iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 13:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年4月7日，竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Toto…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客使用竊密軟體偷取電腦帳密的情況，過往大多事故是廣泛搜括各式帳密，但最近出現針對臉書、推特等社群網站帳號的竊密軟體FFDroider，而且還會驗證完帳密可用後才回傳給攻擊者。</p> <p>殭屍網路鎖定特定廠牌路由器發動漏洞的現象，也相當常見，但最近殭屍網路Beastmode鎖定Totolink路由器的多個漏洞下手，值得留意的是，駭客利用的重大漏洞，CVSS風險等級都達到了9.8分。</p> <p>3月中旬加密程式庫OpenSSL修補無限迴圈漏洞CVE-2022-0778，繼3月底威聯通公布NAS設備受影響的情況後，最近資安業者Palo Alto Networks也發布相關資安通告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/ffdroider-stealer-targeting-social-media-platform-users"><span style="color: rgb(0, 0, 0);">竊密軟體FFDroider鎖定臉書、推特、Instagram等社群網站帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg" style="width: 300px; float: right;" /></a>駭客透過竊密軟體盜取受害電腦各式帳號資料的情況，不時有事故發生，如今有攻擊者特別針對社群網站的帳號而來。資安業者Zscaler揭露名為FFDroider的惡意程式，駭客透過免費軟體或破解軟體的名義散布，一旦受害者下載，電腦就會同時安裝Telegram和FFDroider。</p> <p>此竊密程式鎖定Chrome、Firefox、Edge、IE的Cookie，進而截取當中的臉書、Instagram、推特、Amazon、eBay等社群網站與電子商務網站的帳號資料，並在該惡意軟體驗證帳密可用後，再回傳給C2中繼站。研究人員呼籲，使用者不要從來路不明的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/totolink-vulnerabilities-beastmode-mirai-campaign"><span style="color: rgb(0, 0, 0);">殭屍網路Beastmode濫用Totolink路由器弱點</span></a></strong></h3> <p>又是殭屍網路病毒鎖定路由器零時差漏洞的事故。資安業者Fortinet在今年2月至3月，觀察到殭屍網路Beastmode（亦稱B3astmode）在一個月內，鎖定了數個CVSS風險層級達到9.8分的重大漏洞，且其中的CVE-2022-26210、CVE-2022-26186，以及CVE-2022-25075至CVE-2022-25084，與多款Totolink路由器有關。Totolink獲報後已提供新版韌體予以修補。</p> <p>研究人員指出，駭客也同時嘗試針對D-Link、華為路由器，TP-Link視訊鏡頭、Netgear ReadyNAS監控設備的舊漏洞下手，這些漏洞的CVSS風險層級也都達到9.8分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150302"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊Panasonic、Konica Minolta等多家大型企業</span></a></strong></h3> <p>自表達聲援俄羅斯後，勒索軟體Conti遭人公開了程式碼，但如今似乎遭到其他人利用，而使得多家知名企業相繼傳出被駭。根據日本新聞網站Jiji報導，Panasonic加拿大分公司遭到Conti攻擊，並外流2.6 GB資料；Konica Minolta則是公告位於東歐、中東、非洲地區（EMEA）的其中1臺伺服器，於3月底遭到未經授權存取。而在歐洲方面的災情，則有英國福特經銷商TrustFord、衛浴設備業者Barwick、荷蘭房屋租賃業者ZAYAZ Housing等傳出遭到Conti毒手。但這些攻擊事故是否全部由勒索軟體駭客Conti所為？還是他人利用已經洩露的原始碼犯案？仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armorblox.com/blog/whatsapp-voicemail-phishing-attack"><span style="color: rgb(0, 0, 0);">駭客利用WhatsApp語音訊息的名義發動釣魚郵件攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg" style="width: 300px; float: right;" /></a>即時通訊軟體WhatsApp近期強化了語音訊息的功能，但駭客也利用相關的留言名義發動網路釣魚攻擊。資安業者Armorblox發現，有人以WhatsApp私人語音訊息的名義，發送釣魚郵件，一旦收信人按下了播放按鈕，就會被引導到惡意登入網站，並要求依照指示允許網站通知，來驗證收信人不是機器人。然而要是收信人照做，駭客就有可能透過廣告服務繞過電腦的使用者帳號控制（UAC），在電腦植入竊密軟體。</p> <p>研究人員指出，駭客透過合法網域寄送郵件，而能夠迴避郵件安全系統的檢查，且電子郵件內容包含了收信人的名字，使得對方可能難以察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150257"><span style="color: rgb(0, 0, 0);">數個NFT專案的Discord伺服器遭駭，並用於散播詐騙訊息</span></a></strong></h3> <p>即時通訊軟體Discord不只電玩玩家經常使用，近期大紅大紫的非同質化代幣（NFT），也有不少專案採用這個軟體發布投資訊息，但如今也有駭客盯上這類社群，發動網路詐騙。無聊猿猴遊艇俱樂部（BAYC）、Nyoki Club、Shamanz等NFT專案近日相繼發布公告，他們的Discord伺服器遭到駭客入侵，而被用來向社群使用者散布詐騙訊息，要用戶支付以太幣來鑄造新的NFT。不過，目前Discord尚未發布相關公告，有多少用戶受害也不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://security.paloaltonetworks.com/CVE-2022-0778"><span style="color: rgb(0, 0, 0);">Palo Alto Networks公布旗下產品受到OpenSSL漏洞影響情形</span></a></strong></h3> <p>繼威聯通後，又有IT廠商公布旗下產品受OpenSSL漏洞CVE-2022-0778的影響。資安業者Palo Alto Networks近日發布資安通告，指出特定版本的防火牆作業系統PAN-OS、GlobalProtect應用程式、Cortex XDR代理程式等，都採用含有CVE-2022-0778的OpenSSL程式庫，並預計於4月18日推出PAN-OS的修補程式。</p> <p>該公司也指出，此漏洞對於受影響產品的CVSS風險層級為7.5分，但對於GlobalProtect應用程式、Cortex XDR代理程式的部分，因駭客需透過中間人攻擊（MitM）才能觸發，CVSS風險降低至中等程度的5.9分。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-botnet-controlled-russian-federation"><span style="color: rgb(0, 0, 0);">針對遭到殭屍網路Cyclops Blink占據的WatchGuard、華碩設備，美國動手清理</span></a></strong></h3> <p>殭屍網路Cyclops Blink接連感染<a href="https://www.ithome.com.tw/news/149551">WatchGuard防火牆</a>、<a href="https://www.ithome.com.tw/news/149978">華碩部分型號路由器</a>，引起美、英當局高度重視，如今他們有了進一步的動作。美國司法部（DOJ）宣布，他們在3月18日取得法院初步授權後，與美國聯邦調查局（FBI）聯手，清除受害裝置上的Cyclops Blink殭屍網路病毒，並封鎖存取C2中繼伺服器的連接埠。</p> <p>美國司法部表示，雖然WatchGuard和華碩相繼發布資安通告與修補程式，但到了3月中旬，有許多裝置仍未得到修補而受到此殭屍網路病毒的控制，他們決定透過自動化程式主動出手，並強調沒有收集受害者的網路環境資料。雖然相關的殭屍網路病毒已經清除，但美國司法部提出警告，用戶還是要依循WatchGuard或華碩提出的緩解措施，才能避免俄羅斯駭客Sandworm再度入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html"><span style="color: rgb(0, 0, 0);">德國接管最大俄羅斯暗網市集Hydra的基礎設施</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png" style="width: 300px; float: right;" /></a>德國打擊犯罪中央辦公室（ZIT）與德國聯邦刑警（BKA）於4月5日宣布，他們自去年8月與美國執法機構聯手，調查俄羅斯大型暗網市集Hydra後，現在已經接管了該市集的伺服器基礎設施，並扣押價值2,300萬歐元的比特幣。美國財政部亦宣布，對於Hydra與加密貨幣交易平臺Garantex展開制裁。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/7 16:12作者周峻佑https://www.ithome.com.tw/news/150308
Google發表跨平臺資料儲存引擎BigLake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周舉行的雲端資料高峰會（Cloud Data Summit）上，<a href="https://cloud.google.com/blog/products/data-analytics/unifying-data-lakes-and-data-warehouses-across-clouds-with-biglake" target="_blank">發表新的統一儲存引擎BigLake</a>，它能夠橫跨不同的雲端與格式，提供一致的粒度存取控制，簡化使用者存取資料倉儲與資料湖的流程。</p> <p>Google指出，組織的資料日趨複雜，它們可能以多種格式散置在不同的環境或孤島上，而讓風險與成本日益增加，特別是需要轉移資料的時候，而BigLake則讓組織得以統一資料倉儲與資料湖，使團隊可以在不管底層的儲存系統或格式下分析資料，還能消除複製或遷移資料的需求。</p> <p>事實上，BigLake是將Google BigQuery的能力延伸到多雲儲存中，包括AWS與Azure，且藉由開放格式來確保一個統一卻又彈性的資料湖架構。</p> <p>BigLake支援諸如Parquet與ORC等開放格式，而且提供粒度安全控制；得以保留單一的資料備份，在不同的分析引擎中採用一致的存取控制，包括Google Cloud或開源的Spark、Presto、Trino與Tensorflow等；並透過與Google Cloud Dataplex的無縫整合進行統一管理。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BigLake_architecture.max-2800x2800.jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=2800,height=1808'); return false;"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BigLake_architecture.max-2800x2800.jpg" style="width: 500px;" /></a></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>具體而言，BigQuery用戶可透過建立BigLake表格，將任務延伸到於Google Cloud Storage、Amazon S3或Azure Data Lake Storage Gen2上的資料庫，資料管理員可利用政策標籤於BigLake表格上就表格或行、列配置安全功能。</p> <p>當管理人員建立BigLake表格之後，使用者即可像使用其它BigQuery表格一樣進行查詢，而且每一名使用者只會看到被授權存取的部分。</p> </div></div></div>
2022/4/7 16:33作者陳曉莉https://www.ithome.com.tw/news/150309
Google即將於11月起隱藏Google Play上的老舊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/04/expanding-plays-target-level-api-requirements-to-strengthen-user-security.html" target="_blank">Google本周擴大了Google Play對Android程式目標API等級的要求</a>，指出自今年11月起，既有的程式若未跟上最近兩年Android版本所支援的API等級，新的Android用戶就無法發現或安裝這些程式。</p> <p>Google解釋，每一個新的Android版本都提供了安全及效能上的改善，同時強化使用者的Android整體經驗，同時每一個Android程式也都必須在清單檔案（Manifest files）中配置目標API等級（或目標SDK版本），以描述該程式如何在不同的Android版本上運作。而每個Android版本都有搭配的目標API等級，例如Android 11搭配API Level 30，Android 12搭配API Level 31，或是Android 13搭配API Level 32。</p> <p>Google指出，購買最新Android裝置或是那些更新到最新Android版本的使用者，通常期望Android平臺能夠發揮所具備的最新安全及隱私保護，因此，該公司決定擴大對於目標API等級的要求，以免讓使用者安裝到缺乏最新Android平臺保障的舊有程式。</p> <p class="rtecenter"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjmVs8d9B8OuVgmv8r5nWtYsEyWLI33sgCl3WIm8MtFBczuyGAbL3-KfJuN763n0PaPx15QD51HZ-DLmqHKO94E8ghHCOpnUKdcG9VKp5gqwbS9WPoNJ5dF85wCkarGlr-NIMhFsGxR5OyVJfk1MiGILmO0K5mLXm2z2w3tkFL6iD4Go9N7eZDgoFly/s1600/image2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-google%20play%20security-600-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>因此，從今年的11月1日起，只要程式的目標API等級沒有跟上最近兩年的Android版本，新的Android裝置用戶就無法再發現或安裝這些程式。但若是曾經安裝這些程式的用戶，便能在該程式仍舊支援的裝置上持續發現、重新安裝或使用相關程式。</p> <p>外界分析Google此舉，是為了避免某些程式繞過Android平臺愈來愈嚴格的隱私與安全保護，例如Snapchat曾經持續使用舊的API等級，以逃避新Android平臺對權限的要求。</p> </div></div></div>
2022/4/7 14:22作者陳曉莉https://www.ithome.com.tw/news/150306
AMD的GPU驅動程式會自動將你的CPU超頻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來有一些AMD使用者抱怨，他們所使用的CPU被莫名其妙地超頻，而AMD則向<a href="https://www.tomshardware.com/news/amd-confirms-its-gpu-drivers-are-overclocking-cpus-without-asking" target="_blank">《Tom's Hardware》</a>證實，是該公司的GPU驅動程式Adrenalin存在著臭蟲，進而變更了Ryzen CPU的超頻設定。</p> <p>AMD在去年9月更新Radeon GPU及Ryzen CPU以改善它們對Windows 11的支援時，<a href="https://www.amd.com/zh-hant/technologies/ryzen-master" target="_blank">於Radeon驅動程式Adrenalin中新增了一個Ryzen Master模組</a>，目的是為了簡化Radeon及Ryzen的超頻程序，包括同時啟用GPU及CPU的超頻，將可強化AMD系統的運算能力。</p> <p>然而，有些AMD用戶發現，當他們在3月17日將Adrenalin升級到22.3.1版之後，他們的Ryzen CPU開始會自動超頻，率先調查這個問題的是<a href="https://www.igorslab.de/en/can-traces-of-ryzen-master-contain-alter-graphics-card-driver-secret-bios-settings-of-cpu/" target="_blank">德國媒體《 Igor's Lab》</a>。</p> <p>超頻可讓處理器以更高的時脈運作，使用者通常是在處理諸如影片編輯或執行遊戲等需要資源密集的任務時，才會進行超頻，不過，超頻會使用更多的電力，也可能會讓電腦過熱，而且AMD並不鼓勵用戶超頻，還說任何因超頻而造成系統損壞或資料遺失的案例，並不在保固範圍內。</p> <p>AMD不僅向《Tom's Hardware》證實該臭蟲的存在，也於本周釋出<a href="https://www.amd.com/en/support/kb/release-notes/rn-rad-win-22-4-1" target="_blank">Adrenalin 22.4.1</a>中將超頻事件列為已知問題（Known Issues），指出Ryzen CPU的超頻設定可能在重設或導入Radeon效能調整選項的檔案時遭到變更。</p> <p>有使用者是以新的效能調整檔案來覆蓋舊的來解決自動超頻的問題，也有人直接利用非官方的Radeon Software Slimmer軟體，將Ryzen Master模組自Adrenalin中移除。</p> </div></div></div>
2022/4/7 13:20作者陳曉莉https://www.ithome.com.tw/news/150305
波音與AWS、微軟及Google簽約，推動IT數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://onfirstup.com/boeing/BNN/articles/new-cloud-partnerships-strengthen-boeing-s-digital-foundation-1" target="_blank">美國航太龍頭波音（Boeing）本周宣布</a>與Amazon Web Services（AWS）、微軟Azure與Google Cloud三家公有雲合作，以推動公司IT環境的數位轉型。</p> <p>波音現有應用主要是架在本地部署的伺服器上，由波音或外部廠商管理。但是許多系統已經老舊，為基礎架構帶來許多問題，增添維護困難，也阻礙開發與部署全公司的數位解決化方案。波音過去也已分別採用三家業者的方案，這次合作則是在現有合作關係的擴大，將為波音的IT雲端化建立單一基礎架構。</p> <p>波音資訊長Susan Doniz指出，IT架構雲端化最大目的之一是加速飛機的設計、開發與測試。在傳統本地部署方案下，開發部門一行程式碼都還沒寫出來之前就得先處理預測需求、採購、維護及付費等過程。透過和雲端業者合作，可讓波音開發人員利用數位孿生（digital twin）技術測試系統或飛機，最後再實地部署，大幅提升開發測試的速度。</p> <p>此外，波音表示，使用雲端方案也可讓波音使用節能系統、縮小資料中心、並透過使用虛擬模擬測試工具減少碳足跡。</p> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/boeing-and-aws-join-forces-transform-aerospace-design-and" target="_blank">AWS</a>指出，波音與該公司的合作下將使用「節能、高效能的基礎架構」，以及包括高效能運算在內的雲端服務。<a href="https://news.microsoft.com/2022/04/06/boeing-and-microsoft-deepen-partnership-in-digital-aviation/" target="_blank">微軟指出</a>，波音將利用其雲端及AI能力推動科技架構及關鍵系統應用的更新。<a href="https://www.prnewswire.com/news-releases/boeing-and-google-cloud-partnership-takes-flight-aims-to-transform-aerospace-industry-301518720.html" target="_blank">Google</a>則說，這家航太龍頭將使用Google Cloud的資料分析，以及AI/機器學習（machine learning）工具。</p> <p>三家公司也將一同角逐美國國防部《聯合作戰人員雲端能力》（Joint Warfighter Cloud Capability，JWCC）的雲端大案。<a href="https://www.defense.gov/News/News-Stories/Article/Article/2984496/joint-warfighting-cloud-capability-award-planned-for-december/" target="_blank">美國國防部</a>上個月宣布這個案子將延至12月結標，總金額最高90億美元，將由3家業者及甲骨文聯合競標不同部份。</p> </div></div></div>
2022/4/7 12:42作者林妍溱https://www.ithome.com.tw/news/150304
OpenAI發表新版文字轉圖像模型DALL-E 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/dall-e-2/" target="_blank">OpenAI本周發表了新版的文字轉圖像模型DALL-E 2</a>，使用者只要給出文字敘述，DALL-E 2系統就能自動生成圖像，比起去年1月發表的第一代版本，DALL-E 2可產生更寫實、更精確，解析度也更高的圖像。</p> <p>DALL-E奠基在具備1,750億個參數GPT-3上，但它僅使用120億個參數，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像。</p> <p>原始版DALL-E得以各種由文字組成的句子來建立合理的圖像，DALL-E 2的精確度改善了71.7%，寫實度改善了88.8%，解析度更是原本的4倍，還可結合概念、屬性及風格，打造出更生動的圖像，例如使用者得以指定系統以安迪.沃荷（Andy Warhol）風格畫出太空人騎在馬背上的圖像，或者是以莫內（Claude Monet）的風格畫出草原上的狐狸。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-OpenAI-DALL-E%202-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／OpenAI</span></p> <p>此外，DALL-E 2還能以文字來編輯既有的圖像，在考量陰影、反射與質地的狀態下新增、移除或置換圖像中的元件；或是以同一張圖像為基準，建立不同風格或編排的版本。</p> <p>OpenAI說明，DALL-E 2學習了圖像與用來描述它們的語言之間的關係，透過擴散程序，從隨機點的一個圖案開始，並在確認圖像的具體部分時，慢慢將該圖案轉變為圖像。</p> <p>現階段OpenAI仍在與特定的使用者研究DALL-E的限制與能力，包括避免被用來建立暴力、仇恨或成人圖像，並打算藉由過濾機制來辨識違反政策的文字或圖像，即使計畫擴大預覽社群，但現有的API並不支援DALL-E 2。</p> </div></div></div>
2022/4/7 11:39作者陳曉莉https://www.ithome.com.tw/news/150301
Conti攻擊多點開花，Panasonic、Konica Minolta、福特等公司遭駭洩露資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Conti 3月遭人公開程式碼後，似乎遭其他人利用。多家知名企業本周相繼傳出被駭及公開資料。</p> <p><a href="https://share.vx-underground.org/" target="_blank">網路論壇本周傳出Panasonic加拿大分公司資料遭Conti攻擊的消息</a>，駭客並公布了該公司的內部檔案及客服郵件擷圖。<a href="https://jen.jiji.com/jc/eng?g=ind&k=2022040600774" target="_blank">日本媒體則報導</a>Conti駭客組織宣稱已取得Panasonic 2.6GB資料。</p> <p>Panasonic尚未證實此事。這家日本電子與家電龍頭<a href="https://www.ithome.com.tw/news/148087" target="_blank">去年也曾傳出</a>證實11月上旬遭人非法駭入網路，攻擊者疑似已存取客戶及公司網路架構資訊。</p> <p><a href="https://twitter.com/cyber_etc/status/1511247389226635264" target="_blank">Konica Minolta則傳出3月底遭駭</a>。這家日本印表機公司<a href="https://www.konicaminolta.com/global-en/newsroom/topics/2022/0404-02-01.html" target="_blank">本周稍早公告</a>，該公司行銷業務位於倫敦的東歐及中東、非洲分公司（Konica Minolta Marketing Services EMEA）於3月底發現一臺伺服器遭非授權存取，該公司當下已關閉部分網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-conti-600-2.jpg" style="width: 500px;" /></p> <p>Konica Minolta表示目前正在進行調查，但初步調查顯示這次事件沒有造成客戶資訊或個資外洩。</p> <p>此外，歐洲方面還接連傳出一家福特歐洲（Ford Europe）旗下的汽車經銷子公司<a href="https://twitter.com/SOSIntel/status/1510941275259817984/photo/1" target="_blank">Ford Retail Group</a>、衛浴設備Barwick及荷蘭房屋租賃業者<a href="https://twitter.com/_bettercyber_/status/1511087841727680512/photo/1" target="_blank">ZAYAZ housing</a>等也遭Conti毒手，並公布部份資料。目前只有F<a href="https://www.trustford.co.uk/" target="_blank">ord Retail Group</a>做出反應，該公司表示目前正在調查內部「系統斷線」問題。</p> <p class="rtecenter"><a href="https://twitter.com/SOSIntel/status/1510941275259817984" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-conti-600.png" style="width: 450px;" /></a></p> <p>至於攻擊這些公司是否全部是Conti所為則不得而知。Conti於烏俄戰爭之初宣稱將站在俄國政府陣線，遭代號Contileaks的烏克蘭籍研究人員於<a href="https://www.ithome.com.tw/news/149666" target="_blank">3月初</a>及<a href="https://www.ithome.com.tw/news/150030" target="_blank">月底</a>兩度公開加、解密金鑰、駭客工具程式碼及管理系統資料等。當時就有媒體推測，一旦工具公開，可能遭其他人再製成其他惡意程式發動攻擊。</p> </div></div></div>
2022/4/7 11:53作者林妍溱https://www.ithome.com.tw/news/150302
Ruby也要支援WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ruby-lang.org/en/news/2022/04/03/ruby-3-2-0-preview1-released/">Ruby 3.2.0第一預覽版</a>已經釋出，官方在這個版本添加許多功能和效能改進，而最值得注意的是，從Ruby開始加入對WebAssembly的支援，以鼓勵開發人員在WebAssembly環境使用CRuby，另外，正規表示式現在加入逾時配置，避免Regexp執行的時間超過預期。</p> <p>程式語言WebAssembly原本的設計目標，是要在網頁瀏覽器中安全且快速的執行程式，後來跨出網頁瀏覽器開始能夠獨立執行，Ruby官方提到，在各種環境高效能地執行程式，不僅是網頁應用程式的需求，也是一般應用程式所需要的。</p> <p>Ruby 3.2透過WASI提供對WebAssembly的支援，WASI是WebAssembly的模組化系統介面，能夠支援WebAssembly跨平臺用例。由於WebAssembly在虛擬機器中執行，沒有系統介面，無法在作業系統上運作，因此Mozilla在2019年推出了WASI，提供了一個標準化介面，使得WebAssembly能夠擴展到更多的平臺上。</p> <p>Ruby加入對WebAssembly的支援，可讓CRuby二進位檔案在網頁瀏覽器、無伺服器邊緣環境，和其他WebAssembly嵌入器上運作。</p> <p>官方提到，由於WASI和WebAssembly仍在發展，而且基於安全理由，本身缺少一些功能，無法實作Ruby的Fiber、異常和垃圾回收等功能，因此CRuby使用JavaScript打包器Asyncify，以二進位檔案轉換技術，在使用者空間控制執行，來彌補缺少的部分。另外，官方也在WASI之上建立了虛擬檔案系統，開發者可以將Ruby應用程式打包成單個.wasm檔案，讓Ruby應用程式發布更加簡單。</p> <p>Ruby 3.2另一個新功能，則是在正規表示式加入逾時功能，由於Regexp比對可能花費意想不到的時間，而惡意攻擊者可能藉此以精心設計的輸入，來對效率低下的正規表示式，發動DoS攻擊，官方提到，透過在Ruby應用程式加入Regexp.timeout逾時設定，將可有效緩解DoS風險。不過Regexp.timeout是一個全域設定，開發者要對特殊Regexp使用不同的逾時配置，則需要進行額外的配置。</p> </div></div></div>
2022/4/7 12:20作者李建興https://www.ithome.com.tw/news/150303
微軟開始預覽採用Ampere Altra Arm處理器的Azure VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/zh-tw/blog/now-in-preview-azure-virtual-machines-with-ampere-altra-armbased-processors/">宣布</a>推出採用Ampere Altra Arm處理器的Azure虛擬機器，新的虛擬機器型號包括通用的Dpsv5，和記憶體最佳化的Epsv5，目標針對需要高效能橫向擴展的工作負載、資料庫、Java應用程式和媒體伺服器等，較基於x86的同等級虛擬機器，提供高出50％的性價比。</p> <p>Dpsv5和Epsv5虛擬機器系列，所使用的Ampere Altra Arm處理器時脈為3.0 GHz，可使用 vCPU多達64個，每個vCPU可配置2 GiB、4 GiB 和 8 GiB記憶體，提供40 Gbps網路，並且擁有本地端SSD儲存可選。</p> <p>當前預覽版的虛擬機器，支援Arm版本的Canonical Ubuntu Linux、CentOS、Windows 11專業版與企業版，即將支援的作業系統還有RHEL、SUSE Linux Enterprise Server、Debian、AlmaLinux和Flatcar。</p> <p>新的Dpsv5虛擬機器可以執行多種Linux企業工作負載，像是網頁伺服器、應用程式伺服器、開源資料庫、.NET應用程式、Java應用程式、遊戲伺服器和媒體伺服器等，同時微軟也推出Dpldsv5虛擬機器系列，每個vCPU擁有2 GiB記憶體，提供不需要大量記憶體的工作負載，經濟高效的虛擬機器。</p> <p>Epsv5虛擬機器則能滿足以Linux為基礎的記憶體密集工作負載，像是資料庫、記憶體快取應用程式、遊戲和資料分析引擎。Dpsv5、Dplsv5 和 Epsv5虛擬機器系列，以較低的價格提供沒有臨時存儲的選項，用戶可以將標準SSD、標準HDD和進階SSD，附加到這些預覽版的虛擬機器上，官方提到，接下來將會推出Ultra Disk Storage，以及虛擬機器Scale Sets支援。</p> <p>微軟提到，大多數主要的開發人員平臺和語言，都已經準備或是已經提供Arm支援，因此新的虛擬機器也能使用這些既有的開發資源。.NET平臺從.NET 5開始，在Linux上開始提供對Arm架構的原生支援，.NET Framework 4.8.1也加入對Arm的原生支援，而且最新的Visual C++工具，供開發者在Arm上建置執行於Arm的應用程式。</p> <p>Java開發人員也可以使用Microsoft Build of OpenJDK，來建置和執行應用程式，微軟提供相容Arm，可用於Windows、Linux和macOS的Java 11和Java 17二進位檔，另外，VS Code也早已經可以原生在Arm上運作。</p> </div></div></div>
2022/4/7 10:22作者李建興https://www.ithome.com.tw/news/150284
加拿大打算立法要求科技巨頭與出版社分享利潤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.canada.ca/en/canadian-heritage/news/2022/04/government-introduces-a-bill-to-ensure-fair-compensation-for-news-media-and-the-sustainability-of-local-news.html" target="_blank">加拿大文化遺產部部長Pablo Rodriguez於4月5日提出《線上新聞法令》（Online News Act）</a>，計畫要求科技巨頭付費給境內的媒體，儘管沒有點名任何的業者，但顯然是衝著Google及臉書而來。</p> <p>Rodriguez表示，從2008年以來，加拿大已有450家新聞媒體倒閉，光是最近這兩年就有超過60家關門大吉，主要原因為數位平臺及社交媒體已然成為人們發現、閱讀及分享新聞的入口，此一趨勢也讓新聞媒體的廣告營收流向這些入口。2020年時，加拿大的網路廣告營收為97億美元，但光是兩家業者就囊括了其中的8成以上，已是解決市場失衡的時候了。</p> <p>文化遺產部指出，《線上新聞法令》類似澳洲法令，打算藉由該法來支持自由與獨立的新聞媒體，以協助數位新聞市場的可持續性，以及當地新聞內容的製作，在不實資訊日益流竄且大眾的不信任增加時，此一立法將能確保加拿大民眾可獲得更高質感且基於事實的新聞。</p> <p>雖然加拿大並未指名道姓，但所指的兩家業者顯然就是Google及Meta旗下的臉書，所參考的法令則是<a href="https://www.ithome.com.tw/news/142902" target="_blank">澳洲政府於去年頒布的《新聞媒體議價法令》（News Media Bargaining Code）</a>。</p> <p>《新聞媒體議價法令》要求業者必須支付適當的授權費用予新聞媒體，當時Google及臉書不僅威脅要退出澳洲市場，<a href="https://www.ithome.com.tw/news/142774" target="_blank">臉書也曾一度封鎖澳洲的新聞內容</a>，最後是澳洲政府讓步，修改了部分條款，允許臉書私下與媒體達成協議，而不強制以公權力介入，且同意在祭出法規的前一個月先行知會Google及臉書。</p> <p>不過，這兩家業者也在澳洲政府的堅持下，各自與澳洲當地的多家媒體達成付費協議。</p> <p>至於加拿大的《線上新聞法令》將允許境內規模不一的媒體得以集體與業者議價，讓它們能以更平等的條件與這些科技巨頭談判，若談判不成最終將會進入仲裁。</p> </div></div></div>
2022/4/7 10:32作者陳曉莉https://www.ithome.com.tw/news/150297
Databricks正式推出自動化ETL框架DLT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的資料處理軟體公司Databricks，全面推出<a href="https://databricks.com/blog/2022/04/05/announcing-generally-availability-of-databricks-delta-live-tables-dlt.html">Delta即時資料表格（Delta Live Tables，DLT）</a>，供用戶使用簡單的宣告式方法，大規模建構資料工作管線，並且自動管理資料基礎設施。Delta即時資料表格已經在AWS和Azure雲端正式上線，並在Google雲端進入公開預覽階段。</p> <p>ETL中的串流和批次處理工作負載，是資料分析、資料科學和機器學習應用的基本，官方提到，要將大量原始且非結構化的資料，轉成乾淨、可信的資訊，是一項重要工作，因為如此才能將其用於業務之中。</p> <p>但是傳統上，要轉換SQL查詢用於生產環境的ETL工作管線，需要大量繁瑣且複雜的操作，即便規模很小，資料工程師也需要花大量的時間在工具和管理基礎設施上，資料可觀察性和治理也受到挑戰，而Databricks建構DLT，便是要來解決這些問題。</p> <p>DLT是一個ETL框架，完全支援Python和SQL，讓用戶以簡單的宣告式方法，建構資料工作管線並自動管理基礎設施，如此資料工程師便能減少花費在工具上的時間，用更多的時間分析資料，從資料中獲取價值。藉由使用DLT，資料工程師可以將資料視為程式碼，應用測試、錯誤處理、監控、歸檔等軟工最佳實踐，部署大規模工作管線。</p> <p>DLT原生支援現代軟工最佳實踐，供用戶可以獨立進行開發以及部署前測試，參數化部署和管理環境，以及執行單元測試。DLT還能夠自動管理基礎設施，由用戶配置最小和最大執行個體數量，並讓DLT依據叢集利用率，調整叢集大小，進而自動擴展基礎設施。</p> <p>由於DLT會自動縮放批次或串流處理工作管線，因此能夠最佳化用戶成本，官方提到，DLT與一般強制分開串流和批次處理的工作負載工具不同，DLT供用戶使用單個API支援任何類型的資料工作負載，因此資料工程師能夠以更簡單且快速的方式，建立起雲端規模資料管線。</p> <p>另外，DLT內建品質控制、測試、監控等工具，使用戶能夠更簡單地創建可信資料來源，確保商業智慧、資料科學和機器學習應用準確且有用。DLT中一個稱為Expectations的功能，能夠避免不良資料流入表中，隨時間持續追蹤資料品質，還提供工具讓用戶能以各種粒度檢視資料，解決品質不良的資料。</p> </div></div></div>
2022/4/7 10:39作者李建興https://www.ithome.com.tw/news/150296
美、英警方拿下攻擊WatchGuard、華碩設備的惡意程式Cyclops Blink網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-botnet-controlled-russian-federation" target="_blank">美國司法部宣布</a>，聯邦調查局（FBI）已破壞年初感染<a href="https://www.ithome.com.tw/news/149551" target="_top">WatchGuard</a>、<a href="https://www.ithome.com.tw/news/149978" target="_blank">華碩</a>的Cyclops Blink殭屍網路程式的基礎架構。</p> <p>Cyclops Blink是在今年2月首先為安全研究人員發現。它先是感染WatchGuard全球約1%的防火牆及中小型企業路由器，而後於3月攻擊華碩路由器。研究人員相信它是隷屬於俄國情報局（GRU）的駭客組織Sandworm所開發，後者是全世界最頂尖也最兇狠的駭客組織，據信涉及NotPetya勒索軟體並攻擊2018年平昌冬奧網站，也曾策畫攻擊烏克蘭電廠。</p> <p>研究人員研判Cyclops Blink是取代Sandworm之前開發的殭屍網路程式VPNFilter。VPNFilter也是為害甚烈的惡意程式，Linksys、Netgear、QNAP、TP-Link網路裝置都曾成為其受害者。美國FBI和思科於2018年合作摧毁了VPNFilter的網路基礎架構，當時共有50萬臺裝置遭到感染。Cyclops Blink等於是重新借用了VPNFiter之前建立的基礎架構，不過Cyclops Blink殭屍網路裝置數量少了將近40%。</p> <p>雖然WatchGuard和華碩相繼釋出修補程式，但到3月中全球大部分被感染的裝置都還是沒修補，於是美英警方採取主動出擊。</p> <p>美、英警方偕同WatchGuard於3月發動破獲Cyclops Blink網路的行動。警方人員遠端存取遭感染的WatchGuard裝置，紀錄C&C裝置序號，複製惡意程式，最後從這些機器清除Cyclops Blink，同時關閉其管理傳輸埠以防止Sandworm日後存取並駭入。這次行動只關閉了Cyclops Blink的通訊基礎架構，未能摧毁Sandworm以其他殭屍網路程式建立的網路基礎架構。</p> <p>為免爭議，FBI強調，存取這些裝置過程中並未蒐集裝置的其他資訊，FBI也沒有和這些受害裝置建立連線。</p> </div></div></div>
2022/4/7 11:13作者林妍溱https://www.ithome.com.tw/news/150300
ERP大升級實現行動化管理，富強鑫更靠IT改造邁向智慧工廠
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每天早上都要來杯咖啡，是許多臺灣人的日常，但你知道嗎？許多連鎖咖啡店，包含星巴克咖啡用的塑料杯蓋，甚至不少咖啡杯，都是來自台南鄉下一間傳產工廠的機臺所生產出來，靠著這些生產機臺才足以供應臺灣每年至少上億杯咖啡所需的杯蓋用量。不只生產咖啡杯蓋，許多生活日常用品，小從保特瓶蓋、球鞋，大到桌椅，還有不少車用的車燈殼、保險桿、儀表板等零組件，都是出自這家公司的機臺之手。</p> <p>走進這家工廠，卻一點也不傳產，現場結合許多現代化科技來優化工廠管理，宛如大型製造公司才有的數位化或智慧化場景，在這裡也都看得到，從人員用刷臉報工，到運用QR碼來掌握機臺組裝資訊，甚至所有生產進度都可即時在數位資訊看板上呈現，管理者可以一目了然。從今年開始，這家公司維修工程師到客戶端進行機臺檢修保養時，只需手持平板iPad就能完成所有維護作業，全程無紙化作業。</p> <p>一手推動工廠生產管理行動化和智慧化的幕後關鍵人物，就是富強鑫精密工業總管理處協理張銀鶯及其IT團隊。</p> <p><span style="font-size:28px;"><strong>2005年朝向集團化發展，資訊部門被賦予更大的IT重任</strong></span></p> <p>身為臺灣老字號塑膠射出成型機製造商，富強鑫的資訊化很早，早從1999年就導入ERP系統，是當時臺灣機械產業中最早一批採用者。不光是積極推動資訊化，這家公司e化腳步也相當早，正當網際網路開始起飛之際，富強鑫在2001年就已經開始透過網際網路與所有供應商進行交易，取代傳統紙本傳真，也是當時導入B2B線上採購的南臺灣企業第一家，「富強鑫規模雖不是最大，可是我們是最有決心，甚至300家供應商都透過Internet來下單。」張銀鶯回憶說。</p> <p>富強鑫一直以來對IT相當倚重，因為富強鑫高層相當清楚，驅動公司營運成長的關鍵，正是資訊化與數位化，就在2005年公司開始集團化向海外擴大布局之際，IT部門也承擔更大的責任，富強鑫還為此重新調整IT組織，將資訊部升為資訊中心，並由張銀鶯擔任該中心的資訊主管，協助推動集團資訊化。</p> <p>張銀鶯上任第一件事，就是在集團內導入GLM全球運籌管理系統，來解決過往集團內資訊不互通的問題。她表示，以往各海外工廠或分據點，雖使用與臺灣總部同一套ERP系統，但彼此之間的資訊沒有互通，沒辦法統一管理。為了解決這個問題，資訊部門自行開發一套GLM系統來統合海內外系統，包含採購等，由點到面的集中管理集團的資源，來避免形成資訊孤島，經過資源整合後，也幫助集團發揮更大綜效。</p> <p><span style="font-size:28px;"><strong>10多年老舊ERP系統大改版，開始支援行動化應用</strong></span></p> <p>在經過10多年資訊化、數位化發展後，富強鑫在2019年歷經最大一次ERP改版更新，也就是這一年，富強鑫開始往行動化方向來發展。</p> <p>不像其他傳產業ERP，大多採用套裝軟體，因為機械產業特性，富強鑫走的是少量多樣客製化生產的商業模式，所以早期是採用Oracle資料庫，搭配部分套裝加上客製軟體，來打造自己的ERP系統，來滿足自身行業需求。張銀鶯自己更要求資訊單位必須掌握技術核心的原始碼，以便讓IT人員後續能在這套系統上自行增加新功能，滿足業務上的需求。</p> <p>這些年來，隨著公司營運規模逐年擴大，產品更多元且多樣，從傳統機臺到提供智慧機臺解決方案都有，富強鑫許多關鍵核心的資訊系統，長年使用下來，也面臨到老舊必須要汰換的難題。</p> <p>尤其ERP是製造業的核心命脈，卻已經是用了10多年的老舊ERP系統，加上許多客製功能，來滿足各種業務所需，長期下來，不只系統本身越來越複雜且龐大，也增加了管理的難度，甚至因為系統老舊，也無法支援現代化的應用，逐漸跟不上公司發展的腳步，這也成了富強鑫IT部門所要面對的IT考驗。</p> <p>為了解決這個問題，張銀鶯在2017年時開始評估汰換ERP系統，但考慮到若是改用新ERP來取代，對於現有作業或流程影響幅度過大，加上原有ERP系統使用迄今，擁有非常多實務經驗積累，張銀鶯經過評估後，決定採取升級ERP方式，而不重新建置一套。資訊團隊最後花了1～2年時間執行，並在2019年完成上線。這次ERP更新不僅僅是富強鑫歷來最大一次改版更新，更是這家傳產公司轉型跨出的關鍵一步。</p> <p>「早期是10倍速競爭的時代，現在已經是百倍速了」張銀鶯直言，在全球市場競爭下，未來行業競爭只會更加激烈，尤其塑膠射出成型產業更是如此，想要從激烈的競爭中勝出，富強鑫必須轉型，具備快速反應的能力，來回應市場變化。</p> <p>富強鑫轉型第一步，就是先從核心ERP的改造著手，在新版ERP中開始提供網頁版ERP功能，能夠支援行動化管理應用，藉此提升人員管理及作業效率，同時，資訊團隊也透過版本升級來檢視和確認現有流程與實際運作，來持續優化流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0P2%E6%8A%BD%E8%A8%80%E5%9C%96%E6%AA%94%EF%BC%9A%2021(%E6%8A%BD)_%E5%AF%8C%E5%BC%B7%E9%91%AB%E7%B2%BE%E5%AF%86%E5%B7%A5%E6%A5%AD_20220328(1).JPG" style="width: 471px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>富強鑫精密工業總管理處協理張銀鶯表示， IT人員必須具備商業素養，不能只懂技術面，與高層和外部單位溝通才不會有隔閡。</strong></span></span></p> <p><span style="font-size:28px;"><strong>售後服務結合行動平板，讓檢修作業全程無紙化</strong></span></p> <p>2019年完成ERP更新後，資訊團隊陸續在工廠端現場和售後服務端導入行動應用。以售後服務為例，以前維修工程師到客戶端進行機臺設備檢修時，到了現場得打電話回公司請負責人員從ERP系統查詢客戶機臺資訊，才能進行後續的檢修動作，但富強鑫今年開始在售後服務導入行動iPad平板後，工程師使用平板就能回報處理進度，從平板打開線上ERP就能查看顧客機臺履歷，還能用平板拍照記錄或故障描述，維修後客戶只需在平板上簽名就能完成確認，讓整個檢修作業也能無紙化，透過這種作業方式，不只服務顧客更有效率，人力調度也更即時。</p> <p>但對富強鑫而言，ERP更新還有個更大目的，就是為了與工廠MES系統進行整合而提早做準備，以便將資訊化管理從內部更進一步沿伸到工廠端的生產管理的資訊流，都能夠完整掌握。</p> <p>2019年新版ERP上線後，緊接下來，資訊部門開始在工廠端導入MES系統，並完成與ERP系統的整合。張銀鶯也說，以前ERP系統因為版本太舊，很難與MES系統整合，更新後的新版ERP就沒有這個問題。</p> <p>在整合MES以後，管理者現在從ERP系統上就能夠取得更完整的生產管理資訊，掌握生產排程和組裝進度。張銀鶯也舉例說，以前管理者從ERP系統看到生產管理資訊，都是慢了1～2日的舊資訊，因為是事後由人工輸入到ERP系統，速度實在太慢，如今，管理者馬上就能看到所有生產資訊，甚至透過系統化方式管理，也提高資訊的準確性，減少人為疏失或錯誤，提升整體的效率。</p> <p>不僅如此，現場組裝作業過程，都有保留完整記錄，人員遇到異常也能透過系統回報，系統會根據異常事件種類自動發送Line和Email通知負責單位到場處理，就連人員派工管理也結合人臉辨識技術，只需刷臉，就可自動記錄人員工作內容、時間，甚至也能透過刷QR碼回報進度。就連關鍵零組件也用QR碼管理，提供日後維修之用。</p> <p><span style="font-size:28px;"><strong>打造更行動化的工廠管理，還結合資訊看板掌握組裝進度</strong></span></p> <p>去年在工廠內還建立一個生產管理資訊看板，能夠顯示MES即時資訊，像是每個機臺的組裝進度、人員出勤狀況、來料進度，都集中到這個資訊看板上來呈現，還有不同顏色燈號來區分工作進度，比如紅燈代表進度落後，透過這個資訊看板，即使管理者不用到現場，遠端就能隨時監看工廠生產狀況。她表示，目前臺灣總部工廠已先導入，之後會逐步推向海外工廠。</p> <p>為了要提升營運，富強鑫近幾年開始借重數據分析，導入BI商業分析，用於銷售分析，提供給管理階層作為決策的參考，取得工廠MES生產管理資訊，加上原本ERP營運資訊，將有更多資訊能用於分析，成為決策有用的情報，協助公司營運成長。但她也坦言，情報到決策是最難的部分，不只是資料蒐集，還要將這些資料內化，成為對公司有用的情報，這件事並不容易，需要持續努力。</p> <p>資訊部門2019年也全面翻新供應鏈管理系統，導入雲端SCM系統，來與行動化緊密結合，而且還與Line平臺串接，現在採購人員只要送出採購單，系統就會根據下單對象自動將訂單訊息透過Line轉拋到負責的供應商，讓對方能馬上收到訊息通知，不用等到回公司查電腦才知道，「若按傳統採購方式就會太慢，必須跟行動化結合才夠快」她說。</p> <p>對於富強鑫來說，全面行動化的下一步，就是要從傳統工廠轉型為智慧工廠，這也是資訊團隊下一階段的IT挑戰。張銀鶯評估未來考慮引進AR、VR、AI以及大數據等新興技術，來加速公司轉型，像是可以使用AI預測零組件壽命，來提供顧客更好的售後服務等。</p> <p>即使與大型製造公司相比，屬於中型企業的富強鑫IT資源並不算多，為了爭取更多資源投入轉型工作，這些年來，張銀鶯靠著爭取政府科專計畫的補助，幫助這家公司順利完成了許多內部大型IT改造和升級，包括GLM、MES、SCM等。她分享這些年執行經驗，獲得最大好處，不單是資源加值，更能替資訊部門帶來加值效益，說服高層更願意投資IT，「連政府都願意出錢投資，老闆還有什麼不願意的呢」她說，儘管執行過程需面對不少壓力，但這些壓力，也成了IT部門持續成長的一股動力，發想出更多創新應用。</p> <p>不光是爭取更多IT資源，在人員管理上，張銀鶯也鼓勵IT人員必須發展不同的角色，她說：「IT人員必須具備商業素養，不能只懂技術面，與高層和外部單位溝通才不會有隔閡。」張銀鶯現在身分不只是IT主管，也同時擔任董事長特助，更是集團發言人，所以她對IT人員有更高期待，能夠站上最前線，替公司創造價值。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>張銀鶯　富強鑫精密工業總管理處協理</strong></p> <p>學歷：成功大學企管碩士</p> <p>經歷：1983年進到富強鑫，最早從程式設計師做起，一路擔任組長、課長、管理部副理，負責資訊和財務，資訊中心成立後接任資訊主管，不只推動公司內部資訊化，2019年更主導ERP升級及MES系統導入，希望透過內部IT改造和升級，協助公司轉型成智慧工廠</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>富強鑫精密工業</strong></p> <p>地址：臺南市關廟區埤頭里保東路269號</p> <p>網址：<a href="http://www.fcs.com.tw">www.fcs.com.tw</a></p> <p>成立時間：1974年</p> <p>主要業務：塑膠射出成型機研發、生產及銷售</p> <p>員工數：338人</p> <p>董事長：王伯壎</p> <p>總經理：王俊賢</p> <p>資本額：15億元</p> <p>年營收：約43億元（2021年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：總管理處協理</p> <p>資訊部門主管姓名：張銀鶯</p> <p>資訊部門名稱：資訊中心</p> <p>資訊部門人數：8人</p> <p>資訊部門分工：系統開發、機房維護（含硬體、資安）</p> <p>IT預算：約千萬元以上</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1999年：導入完整ERP系統，來取代舊系統</p> <p>2000年：建置訊息平臺及Workflow流程管理系統</p> <p>2001年：全面導入B2B供應鏈系統，改透過網際網路與供應商進行交易</p> <p>2005年：建置GLM管理系統，統籌集團全球資源並集中管理</p> <p>2015年：導入BI商業分析，用於銷售分析</p> <p>2017年：建置集團PDM管理系統</p> <p>2019年：完成舊版ERP升級改版，支援行動應用、導入MES製造執行系統、建置雲端iSCM供應鏈管理系統</p> <p>2022年：售後服務引進行動平板iPad，協助工程師加快客戶端機臺檢修及維護作業</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p1zhu_tu_tu_dang_15nei_ye_fu_qiang_xin_jing_mi_gong_ye_20220328.jpg" width="960" height="420" alt="" title="富強鑫精密工業總管理處協理張銀鶯" /></div></div></div>
2022/4/7 07:00作者余至浩https://www.ithome.com.tw/people/150241
組合優於繼承？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從Java 17正式釋出之後，在面對一些類別設計時，我都會思考著：類別是否在本質上為資料載體，如果可以的話，我就將之重構為record類別；然而，有一次在面對具有繼承架構的一組類別之際，卻讓我思考了很久：Java的record類別不能實現繼承，可是，那一組類別很顯然是資料載體啊？</p> <p>就函數式設計的觀點來看，record類別像是product型態，也就是，組合既有型態來建立新型態，如果不能實現繼承的話，可以改用組合啊？畢竟不是常有人說「組合優於繼承」嗎？</p> <p>然而，試著使用record類別，並採用組合的方式來重構之後，整個程式碼會變得冗長而不易閱讀，因為此時不得不使用模式比對，確認物件的實際型態，才能取得物件的值域，而明明這些物件具有相同值域。</p> <p>在重構之前，既有的類別因為有繼承關係，完全可以基於父類別型態來存取相同值域，這讓我有了一些疑問：這看來是個繼承優於組合的情況？在Java中，資料載體就不能同時享有組合與繼承的便利嗎？最重要的是，「組合優於繼承」真正的意義是什麼？</p> <p>就思考後的結論而言，我所需要的是，基於父型態觀點來操作子型態實例，以便取得特定的資訊，既然如此，「取得特定資訊」這個行為，一開始就是父型態就需要的行為，那麼，就規範為介面，因為record類別雖然不能實現繼承，然而，卻可以實作介面。</p> <p>也就是說，重構前既有的類別需要繼承關係，看似為了重用程式碼，將共同值域提升至父類別，其實真正之目的，是為了多型操作！</p> <p><span style="font-size:28px;"><strong>為了多型使用繼承</strong></span></p> <p>隨便在網路搜尋一下，就會知道繼承惡名昭彰，許多文件或書籍也會告誡：「不要濫用繼承」，也有著許多「多用組合少用繼承」之類的建議，於是，搞得好像用了繼承就是萬惡之事。只不過未經思考就接受某個口號式的觀念，從來就是最危險的事情。</p> <p>別的不說，如果我們想定義equals、hashCode、toString，不就必須透過繼承Object來達成嗎？難道定義equals等方法也是萬惡之事？</p> <p>我們應該思考的是，透過繼承Object來重新定義equals等方法之目的。</p> <p>就根本來說，每個物件其實會有雜湊碼、字串描述等基礎狀態，而且，每個物件都會需要equals、toString等方法，既然Java每個物件都是Object的衍生，就直接定義在Object，以便於進行多型操作，也就是equals等方法，除了提供預設實作，也是在規範行為。</p> <p>類似地，如果某種物件都具有某些基礎狀態，也需要有共同的行為，以便進行多型操作，使用繼承合情合理，例如Java的例外繼承架構，Throwable就規範了基礎狀態與共同行為，各種例外都是Throwable的衍生。</p> <p>也就是說，為了多型而使用繼承可以是個出發點，以此來進行設計上的變化。</p> <p>例如，想在父類別規範主要流程，真正的行為實現推給子類別實作，像是物件有一套生命週期，然而，在這個週期當中，我們可以讓使用者能安插一些自訂流程或註冊自訂服務，也就是想讓使用者能實現plugin；又或者想實現某種框架，其中實作了某些通用的商務流程，然而細節部份，可以讓使用者自訂。</p> <p>就比較小的範疇而言，設計模式中行為分類樣版方法（Template method），就是這類使用繼承的思考方向之一；進一步地，如果不需要有共同的基礎狀態，或者也不需要有預設實作，或許可以透過定義介面來達成，Java的介面就是一種廣義的多重繼承，這就是方才談到，資料載體也可以透過介面來達成多型需求的原因。</p> <p>有些語言完全沒有繼承，例如Go語言是基於結構來定義資料型態，透過結構與結構的組合來構造更多元的型態，然而還是有需要以相同行為看待資料的場合，Go語言也提供了介面概念的語法，目的就是為了實現多型。</p> <p><span style="font-size:28px;"><strong>誤用繼承的氣味</strong></span></p> <p>除了積極地思考，只為了多型而使用繼承，那麼，既有的程式碼，可否有什麼氣味，能嗅出誤用了繼承的可能性呢？</p> <p>氣味之一是，僅僅因為流程重複，從數個原本不相關的類別，硬是提取出父類別來收納重複的程式碼，然而，這並不是在實施重構手法的提升方法（Pull Up Method），提升方法必須用於觀察到既有子類別有重複行為。視需求而定，採用裝飾（Decorator）模式或策略（Strategy）模式，可能會是較佳的重構方向。</p> <p>如果子類別的方法中使用了super，有可能是誤用了繼承。例如，父類別希望子類先以super呼叫父類被重新定義的方法，沒有機制可以強制子類這麼做，而且，這限縮了子類的行為，採用樣版方法模式會是比較好的作法。</p> <p>就算並非父類的期許，子類使用super呼叫了被重新定義的父類方法，本身就常被視為反模式，因為super意謂著父類實例，既然是個實例，表示也有基於組合的設計可能性。</p> <p>然而，這也不能說使用了super就不對。如果類別之間真的有強烈的is a關係，例如，Throwable與Exception之間的關係，那麼，使用super還是有其必要性。</p> <p>然而，誤用繼承時最難辨別的氣味就是is a關係，有時乍看是is a關係，其實並不是，例如，3D座標點是一種2D座標點嗎？正立方體是一種正方形嗎？表面看來，三維似乎是二維的延伸，一不小心就會誤用繼承從二維擴充為三維；一個簡單的判定方式是，子類若增加了值域，而且必須重新定義某些方法，將增加的值域納入運算考量，就有可能是誤用繼承。</p> <p>例如，Point3D增加了z值域，因而必須重新定義equals，將z的比較納入考量，而這就是誤用繼承，如果有個compare方法是從父型態觀點Point2D來實現比較，此時，就有可能傳入了一個Point2D，以及一個Point3D，然而，如果從compare的觀點來看，不會知道有z的存在，也就是說，繼承其實是會隱藏狀態，而這也是record類別不讓開發者實現繼承的原因之一。</p> <p><span style="font-size:28px;"><strong>繼承提供了約束性</strong></span></p> <p>「組合優於繼承」真正的意義，並不是別使用繼承，也不是非到最後關頭才使用繼承（究竟什麼叫最後關頭？），而是在說，如果不需要繼承提供的約束性，請使用組合，必要時使用行為的多型，若進一步需要繼承（強烈的）約束性，才使用繼承來實現多型。</p> <p>有時要解決的問題領域中，某些模型的型態架構已知，若能使用繼承施以約束性，問題就會比較容易解決，而Java 17提供了sealed類別，只是進一步讓這件事變得更加容易一些。</p> <p>如果在需求上真的需要繼承的約束性，組合就不見得優於繼承，雖然沒有繼承，也可以解決問題，只是有時候會麻煩一些，甚至只能依賴一些約定或慣例。</p> <p>因此，別太盲從「組合優於繼承」這類簡單的教條，那只是個思考的方向，並不是設計的終點！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B5%84%E5%90%88%E5%84%AA%E6%96%BC%E7%B9%BC%E6%89%BF">組合優於繼承</a></div><div class="field-item odd"><a href="/tags/record%E9%A1%9E%E5%88%A5">record類別</a></div><div class="field-item even"><a href="/tags/java-17">Java 17</a></div><div class="field-item odd"><a href="/tags/%E7%B9%BC%E6%89%BF">繼承</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/4/7 07:00作者林信良https://www.ithome.com.tw/voice/150251
【資安日報】2022年4月6日，Spring漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Java框架Sping發現重大漏洞，由於熱門框架影響層面廣，因此許多資安業者持續關注該漏洞遭利用的情形，近日就有資安業者公布了最新的發現，例如Check Point指出他們在短短四天內，已遙測到上萬次針對CVE-2022-22965漏洞的嘗試利用，並有16%的企業組織受影響，而微軟也提及在自家雲基礎架構與服務中，追蹤到少量嘗試利用的情形。這樣的情況，也顯示有一些駭客鎖定剛出現的漏洞，利用尚未修補的空窗期，正對企業發動嘗試性攻擊。</p> <p>另一方面，在資安防護態勢上，近日也有兩大消息值得關注。首先，軟體供應鏈攻擊已成近年資安圈一大關注焦點，而近日Go語言揭露如何減緩供應鏈攻擊，讓更多開發人員可以思考該如何防範相依項目遭破壞的問題；其次，面對駭客組織入侵如何有效偵測與防護，近日MITRE ATT&CK第四輪評估計畫結果正式公布，不只模擬出Wizard Spider與Sandworm駭客組織的入侵方式，呈現產品的偵測與防護結果，也成為連假期間企業與資安業者所關注的另一大焦點。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.checkpoint.com/2022/04/05/16-of-organizations-worldwide-impacted-by-spring4shell-zero-day-vulnerability-exploitation-attempts-since-outbreak/"><strong>有16%的企業組織面臨針對SpringShell漏洞的嘗試性攻擊</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源Check Point.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.jpg" style="width: 280px; float: right;" /></a></p> <p>上週Spring框架核心存在RCE漏洞被揭露，並出現概念性驗證攻擊程式，雖然Spring官方在3月31日緊急釋出更新修補，並公開CVE-2022-22965漏洞，但此次漏洞危害情形受外界關注。在4月5日，資安業者Check Point公布最新的分析報告，指出在漏洞曝光後的4天之內，他們透過遙測技術，截獲關於這些漏洞利用嘗試的情況，共有多達3萬7千次鎖定Spring4Shell漏洞的嘗試利用，並指出全球有16%的企業組織，遭受嘗試性漏洞利用的影響。較特別的是，當中並指軟體供應商受衝擊的比例達28%，在所有產業中稍稍偏高，其次為教育與研究機構、保險與法律業，ISP與MSP、以及金融與銀行業，受衝擊比例均在25%以上。</p> <h3><a href="https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/"><strong>駭客利用SpringShell鎖定微軟雲端服務下手</strong></a></h3> <p>在上週SpringShell漏洞揭露之後，相關攻擊態勢持續受關注，最近微軟公布了CVE-2022-22965漏洞的檢測方式與指南，當中也談到了他們觀察到駭客利用該漏洞鎖定微軟雲端服務的經過。根據微軟在4月4日的說明，該公司為了更好地做出防禦，會定期監控針對自家雲基礎架構與服務的攻擊。而在Spring核心漏洞揭露以來，他們已經追蹤到少數嘗試利用的情形，也就是針對Spring Cloud與Spring Core漏洞的攻擊嘗試，不過就現階段來看，微軟認為，目前攻擊數量或新活動沒有顯著增加，同時微軟也藉由PoC攻擊過程的介紹，說明他們觀察到的漏洞嘗試利用活動，與此PoC非常相近，當中並指出，攻擊者若透過精心設計的HTTP請求，將可修改網路伺服器或應用程式中的敏感內部變量。</p> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/cicada-apt10-china-ngo-government-attacks"><strong>中國駭客APT10透過影音播放軟體VLC Player側載惡意程式</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源賽門鐵克.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%BD%E9%96%80%E9%90%B5%E5%85%8B.jpg" style="width: 280px; float: right;" /></a></p> <p>一個月前，博通（Broadcom）旗下的資安團隊賽門鐵克（Symantec）揭露了來自中國駭客的高階後門程式Daxin，在4月5日，該團隊再揭露由中國政府支持的Cicada（又名APT10）駭客組織的間諜活動，並指出恐已持續數月之久。根據賽門鐵克說明，這次觀測到該組織的間諜活動，最早發生在2021年年中，最近一次活動則是2022年2月，顯然是一個長期持續的攻擊活動。就最新的攻擊活動來看，研究人員一開始是在Exchange Server上發現駭侵活動，應是利用未修補的已知漏洞入侵，當攻擊者存取了受害者機器，該組織部署了多種工具，包括客制化的下載器，以及Sodamaster後門程式，這些工具也被用在先前的Cicada攻擊活動中，特別的是，這次他們還發現攻擊者利用VLC媒體播放器，透過VLC的匯出功能，來執行駭客的下載器，並使用WinVNC工具以遠端控制受害機器。</p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/"><strong>程式碼代管平臺GitLab出現重大漏洞，攻擊者可用於接管帳號</strong></a></h3> <p>GitLab近日發布安全公告，說明內部團隊發現CVE-2022-1162重大漏洞並已修補，此漏洞將影響GitLab Community Edition（CE）與GitLab Enterprise Edition（EE）版本，導致基於OmniAuth的GitLab CE/EE在註冊過程中，無意間設定為靜態固定密碼。現階段，雖然GitLab尚未接獲任何用戶反映遭駭，但為了保險起見，GitLab在修補當天就已主動重設特定用戶的密碼，另也釋出一個腳本程式，供管理人員得以辨識哪些使用者帳號受到CVE-2022-1162漏洞影響。</p> <h3><a href="https://success.trendmicro.com/dcx/s/solution/000290678"><strong>趨勢科技修補資安防護主控臺Apex Central的RCE漏洞</strong></a></h3> <p>近期趨勢科技發布產品安全公告，說明發現Apex Central平臺存在一項RCE漏洞，現已釋出修補，並指出已有攻擊者意圖鎖定該漏洞的活動，呼籲用戶應盡速修補。根據趨勢科技的說明，這次修補的是CVE-2022-26871漏洞，該漏洞存在於Apex Central平臺，也就是可供用戶可集中檢視所有端點、伺服器、網路及電子郵件安全防護狀態的中控臺。關於這項漏洞的危害與風險，趨勢科技表示，可讓未經授權的攻擊者上傳任意檔案，並遠端執行程式碼，安全風險值達到8.6分。</p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://go.dev/blog/supply-chain"><strong>防禦軟體供應鏈攻擊，Go公開五大安全設計原則</strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Go.jpg" style="text-align: right; width: 280px; float: right;" /></p> <p>面對軟體供應鏈安全議題，特別是來自相依項目所進行的供應鏈攻擊，近日Go官方部落格上，Go核心開發團隊安全負責人Filippo Valsorda發布專文，公開Go開發工具與流程的設計，說明Go是如何在各階段減緩軟體供應鏈攻擊，引發外界注目。當中揭露5大防禦供應鏈攻擊設計原則，包括：所有Builds應被鎖定，無法自外部更改；模組版本內容永不改變，並能驗證模組真偽；將VCS版本控制系統當作唯一的事實來源；應將建構的程式碼視為不受信任，並且不會自動執行；最後是Go生態系中最重要的緩解策略，頃向用一點複製而不是依賴增加新的相依項目，降低供應鏈風險。</p> <h3><a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?adversaries=wizard-spider-sandworm"><strong>MITRE ATT&CK第四輪評估計畫結果出爐</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)資安日報22020406_圖片來源MITRE Engenuity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE%20Engenuity.jpg" style="width: 280px; float: right;" /></a></p> <p>為了幫助市場上端點防護產品提升偵測能力，MITRE ATT&CK評估計畫的舉行，已成為企業與資安產業都關注的評測項目，近期MITRE Engenuity公布第四輪結果。這一輪的評估計畫，共有30家資安業者產品參與，比前一輪的29家更多，而這次評估中所設想的攻擊對象，是以Wizard Spider與Sandworm駭客組織為預想攻擊情境，前者是具經濟動機的駭客集團，以大型企業與醫院為目標，並發動勒索軟體攻擊，後者是具破壞性的俄羅斯駭客組織，曾發動NotPetya勒索軟體攻擊，並攻擊過烏克蘭電氣公司。現在MITRE Engenuity公布各家參與資安業者的評估成果，供企業與業者了解各產品在每一入侵步驟上的偵測與防護能力。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/6 17:59作者羅正漢https://www.ithome.com.tw/news/150290
2022年臺灣Martech最新版圖出爐，工具大增5成以數據分析工具暴增最多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">亞太行銷數位轉型聯盟（AMT）今（4/6）日發表《<a href="https://i.imgur.com/oJ4UMs8.jpg">2022年臺灣行銷科技版圖</a>》，收錄了277種Martech工具，較去年版本的183種，多出51%，其中以「數據與分析」類別的工具增加最多（30種），「社群與關係」類別其次（21種）。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">AMT的Martech版圖，參考Martech之父Scott Brinker的全球Martech版圖，將工具劃分為6大類，分別是廣告技術、內容與體驗、社群與關係、商業與銷售、流程與管理，以及數據與分析。收錄在臺灣版圖上的工具，必須符合數項「支援在臺服務」的標準，例如該公司必須設有在臺窗口等，因此，有些知名國際廠商沒有收錄。去年版版圖的業者全數列入，沒有像國外Martech版圖中，有時會出現的大換血現象。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">近年數位行銷環境瞬息萬變，包含iOS 15的郵件隱私保護機制、Facebook及Youtube等社群媒體平臺演算法不斷調整，還有Google宣布Cookie將逐漸退場等，都成為企業擬訂行銷政策時必須考量的因素。AMT 協會理事長高端訓分析，臺灣Martech版圖大幅擴增，和這樣的環境變遷，息息相關，尤其客戶資料的蒐集和分析，是企業最近關心的焦點。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">工具增加第二多的類別，是社群與關係類別。AMT副理事長吳秀倫指出，此分類一直在國內外 MarTech 版圖中占比最大。他也觀察到，臺灣業者從量販、百貨業到小吃、飲料店，採用數位工具進行社群經營的情況隨處可見，此類別的成長動能可見一斑。</p> <p><span><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;"><img alt="" src="https://s4.itho.me/sites/default/files/images/growth.jpg" style="width: 600px;" /></span></span></p> <blockquote><p>AMT發表的《2022年臺灣行銷科技版圖》中，各類別Martech工具的成長情況。圖-AMT提供</p> </blockquote> </div></div></div>
2022/4/6 18:26作者郭又華https://www.ithome.com.tw/news/150295
德國破獲全球最大暗網市集Hydra Market，美國著手展開制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html" target="_blank">德國打擊網路犯罪的中央辦公室（ZIT）與德國聯邦刑警（BKA）在周二（4/5）宣布</a>，在與美國各執法機構自去年8月聯手調查暗網市集Hydra Market之後，已於本周接管了Hydra Market位於德國的伺服器基礎設施，扣押了價值2,300萬歐元的比特幣，同一天<a href="https://home.treasury.gov/news/press-releases/jy0701" target="_blank">美國財政部亦宣布針對Hydra Market及相關的加密貨幣交易平臺Garantex展開制裁</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-HYDRA%20image%20by%20German%20Federal%20Criminal%20Police%20Office%EF%BC%88BKA%EF%BC%89.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／德國聯邦刑警（BKA）</span></p> <p>Hydra Market設立於2015年，它是最著名的俄羅斯暗網市集，也是目前全球最大的暗網市集，它銷售各種勒索軟體即服務（RaaS）、駭客服務與軟體、個人資訊、偽鈔、盜來的虛擬貨幣及毒品等，Hydra Market的營收從2016年的1,000萬美元成長到2020年的13億美元，迄今Hydra Market已有1,700萬名註冊用戶，賣家帳號則有1.9萬個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-HYDRA%20image%20by%20German%20Federal%20Criminal%20Police%20Office%EF%BC%88BKA%EF%BC%89-2.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／德國聯邦刑警（BKA）</span></p> <p>美國財政部外國資產控制辦公室（OFAC）表示，Hydra Market所經手的勒索軟體加密貨幣交易大約有800萬美元，涉及Ryuk、Sodinokibi與Conti等知名勒索軟體，而且根據區塊鏈研究人員的估計，各個俄羅斯加密貨幣平臺所收到的非法比特幣中，就有86%來自Hydra Market。</p> <p>美國財政部則在德國宣布接管並關閉Hydra Market的同一天，指出將對Hydra Market與專門提供非法加密貨幣交易服務的Garantex祭出制裁。</p> <p>Garantex是個在2019年於愛沙尼亞設立的虛擬貨幣交易中心，但它主要經營俄羅斯市場。分析顯示，透過Garantex所進行的加密貨幣交易中，有超過1億美元涉及暗網及非法人士，當中有600萬美元與俄羅斯勒索軟體Conti有關，並有260萬美元與Hydra Market有關。</p> <p>美國的制裁在於凍結Hydra Market及Garantex相關的實體與個人在美國的資產，也禁止美國人與這些個人或實體交易。</p> <p>不過，德國與美國並未公布涉及Hydra Market及Garantex的實體或個人，此次的行動亦未逮捕任何嫌犯。</p> </div></div></div>
2022/4/6 16:39作者陳曉莉https://www.ithome.com.tw/news/150285
Amazon Kuiper專案已與3家火箭公司簽約以發射通訊衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-makes-historic-launch-investment-to-advance-project-kuiper" target="_blank">Amazon本周揭露Kuiper專案（Project Kuiper）通訊衛星專案的發展藍圖</a>，指出已與Arianespace、藍色起源（Blue Origin）及United Launch Alliance（ULA）等3家航太公司簽約，打算借助它們的火箭發射能力，最多進行83次的發射計畫，以將通訊衛星送至軌道上。</p> <p>Amazon於2019年成立了Kuiper Systems子公司以負責發展Kuiper專案，計畫建置一個含有3,236顆通訊衛星的衛星星座，以提供低價的寬頻衛星服務，並在2020年的7月取得美國聯邦通訊委員會的許可，成為SpaceX旗下Starlink衛星星座的直接競爭對手。</p> <p>根據協議，ULA將負責38次的火箭發射，Arianespace為18次，藍色起源負責12 次，Amazon還能決定是否要發射另外的15次。</p> <p>有別於Starlink的通訊衛星都是由母公司SpaceX負責發射，Kuiper並不單純仰賴由Amazon創辦人貝佐斯（Jeff Bezos）所成立的藍色起源，而是一次與多家業者簽約，對此，Amazon表示，這些發射夥伴將提供Kuiper未來5年的發射服務，採用來自不同供應商的能力將減少調度的風險，也有助於維持競爭力，讓Kuiper專案客戶能夠長期享有低成本的服務。</p> <p>Kuiper Systems目前已有超過1,000名員工，預期將在今年第四季發射首批衛星。</p> <p>至於Starlink迄今已於全球部署約2,000個通訊衛星，在29個國家提供服務，標準版規格是下載速率為100 Mbps，上傳為20 Mbps，終端設備的售價為499美元，每月訂閱費用則是99美元，高階版的下載速率可達150~500Mbps，終端設備費用加上衛星天線押金為3,000美元，每月訂閱費用為500美元。</p> </div></div></div>
2022/4/6 16:53作者陳曉莉https://www.ithome.com.tw/news/150286
成為推特最大股東後，馬斯克開始民調編輯鍵功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150261" target="_blank">在成為推特（Twitter）第一大股東後</a>，科技鉅子馬斯克（Elon Musk）昨日（4/5）很快<a href="https://twitter.com/elonmusk/status/1511143607385874434" target="_blank">針對是否該增加編輯鍵進行民調</a>，可能影響推特的決策。</p> <p>發文後編輯是推特長久以來新增呼聲最高的功能，讓使用者得以修正錯字或語句。但是推特方面則認為這會增加使用者濫用作為不負責發言，或是事後湮滅證據的機率。</p> <p>例如<a href="https://twitter.com/Liz_Wheeler/status/1511161505802293253" target="_blank">知名podcasterLiz Wheeler</a>擔心，這功能可能被濫用，例如一則點閱率很高的推文在經過大量轉發流傳後，卻被原作者修改語句而改變意義，或是另一些人純粹為了想紅亂發言。</p> <p>臉書過去也無法編輯發文或回覆他人的評論，但後來也開放編輯功能。<a href="https://twitter.com/boztank/status/1511171084560723969" target="_blank">臉書技術長Andrew Bosworth</a>回應馬斯克及Wheeler發文指出，臉書很早就解決使用者濫用功能的問題，只要加入已經過編輯的指示文字及編修紀錄即可，甚至可以指向編修紀錄的特定版本，再加連結連到最新版本。</p> <p>另一派則認為，編輯貼文並沒那麼重要。創作河狸表情符號的Shorestein研究總監Joan Donovan指出，編輯容易淪為軟性言論審查，推特有刪除鍵，他認為用戶應該堅持自己的發言，否則就索性刪掉算了。<a href="https://twitter.com/cz_binance/status/1511176257022660608" target="_blank">Binance創辦人趙長鵬</a>則認為，與其增加編輯貼文，防範垃圾及詐騙貼文，保護用戶更為要緊。</p> <p>推特高層不敢輕忽馬斯克或用戶意見，甚至會依此決定推特未來的新功能。去年11月上任的<a href="https://twitter.com/paraga/status/1511152454418644995" target="_blank">推特執行長Parag Agrawal指出</a>，這次民調的結果很重要，要大家三思而投票。</p> <p>目前贊成加入編輯功能的比例為73.4%，反對比例為26.6%。</p> <p>事實上，<a href="https://twitter.com/Twitter/status/1509951255388504066" target="_blank">推特4月1日表示</a>正在開發編輯鍵功能。</p> </div></div></div>
2022/4/6 13:40作者林妍溱https://www.ithome.com.tw/news/150273
HPE公布邊緣運算及AI系統SBC-2在國際太空站的實驗成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2022/04/hewlett-packard-enterprise-drives-innovation-at-the-extreme-edge-on-the-international-space-station-with-24-completed-experiments.html" target="_blank">HPE表示</a>，該公司電腦登上太空站屆滿1年後已經完成AI運算等24項實驗。</p> <p>HPE去年和美國國家航空及太空總署（NASA）合作，將其SBC-2（Spaceborne Computer-2）電腦由火箭載往地球軌道上的國際太空站，5月安裝完成。其任務是協助太空人在登月及登陸火星等探索任務中，能獨立執行即時AI資料分析，像是衛星影像等。SBC-2也是太空站上的第一座邊緣運算及AI系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Spaceborne%20Computer-2-installed%20on%20the%20International%20Space%20Station-May%202021-Image%20credit%EF%BC%9ANASA.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／NASA</span></p> <p>HPE表示，屆滿一年之際，SBC-2已經和NASA、康乃爾大學、微軟、私營太空站網路供應商Axiom Space、芬蘭行動網路專線業者Cumucore等業者完成24項實驗，涵括先進醫療、影像處理、自然災害復原、3D列印、5G及其他AI實驗。</p> <p>HPE表示，SBC-2的大量運算能力，使原本耗時12小時的1.8GB DNA序列資料分析作業縮短為6分鐘，分析的結果可壓縮成92KB檔案，在2秒鐘內送回地球。這座系統也可即時執行NASA噴氣推進實驗室（Jet Propulsion Laboratory）的深度學習推論網路，由衛星拍攝的地球遙感影像，推測颶風後的洪水範圍及對都會區建築的影響。</p> <p>在微軟、HPE合作的NASA實驗中，可在軌道上以AI模型即時分析太空人手套磨損、破裂或切傷狀況，一旦偵測到破損，則可由AI在手套相片加註再傳回NASA進一步分析。另外，利用SBC-2模擬5G基地臺及用戶裝置的實驗後，太空站也計畫，未來在特定衛星及太空船加裝5G通訊設備。</p> </div></div></div>
2022/4/6 14:00作者林妍溱https://www.ithome.com.tw/news/150274
駭客企圖開採微軟雲端服務上的SpringShell漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/#:~:text=for%20this%20vulnerability.-,Observed%20activity,-Microsoft%20regularly%20monitors" target="_blank">微軟周一（4/4）指出</a>，該公司定期會監控旗下雲端基礎設施與服務的攻擊行動，而自從Spring Core漏洞被揭露後，微軟便在其雲端服務上追蹤到有少數針對Spring Cloud與Spring Core漏洞的攻擊嘗試。</p> <p>Spring Core漏洞被外界稱為SpringShell，<a href="https://www.ithome.com.tw/news/150201" target="_blank">在3月29日被揭露的當下尚未修補，</a>而且已有概念性驗證程式問世，<a href="https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement" target="_blank">Spring在3月31日賦予漏洞編號CVE-2022-22965</a>，同一天也釋出了Spring Framework 5.3.18及Spring Framework 5.2.20以修補該漏洞，也更新了自Spring Framework衍生的Spring Boot。</p> <p class="rtecenter"><a href="http://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-Spring%20Boot-fix%20for%20CVE-2022-22965.png" style="width: 500px;" /></a></p> <p>Spring Framework為最受歡迎的輕量級Java開源框架，然而，在Java Development Kit（JDK）9或以上的版本上，CVE-2022-22965允許遠端駭客藉由該框架的參數綁定功能取得一個AccessLogValve物件，並利用一個惡意的欄位值來觸發管線機制，再於任意的路徑中寫入檔案。該漏洞影響於JDK 9+上執行的Spring MVC與WebFlux應用程式。</p> <p>儘管<a href="https://www.ithome.com.tw/article/148766" target="_blank">有人擔心CVE-2022-22965漏洞可能如同Log4Shell漏洞嚴重</a>，但要以既有的概念性驗證程式開採該漏洞需要許多條件，包括必須採用JDK 9+版本，以Apache Tomcat作為Servlet容器，包裝成傳統的WAR並部署為獨立的Tomcat實例，依賴spring-webmvc或spring-webflux，以及採用Spring Framework 5.3.0至5.3.17、5.2.0至5.2.19，或是更舊的版本。</p> <p>微軟僅說發現針對CVE-2022-22965漏洞的攻擊嘗試，並未說明駭客是否成功，但這無疑是個警訊。</p> <p>事實上，<a href="https://blog.checkpoint.com/2022/04/05/16-of-organizations-worldwide-impacted-by-spring4shell-zero-day-vulnerability-exploitation-attempts-since-outbreak/" target="_blank">資安業者Check Point於本周指出</a>，在CVE-2022-22965漏洞被揭露的前四天，該公司就偵測到3.7萬次的攻擊嘗試，全球約有16%的組織受到影響，其中光是軟體業者便占了28%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-Spring4Shell%20vulnerability%20by%20check%20point.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://blog.checkpoint.com/2022/04/05/16-of-organizations-worldwide-impacted-by-spring4shell-zero-day-vulnerability-exploitation-attempts-since-outbreak/" target="_blank"><span style="color:#696969;">Check Point</span></a></p> <p>Spring已釋出的Spring Framework 5.3.18及Spring Framework 5.2.20來修補該漏洞，若無法立即更新，亦應升級到Apache Tomcat 10.0.20、9.0.62與8.5.78來解決既有概念性驗證程式的濫用，或是降級至Java 8，以及關閉特定欄位的綁定功能，不過，Spring警告，CVE-2022-22965漏洞可能有其它的開採方式，儘速升級Spring Framework才是上策。</p> </div></div></div>
2022/4/6 14:19作者陳曉莉https://www.ithome.com.tw/news/150275
GitHub Copilot開始支援Visual Studio 2022
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由GitHub和OpenAI合作，所共同開發的人工智慧程式碼工具Copilot，現在終於開始<a href="https://github.blog/2022-03-29-github-copilot-now-available-for-visual-studio-2022/">支援Visual Studio 2022</a>，擁有技術預覽權限的所有開發者，都可以使用該新功能，另外，Copilot現在也新增程式語言支援，可以提供.NET建議。</p> <p>在開發者輸入程式碼的時候，Copilot會自動建議可能需要的程式碼，開發者可以按Tab鍵接受，也可以忽略建議繼續輸入，Copilot會根據輸入，繼續猜測開發者正在進行的工作，並且提供更多建議，開發者可以利用快捷鍵，清除所有建議，也可以瀏覽建議的其他候選項。</p> <p>從2021年6月Copilot技術預覽版發布以來，GitHub持續更新Copilot的功能，現在終於加入眾多用戶要求的Visual Studio 2022支援。在使用Visual Studio 2022的Copilot擴充套件之前，用戶需要擁有技術預覽版權限，並在安裝後授權Visual Studio 2022連接Copilot服務，確認連接完成，開發者便可以開始在Visual Studio 2022使用Copilot。</p> <p>在Visual Studio 2022中，Copilot可以提供各種程式碼建議，特別是程式語言.NET，GitHub提到，當開發者提供的程式碼註釋越具體，Copilot就越能依照開發者的意圖創建程式碼。還沒有GitHub Copilot技術預覽權限的開發者，現在仍可以註冊候選名單，盡快獲得Copilot預覽權限。</p> </div></div></div>
2022/4/6 13:03作者李建興https://www.ithome.com.tw/news/150271
IBM發表最新大型主機z16 號稱能抗量子破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM昨（4/5）日發表最新大型主機z16，具備晶片AI加速功能，專用於即時大量資料運算及AI分析，同時也號稱是第一個能抗量子破解的安全系統。</p> <p>z16搭載Telum處理器，這款晶片採用7奈米製程，具有225億顆電晶體，可有效支援AI推論等高運算量的作業。IBM表示，它一天可處理3千億次推論呼叫，延遲性不到一毫秒。除了傳統上詐欺偵測或醫療影像分析任務外，Z16也可用於其他產業的新應用，像是貸款審核、加密貨幣的清算、結算、逃稅及零售業聯盟式學習（Federated learning）防範詐欺及盜竊等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-IBM%20Telum%20Processor_2-500.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／IBM</span></p> <p>z16也號稱是第一臺抗量子（quantum-safe）破解的系統。雖然目前技術尚未能破解加密演算法，但許多人擔心隨著量子電腦的出現及演進，歹徒可能先偷取加密資料等技術更成熟後再破解。IBM表示，z16採用網格密碼學（lattice-based cryptography）防範未來量子電腦的破解。首先，<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/1/897/ENUS122-001/index.html" target="_blank">z16多層韌體都內建雙簽章（dual signature scheme</a>），其安全開機功能整合傳統簽章及抗量子簽章可防量子破解攻擊，確保韌體不被注入木馬或勒索軟體等惡意程式。此外z16硬體搭載的IBM Crypto Express8S（CEX8S）Adaptor提供API，不但同時支援使用傳統加密的應用，也讓採用傳統加密的企業開始過渡到抗量子加密。</p> <p>Z16預計5月31日正式上市。</p> <p>IBM因應時代演進及企業轉型，力圖讓大型主機更符合現代企業需求。IBM表示，過去三年IBM力亟在zSystems平臺支援開源技術及通用的開發環境，使z系列得以現代化，讓部署在大型主機上的應用也能部署在混合雲環境。</p> <p><a href="https://www.ithome.com.tw/news/149392" target="_blank">IBM今年2月宣布</a>，公有雲服務IBM Cloud將提供IBM Z as-a-service開發服務，將大型主機搬上雲端，以支援大型主機客戶在混合雲環境的專案開發測試之用。</p> </div></div></div>
2022/4/6 13:17作者林妍溱https://www.ithome.com.tw/news/150272
微軟公布Windows 11與Windows 365整合功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周說明Windows 11即將增加的新功能，進一步強化本地端Windows和雲端服務Windows 365的整合。</p> <p><a href="https://blogs.windows.com/windowsexperience/2022/04/05/windows-powers-the-future-of-hybrid-work/" target="_blank">微軟周三（4/5）在一場以混合工作模式為主題的線上活動中</a>，公布多項Windows 11新功能，微軟表示很快就會推出。其中一批新功能則讓企業員工更方便在本地端Windows 11和Windows 365切換或同步。</p> <p><a href="https://www.ithome.com.tw/news/145984" target="_blank">去年8月正式上線的的Windows 365</a>是將Windows與運算、記憶體、儲存包裹成不同級別的Cloud PC套件，並以人頭計價，讓企業用戶利用瀏覽器即可在任何地方、以任何連網裝置，包括Android、Windows或iOS裝置存取Cloud PC，以執行Windows 10或下一代的Windows 11桌面、檔案和應用程式。</p> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2022/04/05/new-experiences-in-windows-11-and-windows-365-empower-new-ways-of-working/" target="_blank">Windows 365總經理Wangui McKelvey指出</a>，隨著COVID-19疫情消褪，企業轉向更永久的混合工作策略，需要新的整合功能來適應彈性作業。為此，微軟很快將會有一批新功能，可進一步整合PC及雲端，支持Windows無縫轉換又不犠牲安全性。</p> <p>例如Window 365 Boot可讓用戶在PC啟動後直接登入Windows 365 Cloud PC，並指定為用戶主要的Windows桌面。這功能方便短期約聘人員、前線作業人員，如客服，或是BYOD（Bring Your Own Device）的工作型態。Windows 365 Switch則讓用戶可以在同一臺PC上切換Windows 11及Windows 365 Cloud PC，一如以工作管理員切換不同桌面工作，同時維持相同的鍵盤指令、滑鼠或觸控指令等。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/uploads/prod/sites/2/2022/04/WIN11-M365-2-768x480.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>此外還會有新的原生Windows 365 App，可直接以「開始」選單或工作管理員登入Windows 365 Cloud PC。微軟也透露目前正在開發Windows 365 Office，可在離線狀態下在Windows 365環境下作業，等連線恢復後，Windows 365 Cloud PC就能在不損失資料情況下，同步到雲端的Windows 365服務。</p> <p>除了Windows 365的整合外，Windows 11新功能還包括「開始」選單中增加App資料夾以更快找到想要的App，新的檔案總管加入分頁及情境IQ（Context IQ），後者可加快檔案搜尋及提供建議。Windows 11 Teams中加入AI強化的會議功能，像自動將人物置於畫面中央（auto framing）、模糊背景、強化聲音、降噪、以及自動矯正人物偏離的眼神（Eye Contact）。此外也加入了自動即時字幕、以及專注（Focus）功能、可同時呈現多項應用畫面的多工功能，名為Snap。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2022/04/WIN11_SV2_CML_File_Explorer_Tabs_16x9_en-US-2048x1152.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></p> <p>即將推出的Windows功能也在IT管理面有所加強，包括Windows Edge應用程式管理、簡化大型企業Windows E3用戶修補程式安裝的Autopatch、以及零信任端點安全、以及強化的釣魚信件防護等。</p> </div></div></div>
2022/4/6 10:01作者林妍溱https://www.ithome.com.tw/news/150269
AMD將以19億美元買下分散式服務平臺Pensando Systems
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.amd.com/news-events/press-releases/detail/1057/amd-expands-data-center-solutions-capabilities-with" target="_blank">AMD周一（4/4）宣布</a>，將以19億美元買下分散式服務平臺Pensando Systems，雙方預計於今年第二季完成交易。外界預期AMD將可藉由Pensando Systems在雲端及大型企業中的足跡，擴大該公司於資料中心市場的版圖。</p> <p>Pensando Systems成立於2017年，著眼於IoT、AI及5G帶來大量的資料，改變了使用資料的方式，促使運算必須遷就資料位置，因而建立了一個平臺，將可程式化的軟體定義雲端、運算、網路、儲存及安全服務傳送到資料所在地；該平臺藉由網路遞送的可程式化封包處理器可同步地加速不同的基礎設施服務，卸載CPU的工作負載，以提高系統的整體效能。</p> <p>這使得Pensando Systems宣稱以該平臺進行雲端部署，其效能可達全球最大雲端供應商的8~13倍，而且使用更少的電力，也號稱其智慧交換架構的規模是競爭對手的100倍，效能為10倍，成本卻只有1/3。雖然成立才5年，但包括HPE、微軟與甲骨文都已是Pensando Systems的客戶。</p> <p>未來Pensando Systems將被納入AMD的資料中心解決方案部門，而Pensando Systems的共同創辦人暨現任執行長Prem Jain也將加入AMD。</p> </div></div></div>
2022/4/5 16:39作者陳曉莉https://www.ithome.com.tw/news/150268
俄羅斯擬立新法合法化盜版軟體、影音內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bbc.com/news/world-europe-60932975" target="_blank">BBC</a>、<a href="https://www.reuters.com/business/retail-consumer/russia-approves-parallel-imports-after-top-brands-halt-sales-2022-03-30/" target="_blank">路透社</a>報導，上周俄羅斯政府公布一項平行進口（parallel imports）草案，允許特定外國產品進口，即使產品商標持有人未同意。</p> <p>俄羅斯總理Mikhail Mishustin上周在一項電視轉播的政府會議上，公布聯邦反托拉斯局（FAS）的草案。根據草案，經俄國產業及貿易部准許的外國商品得以進口，即使外國政客對該國「有不友善的行為」。Mishustin指出，此舉可確保滿足民生需求、維持國內市場競爭性及物價穩定。</p> <p>俄國所指不友善行為是指烏俄戰爭後，西方國家採取制裁行動，以及知名廠商迄今已有數百家西方品牌業者暫停在俄國的商業活動。包括蘋果、Nike、H&M等大型品牌以及藝電（EA）、微軟、Activision Blizzard、Sony、Netflix、Spotify等電玩及影、音平臺暫停在俄國提供商品及服務。</p> <p>長期觀察俄國媒體的<a href="https://twitter.com/KevinRothrock/status/1509156125236776968" target="_blank">部落客Kevin Rothrock則指出</a>，俄國當局的准許品項清單涵括電影、音樂、軟體及其他「發明」，這根本是俄國政府合法化盜版的行為。</p> <p>在此之前，俄國法令嚴禁盜版，<a href="https://www.mondaq.com/russianfederation/copyright/609282/internet-anti-piracy-enforcement-in-russia" target="_blank">2013年上路的反盜版法</a>即禁止使用、散布或重製網路上非授權內容，包括電視、影片、音樂、軟體及文學作品等。</p> <p>這顯然是俄羅斯對西方國家制裁的回應。<a href="https://finance.yahoo.com/news/russia-may-legalize-software-piracy-215000363.html" target="_blank">俄羅斯經濟部3月間提出</a>一項《因應外國制裁壓力確保國家經濟發展之優先行動方案》，西方媒體即預期俄國政府可能將合法化盜版行為，以報復軟體、遊戲業者跟進西方政府實施的制裁行動。</p> <p><a href="https://www.ithome.com.tw/news/149747" target="_blank">上個月俄羅斯也公布一項著作權修正案</a>，在國家利益為前提下，允許俄國企業單方面取得未經軟體著作人同意的產品授權，也廢除付費補償的規定。</p> </div></div></div>
2022/4/5 15:31作者林妍溱https://www.ithome.com.tw/news/150264
傳歐盟反托拉斯主管機關盯上微軟雲端業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/business/microsofts-cloud-business-targeted-by-eu-antitrust-regulators-2022-04-01/" target="_blank">路透社報導</a>，歐盟正在對微軟雲端業務的競爭對手及客戶發出問卷，可能準備對這家美國科技巨擘展開正式調查。</p> <p>路透社取得歐盟發出的問卷說明，歐盟已獲悉微軟可能利用其在特定軟體市場壟斷地位阻止特定雲端運算服務競爭對手。</p> <p>在問卷問題方面，歐盟主管機關想了解微軟和雲端服務供應商的授權合約，能否允許對手有效競爭，以及企業是否需要微軟作業系統及生產力應用來補足雲端基礎架構才能有效競爭。他們也想知道微軟對雲端服務業者的商業合約條件，和他們經銷微軟雲端服務的條件及授權費用有否差別。最後則問道這些業者的雲端儲存服務有什麼技術限制。</p> <p>三月中歐洲雲端服務業者包括德國的NextCloud及法國的OVH，及另二家雲端業者對歐盟執委會<a href="https://www.reuters.com/technology/eus-vestager-says-no-antitrust-concerns-yet-about-cloud-computing-2022-03-28/" target="_blank">控告微軟雲端業務有排擠競爭者之嫌</a>。</p> <p>對此，微軟發出聲明指出，公司一直持續評估如何支持合作夥伴，並將微軟軟體提供給各種環境的客戶。</p> <p>歐盟自2019年為推動歐洲自有資料基礎設施架構而啟動Gaia-X 倡議，以減少對美國業者的依賴。<a href="https://www.reuters.com/technology/eus-vestager-says-no-antitrust-concerns-yet-about-cloud-computing-2022-03-28/" target="_blank">歐盟反托拉斯委員會主席Margrethe Vestager上周表示</a>，由於Gaia-X 倡議以及市場上AWS、微軟Azure等選項，因此歐洲雲端市場尚無反托拉斯的問題。</p> </div></div></div>
2022/4/5 15:45作者林妍溱https://www.ithome.com.tw/news/150265
英國財政大臣要求皇家鑄幣廠在今年夏天發行NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/speeches/keynote-speech-by-john-glen-economic-secretary-to-the-treasury-at-the-innovate-finance-global-summit" target="_blank">英國財政部在本周一（4/4）舉行的創新金融全球高峰會（Innovate Finance Global Summit）上指出</a>，英國財政部大臣Rishi Sunak已要求皇家鑄幣廠於今年夏天發行非同質化代幣（Non-Fungible Token，NFT）。</p> <p>Sunak本人並沒有出席此一高峰會，而是由財政部經濟事務秘書John Glen代為上陣，Glen傳達了英國財政部推動加密貨幣政策與市場的決心，表示將從政策及法令著手，讓英國成為全球加密貨幣技術與金融科技的中樞。</p> <p>Glen表示，歐洲有接近一半的金融科技獨角獸位於英國，且在2021年時，英國於金融科技領域的投資金額比前一年成長了200%，勝過法國、德國、瑞典與荷蘭的總和，己成為全球僅次於美國的市場。</p> <p>英國財政部認為，在商業歷史上，從未出現過像分散式帳本與區塊鏈技術這般被大肆宣傳卻又被誤解的發明，然而，它們相信加密貨幣技術將在未來扮演關鍵角色，因此，為了解決它們的缺點，該部門持續推動相關政策及法令的改善，例如訂定加密貨幣的稅法、將加密貨幣交易納入監管或是將其納入洗錢防治法等，另一方面，為了釋放其潛力，英國財政部也決定著手推動加密貨幣的應用。</p> <p>Glen指出，英國未來將會立法以讓特定的穩定幣加入英國的支付框架，替穩定幣的發行商與服務供應商奠定於英國發展的基礎，提高消費者使用穩定幣支付服務的信心。</p> <p>此外，財政部還將推出金融市場基礎設施沙箱（Financial Market Infrastructure Sandbox），以讓這些金融新創能夠實驗各種新的技術、產品與服務。</p> <p>Glen坦承，沒有人知道未來的Web3會是什麼樣貌，但不論如何區塊鏈都很可能成為Web3不可或缺的一部分，而他們希望英國能夠身處其中，尋求其最大的經濟機會。</p> <p>不過，Glen並未在此一會議中談及由皇家鑄幣廠發行的NFT將採用什麼樣的圖像、發行數量或是否用來籌措國庫資金等資訊，有鑑於距離夏天已不遠，細節應該很快就會出爐。</p> </div></div></div>
2022/4/5 16:05作者陳曉莉https://www.ithome.com.tw/news/150266
Wing首個大都會區無人機送貨服務將在4月7日正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wing-prod.blogspot.com/2022/04/the-dallas-flyer-episode-11-wing-to.html" target="_blank">Alphabet無人機子公司Wing於周一（4/4）宣布</a>，該公司首個大都會區無人機送貨服務將在4月7日正式上線，首波瞄準德州達拉斯—沃斯堡都會區，位於弗里斯科（Frisco）及小榆樹（Little Elm）數萬居民將能率先使用這項服務，合作對象除了美國第二大連鎖藥局Walgreens之外，還包括冰淇淋製造商Blue Bell Creameries、寵物醫院管理業者EasyVet，以及Texas Health。</p> <p><a href="https://www.ithome.com.tw/news/147398" target="_blank">Wing在去年10月就與Walgreens於德州展開無人機送貨測試</a>，雙方使用新型態且方便部署的無人機，可直接部署於商店的屋頂，以於人口稠密的大都會地區以無人機送貨。</p> <p><a href="https://wing.com/dfw/" target="_blank">根據Wing的說明</a>，達拉斯—沃斯堡都會區的無人機送貨距離為6英里（9.66公里），送貨時間只要6分鐘，而且免運費。</p> <p>當地的居民未來不管是訂購Walgreens的保健食品、Blue Bell Creameries冰淇淋、EasyVet的寵物處方藥，或是Texas Health的急救箱，都有可能是無人機送來的。</p> </div></div></div>
2022/4/5 16:20作者陳曉莉https://www.ithome.com.tw/news/150267
馬斯克收購價值近30億美金股權，成為Twitter最大股東
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在批評推特（Twitter）限制言論自由後，世界首富馬斯克（Elon Musk）以價值約30億美金收購推特將近9.2%股權，成為最大股東。</p> <p><a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001418091/f66f56c1-eb52-43f8-a7ff-992dc80a7396.pdf" target="_blank">根據推特3月14日向美國證管會提交的報告</a>，馬斯克掌握了推特73,486,938股，占整體股權的9.2%。CNBC估計這批股票價值29.8億美元。而周一這個消息也讓推特股價由上周的39美元一舉漲了20%來到47美元。</p> <p><a href="https://www.forbes.com/sites/siladityaray/2022/04/04/elon-musk-acquires-92-stake-in-twitter/?sh=62cbee72e2e0" target="_blank">富比世</a><a href="https://www.forbes.com/sites/siladityaray/2022/04/04/elon-musk-acquires-92-stake-in-twitter/?sh=62cbee72e2e0" target="_blank">報導</a>現在馬斯克的推特持股也超過了推特原創辦人Jack Dorsey持有的2.25%，成為最大股東。</p> <p>這令人聯想起馬斯克似乎不滿推特的言論管理政策。<a href="https://twitter.com/elonmusk/status/1507777261654605828" target="_blank">他在3月25日批評推特限制其言論自由</a>，表示推特作為公認的公共論壇，卻未能遵循自由言論精神，已經根本顛覆了民主。馬斯克針對自己8千萬粉絲投票詢問「推特是否嚴格遵守言論自由原則」，結果超過7成表達反對。他並問道，是否需要有新的平臺。</p> <p>此外，馬斯克也不認同推特提倡的Web3、NFT。<a href="https://twitter.com/elonmusk/status/1484456594775678976" target="_blank">1月他稱NFT是胡扯</a>，在現行加密貨幣詐騙充斥的時候，推特投資太多無謂的工程資源。<a href="https://twitter.com/elonmusk/status/1371549960030842893" target="_blank">3月中他先是宣布</a>將一首關於NFT的歌當成NFT來銷售，隔天又以「覺得不太好」為由打消這個主意。</p> <p>至於他投資推特的目的為何，則尚不得而知。不過<a href="https://www.forbes.com/sites/petercohan/2022/04/04/3-reasons-elon-musk-should-not-take-twitter-private-for-41-billion/?sh=763e3dd0254c">富比世認為</a>就投資效益而言，推特並不是好的投資標的；三年來推特股價只漲了約14%，遠不及整個股市的59%，或是特斯拉的1,800%。</p> <p>此外，馬斯克也應不會想將推特整個收購下市。原因是若假定以溢價30%收購整個推特需花掉410億美金，若只是為了抗議推特演算法傷害其言論自由，未免也太小題大作，畢竟他一句話就可成為整個媒體界頭條，推特演算法根本無足輕重。若將之變成自己的資產，從美國前總統川普推出的Truth Social門可羅雀來看，私有化推特有害無益。</p> </div></div></div>
2022/4/5 11:37作者林妍溱https://www.ithome.com.tw/news/150261
Windows 11允許變更預設瀏覽器 Mozilla認為有改善空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 11近日最新更新讓使用者可以一鍵變更預設瀏覽器，不過Firefox的開發商Mozilla認為，微軟還可以做更多。</p> <p><a href="https://www.ithome.com.tw/news/150172" target="_blank">上周微軟釋出Windows 11最新累積更新</a>，在「設定」App>「預設App」下多加了一個「設定預設」的新按鍵，讓用戶一次就能將預設瀏覽器由Edge，轉換成Chrome、Firefox、Brave等其他產品，讓用戶不再需要按檔案類型一個個設定預設瀏覽器。</p> <p>微軟此舉或許讓外界稱許聽到用戶心聲，但其實也是修正回Windows 10時代就有的作法。同時，上周<a href="https://www.windowscentral.com/mozilla-calls-microsoft-respect-default-browser-choice-windows" target="_blank">Windows Central</a>、<a href="https://www.neowin.net/news/somewhat-happy-mozilla-wants-microsoft-to-make-default-browser-switching-more-easy/" target="_blank">Neowin</a>引述Mozilla也認為，微軟改善瀏覽器設定的變更，是向對的方面跨進了一步，但要在Windows上「尊重預設瀏覽器」，微軟還有其他可做的。</p> <p>Mozilla指出，所有作業系統應支援開發商作為預設狀態，例如他們希望微軟能再簡化將新瀏覽器設定為預設所需的步驟。此外Mozilla認為微軟應開放App開發商存取其他微軟應用程式內預設的瀏覽器。</p> <p>Mozilla希望回到Windows 10一樣的作法，開啟其他瀏覽器時很簡單就能設定為預設。但是也有人批評，在Firefox下變更預設搜尋引擎（目前為Google Search），使用者也得要花時間找一找才能變更為其他搜尋引擎。</p> </div></div></div>
2022/4/5 12:05作者林妍溱https://www.ithome.com.tw/news/150262
美國國務院設立網路空間暨數位政策局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.state.gov/establishment-of-the-bureau-of-cyberspace-and-digital-policy/" target="_blank">美國國務院於周一（4/4）宣布</a>設立網路空間暨數位政策局（Bureau of Cyberspace and Digital Policy，CDP），負責於美國內部解決與國際之間有關的網路空間政策，且即日起開始運作。目前CDP已有60名員工，預期人員編制為100名左右。</p> <p>CDP的任務在於協調國務院在網路空間與數位外交上的工作，將協助制定各種得以保護網路基礎設施完整性與安全的政策，以維護美國利益、推動競爭及維護民主價值。</p> <p>它內含3個政策單位，分別是國際網路空間安全、國際資訊與通訊政策，以及數位自由。美國國務院希望藉由CDP來解決美國的國家安全挑戰與經濟機會，考量由網路空間、數位技術與數位政策所衍生的價值，同時提倡支援美國價值的標準與規範。</p> <p>CDP成立初期將由美國高級外交服務成員Jennifer Bachus暫代該局的首席副助理局長，之後將由美國參議院遴選出巡迴大使（Ambassador-at-Large）來擔任局長。</p> </div></div></div>
2022/4/5 12:13作者陳曉莉https://www.ithome.com.tw/news/150263
電子郵件行銷公司MailChimp遭駭，牽連加密貨幣業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件行銷公司MailChimp在3月下旬遭到駭客入侵，駭客存取了該公司的內部工具，進而取得MailChimp客戶的API金鑰，藉由MailChimp行銷平臺鎖定加密貨幣業者展開網釣攻擊，加密貨幣硬體錢包業者Trezor已確定受到牽連，多名Trezor用戶在不知情的狀況下交出了自己的助記詞（Seed Words），而讓駭客盜轉了他們的加密貨幣。</p> <p>MailChimp向《<a href="https://www.bleepingcomputer.com/news/security/hackers-breach-mailchimps-internal-tools-to-target-crypto-customers/" target="_blank">BleepingComputer</a>》與《TechCrunch》透露，駭客是先針對該公司員工進行社交工程攻擊，藉由所取得的員工憑證在3月26日存取了客服及帳號管理團隊所使用的內部工具，繼之存取了319個MailChimp客戶的帳號，並匯出其中102個客戶的用戶名單，同時取得了部分客戶的API金鑰，駭客即可透過這些API金鑰廣發行銷郵件。</p> <p class="rtecenter"><a href="https://twitter.com/Trezor/status/1510558771944333312?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1510558771944333312%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fcdn.embedly.com%2Fwidgets%2Fmedia.html%3Ftype%3Dtext2Fhtmlkey%3Da19fcc184b9711e1b4764040d3dc5c07schema%3Dtwitterurl%3Dhttps3A%2F%2Ftwitter.com%2Ftrezor%2Fstatus%2F1510558771944333312image%3Dhttps3A%2F%2Fi.embed.ly%2F1%2Fimage3Furl3Dhttps253A252F252Fabs.twimg.com252Ferrors252Flogo46x38.png26key3Da19fcc184b9711e1b4764040d3dc5c07" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0405-mailchimp%20trezor-600.png" style="width: 557px;" /></a></p> <p>目前至少確定Trezor的API金鑰遭駭客盜用，因為<a href="https://blog.trezor.io/ongoing-phishing-attacks-on-trezor-users-edd840b17304" target="_blank">駭客假借Trezor的名義發送了網釣郵件予使用者</a>，在郵件中宣稱Trezor發生資安意外，要求使用者下載最新的Trezor Suite軟體版本並重設PIN碼。</p> <p class="rtecenter"><a href="https://twitter.com/lifeindefi/status/1510474128410746881" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FPZHtovWYAADe5C?format=png&name=900x900" style="width: 599px;" /></a></p> <p><a href="https://twitter.com/lifeindefi/status/1510474128410746881" target="_blank"><span style="color:#696969;">圖片來源／</span></a><a href="https://twitter.com/lifeindefi/status/1510474128410746881" target="_blank"><span style="color:#696969;">Life in DeFi</span></a><a href="https://twitter.com/lifeindefi/status/1510474128410746881" target="_blank"><span style="color:#696969;"> on twitter</span></a></p> <p>然而，當Trezor用戶下載並安裝該軟體時，它會要求使用者輸入助記詞（Seed Words），由於助記詞是在錢包毀損時用以恢復或重新存取錢包的重要依據，一旦使用者交出助記詞，駭客便得以盜轉錢包中的所有加密資產。由於駭客不僅採用Trezor的官方圖示，也建立了與Trezor幾乎一樣的網釣網站，而讓許多使用者信以為真。</p> <p>縱使MailChimp很快就變更及終止被盜用的員工憑證與API金鑰，且Trezor亦採取行動以關閉這些網釣網站，但已有使用者受害，而且可能還有其它的MailChimp客戶受害。</p> <p>這起意外屬於供應鏈攻擊，駭客藉由行銷平臺廣發容易令人信以為真的網釣郵件，如同日前<a href="https://www.ithome.com.tw/news/150257" target="_blank">駭客於Discord上多個NFT專案的官方社群發布訊息</a>一樣，另外值得注意的是，身分竊盜所能造成的災害已愈來愈嚴重，例如<a href="https://www.ithome.com.tw/news/150052" target="_blank">Lapsus$駭客集團</a>已藉由此一手法成功入侵Nvidia、三星、Okta與微軟，盜走這些知名企業的機密資料並向它們勒索。</p> </div></div></div>
2022/4/5 11:09作者陳曉莉https://www.ithome.com.tw/news/150260
俄烏戰爭造成俄羅斯IT人才大量出走
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯總理Mikhail Mishustin在3月2日宣布，所有境內的資訊科技公司都能免除未來3年的稅賦，期望留住俄羅斯的IT企業與人才，這是因為在俄羅斯於2月24日針對烏克蘭展開「特別軍事行動」之後，因為受到美國與歐洲的經濟制裁，境內的IT企業與人才紛紛出走，截至今年3月底為止，最多已有7萬名IT人離開俄羅斯，而俄羅斯電子通訊協會（Russian Association for Electronic Communications，RAEC）更警告，4月底前當地IT人才的流失人數可能高達17萬名，讓當地已青黃不接的IT人才缺口更陷窘境。</p> <p>為了留住IT企業，俄羅斯政府不僅祭出免稅措施，IT企業在這3年的期間也不會受到監管機關的檢查，還能夠以3%以下的低利率向當地銀行貸款。</p> <p>西方國家向俄羅斯展開的經濟制裁中，包含許多知名的IT企業不再銷售軟體、硬體或服務予俄羅斯，業務的停滯也讓這些原本進駐俄羅斯的企業將員工移至其它市場，這些IT人才就近被轉移到塞浦路斯、喬治亞、土耳其、亞美尼亞、立陶宛，或直接回美國，有些企業甚至把當地的整個團隊都遷出。</p> <p><a href="https://www.themoscowtimes.com/2022/03/22/170k-russian-it-specialists-could-emigrate-by-april-industry-a77034" target="_blank">《莫斯科時報》（The Moscow Times）引用RAEC的數據指出</a>，截至今年的3月中旬，已有5萬至7萬名的IT人才離開俄羅斯，4月最多可能再流失10萬名IT人才。</p> <p><a href="https://www.computerweekly.com/news/252514793/Russian-IT-sector-facies-unprecedented-crisis" target="_blank">市場分析指出</a>，有關IT的經濟制裁可能讓俄羅斯無法再購買足夠的伺服器與資料儲存系統，而IT企業與人才的出走則會讓俄羅斯的IT架構出現缺口，甚至影響當地的國家安全，儘管俄羅斯極力發展自家的IT技術與人才，但短時間內可能緩不濟急。</p> </div></div></div>
2022/4/4 14:48作者陳曉莉https://www.ithome.com.tw/news/150258
GitLab修補允許駭客接管用戶帳號的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/" target="_blank">GitLab在3月31日釋出安全更新</a>，主要是為了修補可被駭客接管帳號的CVE-2022-1162重大安全漏洞。</p> <p>CVE-2022-1162是因用戶採用OmniAuth進行註冊時，無意間設成靜態密碼所造成的安全漏洞，將允許駭客接管用戶帳號，其CVSS風險等級高達9.1。不管是OAuth、LDAP或SAML皆屬OmniAuth供應商，同時波及GitLab Community Edition（CE）與GitLab Enterprise Edition（EE）的14.7至14.7.6、14.8至14.8.4及14.9至14.9.1版本，GitLab已釋出CE與EE的14.7.7、14.8.5與14.9.2來修補該漏洞，並修補了其它十多個安全漏洞，亦強烈建議所有用戶立即升級到最新版。</p> <p>幸好CVE-2022-1162是由GitLab內部團隊所發現，雖然尚未接獲任何用戶遭駭的報告，但為了保險起見，GitLab於修補當天已主動重設特定用戶的密碼，另也釋出一個腳本程式以讓管理人員得以辨識哪些使用者帳號受到CVE-2022-1162漏洞影響。</p> <p>目前約有逾10萬個組織採用GitLab的DevOps平臺，其全球註冊用戶超過3,000萬個。</p> </div></div></div>
2022/4/4 15:04作者陳曉莉https://www.ithome.com.tw/news/150259
Discord上包括無聊猿猴在內的多個NFT專案遭駭客入侵並廣播詐騙訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Discord上包括無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）在內的多個NFT專案在4月1日傳出遭駭事件，駭客於這些NFT專案的官方伺服器上發布詐騙訊息，要求使用者支付以太幣以鑄造新的NFT，除了BAYC之外，Nyoki Club、Shamanz、Doodles及Kaiju Kingz等NFT專案也都傳出災情，但不確定有多少用戶受害。</p> <p class="rtecenter"><a href="https://twitter.com/BoredApeYC/status/1509770607759540229" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-discord%20nft%20BAYC-600.png" style="width: 600px;" /></a></p> <p>Discord是個免費的網路即時訊息軟體與數位發行平臺，它幾乎支援所有的作業系統，因此深受使用者喜愛，儘管它最大宗的用戶是遊戲玩家，但各種社群都可於Discord上建立伺服器來進行交流，也成為NFT社群的集散地，從2015年創立迄今，Discord已吸引了超過1億名用戶，社群所建立的伺服器數量超過650萬個。Discord的主要營收來自於Nitro訂閱服務，提供社群更多的伺服器進階功能，包括更出色的表情符號、支援更大的上傳檔案與直播功能等，每年的訂閱費用視功能而定可分成49.99美元及99.99美元，外界估計它在2020年創造了1.2億美元的營收，身價超過70億美元。</p> <p>迄今Discord尚未對此發出聲明，<a href="https://twitter.com/nyokiclub/status/1509870367762001921" target="_blank">有些NFT專案則說自己於Discord上建立的伺服器遭到駭客入侵</a>，<a href="https://twitter.com/SerpentAU/status/1509784187154628614" target="_blank">代號為Serpent的安全專家認為是Ticket工具遭駭</a>，並呼籲這些NFT專案自伺服器上移除該工具。Ticket工具通常是用來分類與處理用戶的請求，Discord允許社群於伺服器上安裝各種第三方的Ticket Bot，Serpent則發現許多受害的NFT專案都採用同樣的Ticket Bot，Shamanz專案也說是Ticket Bot被危害所造成的。</p> <p>然而，Nyoki Club卻說，該專案並未使用被駭的Ticket Bot，駭客是利用該專案其中一名創辦人的憑證來發布偽造的鑄幣訊息。</p> <p>儘管這些NFT專案都在發現詐騙訊息的半小時內就察覺，並且警告用戶不要於Discord上點選任何鑄造NFT的連結，但由於這些社群的傳播力強，且用戶動作迅速，已傳出不少災情。</p> </div></div></div>
2022/4/4 13:44作者陳曉莉https://www.ithome.com.tw/news/150257
最新資料刪除軟體導致Viasat歐洲通訊衛星斷線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/acidrain-a-modem-wiper-rains-down-on-europe/" target="_blank">安全廠商SentinelOne發現最新一宗資料刪除軟體攻擊</a>，讓2月底歐洲通訊衛星KA-SAT斷線，並導致數萬用戶網路斷線。</p> <p>2月底俄羅斯侵略烏克蘭不久，美國公司Viasat的高吞吐量通訊衛星KA-SAT位於烏克蘭境內的數據機遭到攻擊斷線，接著法國有近9,000家用戶、以及歐洲電信衛星（Eutelsat）1萬多用戶，並導致德國5,800多架用於發電的風機無法遠端監控與控制。此次攻擊起因雖然眾說紛紜，但一直沒有技術細節公布。但SentinelOne發現肇禍者是最新的資料刪除程式。</p> <p>SentinelOne 3月中在VirusTotal上發現一個ELF MIPS檔案，檔名為ukrop，疑為ukraine和operation的綜合。該公司將之命名為AcidRain。AcidRain的功能很簡單，透過暴力破解存取受害系統。它的binary能對檔案系統及多種儲存裝置的檔案徹底刪除資料。若AcidRain以根權限執行，會先啟動多次複寫，並刪除檔案系統內非標準的檔案。</p> <p>這個程式會掃瞄所有可能的裝置檔案識別符（file identifier）、啟動裝置檔案，再以高達0x40000 bytes的資料覆寫之，或使用MEMGETINFO、MEMUNLOCK、MEMERASE和 MEMWRITEOOB等系統呼叫（IOCTL）指令。等刪除完成，即重新啟動裝置，結果讓裝置無法作用。</p> <p><a href="https://www.viasat.com/about/newsroom/blog/ka-sat-network-cyber-attack-overview/" target="_blank">Viasat公司隨後公布調查結果</a>，顯示攻擊有2階段，駭客先利用烏克蘭境內的多臺數據機發動阻斷服務攻擊，造成當地KA-SAT數據機斷線，之後進一步波及義大利的Viasat衛星通訊管理營運商Skylogic，導致攻擊擴大到歐洲其他地區的數據機。</p> <p>根據分析，AcidRain使用的IOCTL類似攻擊過QNAP的VPNFilter刪除程式外掛，後者被認為是俄羅斯政府御用駭客Fancy Bear或Sandworm所使用的工具。</p> <p>研究人員指出，雖然資料刪除程式相較其他類別的惡意程式來得罕見，但從烏克蘭戰爭開打一個多月以來，AcidRain已是第7隻，之前分別是WhisperKill、<a href="https://www.ithome.com.tw/news/148914" target="_blank"> WhisperGate</a>、<a href="https://www.ithome.com.tw/news/149633" target="_blank">HermeticWiper</a>、IsaacWiper、CaddyWiper和DoubleZero。</p> </div></div></div>
2022/4/4 11:37作者林妍溱https://www.ithome.com.tw/news/150255
俄羅斯關鍵基礎架構禁用外國軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯上周頒行一項新法令，將禁止基礎架構購買外國軟體，並要求三年後全數停用。</p> <p><a href="https://www.theregister.com/2022/04/01/russia_bans_foreign_software/" target="_blank">The Register報導</a>，俄羅斯總統<a href="https://regmedia.co.uk/2022/03/31/putin_order.pdf" target="_blank">普丁（Vladimir Putin）上周三（3/30）簽署了166號命令</a>，名為《確保俄羅斯聯邦重要資訊基礎架構的技術獨立與安全之措施》，並在隔日生效。</p> <p>為了發展俄國科技自主，本項命令要求俄國政府組成特別小組，推動關鍵基礎架構，包括安全電信及網路軟、硬體的研發專案及人才訓練。該命令給俄國政府機關6個月推行科技自主措施，包括禁用外國軟體、建立監管機制、並推動軟硬體維護及管理人才的培訓。</p> <p>最新命令要求各政府機構在一個月內說明重要關鍵基礎架構的軟體需求，並規定除非獲得准許，不得購買外國軟體，包括獨立軟體或是包含在基礎架構設備中的程式碼。俄羅斯政府計畫，所有政府機關在2025年1月1日以前停用所有外國軟體。</p> <p>這是俄羅斯與烏克蘭開戰，引發西方各國制裁下，俄國推動科技自製的最新行動。<a href="https://www.ithome.com.tw/news/149747" target="_blank">3月初俄羅斯政府已頒布命令</a>，要求所有電信業者使用俄國伺服器，且網域名中包含外國ID者應加入.ru網域。此外也規定政府機關需移除網站上所有源自外國的Javascript程式碼。為了管理，俄國主管機關也開始蒐集網站的詳細資料。</p> <p>此外，為了不受制於西方網頁憑證機構，<a href="https://www.ithome.com.tw/news/149846" target="_blank">俄國政府也已開始成立數位憑證發放機構</a>（Certificate Authority，CA）發放TLS憑證，以確保俄國網站的持續運作。</p> <p>但另一方面，俄羅斯政府也允許使用企業運作必要的軟體。在上個月的一項新項法案修訂中，<a href="https://www.ithome.com.tw/news/149747" target="_blank">俄羅斯允許企業在國家利益為前提下</a>，單方面取得資訊軟體授權，即使未獲原廠同意，也不需補償付費。</p> </div></div></div>
2022/4/4 12:57作者林妍溱https://www.ithome.com.tw/news/150256
Lapsus$相關2青少年被控詐欺、駭入電腦等罪名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月涉入駭客組織Lapsus$的7名青少年遭到英國警方逮捕，其中2人上周五（3/31）被警方起訴。</p> <p>接連駭入Nvidia、三星、Ubisoft、Okta及微軟的Lapsus$，在4名研究人員的追查下，最後由倫敦警局逮捕年紀在16到21歲之間的成員。</p> <p><a href="https://www.cityoflondon.police.uk/news/city-of-london/news/2022/march/two-teenagers-charged-in-connection-with-investigation-into-hacking-group/" target="_blank">倫敦市警局上周以3項罪名起訴一名16和17歲的青少年涉案</a>，罪名為分別是未經授權存取電腦意圖破壞資料穩定性、以假身分詐欺，以及未經授權存取電腦意圖阻撓資料存取。而16歲少年還多一項致使電腦執行非授權存取程式的罪名。目前兩人都已經遭警方拘留。</p> <p><a href="https://www.ithome.com.tw/news/150067" target="_blank">上個月彭博首先報導</a>，Lapsus$一名核心成員是住在牛津大學附近的16歲青少年。這名青少年已經是駭客界的老手，但因和肉搜網站Doxbin社群不和遭公布資料，以致其身分洩露。而根據資料，他已透過勒索企業累積上千萬美元財富。不過被起訴的兩人是否包含這名青少年不得而知。</p> <p>此外，Lapsus$成員還涉及去年遊戲業者藝電（EA）的數百萬美元勒索案。</p> <p>根據調查，Lapsus$可能還有成員位於巴西。巴西衛生署及多家南美洲企業也是Lapsus$的受害者。</p> <p>上周Lapsus$又持續作案，<a href="https://www.ithome.com.tw/news/150198" target="_blank">包括公布</a>Google、Meta的委外開發商Globant員工密碼及疑似其客戶專案的原始碼超過70GB，以及駭入美國警方電子郵件帳號，冒名向ISP及臉書、蘋果等社群平臺<a href="https://www.ithome.com.tw/news/150199" target="_blank">索取用戶個資</a>。</p> </div></div></div>
2022/4/4 11:15作者林妍溱https://www.ithome.com.tw/news/150253
程式語言Go以5招式防禦軟體供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期軟體供應鏈攻擊頻傳，最近發生在Npm上的攻擊，更是由套件作者本人發動，但由於現代軟體工程建立在協作之上，並且重度仰賴開源軟體，這使得企業軟體不得不面對，來自相依項目所進行的供應鏈攻擊。Go官方在自家<a href="https://go.dev/blog/supply-chain">部落格</a>，詳細說明Go開發工具和流程設計，足以降低各階段遭到攻擊的風險。</p> <p>Go防禦供應鏈攻擊第一招便是鎖定建置，使得外部的更改，都無法自動影響Go的建置，官方提到，與大多數的套件檔案管理不同，Go模組沒有獨立的限制列表，或是可以鎖定特定版本的釘選檔案，參與Go建置的每個相依項目的版本，完全由主模組的go.mod檔案控制。</p> <p>從Go 1.16開始，系統預設在go.mod不完整的情況下，建置命令包括go build、go test、go install和go run等命令將會執行失敗，唯一會改變go.mod與建置的命令，是go get和go mod tidy，但這兩個命令並不會自動執行或是在CI中執行，因此要對相依關係樹做出更改，必須是刻意為之，並且有機會經過程式碼審查。</p> <p>而且利用go get命令添加相依項目時，會使用go.mod中指定的版本而非最新版本。由於此機制，當模組被入侵並發布新的惡意版本時，在專案明確更新相依項目之前，既有程式碼都不會受到影響，而這也提供生態系審查更改和偵測事件的機會。</p> <p>另一個確保第三方無法影響建置的關鍵屬性，是模組版本內容無法改變，因為當破壞相依項目的攻擊者，可重新上傳現有版本，便能夠進一步破壞相依於該模組的專案。而go.sum檔案包含了相依項目的加密雜湊列表，因此能夠驗證模組的真偽，僅有go get和go mod tidy能夠修改該檔案，而任何go.sum的任何變更都會是刻意進行的相依項目變更。</p> <p>另外，Go把版本控制系統當作唯一的事實來源，官方解釋，大多數的專案都是利用版本控制系統進行開發，並且上傳到套件儲存庫，而這代表其中有兩個環節可能受到攻擊，其一是版本控制系統主機，另一個則是套件儲存庫，而後者因為較少被關注，因此更容易被上傳包含惡意程式碼的套件版本到儲存庫。</p> <p>但是在Go中，不存在套件儲存庫帳戶，套件的匯入路徑擁有go.mod擷取套件必要的資訊，Go會從版本控制系統直接取得套件。雖然Go模組有鏡像站點，但僅是一個代理，模組作者不需要註冊帳戶，也不需要將版本上傳到代理，代理使用與Go工具相同的邏輯快取套件版本。</p> <p>Go第四招防禦供應鏈攻擊，是將擷取和建置的程式碼視為不受信任和存在惡意的，因此在建置程式碼後不自動執行該程式，這是Go工具鏈中明確的安全設計原則，和大多數生態系在擷取套件時執行程式碼不同。</p> <p>官方提到，安裝後的Hooks過去曾被用作感染開發者機器的手段，而這是透過模組作者散布蠕蟲最方便的方法，不過，因為通常開發者在擷取程式碼後，便會在之後執行，因此無論是作為開發人員機器上的測試，還是生產二進位檔案的一部分，缺少安裝後Hooks，也只會影響攻擊者的速度，但卻是一種有意義的風險緩解措施。</p> <p>第五招供應鏈攻擊防禦招式，是拒絕大型相依樹的文化，Go傾向複製而不是添加新的相依項目，官方提到，這可能是Go生態系中最重要，但是技術性最低的軟體供應鏈風險緩解措施。簡單來說，在開發者使用一個函式庫時，不會發現需要同時仰賴其他數十個模組，而這能大幅降低供應鏈風險。</p> </div></div></div>
2022/4/4 10:22作者李建興https://www.ithome.com.tw/news/150235
趨勢科技修補Apex Central已遭攻擊的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/dcx/s/solution/000290678?language =en_US" target="_blank">趨勢科技上周針對Apex Central軟體釋出安全公告</a>，修補一個已遭攻擊的遠端程式碼執行（remote code execution，RCE）漏洞。</p> <p>趨勢科技修補的漏洞為編號CVE-2022-26871，位於Apex Central平臺，這是讓用戶可集中檢視所有端點、伺服器、網路及電子郵件安全防護狀態的中控臺。這項漏洞可讓未經授權的攻擊者上傳任意檔案，並遠端執行程式碼，安全風險值達到8.6。</p> <p class="rtecenter"><a href="http://success.trendmicro.com/dcx/s/solution/000290678?language =en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Trend%20Micro%20Apex%20Central-600.jpg" style="width: 600px;" /></a></p> <p>本地部署的Windows版及SaaS版本都受影響。趨勢科技已在3月9日部署修補程式到SaaS環境，<a href="https://files.trendmicro.com/products/apexcentral/P3/apexcentral-win-en-patch3-b6016.exe" target="_blank">也已提供針對Windows本地部署版本的更新</a>。同時間該公司也針對旗下混合雲安全產品TrendMicro Cloud One中的整合防護Deep Security及入侵偵測系統TippingPoint，以及本地部署的Deep Security Discovery Inspector釋出新的IPS規則及篩選器。</p> <p>趨勢科技研究中心首先偵測到這項漏洞，他們也觀察到網路上有針對「極少數」執行個體意圖開採漏洞的活動，已經聯繫用戶。該公司也呼籲所有用戶儘速升級到最新版本。</p> <p>要開採漏洞，攻擊者需要能實際或遠端存取機器，針對未能及時安裝更新的用戶，作為權宜之計，趨勢科技建議用戶應留意關鍵系統的遠端存取狀況，並將安全政策及網路周界的安全防護更新到最新狀態。但該公司強烈建議，用戶仍應及早更新軟體。</p> </div></div></div>
2022/4/4 10:39作者林妍溱https://www.ithome.com.tw/news/150252
微軟成立新的Android部門，打算讓Windows與Android之間的流暢度比擬macOS與iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.windowscentral.com/microsoft-doubles-down-its-android-and-windows-efforts-latest-reorg" target="_blank">根據《Windows Central》的報導</a>，微軟最近設立了新的Android Microsoft Platform and Experiences（AMPX）部門，將讓它成為內部的Android平臺大本營，致力於推動Windows及Android的整合，計畫讓Android成為Windows於行動平臺上的延伸，使Windows與Android足以比擬蘋果自家桌面（macOS）作業系統與行動作業系統（iOS）之間的流暢度。</p> <p>其實微軟很早就涉足可應用於行動裝置的嵌入式作業系統，於1996年便發表Windows CE，還早於Google在2008年推出的Android作業系統，之後微軟在2000年發表Windows Mobile以支援當時流行的個人數位助理裝置（PDA），並沿用至手機上，繼之於2010年發表專為手機設計的行動作業系統Windows Phone，一度讓Windows Mobile及Windows Phone並存，但Windows Phone一直未能成功趕上Android與iOS，使得微軟在2017年終止對Windows Phone的開發，也不再推出新的手機作業系統。</p> <p>接著微軟在2020年推出首款採用Android的微軟裝置Surface Duo，它不僅是微軟首個Android裝置，為微軟重回手機市場的代表作，還是個雙螢幕手機，Surface Duo 2亦於隔年問世。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Surface%20Duo%202%20(2).png" style="width: 600px;" /></p> <p><span style="color:#696969;">Surface Duo 2，圖片來源／微軟</span></p> <p>報導引用的是微軟產品長Panos Panay於內部發出的備忘錄，指出微軟準備將原本專門研究Surface Duo OS、Microsoft SwiftKey、Phone Link、Microsoft Launcher與其它Android團隊全都移至AMPX。</p> <p>有消息來源向《Windows Central》透露，微軟計畫提升Android的地位，讓它與Windows深度整合，使Android手機成為Windows的延伸，目標是讓Android與Windows的互動能像macOS與iPhone之間一樣自然。</p> <p>當《Windows Central》與<a href="https://www.xda-developers.com/microsoft-new-android-windows-team/" target="_blank">《XDA Developer》</a>向微軟求證此事時，微軟僅輕描淡寫地說，像所有公司一樣，該公司會定期評估業務，最近進行了組織的變革，以加速微軟的影響力，並提供客戶及合作夥伴更好的服務。</p> </div></div></div>
2022/4/4 11:01作者陳曉莉https://www.ithome.com.tw/news/150254
美國CISA成立「Shields Up」網站列出可行的重點資安指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="https://www.cisa.gov/shields-up" target="_blank">CISA提供的「Shields Up」資安防護指引網站</a>，分成4大部分。包括：1.提供所有企業組織適用的通用指引；2.提供企業高階主管與執行長（CEO）的建議；3.遭遇勒索軟體的應變；4.以及個人與家庭自保資安觀念。</p> <p>綜觀這個Shields Up資安指引的內容，不僅提出防護重點，同時還包含由美國網路安全及基礎設施安全局（CISA）建立的資源網站，讓企業資安人員、資安長或個人，都能簡便去運用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%99%BD%E5%AE%AE%E5%AE%89%E5%85%A8%E6%8C%87%E5%8D%97(1).jpg" style="text-align: center; width: 600px;" /></p> <p>在此技術指引當中，最主要的部分，就是提供了通用防護指引。綜觀這部分的內容，其實並不像過去所談的零信任、供應鏈安全那般複雜，而是簡要的聚焦在NIST CSF網路安全框架中，五大功能面向中的後四個面向，也就是──防護、偵測、回應與復原，並針對這些面向提供工作要點。</p> <p>最特別的部分，就是Shields Up還針對高階主管與執行長提供建言，當中有一點，已經不單是強調設置資安長的重要性，而是更進一步強調資安長也要加入企業風險決策過程。</p> <p>不僅如此，為了讓整體國家安全防護都能強化，Shields Up所談範疇，不只是企業組織，對於個人與家庭，這裡也給出基礎的防護觀念。</p> <p>另外，針對這幾年持續橫行的勒索軟體攻擊，由於事件不斷與威脅加劇，也使Shields Up特別提出簡要的因應步驟。</p> <p><span style="font-size:28px;"><strong>提供企業通用資安防護指引，讓普遍企業都能有簡單的依循方式</strong></span></p> <p>在Shields Up的企業通用資安指引中，指出不論企業組織規模大小，所有企業組織在網路安全與最關鍵資產方面的保護，都必須採用更高的安全水準與要求。</p> <p>簡單而言，在這份通用資安指引，當中主要聚焦4大面向，包括：防護、偵測、回應、復原，並相當簡要的，提出2到5項防護重點。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>需降低破壞性網路入侵的可能性</strong></span></span></p> <p>1. 需驗證所有企業網路的遠端存取，以及特權帳號或管理者帳號的存取，都需具備雙因素驗證（MFA）</p> <p>2. 確保軟體更新至最新版，並且優先更新CISA所識別的遭利用已知漏洞。（<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">https://www.cisa.gov/known-exploited-vulnerabilities-catalog</a>）</p> <p>3. 應確認組織內的IT人員，已禁用所有業務上非必要的網路埠與協定。</p> <p>4. 若是企業內部有使用雲端服務，要確保IT人員已經實施CISA指南中的強式控制概述，並經過查核。（網址是<a href="https://www.cisa.gov/uscert/ncas/analysis-reports/ar21-013a">https://www.cisa.gov/uscert/ncas/analysis-reports/ar21-013a</a>）</p> <p>5. 註冊使用CISA的免費網路衛生服務，當中提供漏洞掃描等資安檢測功能，可幫助企業組織減少面臨的威脅風險。（網址是<a href="https://www.cisa.gov/cyber-hygiene-services">https://www.cisa.gov/cyber-hygiene-services</a>）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Shields%20Up_Known%20Exploited%E5%BC%B1%E9%BB%9E%E5%88%86%E9%A1%9E.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">面對企業組織沒修補IT產品已知安全漏洞的情況，</span><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank"><span style="color:#696969;">美國CISA持續彙整出一批已遭成功利用的高風險漏洞名單</span></a><span style="color:#696969;">，提醒企業應優先處理，因為目前已有鎖定這些漏洞的攻擊。而在Shields Up企業組織通用指引中，也將這樣的資源參考頁面，列在確保軟體更新至最新版一項，方便用戶快速參考。</span></strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>需採取措施，快速偵測潛在入侵行為</strong></span></span></p> <p>1. 確保網路安全與IT人員，對於任何非預期或異常的網路行為，需專注在識別與快速評估，並要啟用日誌記錄功能，以便更有效率地調查事件與問題。</p> <p>2. 確認企業組織的整個網路受到防毒或反惡意軟體的保護，並要注意這些防護工具中的簽章已經更新。</p> <p>3. 若企業本身有與烏克蘭組織合作，請特別注意──需監控、檢查與隔離來自這些組織的流量。對於這些流量的存取控制需特別仔細審查。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>確保組織已有準備，遭入侵時迅速回應</strong></span></span></p> <p>1. 籌畫危機應變團隊，負責處理可疑網路安全事件，其團隊成員應包含技術、通訊、法務與營運持續性的角色。</p> <p>2. 確保關鍵人員都能找得到；確定為事件應變提供緊急支援的方法。</p> <p>3. 透過桌上演練方式，確保所有參與成員都了解他們在事件中的角色。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>組織應盡可能讓資安韌性最大化，以應對發生破壞性資安事件</strong></span></span></p> <p>1. 針對備份程序進行測試，確保組織遭遇勒索軟體或破壞性網路攻擊的影響時，能夠快速復原關鍵資料；確保備份資料是在隔離的環境，無法與網路連接。</p> <p>2. 如果使用工業控制系統（ICS）或OT技術，應針對手動控制進行測試，確保組織網路在不可用或不受信任的情況下，其關鍵功能仍然可以正常操作。</p> <p>值得注意的是，由於CISA意識到許多企業組織在緊急改進資安上，光是找到相關資源就是一大挑戰，因此，CISA今年製作免費工具與服務的目錄頁面，提供大家使用。網址是<a href="https://www.cisa.gov/free-cybersecurity-services-and-tools">https://www.cisa.gov/free-cybersecurity-services-and-tools</a></p> <p><span style="font-size:28px;"><strong>不只國家網路安全與企業資安，也呼籲個人與家庭要懂得自保</strong></span></p> <p>不僅企業組織要有資安防護概念，在Shields Up的內容中，也同時針對個人及家庭做出呼籲，這也強調了國家網路安全應是攸關全體，每個人都應該培養網路衛生習慣（Cyber Hygiene），並懂得如何自保。其實，基本的資安觀念並不少，但CISA建議，至少可以簡單從4件事做起，來確保自己的網路安全。</p> <p><strong>1. 在你的網路服務帳戶上，啟用多因素身分驗證。</strong></p> <p>這是因為只靠密碼保護並不足夠，利用第二層身分識別機制，例如SMS簡訊或電子郵件，或是利用驗證App，或是基於FIDO的身分驗證技術，這可以讓你的銀行、電子郵件服務商，或是你正在使用的其他網站服務，都能確保你的線上身分，就是你本人在使用。基本上，啟用多因素身分驗證後，可使帳號被盜用的可能性大幅降低，因此，記得將你使用的電子郵件、社交媒體、線上購物、金融服務帳戶，甚至遊戲等各式線上服務，都應啟用多因素身分驗證。</p> <p><strong>2. 更新你的軟體，開啟自動更新。</strong></p> <p>這是因為網路惡意分子會利用系統中的漏洞來入侵。基本上，手機、平板與電腦都需要更新作業系統，所有使用的應用程式與App也要更新──尤其是網路瀏覽器。最好是讓所有裝置、應用程式與作業系統，都啟用自動更新。</p> <p><strong>3. 點擊之前請深思。</strong></p> <p>這是因為有超過9成的成功網路攻擊，都是始於網路釣魚郵件。這是網路攻擊者的社交工程伎倆，使郵件夾帶的連結與網頁看來合法或逼真，目的是騙取密碼、個資、信用卡等敏感資訊，使你洩漏給對方，因此，如果是你不熟悉的網址，請相信你的直覺，並在點擊前都應該要三思而後行。此外，也要注意攻擊者會設法讓你的裝置被植入惡意軟體。</p> <p><strong>4. 使用強密碼。</strong></p> <p>最好使用密碼管理器來產生與儲存密碼。我們必須做好自我保護，同時也要保護我們所依賴的系統。</p> <p>從上述4件事來看，多因素身分驗證再次成為第一重點，甚至有三項其實都與個人帳密安全有關，換言之，對於身分盜用風險與防護，已是現代所有民眾都該具備的基本常識。</p> <p><span style="font-size:28px;"><strong>針對勒索軟體應變提供7步驟</strong></span></p> <p>較特別的是，由於勒索軟體威脅持續多年不斷，至今持續成為主要網路威脅之一，甚至美國政府也在評估，是否應將其威脅性提升，視為如恐怖主義同一等級。面對勒索軟體的危害，先前美國政府在2021年時，已設立了StopRansomware.gov網站，並提供CISA MS-ISAC勒索軟體防護指引。</p> <p>而在Shields Up指引中，再次針對勒索軟體的危害，強調7個因應上的要點，期望遭遇攻擊的普遍企業組織，都能知道基本因應步驟。在此當中，關於擷取系統映像檔、記憶體映像檔這一步驟，對於事件調查分析而言，至為關鍵。</p> <p>1. 確定受影響的系統，立即隔離。</p> <p>2. 僅在無法斷開設備與網路連接時，進行關閉，避免勒索軟體傳播。</p> <p>3. 對受影響的系統進行分類並復原。</p> <p>4. 諮詢事件應變團隊，在初步分析的基礎上，從事件發生的發展與記錄文件來獲得初步理解。</p> <p>5. 讓企業的內部團隊與外部團隊，以及利益相關者共同參與，並從事件減緩、回應與復原方面，了解各自可提供的支援。</p> <p>6. 針對受影響的設備（例如工作站與伺服器）擷取系統映像檔、記憶體映像檔。</p> <p>7. 向執法單位諮詢可能的解密工具，因為資安研究人員可能已破解了某些勒索軟體變體的加密演算法。</p> <p>除了上述這些美國政府提供的防護資源，對於臺灣企業而言，我們在國內也有勒索軟體防護專區的入口網站，網址是<a href="https://antiransom.tw/">https://antiransom.tw/</a>，這個線上服務，是台灣電腦網路危機處理暨協調中心TWCERT/CC所規畫，當中針對事前、事中與事後階段，均提供相應的指南、資源與自評等內容，同時也提供了國內通報的可聯繫管道。</p> <p><span style="font-size:28px;"><strong>同時提供Shields Up技術指引，統整俄羅斯威脅相關情資</strong></span></p> <p>值得一提的是，<a href="http://www.cisa.gov/uscert/shields-technical-guidance" target="_blank">在Shields Up的入口網站上，目前還提供了「Shields Up技術指南」</a>，將提供與俄羅斯威脅有關的最新資訊，這方面內容是由美國CISA與全國性聯合防禦計畫合作夥伴所分享，包括俄羅斯攻擊者的相關資訊，勒索軟體、破壞性惡意軟體、DDoS攻擊等情資，以及前面所提的Shields Up防護資訊等。</p> <p>透過這一系列公布的技術資源，企業組織可以更快瞭解，掌握烏克蘭最新遭受的網路威脅與攻擊活動。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>企業高層該注意的5大資安重點</strong></span></span></p> <p><strong>在Shields Up資安指引中，不只彙整企業資安通用的防護指引與資源，最特別的是針對企業高階主管與執行長提出建言。</strong></p> <p><strong>畢竟，要確保企業採用更高的安全水準與要求，企業領導者的態度至關重要，因此在CISA的建議中，包括資訊長等所有高階管理者，應採取下列5項措施行動，首要就是資安長位階提升、參與決策。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>1. 授權資安長（CISO）</strong></span></span></p> <p><strong>幾乎在每個組織中，要進行資安強化時，都會在業務的成本與營運風險之間權衡。而在現今威脅加劇的環境中，高階管理層應授權資安長，參與公司風險的決策過程，確保整個企業組織能瞭解資安投資，應是近期的重中之重。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2. 惡意網路活動通報門檻要降低</strong></span></span></p> <p><strong>隨著威脅加劇，每個企業組織向高層或政府報告潛在網路攻擊時，需通報的事件級別，應比平常水準降低，以確保潛在威脅能立即發現並因應。企業組織的高階管理者應建立，即使惡意網路活動跡象被封鎖或已經控制，但也應該通報CISA。要求所有組織大幅降低報告和共用惡意網路活動跡象的門檻。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>3. 參與資安事件應變計畫的測試</strong></span></span></p> <p><strong>執行網路事件應變計畫，不僅是要資安團隊與IT團隊的配合，還應該要包含企業管理高層與董事會成員。若是你還沒有這麼做，高階主管應參加桌上演練，以確保你能熟悉重大資安事件的管理，甚至不只是要對自家公司本身，還應該對你供應鏈中的公司。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>4. 聚焦在營運持續性</strong></span></span></p> <p><strong>應體認到資源有限，因此對於資安與資安韌性的投資，必須聚焦於那些支撐關鍵業務功能的系統上。高階管理層應確保已經識別出此類系統，並進行持續性測試，讓關鍵業務功能在遭受網路入侵時，仍然可以運作。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>5. 必須做最壞的打算</strong></span></span></p> <p><strong>雖然美國政府沒有關於美國本土面臨的具體威脅的可靠資訊，但組織應該為最壞的情況做好準備。高階管理層應確保具有緊急措施，可在發生入侵事件時，保護組織最關鍵的資產，以及在必要時斷開受到嚴重衝擊的網路環境。</strong></p> </div></div></div>
2022/4/3 00:22作者羅正漢https://www.ithome.com.tw/news/150239
美國升起資安防護罩
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1071-feng_mian_p1-open-zheng_han_-960x420_kao_bei_.jpg?itok=Mj4sN93Q" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安即國安不僅是臺灣主推的網路安全政策，也是世界趨勢，在爆發烏克蘭戰爭的局勢之下，美國總統拜登3月下半發布公告，宣示做好網路安全防護，要求企業、關鍵基礎設施業者必須積極提升防護力，並頒布全國資安防護指引計畫Shields Up。</p> </div></div></div>
2022/4/3 00:30作者羅正漢https://www.ithome.com.tw/article/150240
德國Fintech龍頭的崩壞之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1071-shu_zhai_zhu_tu_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二○二○年六月十九日是伯朗在威卡股份有限公司的最後一天。他在這裡當家做主將近二十年，一手從無到有建立起一家市值十幾億的企業。但就在這個星期五，一切成了過往雲煙。</p> <p>威卡總公司位於慕尼黑近郊的阿旭海姆（Aschheim），多位員工描述了當天近中午時分發生的事：集團的合規主任走進伯朗位於五樓的辦公室，對他說：「我被派來陪你離開公司。」合規主任負責確保威卡公司及員工的行為遵守法律規範。伯朗的神色有些不悅。時候已經到了嗎？</p> <p>早上監事會才撤銷對伯朗的信任。他可以在辭職或是被開除之間做選擇。伯朗決定自行離去。</p> <p>阿旭海姆位於慕尼黑郊區，是個單調乏味的工業城鎮。威卡在此處發跡，逐步征服世界成為市值達十幾億的重量級集團，甚至一度超越德意志銀行，有點像全球金融工業中的特斯拉。光榮全歸功於老闆馬庫斯．伯朗，一個怪胎，上師，救世主。</p> <p>威卡曾經是德國之光，證明德國不但會製造八汽缸引擎和機器，也能掌握數位技術。</p> <p>從二○二○年六月起，事實證明一切只是個巨大的幻影。威卡的帳戶裡短少了十九億歐元。這是這家企業五年多來的營業收益，但這筆鉅款並不存在。</p> <p>威卡申請破產，它是德國DAX指數有史以來第一家破產的公司。股東們共損失了兩百億歐元。</p> <p>四個人因此被拘留審查，伯朗是其中之一。他長年的同事和密友正在潛逃。這位前威卡董事的照片被張貼在全國的廣告柱子上，國際刑警組織也發布了全球通緝令：揚．馬薩雷克，一九八○年三月十五日出生於維也納，身高一百八十公分。</p> <p>慕尼黑的檢察機關懷疑這些人在業務上從事合夥詐欺、侵占，並且操縱市場。他們憑空捏造營業額，為威卡的財務報表灌水。「為了讓公司看起來資金雄厚，吸引更多投資者和客戶青睞，以便定期從銀行和其他投資人身上獲取貸款。」這是慕尼黑檢察機關的看法。</p> <p>被拘留在奧古斯堡附近加布林根（Gablingen）監獄的伯朗，透過律師「堅決否認所有對他的指控」。</p> <p>威卡是一個詐欺上億元的故事。從一個色情行業的小型服務公司起家，迅速脫出污泥，和有名有姓的生意夥伴創造出驚人的利潤。</p> <p>實際上，威卡執行的可疑交易一樁接著一樁，集團創辦人暨董事長伯朗給員工訂下不可能達成的目標。慕尼黑檢察官形容，這家集團內部階級森嚴，整個系統強調「團隊精神和效忠董事長」。之所以能存在這麼久，是因為很多人視而不見，包括員工、監事會、會計師、行政機關。</p> <p>威卡的故事美到不真實。從一開始就是。</p> <p><span style="font-size:28px;"><strong>性，點閱，第一批不正當生意</strong></span></p> <p>夜店「喇叭」很少見到那麼多裸女，還有舞女在特地安裝的鋼管上扭動身軀。那天是二○○○年十一月九日，成人雜誌《好色客》（Hustler）德文版的發行人為了慶祝「維納斯二○○○」成人展。這場活動主要想打響《好色客》在德國的名號；這本在美國創刊的雜誌特別受寂寞長途貨運司機歡迎。現在，二十年之後，那天晚上和幾個那段時期發生的事，可視為一個更重大事件的歷史時刻：威卡股份有限公司的誕生。保羅．鮑爾—許利希特果爾創立了威卡，他是來自慕尼黑地區的商人，對很多方面事情抱持興趣。</p> <p>二○○○年鮑爾三十七歲。有一頭濃密深棕色頭髮，皮膚曬成古銅色，還有運動員的好身材。當時的生意夥伴形容他從容自信，但是每次出現時總是有點喧鬧。許多那個時期認識他的人說：如果有什麼事不合鮑爾的意，他就會大聲說話，或悶不吭聲地離開房間。</p> <p>他是個行動派，不會花太多時間討論。「就像一隻裝了金頂鹼性電池的兔子。」一位以前的員工說，「有效率，並為人訂下行動方針。」</p> <p>那時正是全球資訊網成長的年代。鮑里斯．貝克（Boris Becker）替網路公司美國在線（AOL）做廣告：「我進去了，就這麼簡單。」德國人追隨網球明星的腳步進入一個還很陌生的世界，設立了電子郵件信箱。</p> <p>跟網路多少有點關係的公司都發大財了。當時很受歡迎的搜索引擎雅虎，是從兩個大學生在六年前，為朋友製作的網路目錄所產生出來的，股值高達一千億美元。</p> <p>美國在線在與媒體公司時代華納（Time Warner）合併之前，股值達一千六百億美元。</p> <p>年輕科技公司只要跟資訊科技或是網路沾一點邊，就能經由股票上市輕易籌得百萬資金。他們需要的不過是一個點子。投資人很樂意跟在有大膽願景的酷公司後面撒錢，只要他們在網際網路上，或至少有一點點關係。</p> <p><span style="font-size:28px;"><strong>從成人產業到電子帳務生意</strong></span></p> <p>願景其實不是鮑爾的強項。他不想改變世界，也不想創造出二十年後還保留在人們記憶裡的東西。許多這時期的夥伴說，鮑爾甚至不願多花一秒鐘時間研究一個生意點子。</p> <p>鮑爾只想要賺錢。他覺得在網路上賣東西很吸引人，只是在當時還不太可能。提供店家和顧客安全服務的網路支付系統還在發展中或正在導入，標準的付費系統尚未成形。</p> <p>性產業屬於第一批克服難關的行業之一。想要看付費影片或照片，只要在電腦上加裝所謂的撥號器。一般網路連線可以透過德國電信公司，但要瀏覽特定網頁就要撥打○一九○開頭的號碼。收費價格不是一般的每分鐘三到五芬尼，而是到每分鐘三點六三馬克。撥號器成了網路第一個通用的付款形式。雖然不能用來買鞋子或褲子，但是可以用在所有以分鐘計價的東西上，就像剛才提到的瀏覽成人網頁。</p> <p>鮑爾看到了機會，並且抓住了這個機會。一九九八年七月九日，他跟慕尼黑的一位公證人見面，創立了娛樂印刷媒體股份有限公司（EPM AG, Entertainment Print Media），隨後在慕尼黑商業註冊，註冊號碼一二二○二六，公司地址在慕尼黑近郊的哈爾貝格摩斯（Hallbergmoos）。經營目的：「生產經銷各式媒體和娛樂產品」。商業登記的行政管理費用：一千兩百三十五點零五馬克。</p> <p>鮑爾公司為德國《好色客》取得商標使用權。這本成人雜誌在美國很有名，比《花花公子》更露骨低級，替創刊人賴瑞．佛林特（Larry Flynt）帶來萬貫家財，也讓他成為美國的傳奇人物。</p> <p>鮑爾一年必須出版六本雜誌，這是取得商標使用權的條件。這門生意並不划算。一九九九年光是印刷費和回收未出售的雜誌就要支出一百六十萬馬克。</p> <p>但是成人內容並不是生意的重點。鮑爾很快就看出，結算系統要比成人網頁更有潛力。</p> <p>色情行業蓬勃發展，鮑爾讓自己的集團設計專用撥號程式或是向外購買，然後提供給其他網頁使用。一位前工作人員說：「鮑爾有銷售天分，在商展上成功讓客戶相信我們是最大最好的公司。他的說服力無人能及。」集團核心業務於是更名為EBS（Electronic Billing System，電子帳務系統），並在之後完全停掉色情業務。（摘錄整理自《歐陸最瘋狂金融風暴：威卡騙局》序曲及第一章，商周出版提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%A8%81%E5%8D%A1%E9%A8%99%E5%B1%80_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88.png" style="width: 304px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 歐陸最瘋狂金融風暴：威卡騙局</strong></p> <p><strong>沃克．泰哈則伯格（Volker ter Haseborg）、梅蘭妮．貝格曼（Melanie Bergermann）／著；彭意梅／譯</strong></p> <p>商周出版</p> <p>定價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>沃克．泰哈則伯格（Volker ter Haseborg）</strong></p> <p>自2018年起擔任《經濟週刊》（WirtschaftsWoche）記者，曾在商業雜誌Bilanz、漢堡晚報、慕尼黑晚報任職。曾獲得德國記者獎、Otto-Brenner獎、德國聯邦議院政治媒體獎。</p> <p><strong>梅蘭妮．貝格曼（Melanie Bergermann）</strong></p> <p>自2012年起擔任《經濟週刊》（WirtschaftsWoche）調查記者，2015年起就開始撰寫關於威卡公司的報導。曾獲得Henri-Nannen調查研究獎。2013年獲選為年度最佳商業新聞記者。</p> </div></div></div>
2022/4/3 01:39未署名https://www.ithome.com.tw/article/150249
【攜手產業需解決關鍵資安議題，推動企業加速資安強化】強化國家資安，美國白宮推動多項新世代防護對策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這些年來，資安威脅越來越嚴峻，儘管各國政府與企業正不斷強化資安，依據風險程度會有各自不同的防護目標，這些防護的建構並無法一蹴即成，加上供應鏈安全的層面，需仰賴整體環境共同提升資安，但在美中貿易戰、烏克蘭戰爭的發生，網路威脅態勢急遽升溫，資安強化的急迫性，不只是關乎個人、家庭、企業、組織的永續，也涉及國家安全，</p> <p>在這樣衝突日漸升高的局面下，比鄰極權國家的臺灣，持續推動資安即國安的政策，並逐步擴展到更全面的境界，然而，全球各國其實也是如此，而美國的動向更是受到全球各界的關注。</p> <p><span style="font-size:28px;"><strong>對於國家網路安全的規畫，近一年來美國白宮行動不斷</strong></span></p> <p>回顧近期的國際重大資安事件，在2020年底Solarwinds供應鏈攻擊事件揭露之後，大規模的國家級資安威脅正式浮出檯面，當時，除了資安業者受害，美國多個政府機關與大型企業淪陷同樣是受害者，複雜的攻擊手法，也使得新的調查結果，在事件曝光多個月後仍持續出現。</p> <p>到了2021年5月，再發生美國最大燃油管道系統Colonial Pipeline遭勒索軟體攻擊事件，當時該公司為控制其安全威脅，緊急關閉所有管道作業與部分IT系統，造成營運上的停擺，這些重大資安事件，不僅引發全球資安界關注，政府對於企業與組織的資安，也變得更加重視，尤其是關鍵基礎建設。</p> <p>因應資安重大事件頻傳，美國總統拜登上任後，除了延續先前的資安防護策略，如前總統川普在任時簽署的美國5G乾淨網路政策，還採取更多行動，其目標就是提升國家整體資安防護水準，並讓政府組織跟上現今的資安防護要求。</p> <p>當中最受矚目的動作就是，在2021年5月，美國總統拜登簽署了行政命令EO 14028，主題是改善國家網路安全，強調9大重點面向。當局不僅要促進政府與私人機構之間的威脅情資分享，特別的是，在網路安全現代化面向上，提到了零信任網路安全策略，以及強化軟體供應鏈安全，成為兩大關注焦點，同時，這項命令也提出多項盤點審查要求，希望各個地方政府機構能帶頭施行。</p> <p>接著，在2021年8月，拜登接見該國科技龍頭與教育界領袖，舉行了一場資安高峰會，共同商討如何透過全國之力，來解決美國的資安威脅。除了由政府發起的多個倡議，他們也邀集了微軟、Google、蘋果、Amazon及IBM等業者，而這些大型科技公司亦紛紛承諾響應白宮的號召，表明將協力推動資安。</p> <p><span style="font-size:28px;"><strong>零信任網站戰略成形，產業正協助國家網路安全發展</strong></span></p> <p>在美國發起的國家網路安全行動之後，許多新的政策與宣告陸續出爐。</p> <p>例如，數個月後，美國行政管理和預算局（OMB）支持EO 14028的總統行政命令，提出「聯邦零信任戰略」（Federal Zero Trust Strategy）草案；到了2022年1月，美國白宮發布消息指出，OMB提出的這項策略正式發布，將推動聯邦政府的網路安全架構，都朝向零信任方法邁進，並說明在現今的威脅環境下，要保護重要系統與資料，將無法再依賴傳統的邊界防禦作法，因此，必須作出大膽的改變，並期望在2024財年（2024年9月30日）完成初步推動。</p> <p>除了零信任網路安全的議題，軟體供應鏈安全的問題也備受關住。例如，前面我們提到，在2021年8月，拜登已會見科技與學界領袖進行商討，該會中已宣布，為提高技術供應鏈的安全與完整性。美國國家標準與技術研究所（NIST）將與產業合作，共同開發新的安全框架來因應。</p> <p>後續，這些業者在這場會中所承諾的資安強化、投資及人才培育，也付諸更多實際行動。</p> <p>舉例來說，以科技業者在資安人才短缺面向的出力而言，微軟在2021年10月宣布，將展開4年期的資安培訓活動。</p> <p>因為，經過實際分析美國資安人才短缺現象，並在調查資安職缺的門檻與需求後，他們決定整合國家資源並透過社區大學，結合公司自身的資源，提供資安人才培訓方面的協助，包括社區大學免費課程、社區大學師資培訓，以及獎學金等，期望在未來3年內，可以幫助美國填補25萬個資安職缺。</p> <p>到了2022年3月，微軟再次宣布消息，要將這樣的計畫擴展到全球23個國家（可惜臺灣並未在名單之內）。事實上，還有多家科技業者都將致力於美國國家資安人才培訓。</p> <p>以軟體供應鏈的資安挑戰而言，白宮於2022年1月26日舉行開源軟體高峰會議，邀請相關業者，持續商討這個獨特的安全挑戰，畢竟，近期log4j開源軟體漏洞的發現，使得上萬開源軟體Java元件受影響，連帶各業者需清查自家產品是否受影響而要修補，而此舉也再次突顯開源軟體安全性的影響。</p> <p>畢竟，長久以來，開源軟體因透明度高，因此問題容易被偵測發現與解決，而顯得比較安全，有些專案確是如此，但有些專案可能較少人關注，而可能被有心人士覬覦、伺機滲透或進行非法活動。若有多家科技大廠持續合作、採取改善行動，利益的對象不只是國家層面的安全性，更有助於減低全球產業層面的資安威脅。</p> <p>會後Google表示，除了先前他們的承諾，要擴大供應鏈層級的軟體物件框架（SLSA）的應用，他們並建議，要成立聯合的市場機制來維護開源，並且先要確定關鍵的開源項目；IBM在會後也表示，該場會議明確表示政府與產業能夠共同改善開源的安全實踐，可從安全標準廣泛採用著手，並針對關鍵開源資產確保應滿足最嚴格的安全要求，以及擴大開源安全方面的技能培訓和教育。</p> <p>除了這些面向，有更多科技業者也表示將提升資安要求，並將在自己擅長的領域提供資安上的協助。</p> <p><span style="font-size:28px;"><strong>烏克蘭戰爭爆發，白宮呼籲民間企業即刻提升防護</strong></span></p> <p>最近，美國白宮更是對於當地民間企業發出資安預警。</p> <p>美國總統拜登，在2022年3月21日，新發布一項國家級網路安全的聲明，當中的重點在於，不僅呼籲普遍美國民間企業加強網路防禦，同時強調，必須加快改善該國網路安全的工作。</p> <p>事實上，國家級駭客組織的威脅近年持續不斷發生，但現今的局勢，促使著相關風險可能變得更劇烈。</p> <p>今年2月底，由於俄羅斯軍隊攻向烏克蘭，戰事已持續一個月，在當今的混合型態戰爭之下，由於俄國在美歐實施經濟制裁後仍不退兵，這也讓美國關注其網路攻擊威脅，可能進一步向外擴張。</p> <p>因此，在3月這次美國白宮發布總統拜登對於國家網路安全的聲明中，一開始，就是向該國企業組織與人民喊話，告訴大家現在已是關鍵的時刻，必須加快腳步，改善網路安全，並增加國家的資安韌性。</p> <p>最主要原因，是政府近期接獲新情報，顯示俄羅斯為了報復美國對其實施經濟制裁，極有可能對美發動網路攻擊。面對現今網路攻擊的威脅，拜登指出，光靠聯邦政府無法單獨抵禦各式國家網路威脅，因此呼籲民間企業與關鍵基礎設施提供者，必須強化網路防禦，對於聯邦人民所依賴的關鍵服務與技術，業者有權利、能力與責任來加強網路安全與資安韌性。</p> <p>而在聲明的最後，拜登也再次呼籲，因應當今威脅，每個人都應盡到自己義務，今日的警惕與緊迫意識，將可防止或減輕明日的攻擊。</p> <p>綜觀白宮的這次舉動，在在提醒該國國家網路安全的強化腳步必須加快，而且是民間企業都必須跟上，這是因為有很多關鍵基礎設施與關鍵服務，為這些企業所擁有。</p> <p>在上述聲明發布之後，同日，美國負責網路和新興科技的國安顧問Anne Neuberger提出更多說明。對於俄羅斯惡意網路攻擊的威脅，她表示，在3月21日前一週，白宮官員已預先向1百多個當地企業組織，主動提供機密簡報，而後續總統拜登的正式聲明，則是向更多企業喊話，敦促面臨風險的民間企業與合作夥伴，共同強化網路安全。</p> <p>Anne Neuberger指出，在Colonial Pipeline遭勒索軟體攻擊事件後，已經不斷要求政府部門，加強網路安全，也將發現的情資提供給可能被鎖定的企業，這一年來，大家都有所進步，但要做的事情還很多，民間企業與關鍵基礎設施也是如此。</p> <p>為了幫助可能被攻擊的機構做更好的準備，並且是希望所有人做出同樣的準備，她強調，每個機構人員都必須要知道這樣的資訊，持續保持警惕，把攻擊門檻提高，讓攻擊者更難入侵，並且是要有發現就要立刻通報。</p> <p>至於有哪些美國基礎建設或產業可能遭鎖定？Anne Neuberger表示，目前並無法掌握具體會面對甚麼樣的網路攻擊，事實上，美國政府每天都會發現各式網路攻擊威脅，如今公布全新的情報，目的是要國內企業組織都能意識到自己的責任，以保障美國人民所依賴的關鍵機構與服務。這次並未特別指出何種類型的關鍵基礎設施，會成為目標，這是因為，所有的關鍵基礎設施都應該要加倍保護自己。</p> <p>另外也重申美國的態度，並不想與俄羅斯有直接的衝突，但如果遭遇到對方攻擊，將會採取行動反擊。</p> <p><span style="font-size:28px;"><strong>國家網路安全每個層面都有應盡責任，民間企業必須要有清楚的認知</strong></span></p> <p>整體來看，這次白宮的警告，就是呼籲所有民間企業與關鍵基礎設施，必須加快改善國內網路安全。</p> <p>而從近年一連串的動作來看，白宮的舉動已在在顯示，不只政府、產業在推動資安，企業也要跟上。</p> <p>而且，這次白宮特別宣達了8個資安防護要點，雖然這些資安對策算是相當基本的內容，不是給予專業資安人員實務上的建議，但由白宮來公告，本身就別具意義。</p> <p>這意味著，外界不能再說自己不知道該做什麼網路防禦工作，因為白宮已親自表明了確切的資安投入方向，包括：導入多因素驗證（MFA）、部署可持續偵測威脅與緩解的現代化資安工具，他們近年也一再強調，各種需落實的防護工作，像是：漏洞儘速更新修補及變更密碼、妥善備份資料、資安事件演練、妥善資料加密，並要培養員工資安意識，以及與當地政府及執法單位積極合作。至於進一步的細節，企業還可參考美國CISA所提供的資源，以及資安管理框架、標準與實務指引。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>因應烏克蘭戰爭爆發新態勢，白宮呼籲<br /> 各類關鍵CI業者要加倍提升資安</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%892022%E7%99%BD%E5%AE%AE%E8%B3%87%E5%AE%89%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%BE%8E%E5%9C%8B%E7%99%BD%E5%AE%AE.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／美國白宮<br /><strong>美國負責網路和新興科技的國安顧問Anne Neuberger表示，目前無法掌握可能面臨的攻擊樣態與產業，但重點是，所有民間企業與關鍵基礎設施業者都可能是攻擊對象，必須加倍去保護自己。</strong></span></p> <p><strong>在2022年3月21日，美國總統拜登發布一項國家級網路安全的聲明，指出俄羅斯可能報復西方制裁，對美惡意網路攻擊潛在威脅提升，呼籲普遍該國民間企業與關鍵CI，應加快強化網路防禦。</strong></p> <p><strong>現在的網路攻擊威脅有多嚴重？在同日舉行的白宮記者會上，負責美國負責網路和新興科技的國安顧問Anne Neuberger，她在接受媒體詢問時，提到幾個重點，例如，美國政府其實每天都會關注各式網路攻擊威脅，然而最近新的情報顯示，俄羅斯正探索對美發動惡意網路攻擊的各種可能，雖然，她無法說明可能遭遇的網路攻擊樣態與產業，但她想強調的觀念是，各類型的關鍵基礎設施都會成目標，必須要加倍保護自身。</strong></p> <p><strong>而且，每個機構人員都應該要知道這樣的資訊，先做好準備，持續保持警惕，不只要讓攻擊者更難入侵滲透，並要在一旦發現跡象時，就馬上通報政府機關。</strong></p> <p><strong>她並提到，在一周之前，白宮官員其實就與100多個當地企業組織開會，分享相關機密簡報資訊。現在，總統拜登開始提醒所有民間企業都要注意，必須知曉惡意攻擊威脅可能攀升的現況，同時白宮發布簡要的資安防護指引，呼籲所有民間企業與合作夥伴都要採取行動。</strong></p> <p><span style="font-size:36px;"><span style="color:#B22222;"><strong><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/1071/1071-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E7%BE%8E%E5%9C%8B%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%8A%A0%E9%80%9F-web-resources/image/%EF%BC%88BOX%E5%9C%96%EF%BC%892022%E7%99%BD%E5%AE%AE%E8%B3%87%E5%AE%89%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%BE%8E%E5%9C%8B%E7%99%BD%E5%AE%AE.png" />企業即刻該做的8大資安重點</strong></span></span></p> <p><strong>美國總統拜登於3月21日示警，指出潛在網路攻擊威脅攀升的態勢，並呼籲該國民間企業與關鍵基礎設施業者，需加快改善網路安全，為了督促不夠了解資安的企業去行動，白宮也特別彙整了緊急強化資安的8項方針。此一作法不僅引發美國民間企業的注意，全球政府與企業也在關注，或可視為推動全體企業資安防護的借鏡與參考。</strong></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 導入多因素驗證（MFA）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 部署現代化資安工具</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 漏洞儘速更新修補及變更密碼</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 妥善備份資料</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 資安事件演練</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 妥善資料加密</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 培養員工資安意識</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>□ 與當地政府及執法單位積極合作</strong></span></span></p> <p><span style="color:#696969;">資料來源：美國白宮，iThome整理，2022年3月</span></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>拜登政府國家網路安全4大宣示</strong></span></span><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/1071/1071-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E7%BE%8E%E5%9C%8B%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%8A%A0%E9%80%9F-web-resources/image/1071-cover-p3.png" /></p> <p><strong>整體來看，近一年來，美國在國內網路安全各層面均持續推動，已經從政府自身，到產業合力，並且訴諸所有民間企業。例如，從簽署EO 14028行政命令，到接見企業與教育界領袖召開資安高峰會，以及最近呼籲民間企業立即提升資安。</strong></p> <p><strong>另外，從該國政府機關的動向來看，也是一再修法提升資安相關的要求。例如，最近美國證券交易委員會有新的提案，就是強化網路安全威脅的標準揭露程序，也將要求上市公司提交資安管理面的規畫、程序與政策等細節。</strong></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 2021年5月 </span> </span><span style="color:#B22222;"><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/1071/1071-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E7%BE%8E%E5%9C%8B%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%8A%A0%E9%80%9F-web-resources/image/1071-cover-p3.png" />拜登簽署EO 14028行政命令</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1071-cover-box-1.jpg" style="width: 600px;" /></p> <p>圖片來源／美國白宮</p> <p><strong>在2021年5月，美國總統拜登簽署了一項行政命令（EO 14028），推動政府組織提升網路安全水準，主要目的包括：促進政府與私人機構之間的威脅情報分享，推動聯邦政府實施現代化網路安全（包含零信任架構），改善軟體供應鏈的安全性，建立網路安全審查委員會，建立回應網路安全事故的標準手冊，改進聯邦政府網路偵測網路安全意外的能力，以及增進調查與修復能力。</strong></p> <p><span style="font-size:20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 2021年8月 </span> </span><span style="color:#B22222;">拜登召開資安高峰會接見企業與教育界領袖</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892022%E7%99%BD%E5%AE%AE%E8%B3%87%E5%AE%89%E4%B8%BB%E6%96%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%BE%8E%E5%9C%8B%E7%99%BD%E5%AE%AE(1).jpg" style="width: 600px;" /></p> <p>圖片來源／美國白宮</p> <p><strong>在2021年8月，美國總統拜登在白宮東廂辦公室舉行一場資安高峰會，接見該國多家科技龍頭與教育界領袖，在這場會議中，不僅宣布美國國家標準與技術研究所（NIST）將與產業合作，共同開發新框架來提高技術供應鏈的安全與完整性，而微軟、Google、蘋果、Amazon及IBM等業者也都響應政府提出的倡議，承諾將推動產品安全、供應鏈安全與資安研究，並培育資安人才。</strong></p> <p><span style="font-size:20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 2022年1月 </span></span></strong> <img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/1071/1071-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E7%BE%8E%E5%9C%8B%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%8A%A0%E9%80%9F-web-resources/image/1071-cover-p3.png" /><span style="color:#B22222;"><strong>白宮發布聯邦政府零信任網路安全新戰略</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892022%E7%99%BD%E5%AE%AE%E8%B3%87%E5%AE%89%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p><strong>在2022年1月26日，美國白宮發布公告指出，直屬美國總統管轄的行政管理和預算局（OMB）發布了M-22-09備忘錄，這將意謂著，朝向零信任網路架構的戰略正式成形。在此戰略之下，已提出轉移架構的時程規畫，並依據識別、裝置、網路、應用程式與工作流程，以及資料等5個領域，執行相關的盤點與部署工作。</strong></p> <p><span style="font-size:20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 2022年3月 </span></span></strong> <span style="color:#B22222;"><strong>白宮呼籲民間企業及關鍵CI應立即提升資安</strong></span></span></p> <p class="rtecenter"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%892022%E7%99%BD%E5%AE%AE%E8%B3%87%E5%AE%89%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></strong></span></p> <p><strong>在2022年3月，美國總統拜登發表國家網路安全聲明，指出在俄羅斯對美發動惡意網路攻擊情勢升高之下，儘管政府會採取各項行動來抵禦網路威脅，但光靠政府的力量並不夠，因為很多美國人民所仰賴的關鍵設施與服務，都是民間企業所擁有，因此督促所有相關業者都要共同強化網路安全，呼籲民間企業與關鍵基礎設施需加快網路防禦的腳步，難得的是，白宮也特別公布8項緊急資安防護方針，希望所有民間企業都能立即實施。</strong></p> <p>資料來源：美國白宮，iThome整理，2022年3月</p> </div></div></div>
2022/4/2 23:37作者羅正漢https://www.ithome.com.tw/news/150237
【提升國家資安人人有責，企業、民間須共同合作】公私協力！美國白宮公布全面強化資安最新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著俄國攻入烏克蘭後戰事膠著，即使面臨美方等經濟制裁施壓也不願退兵，先前美國總統拜登曾警告，俄羅斯為了報復經濟制裁，可能針對美國發動網路攻擊活動，最近在3月21日，美國白宮發布總統拜登對於國家網路安全的聲明，再度引發關注，當中不只呼籲民間企業與關鍵基礎設施，對於資安防護強化的腳步也必須加快，同時還特別彙整了緊急強化資安的方針，而這樣的作法，除了影響美國本身，也引起全球政府與企業的關注，可視為當今各國推動整體資安防護的一大借鏡。</p> <p><span style="font-size:28px;"><strong>保護國民仰賴的關鍵基礎設施及服務，所有企業均有責</strong></span></p> <p>在美國總統拜登的這份最新聲明中，一開始就針對該國資安現狀，說明幾件事情，我們將這些內容歸納成3大重點。</p> <p>首先，是近期美方有情報顯示，俄國可能為了報復美歐的經濟制裁，正探索對美發動網路攻擊的各種可能，事實上，之前拜登對此不只提出一次警告，指出俄羅斯可能對美國進行惡意網路攻擊，但這次的呼籲顯然更具急迫性。</p> <p>第二，對於現在的網路攻擊威脅，光靠美國聯邦政府是難以抵禦，儘管聯邦政府將會使用各種工具，來阻止、破壞各種網路威脅，並在必要時針對關鍵基礎設施的網路攻擊做出積極因應，然而，單單仰賴聯邦政府，並無法抵禦國家面對的各式網路威脅，畢竟，大多數的關鍵基礎設施都是民間企業經營，因此，這些業者也要加快角度來提升資安防護，同時，美國國土安全部網路安全暨基礎安全局（CISA）也將積極協助這些機構，保護其系統與網路的運作。</p> <p>第三，白宮不只是呼籲當地企業及組織與關鍵基礎設施的經營者，需立即採取行動，防範潛在攻擊，同時還提供如何做好資安防護的相關指引。這當中提及CISA建立的「Shields Up」資安指引專區，可作為當地企業組織的參考，而對於不夠了解資安的企業，白宮也特別彙整出一份清單，當中條列8項企業應立即採取的資安防護工作。</p> <p>從上述的聲明來看，美國政府最新公布的安全指引，國內企業與組織也值得參考，視為現今首當著重的基本資安防護面向與工作。</p> <p>另一引發外界關注的焦點是，上述這些資安防護的宣導內容，是由美國行政體系最高領導人總統頒布，相較之下，過往美國政府大多透過CISA與FBI等機構發布相關安全指引，具有不同意義。</p> <p>簡而言之，這次美國白宮最新發布的資安聲明，不僅顯示現今國際衝突下，網路威脅將變得非常劇烈，對於全球及我國政府而言，他們的推動方式也將成為新的典範，那就是：由最高行政首長帶頭，宣導企業與組織的資安策略。</p> <p><span style="font-size:28px;"><strong>還沒準備好的企業組織，可從8個重點開始落實資安防護</strong></span></p> <p>在美國白宮這次公布的資安指引中，有那些重點？</p> <p>基本上，本次宣導的資安防護工作相關資訊，主要就是提供給未做好準備的的民間企業，以及關鍵基礎設施業者，最重要的就是希望更多的民間企業與關鍵基礎設施業者，都能了解與重視這些基本防護之道，並要採取行動、落實相關要求，因此，這個資安指引的內容，其實是更為普遍與實用的做法，而非過去所談的網路安全框架那樣抽象。</p> <p>另一特別之處在於，白宮也特別針對軟體與技術商提出資安建議，其目的是因應長期的網路安全威脅。</p> <p>具體而言，對於企業組織與關鍵CI來說，美國白宮認為，即刻需採取下列8項資安防護工作。</p> <p>首先，最值得關注的是，導入多因素驗證（MFA）現成為第一要務，是最優先強調的防護策略。</p> <p>其次，要部署現代化資安工具，還要做到持續偵測威脅與緩解威脅；第三項工作在於，漏洞儘速更新修補已經不斷被強調，同時也要注意變更密碼。</p> <p>同時，企業必須知道資安事件難以避免，因此，第四到第六項工作，就是要妥善的備份、資安事件演練，以及妥善的資料加密。</p> <p>最後兩項工作，是關於員工資安意識，以及公私聯防。</p> <p>以前者而言，不論是員工或民眾，若欠缺資安意識，是企業與政府頭痛的問題，應盡量幫使用者認識攻擊者常用手法，例如，了解歹徒如何利用電子郵件或網站，來發動網路攻擊或網路釣魚詐騙，讓使用者更有警覺，並鼓勵員工在發現異常時，能夠及早通報；至於所謂的公私聯防，是要企業、組織與各個地方政府、執法單位積極合作，平時應建立聯繫管道，才能讓整個國家能夠更快因應新出現的威脅。</p> <p>綜觀上述8項資安防護工作，最特別項目的是多因素驗證的導入，現在已經被視為必須的強化面，甚至提升到國家資安政策的最優先實施項目。白宮也指出，現下更強調需具備持續威脅偵測與緩解的資安解決方案。</p> <p>至於其他項目多為資安界常年不斷宣導的重點，看似老生常談，但這些要求其實也點出過往我們容易忽略的關鍵。</p> <p>例如，在備份方面，白宮提醒大家要注意離線備份的落實，對於資料加密的安全程度也要重視，才能在資料即便遭竊的狀況下，也無法被外人破解。</p> <p>這裡也說明了公私聯防要積極推動，平時就應建立聯繫管道，而不是發生事件後才開始建立聯繫。</p> <p><span style="font-size:28px;"><strong>向科技與軟體業者喊話，推動產品安全可聚焦5大層面</strong></span></p> <p>除了從許多層面提出強化資安的重要工作項目，不僅如此，在這次白宮的聲明中，也針對科技與軟體商倡議產品安全，鼓勵廠商開始行動。</p> <p>例如，近年一再強調的幾個概念，都納入白宮本次聲明，成為國家級資安政策。譬如，從產品設計就要考量資安，確保開發人員在撰寫程式碼時考量安全性，以及須推動開發流程安全的要求。</p> <p>值得注意的是，這當中提到要讓開發人員知曉使用自動化安全測試工具，此舉至少能讓大多數的錯誤與漏洞，在軟體發布之前就被解決。</p> <p>基本上，這裡並未一一列舉各種程式碼與應用系統安全檢測的作法，像是：程式碼審查、靜態分析、動態分析、模糊測試、威脅模型分析、滲透測試，以及紅隊測試與漏洞獎勵計畫等，但美國政府將相關要求聚焦於借助相關自動化工具之力，仍有很大意義，因為這至少能大幅縮減，或避免基本的軟體開發安全問題，使其不再發生。</p> <p>另外一點，在產品安全漏洞修補之外，近年更是強調建立軟體物料清單（SBOM），這主要是因應開源程式碼的安全問題。這也是近年資安界最熱門的議題之一，同樣成為當前軟體廠商應該具備的安全防護意識。</p> <p><span style="font-size:28px;"><strong>另可參考Shields Up資安指引，建立現今基礎資安觀念</strong></span></p> <p class="rtecenter"><a href="https://www.cisa.gov/shields-up" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E7%99%BD%E5%AE%AE%E5%AE%89%E5%85%A8%E6%8C%87%E5%8D%97-2.jpg" style="width: 576px;" /></a></p> <p>關於推動資安防護，白宮建議是參考<a href="https://www.cisa.gov/shields-up" target="_blank">CISA的「Shields Up」資安防護指引</a>。</p> <p>這裡的規範其實不像一般資安標準或技術文件那樣複雜，主要分成4大部分，包括：所有企業組織的通用指引，給企業高階主管與執行長（CEO）的建議，遭遇勒索軟體的應變，個人與家庭自保資安觀念。後續我們會再逐一介紹。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>剖析8大即刻防護重點，導入多因素驗證成第一要務</strong></span></span></p> <p><strong>面對潛在網路攻擊威脅攀升的可能性，美國總統拜登於3月21日示警，要求需加快改善網路安全，尤其是民間企業與關鍵基礎設施業者。</strong></p> <p><strong>為了讓那些還沒準備好的企業，能快速理解基本資安防護重點，因此，在白宮對於該國網路安全的聲明中，特別簡要彙整出8大基本防護之道，希望督促企業能從這些面向著手行動，以保護該國關鍵基礎設施，以及人民所仰賴的關鍵服務。</strong></p> <p><strong>特別的是，由於白宮條列的8個項目，都是以簡單幾句話來描述，為了幫助大家快速了解，因此我們他們列出的各項要點之前，加入簡短說明。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>1. 導入多因素驗證（MFA）</strong></span></span></p> <p><strong>在組織系統上使用多因素驗證，現在必須是強制執行，才能讓攻擊者入侵系統更加困難。</strong></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>2. 部署現代化資安工具</strong></span></span></p> <p><strong>需在電腦與裝置上部署現代化的資安工具，以持續尋找威脅與緩解威脅。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>3. 漏洞儘速更新修補，變更密碼</strong></span></span></p> <p><strong>漏洞請諮詢網路安全人員，確保系統是否做好漏洞修補，並針對所有已知漏洞做出防護，同時也應變更整個網路的密碼，這可使之前遭攻擊者竊取的用戶帳密變得無用。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>4. 妥善備份資料</strong></span></span></p> <p><strong>不只是備份資料，並要確保離線備份不會在惡意行為者的攻擊範圍。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>5. 資安事件演練</strong></span></span></p> <p><strong>制定應急應變計畫並實際演練，當事件發生時就能預先做好準備，可以做到快速回應，在遭遇任何攻擊後所造成的影響都能最小化。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>6. 資料加密</strong></span></span></p> <p><strong>需將資料妥善加密，才能在不幸遭遇資料竊取時，對方無法利用這些資料。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>7. 培養員工資安意識</strong></span></span></p> <p><strong>需教育員工認識攻擊者常用的手法與策略，像是攻擊者是如何利用電子郵件或網站來發動攻擊或網路釣魚，並鼓勵員工發現異常及早通報，一旦發現電腦或手機出現不尋常的行為、系統當機，或是電腦的執行速度嚴重變慢，應儘速通報公司負責單位或人員。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>8. 與當地政府及執法單位積極合作</strong></span></span></p> <p><strong>美國的企業與組織應與在地的FBI或CISA區域單位積極合作，在任何網路安全事件發生之前就要建立聯繫。並鼓勵公司的IT人員與資安負責人多利用CISA與FBI的網站，當中將有許多技術相關資訊，以及可以利用的資源。</strong></p> <p><strong>整體而言，最受關注的就是多因素驗證導入已成必要，事實上，去年Google就有相關行動，將分階段強制用戶Google帳號啟用兩步驟驗證，而其餘老生常談的防護要點，也應該有效落實，並注意不該忽略一些細節，像是要注意離線備份，以及與政府、執法單位的聯繫，平時就該建立。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>5大產品安全建議，擁抱安全軟體開發生命週期概念</strong></span></span></p> <p><strong>強化國家的網路安全，除了企業組織要改善其資安，從長遠面向來看，還有一個重要的面向，就是必須聚焦於技術與軟體公司的通力合作。而在美國白宮於3月21日發布的聲明中，除了督促企業強化資安，同時也鼓勵技術與軟體公司，要從傳統的產品開發設計，轉變為安全的產品開發設計，以及重視產品安全性。</strong></p> <p><strong>以下是白宮所條列出5大重點項目，而我們在他們的各項要點之後，同樣加入簡短說明，幫助大家理解：</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>1. 產品設計開發就要考量安全</strong></span></span></p> <p><strong>從產品設計一開始就要建立安全要求，過去有句口號：bake it in, don't bolt it on，意指將資安融入產品或服務，而不是將資安當成額外附加品，以保護業者的知識產權與客戶的隱私。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>2. 開發軟體流程與環境的安全</strong></span></span></p> <p><strong>在開發軟體時，僅在高安全性的系統進行，並只允許實際從事特定計畫的人可存取。這麼一來，將使入侵者難以從一個系統滲透到另一系統，並且難以攻破產品或竊取智慧財產。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>3. 自動化安全測試</strong></span></span></p> <p><strong>應使用現代化工具檢查已知與未知潛在漏洞，對於公司內的產品開發人員而言，其實有一些自動化的安全測試工具，可以幫助他們在軟體發布之前，或是惡意攻擊者利用之前，找出多數程式碼的錯誤或不安全之處。如果開發人員知道這件事，至少可以修復大多數漏洞。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>4. 掌握程式碼來源</strong></span></span></p> <p><strong>軟體開發人員應對產品中使用的程式碼負責，這也包括有使用到的開源程式碼。因為，大部分軟體的建構，均使用許多不同的元件與程式庫，而當中大部分都是開放原始碼，所以，需確保開發人員知道當前使用元件的出處及來源，並建立軟體物料清單（SBOM），以防未來其中一個元件出現漏洞時，可以快速找到並因應。</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>5. 政府軟體採購納入資安要求</strong></span></span></p> <p><strong>美國企業組織應實施該國總統拜登行政命令（EO 14028）──改善國家安全。根據該行政命令，美國政府採購的所有軟體，現在都必須在其設計和部署方式上能滿足安全標準。而白宮也鼓勵企業組織，可以更廣泛地遵循這些作法。</strong></p> <p><strong>整體而言，過去資安界早已強調安全軟體開發生命週期的概念，以及產品資安事件應變等，但這樣的資安觀念還不夠普及，開發人員或高層若沒有這樣的意識，難以從根本做起，現在連白宮也出面提出建議，呼籲業者是時候該改變。</strong></p> <p><strong>不僅如此，現下還面對開源軟體安全的特殊挑戰，這也促使SBOM的議題受到重視，才能在元件發現漏洞時，快速知道那些產品受影響，而政府也設法從法規面將資安納入採購要求，促進廠商做出改變。</strong></p> </div></div></div>
2022/4/2 23:50作者羅正漢https://www.ithome.com.tw/news/150238
建立有效的動態防禦機制
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國總統3月底發布的網路安全宣言裡，特別提到<a href="https://www.cisa.gov/shields-up" target="_blank">國土安全部的網路安全與基礎架構安全局（CISA）推出了資訊共享與緩解指引計畫，稱為「Shields Up」</a>，為此設立了專屬網頁，相當明快、扼要地列出5大單元的資訊，包含：最近更新、適用於所有組織的指引、給企業領導人與執行長的建議、勒索軟體應變、自保與守護家人的步驟、其他資源。</p> <p class="rtecenter"><a href="https://www.cisa.gov/shields-up" target="_blank"><img alt="" src="https://www.cisa.gov/sites/default/files/inline-images/web-banner_1200x212_webpage-header_940x212.png" style="width: 550px;" /></a></p> <p>資安宣導事項多如牛毛，該如何取捨，針對不同的人，告訴他們目前最需要去執行的方式，其實很困難，而美國當局現在推動的Shields Up，提供了相當不錯的示範。</p> <p>關於網路安全防護的相關資訊，CISA透過臉書、推特、LinkedIn、Instagram、YouTube等社群媒體網站來傳達，而去年7月上任的局長Jen Easterly，也從今年2月中開始在自己的推特帳號上，積極宣傳這項活動，並在帳號名稱加上Shields Up！的字樣，其頭像也換成將CISA標誌置於身上的女性超級英雄漫畫造型，以此來帶領大家來關注國家網路安全的推動，這種有別於傳統制式、沈重的新型資安宣傳方法，讓人印象深刻。</p> <p>Jen Easterly出身美國網路司令部、經歷國家安全局與白宮反恐相關職務，也曾在2017年到2021年中，任職於世界知名的金融服務公司摩根史坦利，陸續帶領網路安全與韌性團隊。若想多了解這位主管對於資安的態度，可以看看2月舉行的慕尼黑網路安全大會，以及3月舉行的女性資安人年會（Women in Cybersecurity，WiCyS）的影片，她都發表了演講。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ROM-TEQjcI0" title="YouTube video player" width="560px"></iframe></div> <p>談到Shields Up，可能很多人不知道這是什麼意思，是指把盾舉起來、準備抵抗衝擊？因此而有防禦的用意？如果你曾看過Star Trek系列科幻影集或電影，相信對這個片語一定很熟悉，因為每當主角所在的太空船、太空站，遇到任何武器或宇宙異象的侵襲時，艦長或基地指揮官一定會說「Shields Up, Red Alert!」，意思就是：啟動（船艦）的防護罩！進入紅色警戒狀態！而美國當局現在用這個一般民眾可能較為熟悉的場景，提醒大家要落實資安防護工作。</p> <p>事實上，防護罩並不是Star Trek宇宙所獨創的概念，在許多科幻小說、影視動漫的作品當中，都可能經常會看到這樣的防護技術，像是另一部經典科幻電影、影集、動畫Star Wars系列，日本動漫當中經常會提到防護罩的作品，應該是無敵鐵金剛，為了阻止敵人派出的大型機器人攻擊，原子光科學研究所會啟動防護罩自保。而在近期好萊塢電影當中，漫威的星際異攻隊曾演到新星帝國為了抵抗克里人的入侵，以多架戰機組成一個巨大的防護網，阻止敵軍飛船降落。</p> <p>可惜的是，防護罩這種技術至今並沒有真正被研發出來，只存在各種空想的作品當中，但這樣的概念仍然具有很大的啟發性。想了解這些影視作品對於這些技術的基本設定嗎？就我個人所知，Star Trek和Star Wars這方面的延伸資料較豐富，有專門的人在編寫，將近三十年前，我曾在外文書店買到多本Star Trek設定集，不只是介紹劇情、人物，也有人發行了技術手冊，隨著這幾年新的Star Trek系列影集重啟，相信應該會有更多新的空想技術登場，當中可值得IT人員借鏡。</p> <p>關於防護罩這類動態防護的概念，在華文創作世界，也可以從一些家喻戶曉的作品看到相似的設定。例如，在金庸小說神鵰俠侶中，三大高手圍攻小龍女，為了阻止她的快劍，他們只好將各自的武器揮舞地毫無空隙，再以此步步向其進逼形成包圍圈，呈現出「以守為攻」的態勢，而此舉也可視為防護罩的另一種用法。</p> <p>笑傲江湖中武當掌門沖虛與主角令狐沖比劍時，以數十招劍法混成的守勢，同時化為攻勢，若不是他膽識過人，恐怕也須敗下陣來。而這個概念也和上述狀況有些類似。</p> <p>從戰術而言，這些的確讓人有許多想像空間，不過，回歸到真實世界，任何守勢的建立與維持其實都不如想像中簡單，從人員、流程、技術等層面，都需要配合，這是守護資安面臨的挑戰，但也是印證資安有價值的絕佳機會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cisa">CISA</a></div><div class="field-item odd"><a href="/tags/jen-easterly">Jen Easterly</a></div><div class="field-item even"><a href="/tags/shields">Shields Up</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%AE%A3%E8%A8%80">網路安全宣言</a></div><div class="field-item even"><a href="/tags/%E6%8B%9C%E7%99%BB">拜登</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E5%AE%A3%E5%B0%8E">資安宣導</a></div></div></div>
2022/4/2 23:05作者李宗翰https://www.ithome.com.tw/voice/150236
【資安週報】2022年3月28日至4月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對NPM套件而來的攻擊行動，上週有開發者為了抗議俄羅斯發動戰爭而破壞軟體程式碼，發動「抗議軟體」攻擊，本週則是出現了大規模的惡意套件攻擊行動，而引進多家資安業者提出警告。與過往不同的是，駭客採取自動化的方式，產生惡意NPM套件，且每個套件的開發者都不同。</p> <p>在上述的NPM套件攻擊之外，Java框架Spring Core的漏洞「SpringShell」也引起許多資安人員關注，且認為該漏洞的嚴重程度可能與Log4Shell相當，軟體開發商Spring也於3月31日提供修補此漏洞的新版軟體。Spring雖然指出漏洞可能會被觸發的情境，但還是要IT人員注意，因為，攻擊者很有可能透過其他方式利用漏洞。</p> <p>在3月不斷洩露大型IT廠商程式碼等資料的駭客組織Lapsus$，即使上週傳出有成員遭到逮捕，本週該組織還是公布從IT業者軟體開發承包商Globant的資料。此外，Okta也公布處理的過程，並坦承早在2個月前就知悉這起攻擊行動。</p> <p>烏克蘭戰爭進行至今已超過一個月，在開戰當天就遭駭的衛星網路業者Viasat，公布了初步的調查結果。而在該業者公布調查結果後，有資安人員進一步指出，該公司的網路用戶很可能是因數據機遭到資料破壞軟體（Wiper）攻擊，而導致無法上網。這樣的發現，也和Viasat陸續向受害用戶提供新的數據機相呼應。</p> <p>在這場戰爭中，俄羅斯不只面臨許多國家經濟制裁的壓力，武裝攻擊行動不如預期，也使得網路攻擊出現了與過往極為不同的事故。例如，俄羅斯聯邦航空運輸局疑似是該國政府自導自演，將大量資料刪除，而面臨改以人工作業的情況；再者，則是有俄羅斯駭客鎖定國內的反戰人士，發動釣魚郵件攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/a-beautiful-factory-for-malicious-packages/"><span style="color: rgb(0, 0, 0);">惡意NPM套件鎖定Azure、Uber、Airbnb的開發者竊密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/NPM-user-account-1-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NPM-user-account-1-1.png" style="width: 300px; float: right;" /></a>駭客上傳名稱相仿的惡意NPM套件，來對開發人員下手的情況，不時傳出攻擊行動，但現在駭客已發展出自動大量產生這類套件的做法，而引起研究人員關注。<a href="https://jfrog.com/blog/large-scale-npm-attack-targets-azure-developers-with-malicious-packages/">資安業者JFrog於3月23日揭露鎖定Azure開發者的惡意NPM套件攻擊</a>，駭客假冒@azure、@azure-rest、@azure-tests、@azure-tools、@cadl-lang領域的套件，在數天之內從約50個增加至218個（截至3月21日），一旦開發者不慎就有可能安裝到惡意套件，這些套件內含的惡意酬載，功能主要是能竊取受害電腦裡存放的個資，並對受害電腦進行偵察。與過往的攻擊行動不同之處在於，駭客很可能透過指令碼自動上傳這些惡意套件，雖然開發者的帳號都不相同，但背後發起攻擊的駭客身分相同。</p> <p><a href="https://blog.sonatype.com/this-week-in-malware-400-npm-packages-target-azure-uber-airbnb-developers">另一個資安業者Sonatype於3月25日表示</a>，這組駭客不只鎖定Azure開發者下手，還針對Uber與Airbnb的開發人員，他們看到有超過400個惡意套件。資安業者Checkmarx於3月28日表示，他們約自2月23日察覺這組駭客Red-Lili的攻擊行動，迄今駭客約產生逾800個惡意NPM套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/okta-we-made-a-mistake-delaying-the-lapsus-hack-disclosure/"><span style="color: rgb(0, 0, 0);">針對遭到駭客組織Lapsus$攻擊，Okta坦承延遲揭露逾2個月，影響處理時效</span></a></strong></h3> <p>身分驗證管理解決方案業者Okta於1月遭到Lapsus$駭客組織入侵，駭客於2個月後公布入侵成功的螢幕截圖，並得到該公司證實確有此事，有366個客戶（約占該公司客戶總數2.5%）受到波及。Okta於3月25日再度對於這起攻擊事故進行說明，表示他們早於1月20日就得知，他們委外的客服公司Sitel，有客服工程師Okta帳號的密碼疑遭竄改，他們當下即重設該帳號的密碼並通報Sitel。</p> <p>雖然宣稱客戶沒有遭駭，但Okta坦承處理方式有所疏忽，當時僅預防相關帳號遭到接管，沒有考慮到對其他Okta用戶的影響，並未更積極主導相關的調查。而在Lapsus$公布相關資料後，Okta股價一路從170美元跌到138美元，跌幅達20%。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/globant-confirms-hack-after-lapsus-leaks-70gb-of-stolen-data/"><span style="color: rgb(0, 0, 0);">駭客組織Lapsus$入侵IT業者軟體開發承包商Globant，並得到證實</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Globant-customers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Globant-customers.png" style="width: 300px; float: right;" /></a>繼傳出部分成員遭到逮捕而曝露身分後，駭客組織Lapsus$再度外洩新的資料，而且是專門承接大型IT公司開發案的廠商。Lapsus$駭客於3月29日宣稱入侵了IT業者Globant，且公布該公司部分客戶的名稱，包括亞培（Abbott）、DHL、Facebook等都名列其中，駭客亦公布Globant的DevOps平臺相關資料，當中包含了Jira、Confluence、GitHub、Crucible等系統的管理員密碼。</p> <p><a href="https://www.prnewswire.com/news-releases/globant-official-update-301514040.html">Globant於3月30日發布聲明證實遭到入侵</a>，並表示有少部分程式庫遭到未經授權存取，這些資料是極少數客戶的部分原始碼與專案文件，目前沒有證據該公司基礎架構的其他部分受到影響，也沒有客戶遭到波及的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bloomberg.com/news/articles/2022-03-30/apple-meta-gave-user-data-to-hackers-who-forged-legal-requests"><span style="color: rgb(0, 0, 0);">蘋果、Meta傳出不慎將用戶資料交給假的執法單位</span></a></strong></h3> <p>彭博社（Bloomberg）於3月31日引述多名消息人士的說法指出，駭客自2021年起，偽裝成執法人員，以「緊急資料請求」（EDR）的名義，向蘋果、Meta等多個IT業者索取用戶個資，然後加以濫用或是盜賣，駭客疑似先入侵數個國家的執法機關，從電子郵件系統翻出EDR文件範圍，並偽造官員的簽名，來向網路服務供應商（ISP）、電信業者、IT業者或社交平臺請求特定用戶的個資，接著駭客再用來進行社交攻擊或是暴力破解，進而得到受害者的帳密。</p> <p><a href="https://krebsonsecurity.com/2022/03/hackers-gaining-power-of-subpoena-via-fake-emergency-data-requests/">資安部落格Krebs on Security指出</a>，最近1個月不斷公布IT業者資料的駭客Lapsus$，ID為WhiteDoxbin的主嫌先前曾參與另一個名為Recursion Team的網路犯罪集團，該集團專門出售執法機關的資料，而可能被用於上述的偽造EDR攻擊，該部落格認為，這很可能是Lapsus$入侵部分受害企業的管道。</p> <h3><strong style="font-size: 22px;"><a href="https://www.viasat.com/about/newsroom/blog/ka-sat-network-cyber-attack-overview/"><span style="color: rgb(0, 0, 0);">烏克蘭戰爭開打即遭駭，美國衛星通訊服務業者Viasat公布調查結果</span></a></strong></h3> <p>美國衛星通訊服務業者Viasat於2月24日遭駭，而導致Ka-Sat衛星網路服務受到影響，波及歐洲數個國家的用戶，此網路攻擊事故發生的時間點，正好就是俄羅斯正式向烏克蘭開始發動戰爭的當日，由於烏克蘭軍方也是該衛星網路的用戶，也使得外界猜測這次事故很可能與戰爭有關。</p> <p>事隔一個月後，Viasat公布了初步的調查結果與處理進度。該公司指出，此起事故導致數千個烏克蘭用戶與數萬歐洲用戶受到影響，他們是原本是Euro Broadband Infrastructure Sàrl被併購前的用戶，並使用Tooway數據機。此次事故沒有波及政府機關與其他直接由Viasat管理的行動用戶，以及其他地區的使用者。根據該公司協同資安業者Mandiant與相關執行機關進行調查的結果，駭客可能是透過不當組態的VPN設備，入侵Ka-Sat網路的管理網段而得逞，進而關閉受害者的數據機，導致這些用戶無法重新連上網際網路。</p> <p>Viasat認為，駭客的目的是中斷服務的運作，目前亦沒有證據顯示有用戶的資料遭到異常存取或是洩露，Ka-Sat網路與基礎設施也沒有遭到破壞，該公司將陸續對於尚未恢復服務的用戶，提供新的數據機設備使他們能夠重新連上網路。</p> <p>自美國衛星服務業者Viasat公布2月24日遭駭的調查結果後，<a href="http://www.sentinelone.com/labs/acidrain-a-modem-wiper-rains-down-on-europe/">有研究人員指出，駭客疑似使用了資料破壞軟體（Wiper）</a>，導致Ka-Sat部分用戶的數據機無法運作。資安業者SentinelOne指出，他們在3月15日，看到名為ukrop的ELF檔案被上傳到惡意軟體分析平臺VirusTotal，這個Linux執行檔可在MIPS架構的設備上運作，根據檔案的名稱，研究人員認為很有可能是「烏克蘭行動」的縮寫，推測該惡意軟體是專門針對烏克蘭的攻擊行動所開發，且疑似在Ka-Sat網路攻擊裡破壞數據機的檔案，研究人員將其命名為AcidRain。</p> <p>有別於烏克蘭先前出現的資料破壞軟體，幾乎都是針對Windows電腦而來，AcidRain的攻擊目標是數據機，研究人員進一步追查，發現AcidRain與VPNFilter部分程式碼有共通之處，推測背後的攻擊者有可能是俄羅斯駭客組織Sandworm。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacked-wordpress-sites-force-visitors-to-ddos-ukrainian-targets/"><span style="color: rgb(0, 0, 0);">駭客利用WordPress網站散布攻擊工具，利用瀏覽網站的用戶電腦向烏克蘭發動DDoS攻擊</span></a></strong></h3> <p>資安研究團隊MalwareHunterTeam發現，有WordPress網站被植入惡意程式碼，鎖定瀏覽網站的使用者下手，利用這些電腦，在使用者不知情的情況下，於背景執行分散式阻斷服務（DDoS）攻擊，目標是10個烏克蘭網站，包含該國政府機構、招募國際士兵的網站、金融網站等。研究人員Andrii Savchenko指出，約有數百個WordPress網站遭到竄改而被植入相關程式碼，但許多管理者並不知情。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-dismantles-5-disinformation-bot-farms-seizes-10-000-sim-cards/"><span style="color: rgb(0, 0, 0);">烏克蘭拆除散播戰爭假訊息的機器人農場機房，並沒收1萬張SIM卡</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake-information-center-bot.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-information-center-bot.jpg" style="width: 200px; float: right;" /></a>自烏克蘭戰爭開始之前，俄羅斯駭客就不斷藉由網路攻擊，試圖向烏克蘭民眾散布假訊息，但該國駭客疑似也建置機器人（Bot）農場機房，透過假的社群網路帳號來散播這類訊息。</p> <p>烏克蘭國家安全局（SSU）於3月28日指出，他們自烏克蘭戰爭開始至今，破獲5個握有逾10萬社群網站帳號的機器人農場，這些農場的機房位於該國境內的哈爾可夫、切爾卡瑟、捷爾諾波爾、外喀爾巴阡州等地區，疑似是俄羅的特種部隊所為，目的是針對俄羅斯入侵散布不實資訊。SSU查獲100套GSM閘道、1萬張SIM卡，以及控制機器人的電腦與筆電。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/chinese-threat-actor-scarab-targeting-ukraine/"><span style="color: rgb(0, 0, 0);">以收集戰爭犯罪證據為幌子，中國駭客Scarab鎖定烏克蘭發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ukraine-Targeting-Lure-Document.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ukraine-Targeting-Lure-Document.jpg" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變因應小組（CERT-UA）於3月22日發布資安通告，指出駭客組織UAC-0026以俄羅斯軍隊犯罪的記錄影片為誘餌，發動網路釣魚攻擊，並提及駭客投放的惡意DLL檔案HeaderTip，且類似的攻擊行為曾在2020年9月出現，而最近有研究人員找到與中國駭客相關的跡象。資安業者SentinelOne揭露，從惡意文件與相關檔案進行分析，駭客使用中文的Windows作業系統製作作案相關工具，其身分可能就是中國駭客組織Scarab，而這個組織相當會利用執法機關的名義，並搭配時事發動網路釣魚攻擊，以上述2020年9月的攻擊行動而言，這些駭客就是利用歐洲安全與合作組織（OSCE）的名義，以反恐會議的文件為誘餌向菲律賓人下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.aviation24.be/miscellaneous/russo-ukrainian-war/powerful-cyber-attack-on-russias-civil-aviation-authority-servers-no-more-data-nor-back-up/"><span style="color: rgb(0, 0, 0);">俄羅斯聯邦航空運輸局聲稱遭駭而回歸紙本作業，匿名者否認與他們有關</span></a></strong></h3> <p>烏克蘭戰爭開戰之後，俄羅斯不少政府機關與關鍵基礎設施（CI），陸續傳出遭到網路攻擊，但現在傳出該國有機關疑似出現自導自演的資安事故。根據新聞網站Aviation24.be的報導，俄羅斯聯邦航空運輸局（Rosaviatsia）表示他們在3月26日遭到網路攻擊，導致所有文件、飛機註冊資料，以及電子郵件等總計65 TB資料，全部遭到刪除，且網路暫時斷線、電子文件系統亦無法使用，該機構因沒有預算而並未備份資料，迫使他們改以人工作業因應。</p> <p>俄羅斯指控，駭客是攻擊IT基礎架構服務業者InfAvia，而能成功破壞聯邦航空運輸局的內部網路環境。對此，這一個多月以來大肆對俄羅斯發動網路攻擊的駭客組織匿名者（Anonymous）否認涉案，並指出很有可能是俄羅斯政府所為。雖然匿名者沒有提出相關證據說明，但外界普遍認為應該是俄羅斯政府自導自演。</p> <p>而對於俄羅斯這麼做的目的，外界認為，很有可能是為了沒收他國停在俄羅斯的飛機，或者是與Rosaviatsia的貪污案有關，也有可能是找尋可以發動軍事行動或是網路攻擊的藉口。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/03/new-spear-phishing-campaign-targets-russian-dissidents/"><span style="color: rgb(0, 0, 0);">駭客鎖定俄羅斯政府機關與民眾發動釣魚郵件攻擊，疑似監控反戰人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russian-dissidents-phish2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russian-dissidents-phish2.png" style="width: 300px; float: right;" /></a>俄羅斯駭客在武裝行動開始以來，不斷對烏克蘭發動網路攻擊，但現在出現疑似針對國內反戰人士的行動。資安業者Malwarebytes發現針對俄羅斯政府與民眾的釣魚郵件攻擊行動，這些郵件向收信人提出警告，如果存取俄羅斯政府封鎖的網站、社群網站、即時通訊軟體，甚至企圖使用VPN服務突破政府封鎖的人士，將會面臨刑事訴訟，若是收信人想要知道細節而不慎開啟附件，電腦將可能會被植入Cobalt Strike。</p> <p>研究人員指出，駭客使用RTF格式的文件檔案，並使用<a href="https://www.ithome.com.tw/news/146913">MSHTML重大漏洞CVE-2021-40444</a>或<a href="https://news.sophos.com/en-us/2021/12/21/attackers-test-cab-less-40444-exploit-in-a-dry-run/">其變種漏洞Cabless</a>，來對受害電腦發動攻擊。收信人一旦開啟RTF檔案，將會下載惡意HTML檔案，進而遭到上述HTML漏洞的攻擊，並被植入Cobalt Strike而遭到監控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/deep-panda-log4shell-fire-chili-rootkits"><span style="color: rgb(0, 0, 0);">中國駭客組織利用VMware遠距工作平臺Log4Shell漏洞，植入蠕蟲軟體</span></a></strong></h3> <p>駭客鎖定遠距工作平臺VMware Horizon下手，並利用Log4Shell漏洞入侵受害主機的現象，最近又有相關事故。資安業者Fortinet發現中國駭客組織Deep Panda的攻擊行動，駭客鎖定VMware Horizon伺服器，並利用Log4Shell漏洞成功入侵之後，於受害主機植入蠕蟲程式Fire Chili。</p> <p>研究人員指出，駭客使用了有效的簽章來規避偵測，而這些簽章的來源，疑似是從資安業者Comodo與遊戲開發商Frostburn Studios竊得。值得留意的是，這些簽章也遭到惡名昭彰的駭客組織Winnti所運用，研究人員認為可能是兩個駭客組織之間共用部分資源。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/03/29/horde-of-miner-bots-and-backdoors-leveraged-log4j-to-attack-vmware-horizon-servers/"><span style="color: rgb(0, 0, 0);">駭客利用Log4Shell漏洞，鎖定VMware遠距工作平臺植入後門、挖礦軟體</span></a></strong></h3> <p>自去年12月爆發的Log4Shell漏洞，陸續有研究人員提出警告，指出駭客用來對VMware Horizon遠距工作平臺下手，而這樣的情況仍舊持續。資安業者Sophos指出，他們自1月發現相關攻擊不斷出現，並在19日偵測到大規模攻擊行動，雖然這波攻擊行動規模有縮小的現象，但攻擊行動仍在持續。</p> <p>研究人員指出，駭客鎖定這個遠距工作平臺的攻擊行徑，主要是藉由其中的Tomcat元件，植入Cobalt Strike的反向Shell工具，這些駭客成功入侵之後，主要使用的攻擊工具為4種挖礦軟體，以及3種「後門程式」。這些挖礦軟體是z0Miner、JavaX miner、Jin、Mimu，都是用於挖取門羅幣的軟體；而在後門程式的部分，駭客則是使用寄生攻擊（LoL）的手法，利用遠端桌面工具Atera與Splashtop Streamer，或是滲透測試工具Sliver，來對受害主機進行監控。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.juniper.net/en-us/security/muhstik-gang-targets-redis-servers"><span style="color: rgb(0, 0, 0);">中國駭客組織Muhstik利用Redis漏洞，投放惡意軟體組成殭屍網路</span></a></strong></h3> <p>繼先前的Log4Shell漏洞後，駭客看上Linux伺服器應用程式漏洞，來組織殭屍網路的情況，最近開始鎖定記憶體資料庫Redis下手。資安業者Juniper Networks指出，他們發現中國駭客組織Muhstik，約自3月11日鎖定甫被修補的Redis漏洞CVE-2022-0543，鎖定執行Debian與Ubuntu作業系統的Linux主機下手，攻擊者利用這項漏洞，可遠端執行任意的Lua程式碼，進而在受害主機上進行沙箱逃逸，並植入殭屍網路機器人（Bot）。</p> <p>對此，Debian和Canonical都發布了資安通告，後者指出該漏洞的CVSS風險層級達10分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/hive-ransomware-deploys-novel-ipfuscation-technique/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive利用新的混淆手法IPfuscation，以規避偵測</span></a></strong></h3> <p>繼日前勒索軟體駭客組織Hive改以Rust開發Linux版攻擊工具後，該組織也傳出為Windows版Hive加入新的規避偵測機制。資安業者SentinelOne指出，他們看到勒索軟體Hive使用名為IPfuscation的新型態規避手法，駭客運用ASCII字元表示的IPv4位址數字，或是IPv6位址、UUID、MAC位址，來進行混淆，當勒索軟體的檔案執行時，就會將其轉換成二進位的資料，進而產生Shell Code。</p> <p>由於上述字串解密之前看起來就是單純的IP位址或是MAC位址，而難以被防毒軟體察覺異狀，研究人員認為，企業很可能需要透過行為檢測的資安工具，才能識破這種攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-ports-its-linux-vmware-esxi-encryptor-to-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以Rust程式語言開發Linux版本，意圖規避資安系統檢測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive-ver5-virustotal.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive-ver5-virustotal.png" style="width: 300px; float: right;" /></a>勒索軟體駭客Hive自去年10月開始，將攻擊範圍延伸到Linux與FreeBSD主機上，如今他們模仿其他組織的做法，更換開發勒索軟體的程式語言，而使得資安系統更難察覺異狀。資安業者Group-IB研究員Rivitna指出，他們看到新的Linux版Hive勒索軟體，駭客使用Rust進行開發，而非像過往使用Go語言（Golang），鎖定VMware ESXi而來。</p> <p>研究人員指出，駭客這麼做是參考另一個組織Black Cat（亦稱Alphv）的手法，理由是使用Rust開發的軟體執行效率更好，且對於研究人員而言，反組譯變得更為困難。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/python-ransomware-jupyter-notebook"><span style="color: rgb(0, 0, 0);">以程式語言Python開發的勒索軟體鎖定Jupyter Notebooks而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/jupyter-notebook-ransomware-attack-picture-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/jupyter-notebook-ransomware-attack-picture-1.jpg" style="width: 300px; float: right;" /></a>駭客使用程式語言Python開發勒索軟體，並鎖定特定應用系統下手的現象，<a href="https://ithome.com.tw/news/147136">日前有人針對VMware虛擬化平臺發動攻擊</a>，但近期有駭客針對自動化程式碼執行系統Jupyter Notebook而來。資安業者Aqua Security揭露近期發現的Python勒索軟體攻擊行動，駭客針對組態配置不當的Jupyter Notebook發動攻擊，下載攻擊所需的程式庫與工具，然後加密了所有檔案後再將自己刪除。研究人員指出，駭客沒有留下勒索訊息，研判該勒索軟體很可能還在開發階段，攻擊者的目的只是測試相關功能是否能發揮作用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/oklahoma-city-indian-clinic-impacted-by-suncrypts-ransomware-attack/"><span style="color: rgb(0, 0, 0);">說好的不攻擊醫療院所破功了！美國俄克拉荷馬州診所遭到Suncrypt勒索軟體攻擊</span></a></strong></h3> <p>美國的醫療機構陸續有攻擊事件傳出，而最近有針對當地原住民提供服務的醫院下手的事故，且疑似是宣稱不對醫療院所下手的駭客所為。資安新聞網站DataBreaches指出，美國俄克拉荷馬市印地安診所（OKCIC）於3月21日遭到網路攻擊，而導致部分電腦系統無法存取，該院隨即進行調查。</p> <p>而針對其攻擊者的身分，勒索軟體Suncrypt聲稱是他們所為，並宣稱取得逾350 GB資料，內含病人的電子健康資料庫，以及該院財務資料等。由於勒索軟體Suncrypt曾於2020年9月宣稱不再攻擊醫療單位，此起攻擊的後續發展可能會引起資安人員的關注。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/03/transparent-tribe-new-campaign.html"><span style="color: rgb(0, 0, 0);">駭客以提供進階身分驗證工具的名義，鎖定印度政府員工發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/KavachAuthentication-infection-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/KavachAuthentication-infection-chain.jpg" style="width: 200px; float: right;" /></a>政府機關遭駭客鎖定發動攻擊的情況時有所聞，但如今攻擊者有可能假借提供公部門軟體的名義下手，讓受害者難以察覺異狀。思科揭露由巴基斯坦駭客APT36（亦稱Transparent Tribe、Mythic Leopard）近期發動的網路間諜攻擊行動，這些駭客長期針對印度政府員工而來，但在最近的攻擊中，引起研究人員注意的是，駭客以散布該國政府開發的身分驗證應用程式Kavach Authentication做為幌子，對這些政府員工下手，一旦受害者執行安裝程式，會同時在電腦上部署前述的驗證工具與CrimsonRAT木馬程式，由於安裝了上述的身分驗證應用程式且能正常使用，受害者不易發現駭客的行徑。</p> <p>而這個木馬程式所具備的功能，包含能從瀏覽器竊取各式帳密、列出電腦正在執行的處理程序等，而研究人員發現，在近期的版本裡，駭客還加入了側錄鍵盤、讀取及刪除檔案、執行任意命令等能力。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/threat-research-mars-stealer"><span style="color: rgb(0, 0, 0);">竊密軟體Mars Stealer透過Google搜尋廣告散布</span></a></strong></h3> <p>利用Google搜尋廣告來散布惡意軟體的作法，近期又有新的攻擊行動出現。資安業者Morphisec揭露名為Mars Stealer的竊密軟體，該惡意程式約自2021年6月開始出現，並於多個地下論壇兜售，此竊密軟體具備截取各種瀏覽器與數款加密貨幣錢包用戶帳密的能力，駭客取得這項工具後，便透過垃圾郵件或是其他社交工程的方式散布。已有逾50個網域使用者的電腦遭感染此竊密程式，進而導致公司網域的密碼外洩，受害者的身分多半是學生、教職員，以及內容創作者，Morphisec亦發現加拿大醫療基礎設施供應商與企業遭駭。</p> <p>值得留意的是，不少使用此竊密程式的駭客，疑似購買了Google搜尋引擎的廣告（Google Ads），並以提供常見應用程式（如開源文書處理軟體OpenOffice）的名義，來散布Mars Stealer，這也與許多受害者是因為上網搜尋應用程式，而導致電腦遭到此惡意軟體感染的情況互相呼應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/c/purple-fox-uses-new-arrival-vector-and-improves-malware-arsenal.html"><span style="color: rgb(0, 0, 0);">使用惡意軟體Purple Fox的駭客正在散布木馬程式FatalRAT</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Purple Fox blog Figure 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Purple%20Fox%20blog%20Figure%201.jpg" style="width: 200px; float: right;" /></a>惡意軟體Purple Fox自2018年首度出現以來，如今已發展成為功能更為強大的惡意軟體載入器，駭客藉此進一步在受害電腦投放更多的攻擊工具。趨勢科技發現，<a href="https://www.ithome.com.tw/news/148719">駭客在1月使用假的Telegram安裝程式散布Purple Fox之後</a>，這些駭客近期以更多的應用程式名義，如Chrome、Adobe Flash Player、WhatsApp等，引誘受害者下載安裝，一旦執行安裝之後，就會從C2中繼站下載第2階段的惡意軟體FatalRAT。</p> <p>研究人員指出，駭客用來規避偵測的手法，包含了盜用合法的簽章簽署Purple Fox的Rootkit武器庫，以及濫用帶有簽章的驅動程式等，而能夠繞過防毒軟體的檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/verblecon-sophisticated-malware-cryptocurrency-mining-discord"><span style="color: rgb(0, 0, 0);">惡意軟體載入器Verblecon被用於投放挖礦軟體</span></a></strong></h3> <p>攻擊者用來投放挖礦軟體的工具，很有可能未來也被用於散布間諜軟體、勒索軟體，而引起研究人員的注意。賽門鐵克揭露他們從今年1月觀察到的惡意軟體Verblecon，駭客主要利用此惡意軟體在受害電腦植入挖礦工具牟利，且似乎打算竊取受害者的即時通訊軟體Discord帳密。研究人員指出，該惡意軟體透過加密和混淆機制，而使得其每次下載的酬載皆有所不同，進而成功逃避防毒軟體的偵測，除此之外，駭客亦加入了偵測是否在虛擬機器執行的能力。研究人員將取得的惡意軟體檔案上傳到惡意軟體分析網站VirusTotal，結果大部分的防毒引擎都視為無害。</p> <p>對於這個惡意軟體採用相當複雜的規避偵測手法，攻擊者卻只是用於挖礦攻擊的現象，研究人員認為，很有可能只是使用它的駭客不甚了解此惡意軟體的能力，若是老練的網路罪犯取得，將能用來發動勒索軟體攻擊，或是從事網路間諜行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.brokenwire.fail/"><span style="color: rgb(0, 0, 0);">研究人員揭露可干擾電動汽車充電站運作的Brokenwire攻擊手法</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/charger-stopped_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/charger-stopped_2.jpg" style="width: 300px; float: right;" /></a>電動汽車是現今世界各國發展的潮流，隨著充電站部署越來越密集，有越來越多民眾選購這類車輛，一旦充電站遭到操弄，很有可能影響甚廣。英國牛津大學及瑞士國防聯邦採購辦公室（Armasuisse）聯手，公布能干擾這類充電站運作的手法Brokenwire，只要透過簡單的設備，就能在距離充電站約47公尺的地方發動攻擊，進而讓汽車無法充電。</p> <p>這項手法是針對時下電動車直流電快速充電機制「複合式充電系統（CCS）」而來，研究人員使用無線訊號放大器與自製的天線，針對7款汽車與18個充電站進行實驗，一旦他們發出惡意訊號，充電站隨即停止對車輛充電。Brokenwire將會影響北美與歐洲CCS充電設備，研究人員認為至少1,200萬輛汽車可能會受到影響，此外，其他透過充電提供動力的船隻、飛機、重機具，也可能會遭到波及。</p> <h3> </h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/palo-alto-networks-error-exposed-customer-support-cases-attachments/"><span style="color: rgb(0, 0, 0);">Palo Alto Networks用戶技術支援報修服務網站傳出漏洞，使用者竟能看到近2千筆他人報修的工單</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/support-cases-palo-alto.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/support-cases-palo-alto.jpeg" style="width: 300px; float: right;" /></a>資安業者的用戶技術支援報修服務網站出現錯誤，有可能不慎將使用者的資料曝光。資安新聞網站Bleeping Computer指出，他們接獲資安業者Palo Alto Networks的用戶通報，該用戶在3月10日註冊該公司的用戶技術支援報修服務網站的帳號後，起初瀏覽器只能存取常見問題資料庫，且在存取Palo Alto Hub的時候出現403權限不足的訊息，但在通報該公司技術支援部門並得到修復後，他的帳號竟然能從「我的公司」看到由他人發出的1,989件技術支援工單，當中部分工單包含了問題描述的相關檔案，例如防火牆事件記錄檔案（Log）、組態配置檔案、網路安全群組的規畫等。</p> <p>針對這起事故，Palo Alto表示，目前沒有使用者資料遭到外洩的跡象，且僅有這名用戶的帳號出現異常。根據他們的調查，很可能是用戶技術支援報修服務網站系統中的權限配置錯誤造成，該公司已經予以修正。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://teamt5.org/tw/posts/spring-rce-zeroday-vulnerability/" id="SpringShell" name="SpringShell" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">Java框架Spring驚傳RCE漏洞，危險程度恐直逼Log4Shell</span></a></strong></h3> <p>又是與Java有關的嚴重軟體漏洞，而可能影響相當廣泛。臺灣資安業者TeamT5於3月30日發布資安通告，指出他們於29日得知Java框架Spring Core存在零時差漏洞CVE-2022-22965（亦稱SpringShell、<a href="https://www.cyberkendra.com/2022/03/springshell-rce-0-day-vulnerability.html">Spring4Shell</a>），攻擊者很可能將其用於RCE攻擊，此漏洞存在於同時使用Spring框架與Java開發套件（JDK）9.0以上版本的開發環境，且當中運用了Spring衍生框架spring-beans-*.jar，或是含有CachedIntrospectionResults.class等元件。研究人員認為，這項漏洞的危險程度，很可能與<a href="https://www.ithome.com.tw/news/148337">去年12月公布的Log4Shell</a>相當接近。</p> <p>而對於SpirngShell的危險程度，<a href="https://www.flashpoint-intel.com/blog/what-is-springshell-what-we-know-about-the-springshell-vulnerability/">另一家資安業者Flashpoint指出</a>，此漏洞的CVSS第3版風險層級為9.8分，且<a href="https://www.bleepingcomputer.com/news/security/new-spring-java-framework-zero-day-allows-remote-code-execution/">根據資安新聞網站Bleeping Computer的報導</a>，此漏洞已出現概念性驗證（PoC）攻擊程式，並被攻擊者者積極利用。</p> <p><a href="https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement">Spring於31日發布資安通告並揭露細節</a>，同時推出Spring Framework 5.3.18版與5.2.20版，以及Spring Boot 2.6.6版與2.5.12版修補這項漏洞，該公司指出，這項漏洞必須要有多項條件符合才會觸發，此漏洞與Spring MVC和Spring WebFlux應用程式有關，且要在Java開發套件（JDK）9.0以上版本環境運作，應用程式也要以WAR模式部署，並以Tomcat作為Servlet容器等條件，相關系統才會曝露於SpringShell風險之中。開發者指出，假如應用程式以預設參數部署為Spring Boot的可執行jar檔案，則該系統應該不易受到SpringShell影響。但Spring認為，攻擊者很有可能透過其他方法利用，而不能掉以輕心，他們呼籲用戶儘速安裝更新，或是採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/support/Zyxel-security-advisory-for-authentication-bypass-vulnerability-of-firewalls.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補影響VPN、防火牆產品的韌體重大漏洞</span></a></strong></h3> <p>防火牆設備一旦出現存取機制控管不當的弱點，很有可能讓攻擊者能夠繞過相關身分驗證而為所欲為。Zyxel於3月29日發布資安通告，修補旗下防火牆設備的身分驗證繞過漏洞CVE-2022-0342，這項漏洞起因是部分防火牆韌體版本的CGI程式裡，存在存取控制機制不當的情況，使得攻擊者能夠繞過身分驗證，進而取得管理員權限。</p> <p>該漏洞CVSS風險層級高達9.8分，且USG、USG Flex、ATP、VPN、NSG產品線的設備都可能受到波及，該公司呼籲用戶應儘速安裝新版韌體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-sophos-firewall-vulnerability-allows-remote-code-execution/"><span style="color: rgb(0, 0, 0);">Sophos防火牆設備存在身分驗證繞過漏洞，恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>網頁管理介面的漏洞，很可能被用於攻擊防火牆等資安系統。資安業者Sophos最近修補旗下防火牆設備的漏洞CVE-2022-1040，攻擊者可用於繞過使用者入口網站與網頁管理介面，進而遠端執行任意程式碼（RCE），該漏洞存在於Sophos Firewall 18.5 MR3（18.5.3）以前的版本，CVSS風險層級為9.8分。該業者已修補相關漏洞，並呼籲用戶應避免使用者入口網站與網頁管理介面暴露於WAN，並採用VPN或是雲端管理平臺Sophos Central進行管理。</p> <p>針對此事Sophos也指出，在該品牌防火牆預設的WAN，無法存取上述的網頁管理介面，此外，他們也建議用戶啟用雙因素驗證（MFA），來增加安全性。</p> <h3><strong style="font-size: 22px;"><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003"><span style="color: rgb(0, 0, 0);">SonicWall防火牆的網頁管理介面存在記憶體溢位漏洞</span></a></strong></h3> <p>資安設備的網頁管理介面一旦出現漏洞，很可能讓攻擊者能夠癱瘓其運作。資安業者SonicWall於3月25日發布資安通告，指出該廠牌防火牆執行的作業系統SonicOS存在漏洞CVE-2022-22274，這項漏洞與記憶體堆疊緩衝溢位有關，一旦攻擊者利用這項漏洞，可對防火牆發動阻斷服務（DoS）攻擊，甚至有可能執行程式碼，CVSS風險層級為9.4分，影響執行SonicOS 7.0.1-505、7.0.1-R579、6.5.4.4-44v-21-1452與舊版作業系統的防火牆，約有30款設備曝露於相關風險，所幸目前尚未出現漏洞攻擊行動或是概念性驗證（PoC）攻擊工具，SonicWall呼籲用戶儘速安裝更新軟體修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/03/stable-channel-update-for-desktop_25.html"><span style="color: rgb(0, 0, 0);">Chrome零時差漏洞疑遭濫用，Google緊急修補</span></a></strong></h3> <p>又有Chrome的零時差漏洞疑似出現於攻擊行動的情況。Google於3月25日發布電腦版Chrome 99.0.4844.84，該公司強調此版本更新的內容是修補CVE-2022-1096，該漏洞涉及此瀏覽器的網頁渲染引擎V8，為類型混淆漏洞，影響Windows、macOS、Linux等三大電腦作業系統的Chrome，且其他採用Chromium為基礎開發的瀏覽器，如Edge、Brave、Vivaldi、Opera，也可能會受到影響，Google指出他們得知該漏洞已經出現攻擊行動。微軟、Brave已於3月26日發布新版瀏覽器修補上述漏洞。而這是Google今年對該瀏覽器修補的第2個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/url-rendering-trick-enabled-whatsapp-signal-imessage-phishing/"><span style="color: rgb(0, 0, 0);">多款手機即時通訊軟體存在控制字元RTLO漏洞，恐遭駭客用於網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ios-imessage-rtlo-preview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ios-imessage-rtlo-preview.jpg" style="width: 300px; float: right;" /></a>又是標記文字排列方向的Unicode字元所衍生的漏洞，而且波及Meta旗下多款手機版即時通訊App，以及蘋果iOS內建的iMessage。資安研究團隊Sick.Codes指出，他們發現一組能濫用特定Unicode字元的漏洞（CVE-2020-20093 至CVE-2020-20096），攻擊者可利用這些漏洞搭配由右向左書寫（Right To Left Override，RTLO）的控制字元，進而欺騙使用者網址的內容，這項漏洞影響iOS與Android行動裝置上的多款即時通訊軟體，包含Instagram、iMessage、WhatsApp、Signal、Facebook Messenger等。</p> <p>研究人員指出，類似的RTLO漏洞，很有可能也存在於其他即時通訊軟體和收信軟體，美國國家標準暨技術研究院（NIST）正在調查相關漏洞的影響範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-emergency-update-fixes-zero-days-used-to-hack-iphones-macs/"><span style="color: rgb(0, 0, 0);">iOS與macOS裝置存在2個零時差漏洞，蘋果緊急修補</span></a></strong></h3> <p>蘋果於3月31日發布macOS Monterey 12.3.1、iOS 15.4.1、iPadOS 15.4.1，當中修補了2個可能已被用於攻擊行動的零時差漏洞CVE-2022-22675、CVE-2022-22674，前者與AppleAVD影音解碼框架有關，同時影響Mac電腦與iOS裝置，而後者存在於Mac電腦的Intel顯示晶片驅動程式，為越界讀取漏洞。截至目前為止，蘋果今年已經修補了5個零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-wyze-cam-iot-device/"><span style="color: rgb(0, 0, 0);">Wyze視訊鏡頭存在漏洞，攻擊者可存取錄下的畫面</span></a></strong></h3> <p>物聯網（IoT）裝置的開發者很有可能只求產品功能正常，而沒有考量資訊安全，使得其產品多年曝露於相關漏洞的風險之中。防毒廠商Bitdefender指出，他們自20219年3月開始，發現Wyze Cam視訊鏡頭產品存在嚴重漏洞，攻擊者可在未經身分驗證的情況下，藉由網頁伺服器監聽網路連接埠80埠，進而存取安裝在視訊鏡頭裡的SD卡資料，且這樣的漏洞存在於此產品線的第1代至第3代機種。Wyze於今年1月29日，針對第2及第3代Wyze Cam發布新版韌體修補相關漏洞。</p> <p>研究人員認為，使用者應重視家用物聯網裝置的安全，最好提供這些設備專用的無線網路SSID，並選用具備資安防護功能的路由器設備。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/pwning-microsoft-azure-defender-for-iot-multiple-flaws-allow-remote-code-execution-for-all/"><span style="color: rgb(0, 0, 0);">微軟物聯網端點防護系統存在漏洞，攻擊者恐用於執行SQL注入攻擊</span></a></strong></h3> <p>資安業者透過雲端服務，來提供物聯網（IoT）設備的防護機制，然而這類系統一旦出現漏洞，很可能遭到挾持，被用於執行惡意程式碼。資安業者SentinelOne指出，他們在2021年6月，在微軟Azure Defender for IoT系統裡發現了數個嚴重漏洞，其中的CVE-2021-42311和CVE-2021-42313，CVSS風險層級達到10分。</p> <p>研究人員指出，這些漏洞有些能讓攻擊者更新或是執行SQL特殊指令，有的則與Token的驗證相關，亦有部分漏洞能讓攻擊者取得特權使用者cyberx的密碼（此系統源自於2020年微軟併購的CyberX產品）。上述漏洞微軟已於2021年12月完成修補並發布資安通告，目前研究人員尚未發現漏洞遭到利用的跡象，但呼籲用戶應儘速套用修補軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/honda-bug-lets-a-hacker-unlock-and-start-your-car-via-replay-attack/"><span style="color: rgb(0, 0, 0);">Honda汽車遙控鎖存在漏洞，駭客恐利用重放攻擊啟動引擎</span></a></strong></h3> <p>汽車的遙控器雖然方便，然而其訊號很可能極為容易遭到複製，而能讓攻擊者來打開車門。研究人員Blake Berry與Ayyappan Rajesh聯手，揭露他們在本田（Honda）旗下的汽車發現的漏洞CVE-2022-27254，這項漏洞可被在車輛附近的駭客用來發動中間人攻擊（MitM），攔截從鑰匙遙控器發出的訊號並予以複製，之後再發送訊號開啟車門，攻擊者甚至藉此能發動引擎。研究人員指出，經過他們的驗證，這項漏洞至少影響該公司旗下2016年式至2020年式的Civic，他們研判很可能影響大部分本田旗下車款，並擴及該公司的豪華品牌Acura產品線。研究人員對該公司提出呼籲，應透過發送不斷更新的通關密語（Rolling Code，亦稱Hopping Code）來防範相關攻擊。針對上述的研究成果，本田向資安新聞網站Bleeping Computer表示，這樣的手法目前沒有遭到利用的跡象，他們尚未對於漏洞進行驗證，亦不打算針對已售出車輛召回。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/us-says-kaspersky-poses-unacceptable-risk-to-national-security/"><span style="color: rgb(0, 0, 0);">美國將卡巴斯基列入可能造成國安威脅的名單</span></a></strong></h3> <p>自烏克蘭戰爭開戰以來，德國、義大利針對卡巴斯基下手，打算減少使用該廠牌的防毒軟體，來防範可能會遭到俄羅斯監控的情況，如今美國亦認為該廠商可能會帶來國安威脅。美國聯邦通訊委員會（FCC）於3月25日，將卡巴斯基列入可能對國家安全造成威脅的設備或服務提供者名單。這份名單目前總共有8家廠商，除卡巴斯基之外其餘皆為中國業者。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150123"><span style="color: rgb(0, 0, 0);">歐盟與美國達成跨大西洋資料隱私框架初步協議</span></a></strong></h3> <p>為減化美國企業將歐洲使用者資料傳送到美國的流程，他們與歐盟達成協議，於3月25日宣布即將推動新的跨大西洋資料隱私框架（Trans-Atlantic Data Privacy Framework），美國亦承諾強化對歐盟使用者資料的保護。事實上，美國曾依循歐盟隱私法令，與歐盟曾於2016年達成《隱私盾》（Privacy Shield）資料傳輸保護協議，但歐盟法院認為美國情報機構可能會窺探歐盟民資個資，於2020年7月廢除。而這次雙方打算推出的新隱私框架，主要便是界定美國的監控活動範圍與比例，以及不當收集或使用歐盟民眾個資時，所需採取的緊急因應措施。</p> </div></div></div>
2022/4/1 16:39作者周峻佑https://www.ithome.com.tw/news/150233
2022臺灣企業AI趨勢報告：超過48%企業進入AI科技應用的規模化階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蜂行資本近日公布2022臺灣企業AI趨勢報告， <a href="https://www.ithome.com.tw/news/143475">這是他們第二年</a>調查企業AI科技導入現況，今年調查了270家大型和中小型企業。調查發現，企業應用AI科技的成熟度顯著提升，近5成進入規模化階段，但企業AI導入原因，從去年為了增加營收，今年轉為用來降低成本。</p> <p dir="ltr">今年參與調查的企業，近4成是千人以上規模的大型企業，產業別以製造業占比最高，約四分之一，樣本產業和規模分布與去年調查相當。今年延續了去年的AI成熟度框架，依照數據完備、團隊完備及營運完備程度來衡量企業導入AI的發展程度，從0到6級分為7個階段，越高代表越成熟。調查顯示，超過48%的作答企業處於AI應用的規模化階段（4到6級），遠高於去年的25%。其中，又以千人以上的大型企業進展最快，占據了4到6級企業近半數。</p> <p dir="ltr"><a href="https://s4.itho.me/sites/default/files/images/maturity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/maturity.jpg" /></a></p> <p dir="ltr">報告分析，近6成企業因2021年疫情高峰而感受到導入AI的急迫性，又以網路與媒體產業和疫情前線的醫療保健產業者的企業較多。隨著投資AI的需求增長，大量新手資料科學家出現，企業中的資料科學家，約45%的經驗年資不到一年。</p> <p dir="ltr">蜂行資本創辦人李彥樞表示，臺灣企業文化重視結果，往往在確定需求後，才會開發或採用相應的模型，因此，臺灣企業的模型部署率高達50%到75%之間，也就是超過半數模型都會部署到實際應用上，遠高於世界平均的20%部署率。他觀察，由於臺灣企業開始採用MLOps，提高了開發和部署模型效率，近4成臺灣企業，能在一個月內部署新模型。</p> <p dir="ltr">在企業積極部署AI科技的同時，調查也發現，去年，企業希望用AI來增加營收，但今年轉而希望用AI來降低成本，這也反映出企業對AI的運用策略，開始轉向。</p> <p dir="ltr"><a href="https://s4.itho.me/sites/default/files/images/21 2 22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/21%202%2022.jpg" /></a></p> <p dir="ltr">企業重點導入AI的部門，依然以製造、銷售和行銷部門為主，其他部門也大致與前一年調查情況相同。採用的技術中，機器學習和深度學習平臺依然比例最高。報告中分析，隨著更多AI科技解決方案的商品化，且相關的開源模型增加，也帶動了電腦視覺技術的採用率。尤其，製造業廣泛地將電腦視覺運用在品管AOI上，而零售業則用於顧客熱點區域分析和安全方面。</p> <p>不過，企業導入AI仍面臨不少挑戰，約6成企業面臨了導入初期的挑戰。最常見的前三項，包括了資料蒐集（19%）、驗證可行的商業案例（13.8%）和人才供應（11.3%）等挑戰。而成長階段的挑戰，則以擴大規模、資料科學家的表現和模型性能監測為主。李彥樞提醒，企業若沒有先解決各階段的問題，不僅在進入下一個階段時會遇到瓶頸，甚至會出現大規模的系統和流程崩潰。</p> </div></div></div>
2022/4/1 16:59作者郭又華https://www.ithome.com.tw/news/150234
【資安日報】2022年4月1日，Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Java框架Spring出現的重大漏洞CVE-2022-22965，這幾天引起許多資安人員高度關注，並認為嚴重程度很有可能接近Log4Shell。Spring於3月31日發布了資安通告及修補此漏洞的新版軟體，並說明可能會曝露於該漏洞風險的情境，同時也提醒IT人員不能掉以輕心。</p> <p>美國衛星網路業者Viasat於2月24日遭到網路攻擊，而使得部分歐洲用戶無法上網的事故，有資安業者做出更多說明，指出駭客對這些用戶的數據機進行資料破壞（Wiper）攻擊，並找到可能是俄羅斯駭客發動攻擊的證據。</p> <p>在烏克蘭戰爭中，俄羅斯軍隊節節敗退，加上許多國家祭出經濟制裁，該國也出現了與過往有所不同的網路攻擊事故，一起疑似是俄羅斯自導自演，而使得該國飛航主管機關資料遭到破壞，而被迫改以紙本作業的情況；另一起則是鎖定該國反對發動戰爭人士而來的網路釣魚攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/acidrain-a-modem-wiper-rains-down-on-europe/"><span style="color: rgb(0, 0, 0);">Viasat衛星網路用戶的數據機遭到資料破壞軟體AcidRain攻擊</span></a></strong></h3> <p>自美國衛星服務業者Viasat公布2月24日遭駭的調查結果後，有研究人員指出，駭客疑似使用了資料破壞軟體（Wiper），導致Ka-Sat部分用戶的數據機無法運作。資安業者SentinelOne指出，他們在3月15日，看到名為ukrop的ELF檔案被上傳到惡意軟體分析平臺VirusTotal，這個Linux執行檔可在MIPS架構的設備上運作，根據檔案的名稱，研究人員認為很有可能是「烏克蘭行動」的縮寫，推測該惡意軟體是專門針對烏克蘭的攻擊行動所開發，且疑似在Ka-Sat網路攻擊裡破壞數據機的檔案，研究人員將其命名為AcidRain。</p> <p>有別於烏克蘭先前出現的資料破壞軟體，幾乎都是針對Windows電腦而來，AcidRain的攻擊目標是數據機，研究人員進一步追查，發現AcidRain與VPNFilter部分程式碼有共通之處，推測背後的攻擊者有可能是俄羅斯駭客組織Sandworm。</p> <h3><strong style="font-size: 22px;"><a href="https://www.aviation24.be/miscellaneous/russo-ukrainian-war/powerful-cyber-attack-on-russias-civil-aviation-authority-servers-no-more-data-nor-back-up/"><span style="color: rgb(0, 0, 0);">俄羅斯聯邦航空運輸局聲稱遭駭而回歸紙本作業，匿名者否認與他們有關</span></a></strong></h3> <p>烏克蘭戰爭開戰之後，俄羅斯不少政府機關與關鍵基礎設施（CI），陸續傳出遭到網路攻擊，但現在傳出該國有機關疑似出現自導自演的資安事故。根據新聞網站Aviation24.be的報導，俄羅斯聯邦航空運輸局（Rosaviatsia）表示他們在3月26日遭到網路攻擊，導致所有文件、飛機註冊資料，以及電子郵件等總計65 TB資料，盡數遭到刪除，且網路暫時斷線、電子文件系統亦無法使用，該機構因沒有預算而並未備份資料，迫使他們改以人工作業因應。</p> <p>俄羅斯指控，駭客是攻擊IT基礎架構服務業者InfAvia，而能成功破壞聯邦航空運輸局的內部網路環境。對此，這一個多月以來大肆對俄羅斯發動網路攻擊的駭客組織匿名者（Anonymous）否認涉案，並指出很有可能是俄羅斯政府所為。雖然匿名者沒有提出相關證據說明，但外界普遍認為應該是俄羅斯政府自導自演。</p> <p>而對於俄羅斯這麼做的目的，外界認為，很有可能是為了沒收他國停在俄羅斯的飛機，或者是與Rosaviatsia的貪污案有關，也有可能是找尋可以發動軍事行動或是網路攻擊的藉口。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/03/new-spear-phishing-campaign-targets-russian-dissidents/"><span style="color: rgb(0, 0, 0);">駭客鎖定俄羅斯政府機關與民眾發動釣魚郵件攻擊，疑似監控反戰人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russian-dissidents-phish2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russian-dissidents-phish2.png" style="width: 300px; float: right;" /></a>俄羅斯駭客在武裝行動開始以來，不斷對烏克蘭發動網路攻擊，但現在出現疑似針對國內反戰人士的行動。資安業者Malwarebytes發現針對俄羅斯政府與民眾的釣魚郵件攻擊行動，這些郵件向收信人提出警告，如果存取俄羅斯政府封鎖的網站、社群網站、即時通訊軟體，甚至企圖使用VPN服務突破政府封鎖的人士，將會面臨刑事訴訟，若是收信人想要知道細節而不慎開啟附件，電腦將可能會被植入Cobalt Strike。</p> <p>研究人員指出，駭客使用RTF格式的文件檔案，並使用<a href="https://www.ithome.com.tw/news/146913">MSHTML重大漏洞CVE-2021-40444</a>或<a href="https://news.sophos.com/en-us/2021/12/21/attackers-test-cab-less-40444-exploit-in-a-dry-run/">其變種漏洞Cabless</a>，來對受害電腦發動攻擊。收信人一旦開啟RTF檔案，將會下載惡意HTML檔案，進而遭到上述HTML漏洞的攻擊，並被植入Cobalt Strike而遭到監控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/deep-panda-log4shell-fire-chili-rootkits"><span style="color: rgb(0, 0, 0);">中國駭客組織利用VMware遠距工作平臺Log4Shell漏洞，植入蠕蟲軟體</span></a></strong></h3> <p>駭客鎖定遠距工作平臺VMware Horizon下手，並利用Log4Shell漏洞入侵受害主機的現象，最近又有相關事故。資安業者Fortinet發現中國駭客組織Deep Panda的攻擊行動，駭客鎖定VMware Horizon伺服器，並利用Log4Shell漏洞成功入侵之後，於受害主機植入蠕蟲程式Fire Chili。</p> <p>研究人員指出，駭客使用了有效的簽章來規避偵測，而這些簽章的來源，疑似是從資安業者Comodo與遊戲開發商Frostburn Studios竊得。值得留意的是，這些簽章也遭到惡名昭彰的駭客組織Winnti所運用，研究人員認為可能是兩個駭客組織之間共用部分資源。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/hive-ransomware-deploys-novel-ipfuscation-technique/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive利用新的混淆手法IPfuscation，以規避偵測</span></a></strong></h3> <p>繼日前勒索軟體駭客組織Hive改以Rust開發Linux版攻擊工具後，該組織也傳出為Windows版Hive加入新的規避偵測機制。資安業者SentinelOne指出，他們看到勒索軟體Hive使用名為IPfuscation的新型態規避手法，駭客運用ASCII字元表示的IPv4位址數字，或是IPv6位址、UUID、MAC位址，來進行混淆，當勒索軟體的檔案執行時，就會將其轉換成二進位的資料，進而產生Shell Code。</p> <p>由於上述字串解密之前看起來就是單純的IP位址或是MAC位址，而難以被防毒軟體察覺異狀，研究人員認為，企業很可能需要透過行為檢測的資安工具，才能識破這種攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.brokenwire.fail/"><span style="color: rgb(0, 0, 0);">研究人員揭露可干擾電動汽車充電站運作的Brokenwire攻擊手法</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/charger-stopped_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/charger-stopped_2.jpg" style="width: 300px; float: right;" /></a>電動汽車是現今世界各國發展的潮流，隨著充電站部署越來越密集，有越來越多民眾選購這類車輛，一旦充電站遭到操弄，很有可能影響甚廣。英國牛津大學及瑞士國防聯邦採購辦公室（Armasuisse）聯手，公布能干擾這類充電站運作的手法Brokenwire，只要透過簡單的設備，就能在距離充電站約47公尺的地方發動攻擊，進而讓汽車無法充電。</p> <p>這項手法是針對時下電動車直流電快速充電機制「複合式充電系統（CCS）」而來，研究人員使用無線訊號放大器與自製的天線，針對7款汽車與18個充電站進行實驗，一旦他們發出惡意訊號，充電站隨即停止對車輛充電。Brokenwire將會影響北美與歐洲CCS充電設備，研究人員認為至少1,200萬輛汽車可能會受到影響，此外，其他透過充電提供動力的船隻、飛機、重機具，也可能會遭到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/palo-alto-networks-error-exposed-customer-support-cases-attachments/"><span style="color: rgb(0, 0, 0);">Palo Alto Networks技術支援網站傳出漏洞，使用者竟能看到近2千筆他人報修的工單</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/support-cases-palo-alto.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/support-cases-palo-alto.jpeg" style="width: 300px; float: right;" /></a>資安業者的技術支援系統出現錯誤，有可能不慎將使用者的資料曝光。資安新聞網站Bleeping Computer指出，他們接獲資安業者Palo Alto Networks的用戶通報，該用戶在3月10日註冊該公司的技術支援系統帳號後，起初瀏覽器只能存取常見問題資料庫，且在存取Palo Alto Hub的時候出現403權限不足的訊息，但在通報該公司技術支援部門並得到修復後，他的帳號竟然能從「我的公司」看到由他人發出的1,989件技術支援工單，當中部分工單包含了問題描述的相關檔案，例如防火牆事件記錄檔案（Log）、組態配置檔案、網路安全群組的規畫等。</p> <p>針對這起事故，Palo Alto表示，目前沒有使用者資料遭到外洩的跡象，且僅有這名用戶的帳號出現異常。根據他們的調查，很可能是技術支援系統中的權限配置錯誤造成，該公司已經予以修正。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement"><span style="color: rgb(0, 0, 0);">Spring修補SpringShell漏洞</span></a></strong></h3> <p>許多研究人員於3月29日至30日提出警告，<a href="https://www.ithome.com.tw/news/150209#SpringShell">Java框架Spring Core存在極為嚴重的漏洞SpringShell</a>（亦稱Spring4Shell），Spring於31日發布資安通告並揭露細節，同時推出Spring Framework 5.3.18版與5.2.20版，以及Spring Boot 2.6.6版與2.5.12版修補這項漏洞。此漏洞如今也有了正式的CVE編號CVE-2022-22965。</p> <p>Spring指出，這項漏洞必須要有多項條件符合才會觸發，此漏洞與Spring MVC和Spring WebFlux應用程式有關，且要在Java開發套件（JDK）9.0以上版本環境運作，應用程式也要以WAR模式部署，並以Tomcat作為Servlet容器等條件，相關系統才會曝露於SpringShell風險之中。開發者指出，假如應用程式以預設參數部署為Spring Boot的可執行jar檔案，則該系統應該不易受到SpringShell影響。但Spring認為，有鑑於此漏洞的性質相當普遍，攻擊者很有可能透過其他方法利用，而不能掉以輕心，他們呼籲用戶儘速安裝更新，或是採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/support/Zyxel-security-advisory-for-authentication-bypass-vulnerability-of-firewalls.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補影響VPN、防火牆產品的韌體重大漏洞</span></a></strong></h3> <p>防火牆設備一旦出現存取機制控管不當的弱點，很有可能讓攻擊者能夠繞過相關身分驗證而為所欲為。Zyxel於3月29日發布資安通告，修補旗下防火牆設備的身分驗證繞過漏洞CVE-2022-0342，這項漏洞起因是部分防火牆韌體版本的CGI程式裡，存在存取控制機制不當的情況，使得攻擊者能夠繞過身分驗證，進而取得管理員權限。</p> <p>該漏洞CVSS風險層級高達9.8分，且USG、USG Flex、ATP、VPN、NSG產品線的設備都可能受到波及，該公司呼籲用戶應儘速安裝新版韌體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/apple-emergency-update-fixes-zero-days-used-to-hack-iphones-macs/"><span style="color: rgb(0, 0, 0);">iOS與macOS裝置存在2個零時差漏洞，蘋果緊急修補</span></a></strong></h3> <p>蘋果於3月31日發布macOS Monterey 12.3.1、iOS 15.4.1、iPadOS 15.4.1，當中修補了2個可能已被用於攻擊行動的零時差漏洞CVE-2022-22675、CVE-2022-22674，前者與AppleAVD影音解碼框架有關，同時影響Mac電腦與iOS裝置，而後者存在於Mac電腦的Intel顯示晶片驅動程式，為越界讀取漏洞。截至目前為止，蘋果今年已經修補了5個零時差漏洞。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/1 14:44作者周峻佑https://www.ithome.com.tw/news/150231
5G趨勢月報第29期：遠傳電信合併亞太，與中華、台灣大哥大別苗頭，1月全球5G手機銷售滲透率超越4G
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>02/25~03/30精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>亞太電信</b></span></font></p> <p><strong><span style="font-size:22px;"><span class="s1" style="font-kerning: none;">遠傳電信併亞太電信，電信市場重返三國鼎立</span></span></strong></p> <p>繼台灣大哥大與台灣之星之後，遠傳電信也宣布將和亞太電信合併，雙方合併後，遠傳將為存續公司，用戶數總計達920萬用戶，在國內電信市場與中華電信、台灣大哥大成三分之勢。</p> <p>在此之前，遠傳電信已與亞太電信有合作的基礎，兩家公司在2020年建立國內首次共頻共網合作模式。而合併之後，除了用戶數提升之外，還將掌握更多的無線頻譜資源，包括700MHz連續頻寬，再加上1.8GHz、2.1GHz、3.5GHz、28GHz 等低中高頻段，以及原本2600MHz TDD頻段資源，將使遠傳在4G、5G頻譜運用上更有彈性。</p> <p>兩家公司合併後，總用戶數達920萬，遠傳電信強調，亞太電信原客戶既有合約不變。遠傳預期這項合作將使雙方用戶享有更多網路資源，大幅提升體驗。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場報告</b></span></font></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-faa7d285-7fff-f01f-a533-249ce3c6d055"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">今年</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">1</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">月全球</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">5G</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">手機銷售滲透率超越</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">4G</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Global-5G-smartphone-penetration-4-1024x707.jpg" style="width: 600px; height: 414px;" /></p> <p>市場研究單位Counterpoint發布的全球每月手機銷售報告，隨著愈來愈多電信商提供5G商用服務，2022年1月全球5G智慧型手機銷售率達到51%，首次超越4G手機。5G智慧型手機銷售的成長，主要來自中國、北美及西歐市場，中國在1月5G手機銷售滲透率達到全球最高的84%，北美與西歐分別為73%與76%。</p> <p>該報告認為，電信營運商對5G服務的提供，以及手機業者提供具價格競爭力的5G智慧型手機都是推升5G手機銷售滲透率提高的原因，例如蘋果從2020年的iPhone 12開始支援5G，使用舊款iPhone用戶未來逐步汰換升級新iPhone，預期未來iOS用戶升級手機對5G的需求仍然很大。</p> <p>另外，受惠於高通、聯發科等晶片廠商推出價格更實惠的晶片，Android平臺的5G手機的中高價位，從250到400美元逐漸降至150到250美元，在2022年1月的5G銷售額的五分之一。報告也預期亞太、中東、拉丁美洲等仍使用4G手機的地區，將是接下來5G手機滲透率成長的重點區域。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>蘋果</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>iPhone</b></span></font></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-ceadb35a-7fff-626a-295c-4e35ed189af7"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">蘋果發表第三代</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">iPhone SE</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">，採用</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">A15</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">仿生晶片並支援</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">5G</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-iPhoneSE-color-lineup-4up-220308%20(1).jpg" style="width: 600px; height: 400px;" /></p> <p>蘋果將iPhone高階手機才有的5G功能向下普及，該公司近期發表的第三代iPhone SE，採用A15仿生晶片，支援5G通訊功能，國內定價約1.4萬元起跳，也是蘋果現今最便宜的5G iPhone手機。</p> <p>新款iPhone SE仍延用4.7 Retina HD螢幕的設計，支援IP67防水防塵等級，並保留了Home鍵與TouchID，有別於高階機種已採用多鏡頭設計，第三代iPhone SE仍採用1,200萬畫素的單鏡頭。</p> <p>儘管外觀上和上一代相比沒有太大變化，但新的iPhone SE內建與iPhone 13相同的A15仿生晶片，和iPhone 8相比，處理速度提升1.8倍。至於繪圖處理速度，和前一代iPhone SE相比，速度提高1.2倍。</p> <p>蘋果官方稱，其電池續航力也比先前任一款4.7吋iPhone更久，還支援無線充電與快速充電。其他改進之處，包括透過軟體改善相機體驗。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>MWC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-3f001c4e-7fff-466d-30f8-d13f60bd44a3"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">高通新款數據機下半年問世，首次整合處理器優化網路效能</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x70_hero_image.jpg" style="width: 600px; height: 311px;" /></p> <p>高通在3月初的MWC全球行動通訊大會中，展示多載波聚合、mmWave毫米波、5G+AI等多項5G數據機射頻系統技術，其中5G+AI部分，高通預計在今年下半年開始送樣的Snapdragon X70數據機，在其射頻系統中首次整合5G AI處理器，以AI驅動射頻技術，包括以AI為基礎的頻道狀態回饋及最佳化、波束管理，提升5G網路速度、涵蓋率、穩定性。</p> <p>X70數據機可支援從600MHz到41GHz的5G商用頻段，以支援全球不同電信商所使用的5G商用頻段。在載波聚合技術方面，X70在網路下載可跨TDD與FDD、mmWave與Sub-6GHz，網路上傳部分，可跨TDD與FDD。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港口</b></span></font></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-42b50c6b-7fff-7527-3a17-39f1c7197eac"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">中華電信與臺灣港務公司合作，基隆港導入</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">5G</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">專網打造智慧港口</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/123(4).jpg" style="width: 600px; height: 382px;" /></p> <p>國內自5G開通服務後，在政府及企業推動下，正嘗試打造各種專網應用。中華電信近期宣布響應政府推動「5G帶動智慧交通技術與服務創新及產業發展補助計畫」，與臺灣港務公司合作，以基隆港為試驗場域，在港區建置5G專網，以測試結合空域、海域之5G智慧巡檢方案。</p> <p>過去，5G智慧巡檢多以陸地為主，例如針對企業園區、公共基礎建設，透過無人機打造智慧巡檢，此次合作為少見在海港打造的5G智慧巡檢應用。</p> <p>中華電信指出，傳統的港區巡檢作業由人工完成，人員需要定期排班，難以機動性針對異常事件，例如海面油污、垃圾，安排清除，影響船隻安全。而這項應用案運用AI智慧分析、UTM無人載具智慧監管平臺，其中無人載具智慧監管平臺可同時監管無人機、無人船、海事機器人，透過5G專網傳輸無人載具的資料與即時影像，還導入RTK即時動態定位技術，以滿足巡檢作業的精準定位需求。</p> <p>而AI智慧分析可對違法釣客告警、辨識海上污染物、港區道路檢測、油污染、水深監測等等，降低人工需求，協助港區管理單位監控港區狀況。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧城市展</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G</b></span></font></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-7f73c9b5-7fff-0b61-3ffa-772594939352"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">智慧城市展，中華與遠傳各自展示</span><span style="font-family: DFKai-SB; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">5G</span><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">專網應用</span></span></strong></span></p> <p>國內自5G開通服務後，在政府及企業推動下，正嘗試打造各種專網應用。中華電信近期宣布響應政府推動「5G帶動智慧交通技術與服務創新及產業發展補助計畫」，與臺灣港務公司合作，以基隆港為試驗場域，在港區建置5G專網，以測試結合空域、海域之5G智慧巡檢方案。</p> <p>過去，5G智慧巡檢多以陸地為主，例如針對企業園區、公共基礎建設，透過無人機打造智慧巡檢，此次合作為少見在海港打造的5G智慧巡檢應用。</p> <p>中華電信指出，傳統的港區巡檢作業由人工完成，人員需要定期排班，難以機動性針對異常事件，例如海面油污、垃圾，安排清除，影響船隻安全。而這項應用案運用AI智慧分析、UTM無人載具智慧監管平臺，其中無人載具智慧監管平臺可同時監管無人機、無人船、海事機器人，透過5G專網傳輸無人載具的資料與即時影像，還導入RTK即時動態定位技術，以滿足巡檢作業的精準定位需求。</p> <p>而AI智慧分析可對違法釣客告警、辨識海上污染物、港區道路檢測、油污染、水深監測等等，降低人工需求，協助港區管理單位監控港區狀況。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧城市展</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G</b></span></font></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-ff599a3e-7fff-497f-fbea-be42138028ac"><span style="font-family: Arimo, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">仁寶展示Sub-5GHz與mmWave頻段5G小基站</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed(1).jpg" style="width: 600px; height: 489px;" /></p> <p>今年智慧城市，除了地方政府、國內電信商參展，5 G設備商也看好5G在智慧城市落地所帶來的應用潛力。仁寶就在智慧城市展中展示多款5G NR小型基地臺，包括Sub-6GHz與mmWave小型基站與無線接取終端裝置。</p> <p>仁寶展示的小型基地臺，包括Oak室內與室外系列，用於室內強化涵蓋範圍，室外加強長距離傳輸能力；而在mmWave毫米波頻段方面，仁寶展示Hinoki indoor 5G毫米波RAN，主要滿足端對端的毫米波應用。</p> <p>仁寶表示，此次展示的新品，除了用於5G企業專網、智慧終端連網、5G遠端協作，也能透過成熟化的應用場景，讓智慧城市應用落地。在應用場景逐漸成熟下，預期5G小型基站將會在提升5G網路涵蓋率發揮影響力。</p> <p> </p> <p>圖片來源／遠傳電信、臺灣港務公司、仁寶、蘋果、Counterpoint</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.<span class="s1" style="font-kerning: none;">遠傳5G元宇宙加速器新創團隊出爐，聯手20組新創搶攻元宇宙商機</span></strong></p> <p><strong>2.<span class="s1" style="font-kerning: none;">三星推出新款中階5G手機Galaxy M33，售價不到9千元</span></strong></p> <p><strong>3.<span class="s1" style="font-kerning: none;">中華電信5G加速器3月下旬開始線上徵件</span></strong></p> <p>資料來源：iThome整理，2022年3月</p> </div></div></div>
2022/4/1 14:55作者蘇文彬https://www.ithome.com.tw/news/150229
三星與iFixit合作，推出自助維修專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/samsung-self-repair-program-ifixit-customer-first-care-experience/" target="_blank">三星於本周宣布</a>，為了延長裝置使用時間，推動循環經濟與減少電子垃圾，將與3C產品DIY維修教學網站iFixit合作，於今年夏天開始協助三星用戶自行維修裝置，首波支援的產品為Galaxy S20、Galaxy S21與Galaxy Tab S7+系列。</p> <p>屆時三星將允許使用者取得官方的裝置零件、維修工具，以及視覺化的維修指南，初期將讓使用者自行置換螢幕、玻璃背板與充電零件，使用者亦可將棄用零件寄回三星以進行回收。除了上述的Galaxy系列產品外，三星亦計畫將此一DIY維修專案擴大到其它產品。</p> <p>該專案目前看起來僅侷限於美國市場，目前三星在美國已有龐大的維修網路，包括覆蓋美國8成人口的2,000家維修店面，也提供了We Come To You Vans的到府維修服務，再加上郵寄維修服務等。</p> <p><a href="https://www.ithome.com.tw/news/147900" target="_blank">蘋果也在去年底發表了自助維修服務</a>，提供iPhone 12、iPhone 13與M1 Mac電腦的官方零件、工具及維修手冊予使用者，但初期也僅限最常損壞的電池、螢幕與相機，首個實施市場亦為美國。</p> </div></div></div>
2022/4/1 13:46作者陳曉莉https://www.ithome.com.tw/news/150227
臉書演算法臭蟲推送錯誤資訊給用戶長達數月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2022/3/31/23004326/facebook-news-feed-downranking-integrity-bug" target="_blank">The Verge取得Meta旗下的臉書一份內部報告報導</a>，臉書動態消息演算法去年曾經出錯，然而臉書卻未能立即解決，導致大量錯誤資訊透過動態消息功能推送給了用戶。</p> <p>這項報告是臉書上周在內部公開而由媒體取得。報告顯示，臉書工程師去年10月首先發現「大規模排序錯誤」的問題，大量重複資訊經由動態消息發布給用戶，其量之大使動態消息讀取量增長了30%。然而臉書卻未能立即阻止這些貼文，理由是找不到問題根源。這也使得動態消息讀取量率低起伏了將近6個月，直到今年3月11日才解決。</p> <p>這些重複資訊中，有大量經過外部審查者檢視判斷為錯誤資訊（misinformation），即有意或無意傳播的未經驗證、以訛傳訛的資訊內容。此外還包括裸露、暴力內容，以及臉書宣稱要封鎖的俄羅斯官媒內容，也都未被降低排序。</p> <p>過去臉書或Google透過排序來確保動態消息呈現的內容品質。臉書也運用排序作為內容審查的手段，像是藉由降低俄羅斯官媒報導、高爭議性內容、或假訊息排序來減少影響的層面。</p> <p>這次事件在臉書內部被列為第1級事件，屬高優先性的技術事件。不過最高為第0級，例如全球性的斷線事件。</p> <p>報導引述臉書官方發言人指出，該平臺偵測到5類不同內容在降低排序上出現不一致的情況。內部文件顯示該事件首先發生於2019年，但直到2021年10月才被發現。臉書後來他們找出問題根源並已修正，但補充說道，這問題並未顯著影響內部量測值，也未影響臉書自動刪除該移除的內容。</p> <p>臉書被懷疑不是沒理由的，因為<a href="https://www.ithome.com.tw/news/147484" target="_blank">該平臺曾遭指控</a>為促進高流量及廣告收益，不惜刻意放任仇恨、暴力內容、假新聞在平臺上流傳。</p> <p>The Verge報導，此次事件應該不是惡意操弄或疏忽的結果，但臉書「公民完整性」團隊成員Sahar Massachi指出，此事突顯網際網路平臺及演算法透明度的重要性，以便在這些有影響力的大型平臺出錯時，外界人士能很快發現，並協助修正。</p> </div></div></div>
2022/4/1 13:59作者林妍溱https://www.ithome.com.tw/news/150228
Google搜尋將新增新聞來源標籤以對抗不實資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這個不實資訊漫天飛舞的時代，Google擔起了搜尋引擎的責任，本周宣布將針對熱門的議題提供「最常被引用」（Highly Cited）的標籤，以將使用者導至新聞的源頭，這些源頭可能是某篇媒體或通訊社的報導，可能是一場專訪，可能是一個公告，或者是新聞稿。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/GGLSearch_HighlyCitedLabels_BlogGIF_2.gif" style="width: 450px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>身為全球最大的搜尋引擎，Google其實已經替排除不實資訊或推動事實查核做了許多努力，例如透過Google News Initiative贊助許多事實查核機構，設立Google Fact Check Explorer讓使用者直接搜尋已經過查證的主題，<a href="https://www.ithome.com.tw/news/145298" target="_blank">針對缺乏更多可靠來源的搜尋結果跳出提醒</a>，或是<a href="https://www.ithome.com.tw/news/145836" target="_blank">於搜尋中列出產生搜尋結果的依據</a>，以協助使用者判斷所查詢消息的可靠性。</p> <p>迄今Fact Check Explorer已蒐集了來自全球知名出版商、所提供的逾15萬筆事實查核資訊，Google News Initiative也已經贊助了位於美國、拉丁美洲、巴西、法國、澳洲與菲律賓的多個事實查核組織，並在使用者查詢新興主題時，提醒使用者確認消息來源是否可靠。</p> <p>本周Google再度祭出新招，針對每天的Top Stories提供「最常被引用」的新聞來源標籤，例如當絕大多數的媒體都引用來自《衛報》（The Guardian）的獨家報導時，它會率先出現《衛報》的該篇文章，或者當新聞直接引用某個品牌的新聞稿時，它會直接奉上新聞稿，讓使用者可以直接閱讀最原始的新聞來源，而不因只閱讀其它媒體的評論而錯過了事件的真實脈絡。</p> <p>此一標籤近期內就會出現在美國市場的行動版Google搜尋上，並於未來幾周擴充至全球市場。</p> </div></div></div>
2022/4/1 14:12作者陳曉莉https://www.ithome.com.tw/news/150230
蘋果小型企業訂閱服務Apple Business Essentials於美上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/03/apple-business-essentials-now-available-for-small-businesses/" target="_blank">蘋果於3月31日正式於美國推出</a>專為小型企業所設計的裝置管理服務Apple Business Essentials，將協助小型企業管理員工的蘋果裝置，包括iPhone、iPad、Mac及Apple TV 。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Apple-Business-Essentials-3up-hero-960.jpg" style="width: 550px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p><a href="https://support.apple.com/ar-qa/guide/apple-business-essentials/axmca7e28554/1.0/web/1.0" target="_blank">Apple Business Essentials</a>主要提供裝置管理與iCloud儲存服務，企業還可額外訂閱AppleCare+。裝置管理服務涵蓋可遠端配置、部署與管理蘋果裝置，其中一項名為Collections的功能允許企業遞送程式及Wi-Fi、VPN或FileVault等設定予使用者，還能在裝置遺失時保護裝置上的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Apple-Business-Essentials-7-collections%E5%8A%9F%E8%83%BD-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>至於iCloud上的儲存空間則視訂閱費用而定，從50GB到2TB不等，以讓員工能夠保存與備份商業資料。也能額外訂閱AppleCare+服務，可派遣技術人員至企業修理裝置。</p> <p>Apple Business Essentials支援企業所提供或員工自己的個人蘋果裝置，只要透過蘋果的User Enrollment 功能便可隔離工作及私人資料。現在已可連動Microsoft Azure Active Directory，未來幾個月將加入Google Workspace身分辨識服務，讓員工只藉由單一的企業帳號及密碼就能登入裝置。</p> <p><a href="https://www.apple.com/business/essentials/" target="_blank">Apple Business Essentials提供3種方案</a>，一是支援每名員工一個裝置及50GB儲存空間，每名員工每月費率為2.99美元，二是支援每名員工3個裝置及200GB儲存空間的方案，每月費率6.99美元，三是支援每名員工3個裝置，但儲存空間加大至2TB的方案，每月費率為12.99美元，若加上AppleCare+服務，上述方案的每月費率則將分別提高到9.99美元、19.99美元與24.99美元。</p> <p>現階段Apple Business Essentials僅於美國市場推出，且提供兩個月的免費試用期，蘋果並未說明是否會將該服務擴大至其它市場。</p> </div></div></div>
2022/4/1 12:29作者陳曉莉https://www.ithome.com.tw/news/150225
合勤修補影響VPN、防火牆產品的韌體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/support/Zyxel-security-advisory-for-authentication-bypass-vulnerability-of-firewalls.shtml" target="_blank">合勤（Zyxel）本周釋出安全公告</a>，修補影響VPN及防火牆產品的重大漏洞。</p> <p>編號CVE-2022-0342的漏洞為驗證繞過漏洞，出在合勤防火牆產品CGI程式存取控管機制不當，使攻擊者得以繞過驗證，取得管理員存取權限。該漏洞風險值高達9.8。</p> <p>受這項漏洞影響的產品包括防火牆USG/ZyWALL、USG FLEX、ATP、VPN及NSG，合勤已釋出更新版韌體ZLD V4.71（USG/ZyWALL）、ZLD V5.21 Patch 1（USG FLEX、ATP）及ZLD V5.21（VPN），該公司呼籲用戶應儘速更新。針對NSG系列，合勤目前釋出Hotfix，預計5月5日釋出標準修補程式V1.33 Patch 5。</p> <p><a href="https://www.zyxel.com/support/forgery-vulnerabilities-of-select-Armor-home-routers.shtml" target="_blank">合勤也在2月底針對Armor家用路由器設備釋出安全公告</a>，以修補兩個安全漏洞CVE-2021-4029及CVE-2021-4030。</p> <p class="rtecenter"><a href="https://www.zyxel.com/support/forgery-vulnerabilities-of-select-Armor-home-routers.shtml" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-zyxel%200222%20release-600.jpg" style="width: 600px;" /></a></p> <p>其中CVE-2021-4029為指令注入漏洞，存在CGI程式中，可讓本地攻擊者透過LAN介面在目標裝置上執行任意OS指令。CVE-2021-4030則是位在HTTP精靈程式的跨站請求偽造（cross-site request forgery）漏洞，攻擊者可誘使本地用戶造訪包含惡意Script的網站，進而執行任意指令。美國NIST漏洞資料庫將兩項漏洞同列為8.8的高風險漏洞。但合勤分別列為8.8及8.0。</p> <p>受影響的機種為Zyxel Armor Z1、Z2產品，合勤已針對Z2釋出更新版韌體修補漏洞。Z1已屆產品生命周期終點（EoL），合勤建議Z1用戶應換成新一代產品。</p> </div></div></div>
2022/4/1 13:00作者林妍溱https://www.ithome.com.tw/news/150226
Meta AI嘗試解決維基百科人物傳記所存在的性別偏見問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/generating-wikipedia-biographies/">Meta</a>研究人員創建人工智慧系統，來編寫出維基百科風格的傳記草稿，使得維基百科編輯能夠以最少的編輯，在維基百科上提供女性人物的傳記，以補充目前維基百科上，男女性人物傳記數量失衡的狀況。</p> <p>維基百科一直是全球存取量前10名的網站，是許多人搜尋歷史人物與領創者資訊的第一站，但這些人的傳記，並不總是被平等的呈現在維基百科上，根據維基媒體自己的研究資料，英文網站上只有大約20％的傳記是關於女性。Meta研究人員提到，交叉性族群像是科學界女性、非洲女性或是亞洲女性的傳記數量可能更少。</p> <p>雖然女性可能更傾向於撰寫其他女性的傳記，但Meta研究人員在維基媒體《2021年社群洞察報告》中發現，維基百科中只有15％的編輯是女性，他們提到，女性在歷史上，對科學、政治、社會甚至是企業家精神，都產生巨大的影響，但是這些女性人物卻被忽視，或是被以不成比例的方式在維基百科上呈現。</p> <p>研究人員舉例，像是加拿大物理學家Donna Strickland，在2018年的時候獲得諾貝爾物理學獎，卻在維基百科上無法找到任何關於他的資訊，一直到Donna Strickland獲得該領域最大的獎項，他的傳記才終於被發布。</p> <p>因此Meta研究人員，開發了一個端到端人工智慧模型，作為解決問題的起點，該模型能夠自動創建現實公眾人物的傳記文章。模型會先在網路上搜尋相關的資訊，並且寫出關於該人物的維基百科式條目，並且附上引用資料。</p> <p>由於該人工智慧系統仍還存在一些限制，因此定位上需要能與維基百科編輯互補，由人工智慧系統產生草稿，接著再由編輯進行事實查證和補充。模型的限制包括，用來創建維基百科條目的網頁內容，可能存在文化偏見，而且在技術上，文字生成系統容易產生幻覺（Hallucination），也就是非事實的內容。</p> <p>以下彩色文字，是由模型替無脊椎動物的研究先驅Libbie Hyman，所生成的簡短傳記，綠色文字來自參照文章，紫色文字則來自網路上的證據，橘色文字則表示幻覺，是由模型腦補，無法被驗證的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201191%20-%20Using%20AI%20to%20deliver%20more%20inclusive%20biographical%20content%20on%20Wikipedia_%20-%20ai_facebook_com.jpg" style="width: 580px;" /></p> <p>雖然模型所生成的結果無法直接被使用，但是模型檢索了Libbie Hyman相關資料，包括對無脊椎動物的研究、重要出版物和工作等，使得維基百科編輯能根據這項基礎，藉由驗證內容的正確性，並且補充Libbie Hyman的生活和成就，更快速地完成傳記。</p> <p>雖然在技術上還是有不足的地方，但這卻是對維基百科內容的性別平等踏出重要的一步，這項研究接下來還有許多工作要做，研究人員提到，他們目前的工作，僅是解決一個複雜問題的一小部分，其他問題像是在參照網路資料時，女性的傳記通常包含更多額外的生活細節，像是離婚這個詞，出現在女性傳記的頻率是男性傳記的4倍，來自小報的素材，往往更關注女性的生活，而這些細節可能沖淡更應該專注的成就。</p> <p>Meta研究人員提到，目前該模型把重點擺在女性，不過維基百科上還有許多內容存在偏見，根據維基百科對社群文章偏見的研究，發現跨性別和二元性別人物的傳記，往往長度更長，但是大部分章節都是描寫個人生活，而非個人成就，因此要在當前的內容中，辨識不同的偏見形式，也是接下來需要繼續研究的部分。</p> </div></div></div>
2022/4/1 13:14作者李建興https://www.ithome.com.tw/news/150223
研究人員設計出干擾電動車充電的攻擊法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現利用無線訊號干擾，可遠端造成電動車無法充電。<a href="https://www.brokenwire.fail/" target="_blank">英國牛津大學及瑞士國防聯邦採購辦公室（Armasuisse）發展出名為Brokenwire的手法</a>，透過簡單設備，研究人員最遠可在47公尺以外干擾電動車和充電設備間的控制訊息，達到破壞充電的目的。研究人員相信這手法也可用於多種電動設備，包括船和飛機。</p> <p>這項手法是攻擊複合式充電系統（Combined Charging System，CCS），CCS是現今主流的電動車直流電快速充電規格。在此類充電系統的充電過程中，電動車和電動充電設備（Electric Vehicle Supply Equipment，EVSE）會互相交換訊息，包括電量狀態（State of Charge）或最大電流。這類通訊是利用HomePlug Green PHY （HPGP）PLC技術提供的高頻寬IP連線來傳送。目前主要標準DIN 70121及ISO 15118都包含這項技術。</p> <p>研究測試是以市面上多數電動車和充電樁相同的HPGP數據機為攻擊對象。攻擊端則使用具備1瓦無線射頻放大器及自製偶極子天線的無線電底板LimeSDR。LimeSDR是完全開源的軟體定義無線電平臺，可自行開發必要的軟體，或下載並使用由自願者發布的軟體。此外研究人員也針對7個品牌的電動車及18款高壓直流充電樁進行測試。</p> <p>研究人員以安全為由，並未公布詳細的攻擊細節，但根據測試結果，他們相信市售無線電設備就能從10公尺之外進行干擾。在實驗情境下，能使訊號傳送封包損失100%。而從影片來看，一個運作正常的充電樁只要惡意訊號一發出就會立即中斷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Brokenwire%20by%20Systems%20Security%20Lab-960.jpg" style="width: 600px;" /></p> <p><a href="http://www.brokenwire.fail/" target="_blank"><span style="color:#696969;">圖片來源／牛津大學 Systems Security Lab</span></a></p> <p>研究人員表示Brokenwire手法影響北美及歐洲常見的CCS規格充電設備，他們相信影響1,200萬輛電動車，以及電動船、飛機及重機具等。</p> <p>不過本手法不會影響交流電充電設備。家用設備多半使用交流充電，通訊規格也不同（IEC 61851），但隨著家用充電支援ISO 15118，未來可能也會受影響。</p> <p>Brokenwire可以利用簡單設備在遠端破壞，可確保攻擊者不被發現。但目前研究人員尚未見到實際有人使用Brokenwire手法來破壞充電樁。他們也強調沒有證據顯示Brokenwire對電動車本身有長期損害，且說根據開發經驗判斷，相信極可能不會有影響。</p> </div></div></div>
2022/4/1 12:19作者林妍溱https://www.ithome.com.tw/news/150224
俄羅斯航空主管機關遭刪光所有資料，被疑為自導自演
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯聯邦航空運輸管理署（Rosaviatsia）上周遭到強大神祕網路攻擊，刪光所有資料。但是駭客行動團體Anonymous或盟友皆否認涉入事件。</p> <p><a href="https://www.aviation24.be/miscellaneous/russo-ukrainian-war/powerful-cyber-attack-on-russias-civil-aviation-authority-servers-no-more-data-nor-back-up/" target="_blank">Aviation 24報導</a>，這宗攻擊發生在上周六（3/26）早上，導致Rosaviatsia網路暫時斷線，電子文件系統無法使用，迫使Rosaviatsia退回人工作業，並利用緊急訊息頻道及傳統郵件交換資訊。Rosaviatsia官網也斷線。</p> <p>報導指出，攻擊造成Rosaviatsia的所有文件、檔案、飛機註冊資料或郵件等，總計65TB資料全數遭刪除。目前Rosaviatsia正在尋找備份，由於未獲得俄國財政部撥發預算，因此Rosaviatsia並沒有資料備份機制。</p> <p>官方指此事件是駭客藉由攻擊營運IT基礎架構的委外廠商InfAvia，進而駭入Rosaviatsia。</p> <p>但<a href="https://twitter.com/YourAnonTV/status/1509172734378582020" target="_blank">Anonymous本周否認涉案</a>，也沒有證據顯示此事是其盟友組織所為。<a href="https://twitter.com/LatestAnonPress/status/1509195820297506826" target="_blank">Anonymous進一步表示</a>，這不但不是駭客攻擊，反而有很多證據顯示是俄國政府所為。</p> <p class="rtecenter"><a href="https://twitter.com/LatestAnonPress/status/1509195820297506826" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0401-Rosaviatsia%20anonymous-600.jpg" style="width: 587px;" /></a></p> <p>Anonymous並未提供說明。但網友有多種推測，像是俄國歷來向許多西方公司租借數百臺飛機，但在烏俄戰爭開打後，各國政府發動制裁，機場也不允許俄國航線降落，為了報復，俄國政府可能策畫假攻擊把資料全數刪除，就能沒收所有飛機。<a href="https://twitter.com/kravietz_/status/1508739361654902784" target="_blank">也有人認為</a>此次事件和Rosaviatsia涉及的貪污案調查時間點十分巧合。該機構旗下的國營企業發生一起10億盧布（約1,200萬美元）貪污案，有證據顯示和Rosaviatsia主管有關。Rosaviatsia也因多年來事務廢弛、飛安事件頻傳而遭俄國政府撤換高層。</p> <p>另外有人認為俄國政府誣賴Anonymous，即可合理化俄國發動的實體及網路攻擊。</p> <p>此次攻擊和Anonymous「敢做敢當」的作風不同，後者攻擊以公布資料或宣揚訴求為主，在這場烏克蘭戰爭中，每每攻擊俄國國營企業、媒體或政府單位，該組織皆會在網上公告，並將資料上傳網站供外界下載。繼上周的俄羅斯營建公司Rostproekt、俄國國家電視暨無線廣播公司（VGTRK），以及生產鑽油、採礦業專用設備的俄國公司MashOil後，<a href="https://twitter.com/YourAnonNews/status/1509621197419462668" target="_blank">昨日Anonymous又公布</a>駭入俄國富豪Alexander Vinokurov持有的投資公司Marathon Group，外洩6.5萬份文件。</p> </div></div></div>
2022/4/1 10:20作者林妍溱https://www.ithome.com.tw/news/150221