iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年2月21日，WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站內容管理平臺WordPress的外掛程式出現影響重大的漏洞，最近幾個月受到矚目，而這次是出現在網站備份工具上。研究人員發現備份外掛程式UpdraftPlus的嚴重漏洞，可讓僅有低權限的用戶取得網站的備份資料，進而影響網站安全。值得留意的是，WordPress強制網站更新這項外掛程式，來修補這項漏洞，這樣的做法相當不尋常，也突顯WordPress對於此漏洞相當重視。</p> <p>過往駭客利用微軟Office 365服務的名義來發動網釣攻擊，企圖竊取收信人微軟帳號的情況，很可能是透過SharePoint或OneDrive檔案共享、Teams留言訊息來做為幌子，但最近也有駭宣稱以提供資料分析圖像化工具Power BI製作的業務報表，來進行網釣攻擊。而這樣的狀況，也突顯了可存取多種雲端服務的單一使用者帳號風險。</p> <p>而透過新興程式語言開發的惡意軟體，也相當值得留意。例如，以Go語言開發的殭屍網路病毒Kraken，攻擊者以此可做為植入其他惡意軟體的管道，資安業者發現，經由這樣的模式，駭客每月至少可進帳3千美元的不法所得。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><a href="https://cofensestaging.wpengine.com/blog/phishers-spoof-power-bi-to-visualize-your-credential-data?web_view=true"><span style="color: rgb(0, 0, 0);"><strong>駭客以資料分析圖像化工具Power BI為幌子發動網釣攻擊，意圖竊取微軟帳號</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerBI-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerBI-fig1.png" style="width: 300px; float: right;" /></a>微軟提供的資料分析圖像化工具Power BI，近期也成為駭客騙取微軟帳號的幌子。郵件安全業者Cofense發現捏造Power BI通知的釣魚郵件攻擊，郵件內容以每週銷售報表的名義，引誘收信人上當。</p> <p>一旦收信人點選檢視報表內容的連結，就會被出現假的微軟帳號登入網頁，若是依照指示輸入資料，不只帳密會遭到挾持，該網頁還會顯示身分驗證錯誤的訊息，研究人員指出，駭客這麼做的目的，在於降低收信人意識到帳密遭竊的警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerofox.com/blog/meet-kraken-a-new-golang-botnet-in-development/"><span style="color: rgb(0, 0, 0);">以Go語言開發的殭屍網路病毒Kraken，被用於散布竊密軟體RedLine</span></a></strong></h3> <p>透過較新的程式語言開發惡意軟體，很有可能因發展迅速，而在開發階段就開始為駭客賺入不法所得。例如，資安業者ZeroFox自2021年10月開始，追蹤名為Kraken的殭屍網路病毒，駭客使用Go程式語言進行開發，鎖定Windows電腦而來。該病毒具備執行第二階段酬載，或是觸發Shell命令的能力，並能對於受害電腦進行螢幕截圖的功能，甚至可竊取受害者的加密貨幣錢包。攻擊者疑似透過惡意軟體SmokeLocker來散布Kraken，再藉其於受害電腦上植入RedLine等惡意軟體。研究人員指出，雖然Kraken仍在開發階段，但該殭屍網路每月已為駭客竊得約3千美元。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/new-phishing-campaign-targets-monzo-online-banking-customers/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊鎖定英國數位銀行Monzo用戶而來</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/monzoemail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/monzoemail.png" style="width: 300px; float: right;" /></a>沒有實體門市的數位銀行，近年來日益風行，但同時也成為駭客下手的目標。資安研究員William Thomas於2月16日，揭露針對英國數位銀行Monzo用戶的網釣簡訊攻擊，一旦用戶點選連結，就會被帶往假的Monzo登入網頁，若是用戶依照指示輸入相關資料，駭客將會挾持對方的電子郵件信箱，並騙走Monzo的PIN碼、用戶姓名與電話號碼，有了這些資料，駭客就能透過另一隻手機接管受害者的Monzo戶頭。</p> <p>針對這起攻擊行動，Monzo也提出警告，他們不會使用手機應用程式以外的管道（如手機簡訊）來向用戶發送通知，假如使用者不慎上當，應該立即重設密碼，並在Monzo與電子郵件帳號上啟用雙因素驗證（2FA）機制。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.coindesk.com/business/2022/02/20/opensea-investigating-exploit-rumors-as-users-complain-of-missing-nfts/"><span style="color: rgb(0, 0, 0);">NFT市集OpenSea驚傳用戶資產遭竊，疑似網釣攻擊所致</span></a></strong></span></p> <p>非同質化代幣（NFT）的買賣當紅，交易平臺OpenSea卻傳出用戶NFT遭竊的情況。近期有多名用戶在推特反應，他們的OpenSea帳號疑似遭駭，導致其NFT被竊，很可能是OpenSea的數位合約存在漏洞所致。對此，OpenSea於2月20日宣稱，這些受害者疑似是遭到網路釣魚攻擊，而疑似簽署了駭客的數位合約所致，總共有32人受害，駭客轉賣竊得的NFT得手約170萬美元的以太幣，但攻擊者的身分仍然不明。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.ic3.gov/Media/Y2022/PSA220216"><span style="color: rgb(0, 0, 0);">誰說BEC只透過電子郵件散播？美國警告濫用線上會議平臺進行的攻擊增加</span></a></strong></span></p> <p>因疫情迫使許多人遠距辦公，並透過視訊或電話會議向他人進行溝通，但駭客也看上這樣的趨勢，用來發動商業郵件詐騙（BEC）攻擊。美國聯邦調查局（FBI）近日發布公告指出，自2019年至2021年，接獲BEC詐騙事件增加，其中，多數涉及透過線上會議來行騙，對此，他們呼籲企業與員工要提高警覺。</p> <p>這樣的詐騙方式是如何進行？例如，攻擊者藉由公司執行長（CEO）或財務長（CFO）的名義，在這種會議中指示員工進行匯款；或是駭客挾持員工的帳號，在會議進行過程來收集公司營運的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://jetpack.com/2022/02/17/severe-vulnerability-fixed-in-updraftplus-1-22-3/"><span style="color: rgb(0, 0, 0);">WordPress網站備份外掛UpdraftPlus出現任意下載漏洞，攻擊者恐用來竊取網站機密</span></a></strong></h3> <p>提供給管理者自動、定時備份WordPress網站檔案的外掛程式，出現可允許低權限用戶下載網站備份檔案的漏洞，有可能被攻擊者挖掘能用來挾持網站的資料。資安業者Jetpack揭露外掛程式UpdraftPlus的嚴重漏洞CVE-2022-0633，一旦攻擊者運用這項漏洞，將能透過訂閱網站資訊的用戶（Subscriber）權限，下載整個網站的備份檔案，進而從網站的資料庫裡，竊取特權帳號使用者名稱與加鹽密碼，藉此控制整個WordPress網站，CVSS風險層級為8.5分。</p> <p>UpdraftPlus獲報後推出1.22.3及2.22.3版予以修補，WordPress亦於2月16日實施自動更新的計畫，為所有安裝此外掛程式的網站進行更新。從WordPress罕見強制用戶更新的情況來看，這漏洞影響程度算是相當嚴重。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/21 16:58作者周峻佑https://www.ithome.com.tw/news/149471
中國強迫歐洲業者在境內提供更低的專利授權費，歐盟要求WTO出面調解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）上周<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_1103" target="_blank">向世界貿易組織（World Trade Organization，WTO）遞出訴狀</a>，抱怨中國政府禁止歐洲企業透過國外法院來保護它們的專利，要求WTO出面調解。</p> <p>此一爭議的來源為攸關3G、4G或5G等通訊技術的標準必要專利（Standard Essential Patent，SEP），這類的專利必須根據公開、公平、合理與非歧視（FRAND）原則進行授權，並由技術供應商與製造商達成價格協議，若無法達成共識，便可由法院裁決。</p> <p>然而，根據<a href="https://www.ft.com/content/d08f7480-5d19-497b-ac8b-bb68d780eae4" target="_blank">《金融時報》（Financial Times）的報導</a>，中國法院所裁決的專利授權價格，通常只有這些西方技術國家平常授權費的一半。</p> <p>於是，持有技術專利的業者轉而向國外法院提起訴訟，以要求這些未支付專利的製造商停止採用相關技術或銷售相關產品。不過，2020年8月，中國最高人民法院作出了一項決定，允許中國地方法院得以頒布反訴訟禁令，禁止業者向中國以外的法院提出強制的專利執行訴訟，違反該禁令的業者每日還會被處以13萬歐元的高額罰款。</p> <p>《金融時報》分析，中國的政策讓不管是Ericsson、Nokia或Sharp都無法透過國外法院捍衛它們的專利權，導致數十億歐元的損失，同時中國境內的Oppo、小米、ZTE或華為等手機製造商，卻能享受更低的專利費用，從而提高其產品的價格競爭力。</p> <p>這使得EC請求WTO介入，倘若無法在60天內達到令人滿意的解決方案，將進一步要求WTO成立專案小組來進行裁決。</p> </div></div></div>
2022/2/21 15:47作者陳曉莉https://www.ithome.com.tw/news/149469
瞄準Windows的新殭屍網路程式Kraken，除了竊取用戶PC資訊還偷走加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zerofox.com/blog/meet-kraken-a-new-golang-botnet-in-development/" target="_blank">安全廠商發現</a>一隻具有多種能力的新殭屍網路程式Kraken，不但會竊取Windows PC資訊、還會挖礦及執行惡意程式。</p> <p>這隻新發現的殭屍網路程式Kraken，<a href="https://www.recordedfuture.com/kraken-cryptor-ransomware/" target="_blank">和2018年發現同名的勒索軟體</a>是不同的兩隻。安全廠商ZeroFox指出，Kraken早期版本於2021年10月上傳到GitHub，屬於Golang專案，不過，究竟是該GitHub專案屬於惡意組織，或是駭客利用GitHub專案來撰寫Kraken則不得而知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-%20GitHub%20repository%20page%20for%20an%20early%20version%20of%20Kraken.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／ZeroFox Intelligence</span></p> <p>Kraken背後的目的為何不明，但研究人員指出，雖然它功能很簡單，但功能快速增進中，目前已具有滲透潛伏、蒐集主機資料、下載和執行惡意檔案、執行shell指令、取得網路擷圖、竊取加密貨幣錢包等多種功能。</p> <p>目前的Kraken版本是經由後門程式SmokeLoader下載RAR SFX檔到Windows PC，再解封包安裝。而利用SmokeLoader後門散布，使攻擊者每次轉換到新的C&C伺服器時，就能快速感染數百臺電腦。</p> <p class="rtecenter"><img alt="" src="https://www.zerofox.com/wp-content/uploads/2022/02/kraken2-1024x214.jpeg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／ZeroFox Intelligence</span></p> <p>安裝時Kraken會用兩個方法維持長駐在PC中。首先，它透過執行Powershell指令告訴Microsoft Defender防毒引擎跳過Kraken安裝的目錄，二是執行attrib隱藏指令，使其複製的.EXE檔無法經由檔案總管顯示。此外它還會加入新機碼以便每次用戶登入Windows PC都會執行一次。</p> <p>從去年10月到12月，Kraken行動主要是散布竊密工具，特別是RedLine Stealer以蒐集PC的資料回傳給外部C&C伺服器。<a href="https://www.ithome.com.tw/news/149295" target="_blank">上周HP安全研究人員才發現</a>，另一波攻擊透過偽裝Windows更新程式，誘使用戶安裝 RealLine竊密程式。而在這波攻擊中，Kraken蒐集的資料包括主機和用戶名稱、Windows 版本、CPU及GPU資訊等等，外部駭客還可下達擷圖指令以C&C接收資訊。</p> <p>ZeroFox也觀察到某些受害者電腦被Kraken安裝了其他竊密程式及挖礦軟體。目前它已經每月進帳3,000美元。</p> <p>研究人員建議用戶將防毒及入侵偵測軟體更新到最新版、啟動雙因素驗證以降低釣魚及帳號填充（credential stuffing）攻擊，並避免開啟來路不明的信件附檔或連結。</p> </div></div></div>
2022/2/21 14:22作者林妍溱https://www.ithome.com.tw/news/149468
微軟對Windows Server Azure Edition提供熱修補安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/itops-talk-blog/announcing-general-availability-of-hotpatch-for-windows-server/ba-p/3168095" target="_blank">微軟宣布</a>正式以熱修補（hotpatch）遞送Windows Server 2022 Azure版本的安全更新，強調不用重新啟動，安裝更新更方便而不擾亂公司作業。</p> <p>微軟解釋，熱修補是為支援的Windows Server Azure版VM安裝更新的新方法，和傳統更新相較，好處是安裝後不必重新啟動，大幅提升Windows Server上關鍵應用的運行時間。</p> <p>微軟解釋，熱修補更新套件是為Windows安全更新而設計，因此套件較小，安裝更快，不需重開機，將企業系統影響降到最小，且管理員利用Azure Update Manager更容易完成修補協作。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/348387i66A9ACC229A168C5/image-size/large?v=v2&px=999" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>這項新功能適用於Windows Server 2022 Datacenter: Azure Edition Core Gen2 映像檔（image）上的Azure VM，目前已推向全球Azure各區域。</p> <p><a href="https://docs.microsoft.com/en-us/azure/automanage/automanage-hotpatch#are-reboots-still-needed-for-a-vm-enrolled-in-hotpatch" target="_blank">微軟說明</a>，熱修補涵括的Windows安全更新，和正常Windows Update通道釋出的安全更新完全相同。其運作模式是先利用Windows Update最近一次累積更新建立基準線。Windows Update基準線不論是每月一次的預期更新，或是修補零時差漏洞的非預期更新，都需要重啟動。而熱修補則是依據預期更新為基準線定期釋出，例如當月第2個星期二。不過由於非預期更新是提供重大安全修補，因而也會影響熱修補釋出節奏時程。</p> <p>微軟提醒，如果企業在熱修補之外必須安裝安全更新，則必須先關閉VM上的熱修補，回到正常修補模式，等安裝更新後再重新加入熱修補。</p> </div></div></div>
2022/2/21 13:30作者林妍溱https://www.ithome.com.tw/news/149467
美、英指控俄羅斯對烏克蘭發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美、英兩國政府上周分別指控，本月稍早烏克蘭國防部等政府機關遭到分散式阻斷服務（DDoS）攻擊，背後主使者是俄羅斯。</p> <p>2月15日下午起，包括烏克蘭國防部及武裝部隊網站多個網站<a href="https://www.ithome.com.tw/news/149388" target="_blank">遭強大的DDoS攻擊斷線</a>，國營銀行Privatbank及儲蓄銀行Oschadbank也發生網站主頁遭竄改，以及網站服務中斷。<a href="https://edition.cnn.com/europe/live-news/ukraine-russia-news-02-16-22-intl/h_71dc189a61901590063d7de1f1190806" target="_blank">根據CNN報導</a>，這波攻擊至少持續到2月17日。烏克蘭政府沒有明說攻擊來源，但美、英政府周末指稱元兇是俄羅斯。</p> <p>上周五白宮記者會上，<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2022/02/18/press-briefing-by-press-secretary-jen-psaki-deputy-national-security-advisor-for-cyber-and-emerging-technology-anne-neuberger-and-deputy-national-security-advisor-for-international-economics-and-dep/" target="_blank">美國國家副安全顧問Anne Neuberger指出</a>，美國政府相信俄羅斯駭客可能鎖定烏克蘭政府包括軍事及重大基礎架構網路蒐集情報，執行破壞性的網路活動，這些網路活動可協助俄羅斯對烏克蘭的進一步軍事行動。</p> <p>她接續指出，從1月起已看到令人不安的惡意網路活動跡象，上周烏克蘭國防部及國營銀行也遭到DDoS 攻擊壓垮線上服務，此外ATM等服務也無法使用。Neuberger指出，美國政府相信俄羅斯政府要為這次大規模網路攻擊負責，美國政府掌握到的技術資訊指向俄羅斯情報指揮中心（GRU），後者的基礎架構將大量通訊流量導向烏克蘭的IP及網域。</p> <p>美國政府相信，這幾波對烏克蘭的網路攻擊，可能是為俄羅斯接下來更具毁滅性的網路攻擊及入侵烏克蘭的準備工作。</p> <p><a href="https://www.gov.uk/government/news/uk-assess-russian-involvement-in-cyber-attacks-on-ukraine" target="_blank">英國政府上周也將烏克蘭遭到的DDoS攻擊歸咎於俄羅斯</a>。英國外交、國協及發展事務部（Foreign, Commonwealth and Development Office）也公開指稱，俄羅斯GRU參與了針對烏克蘭國營銀行的DDoS攻擊，此次也是俄國對烏克蘭的最新攻擊行為。英國政府要求俄方停止這破壞性的行為，也表示將堅定支持烏克蘭。</p> <p>美國政府表示自去年11月已經加強協助烏國政府，特別是強化網路防禦、提升對網路事件的回應及回復能力，以及擴大網路基礎架構耐力。</p> <p>俄羅斯與烏克蘭危機持續，上周俄國一度宣稱撤除部份軍隊，但歐盟、北約國家及美國並不以為然，認為只是軍事宣傳。但歐盟並未參與這次的公開譴責。</p> </div></div></div>
2022/2/21 11:28作者林妍溱https://www.ithome.com.tw/news/149462
駭客利用虛擬會議發動變臉詐騙攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19疫情帶動居家辦公及遠距會議成為企業營運常態，駭客也將傳統犯罪手法帶進這類工具環境。<a href="https://www.ic3.gov/Media/Y2022/PSA220216" target="_blank">美國聯邦調查局（FBI）警告</a>企業小心不肖人士利用虛擬會議工具，發動俗稱變臉詐騙的商業電郵詐騙（Business Email Compromise，BEC）。</p> <p class="rtecenter"><a href="http://www.ic3.gov/Media/Y2022/PSA220216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-BEC%20FBI%20Virtual%20Meeting%20Platforms.png" style="width: 550px;" /></a></p> <p>FBI指出，從2019年到2021年，FBI接到愈來愈多和虛擬會議有關的BEC，攻擊者通常是冒充公司高層或部門主管，命令受害者匯款到詐騙帳號，一如以冒名電子郵件進行的詐騙。</p> <p>虛擬會議平臺包括以聲音、視訊、螢幕共享及webinar等形式達成協同的工具。</p> <p>根據FBI，利用新科技進行BEC攻擊的手法包括駭客冒充公司CEO或金融主管如財務長（CFO），發送電子郵件加入虛擬會議，會議中冒用CEO/CFO的靜態照片，宣稱鏡頭或麥克風故障無法操作，有的用deep fake音效，有時不發聲音，要求員工透過虛擬會議平臺或後續的電子郵件匯款。有的則是利用CEO郵件帳號插進員工的虛擬會議中「旁聽」，以蒐集公司業務或研發活動資訊。還有的歹徒竊用CEO電子郵件帳號發信要求員工代為匯款，聲稱自己的電腦被用來開虛擬會議無法自行作業。</p> <p>面對發生在虛擬會議平臺的變臉詐騙威脅，除了留意傳統BEC攻擊事件的防範措施（例如仔細審視信件內容或不要在信件中提供帳密，並使用雙因素驗證來驗證帳號變更的要求，防止郵件帳號被盜），FBI也提醒企業留心不熟悉的虛擬會議平臺邀請、或是會議連結中在網域部份有拚錯字的情形。</p> <p><a href="https://www.ithome.com.tw/news/149442" target="_blank">近日也有資安公司指出</a>Microsoft Teams成為犯罪者的攻擊目標，駭客藉由溜進Microsoft Teams會議，在會議或聊天中送出惡意執行檔植入與會者的電腦。</p> </div></div></div>
2022/2/21 12:30作者林妍溱https://www.ithome.com.tw/news/149464
Meta市值跌出全球前十大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾躋身全球前五大企業的Meta，在上周五（2/18）收盤時<a href="https://www.bloomberg.com/news/articles/2022-02-17/meta-platforms-falls-from-ranks-of-10-most-valuable-companies" target="_blank">，其市值已跌出全球前十大</a>。</p> <p>截至上周五，全球有三家企業的市值超過2兆美元，依序是蘋果（2.73兆美元）、微軟（2.16兆美元），以及沙烏地阿拉伯國家石油公司（2兆美元）。超越1兆美元的則有Alphabet（1.7兆美元）與Amazon（1.6兆美元）。</p> <p>六到十名則是特斯拉（Tesla）的8,857億美元，波克夏.海瑟威（Berkshire Hathaway）的7,031億美元，Nvidia的5,892億美元，台積電的5,875億美元，與騰訊的5,788億美元。至於Meta上周五收盤後的市值則是5,612億美元，位居全球第十一名。</p> <p>臉書在去年10月更名為Meta，打算全面擁抱下一世代的元宇宙（Metaverse），<a href="https://www.ithome.com.tw/news/149180" target="_blank">在今年2月2日度公布了基於新品牌的財報</a>。在公布財報的當天，Meta收盤價為323美元，之後幾乎呈一路下滑趨勢，一直到上周五以206.15美元作收，兩周跌了36%。</p> <p>Meta股價下滑的原因，除了專職元宇宙的Reality Labs在去年第四季虧損了33億美元之外，也包括Meta坦承蘋果對隱私的限制，衝擊了程式家族的廣告營收，同時預告廣告營收將持續受到蘋果隱私政策、通貨膨脹與匯率變動的影響。</p> </div></div></div>
2022/2/21 12:53作者陳曉莉https://www.ithome.com.tw/news/149465
Salesforce數百名員工連署反對該公司的NFT雲端計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/02/09/salesforce-tells-employees-its-working-on-nft-cloud-service.html" target="_blank">《CNBC》日前報導</a>，全球雲端客戶關係管理服務龍頭Salesforce對內揭露正計畫推出NFT雲端服務，<a href="https://news.trust.org/item/20220218170402-ug6bk/" target="_blank">而慈善機構Thomson Reuters Foundation上周則說</a>，已有超過400名Salesforce的全球員工進行連署以反對公司的該計畫。</p> <p>根據《CNBC》的報導，Salesforce計畫打造NFT Cloud，提供類似OpenSea的NFT鑄造與銷售服務，亦有意將NFT Cloud整合至Salesforce的各項企業服務中。</p> <p>基於Salesforce的立場，替客戶提供一個進入新興市場的管道無可厚非，特別是許多知名品牌都已宣布投入非同質化代幣（Non-Fungible Token，NFT），然而，反對的員工則認為基於區塊鏈的NFT不但會對環境造成不良的影響，也是種不受監管且高度投機的金融資產。</p> <p>這並不是第一起組織欲邁進NFT而遭到批評的案例。英國的世界野生生物基金會（World Wildlife Fund，WWF）原本要在2月初，推出13種瀕臨絕種之野生動物的NFT，結果遭到環保人士砲轟，使得<a href="https://www.wwf.org.uk/updates/nft-statement" target="_blank">英國WWF緊急關閉了該專案</a>。主要原因是鑄造NFT同樣需要消耗運算資源與電力，就算WWF採用以太坊上號稱最環保的Polygon協定，但有專家抨擊Polygon並未如同所宣稱的環保，而且身為WWF，更應該唾棄地球上最不可持續的活動之一。</p> <p>不過，<a href="https://www.wwf-nfa.com/en" target="_blank">德國的WWF早在去年就開啟了類似的NFT專案</a>，並把該專案稱為非同質化動物（Non-Fungible Animals，NFAs），闡明相關收益將用在保護全球野生生物中，其中，一頭波斯豹（Persian Leopard）NFT的售價為399個與美元掛鉤的USDC，或是399歐元，此一專案看似仍在進行中。</p> <p>對於員工的反應，Salesforce則說，該公司的核心價值引導著該公司的所有事，包括產品開發在內，歡迎員工提出意見，亦對員工能夠提出不同觀點的公司文化感到自豪。</p> </div></div></div>
2022/2/21 13:13作者陳曉莉https://www.ithome.com.tw/news/149466
繼唱片業者索尼與華納擁抱NFT之後，環球音樂也宣布踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.universalmusic.com/universal-music-group-partners-with-curio-to-develop-nft-fan-collections-for-its-record-labels-and-artists/" target="_blank">環球音樂（Universal Music Group，UMG）於17日宣布</a>，已與NFT市集Curio簽署合作協議，將透過Curio獨家發行環球音樂所屬的各種NFT專案，涵蓋各種藝術品、錄音或影片內容等，至此，包括索尼音樂（Sony Music）與華納音樂（Warner Music）在內的全球三大唱片業者皆已步入NFT。</p> <p>Curio成立於2020年，於去年2月推出首批NFT作品，迄今已提供逾7.5萬個NFT作品，該平臺著眼於與各種娛樂品牌合作，諸如音樂、電影、電視或漫畫等。</p> <p>Curio與唱片圈頗有淵源，例如Curio的共同創辦人暨共同執行長Ben Arnon便曾於環球音樂任職，其音樂暨全球合作夥伴負責人Dan Dymtrow曾擔任音樂經理，Curio的投資人暨顧問Marc Geigers在娛樂公司William Morris Endeavor任職時，負責的是全球音樂，因而不難理解環球音樂選擇了Curio作為進入NFT市場的媒介。</p> <p>在全球三大唱片業者中，華納音樂去年4月便與虛擬化身（Avatar）技術業者Genies合作，替旗下的藝人打造虛擬化身，以及各種配飾的NFT，例如這些藝人的服裝風格、配件或刺青等，同時讓藝人得以製作及散布自己的虛擬人物，擴大藝人在虛擬世界的影響力。華納音樂繼之於今年1月與NFT市集OneOf合作，以藉由OneOf鑄造及銷售NFT。</p> <p>索尼音樂則在去年8月直接以3,000萬美元入股NFT市集MakersPlace，MakersPlace隔月便揭露發行索尼藝人NFT的計畫，此外，<a href="https://www.prnewswire.com/news-releases/pinkfong-unveils-baby-sharks-first-ever-nft-collection-on-makersplace-301433995.html" target="_blank">索尼音樂也在去年12月與SmartStudy合作</a>，共同發行全球爆紅兒歌《Baby Shark》的NFT。</p> <p>NFT的全名為非同質化代幣（Non-Fungible Token，NFT），它是建立於區塊鏈上的數位所有權憑證，證明使用者擁有某個數位收藏，但該數位收藏的來源所有權，例如實體音樂或內容，還是屬於原先的創作者，目前NFT最大的功用為收藏，未來或者可作為存取相關VIP服務的門票。</p> </div></div></div>
2022/2/21 12:01作者陳曉莉https://www.ithome.com.tw/news/149463
USDC穩定幣開發商Circle市值上看90億美元，延後上市時程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>USDC穩定幣開發商<a href="https://www.ithome.com.tw/news/145550" target="_blank">Circle曾於去年7月宣布</a>，將藉由與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）Concord Acquisition Corp合併來登上紐約股市（NYSE），不過，<a href="https://www.circle.com/en/pressroom/circle-valued-at-9b-in-new-transaction-terms-agreed-with-concord-acquisition-corp" target="_blank">Circle本周指出</a>，雙方已更新併購協議，讓Circle的市值從當初的45億美元提高到90億美元，最快將在今年底前完成合併。</p> <p>由Circle所發行的USDC是個與美元掛鉤的穩定幣，也是全球成長最快的加密貨幣之一，去年7月時USDC在全球的流通量為250億美元，但今年2月已翻倍，達到525億美元。Circle即說，市值的成長主要是為了反映該公司在財務前景與競爭位置上的改善。</p> <p>對於終止與Concord Acquisition Corp原本的合作協議，並另起新約，Circle僅說，由於種種來自於雙方的不可控因素，讓原本的協議無法在今年4月3日的期限之前完成，因而擬訂了新的協議。</p> <p>Circle執行長Jeremy Allaire認為，成為一家上市公司將可強化市場對Circle的信心，也是Circle實現兼容金融生態系統的重要里程碑。</p> <p>根據雙方的新協議，將由一家控股公司來買下Concord與Circle，再以CRCL為代號於紐約股市交易，不過，新協議初步估計的到期日為今年的12月8日，亦可延後至明年的1月31日。</p> </div></div></div>
2022/2/21 10:19作者陳曉莉https://www.ithome.com.tw/news/149461
機器學習系統遵守4Ｍs最佳實踐可大幅減少碳排
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習技術已經逐漸被企業普遍應用，而機器學習所產生的碳排量，也開始成為關注的重點，<a href="https://ai.googleblog.com/2022/02/good-news-about-carbon-footprint-of.html">Google在IEEE Computer所發表的機器學習碳足跡論文</a>，透過準確的資料來評估機器學習的實際碳排量，並且提出4Ms原則，可降低使用能源100倍，減少碳排放量1,000倍，Google運用這些最佳實踐，將機器學習所占的總能源使用量，壓低在15％以下。</p> <p>4Ms原則分別是模型（Model）、機器（Machine）、機械化（Mechanization）以及地圖最佳化（Map Optimization）。Google指出，選擇使用高效的機器學習模型架構，像是稀疏模型，可在提高機器學習品質的同時，還能夠降低3倍到10倍計算量。而機器指的是，與通用處理機器相比，使用針對機器學習訓練最佳化的處理器與系統，能夠將效能提高至2倍到5倍。</p> <p>機械化的配置，讓資料中心的效率比企業本地端配置要高上不少，使用雲端運算可減少能源使用，碳排放量減少1.4倍到2倍，Google解釋，雲端資料中心是專為上萬臺伺服器設計的倉儲，因此可以達到非常好的電量使用效率（PUE），而本地端資料中心通常較老舊，規模也較小，無法攤銷新的節能冷卻和配電系統成本。</p> <p>此外，地圖最佳化則是雲端可讓用戶選擇使用能源最乾淨的位置，進而將總碳足跡減少5倍到10倍，Google也解釋，不用擔心地圖最佳化會使得最環保的雲端地區，快速達到最大容量，用戶對高效能資料中心的需求，反而會驅動綠色資料中心設計和部署的進步。</p> <p>結合這四種做法，可以使企業減少能源消耗達100倍，更可以降低碳排放量1,000倍。Google的總能源使用量每年都增加，而機器學習工作負載，和每次訓練執行的計算量也都迅速成長，但Google表示，運用這4Ms原則，很大程度彌補增加的負載，從資料顯示，在過去三年，每年機器學習訓練和推理，僅占Google總能源使用量的10％到15％，推理和訓練的比例大概是3：2。</p> <p>Google使用Transformer模型作為例子，說明符合4Ｍs原則的機器學習運算，可大幅降低能源消耗和碳排放量。Google引用其他研究，對在Nvidia P100 GPU訓練Transformer模型的能耗估算作為基準，使用Google最近發布的Primer模型，能以低4倍計算量達到相同精確度，當使用新一代機器學習硬體TPUv4進行訓練，會比使用P100改進14倍的能耗，加上高效雲端中心比普通資料中心能耗效率高1.4倍，此外，使用低碳能源的資料中心，又可再減少9倍碳足跡，進而在4年內總共減少747倍碳足跡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(26).png" style="width: 588px;" /></p> </div></div></div>
2022/2/21 10:23作者李建興https://www.ithome.com.tw/news/149450
Deepmind以AI控制環磁機中的氫電漿，推進核融合發電研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.com/blog/article/Accelerating-fusion-science-through-learned-plasma-control">Deepmind在《Nature》期刊發表的論文</a>，說明了他們如何運用深度增強學習，和模擬環境學習架構，在瑞士洛桑的可變配置環磁機（Variable Configuration Tokamak，TCV）上建置並運作控制器，成功控制核融合電漿。</p> <p>研究人員不只可以使電漿保持穩定，還可以精確地將其雕塑成各種形狀，該研究成果代表著，增強學習系統可以用來控制過熱物質，讓科學家研究電漿在不同條件下的反應，提高對核融合反應爐的理解。</p> <p>這項研究的意義，在於推進科學家在核融合發電的研究。科學家為了解決全球能源危機，希望能找到乾淨且無限的能源，而核融合目前看起來是一個絕佳的選項，透過融合隨處可見的氫元素，來獲得融合過程中所釋放出的強大能量，而這也是宇宙中，活躍恆星的能量來源。</p> <p>要在地球上建立適合核融合的嚴苛環境並不容易，科學家使用托克馬克（Tokamak）又稱為環磁機的裝置，該裝置在甜甜圈形狀的真空外包覆電磁線圈，來將比太陽核心更熱的氫電漿約束在真空中。</p> <p>但是環磁機中的電漿並不穩定，要維持可進行核融合所需條件非常困難，控制系統必須要協調環磁機中的電磁線圈，並且每秒數千次調整線圈電壓，避免電漿碰觸到容器壁，以免造成熱量損失和器材損壞。</p> <p>而Deepmind與洛桑聯邦理工學院的瑞士電漿中心合作，開發了第一個深度增強系統，能夠自動控制線圈，將電漿穩定約束在環磁機中。</p> <p>目前科學家在核融合的研究，仍受到許多限制，全球有數十個環磁機，這些裝置昂貴但需求量很大，TCV一次實驗只能維持電漿3秒，需要冷卻15分鐘，之後才能再次進行實驗，不僅如此，多個研究小組通常需要共用環磁機，而這也限制了可實驗的時間。</p> <p>由於實體環磁機難以取得，於是研究人員轉而使用模擬器來加速研究，Deepmind先在模擬環境中控制TCV，接著才在真正的TCV上驗證結果。經過實驗證實，他們已經有能力將電漿雕塑成需要的形狀。雖然模擬環境更便宜更方便，但仍然需要克服許多障礙，像是電漿模擬器速度非常慢，一秒的模擬需要數小時的運算，此外，TCV的狀況每天都不同，研究人員需要開發演算法，來改進模擬結果以適用於真正的硬體上。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/A7SzoLyOVzudlWeW-S62o_mR64aeA02Tdzw-iSPi0HMAF-qdsX0jM9XGVHlfyGBfZlbAUbrktUG_UTgN_QZQJs9xwKtMt0AY98o0elARpjE-UjrGymM=w2048-rw-v1" style="width: 580px; height: 337px;" /></p> <p>而且現有的電漿控制系統也很複雜，TCV上的19個電磁線圈皆安裝獨立的控制器，每個控制器都使用演算法即時估算電漿特性，來調整為相對應的電壓，而Deepmind的新方法，則以單個神經網路，一次控制所有線圈，自動學習可達到最佳電漿配置的電壓。</p> <p>Deepmind在研究中，創建一系列電漿形狀，而電漿物理學家正在研究這些形狀的電漿，在產生能量上的可用性，像是雪花形狀的電漿，就被認為可以將廢能散布到容器壁的多個點上，有助於降低冷卻成本。另外，深度增強學習也能達到過去TCV從未做過的事，像是在穩定容器內同時維持兩個水滴形狀的電漿，研究人員提到，他們只改變要求，演算法就能自動找到適合的控制方式。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/msGp0IymTtmg9Kq4GlTCR3UFTFk5sFvIkhj0TwPLJhhT6HVGdpjdwE0V1xuTUTjDbOHhskwhF8AdOC044LfX5A9_-nglj8qM-tLXDC7tEYPCSUnjU2A=w2048-rw-v1" style="width: 580px; height: 319px;" /></p> <p>人工智慧再次展現推進科學研究的潛力，在能源領域上，人工智慧加速並協助發展核融合發電，而利用增強學習自動控制電漿的方式，也將改變未來TCV的設計。</p> </div></div></div>
2022/2/21 10:30作者李建興https://www.ithome.com.tw/news/149451
YouTube正嘗試一系列新措施打擊假消息散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube在<a href="https://blog.youtube/inside-youtube/inside-responsibility-whats-next-on-our-misinfo-efforts/">部落格</a>宣布將採取新措施，來阻擋假消息在平臺上快速傳播，YouTube產品長Neal Mohan提到，目前YouTube主要關注三個方向來解決假消息問題，首先要在錯誤訊息廣為傳播之前就阻擋，第二是解決跨平臺共享問題，第三則是除了英文外，也要阻擋其他語言的假消息傳播。</p> <p>在今年1月的時候，全球80個事實查核團體向YouTube遞交公開信，直指該串流平臺不夠積極打擊假消息，導致YouTube平臺被有心人士武器化，包含COVID-19病毒、疫苗和選舉等相關議題的假消息影片，在各大社交平臺被廣為流傳，YouTube已經成為主要假消息散播平臺。</p> <p>過去5年，YouTube投入大量資金以責任4R框架，來處理平臺上的虛假消息，該框架結合機器學習和人員手動刪除違規內容，尋找權威來源，進而減少有低品質內容的傳播。但Neal Mohan表示，在降低違規內容傳播的同時，還要維持平臺上表達自由並不容易，而且隨著錯誤訊息傳遞方式和速度都產生變化，他們正尋求方法來解決新面臨的挑戰。</p> <p>Neal Mohan表示，接下來YouTube會針對三個方向來解決假消息傳播問題，第一是要能夠快速發現假消息，YouTube希望他們能在新的假消息出現時，在還沒被傳遞之前就能先採取行動。目前YouTube在這方面已經有一些作為，像之前在被廣為流傳的5G基地臺會散佈COVID-19病毒的影片，英國人甚至因此燒毀手機基地臺，由於有相關權威單位出面澄清，因此YouTube也迅速採取行動。</p> <p>除了建立更具針對性的分類器組合，來更精確捕捉病毒式傳遞的假消息，Neal Mohan也提到，有許多情況YouTube仍難以解決，因為並非所有被快速傳播的論述都有權威來源澄清，甚至是突發的自然災害，他們缺乏相關資料可以用來訓練系統，因此在這種被稱作資料空白（Data Voids）的情況，當有未經證實的推測內容，或是人員傷亡影片出現在平臺，他們也就難在短時間處理。他表示，YouTube正在考慮於未經事實查核的影片，以標籤提醒觀眾，又或是將觀眾導引至重大新聞事件文章等做法。</p> <p>YouTube另一個方向是解決跨平臺共享問題，包括那些不完全符合刪除要求，但YouTube也認為不適合傳播的邊緣影片，官方考慮禁用邊緣影片的分享功能，或是破壞連接到影片的連結，或是將這些影片加入一些減速丘，藉由在影片旁加入警示，告知觀眾正在觀看的影片包含不完全正確的資訊。</p> <p>第三個解決問題的方向，是要積極處理英語之外，不同語言的假消息影片，但Neal Mohan坦言，這個問題很棘手，因為每個國家的文化不同，就英國廣播公司這樣的公廣公司，被普遍認為傳遞權威新聞，但許多國家的國家廣播公司更接近宣傳的角色。</p> <p>因此當獨裁政府是假消息傳遞來源時，YouTube也很難定義假消息，因此Neal Mohan提到，YouTube解決這項問題的責任，可能會落到各國團隊身上，以更好地理解文化細微差異。</p> </div></div></div>
2022/2/21 10:32作者李建興https://www.ithome.com.tw/news/149452
結合K8s與Spring，VMware正式推出雲端原生應用程式平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/vmware_tap_1.0_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就企業級Kubernetes平臺軟體而言，目前有紅帽、SUSE、Canonical、VMware等公司，當中最受矚目的是紅帽OpenShift，目前在用戶自行管理應用上，衍生成三大版本，並在三大公有雲環境與自營代管服務上，提供服務租用；SUSE先前推出了CaaS Platform、Cloud Application Platform，在併購Rancher Labs之後，改推容器管理平臺Rancher；Canonical主推Charmed Kubernetes；至於VMware，在2020年3月推出vSphere 7 with Kubernetes、Tanzu Kubernetes Grid（TKG），該公司的軟體定義資料中心平臺VMware Cloud Foundation 4，也因為包含了vSphere 7與TKG，而具有原生的Kubenetes支援，在這之後，他們的容器與Kubernetes應用產品有哪些發展？事實上，VMware之所以投入這些技術，是為了支援現代化應用程式而逐漸實現、擴充相關布局，因此他們在2021年9月宣布推出Tanzu Application Platform，並於今年1月正式上市，若要了解這方面的脈絡，須從十多年前開始講起。</p> <h2><span style="color:#0000CD;"><strong>併購SpringSource、成立Pivotal Labs，VMware經歷併購、釋出與其他公司搭配、併購等過程，現代化應用程式終於成為他們當前的主力產品平臺之一</strong></span></h2> <p>開發出Spring框架的SpringSource公司，在2009年8月VMware將其買下，2013年4月成立Pivotal公司，當中結合EMC旗下的Pivotal Labs，以及VMware旗下的應用程式導向解決方案，當中也包含SpringSource，到了2019年12月底，VMware完成併購Pivotal，而隨著VMware積極投入容器與Kubenetes等雲端原生軟體技術的發展與轉型，於是，也促成了他們同年宣布開始推出Tanzu系列產品線。</p> <p>經過幾年的版本與解決方案的擴展與推廣，越來越多企業知道VMware Tanzu，並且認可這系列產品是企業級Kubernetes／容器即服務平臺的選擇之一，而到了2021年9月舉行的SpringOne年度開發者大會，VMware現代化應用程式和管理事業部資深副總裁兼總經理Ajay Patel宣布，他們將推出一套結合Kubernetes與Spring技術的產品，名為Tanzu Application Platform（TAP），當中將提供更理想的開發者體驗，讓企業的開發者與維運團隊能夠在任何Kubernetes版本的軟體，例如，VMware自家的Tanzu Kubernetes Grid，或是Azure AKS、AWS EKS、GCP GKE等雲端代管服務之上，進行應用程式與API的組建、部署。</p> <p>當時VMware釋出TAP的Beta 1測試版（0.1.0），重點在於提供一致體驗基礎元件，協助開發與維運團隊在Kubernetes進行應用程式組建，例如，內建法規遵循與最佳實務的應用程式範本、容器映像自動組建、用於服務與事件記錄的執行時期元件、API探查與路由、正在執行的應用程式洞察分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%20TAP-2021-09-1.jpg" style="width: 600px;" /></p> <p>關於推出TAP的理由，VMware研發副總裁、同時也是Kubernetes的共同作者之一的Craig McLuckie表示，他們希望能夠提供開發者一個具備應用程式感知能力（application-aware）的平臺，而非強迫開發者去寫具備平臺感知能力（platform-aware）的應用程式。</p> <p>然而，過去許多人並不知道Kubernetes足以提供這樣的體驗。這是因為開發者通常在開始撰寫應用程式之前，需要知道這些複雜的內部處理，才能完全善用平臺的優勢。Craig McLuckie說，一開始可能會在以YAML設定第一個應用程式時就遇到困難，但他們原本就不打算讓大家直接處理YAML，而這或多或少需要發展自己的週期。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%20TAP-2021-10-VMworld-1.jpg" style="width: 600px;" /></p> <p>而有了TAP，VMware想透過應用程式加速器（Application Accelerator），以及雲端原生執行時期元件（Cloud Native Runtimes）等工具，來簡化開發者體驗，而且上述工具都將環繞在資安與維運的範疇之內。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP beta1 Layered API.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%20beta1%20Layered%20API.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP-2021-09.jpg" style="width: 600px;" /></p> <p>Craig McLuckie表示，TAP可兼具固化（opinionated）、模組化等兩種特性，因此，如果用戶想要剝開抽象化的多個層級，甚至可以處理到Kubernetes API。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP beta1 Loops.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%20beta1%20Loops.jpg" style="width: 600px;" /></a></p> <h2><span style="color:#0000CD;"><strong>揭露更多針對開發者與維運者的新功能</strong></span></h2> <p>之後，在2021年10月舉行的VMworld全球用戶大會，VMware發布TAP Beta 2測試版（0.2.0），希望能夠提供完整的開發者與維運者體驗，這當中有哪些重要的功能？主要有下列特色：供應鏈編排（Supply chain choreography）、包含整合式開發環境（IDE）外掛的開發者工具、服務綁定（Service bindings）、內部安全性（Intrinsic security）、原始碼控制器、慣例服務（Convention Service）。</p> <p>就供應鏈編排而言，此功能是基於開放原始碼軟體專案Cartographer而成，能讓程式維運人員幫開發者建立預先許可至上線階段的路徑，當中整合了Kubenetes資源與既有的工具鏈。維運人員可以建立與管理多個預先許可的供應鏈，當中包含多個元件，可用於軟體的組建、測試、掃描、部署，能讓維運者放心使用通過批准流程的程式碼。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-09-TAP-SpringOne-1.png" style="width: 600px;" /></p> <p>內含IDE外掛的開發者工具，則讓開發者透過這套平臺或其他開放原始碼元件進行操作，而能針對重要、常見的開發者預先提交工作，輕鬆、有效率地執行，像是在Kubernetes之上，執行程式碼、執行除錯，而不需要離開原本所使用的整合式開發環境。VMware當時所提供的主要是VS Code延伸套件，像是針對IntelliJ的外掛，至於另一套整合式開發工具Eclipse，後續將會提供外掛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%20inner%20loop.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP-2021-09-IDE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP-2021-09-IDE.jpg" style="width: 600px;" /></a></p> <p>同時，他們也提供原始碼控制器，能讓程式開發者從本機的原始碼來建立或更新工作負載。</p> <p>所謂的內部安全性，VMware會沿著應用程式的上線路徑，而新增了映像的簽署、掃描、存放等功能，可促成更安全的軟體供應鏈。當中的掃描，會針對原始碼與映像來執行比對，若找到有CVE編號的資安漏洞，系統會阻擋後續的執行活動；映像的簽署功能，可讓程式維運者在簽署完整性的建立、後續掃描完成、驗證等時機，進行映像的簽署，而能在增進映像來源的可信度；存放是指詮釋資料的儲存，能協助程式維運者將所有供應鏈詮釋資料存放到單一位置，初期將放置映像、套件、repo原始碼儲存庫、CVE弱點資訊，這裡可支援更多進階的自動化與智慧處理，像是部署時間政策、持續監控新的CVE資安漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%20Outer%20loop.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-02-TAP%20software%20supply%20chain%20security.jpg" style="width: 600px;" /></p> <p>接下來的服務綁定，是指端點與資料服務的憑證暴露在工作負載方式，維運者可予以指定，而這些方法是可移植的、具備Kubernetes原生特性的。</p> <p>至於慣例服務，是一套供平臺維運者使用的框架，可設定部署工作負載的政策來規範執行時期的組態，促使所有工作負載均可依循最佳實務。開發者可專注在程式邏輯的設計而毋須了解與實作部署與執行時期的最佳實務。</p> <h2><span style="color:#0000CD;"><strong>今年1月正式推出1.0版</strong></span></h2> <p>到了11月，VMware釋出TAP的Beta 3（0.3.0），當中新增了組態設定功能Profiles，能輕鬆、快速安裝Carvel套件與相依性元件，可大大加速安裝體驗，讓使用者更快著手操作，聚焦在想要執行的工作負載與組建的應用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%20B3.jpg" style="width: 600px;" /></p> <p>一個月之後，TAP Beta 4（0.4.0）發布，VMware在裡面提供了完整的Profile安裝功能，涵蓋供應鏈安全工具Supply Chain Security Tools – Store，可將軟體物料清單（SBOM）存放在資料庫，讓用戶能夠查詢映像、套件、漏洞之間的關係；而在開發者專用的Profile當中，這一版提供應用程式加速器（Application Accelerator），以及供應鏈測試工具Supply Chain – Testing。</p> <p>到了今年1月11日，VMware終於發布TAP的1.0正式版，2月8日推出1.0.1版，而隨著這套解決方案的全面上市，企業能透過商業等級的產品，來建置可橫跨多雲Kubernetes環境的應用程式平臺，同時支援開發人員與維運團隊的操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP 1_0-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%201_0-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP 1_0-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%201_0-2.jpg" style="width: 600px;" /></a></p> <p>而在整體的元件組成架構上，TAP 1.0與VMware在2021年9月揭露時相比，可說是大同小異。以相同的部分來看，供應鏈編排、雲端原生執行時期等兩處，API Portal的組成區分得更為細緻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TAP 1_0 Layered API.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TAP%201_0%20Layered%20API.png" style="width: 600px;" /></a> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <blockquote><p>VMware Tanzu Application Platform 1.0<br /> ●原廠：VMware<br /> ●建議售價：廠商未提供<br /> ●Kubernetes叢集需求：Kubernetes 1.19，Azure Kubernetes Service、Amazon Elastic Kubernetes Service、Google Kubernetes Engine、Kind、Minikube、Tanzu Kubernetes Grid v1.4、Tanzu Community Edition v0.9.1<br /> ●節點的系統資源需求：16 GB記憶體、8顆Core i9或12顆Core i7處理器<br /> ●系統組成元件：API portal、Application Accelerator、Application Live View、Application Live View Convention Service、Cloud Native Runtimes、Convention Service、Learning Center、Services Toolkit、Supply Chain Choreographer、Supply Chain Security Tools（Scan、Sign、Store）、Tanzu Developer Tools for Visual Studio Code、VMware Tanzu Build Service、Tanzu Application Platform GUI<br /> ●基礎元件：Tanzu Network、容器映像登錄服務（Harbor或Docker Hub）、Tanzu Application Platform GUI、Kubernetes叢集、Kubernetes CLI</p> </blockquote> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2022/2/20 01:43作者李宗翰https://www.ithome.com.tw/review/149366
【資安週報】2022年2月14日至18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體攻擊的攻擊行動，在本週出現數起，其中包含了日本大型運動用品業者美津濃（Mizuno）遭駭的消息傳出，但該公司始終對外只有表明，他們面臨系統故障的情況，而可能影響訂單處理的時間。</p> <p>但除了美津濃的事故，勒索軟體Black Cat與BlackByte的攻擊行動也相當值得留意。前者針對瑞士的大型機場地勤服務業者Swissport下手，而可能影響全球旅遊業；後者則是攻擊美式足球隊舊金山49人隊（San Francisco 49ers），接著美國政府也提出警告，該組織近期鎖定至少3種關鍵基礎設施，呼籲相關業者嚴加防範。</p> <p>惡意軟體Emotet、TrickBot攻擊升溫的情況，也令人憂心。前者日本發現自2月初開始，攻擊行動大幅增加，後者則是大肆針對知名品牌的顧客下手，而引起資安人員的關注。</p> <p>非同質化代幣（NFT）當紅，也成為駭客用來發動網路釣魚的幌子，他們以提供相關投資資訊的名義，而可能會讓想要投資的收信人上當。</p> <p>焦點轉回臺灣，近期員工竊取營業機密並投靠中資公司的情況，也有數起事故。例如，前員工偷得隱形眼鏡大廠晶碩光學公司製作隱形眼鏡的模組資料，製作模組並意圖輸出中國。這樣的情況也促使政府修法並祭出重罰（最高12年徒刑及1億元罰金），來扼止臺灣關鍵技術外流的情形。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/sports-brand-mizuno-hit-with-ransomware-attack-delaying-orders/"><span style="color: rgb(0, 0, 0);">運動用品業者美津濃傳出將延遲出貨，原因疑似是遭到勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/order-delays-message.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/order-delays-message.jpg" style="width: 300px; float: right;" /></a>運動用品業者遭到駭客盯上，傳出受到勒索軟體攻擊而影響營運。資安新聞網站Bleeping Computer取得消息人士的說法指出，日本大型運動用品業者美津濃（Mizuno）於2月4日遭到勒索軟體攻擊，導致該公司業務嚴重中斷，電話無法使用，或是延遲出貨的現象。美津濃也在美國網站上發出公告，表明該公司出現系統故障的情況，將可能會導致訂單處理延遲，但除此之外沒有透露進一步的資訊。也有客戶聯繫上客服得知，該公司內部系統被迫關閉，而無法搜尋訂單，或是訂購產品，再者，經銷商疑似無法存取該公司的B2B網站進行採購。截至目前為止，美津濃始終沒有對於此事做出回應，攻擊者身分也仍不明朗。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-alphv-claims-swissport-ransomware-attack-leaks-data/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Black Cat攻擊機場地勤服務業者Swissport，聲稱竊得1.6 TB資料</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg" style="width: 200px; float: right;" /></a>又有企業成為勒索軟體Black Cat（亦稱Alphv）的受害者。機場地勤服務業者Swissport於2月4日表示，他們的IT基礎設施遭到勒索軟體攻擊，災情已得到控制，該公司正逐步系統運作。但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Black Cat將Swissport列入受害者名單，並打算求售竊得的1.6 TB資料。這些資料包含了護照、內部資料，以及應徵者的個資等。</p> <p>由於Swissport在全球擁有6.6萬名員工，每年處理2.8億人次的旅客和480萬公噸的行李，這起攻擊事件很可能會對全球的旅遊業帶來衝擊。</p> <p><span style="font-size: 22px;"><a href="https://therecord.media/san-francisco-49ers-confirm-ransomware-attack/"><span style="color: rgb(0, 0, 0);"><strong>美式足球隊遭BlackByte勒索軟體攻擊</strong></span></a></span></p> <p>運動競賽隊伍在即將參與大型賽事的前夕遭到網路攻擊，很可能影響他們準備參加比賽的工作。美式足球聯盟（NFL）球隊舊金山49人隊（San Francisco 49ers）向資安新聞網站Bleeping Computer、Recorded Futrue等證實，他們遭到勒索軟體BlackByte攻擊，導致部分IT網路暫時停止運作，並認為合作廠商沒有受到波及的跡象。此駭客組織亦在網站上公布竊得的部分資料，疑似是該球隊2020年的發票資料，但究竟駭客偷得多少資料？仍有待進一步調查。由於NFL即將於2月13日（臺灣時間2月14日）舉辦超級盃賽事，這起事故很可能影響舊金山49人隊相關賽事的準備。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/ukrainian-military-agencies-banks-hit-by-ddos-attacks-defacements/"><span style="color: rgb(0, 0, 0);">烏克蘭國防部與2家國營銀行，驚傳遭到DDoS攻擊</span></a></strong></span></p> <p>烏克蘭與俄羅斯的軍事情勢緊張，繼1月中旬發生烏克蘭數十個政府機關遭到攻擊之後，最近又有事故傳出。烏克蘭國防部指出，自2月15日下午開始，當地多個組織的網站遭到DDoS攻擊而服務中斷，這些機關包含了國防部、武裝部隊，兩家國營銀行Privatbank及儲蓄銀行Oschadbank。此外，Privatbank的客戶一度出現無法存取網路銀行，或是存款金額、交易記錄錯誤的情況。至於攻擊者的身分，則有待進一步調查。</p> <p><span style="font-size: 22px;"><strong><a href="https://tw.appledaily.com/local/20220207/3TAFE6E2CRFQDNI7PGXKLKDINQ/"><span style="color: rgb(0, 0, 0);">臺灣隱形眼鏡製造商晶碩製程機密遭前員工竊取，險外流中國</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png" style="width: 300px; float: right;" /></a>中國隱形眼鏡業者宣布轉型，將自行裝造相關產品，並宣稱核心團隊來自臺灣業者晶碩光學，背後疑似是晶碩員工意圖帶槍投靠，竊取公司的機密。</p> <p>桃園地檢署、臺北市調查處於2月7日宣布，破獲一起員工竊取營業秘密的案件，隱形眼鏡大廠晶碩光學公司前主管前生產處長黃振瑞涉嫌於離職後，以陸資成立金目科技公司，挖角前東家3名工程師，並竊取晶碩的隱形眼鏡模具相關技術，欲製作模具於2021年12月，輸往中國成立「紅包供應鏈」，供金目公司之幕後金主──上海目荻公司及廈門愛睿思公司使用，所幸檢方即時攔截未果。</p> <p>全案依違反《營業秘密法》等罪，將黃男和同夥等4人提起公訴。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/02/15/vulnerable-exchange-server-hit-by-squirrelwaffle-and-financial-fraud/"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Squirrelwaffle與Exchange重大漏洞，進行金融詐欺攻擊</span></a></strong></h3> <p>又是駭客意圖利用Exchange重大漏洞，以及惡意軟體Squirrelwaffle來發動商業電子郵件詐騙（BEC）的攻擊事故。資安業者Sophos揭露一起BEC攻擊事故，駭客鎖定尚未修補ProxyLogon、ProxyShell漏洞的Exchange伺服器，並大量散布Squirrelwaffle，駭客在員工既有的電子郵件串裡，植入惡意的回覆內容（Email Thread Hijacking），來進行BEC攻擊，導致受害組織轉帳給駭客，所幸其中一家金融機構察覺異狀進行攔截，使得駭客沒有得逞。</p> <p>研究人員指出，組織的IT人員不只要為Exchange伺服器安裝相關修補程式，還要檢查是否遭到植入Web Shell，才能避免成為這種攻擊手法的受害者。</p> <p><span style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/nft-lure-used-to-distribute-bitrat"><span style="color: rgb(0, 0, 0);"><strong>駭客以NFT為誘餌，散布木馬程式BitRAT</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/img1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/img1(1).png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）當紅，多項創作以高價賣出，引起許多人的目光，不少企業搶進這塊市場，但在此同時，駭客也透過這樣的話題做為誘餌，散布木馬程式。資安業者Fortinet發現相當特別的Excel檔案「NFT_Items.xlsm」，內含2個試算表，其中1個使用希伯來語。該檔案列出近20項NFT標的，以及單價、存貨數量、投資Discord聊天室的連結等資訊，疑似針對以色列NFT投資人而來。一旦受害者開啟這個檔案，並依照指示啟用巨集後，電腦就會被植入BitRAT木馬程式。</p> <p>該木馬程式可從受害電腦的應用程式竊取帳密、挖掘門羅幣、側錄用戶鍵盤輸入的內容，甚至能讓駭客使用麥克風聽到用戶的聲音。研究人員警告，這種以NFT為愰子的攻擊手法，近期很有可能會不斷出現。</p> <h3><strong style="font-size: 22px;"><a href="https://www.jpcert.or.jp/at/2022/at220006.html"><span style="color: rgb(0, 0, 0);">日本警告惡意軟體Emotet於2月初攻擊行動升溫</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/at220006_fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/at220006_fig1.png" style="width: 300px; float: right;" /></a>惡意軟體Emotet自2021年11月捲土重來後，近期攻擊行動出現大幅增加的現象。日本JPCERT/CC於2月10日提出警告，他們觀察到疑似被Emotet挾持、用於攻擊行動的日本電子郵件信箱（.jp），於2月5日出現開始大幅增加的現象，有超過1,200個信箱遭到濫用，已經接近2020年8月底至9月中旬攻擊的規模。</p> <p>該組織亦指出，挾帶Emotet的釣魚信看起來很像是由業務夥伴或熟人寄送，附件的Office文件乍看也似乎與業務有關，呼籲民眾最好要進一步向對方確認。JPCERT/CC也於17日呼籲，使用者可透過他們的檢測工具EmoCheck 2.0，檢查電腦是否感染Emotet。</p> <p><span style="font-size: 22px;"><strong><a href="https://research.checkpoint.com/2022/a-modern-ninja-evasive-trickbot-attacks-customers-of-60-high-profile-companies/"><span style="color: rgb(0, 0, 0);">惡意軟體TrickBot攻擊60家知名企業的顧客</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/12(5).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/12(5).png" style="width: 300px; float: right;" /></a>惡意軟體TrickBot自2020年10月基礎設施遭到推毀後，駭客不久後就恢復運作並持續發動攻擊，如今他們鎖定知名品牌的用戶下手，並使用更多規避功能模組。資安業者Check Point指出，TrickBot駭客組織鎖定美國60家知名的金融、IT業者的客戶發動攻擊，這些企業包含美國運通、PayPal、Amazon、微軟等，且在TrickBot捲土重來後，至少有14萬臺電腦受到感染。</p> <p>再者，研究人員指出，新的TrickBot近期導入了3個值得留意的模組，包括能從瀏覽器竊取網銀和加密貨幣錢包的injectDLL、可透過網路共享散布惡意軟體的tabDLL，以及偷取受害電腦多種應用程式帳密的pwgrabc。</p> <p><span style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-047a"><span style="color: rgb(0, 0, 0);"><strong>美國指控俄羅斯攻擊國防產業，竊取軍事機密</strong></span></a></span></p> <p>美俄之間的關係緊張，透過網路攻擊國防產業，也成為竊取軍事機密的手段。美國聯邦調查局（FBI）、國家安全局（NSA）、網路安全暨基礎設施安全局（CISA）聯手，指控俄羅斯政府支持的駭客組織，自2020年1月開始，不斷對於美國政府認可的國防承包廠商（CDC）出手，意圖取得機密資料，來了解美國的國防規畫與情報蒐集情形，部分攻擊行動持續超過半年。上述單位指出，這些駭客持續入侵的行為，可從中竊得敏感資訊，甚至是CDC專有、受到政府出口管制的技術，呼籲CDC要防範相關攻擊行動。</p> <p><span style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220211.pdf"><span style="color: rgb(0, 0, 0);"><strong>美國FBI發布勒索軟體BlackByte入侵指標，已有3種領域的關鍵基礎設施實體受害</strong></span></a></span></p> <p>勒索軟體BlackByte甫攻擊美式足球球隊舊金山49人隊（San Francisco 49ers），而引起關注，但這些駭客大肆近期也針對關鍵基礎設施（CI）下手。美國聯邦調查局（FBI）與特勤局（USSS）聯手提出警告，指出勒索軟體BlackByte自2021年11月，開始對於美國等多個國家的組織下手，其中至少有3個領域的關鍵基礎設施實體遇害，包含政府設施、金融機構、食品與農業等。他們得知有部分攻擊事故裡，駭客是透過Exchange伺服器漏洞入侵內部網路環境，然後進行橫向移動與提升權限，攻擊Windows電腦，將資料外洩並加密檔案。FBI與USSS也提供入侵指標（IoC），讓組織能加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/log4j2-in-the-wild-iranian-aligned-threat-actor-tunnelvision-actively-exploiting-vmware-horizon/"><span style="color: rgb(0, 0, 0);">又是鎖定Log4Shell漏洞，對VMware遠距工作平臺的攻擊行動，這次動手的是伊朗駭客TunnelVision</span></a></strong></h3> <p>國家級駭客利用Log4Shell漏洞，針對VMware Horizon遠距工作平臺的情況，近期又有新的攻擊行動出現。資安業者SentinelOne揭露伊朗駭客組織TunnelVision的攻擊行動，針對中東與美國而來，這些駭客擅長運用隧道工具建立連線，並利用甫被揭露的「1日」漏洞，如Fortinet SSL VPN漏洞CVE-2018-13379、微軟Exchange的ProxyShell漏洞等，近期該組織則是利用Log4Shell漏洞，來攻擊VMware Horizon。</p> <p>駭客藉由該遠距工作平臺的Tomcat伺服器元件，執行PowerShell命令，並使用反向殼層（Reverse Shell）於受害組織植入後門程式。SentinelOne認為，他們本次追蹤的駭客組織，很可能與微軟揭露的Phosphorus、CrowdStrike揭露的Charming Kitten駭客組織有所關連。</p> <p><span style="font-size: 22px;"><a href="https://www.avanan.com/blog/hackers-attach-malicious-.exe-files-to-teams-conversations"><span style="color: rgb(0, 0, 0);"><strong>駭客透過Teams討論群組散布惡意程式，恐能對數百萬人下手</strong></span></a></span></p> <p>每月擁有近3億活躍用戶的微軟協作平臺Teams，如今也變成駭客散布惡意軟體的管道。Check Point旗下的郵件安全業者Avanan，在2022年1月觀察到駭客利用Teams的攻擊行動，駭客疑似盜用Microsoft 365帳號，然後在Teams的討論群組裡投放惡意程式檔案，一旦受害者下載並執行，這個檔案就會在Windows登錄檔寫入資料，並植入DLL檔案，進而控制受害電腦。</p> <p>研究人員每月看到數千起這類攻擊事件，並表示目前Teams對於惡意URL或檔案檢測機制仍有所不足，加上使用者很可能不甚熟悉該協作平臺，而讓攻擊者有機可趁。Avanan認為，駭客能輕易藉此對數百萬人下手，日後相關的攻擊行動將會顯著增加。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.icrc.org/en/document/icrc-cyber-attack-analysis"><span style="color: rgb(0, 0, 0);">紅十字會遭駭調查結果出爐，疑似是國家級駭客鎖定Zoho密碼自助管理平臺漏洞下手</span></a></strong></span></p> <p>紅十字國際委員會（ICRC）於1月下旬遭到網路攻擊，使得51.5萬流離失所的難民資料外洩，而最近該組織公布他們的調查結果，認為攻擊者的身分應該是國家級駭客，於2021年11月9日入侵他們網路環境，並針對尚未修補漏洞的密碼自助管理平臺Zoho ManageEngine ADSelfService Plus下手，利用CVE-2021-40539而得逞。目前紅十字會無法確定攻擊者的身分，也沒有收到勒索訊息，但表明願意與攻擊者進行溝通。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.vmware.com/security/advisories/VMSA-2022-0004.html"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺存在漏洞，可被惡意軟體用於逃脫VM並攻擊主機</span></a></strong></h3> <p>研究人員在漏洞挖掘競賽發現的嚴重漏洞，恐讓惡意程式用來攻擊虛擬化平臺的伺服器。VMware於2月15日，針對旗下的虛擬化平臺產品ESXi、Workstation、Fusion、Cloud Foundation，修補5項漏洞。其中，有4個漏洞是崑崙實驗室於去年的中國天府盃駭客大賽中找到，CVSS風險層級介於8.2至8.4分。其中的CVE-2021-22040、CVE-2021-22041，能讓具備VM管理權限的使用者，在虛擬化主機執行VMX處理程序；而CVE-2021-22042, CVE-2021-22043，則是可讓攻擊者用於擴張權限。VMware除了針對相關產品發布更新軟體，也表示尚未發現漏洞遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://jfrog.com/blog/cve-2021-44521-exploiting-apache-cassandra-user-defined-functions-for-remote-code-execution/"><span style="color: rgb(0, 0, 0);">非關聯式資料庫Apache Cassandra出現RCE漏洞</span></a></strong></h3> <p>非關聯式資料庫（NoSQL）Apache Cassandra所提供的自定義函數（UDF）功能，竟出現能被輕易利用的漏洞，而引起研究人員關注。資安業者JFrog於2月15日，揭露非關聯式資料庫Apache Cassandra的漏洞，攻擊者一旦利用，將能進行RCE攻擊，漏洞編號為CVE-2021-44521，CVSS風險層級為8.4分。此漏洞只有在IT人員為Cassandra啟用了自定義函數功能，才有可能被觸發。但由於攻擊者想要利用這個漏洞極為容易，研究人員呼籲IT人員要儘速安裝更新軟體，或是完全停用UDF來緩解漏洞。</p> <p><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-create-exploit-for-critical-magento-bug-adobe-updates-advisory/"><span style="color: rgb(0, 0, 0);">電商平臺Magento二度傳重大漏洞，且已出現攻擊行動</span></a></strong></p> <p>知名電商網站軟體Magento，最近出現新的重大漏洞而值得用戶留意。Adobe甫於2月13日，發布緊急更新，修補Magento（商業版稱為Adobe Commerce）的重大漏洞CVE-2022-24086，CVSS風險層級為9.8分，且已有開始利用該漏洞的攻擊行動，一旦駭客成功利用，可在無須身分驗證的情況下發動RCE攻擊。這項漏洞影響2.3.3版以上的Magento，較舊的版本不受影響。<a href="https://sansec.io/research/magento-2-cve-2022-24086">資安業者Sansec指出</a>，雖然他們尚未看到有人能夠成功利用這項漏洞，但應該很快就會出現大規模的掃描行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FLyaJEPXMAQD4QL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FLyaJEPXMAQD4QL.png" style="width: 300px; float: right;" /></a>繼Adobe於2月13日修補重大漏洞CVE-2022-24086後，研究人員再度發現，類似的攻擊手法可繞過已修補的Magento。資安業者Positive Technologies於2月17日揭露，他們能夠針對已完成修補的Magento，使用未經身分驗證的使用者身分，來進行RCE攻擊。</p> <p>這項新的漏洞Adobe將其列管為CVE-2022-24087，CVSS風險層級為9.8分，且表明同樣已被駭客用於攻擊。Adobe已提供更新軟體，呼籲IT人員要儘速修補。</p> <p><span style="font-size: 22px;"><strong><a href="https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html"><span style="color: rgb(0, 0, 0);">Google緊急修補已被利用的瀏覽器漏洞</span></a></strong></span></p> <p>駭客利用零時差瀏覽器漏洞的情況，迫使開發者緊急發布軟體更新。Google於2月14日發布資安通告，針對Windows、macOS、Linux版用戶，推出Chrome 98.0.4758.102，本次共計修補11個漏洞，有數項與記憶體釋放的濫用（UAF）有關，其中，最值得留意的是CVE-2022-0609，因為已有相關攻擊行為。Google亦表示將會逐步推送新版Chrome，但由於本次已有漏洞遭到利用的情況，使用者應考慮透過手動更新的方式，取得Chrome 98.0.4758.102。而該漏洞也是Google今年修補的第一個零時差漏洞。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.claroty.com/2022/02/10/blog-research-securing-network-management-systems-moxa-mxview/"><span style="color: rgb(0, 0, 0);">臺廠工業級網管軟體存在重大漏洞，恐被攻擊者用於執行任意程式碼</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/MXview1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MXview1.png" style="width: 300px; float: right;" /></a>工業控制環境的網管系統，一旦出現重大漏洞，很可能影響相當廣泛。資安業者Claroty揭露，臺廠四零四科技（Moxa）所推出的工業級網管系統MXview，存在5個漏洞，CVSS風險層級為滿分10分，其中的3個漏洞CVE-2021-38452、CVE-2021-38460、CVE-2021-38458，可被攻擊者串連用來發動RCE攻擊；另外2個漏洞CVE-2021- 38456、CVE-2021-38454，則能被用於解除密碼保護，或是存取其他敏感資訊。</p> <p>四零四科技<a href="https://www.moxa.com/en/support/product-support/security-advisory/mxview-network-management-software-vulnerabilities">於2021年9月發布MXview 3.2.4版</a>予以修補。這些漏洞近期也引起<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-21-278-03">ICS-CERT在2021年10月發出警告</a>，呼籲用戶要儘速採取相關緩解措施。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/5d673316-5cc1-4b37-a756-8cd62a9e522d"><span style="color: rgb(0, 0, 0);">為防堵國家關鍵技術外流，行政院修正國安法祭出重罰，最高12年徒刑、併科罰金1億元</span></a></strong></h3> <p>近年來臺灣員工企圖竊取公司機密，投靠中國公司的情況，已有數起事故傳出。針對這樣的情況，行政院於2月17日，公布國家安全法（國安法）與兩岸人民關係條例部分條文修正草案，其中，針對國安法的部分，新增國家核心關鍵技術經濟間諜罪，違反者可處5年至12年有期徒刑、得併科罰金500萬至1億元，並強調犯案未遂也會予以處罰。行政院長蘇貞昌表示，紅色供應鏈滲透臺灣產業的情況日益嚴峻，不斷挖角臺灣高科技人才，將對於臺灣的資訊安全、產業競爭力、國家安全造成嚴重危害，政府必須透過法律層面來加以管控。</p> <p>但對於國家核心關鍵技術的定義為何？行政院發言人羅秉成表示，上述修法草案通過後，將由改組後的國科會負責制定子法來定義適用範圍，並由行政院公告。</p> </div></div></div>
2022/2/19 09:15作者周峻佑https://www.ithome.com.tw/news/149453
Adobe發布2022亞太區數位趨勢報告，揭露後Cookie時代數位行銷如何優化顧客體驗的三大原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe與數位行銷顧問公司Econsultancy聯手，近期發布<a href="https://business.adobe.com/tw/resources/digital-trends-report.html" target="_blank">2022年亞太區數位趨勢報告</a>，聚焦5大面向，從疫情間顧客需求與行為的變化、疫情對公司目標及投資的影響、敏捷開發、IT與行銷部門間的協作，甚至到後Cookie時代如何贏得顧客信任等。根據調查，77%亞太區企業在數位通路的獲客大幅成長，甚至有76%的企業發現了新的顧客旅程。</p> <p>Adobe連續12年發布這份報告，揭露全球行銷、廣告、內容、商務及顧客體驗趨勢這12年來的演變，2022年調查了全球9,455位行銷領域的從業人員，再從中歸納出亞太區報告。在顧客需求與行為的變化上，過去一年半中，顧客開始重視「數位優先」，有77%亞太區企業在數位通路獲客大幅成長，並有76%企業觀察到新的顧客旅程。在這個趨勢之下，亞太區企業有9成2的高層表示，行銷靈活度將成為成功關鍵，這也意味著，企業需要工具、數據和洞察分析，來快速因應變化。</p> <p>對此，企業的行銷活動也轉而以數位形式優先，尤其在北美與亞太區更加明顯。49%亞太區高層表示，未來將大力推動更多純數位行銷活動，而非推出線上結合線下的形式；且為了滿足顧客需求，59%亞太區企業開始擴大顧客體驗管理的投資，60%則希望能加速顧客資料分析技術的投資。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-02-18%20%E4%B8%8B%E5%8D%884_52_44.png" style="width: 900px;" /></p> <p>其次，疫情對數位行銷策略的衝擊上，亞太區企業首要目標，是透過數位行銷來增加數位獲客，其次才是留客，第三則要了解顧客行為與旅程。不過，Adobe亞太區首席技術顧問及高級產品經理Scott Rigby指出，各地區企業行銷成熟度也不同，部分地區如北美，更重視數位行銷管道的留客甚於獲客，不僅因為第三方Cookie逐漸退場，導致數位獲客變得更加不易，更因為留客的成本比起獲客來的更低。因此Scott Rigby也預估，未來一年內，企業更重視數位管道留客的趨勢，將擴及到亞太區。</p> <p>為了達到提高行銷效率、專注顧客旅程等目標，亞太區高階主管優先考慮投資AI和Martech科技堆疊，比如有42%企業要提高洞察和分析能力、38%要提高建構客戶旅程的能力、35%要改善行銷技術基礎架構。這也與亞太區行銷人員指出的問題相互呼應，比如有約4成的受訪者指出，缺乏數位技術與能力、技術系統間的不良整合與工作流程問題，阻礙他們締造良好的顧客體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-02-18%20%E4%B8%8B%E5%8D%884_55_43.png" style="width: 900px;" /></p> <p>其三，則是企業在面對不斷變化甚至是顛覆式的技術或顧客行為出現時，能夠快速反應顧客需求的靈活度與敏捷性。比如全球疫情大流行之下，部分國家可能受影響而採取封城，直接影響到消費者行為改變，Scott Rigby指出，若企業無法透過行銷洞察，捕捉消費者不斷變化的行為數據，顧客就可能流失到其他品牌，但是，亞太區企業對於顧客旅程的洞察，包括新顧客的旅程、顧客旅程中的摩擦點、顧客忠誠度或留存的因素、購買的因素等，均落後於其他地區。</p> <p>其四，是行銷與IT部門間的協作。調查結果顯示，許多高階管理人員已經意識到，保持IT與行銷一致的重要性，比如77%企業指出行銷與技術團隊擁有相同願景，82%企業則認同在顧客體驗方面，行銷與其他部門擁有相同的發言權，也有超過8成企業的技術總監與財務長意識到行銷的重要性，更有超過9成最高管理層理解數位體驗對業務增長的重要性。</p> <p>尤其，亞太區的技術部門已經能支援行銷部門，來採用強化顧客體驗的技術。比如已經有92%企業已經在推動技術與行銷團隊緊密協作，也有88%企業的技術團隊參與了顧客管理技術採用的決策，還有8成認為，技術與行銷部門能在顧客生命週期中保持流程的一致性。不過，84%企業認為，在關注度高的需求與較不受重視的需求之間，如何進行資源分配是一項挑戰，比如受重視的顧客體驗，以及較不受重視的維運與安全等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-02-18%20%E4%B8%8B%E5%8D%885_00_30.png" style="width: 900px;" /></p> <p>而在針對IT人員的調查中，更多IT人員認為顧客體驗策略主要由行銷人員負責，但是涉及數位可用性與數位轉型策略，則主要由IT單位負責。</p> <p>其五，則是在後Cookie時代如何贏得顧客信任。在第三方Cookie即將退場的趨勢下，企業在搜集與使用第一方數據的策略上，取得了良好的進展，但根據調查數據，仍有超過三分之一的亞太區企業，還沒準備好面對沒有第三方Cookie的行銷時代，這可能會危害到，他們能否提供給顧客一致且連貫的顧客體驗。</p> <p>另一項數據則指出，86%亞太區高階管理層視第三方Cookie失效，為建立起第一方數據與顧客關係的轉機，但他們仍質疑，自家員工是否已經具備相應的技能。而在資料安全與合規性、顧客隱私等面向，亞太區67%技術人員認為，雖然行銷人員可能領導了顧客體驗策略訂定，但安全與合規性仍是屬於IT的職責範圍。</p> <p>這樣報告中由行銷人員來橫量自家還有一項數據則指出，若由企業以1～10分自評，亞太區只有約25%的行銷人員認為，自家企業因應變革的靈活度達到8～10分的程度，也只有29％填答者給予自家企業在多樣性上8分的高分評價，自評結果，亞太區企業的評價落後於其他如北美、歐洲等地區。Scott Rigby指出，雖然管理層時常討論多樣性、靈活性與管理策略，但實際進展比預期的更為緩慢。</p> <h3><span style="color:#FF8C00;">後疫情與後Cookie時代，企業以數位行銷能力優化顧客體驗的三大原則</span></h3> <p>Scott Rigby建議，對任何企業來說，第一，是要圍繞顧客體驗進行策略定位與調整，並加強組織的敏捷程度，助行銷團隊在合適的時間與地點，為顧客提供服務，同時也要透過顧客數據的搜集，來形成有效的行銷洞察，以便能更好的留住顧客。</p> <p>第二，則是要進一步釋放團隊的潛力，一來是要透過靈活性與敏捷性，在顛覆性的顧客行為或市場表現來臨時，才能更快的反應，二來是要透過有效的協作，並透過多樣性的團隊，來服務需求和行為變化多樣的顧客群體，三來是在進行企業內部數位技術與能力的投資時，不只要關注技能本身的發展，也要關注人才的留任。</p> <p>第三，在搜集數據之前，要考慮如何利用數據，尤其在第三方Cookie即將退場時，如何搜集自身品牌的第一方數據、以及與其他品牌協作取得更多第一方數據，透過更豐富的顧客訊息來優化個人化體驗，同時也要將數據的控制權還給顧客，讓他們選擇哪些自身的行為數據允許被搜集。</p> <p>針對IT與行銷人員如何更好的協作，Scott Rigby也看到一些已經實現了敏捷開發的例子，不只是在IT部門內實現敏捷，更針對顧客服務生命週期的各個節點，組成聯合作戰的小團隊。團隊中分別有來自行銷與IT部門的人員，以便能在獲客階段、優化購物車功能等階段，都能以跨部門敏捷開發的方式協作。「IT與行銷看似是兩個互不相關的部門，但可以以聯合作戰小團隊的方式有效整合，滿足兩個團隊之間的協調。」他說。</p> <p>Scott Rigby也點出亞太區企業採用混合辦公的趨勢略為落後歐美國家，在亞太區只有45％高管認為，疫情後將會比疫情前採用更多的混合工作模式，49%則認為會回到疫情前水平。他提醒，在技術人才的獲得上，許多亞太區高技術能力的數位原住民，可能訴求到跨國公司、甚至海外公司工作，尤其隨著遠距辦公興起，加上亞洲公司在人才發展與培訓的投資略顯不足，人才流失現象將可能持續發生，這是企業需要擔憂的面向。</p> </div></div></div>
2022/2/18 18:47作者翁芊儒https://www.ithome.com.tw/news/149449
【資安日報】2022年2月18日，VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2021年12月到2022年1月，駭客組織利用Log4Shell漏洞，來攻擊VMware遠距工作平臺的情況，已至少發生5起，但這樣的攻擊行動竟在2月再度出現！資安業者揭露伊朗駭客組織TunnelVision近期的攻擊行動，並公布其繁複的手法。</p> <p>隨著遠端工作的需求增加，協作平臺也變得受到歡迎，駭客針對這類平臺下手，用來散布惡意軟體。研究人員揭露駭客利用微軟Teams投放惡意軟體的手法，並指出近期每個月都會看到數千起攻擊行動，呼籲用戶要提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/log4j2-in-the-wild-iranian-aligned-threat-actor-tunnelvision-actively-exploiting-vmware-horizon/"><span style="color: rgb(0, 0, 0);">又是鎖定Log4Shell漏洞，對VMware遠距工作平臺的攻擊行動，這次動手的是伊朗駭客TunnelVision</span></a></strong></h3> <p>國家級駭客利用Log4Shell漏洞，針對VMware Horizon遠距工作平臺的情況，近期又有新的攻擊行動出現。資安業者SentinelOne揭露伊朗駭客組織TunnelVision的攻擊行動，針對中東與美國而來，這些駭客擅長運用隧道工具建立連線，並利用甫被揭露的「1日」漏洞，如Fortinet SSL VPN漏洞CVE-2018-13379、微軟Exchange的ProxyShell漏洞等，近期該組織則是利用Log4Shell漏洞，來攻擊VMware Horizon。</p> <p>駭客藉由該遠距工作平臺的Tomcat伺服器元件，執行PowerShell命令，並使用反向殼層（Reverse Shell）於受害組織植入後門程式。SentinelOne認為，他們本次追蹤的駭客組織，很可能與微軟揭露的Phosphorus、CrowdStrike揭露的Charming Kitten駭客組織有所關連。</p> <p><span style="font-size: 22px;"><a href="https://www.avanan.com/blog/hackers-attach-malicious-.exe-files-to-teams-conversations"><span style="color: rgb(0, 0, 0);"><strong>駭客透過Teams討論群組散布惡意程式，恐能對數百萬人下手</strong></span></a></span></p> <p>每月擁有近3億活躍用戶的微軟協作平臺Teams，如今也變成駭客散布惡意軟體的管道。Check Point旗下的郵件安全業者Avanan，在2022年1月觀察到駭客利用Teams的攻擊行動，駭客疑似盜用Microsoft 365帳號，然後在Teams的討論群組裡投放惡意程式檔案，一旦受害者下載並執行，這個檔案就會在Windows登錄檔寫入資料，並植入DLL檔案，進而控制受害電腦。</p> <p>研究人員每月看到數千起這類攻擊事件，並表示目前Teams對於惡意URL或檔案檢測機制仍有所不足，加上使用者很可能不甚熟悉該協作平臺，而讓攻擊者有機可趁。Avanan認為，駭客能輕易藉此對數百萬人下手，日後相關的攻擊行動將會顯著增加。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.icrc.org/en/document/icrc-cyber-attack-analysis"><span style="color: rgb(0, 0, 0);">紅十字會遭駭調查結果出爐，疑似是國家級駭客鎖定Zoho密碼自助管理平臺漏洞下手</span></a></strong></span></p> <p>紅十字國際委員會（ICRC）於1月下旬遭到網路攻擊，使得51.5萬流離失所的難民資料外洩，而最近該組織公布他們的調查結果，認為攻擊者的身分應該是國家級駭客，於2021年11月9日入侵他們網路環境，並針對尚未修補漏洞的密碼自助管理平臺Zoho ManageEngine ADSelfService Plus下手，利用CVE-2021-40539而得逞。目前紅十字會無法確定攻擊者的身分，但也沒有收到勒索訊息，但表明願意與攻擊者進行溝通。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.vmware.com/security/advisories/VMSA-2022-0004.html"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺存在漏洞，可被惡意軟體用於逃脫VM並攻擊主機</span></a></strong></h3> <p>研究人員在漏洞挖掘競賽發現的嚴重漏洞，恐讓惡意程式用來攻擊虛擬化平臺的伺服器。VMware於2月15日，針對旗下的虛擬化平臺產品ESXi、Workstation、Fusion、Cloud Foundation，修補5項漏洞。其中，有4個漏洞是崑崙實驗室於去年的中國天府盃駭客大賽中找到，CVSS風險層級介於8.2至8.4分。其中的CVE-2021-22040、CVE-2021-22041，能讓具備VM管理權限的使用者，在虛擬化主機執行VMX處理程序；而CVE-2021-22042, CVE-2021-22043，則是可讓攻擊者用於擴張權限。VMware除了針對相關產品發布更新軟體，也表示尚未發現漏洞遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://jfrog.com/blog/cve-2021-44521-exploiting-apache-cassandra-user-defined-functions-for-remote-code-execution/"><span style="color: rgb(0, 0, 0);">非關聯式資料庫Apache Cassandra出現RCE漏洞</span></a></strong></h3> <p>非關聯式資料庫（NoSQL）Apache Cassandra所提供的自定義函數（UDF）功能，竟出現能被輕易利用的漏洞，而引起研究人員關注。資安業者JFrog於2月15日，揭露非關聯式資料庫Apache Cassandra的漏洞，攻擊者一旦利用，將能進行RCE攻擊，漏洞編號為CVE-2021-44521，CVSS風險層級為8.4分。此漏洞只有在IT人員為Cassandra啟用了自定義函數功能，才有可能被觸發。但由於攻擊者想要利用這個漏洞極為容易，研究人員呼籲IT人員要儘速安裝更新軟體，或是完全停用UDF來緩解漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-create-exploit-for-critical-magento-bug-adobe-updates-advisory/"><span style="color: rgb(0, 0, 0);">電商平臺Magento再傳重大漏洞，且已出現攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FLyaJEPXMAQD4QL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FLyaJEPXMAQD4QL.png" style="width: 300px; float: right;" /></a>繼Adobe於2月13日，針對電子商務平臺Magento（商業版本稱為Adobe Commerce）修補重大漏洞CVE-2022-24086後，研究人員再度發現，類似的攻擊手法可繞過已修補的Magento。資安業者Positive Technologies於2月17日揭露，他們能夠針對已完成修補的Magento，使用未經身分驗證的使用者身分，來進行RCE攻擊。</p> <p>這項新的漏洞Adobe將其列管為CVE-2022-24087，CVSS風險層級為9.8分，且表明同樣已被駭客用於攻擊。Adobe已提供更新軟體，呼籲IT人員要儘速修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/5d673316-5cc1-4b37-a756-8cd62a9e522d"><span style="color: rgb(0, 0, 0);">為防堵國家關鍵技術外流，行政院修正國安法祭出重罰，最高12年徒刑、併科罰金1億元</span></a></strong></h3> <p>近年來臺灣員工企圖竊取公司機密，投靠中國公司的情況，已有數起事故傳出。針對這樣的情況，行政院於2月17日，公布國家安全法（國安法）與兩岸人民關係條例部分條文修正草案，其中，針對國安法的部分，新增國家核心關鍵技術經濟間諜罪，違反者可處5年至12年有期徒刑、得併科罰金500萬至1億元，並強調犯案未遂也會予以處罰。行政院長蘇貞昌表示，紅色供應鏈滲透臺灣產業的情況日益嚴峻，不斷挖角臺灣高科技人才，將對於臺灣的資訊安全、產業競爭力、國家安全造成嚴重危害，政府必須透過法律層面來加以管控。</p> <p>但對於國家核心關鍵技術的定義為何？行政院發言人羅秉成表示，上述修法草案通過後，將由改組後的國科會負責制定子法來定義適用範圍，並由行政院公告。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/18 16:21作者周峻佑https://www.ithome.com.tw/news/149447
美國司法部國家加密貨幣執法團隊的首位主管走馬上任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/deputy-attorney-general-lisa-o-monaco-announces-national-cryptocurrency-enforcement-team" target="_blank">美國司法部在去年10月宣布設立</a>國家加密貨幣執法團隊（National Cryptocurrency Enforcement Team，NECT），以負責調查及起訴濫用加密貨幣的相關犯罪行動，<a href="https://www.justice.gov/opa/pr/justice-department-announces-first-director-national-cryptocurrency-enforcement-team" target="_blank">該團隊的主管一直到本周四（2/17）才出爐</a>，她是擁有豐富數位犯罪經驗的檢察官Eun Young Choi，即日起上任。</p> <p>NECT隸屬於美國司法部刑事司（Criminal Division），將與洗錢防制科、電腦犯罪科及其它該司的各科共同合作，針對濫用加密貨幣的案件進行調查，頂頭上司為負責刑事司的司法部助理部長Kenneth Polite。</p> <p>Choi最早是司法部紐約南區的助理檢察官，負責調查及起訴網路、詐欺及洗錢相關案件，且特別關注網路入侵、數位貨幣、暗網與國家安全等領域，之後成為美國司法部副部長Lisa Monaco的資深顧問。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0218-Eun%20Young%20Choi.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片擷取自ACAMS官網</span></p> <p>美國司法部表示，加密貨幣受到廣泛犯罪活動的青睞，包括成為勒索軟體付款的首選、洗錢工具、非法貨幣服務、暗網交易或其它非法活動的支付工具，未來NECT不僅要參與相關犯罪活動的調查，也將協助追回那些遭詐騙或勒索的加密貨幣。</p> </div></div></div>
2022/2/18 16:29作者陳曉莉https://www.ithome.com.tw/news/149448
駭客溜進Microsoft Teams會議以大量散布木馬程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.avanan.com/blog/hackers-attach-malicious-.exe-files-to-teams-conversations" target="_blank">資安業者Avanan本周警告</a>，隨著Microsoft Teams愈來愈受歡迎，它已成為駭客鎖定的攻擊目標，駭客藉由溜進Microsoft Teams會議，以大量散布木馬程式，該公司每個月都可看到數千起的相關攻擊。</p> <p>根據微軟今年1月的估計，Microsoft Teams每月用戶數已達2.7億，然而，同一時間Avanan也觀察到，駭客正積極利用Microsoft Teams散布木馬程式。</p> <p>駭客是透過各種方法滲透到Teams中，例如先入侵組織的供應鏈或合作夥伴，以竊聽它們之間的對話，或者是危害用來存取Teams的電子郵件帳號，或是藉由網釣攻擊取得使用者的Microsoft 365憑證，接著就以這些身分登入Teams會議，再於會議或聊天中丟出惡意的執行檔。</p> <p>這些執行檔的名稱很普通，例如其中一例為User Centric，但執行後它會在Windows登錄檔中寫入資料，安裝DLL檔案，並建立捷徑以讓該程式能夠自我管理，進而控制受害者電腦。</p> <p>由於Teams屬於團隊協作平臺，因此當駭客得以溜進Teams會議或聊天室中時，將可一次感染眾多的受害者。</p> <p>Avanan指出，由於Microsoft Teams屬於新興的平臺，目前防禦機制有限，再加上大多數的使用者尚未經過相關的資安洗禮，而讓駭客更容易得手。例如使用者可能對電子郵件的安全性較有感，卻相對信任Microsoft Teams；或者是從未懷疑那些進入Microsoft Teams的同事，甚至是執行長等高階主管，可能是駭客假冒的；也更容易於Microsoft Teams中分享各種機密文件。</p> <p>最近的攻擊行動也讓Avanan提醒使用者，應該對這些協作平臺更有安全意識，例如應該檢查下載的所有內容，針對所有商業通訊部署安全機制，組織亦應鼓勵使用者檢舉可疑的文件。</p> </div></div></div>
2022/2/18 14:44作者陳曉莉https://www.ithome.com.tw/news/149442
一名法國人以干擾器阻止小孩上網卻波及鄰居
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國國家頻譜管理機構L'agence nationale des fréquences（ANFR）今年收到一個奇怪的投訴，有一家電信營運商宣稱在朗德省（Landes）一個名為桑德熱（Messanges）的小鎮，從每天午夜到凌晨三點的行動電話及網路服務都會斷線，<a href="https://www.anfr.fr/toutes-les-actualites/actualites/les-enquetes-de-lanfr-les-dents-le-brouilleur-et-au-lit/" target="_blank">查明後發現</a>，原來是一名家長想阻止小孩在半夜上網而使用了干擾器，結果不僅讓小孩無法上網，還波及了鄰居。</p> <p>ANFR指出，這家電信營運商聲稱它們的訊號受到干擾，而且每天只在固定的時間點發生，使得ANFR派出了調查員，調查員於半夜開著配備頻譜分析器，以及車頂裝著無線電測向儀的公務車在該鎮巡邏，最終找到了干擾來源來自一家民宅。</p> <p>隔天ANFR調查員於警察的陪伴下造訪該民宅，住戶直接坦承他安裝了干擾器，目的是為了阻止家中的青少年半夜還在玩手機而不睡覺，他說小孩最近有網路成癮的狀況，特別是因疫情而被限制在家之後。</p> <p>ANFR也發現該住戶所安裝的干擾器可同時阻斷Wi-Fi及行動網路的訊號，而且不只讓家中小孩無法連網，連周遭區域的住戶都無法使用網路。</p> <p class="rtecenter"><img alt="" src="https://www.anfr.fr/fileadmin/mediatheque/documents/Newsletter/N57/enquete-2.jpg" style="width: 575px;" /></p> <p><span style="color:#696969;">圖片來源／ANFR</span></p> <p>法國政府明文規定居民不得持有、銷售或安裝各種干擾器，於是該民眾的干擾器直接被警方沒收，而且還面臨最高6個月的牢獄之災，以及3萬歐元的罰款，同時他也必須支付450歐元的干擾費用。</p> </div></div></div>
2022/2/18 14:01作者陳曉莉https://www.ithome.com.tw/news/149440
微軟將要求Windows 11 Pro用戶建立Microsoft帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://arstechnica.com/gadgets/2022/02/new-preview-build-adds-microsoft-account-requirement-to-windows-11-pro/" target="_blank">Ars Technica發現</a>，微軟在Windows 11更新版新增一項變更，要求Pro版用戶必須先建立Microsoft帳號、連上雲端才能安裝使用。</p> <p><a href="https://www.ithome.com.tw/news/149389" target="_blank">微軟本周釋出Windows 11首次更新版本測試版</a>，提供新版記事本與Media Player、改善工作列及開放美國用戶試用1,000多款Android程式，但是根據<a href="https://blogs.windows.com/windows-insider/2022/02/16/announcing-windows-11-insider-preview-build-22557/" target="_blank">微軟網頁說明</a>，Windows 11 Pro版的首次安裝，必須連上網際網路以及設定一個微軟帳號，即使電腦作為個人使用也會需要代管服務帳號（managed service account）。微軟並指出，以後的WIP（Windows Information Protection）應用也會需要Microsoft 帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0218-windows%2011%20pro%20setup-600.png" style="width: 600px;" /></p> <p>這使得Windows 11 Pro也步上Home版的後塵。Windows 10時期，電腦安裝Home版或Pro版只需建立本地用戶帳號，但Windows 11推出時，Home版首先加入這項要求。</p> <p>目前這要求僅見於測試版，是否會部署到正式版不得而知。對已經有Microsoft帳號、或以工作帳號登入公司電腦的用戶並沒有什麼影響，但對經常重灌或安裝Windows的用戶，像是開發、測試人員或沒有網路的人來說，新要求將相當令人困擾。</p> <p>Ars Technica指出，登入微軟帳號可讓用戶下載Microsoft App Store、OneDrive雲端或跨裝置同步或共享內容，但即使如此，Windows 11將成為唯一強制要求連使用基本功能也得連網並登入帳號的主流OS。就連蘋果也允許安裝時建立本機帳號，設定iPhone或iPad也可以跳過不登入。Google雖然要求Android啟用時需連線，但並不需登入。ChromeOS甚至提供Guest 模式，用戶不需帳號仍可使用基本上網功能。</p> </div></div></div>
2022/2/18 14:16作者林妍溱https://www.ithome.com.tw/news/149441
推動邊緣運算，AWS在都會區增建小型資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/aws-announces-global-expansion-aws-local-zones" target="_blank">AWS本周宣布</a>，為了使雲端服務更貼近客戶，將在美國及美國以外國家建立AWS本地區域（AWS Local Zone）的計畫。</p> <p>本地區域是延伸大型AWS Regions的基礎架構部署方式，使AWS的運算、儲存、資料庫及其他AWS服務，能部署在都會區附近的雲端邊緣，其目的在讓其客戶部署超低延遲率的核心服務，包括Amazon EC2、Amazon EBS、 Amazon VPC 等，以配合企業本地部署的資料中心或是終端用戶。AWS也提供邊緣雲服務如AWS Wavelength 或 AWS Outposts等。除此之外，AWS本地區域也讓企業用戶以AWS VPC（virtual private cloud）網路連上AWS區域，使用Amazon S3和Amazon Aurora、或是API及其他工具。</p> <p>透過AWS本地區域，客戶可提供延遲性容忍度僅個位數毫秒的應用，像是即時線上遊戲、高畫質影片服務、串流影像、工程模擬、擴增實境/虛擬實境、邊緣端的機器學習推論等。此外AWS指出，另一些客戶則是基於法規要求，如金融、醫療、政府或具有資料保密要求，不得將資料存在外國，但又希望享有雲端運算彈性、依用量付費、高擴充性等效益。這些用戶可透過網際網路或以AWS Direct Connect連結存取AWS本地區域服務。</p> <p>AWS近日剛完成美國包括紐約、洛杉磯、休士頓及西雅圖等16個都會區本地區域的設立，該公司表示還規畫未來2年內將AWS本地區域推向全球其他26國、32個都會區，包括馬尼拉、曼谷、阿姆斯特丹、慕尼黑、布拉格、華沙、里約熱內盧、布里斯班、奧克蘭、多倫多和溫哥華等</p> <p>因應邊緣雲需求，雲端業者紛紛和原本就有機房或廠房、倉儲中心等資產的廠商合作。例如Google、微軟、及AWS主要和電信業者合作。2020年底Dell也和運輸龍頭聯邦快遞（Fedex）、資料中心設計業者Switch，<a href="https://www.ithome.com.tw/news/141098" target="_blank">在全美打造Exascale多雲邊緣運算網路基礎架構</a>。</p> </div></div></div>
2022/2/18 13:18作者林妍溱https://www.ithome.com.tw/news/149438
VMWare修補ESXi hypervisor的沙箱逃逸漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vmware.com/security/advisories/VMSA-2022-0004.html" target="_blank">VMWare本周發布安全公告</a>，修補旗下產品5項漏洞，包括2個能讓惡意程式突破沙箱，而在本機作業系統執行的安全漏洞。</p> <p>這5項漏洞包括 CVE-2021-22040、CVE-2021-22041、CVE-2021-22042、CVE-2021-22043及CVE-2021-22050，其中前4項是中國天府盃駭客大賽中，由崑崙實驗室（Kunlun Lab）研究人員揭露的重要漏洞。</p> <p>CVE-2021-22040、CVE-2021-22041分別存在VMware軟體的XHCI 及UHCI USB 控制器介面。CVE-2021-22040屬於使用已釋放記憶體漏洞（use-after-free），CVE-2021-22041則為Double-fetch條件競爭漏洞，這些漏洞能讓具備VM管理權限的使用者，突破VM而在實體機器OS上執行運行VMX行程程式碼。</p> <p>兩個漏洞CVSS風險值皆為 8.4。受影響產品包括VMware ESXi（6.5到7.0）、 Workstation（12.x）、Fusion（16.x）及Cloud Foundation（ESXi）3.x、4.x版。</p> <p>CVE-2021-22042及CVE-2021-22043皆為存在VMware ESXi settingsd的權限擴張漏洞。前者允許具VMX行程的使用者以更高權限用戶/管理員身分存取settingsd，後者為一TOCTOU（Time-of-check Time-of-use，檢查時間/使用時間）漏洞，也使具settingsd存取權限的用戶得以寫入暫存檔，進而擴張權限。</p> <p>兩個漏洞CVSS風險值皆為8.2，影響ESXi 7.0版本及Cloud Foundation 3.x、4.x版。</p> <p>CVE-2021-22050則為影響ESXi的slow HTTP POST DoS（denial of service）漏洞，可使能在本地網路存取ESXi的攻擊者，透過發出大量呼叫導致ESXi的rhttpproxy服務崩潰。受影響版本為ESXi 6.5到7.0版及Cloud Foundation 3.x、4.x版。</p> <p>VMWare已經針對受影響產品釋出新版。VMware表示目前尚未接獲漏洞開採的情形通報。</p> </div></div></div>
2022/2/18 11:37作者林妍溱https://www.ithome.com.tw/news/149435
企業開源可學美國國防部這樣做
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道美國國防部在F16戰鬥機裝上了Kubernetes叢集嗎？美國空軍早在2019年秋天時，在猶他州一座空軍基地內組成了一個團隊，花了45天，將F16戰鬥機上的執行環境，換成了Kubernetes，而且只靠戰鬥機上的老舊硬體設備，也可以做到在2分鐘內用Istio啟動整套Kubernetes，來執行5、6隻微服務。美國空軍軟體長透漏F16戰機電腦換上K8s的原因，就是看上容器化環境可以支援老舊語言和最新的Go、Python、Java程式，能讓戰鬥機執行更多新應用。</p> <p>後來，不只F16戰鬥機，美國國防部還嘗試在武器系統、太空系統上運用K8s的專案，2020年時至少超過30個團隊在K8s上開發應用。不只空軍，美國海軍也發起了開發專案要將K8s用到海軍裝置上。</p> <p>美國國防部擁抱Kubernetes不只是一個技術問題，更是一個管理問題。因為Kubernetes是開源軟體，而且是來自世界各國開發者的貢獻，如何在高度重視機密控管和安全的軍事環境中，使用來自開放社群的程式碼，是一大挑戰。</p> <p>關鍵正是，美國國防部在2018年訂定了網路戰略，在其中為美國國防部使用開源軟體，制定了一套規範，更以這套規範設計了自己的DevSecOps 環境，來確保可以安全地使用開源軟體，這才讓美國空軍資訊團隊，可以在F16戰鬥機上部署K8s。</p> <p>美國沒有透露這套DevSecOps的細節，但是可以從他們的網路戰略的相關規範，來了解他們對於運用開源軟體的關鍵原則。</p> <p>美國國防部去年底剛上任的新任資訊長John B. Sherman，在今年1月親自發了一份內部備忘錄，叮嚀美國國防部內部各部門，只要依據這份網路戰略規範，注意兩大風險，就能夠安全的善用開源軟體來創新。</p> <p>這位資訊長強調，開源軟體是現今軟體定義世界的重要基礎，也是讓軟體派送更快的關鍵。他指出，美國國防部也必須清楚知道，如何和更多開源社群互動、參與和貢獻的方法。他所提醒的兩大風險，一個是，開源軟體開啟了一條第三方程式碼進入美國國防部的管道，可能讓惡意程式有可趁之機，另一個風險是，將內部程式碼開源釋出時，可能將關鍵創新透露給美國的競爭對手。</p> <p>但他不是要禁止開源軟體的使用，反而是要告訴自家團隊，如何因應這兩項風險的對策和做法，安全的善用開源軟體的效益。</p> <p>因應第一項風險，美國國防部建立了一個供應鏈風險管理機制（SCRM），針對網路威脅有一套標準化檢測流程。而對第二項風險則是建立了一個模組化開放系統方法論（MOSA），透過模組化切割的作法來保護關鍵的創新元件。</p> <p>美國國防部還把這兩份規範的內容，也公開到美國國防部的開源軟體FAQ網站上。在這個網站上，提供了美國國防部所有對開源軟體的使用規範和注意事項，從開源軟體基本介紹，到美國政府開源政策、開源授權使用和說明等基礎資訊，以及與開發團隊密切相關的，開源軟體供應鏈安全管理作法，還有該如何在重要的國防安全系統中運用開源軟體的方式，甚至是，如何將美國國防部自行開發的程式碼開源釋出的作法，洋洋灑灑，超過65條問答說明，非常詳細，甚至要到哪裡取得專用開源程式碼的建議都有。</p> <p>美國國防部這個開源軟體FAQ網站，可說是一套企業或組織擁抱開源軟體的參考指南，而且是可以符合五角大廈高度機敏程度的要求都能適用。</p> <p>隨著雲端原生技術越來越重要，越來越多企業擁抱這類技術同時，也等於擁抱了一整套的開源工具鏈軟體，如何更安全的管理開源軟體，成了企業資訊部門的新挑戰。</p> <p>臺灣已有一些大型金控，如國泰金，全力擁抱雲端原生技術之際，也發展出一套自己的開源軟體規範，但有更多企業才開始運用各種雲端原生技術和工具，不見得有一套自己的開源軟體管理框架，倒是可以參考美國國防部的這套開源軟體管理作法，更放心的來善用雲端原生技術的好處。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%8E%9F%E7%94%9F%E6%8A%80%E8%A1%93">雲端原生技術</a></div><div class="field-item odd"><a href="/tags/%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E8%A6%8F%E7%AF%84">開源軟體規範</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E7%AE%A1%E7%90%86%E6%A1%86%E6%9E%B6">開源軟體管理框架</a></div><div class="field-item odd"><a href="/tags/%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8">美國國防部</a></div><div class="field-item even"><a href="/tags/kubernetes">Kubernetes</a></div><div class="field-item odd"><a href="/tags/k8s">K8s</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94">開源軟體</a></div></div></div>
2022/2/18 12:00作者王宏仁https://www.ithome.com.tw/voice/149436
Google雲端管理工具Active Assist可找出閒置工作負載，助用戶降低碳排放量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在雲端管理工具<a href="https://cloud.google.com/blog/topics/sustainability/reduce-your-cloud-carbon-footprint-with-active-assist">Active Assist</a>加入節能新功能，可持續辨識閒置工作，並且提醒用戶採取進一步的行動。Google提到，他們分析Google雲端上所有用戶的匯總資料，發現可清理和回收的資源，超過60萬淨公斤二氧化碳當量（kgCO2e），也就是說，相當於要種植近一萬棵樹，才能抵銷這些疑似閒置專案所產生的二氧化碳。</p> <p>Active Assist是Google雲端AIOps解決方案的一部分，AIOps解決方案的目的，是要利用資料和機器學習，來降低雲端複雜性和管理工作量。在Active Assist產品組合中，具有像是Policy Intelligence、Network Intelligence Center、Predictive Autoscaler等產品和工具，可以針對各種Google雲端服務提供組合建議。</p> <p>Google現在擴充Active Assist的功能，來協助企業達到永續性目標，並減少工作負載的碳足跡。Active Assist可發現未被關注的專案，用戶可利用Unattended Project Recommender功能，刪除閒置專案來降低總碳排放量，Google提到，該功能是使用機器學習技術，發現閒置和可能無人看管的專案。</p> <p>Active Assist還加入carbonFootprintDailyKgCO2欄位，估算指定專案相關的二氧化碳排放量，同時Active Assist也會計算移除閒置專案後，每月所減少的二氧化碳排放量。用戶可以使用Recommender API、Recommendation Hub、Carbon Footprint儀表板，以及BigQuery匯出建議來取得這些資料，與企業現有工具和工作流程整合。</p> <p>由於要讓用戶能夠更容易地使用到這些節能減碳功能，Google將現有和未來的相關工具，都整合到Carbon Sense套件中，在該套件提供一系列可以讓用戶簡單查看，並且減少碳排的功能。Active Assist則加入Carbon Footprint等產品中，使得用戶能夠了解和測量，所使用的Google雲端服務總碳排放量，同時提供低碳訊號，引導用戶選擇使用更乾淨的雲端地區，來執行工作負載。</p> <p>用戶現在就可以查看Carbon Footprint儀表板和Recommendation Hub，來獲得永續性目標建議，也能掌握閒置專案可節省的碳排放量。用戶可以將建議匯出至BigQuery，並使用DataStudio或Looker來進一步分析閒置專案，又或是使用Connected Sheets，利用Google Workspace Sheets來操作BigQuery中的資料，便可以在不需編寫SQL的情況下進行查詢。</p> <p>從2017年開始，Google的資料中心便100％使用再生能源，而他們也承諾，在2030年時，要能24/7使用無碳能源維持營運。</p> </div></div></div>
2022/2/18 10:16作者李建興https://www.ithome.com.tw/news/149432
Apache Cassandra資料庫傳有RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://jfrog.com/blog/cve-2021-44521-exploiting-apache-cassandra-user-defined-functions-for-remote-code-execution/" target="_blank">安全研究人員發現</a>，Netflix、Reddit使用的NoSQL資料庫Apache Cassandra存在遠端程式碼執行（remote code execution，RCE）漏洞。</p> <p>Cassandra是一個分散式NoSQL資料庫，由於其高擴充性及分散的特性，使用者涵括許多知名企業，包括Netflix、Twitter、Reddit、思科、OpenX、Digg等。它被大量運用在DevOps及雲端原生開發專案，像是Jaeger等CNCF（Cloud Native Computing Foundation）專案，一些雲端服務如無伺服器多雲DBaaS業者DataStax更是直接建立在Cassandra之上。</p> <p>安全廠商JFrog安全研究人員說明，Cassandra提供用戶定義功能（user-defined function，UDF）組態，讓開發人員在其資料庫內執行特定資料運算，他們可以Java或JavaScript撰寫設定UDF。使用JavaScript時，Cassandra會在JavaRuntime Environment（JRE）使用Nashron引擎。為確保安全，Cassandra的設計是必須在一個沙箱中執行Nashron JavaScript。Cassandra團隊也設計了白名單及黑名單過濾，以及安全管理員程式預設不允許執行來防止惡意程式執行。</p> <p>JFrog研究團隊發現，<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44521" target="_blank">編號CVE-2021-44521的漏洞</a>存在Casasandra 沙箱其中一個非預設組態「enable_user_defined_functions_threads」，只要將其參數值改成true就能允許所有使用者建立並執行任意UDF，包括匿名登入的使用者。此外也可以從Config.java組態檔變更組態。透過變更該組態及執行UDF，研究人員利用Nashorn引擎、繞過沙箱防護，而成功執行RCE攻擊，另外也可以對系統引發阻斷服務（Denial of Service，DoS）攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0218-Apache%20Cassandra%20vuln-600-1-PNG.png" style="width: 564px;" /></p> <p>研究人員指出，CVE-2021-44521的漏洞開採容易，所幸該漏洞發生在非預設配置下，因而降低危險性，但其實也有不少用戶啟動了該設定而曝露在攻擊風險中。本漏洞CVSS 3.1風險值達8.4。</p> <p>該漏洞影響Cassandra 3.0.x、3.11.x、4.0.x版，在經過通報後，Cassandra團隊已分別釋出3.0.26、3.11.12及4.0.2解決漏洞。安全廠商呼籲用戶應儘速更新到最新版本。</p> </div></div></div>
2022/2/18 10:41作者林妍溱https://www.ithome.com.tw/news/149434
Mozilla警告，當Firefox與Chrome版本抵達100時，網站可能會無法正常運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2022/02/version-100-in-chrome-and-firefox/" target="_blank">Mozilla於本周指出</a>，當瀏覽器版本邁入100之際，使用者所造訪的網站可能因其使用者代理人（User-Agent，UA）的解析程式庫不支援3位數的版本，而造成網站無法正常運作，特別是即將於今年3月邁入正式版的Chrome 100，以及5月的Firefox 100。</p> <p class="rtecenter"><a href="http://hacks.mozilla.org/2022/02/version-100-in-chrome-and-firefox/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-firefox%20chrome%20100-600.png" style="width: 550px;" /></a></p> <p>使用者代理人為瀏覽器所傳送的HTTP標題中的字串，主要目的是讓網站伺服器辨識瀏覽器的版本與其它相關資訊，以根據瀏覽器所支援的功能來調整網頁的遞送。因此，網頁開發者透過各種技術來解析這些字串，像是客製化的程式碼，或者是利用既有的UA解析程式庫，以用來決定網頁的處理邏輯。</p> <p>Mozilla之所以會擔心此事是因為在12年前，當瀏覽器版本從個位數進入兩位數時，網頁的呈現就曾發生問題，因此合理懷疑有些UA解析程式庫也無法處理三位數的瀏覽器版本。</p> <p>事實上，Mozilla與Google已經開始測試此事，確實發現在以Firefox 100或Chrome 100造訪某些網站時，會讓網站出現錯誤，例如Yahoo首頁會秀出「瀏覽器不支援你所造訪的部分網頁，請升級至最新的瀏覽器版本」，有些網站則會無法播放影片。</p> <p>此外，Mozilla與Google也已在規畫權宜措施，主要是將UA字串中的瀏覽器版本別從100改為99。</p> <p>Mozilla建議開發者應該自Chrome 100及Firefox 100的Nightly版，就展開相關的測試，並呼籲網站管理人員檢查所使用的UA解析程式庫，而UA解析程式庫的作者則應更新自己的程式。</p> </div></div></div>
2022/2/18 09:49作者陳曉莉https://www.ithome.com.tw/news/149433
記憶體分析開發平臺Apache Arrow添加新協定Flight SQL，可加速資料庫存取和減少程式碼撰寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache頂級專案之一的記憶體分析開發平臺Apache Arrow，現在加入了一個由社群開發的客戶端到伺服器協定<a href="https://arrow.apache.org/blog/2022/02/16/introducing-arrow-flight-sql/">Flight SQL</a>，其結合Arrow記憶體中的欄位格式（Columnar Format）以及Flight RPC框架，來加速SQL資料庫操作。</p> <p>Flight SQL的目標，是要提供與JDBC和ODBC等現有API大致相同的功能，包括執行查詢、創建表示式，甚至是擷取SQL方言、可用類型和定義表格的後設資料。而透過利用Apache Arrow建構應用程式，Flight SQL便讓用戶可以和Arrow本地資料庫進行互動，不需要進行額外的資料轉換。</p> <p>Flight提供了一種線上傳輸格式（Wire Format）的實作，支援開箱即用的加密和身份驗證功能，並且讓開發者有能力進一步實作像是平行資料存取這類最佳化功能。雖然Flight SQL可以直接用來存取資料庫，卻不是要成為JDBC/ODBC替代品，由於Flight SQL可用作線上傳輸協定和驅動程式實作，因此反而可支援JDBC/ODBC驅動程式，減少資料庫實作的負擔。</p> <p>雖然JDBC/ODBC等標準，已經被使用了數十年，但對於想要使用Apache Arrow或是一般欄式資料庫的用戶來說，JDBC/ODBC功能遠遠不足，官方舉例，像是使用JDBC或是PEP 249這類列式API，在欄式資料庫中，必須進行兩次資料轉置，一次以列的形式呈現給API，另一次則需要再轉回欄式格式。</p> <p>雖然ODBC等API，都提供結果緩衝區的批次存取功能，但是用戶仍需要將這些資料複製到Arrow陣列中，才能被方便地用於Arrow生態系，而Flight SQL的目標，就是要解決這些麻煩的中間步驟。Flight SQL讓資料庫伺服器一開始就能按欄式資料和Apache Arrow的方式，實作標準介面，就跟Arrow提供標準記憶體格式一樣，Flight SQL讓開發者不必再設計和實作，一個全新的線上傳輸協定。</p> <p>對客戶端來說，Flight SQL提供用戶以批次存取查詢結果，不需要從其他API或是格式轉換資料，此外，透過在Flight和Flight SQL函式庫實作線上傳輸協定，用戶端或是驅動程式所要編寫的程式碼就更少，而且在底層使用Flight，客戶端和伺服器還可以實作像是平行資料存取這類最佳化功能。</p> <p>與PyODBC等現有的函式庫相比，Arrow Flight已經可加速達20倍，而Flight SQL能夠將這樣的效能優勢，打包至一個標準介面，供客戶端和資料庫實作。Flight SQL跟著Apache Arrow 7.0.0一起發布，目前仍在開發階段，不過C++和Java實作已經可以使用。</p> </div></div></div>
2022/2/18 10:02作者李建興https://www.ithome.com.tw/news/149429
Elastic和AWS不吵了，不只在侵權訴訟達成協議還進一步深化合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic在最新發表的<a href="https://www.elastic.co/blog/elastic-and-amazon-reach-agreement-on-trademark-infringement-lawsuit">聲明</a>中提到，已經和AWS解決有關於Elasticsearch一詞的商標侵權訴訟，AWS和AWS市集上的Elasticsearch服務只能稱為Elastic Cloud。Elastic提到，這是在2021年Elasticsearch和Kibana變更授權，以及AWS變更服務命名之後，才達成的協議，目的是要消除相關產品命名在市場可能會產生的混淆。</p> <p>官方也提到，他們會與AWS繼續合作，支援在AWS上使用Elastic產品的用戶。Elastic和AWS的合作，可降低用戶在AWS上使用Elastic Cloud擷取資料的障礙，雙方近期進行了超過20項的整合，簡化Elastic自AWS FireLens、Amazon S3 Storage Lens、AWS網頁應用程式防火牆，以及AWS網路防火牆等服務擷取資料的工作。</p> <p>另外，Elastic也宣布AWS成為合作夥伴，而Elastic Cloud也被認證為AWS ISV工作負載轉移計畫的一部分，使得用戶可以更簡單地搬遷部署至AWS上的Elastic Cloud，Elastic作為轉移計畫合作夥伴，透過提供採用指引和搬遷資源，以簡化用戶的搬遷程序。</p> <p>Elastic表示，這些僅是與AWS合作的一部分，接下來有機會將會展開其他合作。</p> </div></div></div>
2022/2/18 10:04作者李建興https://www.ithome.com.tw/news/149430
Google釋出雲端架構圖繪製工具，不只有預建置架構可參考還提供一鍵部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端現在釋出自家<a href="https://cloud.google.com/blog/topics/developers-practitioners/introducing-google-cloud-architecture-diagramming-tool">架構圖繪製工具（Architecture Diagramming Tool）</a>，協助用戶繪製雲端架構，也提供預建置架構，讓用戶不用從零開始，更方便的是，只要點擊按鈕就能實際部署架構中的所有元件。</p> <p>官方提到，雲端實作的第一件事，便是繪製架構圖，因為架構圖可以跟團隊說明目標，並且與團隊協作和迭代設計，最終創建出符合業務所需的最終版本。而在繪製架構圖的過程，用戶會遇到許多問題，Google舉例，像是要從空白的畫布開始可能特別困難，而且即便有了架構圖，要轉換到實際實作，這過程也並不容易。</p> <p>因此Google推出了架構圖繪製工具，在工具中提供所有Google雲端產品和服務列表，按運算和儲存等類別分類，用戶也可以單獨搜尋產品，找到之後將服務拖拉到畫布上，並且連接這些服務圖標，另外也可以按需求，額外增加代表其他實體的圖標，這項工具提供用戶，所有建置架構圖需要的工具。在完成架構圖之後，用戶還可以方便地與團隊分享圖表，或是將圖表添加到其他文件中。</p> <p>這個架構圖繪製工具也提供了預建置參考架構，超過10個常見的使用案例，包括資料科學、機器學習、網站、CI/CD、微服務和運算等預建置參考架構，讓用戶不需要從零開始，可以將預建置參照架構當作起始，進一步調整成適合自己使用案例的架構。</p> <p>當用戶完成架構圖，這項架構圖繪製工具還提供了一個方便的功能，便是讓用戶可以依據架構圖，一鍵在Google雲端快速部署所有架構元件。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/ArchitectingTool-3.gif" style="width: 580px; height: 351px;" /></p> </div></div></div>
2022/2/18 10:07作者李建興https://www.ithome.com.tw/news/149431
PChome與渣打銀行聯手推出貸款服務，可根據電商營運資料評估供應商貸款額度利率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準電商供應商的資金需求，PChome和渣打銀行合作推出新的線上貸款服務「PChome幫手貸」，可以供應商在PChome的營運銷售資料，加上傳統的聯徵信用、中小企業資料，作為貸款額度及利率的評估參考之一，並強調最快在48小時內回覆，瞄準供應商的即時資金需求。</p> <p>渣打銀行總經理韓德聖表示，雙方的合作，將銀行業者擅長的大數據分析，結合電商購物平臺的供應商營運資料，並通過AI預審，找出未被滿足的潛在客戶，提供即時貸款融資服務。</p> <p>PChome董事長詹宏志則表示，PChome與渣打銀行的專案團隊，針對供應商貸款的流程經過長時間規畫及討論，共同推出此一里程碑式服務。與PChome營業往來的供應商的貸款資格，不論是否提出申請，都會預先審核，因此當供應商決定申請之前，已備好供應商的資料，準備貸款給供應商，同時針對傳統貸款繁鎖的過程，簡化流程及文件，法規要求的實體文件，由銀行安排快遞收件，因此供應商不需到銀行，48小時內可獲得銀行根據供應商在PChome的應收帳款、存貨融資等營運資料，審核後提供的貸款額度。供應商有資金需求時，隨時可動撥額度，資金進入PChome供應商的款戶，不需另開銀行帳戶，對銀行而言是一項創新。</p> <p>詹宏志也提到，過去疫情影響的兩年期間，供應商取資金的過程相當辛苦，時間也拉長，例如貨物卡港，供應商從付款到收款時間拉長，新的貸款服務將能提供供應商新的資金取得管道。</p> <p>他進一步預告未來雙方合作將以此為起點，PChome將和渣打銀行開發更多金融服務給供應商協助其成長，未來也希望提供金融商品給消費者，就其消費能力、資金安排，「從前大家是先存錢再旅遊，以後可能是先旅遊再存錢」。以新的方法服務消費者，除了靠現有金融的信用資料之外，加上PChome過去二十年所累積的行為資料，供應商及消費者的紀錄，可以其他形式取代擔保品，提供他們需要的金融服務。</p> <p>渣打銀行消費金融、私人理財既中小企業銀行事業總處負責人林素真則表示，渣打銀行與PChome合作，針對供應商的貸款驗，發現過去銀行對中小型企業申請貸款，除了申請過程冗長，審核需要2到3周，銀行審核融資也未將電商應收帳款、存貨融資視為資產，因此與PChome合作，針對其痛點推出新的貸款服務。</p> <p>她表示，新貸款服務提供靈活的額度，取代傳統以供應商負責人存款作為審核的參考，而是以供應商在PChome的紀錄，根據供應商存貨付款、銷售業績、銷售迴轉的快慢，作為評估貸款額度及利率的參考之一，將這些資料及金融監管機關要求的聯徵信用資料、中小企業資料串成模組，提供供應商預審的額度與利率，在供應商登入PChome後臺就能到視預審的額度，再決定是否提出申請。銀行收到申請資料後，再從PChome取得供應商營運資料，寄給供應商，由其列印簽章後，由銀行安排的快遞取件，銀行在48小時內審核通過額度。</p> <p>而在主管機關對資料安全的要求方面，林素真指出，新的貸款服務背後使用30多組API介接，當銀行取得供應商資料後，轉換為預審模具，透過API介接取得聯徵資料、中小企業平臺資料，通過數位申請、API介接，達到資訊交換、資安的要求。</p> <p>考慮到電商平臺供應商的需求，這項貸款服務也強調免開銀行帳戶，免擔保品、免保證人，提前還款免違約金。渣打銀行主要向供應商收取動撥費、貸款利率。林素真期望這項貸款服務推出後，可獲得PChome約2成供應商成為貸款客戶。</p> </div></div></div>
2022/2/17 18:49作者蘇文彬https://www.ithome.com.tw/news/149428
全球半導體市場規模究竟有多大？去年售出5,559億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.semiconductors.org/global-semiconductor-sales-units-shipped-reach-all-time-highs-in-2021-as-industry-ramps-up-production-amid-shortage/" target="_blank">半導體產業協會（Semiconductor Industry Association，SIA）近日公布了2021年的全球半導體市場規模</a>，指出去年該市場的出貨量為1.15兆個，交易額則高達5,559億美元，比2020年增加了26.2%，也刷新了歷史紀錄。</p> <p>SIA主席John Neuffer表示，肇因於全球的晶片短缺，去年全球半導體業者大肆提高產能，以滿足持續高漲的市場需求，而讓不管是出貨量或交易金額都創下歷史新高，此外，由於不管是現在或未來的基本技術都需要晶片，未來幾年市場對半導體產量的需求將顯著成長。</p> <p>其中，中國為半導體最大的出貨市場，去年的交易金額高達1,925億美元。至於去年交易額最大的晶片則是邏輯晶片，達1,548億美元，居次的是記憶體的1,538億美元。成長最快的則是經常用在汽車、消費者產品與電腦上的類比晶片，銷售額為740億美元，成長33.1%，</p> <p><a href="https://www.ithome.com.tw/news/149086" target="_blank">美國商務部也在上個月公布全球半導體供需報告</a>，指出供需最失衡的半導體產品分別是傳統邏輯晶片（Legacy Logic Chips）、類比晶片（Analog Chips），以及光電晶片（Optoelectronics Chips）。</p> </div></div></div>
2022/2/17 16:38作者陳曉莉https://www.ithome.com.tw/news/149419
【資安日報】2022年2月17日，惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意程式Emotet、TrickBot在全球攻擊升溫的情況，使得資安研究人員提出警告。其中，駭客採用更為複雜的手段將Emotet傳送到受害電腦，而TrickBot則是廣泛鎖定60個知名美國企業的客戶下手。</p> <p>美國關鍵基礎設施（CI）持續遭到駭客攻擊的現象，也使得當局發出警告，一是勒索軟體BlackByte的肆虐，另一個則是俄羅斯針對美國國防供應商的情資收集。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.jpcert.or.jp/at/2022/at220006.html"><span style="color: rgb(0, 0, 0);">日本警告惡意軟體Emotet於2月初攻擊行動升溫</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/at220006_fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/at220006_fig1.png" style="width: 300px; float: right;" /></a>惡意軟體Emotet自2021年11月捲土重來後，近期攻擊行動出現大幅增加的現象。日本JPCERT/CC於2月10日提出警告，他們觀察到疑似被Emotet挾持、用於攻擊行動的日本電子郵件信箱（.jp），於2月5日出現開始大幅增加的現象，有超過1,200個信箱遭到濫用，已經接近2020年8月底至9月中旬攻擊的規模。</p> <p>該組織亦指出，挾帶Emotet的釣魚信看起來很像是由業務夥伴或熟人寄送，附件的Office文件乍看也似乎與業務有關，呼籲民眾最好要進一步向對方確認。JPCERT/CC也於17日呼籲，使用者可透過他們的檢測工具EmoCheck 2.0，檢查電腦是否感染Emotet。</p> <p><span style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/new-emotet-infection-method/"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體Emotet透過以密碼保護的ZIP檔案散布</strong></span></a></span></p> <p>駭客利用惡意軟體Emotet發動攻擊的手法，可說是越來越複雜。資安業者Palo Alto Networks揭露近期對於Emotet的觀察，指出他們發現駭客自2021年12月21日開始，使用的新攻擊手法，駭客先是透過釣魚郵件挾帶以密碼保護的ZIP壓縮檔附件，來規避防毒軟體的檢測，但在郵件內文提供密碼讓受害者能夠開啟；該壓縮檔內帶有惡意巨集Excel文件，一旦受害者依照指示啟用巨集，電腦便會藉由命令提示字元（CMD）來執行Mshta.exe，來搜尋並啟動遠端的HTML應用程式，而這個應用程式則會下載並執行PowerShell程式碼，最終於受害電腦植入Emotet。</p> <p>研究人員指出，駭客在Excel巨集採用十六進位字元，並於HTML應用程式的程式碼裡運用混淆手法，目的都是意圖規避偵測。</p> <p><span style="font-size: 22px;"><strong><a href="https://research.checkpoint.com/2022/a-modern-ninja-evasive-trickbot-attacks-customers-of-60-high-profile-companies/"><span style="color: rgb(0, 0, 0);">惡意軟體TrickBot攻擊60家知名企業的顧客</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/12(5).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/12(5).png" style="width: 300px; float: right;" /></a>惡意軟體TrickBot自2020年10月基礎設施遭到推毀後，駭客不久後就恢復運作並持續發動攻擊，如今他們鎖定知名品牌的用戶下手，並使用更多規避功能模組。資安業者Check Point指出，TrickBot駭客組織鎖定美國60家知名的金融、IT業者的客戶發動攻擊，這些企業包含美國運通、PayPal、Amazon、微軟等，且在TrickBot捲土重來後，至少有14萬臺電腦受到感染。</p> <p>再者，研究人員指出，新的TrickBot近期導入了3個值得留意的模組，包括能從瀏覽器竊取網銀和加密貨幣錢包的injectDLL、可透過網路共享散布惡意軟體的tabDLL，以及偷取受害電腦多種應用程式帳密的pwgrabc。</p> <p><span style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-047a"><span style="color: rgb(0, 0, 0);"><strong>美國指控俄羅斯攻擊國防產業，竊取軍事機密</strong></span></a></span></p> <p>美俄之間的關係緊張，透過網路攻擊國防產業，也成為竊取軍事機密的手段。美國聯邦調查局（FBI）、國家安全局（NSA）、網路安全暨基礎設施安全局（CISA）聯手，指控俄羅斯政府支持的駭客組織，自2020年1月開始，不斷對於美國政府認可的國防承包廠商（CDC）出手，意圖取得機密資料，來了解美國的國防規畫與情報蒐集情形，部分攻擊行動持續超過半年。上述單位指出，這些駭客持續入侵的行為，可從中竊得敏感資訊，甚至是CDC專有、受到政府出口管制的技術，呼籲CDC要防範相關攻擊行動。</p> <p><span style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220211.pdf"><span style="color: rgb(0, 0, 0);"><strong>美國FBI發布勒索軟體BlackByte入侵指標，已有3種領域的關鍵基礎設施實體受害</strong></span></a></span></p> <p>勒索軟體BlackByte甫攻擊美式足球球隊舊金山49人隊（San Francisco 49ers），而引起關注，但這些駭客大肆近期也針對關鍵基礎設施（CI）下手。美國聯邦調查局（FBI）與特勤局（USSS）聯手提出警告，指出勒索軟體BlackByte自2021年11月，開始對於美國等多個國家的組織下手，其中至少有3個領域的關鍵基礎設施實體遇害，包含政府設施、金融機構、食品與農業等。他們得知有部分攻擊事故裡，駭客是透過Exchange伺服器漏洞入侵內部網路環境，然後進行橫向移動與提升權限，攻擊Windows電腦，將資料外洩並加密檔案。FBI與USSS也提供入侵指標（IoC），讓組織能加以防範。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.scmagazine.com/analysis/breach/south-shore-hospital-network-hack-impacts-data-of-116k-patients"><span style="color: rgb(0, 0, 0);">美國芝加哥地區醫院遭到網路攻擊，11.6萬病人資料外洩</span></a></strong></span></p> <p>美國醫療機構遭到網路攻擊而導致病人外洩的情況，最近又出現新的事故。美國芝加哥南岸醫院於2月4日，發出公告並通知115,670病人與員工，他們的個資疑似在2021年12月10日發生的網路攻擊中，遭到異常存取，經由外部資安廠商協助調查後，發現受影響的資料可能包含姓名、社會安全號碼、出生日期、醫療保險資料等。對於所有受到影響的人士，該院將免費提供身分竊盜保護服務，並加強各式的網路安全措施。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.secureworks.com/research/shadowpad-malware-analysis"><span style="color: rgb(0, 0, 0);">木馬程式ShadowPad疑似與中國人民解放軍有關</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/shadowpad-07.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shadowpad-07.png" style="width: 300px; float: right;" /></a>受到許多中國駭客組織利用的木馬程式ShadowPad，研究人員找到背後與中國政府的關連。資安業者Secureworks揭露他們對於ShadowPad的研究結果，並指出中國駭客組織APT41（該業者稱為Bronze Atlas）從2017年開始，就開始利用這個RAT木馬程式，但自2019年開始，有越來越多中國APT駭客運用於全球各地的攻擊行動。</p> <p>根據他們對於ShadowPad惡意程式進分析後發現，疑似是APT41在2019年前後，將此木馬程式提供給中國國家安全部（MSS）與中國人民解放軍（PLA），才廣受這些中國駭客採用。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.scmp.com/news/hong-kong/law-and-crime/article/3166739/cyberattack-harbour-plaza-hotels-hong-kong-exposes"><span style="color: rgb(0, 0, 0);">香港海逸飯店驚傳資料外洩，逾120萬住客受到影響</span></a></strong></span></p> <p>飯店業者遭到網路攻擊的現象，也出現在亞洲地區。根據南華早報的報導，香港的隱私監管機構於2月10日，接獲海逸飯店集團遭到網路攻擊的事故，多個客房預定資料庫受到影響，恐曝露超過120萬名住客的訂房細節，但除此之外，海逸飯店尚未公布有那些類型的資料遭到外洩。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/17 14:11作者周峻佑https://www.ithome.com.tw/news/149414
疫情買不到設備，柬埔寨版網路長城計畫被迫延後
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>柬埔寨政府預期本月實施全國網際網路閘道（National Internet Gateway，NIG），但礙於COVID-19疫情作業不及，被迫延後啟動這項計畫。</p> <p>柬埔寨政府去年2月宣布為強化稅收徵收及管理網路，將建置全國網際網路閘道，未來柬埔寨國內，以及任何跨境進出柬埔寨的網路流量都必須經過這套系統。<a href="https://asia.nikkei.com/Spotlight/Society/Cambodia-postpones-national-internet-gateway-plan-due-to-COVID" target="_blank">在此政策</a>下，柬埔寨政府將發放執照給電信商營運國家閘道，電信商還必須負責檢查網路連線內容，並且對影響國家營收、安全、社會命令、或危及尊嚴、文化、傳統及風俗的內容封鎖與切斷連線。柬埔寨也在去年7月公布電信法管理草案。</p> <p>這項命令引來柬埔寨國內外人權組織及科技公司批評，<a href="https://www.theregister.com/2022/02/15/cambodia_clarifies_internet_gateway/" target="_blank">認為其意在打壓自由言論、排除政治異議</a>，形同柬埔寨版的網路長城計畫。聯合國也指出NIG將允許當局監控網路活動、攔截及檢肅數位通訊、並蒐集、儲存和分享用戶個資。不過柬埔寨政府駁斥這些指控。</p> <p>這個網路閘道預計在2022年2月16日啟用。</p> <p>不過<a href="https://asia.nikkei.com/Spotlight/Society/Cambodia-postpones-national-internet-gateway-plan-due-to-COVID" target="_blank">日經亞洲</a>引述該國郵電部發言人報導，受COVID-19疫情所擾，NIG的建置將會延後，當局還在確定新的上線時程。</p> <p><a href="https://vodenglish.news/government-puts-controversial-internet-gateway-on-hold/" target="_blank">當地媒體</a>也引述該國郵電部長說明，啟動NIG計畫需要安裝及採購閘道設備，以及電信執照發放，這些都受到COVID-19疫情影響延宕。</p> <p><a href="https://www.theregister.com/2022/02/16/cambodia_internet_gateway_delayed/" target="_blank">The Register</a>則推測，在公布網路閘道計畫一年以後，柬國政府都還沒採購設備。</p> <p>另一方面，柬埔寨可能無法確定上線日期，因為受晶片缺料影響，全球所有資通訊設備呈現極度短缺。包括思科、Juniper等網路設備商也都警告客戶，長久交貨等候期還會持續到2022年。</p> </div></div></div>
2022/2/17 14:31作者林妍溱https://www.ithome.com.tw/news/149415
AWS程式碼檢查服務可揪出Java、Python程式的Log4j漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年年底揭露的Apache Log4j漏洞令全球企業恐慌，<a href="https://aws.amazon.com/tw/blogs/aws/new-for-amazon-codeguru-reviewer-detector-library-and-security-detectors-for-log-injection-flaws/" target="_blank">AWS本周宣布更新程式碼檢查服務Amazon Codeguru Reviewer</a>，方便開發人員檢查Java及Python程式中的Log4j漏洞。</p> <p>Amazon Codeguru Reviewer是AWS開發工具，可協助開發人員偵測程式碼的安全漏洞並提供建議。2020年CodeGuru Reviewer推出<a href="https://aws.amazon.com/about-aws/whats-new/2020/12/amazon-codeguru-reviewer-announces-security-detectors-improve-code-security/" target="_blank">Security Detector</a>，可從Java與Python程式碼找出OWASP十大安全風險。去年底又增加偵測程式碼和配置文件中機密資訊的功能<a href="https://www.ithome.com.tw/news/148097" target="_blank">AWS Secrets Manager</a>。</p> <p>而在這次更新中，AWS又為CodeGuru Reviewer新增2項功能。首先是加入了偵測器，以辨識Java及Python程式碼中類似去年底震驚全球的<a href="https://www.ithome.com.tw/news/148332" target="_blank">Log4Shell的日誌注入（log-injection）漏洞</a>。</p> <p class="rtecenter"><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/01/24/codeguru-detector-log-injection.png" style="width: 550px;" /></p> <p>AWS 指出，這些偵測器並不只針對Log4j函式庫。它不是檢查開發人員使用的函式庫版本，而是實地檢查日誌內容。這樣一來，即使未來有類似漏洞也能提早發現。</p> <p>另一項功能則是新加入Java、Python偵測器函式庫（Detector Library），提供CodeGuru Reviewer檢查程式碼問題的偵測器詳細說明，包括問題程式碼的描述、嚴重性及可能影響，以及提供程式碼範例。</p> <p>AWS解釋，每個偵測器都提供合規範及不合規範的程式碼範例，例如跨來源資源共用（Cross-Origin Resource Sharing，CORS）或輸入驗證不當等。但CodeGuru Reviewer使用機器學習及自動推論技術來辨識可能的問題，因此每個偵測器能找到範例以外的多種問題。有些偵測器也可協助開發人員避免以AWS工具，如AWS SDK for Java 及 AWS SDK for Python開發時的問題，如密碼憑證寫死等。</p> <p>最新功能已經在有Amazon CodeGuru服務地區上線。</p> </div></div></div>
2022/2/17 14:53作者林妍溱https://www.ithome.com.tw/news/149416
歐盟提案以60億歐元打造低軌衛星通訊系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_921" target="_blank">歐盟執委會（European Commission，EC）本周提出了</a>太空安全連結（space-based secure connectivity）與太空交通管理（Space Traffic Management，STM）兩項倡議，準備斥資60億美元打造低軌衛星通訊系統，並建立太空交通管理系統。</p> <p>歐盟現已贊助了兩個衛星系統，一個是用於全球導航的Galileo，另一個則是觀察地球之用的Copernicus，至於新的低軌衛星通訊系統，則是為了確保全球可存取安全及具經濟效益的衛星通訊服務，以及讓全歐的企業與民眾都能存取可靠的衛星服務。外界則解讀這是歐盟不讓美國專美於前而作出的決定，目前美國的SpaceX已發射近2,000顆衛星，並已展開服務，另有Amazon推出的Project Kuiper，估計將發射3,000顆衛星。</p> <p>根據EC的估計，要完全實現太空安全連結大致需要60億歐元的費用，歐盟自2022年到2027年將投入24億歐元。EC指出，此一倡議將能促進歐盟於太空生態體系的競爭力，也能增加工作機會及推動創新服務。此外，該衛星網路還能用來進行監控、危機管理及保護關鍵基礎設施的連線。</p> <p>至於太空交通管理則是著眼於太空中日益增加的衛星，估計未來10年將有2萬顆衛星被發射到太空中。EC則準備建立相關的規則，包括如何進入太空或是如何返回地球等。</p> <p><a href="https://www.euronews.com/my-europe/2022/02/15/what-is-the-eu-s-new-space-plan-and-why-does-it-matter" target="_blank">《歐洲新聞臺》（Euronews）分析</a>，目前歐洲主要仰賴其它國家所提供的衛星通訊系統，而EC所倡議的衛星星座將能確保歐洲擁有獨立的衛星通訊系統，以免受制於他人，例如避免遭到監聽，以及保持歐洲的網路彈性等。</p> </div></div></div>
2022/2/17 15:18作者陳曉莉https://www.ithome.com.tw/news/149417
國家駭客開採Zoho漏洞攻擊紅十字會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148979" target="_blank">上個月紅十字會遭駭</a>被竊走51萬人資料，紅十字會相信是手法高明的國家駭客所為，利用電子郵件系統Zoho駭入其網路得逞。</p> <p>一個月前紅十字委外儲存資料的一家瑞士資料中心業者遭駭，導致至少全球60個紅十字及紅新月會（Red Crescent）國際聯合會在人道救援中救助的民眾隱私資料外洩，總數超過51.5萬。經過一個月的調查，<a href="https://www.icrc.org/en/document/cyber-attack-icrc-what-we-know" target="_blank">紅十字國際委員會（International Committee of Red Cross，ICRC）公布調查結果</a>。</p> <p>第三方安全廠商於1月18日首先偵測到，儲存紅十字會及紅新月會推動的「家庭重聚連線」（Restoring Family Links）行動資料的伺服器上有異常活動，而揭露這樁攻擊。當下也迫使紅十字會關閉系統。</p> <p>深入分析顯示，攻擊者是在2021年11月9日駭入紅十字會網路，並潛伏了70天直到被發現。駭客是駭入了電子郵件Zoho的自助式密碼管理暨單一簽入模組的一項漏洞CVE-2021-40539。</p> <p>Zoho於去年9月修補CVE-2021-40539漏洞，當時安全廠商便偵測到有國家駭客在開採本漏洞，<a href="https://www.ithome.com.tw/news/146787" target="_blank">美國政府也發出安全公告</a>。紅十字會表示，由於修補需要時間，他們還來不及修補就遭駭。</p> <p class="rtecenter"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa21-259a" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-cisa%20cve-2021-40539-600.png" style="width: 500px;" /></a></p> <p>ICRC原本也部署了掃瞄軟體及端點偵測工具，卻仍未及早偵測到。ICRC說明，伺服器上的漏洞管理流程和工具並未偵測到，僅安裝了端點偵測和回應工具（endpoint detection and response，EDR）代理程式的系統才偵測到入侵行動，以致於大部份惡意檔案成功載入其網路環境。</p> <p>紅十字會相信這起事件是國家駭客所為，他們使用的是複雜模糊化手法及工具以隱藏惡意程式，這些工具未曾公開，需要高度技巧，僅極少數攻擊者得以使用。他們也認為這是一樁精準攻擊，因為某些程式碼是專為攻擊紅十字會而撰寫，指向紅十字會伺服器獨有的MAC位址。</p> <p>但是駭客入侵的目的不明。迄今紅十字會沒有接到任何組織出面聯繫，也沒被要求支付贖金。紅十字會公開保證會祕密和駭客連繫，但呼籲駭客不要分享、販售、外洩或利用這些資料。</p> </div></div></div>
2022/2/17 12:59作者林妍溱https://www.ithome.com.tw/news/149413
Martech雙周報第17期：擴大在臺研發能量，日商相中臺灣Martech新創技術力啟動併購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0128~0218)</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> beBit </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 博智雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 併購 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">相中臺灣Martech新創的SaaS開發與AI技術力，日商併購CDP服務商擴大在臺研發能量</span></strong></p> <p>客戶涵蓋中國信託、國泰世華、永豐金、7-11、信義房屋等大企業的日本顧客體驗策略顧問beBit，去年底宣布要在臺成立科技研發中心並啟動徵才後，近日更宣布併購臺灣MarTech新創博智雲端科技，要將該公司整合到beBit即將成立的科技研發中心，並更名為beBit Technology，雙方已開展內部的團隊與資源整合。博智雲端的Martech產品OmniSegment，涵蓋顧客數據平臺（CDP）、行銷自動化、BI分析等功能，beBit指出，OmniSegment以獨特的AI模型，將企業從EC站點、POS、ERP、行銷管道（電子郵件、SNS等）蒐集到的顧客屬性和行為模式數據，進行資料分析與可視化，來提供個人化行銷服務，因此在併購後，會將OmniSegmen整合到自家顧客體驗顧問服務中，同時獲得臺灣新創的SaaS開發能力。beBit今年計畫延續博智雲端科技的產品，擴張至新產業及海外市場，並擴大招募不同經驗的前後端工程師。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Appier </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2021年財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 年度策略目標 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">第一方數據應用趨勢帶動營收大幅成長，Appier去年盈利指標EBIDA首次轉正，今年更預計成長12倍</span></strong></p> <p dir="ltr">Appier近期公布去年Q4財報，指出去年（2021年）全年營收年增41%，達127億日圓，超越先前制定的財測目標123億日圓，全年EBITDA更達到4,200萬日圓，實現首次全年EBITDA轉正。今年，Appier2022年全年營收更預計達到175億日圓，Appier執行長游直翰指出，之所以能達到如此大的成長動能，一來是新市場擴張動能強勁，比如美國前三季的季成長率均大於50%，二是在第三方Cookie不敷使用的趨勢下，產業更仰賴第一方數據的運用，對提供第一方數據解決方案的Appier來說帶來助益，三則是現有市場與產品維持強勁的成長。同時，在預估營收成長、CrossX演算法技術提升與高毛利產品組合增加等因素下，今年毛利也預計從62億成長到91億，EBITDA更預估達到5.75億日圓，有望成長超過12倍。</p> <p dir="ltr">在各地區市場的營收占比方面，東北亞如日本與韓國市場營收達66%，大中華區如臺灣、香港、中國等市場營收也達23%，東南亞9％，其餘如美國等地區則佔3%，游直翰指出，今年業務會聚焦在高成長動能的市場與新興市場，比如美國。而在客戶的產業別方面，Appier去年有40∼50%客戶來自於電商，其餘如遊戲、娛樂產業也累積了一定的客戶，這些產業客戶仍是未來營運主力，但游直翰也觀察到，疫情成為常態後，經營線下（offline）銷售的業者也可能成為潛在客戶，對於線下的市場，「我們也在密切關注。」此外，自2020年Q4至去年Q4，Appier人力成長達到20%，Appier去年底也已經啟動大規模徵才，現仍持續專注於業務和研發人才的擴大招募。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe Experience Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 功能更新 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Adobe發布4大Experience Cloud工具更新，新增個人化、支付、行動通知與AEM網頁編輯功能</span></strong></p> <p>Adobe近期推出Adobe Experience Cloud 4大工具更新，讓零售商能夠優化在實體店與線上的個人化購物體驗。其一，是在Adobe Target中強化個人化功能，讓業者能整合顧客線上線下的活動，取得更完整的顧客視圖，再根據顧客近期的購買記錄推薦相關商品，或查看顧客最新的折扣獎勵資格。二是推出Adobe Commerce支付服務，讓業者能在同一個地方安全地管理來自各個店鋪的付款和訂單資料，也能輕易部署消費者偏好的付款方式，如信用卡、金融卡、PayPal等，來優化結帳體驗。</p> <p>三是在Adobe Journey Optimizer工具中發布了行動裝置端的溝通功能，讓業者能在應用程式中透過發送通知或文字訊息，來與消費者即時互動，例如透過定位追蹤功能發送手機提醒，來通知消費者欲找尋的商品位於店面的哪條走道上，以節省消費者購物時間。四是在內容管理工具Adobe Experience Manager（AEM）中，針對漸進式網頁應用程序（PWA Studio）推出編輯功能，讓業者可以編輯以AEM建立的網站內容，以便能在行動端和桌面端，更輕易地提供像是App端的購物體驗，有助於提升與消費者的互動和銷售轉換率。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲服務平臺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce傳有意推出NFT雲服務</span></strong></p> <p>根據<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="0" href="https://www.cnbc.com/2022/02/09/salesforce-tells-employees-its-working-on-nft-cloud-service.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-1055511225" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">CNBC的報導</span></a>，一位知情人士指出，Salesforce在一場閉門銷售策略溝通會議上（sales kicko）表示，公司計畫要提供NFT雲平臺（NFT Cloud）。 NFTs（非同質化代幣）是一種用區塊鏈技術來儲存的特殊數位資產，他們已經在藝術和收藏品領域引起熱潮，許多品牌也開始投入NFT發行。Salesforce計畫打造可讓創作者將個人作品上架，並且對外進行交易的雲端服務平臺，這個NFT Cloud可能是獨立平臺，也可能整合進現有的雲端服務中，而這也意味者，用戶也許不需要使用OpenSea就能交易NFT。但Salesforce並無對此作出回應。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/149311" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--600971656" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Brave </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反對Topics API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私廣告技術 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">隱私瀏覽器Brave抨擊Topics API僅是重新包裝的FLoC，甚至還傷害廣告公平競爭</span></strong></p> <p>Google近期宣布，以新的廣告追蹤技術Topics API來取代FLoC，不過，訴求隱私、每月超過5,000萬用戶的瀏覽器Brave認為，Topics API只是經過稍微修改的FLoC，並沒有真正解決隱私問題。Brave直指，真正有意義的隱私，應該特定於每個人的情境，真正敏感內容應該由使用者決定，而非Google，但Google擅自為用戶定義非敏感和敏感資料，並向第三方分享這些資料，Brave認為，這正是對使用者隱私的侵犯。</p> <p>Brave也指出，Topics API表面上是針對用戶的隱私做修正，但本質上則是強化了Google的廣告壟斷。因為在FLoC中，所有廣告商都能了解用戶所有的興趣，但是在Topics API中，廣告商僅能了解用戶在其所呈現頁面的興趣和行為。Brave認為，這個做法對於Google這類大型廣告商來說，仍能觸及較廣泛的網站，但小廣告商出現在較少網站上，取得的用戶訊息較少，較不利於競爭。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/149150" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--600973455" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-02-16%20%E4%B8%8A%E5%8D%8811_21_52.png" style="width: 700px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mozilla </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私廣告機制 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Mozilla與Meta合作提案隱私廣告機制IPA引來批評</span></strong></p> <p>不只Google大力發展新的隱私廣告技術，Firefox其開發商Mozilla，去年也著手發展自家的隱私廣告技術<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="0" href="https://blog.mozilla.org/en/mozilla/privacy-preserving-attribution-for-advertising/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-2089325437" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">可互通隱私歸因（Interoperable Private Attribution，IPA）</span></a>，提供廣告商執行歸因的能力，並且保障用戶隱私。不過，由於Mozilla的合作對象是在個人隱私保護上屢遭批評的Meta （Facebook），因此網路上也出現了不少反對聲浪。</p> <p>IPA具有兩個重要的隱私保護特性，第一是使用多方計算（Multi-Party Computation，MPC）技術，來避免網站、瀏覽器製造商和廣告商了解用戶行為；另一個重要的隱私保護特性，則是IPA是一個聚合系統，其所產生的結果，無法連結至單一用戶。Mozilla指出，這些功能的總和，代表著IPA無法被用於追蹤和分析用戶，以此來確保廣告歸因的計算能不侵犯用戶隱私。</p> <p>然而，身為隱私模範生的Mozilla，一直以來都是臉書在隱私作為上的批評者，因此，這次隱私廣告技術的開發，意外的在Reddit等網路論壇中受到抨擊，指出合作夥伴臉書過去在用戶隱私上擁有不良紀錄，認為Mozilla不應與Meta合作，還有用戶稱將停用Firefox。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://www.ithome.com.tw/news/149357" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id--600971526" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 功能更新 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Search Ads 360 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google以新技術重構Search Ads 360，以支持更多Google Ads與其他搜尋引擎廣告功能</span></strong></p> <p dir="ltr">Google近期發布廣告管理平臺搜尋Search Ads 360的新功能，這些更新包括對Google Ads功能的支持、對其他搜尋引擎的支持以及新的UI介面與工作流程。為了滿足廣告商的需求，Google以建構Google Ads服務相同的技術架構，來重新設計與建構Search Ads 360，透過這個共同的新技術，Search Ads 360能管理與處理比以前更多的資料，但仍符合低延遲的標準來提供快速的用戶體驗；其次，這項改變也能即時管理與支持Google Ads中的大多數新功能，例如Performance Max和Discovery系列廣告等。</p> <p dir="ltr">由於Search Ads 360的其中一大特色，就是能管理不同管道的廣告投放，包括多種搜尋引擎，因此，這次改版的另一大改變，是改善了對其他搜尋引擎廣告功能的支持。比如新增了10多種微軟的廣告功能，包括響應式搜尋廣告、附加電話訊息（call extensions）、本地商品清單式廣告（local inventory ads）、新的受眾類型如顧客配對等。新版平臺現在也能支持日本Yahoo的動態搜尋廣告（Dynamic Ads for Search）與附加連結的規劃功能（sitelink extension scheduling）等。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://blog.google/products/marketingplatform/360/introducing-new-search-ads-360/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-996438620" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Snapchat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR鏡頭購物 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個人化試穿體驗 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Snapchat正式推出AR鏡頭購物功能，供品牌建立自家商品的個人化試穿AR體驗</span></strong></p> <p>Snapchat近期正式在App中發布了AR鏡頭購物功能（Shopping Lenses），讓品牌商家可將自家的商品目錄與AR體驗串連，就能在單一鏡頭中以AR即時呈現多種產品，AR購物鏡頭將從商品目錄中動態提取產品訊息，如產品名稱和價格，並直觀的呈現在螢幕上的鏡頭商品卡（Lens Product Cards）中。鏡頭商品卡是專門為購物設計的一個新使用者介面，使用者只要輕輕滑過這些鏡頭商品卡，就能在Snapchat中進行個人化的試穿多種產品，點選產品卡的URL連結，還能進入對應的商品購買頁面來進行選購；若商家更新了商品目錄，購物鏡頭也能立即讀取最新資訊並呈現在商品卡上，比如產品價格更新或顯示完售等資訊。這項功能已經正式釋出，商家已經能透過Lens Studio或Lens Web Builder，來建立商業帳號與自家的商品目錄。（<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://forbusiness.snapchat.com/blog/introducing-catalog-powered-ar-shopping-lenses" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-216741610" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">詳全文</span></a>）</p> <div><img class="css-ap8qqu" src="https://images.ctfassets.net/inb32lme5009/6x16BkpNDCaHrV4ryyAkda/66aaf81573257c67c11b11c629ec6e0f/AR-Shopping-UI-Spectacles__3_.gif?h=600" /></div> <p dir="ltr"><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Martech動態 </span></strong></span></strong></p> <p><a href="https://blog.google/products/marketingplatform/360/dv360-frequency-ctv/" target="_blank">1.Google CTV廣告管理新增了曝光頻率控制功能</a></p> <p>責任編輯／翁芊儒</p> <p>圖片來源／beBit、Brave、Snapchat</p> <p>資料來源：iThome整理，2022年2月</p> </div></div></div>
2022/2/17 11:05作者翁芊儒https://www.ithome.com.tw/news/149409
美政府直指俄羅斯瞄準國防外包商竊取軍事機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府向來懷疑俄羅斯的網路間諜行動，<a href="http://(https://www.cisa.gov/uscert/ncas/alerts/aa22-047a" target="_blank">但本周美國政府機關進一步升高對立態勢</a>，直指俄羅斯政府支持的駭客鎖定美國國防及情報單位外包商以取得軍事機密，而且已有多次得逞。</p> <p>根據美國聯邦調查局（FBI）、國安局（NSA）及網路安全暨基礎架構安全管理署（CISA）的聯合安全公告指出，至少從2020年1月到2022年2月，美國政府偵測到俄羅斯國家駭客長期鎖定美國政府許可的大小國防外包商及次級外包商。</p> <p class="rtecenter"><a href="https://www.cisa.gov/uscert/sites/default/files/publications/AA22-047A%20Russian%20State-Sponsored%20Cyber%20Actors%20Target%20CDC%20Networks.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-%E7%BE%8E%E5%9C%8B%E8%81%AF%E5%90%88%E5%AE%89%E5%85%A8%E5%85%AC%E5%91%8A-600.png" style="width: 600px;" /></a></p> <p>這些國防部及情報單位的外包商支援的任務合約，涵括指揮、通訊及作戰系統、情報偵蒐及鎖定、武器與飛彈發展、車輛及飛機設計、以軟體開發、分析與電腦、後勤等領域。</p> <p>美國政府指出，俄國國家駭客使用常見但有效的手法來駭入目標網路，包括精準釣魚、憑證竊取（credential harvesting）、暴力破解/密碼潑灑，以及開採已知漏洞攻擊防護較弱的帳號與網路。這些駭客利用簡單密碼、未修補漏洞的系統及警覺性不高的員工駭入企業網路、雲端系統，再利用合法用戶帳密及各種惡意程式在內部網路橫向移動，達成長期滲透及竊取資料的目的。</p> <p>根據美國政府列出資訊，被用於駭入外包商的漏洞包括Exchange Server （<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-0688" target="_blank">CVE-2020-0688</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17144" target="_blank">CVE-2020-17144</a>）、 FortiGate VPN（<a href="https://www.fortiguard.com/psirt/FG-IR-18-384" target="_blank">CVE-2018-13379</a>），有些單位則是因合法用戶密碼外洩而讓駭客登堂入室。此外，俄國國家駭客也多次經由面向網際網路的應用，包括Microsoft 365、VPN及釣魚郵件駭入外包商網路。</p> <p>美國政府指出，遭到駭入的單位包括支援美國陸軍、空軍、海軍、太空軍及國防部情報計畫單位。多個外包網路遭長期滲透行動，有的單位甚至被滲透了長達6個月。</p> <p>長期活動已讓俄羅斯駭客得以取得敏感、或非機密資訊，以及外包商自有及管制出口的技術，例如2021年駭客從一家外包商竊取了數百份公司產品、與其他國家往來，以及內部人事和法律事務的文件。</p> <p>這些資訊讓駭客了解美國武器平臺開發及部署時程、車輛飛機的規格以及通訊基礎架構、IT的規畫，藉以調整俄羅斯軍事計畫、加速己方科技研發、通知同謀國或鎖定特定目標機構。</p> <p>美國政府相信，最近的未來俄羅斯國家駭客會持續鎖定美國外包商，因此鼓勵業者強化網路活動及可疑檔案、IP或帳號的偵測加強防禦。</p> <p>美國政府這次對俄羅斯做出強烈指控，顯然和俄羅斯及烏克蘭危機有關，相信俄羅斯不僅動員軍隊及軍事武器，也會升高網路攻擊。烏克蘭從今年初持續遭俄羅斯以DDoS及惡意程式攻擊。<a href="https://www.ithome.com.tw/news/149388" target="_blank">烏克蘭國防部本周指出</a>，當地時間15日下午起該國多個網站遭強大的DDoS攻擊，烏國國防部及武裝部隊網站斷線，也造成兩家國營銀行Privatbank及儲蓄銀行Oschadbank網站服務中斷。</p> </div></div></div>
2022/2/17 11:21作者林妍溱https://www.ithome.com.tw/news/149410
加拿大政府下令封鎖34個捐款給反疫苗人士的加密貨幣錢包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，加拿大皇家騎警（Royal Canadian Mounted Police，RCMP）本周要求境內的加密貨幣交易中心封鎖了34個加密貨幣錢包，原因是它們贊助了加拿大卡車司機的反疫苗抗議活動。</p> <p>加拿大政府於今年1月底開始規定，進入該國境內的卡車司機必須施打疫苗，促使尚未施打疫苗的加拿大卡車司機發起「自由車隊」（Freedom Convoy）抗議行動，這群司機開著大卡車占據了主要橋梁與邊境道路，使得加拿大總理杜魯多（Justin Trudeau）本周一（2/14）發布《緊急法令》（Emergencies Act），賦予主管機關更多的權限來控制抗議行動，其中包括封鎖「自由車隊」活動用來接受捐款的銀行帳號。</p> <p>原本該封鎖行動僅限於法幣帳號，但隨著捐款從法幣轉到虛擬貨幣，RCMP也在本周發函給境內的加密貨幣交易平臺，要求它們封鎖34個加密貨幣帳號的交易活動。<a href="https://www.vice.com/en/article/qjbewd/canada-is-ordering-crypto-exchanges-to-blacklist-freedom-convoy-addresses" target="_blank">《Motherboard》已獲得加密貨幣交易平臺的證實</a>，坦承它們的確收到了相關命令。</p> <p><a href="https://www.coindesk.com/policy/2022/02/16/canada-sanctions-34-crypto-wallets-tied-to-trucker-freedom-convoy/" target="_blank">而根據《CoinDesk》的報導</a>，在這份封鎖名單中，有29個比特幣帳號、一個以太坊帳號、一個卡爾達諾（Cardano）帳號、一個以太經典（Ethereum Classic）帳號、一個萊特幣（Litecoin）帳號與一個門羅幣（Monero）帳號。</p> <p>「自由車隊」疑似利用這些帳號來接受捐款，以支持抗議行動。迄今支持者至少已捐贈20個比特幣，目前價值約88萬美元。</p> <p>全面擁抱比特幣的<a href="https://twitter.com/nayibbukele/status/1493377382245441537" target="_blank">薩爾瓦多總統Nayib Bukele則透過Twitter批評</a>，封鎖接受抗議活動捐款的帳號，實在不像是一個號稱民主國家應該有的行為。</p> </div></div></div>
2022/2/17 11:39作者陳曉莉https://www.ithome.com.tw/news/149411
Nvidia季營收再大幅成長53%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-fourth-quarter-and-fiscal-2022" target="_blank">繪圖晶片龍頭Nvidia周三（2/16）公布</a>，截至2022年1月30日的2022財年第四季與全年財報，顯示該季營收成長53%，達76.4億美元，其中包括遊戲、資料中心與專業視覺化等業務也都創下營收紀錄。</p> <p>在76.4億美元的營收中，遊戲營收占了34.2億美元，成長37%；資料中心為32.6億美元，成長71%；專業視覺化營收為6.43億美元，成長109%；汽車與機器人營收為1.25億美元，下滑14%。該季Nvidia的每股盈餘是1.18美元，比去年同期成長了103%。</p> <p>除了季營收創新高之外，Nvidia在2022財年也以269.1億美元的營收寫下了新紀錄，比前一年成長61%。</p> <p>Nvidia執行長黃仁勳表示，他們正看到對該公司運算平臺的龐大需求，而Nvidia也正在推動各種新領域的進步，從AI、數位生物、氣候科學、遊戲、創意設計到自駕車與機器人等。</p> <p>不過，儘管財報超越分析師預期，且對下一季也有不錯的展望，當天Nvidia的盤後股價依然下挫了2.68%，跌至258.01美元。</p> </div></div></div>
2022/2/17 12:10作者陳曉莉https://www.ithome.com.tw/news/149412
跟進Web做法，Google正式推出Android版隱私沙盒計畫，將耗時2年打造兼顧隱私的新App廣告追蹤技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日宣佈從2022年初開始，要在Android上實施<a href="https://www.blog.google/products/android/introducing-privacy-sandbox-android/">開源的隱私沙盒（Privacy Sandbox）專案</a>，號召業界提案，來發展替代的App廣告追蹤技術，目標是在保護用戶隱私的前提，也能滿足廣告投放需求。Google亞太區隱私主管Jessica Martin預估，從提案、開發到上線，預計至少要花上2年的時間。</p> <p>Google早在2019年就發起Web環境的隱私沙盒專案，以因應在Chrome中禁用第三方Cookie的決策，這項計畫已提交到全球資訊網國際標準組織W3C，由一群廣告技術供應商組成的網路廣告業務小組共同討論，目標要將新技術推展為網路標準。最知名的提案即為Google力推的群組聯合學習技術（Federated Learning of Cohorts，FLoC），不過在去年7月底已經終止了實驗，近日改以新提案Topics API取代。</p> <p>在Web隱私沙盒計畫發展了2年、累積了30多項提案後，Google現在要將隱私沙盒計畫延伸到Android系統，將過去開發Web版新式廣告追蹤技術的經驗，應用到行動裝置上的App廣告追蹤。Google指出，希望找出新追蹤解方，可以限制與第三方分享使用者資料，而且使用時不需要跨App的ID識別機制就能運作。已有不少業者有意參與開發，包括社交軟體Snapchat、遊戲商Rovio、遊戲商動視暴雪、語言學習網站Duolingo等。</p> <p>在Android隱私沙盒的時程規劃中，今年Q1會進行初始提案，並持續設計、取得回饋與迭代修正，預計在今年推出開發人員預覽版，並在年底發布Beta版功能，明年則會進行規模化的測試，為上線做準備。</p> <p>Jessica Martin強調，由於Web與行動裝置跨網站、跨App追蹤使用者的技術不同，Web是使用第三方Cookie、行動裝置是使用裝置ID（比如iOS系統使用IDFA、Android系統使用GAID等），來識別同一用戶的行為，因此在廣告隱私技術的提案上，雖然可以採用Web先前的提案概念，但技術實作方式完全不同。這也是為什麼，Jessica Martin預估，從提案、開發到上線，預計要需要花上2年的時間。</p> <p>在發佈會上，Google初步提出了Android版的隱私沙盒可能實作的計畫。這些計畫分兩大領域，一是在隱私保護API的領域，目標要在改善用戶隱私時，支持關鍵的應用實例。比如在Web隱私沙盒計畫中提出的歸因報告，能讓廣告商在不使用跨站識別符號（cross-site identifier）的情況下，衡量用戶行為導致的轉化（廣告點擊或查看等）；另一Web隱私沙盒提出的FLEDGE專案，則是針對再行銷與客製化受眾的情境中，不讓第三方組織追蹤用戶跨網站的瀏覽行為；以及當前受到熱議的Topics API，可透過限制廣告商可取得的用戶興趣分類資訊，讓廣告商與網站難以識別單一用戶。這些專案都可能以不同的技術重新在Android平臺上實作。</p> <p>另一領域則要預防第三方隱蔽的廣告追蹤機制，防止未公開的用戶數據被暗中追蹤，比如透過SDK Runtime，提供應用程式與第三方程式碼的處理隔離及動態分佈；未來也可能運用反指紋追蹤機制，減少可被用來進行指紋追蹤的訊息。Google指出，未來將持續開發新技術，讓App能夠更安全地整合廣告SDK，降低用戶被暗中蒐集資料的可能性。</p> <p>不只Google，Apple也針對iOS平臺也推出了隱私保護機制，比如訂定ATT政策（App Tracking Transparency）或替代IDFA的SKAdnetwork等做法。Android安全及隱私產品管理副總經理Anthony Chavez指出，其他平臺採取的廣告隱私權保護機制，著重於限制開發人員和廣告主目前使用的工具，他認為，這類未先提供替代方法的隱私權保護方式，效果可能不如預期，或許還會對使用者隱私和開發人員的工作造成負面影響。</p> <p>Jessica Martin則指出，部分組織尋求廣告隱私機制的做法，仍然仰賴廣告辨識符來進行廣告投放，而Google與他人做法的根本性差異，在於無論是Android或是Chrome生態系，都在試圖開發一個不仰賴廣告辨識符的新技術或解決方案，除了確保個人資料獲得保護，同時也為開發人員和企業提供適當的工具，讓他們在行動裝置上達成廣告投放相關的目標。</p> <p>而面對先前Web隱私沙盒計畫中的FLoC、Topics提案，屢屢遭受到反對者挑戰，Jessica Martin對此持開放套論的態度，她回應：「任何參與與回應，都在推進隱私領域的對話，也能推進技術如何運作的思考，我認為任何形式的回饋都將受到歡迎。」</p> <p>Android隱私沙盒計畫實施後，Google指出，在設計、開發及測試這些新解決方案期間，將維持既有廣告平臺的功能，為期至少兩年。未來如有任何異動，將事先發布重大公告。目前，開發人員已經可以前往<a href="https://developer.android.com/design-for-safety/ads">Android 開發人員網站</a>，查看隱私沙盒的初始設計提案與提供意見。</p> </div></div></div>
2022/2/17 12:15作者翁芊儒https://www.ithome.com.tw/news/149406
Rust 2021大調查顯示，已有59％的Rust使用者將該語言用於工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日漸受到企業矚目的程式語言Rust，在最新的<a href="https://blog.rust-lang.org/2022/02/15/Rust-Survey-2021.html">2021大調查</a>中，呈現企業採用增加的趨勢，有高達59％使用Rust的受訪者，將Rust用於工作之中，而這個數字較去年大幅增加。另外，社群對Rust過去一整年的改進，包括在IDE體驗和編譯器除錯上，都給予肯定，但仍希望編譯時間能繼續改善。</p> <p>開發者使用Rust的比例持續上升，每周至少使用一次的受訪者比例為81％，而這個數字在去年僅有72％，而且有75%的Rust用戶已經可以編寫生產就緒的程式碼，雖然也有27％的人表示，在編寫Rust程式碼時遭遇困難，不過整體而言，99％的人用起Rust都算愉快，僅有1％的人覺得不有趣。</p> <p>官方提到，Rust已經能夠被歸類在專業環境中使用的語言。在使用Rust的受訪者中，59％的人最少偶爾會在工作中使用Rust，有23％的人在大部分程式中使用Rust，而在去年只有42％的受訪者，會在工作中使用Rust，今年跟去年相比大幅成長不少。</p> <p>對大多數將Rust用於工作的使用者而言，似乎都要面臨先甘後苦的過程，有83％的人認為，將Rust用於工作具有挑戰性，官方提到，他們不太確定這個結果，與一般採用新語言的挑戰關係為何，但是至少有82％的受訪者，認為Rust可協助他們的團隊實現目標。</p> <p class="rtecenter"><a href="https://blog.rust-lang.org/images/2022-02-RustSurvey/rust-adoption.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/rust-adoption.png" style="width: 580px; height: 225px;" /></a></p> <p>79％的受訪者認為克服採用Rust的挑戰很值得，且在問卷另一題，詢問這些受訪者，是否願意在未來再次使用Rust，有90％的人表示同意。至於受訪者在工作中採用Rust的原因，最大的理由是為了建置相對正確沒有錯誤的軟體，也有92％的受訪者同意效能也是他們採用Rust語言的主因，89％的受訪者同意在工作選擇Rust，是因為可以享受到Rust的高安全性。</p> <p>Rust仍是一個相對年輕的語言，有許多部分仍在發展，有61％的受訪者認為Rust編譯時間仍需要改進，儘管Rust的編譯時間一直是官方團隊改善的重點，但顯然社群仍覺得不足，其他社群認為需要繼續改善的部分，包括磁碟空間、除錯和GUI開發。Rust對IDE體驗，包括持續採用和rust-analyzer、IntelliJ Rust等工具，以及對編譯器除錯的改進，都獲得大比例受訪者的肯定。</p> <p>這次大調查的參與者，比起去年增加了1,500人，團隊所回收的完整問卷數達到了9,354份，總共來自113個國家，其中來自美國的受訪者最多占24％，其次是德國、中國和英國，除了英文之外，簡體中文、德語和法語也是Rust社群的偏好語言。</p> </div></div></div>
2022/2/17 10:33作者李建興https://www.ithome.com.tw/news/149399
Google Docs現內建AI可自動產生文件摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/workspace/delivering-new-innovations-in-google-workspace-with-smart-canvas">Google更新Workspace產品組合</a>，應用人工智慧提供更多功能，並且擴展智慧畫布（Smart Canvas），添加模板簡化文件協作，也加入地圖智慧連結（Smart Chips），供用戶在文件中提供豐富的地圖資訊。</p> <p>Google在Docs中，新添加自動摘要以及無分頁格式，官方提到，由於現在使用者每天處理的資訊量大增，很難找出值得深入閱讀的文件，又或是在不完全閱讀的狀況下，快速掌握重點。因此Google於Docs中內建自動生成摘要功能，提供文件的簡要概述，協助用戶快速解析文件重要資訊。Docs的人工智慧將會自動生成摘要，而用戶也可以手動編輯自動生成的摘要，這項功能目前已經向所有用戶推出。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Ai_summary_Mktng.gif" style="width: 580px; height: 382px;" /></p> <p>針對不同的文件編輯需求，Google Docs現在提供無分頁格式（Pageless Format），官方提到，傳統文件編輯格式中的分頁符號，以及用於文件實體列印的頁面邊距，會使得跨頁內容元素協作變得困難。而Docs新推出的無分頁格式，讓用戶可以移除頁面邊界，創建一個依據裝置螢幕或是視窗延伸的文件頁面。</p> <p>在無列印需求的用例下，團隊成員可在無分頁文件中，加入寬表格、大圖像，並且在文件中加入詳細的評論。用戶可以在需要列印或轉換成PDF時，隨時將文件切回分頁檢視。</p> <p>Google還更新了智慧畫布功能，擴充@選單，讓用戶可以簡單地插入圖像、表格、模板和其他內容。在智慧畫布中，Google提供了互動式建置模塊，像是智慧連結、模板或是清單，讓用戶能夠建立具有豐富上下文的文件，像是文件中提及的人員，能夠不只有姓名資訊，還可以加入位置、頭銜和團隊資訊等。</p> <p>用戶現在可以利用@來方便地協作電子郵件，輸入@就可以選擇增加的電子郵件草稿，供用戶快速編輯需要廣泛傳送的電子郵件。Google解釋，當前的流程十分不便，協作者要在文件編輯器中編寫電子郵件，接著再手動移植到電子郵件中，但藉由使用新加入的電子郵件草稿模板，便可以使用@挑選需要的模板，編輯完成後點選匯出至Gmail，文件內容會被轉換成為草稿電子郵件，所有相關欄位也會自動填充。</p> <p>同樣的，Google也針對會議紀錄新增了模板，該模板可以從日曆會議邀請中，帶入所有相關訊息，包括附件，省去之前創建文件需要的手動步驟。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/meetingnotes.gif" style="width: 580px; height: 354px;" /></p> <p>另外，Docs也添加其他智慧連結和可點擊物件，供用戶直接將相關資訊拉進協作畫布中，減少切換上下文，並建構更豐富的文件，像是使用新的地圖智慧連結，用戶就可以直接在文件中預覽Google地圖，點擊智慧連結時，還可以查看包含有用資訊的縮圖。Google最近也在Sheets中添加智慧連結，讓用戶可以更快查看人員位置、職位和聯絡資訊等。</p> </div></div></div>
2022/2/17 10:45作者李建興https://www.ithome.com.tw/news/149404
Databricks針對金融服務痛點推出專用湖邊小屋解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark創建者所創立的Databricks，推出了針對<a href="https://databricks.com/blog/2022/02/15/lakehouse-for-financial-services-paving-the-way-for-data-driven-innovation-in-fsis.html">金融服務專用的湖邊小屋（Lakehouse for Financial Services）</a>。湖邊小屋是Databricks將資料倉儲和資料湖結合在一起的架構，在使用開放格式的雲端儲存中，實現與資料倉儲類似的資料結構和資料管理功能，而金融服務湖邊小屋更多提供了預建置解決方案加速器、資料共享功能和開放標準等功能，以滿足金融服務機構的獨特需求。</p> <p>Databricks提到，金融行業在面臨資料轉型時，通常會面臨幾個重大挑戰，包括擔心遭到特定供應商鎖定，過度仰賴單一雲端供應商，又或是缺乏資料集支援等，而湖邊小屋的特性能夠解決這些問題，執行即時商業智慧資料存取，並且供企業開始推動人工智慧應用，讓銀行、保險和投資市場等企業，都可以利用資料產生影響力，最終使資料和人工智慧技術，成為各業務的核心。</p> <p>除了原先Databricks所提供的湖邊小屋功能，像是即時分析、商業智慧和人工智慧功能之外，金融服務湖邊小屋特別提供了經過審查的資料模型框架、合作夥伴解決方案，和14個預建置的加速器和開源函式庫。</p> <p>加速器和開源函式庫涵蓋金融服務的重要用例，包括交易分析和市場監控，函式庫會利用高效能市場資料時間序列處理引擎，結合核心市場資料和各種資料來源，使資產管理公司能夠大規模預測投資策略，並進行交易成本分析。</p> <p>加速器也提供了地理空間資料庫，可支援超個人化零售銀行業務，更好地理解用戶行為，進行客戶分割，以及制定現代詐騙預防策略。對於監管報告方面，加速器簡化遵循開放資料標準，和開放資料共享協定的監管資料收集、處理和傳輸等工作。</p> <p>同時，加速器也提供遵守被遺忘權法規的技術需求，賦予企業嚴謹的稽核能力，協助用戶遵守GDPR法規。而金融服務湖邊小屋還提供一組通用資料模型框架和加速器，來協助用戶克服整個企業內，標準化資料方面的挑戰。</p> <p>Databricks也在這項新產品發布的同時，宣布加入成員包括高盛、摩根史坦利、瑞銀和摩根大通的FINOS（FinTech Open Source Foundation），以促進金融服務領域的創新和協作。Databricks提到，由於企業希望避免使用複雜、昂貴且專屬於特定供應商的資料格式，開源成為金融服務資料戰略的核心。</p> <p>Databricks整合湖邊小屋與FINOS的Legend平臺，來促進銀行生態系的金融資料處理和交換，並協助制訂下一代產業標準。此外，Databricks在去年推出跨組織即時共享資料的開放協定Delta Sharing，也使得企業更容易消費、共享資料，並利用資料獲利。</p> </div></div></div>
2022/2/17 10:49作者李建興https://www.ithome.com.tw/news/149405
Google著手於Android上建置隱私沙箱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/144830" target="_blank">去年釋出的Android 12開始限制開發者對廣告ID（Advertising ID）的存取能力</a>之後，<a href="https://blog.google/products/android/introducing-privacy-sandbox-android/" target="_blank">Google周三（2/16）宣布</a>，將著手於Android上建置隱私沙箱（Privacy Sandbox），企圖打造可兼顧開發者廣告收入及使用者隱私的各種解決方案。</p> <p>過去Google於Android平臺上採用匿名的廣告ID來追蹤使用者的行為，雖然是匿名，但該ID讓Google及開發者了解使用者的每一次廣告點選或購買行為，以遞送個人化廣告，儘管允許使用者重設ID，但仍被視為觸犯隱私，於是Google在去年釋出的Android 12變更了廣告ID政策，封鎖開發者存取已退出個人化廣告的廣告ID。當使用者決定退出個人化廣告之後，Android就會直接移除系統上的廣告ID，新政策還將於今年4月擴大至支援Google Play的所有Android裝置與程式。</p> <p>然而，Google於本周強調，Google Play上有超過9成的程式都是免費的，造就這股免費風潮的即是數位廣告，為了確保健康的程式生態體系，讓使用者、開發者或相關行業都能共榮，必須持續發展兼顧廣告及使用者隱私的解決方案。於是Google決定於Android上部署隱私沙箱，將限制與第三方分享使用者資料的能力，也可讓廣告在缺乏跨程式識別的狀況下運作。</p> <p><a href="https://www.privacysandbox.com/" target="_blank">隱私沙箱</a>最早被應用在Chrome瀏覽器上，標榜將減少跨站與跨程式的追蹤，同時讓網路上的內容與服務能夠維持免費。</p> <p>Google也批評其它同業的作法，指出直接限制開發者及廣告主使用既有的技術，而未提供可保障使用者隱私的其它方案，不僅無效，也會讓使用者隱私或開發者業務更糟。雖然Google未指名道姓，但明顯指的是<a href="https://www.ithome.com.tw/news/144059" target="_blank">蘋果的追蹤透明化政策</a>。</p> <p>Google說，該公司對Android隱私沙箱的目標，是開發既有效又能改善隱私的廣告解決方案，使用者會知道自己的資訊受到保護，開發者及廣告主則可獲得適當的廣告工具。</p> <p>此外，Google將循序漸進地打造相關解決方案，Android上原有的廣告功能最少將維繫兩年，且每一次的變更都會事先提醒。Google預計今年就會釋出多個預覽版，並於年底發表測試版。</p> </div></div></div>
2022/2/17 11:00作者陳曉莉https://www.ithome.com.tw/news/149408
IoT雙周報第108期：臺灣兩大IoT通訊供應商之一的Sigfox傳因疫情經營不彰擬出售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/29~2/11精選IoT新聞</strong></span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">NCC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電信物聯網 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺灣電信物聯網裝置直逼2百萬個，智慧電表、智慧路燈、車聯網裝置為大宗</strong></span></p> <p>根據NCC近日公布<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=5018&cate=0&keyword=&is_history=0&pages=0&sn_f=47075">臺灣電信物聯網最新使用狀況</a>，截至去年12月底，全臺已部署約186萬個電信物聯網裝置，從使用040物聯網門號來看，單是2021年增加門號數已逾60萬門，從1月125萬門到12月增加到186萬門，也反映出臺灣電信物聯網技術與應用漸趨成熟。</p> <p>在這些租用IoT門號的裝置中，又以智慧電表、智慧路燈、車聯網裝置採用為大宗，使用蜂巢式物聯網技術（如NB-IoT、LTE-M等），作為各項IoT應用主要的通訊技術，運用到智慧城市、智慧農業、智慧交通等領域。</p> <p>從電信業者來看，5家電信業者中，中華電信目前以約124.6萬個IoT門號居冠，遠高於第二名的遠傳有95萬門，也是唯一一家門號數破百萬的電信業者。遠傳售出IoT門號數約29.6萬門，台哥大則排第3，約17.5萬門，至於台灣之星和亞太電信各有7.9萬門和6.6萬門。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧物流 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 郵局 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>郵局最新一座智慧物流中心，將引進AIoT、AGV無人搬運車提高貨物儲存、揀貨效率</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(3).jpg" style="width: 600px; height: 338px;" /></p> <p>中華郵政明年將啟用一座6.8萬坪智慧物流中心在林口智慧物流園區，除了結合5G、AIoT技術，還將導入自動倉儲、AGV無人搬運車，來提高貨物儲存、揀貨、出貨的效率，以及結合AI影像識別，追蹤和管理所有郵件或貨物進出。</p> <p>這座智慧物流中心也是郵政公司未來物流轉型策略之一。從樓層設計來看，整座物流中心地上8樓，4樓層是物流倉，4樓夾層是作為辦公用途，其中物流層採用單元組合式架構設計，一個樓層分4個單元，每個單元面積約2,600坪，4層樓一共16個單元，約4.1萬坪。</p> <p>郵政公司未來將自行經營一個單元，其餘15個單元，由另一家電商業者PChome承租與營運，預計今年上半完工，下半年即可進駐使用，至於郵政物流倉，最快2023年才會全面啟用。</p> <p>在貨物運輸方面，除了持續優化車隊管理之外，郵政公司也開始評估無人載具用於郵政物流的可行性，未來將於園區內展開試驗，如無人載具應用方案、無人機快遞、無人機園區巡檢等。除了無人機，還規畫配送機器人、自駕車等測試場域。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sigfox </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IoT通訊網路 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣兩大IoT通訊供應商之一的Sigfox傳因疫情經營不善有意出售</strong></span></strong></p> <p>法國物聯網新創Sigfox 近日因疫情營運不善傳出有意出售，正在積極尋找買主來接手，確保未來能夠維持Sigfox長期發展與成長。</p> <p>2010年成立的Sigfox，是一家以LPWAN（低功耗廣域網路）服務為主的IoT通訊服務商，雖然員工數僅約300人，但所推出Sigfox物聯網通訊網路，迄今在全球75個國家及地區廣泛部署，而且宣稱已涵蓋14億人口。去年一份Sigfox報告則指出，現今採用Sigfox通訊網路的全球IoT裝置數量高達1,950萬個，每天要處理7,600萬條IoT訊息發送。</p> <p>Sigfox過去也獲得許多電信、科技及IT大廠投資，將近3 億歐元，包括英特爾、三星、NTT、SK Telecom、Salesforce等，但仍抵擋不住這波疫情的衝擊，加上電子元件市場嚴重缺料，使得Sigfox近兩年採用不如預期，財務狀況承受極大壓力，因此最近向法國法院聲請進入司法重整程序，以維持公司繼續營運，但強調公司並沒有破產，短期運作不受影響。</p> <p>Sigfox也是臺灣兩大LPWAN通訊供應商之一，Sigfox雖未在臺設點，而是經由授權代理方式在2017年引進，並在短短一年內打造一個全國規模IoT通訊網路，可覆蓋全臺95%人口，<span data-offset-key="4mea9-0-0"><span data-text="true">迄今有許多</span></span><span><span data-offset-key="4mea9-1-0"><span data-text="true">IoT裝置採用</span></span></span>其通訊網路，運用到路邊停車追蹤、溫濕度監控、空氣品質以及智慧路燈等應用。也因此，一旦Sigfox未來出售，勢必可能影響現有IoT裝置的通訊網路更新與後續維護作業。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">智慧零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>搶進智慧零售更進一步，Amazon開設第一家實體服飾店</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 318px;" /></p> <p>除了開實體店賣起生鮮雜貨，Amazon最近開始進軍實體服裝店，做起服飾生意。該公司近日宣布將在洛杉磯Americana at Brand廣場開設了第一家實體時裝店Amazon Style，更在店內打造結合線上線下的智慧零售購物體驗。</p> <p>根據Amazon的介紹，Amazon Style實體店面主要用於展示流行服飾和提供顧客試穿服務，包括男女服裝、鞋子和配飾等。儘管不像先前Amazon Go商店強調無人購物結帳，這間店還是配有店員，但也引進不少新科技，像是消費者看到想試穿服飾，只須用手機App刷一下衣服下方的QR碼，依序選擇大小尺寸、顏色後，挑選的衣服就會自動送到試衣間，顧客根據手機收到的房號就能前往試穿。</p> <p>試穿室中還會有一個觸控螢幕，讓使用者繼續瀏覽其它選項，例如要求送來其它尺寸或是Amazon根據消費者喜好所推薦的服飾。試穿後決定要買也能一鍵直送結帳櫃臺。</p> <p>所有出現在Amazon Style店內服裝都來自Amazon線上商店，，而且價格也一樣，消費者可以線上購買並到店內試穿。</p> <p>這家時裝店也將加入Amazon實體店的陣容，截至目前Amazon在美國西雅圖、芝加哥、舊金山和紐約等城市開設了24家Amazon Go無人店，提供各種食品、飲料、零食和日常必需品，還有經營大型生鮮超市Amazon Fresh。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure Sphere </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物聯網安全平臺 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟因品質問題取消新版Azure Sphere OS更新，強調不影響其產品安全性</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 297px;" /></p> <p>原訂要在 1 月 26 日發布新版Azure Sphere OS，但微軟卻突然無預警取消更新，微軟後來解釋，之所以臨時取消這次更新發布，是遇到品質問題。</p> <p>Azure Sphere是一個結合安全晶片、作業系統與Azure Sphere雲端服務的物聯網安全平臺，自2020年初推出上線以來，歷經多次版本和功能更新。</p> <p>原訂最新一版22.01更新，是在今年1月26日推出上線，但到了當天卻臨時取消更新，引起外界的揣測。微軟在官方技術社群部落格宣布取消更新同時也提出解釋說明，是因為Azure Sphere OS團隊推出更新前收到客戶回報，發現使用ENC28J60乙太網路模組進行Internet連接時，系統更新過程中容易出現網路連線異常而無法更新的狀況。基於服務品質要求，該公司決定取消此次更新發布，同時著手展開調查。</p> <p>微軟強調，22.01版本不包含重要的安全更新，此次取消不會影響基於Azure Sphere產品的安全性。新版本預計延後到2月中發布，版本也跳過22.01改為22.02。</p> <p> </p> <p><strong>攝影／余至浩　圖片來源／亞馬遜</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多IoT動態 </span></strong></span></strong></p> <p><strong><strong>1. 發行憑證的DigiCert買下工業物聯網安全業者Mocana發展IoT安全憑證</strong></strong></p> <p><strong><strong>2.IDC預估2022年全球邊緣運算市場規模上看1,760億美元，較去年增長近2成 </strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年2月</strong></strong></p> </div></div></div>
2022/2/17 08:48作者余至浩https://www.ithome.com.tw/news/149407
【資安日報】2022年2月16日，駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用惡意軟體Squirrelwaffle，並鎖定Exchange漏洞ProxyLogon、ProxyShell發動BEC攻擊的情況，曾於2021年下半出現，但最近再傳出相關事故，使得研究人員提出警告，IT人員不光是要儘速修補Exchange伺服器相關漏洞，還要檢查是否已被入侵的跡象。</p> <p>近期非同質化代幣（NFT）引起各界關注，也成為駭客用來發動攻擊的誘餌，值得留意的是，攻擊者的試算表檔案裡，疑似含有與投資NFT標的有關的資料，而很容易讓受害者掉以輕心。</p> <p>攻擊者利用惡意軟體MyloBot，竟是為了在受害電腦站穩腳根，然後傳送勒索訊息！研究人員指出，駭客日後很有可能會利用MyloBot，在受害電腦投放其他惡意軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/02/15/vulnerable-exchange-server-hit-by-squirrelwaffle-and-financial-fraud/"><span style="color: rgb(0, 0, 0);">駭客利用惡意軟體Squirrelwaffle與Exchange重大漏洞，進行金融詐欺攻擊</span></a></strong></h3> <p>又是駭客意圖利用Exchange重大漏洞，以及惡意軟體Squirrelwaffle來發動商業電子郵件詐騙（BEC）的攻擊事故。資安業者Sophos揭露一起BEC攻擊事故，駭客鎖定尚未修補ProxyLogon、ProxyShell漏洞的Exchange伺服器，並大量散布Squirrelwaffle，駭客在員工既有的電子郵件串裡，植入惡意的回覆內容（Email Thread Hijacking），來進行BEC攻擊，導致受害組織轉帳給駭客，所幸其中一家金融機構察覺異狀進行攔截，使得駭客沒有得逞。</p> <p>研究人員指出，組織的IT人員不只要為Exchange伺服器安裝相關修補程式，還要檢查是否遭到植入Web Shell，才能避免成為這種攻擊手法的受害者。</p> <p><span style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/nft-lure-used-to-distribute-bitrat"><span style="color: rgb(0, 0, 0);"><strong>駭客以NFT為誘餌，散布木馬程式BitRAT</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/img1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/img1(1).png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）當紅，多項創作以高價賣出，引起許多人的目光，不少企業搶進這塊市場，但在此同時，駭客也透過這樣的話題做為誘餌，散布木馬程式。資安業者Fortinet發現相當特別的Excel檔案「NFT_Items.xlsm」，內含2個試算表，其中1個使用希伯來語。該檔案列出近20項NFT標的，以及單價、存貨數量、投資Discord聊天室的連結等資訊，疑似針對以色列NFT投資人而來。一旦受害者開啟這個檔案，並依照指示啟用巨集後，電腦就會被植入BitRAT木馬程式。</p> <p>該木馬程式可從受害電腦的應用程式竊取帳密、挖掘門羅幣、側錄用戶鍵盤輸入的內容，甚至能讓駭客使用麥克風聽到用戶的聲音。研究人員警告，這種以NFT為愰子的攻擊手法，近期很有可能會不斷出現。</p> <p><span style="font-size: 22px;"><a href="https://blog.minerva-labs.com/mylobot-2022-so-many-evasive-techniques-just-to-send-extortion-emails"><span style="color: rgb(0, 0, 0);"><strong>惡意軟體MyloBot捲土重來，採用極為迂迴的方法規避偵測</strong></span></a></span></p> <p>駭客散布惡意軟體，目的有可能是為了發送勒索訊息來牟利。資安業者Minerva針對自2018年出現惡意軟體MyloBot進行研究，並指出使用此惡意軟體的駭客近期調整做法，宣稱受害者因瀏覽色情網站電腦遭到監控，索討2,732美元（新臺幣76,919元）的比特幣做為封口費，否則就要將相關資料發送給對方的親朋好友。</p> <p>研究人員指出，MyloBot具備多種規避偵測的機制，如檢測是否在虛擬機器（VM）或沙箱的環境，並使用<a href="https://attack.mitre.org/techniques/T1055/012/">處理程序空心化（Process Hollowing）</a>的處理程序注入手法，於受害電腦上運作，而難以被防毒軟體發現，日後很有可能會被用來當作後門，傳遞各式惡意軟體。</p> <p><span style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/blackcat-alphv-claims-swissport-ransomware-attack-leaks-data/"><span style="color: rgb(0, 0, 0);"><strong>勒索軟體Black Cat攻擊機場地勤服務業者Swissport，聲稱竊得1.6 TB資料</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-leak-page.jpeg" style="width: 200px; float: right;" /></a>又有企業成為勒索軟體Black Cat（亦稱Alphv）的受害者。機場地勤服務業者Swissport於2月4日表示，他們的IT基礎設施遭到勒索軟體攻擊，災情已得到控制，該公司正逐步系統運作。但攻擊者的身分為何？根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Black Cat將Swissport列入受害者名單，並打算求售竊得的1.6 TB資料。這些資料包含了護照、內部資料，以及應徵者的個資等。</p> <p>由於Swissport在全球擁有6.6萬名員工，每年處理2.8億人次的旅客和480萬公噸的行李，這起攻擊事件很可能會對全球的旅遊業帶來衝擊。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/charting-ta2541s-flight"><span style="color: rgb(0, 0, 0);">駭客組織TA2541鎖定交通與國防產業下手，散布木馬程式</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2022-02-09 at 9_15_21 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-02-09%20at%209_15_21%20AM.png" style="width: 300px; float: right;" /></a>APT駭客鎖定特定產業，且數年採用類似的誘餌發動攻擊，持續散布RAT木馬程式。資安業者Proofpoint指出，他們自2017年開始追蹤駭客組織TA2541的攻擊行動，該組織長年鎖定航空、運輸、國防等產業，多半使用與運輸相關的事由，如貨物交付事宜、航班、包機等名義，發動釣魚郵件攻擊，進而在受害電腦植入AsyncRAT、NetWire、WSH RAT等十餘木馬程式。</p> <p>這個組織初期透過含有惡意巨集的Office文件，挾帶木馬程式，但近期則是透過存放於Google Drive、OneDrive的Visual Basic程式碼（VBS），於文字檔案共站平臺（如Pastetext、GitHub）下載木馬程式到受害電腦。自2021年底開始，駭客開始採用即時通訊軟體Discord做為散布木馬的媒介。研究人員表示，該組織持續使用相似的手法（TTP）發動攻擊，但目的為何？目前仍不明朗。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/ukrainian-military-agencies-banks-hit-by-ddos-attacks-defacements/"><span style="color: rgb(0, 0, 0);">烏克蘭國防部與2家國營銀行，驚傳遭到DDoS攻擊</span></a></strong></span></p> <p>烏克蘭與俄羅斯的軍事情勢緊張，繼1月中旬發生烏克蘭數十個政府機關遭到攻擊之後，最近又有事故傳出。烏克蘭國防部指出，自2月15日下午開始，當地多個組織的網站遭到DDoS攻擊而服務中斷，這些機關包含了國防部、武裝部隊，兩家國營銀行Privatbank及儲蓄銀行Oschadbank。此外，Privatbank的客戶一度出現無法存取網路銀行，或是存款金額、交易記錄錯誤的情況。至於攻擊者的身分，則有待進一步調查。</p> <p><span style="font-size: 22px;"><strong><a href="https://tw.appledaily.com/local/20220207/3TAFE6E2CRFQDNI7PGXKLKDINQ/"><span style="color: rgb(0, 0, 0);">臺灣隱形眼鏡製造商晶碩製程機密遭前員工竊取，險外流中國</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/XF4HY7FVPJCIFAFSGGSTNQLRUY.png" style="width: 300px; float: right;" /></a>中國隱形眼鏡業者宣布轉型，將自行裝造相關產品，並宣稱核心團隊來自臺灣代工業者晶碩光學，背後疑似是晶碩員工意圖帶槍投靠，竊取公司的機密。</p> <p>桃園地檢署、臺北市調查處於2月7日宣布，破獲一起員工竊取營業秘密的案件，隱形眼鏡大廠晶碩光學公司前主管前生產處長黃振瑞涉嫌於離職後，以陸資成立金目科技公司，挖角前東家3名工程師，並竊取晶碩的隱形眼鏡模具相關技術，欲製作模具於2021年12月，輸往中國成立「紅包供應鏈」，供金目公司之幕後金主──上海目荻公司及廈門愛睿思公司使用，所幸檢方即時攔截未果。</p> <p>全案依違反《營業秘密法》等罪，將黃男和同夥等4人提起公訴。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/2/16 17:26作者周峻佑https://www.ithome.com.tw/news/149398
Cloud周報第135期：2021年CNCF雲原生大調查出爐，31%後端開發人員使用K8s
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（2022/02/10～2022/02/16）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CNCF基金會 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲原生開發 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> K8s採用 </span></strong> </p> <p><span style="font-size: 22px;"><strong>2021年使用K8s的開發人員達560萬名，年成長高達67%</strong></span></p> <p>CNCF基金會近日公布雲原生開發現狀報告，調查了全球超過3千家企業或組織，其中逾2成是規模超過5千人的大型企業。過去一年，K8s採用度大幅成長，如今有560萬名開發人員使用K8s，相比2020年成長高達67%，在後端開發人員的族群中，占比達31%。根據調查，有高達79%的開發人員使用經過認證的K8s代管平臺，其中，最多人使用的是AWS Elastic Container Service for Kubernetes，占比達39%，其次是Azure Kubernetes Service，有23%，再來是占比17%的Azure Engine。CNCF技術長Chris Aniszczyk表示，K8s從一個小眾技術，如今發展為如此普遍的東西，以至於人們甚至不知道正在使用基於K8s技術開發的產品。</p> <p>另外，CNCF也調查了無伺服器技術的採用狀況，有39%的受訪開發者採用無伺服器技術，其中75%使用代管平臺無伺服器服務，相比前一年增加24%，其中，最多人使用AWS Lambda，占比達74%，而Azure Functions居次，達39%。<a href=" https://www.cncf.io/reports/cncf-annual-survey-2021/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 威脅偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VM防護 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google雲端安全指揮中心現可偵測VM威脅，防止加密和勒索軟體等攻擊</strong></span></p> <p><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2(69).jpg" style="width: 600px; height: 218px;" /></strong></span></p> <p>Google為雲端安全指揮中心（SCC）添加VM威脅偵測功能，可以進行無代理記憶體掃描，偵測Google雲端VM中的惡意軟體。VM威脅偵測功能聚焦保護雲端平臺免受挖礦、資料洩漏和勒索軟體等攻擊，與一般的端點安全解決方案不同，不仰賴在訪客VM安裝軟體代理，來偵測威脅，而是透過安裝在底層的VM協調軟體，從底層收集威脅的訊號。Google表示，不在執行實例安裝代理，對效能影響更小，而且可減少部署和管理代理的負擔，減少曝露的攻擊面。</p> <p>根據Google研究發現，86％感染的雲端執行實例，會用於執行加密貨幣開採中。有鑑於此，新功能除了可以偵測資料洩漏和勒索軟體等攻擊，也能夠發現加密貨幣挖礦的威脅。VM威脅偵測功能目前處預覽階段，接下來會整合Google雲端其他功能，而Google強調，該功能不會處理機密運算節點的記憶體。<a href="https://cloud.google.com/blog/products/identity-security/virtual-machine-threat-detection-in-security-command-center">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> AMD EPYC </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 高運算需求 </span></strong></p> <p><strong style="font-size: 22px;"><strong>主打效能， Google再推出效能更高的第3代AMD EPYC處理器新運算實例C2D，最高可配置112個vCPU</strong></strong></p> <p>繼T2D和N2D執行實例後，Google再次發布採用第三代AMD EPYC處理器的運算最佳化執行實例系列C2D，效能比T2D和N2D更高，可供有高效能運算需求的用戶，執行記憶體密集和運算密集的工作負載。C2D實例使用的新一代AMD EPYC處理器，擁有更新的Zen 3微架構，能提供優化的運算效能，並且新實例支援持久型磁碟、進階網路、壓縮放置政策，還有單租戶節點等功能。這款實例最高可配置112個vCPU、896 GB記憶體和3TB的本地SSD，分為標準、高CPU和高記憶體3種主要配置，每一種配置都提供7種機器類型。</p> <p>除了可用於記憶體密集的工作負載，因C2D具有高CPU也可用於運算密集的工作負載，像是高效能網頁伺服器、多媒體轉碼和3A級遊戲系統。接著，Google也會在C2D上提供機密運算。Google現已經在全球多個雲端地區推出C2D執行實例，包含臺灣、新加坡、美國南加州、荷蘭等地區上線，接下來幾個月會繼續在其他地區推出。<a href=" https://cloud.google.com/blog/products/compute/introducing-compute-optimized-vms-on-amd-epyc-milan">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AMD EPYC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算優化實例 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>強調性價比，AWS也推出搭載第3代AMD EPYC處理器的運算優化實例，主打性價比相比前一代實例減少15% </strong></strong></p> <p>就在Google宣布推出新實例C2D不久後，AWS近日也宣布推出搭載第三代AMD EPYC處理器的最新運算優化實例C6a，提供用戶處理運算密集型的工作負載，例如廣告服務、機器學習、多玩家遊戲等。AWS表示，與C5a實例相比，新實例的性價比提高15%，並且相比基於x86的同類EC2實例，成本減少1成。新實例總共有10款尺寸供選擇，最多提供高達50Gbps網路頻寬，以及40Gbps的Amazon EBS區塊儲存用量。</p> <p>為了提升實例的安全性，C6a實例採用AMD透明單金鑰記憶體加密（TSME），提供永遠在線的記憶體加密功能，並支援用於加速加密和解密演算法的新AVX2指令。新的運算優化實例目前先在3個AWS雲端地區推出，包含美國維吉尼亞北部、美國俄勒岡州和愛爾蘭。<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c6a-instances-powered-by-3rd-gen-amd-epyc-processors-for-compute-intensive-workloads/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> SAP上雲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Rise with SAP </span></strong></p> <p><strong style="font-size: 22px;"><strong>IBM宣布成為Rise with SAP首家雲端合作業者，提供SAP S/4HANA雲端代管服務</strong></strong></p> <p>IBM近日宣布成為SAP統包式軟體訂閱服務Rise with SAP的第一家雲端供應商合作業者，提供該訂閱服務的代管、系統上雲整合及顧問服務。因應企業軟體雲端化趨勢，去年初SAP打包核心產品S/4HANA，還有數據管理、API、機器學習及RPA等工具，推出訂閱服務Rise with SAP，協助企業搬遷本地部署的SAP ERP上雲。IBM成為RISE with SAP的頂級供應商後，會提供SAP用戶雲端基礎架構，轉移SAP本地部署環境到IBM雲上，並提供S/4HANA等產品的代管服務。</p> <p>企業使用RISE with SAP除需先模組化既有SAP系統，才能搬遷系統上雲外，還需部署混合雲環境，為此，IBM也推出顧問規畫服務BREAKTHROUGH with IBM for RISE with SAP，提供涵蓋系統搬遷、流程規劃、實際實作及系統整合的顧問服務，完全接手企業搬遷SAP本地部署環境上雲的工程。IBM表示，企業也可以選擇將SAP S/4HANA搬到其他公有雲。<a href="https://newsroom.ibm.com/2022-02-10-IBM-and-SAP-Strengthen-Partnership-to-Help-Clients-Move-Workloads-from-SAP-R-Solutions-to-the-Cloud">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 容器化服務 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> VPC </span></strong> </p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">AWS容器化服務App Runner新增VPC連接器，可連接應用至VPC資料庫</span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(51).jpg" style="width: 600px; height: 448px;" /></p> <p>AWS更新容器化服務APP Runner，用戶可以將利用APP Runner建立的應用程式和API，連接託管在VPC的資料庫和應用程式。過去用戶需要透過網際網路，才能將APP Runner應用程式或是API，與AWS服務連接，如今，可以直接經過VPC，連接RDS、ElastiCache、EKS、EC2等服務。現用戶可以在APP Runner中建立VPC連接器，指定私有網路的VPC、子網路和安全群組，待配置完成後，可以使用VPC連接器連接一個或多個APP Runner應用程式。</p> <p>另外，用戶也可以設置VPC終端節點來連接AWS API，像是S3和DynamoDB，以避免NAT網路流量。AWS說明，App Runner的VPC連接器運作方式，與Lambda中的VPC網路相似，是以AWS服務和資源背後使用的網路功能虛擬化系統Hyperplane所建立。目前所有提供App Runner服務的AWS地區，都已經可以使用這項VPC連接器功能。<a href="https://aws.amazon.com/tw/blogs/aws/new-for-app-runner-vpc-support/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件儲存 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 批次複製 </span></strong></span></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;">AWS為物件儲存服務S3新增批次複製功能，可複製儲存庫現有物件建立災難復原配置</span></strong></p> <p>AWS在物件儲存服務S3新增批次複製功能，用戶可以複製現有S3物件，並在儲存桶間同步資料，建立災難復原配置或是轉移資料。新的批次複製功能是以S3批次操作為基礎建置，補充了原有S3複製的不足，可以複製現有物件到同地區或是跨地區的儲存桶。用戶可以提供要複製的物件列表，或是指定來源儲存桶以及過濾器，像是物件建立日期和複製狀態，由S3建立複製列表，來啟用S3批次複製，再將資料從來源儲存桶複製到一個或是多個目標，藉此複製任意數量的物件。</p> <p>這項新功能與其他S3批次操作類似，用戶可以查看複製進度，並且在任務完成之後，收到詳細的報告，查看每個物件完成複製後的狀態。目前S3批次複製已經在所有AWS地區上線，用戶需要支付跨地區請求和資料傳輸的複製、批次操作費用，如果由S3產生複製列表，則還需支付清單生成費用。<a href="https://aws.amazon.com/tw/blogs/aws/new-replicate-existing-objects-with-amazon-s3-batch-replication/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SRE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可觀察性平臺 </span></strong></span></p> <p><strong style="font-size: 22px;"><strong style="font-size: 22px;"><span style="font-size:22px;">從音樂、購物到新聞入口等服務維運監控都靠它，Line臺灣百億筆遙測數據的可觀察性平臺架構大公開</span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4(31).png" style="width: 600px; height: 338px;" /></p> <p>Line臺灣SRE團隊去年順利打造可觀察性平臺，提供各專案團隊監控服務的運作狀態，包含Line Today、Line購物、Line音樂、官方帳號Plus等8大服務，都靠該平臺監控系統，及早發現系統錯誤，減少意外事件。可觀察性平臺是Line臺灣SRE團隊自2020年成立以來，聚焦開發的第一個專案團隊維運共用工具，參考CNCF孵化專案Open Telemetry的可觀察性標準協議，從軟體系統可觀察性的3大面向：指標（Metric）、日誌（Log）和鏈路追蹤（Trace）著手，打造而成。</p> <p>SRE團隊利用開源分析暨視覺化應用Grafana的單一託管實例，提供各專案團隊共用的監控平臺，並用Grafana建立了750個儀表板，還有整合200個資料源。此外，SRE團隊選用反向代理工具Traefik，提供託管負載平衡Ingress Controller服務給各專案，接著，流量從各專案專用節點的Ingress Controller，進入K8s叢集，再通過已整合的指標、日誌和鏈路追蹤配置，收集各項標準化監控數據。</p> <p>根據Line臺灣統計，可觀察性平臺每小時收集3億條日誌，相當於每周400億條日誌，而時間區段內的量化數據指標，每小時則達1,600萬筆，還有鏈路追蹤每小時累積2億筆資料，一周下來，達200億條鏈路。截至今日，該平臺已收集超過百億則監控數據，包含30TB日誌、60TB指標，還有20TB鏈條追蹤。 <a href="https://ithome.com.tw/news/149317">（詳全文）</a></p> <p>圖片來源／ CNCF基金會、Google雲端、AWS、Line臺灣</p> <p><strong style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></span></strong></p> <p>1. 微軟調整災害復原服務Azure Site Recovery恢復點保留時間，從72小時延長至15天，協助處理勒索軟體威脅<a href=" https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-365-enterprise-february-2022-updates/ba-p/3131550">（詳全文）</a></p> <p>2. Google Cloud SDK將Node.js 10移至維護模式，3月起僅提供嚴重錯誤和安全修復的支援<a href="https://cloud.google.com/blog/products/application-development/google-cloud-sdk-moves-nodejs-10-to-maintenance-mode">（詳全文）</a></p> <p>3. AWS優化Amazon EFS讀取效能，平均延遲降至600微秒，新、舊EFS檔案系統都可獲加速更新<a href="https://aws.amazon.com/tw/blogs/aws/amazon-elastic-file-system-update-sub-millisecond-read-latency/">（詳全文）</a></p> <p>4. Google雲端語音轉文字API加入視覺化介面，簡化使用API建置應用程式和服務的過程<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-clouds-new-visual-interface-for-speech-to-text-api">（詳全文）</a></p> <p>資料來源：iThome整理，2022年2月</p> </div></div></div>
2022/2/16 17:50作者黃郁芸https://www.ithome.com.tw/news/149401
英特爾終於擁抱開源硬體，正式加入RISC-V社群推動商用化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>處理器龍頭英特爾近日正式加入RISC-V International組織（前身為RISC-V基金會），將與 Google、WD、SiFive、晶心科技並列，成為該組織的頂級會員。在加入之後，英特爾未來將共同主導RISC-V開源技術發展的方向，也將貢獻其在x86架構的專業知識與設計優化經驗，及提供開源軟體開發平臺，來協助推動RISC-V技術及生態的發展。</p> <p>自從去年初宣布IDM 2.0新戰略後，在新CEO領軍下，英特爾布局動作頻頻，不只對外積極招兵買馬，還重砸百億美元大幅擴廠提高產能，朝向晶圓代工服務商來轉型，除了x86、Arm架構，甚至開始擁抱近年來火紅的RISC-V開源指令集硬體架構，大力投資和布局 RISC-V處理器的相關技術，就是為了要補足英特爾轉型晶圓代工服務（IFS）的重要一塊拼圖，打造世界級的晶圓代工業務，以便能提供支援RISC-V產品在內的代工服務。</p> <p>其實早在幾年前，英特爾就已出資協助RISC-V業者推向市場，直到去年中，英特爾更找上 RISC-V新創SiFive合作，使用其技術來實作7奈米RISC-V處理器開發平臺，提前向開發人員和製造商客戶展示其性能，並在去年成功推出以RISC-V架構打造的Nios V處理器。</p> <h3><strong>英特爾擁抱開源，正式加入RISC-V開源社群</strong></h3> <p>英特爾決定加入RISC-V開源社群，成為RISC-V International 組織的重要成員，更是為了要讓自己能夠掌握RISC-V技術發展以及取得最新設計架構，來加快推出適合不同市場的CPU產品代工服務，從嵌入式到高效能處理器等。</p> <p>2015年成立的RISC-V International組織，截至目前，其成員涵蓋各大軟硬體廠商，包括 Google、IBM、三星、高通、聯發科、Nvidia、WD等，還有各大開源社群、組織及個人等多達 2,000個會員加入。</p> <p>雖然英特爾不是第一家加入的伺服器CPU大廠，但是身為全球CPU晶片龍頭，有了英特爾的加入，無疑是替RISC-V 發展注入強心針。尤其，強調設計彈性的RISC-V處理器的發展，雖然近年來備受重視，成了媲美主流技術的新選擇，但因為大多僅是輔助用途，而非當作最主要的CPU來使用，因而限制了RISC-V處理器在市場上的發展與應用。</p> <p>在加入後，英特爾未來將和Google、WD、SiFive、晶心科技等公司並列，成為RISC-V International組織的頂級會員，將共同主導RISC-V發展的方向。英特爾IFS客戶解決方案工程副總裁 Bob Brennan將成為董事會重要一員，實際參與組織的重要運作與事務，還加入技術指導委員會。英特爾也將貢獻在x86 架構CPU設計專業知識與優化經驗，還將提供旗下IFS代工服務事業群所打造的一個開源軟體開發平臺，可供產業、學術機構及合作夥伴，用於RISC-V 晶片軟體專案的實驗。</p> <p>除了加入RISC-V社群，英特爾透露將提供三類RISC-V產品代工及服務，包括採用IFS技術製造的合夥產品、RISC-V處理器核心IP授權，以及採用RISC-V架構打造的小晶片（Chiplet），更宣布投入10億美元的資金建立RISC-V產品在內的創新代工生態系。</p> <p>目前該公司旗下IFS代工服務部門，正在與多家RISC-V晶片業者展開合作，包括SiFive、Esperanto Technologies、Ventana Micro Systems以及臺灣的晶心科技等，來持續優化製程工藝和封裝技術，確保生產出最佳效能的RISC-V產品，以縮短其客戶上市時間。</p> </div></div></div>
2022/2/16 17:46作者余至浩https://www.ithome.com.tw/news/149400
印度再封鎖54款中國程式，冬海集團中箭落馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/138506" target="_blank">從2020年中開始封鎖中國行動程式的印度</a>，本周傳出再執行另一波的封鎖行動，<a href="https://twitter.com/barandbench/status/1493107391537479680" target="_blank">總計封鎖了54款中國程式</a>，當中最受歡迎的是《Garena’s Free Fire: Illuminate》遊戲，其開發商為擁有騰訊資金的冬海集團（Sea Limited），總部設於新加坡的冬海也打造了知名的蝦皮商場，被視為是東南亞市值最高的數位平臺。</p> <p>印度政府並未針對此次的封鎖行動作出解釋，但前幾次皆宣稱這些程式可能危害印度的國家安全，迄今印度已封鎖超過300款中國程式，從TikTok、微信、百度地圖、百度搜尋到支付寶都未能倖免於難。</p> <p><a href="https://techcrunch.com/2022/02/13/india-ban-china-apps/" target="_blank">根據《TechCrunch》的報導</a>，印度政府已要求App Store及Google Play下架這54款程式，而Google亦已向該報證實收到印度政府的請求，並將遵循此一命令。</p> <p>這次的封鎖事件之所以會再度浮上檯面，是因為它涉及了冬海集團，一來冬海算是新加坡業者，二來冬海所發行的《Garena’s Free Fire: Illuminate》遊戲，在全球的7,500萬名玩家中，就有超過4,000萬名位於印度。</p> <p>消息傳出後，冬海在紐約股市的價格從150美元重挫至130美元，股價下滑15%。</p> <p>冬海集團也在印度推出了蝦皮商場，而蝦皮並未被列在此次的封鎖名單中，不過也有人揣測這應該只是早晚的問題。</p> </div></div></div>
2022/2/16 16:28作者陳曉莉https://www.ithome.com.tw/news/149395
祖克柏描繪Meta全新價值觀：Meta、Metamates、Me
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大社交平臺臉書（Facebook）在去年10月宣布更名為Meta，以向新一代的元宇宙（Metaverse）邁進，本周臉書創辦人祖克柏（Mark Zuckerberg）首度在更名後，<a href="https://www.facebook.com/zuck/posts/10114316913387601" target="_blank">揭露了Meta作為一家企業的全新價值觀與文化</a>，包括快速行動（Move Fast）、關注長期的影響力（Focus on Long-Term Impact）、打造很棒的事物（Build Awesome Things）、活在未來（Live in the Future ）、率直並尊重同事（Be Direct and Respect Your Colleagues），也列出了工作應有的優先順序是Meta（公司）、Metamates（同事）與Me（自己）。而外界及Meta員工對於這番話有各自不同的解讀。</p> <p>祖克柏認為在公司內部培養同樣的價值觀有助於推動公司的發展，指出快速行動將讓Meta的員工在建置與學習上都比其他人還快，並進一步說明這代表大家動作要快一點，今天能做的事不要留到下周。</p> <p>不過，祖克柏也鼓勵員工應該要關注長期的影響力，而非著眼於短期的勝利；不要僅滿足於建置好的事務，而是要打造令人驚豔的產品；抱持著活在未來的心態才能建置出未來的分散式工作模式，並成為自家服務的早期採用者；期望員工能以既直率又尊重的態度與同事互動。</p> <p>受到熱烈討論的就是最後的Meta、Metamates、Me。人們經常以以公司名稱來描述職業，例如在Google工作的稱為Googlers，在Amazon工作的稱為Amazonians，Yahoo員工稱為Yahoos，以前臉書的員工被稱為Facebookers，而現在祖克柏則稱Meta的員工為Metamates。</p> <p>根據<a href="https://www.nytimes.com/2022/02/15/technology/metamates-meta-facebook.html" target="_blank">《紐約時報》（The New York Times）</a>的報導，Meta內部對於企業價值觀的更新有著不同的反應，有些認為這是個新鮮的開始，也有人不以為然，認為祖克柏喊出的是軍事口號，也有人說祖克柏其實只是要員工服從。</p> <p><a href="https://www.washingtonpost.com/technology/2022/02/15/facebook-meta-metamates/" target="_blank">《華盛頓郵報》（The Washington Post）</a>則說祖克柏的精神喊話被員工嘲笑，有員工認為那是一種洗腦。而<a href="https://gizmodo.com/facebook-employees-are-now-called-metamates-metamates-1848543792?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Gizmodo》的編輯</a>直接說Metamates真的是個很愚蠢的名字。</p> <p><a href="https://twitter.com/boztank/status/1493661545426870277" target="_blank">Meta技術長Andrew Bosworth</a>解釋，「Meta、Metamates、Me」源自於海軍用語「Ship、Shipmates、Self」，亦即出任務時的優先順序應該是船、同伴，最後才是自己，結果有員工問說：「這是否代表我們處在一艘正在下沈的船上？」</p> <p>不論如何，身為最新科技的前鋒，不管元宇宙未來的發展如何，或者Meta將在其中扮演什麼樣的角色，在過程中似乎難逃被嘲笑的命運。</p> </div></div></div>
2022/2/16 16:50作者陳曉莉https://www.ithome.com.tw/news/149397
內政部推行動自然人憑證，讓個人手機化身自然人憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動自然人憑證走向行動化。內政部今天(2/16)推出行動自然人憑證App，手機或平板電腦只要安裝App並完成註冊後，未來不需再插自然人憑證實體卡，就能利用行動裝置的指紋或臉部辨識，通過身分識別或網路簽名，申辦報稅等政府服務。</p> <p>行動自然人憑證App是將自然人憑證行動化，具備行動身分識別，以及自然人憑證的電子簽章功能，讓擁有自然人憑證的用戶，不需使用電腦搭配讀卡機插卡，突破自然人憑證實體卡的使用限制。</p> <p>內政部強調，行動自然人憑證App已通過經濟部工業局安全標章第三級，符合國際FidO 2.0標準，並達到LoA3的數位身分驗證標準。而民眾使用指紋或臉部辨識，為行動裝置上儲存的個人生物特徵，取代輸入帳號密碼，兼顧方便與安全性。</p> <p>要使用行動自然人憑證，用戶必需先在手機、平板電腦安裝行動自然人憑證App，再以電腦連至「行動自然人憑證」平臺，以自然人憑證實體卡進行註冊，並以行動自然人憑證App掃描電腦顯示的QR Code，再根據引導資訊，以指紋、臉部辨識等生物特徵進行認證，經過確認後完成驗證即完成註冊。之後就能以行動自然人憑證App，通過指紋或臉部辨識，取代自然人憑證或帳號密碼，登入網站。</p> <p>值得注意的是，用戶可以註冊綁定多臺個人使用的行動裝置，也可以透過登入網站，瀏覽已綁定的裝置，選擇想要停用或廢止已綁定裝置的憑證。</p> <p>目前內政部的行動自然人憑證已和報稅、MyData平臺、健保網路服務平臺等56個系統介接，民眾使用這些政府服務，不需再記憶帳號密碼。</p> </div></div></div>
2022/2/16 16:59作者蘇文彬https://www.ithome.com.tw/news/149396
英特爾宣布將以54億美元買下以色列晶圓代工業者Tower Semiconductor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149378" target="_blank">前一天《華爾街日報》</a>才引用消息來源報導，英特爾（Intel）打算以接近60億美元的價格，買下以色列的晶圓代工廠Tower Semiconductor，<a href="https://www.intel.com/content/www/us/en/newsroom/news/feb-2022-corporate-news.html" target="_blank">英特爾便於15日正式宣布</a>，已與Tower Semiconductor簽署併購協議，準備以每股53美元收購Tower Semiconductor，總價約為54億美元。</p> <p>在消息曝光之後，Tower Semiconductor於15日的股價上漲了42.08%，以47.07美元作收。</p> <p>英特爾表示，此一交易將強化該公司的IDM 2.0策略，進一步擴張其晶片生產能力、全球的足跡與技術，以因應全球市場的需求。</p> <p>IDM的全名為Integrated Device Manufacturer（整合元件製造），指的是從晶片設計、製造、封裝測試到銷售的垂直整合半導體公司，英特爾則是IDM領域的翹楚，但在製造晶片的技術上落後台積電等業者，在全球晶片供不應求的這兩年，英特爾發表了IDM 2.0策略，並<a href="https://www.ithome.com.tw/news/143423" target="_blank">設立晶圓代工服務事業群（Intel Foundry Services，IFS）</a>。</p> <p>至於Tower Semiconductor則專精於行動、汽車與電力等市場的晶片製造，在德州、以色列、義大利與日本都設有工廠，每年提供超過200萬片的晶圓。</p> <p>英特爾晶圓代工服務事業群總裁Randhir Thakur表示，Tower與IFS將攜手於全球提供各種代工解決方案，以實現客戶的抱負。</p> <p>雙方董事會已無異議地通過此一交易，但仍需經過主管機關的核准，預計於12個月內完成交易。</p> </div></div></div>
2022/2/16 15:30作者陳曉莉https://www.ithome.com.tw/news/149393
Chrome擴充程式L.O.C被懷疑存取用戶臉書資料，遭Brave及Meta封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項熱門Chrome擴充程式可能存取臉書而洩露用戶個人資料，遭到瀏覽器業者Brave封鎖，以及臉書母公司Meta的禁止。</p> <p>遭到封鎖的是L.O.C，<a href="https://chrome.google.com/webstore/detail/loc/eojdckfcadamkapabechhbnkleligand" target="_blank">它是一個集結多種自動化工具的App</a>，可協助臉書用戶一次變更大量臉書貼文，掃視個人臉書動態牆上的友人互動、管理交友呼叫、清點並下載用戶和友人的訊息、尋找用戶加入過的群組、按過讚的粉絲專頁、或是移除和友人的連結等。這項擴充程式下載次數約為70萬。</p> <p><a href="https://github.com/brave/extension-whitelist/issues/48" target="_blank">Brave安全開發人員Francois Marier說明</a>，如果使用者已經登入臉書，則安裝這個程式會自動允許第三方伺服器存取用戶臉書內容。它使用的API在發出存取令牌（access token）前，不會觸發臉書顯示同意提示對話框。</p> <p>Marier引述L.O.C的授權說明，安裝這款程式將使其取得臉書及messenger.com等網站的讀取、寫入許可。之後它會對<a href="https://business.facebook.com/creatorstudio/home" target="_blank">臉書Creator Studio</a>發送呼叫並且建立新的存取令牌（user access token），這個憑證讓App經由呼叫API讀取或修改臉書個人檔案。原本臉書規定，要這麼做App應取得用戶同意。然另一方面，用戶在其臉書帳號下卻無從發現新增的存取令牌。</p> <p>此外L.O.C還警告用戶安裝後，他們的臉書帳號可能會因此被暫時被封鎖，因這是臉書管制措施的一部份。</p> <p>為此Brave將L.O.C加入黑名單，以防止用戶安裝。</p> <p class="rtecenter"><img alt="" src="https://user-images.githubusercontent.com/167821/152625619-e13730ab-8094-4eb4-a079-1bf54aec641d.png" style="width: 524px;" /></p> <p><span style="color:#696969;">圖片來源／Brave</span></p> <p><a href="https://www.theregister.com/2022/02/12/facebook_god_mode/" target="_blank">不過L.O.C開發人員Loc Mai對媒體喊冤</a>。Mai指出它產生的令牌是存在裝置本身，並不會分享給其他人。而且除了付費功能用戶外，他的擴充程式並沒有蒐集任何用戶資料，他對付費用戶也只蒐集UID。</p> <p>Google仍允許這款程式在Chrome擴充程式商店上架，不過The Register報導，L.O.C已被臉書/Meta禁止，且Meta也告知他未經用戶同意傳輸和分享用戶資料，以及買、賣或交易用戶活動如按讚、分享數等數據。</p> <p>程式作者一概否認，但他表示如果臉書沒那麼「鴨霸」或清楚說明其程式帶來何種危害，他會考慮將這款程式移除。</p> </div></div></div>
2022/2/16 15:56作者林妍溱https://www.ithome.com.tw/news/149394
IBM首將大型主機搬上IBM Cloud，鎖定DevOps應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2022-02-14-IBM-Simplifies-Modernization-of-Mission-Critical-Applications-for-Hybrid-Cloud" target="_blank">IBM昨（14）日宣布</a>，其公有雲服務IBM Cloud將提供IBM Z as-a-service開發服務，以支援大型主機客戶在混合雲環境的專案開發測試之用。</p> <p>這也是IBM因應時代演進及企業轉型，首度將大型主機搬上雲端的第一項服務。</p> <p>最新服務是將IBM大型主機z/OS開發環境Wazi，以IBM Wazi as a Service（Wazi aaS）之名搬上IBM Cloud，目前是以封閉測試版上線，預計今年下半正式推出。這讓z/OS開發人員可以在公有雲的開發環境進行軟體開發及測試，依使用量付費，又可彈性獲得不同工具，以因應多變的開發需求。另外，因應IBM Z客戶有些受法規控管的應用需求，Wazi aaS 可在IBM Cloud上以隔離環境部署z/OS Virtual Server on IBM Z。</p> <p>IBM宣稱這項服務讓z/OS開發和測試的部署時程，由幾個星期縮短到6分鐘。IBM引用該公司一項內部標竿測試宣稱，使用IBM Cloud來進行z/OS開發，比x86同類型服務速度快15倍。</p> <p>IBM Z混合雲部門副總裁Tarun Chopra指出，結合IBM Z及IBM Cloud，客戶可獲得混合雲的效益，可迎合應用的需求執行在雲端、本地部署環境或雲端邊緣，可降低風險及加速上市時程。</p> <p>IBM也和大型系統整合商Tata Consultancy Services及BMC合作，協助IBM Z主機客戶部署Wazi aaS或舊式應用、資料及流程部署成混合雲環境。</p> <p>此外，IBM也宣布將在3月釋出Z主機應用現代化工具IBM Z and Cloud Modernization Stack。這項工具將配合<a href="https://www.ibm.com/community/z-and-cloud/" target="_blank">去年12月宣布的IBM Z及雲端現代化中心</a>，協助Z主機客戶的應用雲端化。最新工具包含API、雲端原生開發與分析工具，以及支援Kubernetes等環境的IT自動化開發及部署工具等。</p> <p>配合混合雲市場服務，IBM大型主機產品也即將更新，<a href="https://www.ithome.com.tw/news/149141" target="_blank">媒體報導</a>，IBM可能在今年上半或第3季初推出最新一代大型主機Z16。</p> </div></div></div>
2022/2/16 14:41作者林妍溱https://www.ithome.com.tw/news/149392
臺企銀靠容器翻新2大數位通路，更要建置中臺架構讓核心瘦身
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以數據先行的戰略為主軸，資訊團隊的任務是進行系統架構的轉型。」臺灣中小企業銀行資訊部協理陳美慧一句話，點出這一家百年行庫的IT部門，在銀行數位轉型中的重要地位。</p> <p><strong><span style="font-size:28px;">採用微服務架構與容器技術重練2大</span></strong></p> <p>臺灣中小企業銀行（簡稱臺企銀）這幾年展開數位轉型的第一階段，以數據先行策略，推動全通路的共通與優化。第一件事，將舊有網路銀行打掉重練，從以往的單體式架構，改採用微服務架構與容器技術來打造新一代網銀，連帶行動銀行也用同樣的方式來翻新。陳美慧提到，新網銀與新行動銀行這2大數位通路在去年已雙雙上線，「這項大轉變也讓臺企銀的架構變得更為敏捷。」</p> <p>新一代網銀是臺企銀採用容器技術打造的第一個系統，陳美慧表示，容器化解決了傳統單體式架構在弱點修復困難與資源使用的瓶頸，帶來快速部署與輕量化的好處。不過，此時，臺企銀IT團隊仍以人工方式部署與監控容器，「維運上，相當耗費資源且效率不佳」。</p> <p>因此，為提升網銀系統的作業效率，去年，臺企銀導入功能完整的商用容器管理平臺軟體，利用單一平臺管理、維運與監控容器。陳美慧表示：「導入容器管理平臺後有2大好處，自動監控與自動擴充。」她解釋，IT人員可利用系統監控每個容器的資源使用狀況，比如容器資源耗損程度，當容器負載量到達一定程度時，則會自動擴充容器的資源。</p> <p>不只容器技術，臺企銀新一代網銀與行銀App皆導入了微服務架構。不過，設計微服務架構時，陳美慧提到，微服務的開發與建置過程甚至比容器化來得複雜，比如，微服務切割的顆粒度大小，團隊最擔心的是，顆粒度太細，每個微服務之間的網路互通太頻繁，反而會影響到系統的效能。</p> <p>這是臺企銀第一次切分微服務，在沒有經驗的狀況下，陳美慧表示，IT團隊參考外部顧問建議，先以業務功能來切分微服務，最後切出了共10個微服務，更在上線前花了較多時間進行測試。</p> <p><span style="font-size:28px;"><strong>將導入顧問案推動系統微服務化工程與敏捷式開發文化</strong></span></p> <p>下階段，將逐步推動系統微服務化工程，陳美慧透露，臺企銀今年將導入另個顧問服務案，以實驗室的作法，率先鎖定經常改變或容易有爆量需求的應用、服務或API，比如銀行顧客最常使用的登錄功能，或像銀行內部需求變動快速的徵授信系統，來進行微服務化工程。甚至，她提到，臺企銀預計今年上線新的端末系統，先以模組化方式切分，再進一步評估是否適合微服務化。</p> <p>陳美慧坦言，除了要透過顧問案培訓內部IT人員的技術能力，學習微服務切分的精髓之外，同時，也希望透過這項實驗找出更適合的切法，以進一步驗證外部顧問對微服務切分建議的合理性。這是臺企銀IT團隊嘗試將技術主導權抓回手上的關鍵一步。</p> <p>臺企銀也將同步開始導入敏捷式開發文化，來強化自有開發能力。先鎖定數金單位提出的需求，由顧問以一對一教練式作法，集中火力培訓IT與數金單位共10位核心種子教官，利用敏捷式開發來上線這些需求。同時，企金部、授管部等負責中小企業金融服務的業務單位，也需列席敏捷式開發的教學說明會，讓業務單位具備敏捷式開發的基礎知識。</p> <p>另外，趁著導入敏捷式開發，臺企銀也計畫透過流程化管理工具串接各項流程，包括從版本控制、原始碼檢測、一路到壓力測試、部署，將既有人工開發流程串接起來，來縮短應用程式上線的時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_(%E6%8A%BD)%E9%99%B3%E7%BE%8E%E6%85%A7_%E8%87%BA%E7%81%A3%E4%B8%AD%E5%B0%8F%E4%BC%81%E6%A5%AD%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%83%A8_%E5%8D%94%E7%90%86_20220121_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D_jpg%20%E7%9A%84%E5%89%AF%E6%9C%AC(1).jpg" style="width: 350px;" /></p> <p><span style="color:#808080;">攝影／洪政偉</span></p> <p><strong><span style="color:#696969;">臺灣中小企業銀行資訊部協理陳美慧表示，在數據先行策略下，資訊部扮演建置系統架構的角色，將數據快速提供給各業務單位進一步發展數據價值。</span></strong></p> <p><strong><span style="font-size:28px;">將發展e會員，打造數據池與數據中臺以提供前臺客戶歸戶查詢</span></strong></p> <p>環繞數據先行的策略，推動全通路的共通與優化只是臺企銀數位轉型第一步。陳美慧透露，下階段將展開會員e化，透過會員制發展紅利應用，藉此加深顧客與銀行的黏著度。現階段，將從顧客屬性分群開始著手。</p> <p>臺企銀已經建置了一個顧客紅利平臺，對衍生服務更有不少點子，例如要將紅利結合銀行其他金融商品，或者運用紅利進行促銷活動，「讓顧客累積的紅利盡量用於銀行的其他金融商品，」陳美慧指出，這正是臺企銀在思考的另一種金融效益。</p> <p>她坦言，這些應用所涉及的系統規畫層面更大，包括建置數據池、數據中臺、流程中臺，甚至是業務中臺，都是臺企銀數位轉型中期的重點發展目標。</p> <p>下一步，臺企銀將先建置數據池，來整合各種異質資料庫，達到異質資料互通的目的。目前，臺企銀內部已有資料倉儲分析過後的結構化資料，及用來處理非結構化資料的Hadoop資料庫，接下來，陳美慧透露，他們打算建置操作型資料庫，來存放每筆交易明細的資料。甚至，包括如外匯主機、徵審主機等系統，都可成為數據池的資料來源之一。</p> <p>整合異質資料庫之後，臺企銀正在規畫從頭開始建置一個數據中臺，要取代以往系統一對一串接資料的作法。未來，前臺就能透過數據中臺的轉介，來取得數據池的資料。陳美慧進一步說明數據中臺可以帶來的影響，例如原有架構中，前端徵授信業務需要帳務主機的資料時，因為缺乏數據轉接機制，得靠系統一對一串接，才能整合各式資訊如臺幣存款、放款、外幣存款、基金等，對前端提供資訊的速度稍嫌落後。</p> <p>但是，未來透過數據中臺，前臺能快速查詢客戶的歸戶資料，像是該名顧客與臺企銀往來哪些金融產品、貢獻度高低，甚至是哪些產品曾有還款逾期記錄等。陳美慧表示，在此架構下，「臺企銀預計在今年底將客戶歸戶資料的時間落差縮短到1小時。」例如，徵審人員可即時查詢到顧客1小時前與臺企銀往來的所有產品變化，作為徵審的參考依據。</p> <p>除了提供面向客戶端的前臺應用，她提到，數據池與數據中臺也將提供給總行取用動態即時的資料，來製作統計型資料報表、晨報等，預計今年底提供服務。至於，未來臺企銀如何善用數據進一步加值，陳美慧提到，資訊部的角色是建置起系統架構與提供工具，將數據快速提供給各業務單位使用，所以，將由業務單位進一步挖掘更多數據價值。</p> <p><span style="font-size:28px;"><strong>建置流程中臺作為交易流向轉接樞紐，更要做到流量與權限控管</strong></span></p> <p>不只數據中臺，臺企銀也要建構流程中臺。陳美慧表示，雖然臺企銀的IBM帳務主機在2019年完成核心帳務單主機更新，甚至2020年，上線了同地備援的核心帳務雙主機平行系統。但是，這套主機的開放度不夠，IT團隊本來就發展出一套類似流程轉接的機制，來進行閘道的轉接。但是，這套流程轉接機制難以進行更細緻的設定，促使臺企銀也決定打造一套流程中臺，她提到：「流程中臺不只要做到交易的流向轉接，還得負責流量的控管與權限的控管。」</p> <p>臺企銀在核心系統架構的準則是穩定，將核心帳務留在核心主機，而需快速應付前端需求的系統，則可從核心拆離後往前移動，利用流程中臺與數據中臺串接，來支應前臺的需求。</p> <p>甚至，臺企銀未來計畫進一步建置業務中臺，將帳務主機中具有業務共通性的功能或系統，比如額度控管、開戶控管、支付系統等，逐個往外拆離到業務中臺上，來讓帳務主機輕量化。此外，除了帳務主機外，如報表系統、反洗錢系統等業務共用的系統，也計畫整合到業務中臺上，來取代以往當前端有需求時，需一對一設定來串接系統的作法。</p> <p>「不管是流程中臺、數據中臺、業務中臺，都得像萬用插頭一般，接收到前端需求時，做到服務的轉向與提供。」陳美慧如此形容中臺的特性。</p> <p>未來，臺企銀打算與第三方業者合作來經營金融生態圈，這是更為長期的數位轉型規畫。她表示，預計今年3月上線API管理平臺，對外開放Open API，讓第三方業者能測試串接，加速實現金融生態圈。</p> <p><strong><span style="font-size:28px;">數位轉型帶給CIO多項管理新挑戰</span></strong></p> <p>在管理面向，從基層一路升至資訊長的陳美慧坦言，面臨的課題是難以放下過往經驗，容易沈浸在過於底層的細節檢視，可能造成無法綜觀全局的狀況。此外，她在去年升任資訊長後，深刻體會到從事資訊的人員，相較於過往，越來越難實現上下班時間模糊的模式，加上各業界對於IT人才的需求大，讓這類人才有更多外部選擇。因此，如何拿捏對IT團隊的管理強度，也是她正在學習的課題。</p> <p>另一大管理挑戰是，資訊部執掌的8科中，有些科別不只要負責業務系統開發與維護的主要工作，還得同時兼任行政角色，執行採購規畫、預算編列等事宜，容易發生正業與副業無法兼顧的窘況。因此，她提到，資訊部正進行組織型態的調整，將行政與技術面的工作拆分清楚，讓技術人員專心技術領域，行政部分則由熟練這塊領域的人力接手。</p> <p>另外，陳美慧打算採取組織架構扁平化的管理方式，她解釋，組織階層越多，就會衍生越多問題，扁平化管理的好處是，發現問題時能馬上橫向溝通來處理問題。比如，底層科員遇到不合理的業務單位需求時，能夠更快向上反應，改由主管出面與業務單位溝通。</p> <p>「希望讓資訊部上下溝通都能更即時，不要讓底層員科員單獨面對無法處理的難題。」這位浸淫金融業30年之久的資訊長，總是站在第一線員工的角度來思考。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></strong></p> <p><strong>臺灣中小企業銀行資訊部協理陳美慧 </strong></p> <p>學歷：臺北工專電子工程科畢業</p> <p>經歷：在臺灣中小企業銀行擁有30年豐富資歷，一路從該行資訊部負責資料庫管理，到擔任程式設計師、襄理、副理等職位；2021年9月升任臺企銀資訊部協理，統領資訊團隊共245人，負責倉儲系統轉置、中心帳務雙主機平行系統轉置、新世代網銀轉置、數位轉型資訊基礎規畫</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>臺灣中小企業銀行</strong></p> <p>●成立時間：1915年</p> <p>●主要業務：提供金融服務</p> <p>●董事長：林謙浩</p> <p>●總經理：張志堅</p> <p>●資本額：逾774.31億元</p> <p>●員工人數：5,353人</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>●資訊部門名稱：資訊部</p> <p>●直屬主管：邱松歲副總經理</p> <p>●資訊部門主管：陳美慧</p> <p>●資訊部門人數：245人</p> <p>●資訊部門分工：共分為8科，其中分析設計共5科，負責業務系統開發與維護，另3科分別為資料處理科、連線管理科、資料管制科</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></p> <p>●2016年：建置新版官網、行動企網App；完成上海、武漢分行人民幣資訊系統、大數據資料分析作業、境外網路交易代收代付系統；完成智慧型分行交易預約填單功能、建置稽核管理系統</p> <p>●2017年：新增財金跨境電子支付平臺服務、行動銀行QR Code掃描支付業務；上線感應式金融卡系統、新增ATM無卡提款功能、建置全行匯利率看板系統</p> <p>●2018年：建置跨境e匯通系統、分行導入指靜脈辨識系統、行動銀行開放可透過生物特徵或圖型辨識碼、新版財富管理系統、資料倉儲擴增建置非結構化資料儲存平臺</p> <p>●2019年：完成中心帳務主機單主機更新、會計結帳流程簡化、HCE雲支付系統上線；建置開放式報表產製平臺、台灣Pay特約商店管理系統、Open API平臺；完成海外分行AS400移機及資料庫欄位加密、SWIFT專機工作站集中作業、分行物聯網設備網段區隔</p> <p>●2020年：中心帳務雙主機平行系統上線、建置智能客服系統、台灣Pay紅利積點平臺、完成行動銀行App應用系統及軟硬體設備更新及建置雙因素互動式推播行動認證平臺</p> <p>●2021年：重建端末系統暨流程改造、容器化電子銀行系統、線上貸款申請平臺、遠距辦公桌面虛擬系統、手機門號Mobile ID身分認證、徵授信引入企業財報資訊自動化、導入RPA輔助防制洗錢告警調查流程、企業輿情分析與應用、容器管理平臺建置</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960_chen_mei_hui_-2.png" width="960" height="420" alt="" title="陳美慧臺灣中小企業銀行資訊部協理　(攝影／洪政偉)" /></div></div></div>
2022/2/16 07:00作者李靜宜https://www.ithome.com.tw/people/149345
從無到有實現球面Voronoi
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國畫家Jackson Pollock曾經說過：「都是在玩構築罷了——有人用刷子，有些人用鏟子，有的人用筆」，我很喜歡這句話，在最後加了句「而有些人，例如我，用的是程式碼」，在我的GitHub、Twitter等網站的自我介紹上，都可以看到這句話。</p> <p>用程式碼構築3D模型是我的樂趣之一，然而，在建立某個模型之後，開心的感覺並不會維持太久，有時甚至會覺得，在試圖建模前的苦惱、搜尋、嘗試，在興致的維持上，還比較耐久一些，有些甚至是維持了數年之久，例如：<a href="https://bit.ly/34hsOPd" target="_blank">迷宮</a>、<a href="https://bit.ly/3G9duSj" target="_blank">龍</a>等，都是多年不斷的主題創作。</p> <p>就我而言，長時間從事某個主題創作的好處是，可以看得出成長的足跡，在外觀上，模型的複雜度漸次提升，在程式層面是程式庫的逐漸豐富，在知識方面，是對數學、資料結構、演算法等的日積月累，而每一次層次提升，都成為下次創作的基石。</p> <p><span style="font-size:28px;"><strong>哈密瓜與球面Voronoi</strong></span></p> <p>最近我構築出一顆平凡無奇的<a href="https://bit.ly/3ACQeuL" target="_blank">哈密瓜</a>，不明就理的人，應該會覺得發布一顆哈密瓜是要幹嘛？我想傳達什麼呢？</p> <p>從我的第一個OpenSCAD作品算起，到寫出哈密瓜花了我六年的時間，如果你曾經處理過Voronoi，應該會知道重要的是瓜面的紋理，也就是球面的Voronoi。</p> <p><span style="font-size:28px;"><strong>球面Voronoi與極點投影</strong></span></p> <p>Voronoi圖案代表著勢力均衡，就程式設計來說，有多種實現的方式，像是半平面交集、Fortune演算，或者是透過Bowyer-Watson演算求Delaunay三角分割後，轉換為Voronoi，這些在先前專欄〈<a href="https://www.ithome.com.tw/voice/142956" target="_blank">Voronoi與Delaunay</a>〉談過，其中也提到一些文件鏈結，當中有說明與實作。</p> <p>如果想實現球面Voronoi，第一個想到的是需要3D版本的Voronoi，問題在於：大多數文件都是談二維平面如何建立Voronoi。多年以來，我試著搜尋Voronoi 3D的文件，大多是附於CAD軟體中的功能，或者像是Scipy之類的程式庫，提供spatial.Voronoi之類的API，可以用來建立3D的Voronoi，我確實也曾基於CadQuery結合spatial.Voronoi來建模。</p> <p>然而，我一直想挑戰純粹使用OpenSCAD來實現球面Voronoi。在難以尋得相關文件的情況下，我曾試著將半平面交集擴充為半空間交集，實現3D版本的Vornoi，但速度過於緩慢到難以忍受。</p> <p>這個議題就擱置了好多年，直到前些日子，我在〈<a href="https://bit.ly/3KT3sZ5" target="_blank">Red Blob Game</a>s〉中，找到了〈<a href="https://bit.ly/3G7Mz9e" target="_blank">Delaunay+Voronoi on a sphere</a>〉，那時，我才知道所欠缺的，其實並不是3D版本的Voronoi，而是<a href="https://bit.ly/3KQAl8E" target="_blank">球極平面投影</a>。</p> <p>簡單來說，我想做的是在「球面」建立Voronoi，而不是整個「球體」建立Voronoi，亦即其實是像Scipy的spatial.SphericalVoronoi，在球面上布點、建立Voronoi，而不是在球體內佈點建立Voronoi。</p> <p>至於球極平面投影，像是XY平面從球的赤道橫切，然後在球的北極點一盞燈，球面上的點沿著光行進的方向，全部映射至XY平面，若對XY平面上的點進行Delaunay三角分割，轉換為Voronoi，再將結果投影回球面，就會是正確的球面Voronoi。</p> <p>其中要注意的是北極上的點，投影結果會在XY平面的無限遠點，因此在求XY平面的Voronoi時，必須有個無限遠點，如此投影回球時，北極點才不會有破洞，雖說需要無限遠點，實際在建模或繪圖時，只要有夠遠的點，讓投影後的破洞看不出來即可。</p> <p>〈<a href="https://bit.ly/3G7Mz9e" target="_blank">Delaunay+Voronoi on a sphere</a>〉有可互動的動畫展示，其中也提供了原始碼可供參考，附帶一提的是，作者本人熱衷於數學與演算法的互動視覺開發，〈<a href="https://bit.ly/3KT3sZ5" target="_blank">Red Blob Game</a>s〉還有不少關於數學與演算法的有趣主題可以挖掘。</p> <p><span style="font-size:28px;"><strong>實作資料結構與演算法</strong></span></p> <p>知道演算法與使用特定語言實現，其實這中間是有段距離的，畢竟語言特性不同，要用OpenSCAD實現Voronoi更是如此。因為有關Voronoi的演算法虛擬碼，多半是以命令式來描述，能找到的程式實作，也都是命令式語言，然而OpenSCAD是個偏向函數式典範的語言。</p> <p>不過，將命令式演算拆解為函數式演算這方面，我已相當有經驗，麻煩的是其中需要的資料結構——OpenSCAD完全沒有排序、搜尋的現成函式，也沒有最重要的字典結構，雖然能用JavaScript之類的命令語言實現出Voronoi，但在OpenSCAD中，我必須先將這些資料結構實現出來。</p> <p>為了能快速處理大量的頂點、索引，我在OpenSCAD要實現基於雜湊的字典結構，為此必須先解決如何計算雜湊的問題，在使用者沒有指定如何計算雜湊值的情況下，我預設會將鍵轉為字串表示，然後對字串進行雜湊，為此我還去看了一下Java原始碼中怎麼對字串做雜湊計算。</p> <p>在能夠實現相關資料結構後，我實現了Bowyer-Watson演算求三角分割，但效能並不好。經過多次評測之後，我發現，字串雜湊值只能作為一種預設方案，針對特定情境，例如，鍵會是一組索引或者是點座標時，若是轉為字串再計算雜湊反而緩慢，此時，需要定義專用的雜湊方式，例如點座標p，我採取的方式是與[73856093,19349669,83492791]（許多文件推薦的組合）進行內積運算，取整數部分的絕對值作為雜湊值，實際評測之後，也確實有不錯的效能改進。</p> <p>然而，還有可以改進的地方。由於OpenSCAD採用不可變動（immutable）特性，Bowyer-Watson演算必須調整，像是一開始就為字典建立適合大小的雜湊桶（hash bucket），這能有效減少建立新狀態的次數，對於效能是否良好，會有很大的決定性。</p> <p>在這之前我還真沒想過：有一天必須自行實現字典這類資料結構。然而透過這樣自行實現，一邊評測、一邊依語言特性調整資料結構、演算法的過程，得到了許多教科書沒看過的經驗；這讓我想起有些開發者會說：「學資料結構、演算法根本就沒有用，因為現代語言都會有標準實作，或者也會有第三方程式庫提供更好的實現」是這樣的嗎？</p> <p>對我來說，資料結構、演算法除了能讓開發者在使用相關程式庫時，比較能掌握對應特性之外，若沒有這類基礎知識，我是不可能在OpenSCAD中實現字典等資料結構，寫出Voronoi，更不可能構築一顆哈密瓜吧！</p> <p><span style="font-size:28px;"><strong>長時間從事創作的積累</strong></span></p> <p>其實能寫出球面的Voronoi後，我試過幾個模型作為範例，目的是<a href="https://bit.ly/3KQ72D0" target="_blank">展現純OpenSCAD也能實現球面Voronoi</a>。有網友問我用的是什麼演算法，他說他的2D版本若是幾百個點，就要花幾個小時，一千個點大概得花一天的時間。</p> <p>這就是我最後選擇，只發布一顆平凡無奇的哈密瓜的原因，如果瓜面有1,000個左右的點，大概一分鐘就可以生成，這讓我有種「懂的人自然就懂了」的虛榮感，不過，雖然執行程式生成一顆瓜只要一分鐘，然而真的要講並不容易，因為，我可是花了六年的積累，才有可能實現！</p> <p>你曾經長時間從事某個主題創作嗎？當然，主題不用像我一樣是3D建模，或許是某個應用程式，或者是開放原始碼之類的東西，這會是個難能可貴的經驗！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%90%83%E9%9D%A2voronoi">球面Voronoi</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E7%A2%BC">程式碼</a></div><div class="field-item odd"><a href="/tags/3d%E6%A8%A1%E5%9E%8B">3D模型</a></div><div class="field-item even"><a href="/tags/%E6%A5%B5%E9%BB%9E%E6%8A%95%E5%BD%B1">極點投影</a></div><div class="field-item odd"><a href="/tags/%E6%BC%94%E7%AE%97%E6%B3%95">演算法</a></div></div></div>
2022/2/16 07:00作者林信良https://www.ithome.com.tw/voice/149383
Google推新一代無伺服器函式服務Cloud Functions，具60分鐘執行時間、更大的執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新其雲端無伺服器函式服務Cloud Functions，利用無伺服器容器平臺Cloud Run和事件服務Eventarc，建構<a href="https://cloud.google.com/blog/products/serverless/introducing-the-next-generation-of-cloud-functions">第2代Cloud Functions</a>，其具有進階功能集，讓用戶使用更強大的基礎設施，並且在效能和可擴展性上提供更多的控制功能，還可以利用超過90個事件來源觸發函式執行。</p> <p>新的Cloud Functions有一系列新功能，現在提供更長的執行時間，HTTP函式可以執行長達60分鐘，用戶能夠處理更長的工作負載，運算像是來自Cloud Storage或BigQuery的大量資料串流。</p> <p>而Cloud Functions也提供更大的執行個體，用戶可以使用高達16 GB的記憶體和4個vCPU，方便處理記憶體和運算密集的工作負載，並且執行更多平行化運算。第2代Cloud Functions並行性（Concurrency）達到1000個並行請求，最大程度減少冷啟動，並改善擴展時的延遲和成本。</p> <p>用戶可以利用預熱執行個體，減少冷啟動時間，並確保應用程式的啟動時間，不會影響應用程式的執行效能，另外，第2代Cloud Functions還支援分流功能，讓用戶可以同時執行多個應用程式修訂版本，在不同版本間分配流量，或是將函式回退到之前的版本。</p> <p>Google也在Cloud Functions原生支援Eventarc，因此可以使用來自直接來源與Cloud Audit日誌記錄的90多個事件來源，不過，Cloud Functions讓用戶還是可以藉由直接發布到Pub/Sub的方式，使用自定義來源事件。第2代Cloud Functions擁有改良過的UI，以及自定義面板，提供新的使用者體驗和無障礙更新。</p> </div></div></div>
2022/2/16 09:52作者李建興https://www.ithome.com.tw/news/149384
微軟啟動Flash專案全面強化Azure VM可用性監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/advancing-azure-virtual-machine-availability-monitoring-with-project-flash/">微軟推動Flash專案</a>，要提供用戶全面且清楚的Azure虛擬機器可用性監控功能，這次的兩項更新發布，包括在資源管理服務Azure Resource Graph中提供虛擬機器可用性資料，還有在監控服務Azure Monitor中，加入虛擬機器可用性指標。</p> <p>這兩項新功能來自於微軟對Azure的可用性監控投資，微軟透過執行Flash專案，要發展出集中式、全面且清晰的Azure虛擬機器可用性監控解決方案，滿足用戶對於虛擬機器的可觀察性需求。Flash專案發展各種功能，讓用戶全面監控虛擬機器的可用性。</p> <p>在Flash專案的第一階段，目標是提供用戶不同選項，方便地存取虛擬機器可用性資料，其目標是在現有功能和解決方案中，像是Health Resources或Activity Log，提供一致的檢視圖。</p> <p>用戶現在可在Azure Resource Graph中，看到虛擬機器的可用性狀態。Azure Resource Graph是Azure中的資源管理服務，讓用戶可以存取Azure環境上的資源，並且掌握雲端庫存，微軟現在於Azure Resource Graph中的Health Resources表格，提供虛擬機器可用性狀態，包括可用、不可用和未知三種狀態，用戶也可以使用Kusto查詢語言，對大型資料集執行篩選查詢。</p> <p>而這項功能也可以追蹤虛擬機器可用性歷史變化，建構自定義儀表板，還有跨多個表格，對眾多的資源屬性進行詳細的調查。微軟預告，在今年稍晚，還會在Health Resources表格中添加故障詳細資訊和降級虛擬機器情境，讓用戶可以進行故障轉移、重新啟動，或採取其他適當的緩解措施。</p> <p>另外，Azure Monitor中也加入開箱即用虛擬機器可用性指標，提供指標警示和監控應用。微軟提到，Azure Monitor中的指標很適合監控和分析虛擬機器可用性的時間序列，以便快速除錯和接收相關警示，擷取可用性下降的早期指標等。</p> <p>新的可用性指標讓用戶能夠追蹤虛擬機器的健康跡象，在預期行為中，該指標的顯示值為1，隨著虛擬機器可用性下降，該指標數值會降至0，當Azure基礎設施故障，則該數值會以虛線表示。目前在Flash專案的第一階段，該功能以私密預覽的形式釋出。</p> </div></div></div>
2022/2/16 09:55作者李建興https://www.ithome.com.tw/news/149385