介面，並支援更多數量的32Gb FC介面。</p> <p>而憑藉著PCIe 4.0所帶來的傳輸能力增長，Alletra 6000也導入全NVMe架構的後端儲存介面，不僅所有SSD模組都採用NVMe介面，甚至，連結擴充櫃的外接介面，也採用NVMe-oF架構。</p> <p>憑藉採用全新的硬體核心，HPE宣稱Alletra 6000比Nimble AF系列，提升了3倍效能。事實上，在HPE提供的SAP HANA認證測試結果中，作為中階產品的Alletra 6000，透過4節點叢集組態，表現甚至超過一些高階產品。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%9C%96%E8%A1%A8-big.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=925,height=700'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></a></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000儲存組態</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80-box1.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">全面支援NVMe SSD</span></strong><br /><span style="color:#696969;">Alletra 6000系列採用4U/24Bay規格的控制器機箱，並全面支援NVMe介面，出廠時預載了12或24臺NVMe SSD，並有1.92TB、3.84 TB、7.68 TB與15.36 TB等4種SSD容量可選。對於預載12臺NVMe SSD的控制器組態，HPE另外提供了安裝另外12臺SSD的容量升級套件選項，並同樣有1.92 TB、3.84 TB、7.68 TB與15.36 TB等4種SSD容量規格可選。<br /> 如同上一代的Nimble AF系列，Alletra 6000的控制器機箱也提供了外接擴充櫃的擴展能力，每臺控制器機箱可以外接1或2組擴充櫃，不過目前HPE尚未備妥Alletra 6000的外接擴充櫃功能，要等到日後才能實際提供。</span></p> <p><strong>繼承過往HPE Nimble系列儲存陣列的特性，今年登場的Alletra 6000系列也具備Scale-Out橫向擴展，以及Suale-Up縱向擴展能力。</strong></p> <p><strong>相較於過往Nimble系列所採用的4U/48Bay機箱，Alletra 6000改用4U/24Bay機箱，機箱容納的SSD模組數量只有前者一半，但是，可以使用容量更大的SSD模組，因而仍能提供同等級的系統容量。</strong></p> <p><strong>例如，Nimble AF系列最大支援7.68 TB的SAS SSD，Alletra 6000則能支援15.36 TB的NVMe SSD模組。</strong></p> <p><strong>在Suale-Up縱向擴展模式下，Nimble AF系列支援的容量是6至1,106 TB，而Alletra 6000則為23至1,104 TB。在4系統組成的Scale-Out橫向擴展模式下，Nimble AF系列的最大擴展能力為4,424 TB，而Alletra 6000亦達到4,416 TB。</strong></p> <p><strong>關於儲存級記憶體（SCM）搭配，如同上一代的Nimble AF系列，Alletra 6000同樣是以PCIe擴充介面卡的型式來支援，目前的Alletra 6000系列中，以較高階的3款（6050、6070與6090）而言，每臺陣列可安裝1張1.5 TB的SCM卡。</strong></p> <p><strong>至於SCM的應用形式上，Alletra 6000也和Nimble AF一樣，是作為輔助的快取讀取緩衝區，而非ㄧ般的儲存區。</strong></p> <p><strong>但是，Alletra 6000目前同時繼承了過去Nimble家族專屬的快取加速循序布局（Cache Accelerated Sequential Layout，CASL）存取技術，因此，這系列產品可透過SCM模組，承載前端主機的讀取負載，搭配高命中率的快取演算法，可達到「All SCM」的讀取加速效果，原廠宣稱藉此可縮短50%的平均讀取延遲。</strong></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000硬體解剖</strong></span></span></p> <p><strong>就產品沿革來說，Alletra 6000可視為原有Nimble AF系列的硬體更新版本。但從Nimble AF到Alletra 6000的發展，可說是一次大躍進，因為這當中引進了「AMD處理器」、「PCIe 4.0」、「全NVMe儲存架構」，蘊含了3大更新。</strong></p> <p><strong>Alletra 6000控制器全面翻新了控制器核心，以AMD EPYC處理器取代Nimble家族過去長期使用的Intel Xeon處理器，並以PCIe 4.0架構，取代已沿用多年的PCIe 3.0，同時，儲存介面也已全面支援NVMe。</strong></p> <p><span style="color:#B22222;"><strong>導入AMD處理器與PCIe 4.0</strong></span></p> <p><strong>雖然HPE並未公布Alletra 6000採用的處理器型號，但作為HPE合作廠商的AMD，則公開透露Alletra 6000採用了他們的EPYC 7002系列處理器，這當中包括EPYC 7252、EPYC 7302、EPYC 7502與EPYC 7742等幾款，可提供8至64個核心，相較於上一代的Nimble AF系列，Alletra 6000每個處理器插槽提供的運算能力可提升一倍。</strong></p> <p><strong>隨著導入AMD EPYC 7002，Alletra 6000一併獲得這系列處理器內含的PCIe 4.0架構。EPYC 7002系列處理器支援128條PCIe 4.0傳輸通道（lane），每條傳輸通道的頻寬都比PCIe 3.0高出一倍，大幅提高了Alletra 6000控制器的I/O吞吐率，也能藉此提供更多的PCIe擴充槽，從而配置更多的I/O埠。</strong></p> <p><strong>事實上，前代Nimble AF系列的每組控制器只能提供3組PCIe擴充槽，而Alletra 6000增為6組PCIe擴充槽，不僅可配置的I/O埠數量提高一倍，頻寬也更大，足以因應100GbE網路、NVMe等十分消耗PCIe傳輸資源的新技術需求。</strong></p> <p><span style="color:#B22222;"><strong>全NVMe儲存架構</strong></span></p> <p><strong>憑藉著PCIe 4.0介面的引進而大幅提高控制器內部傳輸能力，也讓Alletra 6000邁向「全NVMe儲存架構」打好了基礎。</strong></p> <p><strong>上一代的Nimble AF，對於NVMe儲存裝置的支援相當有限，只能透過預留擴充槽安裝NVMe介面的SCM卡，至於SSD模組則仍然是SAS介面。</strong></p> <p><strong>而Alletra 6000藉由引進PCIe 4.0介面，大幅提高了控制器可提供的PCIe傳輸通道與頻寬，進而導入全NVMe架構的儲存介面，不僅SSD模組全面採用NVMe介面，與外接擴充櫃的連接，同樣也是採用基於NVMe的NVMe-oF傳輸架構，因此，構成了「端到端（End-to-End）」的NVMe傳輸架構。</strong></p> <p><strong>當前雖然已有部分儲存陣列產品，先一步採用了全NVMe儲存傳輸架構，但這些產品是在PCIe 3.0的基礎上，來打造全NVMe架構，在PCIe傳輸通道資源的限制下，讓這些產品的擴展能力都受到很大制約，不論是能支援的SSD數量，或是擴展容量，都明顯不如原本基於SAS介面的同系列產品。</strong></p> <p><strong>但Alletra 6000則透過導入PCIe 4.0，為兼顧NVMe的傳輸頻寬，以及SSD模組擴展數量等兩方面的需求，提供了解決辦法。PCIe 4.0每條傳輸通道的頻寬，較PCIe 3.0高出一倍，可在使用同等傳輸通道數量的情況下，提供高出一倍的總頻寬；而在提供同等總頻寬的前提下，PCIe 4.0只需耗用PCIe 3.0一半的傳輸通道數量，從而可支援更多的PCIe裝置。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E6%A9%9F%E7%AE%B1%E6%AD%A3%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">機箱正面</span></strong><br /><span style="color:#696969;">如同上一代的Nimble AF系列，Alletra 6000也是由內含控制器、稱為「Head」的基礎陣列機箱（Base Array），搭配擴充櫃（Expansion Shelve）組成，每組基礎陣列機箱可以外接1或2組擴充櫃。差別在於Alletra 6000的基礎陣列機箱改用4U/24Bay規格，不同於Nimble家族長期慣用的4U/48Bay規格。Alletra 6000基礎陣列機箱與擴充櫃之間的連接，也改用NVMe-oF架構，而非Nimble系列的傳統SAS連接架構。此外，Alletra 6000的機箱深度也比較短，只有800公釐，短於Nimble AF系列的890公釐，可以更方便地安裝到標準伺服器機架。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E6%A9%9F%E7%AE%B1%E8%83%8C%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">機箱背面</span></strong><br /><span style="color: rgb(105, 105, 105);">Alletra 6000的每組基礎陣列機箱，含有2組控制器，以及4組電源供應器，所有關鍵元件都是雙重配置，可避免發生單點故障的狀況，目前整體的可用性達到6個9（99.9999%）。<br /> 控制器仍沿用Nimble家族一貫的Active-Standby架構，雖然資源利用率較低，不過，一旦Active控制器失效時，接手的Standby控制器有完整的效能可提供服務。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E9%9B%BB%E6%BA%90%E4%BE%9B%E6%87%89%E5%99%A8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">電源供應器</span></strong><br /><span style="color: rgb(105, 105, 105);">Alletra 6000系列的電源供應器，有800瓦與1600瓦等2種規格。較低階的6010、6030與6050等3款機型，可選用800 瓦規格，較高階的6070與6090等2款，則只能選擇1600瓦規格。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80-box-%E6%8E%A7%E5%88%B6%E5%99%A8%E8%A7%A3%E5%89%96.png" style="width: 590px;" /></p> <p><span style="color:#696969;"><strong>控制器解剖</strong><br /> Alletra 6000的最大特色，便是全新設計的控制器核心，搭載了2顆AMD的EPYC 7002系列處理器，基於PCIe 4.0的匯流排架構。在控制器主機板上配置了16組DDR4 DIMM記憶體插槽，並含有附帶供電線路的NVDIMM記憶體模組。而憑藉著PCIe 4.0，也讓Alletra 6000能夠更容易地支援100 GbE網路卡、全NVMe SSD組態等非常耗用PCIe資源的硬體配置。</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1056-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-IO%E4%BB%8B%E9%9D%A2.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">I/O介面配置</span></strong></p> <p><span style="color:#696969;">每組Alletra 6000的控制器都內建了4組管理用的GbE埠 </span><span style="color:#FFFFFF;"><span style="background-color:#FF0000;"> </span><strong><span style="background-color:#FF0000;">1 </span></strong></span><span style="color:#696969;">，另提供了6個PCIe擴充槽 </span><strong><span style="color: rgb(255, 255, 255); background-color: rgb(255, 0, 0);"> 2</span></strong><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 0);"> </span></strong><span style="color:#696969;">，用於安裝選購的I/O介面卡，包括用於iSCSI傳輸的10GbE、25GbE或100GbE網路卡，或是雙埠或4埠的32Gb FC HBA卡，依不同的網路介面卡選項，可提供4至48個主機端埠的連接能力。除了安裝網路卡，也能安裝1張1.5TB容量的儲存級記憶體介面卡。控制器底部還預留了一個特殊的OCP介面卡插槽位置 <span style="background-color:#FF0000;"> </span></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#FF0000;">3</span></strong></span><strong><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 0, 0);"> </span></strong></strong><span style="color:#696969;">，可安裝用於連接擴充櫃的NVMe-oF介面卡（但目前HPE尚未開始提供）。</span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:36px;"><strong>HPE Alletra 6000系統管理架構</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%206000%20%E5%9C%969%20New.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">提供標準的本地端網頁控制臺</span></strong><br /><span style="color:#696969;">如同一般的儲存陣列產品，本地端的網頁控制臺是Alletra 6000最基本的管理工具，可用於系統狀態監控與設定、儲存資源配置與掛載，以及進階資料服務功能操作等所有主要管理作業<span style="font-size:14px;">。圖片來源／HPE</span></span></p> <p><strong>除硬體架構的全面翻新，Alletra 6000另一特點，是引進新的雲端管理平臺。</strong></p> <p><strong>上一代Nimble AF系列的系統管理，分為本地端管理，以及InfoSight雲端管理，總共有兩個層級。本地端管理包括網頁控制臺與文字命令列，用於系統組態設定、儲存資源配置、調整，以及資料服務功能操作；InfoSight雲端管理平臺則提供遠端集中監控、故障預測與警示、健康狀態診斷、升級建議諮詢等功能。</strong></p> <p><strong>而Alletra 6000的系統管理，除了同樣有本地端控制臺，以及InfoSight雲端管理平臺，還增加了新的Data Services Control Console（DSCC）雲端平臺可用，形成3個系統管理層級。</strong></p> <p><strong>DSCC是HPE今年中新推出的雲端管理平臺，未來將成為HPE雲端服務統一入口與管理平臺，目前提供4項主要服務，包括用於儲存設備管理的資料管理器（Data Ops Manager），用於監控用戶端事件的Audit功能，以及用於協助負載配置的Intent-Based Provision功能，最後是InfoSight平臺，現在也納入DSCC平臺。</strong></p> <p><strong>其中資料管理器是DSCC的重點功能，可讓用戶從遠端管理本地端儲存設備，能執行儲存區設定、掛載等作業，包括創建Volume儲存區、設定屬性、掛載給指定主機，以及快照等資料服務功能。也就是說，本地端管理控制臺的主要核心功能，都可改由DSCC的資料管理器來執行，可以涵蓋本地端控制臺的管理功能，但又不像本地端控制臺會受地理環境所限，未來DSCC還可提供跨平臺、跨產品線的遠端管理能力。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pcie-4">PCIe 4</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/hpe-alletra-6000">HPE Alletra 6000</a></div></div></div>
2021/12/23 07:00作者張明德https://www.ithome.com.tw/tech/148444
全家從代收開啟轉型之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-qi_ye_chuang_sheng_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>便利商店在台灣發展的第一個階段，是以食品和日用品販售為主，早期也有很多報紙雜誌，後來又增加便當和飯糰等鮮食，但其實各家超商差別不大。要如何做出自己的特色與差異化？全家回到便利商店的本質思考，「便利商店，顧名思義就是需要便利，」全家便利商店會長潘進丁說，於是他們開始研究在這個小小的商圈裡，消費者生活上還有什麼不方便？這個思考，使得全家從「追求便利性」進入「提供差異化商品及多樣化服務」，也重新定義了「便利商店」。</p> <p>全家便利商店董事長表示，當時員工到日本觀摩，發現日本的便利店會代收一些單據，這給了大家靈感，回來之後就找銀行討論是否能夠代收費用。溝通一輪之後，雖然有兩家規模相當大的銀行很感興趣，但苦於財政部不肯答應。努力了一年多，最終仍無功而返。</p> <p>直到1997年在陳水扁擔任台北市長時，轉機出現，台北市希望改革停車費的收費方式，找通路代收路邊停車費。問題是，停車單上並沒有條碼，手續繁瑣、單筆金額又小，所以一開始沒有通路願意接手，全家自告奮勇成為第一家提供代收服務的便利商店。從此開始，逐步延伸到電話費、電費、水費、學費與信用卡帳單，現在甚至連社區的管理費都可以代收。很快地，代收的服務從全家擴大為所有便利商店的必備服務。這個改變是台灣便利商店發展非常重要的一步。葉榮廷說，純就獲利而言，代收的手續費並不多，但是人流帶來的併買率大概20%，也就是繳費同時順便購物的人大約有兩成，不容忽視。其次，代收也改變了便利商店的獲利模式，「台灣便利商店的密度這麼高，就是因為有代收作為支撐。」葉榮廷說，也由於代收建立起來的收費系統，加速了台灣電子商務發展，「大約有七、八成的網購消費者選擇在超商取貨，是大家心目中的首選。」</p> <p>便利商店的功能就此逐步擴張，不再只是方便買東西的地方，而成為「街區服務中心」，這是最關鍵的轉變。大約在2000年左右奠定了基礎，民眾也養成到便利商店購買食物和日用品的消費習慣，潘進丁稱之為「便利商店在台灣取得公民權」。這一年，全家正好達到一千店。</p> <p><span style="font-size:28px;"><strong>累積錯誤，兩大學習摸索出成功之路</strong></span></p> <p>從零到一千，除了眾所皆知的幾項重要成功創新之外，全家也從多次失敗中學習到不少功課。</p> <p>「我早期在店裡面工作，非常清楚店裡的變化，」葉榮廷說，早期做便利商店想的是「我要賣什麼給顧客」，全家既然是日商設立的公司，一開始必定是將日本販售的商品導入。</p> <p>「店裡大概40%是進口商品，顧客根本叫好不叫座，」他強調，這種以內需為主的零售業，就需要本土化，「沒有本土化不行！」這是全家營運初期學到的第一個重要功課。</p> <p>潘進丁說明，這牽涉到「標準化」與「在地化」的取捨，像便利商店以販售加工食品與日用品為主，要滿足消費者對於「便利」的需求，一定要瞭解當地的生活模式、要接地氣。但是像星巴克（Starbucks）這樣的咖啡連鎖店，則可以先走標準化路線，再慢慢加入當地特色，和便利商店的模式不一樣。</p> <p>第二個學習是，有些事雖然對，從國外的例子來看也會成功，但如果時機不對，離消費者的需求太遠，同樣會失敗。</p> <p>例如早在1988年全家就開始賣日式的十八度冷便當。這在日本沒問題，但與台灣的生活習慣不合；用微波加熱嗎？又覺得不安全，「隔壁麵攤現煮的比你還便宜、還好吃，」葉榮廷說：「所以我們大概賣倒了兩家便當工廠。」但現在便利商店不只能賣便當，還有牛肉麵、各式湯品甚至麻辣鍋都沒有問題，「消費需求就是這樣在演進的。」</p> <p>全家便利商店最知名的一堂功課是賣手機。當時手機剛出現，內部研究過後認為，3C產品的單價跟毛利高，且完全規格化、不需要店員再加說明，很適合超商販售。不料投入大量資金進貨之後才發現，3C產品的更新速度快，還沒來得及開始賣，新型手機已經上市，舊機根本賣不掉。但由於全家已經買斷整批貨，所以這個決策造成公司非常大的損失。葉榮廷笑著說，如果不是全家有容許犯錯的創新精神，「我們早就被砍頭了。」</p> <p>潘進丁說，從這個單一事件學到了，3C產品不要實體上架進貨，最好是預購，客人先訂再到店取貨，所以基本精神還是賣服務而不只是賣產品。最重要的學習則是，決策不可脫離消費者太遠。</p> <p>相當熟悉日本的潘進丁說，日本有一句話叫「半步行」，意思是領先半步就好，「比消費者領先太多的話，接受度還不到的時候，學習成本會太高，」這是全家從各種錯誤中所學到的重大課題。</p> <p><span style="font-size:28px;"><strong>不為數位而數位，用科技解決「未來的問題」</strong></span></p> <p>以街區商圈與消費者需求作為經營核心，全家便利商店的數位化在這幾年讓消費者們相當有感，例如手機預購咖啡，不僅取代過去的紙本登記，還可以隨時送給親友或同事，只要帶著手機，就能在全台灣各店領取。不過，葉榮廷強調：「我們不是為了數位化而數位化，而是在想未來會碰到什麼問題。」</p> <p>葉榮廷指出，像高齡化社會是一個可預見的未來，原本便利商店主力消費客群是二十幾歲到三十九歲，年輕人一週來店超過五次，六十歲以上的大概只有三次多一點。但台灣年齡中位數目前已經超過四十歲，所以一定要扭轉局勢。</p> <p>還有人口結構造成的缺工問題，十八至六十五歲的勞動人口平均每年減少十六到十八萬人，但是便利商店是勞力密集的產業，這個可預見的未來又該如何面對？</p> <p>當然談流通業最重要的趨勢就是網路購物崛起，新冠疫情之後，「我們覺得它是回不去的，對消費行為是不可逆的，」葉榮廷分析，當網路購物成為消費行為的常態後，實體零售業者必須思考的就是，「我要被排除在外還是要介接？」</p> <p>新科技快速發展使得商業模式不斷翻新，過去成功的經營模式在未來不見得有用，因此全家在定義問題之後，就設定了一些目標，而數位化則是用來達成目標的方法。全家推動會員制就從這個概念出發。</p> <p>首先，經營顧客的終身價值，是全家希望能夠達到的目標。葉榮廷說，過去經常是「開發一個商品想賣給很多人」，但現在希望做到的是「賣很多產品給同一個人」，要解決的問題就跟之前完全不同。「你認識他嗎？你瞭解他嗎？你在乎他嗎？他喜歡的是什麼？」葉榮廷連問了幾個關鍵問題，而這些都必須從顧客辨識開始著手。</p> <p>「一開始我們還想要投機取巧，」葉榮廷口中的「投機取巧」，指的是希望以合作方式讓別的企業把會員帶進來，但很快發現別人根本不願意分享資源。「我們就想，與其靠別人，不如自己來。」這個轉念，促成了全家開始做自己的會員，透過App的開發與應用，不僅解決客戶痛點，還提升會員的忠誠度與其他附加價值。2021年全家的會員數已經突破一千三百萬，穩居四大超商之首。</p> <p>全家目前數位化發展的重點有兩個，一個是系統建立，另外一個則是數據研發。系統部分主要指的是供應鏈數位化與營運自動化，而數據研發則是嘗試從資料庫行銷起步，最終能夠開發出預測模型，早一步預測消費行為與趨勢的轉變。零售業原本就有很多數據，但過去經常只是拿數據來參考，還沒有把數據當成決策依據，與理想之間還有一段距離，葉榮廷強調：「必須把domain knowhow跟演算法技術結合，在我們的場域進行多次實驗之後，那個數據才有價值。」</p> <p>預測未來，是每個產業都希望能夠達成的目標，對便利商店而言更是重要。「我們這個行業面對變動已經習以為常，」什麼叫變動？葉榮廷說，像溫度的改變，今天二十八度、明天三十度，根據全家的統計，溫度每升高一度就會增加7.9個客人，「這些客戶進來了會買什麼東西？我們就要去因應。」</p> <p>不僅每天有短的變動，還有大且慢但回不去的變動，例如網路購物、人口結構改變、數位支付，以及商業模式的推陳出新，這些都是不可逆的趨勢，需要長期投資，並且提早進行基礎建設。<strong><span style="color:#696969;">（摘錄整理自本書第8章，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%9C%961_%E4%BC%81%E6%A5%AD%E5%89%B5%E7%94%9F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88(1).png" style="width: 249px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商周出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>企業創生‧台灣走新路：企業五大轉型突圍心法，打造新護國群山</strong></span></p> <p>黃日燦／總主筆</p> <p>商周出版</p> <p>售價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>總主筆　黃日燦</strong></p> <p>台灣產業創生平台創辦人暨董事長，律師執業逾四十載，專長涵蓋企業併購、產業策略、公司治理、跨國經營諮詢、科技產業事務與家族企業規劃。</p> <p>黃創辦人積極協助台灣產業脫胎換骨，是企業轉型升級的策略軍師與產業發展的意見領袖。現任裕隆集團執行長特別顧問、台元紡織董事長特別顧問，以及台灣併購與私募股權協會榮譽理事長。</p> </div></div></div>
2021/12/23 07:00未署名https://www.ithome.com.tw/article/148451
技術網站架設經驗雜談
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果開發者有寫作的習慣，建議擁有專屬的技術網站。首先，我們要做的是：買個專屬網址，然後，使用Markdown寫作，透過靜態網站產生器來生成內容。</p> <p><span style="font-size:28px;"><strong>我的網站黑歷史</strong></span></p> <p>就今日來說，開發者可以找到許多關於開發者寫文件的好處。在撰寫這篇專欄的時間點，iThome鐵人賽也已經進入第13屆完賽的階段，這是個很有意義的活動，誕生出許多高品質文章，還催生出不少技術書籍，為臺灣的中文技術書籍注入一股活水。</p> <p>由於擔任鐵人賽評審的關係，這陣子我剛從審閱文件地獄爬出來，每次估量參賽者文件時，我始終都回想最初是怎麼開始寫文件？差不多是2003年吧！那時，只是在個人電腦上架個基於PHP的BBS系統，透過包月制的ADSL，用免費網域銜接動態IP位址的服務，就這樣架設起我的技術網站了。</p> <p>很快地，有人覺得我寫的文件還不錯，然而，網站速度很慢，畢竟ADSL上下傳輸速率不對稱，別人的下載速度是受限於我的ADSL上傳，於是，我找了一家虛擬主機商，使用附贈的免費網址，架設基於PHP的Wiki系統，將文件重新整理為Wiki的形式。</p> <p>由於虛擬主機共享運算資源，當時使用的Wiki系統有時佔用過多運算，不久之後，被虛擬主機商警告耗用太多資源，後來心裡想：基本上，我不需要動態頁面（JavaScript那時還是未翻身的鹹魚），乾脆全改成純HTML檔案，用所視即所得的HTML編輯器來寫文件。</p> <p>不久之後，臺灣網路日益普及，部落格文化興起，我的網站流量也突破了單日萬人訪客數，沒想到突然遇上主機商停用免費網址的狀況。是的，我竟然都沒想過要買個專屬網址，雖然主機商給了我三個月緩衝時間，不過，更換網址畢竟太傷，免費網站停用之後，單日訪客數一下子腰斬。</p> <p>無論如何，後來網站繼續存活，然而，以HTML來儲存文件，讓內容維護越來越麻煩，那陣子正好Markdown興起，評估後決定用Markdown來寫文件，自己寫了程式，可設置樣版，將Markdown依樣版轉為HTML頁面，而樣版套用了<a href="https://bit.ly/3l8hBpU" target="_blank">Pure.CSS方案的Responsive Side Menu</a>，並整合了Google的code-prettify為程式碼著色等，於是，這些成為目前我網站頁面的生成方式。</p> <p>至於舊有的HTML檔案，我寫了另一個轉換器，試著抽取出必要內容來套用新樣版，不過，所視即所得HTML編輯器生成的HTML滿混亂的，因此，轉換後的文件在後續還是花了不少時間手動修正。</p> <p><span style="font-size:28px;"><strong>考慮專屬文件網站</strong></span></p> <p>每次看鐵人賽的文件時，若參賽者的水準不錯，我會試著找看看他有沒有自己的技術網站。用心的參賽者為了更能表達內容，除了會符合要求而在iThome邦幫忙發表，通常也會附上自己網站的連結，若參賽者水準不錯，卻沒有自己的網站，我都會覺得有點可惜。</p> <p>若已有寫作習慣，開發者可以考慮擁有專屬的技術網站，如果你正打算這麼做，就我過去近二十年的經驗而言，第一件該做的事不是選擇WordPress、Medium之類的平台服務，而是買個專屬網址。</p> <p>你可能不會像我這麼笨，一直使用免費的網址直到被停用，不過你可能會換平臺服務，與其後來再去煩惱流量重導的問題，不如一開始就有自己的網址，日後就算更換存放位置，只要能將內容架構重現，重新綁定網址，流量就自動導過去了。</p> <p>接著是決定寫作的格式，無論如何，請不要用所視即所得的HTML編輯器來寫文件，這會造成日後維護或轉移文件格式的麻煩，就開發者而言，使用Markdown格式是目前最佳的選擇，如果還沒有任何的偏好，請使用標準Markdown，因為可支援的內容管理系統、plugin、編輯器或程式庫等最多，甚至還有機會轉換為PDF、ePub等電子書格式。</p> <p>選用Markdown的另一個好處是，事先不用太多考慮外觀問題，寫作的環境是越單純越好，因為想表達的主體是內容，至於外觀，存在許多樣版或轉換器之類的方案，視你選擇的方案而定，甚至還有成套的佈景主題可以使用。</p> <p>至於文件要放在哪，取決於你還需要的額外功能，像是想使用哪個內容管理系統、資料庫等，以及預算的問題；然而，如果可以的話，找個能放HTML等相關靜態資源的地方就可以了，靜態資源的話，基本上，也不太需要煩惱下載流量，現在的虛擬主機或雲端方案在流量限制上都很寬鬆，真的不想花錢的話，放在GitHub也可以。</p> <p><span style="font-size:28px;"><strong>考慮靜態網站產生器</strong></span></p> <p>因為內容才是最重要的，網站只是個便於瀏覽的地方，放在上頭的資源越單純越好，就我個人經驗而言，就算是當年用所視即所得HTML編輯器寫文件之後，就幾乎沒煩惱過任何後端維護的問題。</p> <p>當年自己寫Markdown轉HTML，只是為了迴避虛擬主機運算資源共享的問題，後來在技術圈裡，有人開始推廣靜態網站產生器，我第一次看到時，心想這不就是我現在網站的運作模式嗎？</p> <p>現今靜態網站產生器的選擇非常多，各主流語言都有相關的方案，而且，多半都有許多佈景主題可以選擇，如果單純想撰寫文件，可依據自己組織文件的架構、風格，先看看有無適合的佈景主題——這會比選哪個語言來實作重要，在最簡單的情況下，安裝好產生器與佈景主題、建個專案，之後就可以寫文件、生成、發布網站了。</p> <p>當然，身為開發者總是會想修修改改，這時可選擇自己熟悉語言的實作方案，看相關佈景主題的活躍度，例如，近來想重新整理網站的文件與風格，因為對Go語言算有一定程度的熟悉，就選擇Hugo，並結合、修改了Relearn佈景主題，<a href="https://bit.ly/3cP8iXr" target="_blank">弄了與目前網站相近風格的新版面</a>。</p> <p>修改佈景主題，甚至是修改產生器本身？這樣不是在寫作以外的事情分心？不會的！調整完成後，幾乎不用理它們，當年我寫了Markdown轉HTML，也只是單純使用，幾乎不需去調整它。</p> <p>當年之所以必須自行寫Markdown轉HTML，主要是因為尚未興起靜態網站產生器，所以，不得不自行整合Markdown、Pure.CSS、code-prettify等，那時的程式是用Java寫出來的，如果你有興趣了解，<a href="https://bit.ly/3DYv4rW" target="_blank">可參考Markdown2Template這個repo</a>。</p> <p>今日各種靜態網站產生器，基本上，都已經將相關需求整合在一起，但身為開發者，自己寫靜態網站產生器依舊是選項，而且出發點並不困難。如果有興趣，你可以參考〈<a href="https://bit.ly/3CQd4yk" target="_blank">Writing a small static site generator</a>〉，作者示範如何用Python來寫靜態網站產生器，其中也談了些Frontmatter等現代靜態網站產生器會用到的概念。</p> <p><span style="font-size:28px;"><strong>內容的掌控權</strong></span></p> <p>擁有自己的技術網站，才能擁有對內容的掌控權，也就是不會因為平臺服務等因素，導致內容的消失，或者是轉移平臺服務時發生困難；而對內容有掌控權，也包含了內容不被寫作時採用的技術所綁架，所以，這也是我推薦Markdown的原因──就目前而言，它在各種技術間轉移最為方便，就算只是開啟Markdown檔案本身，也依然能夠閱讀內容。</p> <p>對內容有掌控權還包含了開發者自身，不用分神去處理網站等維護問題。總而言之，雖然是架設技術網站，然而技術上越簡單、越單純，在寫作時越能讓你集中心力的方案，就是最好的選擇。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%8A%80%E8%A1%93%E7%B6%B2%E7%AB%99">技術網站</a></div><div class="field-item even"><a href="/tags/markdown">Markdown</a></div><div class="field-item odd"><a href="/tags/%E9%9D%9C%E6%85%8B%E7%B6%B2%E7%AB%99%E7%94%A2%E7%94%9F%E5%99%A8">靜態網站產生器</a></div><div class="field-item even"><a href="/tags/ithome%E9%90%B5%E4%BA%BA%E8%B3%BD">iThome鐵人賽</a></div></div></div>
2021/12/23 07:00作者林信良https://www.ithome.com.tw/voice/148476
Fintech周報第205期：全盈支付與全支付2大零售起家電支品牌，宣布策略結盟共享彼此合作通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; color: inherit; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">1218～1224</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 電子支付 </span> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 全盈支付 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 全支付 </span></strong></span><span style="vertical-align: top;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">全盈支付與全支付2大零售起家電支品牌，宣布策略結盟共享彼此合作通路</span></strong><br /><span style="vertical-align: top;">由全家便利商店、玉山銀行、拍付國際資訊公司共同合資成立的「全盈支付」，及全聯百分之百出資的「全支付」，雖未正式取得專營電子支付機構營業執照，但，雙方近期共同發布重磅消息，要以通路共享的策略結盟，讓雙方各自的電子支付工具可跨通路付款，以合作代替競爭關係。未來，雙方用戶可拿著自家支付工具到對方的合作商店付款。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">目前，由財金公司建置的電子支付跨機構共用平臺，提供電支帳戶可與任何銀行帳戶互相轉帳，電支帳戶間也可互轉，下階段將配合電支機構系統開發進度，上線繳費、繳稅等跨機構服務。不過，要真正做到電支業者透過共用平臺提供跨電支機構購物，如何計算合作通路投入成本，來訂定商業條件、分潤方式，是推動上的挑戰。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">全盈支付、全支付的策略結盟，也代表著雙方開放自有的支付通路，來擴大彼此的影響力，也將共享全家便利超商與全聯等大型零售通路，以及各自未來的合作商家。在共享支付通路作法上，合作店家仍需個別與全盈支付或全支付簽約與結算，透過2家電支業者間的資訊直接轉傳，來節省與合作店家重複串接金流的成本。未來，雙方合作範圍將逐步拓展到日常生活連鎖餐飲、百貨購物、飲料店、遊樂園、交通等支付場景。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top;">根據時程，全盈支付、全支付2家業者必須在12月24日前向金管會提出營業執照申請。2家業者也表示，確切業務合作內容，待正式取得金管會核發的營業執照後，將依照金管會核准範圍，以及電子支付機構管理條例等相關法令的規範來辦理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 巴克萊銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 私有雲 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> HPE GreenLake </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">巴克萊銀行全球基礎架構將搬上HPE GreenLake私有雲平臺，來執行數千項應用與十萬多項任務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%962_%20Barclays_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Barclays.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">HPE近期宣布英國巴克萊銀行（Barclays）將把全球基礎架構搬上HPE GreenLake私有雲平臺，以執行10萬多項工作任務。在這項合約下，巴克萊銀行將把舊式系統搬上以HPE GreenLake邊緣到雲端（edge to cloud）平臺架構私有雲，以推動這家銀行的混合雲及數位轉型策略。未來這朵巴克萊全球私有雲將執行數千項應用，以及10萬多項任務，涵括虛擬桌機基礎架構（virtual desktop infrastructure，VDI）、SQL Server資料庫，以及Windows和Linux系統。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">HPE Pointnext 服務部門會與巴克萊合作將舊式系統上雲工作，日後包括私有雲的管理、安全修補、功能更新及最佳化也都由HPE負責。未來巴克萊只需依使用資源付費，相關採購、擴充、使用量、或安全控管設定都可直接在平臺上操作。<a href="https://www.ithome.com.tw/news/148429">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技發展路徑圖 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會年底將發布金融機構間資料共享要點，規畫3種情況訂定資料共享範圍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會預計在今年底對外發布金融機構之間資料共享要點，金管會規畫以3種情況來訂定這份資料共享要點。金管會金融科技發展與創新中心副執行秘書林羲聖表示，第一，金控底下各子公司之間的資料共享，第二是非金控，但，屬於同一個金融集團底下各公司之間的資料共享，最後是針對業務合作的金融機構之間的資料共享。他提到，資料共享要點將訂出更為詳細的資料共享範圍，包括客戶的基本資料，甚至是較為機敏的個資或信用資料，但仍僅限於金融機構間共享。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 外匯交易結算 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">富國銀行與匯豐銀行將利用區塊鏈技術進行外匯交易結算</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%963_%E5%AF%8C%E5%9C%8B%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%20Wells%20Fargo.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">富國銀行（Wells Fargo）與匯豐銀行（HSBC）近期宣布達成一項<a href="http://newsroom.wf.com/English/news-releases/news-release-details/2021/Wells-Fargo-and-HSBC-Establish-Bilateral-Agreement-to-Settle-FX-Transactions-Through-a-Blockchain-based-Solution/default.aspx">協議</a>，將運用匯豐銀行的區塊鏈技術平臺FX Everywhere，來快速完成兩家銀行帳戶之間的貨幣匯款結算。根據協議，富國銀行與匯豐銀行將共同使用一個結算分類帳來處理美元、加拿大元、英鎊、歐元的跨境外匯交易，未來，更計畫擴展平臺來結算更多種類的貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">雙方表示，使用區塊鏈技術進行跨境外匯結算交易，將可提升結算過程的透明度，同時，降低外匯結算風險與處理外匯交易的相關成本。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> NFT 熱潮 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Nike </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位產品 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Nike收購NFT工作室RTFKT，以延伸自家在數位領域的能力與足跡</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">知名運動品牌Nike近期宣布，已買下了近來熱度很高的NFT工作室RTFKT，以延伸Nike於數位領域的能力與足跡，儘管外界非常好奇RTFKT的身價，但雙方並未公布交易金額。RTFKT為2020年1月由3名創作者成立的新公司，結合了遊戲引擎、不可替代代幣（NFT）、區塊鏈驗證及擴增實境等應用，創作了各種虛擬運動鞋與數位產品。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">儘管雙方未揭露交易價格，但RTFKT已在今年5月募集800萬美元，當時身價約為3,330萬美元。Nike執行長John Donahoe表示，該公司所併購的是一個非常有才華的團隊，Nike打算繼續投資RTFKT這個品牌，推動該品牌的創意與社群，同時延伸Nike的數位足跡與能力。<a href="https://www.ithome.com.tw/news/148382">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> My Data </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山證券 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山證券串接MyData平臺資料，讓民眾可線上調整授信額度</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%964_%E7%8E%89%E5%B1%B1%E8%AD%89%E5%88%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E8%AD%89%E5%88%B8.jpg" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">國發會推動的MyData個人化資料自主運用平臺，在今年初正式啟動服務，並與金管會擴大合作，開放適用範圍，讓MyData平臺能夠介接證券、保險等相關服務。近期，玉山證券宣布串接MyData平臺，讓證券顧客可透過MyData平臺，申請財產清單作為財力證明，進行線上授信額度調整，乃國內證券商首創。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分驗證 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融三業 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">政大明年Q2將提出金融通用數位身分驗證發展建議</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會已委外政治大學金融科技研究中心，來研究單一數位金融服務管理規範的可行性，先聚焦各業者需求最大的多元數位身分驗證，進行金融場景、技術面、法規面的盤點與研究。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">首先，政大盤點了身分認證在金融場景的應用，在銀行業像是多元身分驗證資料串接、運用電子簽章簽署所有紙本文件、開放法人能使用電子或數位簽章及視訊方式來開戶。而保險業，比如行動投保客戶簽名事宜、視訊投保等。在證券與期貨業部分，則像是建立第三方平臺開放業者共用客戶KYC資料、基金銷售平臺串接電支機構的身分認證、開放電支帳戶在境外基金的申購與贖回等。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">在技術面，涵蓋了身分確認機制、電子簽章或數位簽章、OIDC（OpenID Connect ）認證、Face OTP、防詐欺機制、生物特徵、個人資料檔案維護、交易安全設計、統一API標準與安全機制。在法規面向，則要深入研究電子簽章法、金融機構作業委託他人處理內部作業制度及程序辦法，以及銀行、保險、證券各業別的細部規範。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">政治大學金融科技研究中心主任王儷玲表示，政大將聯合相關業者訂定出這一套數位金融服務管理規範，並針對現行規範提出修正建議，目標是建立起通用的身分驗證與電子簽章機制。她預告，此研究案將在2022年4月進行期中報告發表，來揭露最新研究進度。<a href="https://www.ithome.com.tw/news/148361">（詳全文）</a></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt; vertical-align: top;">圖片來源／</span><span style="font-size: 14pt;">Barclays</span><span style="font-size: 14pt;">、</span><span style="font-size: 14pt;">Wells Fargo、</span><span style="font-size: 14pt;">玉山證券</span><br /> 責任編輯／李靜宜<br /><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1</strong><strong style="vertical-align: top;">. </strong><strong>樂天國際銀行取得ISO 27001資訊安全管理系統標準、BS 10012個人資料保護雙項國際標準驗證</strong><br /><strong style="vertical-align: top;">2.</strong><strong style="vertical-align: top;"> </strong><strong>為了與Line Pay區分服務提供公司，電子支付Line Pay Money將更名為一卡通Money，服務與操作流程仍維持現狀</strong><br /><strong style="vertical-align: top;">3.</strong><strong style="vertical-align: top;"> </strong><strong>摩根大通允許員工以WhatApp等未經授權的通訊平臺進行證券業務交流，繞過必須保存通訊記錄的規定，遭罰2億美元</strong><br /><strong style="vertical-align: top;">4. </strong><strong>多家證券客戶遭冒名下單港股，金管會將要求證券期貨業者強化3大防護措施</strong><strong style="vertical-align: top;"> </strong><strong style="vertical-align: top;"> </strong><br /><strong style="font-size: 14pt; vertical-align: top;">資料來源：iThome整理，2021年12月</strong></p> </div></div></div>
2021/12/22 18:16作者李靜宜https://www.ithome.com.tw/news/148535
臺灣微軟推Surface Go 3，主打教育市場與第一線工作者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣微軟Surface家族又有新成員加入，二合一平板Surface Go 3，搭載Windows 11與10.5吋螢幕，不含鍵盤底座，裝置重量只有544公克，強調適合攜帶使用，鎖定教育市場及第一線的工作者。</p> <p>相較於先前的Surface Go 2，Surface Go 3在軟硬體均有革新，除了作業系統從Windows 10改為Windows 11，內建Microsoft Teams，處理器從英特爾第8代Core m3處理器改為第10代Core i3，採用10.5吋的PixelSense觸控螢幕，如同前代產品，Surface Go 3也採二合一設計，只要搭配鍵盤底座就能化身為筆電的作業模式。</p> <p>Surface Go 3內建4GB或8GB LPDDR3記憶體，64GB或128GB儲存空間，官方宣稱平板電腦模式下，續航力可達11小時，並支援Windows Hello臉部辨識及TPM安全晶片。同時為了支援視訊會議、遠距學習，該款平板內建500萬畫素的前相機，以及800萬的後置相機。</p> <p>臺灣微軟Surface事業群副總經理周文英表示，Surface Go 3的可攜性，搭配觸控螢幕與微軟手寫筆，可滿足疫後混合辦公的需求，除了適合一般使用之外，針對教育市場及第一線的工作者，微軟和第三方業者合作，提供軟硬體組合的完整方案給商用市場。以教育市場為例，結合MDM提供行動裝置管理，以及Microsoft Learn與Minecraft的教育資源，搭配第三方業者合作的教材內容，提供完整方案給教育市場。</p> <p>Surface Go的10.5吋觸控平板及輕巧的設計，主要針對蘋果iPad而來，特別是目前iPad已在教育學習，以及餐飲服務、製造業等工作場所已有不低的能見度，微軟憑藉著Surface Go，結合第三方夥伴，挑戰iPad的市場地位。</p> <p>臺灣微軟也在展示Surface Go與第三方夥伴合作下，依不同場景的商業應用，在醫療院所使用的數位床頭卡，在咖啡店使用的POS系統，製造現場使用的安全巡檢，以及用於非接觸、遠端簽署合約使用的防偽數位簽核等等。</p> <p>在醫療方面，長庚醫療財團法人採用緯謙科技所開發的數位床頭卡，有別於傳統醫院在病床前的床頭卡使用紙張紀錄病人的訊息，目前在台北長庚醫院使用的數位床頭卡，內部其實是一臺Surface Go平板電腦，取代紙本的床頭卡，螢幕顯示該床病患的個人訊息，專責照護的醫師及護士、照護資訊等等，床頭卡顯示的資訊統一由護理站管理，還可搭配感應器模組，以NFC存取識別卡片的資訊。(圖片來源：微軟提供)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-%E6%95%B8%E4%BD%8D%E5%BA%8A%E9%A0%AD%E5%8D%A1.jpg" style="width: 600px; height: 407px;" /></p> <p> </p> <p>雲想科技則開發防偽數位簽核SelfieSign，可應用在保險合約的遠距簽核上，在疫情影響之下，民眾與保險業者在沒有面對面的情形下，如何讓民眾在遠端簽署保險服務，並確保簽核者的身分？ SelfieSign可讓民眾在Surface Go平板電腦上以手寫筆，在螢幕上簽署保險合約時，同時開啟前置鏡頭、錄音功能，錄下民眾簽署合約的影像及聲音，整合為特殊的檔案後，連同簽署的數位合約一併寄給保險業者，確保簽署者的身分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-SelfieSign.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>另一項安全巡檢應用，以平板電腦結合第三方開發的安全巡檢系統，讓巡檢人員攜帶Surface Go巡行製造現場，可以手寫或相機拍照的方式，紀錄各種巡檢資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Surface%20Go%203%20%E6%83%85%E5%A2%83%E6%87%89%E7%94%A8-%E8%87%AA%E5%8B%95%E5%8C%96%E5%B7%A1%E6%AA%A2.jpg" style="width: 600px; height: 406px;" /></p> </div></div></div>
2021/12/22 18:33作者蘇文彬https://www.ithome.com.tw/news/148536
【資安日報】2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，近日波及各類應用系統的Log4Shell漏洞，許多IT人員可能找尋存在相關漏洞的Log4j而疲於奔命。針對這種現象，近期多個資安專家也疾呼，組織應重視「軟體材料清單（SBOM）」的維護，美國網路安全暨基礎設施安全局（CISA）也趁機舉辦SBOM-a-Rama研討會，來推廣這項工作。這樣的元件管理概念確實很理想，但也有資安人員認為，SBOM只是管理這些元件的第一步。</p> <p>日前有不少資安專家提出警告，做為入侵的管道，許多攻擊者購買能存取目標組織內部網路的帳號及密碼，但究竟這些帳密從那裡取得？有資安業者揭露近期受到買家歡迎的暗網市集2easy，但值得留意的是，駭客不若以往以量取勝，一次上架數百萬、數千萬用戶的資料（資料的有效性也難以判斷），而是以竊密軟體從受害電腦裡，從瀏覽器等應用程式偷取各式的帳密，還能藉由市集提供的平臺讓買家挑選，而且還很便宜（低於5美元），這樣的態勢，讓買家很有可能以極為低廉的成本，買到受害者的信用卡資料、已儲存應用系統的帳密等可被用於攻擊行動的資料，而成為大型攻擊行動的入侵管道。</p> <p>遊戲公司Ubisoft傳出因為遭到網路攻擊，旗下熱門遊戲《舞力全開（Just Dance）》的玩家資料外洩。但這次事故值得留意的原因，在於該公司仍在找尋配置不當的問題來源，為何會如此？疑似與該公司1年半以來已有不少員工出走有關。雖然配置不當造成的原因仍不得而知，但在此起事故發生之前，已有前員工透露，他離職後曾因為公司裡沒有人知道如何處理某些問題，而被請回去協助的情形。即使組織有了各式的規範和要求，但人力資源的管理不當，也可能衍生資安問題。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://ke-la.com/2easy-logs-marketplace-on-the-rise/"><span style="color: rgb(0, 0, 0);">暗網市集2easy兜售60萬臺電腦遭竊的帳密</span></a><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture5.png" style="width: 300px; height: 123px; float: right;" /></strong></h4> <p>暗網情報業者Kela指出，自2018年開始運作的暗網市集2easy，自去年開始快速成長，近期更受到許多網路犯罪者的歡迎，原因是該市集提供的價格低廉，是俄羅斯市場行情的三分之一，且該市集的使用者操作介面功能強大，可讓買家查看竊密軟體感染的電腦。研究人員表示，他們看到該市集半數的賣家以RedLine竊密，但也有賣家搭配Raccoon Stealer、Vidar、AZORult等其他竊密軟體使用。Kela指出，初期存取攻擊目標管道的市場正在成長，且與勒索軟體攻擊直接相關，因此這樣的市集動態值得關注。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/800k-wordpress-sites-still-impacted-by-critical-seo-plugin-flaw/"><span style="color: rgb(0, 0, 0);"><strong>80萬WordPress網站曝露於SEO外掛程式重大漏洞風險</strong></span></a></h4> <p>資安業者Automattic指出，名為All in One SEO的WordPress網站外掛程式，開發者日前修補了極為容易被利用的漏洞CVE-2021-25036、CVE-2021-25037，攻擊者可利用前者提升權限，而後者則能用於發動SQL注入攻擊。但修補程式推出2週後，研究人員發現仍有超過82萬個WordPress網站使用舊版外掛程式，而曝露於上述漏洞的風險之中。Automattic表示，攻擊者只要取得低權限用戶的帳戶（如訂閱者），就能利用，而使得這2個漏洞極為危險。</p> <h4><strong><a href="https://www.cadosecurity.com/the-continued-evolution-of-abcbot/"><span style="color: rgb(0, 0, 0);">殭屍網路Abcbot鎖定中國雲端業者代管的Linux伺服器</span></a></strong></h4> <p>資安業者Cado Security指出，殭屍網路Abcbot在近期的攻擊行動中，鎖定的目標為阿里、百度、騰訊、華為等中國雲端服務業者所代管的Linux虛擬機器，這些主機往往使用弱密碼，或是執行缺乏修補的應用程式，而成為容易被入侵的目標。一旦Abcbot成功入侵後，便會部署Bash程式碼，並停用SELinux防護機制，為攻擊者建立後門，接著會尋找其他能被感染的主機。研究人員認為，攻擊者會鎖定中國雲端業者代管的Linux虛擬機器下手，主要是這些業者普遍缺乏相關的異常警示機制，而讓攻擊行動較為容易進行。</p> <h4><strong><a href="https://blog.pradeo.com/pradeo-identifies-app-joker-malware-google-play"><span style="color: rgb(0, 0, 0);">騙錢安卓App暗中訂閱高價服務，已有50萬人上當</span></a></strong></h4> <p>資安業Pradeo者在12月16日指出，他們發現Google Play市集上名為Color Message的安卓應用程式，內含騙錢軟體（Fleeceware）Joker，會模擬用戶點選螢幕上的內容，且會攔截簡訊，然後擅自替受害者訂閱高額付費服務，為了讓受害者不易刪除，安裝完成後還會隱藏圖示，在Google獲報下架前已有50萬人安裝。研究人員表示，Joker的開發者刻意隱藏其行蹤而難以發現，且最近2年出現在數百個應用程式裡，他們呼籲用戶即便是從市集下載App，最好從用戶評價等方面來進行評估。</p> <h4><strong><a href="https://www.zdnet.com/article/ubisoft-confirms-just-dance-data-breach-amid-developer-exodus/"><span style="color: rgb(0, 0, 0);">遊戲公司Ubisoft驚傳遭到攻擊，舞力全開玩家資料遭到外流</span></a></strong></h4> <p>遊戲公司Ubisoft於12月21日發出公告指出，他們的IT基礎設施遭到網路攻擊，攻擊者是針對旗下的熱門遊戲《舞力全開（Just Dance）》而來。這起事件發生的原因，該公司認為是配置不當造成，而他們還在找尋有問題的配置並儘速修復，但已經導致未經授權的人士能夠用來複製部分玩家的資料。Ubisoft並未透露受害人數的規模，但表示已發出通知給受影響的玩家。ZDNet認為，這起配置不當很可能與近日Unisoft爆發離職潮有關。</p> <h4><strong><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-november-2021-439934"><span style="color: rgb(0, 0, 0);">勒索軟體Pysa攻擊大幅增加</span></a></strong></h4> <p>針對近期的勒索軟體威脅態勢，資安業者NCC Group提出他們的觀察，在2021年11月，勒索軟體Pysa（亦稱Mespinoza）的攻擊行動大幅增加50%，首度超過Conti，而與LockBit成為這個月最嚴重的2大勒索軟體威脅。再者，該公司亦提及，工業領域仍是駭客偏好的目標，但鎖定汽車、房屋、娛樂、零售業的攻擊也有所增加，超過科技產業。</p> <h4><strong><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-november-2021-439934"><span style="color: rgb(0, 0, 0);">針對不付錢的受害者，勒索軟體駭客出新招：出賣受害組織的入侵方法</span></a></strong></h4> <p>資安業者NCC Group公布對於2021年11月的勒索軟體威脅態勢分析，當中提及最值得觀察的勒索軟體是Everest，雖然對於不願付贖金的受害組織，他們也要脅會外洩機密資料，但實際上，該組織從11月開始，開始出售受害組織IT基礎設施的存取帳密。這些受害組織包含了阿根廷政府、秘魯財政部、巴西警方等。研究人員認為，這樣的手法可能會在2022年有更多駭客組織仿效。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://thehackernews.com/2021/12/new-mobile-network-vulnerabilities.html"><span style="color: rgb(0, 0, 0);">新的行動網路漏洞影響2G至5G 網路</span></a></strong><img alt="" src="https://s4.itho.me/sites/default/files/images/acsac21-49-fig3.jpg" style="width: 250px; height: 299px; float: right;" /></h4> <p>紐約大學阿布扎比分校的研究人員指出，他們發現1項影響自2G時代就存在的行動網路漏洞，攻擊者可藉由低成本的設備，發動阻斷服務（DoS）與中間人（MitM）攻擊。這項漏洞與基地臺之間的電話與資料傳輸過程有關，研究人員表示，雖然這些訊號在交換的過程中受到加密保護，但內容並沒有進行驗證，而使得攻擊者能強制設備將訊號傳送到惡意基地臺，且因為來源基地臺無法對量測報告出現的錯誤進行處理，而使得這種攻擊很可能不會被發現。</p> <h4><strong><a href="https://www.securityweek.com/facebook-patches-vulnerability-exposing-page-admin-identity"><span style="color: rgb(0, 0, 0);">臉書修補曝露網頁管理員身分的漏洞</span></a></strong></h4> <p>年僅19歲的尼泊爾資安研究人員Sudip Shah，發現安卓版臉書App中，存在不安全的直接物件引用（IDOR）漏洞，恐導致網頁管理員的身分曝光。這項漏洞影響啟用直播影片的臉書網頁，研究人員認為，大多數臉書的頁面可能都具備相關功能而受到影響。臉書10月5日獲報後於同月21日修補，並在11月5日給予這名研究人員4,725美元的抓漏獎勵。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.forrester.com/blogs/log4j-open-source-maintenance-and-why-sboms-are-critical-now/"><span style="color: rgb(0, 0, 0);">Log4Shell漏洞突顯軟體材料清單議題</span></a></strong></h4> <p>引起全球震憾的Log4Shell漏洞，因為Log4j存在於許多軟體專案裡，而使得IT人員可能疲於奔命找出需要修補的元件。研究機構Forrester指出，這起漏洞事件突顯軟體材料清單（SBOM）的重要性，許多資安人員表明，精準的SBOM能有助於組織快速找出這種無所不在的元件，並予以修補。適逢美國網路安全暨基礎設施安全局（CISA）的推廣SBOM活動，他們認為組織應趁著本次事件，儘速為軟體專案導入SBOM。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/whitesource-launches-free-tool-to-detect-and-remediate-log4j-vulnerabilities-301445546.html"><span style="color: rgb(0, 0, 0);">資安業者提供免費的Log4Shell漏洞偵測工具</span></a></strong></h4> <p>因Log4j存在於許多軟體套件裡，使得重大漏洞Log4Shell的修補作業極為困難。對此，開源軟體管理解決方案業者WhiteSource自12月15日宣布，提供免費的Log4Shell漏洞CLI檢測工具Log4jDetect，目前已更新至1.2.1版，IT人員可從GitHub下載這項工具，來找出開發專案中存在的CVE-2021-44228、CVE-2021-45046、CVE-2021-45105，以及CVE-2021-4104等Log4j漏洞，該檢測工具也會呈現直接與間接的相依性，並顯示在Maven、Gradle等套件管理器裡，是否有修補完成的套件能夠更新。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> </div></div></div>
2021/12/22 15:04作者周峻佑https://www.ithome.com.tw/news/148522
CDP平臺吹進臺灣，iKala資料科學家點出2大推力加速企業更需整合顧客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">行銷科技圈近年崛起的顧客<font style="box-sizing: border-box; vertical-align: inherit;">數據平臺</font>（CDP），也開始吹進臺灣，iKala資料科學家林辰駿更觀察，疫情帶動的企業數位轉型，驅動更多顧客資料分析的需求出現，再加上第三方Cookie逐漸退場，企業對第一方數據的蒐集需求也更加迫切，這是帶動CDP在臺灣崛起的推力。</p> <p dir="ltr">CDP是近年是行銷科技業的明星產品，知名<font style="box-sizing: border-box; vertical-align: inherit;">CDP學院調查</font>，計畫在2021年採用或已經導入CDP的企業超過7成，市調公司ReportLinker更預估，CDP市場規模5年後將翻5倍，達到153億美元。</p> <p dir="ltr">參與過CDP平臺開發的林辰駿指出，造成CDP採用加速的關鍵有二，一是疫情的來襲，為企業數位轉型添了一把火，驅動更多顧客資料分析的需求出現。由於CDP的資料整合功能，能讓企業取得更完整的顧客資料，掌握顧客偏好以進行精準行銷，因而有更多企業要採用CDP，來強化獲客與留客。</p> <p dir="ltr">再加上，隨著第三方Cookie逐漸退場，企業對第一方數據的蒐集需求也更加迫切。他解釋，企業過去較聚焦第三方數據的整合，也就是透過用戶瀏覽器或裝置的身份識別ID，蒐集第三方數據來執行廣告行銷活動。然而，科技巨頭日益嚴格的資料隱私政策，讓第三方數據的蒐集更加困難，「這個趨勢讓企業重新思考，該如何重新經營顧客關係、蒐集顧客數據？」</p> <h3 dir="ltr"><span style="color:#FF8C00;">CDP強項是顧客數據整合，整合第三方自動化行銷工具更可達到精準行銷</span></h3> <p dir="ltr">CDP主要功能是數據整合能力，可將企業散落在多個系統的數據，彙整到單一平臺中，「解決資料孤島的問題。」林辰駿以iKala接觸的金融業者來說明CDP的好處，由於金融業者販售的金融商品眾多，且每個商品都有對應蒐集的顧客資料，不同商品的顧客採用資料，就分散在多個系統中。這類情境，就適合透過CDP將數據彙整，來更完整檢視單一顧客與多項產品的互動歷程。</p> <p dir="ltr">不過，市場常見的CDP，大多都採SaaS服務，企業必須將自己位於地端、雲端甚至是外部數據彙整到CDP中，才能重新整合與梳理後，再根據行銷目的進行精準行銷。林辰駿指出，整合資料的過程，通常需要業務端與IT技術人員合作，釐清數據在企業中存放位置，或是根據需求重新蒐集相關數據，才能匯入。</p> <p dir="ltr">但是，金融業仍有機敏資料上雲的疑慮，對涉及個資或較敏感的資料，例如顧客的轉帳交易、個人資產數據等，企業得進行資料加密處理才能上雲。但林辰駿說明，CDP主要蒐集的顧客數位足跡，大多是基於顧客的身份識別碼來進行資料蒐集與媒合，這類資料就不屬於機敏資料，較不會有上雲疑慮。</p> <p dir="ltr">企業整合數據後，下一步，則是要提高廣告行銷活動的成效，需要將顧客分眾來進行精準行銷。林辰駿指出，現有CDP不一定內建這類功能，廠商多半得合作串接其他Martech廠商的服務，比如顧客數據分析與行銷自動化（Marketing Automation，MA）工具，才能讓企業更容易執行如再行銷、優惠券發送等任務。</p> <p dir="ltr">不過，林辰駿觀察，國外CDP平臺串接第三方自動執行廣告行銷流程的能力，已經相當成熟，而且，運用這些工具執行活動期間的數據，也都會回頭彙整到CDP中，讓企業完整掌握廣告行銷的流程與成效。</p> <p dir="ltr">除了整合數據，林辰駿指出，CDP的另一大特色，是能提供使用者友善的介面，讓非資訊人員也能藉由容易操作的介面，降低使用數據的門檻，「讓行銷人員可以用CDP，更快、更精準的找出溝通受眾，同時提升跨部門資料分析的效率，也能透過多項指標，快速觀察行銷成效。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">臺灣企業CDP採用觀察：疫情後更多企業擁抱數位行銷，驅動顧客數據整合需求</span></h3> <p dir="ltr">林辰駿也接觸過一些採用CDP的企業，如電商、零售或是線上教育業者都因會員經營需求而採用。除了大企業要導入或自建CDP，也有越來越多中小企業要採用。他也觀察到，更多企業開始有匯入外部第三方數據的需求，比如匯入Google Ads Data Hub數據，或是臉書的公開社群行為數據。</p> <p dir="ltr">不只B2C企業，B2B企業也需要整合客戶資料。尤其，去年疫情爆發後，臺灣許多B2B企業開始導入數位行銷工具，轉而以官網與社群媒體來獲客，行銷數位化帶來了更多數據整合需求，林辰駿指出，比如客戶在網路上的瀏覽歷程、客服諮詢數據、過往交易資料等，「雖然數據量不大，但還是需要CDP這類平臺來整合。」</p> <p dir="ltr">從市場趨勢的變化來看，林辰駿觀察，臺灣這股CDP需求，吸引了不少國外業者來臺搶市場，包括Salesforce、SAP、Oracle、微軟、Adobe等，也有不少本土CDP業者崛起，「臺灣市場的CDP廠商尚未達到飽和，但在持續收斂當中。」</p> </div></div></div>
2021/12/22 17:38作者翁芊儒https://www.ithome.com.tw/news/148405
Speedtest：Starlink使用者增加導致2021Q3連線速度下降
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路測速網站<a href="https://www.speedtest.net/insights/blog/starlink-hughesnet-viasat-performance-q3-2021/">Speedtest</a>針對興起的衛星網路進行評比，透過2021年第二、三季的資料，來比較全球衛星網際網路的效能，還有衛星網際網路與全球固網速度的差異。</p> <p>衛星網路供應商最近動作頻頻，SpaceX Starlink不只在許多新國家和地區拓展服務之外，Viasat也計畫收購Inmarsat，而究竟目前衛星網路實際提供的的速度為何，Speedtest揭露了多個國家的速度資料。</p> <p>全球目前主要有三家衛星網路供應商，Starlink、HughesNet以及Viasat。以美國來說，2021年第三季與第二季的整體衛星網路效能下降，Speedtest所提供的資料顯示，Starlink的中位下載速度，就從97.23 Mbps下降到了87.25 Mbps，Speedtest提到，這個現象可能是因為Starlink新增許多使用者的關係。</p> <p>HughesNet提供的下載速度則遠不及Starlink，下載速度只有19.30 Mbps，而Viasat則緊接在後，下載速度為18.75 Mbps。第三季Starlink與美國全部固網所提供的中位下載速度為119.84 Mbps，相差32.59 Mbps。Speedtest表示，Starlink的中位上傳速度為13.54 Mbps，與固網所提供的中位上傳速度18.03 Mbps相去不遠，而HughesNet以及Viasat的中位上傳速度，則分別為2.54 Mbps和2.96 Mbps。</p> <p>在延遲上，固網的延遲最低，僅有15 ms，而Starlink的中位延遲為44 ms，HughesNet和Viasat的延遲則遠高於前兩者，分別是744 ms和629 ms。由於Starlink是唯一一家低軌道（LEO）衛星網路供應商，而Viasat和HughesNet則是使用更高的地球同步軌道，因此Starlink延遲中位數硬是比競爭對手少上一個量級。</p> <p>不過，Starlink的中位數下載速度，在美國304個郡各有不同，甚至差異高達100 Mbps，新墨西哥州聖達菲郡擁有最快中位下載速度146.58 Mbps，而密西根州德拉蒙市則只有46.63 Mbps，但因為FCC規定最低的速度為25 Mbps，因此仍在基準之上。</p> <p>Starlink在其他國家的表現，與在美國境內的情況相去不遠，在澳洲，Starlink仍然明顯優於Viasat，中位數下載速度為138.12 Mbps，上傳速度達22.63 Mbps，但是由於澳洲固網中位下載速度僅有51.17 Mbps，因此Speedtest提到，Starlink在澳洲可以成為有吸引力的固網替代方案。不過在延遲上，Starlink的中位延遲為44 ms，而固網為10 ms。</p> <p>其實不只澳洲，在比利時、巴西、德國、英國、紐西蘭和加拿大，都有與澳洲相似的情況，Starlink在2021年第三季所提供的中位下載和上傳速度，都高於當地固網的速度，特別是幅員廣闊的國家，在很多地區沒有固網服務，因此Starlink便會成為極具吸引力的選項。但Starlink在美國和澳洲，都有因為使用者人數增加，導致第三季較上一季速度緩慢的情況發生，這點值得使用者特別注意。</p> </div></div></div>
2021/12/22 16:05作者李建興https://www.ithome.com.tw/news/148523
麥當勞把個人化平臺Dynamic Yield轉手賣給萬事達卡公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20211221005354/en/" target="_blank">麥當勞（McDonald's）與萬事達卡公司（Mastercard）周二（12/21）宣布</a>，麥當勞已同意把於2019年收購的個人化平臺Dynamic Yield出售給萬事達卡公司，預計於明年上半年完成交易。雖然雙方並未公布財務細節，但<a href="https://www.cnbc.com/2021/12/21/mcdonalds-to-sell-digital-tech-startup-dynamic-yield-to-mastercard-.html" target="_blank">外傳此一交易的規模超過3億美元</a>。</p> <p>成立於2011年的Dynamic Yield為一個人化的消費者經驗平臺，透過機器學習技術並根據消費者的購買紀錄、瀏覽紀錄或其它特性，來提供個人化的推薦服務，全球有超過400個品牌為該平臺的客戶，包括零售、金融、旅遊及餐館等。</p> <p>麥當勞在買下Dynamic Yield之後，也利用該平臺的技術於多個市場提供點餐Kiosk及得來速的個人化服務，此外，在短短的3年內，Dynamic Yield的營收也翻了一倍。</p> <p>至於萬事達卡公司則表示，未來將利用Dynamic Yield技術提供更多的個人化服務予客戶及合作夥伴，不管是在消費者的購物上，或是協助企業發展業務，建立一個統一的消費者互動及忠誠度中心將進一步擴展萬事達卡網路的價值。</p> </div></div></div>
2021/12/22 14:26作者陳曉莉https://www.ithome.com.tw/news/148521
Google Maps拍到美國B-2隱形轟炸機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Maps可以找到許多有趣的東西，像是已逝長者在世最後身影、軍事基地、失落文明遺跡、神祕大地圖案等等。<a href="https://www.reddit.com/r/Damnthatsinteresting/comments/rkl236/a_stealth_bomber_in_flight_caught_on_google_maps/" target="_blank">近日有多名用戶在Google Maps上發現美國軍方的B-2隱形轟炸機</a>。</p> <p>Google Maps不但拍攝到了這軍方武器，還是它正在飛行中的影像。似乎不只一個人看到，有另外<a href="https://www.reddit.com/r/interestingasfuck/comments/rll67s/i_spy_a_stealth_bomber_google_maps_edition/" target="_blank">數名用戶</a>也張貼類似但不一樣的<a href="https://www.reddit.com/r/NonCredibleDefense/comments/rfmy54/google_maps_can_see_stealth_aircraft/" target="_blank">Google Maps截圖</a>。</p> <p class="rtecenter"><img alt="" src="https://preview.redd.it/2ji4e9nyvc581.png?width=960&crop=smart&auto=webp&s=23280f2273e49c5a01606a7ce4b5c2bd0c782f44" style="width: 600px;" /></p> <p><a href="https://www.reddit.com/r/NonCredibleDefense/comments/rfmy54/google_maps_can_see_stealth_aircraft/" target="_blank"><span style="color:#696969;">Photo by u/Purple_Calico via Reddit</span></a></p> <p>B-2隱形轟炸機是美國在冷戰期間打造，以其特殊材質及機構設計能躲過雷達偵測聞名，還能裝載2.2萬公斤的炸彈，更有長程飛行作戰及將近每小時1,000公里的飛行速度。迄今仍被視為最強大的轟炸機，鮮有國家望其項背。每臺造價7.4億美元，全球僅有21架。</p> <p>根據Google Maps顯示的座標，顯示這是位於密蘇里州懷特曼空軍基地（Whiteman Air Force Base）北方40公里處。</p> <p>拍攝到的B-2有點模糊，<a href="https://www.techradar.com/news/eagle-eyed-redditor-spots-a-flying-stealth-bomber-on-google-maps" target="_blank">TechRadar解釋</a>這是因為以衛星攝影機量測紅、綠、藍光波長並整合成一張照片的結果。這張照片來自Google合作的Maxar Technologies的衛星影像。</p> <p>2017年也有Reddit用戶發現Google Maps在英國南部一座國家公園<a href="https://www.reddit.com/r/screenshots/comments/6p205t/airliner_caught_mid_flight_on_google_maps/" target="_blank">拍攝到一張民航機影像</a>。</p> </div></div></div>
2021/12/22 12:32作者林妍溱https://www.ithome.com.tw/news/148519
Cloudflare：TikTok超越Google，成為全球最熱門的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路與資安服務的<a href="https://blog.cloudflare.com/popular-domains-year-in-review-2021/" target="_blank">Cloudflare在本周一（12/20）公布全球流量報告</a>，指出TikTok已於今年底超越Google，成為全球最熱門的網域。</p> <p>Cloudflare是在2020年9月才發表<a href="https://radar.cloudflare.com/" target="_blank">Cloudflare Radar服務</a>，利用該平臺所處理的來自10億個獨立IP的HTTP與DNS請求，來偵測全球網路的現象與趨勢，包括流量、瀏覽器、作業系統，或是新技術的採用。也希望在全球網站流量排名系統<a href="https://www.ithome.com.tw/news/148264" target="_blank">Alexa Internet退休</a>後，成為全球用戶的參考指標。</p> <p>Cloudflare Radar的數據顯示，Google一直是全球網路流量的龍頭，去年還立於明顯領先地位，TikTok去年僅排名第七，但今年以來，其單日流量已時不時被TikTok超越，到了10月與11月，TikTok於大多數日子的流量都已超過Google。</p> <p>TikTok從去年的第七名竄升到今年的第一名，而其它前幾名的順序則沒有變動，第二名到第五名依序是Google、臉書、微軟及蘋果。</p> <p>TikTok不僅在全球網域流量排行榜上超越Google，想當然爾地，它也在社交媒體網域奪下第一，擊敗去年第一名的臉書，其它依序為YouTube、Twitter與Instagram。</p> <p>另外，影片串流服務的前五名為Netflix、YouTube、Roku、HBOMax與Hulu；電子商務的前五名為Amazon、淘寶、eBay、Walmart與京東；聊天網域只列出了前四名，依序是WhatsApp、微信、Signal與Telegram。</p> <p>Cloudflare還列出了熱門的元宇宙（Metaverse）流量排行榜，入榜的前三名全為遊戲業者，它們是Roblox、Epicgames與Secondlife。</p> </div></div></div>
2021/12/22 12:43作者陳曉莉https://www.ithome.com.tw/news/148520
1.7萬個Maven Java套件受Log4j漏洞影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j漏洞之所以震撼全球，是因為使用的網站及軟體太多。<a href="https://security.googleblog.com/2021/12/understanding-impact-of-apache-log4j.html" target="_blank">Google上周發現</a>許多開發人員常用的Maven Central儲存庫（repository）、也有高達1.7萬個Java套件受到該漏洞影響，可能引發軟體供應攻擊，其中有約1/4已經修補。</p> <p>Maven Central儲存庫用以協助開發人員解決函式庫的相依性管理問題，是最主要的Java套件庫之一。Google開源碼分析洞見小組上周（12/17）指出，Maven Central儲存庫有35,863 個Java套件使用受影響的Log4j程式碼，占所有Maven Central套件的8%。不修補的結果將成為軟體用戶的災難，攻擊者可使用惡意JNDI 查詢指令，在用戶系統上遠端執行程式碼。許多版函式庫中是預設開啟JNDI查詢功能。</p> <p>不過Google稍後指出，這3.5萬是根據原先CVE公告，將依賴log4j-core及log4j-api的Java套件列入計算。之後，CVE公告澄清只有log4j-core有Log4j漏洞影響。截至12月19日，因log4j-core相依而受影響的Java套件有1.7萬餘個，占所有Maven Central Java套件約4%。</p> <p>Google以Java套件是否升級到2.16.0（最新版為2.17.0）或移除和Log4j相依性定義它是否修補。到12月19日，有25%（約4200個套件）已經完成修補。</p> <p>在這1.7萬受影響的Java套件中，大部份是間接依賴log4j。研究人員解釋，當漏洞位於相依鏈（dependency chain）愈深層，就需花愈多步驟來解決。Google分析Maven Central Java套件大部份都超過1層深，而5到9層深者也為數不少。</p> <p>至於所有受Log4j漏洞影響的Java套件修補要多久時間，Google認為很難說，由於目前修補比例並不高，因此全部修補好要花幾年也說不定。<a href="https://commondatastorage.googleapis.com/log4j_vulnerability/log4j_top_500_dependents.csv" target="_blank">Google也提供</a>500個和Log4j直接相依的Java套件，及是否修補的清單供開發人員及管理員參考。</p> <p>除了發送惡意JNDI查詢指令外，<a href="https://www.ithome.com.tw/news/148482" target="_blank">Blumira另外也發現攻擊者可藉由WebSocket協定傳送惡意HTTP請求觸發Log4j漏洞（Log4Shell）</a>，而在用戶機器或本地網路主機上執行任意程式碼。此外2.16.0版本<a href="https://www.ithome.com.tw/news/148457" target="_blank">還發現一個DoS漏洞</a>。為確保安全，Apache呼籲開發人員及管理員應升級到最新的2.17.0版。</p> <p><a href="https://www.ithome.com.tw/news/148482" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/21相關報導 </span></span> </strong></span><span style="color:#3399ff;"><span style="font-size:20px;"><strong>WebSocket成Log4j漏洞攻擊新管道，連不對外網路主機也曝險</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148457" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/20相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j再釋出2.17版，修補DoS漏洞</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148391" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/16相關報導 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Log4j 2.15.0修補不全、Apache再釋2.16.0新版</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/22 11:21作者林妍溱https://www.ithome.com.tw/news/148508
下載50萬次的Android App會幫用戶偷偷訂閱高價服務，還竊取聯絡人資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.pradeo.com/pradeo-identifies-app-joker-malware-google-play" target="_blank">研究人員發現</a>一隻在Google Play Store上下載次數超過50萬的App，內含惡意程式Joker，下載安裝後不但會竊取用戶聯絡人清單，還會偷偷幫用戶訂閱高價服務。</p> <p>這款App為Color Message，看似文字通訊的外掛程式，可為文字訊息加入表情符號及攔阻垃圾訊息。在被Google移除前，它在Google Play Store上已經被50多萬人下載。安全廠商Pradeo Security發現，它並不像表面上那麼單純。Color Message內含一隻叫Joker的惡意程式。後者是一種騙錢軟體（Fleeceware），主要活動是模擬點擊以及攔截簡訊，目的在偷偷代用戶訂閱貴死人的付費服務。Joker作者只使用很少程式碼來開發，而且為免被發現，它會在安裝後刪除圖示。這些特性使它相當難被偵測到。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-color%20message%20joker%20malware-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_Pradeo</span></p> <p>進一步分析，這隻App還會存取用戶裝置的聯絡人清單，並且送到位於俄羅斯的伺服器。Color Message的使用者條款也很可疑，不但代管在一個不知名的一頁式部落格上，而且內容十分簡略，未說明該App會在用戶裝置上會做哪些事，像是存取用戶聯絡人資料。Google Play Store上使用者怨聲載道，有人抱怨被該App詐騙，另有人想聯絡開發者卻不得其門而入。</p> <p>Google獲報後，已經在周二從Play Store將Color Message移除。</p> <p>事實上，Color Message不是第一隻內含Joker的App，研究人員過去兩年發現Joker已經感染了數百個下載次數都超多的App。<a href="https://www.ithome.com.tw/news/135301" target="_blank">去年Google也曾從Play Store上移除</a>1,700多個內含Joker的應用程式。</p> </div></div></div>
2021/12/22 10:00作者林妍溱https://www.ithome.com.tw/news/148496
伊頓揭露明年在臺產品策略，首推UPS儲能系統搶搭用電大戶能源轉型潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">搶搭再生能源需求潮，國外UPS業者伊頓（Eaton）宣布明年在臺產品新策略，將鎖定用電大戶的企業省電需求，主推可儲電的雙功能UPS，不只可用於斷電備援供電，還能在尖峰高電價時段提供替代電力的需求。因此，伊頓明年將在臺主推儲能系統規劃服務，也將在臺設置高階儲能方案展示中心。</p> <p dir="ltr">伊頓臺灣關鍵客戶協理陳如芃表示，臺灣電價便宜，不似其他國家，用電尖峰與離峰時段的電價差異大，儲電設備投資後效益不明顯，企業較不具迫切需求採用。直到今年初，再生能源發展條例增列，超大用電量企業須在五年內建置10%再生能源設備，也稱為「用電大戶條款」，才讓大企業面臨能源轉型，出現儲能的需求。</p> <p dir="ltr">其中一大要在臺灣推動的策略，即是儲能系統的規劃與客製化建置。伊頓約在2017年，與微軟合作開發了雙功能UPS（Dual Purpose UPS），兼具UPS不斷電及儲能系統兩種功能，除了能在斷電時刻緊急供電之外，另一項儲電功能，則能讓企業在電價相對較低的用電離峰時段儲電，並在電價高的尖峰時段釋放電力，取代原本高電價時段的用電量，來節省電費支出。這項產品鎖定對供電穩定性、節能有迫切需求的企業。2019年也已經在臺推出。</p> <p dir="ltr">再加上，台電今年11月推出電力交易平臺，大力推動民間企業儲能，以供台電用電吃緊時，能向民間購買電力。換言之，企業建置儲能設備後，不僅平時可以靠高低電力價差來節省電費，緊急時刻將電賣給台電，更能獲得一筆收益。由於儲能設備投資的效益提升，能以更短時間回本，不只企業需求應加，市場上也出現更多儲能設備商，要搶攻臺灣市場。伊頓明年策略也將提供能源顧問服務，來提供能源系統建置、試算效益服務等。</p> <p dir="ltr">不只如此，伊頓更計畫在亞太區設立高階儲能方案展示中心，首個據點就是臺灣，預計在明年落成，同時也要成立能源管理系統軟體展示中心。伊頓過去在臺灣半導體市場奠下基礎，現在要進一步搶進持續成長的資料中心市場，尤其是，要搶攻5G多邊緣設備的複雜電力管理需求。</p> <p dir="ltr">伊頓臺灣行銷及技術支援協理江嘉倫指出，5G時代來臨，資料中心走向分散式架構，更多邊緣運算設備就像一個個小型的資料中心，也帶來更複雜的電力管理需求。伊頓不只要鎖定超大型、大型雲端服務企業、分散式架構的串流平臺，也要瞄準中小型企業。</p> <p dir="ltr">除了硬體產品，伊頓也將力推自家智慧能源管理平臺軟體Brightlayer，近來增加了3D可視化功能，已經內建主流廠牌硬體伺服器的3D模型，可供企業根據自家機房配置來建立虛擬機房，這個做法類似室內設計軟體，將各類傢俱模型拖曳擺放的概念。透過將設備虛擬化呈現，當設備發生問題，管理人員就能從虛擬機房顯示的問題處，快速在實體機房中比對、找出實體設備，更快進行危機處理，取代過去要透過眾多表格與數據查找問題設備的做法。除了可以進行電力設備和IT設備的能源管理，也具備災害預警、預測維修等智能預測能力。</p> </div></div></div>
2021/12/22 10:01作者翁芊儒https://www.ithome.com.tw/news/148493
Google：在Chromebook上執行Android程式的用戶一年成長50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近來持續推動Chrome OS用戶採用Android程式，<a href="https://chromeos.dev/en/posts/android-recap-2021" target="_blank">並宣布</a><a href="http://chromeos.dev/en/posts/android-recap-2021" target="_blank">在Chromebook上執行Android程式的使用者數量</a>，一年來成長了50%。</p> <p>Google是在2017年的1月宣布，未來所有新發表的Chromebook都將支援Android程式，Google的作法是讓Chromebook用戶安裝Google Play，再由Google Play下載Android程式，以於Chromebook上運作。</p> <p><a href="https://chromeos.dev/en/posts/whats-new-in-chrome-os-announcements-news-and-resources-from-io-21" target="_blank">根據Google今年5月的說法</a>，目前全球有超過4,000萬的學生或老師使用Chromebook，而且2020年由大型企業採購的Chromebook出貨量成長了83%。</p> <p>Google並未說明有多少比例的Chromebook用戶使用Android，僅以成長率來表示。</p> <p>但Google指出，現階段正逐步升級所有的Chromebook，使其支援Android 11；基於Chrome OS 93或以上版本的Chromebook，將改善對Android程式的視窗管理功能，讓使用者得以輕易切換Android程式的視窗大小；而Chrome OS 96或以上版本的Chromebook用戶，則可藉由Android平臺的 Nearby Share⁠功能，與Android或Chromebook用戶分享檔案。</p> <p>Chrome OS與Android都是由Google開發的平臺，相較於可能只有4,000萬用戶的Chromebook，Android全球用戶多達2.5億，且Google Play上提供了逾185萬種Android程式，不難理解Google想讓Chromebook用戶善用Android資源的政策，不過，自宣布近5年來，從<a href="https://www.ithome.com.tw/news/146416" target="_blank">微軟終止Android版Office支援Chromebook</a>，而Google還在推動市場採用的情況來看，該政策的執行似乎不怎麼成功。</p> </div></div></div>
2021/12/22 09:22作者陳曉莉https://www.ithome.com.tw/news/148495
微軟釋出新一代對話理解客戶端函式庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出下一代的<a href="https://devblogs.microsoft.com/azure-sdk/introducing-the-next-generation-of-the-conversational-language-understanding-client-library/">對話語言理解（Conversational Language Understanding）客戶端函式庫</a>，供開發者利用Azure雲端對話語言理解服務，訓練模型並且將其用於應用程式，提供相關的語言服務。開發者可以選擇使用.NET或Python，目前這些函式庫仍在測試階段。</p> <p>由於企業對於理解短文的智慧解決方案需求逐漸增加，微軟提到，隨著更複雜的解決方案被開發出來，改進和支援這些複雜使用案例的需求也不斷成長。這些場景從智慧客服機器人，到能夠理解開發者輸入的獨立系統，微軟提供語言認知服務來應對這些場景。</p> <p>語言認知服務（Language Cognitive Service）採用多語言Transformer模型，與現有的語言理解服務相比，官方表示，開發者能夠感受到明顯的效能改進。</p> <p>對話語言理解是一種雲端服務，能夠讓開發者使用先進的技術訓練對話語言模型，而對話語言理解API是Azure認知服務的一部分，為雲端機器學習訓練和人工智慧演算法的集合，開發者可以將這些功能與REST API或是客戶端函式庫一起使用。</p> <p>新的對話語言理解服務還支援創建調度專案（Orchestration Project）的能力，多語言Transformer模型支援這些調度專案，並且讓開發者配置專案，以路由到多個自定義的語言服務，這些服務包括問答知識庫、其他對話語言理解和經典的語言理解服務（LUIS）。</p> <p>開發者可以使用微軟新發布的對話理解客戶端函式庫來建立各種對話應用，像是分析聊天機器人場景的對話，藉由將終端用戶提供的文字對話作為輸入，呼叫客戶端來執行同步操作，指定模型和部署槽以進行分析。開發者也可以對同一模型提供不同語言的話語，來使用嵌入式多語言功能。</p> </div></div></div>
2021/12/22 09:34作者李建興https://www.ithome.com.tw/news/148490
Google在行動鍵盤Gboard使用聯合重建技術改進推薦品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google揭露行動裝置鍵盤Gboard，所使用的新聯合學習（Federated Learning）技術，這項技術被Google稱為<a href="https://ai.googleblog.com/2021/12/a-scalable-approach-for-partially-local.html">聯合重建（Federated Reconstruction）</a>，目標是要大規模進行部分本地聯合學習，使得在訓練模型時，讓部分模型參數永遠不會在伺服器聚合。</p> <p>Google提到，在矩陣分解（Matrix Factorization）用例，他們推薦使用聯合重建，因為可以將用戶的嵌入保留在用戶的裝置本地端，也就是說，在訓練模型時，針對每個用戶完全個人化，但是又能避免這些參數交流。Google將這項聯合學習技術部署到Gboard中，提供數億鍵盤使用者更好的推薦結果。</p> <p>聯合學習技術讓用戶能夠在不將原始資料發送到中央伺服器的情況下訓練模型，進而避免隱私敏感資料被收集。傳統聯合學習技術，通常所有用戶擁有單一全域模型，像是行動鍵盤應用程式的用戶，會共同訓練建議模型，但因為每個人對建議有不同的偏好，這種差異驅使全域模型可針對每個用戶進行個人化。</p> <p>但研究人員解釋，在特定情況下，因為隱私的考量，可能無法訓練全域模型，像是推薦系統的矩陣分解模型，要訓練一個完全全域模型的聯合模型，將會需要發送用戶嵌入更新到中央伺服器，而這個動作可能會揭露嵌入中用戶的喜好，而且即便模型沒有使用者特有的嵌入，將部分參數完全留在使用者裝置上，也能夠減少伺服器和客戶端的通訊，並且負責任地替每個使用者個人化這些參數。</p> <p>過去部分本地端聯合學習方法使用有狀態演算法，這會需要用戶的裝置儲存多輪聯合訓練的狀態，也就是說，這些方法需要裝置跨輪儲存本地參數。在大規模聯合學習環境中，這些演算法往往不夠實用，因為大多數用戶不參與訓練，而參加的用戶可能僅參與一次，導致狀態很少可用，或是在數輪之後狀態過於陳舊，此外，不參與的用戶都沒有經過訓練的本地端參數，也就阻礙了實際應用。</p> <p>而聯合重建技術是無狀態的，用戶裝置不需要儲存本地端參數，當用戶參與訓練時，在更新任何全域模型參數之前，會在全域參數凍結的情況下，在本地端參數上使用梯度下降法，隨機初始化和訓練本地端參數，接著便可以在本地端參數凍結的情況，計算全域參數更新。聯合重建方法不假設用戶具有前幾輪的訓練狀態，如此便能實現大規模訓練，並且不斷重建本地端參數，避免參數過時。</p> <p>Google為了驗證聯合重建在大規模用例的實用性，便將演算法部署到擁有數億使用者的Gboard中。Gboard用戶使用GIF和表情符號與其他人交流，而用戶對於這些情緒表達有高度的差異，因此剛好非常適合使用矩陣分解，來預測用戶想要分享的情緒表達。</p> <p>Google在用戶情緒表達歸類上使用聯合重建，訓練了矩陣分解模型，將用戶嵌入留存在每個Gboard用戶的本地端，然後部署使用該模型，研究發現表達推薦的點擊率大幅增加29.3%。</p> </div></div></div>
2021/12/22 09:39作者李建興https://www.ithome.com.tw/news/148492
零信任存取解決方案BeyondCorp Enterprise新增政策疑難排除工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端的零信任存取解決方案BeyondCorp Enterprise，現在正式加入<a href="https://cloud.google.com/blog/products/identity-security/unblock-bce-users-for-easy-zero-trust-access">政策疑難排除（Policy Troubleshooter）</a>，供管理員快速分類封鎖存取事件，並且解封使用者。</p> <p>BeyondCorp Enterprise對用戶提供跨雲和跨裝置的應用程式安全存取，管理員能夠配置精細的規則，來管理敏感的企業資源存取，Google提到，雖然這些政策定義了建立和維護信任的方法，但作為零信任模型的一部分，有時候規則分層會使得用戶，難以理解存取應用程式和資源失敗的原因。</p> <p>因此管理員可以啟用BeyondCorp Enterprise政策疑難排除功能，替每個IAP資源存取被拒絕事件，即時產生故障排除URL，被阻擋的用戶會看到該故障排除URL，將其複製並傳送給管理員，管理員便可以快速透過該URL，診斷出問題所在，找出存取請求失敗的原因。</p> <p>政策疑難排除提供管理員，對整個存取事件發生的可見性，在疑難排除分析頁面中，管理員可以看到各種檢視圖，總結檢視圖會顯示所有相關政策，和成員資格調查結果的匯總。另外，IAM政策檢視圖則會顯示有效IAM綁定評估結果、權限授予情況，以及故障發生位置等資訊，同時管理員還可以查看用戶和裝置的上下文資訊列表。</p> <p>管理員可以利用這些檢視圖，向終端用戶提供存取失敗的詳細原因，包括群組成員身份、時間、位置限制和裝置規則等內容，管理員也能夠利用政策疑難排除功能，更新政策來允許用戶存取。</p> </div></div></div>
2021/12/22 09:44作者李建興https://www.ithome.com.tw/news/148494
金管會將開放純網保！需由金融機構與Fintech公司共同發起，最快2023年公布設立許可名單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在今天（12/21）首度揭露開放設立純網路保險公司（以下簡稱純網保）5大政策目的，及設立純網保的發起人條件、營業據點及監理原則、最低實收資本額、業務範圍、風險管控等規畫細節，更預計2023年4月，臺灣將有純網路保險公司取得設立許可。</p> <p>金管會表示，消費者透過網路取得金融服務形成一股趨勢，國際上紛紛成立純網保公司或以網路保險為主的保險公司，來提供創新、多元、便利的保險商品與服務，擴大普惠保險，提供保險服務可及性及使用性。甚至，純網保公司更透過AI、大數據分析等技術，推動保險業數位轉型。</p> <p>因此，金管會參考了香港、中國、日本、新加坡、美國、歐盟等國家或地區發展純網保的國際經驗，訂定臺灣開放設立純網保公司的5大政策目的與規畫方向。首先，因應零工經濟、平臺經濟、共享經濟等數位化新經濟模式的興起，民眾在面臨新經濟風險時，所需的保險保障也逐漸增加，所以，金管會認為，開放純網保的營運模式，能夠滿足數位時代民眾保險需求，這是第一大目的。</p> <p>目前，國外針對零工經濟已發展出自有工作者保險，在共享經濟也發展出如共享汽車保險、共享房屋保險、共享辦公室保險，在平臺經濟更有租車平臺保險、外送人員平臺保險等創新商品推出。</p> <p>金管會設立純網保的第二大目的是推廣創新商品，金管會解釋，目前國內保險市場商品同質性高，且缺乏創新研發的保險商品，因此，需導入金融科技及數據資源與金融機構合作，來開發創新商品，比如，碎片型保險商品、場景風險保險。</p> <p>此外，擴大保險保障是金管會的第三大目的，金管會表示，臺灣民眾偏好購買儲蓄類型及投資型商品，僅有7成國人有投保人壽保險，且平均保險金額偏低，導致保險保障不足。因此，金管會表示，純網保將結合創新科技，主要提供簡單、易懂的保障型商品，來擴展保險的可及性與使用性。</p> <p>金管會的另一大目的是透過純網保的開放，來加速保險產業數位轉型與升級，進一步提升整體產業競爭力。另外，金管會認為，傳統中介通路主導，追求大量保費，不利推展保障型商品，因此，第五大目的是，開放純網保可運用金融科技，建構直接銷售通路，擴大保障型商品市場，讓有需求的民眾可快速取得保險商品。</p> <h3><span style="color:#0099ff;"><strong>純網保需由金融機構與金融科技業者共同申請成立</strong></span></h3> <p>金管會更一次揭露設立純網保規畫方向，包括最低實收資本額、業務範圍、發起人條件、預定負責人及大股東適格性、營業據點及監理原則、風險管控等。</p> <p>然而，產、壽險業有不同標準，針對產險業的純網保公司，業務範圍需以創新商品為主，保險契約多屬1年期或短期性質，資金以短期運用為主，最低實收資本額為10億元。而壽險業的純網保公司，業務範圍需以保障型商品為主，同時，限制保障年期，考量費率結構、保險金給付金額、不確定性等因素，資金將以中、短期運用為主，最低實收資本額則為20億元。</p> <p>此外，金管會規定，在純網保公司發起人條件中，需同時具備金融機構與金融科技業者2種角色，其中，金融機構部分，需有一家保險公司，或設有保險子公司的金控公司共同發起；另一共同發起人，必須是從事大數據資料分析、介面設計、軟體研發、物聯網、無線通訊等業務的金融科技業者，且得提出成功的業務經營模式。</p> <p>另外，純網保公司除了設置總公司及客戶服務中心外，不得設立其他實體營業據點。在監理原則，金管會認為，純網保公司與一般保險公司的差異點，在於提供服務的通路不同，因此，適用與現有保險公司相同的法規與監理要求。</p> <p>在風險管理面向，金管會表示，純網保公司需考量業務的風險性質、規模及複雜程度，依據保險業風險管理實務守則，建立起適當的風險管理機制，比如，流動性風險、保險風險、資訊安全等風險管理。另外，需建立投保限額、通報作業等機制進行控管。</p> <p>為因應純網保設立，金管會將修正保險業設立許可及管理辦法中，有關最低實收資本額、發起人條件、營業計畫書要求、營運據點等規範。同時，也將針對相關業務執行法規配合修正。</p> <p>金管會更訂出開放設立純網保的時程規畫，接下來，將進行外界意見徵詢，明年3月前將召開公聽會，4到7月將進行法規檢討及預告，並訂定審查機制，在8月時將發布修正法規，並對外公告受理純網保公司設立申請，11月將公布申請設立情形，經過5個月的審查期間，預計在2023年4月，將公布許可設立純網保公司的業者名單。文⊙李靜宜</p> </div></div></div>
2021/12/21 20:13作者李靜宜https://www.ithome.com.tw/news/148491
遠傳成立5G元宇宙加速器，將與新創業者組隊共搶消費、企業商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好元宇宙商機，遠傳電信宣布成立5G元宇宙加速器，並找來前臺灣微軟專家技術部總經理暨新創加速器執行長胡德民，擔任遠傳電信資訊暨數位轉型科技群執行副總經理，由胡德民擔任CIO，並負責推動5G元宇宙加速器。</p> <p>遠傳電信總經理井琪表示，元宇宙是以人為基礎發展出的虛擬世界，讓人們利用數位分身，在虛擬世界中克服真實世界的限制，例如距離與時間，從事社交、金融、娛樂、商業等活動。由於人們以數位分身在虛擬世界進行互動，背後仰賴高速傳輸巨量數據及低延遲的網路，才能提供沈浸式的體驗，因此5G成為元宇宙發展的有力條件。</p> <p>看好新科技形塑人們未來的行動生活，遠傳去年推出遠傳心生活，今年在元宇宙概念發燒之下，該公司更進一步成立5G元宇宙加速器，希望結合新創業者與該公司的技術、商模、資金、場景，發展元宇宙中各種場域應用。相較於擁有全球數億用戶的Meta所提出的宏觀元宇宙概念，遠傳聚焦在人們在數位生活、企業不同商業場景的應用，井琪期待元宇宙未來能成為5G的殺手級應用。</p> <p>遠傳所推動的5G元宇宙加速器，包括遠傳心生活共創平臺、遠傳大人物生態圈，分別鎖定消費、商用應用兩大市場。遠傳心生活共創平臺以消費者的行動數位生活體驗為主，將和新創業者合作，鎖定元宇宙、虛擬經濟、5G數位生活，提升消費者在社交、工作、娛樂、購物、教育等方面的體驗。</p> <p>至於遠傳大人物生態圈，則以企業的數位轉型方案為主，遠傳電信認為不論是元宇宙或是數位分身，基礎仍在於大數據、人工智慧、物聯網等技術，與遠傳推動的大人物（大數據、人工智慧、物聯網）不謀而合，未來將引薦新創業者介接遠傳的企業客戶，，依不同企業的應用場景，進行PoC概念驗證、PoS服務驗證與PoB商業驗證，提供數位轉型解決方案，加智慧醫療、智慧金融、智慧製造、智慧交通的實現。</p> <p>今年8月才加入遠傳的胡德民，先前就具有豐富的新創加速扶植經驗，他表示，相較於其他加速器，遠傳電信投入10億元成立的5G元宇宙加速器，除了資金之外，更重要的是提供遠傳的技術及場景支援，加速新創業者技術、商業模式、資金的發展，並有機會進入企業的場域。</p> <p>今天成立之後，到明年1月底前，接受新創業者申請，明年過年後將公布評選結果，4月啟動go to market，預定在明年9月發表成果。遠傳歡迎其他加速器的推薦，並且歡迎其他創投業者或國發基金，對感興趣的新創業者挹注資金。</p> <p>遠傳電信推出加速器的背後，內部也悄悄推動組織改造，前任CIO束宜鵬退休後，井琪將原本的IT部門（遠傳電信資訊科技群），和原本由她帶領的數位轉型辦公室合併，成為遠傳電信資訊暨數位轉型科技群，由胡德民帶領新的部門，同時IT也不只對內，也對外提供顧問服務，協助其他企業加速數位轉型發展。</p> <p>井琪表示，新的資訊暨數位轉型科技群，將遠傳電信內部轉型的最佳實踐方案，例如遠傳在大數據、上雲方面的經驗，向企業客戶推廣。</p> </div></div></div>
2021/12/21 18:48作者蘇文彬https://www.ithome.com.tw/news/148489
【資安日報】2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自Log4Shell漏洞傳出各式各樣的攻擊行動，國家級駭客、惡名昭彰的勒索軟體駭客組織相繼利用這個軟體的漏洞下手，已有國防單位成為受害者。比時時國防部證實於12月16日遭到網路攻擊，且駭客入侵的管道就是Log4Shell漏洞，而成為第1個未修補漏洞而被攻擊者得逞的政府機關。而這個漏洞的威脅態勢加劇的情況，也可以從其他防禦者的動作看出端倪。例如，新加坡特別召集關鍵資訊基礎設施（CII）業者來宣導相關防禦工作。</p> <p>除了上述的漏洞威脅，網路釣魚的威脅也值得我們留意。研究人員發現一波假冒輝瑞（Pfizer）藥廠的釣魚郵件攻擊，特別的是，他們沒有挾帶有惡意軟體或巨集的文件，研究人員推測，攻擊者很可能是為了收集用來商業郵件詐騙（BEC）所需的資料。</p> <p>而在國內的資安新聞中，東元電機與東捷資訊在證交所發布資安事故重大訊息，表明部分資訊系統遭到網路攻擊，後續發展值得關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.brusselstimes.com/belgium/198521/belgian-defence-ministry-network-partially-down-following-cyber-attack"><span style="color: rgb(0, 0, 0);">比利時國防部遭到Log4Shell漏洞攻擊，部分系統暫停使用</span></a></strong></h4> <p>根據VRT新聞網站的報導，比利時國防部遭到網路攻擊，從12月16日開始，郵件系統等數個基礎設施因此而癱瘓。比利時國防部發言人表示，他們在12月16日當天發現遭到攻擊的跡象，隨即隔離受到影響的部分，整個團隊於整個週末動員來因應攻擊事故。而該單位遭到入侵的原因，就是近期引起全球關注的Apache Log4j漏洞「Log4Shell」，但為何會沒有修補相關漏洞而受害？比利時國防部拒絕進一步說明。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/log4j-vulnerability-now-used-to-install-dridex-banking-malware/"><span style="color: rgb(0, 0, 0);">攻擊者利用Log4Shell漏洞散布金融木馬Dridex</span></a></strong></h4> <p>資安研究團隊Cryptolaemus指出，他們發現針對Windows電腦的Log4Shell漏洞攻擊行動，攻擊者使用RMI來入侵存在漏洞的Log4j，並下載、啟動惡意HTA檔案，在受害電腦植入Dridex金融木馬。值得留意的是，若是惡意程式偵測到並非在Windows電腦，便會啟動另一種模式，針對Linux或Unix主機下載Python程式碼，安裝遠端Shell工具Meterpreter，以便攻擊者部署更多惡意程式或是執行命令。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/phishing-attacks-impersonate-pfizer-in-fake-requests-for-quotation/"><span style="color: rgb(0, 0, 0);">駭客假冒輝瑞藥廠名義發動網路釣魚攻擊<img alt="" src="https://s4.itho.me/sites/default/files/images/PDF.jpg" style="width: 300px; height: 284px; float: right;" /></span></a></strong></h4> <p>郵件安全業者Inky指出，他們看到一起冒充輝瑞（Pfizer）藥廠的釣魚郵件攻擊事故，攻擊者約自2021年8月15日開始行動，以緊急報價、招標、工業設備供應的名義，挾帶沒有攻擊特徵的PDF附件，並要求受害者將報價資料傳送到指定的電子郵件信箱。研究人員指出，雖然攻擊者的目的尚不明朗，但他們將付款資訊列在PDF文件裡面，代表著攻擊者可能會要求受害者提供銀行帳戶的詳細資料，一旦收信人提供有關資料，就可能日後會被用於商業郵件詐騙（BEC）攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/meta-sues-people-behind-facebook-and-instagram-phishing/"><span style="color: rgb(0, 0, 0);">Meta起訴濫用臉書和IG發動網路釣魚的人士</span></a></strong></h4> <p>Meta於12月20日向美國加洲法院提出訴訟，遏止以他們旗下的臉書、Messenger、Instagram、WhatsApp等社群網站與即時通訊軟體，來發動的網路釣魚攻擊行動。發動這起攻擊的人士，約自2021年3月開始，架設了近4萬個假的登入網頁，來騙取使用者的帳密。Meta也與攻擊者所使用的中繼服務業者合作，封鎖此起攻擊行動裡數千個假登入網頁。</p> <h4><strong><a href="https://securityaffairs.co/wordpress/125792/cyber-crime/clop-ransomware-uk-police.html"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Clop洩露英國警方資料</span></a></strong></h4> <p>根據每日郵報的報導，勒索軟體駭客Clop在暗網公布他們竊得的英國警察資料，而這些資料竊得的來源是IT業者Dacoll，資料被公布的原因是Dacoll拒絕支付贖金。這家IT業者為該國警方提供多項IT服務，而能存取警方的電腦。而該公司是在10月遭到漏洞攻擊而被入侵，Clop取得管理資料的存取權限，竊得警方持有的1,300萬人個資，此事亦得到Dacoll確認。</p> <h4><a href="https://www.ithome.com.tw/news/148450"><span style="color: rgb(0, 0, 0);"><strong>埃及流亡人士手機遭植入2種間諜程式</strong></span></a></h4> <p>加拿大多倫多大學的公民實驗室（Citizen Lab）揭露，2位埃及知名人士的iPhone被植入了間諜程式，一位是埃及流亡政治人物Ayman Nour，另一位則是不願具名的埃及新聞節目主持人，手機都被植入了由以色列網路攻擊業者Cytrox所打造的Predator間諜程式。此外，Ayman Nour的手機上不但擁有Predator，還被植入網路攻擊公司NSO Group所開發的Pegasus間諜程式。公民實驗室相信，這些間諜程式是由2個不同國家所植入。</p> <h4><strong><a href="https://cointelegraph.com/news/defi-protocol-grim-finance-lost-30m-in-5x-reentrancy-hack"><span style="color: rgb(0, 0, 0);">DeFi平臺Grim Finance遭駭客攻擊，損失3千萬美元</span></a></strong></h4> <p>去中心化金融（DeFi）平臺Grim Finance於12月18日表示，他們發現有外部的攻擊者利用DeFi平臺，竊取價值超過3千萬美元的加密貨幣。Grim Finance指出，本次攻擊事故駭客的手法相當高超，他們利用5個可重入循環的利用協議，而在該平臺處理第1筆款項時，將另外5筆存款偽造到金庫。事發後該平臺業者暫停交易，並呼籲用戶儘速將存款領出，以減少損失。</p> <h4><strong><a href="https://gbhackers.com/hackers-stole-over-1-8-million-people-credit-card-data/"><span style="color: rgb(0, 0, 0);">體育用品商城遭到網路攻擊，外洩180萬人信用卡資料</span></a></strong></h4> <p>根據GBHackers資安新聞網站的報導，Running Warehouse、Tennis Warehouse、Skate Warehouse、Tackle Warehouse等4個體育用品商城，於10月1日遭到大規模網路攻擊，駭客入侵這些網站並竊得超過180萬人信用卡資料。這些商城於10月15日發現攻擊跡象，並於11月29日開始通知客戶此事，12月16日確認受影響的客戶，且寄發資安通報給他們。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148473"><span style="color: rgb(0, 0, 0);">東元電機與東捷資訊有部分資訊系統遭受駭客網路攻擊</span></a></strong></h4> <p>在12月20日傍晚接近6時，國內傳產上市大廠東元電機與上櫃公司東捷資訊，在臺灣證券交易所發布資安事件重大訊息，說明部分資訊系統遭受駭客網路攻擊，他們已在察覺網路異常後，啟動防禦機制與被援作業，目前受影響的系統正陸續復原中，並表示這次事件不影響營運。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-warns-of-easy-windows-domain-takeover-via-active-directory-bugs/"><span style="color: rgb(0, 0, 0);">攻擊者可串連AD網域服務權限提升漏洞，接管網域</span></a></strong></h4> <p>微軟於12月20日發出警告，<a href="https://www.ithome.com.tw/news/147751">在11月例行修補（Patch Tuesday）中</a>，有兩個關於AD網域服務權限提升的漏洞修補，值得關注。根據微軟說明，這兩個漏洞是CVE-2021-42287、CVE-2021-42288，可被輕易利用，使用者要儘速修補網域伺服器，因為攻擊者可串連這些漏洞，將自己提升為網域管理員的權限。另外，微軟指出，日前已有研究人員公開概念性驗證攻擊手法，可能日後會出現攻擊行動。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/fbi-state-hackers-exploiting-new-zoho-zero-day-since-october/"><span style="color: rgb(0, 0, 0);">Zoho裝置管理平臺出現零時差漏洞，已遭APT駭客利用</span></a></strong></h4> <p>美國聯邦調查局（FBI）於12月17日發出警告，他們發現從2021年10月下旬開始，背後有政府撐腰的APT駭客，鎖定裝置管理平臺ManageEngine Desktop Central的零時差漏洞CVE-2021-44515下手，破壞Desktop Central的伺服器，投放Web Shell並列舉用戶和群組，進行偵察並嘗試橫向移動及外洩帳密。這項漏洞的CVSS風險層級為9.8分，Zoho於12月初完成修補，美國網路安全暨基礎架設安全局（CISA）於12月10日要求各聯邦機構，在聖誕節前完成修補作業。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.zdnet.com/article/singapore-holds-emergency-meetings-with-cii-sectors-over-log4j/"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的因應，新加坡對關鍵資訊基礎設施業者召開緊急會議</span></a></strong></h4> <p>隨著Log4Shell漏洞的威脅與日遽增，新加坡網路安全局（CSA）於12月17日，發布第2次資安通報並召集關鍵資訊基礎建設（CII）業者開會，探討Log4Shell的技術細節，並要求要加強異常活動的監控。CSA指出，Log4Shell攻擊正迅速蔓延，已有許多攻擊者探測並攻擊存在漏洞的系統，他們呼籲要儘速安裝修補軟體，不建議CII採用修改配置的緩解措施來因應。</p> <h4><strong><a href="https://therecord.media/the-nca-shares-585-million-passwords-with-have-i-been-pwned/"><span style="color: rgb(0, 0, 0);">英國與Have I Been Pwned網站共享5.85億個外洩密碼</span></a></strong></h4> <p>英國國家犯罪局（NCA）與知名密碼外洩查詢網站Have I Been Pwned（HIBP）合作，共享逾5.85億個遭竊的帳密資料，這是在HIBP與美國聯邦調查局（FBI）合作之後，第2個進行合作的執法單位。HIBP網站經營者Troy Hunt表示，經分析後發現，NCA共提供了2.25億筆新的外洩帳密，這些帳密的來源為英國企業的雲儲存設施，但無法確認與那些網路服務業者有關。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日</a></p> <p><a href="https://www.ithome.com.tw/news/148402">2021年12月16日</a></p> </div></div></div>
2021/12/21 14:28作者周峻佑https://www.ithome.com.tw/news/148484
美國控告5名取得機密資訊以從事違法股票交易的俄羅斯駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-ma/pr/russian-national-extradited-role-hacking-and-illegal-trading-scheme" target="_blank">美國司法部周一（12/20）控告</a>5名俄羅斯駭客，理由是他們駭進兩家協助美國企業發布財報的代理商，以獲得尚未提交給美國證券交易委員會（SEC），或尚未公諸於世的企業季報或年報，而自美國股票市場取得數千萬美元的不法獲利。其中，41歲的Vladislav Klyushin在今年3月於瑞士被捕，且已引渡至美國。</p> <p>除了Klyushin之外，遭到美國控告的其他駭客還包括35歲的Ivan Ermakov，33歲的Nikolay Rumyantsev，43歲的Mikhail Vladimirovich Irzak與42歲的Igor Sergeevich Sladkov。</p> <p>其中，Klyushin、Ermakov與Rumyantsev曾是俄羅斯資訊科技公司M-13的同事，M-13是家專門提供滲透測試與先進持續威脅工具的IT業者，此外，M-13還出售投資管理服務予投資人，並從投資人的獲利中取得最高60%的分潤。</p> <p>調查顯示，這5名俄羅斯駭客從2018年的1月到2020年的9月間，入侵了兩家協助企業提交財報予SEC的代理商，獲取上市公司尚未公開的資料（MNPI），再根據這些財報資料，事先於紐約股市或那斯達克股市大買或放空特定公司的股票，並因此獲利數千萬美元。</p> <p>駭客於受駭代理商所部署的惡意架構，具備獲取員工憑證的能力，因而得以隨時以員工帳號出入，取得上市企業尚未公開的財報資訊，此外，為了躲避追蹤，他們在不同的國家開設了銀行帳戶進行交易，包括俄羅斯、美國、塞普勒斯、丹麥及葡萄牙等。</p> <p>他們被指控串謀未經授權存取電腦、電信詐欺及證券詐欺等罪名，最多可能被處以超過40年的刑期，但目前只有Klyushin落網。</p> </div></div></div>
2021/12/21 15:36作者陳曉莉https://www.ithome.com.tw/news/148485
微軟呼籲用戶儘快修補11月公布的兩個Windows AD漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699" target="_blank">微軟周一（12/20）警告</a>，今年11月Patch Tuesday所修補的兩個Windows Active Directory漏洞已出現概念性驗證攻擊程式，呼籲用戶檢查是否遭到入侵並儘速修補。</p> <p>這兩個漏洞分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42278" target="_blank">CVE-2021-42278</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42287" target="_blank">CVE-2021-42287</a>，它們皆屬於Active Directory網域服務的權限擴張漏洞，影響Windows Server產品，雖然皆只被列為重要（Important）漏洞，但其CVSS風險等級高達7.5分。</p> <p>微軟是在11月9日修補了這兩個漏洞，但12月12日就出現了同時開採這兩個漏洞的概念性驗證程式。負責Defender for Identity的微軟資深產品經理Daniel Naim指出，當這兩個漏洞被結合時，駭客就能夠建立一個直接路徑至Active Directory環境的網域管理員（Active Directory）用戶，輕鬆地把一般用戶的權限提升為網域管理員。</p> <p>為了因應潛在的攻擊行動，Defender for Identity團隊公布了一個查詢指南以辨識用戶系統內部的可疑行為，判斷相關漏洞是否已被開採，此一查詢指南將可偵測異常變更的裝置名稱，並將它們與用戶環境中的網域控制器進行比對。</p> <p>Naim建議尚未修補相關漏洞的用戶，最好先檢查是否已被開採之後再行修補。</p> </div></div></div>
2021/12/21 15:44作者陳曉莉https://www.ithome.com.tw/news/148486
FBI警告：國家級駭客正在開採Zoho桌面中心產品的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/News/2021/211220.pdf" target="_blank">美國聯邦調查局（FBI）上周警告</a>，已有多個國家級駭客正在開採Zoho的ManageEngine Desktop Central伺服器上的安全漏洞，雖然Zoho已於今年的12月3日修補該漏洞，但駭客的開採行動早在10月便展開了。</p> <p>Zoho為印度軟體業者，最知名的產品是網頁版的生產力軟體Zoho Office Suite，旗下也有另一個專門提供中、小企業IT管理的ManageEngine品牌，桌面中心（Desktop Central）則是ManageEngine中的統一端點管理解決方案，可協助中、小企業集中管理內部的伺服器、個人電腦、手機及平板電腦等。</p> <p><a href="https://www.manageengine.com/products/desktop-central/cve-2021-44515-authentication-bypass-filter-configuration.html" target="_blank">Zoho在今年12月所修補的漏洞為CVE-2021-44515</a>，此為ManageEngine Desktop Central 的身分認證繞過漏洞，將允許駭客繞過認證機制並於Desktop Central伺服器上執行任意程式，被列為重大（Critical）等級漏洞。</p> <p>FBI則說，早在今年10月就有多個先進持續威脅（APT）駭客組織開採了該漏洞，它們以一個惡意的Webshell取代了Desktop Centrl上的合法功能，再下載其它攻擊工具，列舉分析所入侵網頁的使用者及群組，進行網路偵察並企圖橫向移動，還到處蒐集憑證。</p> <p>由於Zoho修補時該漏洞已被開採，因此Zoho也打造了<a href="https://downloads.zohocorp.com/dnd/Desktop_Central/JWcfd8UkKcYzkjN/detector.zip" target="_blank">開採偵測工具</a>及入侵指標，讓用戶在修補前先檢查是否已被入侵，倘若答案是肯定的，就必須先格式化後再重新部署Desktop Central。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1221-FBI%EF%BC%9ACVE-2021-44515-%20600-2.jpg" style="width: 600px;" /></p> </div></div></div>
2021/12/21 16:09作者陳曉莉https://www.ithome.com.tw/news/148487
Visual Studio針對.NET與跨平臺App提供多項好用的測試小功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在<a href="https://devblogs.microsoft.com/visualstudio/vs22-test-tools-for-net-and-cross-platform-apps/">Visual Studio的測試工具</a>中，加入幾項簡單的小功能，供開發者用於測試迴圈中，來讓測試工作更輕鬆容易。像是測試總管（Test Explorer）現在可以在測試執行完成時，播放提示聲音，用戶可以選擇兩種聲音，一種表示測試執行成功，且通過所有測試，另一種音效則用來表示測試執行完成，但至少有一個測試失敗，用戶可以在Windows聲音對話框中進行自訂。</p> <p>測試總管也提供新的指令（Ctrl+E,S），能夠讓用戶快速地從編輯器跳轉到測試總管中，或是用戶也可在編輯器右鍵點擊選單、CodeLens測試字型，以及在解決方案總管上點擊右鍵、跳轉至測試總管。而測試總管中的Console.WriteLine，現在也會出現在測試詳細資訊窗格中，標準輸出和標準錯誤都會顯示在該窗格，用戶能方便地存取測試輸出結果。</p> <p>另外，現在用戶也可以在Linux容器、WSL或是利用SSH連接執行除錯測試。使用Visual Studio進行遠端測試，將讓跨平臺開發更加容易，利用測試總管就能夠連接到遠端環境，在Visual Studio執行Linux測試。微軟提到，過去用戶必須從Linux測試或其他作業系統，將程式碼推送至CI執行，才能獲得測試回饋，但是藉由遠端測試的支援，用戶可以在內部開發循環，就能獲得這些測試回饋，包括在Linux容器中除錯也是。</p> <p>Visual Studio還提供Playwright供開發者測試網頁應用程式，Playwright是最新的跨平臺非同步Web UI測試工具，其在建置的時候，考量了現代瀏覽器和服務，這代表在每個階段Playwright都會使用awaits，微軟提到，這減少Web UI測試脆弱性所帶來的困擾。</p> <p>Playwright不僅跨平臺，還跨語言支援TypeScript、JavaScript、Python、Java和.NET，並且帶有一個紀錄程式，能夠根據用戶的操作生成測試。</p> </div></div></div>
2021/12/21 16:17作者李建興https://www.ithome.com.tw/news/148488