iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 8篇
近 24 小時: 24篇
近 7 天: 136篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 136 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

SEC提案要求美上市公司要在4天內披露重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2022-39" target="_blank">美國證券交易委員會（SEC）本周三（3/9）提出一項修正法案</a>，將強化有關網路安全威脅的標準披露程序，其中包括要求上市公司要在重大資安事件發生的4天內披露，現已開放公眾提出意見。</p> <p>SEC主席Gary Gensler表示，新的披露規定是為了反映日益進化的風險，以及投資人的需求，現在的網路安全已是一個上市公司必須應對的新興風險，投資人想要知道更多相關資訊，包括業者如何管理這些與日俱增的風險。</p> <p><a href="https://www.sec.gov/files/33-11038-fact-sheet.pdf" target="_blank">在此一新的修正案中</a>，要求上市公司必須在發生重大資安事件的4個工作天內對外披露，包括何時發生與發現資安意外、所牽涉到的規模、對公司經營的影響，以及是否已緩解意外等，之後也必須更新其後續發展。</p> <p>此外，未來SEC將要求上市公司提供有關網路安全管理、程序與政策的具體規畫，例如如何辨識與管理網路安全風險，董事會對網路安全的監督，管理階層對於網路安全風險、政策與程序方面的角色及專業知識等。</p> </div></div></div>
2022/3/11 14:37作者陳曉莉https://www.ithome.com.tw/news/149847
上百個AI模型怎麼管？玉山銀揭露ML模型從部署到維運如何自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山銀行深度仰賴AI，內部使用了超過100個模型。為自動化管理模型，他們去年開始使用商用模型效能監控工具，來客製出自己的模型維運管理工具，透過視覺化儀表板來追蹤模型運作，還能自動發送模型異常通知，監控報表產生速度也從3天縮短到數分鐘，來加速模型維運管理。</p> <p><span style="font-size:22px;"><strong>數十年大數據經驗轉攻AI，負責打造5大領域模型</strong></span></p> <p>玉山銀行全力發展AI，還有賴於長年累積的大數據分析經驗。玉山銀行科技長張智星指出，玉山早在2006年就發展大數據分析業務，成立客戶風險與加值分析小組（CRV），來以客戶資料開發預測模型和客戶價值模型，找出商機洞察，並與資訊處合作打造分析資料庫。這個大數據分析模式，在玉山內部持續到了2014年。</p> <p>2015年，玉山數位金融處成立，大數據業務模式轉向，改為與數金處和業務單位合作為主，分析的資料也更多元，將KYC數位足跡和爬文資料等納入分析範圍。這時，他們也開始聚焦非結構化資料的收集與分析，更展開一些AI專案來試水溫。</p> <p>驗證AI成效後，2018年，玉山銀行成立智能金融處（簡稱智金處），專門打造各類AI應用程式，來給業務單位使用，要以AI解決商務問題。這時，他們的業務範圍更廣了，舉凡與業務相關的分析都包括在內，還要負責訓練模型、上架模型給業務單位使用。</p> <p>那幾年，玉山定調5大AI發展領域，包括用來強化行員服務能力的賦能AI（如信貸檢核系統）、結合語音辨識和文字理解的風控AI（如信用卡防盜刷偵測模型、反洗錢偵測）、用來簡化工作流程的流程AI（如RPA加速紓困專案審核）、協助精準推薦商品的行銷AI，以及能與顧客即時互動的服務AI（如房屋估價系統），這些也是智金處的AI業務範圍。</p> <p>為了加速AI開發和應用，智金處也自行打造了2款工具：AI研發雲和MLaaS平臺，分別來訓練模型和部署模型。至此，智金處有如玉山內部的AI供應商。</p> <p><span style="font-size:22px;"><strong>模型破百管理複雜，打造模型維運平臺讓效能監控更自動化</strong></span></p> <p>智金處4年發展，玉山內部AI專案不只有50、60個，所使用的AI模型還超過100個。但，光是部署一個AI模型的工作，就非常複雜。張智星解釋，用來部署AI的MLaaS平臺架構分為3部分，首先是數據加工層，將原始資料進行特徵工程、寫入特徵資料庫，接著是服務提供層，也就是AI推論層，當業務應用層系統（如信用卡處系統、財富管理、風險管理等）接收客戶資料，就會以API呼叫服務提供層的AI模型，讓模型抽取數據加工層的特徵後，來計算輸入資料，之後再透過API，將模型計算結果回傳給業務層系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/feng_mian_gu_shi_67-960-mlaas_jia_gou_tu__0.jpg?itok=jVh0jsw9" /></p> <p>張智星指出，最費功夫的是監控這些模型的表現，當模型偏移時盡快下架，得重新訓練後再部署上線，否則會對業務造成極大影響。舉例來說，信用卡盜刷偵測模型在2019年上線後備受好評，但去年疫情嚴峻期間，模型越來越不準，後來發現，不只是消費者習慣改變，從實體店家轉往電商消費，詐騙集團手法也因疫情改變。「這種變化讓模型難以即時因應，因此失準。」</p> <p>但要監控模型，不僅得跨部門、投入大量人力還時間，模型失準後可能還得再花3至6個月重新訓練，這對擁有上百個模型的智金處來說，是個大問題。</p> <p>因此，玉山決定打造一套模型維運平臺，來管理模型生命周期，更要建立一致、標準化的模型監控作業。為了加快開發，採用商用產品SAS Viya平臺模型效能管理應用程式，透過內建的模型量測評估指標，像是準確率、F1分數、靈敏性、特異性等多種指標，來追蹤模型是否偏移。</p> <p>蒐集到模型效能數據後，玉山智金處再客製出視覺化儀表板，來追蹤上線模型的異常狀態（如廠商產品畫面示意圖），每個模型都有預先定義的閾值，當模型表現偏移，系統就會自動發送Email通知管理者。監控報表的產製時間也從原本的3天，縮短到數分鐘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8E%89%E5%B1%B1%E6%A8%A1%E5%9E%8B%E7%B6%AD%E9%81%8B3.jpeg" /></p> <p><strong><span style="font-size:22px;">導入中央儲存庫追蹤各詮釋資料，記錄管理稽核軌跡</span></strong></p> <p>除了模型維運，智金處還肩負資料治理的任務。張智星表示，智金處得制定全行的資料治理計畫，不只要管理玉山成立30年來累積的資料，也得建立各種詮釋資料（Metadata）的管理制度，尤其是模型詮釋資料。</p> <p>過去，他們採用Azure DevOps工具來管理程式碼，後來，為補足詮釋資料的管理，他們在去年開始採用Viya平臺上的中央儲存庫，來集中管理原本散落各處的詮釋資料。因此，只要是模型相關的詮釋資料，如開發者、開發時間、採用的演算法類型等20多種資料，甚至是模型版本、模型檔案、模型屬性和變數，都能在中央儲存庫中找到。</p> <p>這個儲存庫，能根據不同模型設定權限，再讓相關人員參與、協作，查看模型狀態或簽核把關模型品質。這個儲存庫平臺，也能記錄管理和稽核軌跡，進一步滿足法遵需求。</p> <p>至此，玉山銀行的AI模型開發、部署和前端服務應用等三大階段，都已能借助自動化工具來監控，掌管模型生老病死。</p> <h3><strong>玉山AI模型自動化管理工具可以貫穿開發到服務三階段流程</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%8E%89%E5%B1%B1%E6%A8%A1%E5%9E%8B%E7%B6%AD%E9%81%8B.jpeg" /></p> </div></div></div>
2022/3/11 12:34作者王若樸https://www.ithome.com.tw/news/149843
俄羅斯擬自發憑證以繞過歐美制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為繞過西方國家的網路制裁措施，<a href="https://www.bleepingcomputer.com/news/security/russia-creates-its-own-tls-certificate-authority-to-bypass-sanctions/" target="_blank">俄羅斯計畫</a>建立自有TLS數位憑證發放機構（Certificate Authority，CA），以確保網站及應用程式的持續運作。</p> <p>近日西方國家的網路及軟體業者紛紛跟進政府制裁令，對俄羅斯企業停止服務。即使主要憑證發放機構如Symantec、Verisign、DigiCert等尚未宣佈暫停服務，但在政府及支付業者將俄羅斯或白俄列入制裁名單後，這些公司也因無法收到款項不能更新發出的TLS/SSL憑證，使用這些憑證的網站也將在憑證過期後，不被瀏覽器驗證。這會讓用戶在造訪這些網站時接到瀏覽器的明顯警告，或是勸導離開。</p> <p>為免網站存取遭西方國家阻斷，<a href="https://meduza.io/en/news/2016/02/15/the-kremlin-reportedly-wants-to-create-a-state-operated-center-for-issuing-ssl-certificates" target="_blank">俄羅斯數年前就已計畫</a>成立國營數位憑證發放中心，以因應敵國衝突時確保資訊的傳輸。<a href="https://www.gosuslugi.ru/tls" target="_blank">本周俄羅斯數位發展部公布將成立國有CA</a>，以獨立發放數位憑證。</p> <p>網站說明，俄羅斯數位發展部將提供合法實體免費的國內數位憑證，一旦外國的憑證被撤消或到期，新憑證將取而代之。新憑證申請5天內即可提供。</p> <p>因應各國的經濟制裁，俄羅斯政府揚言將提供必要資源支援國內企業營運。<a href="https://www.ithome.com.tw/news/149747" target="_blank">俄羅斯正在草擬《俄羅斯聯邦民法典》（Civil Code of Russian Federation）的修正案</a>，允許在國家利益前提下，企業單方面取得資訊軟體的授權，即使未獲得原廠同意，也廢除補償付費的要求。</p> <p>此外，在《數位經濟國家計畫》下，俄國也打造並已測試能在必要時，讓俄國網路獨立於全球體系之外運行的RuNet架構，包括自建DNS伺服器以掌控所有境內流量。<a href="https://www.ithome.com.tw/news/149745" target="_blank">本周有白俄媒體報導</a>俄羅斯計畫讓所有網站都加入.ru網域，並需移除網站上所有源自外國的Javascript程式碼，以利嚴加控管甚至鎖國。但遭俄國政府否認。</p> <p><a href="https://www.ithome.com.tw/news/149823" target="_blank">美國政府還警告</a>，俄羅斯政府可能為了籌措財源而唆使駭客發動勒索軟體攻擊。</p> </div></div></div>
2022/3/11 13:12作者林妍溱https://www.ithome.com.tw/news/149846
Google更新烏克蘭的Android裝置，直接整合空襲警報系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/davey_burke/status/1501996358412079105" target="_blank">負責Android的Google工程副總裁Dave Burke透過Twitter宣布</a>，已與烏克蘭政府合作，將於烏克蘭的所有Android手機上部署快速空襲警報（Air Raid Alerts）系統。</p> <p>烏克蘭政府為了在俄軍轟炸時協助疏散居民，已與開發者合作打造了空襲警報程式Ukrainian Alarm，Google亦協助於Google Play上突顯該程式；不過，Google現在則將透過更新，直接將空襲警報系統整合在烏克蘭當地的Android手機上。</p> <p>Burke說明，此一空襲警報系統是基於Google替地震警報打造的低延遲警報機制，它與烏克蘭既有空襲警報系統的觸發機制是一樣的，只是作為額外的補充，也將在未來幾天部署至烏克蘭所有的Android手機上，感謝Android的產品、介面及工程團隊在短時間內完成此一任務。</p> <p>該空襲警報系統會根據烏克蘭政府所提供的空襲資訊，要求附近民眾儘速尋找掩護，也會在警報解除後通知民眾。</p> <p>此外，為了協助難民撤退，即日起烏克蘭附近國家的旅館或商家都可在Google搜尋與Google地圖的商家簡介上，標註是否免費收容難民或是提供其它優惠服務。</p> </div></div></div>
2022/3/11 12:22作者陳曉莉https://www.ithome.com.tw/news/149842
調查顯示微軟Azure企業採用率超越AWS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS及微軟Azure一直是公有雲市場第一、二名，而微軟也持續加碼追趕。近日至少有一項調查顯示，採用Azure的企業比例首度超過AWS。</p> <p><a href="https://www.flexera.com/about-us/press-center/2022-state-of-the-cloud-report-by-flexera" target="_blank">IT管理業者Flexera近日公布2022雲端現況調查</a>，這份調查是去年第4季針對753名企業技術及業務經理人調查而完成。資料顯示，在導入使用的企業百分比中，使用Azure比例超越AWS（80%:77%），而論雲端上建立的虛擬機器（VM）也是以71%:51%排名第一。</p> <p>此外，53%的Azure用戶每年在雲端上支出至少120萬美元，小勝AWS的52%。</p> <p>在私有雲方案採用情形中，使用Microsoft Azure Stack的用戶比去年稍微成長來到37%，超過VMware vSphere的31%，也成為所有廠商最高的。</p> <p>這份報告還發現，在雲端管理工具選擇上，企業傾向使用雲端原生提供工具，而非第三方品牌的工具。其中受訪企業最青睞的工具是AWS Cloud Formation範本（50%）及Azure Resource Manager範本（48%）。若看企業規模，Azure Resource Manager範本最受大型企業歡迎（52%），AWS Cloud Formation 範本則較多中小企業青睞（47%）。</p> <p>最主要的第三方工具包括Terraform（30%）、Red Hat Ansible（27%）及Salt/SaltStack（5%），但採用比例皆較去年下滑。</p> <p>最後，中小企業的雲端支出大幅提升，52%的受訪企業在雲端上花了超過120萬美元。愈來愈多企業想轉到公有雲上，其中超過6成的人未來12個月想把作業負載（63%）及資料（62%）搬上雲端。</p> <p>根據<a href="https://www.datacenterdynamics.com/en/news/amazon-web-services-grows-revenue-40-percent-microsoft-azure-increases-share-google-cloud-still-loses-840m/" target="_blank">市調公司Synergy公布的2021年第4季的雲端市占率報告</a>，AWS仍然以超過32%的市占居龍頭，而微軟則21%居次，但已較2017年成長了9%。Google則是以近10%排第三位。</p> </div></div></div>
2022/3/11 12:41作者林妍溱https://www.ithome.com.tw/news/149844
Google暫停於俄羅斯的程式購買功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/googleplay/android-developer/answer/11950272#zippy=%2Ccan-users-still-download-free-apps-and-games-from-google-play%2Ccan-users-still-access-apps-and-games-that-have-already-been-downloaded-or-purchased%2Cwhat-happens-when-a-user-transaction-fails%2Cwhat-happens-to-existing-user-subscriptions%2Chow-can-i-help-extend-my-subscribers-access-to-content-knowing-their-payment-will-be-declined%2Cmy-app-offers-a-critical-service-to-users-that-keeps-them-safe-and-provides-access-to-information-what-should-i-do%2Chow-does-this-impact-play-payments-policy%2Ccan-i-publish-new-apps-or-update-existing-apps-during-this-pause" target="_blank">Google近日宣布</a>，由於支付系統中斷的緣故，Google Play自3月10日起將暫停俄羅斯使用者的計費系統，這代表當地的使用者將無法再購買程式、付費訂閱程式或續約，只有免費程式的使用者不受影響。</p> <p>這應該是俄羅斯政府遭到金融制裁的結果，因為Google並非全面終止俄羅斯使用者存取Google Play服務，當地民眾依然能夠存取Google，也能下載免費的遊戲或其它程式，只有任何牽涉到付款的服務暫停使用。</p> <p>因此，已經訂閱特定服務的俄羅斯用戶依然可存取至訂閱期限截止，只是暫時無法再付費續約，對於在當地提供重要服務的開發者，Google則建議，可以將續約緩衝期延長30天，或者是允許使用者延後一年續約，也能乾脆在此一期間終止付費及訂閱政策，以免費方式提供。</p> </div></div></div>
2022/3/11 12:59作者陳曉莉https://www.ithome.com.tw/news/149845
駭入三星、Nvidia的駭客利誘微軟、蘋果等公司員工協助內應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前駭入Nvidia及三星的南美駭客組織Lapsus$似乎食髓知味，欲招募微軟、蘋果、IBM等知名廠商的員工幫他們駭入公司網路。</p> <p>一名推特用戶本周發現，多次透過Telegram頻道公布其動態的Lapsus$，本周又<a href="https://mobile.twitter.com/S0ufi4n3" target="_blank">公開招募知名公司的員工作為內應</a>。該組織列出的名單涵括大型軟體公司、電信商、伺服器代管及客服中心業者，其中軟體公司包括微軟、蘋果、IBM、美商藝電（EA），電信業者包括Telefonica、AT&T、Claro。其他目標還有主機代管業者OVH及Locaweb、委外客服中心Teleperformance及Attento。</p> <p>駭客組織並表示會對提供內應的員工支付酬勞。</p> <p>Lapsus$總部位於巴西，2020年開始活動，主要攻擊葡語地區企業，去年因駭入巴西衛生部而知名度大開。而在今年2、3月間駭入Nvidia及三星，並且公布大量敏感資料後，這家駭客也未停手。<a href="https://www.cnbc.com/2022/03/10/vodafone-investigating-hackers-claims-threatening-to-leak-source-code.html" target="_blank">CNBC周四報導</a>，Lapsus$公開宣稱已經駭入英國電信業者Vodafone、葡萄牙媒體Impresa及阿根廷電商網站MercadoLibre及MercadoPago，手上握有受害公司的程式碼及資料庫，還舉行線上投票，讓網友票選先公布哪個受害者資料。</p> <p>這場投票預定3月13日截止。報導指出目前以Vodafone的得票率領先。Vodafone則說已經偕同執法機關著手調查，也表示駭客宣稱持有的私有資料並不包含客戶資料。</p> <p>另一方面<a href="https://www.zdnet.com/article/latin-e-commerce-giant-mercado-libre-gets-hacked/" target="_blank">ZDNet報導</a>，南美洲最大電商網站MercadoLibre二月遭駭被存取系統原始碼及用戶資料。那斯達克市場掛牌的<a href="https://investor.mercadolibre.com/static-files/b63e4e36-b13d-41a7-87dd-b17c50b126d3" target="_blank">MercadoLibre三月提交美國證管會的報告</a>指出，該公司近日偵測到一部份原始碼遭非授權存取。MecadoLibre的用戶規模為1.4億，經初步分析顯示，在這次安全事件中，有30萬用戶資料遭存取，但該公司宣稱，沒有證據顯示其基礎架構系統被破壞，或任何用戶的密碼、帳戶餘額、投資、財務或信用卡資料失竊。</p> <p><a href="https://oicanadian.com/alert-for-hacking-mercadolibre-and-mercadopago-what-really-happened-and-how-many-accounts-are-in-danger/" target="_blank">媒體報導</a>，Lapsus$也已駭入了巴西電信公司Claro、Embratel、NET及Localiza。</p> </div></div></div>
2022/3/11 12:04作者林妍溱https://www.ithome.com.tw/news/149841
研究人員再掀Spectre推測執行漏洞，波及英特爾及Arm處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vusec.net/projects/bhi-spectre-bhb/" target="_blank">阿姆斯特丹自由大學（Vrije Universiteit Amsterdam）的漏洞安全實驗室VUSec本周發表一篇研究報告</a>，指出<a href="https://www.ithome.com.tw/news/120183" target="_blank">在2018年曝光的CPU推測執行漏洞Spectre</a>並沒有修補完全，使得該實驗室依然可透過其它管道開採其中的CVE-2017-5715漏洞，進而推測核心記憶體中的機密資訊。</p> <p class="rtecenter"><a href="http://www.vusec.net/projects/bhi-spectre-bhb/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0311-vusec-BTI-Spectre%20variant%202-960.png" style="width: 576px;" /></a></p> <p>推測執行（Speculative Execution）為一用來提升CPU效能的設計，可提前執行可能需要的指令，相關指令若涉及機密資料，並把資料帶入快取，駭客即可開採此一程序，讀取存放在記憶體中的機密資訊，又稱為旁路攻擊。Spectre由3個變種漏洞組成，分別是CVE-2017-5753、CVE-2017-5754，以及VUSec這次的發現有關的CVE-2017-5715。</p> <p>CVE-2017-5715屬於分支目標注入漏洞（Branch Target Injection，BTI），又被稱為Spectre v2，也被視為最危險的Spectre變種，它允許一名無特權的駭客遞送任何分支目標到間接的分支預測器，促使核心推測性地跳至注入目標的程式碼區域並執行程式。</p> <p>硬體及軟體業者提出了各種緩解措施來修補BTI，主要是讓預測器可追蹤權限等級，然而，VUSec卻發現了可用來開採Spectre v2的新途徑──分支歷史注入（Branch History Injection，BHI）。</p> <p>VUSec團隊說明，硬體的緩解措施的確可避免無特權駭客於核心注入預測器條目，然而，由於預測器仰賴全域歷史來選擇目標條目以推測執行，若駭客得以自用戶空間毒害全域歷史，就能迫使核心因誤判形勢而外洩資料。</p> <p>此外，VUSec認為英特爾及Arm修補BTI漏洞時，已經達到它們原先想要的目的，業者沒想到的是相關的攻擊表面比它們原先估計的還要廣泛，且BHI基本上是BTI漏洞的延伸，只要是當初被這個BTI漏洞影響的產品，就會受到新漏洞的波及。</p> <p><a href="https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/technical-documentation/branch-history-injection.html" target="_blank">英特爾把VUSec所發現的漏洞拆分為CVE-2022-0001及CVE-2022-0002</a>，而<a href="https://developer.arm.com/support/arm-security-updates/speculative-processor-vulnerability/spectre-bhb" target="_blank">Arm對此僅提供一個漏洞編號CVE- 2022-23960</a>，雙方皆已釋出安全建議。</p> </div></div></div>
2022/3/11 08:19作者陳曉莉https://www.ithome.com.tw/news/149829
Databricks發布醫療保健產業用湖邊小屋解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料分析服務供應商Databricks，根據產業特性提供不同的資料分析功能，在早前推出<a href="https://www.ithome.com.tw/news/149405" target="_blank">金融服務專用的湖邊小屋</a>，而現在Databricks發布針對<a href="https://databricks.com/blog/2022/03/09/introducing-lakehouse-for-healthcare-and-life-sciences.html">醫療保健與生命科學領域的湖邊小屋</a>，目標是突破傳統資料倉儲的限制，提供企業更快更即時的醫療分析解決方案。</p> <p>Databricks的湖邊小屋架構，結合資料倉儲和資料湖的特性，讓用戶可以在開放格式的雲端儲存中，實作類似資料倉儲的資料結構和資料管理功能，發展商業智慧、資料科學和機器學習等資料應用。</p> <p>官方提到，用在醫療保健和生命科學領域的傳統資料技術，存在一些限制，包括資料孤島和半結構化資料、非即時的批次處理，而且也無法支援進階分析功能。醫療資料存在許多資料類型，包括註解的半結構化資料，或是圖像等非結構化資料，加上資料孤島的困境，使得醫療領域難以發展先進資料應用，而且快速增加的資料超過原本基礎設施可以處理的規模，因而也阻礙了人口層級的研究。</p> <p>另外，過去的批次處理和分析工具，限制了供應鏈以及ICU床位容量等即時應用的開發，在傳統的資料架構上，更是難以發展進階分析或是人工智慧等用例。</p> <p>而Databricks利用湖邊小屋解決方案，試圖解決醫療保健與生命科學領域，發展資料科學應用所遭遇到的困難，湖邊小屋對所有的資料、分析和人工智慧工作負載，提供一個開放且跨雲的平臺，在這個基礎上，Databricks與其合作夥伴，共同提供疾病預測、醫學圖像分類和生物標記探索等應用案例。</p> <p>專用於醫療保健與生命科學的湖邊小屋，採用開放式設計，藉由支援各種資料類型打破資料孤島，利用非結構化資料建構出病患全貌。而且因為湖邊以雲端技術為基礎，能夠高效能地處理資料，官方提到，Regeneron製藥公司使用該解決方案，將資料處理時間從3周減至5小時，而針對150萬外顯子（Exome）的基因型與表現型查詢，時間從30分鐘縮短至3秒鐘。</p> <p>湖邊小屋另一個好處，便是能夠支援即時應用，Databricks表示，傳統的資料倉儲並非設計用於即時應用，而湖邊小屋則可以處理串流資料執行即時分析，用於管理ICU容量，或是需要溫控的疫苗分配。湖邊小屋提供了一套分析和人工智慧工具，供用戶使用機器學習技術，加速新藥開發或是改善病患護理。</p> </div></div></div>
2022/3/11 09:06作者李建興https://www.ithome.com.tw/news/149831
DeepMind新AI可解譯古希臘銘文、年代和地理位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下人工智慧研究機構DeepMind，開發出會辨識古希臘文字的<a href="https://deepmind.com/blog/article/Predicting-the-past-with-Ithaca">人工智慧Ithaca</a>，而且Ithaca不只能夠辨識古希臘文字，還能恢復損壞銘文上的文字，辨識來源位置，甚至是估算銘文被創建的年代。</p> <p>Ithaca恢復文字的準確率達62％，並且能以71％準確率辨識來源位置，而且能精確的估算銘文年代，範圍限縮到30年間，歷史學家已經使用Ithaca重新評估希臘歷史的重要時期。</p> <p>歷史學家透過古時候的文字，了解過去的文明，早在2500年前，希臘人就開始在石頭、陶器和金屬上書寫，紀錄租約、法律、曆法和神諭等各種內容，歷史學家可以透過這些文字，知道地中海地區以前發生的大小事。</p> <p>這些歷史銘文在近幾個世紀以來，不少已經遭到搬移和破壞，現代的年代測定技術，又無法運用在這些材料上，使得銘文解讀困難且耗費時日。因此DeepMind與威尼斯卡福斯卡里大學合作，開發出用於解譯這些銘文的人工智慧Ithaca，Ithaca取名自荷馬奧德賽中希臘島嶼的名字，建立在DeepMind文字恢復系統Pythia之上。</p> <p>Ithaca使用來自非營利性組織帕卡德人文學院，全世界最大的希臘銘文數位資料集進行訓練，DeepMind提到，自然語言處理模型通常使用多字詞進行訓練，因為字詞出現的順序、位置，以及之間的關係，提供了額外的含義和上下文資訊。</p> <p>不過，因為歷史學家有興趣使用Ithaca分析的銘文多數已經損壞，而且丟失大區塊的文字，所以DeepMind為了使模型仍然可用，除了使用多字詞訓練之外，也使用單字來訓練，Ithaca模型核心的稀疏自注意力機制，會平行評估這兩個輸入，並根據需要用於預測銘文。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/YVXZl4uEhOgj-jqKmzV8_Vzfj_VIVIdCKJnbFEIPXf5-hKwh7BuG5uIlweDSuGcsy6k8CuzRfdz07BDyQ_0WpdmA09qdyxua6uVasTPnwT4BiLIK6u_T=w2048-rw-v1" style="width: 588px; height: 207px;" /></p> <p>DeepMind也提供多種視覺輔助工具，讓歷史學家更容易解讀Ithaca的輸出，Ithaca會輸出多個文字恢復假設，供歷史學家以專業知識進行選擇，在地理位置歸因上，Ithaca會在地圖上顯示可能的分布機率，來顯示其不確定性，而且透過顯示多個可能的區域機率，也能夠讓歷史學家了解這些區域在古代，可能存在潛在地理關聯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig_3_2.jpg" style="width: 588px; height: 583px;" /></p> <p>Ithaca在追溯銘文年代時，會產生公元前800年到公元800年，以十年為單位的預測日期分布，這使得歷史學家可以利用模型視覺化結果，提供更可信的判斷。Ithaca還會使用常見的電腦視覺技術，凸顯對預測結果貢獻最大的輸入，藉由顯示不同顏色強度，突出顯示影響Ithaca對缺失文字、位置和日期做出預測的單詞。</p> <p>Ithaca協助修復文字的能力極佳，與研究人員合作的歷史學家，在單獨修復古代文字的時候，具有25％的準確度，但在使用Ithaca後，修復文字的準確度達到72％，這個結果凸顯了人機合作的潛力，能更好地推進歷史解釋，並建立歷史事件的相對年代。</p> <p>透過Ithaca的幫助，目前歷史學家不認為重要的雅典法令，是在蘇格拉底和伯里克里斯等名人生活的年代所制定。長期以來，人們一直覺得這些法令是在公元前446/445年前制定的，但是經Ithaca的分析，新的證據表示這些法令制定是在公元前420年代。儘管年份差異不大，但是對歷史學家理解古代雅典政治史卻非常重要。</p> <p>DeepMind與Google雲端和Google Arts & Culture合作，推出Ithaca免費互動版本，並且進一步開源程式碼、預訓練模型，以及互動式Colaboratory筆記本，與研究人員、教育者和博物館工作人員，共享這些研究成果。</p> </div></div></div>
2022/3/11 09:29作者李建興https://www.ithome.com.tw/news/149832
DevOps平臺CircleCI併購Ponicode，要在CI/CD中整合AI測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://circleci.com/blog/ponicode-and-circleci/">DevOps平臺CircleCI宣布收購人工智慧測試平臺Ponicode</a>，目標是要將Ponicode的程式碼分析AI引擎，整合到CircleCI現有的持續整合和交付（CI/CD）服務中，以減少開發人員的開發錯誤，提高程式碼品質。</p> <p>CircleCI是一個持續整合和交付平臺，可供企業用於實踐DevOps，而Ponicode的AI引擎則提供編寫測試、程式碼註解和分析程式碼品質等服務，透過結合Ponicode和CircleCI，可使開發人員程式碼更快投入生產，加速企業創新。</p> <p>CircleCI提到，除了注重程式碼覆蓋率（Code Coverage）之外，開發者還要知道需要優先測試的程式碼。而Ponicode的AI引擎則可以找出程式碼庫重要的部分，並且替用戶編寫測試，CircleCI認為，這不只減輕開發人員最不喜歡的工作負擔，並且賦予他們大規模交付高品質軟體的能力。</p> <p>目前CircleCI向開發者提供軟體建置、測試、部署和發布解決方案，而併購Ponicode也不只是為了提供新功能，更可以將CircleCI現有的功能，交付到開發者的本地端開發環境，或是IDE中，也就是說，CircleCI能夠利用單元測試和程式碼覆蓋優先度，來擴充現有工具，接著將這些功能送到開發者每天用來編寫軟體的工具和環境，並使開發團隊將會以持續整合和交付平臺為中心，與其他成員和組織成員共同協作。</p> <p>單元測試是用來測試最小程式碼片段的方法，而創建單元測試是一件枯燥乏味的工作，開發人員需要撰寫大量的測試，盡可能提供函式需要的資料。而Ponicode則提供簡單的單元測試方法，開發者只需要將函式、子程序和方法貼到工具中，接著按下按鍵，就能開始進行單元測試。</p> <p>在CircleCI整合Ponicode的AI引擎之時，官方提到，用戶可以先下載適用於VS Code的Ponicode擴充套件先熟悉Ponicode提供的服務，並且試用Ponicode單元測試遊樂場沙盒應用程式，搶先用到Ponicode的單元測試功能。</p> </div></div></div>
2022/3/11 09:32作者李建興https://www.ithome.com.tw/news/149833
【資安日報】2022年3月10日，俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年初烏克蘭與俄羅斯關係急速惡化，到烏克蘭戰爭開打，這段期間傳出許多針對烏克蘭的網路攻擊，其中，有多次是針對該國政府機關的網站發動攻擊，並竄改內容，且對於電腦裡的資料進行破壞。先前各界聚焦在烏克蘭遭到攻擊的情況，但發動戰爭的俄羅斯，近期也傳出遭到網路攻擊的事故。</p> <p>今天有兩家資安業者揭露新的推測執行（Speculative Execution）漏洞，可繞過時下軟硬體的相關防護措施，這些漏洞分別影響Intel、Arm、AMD等廠牌的部分型號處理器。</p> <p>駭客藉由網路設備漏洞來放大攻擊流量，並用於發動分散式阻斷攻擊（DDoS）已是常態，但近期有一起利用網路電話（VoIP）漏洞的攻擊行動引起研究人員注意，因為，此漏洞可讓駭客只要使用1個封包就能發動攻擊，而讓網路服務供應商（ISP）難以發現源頭。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/c/new-ruransom-wiper-targets-russia.html"><span style="color: rgb(0, 0, 0);"><strong>資料破壞軟體RURansom鎖定俄羅斯實體下手</strong></span></a></span></p> <p>在烏克蘭戰爭中，駭客透過資料破壞軟體（Wiper）鎖定政府機關下手的情況，先前多發生在烏克蘭，但近期也有針對俄羅斯的攻擊行動。趨勢科技在2月26日至3月2日，觀察到名為RURansom的資料破壞軟體，鎖定俄羅斯的實體下手。從程式碼的註解中，開發者表明是針對俄羅斯發動烏克蘭戰爭而來，並宣稱這段文字是透過Google翻譯，從孟加拉語轉換成俄文。再者，研究人員發現，部分版本會檢查受害電腦的IP位址是否位於俄羅斯，如果在俄羅斯以外的地方，該惡意軟體將會停止運作。但究竟有俄羅斯實體受害，研究人員沒有進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/russian-government-sites-hacked-in-supply-chain-attack/"><span style="color: rgb(0, 0, 0);">俄羅斯政府網站遭駭，疑似遭供應鏈攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Image added to hacked Russian state agency sites.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20added%20to%20hacked%20Russian%20state%20agency%20sites.png" style="width: 300px; height: 300px; float: right;" /></a>烏克蘭戰爭期間，雙方的網路攻擊不時傳出，俄羅斯也證實政府機關網站遭駭的情況。根據資安新聞網站Bleeping Computer的報導，在一場供應鏈攻擊中，俄羅斯多個聯邦機構網站於3月8日遭到入侵，駭客疑似透過追蹤瀏覽網站使用者人數的元件下手，並竄改網站上的內容，表達對於俄羅斯發動烏克蘭戰爭的不滿，受害單位包含了俄羅斯能源局、<span class="notion-enable-hover" data-reactroot="" data-token-index="1" style="font-weight:600">聯邦國家統計局、文化局等</span>。俄羅斯經濟發展局向當地媒體Interfax證實確有此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/apt41-us-state-governments"><span style="color: rgb(0, 0, 0);">中國駭客APT41利用網頁應用系統的零時差漏洞，攻擊美國州政府</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt41-usgov-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt41-usgov-timeline.png" style="width: 300px; float: right;" /></a>網頁應用程式的漏洞，很可能是駭客用來入侵受害組織的管道。例如，資安業者Mandiant發現，中國駭客組織APT41（亦稱Winnti、Wicked Spider）從2021年5月開始，鎖定美國各州政府發動攻擊，到今年2月成功入侵至少6個州政府網路。而駭客入侵的方法，主要是透過網頁應用系統的零時差漏洞，這些漏洞包含了Log4Shell、美國動物健康緊急通報暨診斷系統（USAHerds）的CVE-2021-44207（CVSS風險層級8.1分）。</p> <p>再者，駭客也偏好對ASP.NET開發的應用系統下手，發動.NET反序列化攻擊，有時候也會利用SQL注入與目錄穿越漏洞。但駭客發動攻擊的目的，研究人員表示仍不明朗。</p> <h3><strong style="font-size: 22px;"><a href="https://www.documentcloud.org/documents/21397387-ragnarlocker-ransomware-indicators-of-compromise"><span style="color: rgb(0, 0, 0);">勒索軟體Ragnar Locker鎖定52個美國關鍵基礎設施實體下手</span></a></strong></h3> <p>美國政府近期不斷對於關鍵基礎設施（CI）的攻擊行動提出警告，當中有數次是針對勒索軟體而來。例如，美國聯邦調查局（FBI）於3月7日發布公告，指出他們在2022年1月，確認至少10個關鍵基礎設施組織、52個實體遭到勒索軟體Ragnar Locker襲擊，受害組織遍及製造、能源、金融服務、政府機關，以及資訊科技產業。FBI彙整入侵指標（IoC）等技術細節，以及相關防禦措施，供相關組織因應此勒索軟體的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/ShaneHuntley/status/1501224764530069504"><span style="color: rgb(0, 0, 0);">中國駭客APT31針對美國政府相關的Gmail帳號發動網釣攻擊</span></a></strong></h3> <p>中國駭客組織鎖定美國政府發動釣魚郵件攻擊，而且是針對採用特定服務的用戶而來。Google威脅分析小組（TAG）研究人員Shane Huntley指出，他們在2月時發現鎖定美國政府重要Gmail帳號的網路釣魚攻擊，攻擊者為中國駭客組織APT31，該小組已通知相關人士此事。但這起攻擊行動的時機相當敏感，是否與烏克蘭戰爭有關？研究人員表示，目前尚未出現證據指出有所關連。</p> <p id="nfttokentitle"> </p> <h3><strong>【漏洞與修補】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/intel-amd-arm-warn-of-new-speculative-execution-cpu-bugs/"><span style="color: rgb(0, 0, 0);">三大廠牌處理器出現新的推測執行漏洞</span></a></strong></span></p> <p>在2018年引起全球關注的CPU推測執行（Speculative Execution）漏洞，使得IT業者透過軟、硬體予以修補，但最近又有資安人員發現可以繞過相關修補的2種型態漏洞，而影響Intel、Arm、AMD的處理器，但所幸所有受影響的處理器，僅曝露於其中一種漏洞的風險。</p> <p><a href="http://www.vusec.net/projects/bhi-spectre-bhb/">資安業者VUSec指出</a>，他們找到名為Branch History Injection（BHI，亦稱Spectre-BHB）的攻擊手法，可針對原本受到Spectre第2版漏洞影響的Intel與Arm處理器下手。Intel、Arm獲報後都發布資安通告，並提出緩解措施。</p> <p>雖然AMD處理器不受上述BHI漏洞波及，但還是無法倖免於難。<a href="http://grsecurity.net/amd_branch_mispredictor_part_2_where_no_cpu_has_gone_before">資安業者Grsecurity揭露AMD處理器漏洞CVE-2021-26341</a>，影響該廠牌第1代與第2代Zen微架構的處理器產品，攻擊者一旦利用這項漏洞，可透過直線推測（Straight-line-speculation，SLS）的方式發動攻擊，洩露受害電腦的機密資料。AMD表示，他們尚未發現此漏洞被用於攻擊行動的跡象。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.akamai.com/blog/security/phone-home-ddos-attack-vector"><span style="color: rgb(0, 0, 0);">駭客透過VoIP系統漏洞放大流量發動DDoS攻擊，新手法可將流量放大近43億倍</span></a></strong></span></p> <p>繼日前駭客利用防火牆、網頁內容過濾系統等資安設備放大流量，發動分散式阻斷服務（DDoS），如今攻擊手法再度翻新，從原本可放大約70倍，一舉突破至數十億倍。Akamai、Cloudflare、Lumen等多家雲端服務及資安業者聯手，在今年1月7日至2月8日，發現針對網路服務供應商（ISP）、金融機構、物流公司等組織的DDoS攻擊，攻擊流量透過UDP通訊協定10074埠傳送，經調查後得知流量來自加拿大電信業者Mitel開發的VoIP系統，駭客利用近2,600個曝露於網際網路的MiCollab電話交換機（PBX）與MiVoice Business Express協作系統，藉由TP-240驅動程式漏洞CVE-2022-26143來放大流量。</p> <p>研究人員對此漏洞進行實驗，發現透過上述VoIP系統的漏洞，可將流量放大到近43億（4,294,967,296）倍。研究人員指出，這樣的手法駭客很可能只需要使用1個封包的流量，就能發動攻擊，而使得攻擊來源難以追查。Mitel獲報後已修補上述漏洞。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://patchstack.com/whitepaper/the-state-of-wordpress-security-in-2021"><span style="color: rgb(0, 0, 0);">近3成WordPress外掛程式存在重大漏洞，卻沒有相關修補程式可用</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-plugin-vulnerabilities-types.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-plugin-vulnerabilities-types.png" style="width: 300px; float: right;" /></a>受到許多網站採用的內容管理系統WordPress，外掛程式存在漏洞的情況不時傳出，但這樣的情況有多嚴重？根據資安業者Patchstack的調查，大部分WordPress網站的漏洞與外掛程式有關，僅有0.58%出現於WordPress主程式。在2021年，約有42%的WordPress網站存在容易受到攻擊的外掛程式，這些網站平均有18個這種元件，其中有6個是沒有安裝相關更新的外掛程式而曝險。</p> <p>值得留意的是，2021年有29%的WordPress外掛程式存在重大漏洞，且沒有可用的修補程式，這樣的情況較2020年增加了1.5倍。從漏洞的類型來看，近半數為跨網站指令碼（XSS），其次為跨網站請求偽造（CSRF）、SQL注入、任意檔案上傳等。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/10 15:40作者周峻佑https://www.ithome.com.tw/news/149827
WordPress的外掛程式中，近3成的重大漏洞沒有被修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供WordPress外掛程式安全服務的Patchstack，<a href="https://patchstack.com/wp-content/uploads/2022/03/Patchstack-%E2%80%93-State-Of-WordPress-Security-In-2021.pdf" target="_blank">本周出版了WordPress安全狀態的年度報告</a>，指出在2021年所發現的WordPress外掛程式重大安全漏洞中，有29%沒有被開發者修補，而且使用者可能渾然不覺。</p> <p>開源的WordPress為全球最熱門的內容管理系統，去年全球大約有43.2%的網站採用WordPress建置，高於2020年的39.5%，這些WordPress網站使用了各式各樣的外掛程式來改善網站功能或呈現，也讓專門強化WordPress外掛程式安全性的資安公司應運而生，如Wordfence或Patchstack。根據Patchstack去年的分析，每個WordPress網站平均採用了18個不同的外掛程式或主題。</p> <p>Patchstack的調查顯示，2020年在有關WordPress的安全漏洞中，3.78%出現在WordPress核心，卻有96.22%現身於外掛程式及主題，但到了2021年，外掛程式及主題的漏洞卻增加到99.42%，主題占了6.61%，外掛程式則是92.81%，WordPress核心漏洞降至0.58%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0310-patchstack%20wordpress%20plugin-600-1.png" style="width: 497px;" /></p> <p><span style="color:#696969;">圖片來源／Patchstack</span></p> <p>這些漏洞以跨站指令碼（Cross Site Scripting，XSS）為首，總計占了49.82%，居次的是跨站請求偽造（CSRF）的11.18%，僅有0.94%屬於遠端程式攻擊漏洞。值得注意的是，在所有的WordPress網站中，有42%都安裝了至少1個含有安全漏洞的元件。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0310-patchstack%20wordpress%20plugin-600-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0310-patchstack%20wordpress%20plugin-600-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Patchstack</span></p> <p>此外，在所有的漏洞中，有3.41%被列為重大等級，CVSS風險評分超過9，去年總計有35個WordPress外掛程式漏洞被列為重大等級，其中一個藏匿在All in One SEO plugin中，該外掛程式的安裝數量超過300萬，另一個出現在WP Fastest Cache plugin，安裝數量也超過100萬。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0310-patchstack%20wordpress%20plugin-600-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0310-patchstack%20wordpress%20plugin-600-3.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Patchstack</span></p> <p>儘管上述兩個外掛程式開發者都已修補了漏洞，但也有高達29%的外掛程式重大漏洞並沒有被修補。Patchstack說，這些未修補的外掛程式有時只是簡單被WordPress、其它市集或開發者下架，並沒有警告既有的用戶，代表使用者必須手動檢查這些外掛程式的版本別或安全狀態，再加以移除或選擇其它的替代程式。</p> <p>Patchstack的調查還曝露出另外一個問題，亦即儘管WordPress生態體系存在著許多安全漏洞，但WordPress網站並沒有太多的安全預算，例如有28%完全沒有安全預算，有27%每月的安全預算低於3美元，只有7%每月會編列50美元的安全預算。</p> </div></div></div>
2022/3/10 14:33作者陳曉莉https://www.ithome.com.tw/news/149826
拜登簽署美國首個數位資產計畫，振奮加密貨幣社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/03/09/fact-sheet-president-biden-to-sign-executive-order-on-ensuring-responsible-innovation-in-digital-assets/" target="_blank">美國總統拜登（Joe Biden）在本周三（3/9）簽署了一項行政命令</a>，準備制定有關數位資產的國家政策，包括評估它的優點與風險，消息曝光後，振奮了加密貨幣社群，認為這是美國認同加密貨幣的象徵，並使得比特幣及以太幣當天都出現漲勢。</p> <p>白宮表示，包括加密貨幣在內的數位資產近年來出現爆炸性成長，相關資產的市值從5年前的140億美元成長到去年11月的3兆美元，調查顯示美國有16%的成人都曾投資、交易或使用加密貨幣，大約有4,000萬人。此外，全球已有超過100個國家都在探索或試行中央銀行數位貨幣，讓它成為國家主權貨幣的形式。</p> <p>各國對數位資產的態度讓美國無法自身於外，宣稱美國必須在此一快速成長的領域維持技術領先地位，也應在支援創新的同時考量相關的風險。</p> <p>拜登所簽署的行政命令即列出了6個有關數位資產領域的國家政策，包括保護美國的消費者、投資人及企業，保護美國與全球的金融穩定並避免系統性的風險，降低數位資產可能造成的非法金融與國家安全風險，強化美國在技術、經濟競爭力與全球金融系統上的領導地位，推動可公平存取的安全及實惠的金融服務，支援可確保責任開發及使用數位資產的先進技術，以及探索美國中央銀行數位貨幣的發展。</p> <p>此一行政命令的頒布代表美國財政部與其它相關部門將著手制定有關加密貨幣或數位資產的相關政策，也讓加密貨幣社群認為這代表美國政府將認可加密貨幣的存在。</p> <p>另外，美國總統的行政命令亦彰顯出發展中央銀行數位貨幣（Central Bank Digital Currencies，CBDCs）的必然趨勢。</p> </div></div></div>
2022/3/10 13:23作者陳曉莉https://www.ithome.com.tw/news/149824
Cloudflare、Akamai堅持不退出俄羅斯市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上百家歐美企業暫停在俄營運以制裁其侵略烏克蘭之際，網路服務業者Cloudflare和Akamai則認為這麼做將嚴重傷害俄國平民獲取外界資訊的管道，而堅持提供服務。</p> <p>俄烏戰事即將進入第三周，上百家歐美大企業暫停在俄羅斯的服務。</p> <p><a href="https://blog.cloudflare.com/steps-taken-around-cloudflares-services-in-ukraine-belarus-and-russia/" target="_blank">Cloudflare執行長Matthew Prince指出</a>，制裁行動旨在讓支持侵略行動的人遭到應有的懲罰，Cloudflare也關閉制裁名單地區的網路和系統付費服務，以及終止與俄國金融機構、俄國宣傳活動及俄國支持獨立的頓巴斯（Donetsk）及盧內斯克（Luhansk）政府有關的客戶服務。之後也會因應政府制裁有進一步措施，但Cloudflare並不打算完全終止在俄國的服務。</p> <p>相反的，Cloudflare認為俄羅斯人需要更多網路服務。Prince指出，從2月底以來他們偵測到，俄羅斯連向國際媒體的流量大增，顯示俄羅斯民眾希望能看到國營媒體以外的其他資訊來源，他們也觀察到俄國官方封鎖活動激增。</p> <p class="rtecenter"><a href="https://blog.cloudflare.com/content/images/2022/03/image2-2.png" target="_blank"><img alt="" src="https://blog.cloudflare.com/content/images/2022/03/image2-2.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Cloudflare</span></p> <p>Cloudflare認為無差別地終止在俄國境內的服務，對俄國政府不痛不癢，但卻限制俄國民眾取得外國資訊，也會傷害原本利用Cloudflare服務來自保的異議人士。Prince指出，俄國政府過去幾年就多次威脅要關閉Cloudflare服務，如果Cloudflare真的關閉，反而讓俄國政府稱心如意。</p> <p><a href="https://www.akamai.com/blog/news/ukraine-statement" target="_blank">CDN業者Akamai也在本周指出</a>，在實踐保護線上用戶及賦予其能力的使命下，他們決定持續提供在俄羅斯的網路服務。該公司表示此舉是為了支持客戶，包括全球最大新聞服務、社交平臺及民主政府提供精確資訊給全球用戶，後者包括俄國公民。</p> <p>另一方面，因應對俄羅斯政府的制裁行動，Akamai同時宣佈暫停在俄國及白俄的銷售活動，終止兩國政府主要持股的客戶合約，也會遵守所有制裁行動。</p> <p>兩家公司的決定一如網路非營利組織ICANN、Internet Society及電子疆域基金會（Electronic Frontier Foundation）、Techdirt的想法。<a href="https://www.ithome.com.tw/news/149705" target="_blank">上周烏克蘭副總理Mykhailo Fedorov希望全球網域名稱管理機構ICANN能夠取消俄羅斯的頂級網域名稱</a>，協助撤銷相關網域的SSL憑證，以及關閉俄羅斯境內的DNS伺服器，被ICANN以技術及政策為由拒絕。ICANN表示它是中立平臺，不會選擇立場。</p> <p>非營利機構Internet Society執行長Andrew Sullivan則指出，將俄羅斯隔絕於網際網路外的要求是開倒車，是一種加速網路世界分裂的分裂網（Splinternet）行為。此外，有人認為切斷俄國對外網路，形同於把俄羅斯踢出全球網路，讓俄羅斯民眾看不見多元的意見、失去通訊媒介，並讓獨立媒體失去發聲管道。</p> </div></div></div>
2022/3/10 13:43作者林妍溱https://www.ithome.com.tw/news/149825
美國財政部警告俄羅斯可能利用勒索軟體、加密貨幣繞過經濟制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fincen.gov/news/news-releases/fincen-provides-financial-institutions-red-flags-potential-russian-sanctions" target="_blank">美國政府警告</a>，受到各國經濟制裁的俄羅斯，可能利用勒索軟體攻擊斂財或加密貨幣以挹注日益困難的運作。</p> <p>美國財政部下的金融犯罪執法局（Financial Crimes Enforcement Network，FinCEN）本周發布警告，提醒美國金融機構小心防範俄羅斯及其盟國白俄羅斯面對排山倒海而來的經濟壓力，近期可能採取各種手法以規避各國制裁。FinCENT指出，俄羅斯、白俄羅斯要規避制裁可能有很多管道，包括經由當地未被制裁的銀行或其他金融機構，以便和國際金融體系建立連通。</p> <p class="rtecenter"><a href="http://www.fincen.gov/news/news-releases/fincen-provides-financial-institutions-red-flags-potential-russian-sanctions" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0310-us%20treasury%20FinCEN%20russian.png" style="width: 570px;" /></a></p> <p>美國政府指出，雖然俄國政府不太可能透過加密貨幣大規模規避制裁，但是FinCEN警告，已經傳出有俄國、白俄政府或其他相關人士，試圖利用加密貨幣錢包等工具轉帳的活動，甚至也有成功例子。此外，FinCEN也提醒俄羅斯可能發動勒索軟體攻擊。</p> <p>美國政府要求交易平臺或金融機構應查清可能和俄國、白俄有關的可疑加密貨幣金流，並對客戶執行盡職調查（due diligence）。</p> <p>FinCEN也列出一些可能有規避制裁的加密貨幣流動的行為指標，像是和俄國、白俄及其他名列防制洗錢金融行動工作組織（FATF）黑名單組織或個人的帳戶之匯款活動。</p> <p>犯罪洗錢的指標則包括帳戶出現多筆、快速而無明顯理由的交易行為，而後有一筆平臺外的交易，可能意謂著想切斷區塊鏈的監管鏈（chain of custody）或交易混淆手法。其他指標包括和加密貨幣混合服務有關的交易，以及被追蹤軟體偵測到與勒索軟體有關的直接或間接交易。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-links-52-billion-worth-of-bitcoin-transactions-to-ransomware/" target="_blank">去年10月FinCEN發現</a>一筆高達52億美元的比特幣流向前十大勒索軟體組織。<a href="https://www.bbc.com/news/technology-60378009" target="_blank">一項研究顯示</a>，去年勒索軟體賺到的贖金中，有74%流向俄羅斯駭客，其中像Conti背後的組織被認為和俄國政府有關。</p> <p>因應各國對俄羅斯的制裁行動，主要支付業者如Visa、Mastercard、Paypal及蘋果Apple Pay、Google Pay暫停在俄羅斯服務，以及俄國遭SWIFT除名，俄國的數位金融運作受嚴重影響。<a href="https://www.ithome.com.tw/news/149752" target="_blank">加密貨幣交易平臺Coinbase 本周也封鎖</a>逾2.5萬個從事非法活動的俄羅斯個人與實體帳戶。</p> </div></div></div>
2022/3/10 12:28作者林妍溱https://www.ithome.com.tw/news/149823
網路設備漏洞引發放大40億倍的驚天DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.shadowserver.org/news/cve-2022-26143-tp240phonehome-reflection-amplification-ddos-attack-vector/" target="_blank">多家安全及網路廠商研究人員發現</a>一款<a href="https://www.mitel.com/en-ca/support/security-advisories/mitel-product-security-advisory-22-0001" target="_blank">IP網路設備漏洞</a>，理論上能讓攻擊者以1個封包引發42億倍放大率的反射放大DDoS流量，而且已經有駭客實際開採向企業發動攻擊。</p> <p>資安、網路服務、電信及設備業者包括Akamai、Cloudflare、Lumen Black Lotus Labs、Mitel、Netscour、Team Cymru、Telus和The Shadowserver基金會，他們在今年1月到2月初，觀察到一波來自UDP傳輸埠10074的DDoS流量，攻擊寬頻ISP、金融機構、運籌及其他產業公司。</p> <p>分析顯示是加拿大電信業者Mitel開發，主要用於在VoIP通訊傳輸中，扮演PBX系統和網際網路間閘道的MiCollab及MiVoice Business Express，遭駭客利用發動這波DDoS。近2600臺這類系統因為在一次流量壓力測試中，部署錯誤曝露於網際網路，一項漏洞被駭客開採後被當作攻擊跳板。</p> <p>研究團隊分析這是一波UDP反射/放大（reflection/amplification）DDoS攻擊。根本原因是Mitel系統中，一項促進系統與TDM/VoIP PCI網卡間傳輸的服務tp240dvr遭到濫用。這項服務原本不應曝露於網際網路，但是它卻在一次對客戶的流量壓力測試中，因一項「罕見的」指令而曝露於網際網路。本次壓力測試發出的指令，能下達命令使tp240dvr服務（以及Mitel伺服器）發送極大狀態更新封包，因此攻擊者可下達惡意指令，促使tp240dvr服務發送大量流量。本次Mitel MiCollab 及MiVoice Business Express伺服器，即被用作DDoS攻擊的放大器。</p> <p>研究人員另外進行的實驗顯示，這項漏洞具有引發空前DDoS流量的潛力。在此之前，此類攻擊流量大約是53Mpps及23Gbps，平均封包大小將近60bytes，持續時間約5分鐘。但最新發現的漏洞理論上，能讓攻擊者利用1個封包來引發破記錄，最大4,294,967,296:1封包放大倍數，以80kpps傳輸率導向受害DDoS放大器，時間可長達14小時，封包最大可到1,184 bytes。</p> <p>而經過反射放大，導向受害目標的流量可達95.5GB，加上「診斷式輸出」（diagnostic output）封包，最後抵達目標網路的流量放大比例，理論上可達到2,200,288,816:1，即22億倍。研究團隊最後實際產出了超過400Mpps的DDoS攻擊流量。</p> <p>研究人員指出，只使用1個封包的攻擊能力將使ISP無法追查出攻擊來源，有助於隱藏產生流量的基礎架構，也讓研究人員更難發現它和其他UDP放射/放大DDoS的相似性。</p> <p>不過經過Mitel修補，其政府、商業及其他單位使用的數萬臺系統問題已經獲得解決。此外，研究團隊指出，這波反射/放大DDoS攻擊可以標準的DDoS防禦攻擊和手法來偵測、分類、追查及緩解。利用開源或市售的流量測試及封包擷取工具，就能偵測並提早示警。而網路存取表或DDoS緩解系統服務則能緩解攻擊。</p> <p>但研究人員仍提醒Mitel MiCollab和 MiVoice Business Express用戶應提高警覺，並儘速請廠商修補漏洞。</p> </div></div></div>
2022/3/10 11:18作者林妍溱https://www.ithome.com.tw/news/149786
Twitter推出Tor版服務以供俄羅斯用戶存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯於2月24日入侵烏克蘭之後，臉書及Twitter相繼封鎖了平臺上的俄羅斯官方媒體，並遭到俄羅斯的報復，俄羅斯政府已完全封鎖臉書，亦開始限制Twitter的流量，為了讓俄羅斯用戶依然能夠存取Twitter，加密貨幣暨安全工程師Alec Muffett協助Twitter打造了Tor版服務，<a href="https://twitter.com/AlecMuffett/status/1501282223009542151" target="_blank">並已於本周上線</a>。</p> <p class="rtecenter"><a href="https://twitter.com/AlecMuffett/status/1501282223009542151" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0309-twitter%20tor-600.png" style="width: 550px;" /></a></p> <p>Tor專案為一可用來執行匿名通訊的免費軟體，藉由全球網友志願組成的逾6000個中繼站來傳遞資訊，以隱藏使用者的真實位置與身分，目的是為了保護使用者隱私與言論自由；Tor也能替網站及伺服器提供匿名性，基於Tor的網站以.onion作為頂級網域名稱，因此又被稱為洋蔥網站，使用者可透過Tor瀏覽器來造訪洋蔥網站。</p> <p>儘管有不少非法活動濫用Tor或透過洋蔥網站進行，使得Tor網路又被稱為暗網，但還是有許多知名品牌建立了Tor服務，包括搜尋引擎DuckDuckGo、加密電子郵件服務ProtonMail及臉書等，現在又新增了Twitter。</p> <p>而Twitter也在<a href="https://help.twitter.com/en/using-twitter/twitter-supported-browsers" target="_blank">官方所支援的瀏覽器列表</a>上，新增了Tor專案，並公開Twitter的洋蔥網址。</p> <p>Twitter轉至Tor服務對俄羅斯用戶而言也許是個好消息，提供該國使用者存取Twitter的另一管道，且俄羅斯為Tor專案的第二大用戶，占Tor網路流量的15%，平均每天有超過30萬名俄羅斯用戶存取Tor網路。不過，這或者也是一場貓捉老鼠的遊戲，因為俄羅斯去年12月也曾封鎖Tor專案，要求當地ISP業者阻擋相關流量。</p> </div></div></div>
2022/3/9 22:21作者陳曉莉https://www.ithome.com.tw/news/149783
Amazon暫停出貨到俄羅斯與白俄羅斯，不再接受兩地新的AWS用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/community/amazons-assistance-in-ukraine#March8" target="_blank">Amazon本周二（3/8）宣布</a>，將不再將零售商品出貨至俄羅斯與白俄羅斯，而且也不再接受來自這兩個國家的新AWS客戶或經銷商，並將禁止俄羅斯用戶存取Prime Video。</p> <p>其實微軟與Amazon在3月4日時便已出手制裁俄羅斯，當時<a href="https://blogs.microsoft.com/on-the-issues/2022/03/04/microsoft-suspends-russia-sales-ukraine-conflict/" target="_blank">微軟宣布</a>暫停在俄羅斯所有產品及服務的新銷售，<a href="https://www.aboutamazon.com/news/community/amazons-assistance-in-ukraine#March4" target="_blank">Amazon則說</a>不再接受俄羅斯及白俄羅斯的AWS新用戶註冊。</p> <p>本周Amazon甚至切斷了俄羅斯與白俄羅斯向Amazon網站訂購商品的管道，而且俄羅斯的Prime Video用戶也無法再存取此一影片服務。</p> <p>Amazon強調，與其它美國技術供應商不同，AWS在俄羅斯並無任何資料中心、基礎設施或辦公室，而且具備不與俄羅斯政府作生意的長期政策，AWS於俄羅斯境內的最大客戶都是總部位於其它國家的企業，僅是於俄羅斯擁有開發團隊。此外，AWS擁有明確的服務條款，當客戶使用AWS來威脅、煽動、宣傳或鼓勵暴力及恐怖主義時，就會被禁用，假設得知有任何客戶參與這類的行為，即會暫停它們的AWS服務。</p> </div></div></div>
2022/3/9 22:39作者陳曉莉https://www.ithome.com.tw/news/149784
Google資料庫服務Cloud Spanner現支援OpenTelemetry，供用戶整合第三方監控工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出適用於分散式資料庫系統<a href="https://cloud.google.com/blog/products/databases/consume-spanner-metrics-using-opentelemetery">Cloud Spanner的OpenTelemetry接受器</a>，供用戶簡單地處理和視覺化來自Cloud Spanner系統表格的指標，並能夠將這些指標匯入到其他應用程式效能管理工具中。另外，Google還建立了Prometheus和Grafana儀表板的整合參考範例，用戶可以將其用作模板，滿足自家在故障排除的需求。</p> <p>雖然Cloud Spanner已經提供可觀察性工具，使用戶能夠掌握資料庫運作狀況，進一步監控資料庫效能、診斷和修復潛在問題，不過，部分用戶希望可以在其他可觀察性工具中，靈活地使用Cloud Spanner指標，像是採用Grafana儀表板和Prometheus的開源組合，或是Splunk、Datadog和Dynatrace等第三方商業應用程式效能管理工具。</p> <p>而這時OpenTelemetry便能派上用場，OpenTelemetry是一個中立的可觀察性框架，可用於生成、收集和匯出遙測資料，整合各種語言的函式庫和框架，提供豐富的自動檢測功能。而Google所發布的OpenTelemetry接受器則是OpenTelemetery收集器的一個元件，用戶只要安裝適用於Cloud Spanner的接受器，並且配置相對應的匯出器，就可以將指標匯出到選擇的應用程式效能管理工具。</p> <p>Google提供了參考實作，在Grafana上創建一組範例儀表板，該儀表板使用來自Prometheus和雲端監控的指標，提供端到端除錯體驗。</p> </div></div></div>
2022/3/9 22:44作者李建興https://www.ithome.com.tw/news/149774
微軟資料控管服務Azure Purview開始提供Azure SQL動態資料處理歷程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/introducing-dynamic-lineage-extraction-from-azure-sql-databases-in-azure-purview/">微軟宣布</a>在其資料控管服務Azure Purview，支援Azure SQL資料庫動態資料處理歷程擷取（Dynamic Lineage Extraction）功能，使用戶更容易追蹤資料操作歷程，包括生成來源和轉換過程等資訊。</p> <p>無論是技術還是業務領域的資料使用者，皆須仰賴資料處理歷程，來進行根本原因分析、影響分析、資料品質追蹤和各種資料治理操作，微軟提到，在當前的資料環境中，資料散布於本地和雲端部署，能自由地跨資料平臺和應用程式轉移，因此掌握資料處理歷程也就越來越重要。為此，微軟發布了動態資料處理歷程擷取功能。</p> <p>傳統系統執行靜態程式碼分析，藉由解析資料轉換腳本來找出資料處理歷程，微軟表示，這種方法只能能夠應用在簡單的用例中，像是當使用SQL腳本藉由連接兩個資料表，生成目標表格時。不過，在許多實際使用情境，資料操作都複雜得多，因為腳本可以包裝在預存程序中，而預存程序可能包含判斷式，在運作時執行不同的腳本，又或是在執行時發生資料交易失敗。</p> <p>官方提到，有許多用例，都需要以動態分析更有效地分析資料處理歷程，而且靜態資料處理歷程分析，不會將資料和程序與執行時的後設資料相關聯，反之，動態資料處理歷程能夠掌握資料執行者身份、執行時間、用於執行的伺服器等資訊，如此能使用戶進一步管理隱私，並且遵守法規要求。</p> <p>預存程序通常用於下游應用程式，在SQL表格中執行資料轉換和聚合操作，而微軟現在於Azure Purview提供的Azure SQL資料庫動態資料處理歷程擷取功能，透過使用Azure Purview Data Map元件，用戶可以獲得更豐富的資料處理歷程，包括執行狀態、受影響行數、使用者資訊等各式操作細節。</p> <p>Azure Purview Data Map連結SQL引擎的檢測框架，直接擷取執行時日誌以聚合動態歷程，同時執行時日誌還提供在SQL引擎中實際執行的查詢，藉由使用Azure Purview便可以映射資料歷程，以及收集詳細的出處資訊。</p> </div></div></div>
2022/3/9 22:47作者李建興https://www.ithome.com.tw/news/149782
中國駭客集團APT41曾入侵美國至少6州的政府網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫宣布<a href="https://www.ithome.com.tw/news/149768" target="_blank">被Google收購</a>的資安業者<a href="https://www.mandiant.com/resources/apt41-us-state-governments" target="_blank">Mandiant於本周揭露</a>，從去年5月起，該公司就觀察到由中國政府支持的駭客集團APT41正鎖定美國各州政府的電腦網路展開攻擊，直至今年2月止，至少成功入侵了美國6個州政府網路。</p> <p>APT41大約自2012年就開始活躍於全球網路，FireEye（現在的Mandiant）在2019年指出APT41是個由中國共產黨贊助的駭客集團，<a href="https://www.ithome.com.tw/news/140035" target="_blank">美國司法部則在2020年起訴5名APT41成員</a>，指控他們對包括臺灣及美國在內的各國政府與民間組織發動攻擊，且除了間諜行動之外，<a href="https://www.ithome.com.tw/news/132374" target="_blank">APT41偶爾也會攻擊其它目標以中飽私囊</a>。</p> <p>Mandiant的調查顯示，APT41主要開採州政府網路應用程式的安全漏洞，特別是那些以ASP.NET撰寫的應用，多半採用.NET反序列化攻擊，但有時也會開採SQL Injection及目錄穿越（Directory Traversal）漏洞。此外，成立超過10年的APT41依舊非常靈活，總能快速地利用新興的安全漏洞展開攻擊，例如USAHerds零時差漏洞CVE-2021-44207，或者是最近最熱門的Log4j漏洞CVE-2021-44228。</p> <p>USAHerds是個以ASP.NET撰寫的現成商用軟體，美國有18個州使用了USAHerds來進行動物健康管理，其CVE-2021-44207漏洞存在於其預值使用靜態的靜態驗證金鑰及解密金鑰（統稱為機器金鑰），因此，只要取得了一套軟體的機器金鑰，就能入侵任何其它使用USAHerds的系統。</p> <p>APT41在去年6月就開採了CVE-2021-44207，當時它還是個尚未修補的零時差漏洞，USAHerds開發者Acclaim Systems一直到去年11月才釋出修補程式。</p> <p>到了去年12月10日，當Log4j漏洞CVE-2021-44228及相關的概念性驗證程式被公布的幾個小時內，APT41便發動了攻擊，目標包括美國兩個州政府，以及許多APT41原本即鎖定的保險及金融產業組織。</p> <p>Mandiant說，過去APT41的攻擊手法都是大規模地掃描及開採安全漏洞，但2021年5月到今年2月間，APT41則特別鎖定美國州政府的電腦網路，而且會重覆攻擊同一個州政府。目前尚不確定APT41的目的，僅知該集團盜走了個人身分資訊。</p> <p>Mandiant也公布了APT41相關攻擊行動的網路入侵指標（IOC）供外界參考。</p> </div></div></div>
2022/3/9 23:08作者陳曉莉https://www.ithome.com.tw/news/149785
【資安日報】2022年3月9日，APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經歷3月3日的全臺無預警大停電後，許多人都意識到不斷電系統（UPS）的重要性，然而這樣的設備一旦出現漏洞，有可能會被駭客挾持，而無法發揮應有的作用。研究人員揭露APC不斷電系統的重大漏洞TLStorm，並認為該公司售出的2千萬臺設備都可能曝露相關風險。</p> <p>而在今天的資安新聞裡，不少被揭露的漏洞也可能導致裝置無法正常運作。例如，物聯網裝置管理平臺Axeda的漏洞Access:7，以及HP電腦的UEFI韌體漏洞等。</p> <p>微軟發布3月份的例行修補（Patch Tuesday），值得留意的是，該公司這次修補了3個零時差漏洞，使用者應儘速安裝更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/good-bad-and-web-bug-ta416-increases-operational-tempo-against-european"><span style="color: rgb(0, 0, 0);"><strong>中國APT駭客趁烏克蘭戰爭發動網釣攻擊歐洲外交單位</strong></span></a></span></p> <p>趁著烏克蘭戰爭發動網路釣魚攻擊，多半是俄羅斯或白俄羅斯的駭客組織，以及聲援烏克蘭的駭客組織進行對抗，而遲遲沒有表態的中國，如今有駭客出手發動攻擊。資安業者Proofpoint指出，他們發現中國駭客TA416（亦稱RedDelta）最近以北約（NATO）國家外交官的名義，來對於多個國家的外交辦事處下手，鎖定從事難民與移民業務的人士發動攻擊。</p> <p>該組織先是透過釣魚郵件的附件檔案，挾帶惡意軟體投放器（Dropper），進而在受害電腦植入PlugX惡意軟體。研究人員指出，駭客近期調整了此惡意軟體的加密演算法與組態，而讓IT人員更難察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/e-commerce-giant-mercado-libre-confirms-source-code-data-breach/"><span style="color: rgb(0, 0, 0);">阿根廷購物商城Mercado Libre證實，30萬顧客個資、網站原始碼外洩</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lapsus-mercadolibre-vote.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lapsus-mercadolibre-vote.png" style="width: 300px; float: right;" /></a>又有企業疑似成為勒索軟體駭客Lapsus$的受害者。阿根廷大型購物網站Mercado Libre於3月7日，向美國證交所（SEC）通報，他們遭到未經授權的存取，導致約30萬名顧客的個資，以及原始碼遭到外洩，但強調尚未有證據顯示使用者的密碼、財務資料、信用卡資料外流。</p> <p>但該公司為何要通報資料外洩？資安新聞網站Bleeping Computer指出，很有可能與勒索軟體駭客組織Lapsus$成員之間的討論有關，駭客為了決定接下來他們要公布的竊得資料，該組織在Telegram群組進行投票，選項包含了電信業者Vodafone、葡萄牙大型媒體Impresa，以及Mercado Libre。其中，針對該購物商城的部分，駭客宣稱握有Mercado Libre及線上支付平臺Mercado Pago的程式碼，總共有2.4萬個程式碼儲存庫。</p> <p id="nfttokentitle"> </p> <h3><strong>【漏洞與修補】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.armis.com/research/tlstorm/"><span style="color: rgb(0, 0, 0);">APC不斷電系統存在重大漏洞TLStorm，2千萬臺設備曝險</span></a></strong></span></p> <p>日前臺灣發生全國無預警大停電的事故，使得企業對於不斷電系統（UPS）設備的需求大增，但知名品牌的產品驚傳重大漏洞，駭客可用來遠端接管設備。資安業者Armis在施耐德子公司APC的SmartConnect、Smart-UPS產品線裡，發現了3個漏洞，駭客一旦利用，將能發動RCE攻擊，操控企業的UPS設備，市面上2千萬臺設備都有可能曝露相關風險。這些漏洞被命名為TLStorm，其中CVE-2022-22805、CVE-2022-22806可在進行TLS連線的過程中，造成記憶體溢位與身分驗證繞過，這兩者皆無須使用者互動（ZeroClick）即能利用；而第3個漏洞CVE-2022-0715，則是允許駭客透過網路安裝未簽章的韌體。研究人員於2021年10月31日進行通報，施耐德電氣已發布修補程式。</p> <p><iframe allowfullscreen="" frameborder="0" height="360" src="https://player.vimeo.com/video/683449370?h=53eb067506" title="vimeo-player" width="640"></iframe></p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.forescout.com/blog/access-7-vulnerabilities-impact-supply-chain-component-in-medical-and-iot-device-models/"><span style="color: rgb(0, 0, 0);">Access:7漏洞恐波及100個廠商的物聯網裝置與醫療設備</span></a></strong></span></p> <p>物聯網裝置的管理軟體漏洞，有可能影響眾多連網裝置。資安業者Forescout揭露名為Access:7的漏洞，這些漏洞存在於Parametric Technology Corporation（PTC）開發的Axeda遠端管理平臺，其中有3個是RCE漏洞，CVSS風險層級達到9.8分。根據研究人員的調查，採用Axeda的物聯網業者超過100家、逾150款設備，其中超過半數裝置被用於醫療產業。PTC獲報後，於3月7日發布資安通告與修補軟體。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://binarly.io/posts/Repeatable_Firmware_Security_Failures_16_High_Impact_Vulnerabilities_Discovered_in_HP_Devices/index.html"><span style="color: rgb(0, 0, 0);">HP電腦UEFI韌體存在16個漏洞，可被攻擊者用於植入惡意軟體</span></a></strong></span></p> <p>資安業者Binarly、HP、美國電腦網路危機處理暨協調中心（CERT/CC）聯手，公布存在於HP電腦UEFI韌體的16個漏洞，這些漏洞與系統管理模組（SMM）、驅動程式執行環境（DXE）有關，CVSS風險層級為7.2分至8.8分。研究人員指出，由於信賴平臺模組（TPM）的限制，韌體完整性檢測機制難以察覺漏洞遭到利用的情況，再加上有不少UEFI漏洞是可重複利用的錯誤，一旦駭客利用這些漏洞，後果恐怕相當嚴重。HP先後於2月2日與3月8日，發布韌體更新程式。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://orca.security/resources/blog/autowarp-microsoft-azure-automation-service-vulnerability/"><span style="color: rgb(0, 0, 0);">Azure自動化服務存在漏洞，恐允許攻擊者挾持其他Azure用戶帳號</span></a></strong></span></p> <p>資安業者Orca Security揭露名為AutoWarp的重大漏洞，這項漏洞存在於微軟Azure Automation服務裡，一旦遭到利用，攻擊者就有機會查詢Token，而能夠存取其他用戶的帳號，進而接管這些租戶的資源。研究人員指出，至少有1家跨國電信業者、2家汽車製造商、1家銀行集團、四大會計事務所受到影響。微軟獲報後於2021年12月10日修補相關漏洞，並表示尚未有外洩Token遭到濫用的證據。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2022-patch-tuesday-fixes-71-flaws-3-zero-days/"><span style="color: rgb(0, 0, 0);">微軟發布3月例行修補，修補3個零時差漏洞</span></a></strong></span></p> <p>微軟於3月8日發布例行修補（Patch Tuesday），總共修補了71個漏洞，其中，有3個是重大等級的零時差漏洞CVE-2022-21990、CVE-2022-24459、CVE-2022-24512，分別存在於遠端桌面連線（RDP）用戶端程式、Windows傳真與掃描、.NET與Visual Studio，已有部分漏洞出現概念性驗證（PoC）攻擊工具，但所幸目前尚未出現遭到利用的跡象。</p> <p>該公司亦認為，本月修補的SMB第3版漏洞CVE-2022-24508、Exchange Server漏洞CVE-2022-23277，有可能也會成為駭客關注的焦點。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.googlecloudpresscorner.com/2022-03-08-mgc"><span style="color: rgb(0, 0, 0);">資安業者Mandiant被Google正式以高價買下</span></a></strong></span></p> <p>先前傳出有意出售的資安業者Mandiant，現在Google正式宣布併購。Google於3月8日宣布，他們將以每股23美元的價格，以現金買下Mandiant，此起交易價值約54億美元。日後Mandiant將併入Google Cloud部門，使得Google能為客戶提供端對端的安全營運套件，管理內部網路與雲端環境。</p> <p>在一個月前傳出微軟有意購買Mandiant的消息後，後者的股價從2月7日收盤價15.06美元上漲，至3月8日收盤價為22.04美元，換言之，Google溢價57%買下Mandiant。而這起併購案是Google史上金額第2高，僅次於2012年買下摩托羅拉行動裝置部門的125億美元。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://blog.104.com.tw/104data-information-security-salary-job/"><span style="color: rgb(0, 0, 0);">2022年資安人才需求較2021年增加3倍</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/104-cybersecurity-salary-2017-2021.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/104-cybersecurity-salary-2017-2021.JPG" style="width: 300px; float: right;" /></a>隨著企業資安面臨的挑戰日益嚴峻，臺灣資安人才的需求與日俱增，但究竟情況如何？近期104人力銀行公布統計資料，指出2021年每月平均有1,326個資安相關工作職缺，但到了2022年，以資安為關鍵字可在該公司網站上找到3,980筆職缺；而在薪資的部分，2021年從業人員的月薪中位數為5.26萬元，較整體薪資增幅高出3%。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/9 18:16作者周峻佑https://www.ithome.com.tw/news/149780
蘋果發表基於A15仿生晶片並支援5G的iPhone SE，搭載M1晶片的iPad Air問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周二（3/8）更新了iPhone SE與iPad Air，<a href="https://www.apple.com/newsroom/2022/03/apple-announces-the-new-iphone-se-a-powerful-smartphone-in-an-iconic-design/" target="_blank">第三代的iPhone SE</a>採用了與iPhone 13系列一樣的A15仿生晶片，支援5G通訊技術，並保留了Touch ID指紋辨識與Home鍵功能，最低階售價為429美元（新臺幣13,900元）。</p> <p>至於<a href="https://www.apple.com/newsroom/2022/03/apple-introduces-the-most-powerful-and-versatile-ipad-air-ever/" target="_blank">本周發表的第五代iPad Air</a>則搭載了已率先應用在iPad Pro上的M1晶片，最低階售價為599美元（新臺幣17,900元）。</p> <p>臺灣市場的iPad Air上市日期未定，但iPhone SE將於3月11日晚上9點開放預購，18日出貨。</p> <p>iPhone SE為入門款iPhone，許多規格與2020年的第二代iPhone SE一致，例如採用4.7吋螢幕，支援IP67防水/防塵等級，最多可於1米深的水中支撐30分鐘，保留了Home鍵及Touch ID指紋辨識功能，以及配備1,200 萬像素與ƒ/1.8光圈的廣角相機。</p> <p>不過，第三代的iPhone SE搭載了iPhone 13所使用的A15仿生晶片，使得它的處理速度比iPhone 8快了1.8倍，並得以透過軟體來改善相機體驗；而且它支援最新的5G通訊技術；宣稱其電池續航力比先前任一款4.7吋iPhone都還要持久，而且也支援Qi認證的無線充電器與快速充電。</p> <p>iPhone SE有午夜色、星光色及紅色三種選擇，儲存規格上則有64GB、128GB及256GB等選項，售價分別為429美元（新臺幣13,900元）、479美元（新臺幣15,500元）及579美元（新臺幣19,000元）。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/iphone/standard/Apple-iPhoneSE-color-lineup-4up-220308_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>至於第五代的iPad Air則是繼iPad Pro之後，第二款搭載M1處理器的iPad機種，比起前一代的產品，10.9吋的新款iPad Air的CPU效能提高了60%，GPU繪圖效能提升快2倍，配備1,200萬像素的廣角後置相機，也支援5G、Touch ID，以及第二代的Apple Pencil。</p> <p>iPad Air有太空灰、粉紅、紫色、藍色及星光色等5種顏色可供選擇，有Wi-Fi版及同時支援Wi-Fi與行動網路的版本，前者64GB的售價為599美元（新臺幣17,900元），256GB版本為749美元（新臺幣22,900元），後者同樣儲存規格的版本則分別是749美元（新臺幣22,900元）與899美元（新臺幣27,900元）。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/ipad/standard/Apple-iPad-Air-hero-color-lineup-220308_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> </div></div></div>
2022/3/9 16:46作者陳曉莉https://www.ithome.com.tw/news/149771
Android新歸檔功能，不必移除App即可清出儲存空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於使用者下載的App愈來愈多而把手機儲存空間占滿，Google未來將推出一項歸檔（Archive）功能來縮減占用的體積，最多可清出60%的空間。</p> <p>Google Play團隊指出，使用者移除App最主要的理由是騰出儲存空間，而為了省去不必要的移除作業，又能善用裝置儲存空間，Google已經著手開發一項App歸檔的新功能，可讓用戶移除App一部分，無需整個移除。</p> <p>新功能的原理是建立新的歸檔APK，它比原始App小很多，直到用戶需要執行時再復原回原來的大小。Google說回復App又快又簡單，而且最多能暫時清出60%的App儲存空間。</p> <p>針對使用App Bundles的開發人員，<a href="https://android-developers.googleblog.com/2022/03/freeing-up-60-of-storage-for-apps.html" target="_blank">Google之後會釋出Bundletool 1.10</a>，首度提供這個新歸檔技術。Google也將開始對Android Gradle Plugin 7.3開發的App產生這新形式的APK。不過Google表示，要等這項新功能今年稍晚釋出給消費用戶才會正式啟用。</p> <p>所有產生的APK將可以從<a href="https://developers.google.com/android-publisher/download-apks" target="_blank">Generated APKs API</a>或是<a href="https://play.google.com/console/about/app-bundle-explorer/" target="_blank">App Bundle Explorer</a>下的Play Console下載試用。此外，這新功能是開源碼技術，因而也能從別的App Store下載。Google也提供以修改build.gradle檔作為退出（opt-out）的選項。未使用Gradle的開發人員則可經由變更BundleConfig檔來退出。</p> </div></div></div>
2022/3/9 17:07作者林妍溱https://www.ithome.com.tw/news/149772
蘋果發表M1 Ultra與全新桌機Mac Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/03/apple-unveils-m1-ultra-the-worlds-most-powerful-chip-for-a-personal-computer/" target="_blank">蘋果於周二（3/8）發表了新一代基於Arm架構M1 Ultra處理器</a>，它基本上是由兩個M1 Max處理器融合而成，也揭露了<a href="https://www.apple.com/newsroom/2022/03/apple-unveils-all-new-mac-studio-and-studio-display/" target="_blank">首款採用M1 Ultra處理器的全新桌機Mac Studio</a>，同時預告基於M1 Ultra的高階桌機Mac Pro也會在今年問世。</p> <p>蘋果是在2020年11月<a href="https://www.ithome.com.tw/news/141038" target="_blank">發表首款自製晶片M1</a>，這是個基於Arm架構的處理器，預計在兩年內全面取代蘋果裝置中所使用的英特爾處理器，率先應用在MacBook Air、13吋MacBook Pro與Mac mini上；繼之於2021年發表更強大的<a href="https://www.ithome.com.tw/news/147341" target="_blank">M1 Pro與M1 Max處理器</a>，其CPU效能最多比M1快上70%，並部署在14吋與16吋的MacBook Pro上。</p> <p>而今年發表的M1 Ultra則是搭配全新的Mac Studio桌上型系統問世。M1 Ultra採用創新的UltraFusion封裝架構，連結兩個M1 Max晶片的裸晶，來打造一個系統單晶片（SoC）；蘋果解釋，擴大處理器效能最常見的方式，是藉由主機板連結兩個晶片，但這樣一來經常會增加延遲、降低頻寬，並增加電力損耗，然而，UltraFusion卻是以矽中介板來連接晶片，可同時傳遞逾1萬個訊號，提供每秒2.5TB的處理器互連頻寬與低延遲，其頻寬約莫是目前多晶片互連技術的4倍。</p> <p>新一代的M1 Ultra具備1,140億個電晶體，最多可配置128GB頻寬且低延遲的統一記憶體，並支援20核心CPU、40核心GPU與32核心的Neural Engine。與採用Afterburner加速卡的28核心Mac Pro相較，搭載M1 Ultra的Mac Studio在將影片轉碼至ProRes時，可快上5.6倍。</p> <p>剛問世的Mac Studio不僅是首款採用M1 Ultra的蘋果裝置，也是全新的蘋果桌上型電腦，它是個介於Mac mini與MacBook Pro之間的產品線，外型就像是大一點的Mac mini，蘋果同時推出了採用M1 Max與M1 Ultra的兩款Mac Studio。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-Mac-Studio-Studio-Display-hero-220308_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">Mac Studio（圖片來源／蘋果）</span></p> <p>根據蘋果的測試，基於M1 Max的Mac Studio的處理器效能，比搭載10核心處理器的27吋iMac快上2.5倍；比搭載16核心Xeon 處理器的Mac Pro快上50%。在圖像處理效能上，是27吋iMac的3.4倍，也是Mac Pro的3倍；影片轉碼速度則是27吋iMac的7.5倍，以及Mac Pro的3.7倍。</p> <p>而採用M1 Ultra的Mac Studio表現則更優異，其處理效能比搭載10核心處理器的27吋iMac快上3.8倍，比搭載16核心Xeon 處理器的Mac Pro快上90%，比28核心的Mac Pro快上60%。圖像處理效能是27吋iMac的4.5倍，比現有市面上快的Mac顯示卡快上80%。其影片轉碼速度則是27吋iMac的12倍，也是28 核心 Mac Pro的5.6倍。</p> <p>M1 Max版的Mac Studio售價為1,999美元（新臺幣59,900元），M1 Ultra版的則是3,999美元（新臺幣119,900元）</p> <p>跟著Mac Studio出爐的還有Studio Display顯示器，它有標準玻璃與Nano-texture玻璃兩種選項，後者標榜可分散光線，減少眩光以呈現更佳的影像品質，售價分別為1,599美元（新臺幣45,900元）及1,899美元（新臺幣54,900元）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0309-Mac%20Studio-Studio%20Display.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">Studio Display顯示器（圖片來源／蘋果）</span></p> <p>Mac Studio與Studio Display即日起開放美國及特定市場預購，預計於3月18日出貨，至於臺灣市場的上市時間則未定。</p> <p>由於Mac Studio的效能已經趕上了蘋果最高階的Mac Pro桌上型機種，因此蘋果也打算在今年推出採用M1 Ultra的Mac Pro。</p> </div></div></div>
2022/3/9 15:59作者陳曉莉https://www.ithome.com.tw/news/149770
Microsoft 365本月1日起調價
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟企業版生產力暨協同雲端服務Microsoft 365及Office 365，已在上周二（3/1）起以調漲的價格銷售。</p> <p><a href="https://www.ithome.com.tw/news/146291" target="_blank">微軟去年8月宣布</a>，Office 365及Microsoft 365大型企業及中小型企業方案將調漲價格。其中Microsoft 365 Business Basic每名用戶月費，由5美元調漲為6美元，Business Premium由20美元漲為22美元。Microsoft 365 E3方案則由32美元漲為36美元。此外，Office 365 E1、E3及E5調漲後的價格，各為10、23及38美元。</p> <p><a href="https://news.microsoft.com/zh-tw/microsoft-365-new-pricing/" target="_blank">微軟表示</a>這波調漲是10年來第一次，還說新推出的Microsoft 365提供更多產品，包括Office、Windows、行動與安全管理（EMS）以及Teams、Power BI、Power Apps/Automate以及OneDrive等24項應用程式。</p> <p>由於許多企業趕在二月底下單，以致經銷商消化不及。因此二月底新方案即將生效前夕，微軟針對歐美地區的雲端服務供應商（CSP）提供了一項折扣方案，使其得以原價銷售Microsoft 365商用版直到3月15日，以便他們能清掉累積的新訂單。</p> <p>不過這方案疑似僅在歐美推出，臺灣客戶應該現在已經只能以<a href="https://www.microsoft.com/zh-tw/microsoft-365/business/compare-all-microsoft-365-business-products" target="_blank">新價格訂</a>閱Microsoft 365或Office 365了。</p> <p>除了商用版方案調漲外，<a href="https://www.ithome.com.tw/news/148243" target="_blank">微軟另外宣布</a>將在2022年上半推行新的雲端產品訂閱方案，其中月費制價格將調漲20%，以力推企業客戶轉為年約制。經由CSP銷售的現有方案，也在今年3月10日終止下單。微軟也在歐美針對月費及年費制客戶，提供幾個月的5%折扣促銷方案。</p> </div></div></div>
2022/3/9 14:36作者林妍溱https://www.ithome.com.tw/news/149769
中國駭客對與美政府有關的Gmail用戶發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全團隊發現，一個中國駭客組織近日對與美國政府有關人士的Gmail帳號，發動一波釣魚信件攻擊。</p> <p><a href="https://twitter.com/ShaneHuntley/status/1501224764530069504" target="_blank">Google威脅分析小組（TAG）主任Shane Huntley指出</a>，TAG二月間偵測到這波釣魚攻擊，對象是與美國政府有關係的重要Gmail用戶。Google將發動這波攻擊的中國駭客組織命名為APT31。</p> <p>Google強調，所有釣魚信件皆已被Gmail辨識為垃圾郵件並加以封鎖，但為免駭客辨識Google的偵測方法，Google刻意延至昨日對被鎖定的用戶發出警告。</p> <p>Huntley表示，目前沒有跡象顯示這波攻擊和俄烏衝突有關。</p> <p>但別的中國駭客組織的確涉及和俄烏戰爭有關的攻擊行動。根據<a href="https://blog.google/threat-analysis-group/update-threat-landscape-ukraine/" target="_blank">Google另外發布的最新威脅情報</a>，名為Mustang Panda或Temp.Hex的中國駭客，最近發送附有烏克蘭主題壓縮檔的惡意郵件，以攻擊歐洲用戶。Google表示這波攻擊也顯示Mustang Panda的目標從之前的東南亞轉向歐洲。</p> </div></div></div>
2022/3/9 11:24作者林妍溱https://www.ithome.com.tw/news/149767
Mandiant以54億美元花落Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.googlecloudpresscorner.com/2022-03-08-mgc" target="_blank">Google周二（3/8）宣布</a>，已與資安業者Mandiant簽署併購協議，將以每股23美元的現金買下Mandiant，若加上Mandiant手上的現金，該交易的價值約為54億美元。雙方預計於今年底完成交易，未來Mandiant將成為Google Cloud的一分子。</p> <p>市場曾傳出微軟也有意收購Mandiant，最後Mandiant卻花落Google。同時受到兩大雲端業者青睞的Mandiant，擁有逾600名安全顧問與超過300名的情報分析師，藉由擴展偵測及回應平臺Mandiant Advantage，來提供動態的網路防禦解決方案。該公司去年第四季的營收為1.33億美元，成長21%，每股虧損0.1美元。</p> <p>成立於2004年的Mandiant，於2013年賣給了FireEye，但FireEye在2021年出售自家品牌與產品，獨留Mandiant，並直接把公司名稱及股票代號變更為Mandiant與MNDT。</p> <p>Google表示，此一收購案將可補充Google Cloud既有的安全優勢，涵蓋BeyondCorp Enterprise 、VirusTotal、Chronicle、安全指揮中心及網路安全行動團隊等，讓Google Cloud得以強化端對端的安全操作，並有更多的能力來支援雲端及就地部署環境。</p> <p>這代表Google Cloud將取得Mandiant的各項專業能力，從安全顧問服務、威脅偵測與情報、自動化與回應工具、測試及驗證，以及受控防禦等。</p> <p>《彭博社》是在2月8日報導微軟有意收購Mandiant，使得Mandiant股價從前一天15.06美元的收盤價一路上揚，3月8日的收盤價為22.04美元。若是以消息傳出前的股價來看，Google是以溢價57%的規模買下了Mandiant。</p> </div></div></div>
2022/3/9 12:06作者陳曉莉https://www.ithome.com.tw/news/149768
微軟修補Azure跨租戶存取漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2022/03/07/13943/" target="_blank">微軟本周公告</a>已完成修補Azure中一個能讓攻擊者存取，甚至接管其他Azure租戶的漏洞。</p> <p>這個漏洞存在於Azure Automation服務中，由<a href="https://orca.security/resources/blog/autowarp-microsoft-azure-automation-service-vulnerability/" target="_blank">安全廠商Orca Security去年12月發現</a>並通報微軟。</p> <p>Azure Automation負責程式自動化執行、系統更新、組態管理，管理員可用它來執行工作排程，下指令、並掌握營運狀況等。Azure一家客戶的自動化程式碼只會在單一沙箱中執行，不影響同一臺機器其他客戶的程式碼執行作業。但安全廠商發現名為AutoWarp的重大漏洞，可讓攻擊者經由Azure Automation查詢到授權用的身分令牌（token）。攻擊者可利用此令牌存取其他Azure客戶帳號的沙箱，視客戶設定的權限而定，開採該漏洞可導致攻擊者接管其他租戶的資源及資料。</p> <p>研究人員發現受到AutoWarp影響的客戶，包括一家全球電信業者、2家汽車製造商、銀行集團及四大會計顧問公司之一等。</p> <p>在12月獲得通報後，微軟已在12月10日修補該漏洞。微軟表示，經調查，沒有證據顯示外洩的令牌遭到濫用。</p> </div></div></div>
2022/3/9 10:03作者林妍溱https://www.ithome.com.tw/news/149766
Google與Micro Focus合作，藉自動部署大型主機環境簡化程式搬遷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>現在用戶可以在Google雲端上使用<a href="https://cloud.google.com/blog/topics/partners/micro-focus-enterprise-server-google-cloud-blueprint">Micro Focus Enterprise Server藍圖</a>，在VPC中以Enterprise Server自動部署最佳實踐，在高可用性環境中執行大型主機工作負載，滿足這些應用程式現代化，還有對吞吐量和I/O效能的需求。</p> <p>過去數十年，大型企業在大型主機（Mainframe）上運作重要的工作負載，以達到可擴展、安全和效能要求，但維護和操作這些工作負載的人已經越來越少，相對維護成本跟著提高，面對創新和成本的壓力，企業開始尋求替代方案。而當前主流的雲端運算，具備效能、成本和可擴展性優勢，可以讓這些企業，在不損害大型主機應用程式運作的情況下，進行現代化。</p> <p>而Enterprise Server是Micro Focus所推出可擴展的生產引擎，能讓大型主機工作負載以高安全性、可靠性、可用性和可維護性，在雲端上運作，用戶只需要對大型主機上的COBOL和PL/I應用程式，進行小幅度的更改，就能進行搬遷。</p> <p>同時Enterprise Server支援線上CICS和IMS交易，以及批次處理環境，而原本的DB2、IMS-DB、QSAM和VSAM資料，則可以轉換使用替代資料庫和檔案系統，並且重新選擇執行的作業系統，像是不同的Linux發行版、Windows和UNIX。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Micro_Focus_Reference_A_0648032812860608_max-1200x1200.jpg" style="width: 580px; height: 275px;" /></p> <p>Google雲端整合Enterprise Server藍圖，讓用戶可以在新的VPC，或是現有的VPC中，以最佳實踐執行Enterprise Server自動部署，而且該藍圖還會在Enterprise Server上安裝一個功能齊全的範例應用程式BankDemo，該應用程式展示COBOL、CICS、JCL和VSAM檔案，還有效能和可用性叢集的使用方式。</p> <p>在Google Compute Engine上的Enterprise Server，能夠自動部署一個高可用性環境，並且將應用程式資料儲存在Cloud SQL等關聯式資料庫中。Enterprise Server除了能夠部署在Compute Engine執行個體上，還可以部署在Docker容器中，並且使用Kubernetes進行調度。</p> <p>透過此解決方案，企業可以在Google雲端上託管大型主機工作負載環境，並且賦予用戶強大的系統管理能力。</p> </div></div></div>
2022/3/8 23:48作者李建興https://www.ithome.com.tw/news/149764
微軟在Visual Studio整合Edge開發人員工具，簡化CSS編輯工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/edge-developer-tools-for-visual-studio-preview/">微軟在Visual Studio中整合Edge開發人員工具</a>，釋出新的擴充套件預覽，而這將能夠讓網頁應用程式開發更加方便快速。在這個擴充套件預覽版中，微軟啟用了Elements和Network工具，供開發者操作CSS和網路功能。</p> <p>開發人員在開發網頁應用程式時，需要使用瀏覽器開發人員工具執行各種工作，像是修改CSS、檢查網路流量等，但由於瀏覽器與IDE並未連結在一起，當開發者在瀏覽器對正在執行的應用程式進行更改，便會需要記住這些修改，並且回到IDE中，在程式碼中重覆這些變更。</p> <p>而Visual Studio與Edge開發人員工具的整合，將可以提高網頁開發人員的工作效率，在Visual Studio中開發包括ASP.NET Core和ASP.NET在內的網頁應用程式，開發者現在可以使用Elements工具增加CSS編輯效率，執行像是視覺化CSS flexbox編輯，當開發者使用display:flex屬性，擴充套件便會顯示flexbox工具圖標，開發者便能方便地進行CSS修改。</p> <p>在這個擴充套件出現之前，開發者通常需要在瀏覽器執行這些CSS變更操作，並且將這些CSS修改，複製到原始碼中，但是使用與Visual Studio整合的開發工具，元素工具中的變更，都會應用到原始檔案中。</p> <p>但開發者也不用擔心，調整CSS可能意外地變更原始檔案，Visual Studio的還原功能，可以撤銷之前進行的變更。另外，開發者也可以在Visual Studio中編輯CSS檔案，這些變更將會直接應用到正在預覽的應用程式中。</p> <p>另外，在Edge開發人員工具中，Network工具讓開發者可以檢視網路條件，或是封鎖網路請求等操作。開發者可以透過打開網路條件，模擬應用程式在不同網路條件下的行為，而封鎖網路請求等功能，則與Edge瀏覽器提供的相同。</p> </div></div></div>
2022/3/8 22:28作者李建興https://www.ithome.com.tw/news/149756
FBI警告：勒索軟體RagnarLocker已入侵美國52個關鍵基礎設施組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.documentcloud.org/documents/21397387-ragnarlocker-ransomware-indicators-of-compromise" target="_blank">美國聯邦調查局（FBI）本周警告</a>，已發現至少有52家橫跨十大關鍵基礎設施領域的組織，遭到RagnarLocker勒索軟體入侵，涵蓋製造、能源、金融服務、政府及資訊科技等領域，FBI除了提供該勒索軟體的入侵指標（IOCs）外，也督促受害者向主管機關舉報，以及提供相關細節以利追蹤駭客，以避免其它組織受害。</p> <p>RagnarLocker最早出現於2019年，駭客會先滲透受害者系統，接著辨識受害裝置的位置，倘若位於白俄羅斯、哈薩克、俄羅斯或烏克蘭等國家，便會停止攻擊。</p> <p>此外，與其選擇欲加密的檔案，RagnarLocker過濾了不加密的檔案，主要是保留Windows系統檔案及各種瀏覽器功能，以讓駭客在執行加密檔案的過程中，電腦仍可正常執行而不被發現。</p> <p>RagnarLocker曾於2020年攻擊全球第四大貨櫃船運業者<a href="https://www.ithome.com.tw/news/140261" target="_blank">CMA CGM</a>，<a href="https://www.ithome.com.tw/news/144910" target="_blank">臺灣的威剛</a>也在去年成為RagnarLocker的受害者。</p> <p>FBI表示，雖然他們並不鼓勵受害者支付贖金，但也能理解受害者會評估各種可能的選擇來保護它們的股東、員工或客戶，不管是否支付贖金，都應該向執法機關舉報。</p> </div></div></div>
2022/3/8 22:48作者陳曉莉https://www.ithome.com.tw/news/149762
Linux漏洞Dirty Pipe波及Linux核心5.8以及之後的所有版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dirtypipe.cm4all.com/" target="_blank">一名軟體工程師Max Kellermann本周揭露了一個藏匿於Linux核心的安全漏洞CVE-2022-0847</a>，該漏洞允許駭客覆蓋任何唯讀檔案，由於它牽涉到行程間通訊機制Pipe，使得Kellermann把它稱為Dirty Pipe漏洞，並說它比2016年出現的<a href="https://www.ithome.com.tw/news/109228" target="_blank">Dirty Cow（CVE-2016-5195）漏洞</a>還容易開採。</p> <p>Dirty Pipe基本上是個權限擴張漏洞，它讓非特權的行程得以注入程式碼至根進程。Kellermann也釋出了一個概念性驗證攻擊程式，允許本地端使用者可將自己的資料注入一個機密的唯讀檔案，有人就利用了這個程式把根用戶的密碼改為空白，等於是直接取得根權限。</p> <p>Kellermann是在無意間發現此一漏洞，先是有一名客戶抱怨所下載的日誌文件無法解壓縮，而他的確也在日誌伺服器上找到毀壞的日誌文件，Kellermann成功將它解壓縮了，但Gzip卻出現CRC錯誤，他找不出原因，僅是手動修補了該文件的CRC，但後來同樣的問題不斷發生，3個月內就出現37個毀壞的文件，使得他決定深究。</p> <p>Kellermann說，在他排除了硬體問題、程式碼問題、網路服務問題之後，終於覺得這應該是Linux核心問題。</p> <p>雖然Kellermann早在去年就發現了這個漏洞，但追查了幾個月才找到漏洞的根源，並在2月20日將漏洞細節提報給Linux核心安全團隊，21日發現它可在Google Pixel 6上重現，因而再通知Android安全團隊。</p> <p>Linux核心安全團隊已於2月23日釋出Linux 5.16.11、5.15.25及5.10.102來修補該漏洞，而Google也在2月24日將修補程式併入Android核心。</p> <p>值得注意的是，目前仍有許多系統執行老舊的Linux核心，再加上概念性驗證攻擊程式已被公開，相信駭客很快就會採取行動。</p> </div></div></div>
2022/3/8 23:16作者陳曉莉https://www.ithome.com.tw/news/149763
俄烏戰爭假消息太氾濫，Twitter揭露打假對策和實驗做法最新成效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄烏戰爭爆發，在社群媒體掀起又一波不實訊息氾濫。據Twitter全球策展部門主管Leonardo Stamillo觀察，最常見的不實訊息形式，就是將舊有或其他來源的影像，誤指為本次戰爭的影像。Twitter今(3/8)舉行線上記者會，再次揭露多項打擊不實訊息的措施，以及正在實驗的打假措施最新成效。</p> <p>除了管制不實訊息外，Twitter信賴暨安全經理Yoel Roth等部門主管強調，提供使用者可靠的消息來源、提高現有可信推文的能見度及提升社群討論品質，是他們的重要目標。</p> <p>Roth表示，Twitter現有常見措施，是根據訊息的有害程度，採取不同程度的管制。這些措施包括：為推文加上警示、為使用者附上所屬單位標籤、降低推文能見度、甚至禁用推文的互動功能，或直接刪除。</p> <p>此外，去年3月起，針對新冠疫情的「不實訊息超級傳播者(misinformation super-spreader)」，隨著侵犯使用者條款的次數變多，帳號封鎖的期限也會變長，到了第五次，即會永久封鎖。</p> <p>Twitter也從去年8月起，在包含非英語系國家的數個地區，嘗試讓使用者通報不實訊息。Roth表示，儘管從通報的案例中，可以觀察不實訊息的趨勢跟傳播方法，但此措施的成效還不理想。在所有使用者通報中，只有大約10%真正需要採取行動，反觀其他的偵測方法，良率則高達20~30%。他說，在正式推出使用者通報功能之前，Twitter仍需想辦法，過濾「無效通報」。</p> <p>使用者介面設計上，Twitter也會針對不同的帳號給予不同標籤，讓使用者了解帳號可能的立場或可信度，例如機器人、政治人物、知名媒體或國家官媒及旗下媒體人員。</p> <p><img alt="使用者可以在帳號的個人檔案中，看到關於該帳號的標籤，圖為俄羅斯衛星社跟美國總統拜登的標籤。" src="https://s4.itho.me/sites/default/files/images/1(56).png" style="width: 700px; height: 312px;" /></p> <blockquote><p>使用者可以在帳號的個人檔案中，看到關於該帳號的標籤，圖為俄羅斯衛星社跟美國總統拜登的標籤。</p> </blockquote> <p>此外，Twitter消費者設計經理Anita Butler表示，他們會根據貼文的內容，貼上警告標籤，提醒使用者小心查證訊息真偽。近期提升標籤醒目程度後，標籤的點擊率增加了17%，問題推文的回覆、轉推跟喜歡的互動率也分別減少了13%、10%及15%。</p> <p><img alt="不實訊息推文的警告標籤，更新後(右)，多了標籤顏色及更顯眼的邊框，引起使用者警覺。圖片來源-Twitter" src="https://s4.itho.me/sites/default/files/images/2(49).png" style="width: 600px; height: 331px;" /></p> <blockquote><p>不實訊息推文的警告標籤，更新後(右)，多了標籤顏色及更顯眼的邊框，引起使用者警覺。圖片來源-Twitter</p> </blockquote> <p>Twitter更設有「策展(Curation)」部門，負責提升可靠消息的能見度和完整度。當使用者利用Trending、Moment以及Search等功能，查詢疫情或俄烏戰爭特定議題時，可以看到由Twitter提供的背景描述，或經認證的可靠消息連結。記者、專家和媒體的推文，也會被賦予更高的能見度。</p> <p><img alt="使用中文搜尋新冠肺炎時，會跳出台灣疾病管制署的帳號，提示使用者可靠的資訊來源。" src="https://s4.itho.me/sites/default/files/images/3(44).png" style="width: 500px; height: 303px;" />。</p> <blockquote><p>使用中文搜尋新冠肺炎時，會跳出台灣疾病管制署的帳號，提示使用者可靠的資訊來源。</p> </blockquote> <p>Twitter自去年1月推出的Birdwatch，目前測試人數約一萬人，能讓「貢獻者」在認為需要補充資訊推文下，提供註腳和資訊來源。如果多位不同觀點的其他貢獻者，都給予此註腳正面評價，該註腳就會正式發出，提供一般使用者參考。</p> <p>根據Birdwatch負責人Keith Coleman，使用者看完Birdwatch註腳後，同意不實訊息的傾向減少了20~40%。Birdwatch也陸續增加了匿名評價、註腳附上資訊來源提醒，及媒合不同觀點的貢獻者幫忙評價其他註腳等功能，並且<a href="https://github.com/twitter/birdwatch">完全開放資料庫和程式碼</a>，供社群檢視。</p> <p>Coleman也表示，為了避免此功能未來被濫用，Birdwatch貢獻者的歷史評價跟貢獻紀錄都會成為可信度指標，以確保最後推出的註腳，能對不同觀點的使用者都有幫助。</p> <p><img alt="Birdwatch讓貢獻者能針對不實或不完整的推文撰寫註腳，讓使用者能有更完整且多元的資料來源參考。圖片來源-Twitter" src="https://s4.itho.me/sites/default/files/images/4(32).png" style="border-width: 0px; border-style: solid; width: 553px; height: 220px;" /></p> <blockquote><p>Birdwatch讓貢獻者能針對不實或不完整的推文撰寫註腳，讓使用者能有更完整且多元的資料來源參考。圖片來源-Twitter</p> </blockquote> <p>針對刻意散播特定觀點或訊息的帳號（或稱「網軍」），Roth也表示，Twitter會根據帳號歷史紀錄、一機多帳或多帳號同時推文特定議題等跡象，框列出可疑帳號。然而，因為難以證明這類帳號的操作者或背後主使，很少能直接針對主使的機構採取行動。</p> <p>Twitter所有針對不實訊息採取行動的報告，都能在他們的<a href="https://transparency.twitter.com/">資訊透明化網站</a>找到。</p> </div></div></div>
2022/3/8 17:09作者郭又華https://www.ithome.com.tw/news/149759
【資安日報】2022年3月8日，Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯與烏克蘭關係緊張，導致石油的價格不斷上漲，但在此同時，石油公司也成為駭客攻擊的對象。今天有2起相關的攻擊事故，一則是以沙烏地阿拉伯國營石油公司的名義，針對買家進行的釣魚郵件攻擊，另一起則是勒索軟體Hive攻擊羅馬尼亞的石油公司。</p> <p>再者，Linux的重大漏洞Dirty Pipe（CVE-2022-0847）揭露也相當值得留意，因為該漏洞能被拿來竄改、覆寫唯讀檔案，攻擊者可能得以提升權限。由於此漏洞存在於Linux核心，恐波及大部分Linux版本，IT人員應留意各家作業系統的資安通告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><a href="https://thehackernews.com/2022/03/ukrainian-cert-warns-citizens-of.html"><span style="color: rgb(0, 0, 0);"><strong>攻擊者利用印度企業的電子郵件，對烏克蘭民眾發動網釣攻擊</strong></span></a></span></p> <p>自俄烏開戰後，駭客以相關議題發動網釣攻擊的事故，而這次是針對烏克蘭的市民而來。烏克蘭電腦緊急應變小組（CERT-UA）於3月5日指出，他們接獲不少民眾的通報，有駭客以烏克蘭入口網站Ukr.net的名義寄送釣魚郵件，宣稱收信人的電子郵件帳號遭到不明人士從頓涅茨克登入，應該立即修改密碼以免帳號遭到濫用，一旦收信人依照指示輸入相關資料，電子郵件信箱帳號將會被駭客挾持。</p> <p>但實際上，駭客寄送電子郵件的來源，是印度企業的電子郵件信箱。該單位呼籲烏克蘭民眾要提高警覺，或是將電子郵件交由他們進一步分析。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/03/beware-of-malware-offering-warm-greetings-from-saudi-aramco/"><span style="color: rgb(0, 0, 0);">駭客假冒沙烏地阿拉伯石油公司，利用Office漏洞植入竊密軟體Formbook</span></a></strong></h3> <p>隨著氣候變遷與俄烏戰爭，能源價格節節攀升，而在此同時，有駭客假冒石油公司的名義，發動網路釣魚攻擊。資安業者Malwarebytes攔截到鎖定採購石油與天然氣公司的網路釣魚郵件，駭客冒名沙烏地阿拉伯國家石油公司Saudi Aramco，宣稱提供限期優惠的價格，吸引買家上當。</p> <p>一旦受害者被騙，點選附件的PDF檔案或Excel 檔案，這些附件檔案就會藉由Office漏洞CVE-2017-11882，下載竊密軟體FormBook偷取電腦內的機密文件。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/rompetrol-gas-station-network-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive攻擊羅馬尼亞石油公司，索討200萬美元</span></a></strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hive-RomPetrol.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive-RomPetrol.png" style="width: 300px; float: right;" /></a>又有石油公司遭到勒索軟體攻擊，而面臨部分服務被迫中斷的事故。羅馬尼亞石油公司Rompetrol於3月7日表示，他們遭到複雜的網路攻擊，為防止災害蔓延，決定關閉Fill & Go網站與相關服務，導致客戶的Rompetrol Go手機App無法運作，但該公司強調，加油站、煉油廠仍維持正常營運，顧客可使用現金或信用卡加油。至於攻擊者的身分，根據資安新聞媒體Bleeping Computer的報導指出，該石油公司應該是遭到勒索軟體Hive攻擊，駭客索討200萬美元贖金。而除了該公司宣布暫停Fill & Go網站的服務，還有Rompetrol與其母公司KMG International的網站，在截稿前也仍然無法存取。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.cnbc.com/2022/03/07/samsung-hackers-breached-company-data-source-code-for-galaxy-devices.html"><span style="color: rgb(0, 0, 0);">三星證實Galaxy行動裝置產品的程式碼遭竊</span></a></strong></span></p> <p>日前勒索軟體駭客Lapsus$洩露了190 GB三星機密資料，而該公司隨後證實確有內部資料外洩的情形。根據新聞網站CNBC報導，該公司發言人表示，三星近期出現公司內部資料外洩的資安事故，根據他們的初步調查，外洩資料為Galaxy裝置運作有關的程式碼，但沒有客戶或員工的個資外洩。但除此之外，三星沒有進一步透露遭到攻擊的類型與攻擊者身分。由於Galaxy裝置涵蓋手機、平板電腦、智慧手環、筆記型電腦等產品，這起資料外洩的影響有待觀察。</p> <p><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/japanese-beauty-retailer-acro-blames-third-party-hack-for-breach-of-100k-payment-cards"><span style="color: rgb(0, 0, 0);">日本化妝品業者Acro證實去年線上商城資料外洩，波及逾10萬顧客</span></a></strong></p> <p>網路商店因外部廠商的付款系統出現漏洞，而出現可能洩露客戶交易資料的情況。日本化妝品業者Acro於2月24日發出公告，指出他們在2021年8月20日，發現旗下的Three Cosmetics、Amplitude網路商店，客戶的信用卡資料疑似外洩，他們隨即暫停4個購物網站的服務，經過調查後，在2020年5月21日至2021年8月18日期間，於Three Cosmetics、Amplitude網路商店購物的顧客，信用卡資料可能已被外洩，分別影響89,295人與14,640人，外洩的資料包含持卡人姓名、卡號、有效期限、安全碼。Acro承諾將強化其網站安全。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://cluster25.io/2022/03/03/rurat-used-in-spear-phishing-attacks-against-media-organisations-in-united-states/"><span style="color: rgb(0, 0, 0);">駭客以提供資金給網路公司的名義，散布惡意程式RuRAT</span></a></strong></span></p> <p>經營網站需要源源不絕的資金，經營者可能會尋求能夠得到贊助、投資資金的管道，而有駭客看上這樣的情況，假冒投顧公司來發動網釣攻擊。資安新聞網站Bleeping Computer於2月23日，接到聲稱是想要投資或是買下他們網站的電子郵件，該投資公司要求以名為Vuxner的即時通訊軟體討論相關事宜，Bleeping Computer察覺有異，尋求資安業者Cluster25協助調查。</p> <p>結果發現，一旦網站經營者依照指示安裝Vuxner，攻擊者先會在電腦安裝Trillian，再植入RuRAT木馬程式，並要求相關存取權限，進而控制受害電腦。研究人員認為，使用者要對於不尋常的電子郵件提高警覺，尤其是對方要求必須安裝特定的軟體進行溝通，很有可能是惡意軟體攻擊。</p> <p id="nfttokentitle"> </p> <h3><strong>【漏洞與修補】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://dirtypipe.cm4all.com/"><span style="color: rgb(0, 0, 0);">Linux重大漏洞Dirty Pipe可讓攻擊者覆寫唯讀檔案</span></a></strong></span></p> <p>作業系統的核心元件存在檔案讀寫漏洞，有可能被攻擊者用於提升權限。資安研究員Max Kellermann揭露名為Dirty Pipe的Linux漏洞（CVE-2022-0847），這項漏洞影響Linux Kernel 5.8以上的版本，亦波及Android作業系統，可被尚未取得特殊權限的使用者，用來在唯讀的檔案上進行注入或是覆寫，甚至原本需要root權限執行的SUID屬性檔案也不能倖免。研究人員強調，該漏洞與2016年出現的Dirty COW漏洞（CVE-2016-5195）相當類似，但Dirty Pipe更容易被利用。</p> <p>Linux基金會於2月23日發布5.16.11、5.15.25、5.10.102版Linux Kernel來修補上述漏洞，Google則於24日將相關修補程式併入Android核心程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://siliconangle.com/2022/03/07/google-reportedly-bids-microsoft-buy-5b-security-firm-mandiant/"><span style="color: rgb(0, 0, 0);">Google傳出有意買下Mandiant</span></a></strong></span></p> <p>繼傳出微軟有意買下資安業者Mandiant後，Google似乎也有想要購買的意願。根據新聞網站The Information的報導，Google疑似為了提升雲端服務的安全，有意買下Mandiant，此消息傳出，Mandiant於3月7日的股價上漲16%，達到每股22.49美元，估計該公司價值為52.6億美元。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/8 16:07作者周峻佑https://www.ithome.com.tw/news/149754
Google宣稱macOS上的Chrome 99效能已超越Safari
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2022/03/a-new-speed-milestone-for-chrome.html" target="_blank">Google本周宣布</a>，今年3月初釋出的Chrome 99於macOS上的效能，已經超越蘋果自家打造的Safari瀏覽器。Chrome團隊是以蘋果WebKit 團隊所開發的Speedometer進行測試，發現Chrome 99的效能贏過所有瀏覽器，亦比Safari快上15%。</p> <p>Speedometer是藉由計算模擬使用者互動的時間，來測試瀏覽器對網頁應用程式的回應速度，衡量的是使用者的瀏覽經驗。</p> <p>Google則說，Chrome 99現在不僅是所有主要平臺上速度最快的瀏覽器，也是macOS平臺上，基於Speedometer測試標準分數最高的版本，亦凌駕現有的Safari版本。自蘋果於2020年釋出基於M1處理器的Mac裝置以來，支援macOS的Chrome速度已提升了43%。</p> <p>Google透過許多措施來改善Chrome，其中之一是於Chrome 99中啟用了<a href="https://blog.chromium.org/2021/12/faster-chrome-let-the-compiler-do-the-work.html#:~:text=But%20we%20can%20do%20more%20(ThinLTO)" target="_blank">ThinLTO</a>，這是一個建置最佳化技術，得以連結程式碼中對速度有關鍵性作用的各個元件，再結合最近的繪圖最佳化能力，讓Chrome的繪圖效能比Safari快了15%。</p> <p class="rtecenter"><img alt="" src="https://1.bp.blogspot.com/-owYckDrSAr0/YaeXesh7WjI/AAAAAAAABwY/hrvwTy6onlsfxevg-r1Qcu6fh_84s2hbQCLcBGAsYHQ/s1999/image3.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>另外兩個對Chrome速度有重大貢獻的，則是<a href="https://v8.dev/blog/sparkplug" target="_blank">V8 Sparkplug</a>編譯器與簡短的內建呼叫，前者為V8的中間層JavaScript編譯器，能產生低編譯消耗的高效能程式碼，後者則是V8 JavaScript引擎用來最佳化裝置記憶體中程式碼的置放，可在呼叫函數時避免間接跳轉，而對基於M1的Mac裝置帶來重大影響。</p> <p>除了效能的改善之外，Chrome 99允許使用者透過Windows作業系統的設定移除網頁應用程式，也開始支援手寫辨識API，並修補了28個安全漏洞。</p> </div></div></div>
2022/3/8 16:41作者陳曉莉https://www.ithome.com.tw/news/149755
快速認識量子電腦的能力與現況，短期目標以化學模擬應用最受期待，現在的運算能力還非常小
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_dui_yu_liang_zi_dian_nao_de_zheng_que_xiang_xiang_960_she_ying_luo_zheng_han_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子電腦的技術發展備受重視，其強大的運算潛能，成為科學界與產業界關注焦點，也讓大眾對於這樣的新穎技術，抱持著很大的想像空間。</p> <p>尤其最近兩年，我們不時就會看到量子運算新突破的消息，只是，到底目前這項技術發展到什麼樣的程度，大家可能還是一知半解，加上又傳出這將引發公鑰密碼系統遭到破解的危機，為了紓解這樣的不安，我們必須先了解到底量子電腦能做什麼。</p> <p>過去，iThome報導的量子電腦動態大多是廠商消息，但學術界目前如何看待量子運算的進展？今年初舉行的第一屆後量子密碼論壇上，恰好有位學者講解了這方面議題，那就是中研院資科所博士鐘楷閔，主要研究領域是密碼學、複雜度理論與量子理論，當時他很精闢地介紹了量子電腦的應用面與發展現況，描繪出量子電腦的輪廓。</p> <p>關於量子電腦，首先要回答一個最常被大家提出的問題：到底這個運算架構是否會取代傳統電腦？</p> <p>鐘楷閔認為，以目前技術發展來看，其實並不會，而是各有各的任務，這就如同手機沒有取代電腦，記憶體沒有取代硬碟的情況，而量子電腦的特性，主要是針對解決特定的問題有優勢，並非無所不能。</p> <p>對於量子電腦的能耐，鐘楷閔表示，要搞懂量子是什麼？為何可以拿它來做計算？</p> <p>首先，我們需要對於「量子力學」有基本概念。簡單來說，這是一套描述微觀世界的物理理論，例如，在頭髮微觀之下，我們可看到1微米的物體，以DNA結構微觀下，我們可看到數十奈米，再小一點，進入原子等級的尺度，量子的神祕特性就會顯現。</p> <p>儘管一般人要真正搞懂量子力學並不容易，但我們可以大致理解，量子疊加與量子糾纏就是其神秘特性之一，是量子位元本質上的非古典特性。換言之，當尺度不同時，我們所看到的現象與解釋方法，也會不盡相同，因此不像人們在生活範圍中可用古典物理來解釋。</p> <p>關於這個特性，科學家想要加以妥善利用、做出厲害的事情，在1982年，諾貝爾物理學獎得主Richard Feynman提出量子電腦的構想，40年後，量子電腦已漸漸成為時下熱門的主題，這也表示如今已有階段性的成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%B0%8D%E6%96%BC%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6%E7%9A%84%E6%AD%A3%E7%A2%BA%E6%83%B3%E5%83%8F960_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>【當今量子電腦需在接近零度環境運行】近年IBM曾公布自家量子電腦的照片，中研院資科所博士鐘楷閔表示，從圖中左邊照片可以看到其外觀，為什麼長這樣？他解釋，你可以想像它是個是溫度非常接近0度的冰箱，而且，越低的位置越冷，而量子電腦核心本身仍是一個晶片，所謂的量子位元（QBIT）就藏在晶片裡面，而該晶片就是放在這個冰箱裡面最低溫的地方。（攝影／羅正漢）</p> </blockquote> <h3><strong>已達到可進行運算任務的里程碑，但現階段的能力還很有限</strong></h3> <p>從現在的量子電腦發展來看，已經達到什麼樣的成就？</p> <p>簡單來說，現在發展到所謂量子霸權（Quantum Supremacy）的階段，也就是證明可真正運用量子電腦來進行一個運算任務。</p> <p>不過，現階段的量子電腦運算力其實還非常小，鐘楷閔從近年的量子電腦研究成果來說明。</p> <p>在2019年10月，Google在Nature期刊發表研究成果，宣布他們打造了54量子位元（qubit）的處理器Sycamore，引發全球關注。具體而言，這是一個53個量子位元的量子電腦，因為有1個量子位元是壞掉的，在Google特定實驗設計下，讓電腦進行20次指定的量子操作，實驗重複一百萬次，僅耗時200秒就能完成，</p> <p>根據Google估計，若以當時普遍的超級電腦來運算相同任務，需要1萬年，而IBM也估計，若以當時全球最強超級電腦Summit也要耗時16天。</p> <p>在2021年10月，中國打造的量子電腦「祖沖之號」亦有新進展，他們透過60個量子位元，進行24次的量子操作，進行的實驗任務比Google當時更難，只要4個多小時就能完成，而現今的古典超級電腦Summit要花4.8萬年。</p> <p>對於這樣的成果，鐘楷閔提到四個重點。首先，從量子電腦發展來看，現在已經可以實際運用量子電腦進行一個運算任務，這展示了古典電腦做不到的事情，是科學發展上非常重要的里程碑。</p> <p>第二，關於上述量子電腦實驗，其實僅是針對非常特定的問題來運算，因此，這並不表示「現在的量子電腦」，比「現在的超級電腦」快上千萬倍，而且，也不表示「祖沖之號」比「Google量子電腦」快上百萬倍，而是指在非常特定任務的運算上，量子電腦有很大優勢。而且，目前這些運算任務並無實用價值，主要目的是展現「量子霸權」。</p> <p>第三，不論是53個量子位元，或是60個量子位元，這其實顯示出現在量子電腦還非常小。鐘楷閔舉例說明，以上述Google量子電腦而言，其實只能處理53位元的量子資訊，若用量子電腦來存資料的話，也就是53個0或1。這究竟有多小？以Intel在1970年推出的1103記憶體晶片來看，其容量是1KB，也就是1,024個位元。相較之下，現在的量子位元很小，而且若要實際發揮作用，還需要建構成邏輯量子位元。</p> <p>第四，量子電腦的下一個里程碑，是要實現有用的運算任務，來達到真正具價值的量子霸權階段，目前科學家還在尋找短期內能實現的量子電腦實際應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3A）對於量子電腦的正確想像_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963A%EF%BC%89%E5%B0%8D%E6%96%BC%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6%E7%9A%84%E6%AD%A3%E7%A2%BA%E6%83%B3%E5%83%8F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963B%EF%BC%89%E5%B0%8D%E6%96%BC%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6%E7%9A%84%E6%AD%A3%E7%A2%BA%E6%83%B3%E5%83%8F_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></p> <blockquote><p>量子電腦在計算特定問題上有優勢，它可以做什麼用？將量子電腦用於化學模擬研究，是一個應用面，例如可應用在農業領域中，改進化學肥料製造工藝。例如用於「固氮反應」的化學模擬，有機會改變現在高耗能的哈伯法制氨法，透過模擬細菌在常溫常壓下的固氮反應，以瞭解其原理，盼有助於改進哈伯法的能源損耗。</p> </blockquote> <h3><strong>看好化學模擬的應用面，但量子破密帶來的風險也令人憂心</strong></h3> <p>隨著量子電腦未來發展要具實用性，短期內可以帶來何種應用？鐘楷閔簡單舉出兩個潛在應用面向。</p> <p>第一個，是在化學模擬方面的優勢。</p> <p>以「固氮反應」為例，這是指製造肥料所需要的化學反應步驟，目前工業界催化固氮反應的關鍵是以哈伯法制氨，這個方法帶來不錯的產量，但缺點是需要在高溫高壓下進行，因此，耗用相當多的能量，甚至全球總能源耗損有3%是用於肥料生產。</p> <p>量子電腦之所以有機會在化學模擬帶來幫助，是因為除了哈伯法制氨，科學家們還知道另一個做法，是細菌本身就有固氮反應的能力，可在常溫常壓下進行制氨，但目前的超級電腦無法有效模擬其固氮反應，而在微軟科學家的計算中，中等規模的量子電腦將能破解其奧秘。</p> <p>第二個，是在數學難題快速計算方面的優勢。</p> <p>以質因數分解為例，這並不像兩數相乘、乘法公式那樣簡單，而是反過來將一個整數質數，拆解成兩個相乘的質數。</p> <p>事實上，過去我們並未學過質因數分解的相關公式，而不能快速解題，而非對稱密碼系統之所以有保護，其實也多仰賴「因數分解」等數學難題的困難性。超大整數的質因數分解，即便現在超級電腦的運算能力，也無法在短時間完成破解。</p> <p>但在1994年，數學家Peter Shor提出了可解質因數分解的量子演算法，該演算法稱之為Shor's Algorithm，讓電腦能在合理時間內完成破解，只是早年量子電腦仍在發展，還不構成威脅。</p> <p>但隨著量子電腦的發展，目前估計，以RSA 2048標準來看，可以被6000個邏輯量子位元的大型量子電腦破解，也因此，近年我們看到美國NIST舉行後量子密碼標準化競賽，就是希望及早因應未來將面對的問題，將現在安全、未來卻不夠安全的RSA、ECC等非對稱加密演算法替換掉。</p> <p>基本上，這裡只是舉出量子電腦可應用發揮的兩個例子，還有關切的應用領域與場景，但至少讓我們可以簡單瞭解它的能力。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%B0%8D%E6%96%BC%E9%87%8F%E5%AD%90%E9%9B%BB%E8%85%A6%E7%9A%84%E6%AD%A3%E7%A2%BA%E6%83%B3%E5%83%8F_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90IBM%E3%80%81%E9%90%98%E6%A5%B7%E9%96%94.jpg" style="width: 600px;" /></h3> <blockquote><p>現階段的量子電腦其實還非常小，根據IBM公布的量子電腦開發藍圖，如今才127個量子位元，只能進行特定且無用的運算任務，但預估每年會以2到3倍速度成長，比古典電腦摩爾定律還快。（圖片來源／IBM、鐘楷閔）</p> </blockquote> <h3><strong>邏輯量子位元才是關鍵，一旦搞混很容易誤解量子電腦的能力</strong></h3> <p>雖然當今的量子電腦運算力還非常小，不過，其研發速度與面臨的跳戰也備受各界關注。</p> <p>以IBM近年公布的量子電腦開發藍圖為例，鐘楷閔指出，量子位元將以每年以2到3倍成長，在2019年到2021年時，量子位元數量已從27個，成長至65個、127個，估計2022年將增為433個，2023年將增為1121個。</p> <p>另一家量子運算新創企業IonQ，雖然進展較慢，在2021年的量子位元為22個，但預估2024年後，也是每年以1.5到4倍來成長。</p> <p>值得關注的是，除了量子位元，邏輯量子位元更是重要，因為這更是理解量子電腦能力的關鍵。目前邏輯量子位元還無法實現，由於一般科普可能省略這樣的細節，容易讓外界誤解其運算能力。</p> <p>鐘楷閔指出，實際上，量子位元很容易受環境影響，這使得操作量子位元的錯誤率高，因此，需要將多個量子位元組成邏輯量子位元，並搭配量子錯誤更正碼的機制，來建構一個可持續運算的邏輯量子位元。</p> <p>根據量子計算的閾值定理，當量子邏輯閘的錯誤率小於約0.001%，我們就可使用約1000個量子位元，來實現1個邏輯量子位元。因此，有時我們看到一些研究報告列出的預估Qubits，其實指的是邏輯量子位元，而這也意味著，需要更多實際量子位元來實現，以上例來說也就是要乘上1000倍，才是真正所需的量子位元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-07_174537.jpg" style="width: 600px;" /></p> <blockquote><p>在美國國家科學院院刊上，多名微軟科學家曾在2017年發表一項研究，曾計算出固氮反應需要的量子電腦規模，鐘楷閔表示，根據他們計算出的結果，細菌的固氮反應可在中等規模的量子電腦中被模擬，同時他也特別強調一件事，圖中表格內所列出的Qubits，指的是「邏輯量子位元」，因此需要更多實際量子位元來實現。（圖片來源：<a href="https://www.pnas.org/doi/10.1073/pnas.1619152114">擷取自PNAS「Elucidating reaction mechanisms on quantum computers」研究報告</a>）</p> </blockquote> </div></div></div>
2022/3/8 16:58作者羅正漢https://www.ithome.com.tw/tech/149757
不只微軟，Google也有意買下資安業者Mandiant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月《彭博社》（Bloomberg）才報導，<a href="https://www.ithome.com.tw/news/149274" target="_blank">微軟正在考慮買下資安業者Mandiant</a>，本周一（3/7<a href="https://www.theinformation.com/articles/google-in-talks-to-buy-mandiant-a-4-5-billion-cybersecurity-firm" target="_blank">）《The Information》則說</a>，Google也已向Mandiant出價，成為微軟的競爭對手。</p> <p>Mandiant成立於2004年，專長在於協助客戶強化與自動化安全回應團隊，它在2013年以10億美元出售給資安業者FireEye，而FireEye去年6月將FireEye的產品及品牌，以12億美元出售給私募股權公司Symphony Technology Group（STG），並獨留Mandiant業務，亦把公司名稱及股票代號更名為Mandiant與MNDT。</p> <p>在傳出微軟有意收購的當天，Mandiant股價上漲了17.86%，以17.75美元作收，而Google打算加入爭奪Mandiant戰局的消息，也將Mandiant股價拉抬了16.05%，收盤價為22.49美元，也讓它成為美股近來未受俄烏之戰波及的異數。</p> </div></div></div>
2022/3/8 17:02作者陳曉莉https://www.ithome.com.tw/news/149758
Coinbase封鎖逾2.5萬個俄羅斯帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.coinbase.com/using-crypto-tech-to-promote-sanctions-compliance-8a17b1dabd68" target="_blank">美國加密貨幣交易平臺Coinbase周一（3/7）指出</a>，已封鎖逾2.5萬個從事非法活動的俄羅斯個人與實體帳戶，強調將會努力遵守各國政府所祭出的經濟制裁措施。</p> <p>Coinbase法務長Paul Grewal表示，制裁在促進國家安全與遏制非法侵略上扮演著重要的角色，雖然它是個重大的干預行為，但政府最有能力決定如何實施制裁，而Coinbase也將完全支持這些政府的決定；該平臺一向遵守各國政府所祭出的經濟制裁措施，而且加密貨幣的公開、可追蹤與不可變更等特性，將更容易執行制裁政策。</p> <p>從Grewal的發言來看，Coinbase企圖擺脫加密貨幣為洗錢最佳管道的名聲，宣稱藉由傳統管道的洗錢規模更甚加密貨幣，同時彰顯出基於數位技術的加密貨幣是個更容易辨識非法行為的資產。</p> <p>舉例來說，Coinbase打造了一個複雜的加密貨幣分析程序，可用來辨識高風險的行為，研究新興威脅，以及衍生出新的緩解措施，這個程序甚至得以辨識出受制裁的個人在Coinbase以外的帳戶。在2020年時，美國制裁了一名俄羅斯人，還列出3個區塊鏈帳戶，但Coinbase利用該程序辨識了與該受制裁個人有關的逾1,200個帳戶。</p> <p>在俄烏戰爭開打之後，Coinbase也用了同樣的程序追蹤遭美國制裁的帳戶，並與美國政府分享，而這次Coinbase所封鎖的逾2.5萬個與俄羅斯有關的帳戶中，許多都是源自於此。不過，Grewal強調，當中大多數被封鎖的帳戶都是在俄羅斯入侵之前就被列為Coinbase黑名單的，在入侵之後，並沒有看到大量的逃避制裁行為。</p> </div></div></div>
2022/3/8 15:21作者陳曉莉https://www.ithome.com.tw/news/149752
英特爾自駕車子公司Mobileye提出上市申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intc.com/news-events/press-releases/detail/1530/intel-announces-that-mobileye-has-submitted-s-1-draft" target="_blank">英特爾於周一（3/7）宣布</a>，已透過秘密形式向美國證券交易委員會（SEC）提交了旗下自駕車子公司Mobileye的首次公開發行股票（IPO）申請書。</p> <p>這意謂的Mobileye的IPO申請書內容仍為保密狀態，且英特爾也尚未決定所要發行Mobileye的股數或價格。</p> <p>英特爾是在2017年3月以153億美元的價格買下位於以色列的Mobileye，Mobileye屬於汽車機器學習與圖資開發商，主要開發汽車先進駕駛輔助（ADAS）系統所需的電腦視覺、機器學習、資料分析與在地化等技術。</p> <p><a href="https://www.intc.com/news-events/press-releases/detail/1522/intel-reports-fourth-quarter-and-full-year-2021-financial" target="_blank">根據英特爾2021財年的年度財報</a>，在790億美元的總營收中，Mobileye營收為13.86億美元，占比只有1.75%；該年的營業利潤為194.6億美元，Mobileye則以4.6億美元占了2.4%。</p> <p>其實英特爾在今年1月公布財報時，便說打算讓Mobileye在今年中於美國上市，只不過實際的上市時間仍得視市場狀況及審核進度而定。</p> </div></div></div>
2022/3/8 13:35作者陳曉莉https://www.ithome.com.tw/news/149751
Akamai揭露借道中間裝置以展開DDoS放大攻擊的真實案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月，一群研究人員發表了<a href="https://geneva.cs.umd.edu/posts/usenix21-weaponizing-censors/" target="_blank">《讓中間裝置成為TCP反射攻擊的武器》（Weaponizing Middleboxes for TCP Reflected Amplification）研究報告</a>，指出諸如防火牆中內容過濾系統等中間裝置，可能會被用來進行TCP反射攻擊，<a href="https://www.akamai.com/blog/security/tcp-middlebox-reflection" target="_blank">而資安業者Akamai今年就看到了許多真實的攻擊案例</a>，而此一新興的分散式服務阻斷攻擊（DDoS）型態最多將可放大75倍的攻擊流量。</p> <p>中間裝置指的是置放於通訊兩端之間的設備，最常見的是防火牆與內容過濾系統，研究人員發現某些中間裝置在執行內容過濾政策時，並未考慮TCP串流狀態，代表這些裝置可回應狀態外的TCP封包，相關的回應包含避免使用者存取被封鎖的內容，進而造成DDoS攻擊，有些裝置的放大能量甚至超越UDP洪水攻擊，估計全球存在著數十萬臺可能遭到濫用的中間裝置。</p> <p>利用中間裝置進行DDoS放大攻擊原本只是理論，但Akamai今年就已看到實際的攻擊行動，受害者遍布金融、旅遊、遊戲、媒體到網路代管等產業。</p> <p>Akamai指出，駭客可以偽裝成受害者的IP，傳送包含遭封鎖之HTTP請求標題的各種TCP封包，中間裝置收到這些封包之後便會產生回應，在其中一個攻擊案例中，駭客只傳送了一個33位元酬載的封包，就觸發了2,156位元的回應，放大率為65倍。</p> <p>過去駭客要執行體積型的TCP DDoS攻擊必須先存取大量的機器與頻寬，但借道中間裝置卻只需要很小的攻擊力道，就能獲得數十倍的攻擊成效，降低了攻擊門檻。</p> <p>目前Akamai所觀察到的中間裝置DDoS放大攻擊的案例並不多，攻擊力道也不大，不過，最早利用該技術的巔峰攻擊流量只有50Mbps，而最近一次的攻擊流量便已成長到11Gbps，顯示駭客正在逐步測試與擴大攻擊能量。</p> <p>研究人員則於報告中警告，防禦中間裝置攻擊並不容易，由於中間裝置可接受假冒的位址，使得駭客得以冒充任何位於中間裝置之後的IP位址展開攻擊，若受害者規模不大，可能只有少數IP受到影響，但若受害者是個國家的監控系統，那麼該國境內的任何IP都有可能遭到此類的DDoS反射攻擊。</p> </div></div></div>
2022/3/8 12:34作者陳曉莉https://www.ithome.com.tw/news/149749
強化DPU、HPC產品線，Nvidia收購軟體定義儲存技術廠商Excelero
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2022/03/07/excelero-storage-software/" target="_blank">GPU大廠Nvidia昨（7）日宣布收購</a>以色列的軟體定義區塊儲存（block storage）技術業者Excelero，以強化高效能運算（HPC）、雲端及儲存專用產品線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0308-Nvidia%20acquire%20excelero-600.jpg" style="width: 420px;" /></p> <p><span style="color:#696969;">圖片來源／Nvidia</span></p> <p>這項收購讓Nvidia取得Excelero開發的儲域網路（storage-area network，SAN）的區塊儲存技術，長期而言，其技術將整合到Nvidia HPC叢集軟體堆疊，及DPU上的DOCA軟體框架，以支援資料中心內人工智慧、大量數據分析等需要高效能的運算任務。</p> <p>創立於2014年的Excelero開發的NVMesh是一種分散式區塊儲存方案，支援各種檔案系統，可將分散於公、私雲上的NVMe SSD磁碟的虛擬陣列，當成區塊儲存來管理，讓Web應用程式得以快速存取本地中心、公、私雲端上的熱資料，也強調集中管理及部署彈性。Excelero的方案以支援Kubernetes容器管理及高傳輸率著稱，也<a href="https://www.hpcwire.com/2021/04/28/excelero-brings-its-nvmesh-storage-to-azure-public-cloud/" target="_blank">支援微軟Azure、AWS及Google Cloud Platform等雲端平</a>臺。</p> <p>而Nividia 2019年買下的Mellanox也曾投資Excelero。Mellanox和Excelero並合作RDMA技術整合，以加速InfiniBand協定的磁碟資料傳輸。</p> <p>隨著這項收購，Excelero研發團隊包括共同創辧人、以及HPC、儲存及網路技術工程人員也將加入Nvidia。Nvidia表示將繼續支援Excelero的合約。雙方未公布收購金額。</p> </div></div></div>
2022/3/8 12:54作者林妍溱https://www.ithome.com.tw/news/149750
傳俄羅斯計畫本周封鎖全國網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯可能計畫從本周五（3/11）起將俄羅斯媒體自全球網際網路切斷，所有伺服器和網域都必須轉到俄羅斯.ru網域，但俄國政府否認此事。</p> <p><a href="http://pic.twitter.com/wOCdRqOJej" target="_blank">一家白俄羅斯媒體NEXTA貼出一份俄國政府命令</a>，顯示俄羅斯政府正積極準備全國封網行動。該公告指出，為防美國的網路攻擊，最晚在3月11日前，所有電信服務網路供應商都應使用俄國伺服器，且網域名中包含外國ID者應加入.ru網域，俄國企業及ISP有5天準備以符合法規。其他規定包括，需移除網站上所有源自外國的Javascript程式碼，俄國主管機關也將蒐集網站詳細的網路基礎架構資料。</p> <p class="rtecenter"><a href="http://pic.twitter.com/wOCdRqOJej" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0308-nexta%20russia%20disconnet%20web.png" style="width: 537px;" /></a></p> <p>俄羅斯方面否認此事。<a href="https://metro.co.uk/2022/03/07/russia-preparing-to-disconnect-from-global-internet-on-march-11-16230918/" target="_blank">媒體引述俄國數位發展部長指出</a>，這項命令只適用於俄國政府網站，且目的是為了防範外部網路攻擊、確保網域不被接管及服務持續，而非資訊鎖國。對於一般民眾，俄國政府會準備多項措施以確保公民獲得充份的俄羅斯資源。</p> <p>不過俄羅斯早就計畫以確保網路主權，防範外國勢力入侵為由，將該國網路與外界切斷。在《數位經濟國家計畫》下，俄國積極打造能在必要時，讓俄國網路獨立於全球體系之外運行的RuNet架構及相關技術，包括自建DNS伺服器以掌控所有境內流量。</p> <p>2019年底俄羅斯通訊主管機關連同當地ISP及網路公司，<a href="https://www.ithome.com.tw/news/135029" target="_blank">針對RuNet就成功測試切斷外部網路連線</a>，宣稱政府和電信業者已經準備好，威脅發生時能有效維護該國網路的完整，確保境內網際網路及整合電信網路的運作無礙。</p> <p>在俄烏戰事持續第2周的同時，俄羅斯本身則遭遇網路攻擊。本周稍早<a href="http://pic.twitter.com/2V8opv7Dg9" target="_blank">激進組織Anonymous就宣稱成功駭入</a>俄羅斯串流媒體Wink、Ive、俄羅斯通訊社衛星以及<a href="http://pic.twitter.com/fCZaYpQjYP" target="_blank">多家國營電視臺</a>，以便在網路及即時頻道播放烏克蘭被攻擊的影片。</p> </div></div></div>
2022/3/8 11:27作者林妍溱https://www.ithome.com.tw/news/149745
俄羅斯擬修法放寬軟體授權，不需原廠同意、不付費也OK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到多國資訊軟、硬體業者暫停營運及服務抵制影響，俄羅斯政府計畫放寬軟體授權法規，允許俄國企業得以獲得營運所需的軟體合法授權。</p> <p><a href="https://www.bleepingcomputer.com/news/government/piracy-ok-russia-to-ease-software-licensing-rules-after-sanctions/" target="_blank">Bleeping Computer報導</a>，俄羅斯正在草擬《俄羅斯聯邦民法典》（Civil Code of Russian Federation）的修正案，允許企業單方面取得資訊軟體的授權，即使未獲得原廠同意。</p> <p>這項修正案是針對俄羅斯民法典1360章。該章規定在國家安全利益前提下，俄國只要即時告知專利持有人，並且能在儘可能付費的情況下，有權未經專利持有人同意使用其發明、新型及工業設計專利。而<a href="http://www.documentcloud.org/documents/21397097-russian-plan" target="_blank">俄羅斯數位轉型部提出的緊急修正案草案</a>，則希望能獲得源自外國公司的授權或其他權利，並且廢除補償付費。</p> <p>這項草案顯然是因應各國軟、硬體公司為了反戰，暫時停止在俄國產品與服務的銷售，對俄國資訊系統帶來的影響。為抵制俄羅斯侵略烏克蘭，包括<a href="https://www.ithome.com.tw/news/149719" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/149670" target="_blank">甲骨文</a>、SAP、IBM、思科以及晶片業者<a href="https://www.ithome.com.tw/news/149603" target="_blank">英特爾</a>、AMD、Nvidia等，相繼決定暫停出貨到俄羅斯。</p> <p>報導指出，這修正案是片面許可俄羅斯企業或政府在未獲得同意且不付費情況下使用西方國家業者的軟、硬體授權，形同某種形式的盜版，但這做法對已經轉為雲端服務的軟體並沒用。</p> <p>另一方面，俄羅斯嚴禁盜版，並經常以使用盜版軟體為名目來封鎖網站，因此這次修法，反而可視作俄羅斯稍微放寬嚴苛的管制。</p> <p><a href="https://metro.co.uk/2022/03/07/russia-preparing-to-disconnect-from-global-internet-on-march-11-16230918/" target="_blank">俄國數位發展部</a>本周駁斥將網路鎖國的報導，並指面對外國杯葛，俄國政府將啟動多項措施，以確保公民獲得充分的俄羅斯資源。</p> </div></div></div>
2022/3/8 11:50作者林妍溱https://www.ithome.com.tw/news/149747
通往多雲架構的快速道路，Azure VMware Solution 的使用者指南
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seminar/screenshot-2022-03-08_10-17-48_opt.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-conf-slogan field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">將既有的VMware工作負載無縫遷移到Microsoft Azure上的最速方案</div></div></div><div class="field field-name-field-conf-date field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">03/24（四）14:00~15:30</div></div></div><div class="field field-name-field-conf-site field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.zerone.com.tw/TrainingDetial/Seminar/E871C2726F302A4C%7C581222C91497B312" target="_blank">立即報名</a></div></div></div><div class="field field-name-field-conf-register field-type-link-field field-label-hidden"><div class="field-items"><div class="field-item even"><a href="https://www.zerone.com.tw/TrainingDetial/Seminar/E871C2726F302A4C%7C581222C91497B312" target="_blank">線上報名</a></div></div></div><div class="field field-name-field-conf-type field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/ithome%E7%A0%94%E8%A8%8E%E6%9C%83">iThome研討會</a></div></div></div><div class="field field-name-field-conf-place field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Online</div></div></div><div class="field field-name-field-conf-summary field-type-text-long field-label-hidden"><div class="field-items"><div class="field-item even">進入後疫情時代，企業不得不加快數位轉型的步伐，來面對因應疫情起伏而瞬息萬變的業務重點，無論是適應遠距工作的新工作模式，或是更加敏捷的引進新興業務，企業組織都在尋找將關鍵基礎設施擴展到雲端的快速又穩健方法。然而，藉由上雲來降低硬體與數據中心的維運成本，卻也隱藏著新舊系統轉移帶來的遷移風險、管理成本增加、營運資源浪費等諸多問題。在多雲架構的趨勢下，企業希望能透過單一工具提供跨雲的無縫管理，從災難復原、資料中心整合、應用程式優化到降低 IT成本，化繁為簡以因應當前嚴峻的市場挑戰。由 Microsoft 設計、建構與支援的Azure VMware Solution（AVS），是經過VMware認證的Azure服務，AVS讓全球的VMware企業用戶能夠輕鬆地將本地的VMware 系統無縫遷移或擴展到 Azure上，服務包括 VMware vSphere、vSAN、NSX、vCenter…等，確保運作其上的工作負載得到多重的安全防護。企業可以使用其所熟悉的 VMware 工具管理日趨複雜的混合雲環境，同時在 Azure架構上持續進行業務創新與數位優化。為了讓VMware的重度使用者更快熟悉AVS這個優質解決方案，Microsoft、VMware與零壹科技預訂於3/24（四）舉行「通往多雲架構的快速道路，Azure VMware Solution的使用者指南」線上研討會，帶您快速進入Azure VMware Solution 的雲端旅程，分享國外知名企業的成功案例，敬請預先報名、屆時上線共襄盛舉。 </div></div></div><div class="field field-name-field-conf-host field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Microsoft x VMware x 零壹科技</div></div></div>
2022/3/8 12:17作者黃博修https://www.ithome.com.tw/seminar/通往多雲架構的快速道路，azure-vmware-solution-的使用者指南
烏克蘭沒有加入北約，但加入了北約的網路防禦中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯出兵入侵烏克蘭的檯面下原因，是不滿烏克蘭企圖加入北大西洋公約組織（North Atlantic Treaty Organisation，NATO），這是一個基於防衛而結盟的國際軍事組織，烏克蘭雖然尚未加入北約，但上周已加入了北約的合作網路防禦卓越中心（Cooperative Cyber Defence Centre of Excellence，CCDCE），得以與北約的會員國共享有關網路防禦的情報。</p> <p><a href="https://ccdcoe.org/news/2022/ukraine-to-be-accepted-as-a-contributing-participant-to-nato-ccdcoe/" target="_blank">CCDCE在3月4日宣布</a>，已接納烏克蘭成為該組織的貢獻參與者，而且沒有任何反對票。</p> <p>CCDCE主任Col Jaak Tarien表示，未來烏克蘭與其它成員國將會交換網路專業知識，烏克蘭將帶來網路領域涉及多個對手的第一手寶貴資訊，以供其它成員進行研究及訓練。</p> <p>自今年1月起，烏克蘭便頻繁地遭到駭客入侵，先是有<a href="https://www.ithome.com.tw/news/148908" target="_blank">數十個政府網站被竄改</a>，接著<a href="https://www.ithome.com.tw/news/149388" target="_blank">該國國防部及官方銀行又遭到大規模的分散式服務阻斷攻擊</a>（DDoS），<a href="https://www.ithome.com.tw/news/149667" target="_blank">2月時針對烏克蘭境內網站發動的網路攻擊次數更暴增10倍</a>，之後連<a href="https://www.ithome.com.tw/news/149578" target="_blank">駭客集團都加入了俄烏兩國之間的戰爭</a>。</p> <p>愛沙尼亞國防部長Kalle Laanet即說，能力與知識全都來自於經驗，而烏克蘭肯定有許多寶貴的經驗能與CCDCE分享。</p> <p>目前CCDCE有27個贊助成員國，它們皆來自北約，也有其它非北約國家以貢獻參與者（Contributing Participants）的身分加入CCDCE，包括奧地利、芬蘭、瑞典、瑞士，以及最新的烏克蘭，這些貢獻參與者並沒有投票權，但可共享網路防禦資訊。</p> </div></div></div>
2022/3/8 08:56作者陳曉莉https://www.ithome.com.tw/news/149737
Mozlilla修補兩個已被開採的Firefox漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-09/#CVE-2022-26485" target="_blank">Mozilla於3月5日修補了兩個已遭開採的安全漏洞</a>，呼籲使用者儘速更新Firefox、Firefox ESR、Firefox for Android、Focus與Thunderbird。</p> <p>這兩個安全漏洞分別為CVE-2022-26485與CVE-2022-26486，都是由中國資安業者奇虎360的沙箱雲團隊（360 ATA）所提報，前者為XSLT參數程序的釋放後使用漏洞，在程序中移除XSLT參數即可開採該漏洞，後者則是WebGPU IPC框架的釋放後使用漏洞，可透過特製的訊息開採，並形成沙箱逃逸。</p> <p>這兩個漏洞都已遭到駭客濫用，並應用在實際攻擊中。</p> <p>Firefox採用自動更新機制，使用者可透過「關於Firefox」檢查是否已為最新版本。</p> </div></div></div>
2022/3/8 09:02作者陳曉莉https://www.ithome.com.tw/news/149738
Windows封裝管理員winget開始支援Arm64裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新的<a href="https://devblogs.microsoft.com/commandline/windows-package-manager-1-2/">Windows封裝管理員（Windows Package Manager，winget）1.2版本</a>，包含不少更新，包括對Arm64架構的支援，以及更好的錯誤處理，同時在本地清單加入新的安全設定。封裝管理員是一個公用程式，讓熟悉Windows終端的用戶，可以方便地利用命令提示字元，管理Windows裝置上的套件。</p> <p>微軟改善Windows封裝管理員在Arm64裝置上的使用體驗，包括Surface Pro X、聯想X13s和三星Galaxy Book Go等。Windows封裝管理員會根據用戶的硬體架構，選擇最佳可用套件，當原生選項無法使用時，便會自動選擇下一個最佳選項，而現在winget能替Arm64裝置選擇最佳的套件，並且無縫地下載、安裝和升級。</p> <p>Windows封裝管理員1.2另一個主要更新，是能夠儲存錯誤代碼訊息列表，官方提到，當有錯誤發生時，過去Windows封裝管理員會丟出10位數字的錯誤代碼，這些代碼代表套件常見的錯誤，像是儲存空間不足或是記憶體不足。</p> <p>不過，用戶通常不想追查錯誤代碼所代表的意思，而現在新的清單，能夠在安裝程式的自定義錯誤代碼，以及Windows封裝管理員可理解的一組通用代碼之間創建連結，也就是說，新版Windows封裝管理員，現在會嘗試提供錯誤代碼背後的詳細資訊，而不需要用戶自己去查詢。</p> <p>另外，微軟還基於安全考量，讓用戶選擇在Windows封裝管理員中啟用或是停用本地清單，現在用戶可以測試從本地來源安裝套件，而這是微軟對用戶將套件，提交到Windows套件管理器社群應用程式儲存庫之前的要求。官方表示，他們建議用戶應在Windows沙盒環境，而非主要桌面上執行該項操作</p> <p>微軟已經正式發布Windows封裝管理員1.2，該新版程式會跟著Windows 10和Windows 11的應用程式安裝程式，自動更新至微軟商店中。</p> </div></div></div>
2022/3/8 09:04作者李建興https://www.ithome.com.tw/news/149734
Google雲端文字轉語音API支援自定義語音，讓AI人聲不死板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其文字轉人聲（Text-to-Speech，TTS）API推出自定義語音功能，該新功能讓用戶可以使用自己的錄音，訓練自定義語音模型，以創造出獨特的語音體驗。官方提到，對於想要建立品牌形象的企業而言，使用獨特的聲音，有助於在互動式語音應用中，建立具差異化的用戶體驗。</p> <p>自定義語音讓用戶只需要提交錄音，就可以直接在TTS API中存取新語音，系統提供指南，指引用戶生成高品質自定義TTS語音模型的方法，當模型訓練完成後，用戶只需要在呼叫TTS API時，參照模型ID，就可以開始使用新訓練的語音模型。</p> <p>Google考量負責任的AI治理程序，評估了自定義語音TTS以及合成媒體的道德疑慮，為減輕可能造成的潛在危害，用戶在採用自定義TTS之前，需要經過一個審查流程，確保每個用例皆符合Google的AI原則，並且要求驗證配音員，提供Google雲端指定語句的音訊檔案，以算是取得配音員的同意。</p> <p>目前自定義TTS自定義語音功能正式支援包括英語、西班牙語、法語、義大利語、德語、葡萄牙語和日語，其他語言則還需要再等等。</p> </div></div></div>
2022/3/8 09:09作者李建興https://www.ithome.com.tw/news/149735
三星證實被駭客竊走Galaxy裝置原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對<a href="https://www.ithome.com.tw/news/149725" target="_blank">上周駭客組織Lapsus$宣稱取得三星</a>大量裝置、安全技術程式碼等資料，南韓電子巨人三星周一證實，該公司旗艦機種Galaxy手機原始碼遭竊。</p> <p>Lapsus$上周五（3/4）於其Telegram頻道公告手中握有三星的內部機密資料，包括硬體安全模組、加密或驗證的原始碼，所有近期三星裝置的bootloader程式碼、驗證三星服務帳號的程式碼、生物辨識解鎖的演算法、以及高通（Qualcomm）的原始碼等，駭客隨後也公開了近190GB的資料壓縮檔，已有近400人分享了這批資料。</p> <p><a href="https://www.cnbc.com/2022/03/07/samsung-hackers-breached-company-data-source-code-for-galaxy-devices.html" target="_blank">三星周一對媒體證實</a>，該公司最近發現一起和特定內部資料有關的資料外洩事件，經過初步調查顯示，本次外洩和某些和Galaxy裝置運作的原始碼有關，但不包含消費者或員工的個人資訊。</p> <p>雖然證實資料外洩，但三星並未點明肇禍者。三星並表示這起事件預期不會對公司業務或客戶有任何影響。</p> <p>Lapsus$上周也宣稱攻擊另一家大廠Nvidia，且取得Nvidia硬體電路圖、驅動程式以及公司員工帳密資訊等。這家駭客以公布員工電子郵件和NLTM驗證資料為威脅，要求Nvidia釋出解鎖算力的韌體，並開源各平臺GPU的驅動程式。<a href="https://www.ithome.com.tw/news/149731" target="_blank">Lapsus$周末果真公布</a>了7.1萬名Nvidia員工的電子郵件及NTLM驗證雜湊值，也揚言出售限制GPU算力LHR技術。</p> <p>三星是否被勒索、或是要求多少代價則不得而知。媒體推測駭客可能也是勒索三星得不到回應，因而逕自公布資料。</p> </div></div></div>
2022/3/8 09:18作者林妍溱https://www.ithome.com.tw/news/149739
合勤投控以駭客為師，將資安轉化成企業競爭優勢
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於從事企業資安工作的工作者而言，網路駭客應該是企業資安從業人員痛恨的對象。不過，對於合勤投資控股公司資安長游政卿而言，「以駭客為師」是他從事資安工作多年以來的工作準則。他說：「最強大的駭客，教會我如何打敗中等駭客。」</p> <p>他進一步解釋，某種程度上，駭客是各種新型攻擊威脅的領先者，面對這樣強大的威脅，游政卿認為，只有正面、直球對決，將最強大的駭客當做老師，破解並分析這些強大駭客所使用的攻擊手法，進一步內化成資安工作者的對策和作為，才能夠累積足夠的資安防護技能，以確保企業資產的安全。</p> <p><span style="font-size:28px;"><strong>明白資安對企業帶來的痛，才會更重視資安</strong></span></p> <p>游政卿於2007年任職合勤科技資訊服務處協理一職，負責合勤科技的各種IT應用服務的推動，直到2010年，該公司成立合勤投資控股後，因為對各種IT服務採用集中管理方式，便將資訊服務處設在合勤投控之下，他也成為合勤投控資訊服務處協理。</p> <p>合勤是臺灣知名的網通設備業者，兼具網通產品的設計、生產製造、銷售和品牌，加上也是臺灣國防安全產業供應鏈業者之一，相較某些品牌產品代工的高科技業者而言，合勤很早就意識到：「資安已經是該公司重要的競爭力。」</p> <p>游政卿表示，早在2007年他任職合勤科技不久時，便曾有刑事局人員到公司找他，手上拿著從破獲中繼站（命令與控制伺服器）所發現的資料，內容包含合勤科技全集團的網域帳號和密碼。</p> <p>回憶當時，游政卿坦言，看到刑警將外洩的公司網域和帳密資料拿到眼前，那股震驚和惶恐的心情，迄今仍歷歷在目；因為這件事牽涉甚廣，當時也立即回報給創辦人兼董事長朱順一。</p> <p>因為資安事件的層級和業務運作需求完全不一樣，更涉及對公司更重要的供應鏈管理及營運決策，所以，在這件事情發生過後，董事長便決定，包括集團資安及所有的資安應變處理，都先由資訊服務處回報給董事長，並固定在董事會做報告。</p> <p><span style="font-size:28px;"><strong>資安不是IT的策略目標，卻會影響IT正常運作</strong></span></p> <p>游政卿從上任之初便和資安結下不解之緣，但即便資安很重要，他最主要的任務，還是肩負全集團各種資訊服務的效率和穩定。他說，在資訊服務處工作的這十幾年來，每天都必須要思考如何不斷提高網路彈性、強化維運效率，並且要做到根據業務需求，調整各種相關的資訊系統，「快速」、「彈性」和「穩定」都是資訊服務處最重要的策略目標，但「資訊安全」並不是。</p> <p>雖然資訊安全不是重要的策略目標，但事實上，每天的網路活動都可以看到各種奇怪的行為，舉凡資料不正常流動、權限不正常使用，或是特定服務不正常存取等，這些其實都是每日常態。</p> <p>游政卿表示，以往在資訊服務部工作的時候，必須聚焦IT，事實上，各種資安事件卻是不定期影響IT服務的彈性、效率和穩定。他當時便深刻體會到：身為IT人，如果要做好IT，反而更應該主動了解各種網路相關異常，並將資安視為IT服務穩定的重要關鍵。</p> <p>因為重視資安，加上資安在合勤內部是由董事長親自督導，是由上而下的一條鞭通報及應變處理等，所以，資安在合勤內部其實是一門顯學。游政卿說，董事長對於資安的一貫態度則是：毋恃敵之不來、恃吾有以待之。畢竟，期待駭客不攻擊，是不切實際的想法，更應該務實了解駭客的攻擊手法，並且能夠找到可以對應的階段性紓解方式。</p> <p>整個集團對於資安都有一定的重視和在意程度，不過，剛開始只是先從IT部門找懂得防火牆、懂網路的人成立資安小組；直到2013年，才真正成立專責的資安部門，並有獨立的資安專責人員。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300%20%E6%B8%B8%E6%94%BF%E5%8D%BF_%E5%90%88%E5%8B%A4%E7%A7%91%E6%8A%80_%E8%B3%87%E5%AE%89%E9%95%B7_20220218_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 400px;" /></p> <p><span style="color:#696969;">攝影／洪政偉<br /><strong>做好資安除了資安技術能力外，更重要的是要懂得公司業務，才能夠展現資安對企業營運帶來的價值。── 合勤投控資安長游政卿</strong></span></p> <p><span style="font-size:28px;"><strong>化危機為轉機，產品資安成為企業新競爭優勢</strong></span></p> <p>資安在合勤內部，一直是上位位階的工作項目，公司從上到下都很重視資安。但是，資安要如何展現其對公司營運的價值，一直是游政卿念茲在茲的思考重點，而影響全球的Mirai傀儡網路，在某一次就直接衝擊到合勤的產品線，甚至對合勤營運帶來重大衝擊。</p> <p>時間就發生在2016年11月28日，德國電信是合勤科技的重要客戶，當時，德國電信就遇到一次由Mirai傀儡網路造成的大範圍網路故障。在這一波網路故障中，德國電信2千萬個使用固定網路的用戶中，有大約90萬個路由器發生故障（約4.5%），而這些路由器就是合勤科技的產品。</p> <p>游政卿表示，當年德國電信採購合勤科技的路由器發生故障，不僅讓合勤科技必須要為此投入大量的資源進行漏洞修補，也要支付德國電信一大筆罰款。</p> <p>他坦言，這起事件也讓董事長開始思考：「不應該把要發給員工的獎金，變成是支付給客戶的罰款。」</p> <p>因此，合勤科技為了蓄積更大的資安量能，也為了讓該公司推出各種產品的時候，一旦遇到爆發資安事件時，該公司具備足夠的資安量能可以即時因應，便決定在2017年4月，正式成立PSIRT（產品資安事件處理小組）團隊。</p> <p>他表示，成立PSIRT團隊，不只是單純做好事後的漏洞修補而已，最主要的目的就是保護客戶和公司的信譽，更重要的是，做到把產品設計初期，就把產品的資安漏洞補起來，落實Security By Design（產品安全設計）。他說：「可以把資安在產品設計初期就落實，往往會比事後做漏洞修補還來得省事。」</p> <p>合勤科技雖然因為Mirai傀儡網路的橫行，造成德國電信使用合勤科技網路路由器客戶的損害，並遭到德國電信罰款，但他指出，該公司直球對決，成立PSIRT團隊也帶來實際效益。</p> <p>合勤在2018年名列德國電信的四大優秀供應商，這代表他們最終獲得客戶的信任，並對公司帶來實際的營收獲利，更讓資安成為與同業相比的競爭優勢。</p> <p><strong><span style="font-size:28px;">正式設立資安長，職掌囊括資訊安全和產品安全</span></strong></p> <p>合勤科技在成立PSIRT團隊後，更是將資安變成該公司的競爭優勢。不過，合勤科技直到2019年9月30日，才正式任命游政卿擔任合勤投控資安長一職，並且直屬董事長朱順一。</p> <p>游政卿笑說，做資安的人都必須要有一定程度的使命感，才能把資安做好！他說，正式接任資安長這天，也是他人生最重大的轉捩點，因為，這讓他可以實現他對資安的使命。</p> <p>在其他高科技製造業還不時興指派資安長的時候，合勤科技便設立資安長一職，游政卿解釋，主要是董事長認為，公司內部雖然重視資安，也成立PSIRT團隊對應產品安全，但是，資安在企業內部的組織和角色、責任等，都還沒有做到真正的名實相符，於是，才決定建構相關的角色和職務分工，讓職務可以真正扮演期待的角色。</p> <p>不過，合勤的資安長的職掌範圍，囊括資訊安全和產品安全，游政卿說：「畢竟，合勤是網通設備公司，有許多物聯網（IoT）裝置成為駭客幫凶，當該公司產品行銷全球之際，產品安全就應該納入企業整體安全的一個環節。」</p> <p>再加上，資安治理已經是重要的企業治理環節，設立資安長角色，整合產品安全和資訊安全，隸屬董事長之下，和其他集團法務、稽核、智財權和安全部門是平行單位，他表示，企業對資安給予足夠的授權，也讓資安長可以扮演更稱職的角色和責任義務。</p> <p>接任資安長半個月後，游政卿的第一要務就是讓「資安事件通報系統」上線，資料庫囊括弱點掃描、網路組態設定等資訊，讓通報的資安事件可以成為企業內部資安知識管理平臺（KM）的重要資產。</p> <p>以2021年合勤科技資安事件通報系統的統計來看，該年度通報了997起資安事件，以及45個產品安全漏洞修補。</p> <p>其中，除了常見的惡意程式軟體通報、弱點掃描通報，還有網路資安風險協定、加密強度、加密金鑰強度的網路資安風險通報，至於造成許多網路服務大廠出包的管理與設定的弱點通報等，也都包含在內。畢竟，他說：「很多資安事件的發生是肇因於工程師太粗心，許多管理設定、配置錯誤造成的。」</p> <p><strong><span style="font-size:28px;">資安長不僅要懂技術，更要懂業務</span></strong></p> <p>一路從資訊長當到資安長，關於兩種職務的箇中差異，游政卿最有體會。</p> <p>他表示，資安長和資訊長的差異，主要是對資安技術的理解和掌握有落差，資安長通常要了解威脅情報、安全技術和一些資安治理的策略等等，資訊長的心力，一般不會放在這些項目上。</p> <p>但游政卿認為，資安長雖然必須掌握相關的資安技術和趨勢，但這些對資安長而言，其實都還是「次要」的技能，他說：「要當一位稱職的資安長，最重要的，還必須要了解公司的業務。」</p> <p>他表示，效率和安全是天平的兩邊，資安長的重點是要掌握平衡之道，一味地傾向效率，一旦出現資安的風險，可能對企業造成營運或商譽的損壞；但若是一味傾向安全，公司營運可能因此缺乏效率，不僅缺乏競爭力，連帶也會造成公司營運的狀況不佳。游政卿說：「找到效率與安全的甜蜜點，資安長責無旁貸。」</p> <p>另外，他也分享自身的管理經驗，合勤的資安長要管資訊安全和產品安全，不同部門之間如何調和鼎鼐，就必須培養聆聽溝通的軟實力，而在傾聽需求、滿足需求之外，也必須學會怎麼用對方聽得懂的話，講給對方聽，其中，學會觀察肢體語言也是重點。</p> <p>再者，團隊領導能力也是重要的軟實力之一。他認為，要打造有向心力的資安團隊，就必須要做好向上溝通、平行部門協作，以及向下管理，這樣才能讓這個資安團隊有共同的目標願景，願意一起努力打拼。</p> <p>由於游政卿兼管資安與產品的安全，該公司在2021年5月1日正式新增產品安全管理部，負責PSIRT及所有產品安全事宜，仍由資安長擔任直屬主管；更在同年6月，成為MITRE通用漏洞揭露計畫的CVE Numbering Authority（CNA）成員，成為臺灣第四家針對自家產品漏洞發布漏洞編號的企業。</p> <p>此外，合勤更在每一款產品上市時，提供自家產品的資安檢測報告，藉此和同業區隔，而這也成為該公司落實資安成為企業營運競爭優勢的最佳實例。</p> <p>游政卿表示，資訊安全是一種紀律，更是一種風險管理的動態過程，他身為集團資安長，除了要做到以駭客為師，更希望能將資安落實在公司的產品和每一個作業流程上。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CISO小檔案 </span></strong></p> <p><strong>合勤投資控股公司資安長　游政卿</strong></p> <p>學經歷：大同大學應用數學系畢業，最早是在工研院電通所工作，後來到業界工作，陸續任職於旺宏電子、虹光精密和陽明光學等公司，於2007年擔任合勤科技資訊服務處協理一職；2010年成立合勤投資控股後，資訊服務處採集中化管理方式，設在合勤投控之下；2019年9月30日正式接任合勤投控資安長一職迄今</p> <p> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p>公司名稱：合勤投資控股</p> <p>成立時間：2010年3月23日</p> <p>主要業務：合勤集團以合勤投控為母公司，子公司合勤科技聚焦於合勤集團品牌發展，子公司盟創科技則專注於產品與技術創新</p> <p>總部：臺灣新竹</p> <p>執行長：朱順一</p> <p>年營收：226億元</p> <p>員工人數：4,400人</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資安部門檔案 </span></strong></p> <p>資安部門名稱：資安部和產品安全管理部</p> <p>資安最高主管：資安長游政卿</p> <p>資安長直屬主管：執行長朱順一</p> <p>資安部門人數：20人，4成資深員工、6成新手員工</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></p> <p> 2007年：刑事局人員提供公司網域外洩帳密</p> <p>2013年：成立集團專責資訊安全服務團隊</p> <p>2015年：取得ISO 27001資安管理認證</p> <p>2017年4月：正式成立PSIRT（產品資安事件處理小組）團隊</p> <p>2018年：成立黑貓資訊，游政卿擔任總經理，負責合勤集團的資安業務</p> <p>2019年9月30日：指派游政卿接任集團資安長</p> <p>2019年10月16日：「資安事件通報系統」上線</p> <p>2021年5月1日：新增產品安全管理部，負責PSIRT以及所有產品安全事宜</p> <p>2021年6月：成為MITRE通用漏洞揭露計畫的CVE Numbering Authority（CNA）成員</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1067-ciso-962.jpg" width="960" height="420" alt="" title="合勤投控資安長游政卿　（攝影／洪政偉）" /></div></div></div>
2022/3/8 07:00作者黃彥棻https://www.ithome.com.tw/people/149699
韌性是弱者生存的關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底，俄羅斯以多種名義入侵烏克蘭，引發世界各國群起撻伐，紛紛對俄羅斯祭出多種抵制與經濟制裁手段，既然俄羅斯強烈不希望烏克蘭加入北大西洋公約組織，烏克蘭決定在2月28日向歐盟遞交加入申請，在3月1日歐洲議會通過決議，支持歐盟將烏克蘭列入候選國。烏克蘭舉國人民的奮力抵抗，他們所蒙受的動盪苦難，也令全世界動容，鼓舞許多人透過許多種形式支持他們，希望能幫助這個國家維持主權與領土的完整。</p> <p>類似的狀況似乎也讓人想起2019年的香港反送中運動，最近在臺灣上映的紀錄片《時代革命》呈現了當時街頭抗爭與警方武力鎮壓場景，這也使得全世界重新思考主權獨立的重要性，以及民主自由的價值。</p> <p>無論是社會運動或大規模軍事化戰爭，我常想到過去看過一部日本漫畫《五星物語》，身為故事主人翁之一的天照帝，曾以平民身分前往戰區尋找科學家的路上，看到民不聊生慘狀，他忿忿不平對乞求食物的難民表示：「為什麼會變成這個樣子？還不是你們做國民的沒有好好監督政府！」，「選舉是幹什麼的？引起了戰爭之後，也是理所當然的！」，「真的關心孩子的話，早該避免戰爭的！」這論調聽來很刺耳，似乎是在檢討被入侵者，但發動入侵者有更大責任，因為所有人都難以承受窮兵黷武的後果。</p> <p>就如同老子所言：「兵者不祥之器，非君子之器，不得已而用之，恬淡為上。勝而不美，而美之者是樂殺人。夫樂殺人者，則不可以得志於天下矣。」</p> <p>看到烏克蘭如今面臨的處境，也是臺灣多年以來所擔憂的狀況，然而，在這段期間，我們看到大部分民眾都很團結，對於保家衛國都有強烈共識，反觀臺灣內部，仍然有不少人對於和平抱持不切實際的想像，政府想要強化國防與表達主權獨立的態度，卻經常被一些人掣肘，認為這會激怒虎視眈眈的鄰國，但事實證明，唯有積極捍衛主權與國土，持久抵抗，才能護住生機，爭取更多時間和空間，讓其他有心幫助的各方勢力得以與我們站在同一戰線，避免敵人無理侵犯。國與國之間如此，人與人之間也是如此。</p> <p>縱使背後有強大的靠山，我們還是必須設法自立自強，在經濟、民主等層面發展出自己的一條路，既然天下沒有不散的宴席，父母不可能永遠保護子女，面對強敵當前，我們不只是需認清現實的勢力落差，更重要的是，不能就此灰心喪志，而是要設法找到更多有利於自己的位置與機會。</p> <p>弱者是否能扭轉局面？囿於現實生活經驗與個人知識，思來想去我還是只能舉金庸小說《笑傲江湖》為例，期盼這場入侵行動最終能夠失敗，讓好戰者鎩羽而歸。</p> <p>在這個故事當中，主角身處的門派瀕臨被其他門派併吞的威脅，因為發生一些狀況導致他被自己的師父逐出門派，後來他去幫助其他更弱勢的門派，甚至被委託接任掌門，雖然情況似乎越來越危急，但也因為他迭有奇遇、累積了正邪兩派的人脈，而開創新的勢力，甚至連武林中的其他兩大門派都與其結盟，到最後原本要併吞他們的大門派、他出身的門派，陸續因為各種內鬨而瓦解，而整個中原武林的敵對勢力與主角的關係，也經歷數次轉變，從死敵到部分合作，最終仍演變到翻臉對立，但因為掌權強人突然病逝，江湖上針鋒相對的局勢最終趨於緩和。</p> <p>事實上，天無絕人之路，主角迭遇多次險境，但也坦然面對。有幾句對白可呈現局勢之凶險，例如，正邪兩道均不能容他，於是他感概：「正派中人以我為敵，左道之士人人要想殺我，……多半難以活過今日，且看是誰取了我的性命。」，在故事即將進入尾聲之際，面對江湖最大敵對勢力，身為掌門人的主角悍然表示所率部眾都是女流之輩，卻也無所畏懼，對方要殺，仍會誓死周旋。</p> <p><a href="https://www.ithome.com.tw/people/149699" target="_blank">正如同本期週刊的CISO TALK所言，毋恃敵之不來、恃吾有以待之</a>。期待駭客／野心份子／敵國不攻擊，是不切實際的想法，更應該務實了解對方的攻擊手法，並且能夠找到可以對應的階段性紓解方式，在此同時，我們也要團結自身、設法具備足夠的韌性，不讓敵對者能夠迅捷地輕取，持續提升對方的攻擊成本與為此支付的代價，才能爭取更多轉圜的機會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BF%84%E7%83%8F%E6%88%B0%E7%88%AD">俄烏戰爭</a></div><div class="field-item odd"><a href="/tags/ciso">CISO</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%95%B7">資安長</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div></div></div>
2022/3/8 07:00作者李宗翰https://www.ithome.com.tw/voice/149716
掌握Haskell型態類別
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想認真地學習Haskell，從中直接體會純函數式語言的種種概念，最難的也許不是不可變動、代數資料型態等的掌握，而是搞清楚它的型態（type）吧！</p> <p>面對Haskell時，無論是誰應該都會發現，我們對型態的考量往往不夠周詳，因為在Haskell要能編譯成功本身就是件難事，因此有「編譯過了！交貨！（It Compiles! Ship it!）」的笑話。</p> <p><span style="font-size:28px;"><strong>哪類值？哪類型態？</strong></span></p> <p>例如，Haskell中寫下的10會是什麼型態呢？Int？不一定！有時試著檢驗10這類型態，會發現編譯器推論出來的型態是Num？Int具體而言，是data關鍵字定義的型態，10、20等整數值，屬於Int這一類的值（category of values）；Num具體而言，是class定義的型態類別（typeclass），Int、Float等型態，都是Num這一類型態（class of types），型態類別是用來定義一組行為，因此可以將型態類別理解為「行為」的分類。</p> <p>由於category、class往往會譯為「類」、「類別」等，再加上支援物件導向的程式語言，又往往有class關鍵字，許多人面對Haskell的data、class就被混淆了。</p> <p>category與class其實是數學上的概念區別，前者是代表一組值（a collection of values），後者代表一組集合（a collection of sets）。例如，Int代表一組整數值，Num代表一組型態（像是Int、Float）。簡單來說，Haskell看待型態的方式有兩種，一類（category）的值具有特定「結構」，另一類（class）的型態具有特定「行為」的型態。</p> <p>Haskell編譯器可根據程式的前後文，推斷出值或運算式的合適型態，在可行的情況下，會試著推斷出值需要有什麼行為，找出對應的型態類別作為值的型態，以便取得運算時在型態上的彈性。如果想自行標註型態，也建議優先考量型態類別。</p> <p><span style="font-size:28px;"><strong>Haskell型態類別 vs. Java介面？</strong></span></p> <p>在Haskell中定義型態類別時，主要是透過class定義型態類別名稱，以及一組函式簽署（包含函式名稱、參數型態、傳回型態等），代數型態可以透過instance實作指定的型態類別。這感覺很像Java中使用interface定義介面，透過implements實作指定的介面，確實也有不少開發者，會以這種方式來過渡Java的經驗，以理解Haskell的型態類別。</p> <p>雖然這不乏是個過渡語言經驗的聯想方式，但要小心的是，Java是支援物件導向的語言，interface是用來實現次型態多型（subtype polymorphism），編譯時期只檢查傳入的物件是否實作指定介面，執行時期則是視物件實際型態，動態呼叫對應的方法。</p> <p>然而，Haskell沒有物件的觀念，沒有次型態多型，例如，若某函式要求傳入的引數，必須具有Eq行為，編譯時期就會依值的型態，選定對應的instance實作，這聽來像是重載（overload）？是的！型態類別所實現的其實是特定多型（ad hoc polymorphism），讓同一個函式，可以因不同型態而有各異的實作（<a href="https://www.ithome.com.tw/voice/93359" target="_blank">可參考先前專欄〈思考Haskell的多型〉</a>）。</p> <p>因為代數資料型態只定義值的結構，怎麼利用結構，則是取得值的開發者各自實現（<a href="https://www.ithome.com.tw/voice/147830" target="_blank">參考〈模式比對與多型〉</a>）。如果發現多個型態都實現了類似的一組函式，我們可以將這組抽取出來、定義為型態類別F，然後，既有的函式就直接重構為型態類別F的實作。</p> <p>接下來，在後續的開發中，若發現有多個型態都基於型態類別F，實現了類似的另一組函式，此時，我們可以將這組函式抽取出來定義為型態類別A，由於這些函式都要有F的行為，因此，新的型態類別必須以=>約束具有F的行為。</p> <p>這過程就與interface有根本性不同了，因為=>並不是繼承而是約束。如果有某個型態在某地方實現了F，你可以在任何地方實現A，然而如果是interface，你必須在同一個類別實作F與A。</p> <p><span style="font-size:28px;"><strong>別從抽象理解抽象</strong></span></p> <p>Haskell中有些簡單的型態類別，像是規範相等性的Eq、順序行為的Ord、列舉行為的Enum等，它們的行為容易理解，相關函式的宣告也不複雜，常作為型態類別入門介紹的對象；然而，有些高階的型態類別常讓許多開發者卡住，像是Functor、Applicative、Monad、Foldable等。</p> <p>這一方面是因為Haskell的函式，天生就是柯里化函式（curried function），連續的單參數型態宣告，再加上實際型態未定的型態參數（type variable），容易在視覺上妨礙理解。</p> <p>另一方面，則與方才談到從F到A的過程有關。因為流程的抽象會經由抽取再抽取，從而構成看似高深莫測的型態類別，所以，有不少初學者認為這些行為難以理解。就某些程度而言，這是因為未先觀察具體實作，試圖直接從抽象去理解行為，才會造成這種誤會。</p> <p>舉例來說，以下是Functor型態類別的定義，其中f、a、b都是型態參數，如果沒看過未抽取抽象前的多個函式，應該很難理解fmap是什麼吧！</p> <pre> class Functor f where fmap :: (a -> b) -> f a -> f b</pre><p>然而，初學Haskell，一定會談到map函式吧！map (+10) [1,2,3]會是[11,12,13]，map可以指定a->b的函式，將元素型態為a的List，對應至另一個元素型態為b的List，也就是[a]->[b]，如果自己定義map函式，你的map函式宣告會是(a -> b) -> [a] -> [b]。</p> <p>如果要你定義一個maybeMap函式，可以指定a->b的函式，將Just 10對應至Just "10"呢？最後你實現的maybeMap函式，函式宣告就會是(a -> b) -> Maybe a -> Maybe b。</p> <p>嗯？你可能發現有兩個類似的函式宣告，差別在於一個使用了[]（也就是List型態），一個使用了Maybe。這表示型態可以參數化，最後抽取出來的就是(a -> b) -> f a -> f b，其中的f，可以是[]或Maybe等型態。</p> <p>也就是說，如果你曾試著自行實作，將f a映射至f b，那麼，就有可能是在實現Functor的行為，這時就可以考慮讓你的f型態作為Functor的實例。</p> <p>因此，別再試著從f (a -> b) -> f a -> f b去理解Applicative，或者從m a -> (a -> m b) -> m b等去理解Monad，而應該試著去觀察重複、抽取重複，知道那些抽象行為定義前，是為了因應什麼樣的情境！</p> <p><span style="font-size:28px;"><strong>map/filter/reduce</strong></span></p> <p>無論是命令式語言中要談函數式，或純函數式語言，List結構的map/filter/reduce經常被拿來作為入門的範例，如方才談到的，map實現的就是Functor的行為，reduce呢？reduce行為在Haskell常命名為fold，但是，可以折疊運算的對象並不限於List。例如，你也可以折疊一棵樹，若節點都是數字，你可以用折疊的概念來取得各節點數字的加總。</p> <p>不難想像的，Haskell就有Foldable型態類別，而List是Foldable的實例之一，那麼filter呢？可以過濾運算的對象，不限於List，例如，也可以過濾樹的節點，而Haskell有些套件，確實也提供了Filterable型態類別！</p> <p>記得！通常data定義了特定結構屬於哪一類（category），class則是定義特定行為屬於哪一類（class），別一味地從interface去理解型態類別，重點在於觀察重複、抽取行為，而不是那些神祕的函式型態宣告！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/haskell">Haskell</a></div><div class="field-item even"><a href="/tags/%E5%9E%8B%E6%85%8B%E9%A1%9E%E5%88%A5">型態類別</a></div><div class="field-item odd"><a href="/tags/%E5%9E%8B%E6%85%8B">型態</a></div><div class="field-item even"><a href="/tags/type">type</a></div></div></div>
2022/3/8 07:00作者林信良https://www.ithome.com.tw/voice/149717
環球晶說明日本子公司遭電腦病毒攻擊，受影響機臺正逐步恢復生產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3月3日，國內上櫃矽晶圓大廠環球晶圓（簡稱環球晶）發布重大訊息，針對國內媒體報導該公司部分日本廠區遭駭停工一事提出說明。根據環球晶的公告指出，這起資安事件其實發生於旗下日本子公司，他們的子公司是在2月28日，偵測到部分廠區的伺服器遭受病毒攻擊，當下已及時因應，並表示該公司有良好的資訊備份，目前各項系統與受影響機臺正逐步恢復運作與生產，且公司機密資料與營運皆不受影響。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/images/（主圖）環球晶說明日本子公司遭駭.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%92%B0%E7%90%83%E6%99%B6%E8%AA%AA%E6%98%8E%E6%97%A5%E6%9C%AC%E5%AD%90%E5%85%AC%E5%8F%B8%E9%81%AD%E9%A7%AD.jpg" style="width: 500px;" /></a></p> <blockquote><p>上櫃半導體業環球晶在3月3日於臺灣證交所發布說明媒體報導的重大訊息，當中澄清事件發生於日本子公司，並說明部分廠區的伺服器遭受病毒攻擊。</p> </blockquote> <p>值得關注的是，由於公告並未說明哪一家子公司，我們查詢中美矽晶環球晶圓集團旗下共43家公司，與日本相關子公司包括GlobalWafers Japan.、MEMC Japan。經查，GlobalWafers Japan（GWJ）在3月2日於官方網站發布資安事件公告，說明他們在2月28日已經確認，該公司伺服器遭非法存取，因此立即關閉內部網路與系統，防止災害擴大，而這也導致生產作業與出貨作業受影響；至於公司網站，使用的是外部伺服器，因此不受影響。</p> <p>根據GlobalWafers Japan的說明，他們已連繫當地經濟產業省（METI）與警方，並與外部專業團隊合作因應。關於初步調查結果，該公司指出，已確認影響程度，也沒有發現有任何客戶相關資訊因未經授權存取而被洩露，後續並將宣布恢復生產與發貨的消息。</p> <p>巧合的是，上周日本汽車大廠豐田（Toyota）宣布停工，也是在2月28日，起因是當地零件供應商Kojima Industries疑似遭網路攻擊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%92%B0%E7%90%83%E6%99%B6%E6%97%A5%E6%9C%AC%E5%AD%90%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E5%85%AC%E5%91%8A.jpg" style="width: 600px;" /></p> <blockquote><p>GlobalWafers Japan在3月2日於官方網站發布資安事件公告，公司網站首頁即可看到這項最新消息。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E7%92%B0%E7%90%83%E6%99%B6%E6%97%A5%E6%9C%AC%E5%AD%90%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E5%85%AC%E5%91%8A.jpg" style="width: 600px;" /></p> <blockquote><p>環球晶日本子公司<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">GlobalWafers Japan</span>代表取締役社長神足勝昭在3月2日發布資安事件公告中，說明在2月28日遭受網路攻擊。</p> </blockquote> </div></div></div>
2022/3/7 21:13作者羅正漢https://www.ithome.com.tw/news/149736
【資安日報】2022年3月7日，駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客經常會利用時事做為網路釣魚的題材，過往這2年最常見的是武漢肺炎，而這幾天全球關注的俄烏戰爭也常被運用。但有別於前幾天不少是利用民眾對烏克蘭難民的同情，今天散布木馬程式Agent Tesla、Remcos的駭客，則是以調查廠商對於供應鏈受到影響的因應措施，或是詢問是否願意延遲出貨為由，對於企業下手。</p> <p>而今天也有多則新聞與高科技製造業有關，日前宣稱對Nvidia發動攻擊的勒索軟體駭客Lapsus$，今天洩露手機與晶片大廠三星的資料。在國內的高科技產業裡，上櫃矽晶圓大廠環球晶圓也證實，旗下的日本子公司遭到網路攻擊。</p> <p>新興的DDoS勒索攻擊手法也相當值得留意，駭客鎖定歐美上市公司下手，並以破壞受害企業的股價做為要脅。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><span style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/hotforsecurity/bitdefender-labs-sees-increased-malicious-and-scam-activity-exploiting-the-war-in-ukraine"><span style="color: rgb(0, 0, 0);"><strong>駭客利用俄烏戰爭為誘餌發動釣魚郵件攻擊，散布Agent Tesla、Remcos木馬程式</strong></span></a></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/malspam-campaign-agent-tesla_supply-chain-ukraine.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/malspam-campaign-agent-tesla_supply-chain-ukraine.jpg" style="width: 300px; float: right;" /></a>俄烏戰爭開打的時事，成為駭客網路釣魚攻擊的誘餌，而現在有攻擊者鎖定企業下手。防毒業者Bitdefender指出，他們自3月1日觀察到2起網路釣魚攻擊行動，其共通點是駭客宣稱調查在俄烏戰爭的情勢中，相關供應商可能會造成的影響，引誘收信人來開啟附件檔案，藉此散布Agent Tesla、Remcos等RAT木馬程式。</p> <p>兩種釣魚信件都是廣泛對於全球多個國家發送。而散布Agent Tesla的信件，攻擊來源主要是荷蘭和匈牙利，而散布Remcos的則是來自德國和美國。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-leak-190gb-of-alleged-samsung-data-source-code/"><span style="color: rgb(0, 0, 0);">勒索軟體Lapsus$公布三星行動裝置程式碼</span></a></strong></h3> <p>勒索軟體Lapsus$聲稱攻擊了Nvidia，且放話要求該公司解除GPU的算力解限機制LHR，開放驅動程式的原始碼後，又有IT廠商疑似遇害。根據資安新聞網站Bleeping Computer、圖形運算新聞網站VideoCardz的報導，勒索軟體Lapsus$公布三星伺服器的190 GB機密資料，包含了在TrustZone每個受信任程式（Trusted Applet）的原始碼、生物辨識的演算法、三星裝置開機程式的原始碼、高通提供的原始碼等，這些資料多半與該廠牌手機的各式晶片有關，可能對該公司與其合作夥伴造成衝擊。</p> <p>值得留意的是，駭客並未向三星索討贖金，洩露相關資料的目的有待觀察。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/malware-now-using-nvidias-stolen-code-signing-certificates/"><span style="color: rgb(0, 0, 0);">惡意軟體使用Nivdia遭竊簽章，疑來自之前攻擊事故外流資料</span></a></strong></span></p> <p>在勒索軟體Lapsus$宣稱攻擊了Nvidia，並洩露部分竊得的資料後，有駭客已經冒用該公司的簽章來簽署惡意軟體。根據資安新聞網站Bleeping Computer的報導，Bill Demirkapi、Kevin Beaumont、Will Dormann等多名資安研究員發現，駭客近期大肆運用2個Nvidia的簽章，來簽署Cobalt Strike的Beacon、Minikatz、後門程式、RAT木馬程式等各式惡意軟體，而簽章的來源就是來自Lapsus$公布的資料。研究人員指出，這些簽章雖然已經過期，但駭客很可能以簽署Windows驅動程式的方式加以濫用。</p> <p><span style="font-size: 22px;"><strong><a href="https://www.sas-globalwafers.co.jp/jpn/whatsnew/%E4%B8%8D%E6%AD%A3%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%AB%E4%BC%B4%E3%81%86%E3%82%B7%E3%82%B9%E3%83%86%E3%83%A0%E5%81%9C%E6%AD%A2%E3%81%AB%E3%81%A4%E3%81%84%E3%81%A6_20220302_3.pdf"><span style="color: rgb(0, 0, 0);">環球晶日本子公司遭電腦病毒攻擊，受影響機臺正逐步恢復生產</span></a></strong></span></p> <p>國內上櫃矽晶圓大廠環球晶圓旗下的子公司GlobalWafers Japan，於3月2日發布公告，指出他們在2月28日偵測到未經授權的伺服器存取，並隨即關閉內部網路系統防止災害擴大，導致生產與出貨受到影響，並亦預計於3月3日恢復。而此事在國內<a href="https://www.cna.com.tw/news/afe/202203030337.aspx">中央社</a>、<a href="https://money.udn.com/money/story/5612/6137827">經濟日報</a>等多家媒體報導後，環球晶亦於3月3日於股市公開資訊站發布重大訊息證實確有此事，並表示該公司有良好的資訊備份，目前各項系統與受影響機臺正逐步恢復運作與生產，且公司機密資料與營運皆不受影響。</p> <p><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/03/03/sharkbot-a-new-generation-android-banking-trojan-being-distributed-on-google-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬SharkBot透過Google Play市集散布</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/SharktBot-in-Google-Play.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SharktBot-in-Google-Play.png" style="width: 300px; float: right;" /></a>透過Google Play市集來散布惡意軟體的現象，曾一度因市集業者加強管控而略有減少，但最近駭客似乎找到了規避檢測的方法，再度透過上架的App來散布惡意軟體。例如，資安業者NCC Group發現，安卓木馬SharkBot透過在Google Play市集上架的4款防毒軟體、手機清理程式，吸引受害者下載，一旦這些軟體被安裝到手機上，就會以自動回覆（Auto-Reply）的功能，從C2中繼站取得SharkBot，並植入受害手機。</p> <p>研究人員指出，這款木馬程式的特別之處，在於具備了自動轉帳系統（ATS）機制，能讓駭客與受害者少許互動之下，將銀行帳戶的存款轉走，而這次駭客也將ATS機制延伸運用於突破雙因素驗證（2FA）防護。</p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.imperva.com/blog/imperva-mitigates-ransom-ddos-attack-measuring-2-5-million-requests-per-second/"><span style="color: rgb(0, 0, 0);">駭客透過殭屍網路Mēris發動DDoS攻擊，並運用URL留下勒索訊息，要脅不付錢就破壞受害企業股價</span></a></strong></span></p> <p>駭客藉由DDoS攻擊癱瘓網站，並進行勒索，如今出現了新的手法。資安業者Imperva最近揭露由殭屍網路Mēris發動的DDoS攻擊，其攻擊的頻率最高達到每秒發出250萬次請求（Mrps），但比較值得留意的是，駭客將勒索訊息挾帶於URL裡面，甚至要脅將破壞受害企業的股價，來脅迫以比特幣支付贖金。</p> <p>研究人員指出，駭客的攻擊目標都是上市公司，多半位於美國與歐洲，一旦出現DDoS攻擊的事故，有可能重挫股價。而對於攻擊者的身分，研究人員看到攻擊者自稱是勒索軟體組織REvil，但不確定是否是該組織所為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DDoS-Attack-March_with-stock-price.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DDoS-Attack-March_with-stock-price.png" style="width: 590px;" /></a></p> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.akamai.com/blog/security/tcp-middlebox-reflection"><span style="color: rgb(0, 0, 0);">防火牆、網頁內容過濾系統等資安設備，已淪為DDoS攻擊工具</span></a></strong></span></p> <p>過往駭客發動DDoS攻擊，多半是利用較為缺乏資安防護能力的家用網路設備，如路由器、IP Camera，來組成殭屍網路大軍，但如今，資安設備也淪為駭客放大攻擊流量的工具。資安業者Akamai於3月1日指出，他們的客戶遭到DDoS攻擊，駭客濫用易受攻擊的防火牆設備，或是網頁內容過濾系統，搭配名為TCP Middlebox Reflection的攻擊手法，來反射並放大TCP攻擊流量，目標是銀行、旅遊、電玩、媒體、網站代管等業者。</p> <p>研究人員指出，可被用做「Middlebox」的設備相當廣泛，不只許多企業採用的網頁內容過濾系統，甚至是中國的網路長城（GFW）也是可被利用的對象。雖然此次攻擊出現的攻擊流量並不算大，僅有11 Gbps，或是每秒請求150萬個封包（1.5 Mpps），但研究人員指出，這種手法可讓攻擊者一次最多將流量放大75倍，而可能會吸引越來越多駭客採用。</p> <p id="nfttokentitle"> </p> <h3><strong>【漏洞與修補】</strong></h3> <p id="nfttokentitle"><span style="font-size: 22px;"><strong><a href="https://www.bleepingcomputer.com/news/security/mozilla-firefox-9702-fixes-two-actively-exploited-zero-day-bugs/"><span style="color: rgb(0, 0, 0);">Firefox存在已被利用的2個零時差漏洞</span></a></strong></span></p> <p>又是瀏覽器的零時差漏洞遭到濫用。Mozilla最近針對旗下的瀏覽器產品，修補2項重大漏洞CVE-2022-26485、CVE-2022-26486，這些漏洞都與記憶體釋放的濫用（UAF）有關，且已經被用於攻擊行動。Mozilla發布Firefox 97.0.2（Android版為97.3.0）、Firefox ESR 91.6.1、Focus 97.3.0修補上述漏洞。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/3/7 16:47作者周峻佑https://www.ithome.com.tw/news/149733
HIBP取得逾7.1萬名Nvidia員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門蒐集外洩資料、供使用者查詢自己是否為受害者的Have I Been Pwned（HABP），<a href="https://haveibeenpwned.com/PwnedWebsites#NVIDIA" target="_blank">於上周新增了一筆資料庫</a>，內含71,335名的Nvidia員工憑證，包含電子郵件帳號與雜湊密碼，並直指與Nvidia在2月下旬所發生的駭客事件有關。</p> <p><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5333" target="_blank">Nvidia於3月1日對外證實</a>，該公司於2月23日察覺了影響其IT資源的網路安全事件，儘管立即強化公司的網路安全，聘請網路安全專家，以及通知執法機關，但駭客依然自系統上盜走了Nvidia的員工密碼與某些專有技術資料，且開始於網路上散布。</p> <p>Nvidia似乎不是遭到勒索軟體的攻擊，該公司澄清其環境並未被部署勒索軟體，而且也與俄羅斯及烏克蘭之間發生的衝突無關。</p> <p>此外，根據外電報導，自稱攻擊Nvidia的駭客集團LAPSUS$ 並未向Nvidia提出贖金請求，而是要求Nvidia永遠開源該公司的GPU驅動程式，同時移除其Nvidia 30系列GPU中，削弱以太幣挖礦效能的設計。</p> <p>Nvidia在2021年2月發表了挖礦專用的CMP系列處理器，目的是希望礦工不要與遊戲玩家搶購GPU，更在同年5月限制了GeForce RTX 3080、RTX 3070與RTX 3060 Ti 等3款GPU的挖礦效能。</p> <p>不過，在握有Nvidia的專有技術資料之後，LAPSUS$ 宣稱將對外銷售可繞過該限制的相關技術，叫價100萬美元，還說已有買家想購買Nvidia的原始碼。HABP則已經取得了逾7.1萬名的Nvidia員工資料，顯示這批資料已於網路上流竄，惟Nvidia尚未對外證實該資料庫的真偽。</p> <p>在資安意外發生之後，Nvidia已經要求所有員工變更密碼，還說該意外並不會對該公司的業務或客戶服務造成任何干擾。</p> </div></div></div>
2022/3/7 15:30作者陳曉莉https://www.ithome.com.tw/news/149731
駭客開始利用Nvidia程式碼簽章散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在今年的2月23日遭到駭客入侵，LAPSUS$ 駭客宣稱自Nvidia系統上盜走了1TB的資料，包括驅動程式、韌體或其它技術資料等，除了7.1萬名Nvidia員工資料已在網路上流竄之外，駭客也公布了兩個Nvidia的程式碼簽章憑證，而且很快就遭到惡意程式的濫用，假冒為Nvidia驅動程式以進駐Windows平臺。</p> <p>程式碼簽章憑證是用來簽署驅動程式或執行檔，以讓Windows作業系統或使用者得以驗證檔案的源頭，以及檔案是否曾被竄改，因此，以Nvidia的程式簽章憑證來簽署檔案，系統或使用者就會以為該檔案來自Nvidia而予以放行。</p> <p><a href="https://twitter.com/BillDemirkapi/status/1499437244830175236" target="_blank">資安研究人員Bill Demirkapi在3月4日指出</a>，駭客外洩了兩個Nvidia的程式簽章憑證，雖然這兩個憑證已經過期，但Windows依舊允許這些過期的憑證來簽署驅動程式。</p> <p class="rtecenter"><a href="https://twitter.com/BillDemirkapi/status/1499437244830175236" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-nvidia%20cyber%20leak-600.png" style="width: 598px;" /></a></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/BillDemirkapi/status/1499437244830175236" target="_blank"><span style="color:#696969;">Bill Demirkapi</span></a></p> <p>同一天另一名<a href="https://twitter.com/cyb3rops/status/1499514240008437762" target="_blank">檢測工程師Florian Roth就發現</a>濫用了相關憑證的惡意程式，涵蓋遠端存取木馬Quasar、安全測試工具Mimikatz，或是其它後門程式等。</p> <p class="rtecenter"><a href="http://twitter.com/cyb3rops/status/1499514240008437762" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-nvidia%20cyber%20leak-600-2.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://twitter.com/cyb3rops/status/1499514240008437762" target="_blank"><span style="color:#696969;">Florian Roth</span></a></p> <p><a href="https://twitter.com/dwizzzleMSFT/status/1499524873952972805" target="_blank">負責作業系統安全性的微軟副總裁David Weston則建議</a>，Windows用戶可以變更Windows Defender的應用程式控制政策（WDAC），以求限制或放行特定版本的Nvidia檔案。</p> </div></div></div>
2022/3/7 16:10作者陳曉莉https://www.ithome.com.tw/news/149732
瀏覽器業者發表Interop 2022以推動瀏覽器的相容與互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google、Mozilla、蘋果及微軟等瀏覽器業者，再加上專門推廣網路相容性與正義的Bocoup，以及自由軟體顧問公司Igalia，<a href="https://wpt.fyi/interop-2022" target="_blank">在上周發表了Interop 2022</a>，以替各種瀏覽器打造一致的相容性與互動規格，針對不同的能力開發測試套件，以讓各瀏覽器可根據其測試評分加以改善，最終目的是解決網頁開發者的痛苦。</p> <p>其實上述瀏覽器業者自2019年便開始推動彼此間的相容性，當時是以Mozilla Developer Network（MDN）的開發者需求評估（Developers Needs Assessment，DNA）作為基礎，以釐清開發者的需求並推動瀏覽器的相容與互動，此一評估報告到了2021年衍生出Compat 2021，列出了5個瀏覽器的領域與相容性評估，而今年的Interop 2022除了納入Compat 2021的5項領域外，額外新增了10個領域。</p> <p>Interop 2022的規格與測試除了具備Compat 2021的Aspect Ratio、Flexbox、Grid、Sticky Positioning與Transforms之外，新增了Cascade Layers、Color Spaces and Functions、Containment、Dialog Element、Forms、Scrolling、Subgrid、Typography and Encodings、Viewport Units與Web Compat，在這15個領域中，每個領域占了測試的6%，剩下的10%則分給還在調查與建立的Editing/contentEditable/execCommand、Pointer/Mouse Events及Viewport Measurement等領域。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0307-interop%202022-600-1.png" style="width: 585px;" /></p> <p>根據Interop 2022的測試，最近的Chrome與Microsoft Edge在相容與互動性上已達71%，Firefox則是74%，Safari為73%，它們在不同領域上的相容/互動能力各有擅場，相關的規格與測試結果也可作為改善相容/互動性的參考。</p> <p>Google表示，Interop 2022是為了解決開發者經年累月以來所面臨的痛點，這並非單一瀏覽器業者能夠完成的任務，而是必須藉由所有主要瀏覽器業者的合作，讓網路平臺能夠更有用也更可靠，讓開發者可將大多數的精力用在建置更好的網路經驗，而非解決瀏覽器不一致的問題。</p> </div></div></div>
2022/3/7 14:35作者陳曉莉https://www.ithome.com.tw/news/149729
蘋果4月11日重開辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2022/3/4/22961592/apple-april-11-return-office-corporate-pandemic-tim-cook" target="_blank">The Verge報導</a>，蘋果決定4月11日重啟辦公室讓員工回公司上班，並展開實體與遠距作業的混合辧公模式。</p> <p>根據媒體取得蘋果執行長庫克（Tim Cook）的員工公開信，由於疫情漸息，各地管制放寬，蘋果將從遠距辧公模式改為進公司作業。美國辧公室從4月11日將實驗混合辦公模式。第一階段中，蘋果員工每周進公司1天，第三周起則改為一周進公司2天。從5月23日起，則啟動第三階段，員工周一、二及四進公司，周三和周五「彈性」上班。但實際時程或可依據各地辧公室狀況調整。</p> <p>庫克在信中指出，回公司上班是許多人等待已久的里程碑，可以和同事面對面互動。而對回公司感到不便的員工，公司的作法也提供了適應期。報導指出，蘋果的混合辧公模式也提供一年最長4周的遠距作業選項。</p> <p>此外，繼2月底取消顧客進入美國特定地區Apple Store需戴口罩的強制令外，庫克也指出，由於大部份美國地區確診人數下降，未來幾周Apple Store員工也可自由決定，不放心的人依然可以繼續戴口罩。</p> <p>蘋果是近月繼微軟、Meta、Google之後，重新開放員工回公司上班的科技龍頭。<a href="https://www.ithome.com.tw/news/149688" target="_blank">上周媒體報導</a>Googl可能比蘋果早一周，於4月4日重開美、英及亞太區的辧公室，啟動員工一周進公司3天的混合上班制。</p> </div></div></div>
2022/3/7 12:22作者林妍溱https://www.ithome.com.tw/news/149728