iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Perforce併購知名IT自動化工具廠商Puppet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發工具廠商Perforce宣布<a href="https://www.perforce.com/press-releases/perforce-acquire-devops-pioneer-puppet">收購</a>DevOps工具開發商Puppet，雙方並未透露交易財務細節。Puppet將會成為Perforce中的一個業務單位運作，並與Perforce原有的其他DevOps相關部門共同合作，繼續提供Puppet品牌的基礎設施自動化解決方案。</p> <p>Perforce是一家美國超過25年的軟體公司，專注於提供開發者生產力工具，產品包括版本控制軟體、程式碼儲存庫管理、開發者協作，以及應用程式生命周期管理等開發者軟體，另外，Perforce還針對進階任務，提供一些更為專業的工具，包括對超級電腦上的工作負載進行除錯。</p> <p>而Puppet則是老牌的組態管理工具，十多年的歷史讓Puppet累積了龐大的客戶群，超過4萬家企業使用Puppet的開源和商業解決方案，財富50的企業中，就有40家是Puppet的客戶。在企業大量採用雲端服務的時代，Puppet解決方案有助於強化用戶在資料中心以及雲端平臺的安全態勢、法遵以及業務彈性。</p> <p>Puppet執行長Yvonne Wassenaar提到，Puppet很適合加入Perforce，原因在於Puppet補充了Perforce的產品組合，使得企業用戶的DevOps團隊，更能夠管理和保護基礎設施，在併購之後，Puppet解決方案將獲得強化，而不僅Puppet原有的用戶和合作夥伴，連帶開源社群也都將獲益。</p> <p>Puppet將繼續提供用戶，在混合雲環境持續交付、維護法遵和管理的能力，並使用戶能夠以可預測的方式，大規模交付和管理基礎設施。併購程序預計在2022年第二季完成，屆時Perforce的規模，將從1,200名員工成長至1,700名。</p> </div></div></div>
2022/4/13 09:32作者李建興https://www.ithome.com.tw/news/150383
美政府對俄制裁，電信及線上服務得以豁免
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府上周公布新一波對俄羅斯的制裁，不過電信及特定線上服務供應商將可獲得豁免權。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy0705" target="_blank">美國商務部上周對俄國擴大制裁</a>，將對俄國最大國營銀行Sberbank及最大私人銀行Alfa-Bank進行全面防堵，也將制裁對象由俄國總統普丁（Vladimir Putin）及外交部長拉夫洛夫（Sergey Lavrov）個人擴大到其家人。<a href="https://home.treasury.gov/system/files/126/russia_gl25.pdf" target="_blank">美國商務部外國資產控管辦公室上周發出通用授權（General License），准許兩類供應商持續對俄輸出</a>。</p> <p>這兩類分別是被俄國禁止的電信服務，以及網際網路通訊交換服務，例如即時通訊、視訊會議、通話、電子郵件、社交網路、相片共享、電影、文件、網路瀏覽、網站代管及網域名註冊服務相關的服務、軟體、硬體等技術。但是與特定俄國金融機構及3月初美國總統發布的行政命令禁止的交易類別除外。</p> <p>這項行動是對<a href="https://www.accessnow.org/letter-us-government-internet-access-russia-belarus-ukraine/" target="_blank">人權團體AccessNow 3月中發出陳情信</a>的回應，他們請求美國政府不要中斷俄國及白俄羅斯連網服務，以免讓兩國民眾和世界隔離。<a href="https://www.accessnow.org/u-s-treasury-russia-sanctions-internet/" target="_blank">Access Now本周對此表達歡迎，表示</a>這項決定讓仰賴美國通訊技術的俄國獨立媒體、人權鬥士及反戰抗議人士得以安全持續他們的任務。</p> <p>前述的電信業者如Cogent、Lumen已經公告暫時在俄國的服務，至於線上服務供應商包括Google、微軟、AWS、Paypal、蘋果等也都暫時提供服務或商品給俄國。</p> <p>一般相信，烏俄戰爭已經造成分裂網（Splinternet）的形成，亦即網路因宗教、政治或信仰等原因相互封鎖及隔絕。<a href="https://www.ithome.com.tw/news/149825" target="_blank">CDN業者如Cloudflare、Akamai等</a>就以提供俄國民眾獲取西方資訊、以及支持俄國境內異議人士為由持續提供服務。</p> <p>上周在商務部制裁命令之外，美國總統拜登也頒布了新的行政命令，禁止任何美國人士對任何俄國人的新增投資或提供特定服務。</p> </div></div></div>
2022/4/13 09:57作者林妍溱https://www.ithome.com.tw/news/150391
遠傳電信如何擴大數位轉型，文化重建與彰顯技術力是關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月遠傳電信宣布將以10億元成立5G元宇宙加速器，鼓勵新創團隊與遠傳電信合作，結合5G共同搶攻元宇宙商機，這場活動除了遠傳電信總經理井琪之外，去年8月才加入遠傳電信擔任資訊長的胡德民也首次現身，除了身為公司營運CIO，憑藉過去在外商公司的經驗，胡德民更是遠傳電信數位轉型的關鍵推手。</p> <p>2018年國內電信市場引爆499之亂，三大電信競相推出4G上網499元吃到飽的限時促銷，引發民眾提前解約爭議、門市大排長龍申請等亂象，這起事件反映國內電信業者間長久以來的資費削價競爭，更讓業者體認到加速轉型的必要性，遠傳也深有體會。</p> <p><span style="font-size:28px;"><strong>先組織改革</strong></span></p> <p>2018年井琪從美國AT&T回臺加入遠傳，剛開始擔任轉型長，帶領轉型辦公室，2019年接任總經理，去年她將資訊部門與轉型辦公室合併，成立資訊暨數位轉型科技群，並找來胡德民帶領該事業群。回想當初井琪對他的期待，井琪曾說自己只是為轉型點把火，後續要擴大數位轉型，仍需與IT技術力結合。</p> <p>然而，要將向來習慣以穩定、規避風險為思維的IT部門，與講求創新改革的數位轉型部門合併，一方面確保公司營運穩定，另方面還要推動數位創新，對過去在外商任職14年的胡德民來說，也是項新挑戰，經過一番思考後，他決定接受挑戰。他表示，遠傳很早就開始推動轉型工作，上任後，要更系統性、組織性地加速轉型過程。</p> <p>有別於其他企業可能在資訊長之外，另設數位長、轉型長等職務，「資訊暨數位轉型科技群將數位轉型責任與IT責任合一，將IT戰力與資源集中，資訊長同時身兼轉型長、數位長角色」，胡德民指出，好處是溝通順暢，在具有技術背景的總經理直接授權下，更容易優先取得資源，但是，最大的挑戰是，「要規避風險，並且推動創新轉型，必需改變同仁的文化，讓遠傳從電信產業轉型為網路科技產業。」</p> <p>為了兼顧IT維運穩定與數位轉型，遠傳在資訊暨數位轉型科技群下設有4個團隊，第1個團隊負責帳務、門市營運、ERP等核心系統；第2個負責friDay影音、購物、遊戲的消費者數位服務體驗的工程團隊；第3個團隊針對企業需要提供服務，將遠傳自行開發的方案與最佳實踐經驗，結合5G輸出給企業，該團隊又分為兩個子團隊，胡德民上任後，他借鏡在外商公司任職的經驗，依照外商公司顧問團隊的定位及設計，將IT專業輸出改為遠傳顧問服務團隊，以拉高對客戶服務的高度，另一團隊則是圍繞5G發展大數據、人工智慧、物聯網（也就是遠傳「大人物」戰略），針對行業需求提供相關方案。</p> <p>第4個團隊則是負責底層技術架構，底下又包括3個功能團隊，分別是負責大數據平臺轉型建構的大數據團隊，在遠傳擁有技術主導性下，正進行大數據平臺的轉型，另一支功能團隊主要負責IT基礎架構與資安，由於資通法將電信視為重要的關鍵基礎設施，電信業被視為A類機關，當發生系統異常或攻擊事件，該團隊如何快速應變、恢復正常服務，最後是相當重要的數位轉型團隊。</p> <p><span style="font-size:28px;"><strong>塑造成長學習的文化</strong></span></p> <p>胡德民以過去在外商學會的經驗點出，數位轉型的關鍵，在於文化變革。「文化是一個最容易被忽略，但卻是最重要的因素。人們很容易過分關注跟轉型相關的科技，同時覺得文化很虛，只是貼在牆上的口號。但是，只有對的企業文化，才能推動同仁去駕馭轉型技術。而新技術與新觀念導入，又會影響組織，最終影響企業文化，例如DevOps。」</p> <p>傳統職場文化是固定心態，做好自身工作就是100分，但胡德民上任後，積極建立成長心態的文化，「成長心態注重團隊合作，不再是獨善其身，而是要幫助別人成功。」</p> <p>實現成長心態的關鍵在於學習心態，他認為，傳統固定心態容易抱持I Know it all（我無所不知）的想法，無法學習接受新事物，但成長心態是抱持Learn it all，學習新技術、新事物。</p> <p>在這個過程中，主管角色也需要轉變，胡德民認為，技術團隊主管應該做的不是技術的指導者，而是扮演教練。「如同NBA球隊的教練，不是最強的球員，卻能帶領球隊打最多勝仗，這也是遠傳想要的經理人」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E9%81%A0%E5%82%B3-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 509px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>遠傳資訊暨數位轉型科技群執行副總胡德民表示，IT不再是財報裡的消耗者，也可以是貢獻者。創新想法如能讓公司成本更精煉，戰功應比照業務，IT才有動力。</strong></span></p> <p><span style="font-size:28px;"><strong>彰顯技術價值</strong></span></p> <p>遠傳也在傳統的階層組織架構著手，建立矩陣式溝通管道，來推動文化的改變。過去，跨不同團隊的技術交流較少，雖然不同團隊都使用AI技術，但他們卻很少交流技術。</p> <p>為打破這個溝通不足的問題，遠傳任命不同技術的Champion（編按：技術領導者），主管通常不是企業中的技術權威，因此遠傳通過任命技術Champion，讓內部技術領導者被認可，由他們建立內部的技術社群，將技術社群概念帶進IT，也鼓勵技術領導者帶動分享氛圍，將他們所學所用，甚至是踩雷經驗，透過遠距協作平臺和其他團隊分享。</p> <p>遠傳還建立了不同的架構委員會，來擴大技術人員的影響力，例如大數據、人工智慧、前端開發技術、雲計算等等。透過這些技術委員會，聚集不同部門的技術高手，胡德民指出，這些委員會對內部技術高手是很大的鼓舞，過去高階主管只接觸到主管級人員，現在可以讓技術高手現身，提高高手們分享的動力，也展現公司對技術的重視。</p> <p>而為了鼓勵技術高手分享、帶動更多同事，IT還與人資部門合作，調整員工績效考核方式，將績效考核分為3等分，做好本身職務工作只有得績效的30%，另外30%必需讓別人成功，剩餘的30%績效是藉由別人的幫助讓自己更成功。</p> <p>胡德民表示，第2與第3個30%績效考核可經由他人的推薦來衡量，但要爭取第3個30%績效較難，員工得先知道別人正在做什麼？會什麼？才能說服別人來幫助我，「如果一名員工能讓更多人來幫助他成功，這名員工就有經理人的潛力，驅動同事為相同目標努力。」</p> <p>這套績效考核方式也呼應了胡德民強調的文化變革。「做好自身工作只能獲得三分之一的績效，如果要獲得額外認可，還要幫助別人，甚至展現領導力，讓更多人幫助你成功」。身為部門主管幫助自己部門成功是理所當然的事，但還要助其他部門成功，這和獨善其身的傳統職場文化思維大相逕庭。不只是主管考核員工績效，在總經理支持下，遠傳也重視員工對主管的滿意度，員工可對主管評分。</p> <p><span style="font-size:28px;"><strong>IT肩負營收責任</strong></span></p> <p>胡德民也調整心態，將這種團隊合作、共好的概念，具體落實在資訊長的職務上，身兼轉型長角色的他，背負遠傳電信新經濟營收的責任，過去IT僅重視做好自己的本分，IT是成本中心，現在IT和營收綁在一起，IT必需與業務部門密切合作、共好，產生化學作用。</p> <p>遠傳看好新經濟帶來的商機，包含針對消費者提供的數位服務體驗，例如friday購物、影音等，另一個是針對企業的轉型需求，將遠傳本身IT的內部資源外部化，提供IT專業輸出服務。</p> <p>以大數據技術輸出為例，遠傳內部原本對消費者、對企業、對電信各有不同的大數據平臺，旗下大數據團隊目前正將原本的資料倉儲架構，轉型為資料湖架構，儘管不同大數據平臺有其複雜度、關聯性及關鍵性，但背後都依循一致的方法論。</p> <p>這套方法論，首先是重塑大數據平臺，先釐清數據的重要性、關聯性，並重新檢討大數據平臺和其他系統的依存性。其次是瘦身，透過盤點數據，來清除不必要的數據。再來是進行數據治理，對出入的數據落實管理，審視數據的有效性、使用情況，並強化對敏感個資、重要數據的管理；最後是才針對不同數據平臺特性來進行技術選型。</p> <p>胡德民指出，電信業的大數據特性如同河流，每天的數據是流動的，並非靜止的，需以服務的觀念來思考，因此，必需採用資料湖架構，來克服即時性的挑戰，後續更能結合機器學習、自動化。</p> <p>為滿足自身的需要，遠傳IT也重視自身的技術力，要求IT團隊要有足夠能力直接和原廠或技術廠商對接，不需要透過代理人來中介。</p> <p>胡德民表示，關鍵是IT自己得清楚發展目標，了解自己的問題，並對新興技術有基礎認識，才能和原廠或技術廠商合作，獲得想要的支援，才能一塊塊拼出想要的轉型架構和成果。遠傳IT正是想要把自身轉型過程的經驗，變成可以技術輸出的服務。</p> <p>另一個對外輸出的技術經驗是，遠傳自身多年系統管理經驗，尤其是IT管理如何結合數位雙生（Digital Twins）。</p> <p>胡德民表示，借助虛擬空間的概念，能夠協助解決實體空間發生的問題，以機房人員誤噴減火劑海龍為例，儀表板只能看到海龍影響的實體機櫃，卻無法知道這些機櫃的負載執行哪些系統及服務，又會影響哪些核心系統，很難在短時間內找出問題的根源。</p> <p>利用虛擬化、邏輯化的數位雙生機制，跨越機櫃、服務的界線來集中整合各類Log資訊。一但發生問題時，透過監控工具，就可以從虛擬空間快速尋找問題根源，並利用遠端協作工具，在短時間內快速開設線上會議，集結相關人員，共同討論解決問題。「如何利用數位雙生概念定位問題，找到解決方法，透過協同合作平臺開設應變中心團隊，將成為新一代IT維運的有力方法」。</p> <p>不過，遠傳要從使用者的甲方，轉型為輸出資訊服務的乙方，胡德民坦言目前，仍在打磨整套服務過程，而且IT人員心態也需調整成資訊服務的角色，「我們正在學習如何當顧問公司，學習當專業服務公司」。</p> <p>「數位轉型開啟很多業態改變的可行性，不應該受到限制」，遠傳正努力從傳統電信業者轉型為網路科技公司，結合CT本業、IT專業與OT營運科技，以新一代資訊服務業者為目標。這個過程也改變了IT部門的傳統角色，從節省成本到運用新技術提升營運效率，甚至考慮未來技術輸出的可行性，產生更大的綜效。「IT不再是財報裡的消耗者，也可以是貢獻者。創新想法如能讓公司成本更精煉，戰功應比照業務，IT才有動力」，胡德民說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>胡德民　遠傳電信資訊暨數位轉型科技群執行副總經理</strong></p> <p>學歷：淡江大學資訊管理系</p> <p>經歷：曾任IBM大中華區企業應用中台產品經理、精業公司專業技術服務事業群資深經理，後來在台灣微軟擔任專家技術部暨微軟技術中心總經理，兼任微軟新創加速器執行長，在微軟任職14年，2021年8月加入遠傳電信，擔任資訊暨數位轉型科技群執行副總經理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>遠傳電信</strong></p> <p>成立時間：1997年</p> <p>員工數：約6,300人</p> <p>年營收：853.2億元（2021年）</p> <p>董事長：徐旭東</p> <p>總經理：井琪</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：遠傳電信資訊暨數位轉型科技群執行副總經理</p> <p>資訊部門主管姓名：胡德民</p> <p>資訊部門人數：700人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1998年：第一代BSS上線、電腦中心使用Unix大型主機</p> <p>2000年：升級至第二代BSS</p> <p>2004年：第三代BSS上線</p> <p>2012年：導入刀鋒伺服器及虛擬化、建置私有雲</p> <p>2016年：虛擬化技術應用於機架式伺服器、擁抱容器、導入CEM顧客通訊網路體驗管理系統</p> <p>2017年：導入文字客服機器人，減輕客服人員的負擔</p> <p>2018年：第四代BSS全面翻新完成、交易管理中心Convergent Order Hub打造完成、Network CEM上線</p> <p>2020年：舉辦遠傳AI黑客松，加速數位轉型。導入「電子表單行動自助服務」，落實創新數位化服務。推出5G遠距診療平臺</p> <p>2021年：IT團隊與轉型辦公室合併，成立資訊暨數位轉型科技群</p> <p>2022年：5G企業專網自建帳務系統。IT Governance戰情分析管制系統IIMS/IGMS正式產品化</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wen_bin_-yuan_chuan_-tu_1-she_ying_-hong_zheng_wei_.jpg" width="960" height="420" alt="" title="遠傳電信資訊暨數位轉型科技群執行副總經理胡德民　（攝影／洪政偉）" /></div></div></div>
2022/4/13 07:00作者蘇文彬https://www.ithome.com.tw/people/150318
【資安日報】2022年4月12日，Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國福斯新聞的資料庫因權限設置不當，再次喚起企業組織對於配置不當問題的重視。烏克蘭戰爭持續，雙方引發的網路攻擊也不斷，如今又出現針對Telegram烏克蘭用戶的釣魚連結，使烏克蘭國安單位發出警告。勒索軟體Conti的危害仍不斷，美國汽車工具製造商Snap-on現也揭露資料外洩事故。</p> <p>此外，金融木馬方面也有新威脅出現，一種名為Fakecalls的金融木馬將可攔截用戶撥給銀行的電話，偷偷改為撥給網路犯罪分子或播放預先錄製的偽客服語音。</p> <p>而在漏洞修補方面，去年底美國CISA推出「已知成功利用漏洞目錄」（Known Exploited Vulnerabilities Catalog），而CISA於4月11日發布更新，指出今年3月揭露的WatchGuard漏洞，以及近期微軟、Linux的漏洞，以及威聯通的漏洞，已是企業組織優先修補重點。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.hackread.com/fox-news-exposed-13-million-sensitive-records-online/"><strong>美國福斯新聞因配置錯誤，導致1300萬條敏感記錄無保護的讓外部都可存取</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-04-12_185754.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185754.png" style="width: 280px; float: right;" /></a></p> <p>又發生因配置不當造成企業機敏資料曝險的事件，再次喚起企業對於錯誤配置問題的重視。專門提供架站服務的<a href="https://www.websiteplanet.com/blog/foxnews-leak-report/">Website Planet</a>近日揭發，福斯新聞頻道（Fox News Channel）公司的資料庫曝光於網際網路，不需密碼就能存取，而該資料庫裡面存放了1300萬條的記錄，包含700多封內部郵件，並有許多資訊連結到FOX使用的ThePlatform線上影音管理平臺，以及內容管理系統的資料，包含的用戶ID、事件記錄、主機名稱、IP位址、介面與裝置等，共58.03 GB。Fox收到研究人員通報後，已經採取因應行動，並調查是否有未經授權存取。</p> <h3><a href="https://thehackernews.com/2022/04/ukraine-warns-of-cyber-attack-aiming-to.html"><strong>烏克蘭國安部門警告新一波網路攻擊鎖定Telegram用戶，目的是騙取帳號權限</strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185638.png" style="width: 280px; float: right;" /></p> <p>俄羅斯軍隊進入烏克蘭已一個月，加密通訊軟體Telegram在這段期間成為烏克蘭民眾聯繫的重要管道之一，烏克蘭總統澤倫斯基也時常在Telegram發布消息安定民心，不過，烏克蘭技術安全與情報部門警告，近日出現新一波網路攻擊，目標是獲取用戶Telegram帳戶的存取權限。根據Hacker News報導，烏克蘭國家特殊通訊暨資訊保護局（SSSCIP）在警告中表示，網路攻擊者利用偽冒的Telegram網站，發送帶有惡意連結的訊息。而根據當局公布的圖片顯示，該訊息假借的名義是，提醒用戶發現未經授權的裝置登入，該裝置IP位址位於俄羅斯，藉此騙取用戶的帳密，並可能包含簡訊OTP驗證碼。這樣的攻擊目前研判是UAC-0094駭客組織所為。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/snap-on-discloses-data-breach-claimed-by-conti-ransomware-gang/"><strong>美國汽車工具製造商Snap-on遭Conti勒索軟體攻擊</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-04-12_185540.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185540.png" style="width: 280px; float: right;" /></a></p> <p>美國汽車工具製造商Snap-on在4月7日於官方網站發布聲明，說明近期系統中斷為資安事件，他們是在3月初於部分IT系統環境偵測到異常，因此關閉了所有系統。根據Bleepcomputer報導指出，這起事件該公司已通知加州總檢察長辦公室，相關資料外洩通知內容已經披露，當中說明調查結果，攻擊者是在2022年3月1日至3日間，竊取了員工個資與加盟商資料。儘管Snap-on並未對這起攻擊提供太多資訊，但Bleepcomputer表示，3月時已有威脅情報研究員Ido Cohen指出，Conti勒索軟體宣稱攻擊了Snap-on，並開始公布攻擊期間所竊取的1GB資料，不過，後續這批外洩資料已經不顯示於Conti的資料外洩網站，研究人員研判已支付贖金。目前，Snap-on並未對此做出回應。</p> <h3><a href="https://www.kaspersky.com/blog/fakecalls-banking-trojan/44072/?web_view=true"><strong>出現可攔截通話並偽冒銀行電話語音的金融木馬</strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185350.png" style="width: 280px; float: right;" /></p> <p>資安業者卡巴斯基在4月11日公布一項研究，指出去年出現了一種名為Fakecalls的金融木馬，除了具有間諜功能之外，特別的是，還可以偽裝成銀行員工與受害者交談。卡巴斯基指出，Fakecalls曾假冒韓國KB國民銀行與韓國純網銀Kakao銀行的App，一旦使用者安裝，將請求包括聯絡人、麥克風、攝影鏡頭、地理位址，以及呼叫處理（call handling）等權限，若是用戶撥打銀行的電話，該木馬將會悄悄斷開通話，同時啟動假的通話顯示螢幕，並呈現真的銀行電話號碼，而在攔截通話當下，Fakecalls有兩種模式，一是讓受害者與網路犯罪分子直接通話，另一是播放預錄的語音，也就是模仿銀行的語音查詢內容。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/04/11/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><strong>美國CISA再要求聯邦政府優先修補8項漏洞，包含WatchGuard與微軟已遭成功利用的漏洞</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-04-12_185227.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185227.png" style="width: 280px; float: right;" /></a></p> <p>在4月11日，美國網路安全及基礎設施安全局（CISA）更新「<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">已知成功利用漏洞目錄</a>」，此工具的目的是要求聯邦機構，在所有已知漏洞中，對於遭駭客成功利用的漏洞需優先更新修補，同時也建議其他民間企業組織採取行動，此目錄清單自去年11月3日提出，CISA正持續更新中（上次更新是在5天前），而在4月11日的更新內容，再增加8個漏洞，要求聯邦機構需在5月2日完成修補。包括：<br /> -今年3月揭露的WatchGuard防火牆產品漏洞<strong>CVE-2022-23176</strong>；<br /> -今年3月揭露的Google Pixel手機<strong>CVE-2021-39793</strong>漏洞；<br /> -今年1月揭露的Linux核心漏洞<strong>CVE-2021-22600</strong>；<br /> -去年11月揭露的微軟Windows AD漏洞<strong>CVE-2021-42278</strong>與<strong>CVE-2021-42287</strong>；<br /> -去年5月揭露的Checkbox Survey漏洞<strong>CVE-2021-27852</strong>；<br /> -去年4月揭露的威聯通NAS設備漏洞<strong>CVE-2020-2509</strong>；<br /> -應用程式開發業者Telerik的UI for ASP.NET AJAX漏洞<strong>CVE-2017-11317</strong></p> <h3><a href="https://jira-service-management.status.atlassian.com/"><strong>在DevOps界知名的Atalassan雲端服務斷線7天，至今仍未完全恢復</strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-12_185045.png" style="width: 280px; float: right;" /></p> <p>近日發生一起有可能是SaaS服務斷線最久的事故，澳洲軟體公司Atlassian的雲端服務從4月5日斷線，目前僅Jira Product Discovery、Jira Align、Trello、Bitbucket這4項服務正常運作，但軟體缺陷追蹤管理系統的Jira Software、Jira Work Management，以及團隊協作平臺Confluence已7日仍未恢復，該公司僅透露是某個執行維護的script出問題，造成小部分網站意外被關閉。後續，該公司的公告指出，這些受影響的用戶可能還要再等兩周，12日又再表示正加快恢復速度，受影響用戶的40%功能已恢復。</p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.zdnet.com/article/xss-vulnerability-patched-in-directus-data-engine-platform"><strong>開源內容管理平臺Directus修補可允許文件任意執行JS的重大漏洞</strong></a></h3> <p>在4月11日，Synopsys揭露開源內容管理系統Directus存在CVE-2022-24814漏洞，這是一個儲存型XSS漏洞，可導致Directus管理者應用程式中的帳戶洩漏，影響Directus v9.6.0與之前的版本。Directus在收到通報後，已於3月18日發布新版修補。</p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://investors.sailpoint.com/news/2022/04-11-2022-114519925"><strong>私募基金Thoma Bravo以69億美元收購身分安全管理業者SailPoint</strong></a></h3> <p>身份識別存取管理市場持續受看好，在4月11日身分安全管理資安業者SailPoint宣布，已與私募股權基金Thoma Bravo達成併購協議，將以每股65.26美元的價格出售，總值69億美元。對此，Thoma Bravo的經營合夥人Seth Boro表示，混合工作型態在現今大型企業中是越來越普遍，他們也看好SailPoint在此領域的能量，並認為其角色將更加吃重。而在併購之後，SailPoint將成為私人公司。</p> <h3><a href="https://www.helpnetsecurity.com/2022/04/09/helpsystems-terranova-security/"><strong><span class="notion-enable-hover" data-reactroot="" data-token-index="0" style="font-weight:600">HelpSystems併購資安培訓平臺業者Terranova Security</span></strong></a></h3> <p>美國IT管理軟體業者HelpSystem在4月9日宣布，將併購資安意識培訓平臺業者Terranova Security，期望能補強該公司的Clearswift、Agari、PhishLabs電子郵件安全產品。目前Terranova Security推出的資安意識培訓平臺，已支援40多國的語系，微軟也與該公司合作主辦Gone Phishing Tournament活動，運用現時世界的網路釣魚威脅的電子郵件，測試員工資安意識。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/12 18:04作者羅正漢https://www.ithome.com.tw/news/150385
臺灣社交距離App功能再優化，疫情指揮中心：民眾出入場所可以App代替簡訊實聯制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心公布今天（4/12）本土COVID-19確診病例達到551例，隨著連續多天確診病例的增加，指揮中心也宣布調整現行居家隔離、居家檢疫期滿的檢測，從PCR改為確診者自行使用試劑快篩及回報結果，快篩結果為陰性者，方能解除隔離或檢疫。另外，也優化臺灣社交距離App功能，鼓勵民眾使用社交距離App落實自主防疫。</p> <p>疫情指揮中心資訊組長簡宏偉指出，臺灣社交距離App目的在協助民眾落實自我管理，至今下載次數約689萬次，確診者安裝App及主動上傳約83%，成效不錯，但考量整個疫情，鼓勵民眾安裝臺灣社交距離App，不需登記、註冊，不會啟動GPS、不會蒐集個資上傳，符合歐盟規定，且程式碼開放外界檢視，社交距離App不會侵犯民眾的隱私。</p> <p>臺灣社交距離App功能優化，確診者上傳資料部分，以往依照規定，確診者要上傳資料，需透過衛生人員協助才能上傳，現在將上傳自動化，使用者安裝App，如果確認為確診者，將接觸資料上傳，資料均經過亂數處理無法識別，同時也會與指揮中心比對確認為上傳者，並由指揮中心發出簡訊，通知上傳者需輸入的日期與驗證碼，即完成上傳資料至指揮中心，並由指揮中心發布出去，其他安裝社交距離App的用戶就能知道自己在什麼時候曾與確診者接觸。接觸資料會在用戶的手機內保存14天，用戶還能檢視自己在哪一天曾與確診者接觸。</p> <p>另一項優化的功能是首頁動態畫面，該畫面主要呈現時間動態，供其他人確認是否確實安裝社交距離App，以及是否開啟藍牙通訊功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4-1-0412%20%E7%A4%BE%E4%BA%A4%E8%B7%9D%E9%9B%A2APP%E5%8A%9F%E8%83%BD%E5%84%AA%E5%8C%96-2.jpg" style="width: 600px; height: 425px;" /></p> <p>社交距離App的運作方式是，每15分鐘產生一個隨機ID，同時透過手機上的藍牙，紀錄曾接觸過（2分鐘以上，2公尺距離）的其他使用者隨機ID，App每天從指揮中心下載確診者上傳隨機ID資料，經過比對，確認曾與確認者接觸後，App就會提醒使用者，留意自身健康狀況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4-3-0412%20%E7%A4%BE%E4%BA%A4%E8%B7%9D%E9%9B%A2APP%E5%8A%9F%E8%83%BD%E5%84%AA%E5%8C%96.jpg" style="width: 600px; height: 425px;" /></p> <p>由於社交距離App機制背後需要大量推廣使用，簡宏偉表示，社交距離App的推廣目標為1300萬次下載，佔總人口數6成，在15到64歲族群佔8成。社交距離App適合市場、演唱會、宗教繞境等開放活動場域使用，進入場域時出示畫面，可免使用其他實聯制措施，協助民眾瞭解與確認者接觸的風險。至於無法安裝社交距離App者，仍可選擇使用簡訊實聯制。</p> <p>指揮中心表示，社交距離App為科技防疫一大利器，在通知確診者相關接觸者部分，比現行的簡訊實聯制更快速且精準，並兼顧隱私，協助民眾落實自主管理，將先從公務機關、關鍵基礎設施工作人員及其家人，鼓勵推廣使用社交距離App，未來逐步提高App的下載次數，擴大社交距離App的機制。</p> <p>目前優化後的社交距離App已上線，原本已安裝社交距離App的用戶只要更新，便能使用新的優化功能。</p> </div></div></div>
2022/4/12 17:26作者蘇文彬https://www.ithome.com.tw/news/150382
歐盟國家共享資料庫將利用臉部辨識以利犯罪偵查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wired.com/story/europe-police-facial-recognition-prum/" target="_blank">Wired報導</a>，歐盟計畫將特定族群的臉部相片加入共享資料庫，並且利用臉部辨識作為犯罪偵查。</p> <p>歐盟自2005年為防範恐怖活動及跨國犯罪，在德國、法國、西班牙等5國簽定Prüm條約後，建立跨國警方共享的人民個資資料庫。這個資料庫儲存加盟國人民的DNA、指紋、及特定車輛資料，允許彼此資訊交流。在推行10多年後，加入這個資料共享計畫的歐盟國也從5個增加為27個。</p> <p><a href="https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=COM%3A2021%3A784%3AFIN&qid=1639141496518" target="_blank">去年12月歐盟宣布</a>自去年4月籌備的《警方協同自動資料交換計畫》，又稱為Prüm II，表示可「減少個別資料庫」造成的資訊不流通。</p> <p>Prüm II重點在警方可自動化存取這個各國共享的資料庫，並擴大共享資料庫的人民個資類別，像是加入民眾的臉部相片及警局紀錄。<a href="https://edri.org/our-work/press-release-ec-jumps-the-gun-on-prum/" target="_blank">去年公布時遭到人權團體抗議</a>，包括歐洲數位權利（EDRi）認為這將加深對某些族群的歧視，並導致他們被警方過度監控及控制行動。</p> <p>近日EDRi更取得一份相關資料，顯示更多細節。例如Prüm II允許警方使用回顧式（retrospective）臉部辨識，即將警方資料庫中的靜態相片和閉路電視、監視攝影機拍攝影片、社群網站相片或是受害者手機拍攝到的相片比對，而非以動態影像直接以AI辨識。另一份文件則指出，目前計畫警方可經由AI比對10到100個人的相片，詳細數量則需要行政或立法機構決定。</p> <p>根據Prüm II文件，各國提供數百到數千萬張相片，其中匈牙利和義大利各持有3,000萬和1,700萬張，法國及德國各持有600和550萬張，來自嫌疑犯、已定罪者、難民及無名屍的臉部相片。</p> <p>不過Wired引述歐盟發言人指出，這個資料庫只會交換嫌犯和罪犯的臉部相片，且AI判定結果還是會經過人眼判讀以避免誤判。</p> <p><a href="https://edri.org/our-work/uk-can-join-eu-surveillance-schemes-with-no-parliamentary-scrutiny-warns-new-report/" target="_blank">今年2月EDRi也抗議</a>英國在和歐盟的貿易協定下，使已脫歐的英政府可以在不經國會同意下加入Prüm II計畫。</p> </div></div></div>
2022/4/12 16:22作者林妍溱https://www.ithome.com.tw/news/150380
美國CISA限期聯邦機構修補WatchGuard與微軟漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/04/11/cisa-adds-eight-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全及基礎設施安全局（CISA）本周一（4/11）</a>將8個漏洞加入<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄</a>，其中包括一個WatchGuard漏洞CVE-2022-23176，以及兩個微軟漏洞CVE-2021-42278與CVE-2021-42287，要求聯邦機構在5月2日以前修補。</p> <p>迄今CISA已公布超過600個已知遭開採漏洞，該目錄的用意在於要求美國聯邦機構在限定時間內修補或緩解相關漏洞，同時也建議任何私人企業、組織或其它政府機構儘速採取行動。</p> <p>WatchGuard身為網路安全設備商，專門開發用來保護電腦及避免惡意程式或勒索軟體攻擊的相關產品，<a href="https://securityportal.watchguard.com/threats/detail?ruleId=1230677&sigVers=18" target="_blank">於今年2月修補的CVE-2022-23176</a>現身於WatchGuard所生產的Firebox及XTM等系列的防火牆設備，它是個權限擴張漏洞，允許具備一般權限的駭客自遠端存取需要特權的管理期間，也成為俄羅斯駭客集團<a href="https://www.ithome.com.tw/news/149551" target="_blank">Sandworm建立Cyclops Blink殭屍網路</a>的主要途徑之一。</p> <p>事實上，<a href="https://techsearch.watchguard.com/KB?type=Article&SFDCID=kA16S000000SOCGSA4&lang=en_US" target="_blank">根據WatchGuard的說明</a>，該公司早在去年5月就發現且修補了CVE-2022-23176漏洞，該漏洞是由WatchGuard自行發現，當時並未察覺到攻擊行動，也未獲得漏洞編號，一直到去年11月，該公司收到FBI的通知，才知道漏洞已遭到駭客開採，但只有在相關防火牆的配置允許來自網路的無限制管理存取時，才會遭到駭客濫用。</p> <p><a href="https://arstechnica.com/information-technology/2022/04/watchguard-failed-to-disclose-critical-flaw-exploited-by-russian-hackers/" target="_blank">科技媒體《Ars Technica》批評</a>，<a href="https://www.watchguard.com/wgrd-blog/new-fireware-update-releases" target="_blank">WatchGuard去年進行安全更新時描述得太隱諱</a>，僅說解決了幾個由內部工程師所發現的安全問題，既沒有公布漏洞編號，亦無漏洞細節，而讓用戶錯失修補機會。</p> <p>總之，就算<a href="https://www.ithome.com.tw/news/150300" target="_blank">美國與英國已經聯手破壞了Cyclops Blink殭屍網路</a>，但未修補的漏洞仍會持續遭到利用，才使得CISA要求限期修補。</p> <p>另外兩個限期修補的安全漏洞則是微軟於今年11月釋出的、有關Windows Active Directory的CVE-2021-42278與CVE-2021-42287，不只是CISA，微軟也罕見地在去年12月公開呼籲用戶，<a href="https://www.ithome.com.tw/news/148486" target="_blank">應儘速修補這兩個已被開採的安全漏洞</a>。</p> </div></div></div>
2022/4/12 16:57作者陳曉莉https://www.ithome.com.tw/news/150381
私募股權Thoma Bravo買下身分安全管理業者SailPoint
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供大型企業身分安全管理的美國資安業者<a href="https://investors.sailpoint.com/news/2022/04-11-2022-114519925" target="_blank">SailPoint Technologies周一（4/11）宣布</a>，已與私募股權基金Thoma Bravo達成併購協議，將以每股65.26美元的價格出售，總值69億美元。該宣布使得SailPoint在美股持續下挫的周一逆勢上漲了23.16%，以64.05美元作收。 </p> <p>SailPoint在2004年創立於德州，主要提供數位身分安全管理解決方案，包括軟體平臺與軟體即服務在內，可用來管理員工存取異質或跨國的系統、應用程式與資料等，客戶遍布美國、歐洲、中東與非洲，多為大型企業、金融機構或政府組織。<a href="https://investors.sailpoint.com/news/2022/02-28-2022-211536143" target="_blank">該公司在2021年的營收</a>為4.39億美元，成長20%，虧損6,160萬美元。</p> <p>儘管仍在虧損中，但Thoma Bravo所提出的每股65.25美元的收購價格，比SailPoint在消息曝光前90天的平均價格高出了48%。</p> <p>Thoma Bravo管理合夥人Seth Boro表示，SailPoint具備領先的身分安全平臺，隨著大型企業的混合工作愈來愈普遍，SailPoint的角色將更為吃重。事實上，根據<a href="https://www.marketsandmarkets.com/Market-Reports/identity-access-management-iam-market-1168.html" target="_blank">MarketsandMarkets</a>的預測，身分暨存取管理服務的市場規模，將從今年的134億美元成長至2027年的256億美元。</p> <p>然而，在被私募股權基金收購後，SailPoint也將成為私人公司，SailPoint創辦人暨執行長Mark McClain表示，此一交易替該公司的股東帶來立即的現金價值，也最大化了股東利益，成為私人公司之後，將能以更大的靈活性與效率來追求該公司的長期成長目標。</p> </div></div></div>
2022/4/12 15:47作者陳曉莉https://www.ithome.com.tw/news/150379
Epic Games獲Sony與Kirkbi注資，市值達315億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以打造《要塞英雄》（Fortnite）遊戲及Unreal Engine遊戲引擎聞名的Epic Games，<a href="https://www.epicgames.com/site/en-US/news/sony-and-kirkbi-invest-in-epic-games-to-build-the-future-of-digital-entertainment" target="_blank">在周一（4/11）宣布</a>將展開20億美元的新一輪增資，以用來支援元宇宙（Metaverse）的開發與該公司未來的成長。增資後的Epic Games創下315億美元的市值，使得這家私人遊戲公司的身價超越許多上市的遊戲公司。</p> <p>這次的增資只有兩家業者參與，一是Epic Games的既有股東Sony，另一則是握有樂高集團（Lego Group）75%股份的Kirkbi，雙方各自投入10億美元的資金。</p> <p>Epic Games表示，這3家公司都極度重視創作者與玩家，且著眼於創造可連結數位及實體世界的新社交娛樂體驗。Sony與Kirkbi都不諱言地指出相中Epic Games發展元宇宙的潛力，其中，Sony執行長Kenichiro Yoshida說，投資Epic Games將加深Sony與元宇宙領域的關係，而Kirkbi執行長Søren Thorup Sørensen亦坦承，這次的投資有一部分是專注於可能影響人們未來世界的生活方式。</p> <p>顯然Sony與Kirkbi都非常看好Epic Games未來的發展，因為此次增資讓Epic Games的身價達到315億美元，超越絕大多數的上市遊戲公司，周一在歐美地區資產排名前三大的遊戲公司中，Take-Two的市值為162億美元，美商藝電（Electronic Arts）為347億美元，動視暴雪（Activision Blizzard）則為619億美元。</p> </div></div></div>
2022/4/12 11:31作者陳曉莉https://www.ithome.com.tw/news/150372
Atlassian網站斷線7天還未恢復，預計要再等2周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協同軟體Confluence及Jira服務軟體的供應商Atlassian網站，自4月初斷線到本周超過7天還未完全恢復，兩軟體用戶迄今還無法使用雲端服務。該公司估計還要2周才能恢復服務。</p> <p><a href="https://jira-service-management.status.atlassian.com" target="_blank">Atlassian上周4月5日早上公告</a>，多個雲端執行個體斷線顯示維修狀態，影響Jira Work Management、Jira Service Management、Jira Software、Confluence、Atlassian Access Cloud用戶，該公司著手調查兩個小時後表示已經找出根本原因，正在規畫緩解措施。當天晚上，該公司說已在規畫解決問題的流程。</p> <p><a href="https://twitter.com/Atlassian/status/1511870509973090304" target="_blank">Atlassian解釋</a>，該公司執行維護的script時「一小部份」網站被意外關閉。</p> <p>直到本周一下午，問題並未完全獲得解決。Atlassian公告，經過工程小組24x7的搶修後，受影響用戶中35%的功能已經重建，且沒有資料損失。該公司說明，由於網站和資料的驗證需要多個步驟，使重建階段格外複雜，並指出，重建步驟攸關網站重建完整性，需花相當多的時間。</p> <p>根據<a href="https://status.atlassian.com/" target="_blank">Atlassian的網站狀態頁</a>顯示，僅Jira Product Discovery、Jira Align、Trello、Bitbucket 4項服務恢復正常營運，而主要服務包括Jira Software、Jira Work Management、Confluence等仍顯示「active incident」（發生問題）狀態。</p> <p>Atlassian對<a href="https://twitter.com/kjartanmuller/status/1513462616030683138" target="_blank">用戶</a>及<a href="https://www.theregister.com/2022/04/11/atlassian_still_down/" target="_blank">媒體</a>表示，估計重建作業還要再2周。</p> <p>大批用戶抱怨不已。<a href="https://twitter.com/MortenLinderud/status/1513441292537282561" target="_blank">一名用戶表示</a>Atlassian已斷線6天，該公司專案經理已經跳腳，公司Slack也擠滿了服務呼救工單，沒了雲端平臺，專案管理只能用一名成員剛好備份到電腦的Word文件勉強作業。</p> <p>有用戶表示，情況十分嚴重，至少400個網站受到影響。<a href="https://twitter.com/aprilmvops/status/1513701728394358789" target="_blank">另有人抱怨</a>，Atlassian寫壞的script刪光客戶資料，估計一周生產力停擺造成20萬美元的損失。</p> <p>已經用戶開始實驗其他類似方案如Redmine。用戶稱Atlassian這次事件應該是SaaS服務斷線最久的案例了。</p> </div></div></div>
2022/4/12 11:47作者林妍溱https://www.ithome.com.tw/news/150373
Meta開始測試Horizon Worlds營利工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了協助Horizon Worlds的創作者社群能夠自給自足，<a href="https://about.fb.com/news/2022/04/testing-creator-monetization-horizon-worlds/" target="_blank">Meta本周開始測試該虛擬世界中的營利工具</a>，包括允許北美市場的創作者銷售虛擬物件或服務，以及於美國市場推出創作者獎勵計畫。</p> <p>Horizon Worlds允許使用者於虛擬世界中建立自己的世界，打造自己的遊戲，或者是探索與執行他人所建造的世界與遊戲，為Meta所推廣的元宇宙（Metaverse）雛型。</p> <p>為了鼓勵創作者參與Horizon Worlds，Meta去年10月設立了1,000萬美元的創作者基金，藉由舉辦創作者競賽、推出Accelerator Program元宇宙創作者養成計畫，以及資助開發人員，來活絡Horizon Worlds的生氣。</p> <p>現在Meta則計畫讓創作者可自行於Horizon Worlds上營利，將Horizon Worlds打造成一個可獲利的生態體系，支撐創作者的生計。其中，美國與加拿大市場的部分創作者已可開始銷售虛擬物件或服務，例如開發與銷售時尚配件，或者是要求玩家付費以存取虛擬世界的某處。</p> <p>另一個創作者獎勵計畫則僅針對美國市場，它會設定單月目標，像是所打造的世界每月吸引玩家所花費的時間，或是使用Meta推出的新功能等，只要達標就會獲得現金獎勵。</p> <p><a href="https://www.ithome.com.tw/news/147558" target="_blank">臉書（Facebook）是在去年10月更名為Meta</a>，宣布將致力於打造新一代的元宇宙世界。Meta今年初公布的財報也首度揭露了涉及元宇宙的Reality Labs營收，顯示該公司仍處於大幅投資元宇宙的階段，<a href="https://www.ithome.com.tw/news/149180" target="_blank">在去年第四季時</a>，Reality Labs創造了8.8億美元的營收，但虧損33億美元。</p> </div></div></div>
2022/4/12 12:07作者陳曉莉https://www.ithome.com.tw/news/150375
馬斯克再擴張收購推特股權的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150261" target="_blank">繼上周媒體揭露</a>科技鉅子馬斯克（Elon Musk）於3月中收購推特7,300多萬股權成為第一大股東後，<a href="https://www.theverge.com/2022/4/11/23020118/elon-musk-twitter-schedule-13d-social-media-board-of-directors-sec" target="_blank">The Verge</a>及<a href="https://www.bloomberg.com/news/articles/2022-04-11/musk-can-buy-more-twitter-shares-discuss-options-with-board" target="_blank">彭博</a>昨（11）日報導，馬斯克遞交給美國證管會的一份報告顯示，他將保有批評推特決策及產品的權利，且可能會再收購更多股權。</p> <p>馬斯克收購推特股權成為第一大股東，引發外界猜測他的目的。根據<a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922042863/tm2211757d1_sc13d.htm" target="_blank">上周一（4/4）遞交美國證管會（SEC）的報告</a>，馬斯克同意加入董事會，不過這也附帶他不得持股超過14.9%的條件。就在其任期展開之際，<a href="https://www.sec.gov/Archives/edgar/data/0001494730/000110465922044481/tm2212422d1_sc13da.htm" target="_blank">周末馬斯克再度遞交報告</a>，顯示他臨時改變主意不加入董事會，但於此同時，他將得以收購更多股權、出售股權，同時也獲得多項權力，包括和董事會討論公司業務項目、策略、治理，也能自由透過社群媒體和其他管道，表達對董事會及管理團隊在產品及服務上的任何意見。</p> <p>馬斯克並保留參與公司交易的權利，但他說目前沒有任何計畫。</p> <p>馬斯克並未說明何以最後一刻改變主意。<a href="https://www.reuters.com/business/elon-musk-decides-not-join-twitter-board-2022-04-11/" target="_blank">但路透社報導</a>，推特執行長Parag Agrawal對員工指出，公司營運可能會碰到干擾，可能意指馬斯克對推特業務的公開批評，他並稱馬斯克的退出「是最好的安排」。</p> <p>根據SEC文件，馬斯克目前對推特持股為9.1%。但是由於他3月間取得超過公開上市公司5%股權時並未公開，<a href="https://www.washingtonpost.com/technology/2022/04/06/musk-twitter-sec/" target="_blank">華盛頓郵報報導</a>，這已經違反了SEC的規定。美國前證管會主席<a href="https://www.youtube.com/watch?v=IaNBg3obmiw" target="_blank">Jay Clayton 在接受電視訪問時認為</a>，美國政府應該會深入探究一番。</p> <p>後果可能讓馬斯克再度面臨SEC調查。2018年馬斯克因在推特上宣布，計畫特斯拉若股價達420美元就將其下市私有化，<a href="https://www.ithome.com.tw/news/126169" target="_blank">引發SEC調查並控告他蓄意炒作公司股價</a>，最後雙方達成和解，馬斯克支付2,000萬美元罰款並被迫離開特斯拉董事長一職。</p> </div></div></div>
2022/4/12 10:25作者林妍溱https://www.ithome.com.tw/news/150369
Microsoft Edge 100改善睡眠分頁8成以上效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於去年3月釋出的Microsoft Edge 89新增睡眠分頁（Sleeping Tab）功能，讓閒置太久的分頁進入睡眠狀態，以釋出記憶體及處理器資源，不過，<a href="https://blogs.windows.com/msedgedev/2022/04/07/sleeping-tabs-edge-100-improvements/" target="_blank">微軟在本月釋出的Microsoft Edge 100中改善了該功能</a>，使得每個睡眠分頁平均可節省85%的記憶體與99%的處理器資源。</p> <p>睡眠分頁的預設值是讓分頁閒置兩小時之後自動進入睡眠狀態，根據微軟早期的測試，相較於一個活躍的分頁，睡眠分頁所使用的處理器資源少了26%，記憶體資源少了16%。</p> <p>但到了Microsoft Edge 100，微軟更新了此一功能，讓那些與其它頁面共享瀏覽實例的分頁可以進入睡眠狀態，此一變更平均讓8%的更多分頁進入睡眠狀態，平均每個睡眠分頁可替Microsoft Edge節省85%記憶體與99%的處理器資源。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/33/2022/04/Picture1.png" style="width: 367px;" /></p> <p><span style="color:#696969;">示意圖，圖片來源／微軟</span></p> <p>睡眠分頁是基於<a href="https://chromium.googlesource.com/chromium/src/+/HEAD/chrome/browser/performance_manager/docs/freezing_opt_out_opt_in.md" target="_blank">Chromium專案的分頁凍結（Page Freezing）技術</a>，兩者的功能大同小異，它不會凍結正在使用的網頁、企業網頁、正在使用麥克風或攝影機的網頁，或者是正在播放影音的網頁，而且允許使用者自行設定分頁進入睡眠的時間。</p> <p>不管是睡眠分頁或分頁凍結，它的原理都是簡單地將網頁暫停，並讓瀏覽器釋出記憶體及處理器等系統資源，進入睡眠狀態的分頁會出現「ZZZ...」的圖案，但簡單地點擊該分頁之後即可回復正常。</p> </div></div></div>
2022/4/11 22:29作者陳曉莉https://www.ithome.com.tw/news/150365
OSI指美國聯邦地方法院開源侵權案錯誤判決，恐造成社群無所適從
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>圖資料庫Neo4j EE與ONgDB供應商們的侵權官司有新發展，頂級贊助者包括Google、HPE、GitHub和微軟的<a href="https://opensource.org/blog/modified-agplv3-removes-freedoms-adds-legal-headaches">開放原始碼促進會（OSI）指出</a>，法院對於該案件的判決結果，將造成開源軟體使用者無所適從，並且增加法務方面的困擾。</p> <p>這個事件要追溯到之前Neo4j與ONgDB供應商們的官司，Neo4j和其子公司，在2018年和2019年間，對幾家販售Neo4j EE開源版本的企業，諸如Graph基金會、PureThink和iGov，提起法律訴訟，表示這些公司違反Neo4j EE所採用的AGPLv3+Commons Clause授權，並且侵犯Neo4j的商標。</p> <p>在2021年的時候，被告之一Graph基金會已經和Neo4j達成和解，同意停止稱分叉自Neo4j EE的ONgDB特定版本為「100％免費和開源的Neo4j EE」。</p> <p>而另一被告PureThink不只分叉了Neo4j，還從AGPLv3授權的分叉中刪除了Commons Clause，Neo4j在與PureThink取消夥伴關係後，在法庭指控PureThink侵權並要求多項索賠。PureThink主張其根據AGPLv3第7節，把專有授權許可Commons Clause拿掉，因為AGPLv3第7節允許授權人進一步取消任何限制。</p> <p>但法院卻認為，PureThink不應該在沒有Commons Clause的情況下，重新分布該軟體。OSI表示，這個結論違背了AGPLv3起草者的意圖，AGPLv3的註腳寫到，當授權方增加更多限制，允許下游用戶刪除。</p> <p>Commons Clause原本是用來保護開源社群，防止大公司無償將開源專案打包成商品販售，在Neo4j與Graph基金會的案件中，法官認為Commons Clause不是獨立的授權，而是用做開源授權的修改器，也就是說，Commons Clause會限制軟體的銷售，添加了Commons Clause的免費和開源授權，都會變成非免費的，使得開源專案不再開源。</p> <p>法官無視AGPLv3授權下游使用者可以刪除限制，認為PureThink不應該刪除Commons Clause，OSI警告，任何改變開源授權條款的行為，都應該受到質疑，因為該行為的目的可能在於剝奪自由，否則原本OSI所認可的授權早應適用，這些行為都是為了將軟體洗成開源，在專有軟體宣稱使用開源授權。</p> </div></div></div>
2022/4/11 22:39作者李建興https://www.ithome.com.tw/news/150363
【資安日報】2022年4月11日，駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在烏克蘭戰爭中表態支持俄羅斯的勒索軟體駭客組織Conti，其軟體程式碼於3月初遭到烏克蘭人士洩露，如今有駭客組織用來製作新的勒索軟體攻擊俄羅斯企業，來表達對於俄羅斯軍事行動的不滿。</p> <p>而自3月底被公布的Java框架Spring的漏洞「SpringShell」，上週有資安業者表示在4天內就有六分之一的企業遭到嘗試攻擊。但在上述大規模的漏洞探測之外，在一天之內已有實際攻擊行動出現，近期有業者指出，有人約在4月1日開始，利用這項漏洞散布惡名昭彰的殭屍網路病毒Mirai。</p> <p>針對手機而來的攻擊行動也相當值得留意，研究人員發現新的木馬程式Octo，除具備木馬程式竊取帳密、側錄輸入的內容，更藉由關閉系統通知訊息，並將螢幕亮度調至最暗的方式，暗中對受害手機遠端執行操作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-contis-leaked-ransomware-to-attack-russian-companies/"><span style="color: rgb(0, 0, 0);">駭客組織利用外洩的Conti原始碼打造勒索軟體，攻擊俄羅斯企業</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/nb65-ransom-note.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nb65-ransom-note.jpg" style="width: 300px; float: right;" /></a>3月下旬出現多起勒索軟體Conti攻擊的事故，外界認為有部分可能是其他人藉由外洩的原始碼犯案，不完全是此駭客組織所為，而如今有駭客組織表明他們使用這些原始碼來打造勒索軟體。根據資安新聞網站Bleeping Computer的報導，駭客組織NB65聲稱自3月底開始，利用外洩的Conti原始碼製作勒索軟體，來攻擊俄羅斯的企業，並表明和俄羅斯出兵有關。</p> <p>該新聞網站指出，根據駭客上傳至惡意軟體分析網站VirusTotal的檔案，大多數偵測出含有攻擊行為的防毒引擎，都將其識別為勒索軟體Conti。此新聞網站的研究人員也將檔案上傳至資安業者Intezer的線上分析分臺Intezer Analyze，結果顯示，該勒索軟體有66%的程式碼與勒索軟體Conti相同。NB65成員向Bleeping Computer透露，他們的勒索軟體是基於第1個被外洩的Conti原始碼製作，但針對每個攻擊目標調整，而使得現有的Conti解密工具都無法解開被加密的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150350"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Mirai藉由SpringShell漏洞散布</span></a></strong></h3> <p>在3月底引起許多資安人員關注的SpringShell漏洞CVE-2022-22965，駭客很快就積極嘗試將其用於攻擊行動，現在傳出在Spring發布修補程式（3月31日）不到一天的時間，該漏洞就被用於散布殭屍網路病毒。<a href="https://blog.netlab.360.com/what-our-honeypot-sees-just-one-day-after-the-spring4shell-advisory-en/">中國資安業者奇虎360的網路安全研究實驗室（Netlab）於4月1日</a>，看到殭屍網路Mirai利用SpringShell漏洞來感染物聯網（IoT）裝置，<a href="https://www.trendmicro.com/en_us/research/22/d/cve-2022-22965-analyzing-the-exploitation-of-spring4shell-vulner.html">而後來趨勢科技也表明觀察到相同的現象，並說明攻擊者利用這項漏洞的方法</a>。</p> <p>趨勢科技指出，駭客先是利用SpringShell入侵受害裝置，並將Mirai檔案下載到tmp資料夾，然後使用chmod指令提升權限後予以執行，根據他們找到的惡意軟體檔案伺服器，駭客打算藉機向不同處理器架構的連網裝置散布Mirai。</p> <h3><strong style="font-size: 22px;"><a href="https://threatfabric.com/blogs/octo-new-odf-banking-trojan.html"><span style="color: rgb(0, 0, 0);">安卓木馬Octo能讓攻擊者遠端操弄裝置，並將螢幕變黑讓使用者難以察覺其行徑</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/octo-capabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/octo-capabilities.png" style="width: 300px; float: right;" /></a>駭客讓手機螢幕變黑，在受害者以為仍在待機或是關機的狀態下控制手機，過往有<a href="https://www.ithome.com.tw/news/148740#NoReboot">針對iOS的NoReboot攻擊手法</a>，如今類似的手法也出現在安卓木馬程式裡。資安業者ThreatFabric揭露約自去年11月出現的木馬程式Octo，此安卓木馬是從名為ExobotCompact的惡意程式發展而來，並內建了各式竊密的功能，主要是針對歐洲而來。比較特別的是，研究人員根據駭客能夠下達的指令，發現該木馬程式能將螢幕變黑，或是將亮度設置為零，並停用所有的通知訊息。</p> <p>駭客如此做的目的為何？研究人員沒有進一步說明，但可想而知的是，攻擊者很可能藉此會執行需要在前臺進行操作的任務，來避免引起受害者的注意。如果使用者突然發現手機的螢幕亮度被調到非常暗，或是不會出現系統的相關通知訊息，手機很有可能是遭到這種木馬程式的攻擊。</p> <p>根據研究人員的調查，駭客在Google Play市集上架此惡意軟體的下載器，或是透過釣魚網頁來散布Octo，並打算藉由感染Octo的手機組成殭屍網路，至少有5組駭客在使用這個木馬程式發動攻擊。研究人員警告，這個木馬程式植入受害手機前會關閉Google Protect，且具備規避防毒軟體檢測的能力，而讓使用者難以察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://isc.sans.edu/forums/diary/Windows+MetaStealer+Malware/28522/"><span style="color: rgb(0, 0, 0);">竊密軟體MetaStealer意圖竊取瀏覽器與加密貨幣錢包的帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-04-06-ISC-diary-image-00.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-06-ISC-diary-image-00.jpg" style="width: 300px; float: right;" /></a>駭客使用竊密軟體對於受害電腦發動攻擊的情況，最近又有新的惡意軟體出現。資安研究員Brad Duncan約於3月30日開始，發現駭客透過惡意郵件，挾帶含有巨集的Excel檔案，以資金移轉成功的通知信為幌子，引誘收信人開啟附件，一旦對方執行此Excel檔案並依照指示啟用巨集，攻擊者將從GitHub與程式碼共用服務Transfer.sh下載作案工具，然後在受害電腦植入竊密軟體MetaStealer。</p> <p>在下載作案工具的過程中，駭客也運用Base64演算法混淆HTTP流量，或是經由此演算法組裝DLL程式庫，而使得相關資安防護系統可能難以察覺，此外，MetaStealer也使用PowerShell指令，將可執行檔檔案加入Microsoft Defender防毒軟體的白名單，而能夠逃過防毒軟體掃描。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/d/Thwarting-Loaders-From-SocGholish-to-BLISTERs-LockBit-Payload.html"><span style="color: rgb(0, 0, 0);">駭客利用惡意程式載入器SocGholish、Blister，投放勒索軟體LockBit</span></a></strong></h3> <p>不少惡意軟體下載器（Dropper）難以被防毒軟體發現，而不時有駭客用於投放惡意軟體，但最近出現攻擊者同時運用兩種下載器的情況。趨勢科技發現近期散布勒索軟體LockBit的攻擊行動，駭客疑似先透過遭駭的合法網站，以偷渡式下載（Drive-by Download）的方式，將惡意軟體下載器SocGholish植入受害電腦，再假借Chrome瀏覽器更新的名義，要求使用者依照指示操作，進而在受害電腦植入Cobalt Strike的Beacon，讓攻擊者遠端進行控制，並進一步部署第2個下載器Blister，最終在受害電腦發動LockBit勒索軟體攻擊。</p> <p>研究人員指出，駭客使用上述兩款惡意程式下載器的過程裡，不只將竄改的DLL程式庫偽裝成合法軟體，並將Shell程式碼採取先暫時休眠的做法，而能躲過許多資安防護系統的檢測。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/evolution-of-fin7"><span style="color: rgb(0, 0, 0);">駭客組織FIN7參與多個勒索軟體的攻擊行動</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fin7-evo3.png" style="width: 300px; float: right;" />自美國政府於1月發出警告，<a href="https://www.ithome.com.tw/news/148786">駭客組織FIN7（亦稱Carbanak）打著感謝與防疫指引的名義，發動BadUSB隨身碟攻擊行動</a>，最近有資安業者公布新的發現。資安業者Mandiant指出，FIN7最近2年涉及多種勒索軟體Revil、DarkSide、BlackMatter、Black Cat（Alphv）的攻擊行動，該組織先透過網路釣魚、軟體供應鏈攻擊、利用遭竊的帳號密碼等方式入侵受害組織，然後透過以PowerShell打造的後門程式Powerplant站穩腳跟，以便後續偵察和部署作案工具，並為勒索軟體攻擊行動做準備。雖然研究人員難以判斷FIN7涉入勒索軟體攻擊的程度，但該組織很可能提供了相關工具給勒索軟體駭客，或是參與了前期攻擊行動的過程。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.trendmicro.com/2022-03-29-Cloud-Systems-Are-the-New-Battleground-for-Crypto-Mining-Threat-Actors"><span style="color: rgb(0, 0, 0);">駭客鎖定組態配置不當或缺乏防護的雲端服務帳號下手，發動挖礦軟體攻擊</span></a></strong></h3> <p>駭客近期鎖定雲端服務用戶，利用相關服務的組態配置不當來進行挖礦攻擊攻擊，且已有數組駭客從事相關攻擊，甚至出現搶奪地盤的現象。趨勢科技最近公布他們對於挖礦攻擊的調查報告，指出駭客組織Outlaw、TeamTNT、Kinsing、8220、Kek Security利用雲端服務中，用戶使用弱密碼或是組態不當的情況，來濫用雲端服務挖礦，其中，Kinsing和8220行徑最為猖狂，不只是會彼此競爭，還會把另一組駭客趕出受害者的雲端帳號。</p> <p>研究人員指出，駭客發動挖礦攻擊後，不只受害組織要支付的費用會增加數倍，還會導致相關服務效能下降，進而影響客戶滿意度與營收。以他們針對門羅幣挖礦程式的實驗為例，將會讓雲端CPU的負載從13%飆升至100%，每個月的電費從20美元變成130美元，增加快6倍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.kryptowire.com/blog/start-arbitrary-activity-app-components-as-the-system-user-vulnerability-affecting-samsung-android-devices/"><span style="color: rgb(0, 0, 0);">三星手機存在漏洞，能讓被攻擊者以系統使用者權限存取應用程式</span></a></strong></h3> <p>自2月底，研究人員揭露可能影響1億支三星手機的重大漏洞，該品牌手機又出現影響相當廣泛的弱點。資安業者Kryptowire指出，他們於2021年11月發現三星手機存在CVE-2022-22292漏洞，這項漏洞與「電話」App有關，影響大多數執行Android 9至12版作業系統的三星手機，攻擊者一旦利用這項漏洞，將能使用系統使用者的權限，撥打任意電話號碼，或是隨意植入、刪除應用程式及憑證。三星獲報後於今年2月修補相關漏洞，研究人員呼籲用戶應儘速安裝新版韌體修補上述漏洞。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/11 17:17作者周峻佑https://www.ithome.com.tw/news/150361
AI趨勢周報第187期：Google最新語言模型一手包辦各種理解生成任務，程式碼生成更媲美Codex
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0331～0408)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Pathways </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google最新語言模型一手包辦各種理解生成任務，程式碼生成更媲美OpenAI的Codex</strong></span></p> <p>Google最近發表一套具5,400億參數的自然語言模型PaLM（Pathways Language Model），全以Transformer架構中的解碼器為基礎，以Google去年提出的Pathways架構來加強單一模型學習效率。這套模型由英語和多語言資料集訓練而成，像是網頁文件、書籍、維基百科文章、GitHub程式碼等，並經過上百項基準測試，像是語意理解、文字生成，甚至是自然語言轉程式碼等任務，比現有的SOTA模型表現還要好。</p> <p>比如，在少樣本學習的條件下，在29項標準的英語語言理解基準測試中，PaLM在其中的28項，表現比現有大型模型還要好，超過GPT-3、Gopher、Chinchilla和LaMDA等模型。這28項任務包括開放式QA、克漏字、句子填空、常識推理、閱讀理解和翻譯等。甚至，PaLM還能透過深度理解，來準確解釋一些笑話。</p> <p>另一個出乎團隊預料的成果是，PaLM能良好地完成自然語言轉程式碼（Text to code）、程式碼翻譯等任務。雖然PaLM的預訓練資料集中，只有5%是程式碼，但PaLM一個模型就能良好地進行自然語言轉程式碼任務，甚至比OpenAI打造的Codex模型還要好，而且所用來訓練的Python程式碼少了50倍。這些表現凸顯了PaLM的少樣本學習能力。<a href="https://ai.googleblog.com/2022/04/pathways-language-model-palm-scaling-to.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6gdPPoicGB0nweCccX9zN8mEwp8Nye503s604BUI1EO36-iTJNe3cJptm1lpWX5oEvXRoQl8cCRtYI1UkD5bfkN5zModWSoxMOGIlxBbNvI-g4SMsdEWZTDbR-ifbV7HQK0VX0yWXsSqGbR_vu_gtAUJ5BgJyAODkxiqA6I2GKkFn3mrKzKbd0aZVzA/s16000/Coding%20Examples%20v2%20Cropped.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI應用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 規模化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>5成企業力擁AI科技應用，但動機從增加營收轉為降低成本</strong></span></p> <p>蜂行資本調查了270家大型和中小型企業，近日公布2022臺灣企業AI趨勢報告，指出48%的企業進入AI科技應用規模化階段，較去年大幅提升，但企業導入AI的原因，從去年為了增加營收，轉為今年的用來降低成本。</p> <p>今年參與調查的企業，近4成是千人以上規模的大型企業，產業別以製造業占比最高，約四分之一，與去年相似。今年延續去年的AI成熟度框架，依數據完備、團隊完備及營運完備程度來衡量企業導入AI的發展程度，從0到6級分為7個階段，越高代表越成熟。調查顯示，超過48%的作答企業處於AI應用的規模化階段（4到6級），遠高於去年的25%。其中，又以千人以上的大型企業進展最快，占了4到6級企業近半數。</p> <p>不過，企業導入AI仍面臨不少挑戰，約6成企業經歷導入初期的挑戰，比如最常見的資料蒐集（19%）、驗證可行的商業案例（13.8%）和人才供應（11.3%）等挑戰。<a href="https://www.ithome.com.tw/news/150234">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 信義房屋 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料中臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>信義房屋打造資料中臺，快速揪出顧客潛在需求</strong></span></p> <p>信義房屋要打造資料中臺，來快速掌握客戶潛在需求。進一步來說，他們導入雲端數據分析中臺服務Azure Synapse Analytics和Azure Databricks，來快速橫跨資料倉儲和大數據分析系統、產出洞察，進一步搭配AI解決方案。比如，信義房屋就用這個中臺服務開發「AI智能配案」，透過大數據分析和顧客線上操作習慣，來讓第一線業務快速鎖定顧客潛在需求，業務銷售可透過手機App隨時推薦顧客喜好房源，配對正確率也提高3成5。對信義房屋來說，這種方法也助於新人快速上手，省下手動翻找房源資料、尋找房源的時間。</p> <p>再來，信義房屋也導入資料治理解決方案Azure Purview，整合企業內部地端、多雲、軟體及服務等環境中的資料。他們利用該服務整合自家30多年來的結構化和非結構化資料，並建立統一標籤來整理、分類，提高數據分析效率。此外，該工具也能管理個人資料和內部使用者權限，來達到個資法GDPR規範。<a href="https://news.microsoft.com/zh-tw/proptech-xinyi-house/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2022/04/%E3%80%90%E6%96%B0%E8%81%9E%E5%9C%96%E7%89%87%E4%BA%8C%E3%80%91%E4%BF%A1%E7%BE%A9%E6%88%BF%E5%B1%8B%E5%88%A9%E7%94%A8-Azure-Synapse-Analytics-%E5%8F%8A-Azure-Databricks-%EF%BC%8C%E9%80%8F%E9%81%8E%E8%A4%87%E9%9B%9C%E6%BC%94%E7%AE%97%E6%B3%95%EF%BC%8C%E6%89%93%E9%80%A0%E5%85%A8%E6%96%B0%E3%80%8CAI-%E6%99%BA%E8%83%BD%E9%85%8D%E6%A1%88%E3%80%8D%E6%95%B8%E4%BD%8D%E6%9C%8D%E5%8B%99%EF%BC%8C%E7%B5%90%E5%90%88%E5%A4%A7%E6%95%B8%E6%93%9A%E5%88%86%E6%9E%90%E5%8F%8A%E5%AE%A2%E6%88%B6%E6%96%BC%E7%B7%9A%E4%B8%8A%E6%93%8D%E4%BD%9C%E7%9A%84%E7%BF%92%E6%85%A3%EF%BC%8C%E5%8D%94%E5%8A%A9%E7%AC%AC%E4%B8%80%E7%B7%9A%E9%8A%B7%E5%94%AE%E5%93%A1%E5%BF%AB%E9%80%9F%E5%AE%9A%E4%BD%8D%E5%AE%A2%E6%88%B6%E6%BD%9B%E5%9C%A8%E9%9C%80%E6%B1%82%E3%80%82-1-1536x1023.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AutoML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 製造AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動建模 </span></strong></span></p> <p><span style="font-size: 22px;"><b>臺灣AI新創將製造業AI實例，變成可快速導入的AI模板，支援50種ML自動建模</b></span></p> <p>專攻製造業的臺灣AI新創杰倫智能最近推出AI應用知識庫（Ready To Go Applications）服務，從上百個實際導入案例中，選出十多個產業AI的實際導入場景，打包成企業可以快速複製試用的AI應用模板。</p> <p>以杰倫智能AutoML平臺工具為基礎，參考製造業AI實例做法，來提供試用的模擬數據、實際案例的產業建模知識，再利用杰倫智能AutoML平臺，可提供50多種ML模型訓練，包括回歸分析、分類、分群以及時間序列分析等四大類共50多種演算法，能自動選出效果最佳者來自動建模。試用企業可以參考模板，快速在自家場景中套用這些AI實作方式。杰倫智能預計將釋出16種製造業AI模板。例如CPG設備預防維修，塑膠射出成型參數最佳化、PCB顯影不全預測、CPG研發配方最佳化、虛擬量測、虛擬全檢、客戶採購行為預測等實際應用場景。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google搜尋 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MUM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 危機事件 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google將用Transformer模型優化個人危機事件搜尋</strong></span></p> <p>Google本周宣布，將把新的多任務統一模型（Multitask Unified Model，MUM）應用在Google搜尋上，讓使用者更容易找到有關個人危機事件的搜尋結果，像是自殺、性侵、藥物成癮或家暴的協助資訊等。</p> <p>MUM是Google去年5月發表AI模型，以Transformer架構為基礎，可理解語言、生成文字。MUM經75種語言和多種任務的訓練，號稱比BERT模型強大1,000倍。Google搜尋副總裁Pandu Nayak指出，當Google察覺使用者的搜尋字串與上述緊急事件有關，就會提供當地的協助熱線或相關訊息，然而，使用者可能會以各種型態進行搜尋，相關需求並不都是顯而易見的，如果能精確辨識使用者意圖，就能提供更完整的搜尋結果。</p> <p>於是，Google決定用MUM模型來更精確偵測個人危機搜尋，以它來理解人們提問的意圖，預計在未來幾周部署。除了個人危機事件搜尋，Google還打算用MUM來改善搜尋結果的垃圾訊息保護。目前MUM支援75種語言，而且，只要訓練其中一個模型、執行任務，就能一次嘉惠所有語言，快速擴充Google對全球搜尋服務的優化。<a href="https://blog.google/products/search/using-ai-keep-google-search-safe/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DALL-E 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI發表新版文字轉圖像模型DALL-E 2</strong></span></p> <p>OpenAI最近發表第二代文字轉圖像模型DALL-E 2，使用者只要給出文字敘述，DALL-E 2就能自動生成圖像，比去年1月發表的第一代版本，能產生更寫實、更精確、解析度也更高的圖像。</p> <p>第一代模型DALL-E以GPT-3為基礎，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像。DALL-E 2的精確度比第一代好上71.7%，寫實度改善了88.8%，解析度更是原本的4倍，還可結合概念、屬性及風格，打造出更生動的圖像，例如使用者得以指定系統以安迪.沃荷風格畫出太空人騎在馬背上的圖像，或者是以莫內風格畫出草原上的狐狸。</p> <p>此外，DALL-E 2還能以文字來編輯既有的圖像，可新增、移除或置換圖像中的元件；或是以同一張圖像為基準，建立不同風格或編排的版本。目前，OpenAI仍與特定使用者研究DALL-E的規範，包括避免用來建立暴力、仇恨或成人圖像，並打算藉由過濾機制來辨識違反政策的文字或圖像。<a href="https://openai.com/dall-e-2/">（詳全文）</a></p> <p><img alt="" src="https://cdn.openai.com/dall-e-2/demos/text2im/astronaut/horse/photo/2.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub Copilot </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Visual Studio 2022 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼建議 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub Copilot支援Visual Studio 2022</strong></span></p> <p>GitHub和OpenAI共同開發的AI程式碼撰寫工具Copilot，現在終於支援Visual Studio 2022了！擁有技術預覽權限的所有開發者，都可使用Copilot功能，而且，Copilot也新增程式語言支援，可提供.NET建議。</p> <p>Copilot可猜測開發者需求，提供程式碼建議，讓開發者快速取用，就像Google搜尋的輸入建議一樣。自2021年6月Copilot發布技術預覽版以來，GitHub持續更新Copilot的功能，現在終於加入眾多用戶要求的Visual Studio 2022支援。在使用Visual Studio 2022的Copilot擴充套件之前，用戶需擁有技術預覽版權限，並在安裝後授權Visual Studio 2022連接Copilot服務，確認連接完成，開發者便可以開始在Visual Studio 2022使用Copilot。<a href="https://github.blog/2022-03-29-github-copilot-now-available-for-visual-studio-2022/">（詳全文）</a></p> <p><img alt="" src="https://github.blog/wp-content/uploads/2022/02/154491850-80b62272-da07-4653-9875-bae9247bf314.png?resize=1200%2C630" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 《全球人工智慧支出指南》 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IDC：臺灣企業2022年AI預算將達3.65億美元</strong></span></p> <p>IDC近日發布《全球人工智慧支出指南》，IDC臺灣企業應用資深研究經理蔡宜秀表示，臺灣企業AI技術相關預算支出，將於2022年達到3.65億美元，其中又以金融、製造和零售流通業的需求最高。IDC指出，AI技術已廣泛用於顧客體驗與營運流程優化，像是以聊天機器人強化客戶服務管道、優化商品推薦準確度，或以人臉辨識來驗證身份，又或是持續改善數據分析模型來優化詐欺偵測，以及建立AIOps機制以降低資訊系統的維運工作等。IDC預測，AI應用將持續擴散，整體市場將持續成長。</p> <p>《全球人工智慧支出指南》也透露，亞太地區（不含日本）的AI系統支出，將從2022年的176億美元增加到2025年的320億美元。IDC指出，未來五年，銀行業會是AI解決方案上投資力道最強的產業，特別是威脅情報和欺詐分析，而政府是AI解決方案的第二大支出者，鎖定公共安全和緊急回應、增強威脅情報和預防系統，再來則是專業服務，要利用AI加強客戶服務代理，以及自動化來簡化重複的業務。<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49016222">（詳全文）</a></p> <p><img alt="" src="https://www.idc.com/getfile.dyn?containerId=prAP49016222&attachmentId=47447069" /></p> <p>圖片來源／Google、信義房屋、杰倫智能、GitHub、OpenAI、IDC</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta AI嘗試解決維基百科人物傳記中的性別偏見問題</strong></p> <p><strong>2. HPE公布邊緣運算及AI系統SBC-2在國際太空站的實驗成果</strong></p> <p><strong>3. Google新深度學習模型可利用眼睛外部照片，偵測糖尿病患血糖、血脂狀況</strong></p> <p>資料來源：iThome整理，2022年4月</p> </div></div></div>
2022/4/11 10:52作者王若樸https://www.ithome.com.tw/news/150348
確診個案居家照護新措施，新添24小時緊急醫療諮詢平臺提供專科醫師線上諮詢服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中央流行疫情指揮中心今日（4/11）指出，由於COVID-19確診患者多為輕症或無症狀，將啟動確定病例居家照護，如24小時緊急醫療諮詢平臺和多元遠距醫療方案，來強化輕重症分流、擴大收治量能。</p> <p><strong><span style="font-size:24px;">採24小時緊急醫療諮詢平臺、多元遠距醫療方案</span></strong></p> <p>指揮中心今日邀集專家團隊，包括臺灣急診醫學會、藥師公會全聯會、消防署、新北市、桃園市、高雄市政府衛生局等，來討論確診病例居家照護隔離就醫規畫。衛福部決議，將針對確診病患啟動2項醫療服務，首先是24小時緊急醫療服務，透過去年由衛福部與臺灣急診醫學會開發的健康益友App，來提供24小時緊急醫療諮詢平臺，由急診專科醫師和專科護理師全天提供緊急醫療諮詢服務；COVID-19確診者可免費下載使用該App。</p> <p>再來，指揮中心也將推廣多元遠距醫療方案，民眾除可遵循現行視訊診療，透過「全民健康保險家庭醫師整合性照護計畫」或撥打指定專線、上網掛號預約外，確診的居家照護個案也可從健康益友App，來進行視訊診療預約。</p> <p>再來，為因應COVID-19確定病例居家照護，縣市政府可因地制宜，指定責任醫院來提供門診視訊診療與關懷服務。</p> <p>此外，在藥品取得部分，指揮中心也宣布，由醫師看診開立處方後，民眾可透過紙本或電子處方箋，由藥師調劑、送藥到宅，或由親友代領。</p> </div></div></div>
2022/4/11 14:41作者王若樸https://www.ithome.com.tw/news/150358
Outlook新版將加入Loop技術，寄出後還能更新內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/147628" target="_blank">微軟去年11月公布可隨時更新文件及內容的Office Loop技術</a>，這項技術可望在6月正式釋出。</p> <p>Loop技術是微軟開發多年的Fluid框架的新品牌。Fluid框架的技術核心在將網頁或文件各種內容，如文字、表格、圖片變成一個個獨立元件，這些元件可自由複製、搬移到另一個畫布（canvas）或工作區的地方，像是聊天App、會議、電子郵件、文件等、也可幾近即時分享給專案其他成員，元件若有新版本也可即時更新到協同文件或電子郵件中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Loop%20logo.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Loop%20components.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></p> <p>繼去年微軟公布的投票表格、進度狀態追蹤器2種Loop元件後，微軟也公布新元件包括檢查清單、項目符號清單、有編號的清單、段落、表格及任務清單等，首先可使用元件的是<a href="https://support.microsoft.com/en-us/office/first-things-to-know-about-loop-components-ee2a584b-5785-4dd6-8a2d-956131a29c81" target="_blank">Outlook</a>以及<a href="https://support.microsoft.com/en-us/office/send-a-loop-component-in-teams-chat-ca5252e7-8201-4490-a6d9-59f20df864c6" target="_blank">Teams chat</a>（如下圖）。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/53b0d4fd-8bb8-4343-a9e6-7f7a386473d5.png" style="width: 245px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p><a href="https://www.microsoft.com/en-gb/microsoft-365/roadmap?filters=Outlook%2CIn%20development&searchterms=93234" target="_blank">Microsoft 365藍圖</a>顯示Outlook元件預計5月釋出到預覽版，並在6月正式釋出給一般用戶。</p> <p>專案成員選擇Loop元件，輸入內容，按下「傳送」後即可分享給其他成員，他們也都可以編輯內容、回覆。團隊可利用這些元件進行腦力激盪、共同編輯及整合資料、以@提及某人，也能將進行中的討論釘選起來，或複製貼到其他地方。Loop元件可自動儲存在OneDrive，以便日後可以在Office.com或Teams搜尋</p> <p>Loop元件預計於11月登上Teams chat，但微軟表示未來Teams頻道及其他M365應用程式也都會推出Loop元件。</p> </div></div></div>
2022/4/11 13:23作者林妍溱https://www.ithome.com.tw/news/150355
新金融木馬Octo可自遠端控制Android裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭行動資安業者ThreatFabric上周揭露了一個<a href="https://threatfabric.com/blogs/octo-new-odf-banking-trojan.html" target="_blank">新的金融木馬程式Octo</a>，指出它具備遠端控制Android裝置的能力，可取得受害裝置螢幕所呈現的所有內容，而且已被至少5個駭客組織所使用。</p> <p>ThreatFabric認為Octo應該是Exobot金融木馬家族的後代，版本別為ExobotCompact.D，最早出現在去年11月，為了消除買家對Exobot原始碼已外洩的疑慮，作者將在今年1月將ExobotCompact.D更名為Octo，並透過駭客論壇租賃。</p> <p>與先前的版本相較，Octo具備了遠端存取能力，它利用Android平臺的MediaProjection功能來進行螢幕串流，再藉由另一個AccessibilityService功能自遠端執行任務，前者每秒可傳送一次受害裝置上的螢幕截圖，使得駭客得以密切觀察受害裝置的狀態，意謂著駭客得以控制裝置上的密碼管理程式、加密貨幣錢包程式、銀行程式、雙因素認證程式及遊戲登入等，很容易便能執行裝置詐騙。</p> <p>Octo利用Google Play或是網釣簡訊進入受害者手機，它被嵌在許多應用程式中，或是傳送假冒為Chrome、金融程式或傳訊程式的更新連結；一旦成功進駐受害裝置，它就能攔截簡訊或通知，取得裝置上的通訊錄，還能紀錄通話；Octo亦具備覆蓋攻擊（Overlay Attack）與鍵盤側錄能力，可控制具輸入欄位的程式，取得出現在螢幕上的一次性密碼；還能躲避防毒軟體的偵測，並避免遭使用者移除。</p> <p>研究人員發現，包括Octo作者在內，至少已有5個駭客組織使用Octo殭屍網路展開攻擊，其中一個組織打造了夾帶Octo的Fast Cleaner程式，並登上了Google Play，有超過5萬個Android裝置安裝了該程式，它鎖定西班牙、比利時、葡萄牙與義大利的金融機構客戶展開攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Octo-Android%20Banking%20Trojan%20by%20Threatfabric-600.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／ThreatFabric</span></p> <p>成功登上Google Play的Octo惡意程式並不多，根據ThreatFabric的觀察，這些駭客在租賃Octo服務之後，大多利用網釣簡訊引誘使用者至第三方網站下載惡意程式，這些惡意程式可能偽裝成Google Play、Chrome、各種金融程式或各種傳訊程式的更新。</p> <p>總之，雖然惡意程式也可能會成功溜進Google Play，但比例畢竟不高，Android用戶必須特別留意那些來自簡訊的更新連結。</p> </div></div></div>
2022/4/11 13:52作者陳曉莉https://www.ithome.com.tw/news/150356
微軟9月調升非營利機構版本的Office 365、Windows 365價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟計畫在今年9月1日起調升提供非營利機構的Office 365及Windows 365價格，理由之一是疫情後經濟復甦。</p> <p>根據<a href="https://docs.microsoft.com/en-gb/partner-center/announcements/2022-march#20" target="_blank">微軟今年3月針對經銷通路夥伴的一份文件</a>，微軟將在2022年9月1日起調整非營利機構Microsoft 365及Office 365方案的價格。調漲價格的方案包括Office 365 E1（每名使用者授權從2到2.5美元）、E3（4.5到5.75美元）及E5（14到15.2美元）以及Microsoft E3（8到9美元）及Microsoft 365 商務進階版（Business Premium，5到5.5美元）。</p> <p>不論是月付或年約客戶，以及經由軟體保證（Software Assurance，SA）購買的客戶都會受影響。微軟也說目前尚未宣布任何促銷優惠方案。</p> <p>3種版本並不受這次調漲價影響，包括Microsoft 365商務基本版最多300人授權方案、Microsoft 365 商務進階版最多10人授權方案、以及透過Enterprise合約（Enterprise Agreement）購買最多2000人授權的Office 365 E1。</p> <p>這波調整將適用於全球，各市場則會因地制宜進行調整。微軟表示，其他Microsoft 365產品則仍然會提供最高75%的折扣。</p> <p>至於調漲原因，微軟解釋，雖然目前時機仍有些許不確定因素，但微軟看到全球有明顯經濟復甦的跡象，同時間過去幾年微軟競爭者也漲價，有些還漲得很兇。此外，微軟認為過去他們在產品再投資及「持續為客戶提供新價值」有良好紀錄，足以支持他們漲價。</p> <p>和漲價同步進行的是減少捐贈。<a href="https://blogs.microsoft.com/on-the-issues/2021/10/04/microsoft-tech-for-social-impact-cloud-grant-program/" target="_blank">微軟去年10月宣布</a>，因應微軟以雲端優先（cloud-first）的策略，從上周（4月4日）起，除了極少數狀況外，針對非營利機構將不再捐贈大部份本地部署（on-premise）的軟體。</p> <p>微軟表示，從4月開始的調整前，微軟希望給非營利機構足夠的時間過渡到雲端且採用Microsoft 365方案。微軟說，對非營利機構的調價已經比一般商務版晚了半年。</p> <p>商務版Office 365商務基本版、進階版、Office 365 E1、E3和E5、及Microsoft 365 E3方案，<a href="https://www.ithome.com.tw/news/149769" target="_blank">已經在今年3月1日起漲價</a>。</p> <p>台灣微軟也透過<a href="https://partner.microsoft.com/zh-hk/solutions/modern-workplace" target="_blank">合作夥伴專屬網站</a>要求經銷商在2022 年9 月1 日之前通知非營利機構客戶，並「協助他們把握可用的商機」。</p> </div></div></div>
2022/4/11 12:33作者林妍溱https://www.ithome.com.tw/news/150351
不必再替修補傷腦筋，微軟7月將針對大型企業推出Windows Autopatch服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/get-current-and-stay-current-with-windows-autopatch/ba-p/3271839#_note2" target="_blank">微軟上周宣布</a>，將針對Windows Enterprise E3及以上等級的客戶，推出Windows及Office軟體的Autopatch服務，將會免費替用戶部署安全及功能的自動更新，讓每個月周二的修補日成為像尋常一樣的周二，新服務預計於今年7月上線。</p> <p>微軟資深產品行銷經理Lior Bela說明，Autopatch將自動管理大型企業的更新活動，可即時回應各種變化，縮小企業未能及時部署安全更新或功能更新所帶來的保護與生產力上的差距。</p> <p>Autopatch可用來管理Windows 10與Windows 11所有版本的安全及功能更新、驅動程式、韌體及Microsoft 365 Apps for Enterprise，它內建了準備工作評估工具，先檢查Intune、Azure AD與Microsoft 365 Apps for Enterprise 的相關設定，以確定它們是否已準備好要進行更新部署。</p> <p>為了確保更新的完善，Autopatch分成4個階段進行部署，從Test Ring、First Ring、Fast Ring，一直到最後的Broad Ring，其中Test Ring只包含極少數的裝置，First Ring亦僅占所有裝置的1%，Fast Ring占了9%，Broad Ring則是90%，在部署更新至Test Ring之後，會先經過驗證，再部署至下一個Ring。它可自動篩選包含在不同階段的裝置，亦允許IT管理人員手動遷移裝置至不同的Ring。</p> <p>Autopatch不僅可監控裝置的效能，也能比較這些裝置跟更新之前的效能，或是與前一個Ring更新的裝置比較，以確保註冊裝置處於最新狀態，同時最小化對商業運作的衝擊。</p> <p>其包括安全、韌體或必要功能的更新腳步會相對快速，至於牽涉到使用者介面或使用者經驗的功能更新則會較為緩慢，每個Ring的部署可能長達30天，以讓使用者有機會能夠回報在使用上所遭遇的各種問題。</p> <p>此外，假設更新遇到問題，Autopatch會自動暫停更新，也可由IT管理人員手動暫停，當更新後的裝置出現效能問題時，還能自動回滾，也能根據裝置的狀態自動選擇更新、暫停或回滾。</p> <p>Bela強調，不管Autopatch的更新程序出現了什麼問題，相關的補救措施都會被應用於未來的部署，達到任何IT團隊都無法輕易複製的主動服務水準。</p> </div></div></div>
2022/4/11 12:43作者陳曉莉https://www.ithome.com.tw/news/150352
歐洲議會通過維修權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門關注歐盟事務的<a href="https://www.pubaffairsbruxelles.eu/right-to-repair-meps-want-more-durable-and-more-easily-repairable-products-eu-parliament-press/" target="_blank">非營利機構《Public Affairs Brussels）指出</a>，歐洲議會已於4月7月投票通過維修權（Right to Repair），可望於今年底成為正式法令。</p> <p>當初歐盟執委會（European Commission，EC）主要是為了環保才研擬此一法案，希望能夠延長消費電子裝置的生命周期，且調查顯示，有79%的歐洲民眾認為製造商應該讓消費者更容易維修自己的裝置，亦有高達77%的比例情願維修舊裝置而非買新的。</p> <p>該法令企圖刺激消費者以維修來取代購買新機；也將要求裝置製造商於產品資訊中列出維修指數、產品生命周期，以及消費者可取得的維修服務或零件；未來亦將於使用能源的產品生態設計指令中（EuP）中，新增對持久性與維修的要求。</p> <p>此外，維修權可望涵蓋廣泛的產品，除了普及率最高的手機及電腦之外，還將包括洗衣機、電視與汽車等。</p> </div></div></div>
2022/4/11 12:50作者陳曉莉https://www.ithome.com.tw/news/150353
Google也加入DIY維修陣營，將提供Pixel零件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/150353" target="_blank">歐盟積極推動維修權（Right to Repair）</a>的當下，Google繼<a href="https://www.ithome.com.tw/news/147900" target="_blank">蘋果</a>與<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>之後，<a href="https://blog.google/outreach-initiatives/sustainability/pixel-phone-repairs/" target="_blank">於上周宣布將與iFixit合作</a>，讓Pixel手機用戶可自行維修裝置。</p> <p>根據Google的規畫，今年就會與3C產品DIY維修教學網站iFixit合作，讓消費者於該站購買從Pixel 2到Pixel 6 Pro，以及未來Pixel手機的零件，包括電池、螢幕、攝影機或其它等，消費者可單獨購買特定零件，或是直接購買包含螺絲起子或橇棒等維修工具在內的iFixit Fix Kits組合包。</p> <p>Google表示，自助維修服務是專門針對那些第三方的專業維修人員、或是具有相關技術經驗的消費者一個購買官方零件的管道，其他消費者還是能透過Google所提供的專業維修服務來維修自己的裝置。</p> <p>此外，Google也強調，在開發每一款Pixel時，就會將維修納入考量，以減少維修程序所需的工具、零件或其它材料，現在所有取得Google授權的維修業者皆可存取由Google所提供的訓練、文件、工具及零件，而未來Google也計畫進一步開放相關資源。</p> <p>為了延長裝置壽命並減少電子浪費，除了自助維修之外，Google已宣布Pixel 6、Pixel 6 Pro及Nest裝置都將享有至少5年的自動安全更新，並於特定國家推出任何品牌手機的汰換計畫，消費者可藉此取得Pixel手機的折扣價，並由Google負責回收舊裝置。</p> </div></div></div>
2022/4/11 13:02作者陳曉莉https://www.ithome.com.tw/news/150354
Mirai程式藉SpringShell漏洞散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpringShell漏洞成為吸引各路駭客的新目標。安全廠商發現，一直流傳在網路上的殭屍網路程式Mirai現在又藉SpringShell漏洞感染IoT裝置。</p> <p>SpringShell（或稱為Spring4Shell）是發生在Java開發框架SpringCore的遠端程式碼執行漏洞，編號為CVE-2022-22965。自<a href="https://www.ithome.com.tw/news/150201" target="_blank">3月底被揭露</a>後，<a href="https://www.ithome.com.tw/news/150275" target="_blank">微軟已經發現</a>Azure雲端服務的SpringShell漏洞遭駭客開採。</p> <p>Spring發出公告後不到一天，<a href="https://blog.netlab.360.com/what-our-honeypot-sees-just-one-day-after-the-spring4shell-advisory-en/" target="_blank">安全廠商奇虎360（Qihoo 360）</a>首先在其誘捕系統上發現多個webshell，但Mirai是第一個利用CVE-2022-22965的殭屍網路程式。</p> <p><a href="https://www.trendmicro.com/en_us/research/22/d/cve-2022-22965-analyzing-the-exploitation-of-spring4shell-vulner.html" target="_blank">趨勢科技</a>也於4月初觀測到SpringShell漏洞的開採活動，使攻擊者得以武裝化（weaponize）以執行Mirai。駭客將Mirai下載到IoT裝置的/tmp資料夾，利用chmod指令變更許可後執行。此外，趨勢科技也在網路上發現惡意檔案伺服器，內含為不同CPU架構而設計的其他Mirai變種。</p> <p>Mirai經常在重大漏洞一公布後最先用以散布。去年底Mirai也是第一個藉<a href="https://www.ithome.com.tw/news/149677" target="_blank">Log4Shell漏洞</a>及<a href="https://www.ithome.com.tw/news/146805" target="_blank">Azure OMI</a>散布並攻擊未修補系統的惡意程式。</p> <p>趨勢科技指出，目前大部份易受攻擊的環境特徵為Spring Framework 5.2.20、5.3.18以前以及JDK 9以後的版本、執行Apache Tomcat、封裝為WAR（Web Application Archive）、可寫入的檔案系統如Web App或ROOT。此外使用Spring 參數綁定（parameter binding）以執行非基本的參數類型如POJO（Plain Old Java Objects），以及Spring-webmvc或pring-webflux有相依性的環境也有風險。</p> <p>奇虎360分析針對SpringShell漏洞進行掃瞄活動的IP位址分布，數量最多的國家分別是美國、荷蘭、德國及中國。</p> <p>Spring開發組織已經針對SpringShell及另二個發生在Spring框架的漏洞釋出修補程式（2022-22950及CVE-2022-22963）。</p> </div></div></div>
2022/4/11 12:11作者林妍溱https://www.ithome.com.tw/news/150350
惡意流量導向系統Parrot TDS已感染全球逾1.6萬個網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://decoded.avast.io/janrubin/parrot-tds-takes-over-web-servers-and-threatens-millions/" target="_blank">資安業者Avast上周揭露了一個名為Parrot TDS的惡意流量導向系統（Traffic Direction System，TDS）</a>，指出它已感染了代管逾16,500個網站的眾多伺服器，它們可能是個人網站、大學網站、地方政府網站或是成人網站，再以惡意程式感染造訪這些網站的使用者。光是在今年3月，Avast便阻止了全球60萬名打算造訪這些網站的潛在受害者。</p> <p>Parrot TDS從2021年10月就開始啟動，遭駭客入侵的網頁伺服器採用不同的內容管理系統，絕大多數為不同版本的WordPress，Avast猜測駭客可能是利用這些伺服器的安全性不足或是採用脆弱的登入憑證，進而取得伺服器的管理權限。</p> <p>駭客在這伺服器上植入了惡意的PHP腳本程式，該腳本程式有兩個目的，一是取得諸如IP位址、參照與Cookies等造訪者資訊，二是允許駭客於被駭伺服器上執行任意程式並建立後門。</p> <p>近期Avast在Parrot TDS上發現的最大規模的惡意活動為FakeUpdate，該活動會在使用者造訪已被危害的網頁時，變更網頁的呈現，要求使用者更新Chrome，並提供下載最新版Chrome的按鍵，然而，使用者所下載的卻是惡意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-6-1024x555%5B1%5D.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／Avast</span></p> <p>這整個攻擊鏈含有不同的使用者過濾機制，Parrot TDS先以IP、參照及Cookies等資訊過濾一次，FakeUpdate則會針對特定使用者提供獨立的URL，也會掃描使用者的個人電腦，取得電腦名稱、使用名稱、網域名稱、製造商、BIOS、防毒軟體列表、MAC位址及作業系統版本等資訊。</p> <p>最後在特定使用者的電腦上安裝NetSupport Client遠端存取工具，以讓駭客隨時都能存取受害者電腦，而且駭客關閉了NetSupport Client的聊天功能，並開啟了該工具的靜音功能，以讓受害者難以察覺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-9%5B1%5D.png" style="width: 311px;" /></p> <p><span style="color:#696969;">圖片來源／Avast</span></p> <p>Avast建議開發者應該要掃描伺服器上的所有檔案，以原來的檔案置換所有的JavaScript及PHP檔案，使用最新的內容管理系統版本，使用最新的外掛程式，檢查伺服器上自動執行的任務，檢查是否有可疑的管理員帳號，以及啟用雙因素認證等。</p> </div></div></div>
2022/4/11 08:03作者陳曉莉https://www.ithome.com.tw/news/150343
BigQuery可透過建立搜尋索引，快速搜尋非結構化與半結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/pinpoint-unique-elements-with-bigquery-search-features">Google</a>在其雲端資料倉儲BigQuery加入搜尋索引以及相關的SQL搜尋函式，讓用戶可以使用標準的BigQuery SQL，高速搜尋非結構化文字和半結構JSON檔案中，所存在的唯一資料元素。搜尋索引為無伺服器服務，並且完全由BigQuery管理，只要資料在BigQuery中可以使用，用戶就能利用新的搜尋功能進行資料檢索。</p> <p>Google表示，這項BigQuery新功能讓用戶可以在單一資料平臺中，對欄式儲存和文字進行搜尋，可在用戶查詢資料列，而非聚合資料時，發揮極大的效能和成本效益。像是辨識特定用戶相關聯的資料列，以用於GDPR報告，或是從文字中尋找特定錯誤碼，都可以利用該功能快速完成搜尋工作。</p> <p>BigQuery搜尋索引功能，能夠避免觸發繁重的表格掃描工作，官方解釋，搜尋索引主要採用反向索引（Reverse Index）技術來加速資料點的查詢。BigQuery透過反向索引，能夠深入了解特定資料元素在表格底層儲存的位置，因為資料經過標記，因此在區分大小寫等細微差異的文字搜尋上，比SQL具有更大的靈活性。</p> <p>BigQuery現在能對超大量的文字資料進行搜尋，像是用戶可以將本地端、多雲平臺和Kubernetes中的日誌記錄，全部匯集到BigQuery中，快速地查詢特定資料元素。與其他的BigQuery功能相同，搜尋索引是全託管功能，一旦用戶創建了索引，BigQuery便會在後臺處理剩餘的工作。</p> <p>同時，搜尋索引也能夠搜尋半結構化資料，Google提到，安全日誌來自多個來源，具有不同的架構、類型，而用戶現在可以將這些日誌儲存成JSON，並且在BigQuery中使用SQL進行查詢。</p> <p>BigQuery搜尋索引功能不額外收取費用，但是用戶需要對索引所使用的儲存支付費用，Google表示，適當的使用搜尋索引功能，查詢掃描的資料將大幅減少，進而節省成本。Google舉例，要從PB級的資料中，刪除所有Bob的資料，過去用戶可能需要掃描TB大小的表格，才能找到其中10筆包含Bob的紀錄，而現在透過在BigQuery表格增加索引，就僅會觸及包含Bob的資料列子集，因而大幅降低成本。</p> </div></div></div>
2022/4/11 08:08作者李建興https://www.ithome.com.tw/news/150340
Google搜尋將把AI產製內容視為垃圾內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周出，會將AI產製的內容視為垃圾資訊，過多這類內容的網站可能導致搜尋排序遭降級。</p> <p><a href="https://searchengineland.com/google-ai-generated-content-spam-383454" target="_blank">Search Engine Land報導</a>，Google Webmaster趨勢分析師John Mueller上周在<a href="https://www.youtube.com/watch?v=Yx997SsiYlw&t=1334s" target="_blank">一場搜尋引擎最佳化（SEO）的線上對談</a>中，在被問到Google對提供AI產製的內容會如何反應時，他說明，這類網站將被歸類在自動產製內容（auto-generated content）的網站，意指這違反了Google的網站站長指引（Webmaster Guideline）。</p> <p>根據<a href="https://support.google.com/webmasters/answer/9044175#zippy=%2Cuser-generated-spam" target="_blank">Google的網站站長指引</a>，自動產製的內容多半出現在網站論壇頁、留言板或使用者檔案等，這些內容可能是自動化流程產生的文字、擷取Atom/RSS產生的文字、或是組合不同網頁而未編修，以及自動翻譯未經審查就發佈的內容等。Google認為這些內容如同促銷廣告、和主題不相關貼文或廠商張貼的訊息，皆被視為垃圾內容（spam）而影響網站內容品質，希望站長避免甚至刪除。</p> <p>不過Google拒絕說明它是否真的能分辨出人類或AI產製的內容。</p> <p>AI技術的快速提升已經能讓許多AI引擎產製出具真人水準、甚至超越許多人的文字或影音內容。OpenAI的GPT-3甚至只要人類提供主題、論述方向及2、3句話即可撰寫出整篇有條理的文章。憑藉著其高超的文字能力，光是去年初<a href="https://www.ithome.com.tw/news/143530" target="_blank">GPT-3就獲得了超過300項應用程式使用</a>。</p> </div></div></div>
2022/4/11 08:14作者林妍溱https://www.ithome.com.tw/news/150344
【中國附醫HIS再造：藍圖制定】制定兩大HIS發展藍圖，AP和IT基礎架構改造雙管齊下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國附醫是臺灣少數很早開始擁抱微服務架構的大型企業。早在5年前，一位IT老將不再做新技術旁觀者，親自跳下海，發起了臺灣醫院少見的醫療資訊系統（HIS）微服務再造計畫。</p> <p>2015年，微服務架構已經在國外掀起波瀾，這個新架構，翻轉了過去龐大單體式架構的做法，將應用程式更細緻切分不同用途的服務，好在雲端環境中水平擴充，從容應對突如其來的流量。容器技術的興起，更助長微服務發展，應用程式可利用輕量級虛擬化容器，打破對底層基礎架構的依賴，同時提高重複使用性。當時，不少網路科技公司如Uber、Netflix都積極擁抱微服務，也帶動不少廠商爭相推出微服務管理產品。</p> <p>這股風潮，在2016年從新創圈吹進了企業圈，在國外，已有不少企業開始大膽嘗試，如花旗銀行就在該年啟動IT架構微服務化的系統轉型。但是，在臺灣，仍然只有網路科技公司或新創擁抱微服務架構，少有大型企業身影，更多企業只是觀望。</p> <p>對大型企業而言，長年累積的大型IT系統，包袱累累，要改採微服務架構，得先將龐雜的系統砍掉重練，重新開發成本和風險都難以估計，尤其，對有點歷史的醫院來說，更是如此。</p> <p>醫院主要核心系統是HIS，就像醫院的神經系統，舉凡病患住出院、門診掛號、領藥，還是抽血檢查、拍X光片，或是人事差勤、洗衣房管理等行政作業，都靠它。醫院HIS系統通常由數十套，甚至上百套子系統組合而成，這些子系統過往大多是採取單體式架構的設計，中國附醫的HIS系統，就是如此。</p> <p>發起再造的中國附醫資訊室副主任孫培然形容，單體架構的應用程式，將許多功能綁在一起，涵蓋了所有業務邏輯，程式間的相依性非常高。一旦要更新或開發功能，就得暫停服務，還無法處理特殊儲存需求，也難以採用新語言和新架構。「這種單體式架構，很難在未來10年發揮作用，」他說。</p> <p>孫培然歷經過多次醫院IT的大改造，20多年前一手將童綜合醫院的IT系統改為當時先進的3層式架構，後來他進入中山附醫後，動手將委外開發的Delphi舊系統砍掉重練，換成主流的C#，更重新打造為隨插即用的模組化設計，來提高開發彈性。</p> <p>到了中國附醫，他觀察到，伴隨著容器和雲端技術，微服務技術在國外開始走紅。多年開發經驗告訴他：「系統要上雲，雲端原生是未來趨勢！」而他信奉的模組化開發理念，正好能與這些技術搭配結合。</p> <p>於是，他向上爭取IT轉型機會，第一步先以微服務架構，來翻新老舊的HIS，趁機讓IT團隊熟悉開源管理工具，然後再來推動上雲。他帶領了20位IT同仁，在2017年展開了HIS微服務再造計畫，要來一步步打造中國附醫第四代的HIS系統。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%AD%AB%E5%9F%B9%E7%84%B6%E6%8A%BD%E8%A8%80IMG_2057.png" style="width: 514px;" /></p> <p><span style="color:#696969;"><strong>中國附醫資訊室副主任孫培然發起第四代醫療資訊系統（HIS）優化再造計畫，要以微服務架構重新設計核心HIS系統，打破單體式架構資源難以調度、功能開發和更新不易的限制。</strong></span></p> <p><span style="font-size:28px;"><strong>盤點系統，歸納8大類作為微服務開發依據</strong></span></p> <p>首先，他們盤點了中國附醫HIS，大大小小共有500多套子系統，將這些系統分為8大類，作為微服務架構開發的整合目標。</p> <p>孫培然解釋，這8大類系統，不只是為了微服務開發而設置的分類，更為了日後中國附醫體系雲的發展而規劃。未來，他們要將每一類都發展成一朵私有雲，可以支援體系下各醫院的需求，比如，他們已將後勤補給管理系統體系化，統一打造成一套系統，可供各地分院採購之用，未來計畫將這套系統上雲，也打算利用公有雲搭配私有雲，來提供備援。這就是孫培然口中的HIS 4.0優化改造規畫。</p> <p>中國附醫的運用微服務架構的作法，還可以分成兩種，改造和優化。改造指的是改用微服務技術重新開發出原本功能的系統，而優化就是保留原有的系統，但透過API介接原有系統和新的微服務化系統，進行資料同步。</p> <p>或者，過去委外開發或是穩定運作的系統，也會考慮採取優化而非改造的策略。孫培然指出，醫療核心系統傾向重新開發，而較少變化的周邊系統，則採取介接策略。</p> <p>比如，「醫師臨床整合系統」就是採取改造策略的做法，整合了原本門診、急診和住院相關的醫囑系統，先把所有醫囑系統相關操作的介面統一，再會根據不同科別，重新設計使用者介面。並且，他們將原有系統的共用功能獨立出來，打造成微服務共用元件，以利重複使用。</p> <p>電子病歷整合查詢系統則是優化為主。醫師、護理師、檢驗師原本各自有套查詢檢驗報告系統，現在改以單一入口來存取原本散落各處的子系統，並以微服務介接不同功能之間的運作，成為統一查詢操作介面。</p> <p>其他像是護理整合照護系統、檢查治療整合系統、後勤補給管理系統、行政整合系統、教學研究相關系統，以及用來存放健保和病人安全規則引擎的病人安全管理系統，也都採取了優化和改造這兩大策略來整合。</p> <p>由於系統與醫療流程息息相關，改造新系統時，中國附醫也格外重視流程重整，「先優化流程，再整合系統。」孫培然表示。比如，中國附醫先將原本需要大量人工配送的門診針劑藥品運送流程，改為全自動的藥品管理流程，然後再將新流程系統，整合到微服務架構下的護理整合照護系統。</p> <p><span style="font-size:28px;"><strong>3階段定調系統再造藍圖，改採Typescript和JSON打下上雲基礎</strong></span></p> <p>將500套子系統分成8大類後，中國附醫進一步制定HIS再造時程，分為三階段來完成系統的優化改造。</p> <p>第1階段的目標，是要利用微服務來優化5大類系統的部分系統，像是醫師臨床整合系統中的住院醫囑相關係統、護理整合照護系統中的住院護理相關系統、電子病歷整合查詢系統，以及半數的病人安全管理系統和衛藥材庫管理系統（即後勤補給管理系統）。</p> <p>第2階段改造則鎖定急診，將醫師臨床整合系統中的急診醫囑相關系統、護理整合照護系統中的急診相關系統微服務化，再將剩餘的病人安全管理系統、衛藥材庫管理系統完成微服務化，同時完成所有檢查治療整合系統的微服務化工作，接著開始改造部分行政整合系統。</p> <p>最後一個階段，則要將醫師臨床整合系統、護理整合照護系統中的門診相關系統微服務化，並完成行政整合系統和教學管理系統的優化工作。</p> <p>中國附醫於2017年訂出這份系統開發和上線時程表後，先逐步將舊有系統轉為Ｗeb應用，像是將開發微服務後端的C#程式語言，改為Typescript來開發，在資料格式上，也改用網頁慣用的JSON格式作為主要格式。這個Web化改造，對中國附醫後續的上雲計畫來說，是非常關鍵的一步。</p> <p>至今，除了開發語言和資料格式的改變，他們也完成第1階段範圍內的系統微服務化，更導入Google雲端的混合雲和多雲管理平臺Anthos，來自動監控部署在開源平臺Kubernetes（簡稱K8s）上的微服務。</p> <p>有了基礎架構的改善，中國附醫也陸續上線微服務新系統，讓新舊系統至少並行數個月，確認醫護使用者熟悉新系統後，再下架舊系統。2021年底，第1階段正式劃下句點，邁入第2階段。雖然中國附醫並未明確訂出接下來兩階段的預計完成時間，這也給開發團隊不少彈性，好來邊執行邊修正。</p> <p><span style="font-size:28px;"><strong>制定基礎架構時程表，明年要強化K8s資安</strong></span></p> <p>不只制定系統開發和上線藍圖，孫培然也揭露一張基礎架構的中長期規畫時程表。這個時程表一樣分為3階段，首先是搬遷與優化階段，其中，中國附醫導入了Anthos管理平臺、開源服務網格工具Istio Service Mesh，也完成了既有服務轉移、優化維運整合和備份作業。該階段的整體作業，在2021年大功告成。</p> <p>第2階段聚焦於混合雲和可靠性，也是2022年正進行的任務，包括建置Google雲端平臺的災難復原站點（DR Stie）、導入主流的開源維運平臺機制GitOps ACM，以及整合混合雲服務。</p> <p>而2023年要完成的第3階段，鎖定了安全性，要強化K8s原生安全性，如加強RABC授權機制，另外也要導入OICD驗證通訊協定，以及強化Istio等工具的安全機制。</p> <p>不論是系統開發藍圖，還是基礎架構時程表，中國附醫在這兩大方向的指引下，陸續實現HIS微服務化。</p> <p><span style="font-size:28px;"><strong>容器是微服務最佳拍檔，速度快、不怕死又易移動</strong></span></p> <p>自計畫發起至今，經過幾年琢磨，中國附醫也體驗不少微服務的好處，像是可跨語言、跨平臺開發，能重新分配系統資源，來支援動態擴展。而微服務小巧的模組化，容易重新組裝，還可藉API在後端互相調用。</p> <p>在這之中，孫培然最有感的微服務優勢，是搭配輕量級虛擬化容器技術維運管理時，「不會死」的特性。</p> <p>因為，應用程式打造成微服務，放置於顆粒度更細緻的容器，部署在K8s環境中，就能享有K8s的資源自動調度好處，有別於傳統以硬體為中心的架構，資源調度被硬體綁住，不易動態調整。這也是微服務的容錯優勢，當系統發生故障時，應用程式不會受到影響，依然能繼續運作。</p> <p>容器部署還有快速的好處。不論是功能發布、修改、更新還是移植，都能快速完成，這也是他力推微服務搭配容器的原因。</p> <p><span style="font-size:28px;"><strong>下一步：打造中臺、發展體系醫療雲</strong></span></p> <p>如同孫培然先前的預告，中國附醫HIS微服務再造，一方面是優化IT架構，一方面是為中國附醫體系醫院的醫療雲打基礎。</p> <p>為實現這個目標，中國附醫也建置一套資料倉儲，來儲存以往單獨設置的臨床資料庫資料，像是中風資料庫、外傷資料庫等。他們要將HIS內外部資料整合在不同資料倉儲，作為資料中臺，這些中臺，就是未來中國附醫醫療體系雲的資料重心，協助發展更多資料驅動的服務。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>中國附醫HIS 4.0系統三階段優化改造</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1072-cover2-600-1.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=885,height=474'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover2-600-1.png" style="width: 600px;" /></a></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 第一階段 </span></span> <span style="color:#B22222;">已於2021年完成 </span></strong></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>醫師臨床整合系統（住院醫囑相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>護理整合照護系統（住院護理相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>電子病歷整合查詢系統</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>病人管理安全系統（上）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>衛藥材庫管理系統（上）</strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 第二階段 </span></span> <span style="color:#B22222;">進行中</span></strong></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>醫師臨床整合系統（急診醫囑相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>護理整合照護系統（急診護理相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>檢查治療整合系統</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>病人安全管理系統（下）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>衛藥材庫管理系統（下）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>行政優化整合系統（上）</strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 第三階段 </span></span> <span style="color:#B22222;">規畫中</span></strong></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>醫師臨床整合系統（門診醫囑相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>護理整合照護系統（門診護理相關系統）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>行政優化整合系統（下）</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>教學研究相關系統</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;">備註：未上線新系統，則以新舊系統橋接同步資料。</span></span></p> <p><span style="color:#696969;">資料來源：孫培然，iThome整理，2022年4月</span></p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>中國附醫HIS 4.0優化改造策略</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1072-cover2-600-2.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=770,height=510'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover2-600-2.png" style="width: 600px;" /></a></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>中國附醫資訊室在2017年發起醫療資訊系統第四代（HIS 4.0）優化改造計畫，要以微服務架構翻新HIS。首先，他們梳理自家HIS核心和周邊系統，將這500多套子系統分為8大類，如醫師臨床整合系統、電子病歷整合查詢系統、病人安全管理系統等，按「優化」和「改造」兩大策略來再造。比如，行之有年、少有變動的系統，如會計系統，就採優化策略，直接以RESTful API介接新HIS，而核心系統就以微服務架構設計，如將原本門診、急診、住院的醫囑系統整合起來，並打造微服務共用元件，以利重複使用。</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);">資料來源：孫培然，iThome整理，2022年4月</span></p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>中國附醫HIS 4.0基礎架構發展藍圖</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover2-600-3.png" style="width: 350px;" /></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 2021年轉移和優化（已完成）</strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">建置Anthos管理平臺、導入Istio服務網格工具、轉移既有服務、優化維運整合、備份</span></strong></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 2022年混合雲和可靠性（進行中）</strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">建置GCP災難復原站點（DR Site）、導入GitOps ACM、整合混合雲服務</span></strong></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 2023年強化安全（規畫中）</strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#696969;">強化K8s原生安全（RBAC驗證機制）、OIDC身分驗證整合、其他（如Istio安全功能）</span></strong></span></p> <p><span style="color:#696969;">資料來源：孫培然，iThome整理，2022年4月</span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/150336" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span><span style="color:#FFFFFF;"> </span></strong></span><a href="https://www.ithome.com.tw/article/150336" target="_blank"><strong style="font-size: 20px; color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1072-feng_mian_gu_shi_p1_open-ruo_pu_-960x420_kao_bei_.jpg?itok=ntNtD8he" style="width: 550px;" /></strong></a></p> </div></div></div>
2022/4/11 07:00作者王若樸https://www.ithome.com.tw/news/150320
【中國附醫HIS再造：微服務實作關鍵】上千支微服務支援全院醫療作業，5大關鍵做法大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從5年前展開HIS改造工程至今，中國附醫HIS今年已經完成第一階段改造，順利轉移到微服務架構，更運用了超過1千支微服務，來支援醫院內各種醫療的作業。他們如何走到這一步？</p> <p><span style="font-size:28px;"><strong>關鍵作法1：先重整與優化關鍵流程</strong></span></p> <p>「我們先鎖定關鍵流程系統。」中國附醫資訊室副主任孫培然點出，HIS微服務再造的原則，得先從較核心的醫療系統下手，如住院醫囑、護理照護系統等，以微服務架構打造，而行之有年、幾乎不變動的系統（如會計系統），則採API介接，不另行重新開發，將IT火力集中在醫療核心系統。</p> <p>也因此，他們動手開始改造醫療系統前，全面檢視了所有的醫療流程，想辦法精簡過於冗長的流程或是改善還未數位化的作業，再與新版HIS串接。</p> <p>比如，中國附醫原有藥品管理流程需要不少人工作業，門診醫師開藥單後，由門診藥局調配藥劑，再派人將藥品送至門診注射室，由護理人員替病人注射，藥品的移動全靠人工，交接過程也得反覆清點確認，來避免出錯。</p> <p>後來，他們改導入智慧藥櫃系統，來調整流程。醫師開藥後印出處方簽，由病人持至注射室，護理人員掃描條碼後，藥櫃會彈出對應藥劑，由護理人員取出、注射，在這個過程中，藥品運送完全自動化，不用人工清點確認，還能根據藥劑重量變化，來計算庫存。藥品管理流程引進更自動化的系統後，再透過RESTful API來介接中國附醫新版HIS。</p> <p>另一類流程精進作法，則是採取「就源輸入」策略。比如，護理人員到病房檢視患者狀態時，能就地使用行動裝置上的App，直接登記患者所需的藥品，解決原本因紙本登記出錯或後續人工補登的時間差，導致準備藥品不足的問題。這種新開發的新應用程式，結合微服務架構和事件驅動（Event driven）設計，當源頭資料輸入後，會自動通知相關系統來更新庫存資訊。</p> <p>一邊優化流程，他們也同步展開了系統架構的調整，拆分原本單體式架構的HIS系統，將其中的功能打造成一支支微服務。孫培然指出，HIS微服務化不只要改造應用程式，還得改造系統架構，將單體系統拆解為顆粒度更細的微服務，才能上雲。</p> <p><span style="font-size:28px;"><strong>關鍵作法2：功能解耦</strong></span></p> <p>中國附醫切分微服務有個關鍵原則：功能解耦方法。這是指，將原本在單體式架構中綁在一起的功能，拆解出來，變成各自獨立的微服務來運作。</p> <p>比如，一個單體系統中有開單、掛號、計價等功能，可以各自拆分成獨立的開單微服務、掛號微服務和計價微服務程式，再按需要來擴充負載高的功能。「功能解耦方式，可彈性調度資源來應付大量需求，解決了單體系統資源調度困難的問題，」孫培然解釋。</p> <p><span style="font-size:28px;"><strong>關鍵作法3：程式碼微型化</strong></span></p> <p>在功能解耦大原則下，中國附醫還搭配了另一套利於模組化管理的分類方法，來將程式碼微型化。這就是孫培然所提的程式碼微型化設計策略。他解釋，程式碼微型化，不只將程式微服務化，像模組般隨插即用，還要建立共用元件。</p> <p>這個程式碼微型化策略，將模組化程度將微服務分成三類，包括原料、半成品和成品。原料類微服務，是指與業務邏輯無關的元件，比如民國年轉西元年、電子郵件查收等。這些與業務邏輯無關的元件，還能獨立集結起來，作為一套共用元件。</p> <p>半成品類微服務則是指與業務邏輯相關的功能，如病人查詢資料、檢驗報告、醫囑開立等，也就是醫療系統會使用到的功能。而成品，則是指多個半成品組成的微服務系統，比如將報告查詢、病人查詢資料、醫囑開立等半成品功能組合起來，就是一套住院醫囑系統微服務。</p> <p>不論是元件、半成品還是成品，都由一支支微服務組成，比如，多個半成品組成的成品系統，在後端，可以是一支微服務網頁API，在前端，則可能是一個網頁App。採取這三種分類來設計微服務，也能納入時下流行的微前端和微後端架構，放入到半成品類型中管理。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1072-cover3-600-2.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1126,height=697'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover3-600-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／孫培然<br /><strong>中國附醫HIS微服務再造遵循功能解耦原則，在該原則下延伸出</strong></span><strong style="color: rgb(105, 105, 105);">程式碼微型化</strong><span style="color: rgb(105, 105, 105);"><strong>方法，也就是將程式碼按業務功能，分為原料、半成品和成品。原料是指與業務邏輯無關的共用元件，半成品則是與業務邏輯相關的功能，成品則是由多個半成品組成的系統。</strong></span></p> <p><span style="font-size:28px;"><strong>關鍵作法4：MVC程式架構</strong></span></p> <p>有了業務面的程式碼微型化做法，在程式開發做法上，中國附醫也採用MVC架構來開發前、後端和資料庫應用，這是後來能夠順利擁抱微服務架構的關鍵。</p> <p>MVC將程式分為三大類，包括模型層（Model）、視覺呈現（View）和控制類（Controller）舉例來說，一個健康管理應用程式，前端以網頁App方式呈現，其中包含公司基本資料、健檢項目管理、團體接案等3個視覺層，在後端則是網頁API，由3個相同的控制器組成，這3個控制器再向後一層的模型層發送通知，讓3個模型層各自從Stored procedure中撈取所需資料，如公司基本資料模型層，會從Stored procedure中取得單一公司資料、公司清單等。</p> <p>孫培然透露，中國附醫HIS在MVC架構中，從前端到後端，都採用了雲端原生應用慣用的JSON資料格式，並採網頁技術通用的RESTful API來串接，而且，不論是模型層還是其他程式碼，都改為Stored procedure，而不直接下達SQL指令，以避免人為誤刪資料的問題。</p> <p><span style="font-size:28px;"><strong>關鍵作法5：結合容器和軟體定義</strong></span></p> <p>底層基礎架構的改變，也是中國附醫能夠執行上千支微服務的另一關鍵。</p> <p>中國附醫運用容器技術來打包這些微服務程式，再部署到K8s環境中，來善用K8s資源自動調度好處，有別於傳統以硬體為中心的架構，資源調度受限硬體，不易動態調整。</p> <p>孫培然指出，這是微服務的容錯優勢，當系統發生故障時，應用程式不會受到影響，依然繼續運作。而採取容器部署，不論是功能發布、修改、更新還是移植，都能快速完成。搭配輕量級虛擬化容器技術維運管理做法，孫培然更以「不會死」來形容其特性，這也是讓他最有感的微服務優勢。</p> <p>中國附醫HIS的底層資源調度方式，原以硬體為中心，在應用系統所用的配置中中，明定出所用虛擬機器的配置，得搭配多少CPU記憶體、儲存和網路等硬體規格，這些設定綁定了系統所搭配的硬體規格，一旦更換硬體，就得從頭設定VM配置，並重新測試驗證後才能執行，擴充彈性不足。</p> <p>後來，中國附醫，改採用軟體定義做法，讓資源調度可以自動化。在底層環境，導入VMware VCF混合雲管理平臺，用軟體定義規則，來管理網路、儲存等設定。利用標籤機制來標記一套應用所需的記憶體、CPU規格、快取容量或網路設定。這些標籤會在部署VM時啟動，執行相對應的規則。如此一來，就算更換實體機器，也不必重寫規則再測試。這種軟體定義的規則更容易管理資源，也能彈性擴充容量。</p> <p>有了彈性的底層架構，中國附醫也在VCF上部署了混合雲管理平臺Anthos，來管理Kubernetes（簡稱K8s）執行環境。Anthos添加不少管理微服務和K8s工具，能自動監控微服務狀態，也提供服務網格工具，作為不同服務的溝通橋樑，還能將流量和底層架構的資源調度分離，進行更細緻的流量管控。</p> <p>中國附醫採用Anthos來即時監控HIS微服務狀態、自動調度資源，孫培然認為，Anthos資源自動調度機制最獲得他的青睞，比如，以C#開發的舊護理系統未搬上Anthos時，每隔2周就得將底層伺服器關閉一次，否則系統會當機。後來，他們改用Typescript語言重寫護理系統，並將系統搬上Anthos環境，「8個月來，都沒當機。」</p> <p>中國附醫在微服務架構中，還採取了訊息佇列（Message queue）機制，來與其他系統溝通。因為，訊息佇列就像是訂閱功能，一旦訂閱的系統接收到新資料，就會發送通知。比如，住院醫囑系統可訂閱護理系統的佇列，當護理人員在系統登記病人藥物過敏時，護理系統就會發送佇列，告知住院醫囑系統，如此，醫師就不必一直搜尋病人藥物過敏記錄，降低資料庫工作負載。</p> <p><span style="font-size:28px;"><strong>中國附醫DevOps工具鏈大公開</strong></span></p> <p>中國附醫在這場HIS微服務再造實戰中不斷試錯，也累積出一套自己專屬的DevOps工具鏈，涵蓋了微服務開發到維運的生命周期循環。</p> <p>在開發流程端，導入了新創圈流行作法，像是Scrum敏捷開發框架、微服務架構設計模式、SOLID物件導向設計原則，還有MVC開發架構。而在程式碼技術上，則以HTML/CSS、JaveScript和Node.js為主，還可細分為前端Angular框架和後端的NestJS框架，並搭配Typescript和Express。建置用的IDE開發工具是VS Code，測試工具則搭配直覺簡單的API測試工具Postman。</p> <p>在維運工具端，使用了RESTful API設計、開源遠端呼叫框架gPRC和開源分散式串流處理平臺Kafka，也採用GitLab版本控制平臺，來串接持續部署和持續交付（CI/CD）機制，監控機制上，則使用了K8s、Istio和Envoy平臺機制，搭配開源系統監控工具Prometheus，以及開源分析監控工具Grafana。</p> <p>不過，中國附醫後端資料庫，採用了關聯庫資料庫SQL Server和開源資料庫MongoDB。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1072-cover3-600-3.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1259,height=724'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover3-600-3.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／中國附醫<br /><strong>中國附醫資訊室副主任孫培然揭露HIS微服務再造的DevOps工具鏈。比如，在開發流程端，他們導入新創圈流行作法，如Scrum敏捷開發框架、微服務架構設計模式。</strong></span></p> <p><span style="font-size:28px;"><strong>挑戰：解決資料同步和資料庫分散設計</strong></span></p> <p>不過，要將單體系統改為微服務架構，也不少挑戰要克服，特別是資料同步和資料庫設計。</p> <p>孫培然指出，要採用微服務架構，還得先解決資料同步的問題。因為，新服務上線後，勢必有段新舊系統並行的適應期，在這段期間內，使用者不可能到兩套系統中重複輸入資料，因此，得先用API介接新舊資料庫，來讓資料同步。</p> <p>再來，既然應用程式都已微服務、容器化，資料庫設計也得跟著改變。原本，中國附醫HIS採集中式的SQL主機資料庫，若未來所有體系醫院都用一套集中式的資料庫，就會造成管理問題。</p> <p>孫培然正逐漸要將集中式的關聯資料庫，改採以分散式的NoSQL設計，來降低關聯度。例如，在關聯式資料庫設計中，原本一個Master資料表對應到多個Detail資料表，出院病摘是Master資料表，而其中的檢驗值、檢查報告、過去病史、現在病史等都分散在不同的Detail資料表中。</p> <p>他採取的新作法是，保留Master資料表，但將多個Detail整合為一個JSON格式表格，一次包含所有Detail，如上述提到的檢驗值、檢查報告、過去病史和現在病史等。原本資料庫架構上，Master和Detail的比例可能高達1比15，現在則要逐漸減少為1比1。「這就是NoSQL中的Document概念，降低關聯式資料庫的關聯性。」中國附醫逐漸邁向更分散式的資料庫架構。</p> <p>中國附醫在2021年已經完成了新一代HIS 4.0的架構轉移和優化，順利在微服務架構上運作。新的容器化HIS系統架構中，不論前端Angular應用或後端的NestJS應用，都在K8s的容器環境中執行，整套K8s環境則部署在Anthos來提供自動化資源調度，並搭配Kafka平臺。不過，後端資料庫系統還是相當依賴關聯式資料庫。</p> <p>目前，孫培然正持續打造更完善的新微服務架構，除了延續現有的事件驅動設計和Kafka平臺，對現有微服務之間的溝通方式，還要採用更高效溝通的gRPC框架，來逐漸來取代現在所用的Restful API呼叫方式，也要將關連式資料庫，轉換成NoSQL架構。</p> <p>中國附醫新一代HIS的微服務架構轉型，才順利剛邁開了第一步，完成第一階段的轉移，2022年展開的基礎架構改造第二階段，開始要邁向混合雲架構和更高可靠性的設計，中國附醫的微服務改造之旅，還沒有結束。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1072-cover3-600-1.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1315,height=728'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1072-cover3-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／中國附醫<br /><strong>中國附醫正持續打造更完善的新微服務架構，微服務之間的溝通方式，將採用更高效溝通的gRPC框架，來逐漸來取代現在所用的Restful API呼叫方式。也要將關連式資料庫，轉換成NoSQL架構。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/150336" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span><span style="color: rgb(255, 255, 255);"> </span></strong></span><a href="https://www.ithome.com.tw/article/150336" target="_blank"><strong style="font-size: 20px; color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1072-feng_mian_gu_shi_p1_open-ruo_pu_-960x420_kao_bei_.jpg?itok=ntNtD8he" style="width: 550px;" /></strong></a></p> </div></div></div>
2022/4/11 07:00作者王若樸https://www.ithome.com.tw/news/150322
【中國附醫HIS再造：應用實例】10支微服務，如何串聯5部門實現一站式智抗菌平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>問起中國附醫HIS微服務再造之旅中最經典的實例，中國附醫資訊室副主任孫培然自豪地說：「智抗菌平臺。」這個平臺整合了中國附醫自行研發的敗血症風險預測AI、細菌抗藥性預測AI、抗生素投藥建議系統，以及個人抗菌譜系統，這些跨部門的知識和資訊，透過微服務架構，與HIS相連，成了一套一站式的大平臺。</p> <p><span style="font-size:28px;"><strong>預測細菌抗藥性，挑戰醫界難題</strong></span></p> <p>智抗菌平臺主要的3大功能環環相扣，一方面，透過敗血症風險預測，醫護可先確認患者是否需加強治療，如有需要，得及時給予抗生素和輸液治療。這時，細菌抗藥性預測和投藥建議機制，能根據每位患者狀況，來給予適合的抗生素建議，協助醫院實現精準治療。後兩項機制也能單獨使用，不一定要搭配敗血症風險預測機制。</p> <p>這個細菌抗藥性預測和抗生素投藥建議，可說是醫界難題。因為，能提前了解細菌抗藥性和進行精準投藥，不只能避免抗生素濫用造成的超級細菌反撲，還能大幅縮短病患等待時間，提高生存率。可是，急性傷口感染病患送進醫院時，得先進行細菌培養，再以質譜儀分析細菌菌種，之後透過抗藥性鑑定儀器分析，這個過程需要24小時至48小時，才能確認細菌抗藥性來進行開藥。</p> <p>在報告產出前，醫師只能綜合患者病歷和當下狀況，憑經驗先開藥，來緩解病況。但醫師經驗並非每次都靈驗，開錯抗生素，更可能讓感染惡化；而延緩開藥時間，甚至可能有生命危險。</p> <p><span style="font-size:28px;"><strong>跨部門打造一站式抗藥性預測系統，最快1小時就知道</strong></span></p> <p>中國附醫院長周德陽和智慧醫療科技創新中心主任游家鑫團隊發起抗藥性預測專案，聯手感染科醫師、檢驗醫學部、藥劑部、大數據中心等部門來打造細菌抗藥性預測模型和投藥建議系統。</p> <p>因細菌抗藥性會隨時間而改變，他們用自家2018年至2019年的質譜儀資料和抗藥性鑑定儀器資料，來訓練模型。該模型在前年成型，能針對8種常見且危險性最高的細菌來判斷抗藥性。</p> <p>經過幾次優化，模型最快能在1小時內預測6種細菌抗藥，比主流抗藥性鑑定儀器所需的24小時至48小時，快上許多倍。他們也以自家2020年的資料，以及北、中、南、東的代表醫院，包括雙和醫院、部立豐原醫院、臺大雲林分院和花蓮慈濟醫院2018年至2020年的資料，來驗證模型。結果顯示，判斷模型表現的AUC數值，分別是0.88、近0.8、0.85和0.86，表現優異。</p> <p>與此同時，中國附醫也根據細菌抗藥性預測結果，打造一套條件式的投藥建議系，推薦醫師相對應的抗生素，並依醫院規則來排序。此外，大數據中心也打造一個個人抗菌譜功能，來顯示病患先前做過的細菌分析資料，作為下次就醫、檢測結果尚未出爐前的開藥參考。</p> <p>這種抗藥性預測和投藥建議系統，在臺灣，只有林口長庚醫院、中國附醫開發相關應用，而中國附醫用來訓練、驗證模型的資料量，是最大量也最多元的。他們還將這個成果撰寫成論文，發表在美國微生物學會期刊上。</p> <p>資訊室也參與這次專案。孫培然設計一套一站式的抗生素治療臨床決策輔助系統（即智抗菌平臺），一口氣整合了人工智慧醫學診斷中心開發的敗血症風險預測AI、智慧醫療科技創新中心打造的細菌抗藥性預測AI和投藥建議，以及大數據中心開發的個人抗菌譜功能，讓各單位使用者不必來回切換系統，在同一個畫面就能查看重要資訊。其後的整合串接技術，就是微服務。</p> <p><span style="font-size:28px;"><strong>10支微服務撐起智抗菌平臺，用訊息佇列作為交換中心</strong></span></p> <p>進一步來說，孫培然將智抗菌平臺資訊流程梳理為3部分，首先是檢驗醫學部系統產出細菌檢查報告，將報告資訊發送至訊息佇列（Message queue）。這個訊息佇列就像訊息交換中心，接收新資料後，會觸發事件驅動機制，通知敗血症風險預測AI、細菌抗藥性預測AI和個人抗菌圖譜這3大系統，讓這3個系統透過RESTful API，來抓取檢查報告中所需的資料，進行運算。</p> <p>3套系統各自運算完成後，再透過RESTful API，將結果傳送至智抗菌平臺。整個智抗菌平臺，用了約10支微服務來串接，在去年3月正式上線。</p> <p>這10支微服務，意味著智抗菌平臺底層切分了10個功能。「這就是功能解耦，」孫培然指出，這種方法讓應用程式顆粒度切分得更細緻，不僅運算資源容易調度，解耦後，各功能利用訊息佇列作為共用的溝通管道，各自獨立運作，有別於傳統方法，兩個系統單靠API互相溝通，反而互相牽制。</p> <p><span style="font-size:28px;"><strong>克服責任歸屬、資料即時更新問題</strong></span></p> <p>採用微服務和事件驅動機制，也解決了責任歸屬問題和時效性問題。首先，這套智抗菌平臺整合了跨部門的3套系統，如採用傳統單體式架構，得一一與各部門溝通，先釐清「誰呼叫誰」的運作順序，最後再測試所有串接。</p> <p>此外，多個系統上線後，若其中一個故障，其他系統若缺乏非同步機制，只能等待故障系統傳送資料，就會跟著停擺，進而影響整體運作流程。而且，在傳統架構中，很難釐清哪個環節出問題，「不知道是我沒呼叫你，還是我呼叫了，你沒回應，」孫培然形容。</p> <p>另一方面，單體式架構難以即時提供AI系統所需的資料。因為，傳統架構中，AI系統每隔幾分鐘，就得主動發送請求到HIS資料庫，來撈取新資料，更容易增加HIS資料庫工作負載。</p> <p>孫培然指出，改用微服務和事件驅動的設計，這些問題就可迎刃而解。因為，用訊息佇列作為共通的訊息交換中心，當A系統產出新資料，就會發送至訊息佇列，觸發事件驅動機制，就像訂閱通知一樣，主動通知其他有資訊需求的系統，可以來訊息佇列即時存取所需資料了，不須定時撈取資料庫。</p> <p>而且，訊息佇列還會記錄各微服務行為，一旦微服務故障，沒執行資料存取，訊息佇列也會留下記錄，讓IT人員清楚找出故障的微服務，來快速修復。</p> <p><span style="font-size:28px;"><strong>推動資料結構化、改變開發觀念</strong></span></p> <p>在智抗菌平臺開發過程中，資訊室也遇到不少挑戰，其一是資料非結構化。過往，檢驗醫學部產出的細菌抗藥性報告為非結構化的自由書寫方式，但這種書寫方式，並不利於自動化分析。於是，團隊重新設計一套制式表單，將報告結構化。</p> <p>另一個挑戰則是開發者心態。孫培然表示，傳統IT開發方式屬於集中式，而微服務架構則需要分散式的開發方式，這兩種開發方式有許多互相違背的做法和設計，因此，在開發微服務前，IT得先放下實行已久的集中式開發習慣，重新學習微服務概念。</p> <p>以微服務架構撐起智抗菌平臺，這個成功經驗，不會是中國附醫HIS優化再造旅程中的唯一案例。由於微服務低耦合、可獨立部署的特性，讓開發模式可複製，至今，中國附醫已有不少HIS翻新成微服務架構，像是健檢系統、採購系統、醫囑系統、護理系統等。接下來，他們還有更多新系統要上線。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/150336" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span><span style="color: rgb(255, 255, 255);"> </span></strong></span><a href="https://www.ithome.com.tw/article/150336" target="_blank"><strong style="font-size: 20px; color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1072-feng_mian_gu_shi_p1_open-ruo_pu_-960x420_kao_bei_.jpg?itok=ntNtD8he" style="width: 550px;" /></strong></a></p> </div></div></div>
2022/4/11 07:00作者王若樸https://www.ithome.com.tw/news/150335
醫療HIS微服務化大改造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1072-feng_mian_gu_shi_p1_open-ruo_pu_-960x420_kao_bei_.jpg?itok=ntNtD8he" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2017年，中國附醫展開HIS微服務優化改造計畫，不只從新技術旁觀者一躍成為實作者，更是臺灣少數擁抱微服務和容器技術的大型企業。他們制定AP和IT架構兩大藍圖，將500多套HIS子系統，重新梳理為8大類整合平臺，以微服務和事件驅動，來突破單體架構限制</p> </div></div></div>
2022/4/11 07:00作者王若樸https://www.ithome.com.tw/article/150336
【資安週報】2022年4月6日至8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3月底被揭露的Java框架Spring漏洞SpringShell（CVE-2022-22965），在漏洞被揭露後不到一個星期，已傳出駭客鎖定大型雲端服務下手的情況。再者，也有資安業者揭露此漏洞遭到利用的現象──在漏洞公布後的4天內，就有六分之一（約16%）組織遭到嘗試性攻擊。</p> <p>雲端服務遭到駭客利用的現象，本週還有出現針對無伺服器（Serverless）運算服務的惡意軟體Denonia，但探究駭客入侵的管道，研究人員推測是利用遭到滲透的AWS帳號憑證來存取相關服務，這突顯了雲端服務帳密與憑證，企業需要妥善加以保護。</p> <p>駭客利用安全性較為不足的網站來散布惡意軟體，最近也有相關事故，攻擊者入侵了超過1.6萬個網站，然後部署TDS流量重新導向工具，最終向瀏覽網頁的使用者電腦散布木馬程式。至少有60萬用戶存取上述被入侵的網站，而面臨相關風險。</p> <p>類似的供應鏈攻擊，還有電子郵件行銷公司MailChimp遭到社交工程攻擊，導致加密錢包裝置業者Trezor用戶收到以Trezor的名義寄送的釣魚郵件，且有Trezor客戶已經上當。</p> <p>在烏克蘭戰爭中表態支持俄羅斯的勒索軟體駭客組織Conti，最近疑似大肆對於多家企業下手，但由於日前該勒索軟體的原始碼數次遭到洩露，這一波的攻擊事故究竟是駭客組織Conit所為，抑或是他人犯案，仍有待進一步調查。</p> <p>隨著烏克蘭戰爭持續進行，美國、德國也開始透過執法行動對俄羅斯駭客下手，分別是摧毀俄羅斯駭客Sandworm散布的殭屍網路病毒Cyclops Blink、俄羅斯駭客Fancy Bear用於攻擊烏克蘭的網域名稱，以及接管大型暗網市集Hydra。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/04/05/16-of-organizations-worldwide-impacted-by-spring4shell-zero-day-vulnerability-exploitation-attempts-since-outbreak/"><span style="color: rgb(0, 0, 0);">有16%的企業組織面臨針對SpringShell漏洞的嘗試性攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源Check Point.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.jpg" style="width: 300px; float: right;" /></a>上週Spring框架核心存在RCE漏洞被揭露，並出現概念性驗證攻擊程式，雖然Spring官方在3月31日緊急釋出更新修補，並公開CVE-2022-22965漏洞，但此次漏洞危害情形受外界關注。在4月5日，資安業者Check Point公布最新的分析報告，指出在漏洞曝光後的4天之內，他們透過遙測技術，截獲關於這些漏洞利用嘗試的情況，共有多達3萬7千次鎖定Spring4Shell漏洞的嘗試利用，並指出全球有16%的企業組織，遭受嘗試性漏洞利用的影響。</p> <p>較特別的是，當中並指軟體供應商受衝擊的比例達28%，在所有產業中稍稍偏高，其次為教育與研究機構、保險與法律業，ISP與MSP、以及金融與銀行業，受衝擊比例均在25%以上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/"><span style="color: rgb(0, 0, 0);">駭客利用SpringShell鎖定微軟雲端服務下手</span></a></strong></h3> <p>在上週SpringShell漏洞揭露之後，相關攻擊態勢持續受關注，最近微軟公布了CVE-2022-22965漏洞的檢測方式與指南，當中也談到了他們觀察到駭客利用該漏洞鎖定微軟雲端服務的經過。根據微軟在4月4日的說明，該公司為了更好地做出防禦，會定期監控針對自家雲基礎架構與服務的攻擊。而在Spring核心漏洞揭露以來，他們已經追蹤到少數嘗試利用的情形，也就是針對Spring Cloud與Spring Core漏洞的攻擊嘗試。</p> <p>不過，就現階段來看，微軟認為，目前攻擊數量或新活動沒有顯著增加，同時微軟也藉由PoC攻擊過程的介紹，說明他們觀察到的漏洞嘗試利用活動，與此PoC非常相近，當中並指出，攻擊者若透過精心設計的HTTP請求，將可修改網路伺服器或應用程式中的敏感內部變量。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/"><span style="color: rgb(0, 0, 0);">惡意軟體Denonia鎖定無伺服器運算服務AWS Lambda下手，植入XMRig變種挖礦軟體</span></a></strong></h3> <p>隨著有許多組織開始運用無伺服器（Serverless）的運算服務，駭客也盯上這類服務發動攻擊。資安業者Cado Security揭露名為Denonia的惡意軟體，而這個軟體引起研究人員注意的原因，在於駭客專門針對無伺服器運算服務AWS Lambda而來，然後利用此惡意軟體部署XMRig變種挖礦軟體。這個惡意軟體也運用了DNS over HTTPS（DOH）來查詢DNS，而使得資安防護設備更難察覺異狀。研究人員推測，駭客很可能是利用遭到滲透的AWS帳號憑證來存取相關服務，進而投放Denonia。</p> <p>值得留意的是，雖然該惡意軟體會先檢查Lambda的相關環境參數，才會執行，但研究人員發現，這款惡意軟體也可能在執行Amazon Linux的設備上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janrubin/parrot-tds-takes-over-web-servers-and-threatens-millions/"><span style="color: rgb(0, 0, 0);">駭客利用惡意網頁導向服務Parrot TDS感染逾1.6萬個網站，目的是散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parrot-tds-image-3-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parrot-tds-image-3-flow.png" style="width: 300px; float: right;" /></a>駭客為了散布惡意軟體，先入侵網站當作媒介的情況，不時有事故傳出。防毒業者Avast揭露名為Parrot TDS的攻擊行動，駭客約自2021年10月開始，運用了名為流量偵測系統（Traffic Direction System，TDS）的流量重新導向工具，感染大量網站伺服器，總共超過16,500個網站受害，這些網站多半是安全性較為不足的內容管理系統（CMS），或是配置脆弱的管理者帳密，而讓駭客能夠操控這些網站並部署TDS工具。駭客這麼做的目的，是打算向瀏覽網頁的用戶電腦散布NetSupport Client RAT木馬程式。</p> <p>研究人員自3月1日至29日，發現至少有60萬用戶存取上述遭駭網站，大部分用戶位於巴西、印度、美國、新加坡，以及印尼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/operation-bearded-barbie-apt-c-23-campaign-targeting-israeli-officials"><span style="color: rgb(0, 0, 0);">網路間諜行動Bearded Barbie鎖定以色列官員而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BarbWire-Attack-chian-image20-Apr-04-2022-07-12-15-96-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BarbWire-Attack-chian-image20-Apr-04-2022-07-12-15-96-PM.png" style="width: 300px; float: right;" /></a>駭客為了接近攻擊目標並進行網路間諜行動，很可能精心策畫一連串的手法。例如，資安業者Cybereason揭露名為Bearded Barbie的攻擊行動，巴基斯坦駭客組織APT-C-23鎖定以色列國防、法律、政府機構的官員下手，同時監控他們的Windows和Android裝置。駭客先是透過捏造的女性身分建立臉書帳號，進而接近攻擊目標進行對話，在彼此互動一段時間、取得對方信任後，駭客以隱私為由，要求用改以即時通訊軟體WhatsApp，不以更為私密的對話為藉口，二度要求使用安卓即時通訊App聊天，但實際上這是名為VolatileVenom的惡意軟體。</p> <p>另一方面，駭客也以提供色情影片為由，從WhatsApp發送下載連結，而這是會在電腦下載BarbWire的惡意軟體。研究人員指出，駭客為了取信攻擊目標，不只使用希伯來文建立臉書帳號，也對以色列的熱門群組按讚，讓人更難察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/cicada-apt10-china-ngo-government-attacks"><span style="color: rgb(0, 0, 0);">中國駭客APT10透過影音播放軟體VLC Player側載惡意程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源賽門鐵克.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%BD%E9%96%80%E9%90%B5%E5%85%8B.jpg" style="width: 300px; float: right;" /></a>一個月前，博通（Broadcom）旗下的資安團隊賽門鐵克（Symantec）揭露了來自中國駭客的高階後門程式Daxin，在4月5日，該團隊再揭露由中國政府支持的Cicada（又名APT10）駭客組織的間諜活動，並指出恐已持續數月之久。根據賽門鐵克說明，這次觀測到該組織的間諜活動，最早發生在2021年年中，最近一次活動則是2022年2月，顯然是一個長期持續的攻擊活動。</p> <p>就最新的攻擊活動來看，研究人員一開始是在Exchange Server上發現駭侵活動，應是利用未修補的已知漏洞入侵，當攻擊者存取了受害者機器，該組織部署了多種工具，包括客制化的下載器，以及Sodamaster後門程式，這些工具也被用在先前的Cicada攻擊活動中，特別的是，這次他們還發現攻擊者利用VLC媒體播放器，透過VLC的匯出功能，來執行駭客的下載器，並使用WinVNC工具以遠端控制受害機器。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-breach-mailchimps-internal-tools-to-target-crypto-customers/"><span style="color: rgb(0, 0, 0);">電子郵件行銷公司MailChimp遭駭，牽連加密貨幣錢包業者Trezor客戶</span></a></strong></h3> <p>電子郵件行銷業者近期也成為駭客盯上的目標，駭客得手後進而以他們的用戶名義，發動釣魚郵件攻擊。根據新聞網站Bleeping Computer與TechCrunch的報導，電子郵件行銷業者MailChimp遭到社交工程攻擊，駭客藉此取得員工的帳密，並於3月26日取得客服與帳號管理團隊所使用的內部工具，進而存取319個MailChimp用戶帳號，且匯出其中102個用戶的顧客資料，駭客亦偷得部分用戶的API金鑰，而能用於廣發郵件。</p> <p>其中，加密錢包裝置業者Trezor的API金鑰已遭到濫用，駭客以Trezor發生資安事故為由，要求Trezor客戶下載新的Trezor Suite軟體並重設PIN碼，如果對方照做，駭客提供的軟體便會竊取助記詞（Seed Words），而能讓駭客轉走錢包內的加密貨幣。由於駭客使用Trezor的名義寄信，並成立幾可亂真的下載網站，已有Trezor的客戶上當。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/04/05/block-cash-app-data-breach/"><span style="color: rgb(0, 0, 0);">美國行動支付Cash資料外洩，820萬用戶受到影響</span></a></strong></h3> <p>又是前員工離職後仍保有相關的存取權限，而造成公司機密外洩的事故。根據新聞網站TechCrunch報導指出，金融科技業者Block（<a href="https://www.ithome.com.tw/news/148133">前身為Square</a>）於4月4日，向美國證交所（SEC）提交的8-K文件透露，一名離職員工於去年12月10日，下載了Cash應用程式的用戶資料，外洩的資料包含客戶全名、經紀人帳號、部分投資規畫資訊與交易活動，並表明有820萬名客戶受到影響。但此名前員工為何能在離職後存取Cash的用戶資料？Block並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://otp.tools.investis.com/clients/uk/the_works_stores_ltd/rns/regulatory-story.aspx?cid=2405&newsid=1570877"><span style="color: rgb(0, 0, 0);">英國連鎖零售商The Works遭到網路攻擊，支付系統受到波及</span></a></strong></h3> <p>又有零售業者遭到網路攻擊而影響付款系統，導致部分門市被迫暫停營業的情況。英國零售業者The Works於4月5日發布資安通報，表示他們因為遭到網路攻擊，導致部分門市收銀系統受到波及而暫停營業，還有部分廠商暫停向門市補貨，以及延長網路下單的送貨時間。</p> <p>該公司強調，所有的金融卡付款資料均委由外部廠商處理，不受此起事故影響，客戶仍能在實體門市或是電子商店購物，該公司預計門市業務將能很快恢復，並研判此起事故不會對公司營收造成重大影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/ffdroider-stealer-targeting-social-media-platform-users"><span style="color: rgb(0, 0, 0);">竊密軟體FFDroider鎖定臉書、推特、Instagram等社群網站帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg" style="width: 300px; float: right;" /></a>駭客透過竊密軟體盜取受害電腦各式帳號資料的情況，不時有事故發生，如今有攻擊者特別針對社群網站的帳號而來。資安業者Zscaler揭露名為FFDroider的惡意程式，駭客透過免費軟體或破解軟體的名義散布，一旦受害者下載，電腦就會同時安裝Telegram和FFDroider。</p> <p>此竊密程式鎖定Chrome、Firefox、Edge、IE的Cookie，進而截取當中的臉書、Instagram、推特、Amazon、eBay等社群網站與電子商務網站的帳號資料，並在該惡意軟體驗證帳密可用後，再回傳給C2中繼站。研究人員呼籲，使用者不要從來路不明的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/totolink-vulnerabilities-beastmode-mirai-campaign"><span style="color: rgb(0, 0, 0);">殭屍網路Beastmode濫用Totolink路由器弱點</span></a></strong></h3> <p>又是殭屍網路病毒鎖定路由器零時差漏洞的事故。資安業者Fortinet在今年2月至3月，觀察到殭屍網路Beastmode（亦稱B3astmode）在一個月內，鎖定了數個CVSS風險層級達到9.8分的重大漏洞，且其中的CVE-2022-26210、CVE-2022-26186，以及CVE-2022-25075至CVE-2022-25084，與多款Totolink路由器有關。Totolink獲報後已提供新版韌體予以修補。</p> <p>研究人員指出，駭客也同時嘗試針對D-Link、華為路由器，TP-Link視訊鏡頭、Netgear ReadyNAS監控設備的舊漏洞下手，這些漏洞的CVSS風險層級也都達到9.8分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150302"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊Panasonic、Konica Minolta等多家大型企業</span></a></strong></h3> <p>自表達聲援俄羅斯後，勒索軟體Conti遭人公開了程式碼，但如今似乎遭到其他人利用，而使得多家知名企業相繼傳出被駭。根據日本新聞網站Jiji報導，Panasonic加拿大分公司遭到Conti攻擊，並外流2.6 GB資料；Konica Minolta則是公告位於東歐、中東、非洲地區（EMEA）的其中1臺伺服器，於3月底遭到未經授權存取。而在歐洲方面的災情，則有英國福特經銷商TrustFord、衛浴設備業者Barwick、荷蘭房屋租賃業者ZAYAZ Housing等傳出遭到Conti毒手。但這些攻擊事故是否全部由勒索軟體駭客Conti所為？還是他人利用已經洩露的原始碼犯案？仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armorblox.com/blog/whatsapp-voicemail-phishing-attack"><span style="color: rgb(0, 0, 0);">駭客利用WhatsApp語音訊息的名義發動釣魚郵件攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg" style="width: 300px; float: right;" /></a>即時通訊軟體WhatsApp近期強化了語音訊息的功能，但駭客也利用相關的留言名義發動網路釣魚攻擊。資安業者Armorblox發現，有人以WhatsApp私人語音訊息的名義，發送釣魚郵件，一旦收信人按下了播放按鈕，就會被引導到惡意登入網站，並要求依照指示允許網站通知，來驗證收信人不是機器人。然而要是收信人照做，駭客就有可能透過廣告服務繞過電腦的使用者帳號控制（UAC），在電腦植入竊密軟體。</p> <p>研究人員指出，駭客透過合法網域寄送郵件，而能夠迴避郵件安全系統的檢查，且電子郵件內容包含了收信人的名字，使得對方可能難以察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150257"><span style="color: rgb(0, 0, 0);">數個NFT專案的Discord伺服器遭駭，並用於散播詐騙訊息</span></a></strong></h3> <p>即時通訊軟體Discord不只電玩玩家經常使用，近期大紅大紫的非同質化代幣（NFT），也有不少專案採用這個軟體發布投資訊息，但如今也有駭客盯上這類社群，發動網路詐騙。無聊猿猴遊艇俱樂部（BAYC）、Nyoki Club、Shamanz等NFT專案近日相繼發布公告，他們的Discord伺服器遭到駭客入侵，而被用來向社群使用者散布詐騙訊息，要用戶支付以太幣來鑄造新的NFT。不過，目前Discord尚未發布相關公告，有多少用戶受害也不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/03/31/deep-dive-analysis-borat-rat/"><span style="color: rgb(0, 0, 0);">木馬程式Borat具備竊密、DDoS攻擊能力，並讓駭客能用於部署勒索軟體</span></a></strong></h3> <p>攻擊者想要透過木馬程式發動攻擊，不只透過暗網就能取得，而且功能也變得更強大。資安業者Cyble揭露近期出現於暗網上的RAT木馬程式Borat，此木馬程式不只能讓攻擊者完全控制受害電腦的鍵盤與滑鼠、存取檔案、側錄使用者鍵盤輸入的內容，還能繞過Windows的使用者帳號控制（UAC）機制，並進一步利用受害電腦發動DDoS攻擊，或是在受害電腦植入勒索軟體，並建立勒索訊息。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/"><span style="color: rgb(0, 0, 0);">程式碼代管平臺GitLab出現重大漏洞，攻擊者可用於接管帳號</span></a></strong></h3> <p>GitLab近日發布安全公告，說明內部團隊發現CVE-2022-1162重大漏洞並已修補，此漏洞將影響GitLab Community Edition（CE）與GitLab Enterprise Edition（EE）版本，導致基於OmniAuth的GitLab CE/EE在註冊過程中，無意間設定為靜態固定密碼。現階段，雖然GitLab尚未接獲任何用戶反映遭駭，但為了保險起見，GitLab在修補當天就已主動重設特定用戶的密碼，另也釋出一個腳本程式，供管理人員得以辨識哪些使用者帳號受到CVE-2022-1162漏洞影響。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000290678"><span style="color: rgb(0, 0, 0);">趨勢科技修補資安防護主控臺Apex Central的RCE漏洞</span></a></strong></h3> <p>近期趨勢科技發布產品安全公告，說明發現Apex Central平臺存在一項RCE漏洞，現已釋出修補，並指出已有攻擊者意圖鎖定該漏洞的活動，呼籲用戶應盡速修補。根據趨勢科技的說明，這次修補的是CVE-2022-26871漏洞，該漏洞存在於Apex Central平臺，也就是可供用戶可集中檢視所有端點、伺服器、網路及電子郵件安全防護狀態的中控臺。關於這項漏洞的危害與風險，趨勢科技表示，可讓未經授權的攻擊者上傳任意檔案，並遠端執行程式碼，安全風險值達到8.6分。</p> <h3><strong style="font-size: 22px;"><a href="https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003"><span style="color: rgb(0, 0, 0);">SonicWall防火牆的網頁管理介面存在記憶體溢位漏洞</span></a></strong></h3> <p>資安設備的網頁管理介面一旦出現漏洞，很可能讓攻擊者能夠癱瘓其運作。資安業者SonicWall於3月25日發布資安通告，指出該廠牌防火牆執行的作業系統SonicOS存在漏洞CVE-2022-22274，這項漏洞與記憶體堆疊緩衝溢位有關，一旦攻擊者利用這項漏洞，可對防火牆發動阻斷服務（DoS）攻擊，甚至有可能執行程式碼，CVSS風險層級為9.4分，影響執行SonicOS 7.0.1-505、7.0.1-R579、6.5.4.4-44v-21-1452與舊版作業系統的防火牆，約有30款設備曝露於相關風險，所幸目前尚未出現漏洞攻擊行動或是概念性驗證（PoC）攻擊工具，SonicWall呼籲用戶儘速安裝更新軟體修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://security.paloaltonetworks.com/CVE-2022-0778"><span style="color: rgb(0, 0, 0);">Palo Alto Networks公布旗下產品受到OpenSSL漏洞影響情形</span></a></strong></h3> <p>繼威聯通後，又有IT廠商公布旗下產品受OpenSSL漏洞CVE-2022-0778的影響。資安業者Palo Alto Networks近日發布資安通告，指出特定版本的防火牆作業系統PAN-OS、GlobalProtect應用程式、Cortex XDR代理程式等，都採用含有CVE-2022-0778的OpenSSL程式庫，並預計於4月18日推出PAN-OS的修補程式。</p> <p>該公司也指出，此漏洞對於受影響產品的CVSS風險層級為7.5分，但對於GlobalProtect應用程式、Cortex XDR代理程式的部分，因駭客需透過中間人攻擊（MitM）才能觸發，CVSS風險降低至中等程度的5.9分。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-botnet-controlled-russian-federation"><span style="color: rgb(0, 0, 0);">針對遭到殭屍網路Cyclops Blink占據的WatchGuard、華碩設備，美國動手清理</span></a></strong></h3> <p>殭屍網路Cyclops Blink接連感染<a href="https://www.ithome.com.tw/news/149551">WatchGuard防火牆</a>、<a href="https://www.ithome.com.tw/news/149978">華碩部分型號路由器</a>，引起美、英當局高度重視，如今他們有了進一步的動作。美國司法部（DOJ）宣布，他們在3月18日取得法院初步授權後，與美國聯邦調查局（FBI）聯手，清除受害裝置上的Cyclops Blink殭屍網路病毒，並封鎖存取C2中繼伺服器的連接埠。</p> <p>美國司法部表示，雖然WatchGuard和華碩相繼發布資安通告與修補程式，但到了3月中旬，有許多裝置仍未得到修補而受到此殭屍網路病毒的控制，他們決定透過自動化程式主動出手，並強調沒有收集受害者的網路環境資料。雖然相關的殭屍網路病毒已經清除，但美國司法部提出警告，用戶還是要依循WatchGuard或華碩提出的緩解措施，才能避免俄羅斯駭客Sandworm再度入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html"><span style="color: rgb(0, 0, 0);">德國接管最大俄羅斯暗網市集Hydra的基礎設施</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png" style="width: 300px; float: right;" /></a>德國打擊犯罪中央辦公室（ZIT）與德國聯邦刑警（BKA）於4月5日宣布，他們自去年8月與美國執法機構聯手，調查俄羅斯大型暗網市集Hydra後，現在已經接管了該市集的伺服器基礎設施，並扣押價值2,300萬歐元的比特幣。美國財政部亦宣布，對於Hydra與加密貨幣交易平臺Garantex展開制裁。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/07/cyberattacks-ukraine-strontium-russia/"><span style="color: rgb(0, 0, 0);">微軟接管俄羅斯駭客Fancy Bear用於攻擊烏克蘭的網域名稱</span></a></strong></h3> <p>繼美國政府拆除俄羅斯駭客建置的殭屍網路Cyclops Blink基礎架構，微軟也於4月7日宣布，他們於4月6日取得法院的許可，接管了7個俄羅斯駭客組織Fancy Bear（亦稱APT28、Strontium）用於攻擊烏克蘭的網域名稱，並將流量導向微軟控制的陷坑（Sinkhole）。<a href="https://blog.google/threat-analysis-group/update-threat-landscape-ukraine/">此駭客組織在烏克蘭戰爭中</a>，曾<a href="https://www.ithome.com.tw/news/149754#ukrnet">鎖定烏克蘭入口網站Ukr.net用戶下手</a>，發動網釣攻擊，這次封鎖的網域僅是冰山一角。微軟指出，根據他們的觀察，在本次戰爭中，幾乎所有俄羅斯駭客都參與了大規模攻擊烏克蘭政府與關鍵基礎設施（CI）的行動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?adversaries=wizard-spider-sandworm"><span style="color: rgb(0, 0, 0);">MITRE ATT&CK第四輪評估計畫結果出爐</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)資安日報22020406_圖片來源MITRE Engenuity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE%20Engenuity.jpg" style="width: 300px; float: right;" /></a>為了幫助市場上端點防護產品提升偵測能力，MITRE ATT&CK評估計畫的舉行，已成為企業與資安產業都關注的評測項目，近期MITRE Engenuity公布第四輪結果。</p> <p>這一輪的評估計畫，共有30家資安業者產品參與，比前一輪的29家更多，而這次評估中所設想的攻擊對象，是以Wizard Spider與Sandworm駭客組織為預想攻擊情境，前者是具經濟動機的駭客集團，以大型企業與醫院為目標，並發動勒索軟體攻擊，後者是具破壞性的俄羅斯駭客組織，曾發動NotPetya勒索軟體攻擊，並攻擊過烏克蘭電氣公司。現在MITRE Engenuity公布各家參與資安業者的評估成果，供企業與業者了解各產品在每一入侵步驟上的偵測與防護能力。</p> <h3><strong style="font-size: 22px;"><a href="https://go.dev/blog/supply-chain"><span style="color: rgb(0, 0, 0);">防禦軟體供應鏈攻擊，Go語言公開五大安全設計原則</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖3)資安日報22020406_圖片來源Go.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Go.jpg" style="width: 300px; float: right;" /></a>面對軟體供應鏈安全議題，特別是來自相依項目所進行的供應鏈攻擊，近日Go官方部落格上，Go核心開發團隊安全負責人Filippo Valsorda發布專文，公開Go開發工具與流程的設計，說明Go是如何在各階段減緩軟體供應鏈攻擊，引發外界注目。</p> <p>當中，Go揭露5大防禦供應鏈攻擊設計原則，包括：所有Builds應被鎖定，無法自外部更改；模組版本內容永不改變，並能驗證模組真偽；將VCS版本控制系統當作唯一的事實來源；應將建構的程式碼視為不受信任，並且不會自動執行；最後是Go生態系中最重要的緩解策略，傾向用一點複製而不是依賴增加新的相依項目，降低供應鏈風險。</p> </div></div></div>
2022/4/10 08:43作者周峻佑https://www.ithome.com.tw/news/150342
Martech雙周報第19期：Salesforce利用AI技術整合分散的第一手數據，甚至能辨認連結匿名數據到實名檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞</strong></span><strong style="color: rgb(0, 0, 255);">(</strong><span style="color: rgb(0, 0, 255);"><strong>0327~0409)</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">CDP</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>語音辨識</b></span></font></p> <p><strong>Salesforce CDP新功能，用AI將匿名用戶資訊整合到已知實名檔案</strong><br /> Salesforce行銷雲<a href="https://www.salesforce.com/news/stories/new-salesforce-service-and-marketing-innovations-use-trusted-data-and-ai-to-humanize-customer-interactions/">近日推出</a>新的CDP功能，能用AI辨認單一使用者的多處足跡，並合併分散的使用者資訊。甚至，也能在使用者首次留下實名資料時，將其先前的匿名使用資訊，合併至同一份檔案。<br /> 另外，Salesforce旗下Service Cloud也推出新功能，也強化了客服電話分析能力，利用聲音辨識技術，即時分析客服電話內容，來蒐集消費者情緒和產品回饋。利用這些資訊，對客服人員提供即時建議和事後訓練。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">歐盟</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>科技隱私</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位市場法</b></span></font></p> <p><strong>歐盟《數位市場法》引發科技巨頭反彈，並引起隱私與安全疑慮</strong></p> <p>歐洲議會及歐盟高峰會近日公布「數位市場法」規範<a href="https://www.europarl.europa.eu/news/pt/press-room/20220315IPR25504/deal-on-digital-markets-act-ensuring-fair-competition-and-more-choice-for-users#:~:text=The%20Digital%20Markets%20Act%20puts,and%20more%20choice%20for%20users.">部分細節</a>之後，要求將要求大型傳訊服務與小型傳訊平臺互動，引起不少科技巨頭的反對。根據《金融時報》的報導，蘋果認為該法令將帶來不必要的隱私與安全漏洞，亦將阻止蘋果收取智慧財產權費用。Google則擔心該法令中的某些規定不只會抑制創新，還會讓使用者的選擇變少。（<a href="https://www.ithome.com.tw/news/150124">詳全文</a>）</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>行動App</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>競品分析</b></span></font> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IAP</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Data.ai</b></span></font></p> <p><strong>Data.ai推出新的App市場推估和競品分析工具，能分析152類App市場</strong></p> <p>知名App分析平臺Data.ai（前App Annie）<a href="https://www.data.ai/en/insights/data-ai-news/data-ai-releases-in-app-purchase-sku-data/">發表了多項新的App分析工具</a>，其中一項新的App IQ應用程式分析工具，可用來推算App市場規模和競品分析。將App分成19大類、152小類，並進行市場規模和市場子分類占比分析，也會分析個別App的商業模式、使用裝置／作業系統、功能及使用地區等面向。官方表示，行動應用程式開發商常需手動下載並測試App，以研究競爭者或潛在合作者。現有App商店分類粗略，難以找出同類競爭產品來測試，手動測試也相當耗時。</p> <p>另外一項新工具是應用程式內購（IAP）SKU分析工具，分析消費者的IAP數據，包括不同商品、服務及商業模式的業績等，也能用於追蹤銷量、消費者族群分析，甚至能跟競爭App的數據交叉比對。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>MiQ</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>競品分析</b></span></font> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IAP</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Data.ai</b></span></font></p> <p><strong>MiQ推出第一手數據整合工具、串接SimilarWeb網站分析數據</strong></p> <p>後Cookie時代，越來越多第一手數據分析工具出現，最近數位行銷公司<a href="https://www.wearemiq.com/press-releases/miq-doubles-down-on-data-investments-and-innovation-to-launch-expanded-post-cookie-programmatic-toolkit/?utm_content=203311949&utm_medium=social&utm_source=twitter&hss_channel=tw-370780592">MiQ發布新工具</a>Identity Spine，將個別技術供應商的數位ID及背後的第一手數據，整理成去識別化的分眾數據，供廣告需求方使用。Identity Spine也能連結不同平臺上，同一個使用者的數位ID，整合分散的第一手數據，拼湊出更完整的使用者旅程。</p> <p>除了追蹤廣告投放對象，MiQ也整合網站分析公司SimilarWeb的數據，提供投放場域的資訊。這些數據，包含個別網站提供的行銷管道、熱門關鍵字、流量與訪問活動數據、客群、網站分類，以及同類別網域等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Instagram</b></span></font></p> <p><strong>提升產品曝光新機制，Instagram將逐步開放一般使用者在貼文中標記商品</strong></p> <p>Instagram將開放所有用戶在貼文上標記商品的功能。過去，這項功能只開放給創作者帳號，能在貼文中標記出已在Instagram Shopping上登記的商品。這個功能，將<a href="https://twitter.com/alexvoica/status/1506315015720214533">逐步開放給美國的一般使用者</a>。每當使用者標記商品，商家就會收到通知，也能集中瀏覽並分析這些貼文。Instagram表示，每周有約160萬人在貼文或限時動態中，標記至少一個品牌，追加標記商品功能後，可望明顯提升商家的產品曝光度。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">YouTube</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">CTV</span></strong></span></strong></p> <p><strong>美國CTV使用人數破億，Youtube開始提供看廣告免費觀賞影集服務</strong></p> <p><a href="https://blog.youtube/news-and-events/stream-full-seasons-tv-free-youtube/">Youtube表示</a>，因應連網電視（CTV）市場擴增，將在美國提供免費廣告隨選影片（AVOD）服務，讓用戶能在看完廣告後，免費觀賞近4000集電影和影集。據尼爾森調查，截至2021年12月，有超過1.3億美國用戶在CTV上觀賞Youtube影音內容。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DOOH</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">自助投放</span></strong></span></strong></p> <p><strong>高爾夫球車上小廣告現在都能自助投放免代理！美國CMS業者新推數位戶外廣告的自助投放平臺</strong></p> <p>Facebook、Twitter等社群媒體平臺，先前就有推出自助投放服務，不須經過廣告代理商，就能在網頁上投放廣告。現在，戶外數位看板，如出租車螢幕、飯店電視螢幕，甚至高爾夫球車，也能透過自助式廣告服務投放。</p> <p>CMS廠商Edison Intelligence與自助式廣告技術供應商DanAds合作，<a href="https://danads.com/news/edison-interactive-launches-dooh-self-serve-platform-powered-by-danads/">推出數位戶外（DOOH）自助廣告平臺</a>。中小型企業或獨立商家，最低只需500美金的廣告預算，就能在DOOH看板上投放廣告。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong></p> <p>媒體市調公司尼爾森將私有化，股份加上債務的總收購價約160億美元，遠高於市值的100億美元。（<a href="https://ir.nielsen.com/news-events/press-releases/news-details/2022/Nielsen-Enters-into-Agreement-to-be-Acquired-by-Evergreen--and-Brookfield-Led-Consortium-for-16-Billion/default.aspx">詳全文</a>）</p> <p> </p> <p>資料來源：iThome整理，2022年4月</p> <p> </p> </div></div></div>
2022/4/8 16:55作者郭又華https://www.ithome.com.tw/news/150338
【資安日報】2022年4月8日，鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者看上雲端基礎設施發動挖礦攻擊的情況，過往不少是針對雲端服務業者提供的虛擬機器（VM）而來，但在今天的資安新聞中，研究人員發現駭客疑似是透過遭竊的雲端服務帳號，濫用無伺服器運算服務進行挖礦。</p> <p>為了更為廣泛地散布惡意軟體，駭客很可能先入侵網站並部署流量重新導向工具TDS，在瀏覽網站的使用者電腦植入惡意程式。研究人員最近揭露名為Parrot TDS的攻擊行動，至少有60萬臺電腦可能受害。</p> <p>網路間諜攻擊也相當值得留意。研究人員發現針對以色列官員的Bearded Barbie攻擊行動，駭客同時鎖定他們的Windows與Android裝置下手，且使用更難察覺異狀的臉書帳號找尋攻擊目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/"><span style="color: rgb(0, 0, 0);">惡意軟體Denonia鎖定無伺服器運算服務AWS Lambda下手，植入XMRig變種挖礦軟體</span></a></strong></h3> <p>隨著有許多組織開始運用無伺服器（Serverless）的運算服務，駭客也盯上這類服務發動攻擊。資安業者Cado Security揭露名為Denonia的惡意軟體，而這個軟體引起研究人員注意的原因，在於駭客專門針對無伺服器運算服務AWS Lambda而來，然後利用此惡意軟體部署XMRig變種挖礦軟體。這個惡意軟體也運用了DNS over HTTPS（DOH）來查詢DNS，而使得資安防護設備更難察覺異狀。研究人員推測，駭客很可能是利用遭到滲透的AWS帳號憑證來存取相關服務，進而投放Denonia。</p> <p>值得留意的是，雖然該惡意軟體會先檢查Lambda的相關環境參數，才會執行，但研究人員發現，這款惡意軟體也可能在執行Amazon Linux的設備上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janrubin/parrot-tds-takes-over-web-servers-and-threatens-millions/"><span style="color: rgb(0, 0, 0);">駭客利用惡意網頁導向服務Parrot TDS感染逾1.6萬個網站，目的是散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parrot-tds-image-3-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parrot-tds-image-3-flow.png" style="width: 300px; float: right;" /></a>駭客為了散布惡意軟體，先入侵網站當作媒介的情況，不時有事故傳出。防毒業者Avast揭露名為Parrot TDS的攻擊行動，駭客約自2021年10月開始，運用了名為流量偵測系統（Traffic Direction System，TDS）的流量重新導向工具，感染大量網站伺服器，總共超過16,500個網站受害，這些網站多半是安全性較為不足的內容管理系統（CMS），或是配置脆弱的管理者帳密，而讓駭客能夠操控這些網站並部署TDS工具。駭客這麼做的目的，是打算向瀏覽網頁的用戶電腦散布NetSupport Client RAT木馬程式。</p> <p>研究人員自3月1日至29日，發現至少有60萬用戶存取上述遭駭網站，大部分用戶位於巴西、印度、美國、新加坡，以及印尼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/operation-bearded-barbie-apt-c-23-campaign-targeting-israeli-officials"><span style="color: rgb(0, 0, 0);">網路間諜行動Bearded Barbie鎖定以色列官員而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BarbWire-Attack-chian-image20-Apr-04-2022-07-12-15-96-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BarbWire-Attack-chian-image20-Apr-04-2022-07-12-15-96-PM.png" style="width: 300px; float: right;" /></a>駭客為了接近攻擊目標並進行網路間諜行動，很可能精心策畫一連串的手法。例如，資安業者Cybereason揭露名為Bearded Barbie的攻擊行動，巴基斯坦駭客組織APT-C-23鎖定以色列國防、法律、政府機構的官員下手，同時監控他們的Windows和Android裝置。駭客先是透過捏造的女性身分建立臉書帳號，進而接近攻擊目標進行對話，在彼此互動一段時間、取得對方信任後，駭客以隱私為由，要求用改以即時通訊軟體WhatsApp，不以更為私密的對話為藉口，二度要求使用安卓即時通訊App聊天，但實際上這是名為VolatileVenom的惡意軟體。</p> <p>另一方面，駭客也以提供色情影片為由，從WhatsApp發送下載連結，而這是會在電腦下載BarbWire的惡意軟體。研究人員指出，駭客為了取信攻擊目標，不只使用希伯來文建立臉書帳號，也對以色列的熱門群組按讚，讓人更難察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-breach-mailchimps-internal-tools-to-target-crypto-customers/"><span style="color: rgb(0, 0, 0);">電子郵件行銷公司MailChimp遭駭，牽連加密貨幣錢包業者Trezor客戶</span></a></strong></h3> <p>電子郵件行銷業者近期也成為駭客盯上的目標，駭客得手後進而以他們的用戶名義，發動釣魚郵件攻擊。根據新聞網站Bleeping Computer與TechCrunch的報導，電子郵件行銷業者MailChimp遭到社交工程攻擊，駭客藉此取得員工的帳密，並於3月26日取得客服與帳號管理團隊所使用的內部工具，進而存取319個MailChimp用戶帳號，且匯出其中102個用戶的顧客資料，駭客亦偷得部分用戶的API金鑰，而能用於廣發郵件。</p> <p>其中，加密錢包裝置業者Trezor的API金鑰已遭到濫用，駭客以Trezor發生資安事故為由，要求Trezor客戶下載新的Trezor Suite軟體並重設PIN碼，如果對方照做，駭客提供的軟體便會竊取助記詞（Seed Words），而能讓駭客轉走錢包內的加密貨幣。由於駭客使用Trezor的名義寄信，並成立幾可亂真的下載網站，已有Trezor的客戶上當。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/04/05/block-cash-app-data-breach/"><span style="color: rgb(0, 0, 0);">美國行動支付Cash資料外洩，820萬用戶受到影響</span></a></strong></h3> <p>又有零售業者遭到網路攻擊而影響付款系統，導致部分門市被迫暫停營業的情況。英國零售業者The Works於4月5日發布資安通報，表示他們因為遭到網路攻擊，導致部分門市收銀系統受到波及而暫停營業，還有部分廠商暫停向門市補貨，以及延長網路下單的送貨時間。</p> <p>該公司強調，所有的金融卡付款資料均委由外部廠商處理，不受此起事故影響，客戶仍能在實體門市或是電子商店購物，該公司預計門市業務將能很快恢復，並研判此起事故不會對公司營收造成重大影響。</p> <h3><strong style="font-size: 22px;"><a href="https://otp.tools.investis.com/clients/uk/the_works_stores_ltd/rns/regulatory-story.aspx?cid=2405&newsid=1570877"><span style="color: rgb(0, 0, 0);">英國連鎖零售商The Works遭到網路攻擊，支付系統受到波及</span></a></strong></h3> <p>又是前員工離職後仍保有相關的存取權限，而造成公司機密外洩的事故。根據新聞網站TechCrunch報導指出，金融科技業者Block（前身為Square）於4月4日，向美國證交所（SEC）提交的8-K文件透露，一名離職員工於去年12月10日，下載了Cash應用程式的用戶資料，外洩的資料包含客戶全名、經紀人帳號、部分投資規畫資訊與交易活動，並表明有820萬名客戶受到影響。但此名前員工為何能在離職後存取Cash的用戶資料？Block並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/03/31/deep-dive-analysis-borat-rat/"><span style="color: rgb(0, 0, 0);">木馬程式Borat具備竊密、DDoS攻擊能力，並讓駭客能用於部署勒索軟體</span></a></strong></h3> <p>攻擊者想要透過木馬程式發動攻擊，不只透過暗網就能取得，而且功能也變得更強大。資安業者Cyble揭露近期出現於暗網上的RAT木馬程式Borat，此木馬程式不只能讓攻擊者完全控制受害電腦的鍵盤與滑鼠、存取檔案、側錄使用者鍵盤輸入的內容，還能繞過Windows的使用者帳號控制（UAC）機制，並進一步利用受害電腦發動DDoS攻擊，或是在受害電腦植入勒索軟體，並建立勒索訊息。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/07/cyberattacks-ukraine-strontium-russia/"><span style="color: rgb(0, 0, 0);">微軟接管俄羅斯駭客Fancy Bear用於攻擊烏克蘭的網域名稱</span></a></strong></h3> <p>繼美國政府拆除俄羅斯駭客建置的殭屍網路Cyclops Blink基礎架構，微軟也於4月7日宣布，他們於4月6日取得法院的許可，接管了7個俄羅斯駭客組織Fancy Bear（亦稱APT28、Strontium）用於攻擊烏克蘭的網域名稱，並將流量導向微軟控制的陷坑（Sinkhole）。<a href="https://blog.google/threat-analysis-group/update-threat-landscape-ukraine/">此駭客組織在烏克蘭戰爭中</a>，曾<a href="https://www.ithome.com.tw/news/149754#ukrnet">鎖定烏克蘭入口網站Ukr.net用戶下手</a>，發動網釣攻擊，這次封鎖的網域僅是冰山一角。微軟指出，根據他們的觀察，在本次戰爭中，幾乎所有俄羅斯駭客都參與了大規模攻擊烏克蘭政府與關鍵基礎設施（CI）的行動。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/8 18:05作者周峻佑https://www.ithome.com.tw/news/150339
美國財政部長宣稱央行數位貨幣發展將耗時數年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國總統拜登（Joe Biden）於3月上旬<a href="https://www.ithome.com.tw/news/149824" target="_blank">簽署了一項行政命令</a>，準備制定有關數位資產的國家政策之後，美國財政部部長Janet Yellen本周於美國大學Kogod商學院演講時，<a href="https://home.treasury.gov/news/press-releases/jy0706" target="_blank">便以數位資產的政策、創新及監管作為主題</a>，指出發行美國央行數位貨幣（Central Bank Digital Currency，CBDC）可能需要耗時數年而非僅數月的發展。</p> <p>有鑑於全球已有超過100個國家都在探索與試行央行數位貨幣，以讓它成為法幣以外的國家主權貨幣形式，拜登也透過行政命令要求美國機構探索數位貨幣的發展。</p> <p>Yellen指出，不管是比特幣或其它加密貨幣的價格波動太大，使得它們很難成為普遍的支付貨幣，此外，要利用加密貨幣進行支付還必須面對高昂的手續費及更慢的處理時間，而穩定幣或央行數位貨幣則有可能成為更普及的支付工具，也讓它們成為美國探討的課題。</p> <p>Yellen從過去的貨幣經驗來看待央行數位貨幣所面臨的挑戰及可能帶來的優勢，其中之一為現今的跨國匯兌費用太高且無法即時，央行數位貨幣不僅是個能與法幣比擬的可靠貨幣，也將具備數位資產的優點，提高支付系統的效率。</p> <p>然而，Yellen也認為當監管跟不上創新的腳步時，受到最大傷害的往往是弱勢族群，例如原本與美元掛鉤的穩定幣也曾經在壓力下脫鉤，美國應該建立一個支持負責任創新且可同時管理風險的監管框架，並替金融市場結構可能因此發生的變化作好準備。</p> <p>此外，相關的監管並非針對特定技術，而應鎖定相關的風險與行動進行調整。Yellen指出，監管應該是技術中立的，不管是否採用分散式帳本技術，都應該保護消費者、投資者及企業免受詐欺與誤導性陳述的影響；也應該要求持有客戶資產的企業確保這些資產不會丟失、被盜或未經客戶許可而被使用；納稅人也應該收到數位資產交易稅務文件；也應納入有關逃稅、非法金融及國家安全的考量。</p> <p>最後，Yellen強調建立統一的國家貨幣需要時間，美國的貨幣發展是一個跨越幾個世紀的動態過程，貨幣主權及統一貨幣替經濟的成長及穩定帶來了明顯的好處，而美國處理數位資產的方法必須以這些優點為指導，特別是美元是全球貿易與金融中最普及的貨幣。此外，發行央行數位貨幣可能會帶來重大的設計與工程挑戰，需要數年而不是數月的發展。</p> <p>根據拜登的行政命令，美國財政部與其它機構必須在6個月內交出有關數位資產的評估報告，其六大重點包括保護消費者、投資人與企業，維護金融穩定免受系統性風險影響，降低國家安全風險，提升美國的領導地位與經濟競爭力，推動公平、安全及可負擔的金融服務，以及有關隱私、人權與氣候變遷的考量。</p> </div></div></div>
2022/4/8 15:45作者陳曉莉https://www.ithome.com.tw/news/150337
Google Lens將允許使用者同時搜尋文字與圖像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/multisearch/" target="_blank">Google本周更新了行動版Google程式中的Google Lens智慧鏡頭</a>，新增多重搜尋（Multisearch）功能，讓使用者可同時輸入圖像及文字進行搜尋，以得到更精確的搜尋結果。</p> <p>Google Lens為Google所開發的影像辨識技術，只要拍下各種照片，它就能分析照片中的資訊，並執行翻譯、搜尋或資料採集等功能，例如它能辨識動、植物的種類，也可直接將拍下的文字，複製到手機或電腦的文件中，已被整合到支援Android與iOS的Google程式上。</p> <p>在新的Google程式中，使用者只要點選Lens的鏡頭圖示，就能以螢幕截圖或手機所拍下的照片進行搜尋，還可再點選「Add to your search」按鍵來加入文字敘述。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0408-google%20lens%20multisearch-600.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=990,height=400'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-google%20lens%20multisearch-600.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>Google表示，藉由此一多重搜尋功能，使用者將可查詢眼前的各種事物，還能透過文字來調整搜尋結果，像是輸入顏色或品牌。例如當以圖像搜尋一件橘色洋裝時，可以文字輸入「綠色」來尋找其它顏色的類似商品；或是拍下眼前的餐桌，並以文字輸入「咖啡桌」來尋找調性一致的不同產品；或者是拍下迷迭香，然後輸入「照顧指南」。</p> <p>可惜的是，Google Lens的多重搜尋功能目前僅開放美國市場的使用者以英文進行測試，尚未部署至其它市場，此外，該功能目前主要針對購物搜尋進行最佳化。</p> </div></div></div>
2022/4/8 13:25作者陳曉莉https://www.ithome.com.tw/news/150333
支付業者Bolt買下區塊鏈支付平臺Wyre
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供結帳平臺與一鍵結帳服務的美國金融科技業者<a href="https://www.prnewswire.com/news-releases/bolt-to-acquire-wyre-accelerating-mainstream-adoption-of-cryptocurrency-301519888.html" target="_blank">Bolt Financial周四（4/7）宣布</a>，已與開發區塊鏈支付平臺的Wyre簽署併購協議。Bolt著眼於人們對使用加密貨幣購買商品的需求日益升溫，以及即將來臨的Web3時代，因而決定將Wyre納入麾下，預計於今年底以前完成交易。雖然雙方並未公布財務細節，但根據《<a href="https://www.wsj.com/articles/crypto-startup-wyre-being-acquired-by-payments-company-bolt-for-1-5-billion-11649325602?mod=djemalertNEWS" target="_blank">華爾街日報</a>》（The Wall Street Journal）的報導，此一交易價值15億美元。</p> <p>2014年創立的Bolt算是支付產業的後輩，其主要競爭對手包括1998年成立的PayPal及2009年開張的Stripe，Bolt創辦人Ryan Breslow表示，他一直認為加密貨幣會成為Bolt的核心，沒想到這麼多年後才實現，此一併購案將成為加密貨幣結合商務的有力證明。</p> <p>至於Wyre則創立於2013年，致力於開發法幣與加密貨幣的支付基礎設施，提供各種API予開發者以整合加密貨幣支付服務。</p> <p>此外，Bolt不僅想把加密貨幣加入該公司的支付平臺，新興的非同質化代幣（Non-Fungible Token，NFT）也將在其中扮演重要的角色。</p> <p>在雙方合併之後，Bolt網路的消費者將能以不同的加密貨幣或法幣進行交易，也會讓消費者更容易購買及儲存加密貨幣；而與Bolt合作的數百個接受加密貨幣的零售商，也將允許消費者以加密貨幣來購買實體商品；且未來Bolt亦將透過Wyre API提供NFT交易服務。</p> </div></div></div>
2022/4/8 13:48作者陳曉莉https://www.ithome.com.tw/news/150334
Windows新安全工具必須在全新安裝的作業系統才能啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/03/02/announcing-windows-11-insider-preview-build-22567/" target="_blank">微軟3月釋出的最新Windows 11累積更新</a>包含一項新功能，對電腦的要求甚高，甚至要全新安裝（clean install）的作業系統才能啟用。</p> <p>Windows 11累積更新Build 22567.200 (KB5012432)已釋出給Insider測試方案人員。這個版本包含數項新功能，其中一項為Smart App Control（SAC）。微軟對這個功能描述不多，只說這項新功能可防範不受信賴或有風險的應用程式執行。不過微軟提醒，SAC只能在以全新安裝（clean install）方式安裝Build 22567以上版本的Windows系統上執行。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2022/03/smart-app-control-1024x733.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>SAC目前設定為評估模式。在這個模式下，它會開始學習是否能在不過分打擾用戶情況下提供防護，如果是，SAC會自動啟動。否則就會自動關閉。但在評估模式下，使用者也可以在「應用程式與瀏覽器控制」下的「Windows 安全性」App手動啟動SAC。微軟表示日後會持續公布更多SAC的細節。</p> <p>微軟說，會在幾個禮拜內釋出新的ISO檔，讓Insiders用戶全新安裝，或設定虛擬機器來測試。</p> <p>Build 22567主要新功能包括，在裝置設定時連結Android手機、使用可再生能源推送Windows Update、改善設定（Setting）的Microsoft 365訂閱管理功能。其中，用戶可以在Windows裝置設定時，連結Android 手機到PC。完成後可讓用戶從Windows 11 PC上以鍵盤存取手機所有活動，包括使用手機App、傳文字簡訊、或撥打電話，如此一來就不必放下手邊工作來接聽電話或訊息。</p> <p>此外，微軟表示，為節能減碳，Windows Update會試著排定在特定時間安裝更新，同時，會優先使用可再生能源以背景執行方式來安裝更新，如果有較大的可再生能源（如風力、太陽能或水力發電）可用的話。微軟也在「帳號」>「您的Microsoft帳號」下強化Microsoft 365訂閱管理功能，新增支付細節，讓用戶知道是否該續訂了。</p> <p>其他功能主要是使用經驗的強化，包括「以…啟用」的對話框加入深色背景、提供一鍵預設App、開始選單更方便建立資料夾、強化多點觸控感測回應、以及語音輸入等。</p> </div></div></div>
2022/4/8 12:25作者林妍溱https://www.ithome.com.tw/news/150331
挖礦軟體罪犯目標轉向雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.trendmicro.com/2022-03-29-Cloud-Systems-Are-the-New-Battleground-for-Crypto-Mining-Threat-Actors" target="_blank">趨勢科技最近一份報告顯示</a>，散布挖礦軟體以斂財的駭客現在將目標轉向雲端，使用成為挖礦駭客之間的新戰場。</p> <p>這份名為《浮動戰場：雲端挖礦的版圖一覽》（A Floating Battleground: Navigating the Landscape of Cloud-Based Cryptocurrency Mining）的報告指出，COVID-19疫情期間企業大量投資雲端運算，然而新服務部署也容易導致許多雲端執行個體大量增加，卻未修補程式或組態錯誤，給了駭客可趁之機。雲端高擴充性這點吸引駭客，尤其是如果他們還能駭入多臺連向雲端的機器，如IoT裝置。</p> <p>挖礦軟體對雲端造成的影響主要在成本及效能上。根據趨勢科技實驗，挖Monero幣的XMRing可使雲端CPU利用率由13%飆升到100%，每個月的電費將因此從20美元暴漲到130美元，足足膨脹600%。而被竊取的運算容量將直接造成服務效能及客戶滿意度下降、以及營收減少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-Crypto%20Mining%20by%20%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／趨勢科技</span></p> <p>報告指出，目前鎖定雲端挖礦的駭客組織包括Outlaw、TeamTNT、Kinsing、8220、Kek Security。這些駭客一般是利用目標系統漏洞、使用弱密碼或組態不當存取雲端，但仍然有些差異。例如Outlaw偏好利用漏洞或暴力破解SSH駭入IoT裝置及Linux雲端伺服器，之後植入IRC bot以遠端控制。TeamTNT藉由漏洞駭入雲端主機以竊取別種服務的密碼，再轉移新主機活動，也常在社交平臺炫燿。Kek Security則利用IoT惡意程式建立殭屍網路散布挖礦軟體及發動DDoS攻擊，主要鎖定Windows機器。</p> <p>Kinsing和8220則是最活躍的挖礦駭客組織，彼此競爭，除了挖Monero幣還會把競爭者趕出受害者雲端。</p> <p><a href="https://www.cadosecurity.com/cado-discovers-denonia-the-first-malware-specifically-targeting-lambda/" target="_blank">本周Cado Security研究人員發現</a>AWS Lambda無伺服器運算平臺遭到植入Denonia，後者部署挖礦軟體XMRing以挖取Monero幣，成第一隻專門鎖定AWS Lambda的惡意程式。</p> </div></div></div>
2022/4/8 13:08作者林妍溱https://www.ithome.com.tw/news/150332
蘋果：App Store上最受歡迎的程式大多不是來自蘋果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果最近公布了一項委由<a href="https://www.apple.com/newsroom/pdfs/the-success-of-third-party-apps-on-the-app-store.pdf" target="_blank">經濟顧問公司Analysis Group所進行的分析報告</a>，指出App Store不但維持了持續擴大的開發者及內容創造者社群，生態系統日益茁壯，且從程式下載量及使用者的互動來看，蘋果自家的程式受歡迎的程度黯然失色，在許多的類別中，都是由第三方程式拔得頭籌，<a href="https://www.apple.com/newsroom/2022/04/report-finds-third-party-apps-see-global-success-on-the-app-store/" target="_blank">企圖再度向外界證明</a>，由蘋果所經營的App Store不僅嘉惠該公司，也替龐大的生態體系創造更大的商機。</p> <p>全球有不少國家都打算出手抑制蘋果於自家生態體系的控制權，以免危及市場競爭，特別是App Store，包括要求蘋果不得強制開發者使用蘋果的支付機制，而歐盟專門用來規範大型科技企業的<a href="https://www.ithome.com.tw/news/150124" target="_blank">《數位市場法》</a>也可能迫使蘋果開放用戶安裝App Store以外的第三方市集，或是自第三方來源下載及安裝程式，這使得蘋果陸續釋出各種研究報告，來表明蘋果對App Store的控制是有助於強化<a href="https://www.ithome.com.tw/news/144354" target="_blank">用戶安全</a>、<a href="https://www.ithome.com.tw/news/145214" target="_blank">隱私</a>與開發者生態體系的。</p> <p>2008年創立的App Store迄今已吸引了逾3,000萬名開發者註冊，提供逾180萬款行動程式，其中有60款是由蘋果自行開發，代表該市集超過99.99%都屬於第三方程式。</p> <p>報告中強調，蘋果並未涉足所有的應用程式類別，而就算蘋果開發了特定類別的程式，也都有其它的競爭程式，此外，蘋果自行開發的程式中，顯少成為特定類別最受歡迎的程式，一般而言，蘋果於特定類別所開發的程式中，於每個國家的使用率大概落在20%~30%之間，而且只有Apple Music在日本使用率超過5成（55%）。</p> <p>以通訊程式為例，雖然蘋果的Messages在美國、法國、澳洲及紐西蘭的使用率位居第一，但德國市占第一的通訊程式是WhatsApp，中國是WeChat，日本是Line，韓國為KakaoTalk。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0408-app%20store%20report-600-1.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=876,height=669'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-app%20store%20report-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>在音樂串流程式上，Apple Music只在日本領先群倫，而不管是美國、英國、法國、德國、澳洲或紐西蘭，都是由Spotify遙遙領先。Apple Maps則不管是在美國、英國、法國、德國、澳洲、紐西蘭或日本，都輸給Google Maps，而且差距不小。Apple TV的表現不管在哪一國都遠不及Netflix。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0408-app%20store%20report-600-2(1).png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=732,height=796'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-app%20store%20report-600-2(2).png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／蘋果</span></p> <p>另一項值得注意的是，縱使Android平臺占手機市場8成以上，但2021年的遊戲產業報告顯示，有32%的遊戲開發者參與iOS平臺的遊戲開發，超越開發Android遊戲的31%，透露出iOS平臺對遊戲開發者的吸引力勝過於Android。</p> </div></div></div>
2022/4/8 12:02作者陳曉莉https://www.ithome.com.tw/news/150330
微軟接管俄駭客組織Fancy Bear攻擊烏克蘭的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼本周美英政府關閉俄羅斯駭客建立攻擊華碩、WatchGuard設備的基礎架構後，<a href="https://blogs.microsoft.com/on-the-issues/2022/04/07/cyberattacks-ukraine-strontium-russia/" target="_blank">微軟昨（7）日也宣</a>布再接管俄國駭客組織Strontium攻擊烏克蘭使用的網域。</p> <p>微軟客戶安全與信賴部門企業副總裁Tom Burt指出，在周三取得法院授權命令後，微軟接管了Strontium用以攻擊烏克蘭的7個網域。他們相信這群駭客長期存取目標系統，並為俄國實體入侵及資料竊取提供技術支援。</p> <p>Strontium又名APT 28或Fancy Bear，據信隷屬於俄羅斯情報機關GRU下的軍事單位。<a href="https://www.ithome.com.tw/news/139949" target="_blank">微軟追蹤這個組織多年</a>，其手法包括釣魚信件竊取情報、暴力破解、密碼潑灑（password spray）手法駭入帳號，並變換IP及Tor服務隱匿其攻擊來源。</p> <p>Strontium/Fancy Bear主要攻擊對象包括各國政府、軍事及安全組織，受害者遍布全球，從德國議會、法國電視臺TV5Monde、美國白宮、北約組織到介入美國及法國的總統大選、以及國際運動及反禁藥組織等。<a href="https://www.ithome.com.tw/news/123406" target="_blank">2018年這個組織也曾攻擊</a>50萬路由器植入惡意程式，受害者正是烏克蘭。</p> <p>而在今年的烏俄戰爭中，<a href="https://www.washingtonpost.com/technology/2022/03/07/russia-belarus-conducted-widespread-phishing-campaigns-ukraine-google-says/" target="_blank">研究人員相信</a>，Strontium/ Fancy Bear又策畫大規模精準釣魚信件攻擊，誘使烏克蘭網域Ukr.net用戶及一家當地媒體員工被導向惡意網站騙取帳密。</p> <p>微軟表示這次行動是微軟自2016年以來對抗這組織的計畫之一，當時時值美國上一次總統大選，<a href="https://www.ithome.com.tw/news/109355" target="_blank">Strontium利用Windows零時差漏洞對政治團體用戶發動攻擊</a>。2019年微軟也曾接管其網域。微軟指出，在本周之前，他們已15次出手，接管了Strontium 控制的100多個網域。</p> <p>不過微軟指出，Strontium/Fancy Bear只是攻擊烏克蘭攻擊的眾多組織之一。他們觀察到，幾乎所有俄國國家駭客都參與了對烏國政府及關鍵基礎架構的大規模攻擊行動。</p> </div></div></div>
2022/4/8 10:32作者林妍溱https://www.ithome.com.tw/news/150323
鬆緊之間的考驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經兩年多的COVID-19，臺灣因為有相對充足的準備，持續實施邊境管制與隔離檢疫，全民也有一致的抗疫態度，戴口罩、勤洗手、保持社交距離、自動自發配合簡訊實聯制，早已成為工作與生活的新常態，疫苗施打率也已到達一定程度，因此在過去全球一波波大感染的浪潮之下，臺灣都爭取到更多緩衝時間來應變。</p> <p>然而，隨著病毒的變異，感染率仍持續提升，而且，無症狀感染者的比例越來越高，但致命程度也在逐漸減退，使得各國近期開始推動與病毒共存的公共衛生政策，但臺灣現在也面臨到這個決策的關鍵時刻，該如何在逐漸鬆綁各項管制的過程中，不讓疫情出現大爆發的狀況，考驗著當局能否提出更好的處理方式與相關規範，讓大家得以遵循。</p> <p>對此，總統蔡英文在2月9日提出的四大目標，其中之一就預告了這個發展態勢──尋找兼顧經濟與防疫的「臺灣模式」，確保防疫新生活，繼續拚經濟。她表示，需以對生活影響較小、達到最大防疫效果為目標，因應不同的疫情階段，採取最合適的防疫策略，持續提升臺灣的防疫韌性。3月1日疫情指揮中心宣布放寬防疫措施時，她二次強調要逐漸走向兼顧經濟與防疫的臺灣模式，持續檢討防疫措施，讓臺灣的防疫更有韌性。而在這兩次談話中，她也持續呼籲民眾儘快施打疫苗，顯見此事對於國家安全的重要性。</p> <p>4月6日她再度呼籲要強化臺灣整體的防疫韌性，而在疫情進入不同狀態，以及對比中國上海堅持清零政策，因實施全面封城、疫情卻未見降溫，反而引發諸多悲劇的此刻，如何實現「新臺灣模式」受到更大的關注，也正式成為政府施政重心，並做出更詳細的指示。總統表示，現階段所設定的目標，就是「重症求清零、有效管控輕症」，持續以「減災」為目標，而非全面的清零；更不是放任病毒肆虐式的「與病毒共存」，而是有效的疫情控管。</p> <p>為達到這樣的要求，政府將採取這些行動：積極有效管控疫情、持續提升疫苗覆蓋率，持續增加醫療量能、快篩試劑與抗病毒藥物的整備要增加，檢疫措施要機動調整、疫調方式需持續簡化，以維持醫療體系的穩健運作。</p> <p>關於新臺灣模式的實現，4月7日行政院長蘇貞昌責成中央流行疫情指揮中心，朝「保存醫療量能」及「降低死亡或重症」兩大方向努力。以前者而言，政府會持續採取輕重症分流，重症與高齡確診者由醫院收治，而無症狀與輕症確診者，則由集中檢疫所或加強版防疫旅館照護，而指揮中心也在前一日宣布放寬居家隔離措施，有效利用集中檢疫所與防疫旅館的資源。在降低死亡或重症的部分，行政院也公布抗病毒藥物的整備狀態，持續推動疫苗施打，強化民眾保護力。</p> <p>這些新政策若要奏效，不只是靠政府的執行，其實仍有賴於民眾的配合，須繼續維持各種防疫好習慣，才能在逐漸鬆綁的過程當中，確保自己具有足夠的保護力，以及減低將病毒傳染給他人的可能性。</p> <p>我們不能因為自己已經施打疫苗，就不再維持戴口罩、勤洗手等種種衛生習慣；也不能因為全國疫苗施打率已到達不錯的狀態，誤以為整個環境都很安全而自己不需要施打；更令人擔憂的是，已有許多人不願配合簡訊實聯制，進出任何公共場所，仍應登錄自己出入的足跡，才能更完整地掌握自身是否與感染者有接觸的可能性。</p> <p>在全球處於疫情後半場的階段，我們都期待全面解封，但顯然難以一蹴可幾，需要經歷一個別於過去嚴守管制措施的新常態，面對時而鬆綁、時而緊縮的疫情狀態，都要有足夠的準備，唯一不變的是應該是自身的衛生習慣，以及危機意識。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E6%A8%A1%E5%BC%8F">臺灣模式</a></div><div class="field-item even"><a href="/tags/%E9%98%B2%E7%96%AB">防疫</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div></div></div>
2022/4/8 07:00作者李宗翰https://www.ithome.com.tw/voice/150317
金融業數位轉型經典個案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1072shu_zhai_zhu_tu_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在進行跨境支付時，通常需要經過多個不同國家的中間金融機構進行認證，浪費時間以及手續費成本。VISA思考建立一個跨境支付的平台，讓金融機構間可以直接進行支付處理，提高效率與透明度。</p> <p>2019年VISA推出Visa B2B Connect，可以做到將企業間的交易，直接從VISA轉向企業的受款行，去除企業跨境交易中間行，將跨境付款的成本效率化繁為簡。Visa B2B Connect系統運用了部分區塊鏈技術，為金融機構提供的數位身份解決方案，並以更快、更低運營成本處理全球跨境支付，並且使用Hyperledger Fabric的企業區塊鏈框架。Hyperledger是由IBM、Intel、Cisco等巨頭聯合開發的一個聯盟鏈架構。</p> <p>一般來說，小型銀行通常會藉由中介銀行進行跨境付款，這將導致處理過程更緩慢與複雜。Visa B2B Connect就是提供一個替代方案，藉由將企業間的交易直接從Visa 轉向該企業的收款行，進而簡化跨界付款的繁雜程序。</p> <p>Visa B2B Connect的發展是API優先策略。參與的夥伴可以利用Visa B2B Connect API進行連結。開發者則可以利用Visa Developer平台，讓參與機構開發人員能夠瀏覽各種可用的API，以及各種Visa數位支付技術的說明文件，還可於Visa Developer的沙盒環境中測試應用程式。存取和測試都是免費的，但若實際使用這些API則必須付費。</p> <p>Visa Developer現已提供逾150種的應用程式介面（API），主要分為支付方法、一般服務及風險暨詐騙管理等三大類。Visa Developer提供許多API、工具和支援，幫助夥伴打造更輕鬆、更快速、更安全的應用，進而改變與合作夥伴連結的方式。</p> <p><span style="font-size:28px;"><strong>Visa讓Apple Pay落地的關鍵技術</strong></span></p> <p>為推動支付安全，Visa推出Visa Token Service，在全球發行逾十億個代碼（Token）。Visa代碼服務採用一組安全代碼替代持卡人的16位數Visa 帳戶號碼，以防騙徒竊取，藉以保護持卡人的帳戶。Visa Token Service 是行動支付背後的一大推手，沒有它Apple Pay無法在全球落地使用。</p> <p>VISA在2019年與Coinbase合作，在英國發行了全球第一張加密貨幣簽帳卡Coinbase Card，Coinbase Card已在全球29個國家發行，支援10 種加密貨幣，且已有數百萬個商家接受Coinbase Card。用戶可先下載Coinbase Card行動程式，連結自己的Coinbase帳號與錢包之後，就能立即以該行動程式進行交易，之後即會收到實體卡片。儘管Coinbase Card目前只在英國發行，但它可同時在網路與實體商店交易，並選擇以加密貨幣支付，或是直接將加密貨幣兌換成英鎊來完成交易，也能自ATM提領現金。</p> <p>面對長久以來存在於網路平台中的跨境支付問題，VISA思考如何協助使用信用卡的消費者提高跨境支付效率、減少手續費等為出發點，發展Visa B2B Connect，滿足顧客需求。VISA 也了解愈來愈多的創新支付應用正在蓬勃發展。以此，Visa B2B Connect透過Visa Developer平台，提供夥伴機構各種API、開發工具，以協助發展各種支付應用，滿足夥伴創新。此外，VISA也發展Visa Token Service，以因應行動支付的安全性；Coinbase Card加密貨幣金融卡，滿足商家、消費者的金融卡使用安全等。VISA持續從其原本VisaNet的生態系，發展各項新創應用或提供支持新創發展的開發平台環境。</p> <p>VISA在各項數位轉型的發展上，以區塊鏈、支付安全、加密貨幣等安全、信任等為核心主軸。VISA了解儘管商務多元化、支付多樣化，然而其核心都脫離不了安全、信任的重要因素。以此，VISA 圍繞著支付的行動端、跨境支付後端等，利用區塊鏈、支付安全、加密貨幣等技術，建立可靠的應用基礎。基於這樣的基礎，VISA 可以發展行動支付、手環支付、NFC無接觸應用等應用基礎架構，並提供夥伴基於應用基礎之上，透過API發展各項金融創新應用。</p> <p><span style="font-size:28px;"><strong>玉山銀行攜手大型網路資訊公司籌組創新服務供應聯隊</strong></span></p> <p>當數位轉型與金融科技等概念於產業間蔚然成風，各金融機構也各自盤點其既有資源展開布局。而其中，作為少數不具官股與財團色彩，由專業經理人領導迄今的玉山銀雖然無法如其他同業，以相對低門檻的模式取得自有集團內金融或非金融服務之資源，綜觀玉山銀迄今於轉型及創新服務提供上，可見其仍舊走出了自成一格之脈絡。</p> <p>Paypal、NTT Data、支付寶與Razer FinTech，上述的各間公司無不為在支付、資訊系統等領域位列一二的大廠。若以地理市場做區分，Paypal 於2020年名列全球資產第30大；NTT Data為現今日本最大的資訊系統廠商；作為市場曾經預估IPO市值達350億美元的螞蟻金服旗下之一的支付寶平台在2020上半年占其母公司營收36%，粗估中國境內有高達10 億人採用相關服務；而Razer FinTech 旗下第三方支付平台Razer Merchant Services的前身則為東南亞最大第三方支付平台MOLPay。</p> <p>在部分金融機構高舉著「我們不是金融機構、而是科技公司」的旗幟當下，玉山銀深知自身有著傳統金融機構的包袱、也缺乏集團多元子公司的資源支撐而積極攜手大型網路資訊公司推出創新應用服務。舉凡近期與知名電競品牌Razer 旗下的Razer FinTech合作推動跨國金流交易平台，協助消費者降低交易成本的同時，也因增加多元支付工具而提升商家競爭力；早在2018年即看準我國盛行日本文化帶來的商機，而攜手NTT Data啟動「玉山日本跨境e指購」，相關合作亦於2021年1月延展至韓國市場。</p> <p>綜觀國內信用卡市場，大抵主打以現金回饋、紅利回饋與Line Points回饋為主。而近期，由玉山銀與PChome合作推出的「玉山Pi拍錢包信用卡」，也透過P幣回饋打造點數生態圈而逐漸占有一席之地。其中，玉山銀著眼於平台生態圈所能帶來的長期效益：自Pi拍錢包落地後一年左右推出「拍享貸」，將借貸服務整合進Pi拍錢包App，讓消費者可以在無斷點的情境下取得貸款。</p> <p>2020年7月，玉山銀旗下子品牌eFingo上線。串聯玉山行動銀行App、玉山Wallet、e指系列等數位產品，以期透過會員制的方式提升客戶黏著度。</p> <p>因應國際趨勢與技術演進，金融業進行轉型已然是不可逆之趨勢。然而，傳統金融服務業的核心畢竟仍為借貸、儲蓄與支付等，在有限的資源內除須維繫核心業務營運外，尚需因應消費者偏好改變、以及全球市場邊界因網際網路興起而模糊等議題。</p> <p>術業有專攻，各地理市場亦有其一方霸主。玉山銀在進行跨域跨市場的發展中，聚焦於自有核心的金融服務能力、也借風使船的借重各方勢力，方有今日榮景。玉山銀先是與異業電商PChome攜手透過信用卡形塑出P幣生態圈，近期亦推出自有子品牌eFingo。正所謂太陽底下無新鮮事，台新銀推出子品牌Richart早已行之有年，eFingo的推出興許亦有叫陣的意味。</p> <p>細觀eFingo與Richart現行的運作模式，客觀上恐難以論述何者更勝一籌。唯一可確知的是，消費者所期待的不外乎是有感、優惠且易用的交易服務，而Richart此一品牌的經營上，也確實持續因應著消費者偏好進行功能調整。相信除了eFingo未來的發展上將仿效著此一脈絡，整體金融業者在考量提供何種創新服務的過程中，也將持續圍繞著此一事實進行推動。<strong><span style="color:#696969;">（本文摘錄整理自《金融數位轉型趨勢與成功方程式》，商周出版提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E9%87%91%E8%9E%8D%E6%95%B8%E4%BD%8D_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88.png" style="width: 210px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>金融數位轉型趨勢與成功方程式</strong></p> <p>謝明華、周樹林、李震華、李宜熹、數位轉型研究團隊／合著</p> <p>商周出版</p> <p>定價：330元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>謝明華</strong></p> <p>教授、政治大學數位金融創新實驗室執行長。美國史丹福大學作業研究學博士。在諸多場合講授金融監理與數位轉型。擁有金融保險產業長年的研究與實務經驗。</p> <p><strong>周樹林</strong></p> <p>資深產業顧問兼副所長。研究領域：軟體產業、數位轉型、商業模式創新。</p> <p><strong>李震華</strong></p> <p>資深產業分析師兼組長。研究領域：新興軟體技術、金融科技、資訊安全、區塊鏈暨加密貨幣。</p> <p><strong>李宜熹</strong></p> <p>國立中山大學財務管理博士，現任東吳大學財精系助理教授，兼任國立政治大學金融科技研究中心數位金融創新實驗室與人工智慧實驗室副執行長。</p> </div></div></div>
2022/4/8 07:00未署名https://www.ithome.com.tw/article/150319
【資安日報】2022年4月7日，竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Toto…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客使用竊密軟體偷取電腦帳密的情況，過往大多事故是廣泛搜括各式帳密，但最近出現針對臉書、推特等社群網站帳號的竊密軟體FFDroider，而且還會驗證完帳密可用後才回傳給攻擊者。</p> <p>殭屍網路鎖定特定廠牌路由器發動漏洞的現象，也相當常見，但最近殭屍網路Beastmode鎖定Totolink路由器的多個漏洞下手，值得留意的是，駭客利用的重大漏洞，CVSS風險等級都達到了9.8分。</p> <p>3月中旬加密程式庫OpenSSL修補無限迴圈漏洞CVE-2022-0778，繼3月底威聯通公布NAS設備受影響的情況後，最近資安業者Palo Alto Networks也發布相關資安通告。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/ffdroider-stealer-targeting-social-media-platform-users"><span style="color: rgb(0, 0, 0);">竊密軟體FFDroider鎖定臉書、推特、Instagram等社群網站帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FFDroider-Infographic.jpg" style="width: 300px; float: right;" /></a>駭客透過竊密軟體盜取受害電腦各式帳號資料的情況，不時有事故發生，如今有攻擊者特別針對社群網站的帳號而來。資安業者Zscaler揭露名為FFDroider的惡意程式，駭客透過免費軟體或破解軟體的名義散布，一旦受害者下載，電腦就會同時安裝Telegram和FFDroider。</p> <p>此竊密程式鎖定Chrome、Firefox、Edge、IE的Cookie，進而截取當中的臉書、Instagram、推特、Amazon、eBay等社群網站與電子商務網站的帳號資料，並在該惡意軟體驗證帳密可用後，再回傳給C2中繼站。研究人員呼籲，使用者不要從來路不明的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/totolink-vulnerabilities-beastmode-mirai-campaign"><span style="color: rgb(0, 0, 0);">殭屍網路Beastmode濫用Totolink路由器弱點</span></a></strong></h3> <p>又是殭屍網路病毒鎖定路由器零時差漏洞的事故。資安業者Fortinet在今年2月至3月，觀察到殭屍網路Beastmode（亦稱B3astmode）在一個月內，鎖定了數個CVSS風險層級達到9.8分的重大漏洞，且其中的CVE-2022-26210、CVE-2022-26186，以及CVE-2022-25075至CVE-2022-25084，與多款Totolink路由器有關。Totolink獲報後已提供新版韌體予以修補。</p> <p>研究人員指出，駭客也同時嘗試針對D-Link、華為路由器，TP-Link視訊鏡頭、Netgear ReadyNAS監控設備的舊漏洞下手，這些漏洞的CVSS風險層級也都達到9.8分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150302"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊Panasonic、Konica Minolta等多家大型企業</span></a></strong></h3> <p>自表達聲援俄羅斯後，勒索軟體Conti遭人公開了程式碼，但如今似乎遭到其他人利用，而使得多家知名企業相繼傳出被駭。根據日本新聞網站Jiji報導，Panasonic加拿大分公司遭到Conti攻擊，並外流2.6 GB資料；Konica Minolta則是公告位於東歐、中東、非洲地區（EMEA）的其中1臺伺服器，於3月底遭到未經授權存取。而在歐洲方面的災情，則有英國福特經銷商TrustFord、衛浴設備業者Barwick、荷蘭房屋租賃業者ZAYAZ Housing等傳出遭到Conti毒手。但這些攻擊事故是否全部由勒索軟體駭客Conti所為？還是他人利用已經洩露的原始碼犯案？仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armorblox.com/blog/whatsapp-voicemail-phishing-attack"><span style="color: rgb(0, 0, 0);">駭客利用WhatsApp語音訊息的名義發動釣魚郵件攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/whastsapp-phishing-email_-fig-1.jpg" style="width: 300px; float: right;" /></a>即時通訊軟體WhatsApp近期強化了語音訊息的功能，但駭客也利用相關的留言名義發動網路釣魚攻擊。資安業者Armorblox發現，有人以WhatsApp私人語音訊息的名義，發送釣魚郵件，一旦收信人按下了播放按鈕，就會被引導到惡意登入網站，並要求依照指示允許網站通知，來驗證收信人不是機器人。然而要是收信人照做，駭客就有可能透過廣告服務繞過電腦的使用者帳號控制（UAC），在電腦植入竊密軟體。</p> <p>研究人員指出，駭客透過合法網域寄送郵件，而能夠迴避郵件安全系統的檢查，且電子郵件內容包含了收信人的名字，使得對方可能難以察覺異狀。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150257"><span style="color: rgb(0, 0, 0);">數個NFT專案的Discord伺服器遭駭，並用於散播詐騙訊息</span></a></strong></h3> <p>即時通訊軟體Discord不只電玩玩家經常使用，近期大紅大紫的非同質化代幣（NFT），也有不少專案採用這個軟體發布投資訊息，但如今也有駭客盯上這類社群，發動網路詐騙。無聊猿猴遊艇俱樂部（BAYC）、Nyoki Club、Shamanz等NFT專案近日相繼發布公告，他們的Discord伺服器遭到駭客入侵，而被用來向社群使用者散布詐騙訊息，要用戶支付以太幣來鑄造新的NFT。不過，目前Discord尚未發布相關公告，有多少用戶受害也不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://security.paloaltonetworks.com/CVE-2022-0778"><span style="color: rgb(0, 0, 0);">Palo Alto Networks公布旗下產品受到OpenSSL漏洞影響情形</span></a></strong></h3> <p>繼威聯通後，又有IT廠商公布旗下產品受OpenSSL漏洞CVE-2022-0778的影響。資安業者Palo Alto Networks近日發布資安通告，指出特定版本的防火牆作業系統PAN-OS、GlobalProtect應用程式、Cortex XDR代理程式等，都採用含有CVE-2022-0778的OpenSSL程式庫，並預計於4月18日推出PAN-OS的修補程式。</p> <p>該公司也指出，此漏洞對於受影響產品的CVSS風險層級為7.5分，但對於GlobalProtect應用程式、Cortex XDR代理程式的部分，因駭客需透過中間人攻擊（MitM）才能觸發，CVSS風險降低至中等程度的5.9分。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-botnet-controlled-russian-federation"><span style="color: rgb(0, 0, 0);">針對遭到殭屍網路Cyclops Blink占據的WatchGuard、華碩設備，美國動手清理</span></a></strong></h3> <p>殭屍網路Cyclops Blink接連感染<a href="https://www.ithome.com.tw/news/149551">WatchGuard防火牆</a>、<a href="https://www.ithome.com.tw/news/149978">華碩部分型號路由器</a>，引起美、英當局高度重視，如今他們有了進一步的動作。美國司法部（DOJ）宣布，他們在3月18日取得法院初步授權後，與美國聯邦調查局（FBI）聯手，清除受害裝置上的Cyclops Blink殭屍網路病毒，並封鎖存取C2中繼伺服器的連接埠。</p> <p>美國司法部表示，雖然WatchGuard和華碩相繼發布資安通告與修補程式，但到了3月中旬，有許多裝置仍未得到修補而受到此殭屍網路病毒的控制，他們決定透過自動化程式主動出手，並強調沒有收集受害者的網路環境資料。雖然相關的殭屍網路病毒已經清除，但美國司法部提出警告，用戶還是要依循WatchGuard或華碩提出的緩解措施，才能避免俄羅斯駭客Sandworm再度入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html"><span style="color: rgb(0, 0, 0);">德國接管最大俄羅斯暗網市集Hydra的基礎設施</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/220405_pm_darknet.png" style="width: 300px; float: right;" /></a>德國打擊犯罪中央辦公室（ZIT）與德國聯邦刑警（BKA）於4月5日宣布，他們自去年8月與美國執法機構聯手，調查俄羅斯大型暗網市集Hydra後，現在已經接管了該市集的伺服器基礎設施，並扣押價值2,300萬歐元的比特幣。美國財政部亦宣布，對於Hydra與加密貨幣交易平臺Garantex展開制裁。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/7 16:12作者周峻佑https://www.ithome.com.tw/news/150308
Google發表跨平臺資料儲存引擎BigLake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於本周舉行的雲端資料高峰會（Cloud Data Summit）上，<a href="https://cloud.google.com/blog/products/data-analytics/unifying-data-lakes-and-data-warehouses-across-clouds-with-biglake" target="_blank">發表新的統一儲存引擎BigLake</a>，它能夠橫跨不同的雲端與格式，提供一致的粒度存取控制，簡化使用者存取資料倉儲與資料湖的流程。</p> <p>Google指出，組織的資料日趨複雜，它們可能以多種格式散置在不同的環境或孤島上，而讓風險與成本日益增加，特別是需要轉移資料的時候，而BigLake則讓組織得以統一資料倉儲與資料湖，使團隊可以在不管底層的儲存系統或格式下分析資料，還能消除複製或遷移資料的需求。</p> <p>事實上，BigLake是將Google BigQuery的能力延伸到多雲儲存中，包括AWS與Azure，且藉由開放格式來確保一個統一卻又彈性的資料湖架構。</p> <p>BigLake支援諸如Parquet與ORC等開放格式，而且提供粒度安全控制；得以保留單一的資料備份，在不同的分析引擎中採用一致的存取控制，包括Google Cloud或開源的Spark、Presto、Trino與Tensorflow等；並透過與Google Cloud Dataplex的無縫整合進行統一管理。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BigLake_architecture.max-2800x2800.jpg" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=2800,height=1808'); return false;"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BigLake_architecture.max-2800x2800.jpg" style="width: 500px;" /></a></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>具體而言，BigQuery用戶可透過建立BigLake表格，將任務延伸到於Google Cloud Storage、Amazon S3或Azure Data Lake Storage Gen2上的資料庫，資料管理員可利用政策標籤於BigLake表格上就表格或行、列配置安全功能。</p> <p>當管理人員建立BigLake表格之後，使用者即可像使用其它BigQuery表格一樣進行查詢，而且每一名使用者只會看到被授權存取的部分。</p> </div></div></div>
2022/4/7 16:33作者陳曉莉https://www.ithome.com.tw/news/150309
Google即將於11月起隱藏Google Play上的老舊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/04/expanding-plays-target-level-api-requirements-to-strengthen-user-security.html" target="_blank">Google本周擴大了Google Play對Android程式目標API等級的要求</a>，指出自今年11月起，既有的程式若未跟上最近兩年Android版本所支援的API等級，新的Android用戶就無法發現或安裝這些程式。</p> <p>Google解釋，每一個新的Android版本都提供了安全及效能上的改善，同時強化使用者的Android整體經驗，同時每一個Android程式也都必須在清單檔案（Manifest files）中配置目標API等級（或目標SDK版本），以描述該程式如何在不同的Android版本上運作。而每個Android版本都有搭配的目標API等級，例如Android 11搭配API Level 30，Android 12搭配API Level 31，或是Android 13搭配API Level 32。</p> <p>Google指出，購買最新Android裝置或是那些更新到最新Android版本的使用者，通常期望Android平臺能夠發揮所具備的最新安全及隱私保護，因此，該公司決定擴大對於目標API等級的要求，以免讓使用者安裝到缺乏最新Android平臺保障的舊有程式。</p> <p class="rtecenter"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjmVs8d9B8OuVgmv8r5nWtYsEyWLI33sgCl3WIm8MtFBczuyGAbL3-KfJuN763n0PaPx15QD51HZ-DLmqHKO94E8ghHCOpnUKdcG9VKp5gqwbS9WPoNJ5dF85wCkarGlr-NIMhFsGxR5OyVJfk1MiGILmO0K5mLXm2z2w3tkFL6iD4Go9N7eZDgoFly/s1600/image2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-google%20play%20security-600-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>因此，從今年的11月1日起，只要程式的目標API等級沒有跟上最近兩年的Android版本，新的Android裝置用戶就無法再發現或安裝這些程式。但若是曾經安裝這些程式的用戶，便能在該程式仍舊支援的裝置上持續發現、重新安裝或使用相關程式。</p> <p>外界分析Google此舉，是為了避免某些程式繞過Android平臺愈來愈嚴格的隱私與安全保護，例如Snapchat曾經持續使用舊的API等級，以逃避新Android平臺對權限的要求。</p> </div></div></div>
2022/4/7 14:22作者陳曉莉https://www.ithome.com.tw/news/150306
AMD的GPU驅動程式會自動將你的CPU超頻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來有一些AMD使用者抱怨，他們所使用的CPU被莫名其妙地超頻，而AMD則向<a href="https://www.tomshardware.com/news/amd-confirms-its-gpu-drivers-are-overclocking-cpus-without-asking" target="_blank">《Tom's Hardware》</a>證實，是該公司的GPU驅動程式Adrenalin存在著臭蟲，進而變更了Ryzen CPU的超頻設定。</p> <p>AMD在去年9月更新Radeon GPU及Ryzen CPU以改善它們對Windows 11的支援時，<a href="https://www.amd.com/zh-hant/technologies/ryzen-master" target="_blank">於Radeon驅動程式Adrenalin中新增了一個Ryzen Master模組</a>，目的是為了簡化Radeon及Ryzen的超頻程序，包括同時啟用GPU及CPU的超頻，將可強化AMD系統的運算能力。</p> <p>然而，有些AMD用戶發現，當他們在3月17日將Adrenalin升級到22.3.1版之後，他們的Ryzen CPU開始會自動超頻，率先調查這個問題的是<a href="https://www.igorslab.de/en/can-traces-of-ryzen-master-contain-alter-graphics-card-driver-secret-bios-settings-of-cpu/" target="_blank">德國媒體《 Igor's Lab》</a>。</p> <p>超頻可讓處理器以更高的時脈運作，使用者通常是在處理諸如影片編輯或執行遊戲等需要資源密集的任務時，才會進行超頻，不過，超頻會使用更多的電力，也可能會讓電腦過熱，而且AMD並不鼓勵用戶超頻，還說任何因超頻而造成系統損壞或資料遺失的案例，並不在保固範圍內。</p> <p>AMD不僅向《Tom's Hardware》證實該臭蟲的存在，也於本周釋出<a href="https://www.amd.com/en/support/kb/release-notes/rn-rad-win-22-4-1" target="_blank">Adrenalin 22.4.1</a>中將超頻事件列為已知問題（Known Issues），指出Ryzen CPU的超頻設定可能在重設或導入Radeon效能調整選項的檔案時遭到變更。</p> <p>有使用者是以新的效能調整檔案來覆蓋舊的來解決自動超頻的問題，也有人直接利用非官方的Radeon Software Slimmer軟體，將Ryzen Master模組自Adrenalin中移除。</p> </div></div></div>
2022/4/7 13:20作者陳曉莉https://www.ithome.com.tw/news/150305
波音與AWS、微軟及Google簽約，推動IT數位轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://onfirstup.com/boeing/BNN/articles/new-cloud-partnerships-strengthen-boeing-s-digital-foundation-1" target="_blank">美國航太龍頭波音（Boeing）本周宣布</a>與Amazon Web Services（AWS）、微軟Azure與Google Cloud三家公有雲合作，以推動公司IT環境的數位轉型。</p> <p>波音現有應用主要是架在本地部署的伺服器上，由波音或外部廠商管理。但是許多系統已經老舊，為基礎架構帶來許多問題，增添維護困難，也阻礙開發與部署全公司的數位解決化方案。波音過去也已分別採用三家業者的方案，這次合作則是在現有合作關係的擴大，將為波音的IT雲端化建立單一基礎架構。</p> <p>波音資訊長Susan Doniz指出，IT架構雲端化最大目的之一是加速飛機的設計、開發與測試。在傳統本地部署方案下，開發部門一行程式碼都還沒寫出來之前就得先處理預測需求、採購、維護及付費等過程。透過和雲端業者合作，可讓波音開發人員利用數位孿生（digital twin）技術測試系統或飛機，最後再實地部署，大幅提升開發測試的速度。</p> <p>此外，波音表示，使用雲端方案也可讓波音使用節能系統、縮小資料中心、並透過使用虛擬模擬測試工具減少碳足跡。</p> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/boeing-and-aws-join-forces-transform-aerospace-design-and" target="_blank">AWS</a>指出，波音與該公司的合作下將使用「節能、高效能的基礎架構」，以及包括高效能運算在內的雲端服務。<a href="https://news.microsoft.com/2022/04/06/boeing-and-microsoft-deepen-partnership-in-digital-aviation/" target="_blank">微軟指出</a>，波音將利用其雲端及AI能力推動科技架構及關鍵系統應用的更新。<a href="https://www.prnewswire.com/news-releases/boeing-and-google-cloud-partnership-takes-flight-aims-to-transform-aerospace-industry-301518720.html" target="_blank">Google</a>則說，這家航太龍頭將使用Google Cloud的資料分析，以及AI/機器學習（machine learning）工具。</p> <p>三家公司也將一同角逐美國國防部《聯合作戰人員雲端能力》（Joint Warfighter Cloud Capability，JWCC）的雲端大案。<a href="https://www.defense.gov/News/News-Stories/Article/Article/2984496/joint-warfighting-cloud-capability-award-planned-for-december/" target="_blank">美國國防部</a>上個月宣布這個案子將延至12月結標，總金額最高90億美元，將由3家業者及甲骨文聯合競標不同部份。</p> </div></div></div>
2022/4/7 12:42作者林妍溱https://www.ithome.com.tw/news/150304
OpenAI發表新版文字轉圖像模型DALL-E 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/dall-e-2/" target="_blank">OpenAI本周發表了新版的文字轉圖像模型DALL-E 2</a>，使用者只要給出文字敘述，DALL-E 2系統就能自動生成圖像，比起去年1月發表的第一代版本，DALL-E 2可產生更寫實、更精確，解析度也更高的圖像。</p> <p>DALL-E奠基在具備1,750億個參數GPT-3上，但它僅使用120億個參數，利用一個文字與圖像配對的資料集，以文字敘述來產生圖像。</p> <p>原始版DALL-E得以各種由文字組成的句子來建立合理的圖像，DALL-E 2的精確度改善了71.7%，寫實度改善了88.8%，解析度更是原本的4倍，還可結合概念、屬性及風格，打造出更生動的圖像，例如使用者得以指定系統以安迪.沃荷（Andy Warhol）風格畫出太空人騎在馬背上的圖像，或者是以莫內（Claude Monet）的風格畫出草原上的狐狸。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-OpenAI-DALL-E%202-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／OpenAI</span></p> <p>此外，DALL-E 2還能以文字來編輯既有的圖像，在考量陰影、反射與質地的狀態下新增、移除或置換圖像中的元件；或是以同一張圖像為基準，建立不同風格或編排的版本。</p> <p>OpenAI說明，DALL-E 2學習了圖像與用來描述它們的語言之間的關係，透過擴散程序，從隨機點的一個圖案開始，並在確認圖像的具體部分時，慢慢將該圖案轉變為圖像。</p> <p>現階段OpenAI仍在與特定的使用者研究DALL-E的限制與能力，包括避免被用來建立暴力、仇恨或成人圖像，並打算藉由過濾機制來辨識違反政策的文字或圖像，即使計畫擴大預覽社群，但現有的API並不支援DALL-E 2。</p> </div></div></div>
2022/4/7 11:39作者陳曉莉https://www.ithome.com.tw/news/150301
Conti攻擊多點開花，Panasonic、Konica Minolta、福特等公司遭駭洩露資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Conti 3月遭人公開程式碼後，似乎遭其他人利用。多家知名企業本周相繼傳出被駭及公開資料。</p> <p><a href="https://share.vx-underground.org/" target="_blank">網路論壇本周傳出Panasonic加拿大分公司資料遭Conti攻擊的消息</a>，駭客並公布了該公司的內部檔案及客服郵件擷圖。<a href="https://jen.jiji.com/jc/eng?g=ind&k=2022040600774" target="_blank">日本媒體則報導</a>Conti駭客組織宣稱已取得Panasonic 2.6GB資料。</p> <p>Panasonic尚未證實此事。這家日本電子與家電龍頭<a href="https://www.ithome.com.tw/news/148087" target="_blank">去年也曾傳出</a>證實11月上旬遭人非法駭入網路，攻擊者疑似已存取客戶及公司網路架構資訊。</p> <p><a href="https://twitter.com/cyber_etc/status/1511247389226635264" target="_blank">Konica Minolta則傳出3月底遭駭</a>。這家日本印表機公司<a href="https://www.konicaminolta.com/global-en/newsroom/topics/2022/0404-02-01.html" target="_blank">本周稍早公告</a>，該公司行銷業務位於倫敦的東歐及中東、非洲分公司（Konica Minolta Marketing Services EMEA）於3月底發現一臺伺服器遭非授權存取，該公司當下已關閉部分網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-conti-600-2.jpg" style="width: 500px;" /></p> <p>Konica Minolta表示目前正在進行調查，但初步調查顯示這次事件沒有造成客戶資訊或個資外洩。</p> <p>此外，歐洲方面還接連傳出一家福特歐洲（Ford Europe）旗下的汽車經銷子公司<a href="https://twitter.com/SOSIntel/status/1510941275259817984/photo/1" target="_blank">Ford Retail Group</a>、衛浴設備Barwick及荷蘭房屋租賃業者<a href="https://twitter.com/_bettercyber_/status/1511087841727680512/photo/1" target="_blank">ZAYAZ housing</a>等也遭Conti毒手，並公布部份資料。目前只有F<a href="https://www.trustford.co.uk/" target="_blank">ord Retail Group</a>做出反應，該公司表示目前正在調查內部「系統斷線」問題。</p> <p class="rtecenter"><a href="https://twitter.com/SOSIntel/status/1510941275259817984" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-conti-600.png" style="width: 450px;" /></a></p> <p>至於攻擊這些公司是否全部是Conti所為則不得而知。Conti於烏俄戰爭之初宣稱將站在俄國政府陣線，遭代號Contileaks的烏克蘭籍研究人員於<a href="https://www.ithome.com.tw/news/149666" target="_blank">3月初</a>及<a href="https://www.ithome.com.tw/news/150030" target="_blank">月底</a>兩度公開加、解密金鑰、駭客工具程式碼及管理系統資料等。當時就有媒體推測，一旦工具公開，可能遭其他人再製成其他惡意程式發動攻擊。</p> </div></div></div>
2022/4/7 11:53作者林妍溱https://www.ithome.com.tw/news/150302
Ruby也要支援WebAssembly
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ruby-lang.org/en/news/2022/04/03/ruby-3-2-0-preview1-released/">Ruby 3.2.0第一預覽版</a>已經釋出，官方在這個版本添加許多功能和效能改進，而最值得注意的是，從Ruby開始加入對WebAssembly的支援，以鼓勵開發人員在WebAssembly環境使用CRuby，另外，正規表示式現在加入逾時配置，避免Regexp執行的時間超過預期。</p> <p>程式語言WebAssembly原本的設計目標，是要在網頁瀏覽器中安全且快速的執行程式，後來跨出網頁瀏覽器開始能夠獨立執行，Ruby官方提到，在各種環境高效能地執行程式，不僅是網頁應用程式的需求，也是一般應用程式所需要的。</p> <p>Ruby 3.2透過WASI提供對WebAssembly的支援，WASI是WebAssembly的模組化系統介面，能夠支援WebAssembly跨平臺用例。由於WebAssembly在虛擬機器中執行，沒有系統介面，無法在作業系統上運作，因此Mozilla在2019年推出了WASI，提供了一個標準化介面，使得WebAssembly能夠擴展到更多的平臺上。</p> <p>Ruby加入對WebAssembly的支援，可讓CRuby二進位檔案在網頁瀏覽器、無伺服器邊緣環境，和其他WebAssembly嵌入器上運作。</p> <p>官方提到，由於WASI和WebAssembly仍在發展，而且基於安全理由，本身缺少一些功能，無法實作Ruby的Fiber、異常和垃圾回收等功能，因此CRuby使用JavaScript打包器Asyncify，以二進位檔案轉換技術，在使用者空間控制執行，來彌補缺少的部分。另外，官方也在WASI之上建立了虛擬檔案系統，開發者可以將Ruby應用程式打包成單個.wasm檔案，讓Ruby應用程式發布更加簡單。</p> <p>Ruby 3.2另一個新功能，則是在正規表示式加入逾時功能，由於Regexp比對可能花費意想不到的時間，而惡意攻擊者可能藉此以精心設計的輸入，來對效率低下的正規表示式，發動DoS攻擊，官方提到，透過在Ruby應用程式加入Regexp.timeout逾時設定，將可有效緩解DoS風險。不過Regexp.timeout是一個全域設定，開發者要對特殊Regexp使用不同的逾時配置，則需要進行額外的配置。</p> </div></div></div>
2022/4/7 12:20作者李建興https://www.ithome.com.tw/news/150303
微軟開始預覽採用Ampere Altra Arm處理器的Azure VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/zh-tw/blog/now-in-preview-azure-virtual-machines-with-ampere-altra-armbased-processors/">宣布</a>推出採用Ampere Altra Arm處理器的Azure虛擬機器，新的虛擬機器型號包括通用的Dpsv5，和記憶體最佳化的Epsv5，目標針對需要高效能橫向擴展的工作負載、資料庫、Java應用程式和媒體伺服器等，較基於x86的同等級虛擬機器，提供高出50％的性價比。</p> <p>Dpsv5和Epsv5虛擬機器系列，所使用的Ampere Altra Arm處理器時脈為3.0 GHz，可使用 vCPU多達64個，每個vCPU可配置2 GiB、4 GiB 和 8 GiB記憶體，提供40 Gbps網路，並且擁有本地端SSD儲存可選。</p> <p>當前預覽版的虛擬機器，支援Arm版本的Canonical Ubuntu Linux、CentOS、Windows 11專業版與企業版，即將支援的作業系統還有RHEL、SUSE Linux Enterprise Server、Debian、AlmaLinux和Flatcar。</p> <p>新的Dpsv5虛擬機器可以執行多種Linux企業工作負載，像是網頁伺服器、應用程式伺服器、開源資料庫、.NET應用程式、Java應用程式、遊戲伺服器和媒體伺服器等，同時微軟也推出Dpldsv5虛擬機器系列，每個vCPU擁有2 GiB記憶體，提供不需要大量記憶體的工作負載，經濟高效的虛擬機器。</p> <p>Epsv5虛擬機器則能滿足以Linux為基礎的記憶體密集工作負載，像是資料庫、記憶體快取應用程式、遊戲和資料分析引擎。Dpsv5、Dplsv5 和 Epsv5虛擬機器系列，以較低的價格提供沒有臨時存儲的選項，用戶可以將標準SSD、標準HDD和進階SSD，附加到這些預覽版的虛擬機器上，官方提到，接下來將會推出Ultra Disk Storage，以及虛擬機器Scale Sets支援。</p> <p>微軟提到，大多數主要的開發人員平臺和語言，都已經準備或是已經提供Arm支援，因此新的虛擬機器也能使用這些既有的開發資源。.NET平臺從.NET 5開始，在Linux上開始提供對Arm架構的原生支援，.NET Framework 4.8.1也加入對Arm的原生支援，而且最新的Visual C++工具，供開發者在Arm上建置執行於Arm的應用程式。</p> <p>Java開發人員也可以使用Microsoft Build of OpenJDK，來建置和執行應用程式，微軟提供相容Arm，可用於Windows、Linux和macOS的Java 11和Java 17二進位檔，另外，VS Code也早已經可以原生在Arm上運作。</p> </div></div></div>
2022/4/7 10:22作者李建興https://www.ithome.com.tw/news/150284
加拿大打算立法要求科技巨頭與出版社分享利潤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.canada.ca/en/canadian-heritage/news/2022/04/government-introduces-a-bill-to-ensure-fair-compensation-for-news-media-and-the-sustainability-of-local-news.html" target="_blank">加拿大文化遺產部部長Pablo Rodriguez於4月5日提出《線上新聞法令》（Online News Act）</a>，計畫要求科技巨頭付費給境內的媒體，儘管沒有點名任何的業者，但顯然是衝著Google及臉書而來。</p> <p>Rodriguez表示，從2008年以來，加拿大已有450家新聞媒體倒閉，光是最近這兩年就有超過60家關門大吉，主要原因為數位平臺及社交媒體已然成為人們發現、閱讀及分享新聞的入口，此一趨勢也讓新聞媒體的廣告營收流向這些入口。2020年時，加拿大的網路廣告營收為97億美元，但光是兩家業者就囊括了其中的8成以上，已是解決市場失衡的時候了。</p> <p>文化遺產部指出，《線上新聞法令》類似澳洲法令，打算藉由該法來支持自由與獨立的新聞媒體，以協助數位新聞市場的可持續性，以及當地新聞內容的製作，在不實資訊日益流竄且大眾的不信任增加時，此一立法將能確保加拿大民眾可獲得更高質感且基於事實的新聞。</p> <p>雖然加拿大並未指名道姓，但所指的兩家業者顯然就是Google及Meta旗下的臉書，所參考的法令則是<a href="https://www.ithome.com.tw/news/142902" target="_blank">澳洲政府於去年頒布的《新聞媒體議價法令》（News Media Bargaining Code）</a>。</p> <p>《新聞媒體議價法令》要求業者必須支付適當的授權費用予新聞媒體，當時Google及臉書不僅威脅要退出澳洲市場，<a href="https://www.ithome.com.tw/news/142774" target="_blank">臉書也曾一度封鎖澳洲的新聞內容</a>，最後是澳洲政府讓步，修改了部分條款，允許臉書私下與媒體達成協議，而不強制以公權力介入，且同意在祭出法規的前一個月先行知會Google及臉書。</p> <p>不過，這兩家業者也在澳洲政府的堅持下，各自與澳洲當地的多家媒體達成付費協議。</p> <p>至於加拿大的《線上新聞法令》將允許境內規模不一的媒體得以集體與業者議價，讓它們能以更平等的條件與這些科技巨頭談判，若談判不成最終將會進入仲裁。</p> </div></div></div>
2022/4/7 10:32作者陳曉莉https://www.ithome.com.tw/news/150297
Databricks正式推出自動化ETL框架DLT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apache Spark技術團隊所創立的資料處理軟體公司Databricks，全面推出<a href="https://databricks.com/blog/2022/04/05/announcing-generally-availability-of-databricks-delta-live-tables-dlt.html">Delta即時資料表格（Delta Live Tables，DLT）</a>，供用戶使用簡單的宣告式方法，大規模建構資料工作管線，並且自動管理資料基礎設施。Delta即時資料表格已經在AWS和Azure雲端正式上線，並在Google雲端進入公開預覽階段。</p> <p>ETL中的串流和批次處理工作負載，是資料分析、資料科學和機器學習應用的基本，官方提到，要將大量原始且非結構化的資料，轉成乾淨、可信的資訊，是一項重要工作，因為如此才能將其用於業務之中。</p> <p>但是傳統上，要轉換SQL查詢用於生產環境的ETL工作管線，需要大量繁瑣且複雜的操作，即便規模很小，資料工程師也需要花大量的時間在工具和管理基礎設施上，資料可觀察性和治理也受到挑戰，而Databricks建構DLT，便是要來解決這些問題。</p> <p>DLT是一個ETL框架，完全支援Python和SQL，讓用戶以簡單的宣告式方法，建構資料工作管線並自動管理基礎設施，如此資料工程師便能減少花費在工具上的時間，用更多的時間分析資料，從資料中獲取價值。藉由使用DLT，資料工程師可以將資料視為程式碼，應用測試、錯誤處理、監控、歸檔等軟工最佳實踐，部署大規模工作管線。</p> <p>DLT原生支援現代軟工最佳實踐，供用戶可以獨立進行開發以及部署前測試，參數化部署和管理環境，以及執行單元測試。DLT還能夠自動管理基礎設施，由用戶配置最小和最大執行個體數量，並讓DLT依據叢集利用率，調整叢集大小，進而自動擴展基礎設施。</p> <p>由於DLT會自動縮放批次或串流處理工作管線，因此能夠最佳化用戶成本，官方提到，DLT與一般強制分開串流和批次處理的工作負載工具不同，DLT供用戶使用單個API支援任何類型的資料工作負載，因此資料工程師能夠以更簡單且快速的方式，建立起雲端規模資料管線。</p> <p>另外，DLT內建品質控制、測試、監控等工具，使用戶能夠更簡單地創建可信資料來源，確保商業智慧、資料科學和機器學習應用準確且有用。DLT中一個稱為Expectations的功能，能夠避免不良資料流入表中，隨時間持續追蹤資料品質，還提供工具讓用戶能以各種粒度檢視資料，解決品質不良的資料。</p> </div></div></div>
2022/4/7 10:39作者李建興https://www.ithome.com.tw/news/150296
美、英警方拿下攻擊WatchGuard、華碩設備的惡意程式Cyclops Blink網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/justice-department-announces-court-authorized-disruption-botnet-controlled-russian-federation" target="_blank">美國司法部宣布</a>，聯邦調查局（FBI）已破壞年初感染<a href="https://www.ithome.com.tw/news/149551" target="_top">WatchGuard</a>、<a href="https://www.ithome.com.tw/news/149978" target="_blank">華碩</a>的Cyclops Blink殭屍網路程式的基礎架構。</p> <p>Cyclops Blink是在今年2月首先為安全研究人員發現。它先是感染WatchGuard全球約1%的防火牆及中小型企業路由器，而後於3月攻擊華碩路由器。研究人員相信它是隷屬於俄國情報局（GRU）的駭客組織Sandworm所開發，後者是全世界最頂尖也最兇狠的駭客組織，據信涉及NotPetya勒索軟體並攻擊2018年平昌冬奧網站，也曾策畫攻擊烏克蘭電廠。</p> <p>研究人員研判Cyclops Blink是取代Sandworm之前開發的殭屍網路程式VPNFilter。VPNFilter也是為害甚烈的惡意程式，Linksys、Netgear、QNAP、TP-Link網路裝置都曾成為其受害者。美國FBI和思科於2018年合作摧毁了VPNFilter的網路基礎架構，當時共有50萬臺裝置遭到感染。Cyclops Blink等於是重新借用了VPNFiter之前建立的基礎架構，不過Cyclops Blink殭屍網路裝置數量少了將近40%。</p> <p>雖然WatchGuard和華碩相繼釋出修補程式，但到3月中全球大部分被感染的裝置都還是沒修補，於是美英警方採取主動出擊。</p> <p>美、英警方偕同WatchGuard於3月發動破獲Cyclops Blink網路的行動。警方人員遠端存取遭感染的WatchGuard裝置，紀錄C&C裝置序號，複製惡意程式，最後從這些機器清除Cyclops Blink，同時關閉其管理傳輸埠以防止Sandworm日後存取並駭入。這次行動只關閉了Cyclops Blink的通訊基礎架構，未能摧毁Sandworm以其他殭屍網路程式建立的網路基礎架構。</p> <p>為免爭議，FBI強調，存取這些裝置過程中並未蒐集裝置的其他資訊，FBI也沒有和這些受害裝置建立連線。</p> </div></div></div>
2022/4/7 11:13作者林妍溱https://www.ithome.com.tw/news/150300
ERP大升級實現行動化管理，富強鑫更靠IT改造邁向智慧工廠
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每天早上都要來杯咖啡，是許多臺灣人的日常，但你知道嗎？許多連鎖咖啡店，包含星巴克咖啡用的塑料杯蓋，甚至不少咖啡杯，都是來自台南鄉下一間傳產工廠的機臺所生產出來，靠著這些生產機臺才足以供應臺灣每年至少上億杯咖啡所需的杯蓋用量。不只生產咖啡杯蓋，許多生活日常用品，小從保特瓶蓋、球鞋，大到桌椅，還有不少車用的車燈殼、保險桿、儀表板等零組件，都是出自這家公司的機臺之手。</p> <p>走進這家工廠，卻一點也不傳產，現場結合許多現代化科技來優化工廠管理，宛如大型製造公司才有的數位化或智慧化場景，在這裡也都看得到，從人員用刷臉報工，到運用QR碼來掌握機臺組裝資訊，甚至所有生產進度都可即時在數位資訊看板上呈現，管理者可以一目了然。從今年開始，這家公司維修工程師到客戶端進行機臺檢修保養時，只需手持平板iPad就能完成所有維護作業，全程無紙化作業。</p> <p>一手推動工廠生產管理行動化和智慧化的幕後關鍵人物，就是富強鑫精密工業總管理處協理張銀鶯及其IT團隊。</p> <p><span style="font-size:28px;"><strong>2005年朝向集團化發展，資訊部門被賦予更大的IT重任</strong></span></p> <p>身為臺灣老字號塑膠射出成型機製造商，富強鑫的資訊化很早，早從1999年就導入ERP系統，是當時臺灣機械產業中最早一批採用者。不光是積極推動資訊化，這家公司e化腳步也相當早，正當網際網路開始起飛之際，富強鑫在2001年就已經開始透過網際網路與所有供應商進行交易，取代傳統紙本傳真，也是當時導入B2B線上採購的南臺灣企業第一家，「富強鑫規模雖不是最大，可是我們是最有決心，甚至300家供應商都透過Internet來下單。」張銀鶯回憶說。</p> <p>富強鑫一直以來對IT相當倚重，因為富強鑫高層相當清楚，驅動公司營運成長的關鍵，正是資訊化與數位化，就在2005年公司開始集團化向海外擴大布局之際，IT部門也承擔更大的責任，富強鑫還為此重新調整IT組織，將資訊部升為資訊中心，並由張銀鶯擔任該中心的資訊主管，協助推動集團資訊化。</p> <p>張銀鶯上任第一件事，就是在集團內導入GLM全球運籌管理系統，來解決過往集團內資訊不互通的問題。她表示，以往各海外工廠或分據點，雖使用與臺灣總部同一套ERP系統，但彼此之間的資訊沒有互通，沒辦法統一管理。為了解決這個問題，資訊部門自行開發一套GLM系統來統合海內外系統，包含採購等，由點到面的集中管理集團的資源，來避免形成資訊孤島，經過資源整合後，也幫助集團發揮更大綜效。</p> <p><span style="font-size:28px;"><strong>10多年老舊ERP系統大改版，開始支援行動化應用</strong></span></p> <p>在經過10多年資訊化、數位化發展後，富強鑫在2019年歷經最大一次ERP改版更新，也就是這一年，富強鑫開始往行動化方向來發展。</p> <p>不像其他傳產業ERP，大多採用套裝軟體，因為機械產業特性，富強鑫走的是少量多樣客製化生產的商業模式，所以早期是採用Oracle資料庫，搭配部分套裝加上客製軟體，來打造自己的ERP系統，來滿足自身行業需求。張銀鶯自己更要求資訊單位必須掌握技術核心的原始碼，以便讓IT人員後續能在這套系統上自行增加新功能，滿足業務上的需求。</p> <p>這些年來，隨著公司營運規模逐年擴大，產品更多元且多樣，從傳統機臺到提供智慧機臺解決方案都有，富強鑫許多關鍵核心的資訊系統，長年使用下來，也面臨到老舊必須要汰換的難題。</p> <p>尤其ERP是製造業的核心命脈，卻已經是用了10多年的老舊ERP系統，加上許多客製功能，來滿足各種業務所需，長期下來，不只系統本身越來越複雜且龐大，也增加了管理的難度，甚至因為系統老舊，也無法支援現代化的應用，逐漸跟不上公司發展的腳步，這也成了富強鑫IT部門所要面對的IT考驗。</p> <p>為了解決這個問題，張銀鶯在2017年時開始評估汰換ERP系統，但考慮到若是改用新ERP來取代，對於現有作業或流程影響幅度過大，加上原有ERP系統使用迄今，擁有非常多實務經驗積累，張銀鶯經過評估後，決定採取升級ERP方式，而不重新建置一套。資訊團隊最後花了1～2年時間執行，並在2019年完成上線。這次ERP更新不僅僅是富強鑫歷來最大一次改版更新，更是這家傳產公司轉型跨出的關鍵一步。</p> <p>「早期是10倍速競爭的時代，現在已經是百倍速了」張銀鶯直言，在全球市場競爭下，未來行業競爭只會更加激烈，尤其塑膠射出成型產業更是如此，想要從激烈的競爭中勝出，富強鑫必須轉型，具備快速反應的能力，來回應市場變化。</p> <p>富強鑫轉型第一步，就是先從核心ERP的改造著手，在新版ERP中開始提供網頁版ERP功能，能夠支援行動化管理應用，藉此提升人員管理及作業效率，同時，資訊團隊也透過版本升級來檢視和確認現有流程與實際運作，來持續優化流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0P2%E6%8A%BD%E8%A8%80%E5%9C%96%E6%AA%94%EF%BC%9A%2021(%E6%8A%BD)_%E5%AF%8C%E5%BC%B7%E9%91%AB%E7%B2%BE%E5%AF%86%E5%B7%A5%E6%A5%AD_20220328(1).JPG" style="width: 471px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>富強鑫精密工業總管理處協理張銀鶯表示， IT人員必須具備商業素養，不能只懂技術面，與高層和外部單位溝通才不會有隔閡。</strong></span></span></p> <p><span style="font-size:28px;"><strong>售後服務結合行動平板，讓檢修作業全程無紙化</strong></span></p> <p>2019年完成ERP更新後，資訊團隊陸續在工廠端現場和售後服務端導入行動應用。以售後服務為例，以前維修工程師到客戶端進行機臺設備檢修時，到了現場得打電話回公司請負責人員從ERP系統查詢客戶機臺資訊，才能進行後續的檢修動作，但富強鑫今年開始在售後服務導入行動iPad平板後，工程師使用平板就能回報處理進度，從平板打開線上ERP就能查看顧客機臺履歷，還能用平板拍照記錄或故障描述，維修後客戶只需在平板上簽名就能完成確認，讓整個檢修作業也能無紙化，透過這種作業方式，不只服務顧客更有效率，人力調度也更即時。</p> <p>但對富強鑫而言，ERP更新還有個更大目的，就是為了與工廠MES系統進行整合而提早做準備，以便將資訊化管理從內部更進一步沿伸到工廠端的生產管理的資訊流，都能夠完整掌握。</p> <p>2019年新版ERP上線後，緊接下來，資訊部門開始在工廠端導入MES系統，並完成與ERP系統的整合。張銀鶯也說，以前ERP系統因為版本太舊，很難與MES系統整合，更新後的新版ERP就沒有這個問題。</p> <p>在整合MES以後，管理者現在從ERP系統上就能夠取得更完整的生產管理資訊，掌握生產排程和組裝進度。張銀鶯也舉例說，以前管理者從ERP系統看到生產管理資訊，都是慢了1～2日的舊資訊，因為是事後由人工輸入到ERP系統，速度實在太慢，如今，管理者馬上就能看到所有生產資訊，甚至透過系統化方式管理，也提高資訊的準確性，減少人為疏失或錯誤，提升整體的效率。</p> <p>不僅如此，現場組裝作業過程，都有保留完整記錄，人員遇到異常也能透過系統回報，系統會根據異常事件種類自動發送Line和Email通知負責單位到場處理，就連人員派工管理也結合人臉辨識技術，只需刷臉，就可自動記錄人員工作內容、時間，甚至也能透過刷QR碼回報進度。就連關鍵零組件也用QR碼管理，提供日後維修之用。</p> <p><span style="font-size:28px;"><strong>打造更行動化的工廠管理，還結合資訊看板掌握組裝進度</strong></span></p> <p>去年在工廠內還建立一個生產管理資訊看板，能夠顯示MES即時資訊，像是每個機臺的組裝進度、人員出勤狀況、來料進度，都集中到這個資訊看板上來呈現，還有不同顏色燈號來區分工作進度，比如紅燈代表進度落後，透過這個資訊看板，即使管理者不用到現場，遠端就能隨時監看工廠生產狀況。她表示，目前臺灣總部工廠已先導入，之後會逐步推向海外工廠。</p> <p>為了要提升營運，富強鑫近幾年開始借重數據分析，導入BI商業分析，用於銷售分析，提供給管理階層作為決策的參考，取得工廠MES生產管理資訊，加上原本ERP營運資訊，將有更多資訊能用於分析，成為決策有用的情報，協助公司營運成長。但她也坦言，情報到決策是最難的部分，不只是資料蒐集，還要將這些資料內化，成為對公司有用的情報，這件事並不容易，需要持續努力。</p> <p>資訊部門2019年也全面翻新供應鏈管理系統，導入雲端SCM系統，來與行動化緊密結合，而且還與Line平臺串接，現在採購人員只要送出採購單，系統就會根據下單對象自動將訂單訊息透過Line轉拋到負責的供應商，讓對方能馬上收到訊息通知，不用等到回公司查電腦才知道，「若按傳統採購方式就會太慢，必須跟行動化結合才夠快」她說。</p> <p>對於富強鑫來說，全面行動化的下一步，就是要從傳統工廠轉型為智慧工廠，這也是資訊團隊下一階段的IT挑戰。張銀鶯評估未來考慮引進AR、VR、AI以及大數據等新興技術，來加速公司轉型，像是可以使用AI預測零組件壽命，來提供顧客更好的售後服務等。</p> <p>即使與大型製造公司相比，屬於中型企業的富強鑫IT資源並不算多，為了爭取更多資源投入轉型工作，這些年來，張銀鶯靠著爭取政府科專計畫的補助，幫助這家公司順利完成了許多內部大型IT改造和升級，包括GLM、MES、SCM等。她分享這些年執行經驗，獲得最大好處，不單是資源加值，更能替資訊部門帶來加值效益，說服高層更願意投資IT，「連政府都願意出錢投資，老闆還有什麼不願意的呢」她說，儘管執行過程需面對不少壓力，但這些壓力，也成了IT部門持續成長的一股動力，發想出更多創新應用。</p> <p>不光是爭取更多IT資源，在人員管理上，張銀鶯也鼓勵IT人員必須發展不同的角色，她說：「IT人員必須具備商業素養，不能只懂技術面，與高層和外部單位溝通才不會有隔閡。」張銀鶯現在身分不只是IT主管，也同時擔任董事長特助，更是集團發言人，所以她對IT人員有更高期待，能夠站上最前線，替公司創造價值。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>張銀鶯　富強鑫精密工業總管理處協理</strong></p> <p>學歷：成功大學企管碩士</p> <p>經歷：1983年進到富強鑫，最早從程式設計師做起，一路擔任組長、課長、管理部副理，負責資訊和財務，資訊中心成立後接任資訊主管，不只推動公司內部資訊化，2019年更主導ERP升級及MES系統導入，希望透過內部IT改造和升級，協助公司轉型成智慧工廠</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>富強鑫精密工業</strong></p> <p>地址：臺南市關廟區埤頭里保東路269號</p> <p>網址：<a href="http://www.fcs.com.tw">www.fcs.com.tw</a></p> <p>成立時間：1974年</p> <p>主要業務：塑膠射出成型機研發、生產及銷售</p> <p>員工數：338人</p> <p>董事長：王伯壎</p> <p>總經理：王俊賢</p> <p>資本額：15億元</p> <p>年營收：約43億元（2021年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：總管理處協理</p> <p>資訊部門主管姓名：張銀鶯</p> <p>資訊部門名稱：資訊中心</p> <p>資訊部門人數：8人</p> <p>資訊部門分工：系統開發、機房維護（含硬體、資安）</p> <p>IT預算：約千萬元以上</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1999年：導入完整ERP系統，來取代舊系統</p> <p>2000年：建置訊息平臺及Workflow流程管理系統</p> <p>2001年：全面導入B2B供應鏈系統，改透過網際網路與供應商進行交易</p> <p>2005年：建置GLM管理系統，統籌集團全球資源並集中管理</p> <p>2015年：導入BI商業分析，用於銷售分析</p> <p>2017年：建置集團PDM管理系統</p> <p>2019年：完成舊版ERP升級改版，支援行動應用、導入MES製造執行系統、建置雲端iSCM供應鏈管理系統</p> <p>2022年：售後服務引進行動平板iPad，協助工程師加快客戶端機臺檢修及維護作業</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p1zhu_tu_tu_dang_15nei_ye_fu_qiang_xin_jing_mi_gong_ye_20220328.jpg" width="960" height="420" alt="" title="富強鑫精密工業總管理處協理張銀鶯" /></div></div></div>
2022/4/7 07:00作者余至浩https://www.ithome.com.tw/people/150241
組合優於繼承？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從Java 17正式釋出之後，在面對一些類別設計時，我都會思考著：類別是否在本質上為資料載體，如果可以的話，我就將之重構為record類別；然而，有一次在面對具有繼承架構的一組類別之際，卻讓我思考了很久：Java的record類別不能實現繼承，可是，那一組類別很顯然是資料載體啊？</p> <p>就函數式設計的觀點來看，record類別像是product型態，也就是，組合既有型態來建立新型態，如果不能實現繼承的話，可以改用組合啊？畢竟不是常有人說「組合優於繼承」嗎？</p> <p>然而，試著使用record類別，並採用組合的方式來重構之後，整個程式碼會變得冗長而不易閱讀，因為此時不得不使用模式比對，確認物件的實際型態，才能取得物件的值域，而明明這些物件具有相同值域。</p> <p>在重構之前，既有的類別因為有繼承關係，完全可以基於父類別型態來存取相同值域，這讓我有了一些疑問：這看來是個繼承優於組合的情況？在Java中，資料載體就不能同時享有組合與繼承的便利嗎？最重要的是，「組合優於繼承」真正的意義是什麼？</p> <p>就思考後的結論而言，我所需要的是，基於父型態觀點來操作子型態實例，以便取得特定的資訊，既然如此，「取得特定資訊」這個行為，一開始就是父型態就需要的行為，那麼，就規範為介面，因為record類別雖然不能實現繼承，然而，卻可以實作介面。</p> <p>也就是說，重構前既有的類別需要繼承關係，看似為了重用程式碼，將共同值域提升至父類別，其實真正之目的，是為了多型操作！</p> <p><span style="font-size:28px;"><strong>為了多型使用繼承</strong></span></p> <p>隨便在網路搜尋一下，就會知道繼承惡名昭彰，許多文件或書籍也會告誡：「不要濫用繼承」，也有著許多「多用組合少用繼承」之類的建議，於是，搞得好像用了繼承就是萬惡之事。只不過未經思考就接受某個口號式的觀念，從來就是最危險的事情。</p> <p>別的不說，如果我們想定義equals、hashCode、toString，不就必須透過繼承Object來達成嗎？難道定義equals等方法也是萬惡之事？</p> <p>我們應該思考的是，透過繼承Object來重新定義equals等方法之目的。</p> <p>就根本來說，每個物件其實會有雜湊碼、字串描述等基礎狀態，而且，每個物件都會需要equals、toString等方法，既然Java每個物件都是Object的衍生，就直接定義在Object，以便於進行多型操作，也就是equals等方法，除了提供預設實作，也是在規範行為。</p> <p>類似地，如果某種物件都具有某些基礎狀態，也需要有共同的行為，以便進行多型操作，使用繼承合情合理，例如Java的例外繼承架構，Throwable就規範了基礎狀態與共同行為，各種例外都是Throwable的衍生。</p> <p>也就是說，為了多型而使用繼承可以是個出發點，以此來進行設計上的變化。</p> <p>例如，想在父類別規範主要流程，真正的行為實現推給子類別實作，像是物件有一套生命週期，然而，在這個週期當中，我們可以讓使用者能安插一些自訂流程或註冊自訂服務，也就是想讓使用者能實現plugin；又或者想實現某種框架，其中實作了某些通用的商務流程，然而細節部份，可以讓使用者自訂。</p> <p>就比較小的範疇而言，設計模式中行為分類樣版方法（Template method），就是這類使用繼承的思考方向之一；進一步地，如果不需要有共同的基礎狀態，或者也不需要有預設實作，或許可以透過定義介面來達成，Java的介面就是一種廣義的多重繼承，這就是方才談到，資料載體也可以透過介面來達成多型需求的原因。</p> <p>有些語言完全沒有繼承，例如Go語言是基於結構來定義資料型態，透過結構與結構的組合來構造更多元的型態，然而還是有需要以相同行為看待資料的場合，Go語言也提供了介面概念的語法，目的就是為了實現多型。</p> <p><span style="font-size:28px;"><strong>誤用繼承的氣味</strong></span></p> <p>除了積極地思考，只為了多型而使用繼承，那麼，既有的程式碼，可否有什麼氣味，能嗅出誤用了繼承的可能性呢？</p> <p>氣味之一是，僅僅因為流程重複，從數個原本不相關的類別，硬是提取出父類別來收納重複的程式碼，然而，這並不是在實施重構手法的提升方法（Pull Up Method），提升方法必須用於觀察到既有子類別有重複行為。視需求而定，採用裝飾（Decorator）模式或策略（Strategy）模式，可能會是較佳的重構方向。</p> <p>如果子類別的方法中使用了super，有可能是誤用了繼承。例如，父類別希望子類先以super呼叫父類被重新定義的方法，沒有機制可以強制子類這麼做，而且，這限縮了子類的行為，採用樣版方法模式會是比較好的作法。</p> <p>就算並非父類的期許，子類使用super呼叫了被重新定義的父類方法，本身就常被視為反模式，因為super意謂著父類實例，既然是個實例，表示也有基於組合的設計可能性。</p> <p>然而，這也不能說使用了super就不對。如果類別之間真的有強烈的is a關係，例如，Throwable與Exception之間的關係，那麼，使用super還是有其必要性。</p> <p>然而，誤用繼承時最難辨別的氣味就是is a關係，有時乍看是is a關係，其實並不是，例如，3D座標點是一種2D座標點嗎？正立方體是一種正方形嗎？表面看來，三維似乎是二維的延伸，一不小心就會誤用繼承從二維擴充為三維；一個簡單的判定方式是，子類若增加了值域，而且必須重新定義某些方法，將增加的值域納入運算考量，就有可能是誤用繼承。</p> <p>例如，Point3D增加了z值域，因而必須重新定義equals，將z的比較納入考量，而這就是誤用繼承，如果有個compare方法是從父型態觀點Point2D來實現比較，此時，就有可能傳入了一個Point2D，以及一個Point3D，然而，如果從compare的觀點來看，不會知道有z的存在，也就是說，繼承其實是會隱藏狀態，而這也是record類別不讓開發者實現繼承的原因之一。</p> <p><span style="font-size:28px;"><strong>繼承提供了約束性</strong></span></p> <p>「組合優於繼承」真正的意義，並不是別使用繼承，也不是非到最後關頭才使用繼承（究竟什麼叫最後關頭？），而是在說，如果不需要繼承提供的約束性，請使用組合，必要時使用行為的多型，若進一步需要繼承（強烈的）約束性，才使用繼承來實現多型。</p> <p>有時要解決的問題領域中，某些模型的型態架構已知，若能使用繼承施以約束性，問題就會比較容易解決，而Java 17提供了sealed類別，只是進一步讓這件事變得更加容易一些。</p> <p>如果在需求上真的需要繼承的約束性，組合就不見得優於繼承，雖然沒有繼承，也可以解決問題，只是有時候會麻煩一些，甚至只能依賴一些約定或慣例。</p> <p>因此，別太盲從「組合優於繼承」這類簡單的教條，那只是個思考的方向，並不是設計的終點！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B5%84%E5%90%88%E5%84%AA%E6%96%BC%E7%B9%BC%E6%89%BF">組合優於繼承</a></div><div class="field-item odd"><a href="/tags/record%E9%A1%9E%E5%88%A5">record類別</a></div><div class="field-item even"><a href="/tags/java-17">Java 17</a></div><div class="field-item odd"><a href="/tags/%E7%B9%BC%E6%89%BF">繼承</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div></div></div>
2022/4/7 07:00作者林信良https://www.ithome.com.tw/voice/150251
【資安日報】2022年4月6日，Spring漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周Java框架Sping發現重大漏洞，由於熱門框架影響層面廣，因此許多資安業者持續關注該漏洞遭利用的情形，近日就有資安業者公布了最新的發現，例如Check Point指出他們在短短四天內，已遙測到上萬次針對CVE-2022-22965漏洞的嘗試利用，並有16%的企業組織受影響，而微軟也提及在自家雲基礎架構與服務中，追蹤到少量嘗試利用的情形。這樣的情況，也顯示有一些駭客鎖定剛出現的漏洞，利用尚未修補的空窗期，正對企業發動嘗試性攻擊。</p> <p>另一方面，在資安防護態勢上，近日也有兩大消息值得關注。首先，軟體供應鏈攻擊已成近年資安圈一大關注焦點，而近日Go語言揭露如何減緩供應鏈攻擊，讓更多開發人員可以思考該如何防範相依項目遭破壞的問題；其次，面對駭客組織入侵如何有效偵測與防護，近日MITRE ATT&CK第四輪評估計畫結果正式公布，不只模擬出Wizard Spider與Sandworm駭客組織的入侵方式，呈現產品的偵測與防護結果，也成為連假期間企業與資安業者所關注的另一大焦點。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.checkpoint.com/2022/04/05/16-of-organizations-worldwide-impacted-by-spring4shell-zero-day-vulnerability-exploitation-attempts-since-outbreak/"><strong>有16%的企業組織面臨針對SpringShell漏洞的嘗試性攻擊</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源Check Point.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Check%20Point.jpg" style="width: 280px; float: right;" /></a></p> <p>上週Spring框架核心存在RCE漏洞被揭露，並出現概念性驗證攻擊程式，雖然Spring官方在3月31日緊急釋出更新修補，並公開CVE-2022-22965漏洞，但此次漏洞危害情形受外界關注。在4月5日，資安業者Check Point公布最新的分析報告，指出在漏洞曝光後的4天之內，他們透過遙測技術，截獲關於這些漏洞利用嘗試的情況，共有多達3萬7千次鎖定Spring4Shell漏洞的嘗試利用，並指出全球有16%的企業組織，遭受嘗試性漏洞利用的影響。較特別的是，當中並指軟體供應商受衝擊的比例達28%，在所有產業中稍稍偏高，其次為教育與研究機構、保險與法律業，ISP與MSP、以及金融與銀行業，受衝擊比例均在25%以上。</p> <h3><a href="https://www.microsoft.com/security/blog/2022/04/04/springshell-rce-vulnerability-guidance-for-protecting-against-and-detecting-cve-2022-22965/"><strong>駭客利用SpringShell鎖定微軟雲端服務下手</strong></a></h3> <p>在上週SpringShell漏洞揭露之後，相關攻擊態勢持續受關注，最近微軟公布了CVE-2022-22965漏洞的檢測方式與指南，當中也談到了他們觀察到駭客利用該漏洞鎖定微軟雲端服務的經過。根據微軟在4月4日的說明，該公司為了更好地做出防禦，會定期監控針對自家雲基礎架構與服務的攻擊。而在Spring核心漏洞揭露以來，他們已經追蹤到少數嘗試利用的情形，也就是針對Spring Cloud與Spring Core漏洞的攻擊嘗試，不過就現階段來看，微軟認為，目前攻擊數量或新活動沒有顯著增加，同時微軟也藉由PoC攻擊過程的介紹，說明他們觀察到的漏洞嘗試利用活動，與此PoC非常相近，當中並指出，攻擊者若透過精心設計的HTTP請求，將可修改網路伺服器或應用程式中的敏感內部變量。</p> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/cicada-apt10-china-ngo-government-attacks"><strong>中國駭客APT10透過影音播放軟體VLC Player側載惡意程式</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)資安日報22020406_圖片來源賽門鐵克.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%BD%E9%96%80%E9%90%B5%E5%85%8B.jpg" style="width: 280px; float: right;" /></a></p> <p>一個月前，博通（Broadcom）旗下的資安團隊賽門鐵克（Symantec）揭露了來自中國駭客的高階後門程式Daxin，在4月5日，該團隊再揭露由中國政府支持的Cicada（又名APT10）駭客組織的間諜活動，並指出恐已持續數月之久。根據賽門鐵克說明，這次觀測到該組織的間諜活動，最早發生在2021年年中，最近一次活動則是2022年2月，顯然是一個長期持續的攻擊活動。就最新的攻擊活動來看，研究人員一開始是在Exchange Server上發現駭侵活動，應是利用未修補的已知漏洞入侵，當攻擊者存取了受害者機器，該組織部署了多種工具，包括客制化的下載器，以及Sodamaster後門程式，這些工具也被用在先前的Cicada攻擊活動中，特別的是，這次他們還發現攻擊者利用VLC媒體播放器，透過VLC的匯出功能，來執行駭客的下載器，並使用WinVNC工具以遠端控制受害機器。</p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://about.gitlab.com/releases/2022/03/31/critical-security-release-gitlab-14-9-2-released/"><strong>程式碼代管平臺GitLab出現重大漏洞，攻擊者可用於接管帳號</strong></a></h3> <p>GitLab近日發布安全公告，說明內部團隊發現CVE-2022-1162重大漏洞並已修補，此漏洞將影響GitLab Community Edition（CE）與GitLab Enterprise Edition（EE）版本，導致基於OmniAuth的GitLab CE/EE在註冊過程中，無意間設定為靜態固定密碼。現階段，雖然GitLab尚未接獲任何用戶反映遭駭，但為了保險起見，GitLab在修補當天就已主動重設特定用戶的密碼，另也釋出一個腳本程式，供管理人員得以辨識哪些使用者帳號受到CVE-2022-1162漏洞影響。</p> <h3><a href="https://success.trendmicro.com/dcx/s/solution/000290678"><strong>趨勢科技修補資安防護主控臺Apex Central的RCE漏洞</strong></a></h3> <p>近期趨勢科技發布產品安全公告，說明發現Apex Central平臺存在一項RCE漏洞，現已釋出修補，並指出已有攻擊者意圖鎖定該漏洞的活動，呼籲用戶應盡速修補。根據趨勢科技的說明，這次修補的是CVE-2022-26871漏洞，該漏洞存在於Apex Central平臺，也就是可供用戶可集中檢視所有端點、伺服器、網路及電子郵件安全防護狀態的中控臺。關於這項漏洞的危害與風險，趨勢科技表示，可讓未經授權的攻擊者上傳任意檔案，並遠端執行程式碼，安全風險值達到8.6分。</p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://go.dev/blog/supply-chain"><strong>防禦軟體供應鏈攻擊，Go公開五大安全設計原則</strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Go.jpg" style="text-align: right; width: 280px; float: right;" /></p> <p>面對軟體供應鏈安全議題，特別是來自相依項目所進行的供應鏈攻擊，近日Go官方部落格上，Go核心開發團隊安全負責人Filippo Valsorda發布專文，公開Go開發工具與流程的設計，說明Go是如何在各階段減緩軟體供應鏈攻擊，引發外界注目。當中揭露5大防禦供應鏈攻擊設計原則，包括：所有Builds應被鎖定，無法自外部更改；模組版本內容永不改變，並能驗證模組真偽；將VCS版本控制系統當作唯一的事實來源；應將建構的程式碼視為不受信任，並且不會自動執行；最後是Go生態系中最重要的緩解策略，頃向用一點複製而不是依賴增加新的相依項目，降低供應鏈風險。</p> <h3><a href="https://attackevals.mitre-engenuity.org/enterprise/participants/?adversaries=wizard-spider-sandworm"><strong>MITRE ATT&CK第四輪評估計畫結果出爐</strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)資安日報22020406_圖片來源MITRE Engenuity.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E8%B3%87%E5%AE%89%E6%97%A5%E5%A0%B122020406_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90MITRE%20Engenuity.jpg" style="width: 280px; float: right;" /></a></p> <p>為了幫助市場上端點防護產品提升偵測能力，MITRE ATT&CK評估計畫的舉行，已成為企業與資安產業都關注的評測項目，近期MITRE Engenuity公布第四輪結果。這一輪的評估計畫，共有30家資安業者產品參與，比前一輪的29家更多，而這次評估中所設想的攻擊對象，是以Wizard Spider與Sandworm駭客組織為預想攻擊情境，前者是具經濟動機的駭客集團，以大型企業與醫院為目標，並發動勒索軟體攻擊，後者是具破壞性的俄羅斯駭客組織，曾發動NotPetya勒索軟體攻擊，並攻擊過烏克蘭電氣公司。現在MITRE Engenuity公布各家參與資安業者的評估成果，供企業與業者了解各產品在每一入侵步驟上的偵測與防護能力。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/6 17:59作者羅正漢https://www.ithome.com.tw/news/150290
2022年臺灣Martech最新版圖出爐，工具大增5成以數據分析工具暴增最多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">亞太行銷數位轉型聯盟（AMT）今（4/6）日發表《<a href="https://i.imgur.com/oJ4UMs8.jpg">2022年臺灣行銷科技版圖</a>》，收錄了277種Martech工具，較去年版本的183種，多出51%，其中以「數據與分析」類別的工具增加最多（30種），「社群與關係」類別其次（21種）。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">AMT的Martech版圖，參考Martech之父Scott Brinker的全球Martech版圖，將工具劃分為6大類，分別是廣告技術、內容與體驗、社群與關係、商業與銷售、流程與管理，以及數據與分析。收錄在臺灣版圖上的工具，必須符合數項「支援在臺服務」的標準，例如該公司必須設有在臺窗口等，因此，有些知名國際廠商沒有收錄。去年版版圖的業者全數列入，沒有像國外Martech版圖中，有時會出現的大換血現象。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">近年數位行銷環境瞬息萬變，包含iOS 15的郵件隱私保護機制、Facebook及Youtube等社群媒體平臺演算法不斷調整，還有Google宣布Cookie將逐漸退場等，都成為企業擬訂行銷政策時必須考量的因素。AMT 協會理事長高端訓分析，臺灣Martech版圖大幅擴增，和這樣的環境變遷，息息相關，尤其客戶資料的蒐集和分析，是企業最近關心的焦點。</p> <p dir="ltr" style="line-height:1.7999999999999998;margin-top:12pt;margin-bottom:12pt;">工具增加第二多的類別，是社群與關係類別。AMT副理事長吳秀倫指出，此分類一直在國內外 MarTech 版圖中占比最大。他也觀察到，臺灣業者從量販、百貨業到小吃、飲料店，採用數位工具進行社群經營的情況隨處可見，此類別的成長動能可見一斑。</p> <p><span><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;"><img alt="" src="https://s4.itho.me/sites/default/files/images/growth.jpg" style="width: 600px;" /></span></span></p> <blockquote><p>AMT發表的《2022年臺灣行銷科技版圖》中，各類別Martech工具的成長情況。圖-AMT提供</p> </blockquote> </div></div></div>
2022/4/6 18:26作者郭又華https://www.ithome.com.tw/news/150295
德國破獲全球最大暗網市集Hydra Market，美國著手展開制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bka.de/DE/Presse/Listenseite_Pressemitteilungen/2022/Presse2022/220405_PM_IllegalerDarknetMarktplatz.html" target="_blank">德國打擊網路犯罪的中央辦公室（ZIT）與德國聯邦刑警（BKA）在周二（4/5）宣布</a>，在與美國各執法機構自去年8月聯手調查暗網市集Hydra Market之後，已於本周接管了Hydra Market位於德國的伺服器基礎設施，扣押了價值2,300萬歐元的比特幣，同一天<a href="https://home.treasury.gov/news/press-releases/jy0701" target="_blank">美國財政部亦宣布針對Hydra Market及相關的加密貨幣交易平臺Garantex展開制裁</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-HYDRA%20image%20by%20German%20Federal%20Criminal%20Police%20Office%EF%BC%88BKA%EF%BC%89.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／德國聯邦刑警（BKA）</span></p> <p>Hydra Market設立於2015年，它是最著名的俄羅斯暗網市集，也是目前全球最大的暗網市集，它銷售各種勒索軟體即服務（RaaS）、駭客服務與軟體、個人資訊、偽鈔、盜來的虛擬貨幣及毒品等，Hydra Market的營收從2016年的1,000萬美元成長到2020年的13億美元，迄今Hydra Market已有1,700萬名註冊用戶，賣家帳號則有1.9萬個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0406-HYDRA%20image%20by%20German%20Federal%20Criminal%20Police%20Office%EF%BC%88BKA%EF%BC%89-2.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／德國聯邦刑警（BKA）</span></p> <p>美國財政部外國資產控制辦公室（OFAC）表示，Hydra Market所經手的勒索軟體加密貨幣交易大約有800萬美元，涉及Ryuk、Sodinokibi與Conti等知名勒索軟體，而且根據區塊鏈研究人員的估計，各個俄羅斯加密貨幣平臺所收到的非法比特幣中，就有86%來自Hydra Market。</p> <p>美國財政部則在德國宣布接管並關閉Hydra Market的同一天，指出將對Hydra Market與專門提供非法加密貨幣交易服務的Garantex祭出制裁。</p> <p>Garantex是個在2019年於愛沙尼亞設立的虛擬貨幣交易中心，但它主要經營俄羅斯市場。分析顯示，透過Garantex所進行的加密貨幣交易中，有超過1億美元涉及暗網及非法人士，當中有600萬美元與俄羅斯勒索軟體Conti有關，並有260萬美元與Hydra Market有關。</p> <p>美國的制裁在於凍結Hydra Market及Garantex相關的實體與個人在美國的資產，也禁止美國人與這些個人或實體交易。</p> <p>不過，德國與美國並未公布涉及Hydra Market及Garantex的實體或個人，此次的行動亦未逮捕任何嫌犯。</p> </div></div></div>
2022/4/6 16:39作者陳曉莉https://www.ithome.com.tw/news/150285