iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 24篇
近 7 天: 136篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 10:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 134 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年1月3日，Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年12月初開始，就引起IT業界關注的Log4Shell漏洞，在12月的倒數3天，又有資安業者揭露相關攻擊行動。他們發現中國駭客組織Aquatic Panda利用這項漏洞，來鎖定學術單位採用的VMware Horizon系統下手，而在此之前，利用這項漏洞的中國駭客組織，還有發動SolarWinds供應鏈攻擊的Hafnium。</p> <p>而在曝露於各式IT系統的Log4Shell漏洞之外，存在於企業內部應用系統的漏洞，也可能引發嚴重的災難。例如，網路叫車平臺Uber的內部郵件系統，被研究人員找到的漏洞也值得留意，因為，攻擊者可運用這項漏洞來假借Uber的名義，來騙取用戶與司機的信用卡資料。但這名研究人員揭露後，多名資安人員也表明他們曾向Uber通報相關漏洞，且同樣不被Uber承認。</p> <p>但上述提及的軟體漏洞之餘，上週大型物流業者、音訊裝置業者接連傳出雲端儲存桶配置不當的情況，接著又有遊戲大廠Sega也被發現類似的情形。研究人員發現，Sega的AWS S3儲存桶防護不足，可讓任何人上傳或修改部分網站的內容，甚至是竄改網域組態，所幸沒有遭到濫用的跡象。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.cyberscoop.com/chinese-hackers-use-log4j-exploit-to-go-after-academic-institution/"><span style="color: rgb(0, 0, 0);"><strong>中國駭客組織利用Log4Shell攻擊學術機構</strong></span></a></h4> <p>資安業者CrowdStrike指出，他們發現名為Aquatic Panda的中國駭客組織，利用Log4Shell漏洞，鎖定使用遠端工作平臺VMware Horizon的學術機構發動攻擊。這項攻擊行動的過程裡，駭客找尋VMware Horizon採用的Tomcat網站伺服器元件下手，並下達一連串的Linux命令，使用寫死IP位址的Shell程式碼，從攻擊者的基礎設施取得其他作案工具。研究人員表示，由於在執行Tomcat服務的Windows伺服器上，也看到攻擊者執行上述Linux指令，而引起他們的注意，從而發現這起利用Log4Shell的攻擊行動。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148666"><span style="color: rgb(0, 0, 0);">遊戲大廠Sega歐洲雲端系統防護不足，致用戶資料及公司資產曝險</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/explanation-sega-vulnerabilities-hack-infographic-updated.jpg" style="width: 300px; float: right;" /></a>VPN服務評測網站VPN Overview指出，他們發現遊戲大廠Sega的歐洲AWS S3儲存桶防護不足，影響該公司26個網域或遊戲服務。研究人員指出，這些防護不足的現象，讓他們可以上傳或修改網站的檔案、執行程式碼、變造網頁及網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄（Bayonetta）及全軍破敵（Total War）等遊戲服務。Sega獲報後於去年10月底修正上述防護不足的情形。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/popular-qanda-app-curious-cat-loses-domain-posts-bizarre-tweets/"><span style="color: rgb(0, 0, 0);">社交網路應用Curious Cat失去其網域名稱所有權，並發布怪異的推文</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，名為Curious Cat的網路問答社群服務，約於2021年12月19日開始失去網域名稱所有權，當時網站已顯示網域名稱求售的內容，隨後不久便被替換成為網站正在維護的訊息，但商標與原本的完全不同。Curious Cat在推特上表明是因工作人員的疏失造成，並將服務原本Curiouscat.qa網域，更換為Curiouscat.me和Curiouscat.live，要求用戶更新Android與iOS的App才能繼續使用，不少用戶決定暫時停止使用Curious Cat的服務。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/pulsetv-discloses-potential-compromise-of-200-000-credit-cards/"><span style="color: rgb(0, 0, 0);"><strong>網路購物平臺PulseTV遭駭，20萬張信用卡資料外洩</strong></span></a></h4> <p>美國網路購物平臺PulseTV驚傳資料外洩，根據該公司與緬因州檢察總長辦公室報告的資料，至少有20萬名客戶受到影響。這家業者自2021年3月察覺未經授權的信用卡交易，但直到當地執法部門通報，他們才與外部資安業者合作，研判約從2019年1月1日至2021年8月31日使用信用卡購物的客戶，可能會受到此次攻擊事件影響。該公司宣布，將轉換到其他支付系統，並要求客戶啟用雙因素驗證來防範相關攻擊。</p> <h4><strong><a href="https://unit42.paloaltonetworks.com/strategically-aged-domain-detection/"><span style="color: rgb(0, 0, 0);">五分之一老舊網域存在資安風險，恐被用於攻擊行動</span></a></strong></h4> <p>資安業者Palo Alto Networks指出，他們自2021年9月開始觀察數萬個網域，結果發現近期駭客來發動攻擊的網域，往往使用已經註冊一段時間的網域名稱，原因是資安業者往往優先檢查新註冊的網域（NRD）。這種被先註冊的網域名稱，攻擊者的目的是要維持其無害的記錄，而不致被資安系統識別為有害，研究人員發現，這種網域通常會先暫停使用2年，之後的DNS流量會爆增約165倍。而他們會調查這些網域的原因，主要與近期發現的Pegasus間諜軟體攻擊行動有關。</p> <h4><strong><a href="https://research.checkpoint.com/2021/a-deep-dive-into-doublefeature-equation-groups-post-exploitation-dashboard/"><span style="color: rgb(0, 0, 0);">APT駭客運用DanderSpritz事件記錄框架，進行偵察與持續在受害電腦的工作</span></a></strong></h4> <p>資安業者Check Point指出，他們發現Equation Group駭客組織在使用的DanderSpritz惡意框架裡，搭配名為DoubleFeature的日誌記錄工具，來追蹤惡意框架的運作狀態。研究人員指出，這個工具監控了DanderSpritz的遠端存取模組、資料洩露後門、持久性工具等模組是否正常運作，而能在受害電腦上長時間進行監控。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/uber-ignores-vulnerability-that-lets-you-send-any-email-from-ubercom/"><span style="color: rgb(0, 0, 0);">網路叫車平臺的Uber郵件系統存在漏洞，可被用於騙取信用卡資料</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/email-from-uber.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-from-uber.jpg" style="width: 300px; float: right;" /></a>漏洞懸賞獵人Seif Elsallamy指出，他發現了網路叫車平臺Uber系統裡的漏洞，一旦有人利用這項漏洞，就能以Uber的名義發送電子郵件，研究人員也進行概念性驗證攻擊，藉著這項漏洞，成功發送要求用戶驗證信用卡資料的攻擊信件，而且，該信件亦通過DKIM和DMARC等安全檢查。然而，Uber獲報後認為，這必須要透過社交工程才能發揮作用，而認定不是他們漏洞懸賞計畫範圍的漏洞，但該名研究人員指出，這項漏洞若是與該公司2016年外洩的用戶與司機個資搭配使用，將會產生嚴重的後果。</p> <h4><strong><a href="https://trevorspiniolas.com/doorlock/doorlock.html"><span style="color: rgb(0, 0, 0);">研究人員揭露iOS漏洞，可利用HomeKit智慧家電癱瘓iPhone</span></a></strong></h4> <p>研究人員Trevor Spiniolas揭露一項iOS漏洞doorLock，這項漏洞存在於iOS 14.7至15.2，攻擊者可透過蘋果認證的HomeKit智慧家電裝置，藉由將這類裝置的名稱設置為50萬個字元的方式觸發漏洞，導致能探索HomeKit裝置的iPhone或iPad，家庭（Home）App可能會完全無法運作，甚至整個作業系統出現無法回應的情形。蘋果原本預計於2021年修補，但目前延後到2022年初才會提供更新軟體，使得該名研究人員公布相關細節，並呼籲用戶停用iOS裝置的「家庭設備」功能，來防範相關攻擊。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/firmware-attack-can-drop-persistent-malware-in-hidden-ssd-area/"><span style="color: rgb(0, 0, 0);">美光固態硬碟存在可濫用的隱藏磁區，恐被攻擊者用於藏匿惡意軟體</span></a></strong></h4> <p>高麗大學的研究人員發現，美光（Micron）為增加固態硬碟（SSD）運作效率，所加入的彈性容量機制，可能會被攻擊者濫用。研究人員表示，由於這種機制的保留空間無法透過作業系統直接存取，連帶防毒軟體也難以檢測，再加上SSD廠商基於效能考量，而實際上往往長達數個月才清除寫入的檔案，使得攻擊者能在這個磁碟區埋藏惡意軟體。研究人員呼籲固態硬碟業者，應提供相關的防禦措施。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/netgear-leaves-vulnerabilities-unpatched-in-nighthawk-router/"><span style="color: rgb(0, 0, 0);">Netgear路由器存在漏洞，攻擊者可用於接管設備</span></a></strong></h4> <p>資安業者Tenable指出，Netgear旗下的Wi-Fi路由器Nighthawk R6700v3，存在6個高風險漏洞，一旦攻擊者利用這些漏洞，將能完全控制路由器設備，雪上加霜的是，該路由器亦採用了存在漏洞的jQuery程式庫（1.4.2版），以及具有已知弱點的MiniDLNA伺服器軟體（未透露版本）。研究人員在9月30日通報Netgear，不過迄今該廠商尚未發布修補程式。</p> <h4> </h4> <h3><strong>【資安防禦措施】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-adds-441k-accounts-stolen-by-redline-malware/"><span style="color: rgb(0, 0, 0);">密碼外洩查詢網站HIBP加入由竊密軟體RedLine偷到的帳密資料</span></a></strong></h4> <p>提供外洩帳密查詢的網站Have I Been Pwned（HIBP），資料來源多半是遭受攻擊的網站服務，但他們最近新加入的資料，是攻擊者透過竊密軟體RedLine從受害電腦裡，所挖掘的各式帳號和密碼。這些資料是由資安研究員Bob Diachenko發現，存在於未設防的伺服器，約自2021年8月至9月收集而得，總共超過600萬筆資料，經過分析後約有44.1萬個不重複的帳密，其中包含了許多用戶在密碼管理服務LastPass裡，所採用的主密碼（Master Password），研究人員懷疑可能與日前LastPass傳出資料外洩的事故有關。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148656">2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/1/3 14:20作者周峻佑https://www.ithome.com.tw/news/148681
Amazon修正Alexa提供危險大冒險的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少父母購買智慧音箱，當作小孩聖誕或是新年禮物，但是智慧助理卻可能給出危險的建議，一位推特用戶<a href="https://twitter.com/klivdahl/status/1475220450598924297">Kristin Livdahl在推特發文</a>提到，他的10歲小孩要Amazon Echo智慧助理Alexa，給他一個大冒險提議，而Alexa根據網站ourcommunitynow.com的內容，提供給10歲小孩相當危險的大冒險。</p> <p>Alexa所提供的大冒險，要這位小孩將電話充電插頭，只插進插座一半，並且用一分錢硬幣接觸裸露在外的金屬接頭。Kristin Livdahl覺得相當不可思議，智慧助理竟然給出這麼危險的建議，許多用戶也相當訝異，畢竟Alexa所提供的內容，可能威脅孩童的性命。</p> <p>Amazon的客服帳號在Kristin Livdahl的推文下留言，希望他能提供更進一步的資訊，幫助他們解決該問題，但其他用戶顯然對Amazon的回應不甚滿意，認為他們應該立刻升級該問題的層級，並且更積極地採取行動，而非只要求用戶透過客服連結，提供更詳盡的資訊。</p> <p>Kristin Livdahl這篇文章引來大批用戶關注，Amazon也迅速採取行動，在發文隔天，當用戶再次向Alexa提問「Tell me a challenge to do」，Alexa則回應無法找到任何該問題的答案。</p> <p>Kristin Livdahl推文下也有另外一股聲音，在討論讓孩童接觸這類電子產品的合適性。雖然10歲大的孩童，應該已經有能力分辨危險行為，但父母陪同孩童使用這些產品，並且適時提供引導，更能降低意外發生的可能性。</p> </div></div></div>
2022/1/3 15:37作者李建興https://www.ithome.com.tw/news/148682
Uber含有一個讓任何人都能以Uber官方帳號寄送郵件的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名安全研究人員Seif Elsallamy在去年底透過HackerOne抓漏獎勵專案，提交了一個Uber漏洞，該漏洞允許任何人以Uber的名義及官方帳號寄送電子郵件，卻遭到Uber以「超出範圍」（out-of-scope）拒絕。<a href="https://twitter.com/0x21SAFE/status/1477003988792926210" target="_blank">當Elsallamy透過Twitter揭露此一漏洞之後</a>，才發現至少有另外3名安全研究人員在更早之前、就提報了同一個漏洞，且陸續遭到Uber忽略。</p> <p>Elsallamy在Twitter上公布了他利用@uber.com寄給自己的郵件，<a href="https://www.bleepingcomputer.com/news/security/uber-ignores-vulnerability-that-lets-you-send-any-email-from-ubercom/" target="_blank">另也寄了一封概念性驗證攻擊郵件予《BleepingComputer》</a>，在此一測試郵件中，寄件者欄位為Uber for Business <<a href="mailto:noreply@uber">noreply@uber</a>[.]com>，郵件內容則是誆稱用戶帳號有問題，要求使用者輸入自己的信用卡資訊進行驗證，以展示運用該漏洞而進行的網釣攻擊。</p> <p>由於Uber曾在2016年遭到駭客入侵，<a href="https://www.ithome.com.tw/news/118482" target="_blank">同時外洩5,700萬名Uber乘客與司機的資料</a>，這使得Elsallamy質疑，倘若此一安全漏洞遭到駭客濫用，再佐以這5,700萬筆的外洩資料，那麼後果將不堪設想。</p> <p>有趣的是，當Elsallamy揭露此一漏洞之後，陸續有其他安全研究人員指出他們也曾提交同一個安全漏洞，但皆遭Uber忽略，<a href="https://twitter.com/ShivaSMaharaj/status/1477670787792445444" target="_blank">其中的Shiva Maharaj甚至表示</a>，他曾在2015年及2016年提交該漏洞，不過Uber並不在乎；另外兩名安全研究人員則是在去年提出，同樣直接被跳過。</p> <p>迄今Uber尚未回應媒體或公開對外說明此事。</p> </div></div></div>
2022/1/3 12:15作者陳曉莉https://www.ithome.com.tw/news/148680
遊戲宣傳新手法，Sega打造全世界「最快」PC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SEGA_OFFICIAL/status/1475391408374956033" target="_blank">遊戲機業者Sega日前展示</a>在合作夥伴英特爾、AMD等廠商合作下完成世界「最快」的PC。</p> <p>為了慶祝新年假期銷售，以及宣傳最新Sega Atlas Steam音速小子系列遊戲，這家日本遊戲機大廠結合PC合作夥伴打造「世界最高速PC」，提供給到官方推特留言用戶的獎品。</p> <p>這臺遊戲用PC同時也是一臺真正能跑的遙控汽車。<a href="https://sega.jp/special/sale/steam/present.html" target="_blank">根據Sega官網</a>，利用Intel第12代 i9-12900K處理器、AMD Radeon RX 6900 XT OC Formula 16GB顯卡及華擎（ASRock）主機板ASRock Z690M-ITX/ax、以及32GB記憶體及2000GB SSD，這臺會行走的PC最高可達時速100公里，堪稱全世界「速度最快」的PC。</p> <p>1月5日前到Sega官方推特帳號留言的一名幸運消費者，可以獲得這臺PC及23款Steam遊戲。雖然開放所有人留言，只是獎品僅限提供日本國內用戶就是了。</p> </div></div></div>
2022/1/3 11:23作者林妍溱https://www.ithome.com.tw/news/148673
CES 2022將縮短1天展期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19疫情再起，多家科技大廠退出後，<a href="https://ces.tech/News/Press-Releases/CES-Press-Release.aspx?NodeID=9a9009e2-a501-4dc3-b328-0960e2a385d2" target="_blank">消費電子大展（Consumer Electronics Show，CES）主辦單位宣布今年展期仍將舉行</a>，展期則從1月5日到7日，較原本規劃提前一天結束。</p> <p>主辦單位表示，此舉是在CES現在衛生規定之外所做的進一步安全措施。</p> <p>爆發於2020年春天的COVID-19疫情，在歐美民眾相繼接種疫苗後原本已經逐漸平穩，CES 2022原訂1月5日到1月8日在拉斯維加斯舉行實體展會，同步舉行線上展覽。</p> <p>主辦單位表示，今年仍然超過2,200家廠商，包括兩周內新登記的公司參加實體展出。此外CES Unveiled會前活動以及CES媒體日，也都會按預訂的1月3日和4日舉行。</p> <p>欲參展及參觀人士必須完成2劑疫苗接種，並在報到前出示接種證明，以及24小時內的COVID-19陰性檢測報告。</p> <p>隨著新變種病毒Omicron快速散布，歐美地區近月確診人數持續攀高，多家科技大廠宣布決定不參加實體布展，包括Waymo、AT&T、T-Mobile、Meta、Amazon、Twitter、Tiktok、Nvidia、Google、聯想、英特爾，以及車廠賓士（Mercedes-Benz）、BMW等。多家科技媒體也宣布不會派員前往展場採訪。</p> <p><a href="https://www.aljazeera.com/economy/2021/12/28/apple-shuts-all-nyc-stores-to-shoppers-as-omicron-cases-surge" target="_blank">媒體報導</a>，疫情復燃所致，蘋果迄今已關閉包括紐約全市12家，以及佛州、馬里蘭及加拿大等地共20家AppStore門市。</p> </div></div></div>
2022/1/3 11:42作者林妍溱https://www.ithome.com.tw/news/148676
印度開始調查蘋果App Store的支付規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度競爭委員會（Competition Commission of India，CCI）在去年的12月31日，<a href="https://www.cci.gov.in/sites/default/files/24-of-2021.pdf" target="_blank">下達了一項命令</a>，開始針對蘋果App Store是否違反反托拉斯法令展開調查。</p> <p>CCI的行動源自於印度的非營利組織Together We Fight Society，該組織於去年9月代表印度的消費者與新創事業，向CCI舉報App Store違反反托拉斯法令，指稱App Store向開發者收取30%的分潤傷及消費者，也危及市場競爭。</p> <p>Together We Fight Society認為，蘋果掌控了iOS作業系統，還於iOS中內建App Store程式市集，開發者只能透過App Store提交程式，也被限制只能採用其支付介面，並在每一次的交易中被收取30%的分潤。</p> <p>相較之下，包括Mac或MacBook等蘋果個人電腦屬於開放市場，允許使用者從各網站下載應用程式，其支付手續費介於2~5%之間，比App Store便宜10倍。這使得Together We Fight Society控告蘋果濫用其行動市場的支配地位，違反印度的反托拉斯法令。</p> <p>事實上，蘋果在各國掀起的壟斷爭議都差不多，負責軟體工程的蘋果副總裁Craig Federighi在Epic Games控告蘋果一案中，<a href="https://www.ithome.com.tw/news/144524" target="_blank">便曾就是否開放App Store作出說明</a>，指出蘋果對App Store的掌控有效地減少了該行動程式市集中的惡意程式，有鑑於iOS裝置用戶所下載的程式比Mac用戶多上許多，一旦允許iOS用戶自第三方下載程式，後果可能不堪設想。</p> <p>至於App Store的交易拆帳問題，蘋果也開始釋出善意，先是<a href="https://www.ithome.com.tw/news/146419" target="_blank">在去年8月同意讓開發者與使用者溝通其它付款方式</a>，接著<a href="https://www.ithome.com.tw/news/147457" target="_blank">於10月更新App Store審核準則</a>，替開發者場外交易鋪路。外界預期蘋果在今年，就會允許開發者藉由蘋果以外的支付機制進行交易。</p> </div></div></div>
2022/1/3 11:53作者陳曉莉https://www.ithome.com.tw/news/148677
京都大學超級電腦備份錯誤，損失77TB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.iimc.kyoto-u.ac.jp/ja/whatsnew/trouble/detail/211216056978.html" target="_blank">日本京都大學上個月公告</a>，該校一座開放其他學術研究單位使用的超級電腦系統發生備份瑕疵，導致近77TB用戶資料損失。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-kyoto.jpg" style="width: 600px;" /></p> <p>京都大學指出，受到軟體瑕疵影響，該系統的/LARGE0檔案系統於2021年12月14日下午5:32、到12月16日12:43發生檔案刪除活動。凡是在2021年12月3日下午5:32以後未更新的檔案，都遭到刪除。</p> <p>根據維護單位調查，遭刪除的檔案近77TB，<a href="https://news.yahoo.co.jp/articles/37680a35fdd891150f8c6d0539655af2df39dab5" target="_blank">總共涉及3,401萬份檔案</a>。有14個用戶群組受到影響，雖然經設法搶救，仍有其中4個群組約28TB資料，無法藉由備份回復。</p> <p>京都大學於12月16日通知受影響的用戶。</p> <p>京都大學超級電腦服務提供大量資料的科學及產業研究，包括計算化學、結構分析、統計運算、視覺化應用等。該超級運算服務由3座HP Cray的超級電腦組成，包括Camphor 2、Laurel 2及Cinnamon 2。其中Camphor 2為運算速度名列世界162的系統。<a href="http://www.iimc.kyoto-u.ac.jp/ja/services/comp/supercomputer/" target="_blank">根據京都大學提供的資料</a>，這項服務中的儲存系統為DataDirect ExaScaler。</p> </div></div></div>
2022/1/3 09:32作者林妍溱https://www.ithome.com.tw/news/148672
微軟內部部署Exchange Server含有無法寄出郵件的2022年臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在邁入2022年的第一秒鐘，供內部部署的微軟Exchange Server 2016及Exchange Server 2019就無法再寄出新郵件，原因是Exchange Server中的惡意軟體與垃圾郵件掃描引擎FIP-FS無法檢查自2022年開始的新日期。</p> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/email-stuck-in-exchange-on-premises-transport-queues/ba-p/3049447" target="_blank">微軟說明</a>，這並非是安全問題，而是因為日期翻過2022年之後，FIP-FS的日期檢查失敗了，造成FIP-FS當掉，進而導致郵件伺服器的訊息被卡在傳送佇列中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0103-exchage%20bug.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/email-stuck-in-exchange-on-premises-transport-queues/ba-p/3049447" target="_blank"><span style="color:#696969;">圖片來源_微軟</span></a></span></p> <p><a href="https://twitter.com/JRoosen/status/1477203087421018118" target="_blank">安全研究人員暨Exchange管理員Joseph Roosen指出</a>，這應該是因為FIP-FS採用Int32結構來儲存日期，所支援的最大值為2,147,483,647，但2022年1月1日的值為2,201,010,001，超過Int32的最大值，而使得FIP-FS出現錯誤。</p> <p>微軟很快就釋出了修補程式，但必須由IT管理人員主動部署，可下載一個重置FIP-FS的腳本程式，以進行自動化部署，也可選擇手動變更FIP-FS。</p> </div></div></div>
2022/1/3 09:05作者陳曉莉https://www.ithome.com.tw/news/148670
BlackBerry OS、軟體1/4起終止運作，影響資料、通話及緊急服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經被視為商用人士必備的黑莓機也將劃下句點。<a href="https://www.blackberry.com/us/en/support/devices/end-of-life" target="_blank">黑莓機製造商BlackBerry在去年12月最後一周宣布</a>，BlackBerry 7.1 OS、BlackBerry 10軟體、BlackBerry PlayBook OS 2.1及之前版本，將在2022年1月4日終止運作，即終止生命周期（End of Life，EoL）。屆時，所有跑這些軟體的裝置，不論是Wi-Fi上網或是行動連網的服務，包括資料傳輸、打電話、簡訊或911緊急通話都會發生運作不穩定的問題。</p> <p>BlackBerry在2020 年9月時便宣布這項消息，並為了感謝合作夥伴及用戶，將這些服務的支援延到2022年1月4日。BlackBerry表示這些服務的終止也會影響BlackBerry代管郵件信箱、BlackBerry Link、桌機管理員軟體、BlackBerry Blend、Black Protect（允許遠端封鎖BlackBerry 10手機、刪除資料及定位）等服務。但不影響同名為BlackBerry Protect的AI端點安全方案。</p> <p>同時，跑Android的BlackBerry手機也仍然可持續運作。</p> <p>黑莓機（BlackBerry）是由加拿大廠商RIM推出的商用手機，在21世紀初期以其實體按鍵及安全性受到商務及政界人士歡迎，曾經在美國拿下一半市占。但隨後不敵蘋果iPhone以及三星等Android手機的競爭，而逐漸流失客戶。</p> <p>2013年BlackBerry推出最後一版OS BlackBerry 10，2015年BlackBerry宣布轉向支援Android，但仍無法起死回生。2016年BlackBerry宣布轉型為純軟體公司，並逐漸朝<a href="https://www.ithome.com.tw/news/127111" target="_blank">物聯網</a>、<a href="https://www.ithome.com.tw/news/120927" target="_blank">企業安全軟體</a>發展。</p> <p>另一方面，在Android手機方面，BlackBerry已經尋求以品牌授權作為最後的業務收入。2016年12月BlackBerry授權中國TCL生產黑莓（BlackBerry）機，不過合約於2020年8月到期（<a href="https://www.ithome.com.tw/news/135644">https://www.ithome.com.tw/news/135644</a>）也不再續約，外界認為已是黑莓機的終點。</p> <p><a href="https://www.ithome.com.tw/news/139517" target="_blank">2020年中</a>，它和一家新創公司OnwardMobility及鴻海子公司富智康（FIH Mobile）合作，將由富智康代工生產具有實體鍵盤的5G版Android黑莓機，預定在北美和歐洲推出。不過<a href="https://www.theverge.com/2021/12/31/22861141/blackberry-legacy-devices-dead-lose-functionality-january-4th" target="_blank">The Verge報導</a>這家公司去年1月已不再更新公司官網。</p> </div></div></div>
2022/1/3 09:19作者林妍溱https://www.ithome.com.tw/news/148671
因連結而能永續
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>度過2021年，臺灣歷經近5個月的COVID-19疫情大爆發，想必許多人應該都稍微練就在家上班的本領，而在疫情緊繃的這段期間，IT層面能否替業務的永續營運提供足夠的奧援，也成為許多公司相當關注的重點。因為員工的互動模式被迫改變，無法繼續每天面對面溝通、交換訊息的工作模式，此時，就必須更大幅仰賴各種內外部的IT應用系統或服務來幫忙。</p> <p>經歷零接觸工作模式的過程後，或許該重新回頭審視企業在這段期間所做的改變，想想究竟跟之前所預期的狀況有何分別，該如何改善，以確保未來若在面臨同樣狀況時，能夠運作得更流暢。</p> <p>而對於企業而言，無論是早就準備好各種遠端辦公的環境，預先建置了桌面虛擬化環境、整合通訊平臺、VPN加密網路，或是因陋就簡，勉強搭配免費的即時通訊軟體，以及雲端的各種協同合作軟體服務，總算也是撐過這段辛苦的時間，這些都要有賴於網際網路的普及、區域與廣域網路傳輸的穩定與頻寬的充裕，以及軟體與雲端服務功能的健全，才能抵消無法前往公司上班的不方便。</p> <p>面對2022年的到來，許多可能先前仍便宜行事的企業與組織，應該要思考是否要繼續沿用或持續提升這樣的應變機制，因為無法擔保未來不會遇上更長期在家工作的狀況，這樣的場景早已發生在臺灣以外的國家地區，為期將近兩年之久，因此，相關的IT投資與生產、製造、溝通流程的改善，勢必要繼續精進，才能讓企業營運得以持續。</p> <p>無論是否要推動更多技術應用，經過這段較長期的在家工作，當然有許多不方便，但往好處想，企業過去難以推動與落實的一些數位化工程，幾乎都有了比較顯著的成效。</p> <p>舉例來說，談了許多年的無紙化作業，許多單位終於在這段時期不得不積極推動、學著適應新的工作習慣，並且制定與調整相關的作法，而產生一定的成效，同時，大家也真正意識到：全程透過軟體與網路來進行各種操作、互動及審核批准的流程，是完全可行的，並不如過去眾人以為的窒礙難行，甚至節省許多彼此等待的時間。</p> <p>當然，中間有些環節，還是無法盡如人意，例如，受限於軟體授權的成本考量，並不是每家公司都有辦法幫所有工作者添購合適的工具，於是，有些協同作業的進行，還是須委託特定人員操作，無法直接互動。</p> <p>另外，在資安防護方面，無論是全部採用軟體或線上服務，在檔案交付上，目前許多中小企業並未積極建置文件安全控管系統，以及檔案威脅清除系統（CDR），而且，相關保護過往是以內部網路為主要保護範圍，無法涵蓋外部網路的存取，若使用者不願用VPN，公司又無強制其必須連回公司內部網路的手段，其實他們也能經由網際網路、即時通訊軟體，與其他同事彼此交換這些內容，而且員工在家工作，除了電腦本身安裝的防毒軟體，以及上網路由器內建的簡易防火牆之外，企業無法到這些員工家裡提供更多網路防護機制，而產生不少可乘之機。因此，面對資安邊界的消弭，難以掌控防護程度是否足夠的企業，須設法避免員工外洩機密與敏感資料，以及夾帶惡意軟體的狀況。</p> <p>除了IT系統與應用程式的就緒，網路與電力的穩定供應，也是須關切的議題，因為上述機制要正常運作，網路與電力都是基礎。</p> <p>以臺灣而言，國內的網路傳輸品質可能不需要擔心，然而，隨著一般使用者與企業對於各種雲端服務的依賴度日增，臺灣聯外的海纜網路，以及各大雲端服務業者本身的資料中心與網路可靠度，也或多或少會影響企業IT服務的永續。</p> <p>關於臺灣電力供應的部分，更是令許多人感到擔憂。雖然政府積極推動能源轉型，希望能夠兼顧環保，然而，在淨零碳排的議題上，政府傾向從燃煤改以天然氣為主，但這仍是溫室氣體排放，再加上臺海情勢緊繃，能源持續供應也存在著無法忽視的風險。而且，企業無法排除疫情、能源短缺等多重因素同時爆發的可能性，須正視並提出更周延的因應對策，才能在這些狀況發生時，有足夠辦法來緩解衝擊。因此，企業應該要考量可再生能源的發展，以及能源自主的議題。</p> <p><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/148667" target="_blank"><span style="color:#FFFFFF;"> 相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/148667" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1058-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=3B4FwPOJ" style="width: 570px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/2022%E8%B6%A8%E5%8B%A2">2022趨勢</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E7%96%AB">後疫</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div></div></div>
2021/12/31 17:41作者李宗翰https://www.ithome.com.tw/voice/148668
Sega雲端系統防護不足，致用戶資料及公司資產曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://vpnoverview.com/news/sega-europe-security-report/" target="_blank">安全廠商發現</a>，遊戲機大廠Sega歐洲的雲端系統安全防護不足，洩露公司多個網域、多項AWS及郵件服務的登入資訊，可讓攻擊者上傳惡意檔案、執行指令或發送詐騙信件。</p> <p>安全廠商VPN Overview研究人員10月間發現Sega歐洲AWS S3儲存服務的防護問題，不過並未說明問題所在。研究人員一共發現了Sega歐洲多項服務憑證、RSA金鑰、Steam、MailChimp API金鑰及用戶個資與雜湊密碼。</p> <p>首先，曝露的Sega登入憑證影響26個以AWS S3為基礎，面向公開網路的Sega歐洲網域，讓研究人員可以上傳、修改檔案、執行腳本程式、變造現有網頁或變更網域組態。這些網域包含Sega.com、downloads.sega.com、CDN.sega.uk、以及知名遊戲音速小子（Sonic the Hedgehog）、魔兵驚天錄系列（Bayonetta）及全軍破敵系列（Total War）等遊戲服務。</p> <p class="rtecenter"><img alt="" src="https://vpnoverview.com/wp-content/uploads/explanation-sega-vulnerabilities-hack-infographic-updated.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源_VPN Overview</span></p> <p>在其測試中，研究人員成功上傳並置換SEGA營運用的CDN上的檔案，包括下載用的服務，表示一旦遭到存取，可能被來散布惡意檔案或勒索軟體等。研究人員還指出，Sega的CDN服務往往有第三方網站連結以更新官方圖片及檔案，Sega CDN若被駭入可因此波及531個外部網域。</p> <p>利用AWS服務憑證，研究人員可存取及變更隷屬於Sega歐洲的AWS服務，包括S3一百多個執行個體、EC2伺服器、AWS SNS Notification及AWS CDN服務Cloudfront。Steam API金鑰及MailChimp API金鑰，使他們得以存取Steam Partner API，並從公用郵件信箱<a href="mailto:[email protected]">[email protected]</a>寄發電子郵件，他們因此發現有不明人士使用這個API，寄發一封冒充官方的電子郵件。</p> <p>研究人員表示，之前並未發現任何惡意開採服務漏洞的行為。在接獲安全廠商通報後，Sega已經於10月底修正資料外洩的風險，包括防護可能被存取的Sega及AWS服務，與吊銷遭冒用、曝露及過期的API金鑰。</p> </div></div></div>
2021/12/31 16:23作者林妍溱https://www.ithome.com.tw/news/148666
展望後疫2022，CIO必看10大趨勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1058-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=3B4FwPOJ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2020緊急抗疫，到2021新常態崛起，2022年，後疫新世界逐漸成為企業日常。零接觸需求不斷加速數位轉型浪潮，IT從企業應變關鍵，成為轉型適應推手，現在更要成為企業迎戰新未來的武器。這10大趨勢，不只是CIO的課題，更是IT展現戰力的新機會</p> </div></div></div>
2021/12/31 16:54未署名https://www.ithome.com.tw/article/148667
傳Windows 11下一更新要等到2022年夏天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10過去一向以一年2個重大更新版的頻率提供新版本，但Windows 11不再採取相同策略。<a href="https://www.windowscentral.com/windows-surface-expectations-and-predictions-2022" target="_blank">Windows Central報導，</a>微軟可能會在2022年夏天才會釋出重大更新。</p> <p><a href="https://www.techradar.com/news/microsoft-will-update-windows-10-with-new-features-every-year-matching-windows-11" target="_blank">微軟Windows主管John Cable 2021年底曾指出</a>，Windows 10將調整為Windows 11相同步調，於2022年下半釋出下一次主要更新，這也是Windows 11的更新時程首次公開。</p> <p><a href="https://www.windowscentral.com/windows-surface-expectations-and-predictions-2022" target="_blank">Windows Central引述消息人士報導</a>，預計代號22H2的Windows 11更新，會在2022年5月完成，並在夏天期間才會釋出正式版。</p> <p>報導指出，22H2的角色和Windows 10的1511版一樣，目的是為了讓新作業系統更完整。<a href="https://www.ithome.com.tw/news/147075" target="_blank">今年11月釋出的Windows 11</a>還有些來不及正式加入的功能，可能將隨著22H2釋出給用戶，包括全系統深色模式、現代化操作介面、以及支援Windows 11更豐富的Amazon App Store等。</p> </div></div></div>
2021/12/31 15:02作者林妍溱https://www.ithome.com.tw/news/148665
台灣大哥大將合併台灣之星，為5G市場競合投下震憾彈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大晚間宣布與台灣之星完成合併契約簽署，將合併台灣之星，為國內電信市場投下震憾彈，兩家公司未來合併後，合計用戶數將超過980萬，縮短與擁有1060多萬用戶的電信龍頭中華電信間的差距。</p> <p>未來兩家公司合併，將以台灣大哥大為存續公司，而台灣之星將消滅，兩家公司的合併，尚需經過公平會與NCC的審核，未來若通過，新生的台灣大哥大在用戶數上將直逼中華電信，並拉開與第三的遠傳電信間的差距為了合併台灣之星，台灣之星每股可換發台灣大哥大0.04508股普通股，台灣大哥大也計畫增資發行2.82億股普通股。</p> <p>台灣之星旗下擁有200多萬用戶，2020年初5G首波頻譜釋照，中華電信重砸483億元，取得3.5GHz共90MHz頻寬，以及28MHz頻段的600MHz頻寬，在5G市場擁有最多頻譜資源的優勢。為加大在5G市場的競爭，以430多億元次高標金拿下3.5GHz頻段80MHz頻寬及28GHz頻段400MHz頻寬的遠傳，最先宣布和亞太電信合作，以換股投資方式，與亞太電信建立共頻共網合作關係，創下國內5G共頻共網先例。</p> <p>當時台灣大哥大只拿下3.5GHz頻段60MHz頻寬及28GHz的400MHz頻寬，是三大電信中標金與頻寬資源最少的，而台灣之星以近200億元取得3.5GHz頻段的40MHz頻寬，未來合併後，台灣大哥大除用戶數增加，3.5GHz頻段合計達100MHz，在主流的5G頻譜資源上甚至領先中華電信。台灣之星尚有900MHz與2600MHz頻段，加上台灣大哥大的700與1800，2100MHz形成互補。</p> <p>台灣大哥大表示，合併後，3.5GHz頻段5G基地臺總數達到1.1萬座，提供9成人口，95%的涵蓋，大大提升台灣大哥大在5G市場的競爭力。不只如此，兩家公司合併後更著眼於，網路合併的綜效，降低5G基地臺的耗電，台灣大哥大指出，5G基地臺耗電是4G的三倍以上，合併後只需一套3G網路, 普省下數千座4G基地臺，估一年省下4千萬度以上用電。</p> </div></div></div>
2021/12/30 20:53作者蘇文彬https://www.ithome.com.tw/news/148663
趕在2021年結束之前，金管會正式要求臺灣上市櫃大型企業都需設置資安長，讓此要求擴及各類傳產與電子產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府機關設置資安長已行之有年，但國內企業一直未能出現這樣的風潮，因此，從2017年開始，對於國內產業對於設置資安長（CISO）的議題，開始持續受到熱烈的探討，期望驅策各產業公司增設資安管理高層，以利資安政策推動與資源協調。</p> <p>隨著資安威脅日益嚴峻，以及資安長的議題已探討多年，能讓業界先有所準備，自2021年開始，金融業的銀行、保險、證期業者先受到規範，從往年的應設置資安專責單位的要求，進一步提升至應設置資安長，所有銀行都要這麼做，而保險與證期業者則有不同條件，達到一定規模者亦需設置。更受關注的是，現在，設置資安長一事開始擴及各個產業。</p> <p>在12月28日，金管會正式發布新版「公開發行公司建立內部控制制度處理準則」，這次修正的重點，就是開始明訂上市櫃公司需設置資安長，以及資安專責單位。特別的是，由於公司規模與產業別的差異，因此這次修正中，也明確畫分三個級別。</p> <p>以第一級公司而言，應設資安長與資安專責單位，並在2022年底完成；第二級公司，需設置資安專責單位，並在在2023年底完成；第三級則是針對經營不善與體質不佳的公司，給與較寬鬆的要求，至少1名資安專責人員，僅是鼓勵設置。</p> <h3><strong>臺灣上市櫃多個產業龍頭均受規範，需設資安長與資安專責單位</strong></h3> <p>有哪些公司2022年底需設資安長與資安專責單位？從分級標準來看，以第一級的條件而言，包含資本額100億元以上的大型公司，或是前一年底屬於臺灣50指數的高市值公司，同時，將電子商務與人力銀行產業納入。</p> <p>換言之，光是國內資本額破百億的上市櫃公司就有100多間，加上其他條件不重複的公司，大致將有100多家符合第一級的標準。</p> <p>若從產業別來看，當中其實包含了水泥、食品、電機、汽車、電信、海運與金融保險業，以及半導體、光電、電子零組件與電腦及週邊設備等。顯然，這意味著這些產業的龍頭，都開始要設置資安長。</p> <p>儘管在這些具規模的公司中，已有許多公司之前就將資安視為企業治理重要議題，因此早有資訊安全委員會、資安長的設置，或是設置資安主管。相對地，還沒做到的其他公司，現在這一年得要趕緊做好相關準備。</p> <p>例如，2021在12月初，最新的臺灣50指數成分股的調整預告中，這次新增一家公司──國內上市PCB大廠欣興電子，並於12月20日開盤後生效。等於他們才剛剛被納入臺灣50指數，而該公司在此方面的反應相當迅速，他們在12月16日即宣布，董事會通過新設立資訊長暨資安長一職，等於及早因應這項法令的要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%A8%AD%E8%B3%87%E5%AE%89%E9%95%B7%E6%88%90%E5%AE%9A%E5%B1%80.jpg" style="width: 600px;" /></p> <blockquote><p>在12月新納入臺灣50指數成分公司的上市PCB大廠欣興電子，在12月16日宣布，新增設資訊長暨資安長一職。 </p> </blockquote> <p>不僅如此，同時，由於2021年9月時，金融業設置資安長成為法規明訂條文，緩衝期限是到2022年3月底。</p> <p>因此最近兩個月，我們看到許多業者已紛紛採取行動，例如，在11月有統一證券、國泰投信、國泰綜合證券、元大證券、玉山金控、群益證券、元大投信與元大銀行，新增設資安長；在12月，有兆豐國際銀行將資安長調整為副總經理以上層級，並有台企銀、合作金庫票券金融、華南永昌綜合證券、高雄銀行與兆豐票券金融，陸續新增設資安長。</p> <p>有哪些公司2023年底需設資安專責單位？這部分鎖定的是國內普遍的上市櫃公司，因為第二級的條件，就是第一級以外，最近三年度稅前純益未有連續虧損，且每股淨值未低於面額者，基本上，將會有1千多家公司符合此條件。</p> <p>此外，在上述第一、二級以外的上市櫃公司，也就是最近3年度稅前純益有連續虧損，或最近年度每股淨值低於面額的公司，由於這些公司本身的經營體質就需要資源去做改善，因此內控制度準則在此未有太多要求，僅提到應有至少1名資安專責人員，沒有明訂實施時程，但鼓勵設置。</p> <p>整體而言，從目前規範來看，主要強調公司應指派綜理資訊安全政策推動及資源調度事務之人，兼任資訊安全長，並沒有要求需獨立設資安長，或許是考量目前市場人力的短缺，以及現階段還是在推動建立資安治理基礎。</p> <p>畢竟，資安問題就擺在眼前，企業高層若無人重視，誰來推動相關政策與協調資源。但同時要注意的是，公司並不是有了資安長就能無憂，要能真正推動企業內部資安的逐步落實，才能發揮作用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E8%A8%AD%E8%B3%87%E5%AE%89%E9%95%B7%E6%88%90%E5%AE%9A%E5%B1%80(1).jpg" style="width: 600px;" /></p> <blockquote><p>關於上市櫃公司應配置資訊安全人力的一定條件，金管會已有規範，將採循序漸進方式推動辦理，總共分為三級，實施範圍與時程如上表所示。 </p> </blockquote> </div></div></div>
2021/12/30 17:15作者羅正漢https://www.ithome.com.tw/news/148662
【資安日報】2021年12月30日，加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到S…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>引起全球IT界震驚的Log4Shell漏洞，最近又傳出新的受害者，這次是越南知名的加密貨幣交易所ONUS，他們的付款系統存在相關漏洞，而成為勒索軟體入侵的管道。即使付款系統業者於12月13日發布修補程式，但在此之前，駭客已成功侵入該公司的付款系統。</p> <p>但除了上述的漏洞攻擊行動，電信業者傳出用戶面臨挾持SIM卡攻擊（SIM Swapping）的情況，也不時有攻擊事故發生，這次攻擊者針對的T-Mobile使用者而來，而該電信業者今年已有數起資安事件傳出。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://www.bleepingcomputer.com/news/security/fintech-firm-hit-by-log4j-hack-refuses-to-pay-5-million-ransom/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體透過Log4Shell漏洞攻擊越南大型加密貨幣交易所</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/onus-data-forum.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/onus-data-forum.jpg" style="width: 300px; float: right;" /></a>越南大型加密貨幣交易所ONUS傳出遭到勒索軟體攻擊，駭客於12月11日至13日之間，鎖定存在Log4Shell漏洞的付款系統Cyclos下手，這套付款系統含有近200萬筆客戶資料，包含了「了解你的客戶（E-KYC）」資料與密碼。駭客向ONUS勒索500萬美元遭拒，將竊得的資料於駭客論壇求售。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148660"><span style="color: rgb(0, 0, 0);">金融業恐淪Log4j漏洞風暴最大受害者！可能有高達一半比例的公司各自使用10個以上有漏洞的版本</span></a></strong></h4> <p>開放原始碼軟體資安廠商WhiteSource代理商叡揚資訊，針對多個產業用戶進行調查，結果發現許多產業都無法倖免Log4Shell漏洞的風險。但其中，金融業所要處理的Log4j漏洞管理作業可能最繁重，因為他們的金融業用戶中，使用有漏洞Log4j版本超過10個的公司，竟高達50％。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-log4j-scanner-triggers-false-positive-alerts/"><span style="color: rgb(0, 0, 0);">微軟防毒驚傳誤報，將自家的Log4j元件掃描工具識別為有害</span></a></strong></h4> <p>Microsoft Defender for Endpoint傳出誤報事件，而且，還是針對自家提供的Log4j元件掃描工具所出現的烏龍。根據資安新聞網站Bleeping Computer的報導，大約自12月23日起，開始有IT人員反應收到警示通知，指出名為OpenHandleCollector.exe的處理程序，疑似存在記憶體內感測器篡改（Possible sensor tampering in memory）的威脅，而這個處理程序，其實是日前微軟針對Microsoft 365 Defender用戶推出的Log4Shell檢測工具。微軟後來證實是誤報，並著手進行修正問題。</p> <h4><a href="https://tmo.report/2021/12/t-mobile-has-suffered-yet-another-data-breach/"><span style="color: rgb(0, 0, 0);"><strong>電信業者T-Mobile證實用戶遭到SIM卡挾持攻擊</strong></span></a></h4> <p><a href="https://s4.itho.me/sites/default/files/images/december_breach_2_wm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/december_breach_2_wm.png" style="width: 300px; float: right;" /></a>大型電信業者T-Mobile近期對於部分用戶發出聲明，指出某些帳號出現未經授權的攻擊行動，攻擊者可能會用來檢視客戶專用網路資訊（CPNI），或是進行SIM卡挾持（SIM Swapping）攻擊，該公司宣稱，只有一些資訊遭到曝露。根據資安新聞網站Bleeping Computer的確認，T-Mobile才坦承他們通知的客戶，大多是SIM卡挾持攻擊的受害者。</p> <h4><strong><a href="https://therecord.media/cyberattack-on-one-of-norways-largest-media-companies-shuts-down-presses/"><span style="color: rgb(0, 0, 0);">挪威大型媒體Amedia遭到網路攻擊，報紙暫停出刊</span></a></strong></h4> <p>挪威大型新聞媒體Amedia於12月28日公告，他們遭遇到嚴重的網路攻擊，數個中樞的電腦系統被迫關閉，29日的報紙無法印製。此外，該公司的廣告與讀者訂閱系統也受到影響而無法運作。而對於此起事件是否洩露了用戶個資，該公司表示正在調查，並指出客戶的姓名、地址、電話號碼、訂閱記錄可能會受到影響，密碼、付款資料則沒有影響。</p> <h4><strong><a href="https://www.prnewswire.com/news-releases/monongalia-health-system-inc-investigates-and-addresses-data-security-incident-301449436.html"><span style="color: rgb(0, 0, 0);">美國西維吉尼亞州醫院遭到BEC攻擊</span></a></strong></h4> <p>位於美國西維吉尼亞州的Monongalia Health System（Mon Health）於12月21日表示，他們有數個電子郵件帳號自5月10日至8月15日，遭到未經授權人士存取，直到7月28日，有供應商發現沒有收到該醫療組織的付款後，Mon Health才意識遭到商業郵件詐騙（BEC）攻擊，經調查後發現，有人存取他們承包商的電子郵件帳號，試圖透過詐欺電匯騙取資金。</p> <h4><strong><a href="https://therecord.media/threat-actor-uses-hp-ilo-rootkit-to-wipe-servers/"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定HPE伺服器管理元件iLO，刪除硬碟內容</span></a></strong></h4> <p>威脅情報業者Amnpardaz發現名為iLOBleed的Rootkit，鎖定HPE伺服器的管理元件Integrated Lights-Out（iLO）而來，這起攻擊行動約從2020年初開始，攻擊者透過假的iLO更新名義，引誘管理者安裝iLOBleed。由於iLO具備自己的處理器、儲存裝置、記憶體、網路卡，而能讓管理員遠端控管伺服器，研究人員指出，有攻擊者藉著iLOBleed藏匿於iLO，在受害組織重新安裝伺服器作業系統後仍能繼續進行活動。至於攻擊者的身分和目的，目前仍不明朗，Amnpardaz只有看到攻擊者用來刪除伺服器硬碟資料的情況。</p> <h4><strong><a href="https://blog.aquasec.com/attack-techniques-autom-cryptomining-campaign"><span style="color: rgb(0, 0, 0);">攻擊者採用更為隱密的手法進行挖礦，使用混淆5次的程式碼下達命令</span></a></strong></h4> <p>資安業者Aqua Security揭露一起他們追蹤3年的挖礦攻擊行動，攻擊者掃描具有錯誤配置的Docker API，使用惡意程式碼執行參照的Apline映像檔，然後下載Shell程式碼autom.sh發動攻擊。研究人員指出，自2020年開始，攻擊者開始使用多種手法來埋藏挖礦行為，包含停用作業系統的防火牆元件Uncomplicated Firewall（UFW）、硬體錯誤通報機制Non-maskable interrupt（NMI）等，而在今年的攻擊行動中，攻擊者使用5次Base64演算法，來混淆Shell程式碼，且使用排程工具Cron定時執行，每55分鐘就會啟動挖礦作業。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-coughs-up-decryptor-after-realizing-they-hit-the-police/"><span style="color: rgb(0, 0, 0);">勒索軟體AvosLocker入侵美國警察局，但隨後免費提供解密工具</span></a></strong></h4> <p><a href="https://s4.itho.me/sites/default/files/images/avoslocker-chat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/avoslocker-chat.jpg" style="width: 300px; float: right;" /></a>資安研究員панкейк發現，勒索軟體AvosLocker的營運者，疑似因為使用他們作案工具的駭客，攻擊了美國政府機構，他們發現後免費提供了解密工具，而這個政府單位是11月遭到攻擊的美國警察局。AvosLocker成員向資安新聞網站Bleeping Computer透露，他們通常會避免對政府和醫療機構下手。但上述排除政府單位為攻擊目標的做法，是否與美國政府大動作掃蕩勒索軟體有關？該組織表示是納稅人的錢往往難以到手。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148630">2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2021/12/30 12:46作者周峻佑https://www.ithome.com.tw/news/148656
【資安週報】2021年12月27日至30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4Shell漏洞的相關事故，以及新漏洞與攻擊手法的揭露，幾乎占滿了前幾個星期的資安新聞版面，直到了這個星期才明顯減少。雖然本週有新的加密貨幣交易所事故揭露，但這起事件發生在Log4Shell漏洞細節公布後的2至3天，值得留意的是，針對存在漏洞的系統，攻擊發生時業者還沒推出修補程式，而來不及防堵，即使該交易所在修補程式推出後就馬上更新，還是阻止不了駭客的攻擊行動。</p> <p>但相較於Log4Shell，竊密軟體RedLine的攻擊行動也相當值得留意。我們先前曾報導，暗網市集2easy提供入侵組織初始存取管道的掮客（IAB），上架販售這種透過竊密軟體在受害電腦偷到的各式帳密，其中最多賣家使用的就是RedLine。而這週有資安業者揭露較為詳細的攻擊過程──他們看到的攻擊行動裡，駭客藉著RedLine，從員工遠距辦公的電腦，竊得儲存於網頁瀏覽器的VPN帳密，再用於攻擊企業。這種情況使得研究人員呼籲使用者，要重視瀏覽器儲存帳密可能存在的危機。</p> <p>而在本週的攻擊行動之外，與操作科技（OT）有關的系統，所存在的漏洞，相關單位也要留意公告並儘速修補。這週研究人員公布的漏洞，不光是存在於SCADA、醫療器材，還有電動車所使用的充電站，業者都針對重大漏洞予以修補。比較特別的是，就連兒童的玩具電話，竟也曝露於藍牙配對不安全的危機之中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4> </h4> <h4><a href="https://www.bleepingcomputer.com/news/security/fintech-firm-hit-by-log4j-hack-refuses-to-pay-5-million-ransom/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體透過Log4Shell漏洞攻擊越南大型加密貨幣交易所</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/onus-data-forum.jpg" style="width: 300px; height: 175px; float: right;" />越南大型加密貨幣交易所ONUS傳出遭到勒索軟體攻擊，駭客於12月11日至13日之間，鎖定存在Log4Shell漏洞的付款系統Cyclos下手，這套付款系統含有近200萬筆客戶資料，包含了「了解你的客戶（E-KYC）」資料與密碼。駭客向ONUS勒索500萬美元遭拒，將竊得的資料於駭客論壇求售。</p> <h4><a href="https://asec.ahnlab.com/en/29885/"><span style="color: rgb(0, 0, 0);"><strong>竊密軟體RedLine鎖定網頁瀏覽器儲存的帳密下手，攻擊者藉此得到存取組織內部網路的管道</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2021-12-13_17-5-32.png" style="width: 300px; height: 227px; float: right;" />資安業者AhnLab指出，他們看到竊密軟體RedLine的攻擊行動，在其中一起事故裡，在家工作的員工透過公司提供的電腦，藉由VPN連線存取公司資源。被鎖定的員工使用網頁瀏覽器來儲存VPN帳密，且電腦遭到RedLine感染，攻擊者竊得該名員工的VPN帳密後，在3個月後用來攻擊這家公司。研究人員警告，瀏覽器儲存帳密的功能極為便利，但可能因電腦感染惡意軟體而外洩，使用者最好透過啟用雙因素驗證的方式，來保護自己各式網路服務的帳號。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/lastpass-users-warned-their-master-passwords-are-compromised/"><span style="color: rgb(0, 0, 0);">密碼管理系統LastPass驚傳遭到帳號填充攻擊</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LastPass_notification.png" style="width: 300px; height: 219px; float: right;" />根據資安新聞網站Bleeping Computer的報導，近期有許多密碼管理系統LastPass的用戶指出，他們收到有人異常存取自己帳號的通知。對此，母公司LogMeIn表示，這起事故攻擊者疑似是透過帳號填充（Credential Stuffing）的手法，企圖掌控用戶的帳號。資安研究人員Bob Diachenko也發現有數千個被竊密軟體RedLine偷到的LastPass帳密。但對於業者和資安人員公布的資料，許多受害者指出，他們的LastPass帳號使用獨立的密碼，且與資安人員找到的資料無關。究竟他們的帳密如何被外洩？有待進一步釐清。</p> <h4><a href="https://tmo.report/2021/12/t-mobile-has-suffered-yet-another-data-breach/"><span style="color: rgb(0, 0, 0);"><strong>電信業者T-Mobile證實用戶遭到SIM卡挾持攻擊</strong></span></a></h4> <p>大型電信業者T-Mobile近期對於部分用戶發出聲明，指出某些帳號出現未經授權的攻擊行動，攻擊者可能會用來檢視客戶專用網路資訊（CPNI），或是進行SIM卡挾持（SIM Swapping）攻擊，該公司宣稱，只有一些資訊遭到曝露。根據資安新聞網站Bleeping Computer的確認，T-Mobile才坦承他們通知的客戶，大多是SIM卡挾持攻擊的受害者。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-hit-in-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</span></a></strong></h4> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體eCh0raix（亦稱QNAPCrypt）在聖誕節前夕發動的攻擊行動。有許多IT人員自12月20日開始指出，他們維護的威聯通NAS設備接連遭到eCh0raix攻擊，勒索軟體威脅情報網站ID ransomware也觀察到相關態勢，該攻擊行動約從19日開始顯著增加，直到26日才趨緩。有些用戶認為，駭客很可能是透過Photo Station軟體的弱點入侵。</p> <h4><strong><a href="https://therecord.media/threat-actor-uses-hp-ilo-rootkit-to-wipe-servers/"><span style="color: rgb(0, 0, 0);">惡意軟體鎖定HPE伺服器管理元件iLO，刪除硬碟內容</span></a></strong></h4> <p>威脅情報業者Amnpardaz發現名為iLOBleed的Rootkit，鎖定HPE伺服器的管理元件Integrated Lights-Out（iLO）而來，這起攻擊行動約從2020年初開始，攻擊者透過假的iLO更新名義，引誘管理者安裝iLOBleed。由於iLO具備自己的處理器、儲存裝置、記憶體、網路卡，而能讓管理員遠端控管伺服器，研究人員指出，有攻擊者藉著iLOBleed藏匿於iLO，在受害組織重新安裝伺服器作業系統後仍能繼續進行活動。至於攻擊者的身分和目的，目前仍不明朗，Amnpardaz只有看到攻擊者用來刪除伺服器硬碟資料的情況。</p> <h4><a href="https://www.websiteplanet.com/blog/dwmorgan-leak-report/"><span style="color: rgb(0, 0, 0);"><strong>美國物流龍頭D.W. Morgan雲端配置不當，曝露財星500大客戶資料</strong></span></a></h4> <p>架站教學網站Website Planet指出，他們發現美國大型物流業者D.W. Morgan使用的AWS S3儲存桶，不需身分驗證就能存取，該儲存桶含有超過100 GB資料，至少有250萬個檔案，曝露員工個資及客戶資料，包含思科、愛立信等財星500大及全球500大企業客戶受到波及。D.W. Morgan獲報後數天已採取保護措施。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148614"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞驚傳五分之一國民個資外洩</span></a></strong></h4> <p>根據美國聯合通訊社（美聯社，AP）的報導，約於2星期前，含有阿爾巴尼亞政府與民間企業員工個資的Excel文件，經由WhatsApp散布到網路上，內容疑似為政府及民間企業自今年1月申報的員工薪資資料，受影響人數約64萬人，占該國總人口22%。對此，阿爾巴尼亞總理Edi Rama召開記者會證實及道歉，並指出此事是內部人員所為，而非遭到網路攻擊所致。</p> <h4><strong><a href="https://www.securityweek.com/threat-actors-abuse-msbuild-cobalt-strike-beacon-execution"><span style="color: rgb(0, 0, 0);">攻擊者濫用MSBuild發動寄生攻擊，執行滲透測試工具Cobalt Strike</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/malicious-msbuild-project.png" style="width: 300px; height: 241px; float: right;" />Morphus實驗室研究人員Renato Marinho指出，他在1週內觀察到2個濫用MSBuild的惡意程式碼攻擊行動，攻擊者疑似利用遠端桌面協定（RDP）來存取受害電腦，並經由服務控制管理器（Service Control Manager，SCM）進行橫向移動，然後濫用微軟的應用程式編譯引擎Microsoft Build Engine（MSBuild），來執行滲透測試工具Cobalt Strike Beacon，攻擊者使用MSBuild的目的，在於編譯並執行特定的C#程式碼，再解譯組裝為Cobalt Strike，且執行Beacon。為防範相關攻擊，研究人員呼籲組織應利用應用程式權限控管的方式，來防堵這種攻擊手段。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/new-flagpro-malware-linked-to-chinese-state-backed-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客組織BlackTech使用Flagpro惡意軟體，攻擊日本組織</span></a></strong></h4> <p>日本大型IT業者NTT的資安團隊發現，中國駭客組織BlackTech約自2020年10月開始，攻擊日本國防科技、媒體、電信業者，並使用名為Flagpro的惡意軟體，進行網路偵察、探測環境，然後下載第2階段的惡意軟體並執行。研究人員發現，攻擊者的程式碼不只能在日文環境運作，亦可在中文及英文環境執行，他們研判攻擊者也鎖定臺灣或其他英語系國家。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148586"><span style="color: rgb(0, 0, 0);">HPE、IBM、Nvidia、VMware說明產品受Log4Shell影響的情形</span></a></strong></h4> <p>Log4Shell漏洞涉及範圍甚廣，許多IT業者也發出公告，表明旗下產品受影響的範圍。其中，Nvidia旗下受影響的產品，包含了程式設計模型CUDA 、遙測代理程式NetQ，以及人工智慧系統DGX Systems；HPE修補超過60項產品，包含融合Hyper Converged、3PAR、Ezmeral，以及超級電腦軟體Cray System等；IBM修補旗下100多項軟體，包含DB2、Websphere、Tivoli、SPSS等。VMware則指出vCenter Server及vCenter Cloud Gateway受到影響，並提供相關緩解措施。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/log4j-2171-out-now-fixes-new-remote-code-execution-bug/"><span style="color: rgb(0, 0, 0);">Apache修補第5個Log4Shell漏洞</span></a></strong></h4> <p>Apache基金會於12月28日，再度針對Log4j發布2.17.1版，修補CVSS風險層級為6.6分的RCE漏洞CVE-2021-44832。這項漏洞與Log4j缺乏對於JNDI存取的額外控制有關，一旦攻擊者取得能修改記錄事件的組態，可藉由JDBCAppender惡意配置，以參照JNDI的URI來執行遠端程式碼。而這項漏洞已是自12月9日開始，第5個被發現的Log4Shell漏洞。</p> <h4><strong><a href="https://www.securityweek.com/new-flaws-expose-evlink-electric-vehicle-charging-stations-remote-hacking"><span style="color: rgb(0, 0, 0);">電動汽車充電站存在數個漏洞，攻擊者可用來竄改充電記錄等資料</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PB115031_web.jpg" style="width: 100px; height: 207px; float: right;" />施耐德電機於12月14日發布資安通告，他們修補旗下的電動車充電系統7個漏洞，當中包含1個重大漏洞與5個高風險漏洞，影響EVlink City、EVlink Parking、EVlink Wallbox等產品線，這些漏洞可被用於跨網站請求偽造（CSRF）、跨網站程式碼（XSS）攻擊，或是透過Web界面進行暴力破解。其中最嚴重的漏洞可被用於伺服器端請求偽造（SSRF）攻擊，CVSS風險層級為9.3分。施耐德電機呼籲用戶要儘速安裝修補軟體。</p> <h4><strong><a href="https://www.securityweek.com/several-critical-vulnerabilities-found-mypro-hmiscada-product"><span style="color: rgb(0, 0, 0);">SCADA系統驚傳重大漏洞，恐波多種關鍵基礎設施</span></a></strong></h4> <p>美國網路安全暨基礎架構安全局（CISA）於12月21日發出警告，工業自動化系統業者mySCADA所推出的myPRO工控系統中，存在多個漏洞，該業者已於11月初完成修補。其中最嚴重的漏洞達到10分，主要與作業系統的命令裡可能藉由特殊字元觸發有關。CISA警告，這些受影響的系統存在於全球各地，運用於能源、食品、農業、水資源、交通運輸等行業，大部分受影響的客戶在歐洲。</p> <h4><strong><a href="https://cybersecurityventures.com/hackable-infusion-pump-ransomware-risks-to-patients/"><span style="color: rgb(0, 0, 0);">注射幫浦系統存在多項漏洞，恐被用於竄改配置與記錄資料</span></a></strong></h4> <p>資安業者McAfee與Culinda聯手，於2021年1月發現B. Braun Infusomat注射幫浦系統裡的數個漏洞，並向該廠商通報，漏洞亦獲得修補，該業者遂於8月下旬公布細節。其中最為嚴重的是CVE-2021-33885，CVSS風險層級為9.7分。但McAfee最近再度提出警告，表示這些漏洞很有可能被攻擊者串連利用，加上醫療院所往往無法即時修補，而有可能影響病人的生命安全。</p> <h4><strong><a href="https://www.pentestpartners.com/security-blog/audio-bugging-with-the-fisher-price-chatter-bluetooth-telephone/"><span style="color: rgb(0, 0, 0);">玩具電話驚傳藍牙漏洞，攻擊者可竊聽通話內容</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/chatterphone1.jpg" style="width: 300px; height: 169px; float: right;" />資安業者Pen Test Partners提出警告，他們近日發現幼兒玩具電話Fisher Price Chatter，存在嚴重的藍牙漏洞，這款玩具在連線範圍內，會自動連接到發出請求的藍牙裝置，而沒有任何配對的的安全機制，而使得攻擊者得以在該玩具電話的藍牙訊號範圍內，連接自己的設備來竊聽鄰居。再者，對於已連接的智慧型手機，該玩具的聽筒還有可能會自動接聽來電。研究人員認為，玩具業者美泰兒（Mattel）應著手處理相關問題。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.youtube.com/watch?v=FsrHQcyu4S4"><span style="color: rgb(0, 0, 0);">國際半導體展資安漸成要角，半導體供應鏈資安聯盟與資安標準發展成焦點</span></a></strong></h4> <p>半導體業的資安防護議題越來越受重視，今年國際半導體展實體展SEMICON Taiwan 2021於12月28日到30日舉行，今年不僅規畫資安專區，比往年資安主題館規模更擴大，同時在28日將舉行半導體供應鏈資安聯盟啟動儀式，同時公布SEMI半導體資安標準SNARF 6506建立的最新進程。</p> <h4><strong><a href="https://gazette.nat.gov.tw/egFront/detail.do?metaid=129044&log=detailLog"><span style="color: rgb(0, 0, 0);">金管會強制要求上市櫃公司設資安長正式實施，上百家企業需於2022年底完成設置</span></a></strong></h4> <p>在12月28日，金管會正式發布修正「公開發行公司建立內部控制制度處理準則」，明訂符合條件的上市櫃公司需指派資訊安全長，應設置資訊安全專責主管及資訊安全人員，以利進行差異化管理。分級標準有三種，第一級的條件是資本額100億元以上，前一年底屬臺灣50指數成分公司，以及電商或人力銀行業，將於2022年底設置完成。至於其他上市櫃公司屬於第二級與第三級，虧錢公司採鼓勵設置方式，其他公司則要在2023年底設置資安專責單位。臺灣符合第一級規模的企業，估計有上百家，屆時將要指派資訊安全長。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148620"><span style="color: rgb(0, 0, 0);">數位發展部組織法三讀過關，最快2022年第二季掛牌</span></a></strong></h4> <p>《數位發展部組織法草案》以及《數位發展部資通安全署組織法草案》立法院院會三讀過關，預計需要半年的時間，進行後續籌備以及相關機關的業務和人力移撥作業，最快2022年六月或七月掛牌上路。根據行政院組織法的規定，確認數位發展部成立後，現有的科技部將調整為「國家科學及技術委員會」。行政院資安處將升格為三級機關的「資通安全署」，主要負責統籌政府整體資安治理架構；另設置新的行政法人「國家資通安全研究院」，扮演國家資安技術智庫幕僚的角色。</p> <h4><strong><a href="https://www.rsaconference.com/usa"><span style="color: rgb(0, 0, 0);">2022年RSA大會確定延期至6月</span></a></strong></h4> <p>往年都在年初舉行的全球資安盛會之一RSA大會，原訂2022年於2月7日中旬舉行，受到全球疫情的持續影響，主辦單位宣布將延遲至2022年6月6日至9日。</p> </div></div></div>
2021/12/30 14:07作者周峻佑https://www.ithome.com.tw/news/148658
AvosLocker勒索軟體駭到警察，趕緊釋出解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日引人關注的勒索軟體AvosLocker踢到鐵板，在發現已感染到美國警察單位後，趕緊免費釋出解密工具以免遭殃。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-coughs-up-decryptor-after-realizing-they-hit-the-police/" target="_blank">Bleeping Computer報導</a>，上個月美國一個警察單位遭AvosLocker加密電腦與竊取資料。不過昨日（12/29）<a href="https://twitter.com/pancak3lullz" target="_blank">一名代號Pancak3的研究人員發現</a>，駭客在其通訊軟體中道歉，表示很抱歉不小心害到了美國政府單位，將為受害者免費提供解密。駭客隨後也在文件公開網站中提供解密工具下載。</p> <p>今年6月出道的勒索軟體AvosLocker具有高明的感染手法，於今年底攻擊活動大增。<a href="https://www.ithome.com.tw/news/148579" target="_blank">根據安全廠商Sophos分析</a>，它能透過系統的安全模式，在關閉防毒軟體的情況下，利用遠端桌面管理程式AnyDesk，將勒索軟體植入用戶電腦。</p> <p><a href="https://statescoop.com/geneva-ohio-ransomware-avoslocker/" target="_blank">6月以來AvosLocker已感染</a>歐美多家法律事務所、貨運公司，以及俄亥俄州一個地方市政府。</p> <p>不過報導指出，AvosLocker駭客並不願提供被竊的檔案清單，或說明他們怎麼駭入警察單位的網路。AvosLocker告訴媒體，他們沒有攻擊方針，但一般會避免醫院和政府單位。而6月份俄亥俄州市政府的攻擊事件，AvosLocker表示是他們的合作夥伴所為。</p> <p>不過這恐怕不會讓它免於執法機關的查緝。今年以來多個知名勒索軟體，包括<a href="https://www.ithome.com.tw/news/147422" target="_blank">REVil</a>、<a href="https://www.ithome.com.tw/news/145133" target="_blank">Clop</a>、以及駭入Colonial Pipeline的<a href="https://www.ithome.com.tw/news/144452" target="_blank">Darkside</a>、Dharma、<a href="https://www.ithome.com.tw/news/147600" target="_blank">LockerGoga</a>等先後被歐美警方聯手破獲及逮捕。此外，<a href="https://www.ithome.com.tw/news/147659" target="_blank">BlackMatter</a>也在警方追捕下宣布收攤。</p> </div></div></div>
2021/12/30 14:47作者林妍溱https://www.ithome.com.tw/news/148659
越南加密貨幣交易平臺Onus雲端系統Log4j漏洞遭開採植入勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越南主要加密貨幣交易平臺Onus的雲端系統遭駭客開採Log4j漏洞，可能被竊190萬筆用戶資料。</p> <p><a href="https://goonus.io/en/the-impact-of-a-cyber-attack-on-data-security/" target="_blank">Onus於聖誕夜發出公告指出</a>，安全廠商偵測到公司系統遭到網路攻擊，攻擊者是利用Onus系統一組函式庫集的一項漏洞、駭入公司開發用的沙箱伺服器，而由於組態問題，攻擊者利用伺服器上的資訊存取執行在AWS S3上的儲存系統，並竊走「一些」重要資料。<a href="https://www.bleepingcomputer.com/news/security/fintech-firm-hit-by-log4j-hack-refuses-to-pay-5-million-ransom/" target="_blank">Onus並以郵件通知Onus用戶</a>。</p> <p>遭竊取的資料包括姓名、電子郵件信箱與電話號碼、住家地址、客服資料、加密密碼、交易紀錄及其他加密資訊等。但該公司強調在Onus平臺上的客戶資產並不受影響。</p> <p>Onus除了告知用戶正在修補漏洞及強化安全防護外，也呼籲用戶變更Onus應用程式的密碼。</p> <p><a href="https://cystack.net/research/the-attack-on-onus-a-real-life-case-of-the-log4shell-vulnerability" target="_blank">Onus的資安合作夥伴CyStack則說明</a>，攻擊者於12月11到13日之前，開採了Onus使用的PoS及交易軟體Cyclos伺服器上的Log4Shell，雖然Onus於隔日修補漏洞，但到了12月23日仍發現AWS S3上的系統遭到刪除。</p> <p>Onus並未透露這次事件影響的用戶人數，不過媒體Bleeping Computer發現，隔天有超過190萬筆Onus資料被一個代號為vndcio的駭客（或組織），放上了網路地下論壇兜售。駭客宣稱已取得這家平臺近400個資料庫表格、用戶個資及加密密碼。報導指出，由於Onus拒絕支付500萬美金的贖款，致使駭客將資料放上網路。張貼的內容包括用戶身份識別資料的擷圖及用戶的臉部辨識相片。受影響用戶國籍遍及印度、印尼及越南。</p> <p>這起攻擊是最新一起針對Log4j漏洞的安全事件。已經有各種企圖開採Log4j漏洞的活動發生，其中CVE-2021-44228及CVE-2021-45046遭到惡意開採。之前公佈的成功攻擊事件受害者，包括<a href="https://www.ithome.com.tw/news/148477" target="_blank">比利時國防部</a>、VMware vCenter、以及由ISP代管的Minecraft線上遊戲平臺等。</p> </div></div></div>
2021/12/30 12:27作者林妍溱https://www.ithome.com.tw/news/148655
【展望後疫2022新趨勢1】年報2022年須揭溫室氣體排放量化數據，IT得加速整合企業碳排資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公開發行公司2022年年報須揭露溫室氣體排放量化數據！</p> <p>金管會在2021年11月30日正式公告，發布修正「公開發行公司年報應行記載事項準則」，當中規定公開發行公司須在年報中，針對永續發展推動與執行的面相，強化資訊揭露的透明度，包含溫室氣體排放、用水量、廢棄物等量化數據。</p> <p>近年來，森林大火、豪大雨、暴雪等極端氣候事件越加頻繁，氣候變遷已是不爭的事實，為對抗氣候變遷，多國政府宣布自身淨零排放目標，過去這一年，更將淨零排放或碳中和目標納入法律，還有規範碳排量化資訊揭露的程度，使得碳排放追蹤成為法遵議題，臺灣也不例外。</p> <p>為加速減碳作為並強化氣候變遷調適，環保署在2021年10月21日預告「溫室氣體減量及管理法」修正草案，納入2050淨零排放目標，並增訂對國內排放源徵收碳費，以及增訂未來中央主管機關得對特定產品訂定碳含量計算與認定方式。環保署長張子敬在10月立院質詢時表示，母法通過後，會開始訂定子法，碳費會訂定於子法，預計2023年開始向排碳大戶徵收碳費。</p> <p>溫室氣體排放量數字不會憑空出現，企業需藉由收集能源消耗資料，來量化各項溫室氣體的數值，包含二氧化碳、甲烷、氫氟碳化物等，這一切必須從碳盤查做起，完整了解自身的碳排放來源，計算自身生產活動各環節直接和間接排放的溫室氣體，掌握碳足跡。</p> <h2><strong>IT需肩負收集、整合內外部碳排資料的任務</strong></h2> <p>企業資訊部門也必須參與碳盤查工作，擔起收集、整合碳排放資料的角色，建立一套監測和精算碳排的機制，證明自家產品消耗的碳量。碳足跡盤查工作分為三個層次，企業直接排放的溫室氣體屬範疇一，例如製造過程使用甲烷等，而企業使用能源產生的間接排放源屬範疇二，來自輸入電、熱或蒸汽，範疇三則是企業活動產生的溫室氣體排放，像是供應鏈、員工移動過程產生的溫室氣體。</p> <p>上述三範疇溫室氣體排放量，已在修正的「公開發行公司年報應行記載事項準則」第十條附表二之二之二，明確要求公司需敘明近兩年的統計數據。以前主管機關對要求碳排放資料揭露詳細度要求較低，企業通常以年為單位記錄營運產生的碳排，但現在必須記錄溫室氣體間接排放量，乃至其他間接排放量，數據蒐集的複雜度大幅提高。</p> <p>因此，資訊團隊需要介入資訊整合工程，除記錄自身直接排放的溫室氣體量外，還需記錄消耗的用電量，再換算產生多少溫室氣體排放量，也需記錄使用他人生產的零組件產生的溫室氣體排放量，把各項數據帶入後端資料整合平臺。這個整合過程，對IT單位來說，是一項必須多做的任務。</p> <p>但是，許多企業還沒有意識到，永續碳排議題牽涉IT行動，而且是無法迴避的課題，碳數據將成為企業未來發展產品必須額外收集的一種資料項目。資訊團隊也得管理多一類資料，甚至需要介接、整合內外部的數據才夠完整。所以，企業所用套裝軟體若無法彈性客製，或是與外部資料拋轉和介接缺乏機制，這些都會額外的開發成本。</p> <p>再加上，品牌商也開始紛紛要求供應商回報，產品零組件碳排數據，以全面實現營運生產碳中和、淨零碳排的目標，作為供應商的企業需縮小碳排放計算的顆粒度，掌握單一產品的碳排放量，甚至需在各別機臺嵌入用電監測工具。</p> <p>這個工作考驗IT開發能力，IT自主開發能力強者可以自行調整，若過去大量委外開發，現在仍然欠缺自主開發能力，就會是一件麻煩事。</p> <p>放眼全球局勢，更早之前，還有一個關鍵海外推力，那就是歐盟將2050年氣候中和（climate neutral）目標，以及2030年溫室氣體排放量減少55%的目標，正式納入2021年6月28日生效的《歐洲氣候法》（European Climate Law）。</p> <p>7月中，歐盟更提出「碳邊境調整機制」（Carbon Border Adjustment Mechanism, CBAM），將針對出口至歐盟的高耗能產品收取碳關稅，是全球首個「碳關稅」計畫，從2023年開始試行。首波課稅對象針對5大產業，包含鋼鐵、水泥、肥料、鋁和電力，上述產業的品項未來進入歐盟市場，必須申報碳排放數據，2026年全面生效。</p> <p>企業要將產品出口到歐盟市場，需做好碳排放數據申報的準備，因為可預期歐盟將擴大產業類別課稅對象，企業未來需向歐盟申請自身商品碳排放量的證明，再依據歐盟碳交易市場每周平均拍賣價格，來支付對應的碳關稅後，才能在歐盟各國販售商品。</p> <h2><strong>IT供應商推出碳足跡產品，搶攻企業蒐集碳排放資料生意</strong></h2> <p>相對企業，不少IT供應商則更積極瞄準碳排追蹤需求，推出碳足跡相關產品，像是ERP業者SAP在10月時宣布碳足跡管理解決方案，可以整合企業所有生產過程的資料，企業能用以計算產品全生命週期的碳足跡，向監管機構揭露碳排量，並評估和衡量生產流程對環境造成的影響，採取對應措施，進一步做到減碳。</p> <p>此外，因應各大品牌商要求供應鏈一同實現碳中和目標，SAP這項解決方案還支援企業與客戶、供應商等外部組織，相互交換碳足跡資料，提高其他間接排放（範疇三）的碳排放資訊透明度。</p> <p>公有雲業者更是積極卡位，三大公有雲業者都已經動起來，以Google最快，在2021年10月的Next年度用戶大會上，率先發布碳足跡儀表板（Carbon Footprint），用戶可以查看自己使用的GCP服務產生的碳排放量，現已提供預覽版讓用戶試用。</p> <p>甚至，Google還公開自身如何精算雲服務碳足跡的方法，先蒐集內部所有能源消耗數據、資源用量，還有各雲端區域的碳強度，再計算不同基本單位的碳消耗量，並結合GCP帳單的用量資訊，來攤提用戶使用的碳量，最終產出服務帳號的碳足跡報告。</p> <p>微軟則隨後在10中，正式推出碳排放量影響儀表板（Emissions Impact Dashboard），企業可按照月份、雲服務和資料中心地區，掌握特定雲端工作負載產生的碳排放量，還可以估算尚未搬遷上雲的工作負載，執行在Azure環境會產生多少碳排放量。</p> <p>AWS則在re:Invent大會上，發表雲服務碳足跡衡量工具Customer Carbon Footprint Tool，用戶將可查看當前使用的每個雲服務的碳足跡，還有掌握亞馬遜擴大投資永續性建設後，工作負載幾年後會產生的碳強度預測值，預計明年推出。</p> <p>三大公有雲業者皆發布了自家服務碳足跡計算工具，將抽象的永續政策和口號，轉變為實際的產品功能，搶攻想蒐集碳足跡企業的用雲生意，也讓使用雲端服務的企業，能掌握和追蹤範疇三的溫室氣體排放數值。</p> <p>資訊團隊參與碳盤查動作，整合組織內外部碳足跡數據後，下一步，還要建置碳排儀表板，讓內部永續發展推動單位掌握當前碳排放量，以知道碳排表現是否符合自身設定的碳排、減碳目標，若與目標有差距，才能進一步動態調整減碳力道。</p> <p>面對最快2023年，環保署將開始徵收碳費，資訊部需加快腳步協助組織進行碳盤查，掌握範疇一至三的整體碳排量。在推動永續發展上，IT更可發揮對企業營運產的全面性影響力，從改善資料中心設計，採購永續性高效能軟硬體，到開發低能源消耗量的綠色應用，成為組織減碳的重要驅動力。文⊙黃郁芸</p> </div></div></div>
2021/12/30 12:53作者黃郁芸https://www.ithome.com.tw/news/148657
【展望後疫2022年新趨勢7】衛福部力推電子病歷上雲，醫療將成臺灣各產業上雲推力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年醫療IT發生許多大事，在熬過單日確診數破百、今天討論明天上線的難關後，12月8日，衛福部終於預告眾所期待的「醫療機構電子病歷製作及管理辦法」修正草案，也就是電子病歷上雲草案，醫院終於可用公雲服務來處理電子病歷資料、全面落實無紙化了。這個政策不只加速醫院IT現代化腳步，甚至吸引國內外IT廠商進軍臺灣市場，改寫醫療IT生態系，更可能成為臺灣各產業上雲的推力。</p> <p><strong><span style="font-size:24px;">上雲草案兩大重點：上雲與無紙化</span></strong></p> <p>過去一年來，衛福部多次揭露電子病歷上雲草案，像是11月初，衛福部常務次長石崇良就在臺灣醫院資訊主管會議上點出，COVID-19疫情引發遠距看診需求，當遠距醫療成為新常態，各項法規勢必得鬆綁，而電子病歷製作及管理辦法，就是第一套衛福部修改的法。</p> <p>這個電子病歷上雲草案有兩大要點，一是上雲，二是無紙化。就上雲來說，修正條文先是允許醫療機構將電子病歷資訊系統委外建置，如依法登記的法人、大專院校、機構或團體，再來是開放醫療機構使用雲端服務，來進行資料蒐集、處理和資料庫使用。不過，上雲有個重要限制，也就是以境內為限，特殊狀況才能申請使用境外服務。</p> <p>第二個要點無紙化，則是允許醫療機構將同意書等原需要書面保存的文件，改以電子方式製作和儲存。不只未來不必再使用紙本文件，石崇良更強調：「醫院也能將過去保存的紙本文件轉為電子檔，確認與原文件相符後以電子簽章封存，就不必保留書面文件了！」這個修正條文，將讓醫院全面無紙化能夠真正落實。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲加速醫院IT現代化</strong></span></p> <p>電子病歷上雲意味著，醫院不只能將電子病歷儲存在雲端，還能以公雲服務加值分析電子病歷資料，打造更接近全人照護的智慧應用。</p> <p>這也代表，醫院得加速IT現代化腳步，才能因應AI等新一代雲端應用。</p> <p>少數在電子病歷上雲政策出臺前，就已展開IT現代化工程的先行者醫院，也如此認同。比如2018年，臺北榮總就嚐鮮用世界主流的開源容器管理平臺Kubernetes（簡稱K8s），來加速程式開發和上線的環境準備。他們以K8s搭配版本控管工具Git建立自動化部署流程，將容器化打包、建立基礎配置檔、各種環境配置準備和叢集動態同步等作業，整合到同一套自動化流程中。這就是現在新創圈當紅的GitOps作法，臺北榮總3年前開始練兵，除了用來開發藥囑UD系統，現在更進一步擴大這個模式，要來開發其他HIS系統。</p> <p>無獨有偶，中國附醫在2018年，也開始規畫將醫院HIS搬上雲，更要用K8s和微服務架構來優化系統。該計畫主導人、中國附醫資訊室副主任孫培然當時就將原系統常用的C#程式語言，改為雲端原生語言TypeScript，更將前後端檔案格式改為雲端專用的JSON，先一步打好上雲基礎。</p> <p>後來，中國附醫利用VCF混合雲平臺建置GCP混合雲平臺Anthos，導入開源軟體開發平臺GitLab來開發新版系統，直接在雲端控管版本、執行CI/CD派送，讓醫院核心系統HIS具備自動部署的能力。</p> <p>他們採用微服務架構的目的之一，就是要加速AI模型落地，因為，透過微服務架構的事件驅動（Event Driver）和訊息佇列（Message queue），可簡化原本多個程式溝通的困擾，甚至能進一步將AI內化至HIS中。孫培然揭露，中國附醫接下來要將微服務模式，擴大到更多核心系統。</p> <p>不只先行者加緊腳步，具自主開發能力的醫院也一同跟進現代化潮流。比如2021年，國泰醫院啟動新一代HIS改造計畫，要將十年前打掉重練的HIS再改一次，因應衛福部電子病歷新政策。這次，他們大改系統架構，採用容易擴展、容錯的微服務架構來部署HIS，更選定門診預約掛號系統和電子病歷系統作為試驗專案，年底就要上線。</p> <p>而萬芳醫院，則是要將原有的微服務規模擴大至更多系統，甚至要擴散到整個北醫體系醫院。與此同時，去年才剛完成HIS大轉換的慈濟體系醫院，現在也正緊鑼密鼓進行第二波數位化改造，要讓HIS更有智慧。</p> <p><span style="font-size:24px;"><strong>帶動國內外IT大廠搶灘，推波助瀾各產業上雲</strong></span></p> <p>這波醫院IT現代化和上雲需求，也吸引國內外IT廠商搶進市場。比如，華碩旗下SaaS供應商華碩AI研發中心（AICS），就在2021年下半年調整產品方向，力推雲端微服務HIS解決方案，要改造醫院老舊IT系統，更快速整合醫療AI。</p> <p>國際大廠微軟也搶進臺灣醫療雲端市場，直接引進國外醫療專用、已通過美國醫療資安法遵HIPAA的Azure雲端服務和技術資源，提供醫療應用程式模板，來讓使用者修改使用。臺灣微軟更預告，要在未來2年聯手15家產業夥伴，打造100個智慧醫療解決方案。</p> <p>不只如此，資料中心落地臺灣的Google，也有意搶進醫療雲端市場，已有本地醫院開始採用Google雲端產品。不少本土醫資廠商，也在這兩年相繼積極布局新一代HIS市場。這不只是帶給醫院IT更多選擇和技術資源，而會帶動臺灣雲端服務供應鏈和產品線的發展，醫院上雲將成為各產業加速上雲的另一股助力。文⊙王若樸</p> </div></div></div>
2021/12/30 11:19作者王若樸https://www.ithome.com.tw/news/148651
【展望後疫2022新趨勢8】金融業跨機構資料共享新篇章，下一步連非金融業也能共享
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年末，金管會發布一份金融機構間資料共享指引，訂定出一套金融機構間可執行的資料共享類型及相關辦理原則，讓現行金融法規沒有明確規定或沒有限制的資料共享範圍，有了一套可以共享的新作法。</p> <p>這份指引幾乎適用所有金融機構，包括金控與銀行、保險、證券期貨3業別，及電子支付機構等，但不包括金融機構海外分公司、子公司。適用對象更區分3大類型，第一類是金控集團與旗下金融機構子公司，第二類是非金控公司的金融集團與旗下金融機構子公司，第三類則是非金控與非金融集團，不同金融機構間相互的資料共享。</p> <p>金管會副主委邱淑貞表示：「該指引重視全市場的發展。」用意是讓現行金融市場各式各樣的金融機構，都能找到屬於自己的類型，來適用該份資料共享指引。</p> <h3><strong><span style="color:#FF8C00;">資料共享開放9項資料，限制2大適用範圍</span></strong></h3> <p>該指引清楚訂定出9項金融機構可共享的資料範圍，包括客戶基本資料、身分核驗資料、帳戶資料、金融商品或服務的交易記錄、負面資訊、認識客戶（KYC）資料及金融機構加值過後的資料、電子通訊歷程記錄，或其他經客戶與合作金融機構同意共享的資料。邱淑貞表示，由於交易內容不同，金融機構間傳輸的資料也會不一樣，因此，採取客戶逐次同意，客戶可就不同資料來選擇是否共享。</p> <p>不只顧客有權決定共享的資料項目，金管會也訂定了資料共享適用範圍與限制條件。其中，僅有第一類、第二類的金融機構，能基於辨識風險或進行風險控管的目的，來執行資料共享。取得客戶同意的前提下，可由金控公司或控股的金融機構統籌建置資料庫、管理資料共享，且能指定旗下子公司來建置資料庫。但是，第三類機構就不能以此目的來共享資料與建置資料庫。</p> <p>彙整旗下各子公司客戶資料，來建立共用的客戶風險管理資料庫與風控模型，金融機構將能減少子公司重複建置的成本，更可交叉比對及利用以大數據建立的模型，估算客戶的風險等級，預先處理潛在風險。</p> <p>不過，金融集團必須挹注更多IT資源來建置共同資料庫與風控模型，來強化內部大數據分析、AI建模的能力，才能夠處理龐大的資料來源，進一步發揮資料共享的綜效。甚至，金控或金融集團與旗下子公司，從客戶資料匯集到建模，以及運用模型分析出客戶風險等級的結果，如何進行資料拋轉都是未來可著重的方向。</p> <p>另一項資料共享範圍則適用第一類、第二類、第三類金融機構，只要是基於減少客戶重複輸入資料等便利客戶作業，或金融機構間合作辦理業務的目的，取得客戶同意下，各金融機構間可採取簽訂合約方式，建立業務合作關係來共享資料。</p> <p>舉例來說，民眾開立證券戶時需搭配銀行帳戶作為交割帳戶，當A證券公司與B銀行建立了業務合作關係，已在A證券公司完成開戶的民眾，就能授權將資料共享給B銀行，作為開立銀行交割帳戶的參考依據，不用再重複填寫開戶的申請資料。不過，這也帶來了新的挑戰，金融機構雙方共享資料的格式、欄位必須一致且為機器可讀，才能讓資料傳輸更快速。</p> <p>還有另一項資料共享的應用情境，金融機構間透過建立業務合作關係，將自家加值過的資料共享給對方，如金融機構風險等級分析，一家金融機構判斷客戶風險屬性時，能取得另一家合作金融機構的參考資料時，對客戶的了解能更加清楚，可以減少重新從基礎資料調查分析所花的時間。</p> <p>邱淑貞表示，這類加值或分析過的資料，以往對金融機構來說是營業秘密，如果金融機構間的合作較深，願意共享這類資料，就能促進雙方快速完成交易，以及共同的風險控管。例如可共享像IP位址這類電子通訊歷程記錄，來達到防詐欺的應用。未來，金融機構間基於客戶同意情況下，也可善用多項共享的資料，發展金融業務新模式。</p> <h3><strong><span style="color:#FF8C00;">無需向金管會申請核准辦理資料共享，金融機構間跨業合作新模式將更具獨創性</span></strong></h3> <p>金管會綜合規劃處處長胡則華表示，金管會重視金融機構內控制度及落實執行，所以，資料共享案件不需特別向金管會申請核准。金管會只有針對第三類金融機構間資料共享，將對證券期貨業採取首案申請核准制。金管會僅要求，金融機構完備內控機制後，依循金融機構間資料共享指引、個人資料保護法，即可辦理資料共享，同時，也需對外揭露隱私權政策。</p> <p>這意味著，金融機構間資料共享，無須採取逐案申請試辦的管道，對資料共享業務的推動，將能更快、更彈性的執行，也將促進金融機構間跨業合作的多元性。最大影響是，金融機構間發想的資料共享應用新模式，因無需經試辦流程而提前曝光，更能維持獨創性的優勢，不過，這也更考驗各金融機構發展創新應用的真本事。</p> <p>金融機構辦理資料共享需建立的內部控制規範相當嚴謹，包括資料共享需有明確、妥適目的，且需合法及注意倫理道德，比如，運用人工智慧評估客戶風險時，需注意避免產生偏見，或像是運用人工智慧分析客戶資料後，不能對相同條件的客戶有不同差別待遇。對客戶權益影響較大的共享資料，像是身分核驗資料、負面資訊等非公開資料，金融機構須進行盡職調查。</p> <p>甚至，金融機構對於資料共享、日常維護、留存、權限設定、報表管理、共享結束後的處理，都要有一套妥適的管理政策。更要按照合作對象及資料共享方式，以風險為基礎，訂定內部審核及分層負責機制，確保資訊系統及資料傳輸安全。還要訂出受理客戶申訴及處理爭議的內部標準程序。這些內部控制規範都需經過董事會或理事會通過。</p> <p>這也意味著，未來金融機構對資料的管理政策將更嚴謹，且需直達董事會層級，資料治理的議題將更比過去更受到重視。金融機構不只要管理本身的資料，還需要了管理共享資料，甚至，得從金控端或金融集團端的高度來發展資料治理。</p> <p>資料治理需內部業務單位與IT單位的協作，除了資料梳理，權限控管或資料維運機制，都得有一套嚴謹的簽核程序與管理辦法。IT面，從資料倉儲、資料分析到分析報表，甚至是報表生成服務上的資料讀取，皆需嚴格卡控與控管，來確保資料安全。</p> <p>開放金融機構間資料共享只是第一步，邱淑貞表示，從金融業出發建立起信賴基礎，未來，開放資料共享才能順暢往前。她透露，第二步規畫，開放金融集團下非金融機構也能資料共享，甚至，第三步可能開放非集團金融機構與非金融機構間的資料共享，將依循累積的經驗逐步往前推進。</p> <p>未來，一旦開放金融集團下非金融機構也能資料共享，對於擁有如IT、零售、醫療等非金融機構的金融集團來說，數據應用將有更多可能，比如，人壽與醫院間的資料共享，就有機會發展出跨子公司生態圈服務的新商業模式。文⊙李靜宜</p> </div></div></div>
2021/12/30 11:27作者李靜宜https://www.ithome.com.tw/news/148652
【展望後疫2022年新趨勢5】多任務多模態AI加速商品化，企業流程虛實整合有更多新選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一套模型通吃多任務，是邁向通用AI的關鍵一步。這個頂尖專家努力鑽研數十年的題目，在2021年，有了新的大變化。各大科技巨頭相繼發現，原本擅長自然語言處理（NLP）的Transformer架構，也能用來同時解決文字、影像，甚至是影片等不同模態的任務，效果還更好。</p> <p>比如在2021年10月，微軟亞洲研究院揭露了一款超強OCR工具TrOCR，完全不需要電腦視覺專用的卷積網路（CNN），單用一套Transformer就能辨識影像和生成文字，手寫辨識和影印辨識兩種任務更達到高階水準。</p> <p>OCR工具用途廣泛，銀行票據手寫辨識、街景招牌辨識、發票辨識都少不了它，如何讓數位世界理解真實世界資訊的意義，OCR正是最關鍵的核心技術。這個技術的演進，帶來的不只是應用面的提升，更是會對虛實整合應用帶來根本性的影響，例如企業就更容易將實體流程，串接到數位應用上，來展開更自動化的流程。</p> <p><span style="font-size:24px;"><strong>Transformer：從跨域嚐鮮到快速爆發</strong></span></p> <p>Transformer架構是這場多任務、多模態AI競賽的主角。它是NLP專用架構，2017年問世後，改寫了NLP設計思維，堪稱NLP分水嶺的大型語言預訓練模型BERT和能生成真人難以辨識文章的模型GPT-3，都以Transformer為基礎。</p> <p>2020年夏天，臉書開出第一槍，將Transformer用於文字處理以外的電腦視覺任務，打造一套影像辨識模型DETR，不僅簡化了辨識工作，表現還達到Faster R-CNN般的高階水準。Google也緊追在後，以Transformer實作電腦視覺任務，打造出廣受AI社群愛戴的影像辨識模型ViT，號稱比CNN網路更有效率。</p> <p>這兩項研究一發表，立刻引起各大AI領袖和ML社群關注，因為，兩大巨頭都證實了Transformer的電腦視覺潛力，很可能擠下獨佔鼇頭的CNN。他們也證明，Transformer有能力處理不同模態的任務。</p> <p>兩大巨頭的研究揭開序幕後，2021年迎來Transformer多任務、多模態AI的快速爆發潮。就重點模型來說，年初，OpenAI先是以Transformer架構打造可同時處理影像和文字這兩種模態資料的模型DALL·E，號稱是影像版GPT-3，還推出能配對文字和圖片的CLIP模型。臉書也隨之發表一系列Transformer改良模型，其一是UniT，能同步處理兩種模態資料和7種任務，NLP、自然語言理解（NLU）、影像辨識、物件偵測等任務都能解。</p> <p>年中，Google在自家年度開發大會I/O上，首度揭露兩款能同時處理文字和影像的Transformer模型MUM與LaMDA，甚至還預告要用來改善Google搜尋的使用者體驗。同時，北京智源AI研究院釋出的悟道2.0模型，不只能文生文、圖生文，還能圖文生文，興詩作詞、文案和影像生成都不是問題。</p> <p>而DeepMind，也用Transformer打造精準預測蛋白質結構的AlphaFold 2，再次證明Transformer的普適性。DeepMind後來還發表跨模態模型Perceiver IO，能精準分類文本、影像、影片和用來表示物件外觀的點雲數據。</p> <p><span style="font-size:24px;"><strong>從研究實驗走向商用化，企業將有更多選擇</strong></span></p> <p>雖然這些多任務、多模態AI系統多處於研究實驗階段，但也有些已在實用上拿下好成績。比如，史丹佛大學開源一套Transformer模型ConVIRT，可自動替X光片加上文字註解。臉書則利用多模態模型來偵測仇恨言論，能一次閱讀文字、圖片和影片等內容並歸類為有害或無害。</p> <p>甚至，微軟年底發展出新一代電腦視覺基礎模型Florence v1.0，除了通吃各電腦視覺任務外，還能處理影像與文字任務，拿下TextCaps等多項挑戰賽榜首。但這不單是研究成果，微軟強調，Florence v1.0已整合至Azure雲平臺，來優化自動添加圖說、加標籤、自定義物件偵測等功能。</p> <p>微軟更透露，Florence系列模型未來還能作為預訓練模型，企業只要提供少樣本資料，就能微調模型，打造成所需的預測系統。而且，微軟還打算用Florence模型來改善微軟365的智慧相片功能，以及產業雲中的商品圖片合規性檢查。</p> <p>在公雲業者手上，多任務AI已經開始成為商用化產品的新服務。按照微軟近年加速將AI技術商品化的策略，開頭提到的OCR工具TrOCR，很可能明年就用來改善微軟原有的企業級OCR服務，甚至打造成一項新服務，供企業用來打造自己的OCR工具。</p> <p>搶進Transformer多任務、多模態AI商機的不只微軟。Line在年末的全球開發者大會中，揭露一款企業級AI服務HyperCLOVA，該服務就以同名的大型多語言模型HyperCLOVA為核心，不只能生成廣告文案、摘要等，還能作為企業訓練NLP模型的幫手，比如產生訓練資料集、開放預訓練模型來讓企業使用者微調。Line預告，接下來，他們還要讓HyperCLOVA學會處理影像資訊，來提供結合圖文分析能力的服務。</p> <p>對企業來說，明年，將見到更多以Transformer為基礎的多任務、多模態AI服務，不僅不需要耗費訓練成本自行開發，這些模型，還將提供更多新選擇。像是，多任務多模態AI中，圖片辨識AI、OCR文字AI結合成單一的圖文AI服務，就已跨出商品化的第一步：微軟Florence已成為Azure平臺認知服務的加值功能，也有機會變成企業可以客製使用的獨立服務。</p> <p>許多紙本文件、實體物品上的文字，都需要透過OCR技術，若進一步運用圖文AI，一次取得文字和影像，讓數位世界的App能同步取得文字意義和影像來展開互動，當這樣的多任務多模態AI商用化之後，不只衝擊企業流程自動化，也能帶來更多企業虛實整合應用的新可能。文⊙王若樸</p> </div></div></div>
2021/12/30 11:30作者王若樸https://www.ithome.com.tw/news/148653
【展望後疫2022新趨勢9】5G專網專用頻段將開放申請，促產業應用更多元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:.05pt;">國內5G開臺一年半來，5G基地臺總數超過2.5萬座，電波人口涵蓋率達到87%，不只鎖定消費市場，更在政府推動下進入各種垂直場域，在文化展演、交通、政府、學校等領域帶動創新應用。</p> <p style="margin-left:.05pt;">除了現行電信業者公網提供商頻專網，行政院更預定在2021年到2022年之間釋出5G專網的專用頻段，4.8到4.9GHz（n79）頻譜。</p> <p style="margin-left:.05pt;">配合專用頻段釋出，NCC預告將在2022年第一季完成行動寬頻專用電信網路管理辦法，明定申請者的資格、專用頻段使用的場域範圍、頻寬限制、執照使用年限、資通安全。不採取電信業者競標作法，而是開放一般企業皆可申請，而且沒有執照數量上限，企業只要提出申請，符合規定、繳交頻譜使用費就能使用。</p> <p style="margin-left:.05pt;">換言之，新辦法上路後，企業不只能向電信業者租用商頻專網，還能向NCC申請專用頻段執照，以專用頻段架構自己的5G專用網路，</p> <p style="margin-left:.05pt;">目前電信業者提供的5G商頻專網服務，使用與5G公網相同的3.5GHz或28GHz頻段，2022年開放專用頻段後，可用4.8到4.9GHz的專用頻段，不只可避開公網網路塞車的影響，也能因專頻專網和公用網路區隔，降低敏感資料外洩的風險。5G的高傳輸、低延遲、大規模連結，更成為企業建置內部專用網路的選擇之一。根據2021年iThome CIO調查，企業採用5G專網的意願，從2020年的3.2%提高到2021年的10%，其中尤以醫療、政府與學校最為積極，採用意願超過2成。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><strong>企業部署5G專網有更多選擇</strong></span></p> <p style="margin-left:.05pt;">國內5G電信業者已公布了多種5G商頻專網的部署方案，企業可買斷設備部署專用5G網路，或是採設備租賃方式來部署，由於企業並不熟悉如何建置行動電信網路，這兩種做法都可由電信商代建代維網路。</p> <p style="margin-left:.05pt;">這些方案，依5G基地臺、MEC、核網部署方式不同分為4種，第1種是在企業營運範圍內建置5G基地臺，在營運區域內架構5G通訊網路，但資料仍和外部公用網路介接，第2種則是在企業營運範圍內建置5G基地臺與MEC邊緣運算設備，讓資料可以就近在企業的營運區域內交換、計算，但此種方式仍與外部公網的核心介接，第3種則是在營運範圍內建置一套完整的小型5G獨立組網，包括基地臺、MEC與核網，讓企業5G網路自成體系，不需與外部公網介接，降低資料外洩風險。最後一種則是運用網路切片技術，從5G公網切分出企業的虛擬專用網路。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><strong>更多國產5G開放網路設備</strong></span></p> <p style="margin-left:.05pt;">除了傳統電信設備之外，企業架構5G專網，也可選擇符合O-RAN等開放網路架構的設備，在電信商或系統整合商協助下，架構企業專用5G網路。</p> <p style="margin-left:.05pt;">在政府鼓勵下，臺灣有多家業者投入5G開放網路設備研發，包括啟碁、富鴻網、雲達、中磊、明泰等等，2021年臺灣成立亞洲第一個獲O-RAN聯盟認證的OTIC實驗室，讓國內業者就近驗測設備，不需要送到國外，現已有14家業者申請測試，2022年可望發出認證。對企業來說，意謂著將有更多5G開放網路設備可供選擇，且因採用網路功能虛擬化、軟體定義網路等開放網路技術，還能由企業IT自己維運5G專網，降低維運管理負擔。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><strong>三大國際公有雲業者也推出相關服務</strong></span></p> <p style="margin-left:.05pt;">看好全球5G市場，國際三大公雲業者也搶進這塊市場提供相關服務，結合雲端原生技術來提供彈性部署方案。</p> <p style="margin-left:.05pt;">微軟瞄準企業5G專網的邊緣運算需要，2021年9月和Verizon聯手推出5G企業專網邊緣運算方案，以Azure Stack Edge來架構mmWave毫米波頻段的5G專用網路。</p> <p style="margin-left:.05pt;">而Google Cloud則在2021年10月推出的Distributed Cloud，可部署至企業機房，這項服務也要進軍5G市場，從基地臺（RAN）、分散各地的遠端邊緣運算機房、Google邊緣節點提供的網路功能與MEC，到Google自家的區域資料中心作為5G基礎架構的核心資料中心，打造分散式的電信業雲端原生5G，此一分散式架構，可將基地臺、邊緣運算機房以主機模式部署，以因應企業建置專網的需要。</p> <p style="margin-left:.05pt;">AWS在2021年產品大會上也發表AWS Private 5G預覽版，來簡化部署專網的複雜度，企業只需決定部署5G專網的區域及網路頻寬，再由AWS提供必需的5G專網元件，包括小型基地臺、5G核網與RAN軟體、SIM卡，強調可彈性增減裝置，並在幾天內完成部署，收費依使用量計價。</p> <p style="margin-left:.05pt;"><span style="color:#B22222;"><strong>國內已有不少5G專網實證專案</strong></span></p> <p style="margin-left:.05pt;">儘管5G開臺已有1年半的時間，但對企業而言，5G仍屬於新興科技，仍要時間摸索如何應用，並評估5G可能帶來的效益。雖然2022年才會釋出專用頻段執照，但國內已有不少5G專網或5G商頻專網或的實證案例，包含工業製造、觀光、交通、文化展演、防救災、製造業、醫療、教育學習等，還有一些是以實驗名義測試5G專用頻段的案例。</p> <p style="margin-left:.05pt;">製造業實證的例子最多，例如位於高雄專門生產螺絲的久陽精密，高雄梓官、橋頭兩間工廠，分別建置5G基地臺與MEC邊緣運算，透過工廠內的5G網路蒐集每個產線的即時生產數據，由廠區內的MEC進行數據分析，建置儀表板管理各產線的運作狀況，兩間工廠5G專網再透過VPN串接，這種方式可供擁有多個生產或營業據點的產業作為參考。</p> <p style="margin-left:.05pt;">或像台達電在自家生產向量變頻控制器的工廠內建置5G專網，取代有線網路，透過5G網路蒐集生產設備、營運數據，建立智慧製造的戰情中心。這間智慧工廠以AGV降低人工搬運的勞務外，還以AMR結合機械手臂，結合5G網路，偵測環境，在特定區域內自主移動。現場作業人員也配戴AR眼鏡，可根據AR指引了解各產業運作情形、儲存物料。</p> <p style="margin-left:.05pt;">臺北捷運將在2022年要測試5G即時智慧監控，在捷運松山新店線的中山站、松江南京站、南京復興站間的捷運地下路段，以4.8到4.9GHz頻段建置小型5G專網，利用5G的高速低延遲傳輸，將捷運每個車廂內的4支監控攝影機即時影像畫面，送到捷運站的機房。在機房透過AI自動辨別車廂內影像，是否有乘客發生爭執、鬥毆或攻擊等異常事件，自動向行控中心發送警示訊息，還能辨識乘客是否依防疫規定配戴口罩。由於每節車廂都要傳送即時畫面，這個小型5G專網不同於一般5G公網，特別客製化設計提高5G專網的上傳速度至150Mbps，以利於大量影像資料的傳輸。</p> <p style="margin-left:.05pt;">5G也被看好在消防救災的可能性，內政部消防署正推動消防5G場域計畫，未來三年將結合5G與AI打造數位搜救平臺，讓搜救行動指揮車進入災區後，利用無人機或基地臺於災難現場建置一個搜救專用的5G網路，將搜救人員配戴的攝影機、無人機的空拍影像回傳至搜救指揮中心，由AI協助影像辨識，提升搜救作業效率、安全性。</p> <p style="margin-left:.05pt;">5G的高速傳輸、毫秒級低延遲，加上每平方公里可連接百萬裝置的連網能力，更易於建構更大規模的物聯網、蒐集巨量資料。5G專網的專用網路串連雲端、各種邊緣運算、終端用戶裝置，讓企業蒐集大量數據，後續的數據分析、AI應用部署有更大的彈性。</p> <p style="margin-left:.05pt;">過去，複雜的AI、影像資料、大數據分析，因需要較大的運算處理，多交由雲端計算處理，隨著邊緣運算、終端裝置運算效能的不斷提升，5G的高速、低延遲傳輸，數據蒐集分析、AI推論部署能夠更接近資料產生端，例如在製造現場的邊緣端，甚至結合輕量化AI技術，直接在終端用戶裝置執行。</p> <p style="margin-left:.05pt;">有意導入5G網路的企業，參考這些產業實證案例，可以更快發掘5G可能帶來的應用潛力。</p> </div></div></div>
2021/12/30 11:37作者蘇文彬https://www.ithome.com.tw/news/148654
微軟Log4j漏洞掃瞄工具引發Defender假警報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j漏洞引發全球企業人人自危，安全軟體告知系統有風險時會讓IT人員緊張不已，但最後是誤判也令人氣結。微軟端點安全軟體Defender for Endpoint近日就發生這樣的烏龍事件。</p> <p><a href="https://twitter.com/djteller/status/1476183568804204547" target="_blank">數名資安人員</a>近日接到<a href="https://twitter.com/djteller/status/1476183568804204547" target="_blank">Defender for Endpoint</a>發出「記憶體可能遭感測器竄改」（possible sensor tampering in memory）的警示訊息。<a href="https://twitter.com/irestartpcs/status/1476167731762376707" target="_blank">經查是由一個名為OpenHandleCollector.exe的程式所觸發</a>。</p> <p>事實上，OpenHandleCollector.exe是近日微軟上線的功能，是用於偵測磁碟上的Log4j執行個體，但似乎沒有公開宣布，並且觸發微軟自家端點安全工具的假警報。<a href="https://twitter.com/irestartpcs/status/1476186219570679809" target="_blank">用戶分析</a>OpenHandleCollector.exe設了一個控制代碼（handle）給SenseIR行程，而觸發感測器竄改警示，不過並非判斷成惡意檔案。</p> <p>這個工具是因應Log4j漏洞及各種開採意圖，<a href="https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/#updates" target="_blank">Defender新增的威脅漏洞管理的功能</a>之一。<a href="https://twitter.com/djteller/status/1476183568804204547" target="_blank">微軟企業安全部門</a>表示，目前正在研究並解決假警報的問題，以便及早釋出給受影響的系統。</p> <p>Defender產品不時發生誤判。<a href="https://www.ithome.com.tw/news/148112" target="_blank">Defender端點安全產品本月初也曾誤判</a>Office文件操作過程有近似勒索軟體Emotet特徵的行為，而不讓用戶開啟檔案。<a href="https://www.ithome.com.tw/news/142616" target="_blank">今年初也將Chrome 88 檔案誤判為後門程式</a>。</p> <p>不過誤判總比真的被開採好。微軟及其安全廠商偵測，各種犯罪組織意圖經由開採Log4j漏洞植入挖礦程式、勒索軟體、木馬等惡意程式。已經有CVE-2021-44228及CVE-2021-45046遭到惡意開採。</p> </div></div></div>
2021/12/30 10:28作者林妍溱https://www.ithome.com.tw/news/148650
【展望後疫2022新趨勢6】疫情帶動企業Martech運用再進化，資料及流程整合成IT新挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年來，疫情的衝擊不只對企業造成挑戰，更帶來數位轉型的機會。根據Google 2021年發布的臺灣企業數位轉型調查指出，近8成企業受疫情影響加速數位轉型，更有超過7成企業，為了強化與顧客的溝通，採用了新的數位銷售管道或行銷工具。顯示在疫情下，企業更大力擁抱Martech、強化數位行銷，已經是數位轉型不可或缺的一環。</p> <p>IDC臺灣企業應用資深研究經理蔡宜秀指出，過去兩年，B2B企業率先面對邊境封鎖的衝擊，被迫改變過去仰賴實體參展、面對面拜訪客戶的獲客模式，轉而強化數位行銷，來增加自家公司在網路的能見度。</p> <p>臺灣許多B2B企業，紛紛因疫情而加強或擴大數位行銷投資。比如一家販售IoT勞安解決方案的新創星竑科技，趁疫情期間改版網站，強化登陸頁面的影音展示，也提高線上客服與客戶數據的整合，分析顧客在官網的瀏覽歷程來了解需求，更將Google關鍵字預算提高了2成。</p> <p>就連傳統製造業也開始更大力擁抱數位行銷，像拉床製造商成祐精機就決定，未來要結合VR技術，讓網站變身為線上展覽攤位與虛擬業務員，來優化客戶體驗；正言權業不銹鋼則是在疫情期間強化Line行銷運用，透過Line詢價的客戶超過了4成。其他如亞旭電腦、開力肯材料等企業，都開始經營跨境電商，將商品上架到Amazon，來增加海外市場的獲客。</p> <p>疫情讓B2B企業提前在2020年開始加強運用行銷科技，蔡宜秀指出，B2C企業則等到2021年，臺灣疫情加劇後，才明顯強化數位行銷投資。由於B2C企業本身就更善用數位行銷工具，近一年的新變化是，累積更多顧客數據後，出現了更多顧客資料分析的需求，需要彙整分散在各系統平臺的數據，透過資料分析才能進行精準行銷。</p> <p>比如說，東森購物在2021年導入顧客數據平臺（CDP），整合不同管道的顧客數據，根據顧客的轉換率、終身價值、沈睡用戶激活率、流失率等指標，精準將顧客分群，再根據受眾大小與消費傾向，設計出不同的行銷溝通策略。資生堂早在2019年自建了顧客計算中心，逐步將Google、臉書、 Line、Appier、DSP、DMP等管道取得的顧客資料全部集中，近一年更擴大採用Martech工具來分析顧客行為，找出猶豫客以促進消費轉換，並擴大採用Line Beacon藍芽設備，來強化OMO導流。</p> <p>蔡宜秀分析，在疫情影響下，B2B企業逐漸從後端走向前端，不再只透過CRM管理客戶交易資料，開始活用更多數位行銷的管道與工具，比如更注重網站內容、優化官網SEO、經營社群媒體等；而B2C企業，反而是從前端走向後端，除了更多元採用數位行銷工具，也開始出現顧客資料分析需求，目標透過精準行銷，來增進獲客與留客，也因此加速CDP、數據分析平臺的採用等。</p> <h3><strong><span style="font-size:28px;">更多Martech工具驅動整合需求，IT與行銷得更緊密協作</span></strong></h3> <p>無論是B2B或是B2C企業，導入更多Martech工具後，都將產生更多的顧客資料與工作流程。但是，散落在不同Martech工具中的孤島資料，難以發揮數據的價值，各自運作的工作流也難以落實行銷自動化。這些資料與流程的整合，就成了企業擁抱Martech的下一步挑戰。</p> <p>「只要涉及資料交換或串接，基本上就需要IT的介入。」蔡宜秀點出，採用更多Martech工具後，下一步就需要IT來進行資料整合。舉例來說，企業若要導入CDP或CRM強化顧客資料分析，無論是串接結構化與非結構化的顧客數據到數據平臺，或是進行訂單管理、財務資料的串接作業，都需要IT來進行後端支持。</p> <p>蔡宜秀指出，規模較大的零售、電商業者，自有IT團隊能整合數據，但是，小企業缺乏專責IT人力，得靠第三方廠商來進行整合，因此，大多仍停留在前端行銷工具的運用，一旦面臨資料分析需求，只能從個別應用程式手動撈出顧客資料，人工進行資料分析，無法更完整的整合前後端數據與流程來實現自動化。</p> <p>換言之，疫情加速臺灣企業採用Martech後，Martech整合的態勢將更加明顯，企業IT須與行銷部門更緊密合作，除了強化數據分析能力來精準行銷，也得進一步強化Martech工具的整合，才能優化數位行銷的執行效率與成效。</p> <p>不只是臺灣，全球企業都面臨類似的挑戰。國外熱門雲端資料庫工具Airtable一項調查就指出，行銷領導者每周浪費三分之一時間在重複性的工作，人工維運作業平均花費13小時，而且，使用越多Martech工具的企業，每周所用的人工作業時間更長。</p> <p>「你以為更多工具會消除更多的人工任務？事實並非如此，問題在於大多Martech工具沒有互相整合。」Martech之父Scott Brinker強調，缺乏整合，就是耗費更多手動作業的關鍵。</p> <p><strong><span style="font-size:28px;">從4大層面整合Martech工具，更要準備好邁向大維運時代</span></strong></p> <p>但是，Martech工具成千上百種，企業IT要整合行銷流程時，該如何進行整合？Scott Brinker建議企業，可套用他過去提出的技術分層架構，依據4大整合面向，由下而上分為資料層工具、工作流程工具（邏輯整合）、UI/UX工具（呈現整合）與治理層工具，來分類常見Martech技術或工具，他更提出每一層工具可採用的整合策略。</p> <p>比如說，底層是資料層工具，包括資料倉儲、MDM、CDP、DAM和試算表幾個子類，這一類整合策略是要盡可能做到跨App間的資料共享為主。而再上一層的工作流程工具層，要運用資料流程工具、BPM、RPA、工作流程自動化工具或iPaaS服務，來進行跨App間的事件觸發、決策、行動和流程的邏輯整合，例如利用RPA來串接工作流程，以達到更高度的自動化。</p> <p>在UI/UX層則是聚焦視覺化呈現的整合，這一層可用的工具，包括了各種協作平臺、分析工具、CRM工具或服務，甚至有許多領域特定工具可用，整合原則是將所用不同App的呈現層整合，讓每個使用者可以擁有他自己的主頁。例如，可將一個應用程式的使用者介面串接到另一個應用程式中，像是行銷人員以Slack作為共通介面，與各類應用程式互動，來提升使用者體驗。最後在治理層，則要建立一套強制執行的規範和標準，來強化對不同技術分層的控制與管理能力，市面更已經有不少SaaS管理、隱私及資料治理、身份識別與管理等工具可採用。</p> <p>Scott Brinker預測，未來10年，企業將運用更多應用程式、自動化流程、虛擬助理或分析工具，不只是同步操作與執行，所產生的資料也會交互運用、共享，對企業來說，將開始面臨大維運（Big Ops）的挑戰。企業得將DevOps作法，與營運銷售端的RevOps（Revenue Operations）結合，來進行企業內部各種流程的優化。這更意味著，企業得更借重IT的力量，來與行銷、銷售與營運等多個部門，進行更密切的協作。</p> </div></div></div>
2021/12/30 11:00作者翁芊儒https://www.ithome.com.tw/news/148639
【展望後疫2022新趨勢2】虛實混合掀起後疫數位新浪潮，數位分身將成企業營運韌性的核心競爭力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年因為元宇宙（Metaverse）話題爆紅，帶動一波虛實混合應用的新商機，臉書高調更名為Meta，宣誓打造下一代的Metaverse社交世界，微軟、Nvidia等知名IT公司更大舉搶進。雖然，元宇宙大多是願景式的未來展望，不知何時才真能落地，但是，虛實混合技術卻不是空想技術，數年前就用於發展製造業的數位分身（Digital Twin），正因疫情，這一年來，數位分身技術開始逐漸受到重用，在疫情嚴峻期間更發揮了關鍵作用，成了企業對抗疫情的關鍵利器。</p> <h3><strong><span style="color:#FF8C00;">因疫情帶來零接觸需求，讓數位分身技術開始逐漸受重用</span></strong></h3> <p>企業數位分身是一項發展多年的成熟技術，所用的IoT、虛實混合等技術（如VR與AR），讓企業能夠建立營運或生產環境局部實體的數位分身，可運用於產品設計模擬、製造流程規畫、產線建置規畫、AR檢修、營運戰情室，以及VR虛擬展間應用等。</p> <p>市面上也早就出現了不少企業級數位分身產品或方案，如達梭3DExperience體驗平臺，或PTC的ThingWorx與PTC Creo軟體，早在疫情前就能提供或支援這類功能，仍需搭配不少硬體投資，導入門檻較高，過去只有少數跨國大型製<br /> 造公司會用，中小型製造業則沒有迫切的需求。</p> <p>近兩年，因為疫情少了實體接觸的機會，企業對數位分身技術的態度，開始出現轉變。</p> <p>早在疫情爆發初期，臺灣開始有一些高科技製造公司看上了數位分身的發展潛力，在過去1∼2年紛紛展開布局，包括英業達、友達、廣達、群創、和碩等，都開始增加數位分身的投資，來因應疫情下遠距維運和管理的迫切需求。</p> <p>舉例來說，英業達工廠很早就開始將數位分身技術用於機臺設備的維修巡檢和遠端培訓。所有機臺都建立對應的數位化模型，現場維修人員只要戴上AR眼鏡，就能看到設備即時運作狀態，工程師不用遠赴國外，也能遠端指導現場作業人員完成設備檢修，或是協助裝機與機臺操作，解決產線問題。</p> <h3><strong><span style="color:#FF8C00;">製造業生產機臺開始整合數位分身能力，來支援遠距維護與服務</span></strong></h3> <p>疫情加遽，許多大型製造業者開始導入或增加數位分身的投資，而且不只大型製造業，連中小型製造業也都要開始採用，才能協助公司繼續維持營運，保持生產力，甚至更將它視為建立企業營運韌性的核心競爭力。</p> <p>2021年時，受疫情反覆不定的影響，許多國家出入境仍維持嚴格管制，對於臺灣許多傳統製造公司來說，特別是工具機業者，迄今因為疫情衝擊，不僅無法派遣技術人員協助外國客戶安裝機臺設備，或進行設備維護檢修，甚至海外工廠有新產線要上線時，工程師也很難親自到場提供立即協助，解決產線問題，這些種種挑戰，迫使這些業者必須跟著轉變，導入數位分身技術來協助公司因應疫情衝擊。</p> <p>也因此，過去一年來，臺灣有越來越多中小型或傳統製造業者，開始結合數位分身應用，以工具機產業為例，像是東台精機、鉅鋼機械、崴立機電等都已陸續導入相關應用，甚至更有工具機業者將數位分身能力整合到自家產品中，作為產品功能來提供，例如鉅鋼機械開發新一代製鞋機設備時，就把數位分身功能整進到CNC控制器，不只用來加快新機開發，後續還能經由3D數位模型即時監測設備運作狀態，支援客戶遠端維護和管理服務之用。</p> <p>另一家工具機業者東台精機更將工具機的數位分身結合虛擬產線應用，在實體工具機設備還沒交付之前，就能預先模擬客戶端虛擬產線的運作情況，利用生產過程產生的數據，搭配3D加工模型，進行產品品質預測，來調整和優化機臺加工品質。透過這種方式，在疫情期間也能減少客戶端協助驗證過程所需的人力。</p> <p>不只疫情零接觸需求的誘因，近來不少技術性突破，成了加速數位分身落地企業的另一股助力，像是5G網路商用化，徹底解決了工廠端IoT數據傳輸難題，企業建立產線數位分身時，已經可以根據製造現場的快速變動來動態調整，實現彈性部署，這在過去採用傳統實體線路或Wi-Fi就辦不到，只有透過結合5G才能做到，讓數位分身能夠在工廠端真正落地，實現大規模應用。英業達打造新一代5G智慧工廠，就有使用5G專網結合數位分身做應用。</p> <p>除了傳輸技術突破，在模擬技術上，GPU大廠Nvidia在2021年底正式推出了企業版Omniverse數位分身模擬平臺，引進光線追蹤和高度擬真物理模擬技術，讓經過模擬產生的數位分身更加逼真，企業能因此挖掘更多應用，甚至也因為3D數位模型擬真度、準確度越來越高，企業在自駕車、機器人開發上開始用其數位分身在虛擬世界中訓練。</p> <p>不僅如此，數位分身走出製造業，跨入到更多產業，在智慧農業和智慧醫療已有不少相關應用。例如，臺南有座養殖漁場，很早就開始利用建立好的魚塭數位分身，推測環境改變後對魚蝦生長的影響，讓漁民能夠提早來因應。又或是有農場針對種植番茄的溫室建立數位分身，來模擬生長狀態改變，來確保每季收成的品質與數量。在醫療方面，振興醫院2年前也曾利用過往病歷數據打造病人數位分身，除了幫助醫師快速了解病人病史，也能及早揪出潛藏慢性病的病灶，早一步治療。</p> <p>而根據市研機構ABI Research最新預測，2022年工業數位分身市場將達到46億美元，並逐年增長，在2030年達339億美元的規模。</p> <h3><strong><span style="color:#FF8C00;">三大公雲巨頭紛紛搶進數位分身戰場，也大大降低企業導入門檻</span></strong></h3> <p>發展至今，企業數位分身更從本地走向公雲，大型公有雲業者在2021年紛紛搶進企業數位分身戰場。微軟的AzureDigital Twins雲端服務，率先於2020年底推出上線，可在雲端建立製造業的數位分身，後來更有建築業的數位分身方案推出。隔年9月，GCP跟進發表自己的雲端數位分身方案，瞄準疫情下供應鏈管理的需求。同年底，AWS也發布了AWS IoT TwinMaker雲端服務，使用者可以更快速打造出工廠實體系統的數位分身，搭配視覺化儀表板來進行監控和優化營運。該方案除了整合許多現有AWS物聯網服務，還能夠串接第三方平臺，包括西門子物聯網雲端平臺MindSphere、Snowflake資料倉儲等。</p> <p>隨著三大公雲端巨頭相繼推出公雲方案，大大降低企業採用雲端數位分身產品的門檻，這也意謂著，企業未來可以更容易打造自己的數位分身應用，將使2022年相關應用場景越來越多元。</p> </div></div></div>
2021/12/30 08:10作者余至浩https://www.ithome.com.tw/news/148645
【展望後疫2022新趨勢4】超低功耗TinyML趨勢崛起，成為企業邊緣AI應用落地關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span>在</span>2021年，因疫情帶動非接觸式作業新常態，加速企業AI技術落地，從雲端走向邊緣，但在此同時，越來越多雲端AI或ML應用，開始追求更高準確度、發展更多元更深化應用，不僅處理運算越來越複雜，還占用更多記憶體，也更耗電，也因此更難在資源受限的IoT或嵌入式邊緣裝置上執行，成了企業AI落地的挑戰。所以，一種微型機器學習（Tiny Machine Learning，TinyML）的新趨勢，近來趁勢而起，正是為了解決這個難題。</p> <h3><strong><span style="color:#FF8C00;">超低功耗邊緣AI應用需求出現，成了TinyML興起的關鍵驅力</span></strong></h3> <p>TinyML是一種超低功耗的邊緣ML應用新型態，試圖從優化IoT或邊緣裝置上的硬體設計、ML模型、算法和應用軟體，來實現邊緣端AI或ML應用。</p> <p>一般而言，TinyML適用的裝置類型，以IoT或邊緣裝置為主，因為這類裝置大多是電池驅動的超低功耗裝置，不僅採用高度省電設計，還支援全時待命（always-on），且硬體配置（包含CPU效能、資料吞吐量、記憶體與資料儲存等）遠低於現今的智慧型手機。</p> <p>以IoT裝置常用Arm低階處理器為例，一顆MCU通常僅有256 KB記憶體和1MB的儲存空間，跟最新款iPhone 13 Pro手機配有高達6GB記憶體和1TB儲存空間相比，兩者硬體配置資源相差懸殊，這也使得想在這一類裝置上提供ML功能，就很容易遇到效能瓶頸，甚至這種超低功耗ML應用要求每次執行ML模型推論時，其功耗必須小於1毫瓦。這正是TinyML應用興起的關鍵驅力，是未來能否讓企業AI真正落地的重要關鍵。</p> <p>尤其，在過去一年，企業對邊緣AI需求持續增長，使得TinyML近來發展越來越受矚目。根據iThome 2021 CIO大調查，2021年有多達2成企業因為積極轉型跟進投資布局邊緣AI相關技術，用在設備上的異常檢測、狀態監測和預防性維護等。許多過去採用者也持續加大投資力道，例如面板大廠友達，這些年早就在工廠部署近4千個邊緣AI裝置，來發展各種邊緣AI應用。隨著企業邊緣AI應用越來越火紅，也讓TinyML需求日益增加。</p> <h3><strong><span style="color:#FF8C00;">純電池驅動的IoT或邊緣裝置未來也能具有ML能力</span></strong></h3> <p>從應用角度來看，電腦視覺也是目前製造業常見一種邊緣AI應用，還沒疫情前，許多製造公司早就開始在生產環境中，以電腦視覺結合攝影機，用於AOI瑕疵檢測、流程優化和自動化等，在疫情爆發後，這樣的需求更大大增加，用來打造零接觸作業環境，藉此降低人與人接觸的風險。為了將電腦視覺能力延伸到更多邊緣端，讓更多IoT或邊緣裝置，也有產品檢測、環境及人員監控處理能力，就需要TinyML的能力。</p> <p>也因為有了TinyML處理能力，企業能在許多純電池供電的IoT或邊緣裝置開始提供ML能力，這也意謂著，未來邊緣AI應用設計和部署上，企業可以考慮採取更多彈性作法，像是使用可移動式的邊緣AI攝影機，來根據製造現場變動機動調整與快速因應，不只提供單點設備異常檢測，也可以支援多點檢測。</p> <p>不光是製造業，許多產業也能因此而有更多不同邊緣AI應用出現。像是農業使用許多IoT感測器裝置，以後可以結合AI異常偵測，除了能偵測土壤溫濕度變化，也透過AI即時找出生長異常的農作物和檢測有無害蟲。不少醫院也有各種醫療檢測裝置，能監測病人生理狀況，未來能搭配AI影像辨識提高病人醫療照護效率。甚至在零售物流業上常見的AGV搬運機器人，透過加入AI視覺禎測能力，也能因此變得更聰明。這些電池驅動的AIoT或邊緣AI裝置，正因為有TinyML才能夠辦到。</p> <h3><strong><span style="color:#FF8C00;">隨著硬體逐步到位，TinyML應用有望在2022年起飛</span></strong></h3> <p>現階段TinyML發展，主要從ML模型與硬體優化來實現超低功耗裝置的ML應用。Arm也歸納了實現TinyML的5種常見ML模型架構和優化的方法，包括降低精度、資料重覆利用、權重壓縮、轉換、稀疏運算等。</p> <p>針對這種超低功耗的邊緣AI應用型態，近來有越來越多學術或研究機構投入研究，像是MIT與IBM共同成立的Watson AI Lab實驗室團隊近來開發出新的神經網路架構MCUNetV2，就是為了因應TinyML需求而設計，能將在MCU處理器執行CNN算法所使用記憶體，減少到現行ML算法的4到8倍之多，透過MCUNetV2神經網路架構來建立CNN模型，在ImageNet圖像分類測試中，僅需使用465KB記憶體，就可達到近<span class="VIiyi" lang="zh-TW" xml:lang="zh-TW"><span class="JLqJ4b" data-language-for-alternatives="zh-TW" data-language-to-translate-into="en" data-number-of-phrases="1" data-phrase-index="0"><span>72%</span></span></span>的辨識準確度。</p> <p>目前一些主流ML框架也能支援TinyML應用。例如Google原本就有推出輕量版TensorFlow Lite框架，可以將訓練完的ML模型轉換成體積更小的TinyML模型，部署到各種低功耗硬體上，除了能支援Arm Cortex-A、Cortex-R處理器，後來還推出可在更低階Cortex-M處理器執行ML模型的版本，Cortex-M也是目前物聯網和嵌入式應用主要採用處理器，可用於人員偵測、手勢辨識、字詞偵測等。</p> <p>除了優化ML模型和架構外，在硬體設計過程中，也有一些新作法，來因應TinyML需求。Arm在兩年前發表Arm Cortex-M55處理器IP產品中，首度將機器學習能力帶進IoT硬體中，讓IoT晶片開始支援TinyML應用，如果從產品推出到真正進到市場大約需要2年來估算，預期2022年開始會有相關產品推出。</p> <p>Arm當時還有發布另一個神經網路處理器IP產品Arm Ethos-U55，不僅省電，在AI效能更獲得百倍提升。除此之外，還有AI晶片業者推出採取記憶體運算的硬體架構平臺，可執行DNN推論所需的運算，最多可處理113M （百萬）權重數量和提供每瓦4 TOPS運算能力。</p> <p>市調機構ABI Research預估，到2022年時，採用TinyML晶片的邊緣AI裝置出貨量將達12億個。Gartner調查則指出到了2027年，每十臺邊緣裝置，就有6臺具備深度學習執行能力。</p> <p>隨著TinyML越來越受到重用，對企業來說，更應該思考的是，許多雲端AI或ML應用落地後，未來如何部署和管理這些超低功耗邊緣AI裝置和TinyML模型，將成為企業AI落地的另一項考驗。</p> </div></div></div>
2021/12/30 08:27作者余至浩https://www.ithome.com.tw/news/148646
【展望後疫2022新趨勢3】IT現代化成為主流，SRE成為IT團隊必備新能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興科技人才的搶奪，能反映出企業擁抱新興技術的態勢。像資料科學家、AI人才從幾年前開始火熱，近兩年則是資安人才供不應求，都反映出企業在AI和資安應用需求的爆發。</p> <p>在2021年，有一類新興人才的需求開始在臺浮現，不只職缺數量開始增加，需求產業也從網路科技公司為主，逐漸蔓延到金融、零售、高科技製造、媒體，甚至是物流業者，就是網站可靠性工程師SRE（Site Reliability Engineering）。</p> <p>Google在2016年將自家服務維運心法對外公開，打造成了一套確保全球性服務高可靠度的SRE維運方法論，還出書大力推廣，不少大型網路公司或科技公司後來競相仿效，SRE成了網路維運團隊的指標性作法。</p> <p>隨著數位轉型浪潮崛起，越來越多企業上雲來提供跨國性服務，為了確保自家服務不中斷，其他產業開始有大型企業跟進擁抱SRE。2019年前後，金融業如新加坡星展銀行，或是零售巨頭美國Target，都開始成立自己的SRE團隊，積極導入SRE維運作法或工具。</p> <p>臺灣擁抱SRE的腳步相對較慢，幾年前，只見極少數的網路公司，例如直播平臺17Live集團，開始嘗試這個國外火紅的維運新方法，直到2020年，開始有大型金控、製造業者接觸SRE維運理念，甚至展開嘗試，也開始有網路公司、科技新創在臺招募SRE。</p> <h3><strong><span style="color:#FF8C00;">臺灣越來越多產業要招募SRE</span></strong></h3> <p>2021年初，明顯出現不少企業要招募SRE職缺，104求職網站在4月時的SRE職缺高達70筆，到了年底，職缺數量翻了一倍，超過150筆。不只更多網路原生公司，年初SRE職缺以銀行業、零售流通、高科技製造業較多，到了下半年，連網路設備商、儲存產品商、房仲、保險、物流、媒體、百貨業者、線上電商都要招募SRE職缺。</p> <p>SRE不是通用型的維運人力，而是特別適用於雲端原生環境，提供不中斷雲端服務需求的企業。但是臺灣這群需要SRE的企業，可不只有網路公司或科技新創，還有更多種截然不同類型的產業，都想找SRE。</p> <p>需要借重SRE團隊的公司，勢必是大力擁抱雲端原生技術的企業。對網路公司、科技新創而言，雲端原生技術是本性，隨著服務規模越來越大，也就越有不中斷的需求。如遊戲業者、網路服務公司都因此而越來越需要專業SRE維運人才。</p> <p>這兩年的後疫零接觸商機，讓數位通路成為接觸消費者最重要的管道，網路商城或線上服務因搶購、塞爆當機事件頻傳，越來越多實體零售業者大力發展數位通路時，開始壓寶雲端原生技術，也更重視服務可靠性，SRE就成了他們的必須人才，諸如誠品、生活市集、蝦皮娛樂電商都是如此。</p> <p>但對傳統的大型企業來說，擁抱SRE意味著，他們不只展開了IT現代化工程，而且更進一步，雲端原生技術成了他們重要的核心技術，推出越來越多數位化服務或產品，都需要更高可靠性的維護。</p> <p>這正是像大型金融機構如玉山銀行、國泰世華銀行，在2021年積極招募SRE的緣故，這兩家近幾年都展開了數位轉型的IT大改造，為了發展更多數位金融新服務，銀行核心系統架構，也開始採用雲端原生技術，例如容器、K8s、微服務架構等，而中國信託銀行則正展開新一代核心系統改造，開始提前大舉招募相關人力，其中就包括了SRE。其他金融業者如保誠人壽、新安東京海上、大慶證券等證券、保險業者，同樣都是跟進銀行轉型趨勢，開始擁抱雲端原生技術而開缺。</p> <p>不只銀行為了發展新型態業務而需要SRE，例如信義房屋同樣是為了發推動數位轉型，要打造新一代Web應用來拓展新業務的轉型專案之用，而積極培養SRE架構師。</p> <p>製造業擁抱SRE的需求則更是多樣化，以製造GPS聞名的Garmin，要招募SRE來維運自家部署在K8s上的生產製造系統MES，來提高關鍵產線IT系統的韌性，將其視為不可中斷的雲端服務來維護。另有多家製造業者，同樣為了維護內部K8s叢集而需要招募SRE，例如合勤旗下網通產品公司，或像鴻海則是為了開發和建置5G相關平臺和服務，而需要SRE，這是鴻海發展智慧工廠新一代網路基礎設施的關鍵。</p> <p>甚至，連台積電都要在今年下半年開始在104網站上，開出SRE職缺，雖然台積電沒有說明招募SRE的原因，但從招募資料來看，各項雲端原生技術，如DevOps、K8s、GO語言都是必備能力。</p> <h3><span style="color:#FF8C00;"><strong>SRE能力將成為企業IT新課題</strong></span></h3> <p>從臺灣不同產業對SRE的招募需求，更透露出這些企業不只擁抱雲端原生技術，他們以全球性服務或是大規模雲端服務為目標，追求更高可靠性的數位韌性，這是為何需要用到這種高階維運人力的主因。</p> <p>這些臺灣大型企業，趁著轉型之際，紛紛展開IT現代化工程，來擁抱雲端原生技術，才帶動了這一波SRE人才需求的崛起。</p> <p>但是，展開轉型的企業不只這一群，更多企業這兩年因為疫情展開轉型，或者老早就開始推動轉型，因疫情而加快腳步，雖然不一定需要或有足夠的資源，可以招募全職的專業SRE人才，但企業主對於服務不中斷的需求，對於雲端原生技術導入後的維護需求，都會陸續出現，這就會成為IT部門的新課題，企業IT團隊也要培養自己的SRE能力。</p> <p>SRE方法論中的諸多作法，不究責文化、問題根源分析、SLO服務級別目標、SLI服務水準指標、錯誤預算（Error Budget）等作法，也會隨著越來越多企業推動SRE而開始流行，成為企業IT得認真思考採用的新作法。Google每年一度的DevOps調查報告更建議，SRE是DevOps最佳的互補策略，可以讓企業從開發、部署到維運都能更高度的自動化。這些作法都會成為IT人在2022年的技術成長課題。對IT團隊而言，SRE方法論是更貼近業務角度來思考IT系統的維運，能讓IT發揮更大的業務影響力和價值。</p> <p>2021年臺灣IT圈的關鍵字是「微服務」，許多企業開始擁抱雲端原生技術，嘗試微服務架構，展開IT現代化之路，但SRE正是這段旅程後半段的關鍵，「SRE」將會成為2022年的臺灣IT關鍵字。文⊙王宏仁</p> <p> </p> </div></div></div>
2021/12/30 09:21作者王宏仁https://www.ithome.com.tw/news/148648
AI趨勢周報第182期：吳恩達看2022年AI趨勢：多模態AI起飛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1224～1230)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI趨勢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>吳恩達看2022年AI趨勢：多模態AI起飛、參數破兆模型會更多</strong></span></p> <p>AI專家吳恩達日前分享2022年AI趨勢預測，第一就是多模態AI將起飛。多模態是指不同類型的資料，比如文字、影像、音訊、影片等。在過去，AI模型幾乎只能處理單一模態任務，比如只限於文字或電腦視覺。但2021年出現不少多模態AI成果，比如OpenAI發表CLIP和DALL·E模型，能同時處理文字和影像，靠輸入文字就能產生圖片。Google也發表2套跨75種語言的多模態模型，要用來優化自家搜尋服務。</p> <p>另一個趨勢是，2022年將出現更多參數破兆的模型。「過去一年，模型從大型往更大型發展，」吳恩達盤點，2021年初，Google發表史上首個參數破兆的模型Switch Transformer（1.6兆），北京AI研究員智源後來則發表1.75兆參數的超大模型悟道2.0。他點出，單純增加參數並無好處，但隨著算力和資料來源的增長，深度學習發展出「越打越好」的原則。於是，財力雄厚的AI大廠奮力斥資研發超大模型，特別是NLP領域模型。但這種超大模型要實用，還有些挑戰，比如需要更多高品質的訓練資料、模型推論速度緩慢、消耗大量電力，以及難以在消費級的邊緣裝置上執行。</p> <p>吳恩達也提出其他AI趨勢預測，包括Transformer單一架構將駕馭更多任務、AI產生音檔成主流、各國祭出AI法規等。<a href="https://read.deeplearning.ai/the-batch/issue-123/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gopher </span></strong></span></p> <p><span style="font-size: 22px;"><strong>理解力媲美高中生！DeepMind無心插柳柳成蔭，造出超大語言模型Gopher</strong></span></p> <p>DeepMind最近發表一套超大語言模型Gopher，閱讀理解力可比高中生。不過，Gopher並非DeepMind有意為之，而是在探討通用AI的過程中意外發展出來的。當時，團隊打造了一系列不同大小的Transformer模型，參數量從4,400萬個到2,800億個，而參數最多的模型就是Gopher。</p> <p>這個Gopher學習大量文字資料後，可大幅提升閱讀理解能力，在高中的閱讀理解測試中拿下高分，接近人類表現。甚至，Gopher能夠與人進行完整對話，連貫性和流暢度都驚豔了研究團隊。DeepMind後來透露，催生出Gopher的專案，是為了探討通用AI的可能，也就是像人一樣能推理思考、具備認知能力的AI。研究主流認為，以巨量資料訓練超大型模型，是打造通用AI的關鍵，而DeepMind打造一系列不同大小的Transformer模型，來研究這些模型的優缺點，以及找出增加參數規模就能提高表現的領域。<a href="https://deepmind.com/blog/article/language-modelling-at-scale">（詳全文）</a></p> <p><img alt="" src="https://kstatic.googleusercontent.com/files/47950226c7c6d473af21b280951413eede0d6f7d2dc978f289435dd2f3a43b67446ed664600943700c38b42982087d9cb2c051041a9697e9dc87fe14d9dc64f3" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Florence </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟用Transformer打造通吃多種CV任務的多模態AI，還用來優化Azure認知服務</strong></span></p> <p>微軟用Transformer架構打造一款新模型Florence v1.0，不只通吃多種電腦視覺任務，還能處理影像-文字任務，最近更拿下TextCaps等多項挑戰賽冠軍。微軟透露，該模型已整合至Azure雲平臺，來優化自動添加圖說、加標籤、自定義物件偵測等功能。今年以來，各大科技巨頭瘋搶多模態、多任務的Transformer研究，但微軟是少數已將研究成果用來改善服務的大廠。</p> <p>微軟表示，去年，他們發起Florence專案，目標是要研發新電腦視覺模型，來改善自家服務，甚至用來創造新企業級服務。這次發表Florence v1.0後，微軟指出，Florence系列模型未來還能作為預訓練模型服務，企業用戶只要提供少樣本資料，就能微調模型，打造成所需的預測系統。而且，微軟還打算用Florence模型來改善微軟365的智慧相片功能，以及產業雲中的商品圖片合規性檢查。<a href="https://www.microsoft.com/en-us/research/blog/azure-ai-milestone-new-foundation-model-florence-v1-0-pushing-vision-and-vision-language-state-of-the-art/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ubpEUksa3v0?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 達摩院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 綠能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>阿里達摩院發表2022年科技趨勢預測：綠能AI崛起</strong></span></p> <p>達摩院日前發布2022年十大科技趨勢，其中強調綠能AI的崛起。綠能已是世界能源發展的主要方向，但是，要讓綠電在狂風、暴雨的天氣下維持穩定發電，而且要即時因應故障狀況，仍是一大挑戰。達摩院指出，在監控綠電運作的過程中，參數檢驗和故障檢測仍需要大量人力，而且，故障參數和特徵識別特別難找。但這也是AI能優化的地方，能建立各個電網和IT系統的數位分身，以每個電網的數位分身來解決不同場景難題，全數集結起來就能成為電網智慧控制系統。</p> <p>另一方面，達摩院也預測，明年超大模型的競賽將進入冷靜期，而且，大小型模型將互相搭配來解決問題，比如，大模型將沈澱的知識和認知能力輸入小模型，小模型再將學習結果回饋給大模型，讓大模型可持續進化。他們也認為，2022年，AI將成為科學家的新生產工具，發展出新的科學研究典範。<a href="https://damo.alibaba.com/techtrends/2022">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deep01 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 腦出血偵測AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺醫療AI新創Deep01腦出血偵測AI獲日本上市許可</strong></span></p> <p>臺灣AI新創Deep01自行研發的腦出血AI偵測軟體DeepCT獲日本PMDA上市許可，進軍日本醫療AI市場。Deep01指出，日本是高度高齡化國家，老年人口眾多，但醫療儀器密度居全球之冠，平均每百萬人的電腦斷層掃描（CT）高於111臺。但日本缺乏放射科醫師，這時，AI輔助判讀軟體就能加速診斷流程。DeepCT可在30秒內偵測患者CT，來判斷是否顱內出血，協助放射科及急診醫師在深夜或人力不足時快速判斷，作為醫療決策參考。</p> <p>這套DeepCT除了拿到日本上市許可證，也獲得美國、歐盟、泰國、香港、馬來西亞等多國認證，也通過ISO13485醫療器材品質管理認證。DeepCT在臺灣已偵測6萬多個病例，2021年也簽下20多國獨家代理，積極進軍全球醫療AI市場。<a href="https://www.deep01.com/press?index=2">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 對話理解 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟釋出新一代對話理解服務</strong></span></p> <p>微軟釋出新一代對話語言理解（Conversational Language Understanding，簡稱CLU）服務預覽版，供開發者用來訓練對話語言理解模型，並用於應用程式中，來提供相關語言服務。不只是開發，這套CLU服務還能支援調度專案（Orchestration Project），微軟指出，這些調度專案由多語言雙Transformer編譯器（DTE）驅動，能讓開發者配置專案，能導至多個可自定義的語言服務，這些服務包括問答知識庫、其他對話語言理解專案，以及微軟自家的語言理解服務（LUIS）。</p> <p>與此同時，微軟也釋出預覽版的CLU客戶端函式庫，開發者可用來建立各種對話應用，像是分析聊天機器人場景的對話，藉由將終端用戶提供的文字對話作為輸入，呼叫客戶端來執行同步操作，指定模型和部署槽以進行分析。開發者也可以對同一模型提供不同語言的話語，來使用嵌入式多語言功能。<a href="https://devblogs.microsoft.com/azure-sdk/introducing-the-next-generation-of-the-conversational-language-understanding-client-library/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動鍵盤 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google用更安全的聯合學習方法，成功優化行動鍵盤Gboard推薦品質</strong></span></p> <p>Google最近利用新聯合學習（Federated Learning）技術，來優化自家行動裝置鍵盤Gboard。Google稱這項新技術為聯合重建（Federated Reconstruction），可大規模進行部分本地聯合學習，訓練模型時，部分模型參數永遠不會在伺服器聚合，更進一步保護資料隱私。</p> <p>聯合學習技術讓使用者在不將原始資料發送到中央伺服器的情況下訓練模型，避免隱私敏感資料被收集。在傳統聯合學習技術中，所有用戶通常會擁有單一的全域模型，像是行動鍵盤App用戶，會共同訓練建議模型，全域模型會根據每位用戶的習慣參數，訓練出個人化的建議。</p> <p>但，有別於傳統聯合學習，聯合重建技術有幾項優點，一是用戶裝置不必儲存本地端參數，二是聯合重建方法不假設用戶具有前幾輪的訓練狀態，因此能實現大規模訓練，三是聯合重建會不斷重建本地端參數，避免參數過時。後來，為驗證可行性，Google將這套演算法部署到Gboard中，來優化表情符號的輸入建議。他們發現，聯合重建方法大幅增加推薦表情的點閱率達29.3%。<a href="https://ai.googleblog.com/2021/12/a-scalable-approach-for-partially-local.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/a/AVvXsEidwooXwVzKKOlRHfotiBm3rmUJMGinznG0UFzj7iSXZvHvQCZsqKYvhKQFcg0HtqJDL2c2horH65t7DEtyCEuoLtu3AKhIJ60A3wvzLBuDRuvwLO7ZAnayvz4Btl4xcersZSu0IutrMDeS_WhePJhJJA2xANHERZlRDLYUJHstbTg6KiO7cidb6znF-A=s1801" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLCommons </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音辨識 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 口語資料集 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons釋出多語言口語大型語音辨識資料集</strong></span></p> <p>全球開放非營利組織MLCommons發布了多語言口語語料庫（Multilingual Spoken Words Corpus，MSWC），這個大型資料集包含50種不同語言的口語音訊資料，資料集容量還不斷增加中。MSWC資料集涵蓋的50種語言，等於涵蓋全球50億人口，對於不少語言來說，MSWC是第一個可用來訓練語音介面的公開免費資料集，官方在MSWC使用CC-BY 4.0授權對外釋出，來促進全球關鍵字探索、口語搜尋和各種學術與商業應用，他們的最終目標是要讓基於語音的關鍵字辨識介面，能夠支援更多語言的關鍵字。MSWC的貢獻者來自Coqui、Factored、Google、哈佛大學、英特爾、Landing AI、Nvidia和密西根大學等地的研究者。<a href="https://mlcommons.org/en/news/spoken-words-blog/">（詳全文）</a></p> <p>圖片來源／DeepMind、微軟、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. Meta開源Bean Machine函式庫可量測AI模型不確定性</strong></p> <p><strong>2. 長春石化聯手清大，用AI打造自動控制技術降低不良率至0.0000002%</strong></p> <p>資料來源：iThome整理，2021年12月</p> </div></div></div>
2021/12/30 09:55作者王若樸https://www.ithome.com.tw/news/148644
【展望後疫2022新趨勢10】產業法令開始納入資安要求，供應鏈與身分冒用威脅加劇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年勒索軟體、資料外洩層出不窮，讓更多企業意識到資安威脅帶來的營運風險，隨著2022年的到來，資安防護的發展面臨3大議題，都是國內企業與產業必須關注的重點，包括資安的法規遵循、供應鏈安全，以及身分冒用的風險。</p> <h2><strong>資安法遵議題將在2022年成為國內各產業需面對的新挑戰</strong></h2> <p>關於資安法規遵循，2022年將有很大的不同。</p> <p>過去，已有一些企業組織積極預防與因應資安威脅，主動將資安視為公司治理與經營的重要議題，但是，大多數企業仍處於被動應付，也就是必須遭遇資安事件之後，才可能想要改善。然而，現在局勢不同了，因為政府將透過產業面的法規命令，要求企業遵循，建立資安管理的基礎，促使業者都能強化資安。</p> <p>臺灣推動個資法與資通安全法已有一段時間，在2022年秉持資安即國安2.0的政策下，資安不只是政府要做的事，也影響國家產業競爭力，並關乎個人資料安全。現在，在產業面的法令規範中，也正逐步將資安納入要求。</p> <p>舉例來說，之前，在資通安全法下，將所有國內公務機關與關鍵CI提供者，納入管理範圍，包括要求實施資通安全維護計畫、設置資安長與訂定通報及應變機制等。</p> <p>自2021年開始，對於國內各產業領域的民間企業與組織資安強化，政府也從上市櫃公司與金融業開始要求，促使有一定營運規模的企業，都要開始推動資安。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/images/1058-封面-正漢-資安趨勢-原圖B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1058-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2-%E5%8E%9F%E5%9C%96B.jpg" style="width: 600px;" /></a></p> <p>例如，在2021年4月底，臺灣證券交易所修訂重大訊息處理程序，將重大資安事件的揭露，也視為對股東權益可能有影響、需公開揭露的事項；在2021年11月，金管會修訂年報記載事項準則，要求各公司在2022年編制上年度年報時，不僅要記載公司簡介、治理報告、募資情形、營運與財務概況，也要記載資安管理作為及事件影響與因應。</p> <p>為了提升企業資安政策統籌與資源協調能力，以突破過去資安推動難以獲得高層支持的困境，政府也規範公司應設置資安長與專責資安單位，這也是促進公司內資安治理與文化的建構。</p> <p>首先是金融領域，自2021年9月1日到30日，金管會旗下保險、銀行與證期領域，先後公布修正內控與內稽辦法，要求符合條件的金融業者需設置資安長，緩衝期有半年。</p> <p>不只是8大關鍵CI的金融業，到了2021年12月28日，金管會也針對包含各產業的上市櫃公司展開要求，修正內控準則，並給予1年到2年的實施緩衝期。</p> <p>換言之，在2022年3月底，金融業的保險、銀行與證期業者就要遵循法規照辦，接著是2022年底，只要是資本額100億元以上的公司，或是上年底為臺灣50指數成分的公司，或是電子商務與人力銀行業為主的公司，必須要設置資安長以及專責單位。至於其他上市櫃公司，則要求在2023年底前，必須設置資安專責主管及至少1名資安專責人員，而且，即便是每股淨值低於10元、近三年稅前純益連續虧損的公司，政府也採鼓勵態度，建議至少設置1名資安專責人員。</p> <p>而從國際資安防護情勢來看，隨著新的一年到來，以物聯網方面的資安標準與規範發展，最受關注。例如，新訂定的ISO 27400物聯網安全與隱私標準，現在已是草案階段尾聲，預計到了2022年，這項國際標準就會正式發布。此外，美國NIST在2021年11月正式發布SP 800-213，這是針對美國聯邦政府的物聯網裝置網路安全指南，提供物聯網設備採購時，所需考量的安全功能與建議，藉此可促使政府與IoT開發者，對於網路安全問題的態度能保持一致。</p> <h2><strong>軟體物料清單成為供應鏈安全焦點</strong></h2> <p>關於2022年的資安威脅態勢，供應鏈安全議題依然是一大重點，近期已有數起嚴重的事件，攻擊者從企業使用的商業軟體平臺開始滲透，並潛伏達數月之久。例如，在2020年底、2021年初造成極大牽連的SolarWinds供應鏈攻擊，造成多個美國政府機關於大型企業淪陷；還有2021年4月的Codecov，以及2021年7月的Kaseya的事件，這些也印證這類複雜的供應鏈攻擊，越來越多。</p> <p>這也是美國政府何以在2021年5月頒布的行政命令（EO 14028）中，將改善軟體供應鏈安全，以及零信任架構的網路安全，視為最重要的資安戰略。現階段，臺灣也期許在半導體與5G供應鏈安全領域，推動產業重視這樣的議題。</p> <p>因此，對於自身所處的各種供應鏈環節，不論是軟體開發商、合作的第三方廠商，以及企業用戶本身，應要有足夠而及時的資安警覺，對於各種形式委外服務的依賴度是否過高而導致高風險，企業也該重新思考。</p> <p>再者，以2021年底而言，單是Apache開源專案Log4j重大漏洞的揭露與修補，也讓資安人員忙得不可開交。雖然更新修補已經釋出，但由於這樣的開源軟體使用廣泛，也是普遍軟體程式開發基礎且常見的套件，因此有無數應用程式曾採用以進行開發，整體與後續的衝擊極大。企業除了重視自身的修補，也憂心軟體業者是否修補不足，而遭攻擊者覬覦。</p> <p>在此議題之下，開源軟體安全與軟體物料清單（Software Bill of Materials，SBOM）也再次浮上檯面。在開源軟體方面，近年我們看到Google已有多項行動，包括釋出開源軟體漏洞資料庫，以及擴大安全掃描工具Scorecards的檢驗項目，以及發布專用的模糊測試工具ClusterFuzzLite等，希望協助建構更安全的軟體生態系。</p> <p>而關於SBOM的資安議題，過去Linux基金會曾投入制定SPDX（Software Package Data Exchange）標準，而美國在2014年也想要對此方面立法提案，只是當時並未通過，現在，2021年發布的美國白宮EO 14028行政命令中，已經開始強調軟體透明度的提升，當中即要求售予聯邦的軟體，都需提供SBOM清單。</p> <p>至於臺灣，在2020年，已有一些資安專家呼籲國內企業重視這方面的議題。</p> <p>例如，當時行政院國家資通安全會報技術服務中心科長詹益璋指出，對於第三方套件出現弱點的修補，組織往往無法掌握是否與目前自身使用的系統有關，而廠商也一定有能力主動通知，因此建議需設計大型第三方套件清單，並將系統盤點清冊建立關連。</p> <p>在2020年舉行的臺灣資安大會上，奧義智慧共同創辦人叢培侃也公開強調此事，他指出，許多事件是第三方程式庫（Library）出問題，但因為無法瞭解當中使用的第三方元件與版本，也就無從及時修正，因此強調SBOM的重要性。</p> <p>對於國內企業而言，在2022年，隨著供應鏈威脅的加劇，也該及早對此做準備。</p> <h2><strong>身分冒用攻擊已滲透到多個產業</strong></h2> <p>另一值得國內重視的資安威脅趨勢，是身分冒用攻擊。近年來，帳密外洩事件早成關注焦點，更引發實質的危害，加上各式社交工程的網路釣魚不斷，並且受到疫情的影響，使得原本緩慢遞增的威脅態勢，近年卻呈現出有如曲線般上升，促使相關威脅加劇。</p> <p>例如，在2021年1到2月時，國內發生假冒多家銀行釣魚簡訊詐騙案，網路犯罪者透過假冒銀行名義的簡訊、網站，騙取用戶帳密與OTP碼，進而將騙取的網銀帳戶，綁定至犯罪集團持有的手機裝置並盜轉；2021年8月也發生電信業線上申辦過程，身分查核不足，引起小額付款自動扣繳的漏洞；在2021年底，發生證券期貨商疑遭撞庫攻擊案，投資人帳戶被盜，用於下單港股。顯然，國內不論是銀行業、電信業與證期業，確實均遭遇到不同形式的身分冒用攻擊。</p> <p>不僅如此，過去國內資料外洩事件引發的ATM解除分期詐騙案，多半是詐騙集團掌握電商平臺的交易資訊，藉此取信民眾，並透過竄改電話顯示號碼，以及假冒電商客服與銀行人員來行騙。值得關注的是，近年攻擊者鎖定的目標，不只是電商平臺，還有普遍具有實體銷售據點的餐飲及服務業，甚至是愛心協會捐款系統，其會員系統資料與捐款資料都曾外洩，於是後來這些人員也都淪為詐騙的目標，受害範圍比以往更擴大。</p> <p>因此，身分安全的議題仍是2022年必須關注的焦點。儘管基本資安與防詐意識、帳密安全觀念，以及強式雙因子的身分認證機制，都已經不斷重申了許多年，但如何落實仍是焦點。</p> <p>還有像是鎖定企業財務的BEC詐騙，更是精心設計的身分冒用攻擊行動，至今仍有大量企業中招。而未來我們也要關注的是，隨著AI技術加持的身分冒用攻擊，恐讓攻擊管道擴及視訊與電話。</p> <p>另外，還有一個性質較不同、但也備受關注的趨勢，是關於IoT裝置身分驗證標準。在2021年4月，FIDO聯盟新推出IoT開放標準協定FDO，目的是要解決物聯網裝置連入（onboarding）所帶來的各種安全問題，到了2021年10月底，美國NIST旗下NCCoE也有相關動作，新提出可信任IoT網路層連入與生命週期管理的計畫。事實上，這樣的議題在前幾年已持續受探討，如今終於逐漸發展成形。</p> <h3 class="rtecenter"><span style="color:#B22222;"><strong>PQC標準將定案，迎接密碼學系統大升級</strong></span></h3> <p>隨著量子電腦發展所帶來的量子破密威脅，美國NIST自2016年開始發起「後量子密碼學（PQC）標準化」競賽，目的就是為了要選出，最可靠且經得起考驗的密碼新標準，在這五年來，已有多項提名的演算法項目陸續遭淘汰，目前已進入最終決選階段。<br /> 到了2022年，這項競賽可能就會有結果出爐，屆時，面對更換公鑰加密系統的龐大工程，企業、銀行與政府該如何做好準備，包括標準演算法的轉換，以及硬體設備與中介軟體的升級，將是值得關注一大焦點。</p> <p> </p> </div></div></div>
2021/12/30 10:04作者羅正漢https://www.ithome.com.tw/news/148649
LastPass用戶主金鑰被用作帳密填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日密碼管理工具LastPass部分用戶密碼保存庫的主密碼（master password），疑似遭不明人士用來發動帳密填充（credential stuffing）攻擊。</p> <p>上周部分LastPass用戶在<a href="https://www.reddit.com/r/Lastpass/comments/rpy0uq/recent_successful_login_attempts_from_odd_ips/" target="_blank">Reddit</a>及<a href="https://news.ycombinator.com/item?id=29705957" target="_blank">HackNews</a>討論區反映接到來自LastPass的警告信，指有人試圖從他們不認識的裝置或地點，以其主密碼（master password）登入LastPass帳號。信中並列出試圖存取帳號的陌生IP位址，數名用戶帳號被存取的IP都是位於巴西。LassPass的警告信表示，登入意圖已遭到封鎖，但提醒用戶確認帳號的安全性。</p> <p>LassPass對<a href="https://www.bleepingcomputer.com/news/security/lastpass-users-warned-their-master-passwords-are-compromised/" target="_blank">Bleeping Computer</a>及<a href="https://therecord.media/lastpass-confirms-credential-stuffing-attack-against-some-of-its-users/" target="_blank">The Record</a>證實有幾十名用戶遭到帳密填充攻擊。該公司指出，經過調查發現這是以常見的機器人程式，利用其他事件外流的郵件信箱及密碼試圖存取用戶帳號。</p> <p>所謂帳密填充（credential stuffing）攻擊，是指攻擊者從地下網站或其他地方取得大量用戶的帳密組合來測試特定是否能成功存取網站。只要有使用者在不同網站使用同一組帳密，就可能因此被駭。</p> <p>這次被攻擊的是LastPass帳號，一旦攻擊者成功登入，即能取得LastPass用戶儲存的其他網站或應用的密碼或憑證。</p> <p>雖然LastPass已經封鎖了存取，但這也表示用戶主密碼外流。Bleeping Computer報導，用戶表示這主密碼只用於LastPass，並未用於其他網站。至於怎麼流出則不得而知，例如駭客可能取得包含用戶主密碼的資料庫。<a href="https://twitter.com/MayhemDayOne/status/1475897344537374722" target="_blank">安全專家Bob Diachenko指出</a>近日Redline Stealer竊密程式公布的資料中，也包含數千筆LassPass登入帳密。</p> <p>LastPass則強調沒有跡象顯示用戶帳號被成功存取，同時LastPass服務也未遭非授權人士入侵。LastPass表示會持續監控，以確保公司及用戶、用戶資料的完整性。</p> <p><a href="https://twitter.com/inkedtater/status/1475863317168025600?ref_src=twsrc%5Etfw" target="_blank">安全廠商建議</a>，LastPass用戶應變更主密碼，並利用LastPass Authenticator、Google Authenticator、Microsoft Authenticator或 Authy、Duo等應用程式啟用雙因素驗證。</p> <p> </p> </div></div></div>
2021/12/30 09:14作者林妍溱https://www.ithome.com.tw/news/148647
全球首個半導體資安標準SEMI E187出爐，台積電與工研院號召臺灣多家半導體與資安業者制定與推動，臺灣制定國際標準新…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，半導體產業的資安議題備受關注，協助產業機臺安全的半導體產業資安標準，歷經三年制定，確定將於2022年1月正式發布，但，這其實只是第一步，未來將透過SEMI資安委員會的推動，讓標準能夠落實，並期盼這樣的資安標準，進一步能擴及更多高科技相關產業。</p> <p>今年的國際半導體展SEMICON Taiwan 2021，除了第三代化合物半導體、先進製程、智慧製造、綠色製造等重要議題，資安也成要角，不僅資安展區規模逐年擴大，在12月28日並舉辦了半導體資安標準SEMI E187的發布會，受關注的是，這是首次由臺灣主導制定的半導體國際標準，別具意義。</p> <p>SEMI全球行銷長暨台灣區總裁曹世綸表示，面對後疫情時代，半導體產業在全球扮演不可或缺的角色，臺灣處於產業供應鏈中的關鍵地位，更受矚目的是，SEMI制定標準已有50年之久，這次，首次由臺灣主導制定的半導體國際標準，相當具代表性，在在顯示臺灣半導體行業在全球的影響力，也突顯了對於資訊安全迫切的需求。</p> <p>如今，這個半導體資安標準將於2022年1月正式上架，將從原本案號6506C的草案，正式發布成為「SEMI E187 - Specification for Cybersecurity of Fab Equipment」標準。</p> <p>基本上，標準內容涵蓋四大層面：包括作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控。簡單來說，也就是聚焦作業系統的長期支援、網路傳輸安全、網路組態管理、弱點掃描、惡意程式掃描、端點防禦機制、存取控制，以及Log記錄等面向。</p> <h3><strong>2018年台積電機臺中毒事件，催生晶圓廠設備資安標準</strong></h3> <p>之所以制定這項半導體資安國際標準，要從三年前說起，在2018年8月，台積電遭遇電腦病毒感染、部分電腦與機臺受影響的事件，讓高科技業機臺資安問題浮上檯面。</p> <p>例如，設備昂貴需30年來攤提成本，但使用的電腦作業系統，是早已終止支援的Windows XP作業系統等，除了更新修補不易，傳統實體隔離的作法，在智慧製造浪潮之下，也難以落實。</p> <p>為了因應這樣的局面，自2018年9月，由台積電大力推動、在SEMI國際半導體組織標準平臺下，籌畫資安工作小組，由台積電部經理張啟煌與工研院資通所副組長卓傳育共同主持（TF），以制定標準草案範疇。</p> <p>當時，<a href="https://www.ithome.com.tw/news/130943">iThome在兩年半前即開始關注這項標準的制定</a>，並<a href="https://ithome.com.tw/news/133168">持續追蹤報導</a>，在2020年底一度傳出將有結果，終於在歷經多次來回提交SEMI修改後，現在標準終於確定出爐。</p> <p>特別的是，過往我們對於上述資安工作小組的成員，僅知道有許多國內共同參與這項國際標準制定，但沒有特別清楚。根據工研院的說明，為了促使標準草案成形，這個工作小組的參與成員，集結了許多臺灣半導體高科技大廠與資安公司的專家，包括聯電、日月光、力積電、南亞科、台灣應用材料、台達電，以及精品、安華聯網、奧義智慧、華電聯網、全景、尚承、擎願、四零四科技、捷而思、台灣檢驗科技與神盾等，還有Intel、華邦電、趨勢科技、IBM、TEL、Cimetrix與SGS，並經過SEMI全球的標準技術專家審核，將標準文件落實。</p> <p>對此，身為SEMI資訊與控制標準技術主席，也是台積電部經理的游志源指出，這相當具代表性，因為是臺灣半導體產業共同努力完成的第一條資安標準，並已付諸實現。</p> <p class="rtecenter"><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/125118"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/news/125118"><span style="color:#000080;">台積電產線中毒大當機事件簿(Day1~Day4時程懶人包）</span></a><br /><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/article/126416"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/article/126416"><span style="color:#000080;">生產機臺安全亮紅燈，防護威脅迫在眉睫</span></a><br /><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/130943"><span style="color:#000080;">延伸閱讀：臺灣帶頭推動半導體資安標準，解決高科技產業資安防護難題</span></a><br /><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://ithome.com.tw/news/133168"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://ithome.com.tw/news/133168"><span style="color:#000080;">國際半導體展首度談資安，工作小組揭露推動資安標準現況</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89SEMI%20E187%E7%99%BC%E5%B8%83%E6%9C%83.jpg" style="width: 600px;" /></p> <blockquote><p>關於半導體晶圓產線設備資安標準SEMI E187的制定，背後的推手，就是在2018年9月，由台積電部經理張啟煌（左）與工研院資通所副組長卓傳育（右）共同主持的SEMI資安工作小組，這個工作小組的參與成員，也包含來自臺灣多個半導體科技大廠與資安業者的專家們。</p> </blockquote> <h3><strong>半導體資安標準只是開始，SEMI資安委員會將推動全面落實資安與供應鏈安全</strong></h3> <p>儘管SEMI E187標準規範的發布，可望成為全球半導體設備的最低門檻，但是，標準制定完成，只是推動半導體產業資安的第一步。</p> <p>為何這樣說？因為有了標準，後續還要進行標準落地與相關推廣，才能讓產業資安水準真正提升，這也是為何在2021年6月成立SEMI資安委員會的原因。</p> <p>SEMI資安委員會主席暨台積電企業資訊安全處長屠震表示，企業除了要顧好自己的資安問題，也一定要協助上下游合作夥伴，協力做好資安。</p> <p>過去，我們看到台積電已經這麼做，設立供應商資訊安全協會，現在他們也將相關經驗，帶到全球半導體產業。</p> <p>對於標準制定的好處，屠震說明，對於全球供應商而言，在設備的資安防護設計上，將能有所依循，對於企業而言，在設備採購合約上，也能以此標準作為資安要求。長期來看，除了確保晶圓廠機臺設備安全，也將帶動上游產業對設備安全品質的重視。</p> <p>隨著SEMI晶圓設備資安標準的正式建立，屠震強調，資安標準只是第一步，接下來如何徵詢與採用更是關鍵。他指出，SEMI全球第一個資安委員會已成立，主要研討供應鏈資安面的重要議題，現在將聚焦以下4個重點：首先<u>，</u>制定參考架構與解決方案，以協助標準的推廣與導入；第二，加強資訊安全的意識宣傳與推廣；第三，做到如何有效評估資訊安全等級與成熟度；第四點是長遠的計畫，將基於國際標準評估SEMI供應鏈資訊安全的風險，並建立長久的資安策略。目前，這個SEMI資安委員會的參與成員，包含來自台積電、台灣應材、日月光、富士康、思科、奧義智慧、戴夫寇爾、富士康、工研院、科林研發、微軟、台灣迪恩士半導體、睿控網安、聯電與台灣韋萊韜悅。</p> <p>同時，現場許多資安委員會與工作小組成員也表示，這項標準只是第一步，後續還有許多工作要進行，包括具體的規範內容、認驗證制度的建立，以及完成第一家通過認證標準的設備商等。這也意味著，資安標準的制定確實帶動產業達到新的里程，但後續的任務要能接續發展，才能讓整體所談的資安落實，以及供應鏈安全推動，能夠真正深化到半導體產業之中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89SEMI%20E187%E7%99%BC%E5%B8%83%E6%9C%83.jpg" style="width: 600px;" /></p> <blockquote><p>SEMI資安委員會主席暨台積電企業資訊安全處長屠震表示，這項資安標準的建立只是第一步，隨著SEMI全球第一個資安委員會成立，接下來，將聚焦4大重點面向，除了制定參考架構與解決方案以協助標準的推廣與導入，加強資訊安全意識的宣傳與推廣，有效評估資訊安全等級與成熟度，未來，還要基於國際標準評估SEMI供應鏈資訊安全的風險，並建立長久的資安策略。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89SEMI%20E187%E7%99%BC%E5%B8%83%E6%9C%83(1).jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">關於SEMI資安委員會的任務，</span>在前兩個月的<a href="https://www.ithome.com.tw/news/147597">SEMICON Taiwan線上資安趨勢高峰論壇</a>上，SEMI資安委員會主席暨台積電企業資訊安全處長屠震已闡明作法，其中推動半導體供應鏈網路安全意識是一大重點。將仿效台積電先前的做法，從2021年11月起，每季度發布SEMI資安更新電子報（Cybersecrity Update Newsletter），讓資安意識與防護相關資訊都能宣導到所有SEMI會員。</p> </blockquote> <p>另外，不只是半導體產業需要資安，希望帶動更多高科技產業也這麼做。經濟部工業局電子資訊組林俊秀組長指出，國內半導體產業與國際大廠有很密切的合作，而這些國際品牌大廠通常主導了許多標準制定，因此也會要求自身供應鏈的廠商，需符合相關規範，包括環保與勞工權益層面，現在資安也將納入。</p> <p>因此，要維持臺灣在ICT產業的競爭力，資安已是不可或缺的要素，未來更希望不只是半導體的資安標準，還要擴散到其他產業，讓臺灣所有行業都做到資安。</p> <p class="rtecenter"><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/147476"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/news/147476"><span style="color:#000080;">臺灣成半導體產業資安主要推手，SEMI臺灣資安委員會今年成立</span></a><br /><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/147485"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/news/147485"><span style="color:#000080;">歷經三年制定，台積電透露半導體資安標準將在今年12月發布</span></a><br /><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/147597"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/news/147597"><span style="color:#000080;">推動半導體供應鏈網路安全意識，11月起SEMI資安電子報每月發布</span></a><br /><span style="text-align: center;"><span style="color:#000080;">●</span><a href="https://www.ithome.com.tw/news/147616"><span style="color:#000080;">延伸閱讀：</span></a></span><a href="https://www.ithome.com.tw/news/147616"><span style="color:#000080;">供應商安全狀況需透明化，半導體產業應構建供應鏈資安評估方法</span></a><br /> </p> </div></div></div>
2021/12/29 15:44作者羅正漢https://www.ithome.com.tw/news/148631
簡立峰年終趨勢觀察：臺灣正處於數位經濟的黃金兩年，年輕人只要轉換語言與思維就能走向國際
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">「未來，臺灣有兩種人才，一種是在臺灣做臺灣事情的人，另一種，是在臺灣做全世界事情的人。」Google臺灣前董事總經理簡立峰在一場活動上，點出臺灣人才的未來機會。</p> <p dir="ltr">簡立峰指出，「臺灣現在正處於近代史上的黃金兩年。」一大重要因素，是在近2年疫情影響之下，「臺灣傳統產業展現了驚人的韌性，這個韌性讓傳產更受全世界信賴，」加上中美競爭態勢，不只美系企業強化對臺灣的投資，臺商資金也大量回流，「臺灣需要年輕人的努力，讓這黃金兩年變成黃金十年、或二十年。」</p> <p dir="ltr">幾項數據支持這個觀察，比如臺灣1,700家上市櫃公司今年的獲利呈倍數成長，從兩兆翻倍為四兆；日本經濟研究中心更預測，臺灣人均所得將在2028年超越日本。不只如此，台積電近年來擠進前全球10大市值公司之一，就連臺灣數位新創，今明兩年也誕生了2～3隻獨角獸，市值在10億美元以上。</p> <p dir="ltr">年輕人的著力點，簡立峰認為，疫情促進零接觸經濟興起，電商產業可能成為一大發展機會，「因為一個電商市場要看滲透率，而不是人口結構。」舉例來說，南韓電商滲透率達到近30%，但臺灣只有12%，雖然南韓人口僅為臺灣2倍，但高滲透率使其電商市場足足是臺灣的10倍大。電商市場成長，也會帶動周邊的AI、資料科學應用成長。「這不只是工程師的機會，也是銷售、行銷人的機會。」</p> <p dir="ltr">不過，具體要如何實現？簡立峰認為，當前的機會點，在於遠距工作興起，臺灣人才應轉換語言、思維，準備好面向全球。</p> <h3 dir="ltr"><span style="color:#FF8C00;">正逢數位經濟起飛轉捩點，年輕人才得轉換思維與國際接軌</span></h3> <p dir="ltr">首先，簡立峰認為，臺灣人才應轉換思維，重新定位臺灣版圖。他回憶，自己小時候看到的臺灣地圖，是一片秋海棠的中國，臺灣只是邊陲的小島，就算現代的臺灣地圖，通常也只看到臺灣島主體。不過，只要將東亞地圖向左轉90度，再放大周遭的國家，可以發現，「臺灣被許多國家包圍了，這個版圖，就是臺灣人才未來的生活圈。」</p> <p dir="ltr">「全世界經濟發展最快速的國家，都在臺灣旁邊。」簡立峰指出，臺灣2,400萬人在東亞只能算是迷你小型國家，周遭國家的人口數遠超臺灣，「把這些國家當成一個網路，只要一個網頁，就可以到達這麼多地方。」換言之，這些國家的龐大人口及市場潛力，就是臺灣的機會，開發一款App，可以把周遭國家當成市場。</p> <p dir="ltr">年輕人可能會猶豫，這是一個大市場、大世界，一個小小的個人能怎麼參與呢？簡立峰點出，臺灣人才下一步要培養自己的移動力，就是語言能力。比如在搜尋關鍵字時，除了中文關鍵字，也要同步搜尋英文關鍵字，就能以不同視角看見不同內容，「英語口語能力不強也沒關係，只要養成英文閱讀習慣，還是可以連接全世界。」而且，遠距工作也帶來更多連接全球的機會，臺灣人才只要轉變語言與思維，也有機會在臺灣做全世界的事。</p> <p dir="ltr">「不要被慣性所影響，」簡立峰更提醒，除了要突破中文關鍵字的慣性思維，開發一項服務或產品時，若能同樣突破慣性，開發中英雙版本，這項服務的採用量就有機會翻倍，「某種程度下只要更靈活，就能得到更多機會。」</p> <p dir="ltr">另一項年輕人應具備的能力，即是數位素養，「未來可能進入元宇宙的時代，無論是在生活或工作中，每一個使用者都得具備數位能力。」他強調，這並不是要求使用者得學會程式開發技能，而是要對數位生態更加了解，比如網頁如何安排，能提升用戶體驗？網路流量如何統計？如何瞄準讀者的偏好？「數位化會把臺灣從一個陸地上的島，變成網路上的一個海洋。」</p> <p dir="ltr">不只如此，臺灣人才也得勇於做夢。「數位大航海時代來了，大學生你有沒有一個夢？」簡立峰表示，先勇於做夢，才會去接觸、去實現，即便過程中面臨挑戰，但一旦克服，就能獲得成就感。</p> <h3 dir="ltr"><span style="color:#FF8C00;">數位新創也要邁向國際，強化國際市場布局與跨國企業管理</span></h3> <p dir="ltr">不只臺灣人才思維要變，數位新創的觀念也要轉變，才能留住臺灣人才。「讓新創可以在臺灣接觸全世界，臺灣的年輕人自然會留在這里。」簡立峰點出，薪資當然是吸引人才的誘因，但另一個更大的誘因，是讓臺灣的工程師人才，能夠在不離開臺灣的環境下接觸全世界，「這對年輕一代是很大的嚮往。」</p> <p dir="ltr">上一代發展的是製造型產業，人才並非直接接觸市場，「開發的工具到底賣給了誰、用的情形如何？」簡立峰指出，開發者無法直接收到使用者回饋，能獲得的成就感不夠高。可是，許多年輕世代更期待從事能與使用者建立連結的工作，更重視「自己做的事是否被人看見？」，數位產業賦予了這個機會，讓年輕人更容易面對全球用戶，超越國界的建立連結。</p> <p dir="ltr">不過，新創要如何建立國際化多元的工作環境？簡立峰建議，不少跨國企業在臺設立研發中心，這些企業正在幫臺灣培養具跨國協作能力的人才，「臺灣新創的老闆，可以借助這些外商培養的人才，來建立自己的新創團隊。」尤其，臺灣新創管理跨國團隊時，往往以臺灣企業的思維來管理，比如在福利制度或人才招聘上，尚未國際化，較難吸引海外人才的目光，「如何用臺灣的文化，聘到其他國家的高階人才？這是臺灣新創的挑戰。」</p> <p dir="ltr">對於新創如何邁向國際化，簡立峰更提出一個稱為GDP的公式。他建議，年輕人與企業應該擁有積極主動的心態（Proactive），去創造或參與到一個多元的環境（Diversity），再藉由這個種族多元、性別多元、能力多元、興趣多元、地理多元、語言多元的環境，來培養自己具備全球性的視野（Global View）。</p> <p dir="ltr">在多元的環境中培養開放心態，同樣設計一款App，潛在客戶就可能從1,000萬個臺灣網路使用者，變成50億個全球用戶，他這樣比喻機會的改變，也建議企業應該製造更多元的環境，就從每家企業多聘一倍外籍人才開始，讓工作環境從多元語言開始走向國際化。</p> <p dir="ltr">上一代企業雖然做到了規模化走向全球，但簡立峰認為，並未做到國際化，因為那些大型製造業還是針對單一大客戶、單一市場、透過單一語言來銷售產品，並非直接與多元異質的用戶互動，可是，這些大企業，仍為下一代年輕人打下良好的基礎，「下一代積極走向國際化，臺灣未來的競爭力就會變得非常強。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">數位新創崛起，驅動臺灣往知識型經濟產業轉型</span></h3> <p dir="ltr">「錢來了、錢回來了、投資來了、新時代也來了。」簡立峰指出，這兩年，他強烈感受到臺灣迎來了一波新機會，使數位新創的發展愈趨蓬勃。比如臺灣的智慧醫療相關新創，在短短兩年內就成立超過百家，更重要的是，近一年開始出現更多成功案例，讓整個數位經濟產業更有信心。</p> <p dir="ltr">「如果把新創當成是一個棒球隊，我們過去已從少棒走到社會人球隊，現在則是正在籌組中華職棒，估計兩、三年內，我們也會進軍美國職棒大聯盟、打世界盃。」簡立峰指出，臺灣數位新創正在進軍全球，而且，「臺灣只要出現一個王建民，在美國大聯盟建立大家的信心，打棒球的人就會增加。」</p> <p dir="ltr">簡立峰認為，臺灣傳統的B2B製造業，適合在人口紅利高的時代發展，尤其，製造業是非常重視成本的產業，完全仰賴製造業的國家無法創造高國民所得，在製造業要服務市場中的一百萬人，得付出相應規模的成本，但在數位經濟產業中，一個工程師所開發的產品，就有機會提供給上億人使用，「兩者的商業模式截然不同。」</p> <p dir="ltr">「臺灣二十年前就應該轉型為知識型經濟產業，但我們以中國當腹地，製造業發展到很強、高度國際化，知識型產業反而沒有跟上來。」簡立峰指出，臺灣少子化已是現狀，因此，他鼓勵臺灣要朝向知識型經濟產業發展，發展數位經濟，「這類企業可能規模不大，可是帶給員工的成就感、薪資與報酬不一樣。」</p> <p dir="ltr">不過，世界上已經有如Google、Meta這類超強科技公司，現在投入數位經濟產業，是否仍有優勢？簡立峰勉勵新創公司，現在領先的企業不見得在未來也是領先者，任何時候都是要跟未來比，不是跟現在比，「創業的時候，永遠要看到未來的需求。」就像現在，「每個人看元宇宙這隻大象，看到的角度都不同。」沒有人想像得到元宇宙的世界，但也正因這個概念只是雛型，對於元宇宙的定義與發展，「每個年輕人都有機會。」</p> </div></div></div>
2021/12/29 19:04作者翁芊儒https://www.ithome.com.tw/news/148585
NCC公布數通法草案架構，將對YouTube、Meta等線上平臺業者明定免責與應盡義務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內對網路產業一直以來欠缺明確的法律規範，NCC正研擬數位通訊傳播服務法(簡稱數通法)，今天搶先公布數通法草案架構，將對數位通訊傳播中介服務提供者，例如ISP網路服務商，或是YouTbue、Meta等線上平臺業者，引用國際上對中介服務者的要求，馬尼拉中介者責任原則（Manila Priciples on Intermediary Liability）與聖塔克拉拉原則（Santa Clara Priciples），制定業者免責與應盡的義務。</p> <p>目前NCC只是先公布數通法草案架構，後續委員會對法條文字進行調整，預計於明年1月底之前公布草案的法條，並準備召開三場公開說明會，提供網路直播，也會舉辦公聽會與機關協商，蒐集各界意見之後，由NCC委員會討論，再提送草案至行政院。</p> <p>NCC副主委翁柏宗表示，制定數通法目的是維護網路言論自由，促進資訊流通及數位經濟發展，同時對平臺業者要求應負的責任。數通法草案的立法重點，包括保障民眾數位基本權利，明定對數通中介服務業者的責任及義務，並引進公私協力的機制。在維護基本權利方面，數通法草案要求數位通訊傳播服務的自由，並明文禁止數位通訊傳播服務法負擔的監控義務，提出平等近用、隱私及資通安全保護的概念。</p> <p>翁柏宗解釋，網路世界對應實體世界，網路世界沒有單一專責主管機關，草案的架構設計上，會由各部會共同依法治理，草案將會鼓勵數位通訊傳播服務者以自律為主，並納入多方關係人的意見，以業者自律為優先，並引入公私協力機構，例如iWIN的概念，對包羅萬象的網路世界介接至政府各部門的實體作用法，例如兒少法46條，對應兒少保護共同防範機構。</p> <p><span style="font-size:18px;"><strong><span style="color:#B22222;">將成立專責機構扮演產業與政府間的橋樑</span></strong></span></p> <p>數位通訊傳播服務法草案架構，涵蓋數位通訊傳播中介服務提供者的基本權利維護，同時參考歐盟數位服務法草案及國內著作權法，對中介服務提供者的免責條件（即避風港條款），還有相當的篇幅說明中介服務提供者應盡的義務。</p> <p>該草案架構也對數位通訊傳播中介服務將成立專責機構，作為政府及民間產業間的橋樑，促進網路環境達到共識的基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/intermediary2.jpg" style="width: 600px; height: 421px;" /></p> <p>數位通訊傳播服務法規範的對象為數位通訊傳播中介服務提供者，包含三層(如上圖，來源：NCC)，一是提供連線服務，例如網路服務提供者ISP的Hinet，二是快速存取服務，這類快取服務已成為ISP業者的服務之一，第三個是資訊儲存服務例如Google Drive，資訊儲存服務又再分為兩類，線上平臺服務提供者、指定線上平臺服務提供者，線上平臺服務提供者指的是可讓不特定第三人存取服務，如YouTube、前身為臉書的Meta，而當線上平臺服務提供者具有一定影響力，則屬於指定線上平臺服務提供者。</p> <p>數位通訊傳播中介服務提供者的具體例子，其中指定線上平臺服務提供者將由NCC認定：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01-1(7).jpg" style="width: 600px; height: 449px;" /></p> <p> </p> <p>不同中介業者依規定應盡的義務：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01-2(3).jpg" style="width: 600px; height: 447px;" /></p> <p><span style="font-size:18px;"><strong><span style="color:#B22222;">訂定中介者免責、使用者保護原則</span></strong></span></p> <p>至於免責條款部分，NCC研擬數位通訊傳播服務法架構，參考馬尼拉中介者責任原則，如果中介服務提供者沒有修改或參與平臺上內容編輯，依馬尼拉中介者責任原，可免於對第三方內容負責，其次是任何單位若要求限制或移除下架網路內容，應需要法院命令，法院命令也需參考比例原則。</p> <p>中介服務提供者為了免責，可能限制使用者的內容，NCC在數通法草案架構設計時，參考聖塔克拉拉原則對使用者的保護精神，當中介服務提供者收到民眾檢舉，必需對檢舉有通知及回應的機制；當中介服務提供者移除使用者貼文，或是予以停權，需通知使用者並提供異議的救濟管道。另外，當中介服務提供者限制使用者資訊或言論，需將限制資訊或內容去識別化後，登載在共同資料庫上，供社會大眾檢視，達成資訊透明化。</p> <p><span style="font-size:18px;"><span style="color:#B22222;"><strong>對YouTube、Meta等線上平臺業者規定義務</strong></span></span></p> <p><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/intermediary.jpg" style="width: 600px; height: 422px;" /></strong></span></p> <p>NCC綜合規畫處科長劉佳琪表示，數通法草案要求中介服務提供者兩大塊義務，一塊是法院資訊限制，即中介服務提供者如要對任何使用者的資訊進行移除或下架，需要有法院的資訊或命令，符合馬尼拉中介者的精神。另一塊是中介服務者的透明資訊揭露，包括年度透明度報告、揭露使用者服務條款。資訊儲存服務提供者也負有義務，例如對使用者的資訊限制，需經過去識別化後登載至共同資料庫供公眾查詢的義務，其他還有限制使用者資訊時，通知及回應，告知限制其資訊的理由、救濟管道等等。</p> <p>而對線上平臺服務提供者應盡義務，排除小規模業者，劉佳琪表示，線上平臺業者如YouTube、Meta因為對社會具有一定的影響力，民眾在平臺上留言可供其他人看到，應有相關的義務，如透明度報告、揭露線上廣告，提供內外部救濟制度，對優先處理認證舉報的單位，以及如果透過網路平臺提供賣家交易，應掌握賣家資訊，以及服務與機制被濫用的救濟管道。更大型的指定線上平臺服務提供者，應儘的義務包括風險評估、風險管理、獨立稽核，並且應告知使用者資訊或廣告的推薦系統。</p> <p> </p> </div></div></div>
2021/12/29 19:08作者蘇文彬https://www.ithome.com.tw/news/148638
【資安日報】2021年12月29日，密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼是你我日常生活中，最常見的帳號保護措施，但也存在容易遭竊或是盜用的情形。在今天的新聞中，有2則新聞與密碼保護有關，一個是攻擊者利用竊密軟體RedLine的攻擊行動，其中有員工將存取公司VPN的帳密儲存於網頁瀏覽器裡，該帳密被竊後成為攻擊者初步入侵企業的管道。研究人員特別呼籲，最好不要使用瀏覽器來存放密碼。</p> <p>但使用專屬的管理軟體來保存密碼，難道就比較安全了嗎？知名的密碼管理系統LastPass，近期就有多名用戶指出他們帳號遭到異常存取，LastPass認為攻擊者是透過帳號填充（Credential Stuffing）的手法，存取用戶的帳號所致。但攻擊者如何得知用戶的帳密？目前仍不得而知。</p> <p>而在個人的帳密保護之外，企業也有可能因為雲端配置不當，曝露自己員工或客戶的資料。這樣的情況也相當值得留意，</p> <p>在上述的資料外洩事件之餘，延燒快一個月的Log4Shell漏洞，最近Apache又再度發布Log4j修補程式2.17.1，修補RCE漏洞CVE-2021-44832，而這已是Log4Shell被發現的第5個漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><a href="https://asec.ahnlab.com/en/29885/"><span style="color: rgb(0, 0, 0);"><strong>竊密軟體RedLine鎖定網頁瀏覽器儲存的帳密下手，攻擊者藉此得到存取組織內部網路的管道</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image2021-12-13_17-5-32.png" style="width: 300px; height: 227px; float: right;" />資安業者AhnLab指出，他們看到竊密軟體RedLine的攻擊行動，在其中一起事故裡，在家工作的員工透過公司提供的電腦，藉由VPN連線存取公司資源。被鎖定的員工使用網頁瀏覽器來儲存VPN帳密，且電腦遭到RedLine感染，攻擊者竊得該名員工的VPN帳密後，在3個月後用來攻擊這家公司。研究人員警告，瀏覽器儲存帳密的功能極為便利，但可能因電腦感染惡意軟體而外洩，使用者最好透過啟用雙因素驗證的方式，來保護自己各式網路服務的帳號。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/lastpass-users-warned-their-master-passwords-are-compromised/"><span style="color: rgb(0, 0, 0);">密碼管理系統LastPass驚傳遭到帳號填充攻擊</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LastPass_notification.png" style="width: 300px; height: 219px; float: right;" />根據資安新聞網站Bleeping Computer的報導，近期有許多密碼管理系統LastPass的用戶指出，他們收到有人異常存取自己帳號的通知。對此，母公司LogMeIn表示，這起事故攻擊者疑似是透過帳號填充（Credential Stuffing）的手法，企圖掌控用戶的帳號。資安研究人員Bob Diachenko也發現有數千個被竊密軟體RedLine偷到的LastPass帳密。但對於業者和資安人員公布的資料，許多受害者指出，他們的LastPass帳號使用獨立的密碼，且與資安人員找到的資料無關。究竟他們的帳密如何被外洩？有待進一步釐清。</p> <h4><a href="https://www.websiteplanet.com/blog/dwmorgan-leak-report/"><span style="color: rgb(0, 0, 0);"><strong>美國物流龍頭D.W. Morgan雲端配置不當，曝露財星500大客戶資料</strong></span></a></h4> <p>架站教學網站Website Planet指出，他們發現美國大型物流業者D.W. Morgan使用的AWS S3儲存桶，不需身分驗證就能存取，該儲存桶含有超過100 GB資料，至少有250萬個檔案，曝露員工個資及客戶資料，包含思科、愛立信等財星500大及全球500大企業客戶受到波及。D.W. Morgan獲報後數天已採取保護措施。</p> <h4><strong><a href="https://mytechdecisions.com/audio/sennheiser-responds-after-customer-data-from-2018-was-exposed-online/"><span style="color: rgb(0, 0, 0);">音訊裝置大廠Sennheiser驚傳雲端資料庫配置不當，近3萬客戶資料外洩</span></a></strong></h4> <p>VPN服務評論網站vpnMentor於10月底發現，音訊裝置大廠Sennheiser所持有的AWS S3儲存桶缺乏相關安全配置，導致存放的資料曝露在外，當中含有55 GB資料，超過40.7萬個檔案，影響超過2.8萬人。這些資料建立的時間，從2015年12月到2018年3月。Sennheiser獲報後於11月1日加入保護措施。</p> <h4><strong><a href="https://www.securityweek.com/threat-actors-abuse-msbuild-cobalt-strike-beacon-execution"><span style="color: rgb(0, 0, 0);">攻擊者濫用MSBuild發動寄生攻擊，執行滲透測試工具Cobalt Strike</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/malicious-msbuild-project.png" style="width: 300px; height: 241px; float: right;" />Morphus實驗室研究人員Renato Marinho指出，他在1週內觀察到2個濫用MSBuild的惡意程式碼攻擊行動，攻擊者疑似利用遠端桌面協定（RDP）來存取受害電腦，並經由服務控制管理器（Service Control Manager，SCM）進行橫向移動，然後濫用微軟的應用程式編譯引擎Microsoft Build Engine（MSBuild），來執行滲透測試工具Cobalt Strike Beacon，攻擊者使用MSBuild的目的，在於編譯並執行特定的C#程式碼，再解譯組裝為Cobalt Strike，且執行Beacon。為防範相關攻擊，研究人員呼籲組織應利用應用程式權限控管的方式，來防堵這種攻擊手段。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/new-flagpro-malware-linked-to-chinese-state-backed-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客組織BlackTech使用Flagpro惡意軟體，攻擊日本組織</span></a></strong></h4> <p>日本大型IT業者NTT的資安團隊發現，中國駭客組織BlackTech約自2020年10月開始，攻擊日本國防科技、媒體、電信業者，並使用名為Flagpro的惡意軟體，進行網路偵察、探測環境，然後下載第2階段的惡意軟體並執行。研究人員發現，攻擊者的程式碼不只能在日文環境運作，亦可在中文及英文環境執行，他們研判攻擊者也鎖定臺灣或其他英語系國家。</p> <h4><strong><a href="https://www.businesswire.com/news/home/20211220005199/en/New-Grinch-Bot-Research-4x-Increase-in-Online-Gift-Card-Fraud-Attempts-10x-Increase-in-Malicious-Login-Attempts-Majority-of-Bots-from-US"><span style="color: rgb(0, 0, 0);">購物季搶貨機器人Grinch Bot大多來自美國</span></a></strong></h4> <p>資安業者Kasada近日揭露他們在購物季發現的威脅態勢，指出今年購物季出現越來越多的自動化機器人（Bot）攻擊，帳號填充攻擊增加10倍、禮品卡詐欺增加4倍。其中，特別值得留意的是自動化搶貨機器人Grinch Bot，攻擊者利用這種Bot程式大肆在購物季搶下多種商品，再予以高價賣出。Kasada表示，這種Bot軟體透過API重放遭竊的遙測資料，運作成本極低且能有效攻擊，還能繞過現行電子商城的偵測機制。研究人員也提及，在黑色星期五與網路星期一，大部分的惡意Bot軟體來自美國，澳洲和英國次之。不過，在美國使用Bot程式的駭客，買下了特定零售業者曾經使用的IP位址來犯案，而使得電子商城難以區分此種惡意流量。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/log4j-2171-out-now-fixes-new-remote-code-execution-bug/"><span style="color: rgb(0, 0, 0);">Apache修補第5個Log4Shell漏洞</span></a></strong></h4> <p>Apache基金會於12月28日，再度針對Log4j發布2.17.1版，修補CVSS風險層級為6.6分的RCE漏洞CVE-2021-44832。這項漏洞與Log4j缺乏對於JNDI存取的額外控制有關，一旦攻擊者取得能修改記錄事件的組態，可藉由JDBCAppender惡意配置，以參照JNDI的URI來執行遠端程式碼。而這項漏洞已是自12月9日開始，第5個被發現的Log4Shell漏洞。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://gazette.nat.gov.tw/egFront/detail.do?metaid=129044&log=detailLog"><span style="color: rgb(0, 0, 0);">金管會強制要求上市櫃公司設資安長正式實施，上百家企業需於2022年底完成設置</span></a></strong></h4> <p>在12月28日，金管會正式發布修正「公開發行公司建立內部控制制度處理準則」，明訂符合條件的上市櫃公司需指派資訊安全長，應設置資訊安全專責主管及資訊安全人員，以利進行差異化管理。分級標準有三種，第一級的條件是資本額100億元以上，前一年底屬臺灣50指數成分公司，以及電商或人力銀行業，將於2022年底設置完成。至於其他上市櫃公司屬於第二級與第三級，虧錢公司採鼓勵設置方式，其他公司則要在2023年底設置資安專責單位。臺灣符合第一級規模的企業，估計有上百家，屆時將要指派資訊安全長。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148622">2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2021/12/29 15:18作者周峻佑https://www.ithome.com.tw/news/148630
臉書改名背後的戰略思考
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-tu_1_hou_lian_shu_shi_dai_tu_pian_lai_yuan_tian_xia_za_zhi_chu_ban_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我很驕傲地宣布，從今天開始，我們的公司名叫Meta。」</p> <p>說這句話的講者是祖克柏，37歲的創辦人、執行長，以及臉書的最高統治者。臉書是全世界最大的社群網絡，無論好壞，這家公司徹底改變了世界。這天是2021年10月28日，地點在Connect大會，這是臉書一年一度為Oculus虛擬實境平台開發者舉辦的虛擬聚會。</p> <p>但在另一層意義上，無實體場地也反映了祖克柏的信念，也就是在未來，我們將以酷炫的虛擬分身在元宇宙裡進行娛樂、交流、商業交易。「元宇宙」（metaverse）一詞來自史蒂文森（Neal Stephenson）的反烏托邦小說《潰雪》（Snow Crash）。這技術尚不存在，還差很遠──祖克柏發表這段話的影片仍是預錄、類似紀錄片的資訊型廣告，而不是他想像中的未來，能無時差地用全像投影進行會議。但他對這個未來的信念強烈到足以把全世界最有價值的公司名字改掉，來呼應這個尚未成型的技術與商業模式。這是驚人之舉。祖克柏一夕之間，把這個從大學宿舍發跡、占據全球數十億人無數時間的臉書app，降級到只是Meta世界的一個面向而已。</p> <p>「我們仍是以人為中心打造科技產品的公司，」祖克柏在自家客廳說道，或至少看起來像客廳的空間（我去過，是很一般的客廳）。「但現在我們有了新的北極星──協助實現元宇宙的世界。我們有了新的名字，能夠涵蓋所有我們在做的事，以及我們想打造的未來。」</p> <p>這個改變完全源自於祖克柏的願景嗎？對臉書（或Meta）的評論另有看法。那些評論相信，這項改變毫無疑問與臉書品牌形象跌入谷底有關。的確，就在大會的前幾週，臉書內部數千頁流出、一連串雪崩式的恐怖爆料，占據了全部的媒體版面，媒體自2016美國總統大選之後，對臉書的批判日漸嚴厲，那次事件證明，祖克柏原本為了連結大學生社群的創作，居然可以動搖民主政治。</p> <p>最近一次的爆料來自前臉書誠信團隊的產品經理。弗朗西絲‧豪根（Frances Haugen）曾待過Google、Yelp、Pinterest等公司，而且跟祖克柏同齡，1984年生。豪根2019年加入臉書，專門負責處理假新聞。她的一位朋友受社群媒體上的資訊影響，變得很激進，這種現象在臉書上太常發生了，身為有經驗的工程師與產品經理，她希望可以做點什麼改善這個問題。然而，她看見的卻是恐怖的事實。臉書對於內容審查的放任疏忽，海外的情形比美國國內更糟。太多的惡意貼文、甚至是鼓吹暴力的內容，完全沒被偵測到，甚至在某些情況下，這些問題內容因為發文者的權勢而能繼續留在平台上。「我到職不到兩週就發現，天啊，這比我想像的恐怖太多了。」豪根告訴我。「直到2020年的某個時候，我意識到這牽涉到太多人的生命了。」</p> <p>就像許多不認同公司行為的前員工，豪根辭職了。不同的是，她有系統地爬梳公司內部的溝通紀錄，找到能證明公司對自己的負面行為確實知情的文件。那些檔案顯示，公司高層（包括祖克柏本人）幾乎總是消極應對問題，從Instagram貼文增加青少女憂鬱症比例，到印度散播的宗教仇恨問題皆然。那些內容在2021年10月首度由《華爾街日報》報導，接著許多讀到文件的媒體也相繼報導，造成轟動。豪根也受邀至國會與海外分享她的故事。麻州參議員馬基（Edward Markey）甚至代表發言，稱豪根是「二十一世紀的美國英雄」。</p> <p>這跟祖克柏最近一次到國會的情景截然不同，（他已經到國會報到七次，沒有一次場面是愉快的。）立法者對著他在Zoom上的頭像質問，卻得不到他明確的答覆。在那樣的敵意背後，更有一群人主張要監管臉書，或是以反托拉斯法為由開罰。2020年12月，FTC聯邦貿易委員會與46州總檢察長對臉書提告（此案被駁回，但FTC於2021年8月提出更尖銳的論述）。該案主張臉書分別在2012與2014年收購Instagram與WhatsApp兩家公司，屬於不公平競爭。</p> <p>這還只是一小部分。全球的立法與監管單位都指控臉書在內容審查、隱私政策上有過失，以及在社會正義與包容多元上失敗。社會上開始有一個共識，那就是大型科技公司，特別是在各自產業稱霸的四巨頭，不只規模太龐大，更是獨占市場、不公平競爭、對勞工不友善，甚至危害民主制度。而在四巨頭之中，臉書和其領導者更是眾矢之的。回到美國國內，新的政府成立了，即使這家公司的平台上助長了反方勢力（臉書又太晚採取行動制止這股浪潮）。拜登總統提名的FTC委員與司法部反壟斷部門的主管，都曾公開批評科技巨頭與臉書。</p> <p>諷刺的是，這一切都影響不了臉書的財務表現。Covid疫情期間有更多人使用臉書提供的服務，臉書賺進更多錢。2020年，公司營收高達860億美元，獲利更逼近330億美元。2021年夏天，臉書市值破兆。祖克柏個人身價上看700億美元，名列全球首富之一。</p> <p>或許這些豐收讓祖克柏在批評者攻擊他的公司沒有保護使用者與社會時，有信心轉移焦點。就在豪根上知名電視節目《六十分鐘》（60 Minutes）那天，祖克柏上傳了全家到舊金山灣出海旅行的影片。不久後，他又現身Connect大會，在線上向世界宣布臉書改名為Meta。</p> <p><span style="font-size:28px;"><strong>祖克柏將公司改名Meta、布局元宇宙背後的戰略思考</strong></span></p> <p>從我這一角的元宇宙觀察祖克柏那場元宇宙活動，感覺很複雜。畢竟，我寫了一本書就是以臉書為書名。我為了忠實描繪這家連結起世界的公司及它對世界的影響，訪談了數百個人。我親自訪問祖克柏九次，以前所未有的方式近距離了解他的思考。祖克柏在想什麼？他想轉移故事的焦點、平息圍繞著臉書、沸沸揚揚的爭議嗎？</p> <p>正好相反。就在祖克柏與Meta重新想像「現實」的當下，理解這家本來叫做臉書的公司，變得更加重要。</p> <p>臉書現在面臨的所有問題，原因都藏在本書中記錄的歷史中。祖克柏的大膽；他在公司起飛時寫在小筆記本裡的夢想藍圖；一心一意追求成長；擴張平台時犧牲了用戶隱私；在有能力監控內容品質之前，就把版圖拓展到全球；當公司影響選舉、成為假新聞溫床時，他們做了哪些政治選擇；當然還有不擇手段收購Instagram與WhatsApp等競爭者。</p> <p>你即將讀到的許多臉書員工，很多都已經離開公司，並在離職後與我分享他們的經驗。在那之後，又有更多人離開。技術長施洛普夫（Mike Schroepfer）在2021年10月宣布即將離職，負責加密貨幣計畫（失敗了）的馬可斯（David Marcus）也在2021年12月宣布將離開。但這家公司目前仍由祖克柏的一群忠臣掌舵，包括考克斯（Christopher Cox）與博斯沃斯（Andrew Bosworth）等高階主管，兩人分別執掌Meta的兩面：社群媒體與「現實」部門。</p> <p>至於祖克柏，他哪裡也不會去（除了元宇宙）。祖克柏是熱愛競爭、非常固執與堅持的領導者，反壟斷訴訟也不會讓他慢下腳步。即使已經被禁止大型收購，當有任何會威脅到臉書生意的新概念出現時，他還是會執行備案計畫：抄對手的東西。</p> <p>當Clubhouse這個讓人們以聲音聚會交流的app出現時，祖克柏馬上複製出臉書的版本。然而，臉書最大的競爭者是TikTok這個來自中國的社群影音app，以極快速度吸引超過十億用戶，比祖克柏手上握有的任何服務都受年輕人青睞。臉書當然不會放過複製的機會，Instagram旗下的產品Reels很明顯就在抄TikTok。</p> <p>祖克柏為什麼要將公司改名為Meta、重新把公司定義為元宇宙公司？這個行為其實源自於臉書自身的瀕死經驗，當年以網站思維起家的臉書，差一點被行動科技的浪潮淹沒，你會在書中讀到臉書甚至還想打造自家智慧手機，跟蘋果與Google競爭。雖然臉書最終成功轉型至行動世界，祖克柏仍發誓，下一波典範轉移時，臉書絕對要當領頭羊，而不是在後面追趕。</p> <p>祖克柏樂觀地想像公司從今以後的北極星，就是擴增與虛擬實境。但關於臉書的全貌，卻隱藏了更多細節，更充滿了祖克柏不願承認的諸多問題。<span style="color:#696969;">（摘錄整理自《後臉書時代》序言，天下雜誌出版提供）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%9C%961_%E5%BE%8C%E8%87%89%E6%9B%B8%E6%99%82%E4%BB%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88-V2.png" style="width: 263px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>後臉書時代：完整解讀社群霸主從起步、成長、爭議到轉型，每一步的選擇與思考</strong></span></p> <p>史蒂芬‧李維（Steven Levy）／著；許恬寧／譯</p> <p>天下雜誌出版</p> <p>售價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>史蒂芬．李維（Steven Levy）</strong></p> <p>史蒂芬．李維是《連線》（Wired）雜誌特約編輯，曾創辦Backchannel，也曾任《新聞週刊》（Newsweek）資深編輯與科技通訊主筆，有七本著作，文章散見各大刊物，包括《滾石雜誌》、《哈潑雜誌》、《Macworld》、《紐約時報雜誌》、《君子雜誌》（Esquire）、《紐約客》與《首映雜誌》（Premiere）。</p> </div></div></div>
2021/12/29 15:53未署名https://www.ithome.com.tw/article/148634
公民實驗室揭露波蘭反對派人士手機被植入Pegasus間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列廠商NSO Group開發的間諜工具Pegasus，已經被用於監控眾多政治人物及記者。<a href="https://apnews.com/article/technology-business-middle-east-elections-europe-c16b2b811e482db8fbc0bbc37c00c5ab" target="_blank">美聯社報導</a>，有研究發現，波蘭反對黨國會議員及反對陣營人士手機皆被植入Pegasus。</p> <p>這是加拿大公民權倡導組織多倫多大學公民實驗室（Citizen Lab）與美聯社合作的一項分析結果。他們發現，波蘭反對黨參議員Krzysztof Brejza的手機2019年遭駭30多次，當時他正在參加波蘭國會大選的競選。由於遭植入間諜軟體，他的手機訊息曾被用以抹黑他計畫設立散布仇恨、反政府言論，且由國營電視台取得報導。最後右派的法律與正義黨（PiS）以些微幅度勝選。</p> <p>公民實驗室另外也發現該國推動司法改革的檢察官，以及為反對派辯護的律師手機也都被植入Pegasus。三人都認為執政黨是幕後黑手，但執政黨不願評論是否主導這些駭入事件，或是否為NSO Group客戶。</p> <p>波蘭國安局則否認政府非法監聽，或是在「必要情況」取得法院命令，也駁斥政府所為出於政治動機的臆測。</p> <p>NSO Group的Pegasus已成為惡名昭彰的間諜軟體。今年年中公民實驗室也揭露全球23名記者、工會代表、政治家，或人權運動及異議人士的手機發現了Pegasus的蹤跡。<a href="https://www.ithome.com.tw/news/148213" target="_blank">美國媒體也報導</a>美國務院至少有9名員工被監聽。</p> <p><a href="https://www.theverge.com/2021/12/27/22855390/poland-pegasus-spyware-opposition-brejza-nso" target="_blank">上個月公民實驗室也宣稱發現</a>2018年被殺害的華盛頓郵報記者哈紹吉（Jamal Khashoggi）遇害前幾個月，其妻子手機也曾被安裝Pegasus。</p> </div></div></div>
2021/12/29 14:26作者林妍溱https://www.ithome.com.tw/news/148629
行政院組改法立院三讀通過，科技部將改制為新國科會，最快明年3月掛牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>立法院三讀通過行政院組織改造法案，除確立數位發展部成立之外，主掌我國科技研究發展政策的科技部，明年也將改為國家科學及技術委員會，最快明年3月掛牌。</p> <p>科技部的前身為行政院國家科學委員會（簡稱國科會），成立逾50年之久的國科會，2014年升格為科技部，主導我國學術科研計畫及科技政策發展，此次行政院組改，科技部明年改為國家科學及技術委員會（簡稱新國科會，以和先前的國科會區別），後續完成法規準備、人力調整、預算修改等作業，最快在2022年3月掛牌。</p> <p>科技部表示，未來轉型為新國科會，定位如同國家發展委員會，將以國家整體科技發展的高度，以委員會的組織，協調臺灣的數位發展及產業創新，未來將會與數位發展部、經濟部、衛福部、農委會、文化部，以跨部會、跨產學研的方式，推動臺灣軟、硬體整合創新。</p> <p>根據先前行政院的組改規畫，未來的新國科會主委將會由政務委員兼任，而新國科會的功能除了科技部現有業務外，還負責國家科技發展的整體規畫，預算分配研訂，以及科技研究的整合應用。原本科技部下掌管的組織不變，未來由國家科學及技術委員會管理，例如科學園區管理局、國家災害防救科技中心等。</p> <p>傳出可能是未來數位發展部長人選之一的科技部長吳政忠表示，科學研究發展已不僅是國家競爭力的指標，也是回應國內外挑戰、國家安全的關鍵，如氣候變遷、災害防救、醫療生技、人才培養，已是臺灣未來面對生存發展的重要課題。未來新國科會將負責串接整合各部會的科技政策、資源，完善科技政策執行、管理，累積技術與人才，將和各部會、產學研合作，推動未來我國科技發展。</p> <p>科技部並列出未來新國科會的工作，包括串連上中下游技術發展及產業應用，並發揮跨部會跨領域協調功能，聚焦在科技發展事務，同時協助行政院掌握各部會科技相關資源，分配科技預算及使用效率。</p> <p>換言之，新國科會未來將扮演跨部會、跨域溝通協調及打造參與機制的角色，同時將跨部會科技政策協調拉高到行政院高度；另外，也將掌握我國科研規畫、審議、資源分配、管考等工作，包括科研政策的規畫、執行及經費分配。</p> </div></div></div>
2021/12/29 12:48作者蘇文彬https://www.ithome.com.tw/news/148627
駭客濫用MSBuild開發工具散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現，<a href="https://morphuslabs.com/attackers-are-abusing-msbuild-to-evade-defenses-and-implant-cobalt-strike-beacons-edac4ab84f42" target="_blank">Visual Studio開發人員常用的MSBuild被駭客用於躲過防護機制</a>，而在用戶電腦上執行惡意程式Cobalt Strike。</p> <p>MSBuild（Microsoft Build Engine）是.NET及Visual Studio的開發平臺，可協助自動化軟體開發流程，包括程式原始碼編譯、封裝、測試、部署及文件產生等。MSBuild經常是用於沒有安裝Visual Studio的環境上開發應用程式。它以XML schema撰寫專案檔案來控制軟體流程及開發。</p> <p><a href="https://morphuslabs.com/attackers-are-abusing-msbuild-to-evade-defenses-and-implant-cobalt-strike-beacons-edac4ab84f42" target="_blank">偵測到這起惡意程式活動的Morphus Labs指出</a>，在開發流程中，專案檔案中的「Task」可編譯輸入的檔案或指定外部獨立執行檔執行。而在本次攻擊中，則是攻擊者利用MSBuild為掩護以Task執行惡意程式碼，屬於Mitre ATT&CK中的「信任開發商工具的代理執行」。</p> <p>Morpheus Labs暨SANS Internet Storm Center (ISC)管理員Renato Marinho指出，這是近一周來他觀測到第2起濫用MSBuild植入惡意程式的事件。在本次事件中，攻擊者以有效帳號先建立RDP存取連線、經由遠端Windows服務在受害企業內部網路上橫向移動，最後於主機上植入Cobalt Strike。</p> <p>他以開發C#程式的MSBuild專案為例解釋，由於Task可使用外部執行檔，攻擊者於是在Task程式碼中加入了Cobalt Strike beacon，因而在MSBuild呼叫時，即可編譯及執行C#，並在受害者機器上解密及執行Cobalt Strike beacon。這beacon即可和外部C&C伺服器建立連線，執行其指令。</p> <p class="rtecenter"><a href="https://miro.medium.com/max/2400/0*xlCuzsqAPZjzUgeH.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1131,height=908'); return false;"><img alt="" src="https://miro.medium.com/max/2400/0*xlCuzsqAPZjzUgeH.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源_</span><a href="https://morphuslabs.com/attackers-are-abusing-msbuild-to-evade-defenses-and-implant-cobalt-strike-beacons-edac4ab84f42" target="_blank"><span style="color:#696969;">Morphus Labs</span></a></p> <p>為了防止MSBuild專案遭到濫用及保護開發代管應用的系統，<a href="https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/microsoft-recommended-block-rules" target="_blank">微軟建議網管人員應防堵40多款應用程式</a>，這些應用程式可被攻擊者用以繞過應用許可政策，包括Windows Defender應用控管（Windows Defender Application Control，WDAC）規則。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/microsoft-recommended-block-rules" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1229-MSBuild-block%20list.jpg" style="width: 600px; height: 498px;" /></a></p> </div></div></div>
2021/12/29 13:02作者林妍溱https://www.ithome.com.tw/news/148628
Log4j再傳RCE漏洞，Apache釋出2.17.1新版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j維護社群並未在新年假期間休息。<a href="https://logging.apache.org/log4j/2.x/security.html" target="_blank">Apache軟體基金會昨日（12/28）釋出Log4j 2.17.1版本</a>，以修補最新爆出的遠端程式碼執行（RCE）漏洞。</p> <p>編號CVE-2021-44832的漏洞出在未能控管JDNI查詢指令的過程，有權修改日誌組態檔的攻擊者，可利用參照JNDI URI的資料源從其中元件JDBC Appender設定惡意組態，進而執行遠端程式碼。</p> <p>這項漏洞影響版本2.0-beta7 到最新的2.17.0（除了更新版2.3.2及2.12.4版本）外。所幸CVE-2021-44832屬於CVSS風險值6.6的中度風險漏洞。Apache軟體基金會已分別針對Java 8、7及6釋出最新版本2.17.1、2.12.4及2.3.2版，並呼籲用戶儘速升級。</p> <p>Apache軟體基金會並未說明漏洞發現者身分，但疑似是一家提供軟體元件分析的安全業者<a href="https://twitter.com/douglasmun/status/1475861385678508034" target="_blank">Checkmarx公司</a>。Checkmarx公司研究人員Yaniv Nizry 與代號的Liad Levy在今（29）日也釋出了<a href="https://checkmarx.com/blog/cve-2021-44832-apache-log4j-2-17-0-arbitrary-code-execution-via-jdbcappender-datasource-element/" target="_blank">概念驗證程式（PoC）</a>及<a href="https://www.youtube.com/watch?v=bdXlkGYxGFE" target="_blank">示範影片</a>。</p> <p>這是Log4j從12月10日後公布的第4項漏洞。其中<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228" target="_blank">CVE-2021-44228</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046" target="_blank">CVE-2021-45046</a>為風險值10.0及9.0的RCE漏洞，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45105" target="_blank">CVE-2021-45105</a>則為高度風險阻斷服務攻擊（DoS）漏洞，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name= CVE-2021-4104" target="_blank">CVE-2021-4104</a>僅影響1.2版。其中CVE-2021-44228及CVE-2021-45046已經被安全廠商偵測到有開採活動，包括勒索軟體Conti攻擊VMware vCenter，<a href="https://www.ithome.com.tw/news/148477" target="_blank">比利時國防部</a>也證實內部系統的CVE-2021-44228遭到攻擊，致部分服務斷線數天。</p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/29 10:28作者林妍溱https://www.ithome.com.tw/news/148623
Windows 11臭蟲造成HDR螢幕無法正確顯示色彩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 11一項臭蟲造成HRD螢幕無法正確顯示色彩，特別是使用Win32 API顯示色彩的應用程式。</p> <p>一些用戶近日在<a href="https://www.reddit.com/r/Windows11/comments/q48hbf/does_anyone_also_notice_pictures_are_displayed_in/" target="_blank">Reddit</a>及<a href="https://techcommunity.microsoft.com/t5/windows-11/windows-11-color-management-not-working-chrome-on-secondary/m-p/2869159" target="_blank">Windows討論區</a>反映，在安裝Windows 11更新後，出現色彩偏差情況。</p> <p>根據<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">微軟上周更新的Windows健康狀態頁</a>的描述，一些相片編輯程式在某些HDR顯示器上無法正確顯示色彩，最普遍情況是白色變成亮黃色或其他顏色。微軟僅簡短解釋這個問題發生在使用渲染色彩的Win32 API，在某些特定情況下回覆錯誤，該公司正在調查，但表示並非所有色彩管理程式都受影響，Windows 11「設定」頁中的色彩管理檔案，包括微軟色彩控制臺（Color Control Panel）能正確運作。。</p> <p>根據用戶通報，在Chrome上有問題，在微軟自己的「相片」App則沒此問題。另一名用戶回報在Firefox正常，在Edge上不正常。不過也有用戶貼出「相片」應用程式在藍、綠、紅等顏色的顯色問題，相較之下，「小畫家」、縮圖色彩及第三方程式Honeyview都正常運作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1229-windows%2011%20color%20error.png" style="width: 600px;" /></p> <p><a href="https://techcommunity.microsoft.com/t5/windows-11/windows-11-color-management-not-working-chrome-on-secondary/m-p/2869159" target="_blank"><span style="color:#696969;">圖片來源_Aleqq</span></a></p> <p>一名用戶引述顯示器廠商Eizo的說法，這是出於OS臭蟲問題，使其無法正確接收ICC色彩描述檔（ICC Profile），目前沒有解決方案，廠商也建議用戶暫時不要使用安裝Windows 11的PC來處理色彩。</p> <p>微軟討論區一名用戶解釋，是Windows 11以GetICMProfile()函式擷取ICC檔案資訊出問題。如果使用其他函式，包括WcsGetDefaultColorProfile() 或ColorProfileGetDisplayDefault()擷取ICC資訊的桌機應用程式就不會受影響。</p> <p>這個問題主要影響Windows 11 21H2，微軟表示正在解決問題，預計會在1月底釋出更新版本解決。</p> </div></div></div>
2021/12/29 11:07作者林妍溱https://www.ithome.com.tw/news/148624
HTTP用戶端歷史與API架構
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java生態圈裡，若想發起HTTP請求，用戶端的選擇非常豐富。之所以如此，一方面是因為HTTP標準的發展：1996年HTTP1.0至1999年HTTP1.1，僅間隔三年，然而，卻過了十六年，才於2015年正式批淮HTTP/2。</p> <p>另一方面，是標準API的HttpURLConnection，用起來手續繁雜，在這十幾年中，Web技術前後端的變化，以及Android的興起，種種因素造就各時期需求不同，因而有了各個HTTP用戶端的興起與更迭。</p> <p><span style="font-size:28px;"><strong>Java的HTTP用戶端</strong></span></p> <p>若是Java領域資深開發者，對於Apache Commons HttpClient一定不陌生。它從2001年開始，對Java標準API做了封裝，2005年由HttpComponents專案取代；Android 1.0內建HttpClient，後來Android為了API的一致性，凍結了HttpClient 4.0，本來期待Google對其做出維護，然而並沒有，到了Android 6.0以後，也不再內建HttpClient。</p> <p>Android開發者後來熟悉的是Square的OkHttp，Android 4.4也用OkHttp實現HttpURLConnection，隨著後來RESTful的概念興起，Square也基於OkHttp推出Retrofit，實現RESTful風格的操作；當然，談到RESTful，熟悉Spring的開發者，應該會馬上聯想到Spring的RestTemplate。</p> <p>HTTP請求會有非同步的需求，像是OkHttp這類基於回呼模型的程式庫，在各個請求回應的銜接需求複雜時，容易面臨回呼地獄的問題，後來興起了Reactive運動，也有了RxJava之類的實現，可以整合OkHttp、Retrofit，實現Reactive風格的操作，甚至後來也推動了Reactive的標準化。</p> <p>此外，Spring的Reactor也實現了Reactive Streams規範，就HTTP用戶端而言，其WebFlux基於Reactor，提供了WebClient。</p> <p>當然Java的HTTP用戶端發展史，並不是只有以上談到的程式庫，重點在於藉由瞭解這個過程，認識HTTP請求時所伴隨的一些需求；回過頭來，JDK本身的方案呢？有的！Java 11推出了HttpClient。</p> <p><span style="font-size:28px;"><strong>Java 11 HttpClient API</strong></span></p> <p>談到非同步，以及Reactive的風潮、需求與標準化，這也推動了JDK本身，Java 8提供可實現非同步處理的CompletableFuture，Java 9正式納入Reactive規範，在Flow類別上，定義四個介面，各介面定義的方法簽署與org.reactivestreams套件的定義一致。</p> <p>如果你對這段歷史發展有興趣，可參考先前專欄<a href="https://www.ithome.com.tw/voice/112435" target="_blank">〈Reactive與Java 9〉</a>，這裡也談到，Flow API尚在等待實作品，但更精確地說，是在等待正式實作品，Java 9其實就有處於孵化階段的Flow API實作品，也就是後來於Java 11正式推出的HttpClient API。</p> <p>想認識HttpClient API用法，網路有許多文件，或者可直接參考OpenJDK官網的<a href="https://bit.ly/3y0jxpH" target="_blank">〈Introduction to the Java HTTP Client〉</a>，可以認識基本使用方式。另一個則是<a href="https://bit.ly/3DpFsaU" target="_blank">〈Examples and Recipes〉</a>，我們可看到在JSON請求回應、Proxy等需求下如何撰寫程式。</p> <p>如果只是想使用HttpClient等現成的API，來組織想要的網路請求與回應，大概看個幾篇文件就能上手了，例如，一個簡單的POST請求回應：</p> <pre> var request = HttpRequest.newBuilder(uri).POST(ofString("k=v")).build(); var response = client.send(request, ofString()); var body = response.body();</pre><p>就算沒正式看過文件，應該也不難理解這個程式片段的作用，其中client是HttpClient.newHttpClient方法建立的HttpClient實例，而send()是同步方法，傳回HttpResponse實例，透過body方法可以取得字串回應，對於非同步操作，HttpClient可以透過sendAsync方法，取得CompletableFuture實例，後續透過thenXXX等方法，可以進一步處理本體。</p> <p><span style="font-size:28px;"><strong>HttpClient API與Reactive</strong></span></p> <p>CompletableFuture？就這樣嗎？不是說HttpClient API是Flow API的實作品嗎？Reactive的部份呢？首先要知道的是HttpClient實例，實質上就等效於請求本體的訂閱者、回應本體的發布者。</p> <p>至於請求本體真正的發布者，是HttpRequest.BodyPublishers的ofXXX方法傳回的BodyPublisher實例，而BodyPublisher是Flow.Publisher的子介面，例如上面程式片段POST方法中看到的ofString，指定了字串作為本體來源，將資料發布給HttpClient，BodyPublishers也有ofFile、ofInputStream等方法，可在檔案、串流作為本體來源時使用。</p> <p>上例中BodyHandlers的ofXXX會傳回BodyHandler實例，BodyHandler是個函式介面（functional interface），其apply方法會傳回BodySubscriber實例，而BodySubscriber是Flow.Subscriber的子介面，BodySubscriber顧名思義是作為回應本體的訂閱者，上例中send方法中的ofString，最終是向HttpClient訂閱回應，然後轉換為字串，這也正是BodyHandler會在呼叫send（sendAsync）時指定的原因。</p> <p>也就是說，從請求到回應的過程，BodyPublisher會作為請求本體的資料來源，它會發布資料，而HttpClient實質上作為資料的訂閱者，轉換為HTTP協定內容後進行請求；當HttpClient收到回應，會作為回應本體的資料來源，它會發布資料，而你指定的BodyHandlers.ofXXX方法，最後會取得BodySubscriber實例作為訂閱者，將收到的回應資料轉為想要的格式，然後，透過HttpResponse的body方法取得（同步）或用thenXXX處理（非同步）。</p> <p>在CompletableFuture不敷使用時，若能瞭解這個API架構，要在各種請求、回應之間進行流式銜接的方式，就清晰了。例如，想將某個來源作為請求本體發送，就是實作BodyPublisher後、指定實例給HttpRequest，BodyPublishers本身也有fromPublisher，可便於銜接Flow.Publisher的實作。</p> <p>若是想將網站的回應做進一步處理，那麼，就實作BodyHandler。其中的BodySubscriber實作會訂閱回應，至於該怎麼轉換回應？就是在BodySubscriber中實作，BodyPublishers本身也有fromSubscriber，可以便於銜接Flow.Subscriber的實作。</p> <p>想對Java 11的HttpClient有更深入的認識，可參考<a href="https://bit.ly/302nhKT" target="_blank">〈Java 11 Reactive HTTP Client〉</a>這個議程，其中也有BodyPublisher、BodySubscriber的實作示範。</p> <p><span style="font-size:28px;"><strong>瞭解歷史與API架構</strong></span></p> <p>當我們收集、整理Java生態圈HTTP用戶端方案，單看入門文件或範例程式碼，老實說對於釐清哪個能符合需求無太大幫助，反而要認識各方案發展過程，比較能知道哪個環境或需求下，該使用哪個。像是：在Android使用OkHttp與RxJava？已有Spring或WebFlux，或許就用RestTempalte、WebClient？想要原生標準API？Java 11的HttpClient如何呢？</p> <p>另一方面，認識API架構絕對是有幫助的，畢竟在各方案現成的API不敷使用時，自行封裝、實作、組合就會是必要之舉，這時API設計上是否有彈性，能否符合需求就會是重要考量，這邊是以Java 11 HttpClient API來作剖析，畢竟相對而言，它對開發者來說比較新鮮，可以順便認識一下其API架構。</p> <p>面對其他方案，也建議對API架構做類似剖析，多找原始碼分析的文件，最好是自行翻閱各方案原始碼，作為實作參考，如Java 11 HttpClient API的BodyPublishers、BodyHandlers上ofXXX方法的相關實作，就是實作發布者、訂閱者很好的參考對象。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/http%E8%AB%8B%E6%B1%82">HTTP請求</a></div><div class="field-item even"><a href="/tags/java">Java</a></div><div class="field-item odd"><a href="/tags/java-11">Java 11</a></div><div class="field-item even"><a href="/tags/httpclient-api">HttpClient API</a></div><div class="field-item odd"><a href="/tags/reactive">Reactive</a></div></div></div>
2021/12/29 07:00作者林信良https://www.ithome.com.tw/voice/148524
【資安日報】2021年12月28日，資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的國際半導體展SEMICON Taiwan 2021，於12月28日至30日舉行，其中資安是相當重要的主題，不只有專屬的展區，同時更重要的是，推動多年的計畫也有了成果，不只供應鏈組成的資安聯盟將要啟動，而由臺灣主導的資安標準SNARF 6506，相關單位也會公布最新的進展。</p> <p>由於本週正逢歐美各國的聖誕節假期，勒索軟體的攻擊行動並未就此停歇。例如，曾多次鎖定威聯通NAS的勒索軟體eCh0raix（亦稱QNAPCrypt），自上週日（12月19日）開始發動大規模攻擊，直到26日才趨緩。這樣的情況，也讓許多IT人員在闔家團聚的休假期間仍必須設法處理。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-hit-in-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/eCh0raixIDR.png" style="width: 300px; height: 100px; float: right;" />根據資安新聞網站Bleeping Computer的報導，勒索軟體eCh0raix（亦稱QNAPCrypt）在聖誕節前夕發動的攻擊行動。有許多IT人員自12月20日開始指出，他們維護的威聯通NAS設備接連遭到eCh0raix攻擊，勒索軟體威脅情報網站ID ransomware也觀察到相關態勢，該攻擊行動約從19日開始顯著增加，直到26日才趨緩。有些用戶認為，駭客很可能是透過Photo Station軟體的弱點入侵。</p> <h4><a href="https://www.einnews.com/pr_news/558959060/hacker-gains-access-to-hewlett-packard-9000-epyc-server-hardware-to-mine-the-cryptocurrency-raptoreum-using-java-exploit"><span style="color: rgb(0, 0, 0);"><strong>駭客藉由Log4Shell漏洞入侵搭載AMD EPYC處理器的伺服器，進行挖礦攻擊</strong></span></a></h4> <p>資安業者The Core Administration指出，他們發現有駭客疑似利用Log4Shell漏洞，鎖定HP 9000 EPYC的伺服器下手（編按：此處的機型有可能是Apollo 9000系列），挖取Raptoreum加密貨幣，自12月9日至17日，駭客約獲得340萬個Raptoreum幣，相當於11萬美元，其中已有150萬個Raptoreum幣透過CoinEx交易所售出。</p> <h4><a href="https://www.ithome.com.tw/news/148615"><span style="color: rgb(0, 0, 0);"><strong>網路相簿業者Shutterfly遭勒索軟體Conti攻擊</strong></span></a></h4> <p>線上相片製作及相簿供應商Shutterfly於12月26日發出公告，指出他們約於2星期前，遭勒索軟體攻擊，旗下的Lifetouch、BorrowLenses、Groovebook等分公司的部分業務，以及一些公司的系統被迫中斷運作，但客戶的信用卡資料與社會安全碼不受影響。根據資安新聞網站Bleeping Computer的報導，攻擊者身分是Conti，Shutterfly約有逾4千臺裝置及120臺VMware ESXi伺服器遭到加密，被勒索數百萬美元。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148614"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞驚傳五分之一國民個資外洩</span></a></strong></h4> <p>根據美國聯合通訊社（美聯社，AP）的報導，約於2星期前，含有阿爾巴尼亞政府與民間企業員工個資的Excel文件，經由WhatsApp散布到網路上，內容疑似為政府及民間企業自今年1月申報的員工薪資資料，受影響人數約64萬人，占該國總人口22%。對此，阿爾巴尼亞總理Edi Rama召開記者會證實及道歉，並指出此事是內部人員所為，而非遭到網路攻擊所致。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.securityweek.com/new-flaws-expose-evlink-electric-vehicle-charging-stations-remote-hacking"><span style="color: rgb(0, 0, 0);">電動汽車充電站存在數個漏洞，攻擊者可用來竄改充電記錄等資料</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PB115031_web.jpg" style="width: 100px; height: 207px; float: right;" />施耐德電機於12月14日發布資安通告，他們修補旗下的電動車充電系統7個漏洞，當中包含1個重大漏洞與5個高風險漏洞，影響EVlink City、EVlink Parking、EVlink Wallbox等產品線，這些漏洞可被用於跨網站請求偽造（CSRF）、跨網站程式碼（XSS）攻擊，或是透過Web界面進行暴力破解。其中最嚴重的漏洞可被用於伺服器端請求偽造（SSRF）攻擊，CVSS風險層級為9.3分。施耐德電機呼籲用戶要儘速安裝修補軟體。</p> <h4><strong><a href="https://www.bleepingcomputer.com/news/security/blackmagic-fixes-critical-davinci-resolve-code-execution-flaws/"><span style="color: rgb(0, 0, 0);">影音剪輯軟體Davinci Resolve存在可被用於RCE攻擊的漏洞</span></a></strong></h4> <p>思科發現影音剪輯軟體DaVinci Resolve的2個重大漏洞，分別是CVE-2021-40417和CVE-2021-40418，CVSS風險層級為9.8分，兩者皆與解碼影片的過程有關。Blackmagic Software推出17.4.3版修補上述漏洞。</p> <h4><strong><a href="https://www.pentestpartners.com/security-blog/audio-bugging-with-the-fisher-price-chatter-bluetooth-telephone/"><span style="color: rgb(0, 0, 0);">玩具電話驚傳藍牙漏洞，攻擊者可竊聽通話內容</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/chatterphone1.jpg" style="width: 300px; height: 169px; float: right;" />資安業者Pen Test Partners提出警告，他們近日發現幼兒玩具電話Fisher Price Chatter，存在嚴重的藍牙漏洞，這款玩具在連線範圍內，會自動連接到發出請求的藍牙裝置，而沒有任何配對的的安全機制，而使得攻擊者得以在該玩具電話的藍牙訊號範圍內，連接自己的設備來竊聽鄰居。再者，對於已連接的智慧型手機，該玩具的聽筒還有可能會自動接聽來電。研究人員認為，玩具業者美泰兒（Mattel）應著手處理相關問題。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.youtube.com/watch?v=FsrHQcyu4S4"><span style="color: rgb(0, 0, 0);">國際半導體展資安漸成要角，半導體供應鏈資安聯盟與資安標準發展成焦點</span></a></strong></h4> <p>半導體業的資安防護議題越來越受重視，今年國際半導體展實體展SEMICON Taiwan 2021於12月28日到30日舉行，今年不僅規畫資安專區，比往年資安主題館規模更擴大，同時在28日將舉行半導體供應鏈資安聯盟啟動儀式，同時公布SEMI半導體資安標準SNARF 6506建立的最新進程。</p> <h4><strong><a href="https://www.ithome.com.tw/news/148620"><span style="color: rgb(0, 0, 0);">數位發展部組織法三讀過關，最快2022年第二季掛牌</span></a></strong></h4> <p>《數位發展部組織法草案》以及《數位發展部資通安全署組織法草案》立法院院會三讀過關，預計需要半年的時間，進行後續籌備以及相關機關的業務和人力移撥作業，最快2022年六月或七月掛牌上路。根據行政院組織法的規定，確認數位發展部成立後，現有的科技部將調整為「國家科學及技術委員會」。行政院資安處將升格為三級機關的「資通安全署」，主要負責統籌政府整體資安治理架構；另設置新的行政法人「國家資通安全研究院」，扮演國家資安技術智庫幕僚的角色。</p> <h4><strong><a href="https://www.most.gov.tw/folksonomy/detail/b1b7a3b8-fcb8-4df2-8dfa-00318b201adf?l=CH"><span style="color: rgb(0, 0, 0);">科技部資安暨智慧科技研發大樓啟用，設立南部資安新創發展據點</span></a></strong></h4> <p>配合六大核心戰略產業推動方案，科技部在臺南沙崙智慧綠能科學城，設立資安暨智慧科技研發大樓，並於12月24日辦理啟用典禮，此大樓規劃為我國資安、智慧與新創產業發展基地，並提供新創業者多元實證場域。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148597">2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2021/12/28 18:28作者周峻佑https://www.ithome.com.tw/news/148622
數位發展部組織法三讀過關，外界期待2022年520前能掛牌，新成立「資通安全署」與「數位產業署」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>眾所期待的《數位發展部組織法草案》以及《數位發展部資通安全署組織法草案》於今（12月28日）立法院院會三讀過關，預計需要半年的時間，進行後續籌備以及相關機關的業務和人力移撥作業，最快將等2022年六月或七月掛牌上路，但外界有期待數位發展部可以在2022年520總統就職前正式掛牌上路。至於第一任數位發展部部長將由誰擔任？仍有待行政院長對外公布。此外，根據行政院組織法的規定，確認數位發展部成立後，現有的科技部將調整為「國家科學及技術委員會」。</p> <p>而立法院也同時通過《數位發展部資通安全署組織法草案》，行政院資安處將升格為三級機關的「資通安全署」，主要負責統籌政府整體資安治理架構，以便將資安資源與管理做到向上集中；此次也新成立「數位產業署」，負責數位經濟產業相關的政策規畫與執行；另外，也新設置新的行政法人機構：國家資通安全研究院，扮演國家資安技術智庫幕僚的角色。</p> <h2><strong>數發部整合資訊、資安、電信、傳播和網路五大領域業務功能</strong></h2> <p>總統蔡英文在2020年520就職演說中提到，要邁向國家數位轉型並推動六大核心關鍵產業，要成立一個專責的數位發展部，負責資訊、資安、電信、傳播和網路等五大領域的業務內容。行政院也於2021年3月25日的行政院院會通過「數位發展部」相關組改法案，送交立法院由司法及法制以及交通委員會進行審查。</p> <p>根據《數位發展部組織法草案》說明，行政院設立數位發展部的目的就是為了整合分散在各部會有關通訊、資訊、資通安全、網路及傳播五大業務，希望做到統一事權、整體規畫數位發展推動相關資源，並扮演「國家數位發展領航者」的角色，負責統籌產業、政府、社會及國民生活數位轉型的基礎工程與環境整備，也同時協助各個機關落實數位治理。</p> <h2><strong>籌備小組負責數發部業務移撥，人力聘用員額不得超過一百人</strong></h2> <p>由於數發部整合、移撥和新增的業務複雜，為了讓整體作業更順暢，行政院院會在通過《數位發展部組織法草案》，為了讓數位發展部後續規畫推動作業順利進行，已經先行設立數位發展部籌備工作小組，院長蘇貞昌更指派政務委員郭耀煌擔任籌備工作小組召集人，邀集相關機關研商，並向立法院說明組改內容與細節。</p> <p>依照《數位發展部組織法草案》設計，數發部從其他部會移撥的業務，包括：國家通訊傳播委員會的「通訊傳播基礎建設」、「電信產業發展與輔導」；交通部的「通訊整體資源規畫」；經濟部的「資安、AI、軟體、數位內容、電子商務、系統整合等產業發展與輔導」；國家發展委員會的「智慧政府」、「開放資料」；行政院資安處的「資通安全」，並擴增「數位轉型」、「數位法制」、「資料治理」、「人才培育」以及「監理沙盒」等業務。</p> <p>另外，根據《數位發展部組織法草案》規畫，數發部的內部組織也將依照「資料治理」、「數位創新」、「產業發展」、「數位政府」、「資源管理」及「基礎建設」等業務功能需求，設置適當數量的業務單位，並設立三級機關的「資通安全署」和「數位產業署」，以及行政法人的「國家資通安全研究院」。</p> <p>而《數位發展部組織法草案》第七條也針對人力聘用有相關規定，為了滿足數發部多元人才的需求，除了任用人員外，也可以有更彈性的聘用人員機制，可以聘用具備數位科技與應用及管理相關領域的專業人員，但依規定，專業人員的聘用員額不得超過一百人。同樣的規定也適用於資通安全署的人員聘用。</p> </div></div></div>
2021/12/28 17:33作者黃彥棻https://www.ithome.com.tw/news/148620
新惡意程式利用合法憑證冒充Windows執行檔流傳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>合法憑證再傳被惡意程式濫用。<a href="https://www.elastic.co/blog/elastic-security-uncovers-blister-malware-campaign" target="_blank">資安廠商發現</a>一隻新型惡意程式使用被竊的合法憑證、躲過Windows驗證感染用戶電腦。</p> <p>安全廠商Elastic Security於8月發現一隻惡意程式Blister，它是一隻下載器（loader）目的在載入之後的攻擊程式。目前研究人員還不清楚的目的，但是它能在不引發VirusTotal上防毒引擎警示情況下在網路流傳這點，卻十分值得關注。</p> <p>分析顯示，Blister背後的駭客使用了多項隱匿手法而得以不被發現。在用戶執行後，它會嵌入合法函式庫（如color.rui.dll），並以rundll32指令以高權限執行，在Blister寫入暫存檔。它先以暫時休眠手法躲過沙箱分析，再解密出內含的攻擊程式，包括CobaltStrike 和 BitRat，這些程式常被用來遠端存取或在用戶網路上橫向移動。此外，Blister也寫入C:\ProgramData資料夾以長期潛伏、並另存成rundll32.exe. 冒名檔案，同時在啟動（Startup）資料夾建立連結，以便每次開機登入就執行一次惡意程式。</p> <p>但它另一項隱匿手法讓自己成功躲過Windows驗證、以及眾多防毒引擎的偵測。研究人員發現它使用了數位認證技術供應商Sectigo派發給一家名為Blist的公司的程式碼簽章憑證，這公司使用的是俄羅斯ISP代管的郵件信箱，顯然是該公司的合法憑證遭竊被用來簽發惡意程式。</p> <p class="rtecenter"><img alt="" src="https://static-www.elastic.co/v3/assets/bltefdd0b53724fa2ce/bltbd00b64be3fcda13/61c28d7c9d4a976169b70cca/1-digital-signature-information.png" style="width: 401px;" /></p> <p><span style="color:#696969;">圖片來源_Elastic Security</span></p> <p>研究人員於是通知了Sectigo取消這憑證。同時安全公司也建立了辨識Blister的YARA規則，並分享入侵指標（indicators of compromise, IoC）供企業使用。</p> <p>這是今年被發現濫用合法簽章來入侵Windows電腦的最新例子。今年<a href="https://www.ithome.com.tw/news/146932" target="_blank">9月</a>及<a href="https://www.ithome.com.tw/news/147448" target="_blank">10月</a>，分別有OpenSUdpater垃圾軟體及惡意rootkit FiveSys以合法憑證簽章感染Windows用戶，以安裝銀行木馬或勒索軟體，及竊取受害者登入憑證及財產。其中FiveSys rootkit甚至還取得了微軟簽章。</p> </div></div></div>
2021/12/28 12:24作者林妍溱https://www.ithome.com.tw/news/148617
阿爾巴尼亞逾1/5人口個資外洩，總理道歉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿爾巴尼亞近日發生超過該國1/5人口的身分證及姓名等民眾個資外流，總理為此上周公開道歉。</p> <p><a href="https://apnews.com/article/technology-europe-albania-edi-rama-05ee2906256f9c180e77708a2c502f14" target="_blank">根據報導</a>兩周前一個包含阿爾巴尼亞政府及民間企業員工個資的Excel檔案，經由WhatsApp散布到網路上。阿爾巴尼亞總理Edi Rama為此召開記者會對外說明及道歉。</p> <p>這個檔案疑似為政府及民間企業自今年1月起申報的員工所得稅及薪資資訊，包含員工姓名、身分證資料、薪資、在職狀態及僱主單位，受影響人數約為64萬人，占該國總人口的22%。</p> <p>阿國總理Edi Rama證實此事，並指出根據初步調查，此事為內部人所為而非外部網路攻擊所致。</p> <p><a href="https://therecord.media/personal-and-salary-data-for-637138-albanian-citizens-leaks-online/" target="_blank">The Record報導</a>，目前這個檔案已流向資料掮客的Telegram頻道，可能已被詐騙集團及網路犯罪集團取得作為未來犯案之用。阿爾巴尼亞反對黨要求總理下臺負責。</p> <p>這是阿爾巴尼亞今年第二起資訊外洩。今年4月國會大選前，該國也曾發生超過91萬公民資料外洩。當時研判該起事件是刻意所為，讓執政黨趁機取得選民資料。</p> </div></div></div>
2021/12/28 09:30作者林妍溱https://www.ithome.com.tw/news/148614
線上相簿Shutterfly遭勒索軟體Conti攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/shutterfly-services-disrupted-by-conti-ransomware-attack/" target="_blank">Bleeping Computer報導</a>線上相片製作及相簿供應商Shutterfly近日遭勒索軟體Conti攻擊並勒索數百萬美元，疑似客戶信用卡及公司機密資料被竊。</p> <p>Shutterfly是提供相片印刷、照片、卡片分享或周邊商品製作的專業網站，也提供線上相簿，它在不同市場以不同品牌提供服務，包括GrooveBook、BorrowLenses、Shutterfly.com、Snapfish與Lifetouch。</p> <p>報導指出，大約兩周前Shutterfly遭Conti駭客組織發動攻擊，4,000多臺裝置及120個VMware ESXi伺服器遭到加密。</p> <p>Conti駭客也設立了Shutterfly的專屬未公開網頁，以公佈據稱是竊取自受害者網路的檔案及資料擷圖。他們揚言如果Shutterfly不付錢，就會將該網站公諸於世。</p> <p>看到這個網頁的消息人士指出，這些擷圖包括法律協議、銀行及廠商帳號、公司服務登入帳密、一些試算表以及可能是客戶信用卡號碼的4位數等。此外駭客也宣稱取得Shutterfly線上商店的原始碼，不過不確定是指Shutterfly.com或其他網站。</p> <p>Shutterfly證實攻擊是發生在2周前的周末晚上。<a href="http://www.shutterflyinc.com/statement-about-cybersecurity-incident/" target="_blank">該公司表示</a>其公司網路、Lifetouch、BorrowLenses、Groovebook部分網路發生停機，但未影響Shutterfly.com、Snapfish、TinyPrints或Spoonflower服務。</p> <p>在受影響的資料方面，不同於媒體掌握的消息來源，Shutterfly表示並未儲存用戶信用卡、金融帳號或社會安全碼，因此這些用戶個資並未受影響，但他們也正在釐清災害結果。</p> <p>Conti據信是由俄羅斯駭客組織操作的勒索軟體，這個組織也和Ryuk、TrickBot及BazaLoader有關。它也涉及過去幾樁知名的感染案件，包括<a href="https://www.ithome.com.tw/news/144469" target="_blank">愛爾蘭健康服務部（Health Service Executive）及衛生部</a>、<a href="https://www.ithome.com.tw/news/141273" target="_blank">研華</a>。</p> <p><a href="https://www.ithome.com.tw/news/148463" target="_blank">上周有安全廠商偵測到</a>Conti利用VMware vCenter Server軟體內的Apache Log4j元件漏洞散佈。不過這和Shutterfly事件是否有關不得而知。</p> </div></div></div>
2021/12/28 09:53作者林妍溱https://www.ithome.com.tw/news/148615
Google、Meta因拒絕移除不當內容被俄國法院重罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/russian-court-fines-alphabets-google-72-bln-roubles-2021-12-24/" target="_blank">外媒報導</a>，Google與Meta因未遵循俄羅斯法令撤除當局不許可的內容，上周同一天內分別遭莫斯科法院重罰近1億及3,000萬美元。</p> <p>報導指出，俄羅斯電信及媒體主管機關Roskomnadzor 近年分別要求Google及臉書撤除「非法內容」，包括要求Google移除2,600多則和吸毒、危險行為、製造彈藥槍械及鼓勵恐怖主義與極端主義的內容，以及LGBT團體爭取言論自由而進行的<a href="https://www.themoscowtimes.com/2020/07/10/russia-fines-lgbt-ctivist-for-gay-propaganda-drawings-a70845" target="_blank">「Gay propaganda」</a>。此外，當局要求Meta旗下的臉書和Instagram（IG）移除2,000多項非法內容。Google和臉書因未遵循上述要求，各被判罰72億及20億盧布（約臺幣27億及7.5億元）。</p> <p>報導指出，這是俄羅斯政府首次實施以營收為罰金計算基準的案件。當局沒有說明計算的百分比，路透社計算，對Google的罰金大約是這家搜尋巨人在俄國年營收的8%。</p> <p>Google表示會研究法院文件再決定後續行動。Google可在10天時間內提出上訴。</p> <p>今年內俄國法院已經多次因為Google、<a href="https://www.rferl.org/a/russia-facebook-telegram-fined-banned-content/31300848.html" target="_blank">臉書、Telegram</a>、<a href="https://www.reuters.com/world/europe/russia-fines-facebook-not-deleting-banned-content-2021-09-14/" target="_blank">推特</a>拒絕配合主管機關要求移除內容，對這些美國網路平臺施以重罰。</p> </div></div></div>
2021/12/28 10:14作者林妍溱https://www.ithome.com.tw/news/148616
開源繪圖引擎Ogre 2.3.0更新陰影實作、穩定支援跨平臺3D繪圖API Vulkan
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少開源專案喜歡在聖誕節發布新版本，知名開源繪圖引擎Ogre也不例外，在平安夜發布了經過一年多開發的新版本<a href="https://www.ogre3d.org/2021/12/24/ogre-next-2-3-0-deadalus-released-and-merry-christmas">Ogre 2.3.0</a>，這個版本有許多更新，包括改進裝置丟失（Device Lost）的處理、更新陰影實作，並且穩定支援跨平臺3D繪圖API Vulkan。</p> <p>Ogre 2.3.0現在能更好地處理裝置丟失的問題，官方提到，大多數遊戲不在乎裝置丟失的問題，因為遊戲在執行時，可以擁有整個電腦資源。但裝置丟失被認為是嚴重故障，但也非常罕見，通常是由硬體或是軟體造成的故障，或是在遊戲過程中，進行Windows更新時才會發生，但在這些情況，遊戲體驗本身就已經遭到中斷。</p> <p>但是對於非遊戲的應用程式就不是如此，裝置丟失可能由多種原因造成，最常見的是驅動程式升級，或是電腦在省電和效能模式中切換，當驅動程式升級，則裝置丟失就成為必然的情況，而從省電模式切換到效能模式，在行動裝置或是筆記型電腦更是常發生的情況。官方提到，要從裝置丟失狀態中恢復非常困難，這取決於應用程式的複雜性，以及裝置丟失時，應用程式正在進行的工作。Ogre開發團隊在這個新版本中，下了許多功夫改善這個問題，使得應用程式能夠在裝置丟失時，優雅的恢復。</p> <p>這個新版本也使用了更先進的陰影技術，官方雖然之前就曾收到一些陰影特效的抱怨，但是一直到有用戶進行了更詳盡的研究，官方才意識到Ogre一直未採用較新的Normal Offset Bias陰影技術。雖然說Normal Offset Bias是比較新的技術，但也是早在2011年就發明，其能夠極大程度改善自我遮蔽和陰影失真（Shadow Acne）的問題，投射陰影的步驟也比原來的Inverted-culling方法強健得多。</p> <p>現在Normal Offset Bias已經取代Inverted-culling方法，舊的函式HlmsManager::setShadowMappingUseBackFaces()已經被刪除，取而代之的是ShadowTextureDefinition::normalOffsetBias和ShadowTextureDefinition::constantBiasScale，供開發者進行更細緻的控制。</p> <p>在Ogre 2.3.0中，Vulkan已經進入穩定階段，但有已知問題要注意的是，在和Qt整合的時候存在一些問題，目前尚未被深入研究。另外，官方在Plugins.cfg加入PluginOptional關鍵字，來維持Ogre的使用體驗，過去Ogre會在許多情況下容易崩潰，像是用戶電腦沒有安裝DirectX執行時，即便有OpenGL作為後端，Ogre可能會崩潰。在可能不支援DirectX 9.0c的Win 9x和Win XP時代尤其如此，雖然從很久以前開始，這已經不再是個問題了。</p> <p>但是這個問題隨著Vulkan重新浮出檯面，因為擁有老舊驅動程式的筆電，其GPU仍完全能夠執行 Vulkan，但是缺少系統DLL或是GPU不能執行Vulkan，都會造成Ogre崩潰，為了解決這個問題，Ogre在Plugins.cfg檔案中添加關鍵字Plugin Optional，這使得Ogre會嘗試載入OpenGL、D3D11、Metal或Vulkan，當這些擴充套件都載入失敗，便會被忽略，使得Ogre能夠在舊有的硬體和軟體中良好地運作。</p> </div></div></div>
2021/12/28 08:49作者李建興https://www.ithome.com.tw/news/148598
【資安日報】2021年12月27日，IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Ro…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今日，Log4Shell漏洞仍餘波盪漾，主要這個漏洞影響層面甚廣。有多家IT業者發出公告，說明旗下產品使用Log4j的情形，並提出緩解措施或是修補程式。其中，HPE、IBM都分別針對旗下數十款產品發布修補程式，Nivida也公布他們有3款系統受到不同程度的影響，而VMware則是針對日前已遭Conti勒索軟體組織鎖定的vCenter，提出緩解措施。</p> <p>除了Log4Shell已成為多個勒索軟體大肆活動的入侵管道，勒索軟體Rook的攻擊行動也相當值得留意，因為，駭客使用UPX、VMProtect封裝該勒索軟體後，難以偵測而能快速成功攻陷受害組織。在駭客宣布發動攻擊的4天之後，就已經有受害組織出現，該組織亦宣稱竊得超過1,000 GB機密資料。</p> <p>而在Log4Shell漏洞之外，操作科技（OT）系統的漏洞也相當值得重視，因為，近期有2則新聞屬於這種類型的漏洞揭露，包含了mySCADA旗下的myPRO，以及醫療注射幫浦系統B. Braun Infusomat的漏洞，前者研究人員發現的漏洞，廠商分成2次才修補完成；後者則是資安業者揭露後發現，攻擊者很有可能串連利用漏洞，而引發更嚴重的後果，因而再度於近期提出警告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h4><strong><a href="https://www.sentinelone.com/labs/new-rook-ransomware-feeds-off-the-code-of-babuk/"><span style="color: rgb(0, 0, 0);">勒索軟體Rook透過驅動程式停用防毒軟體，並利用軟體封裝工具規避偵測</span></a></strong></h4> <p>自11月26日，資安研究人員Zack Allen在VirusTotal發現，名為Rook的勒索軟體正在招兵買馬，宣稱急需大量金錢而成立駭客組織。但在11月30日，該組織公布第1個受害組織為哈薩克金融機構，並宣稱竊得1,123 GB資料。資安業者SentinelOne取得勒索軟體Rook的檔案進行分析發現，這個勒索軟體透過Cobalt Strike等滲透測試框架散布，且使用UPX、VMProtect封裝，而使得偵測的難度更高。而Rook是自Babuk勒索軟體駭客解散後，以Babuk程式碼修改而成的新勒索軟體。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/global-it-services-provider-inetum-hit-by-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>跨國IT服務供應商Inetum遭勒索軟體攻擊</strong></span></a></h4> <p>法國大型IT服務業者Inetum於12月23日發出公告指出，他們在19日遭到勒索軟體攻擊，影響當地部分業務，但對於客戶的主要基礎設施、協作工具、交付作業並未受到影響。根據法國新聞網站LeMagIt指出，該公司疑似遭到勒索軟體Blackcat攻擊。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/dridex-omicron-phishing-taunts-with-funeral-helpline-number/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Dridex透過Omicron變種病毒發動網釣攻擊</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/funeral-assistance-alert.jpg" style="width: 300px; height: 167px; float: right;" />近期惡意軟體Dridex的攻擊行動已有數起，且攻擊者意圖嘲笑資安研究人員與受害者。例如，他們日前以解僱為由引誘受害人開啟附件，再顯示「聖誕節快樂」的訊息。而這幾天研究人員TheAnalyst發現，攻擊者也透過武漢肺炎變種病毒Omicron確診的名義，散布Dridex，一旦受害者不慎依照指示開啟附件的Excel檔案，並啟用巨集，這個惡意軟體就會顯示警示訊息，內容為提供武漢肺炎葬禮服務專線的電話號碼。</p> <h4><strong><a href="https://www.elastic.co/blog/elastic-security-uncovers-blister-malware-campaign"><span style="color: rgb(0, 0, 0);">攻擊者利用惡意軟體Blister投放作案工具</span></a></strong></h4> <p>資安業者Elastic Security指出，他們發現名為Blister的惡意軟體投放工具，該下載器具備有效的簽章，且藉由與一般程式庫拼接的方式，使得該工具難以被VirusTotal上的防毒引擎識別為有害。研究人員指出，Blitster的程式碼被嚴重混淆，且在執行時會先休眠10分鐘才開始運作，攻擊者這麼做的目的，是為了逃避沙箱的檢測。該惡意軟體最終會投放Cobalt Strike或BitRat等，以便攻擊者進行第2階段行動。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/phishing-campaign-targets-coinspot-cryptoexchange-2fa-codes/"><span style="color: rgb(0, 0, 0);"><strong>網路釣魚攻擊鎖定加密貨幣交易所用戶，意圖竊取雙因素驗證碼</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2FA.png" style="width: 300px; height: 222px; float: right;" />郵件安全業者Cofense指出，一波鎖定加密貨幣交易所CoinSpot用戶而來的釣魚郵件攻擊，攻擊者從雅虎電子郵件信箱發送釣魚信，要求收件人確認交易款項為由進行詐騙，一旦收信者依照指示操作，就會被引導到幾可亂真的偽造登入網頁，以騙走受害人的CoinSpot帳密。其中，為了能順利通過驗證並控制帳號，上述的冒牌登入網頁還會要求提供雙因素驗證碼，再將受害者重新導向CoinSpot網站。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/android-banking-trojan-spreads-via-fake-google-play-store-page/"><span style="color: rgb(0, 0, 0);"><strong>銀行木馬以偽造的市集網頁散布</strong></span></a></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-play-store.jpg" style="width: 300px; height: 194px; float: right;" />資安業者Cyble指出，一款安卓惡意App鎖定巴西大型金融機構Itaú Unibanco用戶而來，為引誘受害者下載惡意App，攻擊者建置了與Google Play市集極為相似的網頁。一旦受害者安裝並執行，該惡意軟體會擅自開啟正牌的App，並藉由竄改用戶輸入的字串來進行詐欺交易。</p> <h4><a href="https://www.bleepingcomputer.com/news/security/pro-wrestling-tees-discloses-data-breach-after-credit-cards-stolen/"><span style="color: rgb(0, 0, 0);"><strong>職業摔跤選手商城Pro Wrestling Tees驚傳資料外洩</strong></span></a></h4> <p>提供摔跤選手經營粉絲的網站Pro Wrestling Tees向用戶發出公告，指出他們遭到駭客入，交易資料遭竊。執法單位於11月1日告知Pro Wrestling Tees遭到入侵，該公司著手調查後，12月22日向緬因州總檢查長辦公室報告指出，他們遭到惡意軟體攻擊，約有31,000人受到影響。由於攻擊者竊得用戶的全名、信用卡卡號、CVV號碼等資料，已有用戶反映信用卡被盜用的情形。</p> <h4><a href="https://www.ithome.com.tw/news/148587"><span style="color: rgb(0, 0, 0);"><strong>針對Log4Shell漏洞未即時通報中國政府，阿里雲做出說明</strong></span></a></h4> <p>最早發現並通報Log4Shell漏洞的阿里雲，傳出中國政府沒有第一時間獲得通報，工信部停止該公司威脅情資夥伴身分半年。對此，阿里雲也做出回應，表示他們發現漏洞的當下，因沒有意識到漏洞的嚴重性而判斷錯誤，依循業界慣例向開發者Apache基金會社群通報，後來才被外界發現，此漏洞涉及層面極為廣泛。阿里雲表示，他們將強化漏洞管理，並提升合規意識，積極協助各方做好網路資安工作。</p> <h4><a href="https://youtu.be/Vz7zU61fHro?t=1483"><span style="color: rgb(0, 0, 0);"><strong>社群平臺事實查核引爭議，PTT創辦人提出警告</strong></span></a></h4> <p>在12月中旬舉行的「國家安全與網路資訊安全論壇」上，臺灣AI實驗室創辦人杜奕瑾在議程上擔任首場專題演講，從認知安全與國家安全談起，說明具企圖性假新聞的擴散方式，以及事實查核的挑戰，因此，披露訊息的來源、傳遞與表達方式，會是更重要的識別面。同時，他以自身經驗為例，指出臉書在查核制度上的問題，對此，強調，網路平臺的AI言論審查訓練，若是用中國的思維與文化去進行，將是必須要關注的議題。</p> <h4> </h4> <h3><strong>【漏洞與修補】</strong></h3> <h4><strong><a href="https://www.ithome.com.tw/news/148586"><span style="color: rgb(0, 0, 0);">HPE、IBM、Nvidia、VMware說明產品受Log4Shell影響的情形</span></a></strong></h4> <p>Log4Shell漏洞涉及範圍甚廣，許多IT業者也發出公告，表明旗下產品受影響的範圍。其中，Nvidia旗下受影響的產品，包含了程式設計模型CUDA 、遙測代理程式NetQ，以及人工智慧系統DGX Systems；HPE修補超過60項產品，包含融合Hyper Converged、3PAR、Ezmeral，以及超級電腦軟體Cray System等；IBM修補旗下100多項軟體，包含DB2、Websphere、Tivoli、SPSS等。VMware則指出vCenter Server及vCenter Cloud Gateway受到影響，並提供相關緩解措施。</p> <h4><strong><a href="https://www.securityweek.com/several-critical-vulnerabilities-found-mypro-hmiscada-product"><span style="color: rgb(0, 0, 0);">SCADA系統驚傳重大漏洞，恐波多種關鍵基礎設施</span></a></strong></h4> <p>美國網路安全暨基礎架構安全局（CISA）於12月21日發出警告，工業自動化系統業者mySCADA所推出的myPRO工控系統中，存在多個漏洞，該業者已於11月初完成修補。其中最嚴重的漏洞達到10分，主要與作業系統的命令裡可能藉由特殊字元觸發有關。CISA警告，這些受影響的系統存在於全球各地，運用於能源、食品、農業、水資源、交通運輸等行業，大部分受影響的客戶在歐洲。</p> <h4><strong><a href="https://cybersecurityventures.com/hackable-infusion-pump-ransomware-risks-to-patients/"><span style="color: rgb(0, 0, 0);">注射幫浦系統存在多項漏洞，恐被用於竄改配置與記錄資料</span></a></strong></h4> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Complete-Attack-Chain.jpg" style="width: 300px; height: 261px; float: right;" />資安業者McAfee與Culinda聯手，於2021年1月發現B. Braun Infusomat注射幫浦系統裡的數個漏洞，並向該廠商通報，漏洞亦獲得修補，該業者遂於8月下旬公布細節。其中最為嚴重的是CVE-2021-33885，CVSS風險層級為9.7分。但McAfee最近再度提出警告，表示這些漏洞很有可能被攻擊者串連利用，加上醫療院所往往無法即時修補，而有可能影響病人的生命安全。</p> <h4> </h4> <h3><strong>【資安產業動態】</strong></h3> <h4><strong><a href="https://www.rsaconference.com/usa"><span style="color: rgb(0, 0, 0);">2022年RSA大會確定延期至6月</span></a></strong></h4> <p>往年都在年初舉行的全球資安盛會之一RSA大會，原訂2022年於2月7日中旬舉行，受到全球疫情的持續影響，主辦單位宣布將延遲2022年6月6日至9日。</p> <p> </p> <p>【近期資安日報】</p> <p><a href="https://www.ithome.com.tw/news/148576">2021年12月24日，Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">2021年12月23日，阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">2021年12月22日，Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">2021年12月21日，比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">2021年12月20日，Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">2021年12月17日，Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2021/12/27 16:11作者周峻佑https://www.ithome.com.tw/news/148597
GitLab 14.6強化分散式部署功能，並在SAST支援.NET 6
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab在年底發布2021年最後一個版本<a href="https://about.gitlab.com/releases/2021/12/22/gitlab-14-6-released/#gitlab-agents-activity-information">14.6</a>，這個版本簡化了地理區域配置，使得分布全球的開發團隊，能夠自動使用最近的站點來加速Git複製和拉取請求，靜態應用程式安全測試（SAST）工具，也加入多項新功能，包括對.NET 6的支援。</p> <p>GitLab 14.6的新功能，使得分散在全球的開發團隊，能獲得更好的協作體驗。過去開發團隊需要對所有Git操作，使用統一URL設定地理區域，但是每個地理區域副本，都有自己的Web UI和API存取URL，所以用戶除了必須麻煩地手動配置外，還要很了解所要使用特定的地理區域副本URL，而且地理區域副本的Web UI僅唯讀，限制用戶只能查看頁面，要執行更改則必須要在主要站點上進行。</p> <p>而在GitLab 14.6中，地理輔助站點會透明地將寫入請求，代理到主要站點，並且加速大部分讀取請求，系統管理員便可以提供整個組織的所有GitLab用戶，一個單一的URL，該URL會自動使用距離用戶最近的地理區域站點，用戶便不需要再自己配置，並且顧慮部分操作無法在輔助站點上進行的問題，官方提到，現在全球分散團隊，都能因為這項新功能在git clone和git pull指令獲得加速。</p> <p>現在當用戶安裝地理區域相關功能時，會預設啟用輔助站點代理和統一URL，而既有的地理區域配置，用戶則可以啟用統一URL和輔助站點代理功能。</p> <p>在SAST的更新上，現在使用者可以要求SAST，定期執行掃描，或是將SAST加入到持續整合工作管線中，獨立於.gitlab-ci.yml導案的內容之外，官方提到，這允許安全團隊獨立管理這些掃描要求，不需要開發人員更改任何配置。</p> <p>在微軟發布最新的.NET 6.0之後，GitLab也針對這個.NET Core的下一個主要版本提供支援，更新.NET SAST分析器來支援這個新版本，自動偵測.NET 6.0專案。想要在之前的專案中使用新的掃描功能，開發者則需要更新.gitlab-ci.yml檔案，官方預告，因為.NET 3.0的生命周期已經結束，GitLab 15.0將會棄用和刪除SAST對.NET 3.0和之前版本的支援，並且預設啟用新版本的安全程式碼掃描。</p> <p>另外，GitLab現在隨附GitLab Agent，這是一個活動列表能夠紀錄即時事件，官方提到，這個版本開始實作紀錄連結和權杖狀態，在未來的版本還會加入更多事件追蹤，並且計畫提供一個類似的解決方案，來追蹤CI/CD通道事件。</p> </div></div></div>
2021/12/27 15:22作者李建興https://www.ithome.com.tw/news/148593
衛福部推可與歐盟介接的數位新冠病毒健康證明，明早開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在COVID-19新冠病毒疫情影響之下，為使國人能夠順利進出歐盟地區國家，衛福部今天（12/27）發表了數位新冠病毒健康證明，將在明天上午8點開放下載。</p> <p>民眾可以在明天上午8點，進入dvc.mohw.gov.tw，點進數位新冠病毒健康證明頁面，先確認本國人士或外國人士，可以身分證、護照號碼、健保卡號碼，自然人憑證或是FIDO通過身分驗證，再勾選想要申請的數位證明種類，目前衛福部網站提供兩種數位證明，一種是疫苗接種數位證明，另一個則是檢測結果數位證明，再輸入個人的出生年月日驗證後，最後提交申請，就能取得數位證明，民眾可以下載或列印數位證明，或在申請時填寫個人的電子郵件信箱，系統會將數位證明寄至該信箱。</p> <p><strong>民眾明天可前往衛福部官網，或是掃描下方QR Code進入數位證明的簽發平臺：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-2%20(1)-100.jpg" style="width: 600px; height: 450px;" /></p> <p> </p> <p><strong>進入平臺後，可選擇申請兩種數位證明，包括疫苗接種情形的疫苗接種數位證明，以及需有72小時內檢測結果的檢測結果數位證明：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-2%20(2)-100.jpg" style="width: 600px; height: 450px;" /></p> <p>中央疫情指揮中心資訊組副組長龐一鳴表示，我國數位新冠病毒健康證明有幾個特色，除了國家的識別，還有QR Code及個人的護照等明細資料，為了和歐盟介接，該數位健康證明符合歐盟的規定，包括資料格式的標準一致，需符合歐盟GDPR個資保護的三項原則：資料最小揭露、資料可攜、可被遺忘。</p> <p><strong>我國數位新冠病毒健康證明符合歐盟數位證明要求，且符合GDPR規範：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-2%20(3)-100.jpg" style="width: 600px; height: 450px;" /></p> <p>其中資料最小揭露指的是，儘量減少揭露資料，配合歐洲部分國家沒有身分證號碼，因此我國的數位新冠病毒健康證明沒有揭露身分證號碼，但有護照號碼、生日，以及數位證明識別碼。</p> <p>龐一鳴指出，每個國家使用數位簽章彼此確認，每個國家的數位簽章要互相驗證承認的，數位健康證明的主要驗證是透過QR Code完成，可支援離線驗證，即符合歐盟GDPR要求可被遺忘的原則。因此我國的數位健康證明能夠達到歐盟GDPR要求的資料最小揭露、資料可攜、可被遺忘三項原則。</p> <p>明天開放下載之後，民眾可以下載數位新冠病毒健康證明至個人的手機或是平板電腦，或是列印出紙本的健康證明，不論是紙本或是下載到手機、平板電腦的健康證明，只要出示健康證明上的QR Code供入境國家檢查人員掃描，就能完成驗證程序。</p> <p>值得注意的是，依照每個驗證的國家不同，驗證結果顯示的資訊略有差異，基本上都會顯示被驗證者的姓名（依國別不同，可能顯示被驗證者的本國語言姓名或是英文姓名），以及是否通過驗證，有的國家額外顯示生日、或最新一劑疫苗施打的效期。通過驗證者會顯示綠色打勾符號，若施打疫苗的劑量不符規定，則顯示無法驗證QR Code或是疫苗施打劑量不足。</p> <p>龐一鳴現場以英國、瑞士、義大利等國家發表的驗證App，掃描我國數位新冠病毒健康證明的QR Code，可在離線狀態下進行驗證，他指出，這代表不會連線到某個資料庫傳送資料，當下僅驗證是否合格，以符合GDPR被遺忘的權利，政府也無從知道民眾前往的國家、出入哪些場所。</p> </div></div></div>
2021/12/27 16:00作者蘇文彬https://www.ithome.com.tw/news/148596
【資安管理挑戰】別讓非資訊類採購成破口，需從潛藏需求及風險考量並納入契約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資通安全管理法的要求，對於公務機關的公立醫院，以及納入關鍵CI的私立醫院而言，管理落實與法規遵循都是不可迴避的挑戰。對此，去年8月，衛生福利部發布「基層醫療院所資安防護參考指引」，提供非資通安全管理法規範對象的私立醫院，以及基層診所參考。儘管這些機構可能只有專屬資訊人員，沒有專屬資安人力，也都能藉由這份指引做到自我檢核。</p> <p>對於資安法納管的醫療院所而言，強化資安管理已是當務之急，不只從組織改造做起，設立資安長與資安管理委員會，建立資安組織架構，或是透過醫院聯防體系帶來幫助，對於組織本身而言，自身的資安管理與落實該如何進行，更是許多醫院都關注的焦點。</p> <p>特別是在現行資訊及資通系統的盤點下，醫院需注重的資安範圍，已經不只是IT，還包括印表機、監視器與門禁等，以及OT的安全，也就是醫療儀器。</p> <p>因此，原本對於資訊類採購的資安要求，在資安管理範圍日漸擴大的態勢之下，各式不同類但與資訊應用相關的採購案，其實也都需要納入資安要求。</p> <p><span style="font-size:28px;"><strong>管理非典型資訊契約需在採購階段介入，才能深化資安管理</strong></span></p> <p>該如何管理這些非典型資訊契約？曾擔任臺北市聯合醫院資安長，現為基督門諾醫院行政副院長許世欣提出說明。</p> <p>早期資訊單位所談的資訊系統，並不涉及儀器設備，也不涉及工控設備，隨著2018年資安法的實施，現在不只是儀器設備納入管理，甚至還有水、電與氣體的供應面。這也意味著，過往醫院資安不管理的範圍，現在都成了需保護的範圍。</p> <p>因此，如何管理所有資訊契約很重要，而這會與醫院的採購流程息息相關，從採購角度出發，他也提出特別說明，呼籲資安長或資安管理者，其實也要了解採購，並介入採購。</p> <p>基本上，從醫院的採購類別，以及採購模式，可看出許多需注意的部分。例如，依據政府採購法第7條，醫院採購類別分為工程、財產與勞務類，各類別中均有一部分與資通安全有關，包括：工程類的建築、環境、交通、機械與電氣；財產類的設備；以及勞務類的資訊服務、營運管理與維修。</p> <p>許世欣指出，基本上，只要使用網路就會與資通安全有關，其中特別要注意的是，例如，勞務面採購往往不會經過資訊與資安，是管理上需留心的地方。</p> <p>若以醫院採購模式來看，資產類別可分為6種，包括：資產購入、租賃使用、營運拆帳、寄存寄銷、材帶設備與場域實驗。但是，在不同採購形式之下，會面對那些問題？他舉例，對於租賃使用的儀器或資訊設備，資訊人員往往認為這是廠商的資產，但從醫院角度來看，該設備需要受醫院管理，只是又會面對廠商給不給管的問題。還有像是材帶設備，也就是買試劑送設備，以及近幾年很多促進產業發展而進行的場域實驗計畫，同樣面對資產管理權責畫分挑戰。</p> <p>更進一步來看，基本上，一般資訊設備採購與租賃的流程，過往已有詳細規範，因此資安人員與採購人員都很清楚，但從上述採購模式來看，很多時候，採購人員並不知道要通知資安人員，這就產生資安管理上的盲點，包括醫療儀器的採購租賃，以及試劑採購、勞務採購、場域實驗等，這就是風險。</p> <p>但無論如何，資安必須介入採購，才能避免一些醫院採購案，發生不受資安所掌控的狀況。許世欣以聯醫經驗為例，在醫療儀器納入資通與資安管理後，經過數次溝通與磨合，醫院採購與總務人員就會了解：當採購這類儀器設備時，必須通知資安管理單位，這時，也會將資安要求事項列於採購合約。</p> <p><span style="font-size:28px;"><strong>幫助醫院人員做到資訊契約識別，進一步做到有效落實</strong></span></p> <p>對於非典型資訊契約的管理，除資安要介入，採購要配合，法務也要支持。長庚醫院行政中心法律事務室專員蔡學莊從不同採購角度切入。</p> <p>他表示，一般醫院資訊單位的典型資通契約，包含醫療資訊系統（HIS）、醫療影像儲存系統（PACS）、醫療檢驗系統（LIS）的建置／維運與伺服器，還有網站、App、網路連線、通訊設備、套裝軟體租借或採購等。基本上，這些可從合約名稱或是其功能，了解到明確涉及網路與資通訊，因此這樣的合約，在採購管理過程中，不容易忘記資訊契約應約定的資安要求。</p> <p>但過去曾發生例外狀況。某醫材商出借檢查儀器給醫院使用，當中有廠商開發的系統，使用期間發生系統中毒造成資安事件，究其原因，是院方未能有效識別儀器租賃關係涉及資通系統所致。</p> <p>因此，在這方面的資安管理上，蔡學莊指出兩大重點：首先需建立資訊合約的識別標準，其次是做好風險分級。</p> <p>該如何做？他提供具體方式，例如，要建立資訊契約的識別標準，可從現有契約去盤點，這有助於我們認識那些平常不會注意到的非典型資訊契約。</p> <p>同時，不要忘記履約過程中的相關資訊行為！因為，這是相當容易疏漏的部分。例如，在履約過程中，院方是否需要提供資訊給廠商或廠商人員處理，或是廠商人員是否需操作醫院電腦，在醫院系統上安裝任何軟硬韌體等。</p> <p>另一方面，廠商與院方彼此可能存在風險程度認知的落差，例如，廠商可能覺得風險沒有那麼高，但院方認為有高風險，此時，可參考資通安全事件通報應變辦法規定，先做好風險分級標準，例如，高風險就是可能影響核心資通系統等，讓合約訂定時能依循。</p> <p>特別的是，他強調，只要不是逐案檢視，就會有疏漏的問題，而且不能期待人員有足夠經驗，去識別出契約是否涉及資通系統。因此，在實務上，他建議可以設計一個表格，幫助資安契約盤點及風險評估。</p> <p>在這樣的盤點評估表格工具中，可列出識別資通服務系統的6個特徵，讓業務需求單位以勾選方式評估，接下來，再讓實際參與契約履行的單位，勾選風險評估表格，並讓資安專責部門複審確認，再請業務需求部門通知廠商，簽署適用版本的資安承諾書。</p> <p>這是因為，各種契約內容架構的差異大，要在每份合約找到相應位置增訂並不易，因此，另行制定資安承諾書，可避免個別契約增修內容不完整的情形。而且，資安承諾書其實無法一體適用，最好是依據資安風險，制定不同版本，像是低風險的類型，可以針對人員設計保密條款，但對於中高風險類型，法務也可與院內專業人員討論，再將具體要求納入承諾書當中。</p> <p>最後，有關承諾書與合約條款方面的資訊，其實可參考行政院工程會的資訊服務採購契約範本，並找到與資通安全法第9條相關的內容。</p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>識別資訊契約的6大檢核項目</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1057-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E9%9D%9E%E5%85%B8%E5%9E%8B%E5%A5%91%E7%B4%84-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為幫助醫療採購時不會忽略非典型資訊契約，建立資訊契約的識別工具，讓醫院業務需求單位能先行評估，及早通知資安專責部門複審，以下為6大檢核範例，可依實際需求增減內容。</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 確認項目1 </span></span> 契約目的為委託/受託開發、建置、維運、維修或保養資通系統 </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 確認項目2 </span></span> 契約目的為接受/提供資通服務 </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 確認項目3 </span></span> 履約過程中，需提供本院資訊由廠商/廠商人員處理、儲存、傳輸或刪除 </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 確認項目4 </span></span> 履約過程中，廠商/廠商人員可取得本院任何非對外開放之資通系統閱覽或存取權限</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 確認項目5 </span></span> 履約過程中，廠商人員可使用、操作本院電腦或任何資通系統 </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 確認項目6 </span></span> 履約過程中，需於本院資通系統安裝或設置任何軟硬韌體 </strong> </p> <p><span style="color:#696969;">資料來源：長庚醫院，iThome整理，2021年12月</span></p> <p><span style="color:#696969;"><a href="https://s4.itho.me/sites/default/files/images/（圖x）資訊服務採購契約範本1100409.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96x%EF%BC%89%E8%B3%87%E8%A8%8A%E6%9C%8D%E5%8B%99%E6%8E%A1%E8%B3%BC%E5%A5%91%E7%B4%84%E7%AF%84%E6%9C%AC1100409.gif" style="width: 600px;" /></a></span></p> <p><span style="color:#696969;">圖片來源：長庚醫院</span></p> </div></div></div>
2021/12/27 15:10作者羅正漢https://www.ithome.com.tw/news/148549
Ruby 3.1.0加入程序內JIT編譯器YJIT，有效加速Rails應用程式效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby在聖誕節當天，發布了最新的<a href="https://www.ruby-lang.org/en/news/2021/12/25/ruby-3-1-0-released/">Ruby 3.1.0</a>，這個版本加入新的實驗性程序內JIT編譯器YJIT，能進一步提升許多真實使用案例的效能，在測試工具railsbench和樣板語言liquid-render上的執行速度都非常亮眼，另外，Ruby 3.1.0還加入新的除錯器來提升除錯效能。</p> <p>Ruby 3.1.0所加入的這個YJIT，是由Shopify開發的程序內編譯器。在2018年的時候，Ruby 2.6加入了MJIT（Method-based JIT），來提升程式效能，而在去年聖誕節，Ruby開發團隊也趕在聖誕節，希望給社群一個聖誕節禮物，宣布實現Ruby3x3，Ruby3x3是由Ruby主要設計人松本行弘（Yukihiro Matsumoto，Matz），對開發團隊設下的目標，希望Ruby 3的速度可以是Ruby 2的3倍。</p> <p>開發團隊以Ruby 2.0、Ruby 3.0以及Ruby 3.0 JIT來測試Optcarrot基準測試，而結果也顯示Ruby 3.0 JIT的單執行緒效能是Ruby 2.0的3倍，但開發人員通常不會在生產環境中啟用MJIT，官方也提到，儘管Optcarrot基準測試表現讓人印象深刻，但終究並沒有讓現實世界的業務受益。</p> <p>而最近Shopify貢獻了許多Ruby的更新，來改善他們自家的Rails應用程式，而YJIT便是其中一個重要的貢獻，目的是要提高Rails應用程式的效能。 MJIT的問題在於，應用程式存在大量方法時，使用JIT反而會使執行速度變慢，JIT僅可以提升遊戲、人工智慧或是呼叫少量方法的工作負載效能。原因是，MJIT並沒有針對Rails等，需要大量呼叫方法的工作負載進行最佳化，反而會加重這類工作指令快取（i-cache）丟失的問題，而官方也一直未能解決這個問題。</p> <p>不同於MJIT是個基於方法的JIT編譯器，並且使用外部C編譯器，YJIT使用基本區塊控制（Basic Block Versioning），並將JIT編譯器包含在其中。由Shopify成員發表，在2021年10月19日所公開的<a href="https://dl.acm.org/doi/10.1145/3486606.3486781">論文</a>，詳細介紹了YJIT這個新方法，這是一個以LBBV（Lazy Basic Block Versioning）架構為基礎，在CRuby內部建構新的JIT編譯器的方法，論文提到，雖然這個編譯器比不上TruffleRuby的高峰效能，但是提供與現有Ruby程式碼接近100％的相容性，而且具有超高速預熱特性，在實際軟體的大型基準測試，提供15％到19％的加速。</p> <p>獨立重新實作Ruby語言，像是JRuby和TruffleRuby，雖然能夠大幅提升效能，但是在支援語言新功能上，往往落後CRuby，因此限制這些語言的實際應用。YJIT則是一個更通用的Ruby效能解決方案，在相容大部分現有Ruby程式碼的前提，大幅提升程式碼效能。</p> <p>在實際的軟體中，YJIT實現了快速預熱和效能改進的目標，在railsbench速度提升達22％，而liquid-render則有39％。不過目前YJIT仍是一項實驗性功能，在預設情況下停用，開發者可以在類Unix x86-64平臺上手動開啟。</p> <p>除了YJIT，Ruby 3.1.0另一項值得關注的更新，是捆綁了一個完全重寫的除錯器debug.gem，這個新的除錯器大幅改善除錯效能，現在即便使用除錯器，也不會減慢應用程式的速度，同時支援遠端除錯，支援VS Code和Chrome瀏覽器等更多除錯前端，並且加入多程序和多執行緒除錯等功能。</p> <p>Ruby過去綑綁了lib/debug.rb除錯器，但是並沒有得到妥善的維護，在效能和功能上都存在一些問題，而現在debug.gem則完全取代lib/debug.rb。</p> <p>IRB（Interactive Ruby）互動式命令列工具，現在新增自動完成功能，開發者只需要在其中輸入程式碼，便會出現完成候選對話框，而且當開發者安裝了相關文件，在選擇候選選項時，對話框旁還會出現文件對話框，顯示部分內容。</p> </div></div></div>
2021/12/27 15:18作者李建興https://www.ithome.com.tw/news/148589
2022醫療科技的機會與挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>肆虐全球已超過兩年的COVID-19，讓世人都意識到現行醫療體系的脆弱，也理解到醫療科技的重要性與意義，因此，許多IT廠商比過往開始更積極投入這個領域的經營，而不只是將其當成其中一種產業應用的發展與推廣。</p> <p>舉例來說，GPU大廠Nvidia從2018年推出名為Clara的計畫，之後就以此為名，一路拓展醫療相關的各種軟硬體AI應用。</p> <p>舉凡專屬的訓練、部署、醫療影像處理、聯合學習、病患照護（影像與語音AI）、藥物開發等軟體開發套件，以至專用的單板電腦，協助打造新一代醫療儀器，它們都有對應的解決方案，甚至也跟伺服器虛擬化軟體廠商VMware合作，推出AI-Ready Enterprise Platform for Healthcare的整合套件。因此，經過這些年來的發展，Nvidia Clara已成為醫療AI的重要平臺品牌。</p> <p>近期，我們也看到CPU大廠英特爾展現推動這類應用的企圖心。他們目前所設定的範圍，涵蓋醫療照護與生命科學領域，並且將現行基於英特爾運算平臺的這些解決方案，區分為多種應用類型，包含：醫療照護AI、醫療影像、邊緣分析、實驗室自動化與生命科學、遠距醫療、精準醫療、醫療預測性分析、醫療照護機器人。</p> <p>針對COVID-19的因應，他們在去年4月宣布將投入5千萬美元，成立疫情因應科技計畫（Pandemic Response Technology Initiative，PRTI），經過一年來的努力，他們表示，總共與超過170個組織展開合作，推動了230個專案，強化健康照護、教育、經濟復甦等層面的應用，同時推動創新解決方案的發展，期盼透過投資技術來減低未來面臨的危機。</p> <p>而在12月初舉行的台灣醫療科技展，英特爾與國家生技醫療產業策進會簽署合作意向書，希望能藉此促進臺灣智慧醫療發展，協助臺灣與國際廠商之間的接軌合作，加速相關解決方案的育成，也能替醫療保健服務提供者建立創新管道，當中聚焦於三大主題：智慧聯網醫院、AI醫療、生命科學，會分別對應虛擬化與雲端化IT基礎架構，OpenVINO框架、聯合學習與SGX機密運算，以及Intel Select解決方案的HPC框架。</p> <p>這些合作儼然會帶來蓬勃的商機、更多廠商的投入，能夠提供高效率、高品質的醫療照護服務。不過，這個美好的遠景之下，也潛藏著巨大的威脅，那就是資訊安全。</p> <p>這樣的問題，早在COVID-19疫情全球大爆發之前，其實就很嚴重。在2019年2月，微軟公布委託Frost & Sullivan研究機構的相關分析結果，當中揭露亞太地區醫療照護機構面臨的資安挑戰。</p> <p>以大型醫療照護機構而言，因網路攻擊事故而導致的經濟損失，平均為2千3百30萬美元（直接損失為1千零50萬美元，間接損失為1千2百80萬美元）；若是中型機構，經濟損失平均為1.7萬美元。不過，這些機構須面對的最大衝擊，則是客戶流失。若回顧先前一年的狀況，他們也發現，有多達60％的網路攻擊是針對醫療照護機構，而這些也將導致不同功能的工作職位流失。</p> <p>在所有資安威脅類型當中，勒索軟體所帶來的損失，也相當可觀。根據資安廠商Sophos發布的醫療照護領域勒索軟體報告，以全球而言，平均支付的贖金超過17萬美元，若是單就醫療照護領域而言，平均支付贖金超過13萬美元。</p> <p>在11月初，世界經濟論壇也對此提出預警。根據他們的統計，過去這一年來，超過1千萬筆記錄遭到竊取，涵蓋各種類型的資料，像是社會安全碼、患者醫療記錄、財務資料、HIV檢測結果，以及醫療捐贈的私人細部資訊。平均而言，他們表示，這領域每發生一次資料外洩事故，平均會外流15.5萬筆記錄，在某些事故當中，甚至可能外流超過3百萬筆記錄，因此，全球醫療機構都必須正視這樣的挑戰，設法將傷害降至最低。</p> <p><a href="https://www.ithome.com.tw/article/148574" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> </strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/148574" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1057-feng_mian_-1-open-960x420_kao_bei_.jpg?itok=Of64-DGi" style="width: 570px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%86%AB%E7%99%82%E7%85%A7%E8%AD%B7">醫療照護</a></div><div class="field-item odd"><a href="/tags/%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82">智慧醫療</a></div><div class="field-item even"><a href="/tags/covid-19">COVID-19</a></div><div class="field-item odd"><a href="/tags/%E9%86%AB%E7%99%82%E7%A7%91%E6%8A%80">醫療科技</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A">網路攻擊</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E6%8C%91%E6%88%B0">資安挑戰</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div></div></div>
2021/12/27 09:59作者李宗翰https://www.ithome.com.tw/voice/148575
Nvidia、HPE、IBM公布受Log4j漏洞影響的產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j漏洞雖然已有修補程式公布，但仍餘波蕩漾。Nvidia、HPE、IBM等軟硬體大廠紛紛陸續公布受影響的產品清單，而已被開採漏洞的VMware則公布緩解方法。</p> <p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank">Nvidia公布受3個漏洞影響的產品</a>，包括程式設計模型CUDA 、遙測代理程式NetQ及人工智慧系統DGX Systems。遠端程式碼執行（RCE）漏洞CVE-2021-44228（即Log4Shell）及CVE-2021-45046影響CUDA Toolkit Visual Profiler及Nsight Eclipse Plugin Edition，以及vGPU Software License Server軟體。</p> <p class="rtecenter"><a href="http://nvidia.custhelp.com/app/answers/detail/a_id/5294" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-log4j-nvidia.jpg" style="width: 600px;" /></a></p> <p>Nvidia指出，Log4j包含在CUDA Visual Profiler產品中，但並未使用，因此對使用者Log4j的檔案並沒有任何風險，新版只是將之移除而已，新版預計2022年1月釋出。Nsight Eclipse Plugin Edition已釋出最新的11.0版。vGPU Software License Server部份，僅2021年7月版本及2020年5月Update 1（2020.05 Update 1）版本受影響。改安裝其他版本（2020.05 Update 1以前版本）即可緩解。</p> <p>NetQ 4.0.x版本以前受包括CVE-2021-44228、CVE-2021-45046及CVE-2021-45015（DoS漏洞）3個漏洞影響。Nvidia已修補NetQ PaaS服務，本地部署的用戶則需升級到NetQ 4.1.0版本。</p> <p>Nvidia釋出DGX系統，包括DGX-1、DGX-2、DGX A100、DGX Station、DGX Station A100作業系統OS4、OS5新版本，但解釋這些產品本身並不包含Log4j Java函式庫，不過為免使用者安裝了有漏洞的函式庫，因而釋出新版作業系統免除CVE-2021-44228、CVE-2021-45046及CVE-2021-45015風險。</p> <p>兩大伺服器廠商HPE和IBM也都分別公布受影響產品清單。<a href="https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04215en_us" target="_blank">HPE修補產品涵括約60多項產品</a>，包括電信產品、超融合Hyper Converged、3PAR、Ezmeral及超級電腦Cray System軟體。</p> <p class="rtecenter"><a href="http://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=hpesbgn04215en_us" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-log4j-HPE.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/#Remediated-Products" target="_blank">IBM也於上周公布受影響且修補好的產品清單</a>，包括IBM-as-a Service（IBM代管的服務）、Cloud Pak系列、Cognos、DB2、Websphere、Tivoli、Sterling、SPSS等100多項軟體。這清單尚不包括Z系列及LinuxOne軟體資訊。</p> <p class="rtecenter"><a href="http://www.ibm.com/blogs/psirt/an-update-on-the-apache-log4j-cve-2021-44228-vulnerability/#Remediated-Products" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-log4j-IBM.jpg" style="width: 600px;" /></a></p> <p>此外， <a href="https://www.ithome.com.tw/news/148463" target="_blank">VMware遭到駭客開採產品漏洞散布Conti勒索程式</a>，更新版釋出時程未定，<a href="https://kb.vmware.com/s/article/87081" target="_blank">上周VMWare在聖誕前前夕公布緩解措施</a>。受CVE-2021-44228 及 CVE-2021-45046影響的軟體包括 vCenter Server 7.0.x、6.7.x 及 6.5.x版，因此VMware呼籲用戶升級到安全版本，並且使用「vc_log4j_mitigator.py」Python script來關閉JDNI查詢。</p> <p class="rtecenter"><a href="http://kb.vmware.com/s/article/87081" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1227-log4j-VMware.jpg" style="width: 600px;" /></a></p> <p>最新緩解方式適用於vCenter Server 和 vCenter Cloud Gateway兩項產品。</p> <p><a href="https://www.ithome.com.tw/news/148508" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/22相關報導 </span></span> </strong></span><span style="color: rgb(51, 153, 255);"><span style="font-size: 20px;"><strong>1.7萬個Maven Java套件受Log4j漏洞影響</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148482" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 12/21相關報導 </span></span> </strong></span><span style="color: rgb(51, 153, 255);"><span style="font-size: 20px;"><strong>WebSocket成Log4j漏洞攻擊新管道，連不對外網路主機也曝險</strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/news/148337" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> Log4j相關修補時間軸 </span></span> </strong><span style="color: rgb(51, 153, 255);"><strong>Apache Log4j日誌框架系統重大漏洞</strong></span></span></a></p> </div></div></div>
2021/12/27 08:56作者林妍溱https://www.ithome.com.tw/news/148586
未及時向中國政府通報Log4j漏洞，阿里雲稱未意識漏洞嚴重性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿里雲發現Apache Log4j重大漏洞後未能第一時間通報中國政府<a href="https://www.ithome.com.tw/news/148540" target="_blank">，上周遭到中國工信部暫停合作6個月處分</a>。阿里雲上周指事出於未意識漏洞嚴重性而錯誤判斷，未來將改善。</p> <p><a href="https://news.sina.com.tw/article/20211223/40881518.html" target="_blank">中國媒體報導</a>，阿里雲於上周四（12/23）透過官方微信公眾號發布關於Log4j漏洞通報概況。<a href="https://www.ithome.com/0/594/373.htm" target="_blank">阿里雲指出</a>，其安全實驗室一名研發工程師發現Log4j (2)組件的一個安全瑕疵，於是按業界慣例以郵件方式向原開發組織Apache開源社群通報以請求協助，經後者確認是一個安全漏洞，並向全球發布修補程式。而後該漏洞被外界證實是全球性的重大漏洞。</p> <p>阿里雲並未提及任何和工信部停止它參與網路安全威脅、和漏洞信息共享平臺的資格被中止6個月一事，僅解釋是按資安業界通例，先通報Apache軟體基金會。</p> <p>阿里雲表示，他們在早期未意識到Log4j漏洞（CVE-2021-44228）的嚴重性，以致未及時共享漏洞訊息，未來該公司會強化漏洞管理，提升合規（compliance）意識，積極協同各方做好網路安全風險防範工作。</p> <p>中國工信部的處分導致的損失尚難確定，但失去官方信任可能影響阿里雲的業務前景。阿里雲同時也是中國工信部推動「互聯網＋先進製造業」的跨行業跨領域工業互聯網平臺的合作清單廠商。</p> <p>阿里巴巴今年4月遭中國市場監管局重罰183億人民幣（約臺幣800億元），以處罰它強迫平臺店家不得在其他電商平臺開店及促銷的壟斷行為。阿里巴巴之後公開表達感激政府。</p> </div></div></div>
2021/12/27 09:04作者林妍溱https://www.ithome.com.tw/news/148587
預算卡關，美司法部推遲控告蘋果、Google作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politico.com/news/2021/12/23/apple-google-doj-delay-526072" target="_blank">美國媒體Politico報導</a>，由於拜登政府新年政府總預算案上周在國會卡關，致使美國司法部欠缺預算，控告蘋果及Google的壟斷官司被迫推遲到2022年初。</p> <p>報導引述消息人士指出，由於同為民主黨的參議員Joe Manchin上周對拜登政府提出的《重建美好未來法案》（Build Back Better Act）投下反對票，使1.75兆美元預算無法過關，也讓司法部進行中的官司難以為繼，包括控告蘋果App Store及Google網路廣告及搜尋業務的壟斷官司。</p> <p><a href="https://www.ithome.com.tw/news/132010" target="_blank">2020年10月司法部</a>連同佛州、德州等11州控告Google搜尋以不當手段，維持其在搜尋、搜尋廣告業務上的壟斷地位，排擠競爭者。今年司法部同步蒐集遊戲開發大廠Epic控告蘋果App Store諸多壟斷規定，包括必須內建蘋果自有程式內購買（in-app purchase）以抽取30%佣金，及不允許開發商透過郵件或其他平臺聯繫用戶等。</p> <p>消息人士指出，司法部原本計畫今年12月31日完成對兩家大廠的調查，但受到預算卡關影響，現在司法部被迫將工作推遲到2022年3月以後，司法部也將再討論何時提出控告，以及是否由現任助理司法部長Jonathan Kanter主審本案，因其曾在訴訟案中為Google對手擔任律師，<a href="https://www.nytimes.com/2021/11/19/technology/jonathan-kanter-google.html" target="_blank">Google質疑</a>有判斷不公之嫌。</p> <p>拜登新法案預定將撥5億美元作為司法部反托拉斯官司的預算。當然國會明年1月會有專門的司法部預算案1600萬美元，但是司法部手上還有其他案件也會占用這筆預算，包括<a href="https://www.ithome.com.tw/news/132010" target="_blank">2019年啟動的Google搜尋及廣告業務壟斷案</a>、及其他產業的反托拉斯案。</p> </div></div></div>
2021/12/27 09:11作者林妍溱https://www.ithome.com.tw/news/148588
【資安實例分享：臺中榮總】中榮院級IT危機應變作法大公開，更靠3招心法鞏固資安體質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可用性是醫療資安的第一原則，臺中榮總一方面打造了一套院級的資訊危機緊急應變組織，來提供1小時甚至是半小時的緊急應變速度，更自行開發了一套單機版門診軟體，就算後端伺服器當機、網路中斷，只要有一臺PC和印表機，就能讓醫生繼續看診，甚至能離線查詢過去半年的病歷資料和檢驗報告，來實現病患看診不中斷。</p> <p>中榮如何打造出這套應變措施？第一步先從訂定組織做起。臺中榮總資訊室主任賴來勳指出，臺中榮總按照醫療事件指揮系統（HICS）架構，設立一個全院等級的資訊危機緊急應變組織，專門因應資安事件。院長擔任指揮官，負責授權啟動應變，副指揮官則由副院長兼任，來協助院內外訊息發布。</p> <p>資訊室主任則領導主要執行單位，負責統合緊急事件資訊，來建立執行計畫。執行單位下有6個小組，如醫療照護組、持續運作組、待命區組、設施運作組、安全管制和病人家屬關懷組，分別由護理部、醫企室、資訊室應用組、資訊室系統組、駐警隊和社工室來負責。</p> <p>不光有執行單位，緊急應變組織還有一個由總務、社工室組成的行政部，來調度人力資源，支援執行單位。</p> <p><span style="font-size:28px;"><strong>服務中斷0.5至1小時就啟動應變</strong></span></p> <p>有了組織架構，他們也根據不同層級和事件影響範圍，劃分相對應的緊急應變程序，比如，門急住系統、電子病歷系統、影像系統和網路系統等影響全院層級的系統，有各自的應變程序。而其他一級單位，像是放射部、檢驗部等，也有對應的作業程序。</p> <p>這些程序該在何時啟動呢？</p> <p>臺中榮總的原則很簡單，依臨床單位可容許的作業中斷時間，來決定啟動時機。賴來勳舉例，以使用量最龐大的門診系統來說，當服務中斷30分鐘且短時間內無法修復時，就會由資訊室主任或授權人員通報院部長官，來啟動緊急應變程序。不只如此，他們還會同步進行資安通報，來知會主管機關衛福部。</p> <p>至於院內急診系統和住院系統，則是服務中斷1小時、無法在短時間內修復時，才會啟動應變程序。事件發生後，臺中榮總也會執行作業檢討，除了撰寫事件處理檢討紀錄表，每年還會召開會議，來修訂各項緊急應變程序。</p> <p><strong><span style="font-size:28px;">服務中斷怎麼辦？中榮打造單機版門診程式</span></strong></p> <p>為了讓醫院最頻繁使用的門診系統，遇到危機時也能持續運作，臺中榮總IT打造一款單機版門診程式，來確保醫院各單位可持續醫療行為。這也點出，醫療資安以可用性為第一優先的特性。</p> <p>這款單機版軟體鎖定的使用情境是，假設在沒有伺服器主機、沒有網路、只剩一臺電腦和印表機時，醫生可持續醫療作業的狀態。</p> <p>目前，臺中榮總這套程式已經優化到第二版，可提供與正常系統完全相同的操作模式，而且，平時沒有啟動時，院內門診系統會每日產生一份最新資料的加密壓縮檔，涵蓋過去6個月以內的病歷資料和檢驗報告，讓醫生離線透過這單機套系統查詢，不必擔心資料不同步。</p> <p><span style="font-size:28px;"><strong>事前預防1：藉自動化分析掌握資安動態</strong></span></p> <p>不只靠單機程式因應資安事件，為防範未然，臺中榮總還利用3種方法，來鞏固資安體質。</p> <p>首先是建立資安事件自動化分析機制。賴來勳指出，這個機制可分為3步驟，第1是資料收集，IT團隊會先在醫院網路設備、主機和個人電腦上，裝設代理程式（Agent），對於無法裝設代理程式的設備，他們則透過無代理程式監控器（Agentless monitor）來收集資料。</p> <p>第2步是可視化管理，這時，IT團隊運用開源工具，將收集到的資料匯入工具平臺中，方便IT人員從視覺化儀表板上，來查看設備的狀態。賴來勳點出，他們更將過去需要人工檢查的作業，透過自製程式改為自動化處理，讓數據更即時同步到儀表板上。</p> <p>有了這些數據，IT團隊就能進行第3步，也就是自動化分析。他們導入資安監控SOC服務，以及資安事件管理平臺（SIEM），來分析這些數據，希望能自動阻斷潛在威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%84%80%E8%A1%A8%E6%9D%BF-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E8%8B%A5%E6%A8%B8(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／賴來勳</span><br /><strong>臺中榮總利用開源平臺打造可視化儀表板，將院內關鍵設備的數據即時呈現，方便進行下一步的SOC和SIEM平臺自動化分析。</strong></span></p> <p><span style="font-size:28px;"><strong>事前預防2：整合外部威脅情資</strong></span></p> <p>臺中榮總鞏固資安體質的另一個方法，則是整合外部情資。這個方法一樣有3個步驟，首先是收集情資，比如整理衛福部資安資訊分享與分析中心（H-ISAC）公告的勒索軟體相關情資、行政院發布的國家資通安全會報、學術網路資訊和資安廠商提供的情資等。</p> <p>擁有各方情資後，第2步要做的是消化情資，釐清情資是否符合醫院需求，比如醫院是否具備情資提及的設備等。</p> <p>接著，第3步就是運用研判過的情資，來進行設備修補或更新、調整程式碼（如更新軟體、韌體等），這些工作會由資訊室透過排程來處理。此外，資訊室也攬起人員宣導與教育訓練的責任，在院內討論區定期公告情資，並宣導惡意網站訊息，來提高人員資安意識。</p> <p>「經年累月下來，同仁們的資安意識是有成長的！」賴來勳指出，IT團隊原以為資訊公告不太會有人關注，但久而久之，會有同仁打電話詢問相關資訊，主動理解資安動態。</p> <p><span style="font-size:28px;"><strong>事前預防3：資安攻防演練</strong></span></p> <p>臺中榮總還有一個鞏固資安體質的方法，也就是資安攻防演練。「這個攻防分為兩部分，」賴來勳透露，首先是針對一般使用者的攻防演練，資訊室自建一套社交工程演練系統，每個月專門發送10種類型以上的釣魚電子郵件，給總院和分院人員，並透過系統，來記錄開啟郵件、點閱連結和開啟附件的狀況。</p> <p>他們每季彙整演練結果，比如單位的開啟率、點閱率等，以公文發送給各單位，並要求不合格的人員參加資安教育訓練。「一開始，我們的開啟率都過半！」賴來勳分享，醫院開始進行社交工程演練時，許多單位都會毫不猶豫開啟釣魚郵件，但經過幾次演練，「現在的開啟率非常低，不到2%。」</p> <p>另一方面，臺中榮總也設計不少針對IT的資安攻防演練。這部分由資訊室先研擬攻擊劇本，再選定環境，實際演練。演練時，團隊會針對不同系統風險，採取不同演練方式，比如針對採多機分流運作的正式系統，如通常開設10臺主機的網路預約掛號系統，直接攻擊其中一臺正式系統，因為「就算這一臺當機，也可以直接復原，不會影響醫療作業，」賴來勳說。</p> <p>另一類是無法承受演練當機風險的正式系統，臺中榮總會先複製一套系統，再於沙箱環境攻擊，之後再根據系統表現，來調整資安防護措施，防範未然。</p> <p><span style="font-size:28px;"><strong>資安最重要的是人員，醫院還得注重法遵證照</strong></span></p> <p>除了自動化分析、整合情資、攻防演練，賴來勳認為，一些基本措施如架設防火牆、防毒軟體，或是備份資料、頻繁更換密碼、限制網路存取、評估委外廠商等，甚至是制定復原計畫，也都能幫助醫院打好資安底子。但對他來說，做好資安的關鍵，還是文化養成。</p> <p>因為，「人員是最重要的資產，資安得靠眾人之力才能做好，」他解釋，IT人員雖能在重要關卡防守破口，但一般使用者若保持良好習慣，就能預防資安危機。因此，「一般使用者和IT人員都同等重要。」</p> <p>另一方面，賴來勳也強調人員與資安法遵的重要。他透露，臺中榮總與旗下兩家分院，至少都有ISO27001:2013 LA和資安職能證照，總院另外還有網路安全技術認證機構EC-Council認證，以及資安基礎認證CompTIA Security。「張數不能太少，」他點出，醫院得考慮人員流動，因此證照數量至少得多準備，才能符合法規要求。</p> <p>未來，臺中榮總資安將繼續朝可視化管理和自動化分析前進，來降低人力負荷、提高自動化處理程度。</p> </div></div></div>
2021/12/27 07:00作者王若樸https://www.ithome.com.tw/news/148542