iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 27篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 139 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年4月25日，電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天上午的資安新聞中，有幾個資安事故引起我們的注意。首先，是頻繁在2月底至整個3月，屢次聲稱他們攻陷IT大廠、作風相當囂張的駭客組織Lapsus$，最近又傳出有新的組織成為受害者。</p> <p>另一個也相當值得關注的事故，則是與雲端服務配置不當，而遭到殭屍網路LemonDuck鎖定的情況。這樣的情況，上週末也有類似的殭屍網路攻擊行動。</p> <p>日前<a href="https://www.ithome.com.tw/news/150373">IT業者Atlassian在4月上旬，因為其服務大斷線影響許多用戶</a>，而引起各界關注。但最近該公司再度出現在新聞版面的原因，是他們針對專案追蹤軟體Jira的一項重大漏洞CVE-2022-0540提出警告。</p> <p>在這個週末也有工業控制系統漏洞懸賞競賽Pwn2Own Miami for 2022、漏洞懸賞專案Hack DHS的執行結果出爐，但值得留意的是找到漏洞的獎金都不算高──前者平均1個漏洞約1.5萬美元，後者每個平均不到1千美元，但這些漏洞存在於工業控制系統，以及國防單位，一旦遭到利用，後果可能會相當嚴重。相關單位或許應該提高獎勵額度，來增加研究人員找出有關漏洞的意願。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile傳出遭到駭客組織Lapsus$入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png" style="width: 300px; float: right;" /></a>在3月份大肆公布受害者的<a href="https://www.ithome.com.tw/tags/lapsus">駭客組織Lapsus$</a>，最近有研究人員發現新的攻擊行動。資安新聞網站Krebs On Security指出，他們針對Lapsus$核心成員在Telegram頻道的對話內容進行分析後發現，該組織疑似在3月多次入侵T-Mobile，並竊得對方一系列的程式原始碼。該新聞網站指出，這些駭客入侵受害組織的初始管道，多半是從俄羅斯市集購得，然後成功進入到受害組織內部網路環境後，嘗試利用SIM卡挾持（SIM Swapping），來取得行動裝置管理（MDM）所需要相關資料，進而試圖竊取該公司的原始碼。</p> <p>針對上述的報導，T-Mobile向Krebs On Security表示，他們的確在幾個星期前，發現有駭客利用遭竊的帳密存取該公司內部系統，該公司亦迅速關閉入侵者的連線，遭到外洩的帳號密碼也已經重置。</p> <h3><strong style="font-size: 22px;"><a href="https://securityaffairs.co/wordpress/130505/cyber-crime/costa-rica-conti-ransomware.html"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊哥斯大黎加政府機關，癱瘓公務系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png" style="width: 300px; float: right;" /></a>日前美國、英國等多個國家提出警告，俄羅斯駭客將鎖定全球的關鍵基礎設施（CI）下手，近期已傳出相關事故。根據資安新聞網站Security Affairs的報導指出，哥斯大黎加政府的基礎設施上週遭到勒索軟體攻擊，影響該國財政部、勞動部等多個政府機關，勒索軟體駭客組織Conti聲稱是他們所為，並公布約50%竊得的資料，但發動攻擊的原因是否與哥斯大黎加譴責俄羅斯出兵有關？目前仍不明朗。</p> <p>哥斯大黎加總統卡洛斯．阿爾瓦拉多（Carlos Alvarado）表示，他們不會支付贖金，但他沒有證實攻擊者是否就是Conti。而這起網路攻擊所帶來的影響，根據新聞網站美聯社（AP）的報導，該國財政部為此被迫關閉大部分公職人員使用的系統數小時，且此系統亦與養老金支付有關，財政部延後了報稅的截止日期。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/lemonduck-botnet-targets-docker-for-cryptomining-operations/"><span style="color: rgb(0, 0, 0);">殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</span></a></strong></h3> <p>駭客鎖定配置不當的雲端服務環境下手，發動攻擊的情況，<a href="https://www.ithome.com.tw/news/150572#teamtnt">我們先前於22日報導殭屍網路TeamTNT鎖定AWS、阿里雲的事故</a>，但最近又有其他駭客組織跟進。資安業者CrowdStrike指出，他們發現原本針對Exchange伺服器下手的殭屍網路LemonDuck，近期將攻擊目標開始轉向Docker上的Linux環境。駭客藉由曝露的Docker API，執行惡意容器，進而取得偽裝成PNG圖檔的Bash程式碼檔案，此程式碼檔案會刪除crond、sshd、syslog等處理程序，以及入侵指標（IoC）路徑，並停用阿里雲的監控服務，同時也會清除其他對手的挖礦工具，切斷與C2中繼站的連線。</p> <p>此殭屍網路病毒在執行上述作業後，才會下載並執行挖礦工具XMRig，並嘗試透過SSH連線的金鑰橫向移動，一旦發現金鑰能夠使用，LemonDuck將會進行橫向感染。研究人員認為，隨著企業採用容器的情況日益普及，未來這類針對雲端的殭屍網路攻擊行動很有可能會越來越氾濫，他們呼籲用戶採取相關防護措施來加強容器安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/zero-days-exploited-2021"><span style="color: rgb(0, 0, 0);">駭客偏好微軟、蘋果、Google產品的零時差漏洞</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150544#zerodays">Google威脅分析小組（TAG）於4月19日，公布他們對於去年零時差漏洞的觀察</a>，2天之後，<a href="https://www.ithome.com.tw/news/149768">在3月併入Google Cloud旗下的資安業者Mandiant</a>也提出他們的看法，且內容更為詳細。Mandiant於4月21日，揭露2021年零時差漏洞遭到利用的情形，指出去年出現了80個這類漏洞，這樣的情況較2020年的30個多出超過一倍，也是最近10年來最多零時差漏洞被利用的一年，研究人員認為與行動裝置、物聯網裝置、雲端服務運用大幅增加，很可能是其中重要的因素。而對於利用這些漏洞的攻擊者類型，研究人員指出，最主要仍是中國政府支持的駭客組織，但像勒索軟體駭客等出於經濟利益發動攻擊的人士，他們利用相關漏洞的比例也有顯著增加，到了去年接近占三分之一。從駭客鎖定的零時差漏洞軟體廠牌來看，他們偏好對微軟、蘋果、Google的產品下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Jira身分驗證繞過漏洞</span></a></strong></h3> <p>IT業者Atlassian於4月20日發布資安通告，該公司旗下的Jira、Jira服務管理伺服器產品的Seraph元件，存在重大漏洞CVE-2022-0540，CVSS風險層級達9.9分，攻擊者一旦利用這項漏洞，就能藉由傳送偽造的HTTP請求到存在弱點的端點電腦，進而繞過身分驗證程序。該漏洞影響Jira Core Server、Software Data Center、Software Server、Service Management Server、Management Data Center，雲端版本則不受影響。該公司隨後於21日、22日再度發出公告，指出部分Atlassian市集提供的附加模組也可能一併受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results"><span style="color: rgb(0, 0, 0);">資安人員在漏洞挖掘競賽Pwn2Own找出工控系統零時差漏洞，抱走40萬美元獎金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg" style="width: 300px; float: right;" /></a>趨勢科技的漏洞懸賞專案團隊Zero Day Initiative（ZDI）於4月19日至21日，在美國邁阿密舉行Pwn2Own Miami for 2022漏洞挖掘競賽，這次的主題是工業控制系統（ICS），參賽者總共找出26個零時差漏洞，ZDI發出40萬美元獎勵。本次獲得破解大師（Master of Pwn）桂冠的參賽隊伍，是駭客競賽常客Daan Keuper與Thijs Alkemade所組成的Computest，Daan Keuper向麻省理工科技評論雜誌（MIT Technology Review）表示，工業控制系統是安全較為落後的領域，使得他們較為容易找出漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program"><span style="color: rgb(0, 0, 0);">美國國土安全部漏洞懸賞專案Hack DHS總共找出122個漏洞</span></a></strong></h3> <p>美國國土安全部（DHS）於去年12月發起了Hack DHS漏洞懸賞專案，邀及資安專家找尋該單位系統的安全漏洞，他們於4月22日公布第一階段的執行成果。該單位總共邀請了超過450名研究人員參與抓漏，目前找出122漏洞，其中有27個為重大漏洞。該單位亦發出12.56萬美元獎金。DHS並未透露相關漏洞的細節，但強調此項漏洞懸賞專案將能維護該國網路與基礎設施的資訊安全，並為聯邦機構帶來示範的作用。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/25 16:51作者周峻佑https://www.ithome.com.tw/news/150605
居家隔離時間大縮短！指揮中心公布居家隔離3+4新規定，明日開始執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>居家隔離政策大改變，中央流行疫情指揮中心今日（4/25）宣布，鑑於確診者數量越來越龐大，在專家會議討論後，決議居家隔離日期縮短為3+4，也就是密切接觸者居家隔離3天，期滿快篩陰性者，再進行4天自主防疫。</p> <p>進一步來說，密切接觸者的疫調時間也將縮短，以確診者發病前2日，或採撿陽性前2日起的同住親友、同班同學、同辦公室或同工作場域的密切接觸者（以九宮格計算），這些對象收到衛生局居隔單後，得進行3天居家隔離。居隔期間1人1室為原則，不得外出，完成框列後就進行快篩，或出現症狀、期滿日時，也得進行快篩。</p> <p>之後，陰性者轉為自主防疫4天，每日進行快篩，陰性者可外出工作、採買，但得全程佩戴口罩，不得內用、聚餐、聚會、前往人潮擁擠場所，或是與不特定對象接觸。</p> <p>指揮中心表示，這項政策於4月26日起正式實施。現有居家隔離超過3天者，從4月27日也開始自動解隔離。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-0425%E7%A2%BA%E8%A8%BA%E8%80%85%E4%B8%BB%E5%8B%95%E5%9B%9E%E5%A0%B1%E5%8F%8A%E6%8E%A5%E8%A7%B8%E8%80%85%E5%8C%A1%E5%88%97%E8%AA%AA%E6%98%8E_01_01_01_01.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%2B4%20_V2_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpeg" /></p> </div></div></div>
2022/4/25 18:32作者王若樸https://www.ithome.com.tw/news/150617
【專家觀點：安永風險管理公司總經理萬幼筠】稱職資安長要做的事情就是企業經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從金管會下令修法後，到2022年底，至少有超過一百家的上市櫃公司都必須設立資安長（CISO）一職後，許多人對於資安長的角色與職掌（R&R）有許多的想像和質疑，甚至於企業內部對於是否應該設立資安長，甚至，設立這個職位以後，在企業內部應該扮演何種角色，眾說紛紜。</p> <p>對此，專精風險管理、資安治理及數位轉型的安永風險顧問公司總經理萬幼筠，以簡單一句話概括資安長在企業內部應扮演的角色，「資安長要做的事情就是企業經營。」也就是說，身為企業高階主管的資安長，不能如同過去擔任資安部門主管，只偏重資安技術和縱深防護而已，當位置轉換的同時，頭腦思維也必須從技術思維轉成管理和治理思維才行。</p> <p><span style="font-size:28px;"><strong>資安長首先要定義資安角色與職掌功能</strong></span></p> <p>安全和營運往往是天秤的兩端，身為稱職的資安長（CISO），不再只是像擔任資安部門主管一般，只需要考量技術和防護觀點，而必須將資安風險對企業造成多大的損失，以及如何影響企業營運思考在內。</p> <p>因此，萬幼筠認為，一個稱職的資安長第一要務就是必須真正意識到：資安治理不等同於資安管理，資安長必須將資安的角色和職掌功能徹底定義清楚，因為資安管理不是單純的管理IT而已，而是包含企業經營、企業社會責任等多種層面的資安治理。</p> <p>他進一步解釋，「治理」是現在的趨勢，不管在公司哪一個位置和職務上，都必須要揭露治理權責和義務，也要揭露相關的財務營運損失，但其中，資訊安全因為涉及企業營運安全，現在是可以進到董事會報告的。</p> <p>資安是近幾年來政府開始重視的項目，剛開始，先是透過金管會的修法，鎖定大型的金融業者，要求內部應該要設立資安長、資安專責部門和資安專責人力，甚至也規定資安長應該是企業內部的高階主管，要求要副總層級以上的高階主管擔任資安長一職，後續也逐漸促使資安長成為企業內的重要角色。</p> <p>不過，目前實務上，有許多企業的資安長其實是資訊長兼任，萬幼筠認為，這往往意味著，「資安是資訊的附屬品」，在意的仍是維運層級，在意的是技術安全而非營運安全。「資訊背景出身的資安長，容易忽略企業風險這個環節。」他說，資訊長兼資安長是不得已的方式，因為適任的資安長人才難覓，但必須注意的是，這樣的作法，應該是短期內很難找到適任資安長所做的權宜措施，不應該是企業發展的長期作為。</p> <p>但萬幼筠也說，如果是由類似營運長的高階主管兼任資安長一職，表示企業高層對資安的重視。畢竟，營運長是企業經營管理委員會的成員，也必須向董事會報告，由這樣的高階主管兼任資安長，也意味著，資安在該公司屬於管理階層的工作內容。</p> <p>資安包含IT和OT，對許多高科技業者而言，OT才是公司營運核心、生財有道的關鍵，實際上，IT部門根本叫不動OT部門，更遑論當IT部門想要管理OT資安時，因為涉及企業賺錢關鍵，而處於插不上手或被排拒在外的狀態。</p> <p>從各種現況分析，萬幼筠表示，身處數位時代之下，由IT兼任資安經常就是一個失敗指標，除非直接成立更高階的「資安管理委員會」；而如今金管會修法將資安長拉高到公司治理階層，才更有機會落實企業的資安治理，而企業資安才可能成功。</p> <p>他也說，企業資安包含企業社會責任、專利營業秘密保護等，金管會去年十一月的修法，更證明企業如果能做好資安，不僅是公司治理好、管理營運好，外資更願意投資這樣的公司。</p> <p>不過，萬幼筠指出，企業要做好資安不是導入ISO 27001就好，更在意的是企業管理的成熟度，不只是砸大錢做資安而已，更關鍵是必須一步一步落實資安，因為資安長要落實資安治理，而這是一種管理職能，在意的是企業風控、內控；該關注的部分是：資安的角色與職掌，能否涵蓋企業風險的範疇；相較之下，資安部門主管這個角色才是偏重資安技術。</p> <p>他也觀察到，要界定資安長的職能範圍，除了要確認是否包含OT外，法遵合規與否也很重要；如果資安長在企業內沒有足夠高的位階，有許多大型企業會透過成立「資安管理委員會」的方式，來落實資安治理，該委員會由董事長擔任主席、資安長擔任秘書，並邀請涉及公司營運的重要部門主管，像是生產製造的廠長等應邀參與。</p> <p><span style="font-size:28px;"><strong>資安長要了解企業集團風險並連結績效指標</strong></span></p> <p>因為沒有百分之百不會遭駭的企業，也沒有百分之百的資安，所以，資安長就不可能保證企業不會發生資安事件，但關鍵在於，不會爆發資安事件的「機率」有多高？</p> <p>所以，萬幼筠認為，要了解企業集團面臨的資安風險，就必須要連結績效指標，也必須跟成本綁在一起，而最明顯的例子就是，當企業要投資購買某類型的設備軟體時，就要明確知道是為了解決什麼問題、降低何種風險，絕對不是買來供著而已。</p> <p>例如，金融業要進行OT系統盤點時，因為金融系統不能安裝代理程式，雖然法規要求金融系統上線前都必須要嚴格審查，但源碼檢測、上線過版都只能做非侵入式的掃描而已，在不安裝代理程式的前提之下，正確率大概只有八成。</p> <p>因為資安要跟績效指標結合，如果企業面臨的資安風險過高時，也可以考慮使用資安險作為風險轉移的工具。他表示，目前資安險有兩者，常見的是企業本身遭駭的第一責任險，另外一種則是後來才出現的資安險種：企業客戶遭駭的第三責任險，這類型資安險是因為供應鏈資安風險增加，加上保險理賠金額高，保險公司會再找國際再保公司分攤風險，一旦必須理賠，則會由再保公司出險。</p> <p>萬幼筠說，過去的資安險並不專業，資安長要看企業商業風險、公司營運狀態而有不同選擇，風險指標就是一種企業成熟度指標。近期，因為資安風險高、所以保費高、理賠金額也高，若參考國外企業購買資安險的作法，可以把企業內部分成不同類型和範圍，各自投保合適的資安險種，達到企業避險的目的，像是代工產線部分，一旦中斷將會直接影響企業營運，就可以投保最高額的資安險，其他IT維運系統、伺服器等，則可以買其他類型的資安保險因應。</p> <p>資安風險有很多種，很多高科技業者除了要考量人資資安、產線資安（機臺安全標準）、實體安全等不同面向，也必須注意到營運風險不是機器風險，而證交所要求企業要把營運風險揭露在年報中，呈現的是資訊治理、公司治理的一環，但其他的資訊作業內容則還沒有揭露在年報中。</p> <p><span style="font-size:28px;"><strong>資安長要配合業務發展策略，投入相對應的資源</strong></span></p> <p>對萬幼筠而言，只會導入傳統ISO 27001的資安長，並不是稱職的資安長；只懂資訊安全技術的資安長，也不是一位好的資安長；稱職的資安長必須能夠配合公司業務發展策略，而作配套的資源佈建。</p> <p>也就是說，稱職的資安長必須知道當公司業務拓展到哪一個地區，必須要符合哪一種規範，要做哪些相對應的投資。</p> <p>舉例而言，今天公司業務範圍擴展到歐盟地區時，許多客戶資料保護就必須符合歐盟個資法GDPR的要求，身為企業的資安長，就必須要很清楚扮演的角色是什麼？是要扮演幫公司做好客戶個資保護的資安長呢？還是要擔任保護個資當事人權益，通報當地監理機關的個資保護長（DPO）呢？</p> <p>假設該企業需要一個當公司在歐盟拓展業務時，可以協助把關客戶個資保護處理事宜的資安長時，公司的資源就必須放在：如何做到符合歐盟個資法GDPR保護客戶個資的方法上。</p> <p><span style="font-size:28px;"><strong>資安長落實內控的三大目的</strong></span></p> <p>萬幼筠認為，資安的事情交給資訊人員負責，並沒有監督意義；而資訊的效果確認，必須要由資安人員監督是否落實。他說：「對資安長而言，協助做好企業內控是非常重要的任務。」</p> <p>資安長落實企業內控有三個目的，首先，確定資訊資產的安全。</p> <p>他表示，包含企業營運活動的所有流程、OT、技術研發、營運模型、風險控管和資安保護等，都是為了要確保企業提供的產品或服務是安全的、受到保護的，取得ISO 27001資安認證，並不是資安長要做的事情。</p> <p>但是，如何保護客戶個資、如何增加個資保護強度、如何取得當事人個資使用同意等，不應該只是企業法務長或是營運長的事，每一個牽涉的流程環節和資訊資產安全，更是資安長責無旁貸的任務。</p> <p>其次，資安長落實內控，是為了確保管理資訊即時且正確表達。萬幼筠指出，企業的營運資料不容遭到竄改或任意變更，尤其是財務資訊的正確、即時表達，更攸關企業營運的安全性。</p> <p>第三，資安長落實內控是為了確保企業經營效果與效率。萬幼筠認為，資安長不同於資安部門主管，所作所為必須和企業營運相關，而非追逐最新攻防技術或產品趨勢。</p> <p>最簡單的例子就是，經濟部修法企業使用的資安產品和服務，可以列為資安投資抵減項目，這是因為攸關公司營運績效，財務長對這類資訊非常敏感，甚至是一有公告，馬上會研究該怎麼進行投資抵減對公司最有利。但這明明是資安的投資抵減項目，這樣的抵減金額是否可以列為資安長和資安部門的績效呢？這反而是資安長必須思考的事情。</p> <p>同時，金融業對於內稽內控有所謂的三道防線，這是資訊、資安和稽核部門可以發揮的功能，也是資安長可以據此落實企業經營的參考依據。</p> <p>第一道防線就是要辨識並管理日常事務所產生的風險，並針對風險特性設計並執行有效的內部控制程序以涵蓋相關的營運活動。萬幼筠表示，第一道防線就是資訊部門。</p> <p>第二道防線是為了協助及監督第一道防線辨識及管理風險，獨立於第一道防線和第三道防線，包含風險管理、法令遵循及其他專責單位。萬幼筠說，第二道防線就是資安部門。</p> <p>第三道防線是內部稽核單位，以獨立精神執行稽核業務，評估第一道防線和第二道防線風險監控的有效性。萬幼筠指出，第三道防線就是稽核部門。</p> <p>他也以臺灣某高科技業者的運作方式為例，他認為，三道防線若能各司其職，企業資安才能落實，該公司資安長透過槓桿方式規避風險，藉由打造的大平臺，完成資安工作，並且運用因勢利導的方式，藉由讓稽核部門開出缺失項目，就可以讓業務單位配合。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 16:31作者黃彥棻https://www.ithome.com.tw/news/150521
微軟與Red Button合作，在Azure提供DDoS攻擊模擬測試服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/microsoft-announces-new-collaboration-with-red-button-for-attack-simulation-testing/">微軟與DDoS攻擊測試公司Red Button合作</a>，提供Azure用戶DDoS攻擊模擬測試服務。藉由使用Red Button的DDoS測試服務套裝，並與專家合作，在受控的環境中模擬真實世界的DDoS的攻擊場景，企業可以評估當前抵禦DDoS的準備狀態，以進一步制定適當的DDoS回應策略。</p> <p>Red Button的DDoS測試服務包含三個階段，分別為規畫、執行受控DDoS攻擊，最後則是總結與建議。Red Button的專家團隊將與企業的資安團隊會面，經過了解網路架構、技術細節，並且定義明確的目標和測試計畫，包括DDoS的測試範圍、目標、攻擊向量和攻擊率。</p> <p>接下來Red Button團隊便會根據計畫定義的目標，發起多向量DDoS組合攻擊，測試通常會持續三到六小時，模擬攻擊將使用專用伺服器，確保過程的安全性，並且使用Red Button的管理控制臺進行操作與監控。最後Red Button團隊會根據測試攻擊結果，提供企業一份書面報告，內容包括測試結果執行摘要、模擬日誌、基礎設施的漏洞列表，以及修復這些漏洞的建議。</p> <p>除此之外，Red Button也提供額外的服務套裝，包括完整的DDoS全年服務DDoS 360，以及DDoS事件回應服務，來補充這個在Azure的DDoS測試服務。</p> <p>微軟提醒，Red Button的模擬環境建置在Azure中，用戶只能對自己訂閱的Azure託管公開IP地址進行攻擊模擬，在測試之前會經由Azure AD進行驗證，而且這些公開IP地址還必須受Azure DDoS防禦服務保護。</p> </div></div></div>
2022/4/25 15:23作者李建興https://www.ithome.com.tw/news/150597
T-Mobile也遭Lapsus$外洩程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/" target="_blank">資安部落格KrebsonSecurity報導</a> ，因駭入Nvidia、微軟、三星聞名的駭客組織Lapsus$，也曾駭入美國電信業者T-Mobile，並竊取多個專案的程式碼。</p> <p>KrebsonSecurity是取得Lapsus$核心成員透過Telegram非公開頻道三月底當周一個星期的通訊內容，等於是這個組織核心落網前犯下的最後大案之一。</p> <p>Lapsus$透過在地下網站購買或是在網上吸收知名目標企業員工，以取得這些公司內部系統的合法登入帳密。根據這些通訊紀錄，Lapsus$多次使用T-Mobile員工帳密登入公司VPN或是重要系統，包括3月19日登入管理廣大電信用戶帳號的Atlas系統。利用取得這些帳號資料，他們得以或發動SIM Swap攻擊，使其得以假冒用戶申請換新SIM卡，以便將用戶電話號碼移到駭客持有的裝置，藉此攔截銀行帳密或其他重要資料。</p> <p>通話內容顯示，名為White的駭客成功登入T-Mobile的Slack及Bitbucket帳號，也知道如何上傳檔案到T-Mobile的虛擬機器，同時曾計畫利用這招劫持美國政府FBI及國防部用戶的電話帳號，但未成功。最後，這名駭客貼出已利用自動script下載T-Mobile 3萬個程式碼儲存庫的螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://krebsonsecurity.com/wp-content/uploads/2022/04/t-mobsourcedl.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／KrebsonSecurity</span></p> <p>T-Mobile向KrebsonSecurity證實，幾個星期前該公司安全工具偵測到，有人利用被竊的登入憑證存取儲存營運工具軟體的內部系統。</p> <p>不過T-Mobile表示，所有系統及防護確實運作，使攻擊者很快就被封鎖並登出系統，被竊的憑證也都被廢除，因此沒有客戶或政府資訊外洩，他們也未發現駭客取得了任何有價值的資訊。</p> <p><a href="https://www.ithome.com.tw/news/148656" target="_blank">去年底T-Mobile坦承</a>其某些內部帳號出現未經授權的攻擊行動，可能導致客戶專用網路資訊（CPNI）被存取或是對客戶進行SIM卡挾持（SIM Swapping）攻擊。但這此攻擊是否為Lapsus$所為則不得而知。</p> <p>T-Mobile被駭並不令人意外，因為Lapsus$曾以每周2萬美元為代價，公開徵求AT&T、T-Mobile及Verizon員工作為攻擊行動內應。</p> <p>英國警方三月逮捕7名疑涉入Lapsus$ 的青少年，並<a href="https://www.ithome.com.tw/news/150253" target="_blank">在4月初控告</a>其中二名16歲及17歲的青少年。</p> </div></div></div>
2022/4/25 15:55作者林妍溱https://www.ithome.com.tw/news/150603
美司法部調查Google/Mandiant收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001370880/3c4d0433-8227-4076-8ed9-4aecf77858db.pdf" target="_blank">一項美國證管會（SEC）文件顯示</a>，三月間Google與安全廠商Mandiant宣布的收購案遭到美國司法部介入調查，增加政府插手干預大型收購案的可能性。</p> <p><a href="https://www.ithome.com.tw/news/149768" target="_blank">Google Cloud 3月初宣布</a>以54億美元收購資安服務業者Mandiant，取得Mandiant的各項專業能力，從安全顧問服務、威脅偵測與情報、自動化與回應工具、測試驗證，及代管防禦等，強化Google Cloud對企業及政府的端到端安全服務，支援雲端及本地部署環境。雙方預計2022年內完成收購合併。</p> <p>Mandiant上周在對證管會提交的文件指出，Mandiant與Google於3月21日向美國司法部與聯邦交易委員會（FTC）申報通知書及報表後，4月20日兩家公司都收到司法部要求提供關於本收購案的進一步資訊。文件指出，Mandiant及Google已立即回應第二次要求，同時，第二次要求將使收購案等待期，在Google、Mandiant遵循要求後延後30天，除非司法部提早終止等待或兩公司同意延長。</p> <p>這項文件並未透露司法部要求什麼資訊。<a href="https://www.theregister.com/2022/04/22/doj-google-mandiant/" target="_blank">不過The Register報導</a>，可能和反托拉斯的意圖有關。</p> <p>3月間美國以反托拉斯聞名的參議員Elizabeth Warren主導推動<a href="https://jones.house.gov/sites/evo-subsites/jones.house.gov/files/evo-media-document/The%20Prohibiting%20Anticompetitive%20Mergers%20Act%20-%20Full%20Text.pdf" target="_blank">《阻止反競爭合併法案》（Prohibiting Anticompetitive Mergers Act，PAMA）</a>，內容包括允許司法部及FTC阻擋金額在50億美元以上的收購合併案。<a href="https://www.ithome.com.tw/news/129213" target="_blank">Warren曾力主分割</a>收購WhatsApp與Instagram的Meta，以及Google和Amazon等科技巨擘。</p> <p>產業分析師指出，Google及Mandiant合併案被介入調查，顯示行政及立法部門已盯上大型廠商，未來所有大型合併案都可能面臨相同命運。</p> <p>此外，<a href="https://www.theregister.com/2022/04/04/mandiant_google_lawsuit/" target="_blank">4月一名Mandiant股東控告</a>該公司對投資人提供的SEC文件中包含誤導及不完整聲明，企圖誘使促成與Google的合併。</p> </div></div></div>
2022/4/25 16:14作者林妍溱https://www.ithome.com.tw/news/150604
Amazon買下印度社交商務網站Glowroad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon近日傳出已買下於2017年創立的印度社交商務網站Glowroad，<a href="https://techcrunch.com/2022/04/21/amazon-social-commerce-india/" target="_blank">Amazon也向媒體證實此事</a>。</p> <p>這幾年美國大型科技業者爭相投入印度市場，Amazon於2019年出手<a href="https://www.ithome.com.tw/news/132610" target="_blank">買下印度禮券業者Future Coupons的49%股份</a>，2020年與數千家印度商店合作，<a href="https://www.ithome.com.tw/news/138481" target="_blank">推出智慧商店服務</a>，2021年在印度<a href="https://www.ithome.com.tw/news/142016" target="_blank">推出全球首款FireOS電視</a>，同年<a href="https://www.ithome.com.tw/news/142760" target="_blank">攜手鴻海於印度成立電視棒生產工廠</a>。此外，Amazon亦承諾要投資10億美元，以協助印度1,000萬家的中小企業數位化，目標是讓印度在2025年以前達到100億美元的累積出口價值，並新增100萬個工作機會。</p> <p>Glowroad聚集超過2萬個商家，陳列逾300種商品類別，具備金流及物流服務，以「在家工作」為口號，號召家庭主婦或學生等使用者加入經銷商行列，以批發價供應商品，並鼓勵他們透過WhatsApp、Facebook及Instagram等社交平臺銷售商品，還可自行定價。</p> <p>根據Glowroad的統計，認真的經銷商在經營一年後，每月的平均收入可達到4萬~5萬（約新臺幣15,200元至19,000元），且迄今已有超過600萬名經銷商加入Glowroad平臺。</p> <p>雙方並未公布交易金額，但根據<a href="https://economictimes.indiatimes.com/tech/technology/amazon-acquires-reseller-platform-glowroad-to-bolster-social-commerce-ambitions/articleshow/90987418.cms" target="_blank">《印度時報》（India Times）</a>的報導，Glowroad最近一次的估值約為7,500萬美元。此外，Glowroad未來在印度仍將維持獨立運作。</p> </div></div></div>
2022/4/25 15:19作者陳曉莉https://www.ithome.com.tw/news/150602
蘋果終止macOS Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://support.apple.com/en-us/HT208312" target="_blank">蘋果上周五（4/22）公告</a><a href="https://support.apple.com/en-us/HT208312)%EF%BC%8CmacOS">，</a>macOS Server已在4月21日終止，為macOS Server的更新畫下句點。</p> <p dir="ltr">蘋果表示，<a href="https://apps.apple.com/us/app/macos-server/id883878097" target="_blank">現有macOS Server客戶仍可持續下載及使用macOS Monterey版本App</a>。<a href="https://www.zdnet.com/article/apple-say-a-final-goodbye-to-macos-server/" target="_blank">不過ZDNet指出</a>，在App Store上這款App的評分只有1.5星。</p> <p dir="ltr">蘋果自從將重點轉到iPhone及消費市場後，就不再著重開發macOS Server了。2018年它將大部份功能轉移到macOS ，留下VPN伺服器、網路服務、網域名伺服器（DNS）、郵件伺服器、行事曆、訊息、AirPort管理等功能。</p> <p dir="ltr">但是從macOS Server 5.7.1 開始，已不原生提供行事曆、通訊錄、郵件伺服器、VPN 伺服器、Web Server、DHCP等，用戶必須自己下載開源軟體。此外，macOS Server的快取伺服器、檔案伺服器、時光機Server則轉移到macOS High Sierra 中，蘋果說這樣可讓更多用戶免費存取這些服務。</p> <p dir="ltr">5.7.1到5.11.1版macOS Server目前內建的服務剩下Profile Manager、Open Directory、Xsan。<a href="https://support.apple.com/zh-hk/HT208312" target="_blank">至於MacOS Server 5.12</a>版，則不再包括Xsan指令行工具，因為已搬到macOS Big Sur（及之後）版本。</p> <p dir="ltr">針對Profile Manager，如果用戶想轉移到其他MDM方案，<a href="https://support.apple.com/zh-tw/guide/deployment/dep1d7afa557/web" target="_blank">蘋果也提供</a>了採購及規畫指示。</p> </div></div></div>
2022/4/25 13:51作者林妍溱https://www.ithome.com.tw/news/150600
美國國土安全部Hack DHS抓漏專案找出逾122個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國國土安全部（Department of Homeland Security，DHS）於去年12月啟動<a href="https://www.dhs.gov/news/2021/12/14/dhs-announces-hack-dhs-bug-bounty-program-identify-potential-cybersecurity" target="_blank">Hack DHS抓漏專案</a>，邀請資安專家尋找特定DHS系統的安全漏洞，<a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program" target="_blank">上周公布了第一階段的成果</a>，指出逾450名受邀的安全研究人員總計找出了122個安全漏洞，發出12.56萬美元的獎金，當中有27個被視為重大（Critical）漏洞。</p> <p dir="ltr">Hack DHS分為三個階段，一是由研究人員負責評估及找出特定對外系統的安全漏洞，第二階段則將邀請研究人員參與現場的駭客活動，最後一個階段則由DHS公布完整的專案成果、所學到的教訓，以及未來的抓漏專案，預計於今年完成。</p> <p dir="ltr">因此，目前DHS並未揭露第一階段所發現的漏洞細節，僅強調各種規模及領域的組織，包括DHS在內都必須保持警惕並強化網路安全，Hack DHS示範了該部門以身作則來保護美國的網路與基礎設施，以避免受到網路威脅的承諾。</p> </div></div></div>
2022/4/25 14:12作者陳曉莉https://www.ithome.com.tw/news/150601
零時差漏洞遭濫用數量再創新高，Mandiant認為間諜駭客、中國最常這麼做！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149768" target="_blank">甫於今年3月被Google併購的資安業者Mandiant</a>，於上周公布了<a href="https://www.mandiant.com/resources/zero-days-exploited-2021" target="_blank">2021年的零時差漏洞調查報告</a>，指出去年總計出現了80個零時差漏洞，濫用零時差漏洞主要的族群為國家級間諜駭客（espionage groups），中國駭客便濫用了8個。此外，愈受歡迎的品牌就愈容易被濫用，例如被濫用零時差漏洞的前三名業者依序是微軟、蘋果及Google。</p> <p>Mandiant所定義的零時差漏洞是漏洞尚未修補前就遭到濫用，與Google的定義一致，但<a href="https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html" target="_blank">Google僅於去年發現58個遭濫用的零時差漏洞</a>，Mandiant則說有80個，不過，他們都說這是史上發現最多零時差漏洞的一年。</p> <p>此外，有別於Google認為零時差漏洞變多的原因，也許是資安社群偵測零時差攻擊程式的能力變好了，Mandiant則指出，除了此一原因之外，各組織陸續遷移到雲端代管、行動及物聯網技術增加了系統與裝置的複雜度，簡單地說，使用更多的軟體也帶來更多的安全漏洞，且市場上愈來愈多的零時差濫用程式掮客與更多研發資源的投入，也助長了零時差攻擊程式的成長。</p> <p>根據Mandiant的研究，基於間諜目的的國家級駭客依然是濫用零時差漏洞的主要族群，中國駭客濫用了8個零時差漏洞，俄羅斯駭客濫用了2個，北韓濫用1個。而因經濟動機而濫用零時差漏洞的比例也愈來愈高，在針對零時差漏洞展開攻擊的駭客集團中，約有1/3是基於經濟動機。</p> <p>值得注意的是Mandiant還發現了零時差漏洞掮客的增加，這些業者專門開發零時差漏洞攻擊程式並出售給買家，去年至少有6個零時差攻擊程式是由這些業者所供應。</p> <p>愈受歡迎的品牌就愈受駭客青睞，去年現身的80個零時差漏洞中，光是來自微軟、蘋果及Google產品的就占了75%，其它還包括Accellion、SonicWall、Apache、高通、趨勢與Adobe等。</p> <p class="rtecenter"><img alt="" src="https://www.mandiant.com/sites/default/files/inline-images/zero-day4.png" style="width: 600px;" /></p> </div></div></div>
2022/4/25 11:30作者陳曉莉https://www.ithome.com.tw/news/150595
歐盟新法規定平臺需分享內容演算法、最高可罰6%全球營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545" target="_blank">歐盟上周末公</a><a href="http://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545" target="_blank">布</a>規範大型內容平臺與線上廣告的《數位服務法》（Digital Services Act）條文規範，初步規定平臺需提供兩種以上內容推薦系統，歐盟可要求存取內容平臺演算法、以及最高可對違法者裁罰6%全年營收等規定。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/news/141699" target="_blank">歐盟2020年公</a><a href="http://www.ithome.com.tw/news/141699" target="_blank">布</a>《數位服務法》與《數位市場法》（Digital Markets Act），被視為規範Meta、Google等大型內容平臺業者的法案。<a href="https://www.ithome.com.tw/news/149032" target="_blank">其中數位服務法於今年1月通過</a>，並啟動與歐盟議會和理事會，代表會員國協商內容，協商初步結果於周五公布。</p> <p dir="ltr">《數位服務法》旨在要求內容平臺必須對平臺上顯示的內容負更多責任，需更快移除不良或非法內容，且需更透明，尤其是用戶人數超過4,500萬的超大型業者，如Meta、Google或蘋果等平臺。</p> <p dir="ltr">本次協商內容影響最大規範是歐盟及會員國可以存取超大型平臺的演算法。此外，這些平臺必須對用戶告知其內容推薦系統的運作，且用戶可以有至少一個非依用戶側寫（profiling）推送內容的系統（例如按時間排序）。</p> <p dir="ltr">其他的內容則和今年1月公布的方向差不多。廣告方面，完全禁止針對未成年人的個人廣告、不得依性傾向、民族或宗教發送精準廣告。內容發送方面，平臺不得以「暗黑模式」（dark pattern）偏私特定內容或以跳出式視窗操弄選擇、而平臺需在用戶通報非法內容時儘速移除，並立即移除非合意分享（如報復色情）的內容，同時用戶也可針對因平臺而遭致的損失或傷害尋求賠償。為防止網路犯罪，平臺需確保消費者採購的是安全產品或服務，且加強交易人士的稽查（Know Your Customer）。</p> <p dir="ltr">新法並新增一項規定，違法的線上平臺及搜尋引擎最高可處以全球營收的6%罰金，若是超大型平臺，則將由歐盟委員會要求遵循法規。</p> <p dir="ltr">不過數位服務法條文尚未底定。歐洲議會代表將在5月23到27日前往Meta、Google、蘋果等公司總部及美國當地新創公司、學界與政府官員等，討論這項新法。這項新法條文也會再由歐洲議會及歐盟理事會做最後許可。一旦完成並公布，將在20日執行，並在15個月後，約2024年上路實施。</p> </div></div></div>
2022/4/25 11:33作者林妍溱https://www.ithome.com.tw/news/150599
蘋果準備清除App Store上的老舊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">許多iOS程式開發者最近都收到了蘋果的通知，指出相關程式太久沒有更新，因此會在30天後被下架，若要維持上架狀態，就必須於30天內提交更新程式。</p> <p dir="ltr"><a href="https://twitter.com/lazerwalker/status/1517849201148932096" target="_blank">一名遊戲開發者Emilia Lazer-Walker於Twitter上抱怨</a>，遊戲可當作是個完整物件的存在，她所打造的這些免費專案並不適合更新，也不適合採用動態服務模式，在多年前就是屬於完整的作品。</p> <p dir="ltr"><a href="https://twitter.com/protopop/status/1517701619374338050" target="_blank">另一名遊戲開發者Robert Kabwe則說</a>，蘋果說要移除他兩年前上架的免費遊戲Motivoto，此事一點都不酷，於2000年問世的遊戲機遊戲迄今仍在銷售，這對獨立開發者而言是個不公平的障礙。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/news/108167" target="_blank">蘋果在2016年曾宣布將針對App Store進行大掃除</a>，要求開發人員改善無法正常運作、未遵循最新規範，或是太久未進行相容性更新的程式，否則就會將它們移除。</p> <p dir="ltr"><a href="https://developer.apple.com/support/app-store-improvements/" target="_blank">最近的舉動也是蘋果App Store Improvements的一環</a>，不過蘋果並未說明多久未更新就會收到警告通知。</p> </div></div></div>
2022/4/25 11:41作者陳曉莉https://www.ithome.com.tw/news/150598
【企業為什麼要設立資安長】臺灣設立資安長動能來自法規遵循
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近期最熱門的高階人才就是資安長（CISO），來自產業對資安長龐大的需求，也讓許多具備資安專業的公務機關高階主管，紛紛離開公務體系，轉身投身產業、擔任資安長一職。</p> <p dir="ltr">臺灣設立資安長最大的動能來自法規遵循，目前有兩個方面，首先，是「金融資安行動方案」的要求，具有一定規模以上的銀行、證券、保險、投信等，共計65家金融業者，必須要在今年三月底前設立資安長。</p> <p dir="ltr">另外，就是金管會修正「公開發行公司建立內部控制制度處理準則」，希望透過修法的方式，提升各個產業的資安防護能力。</p> <p dir="ltr">根據修法內容，到2022年底，就有111家上市櫃公司需要設立資安長，以及資安專責單位，現在距離這個期限只剩下八個月的時間，這些公司就必須設立資安長，這也讓資安長成為年度炙手可熱的高階獵人頭標的。</p> <p dir="ltr">不過，資安長只是一個職稱，要如何成為稱職的資安長呢？根據線上開源字典《萌典》對「稱職」的解釋：才能足夠勝任所擔負的職務，因此，這個負責人若要成為稱職的資安長，符合法規遵循只是第一步，但要進一步做到名實相符，該考量什麼？</p> <p dir="ltr">專精風險管理、資安治理及數位轉型的安永顧問顧問公司總經理萬幼筠，則以簡單的一句話概括資安長在企業內部應該扮演的角色，他說：「資安長要做的事情就是企業經營。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>金融業是設立資安長先驅，副總級資安長有利內部資源調度</strong></span></p> <p dir="ltr">資安長長年以來是國外的熱門職缺，但臺灣企業因為產業規模較小，加上對於資安防護意識較為薄弱，除了外商公司之外，本土企業少有資安長（CISO）的職缺。</p> <p dir="ltr">隨著企業仰賴資訊系統提供服務日深，但資安風險逐日加劇，不論公司規模大小，都有機會遭遇到各種類型的網路攻擊，從最簡單的網頁置換開始，或是對企業危害不斷的勒索加密攻擊、癱瘓網站的DDoS（分散式阻斷式）攻擊、鎖定特定企業的APT（針對式攻擊），甚至是最難防護的供應鏈攻擊等，也讓許多企業開始有資安風險意識，會在資訊部門內成立資安相關的功能小組，具備風險意識的企業，就會分別成立資訊部門和資安部門，但資安長這樣的高階主管職缺，卻一直是稀缺產物。</p> <p dir="ltr">現任國安會秘書長顧立雄在擔任金管會主委時，就已經意識到資安的重要性，在2017年2月，金管會邀請本國銀行討論相關議題所達成的共識則是，鼓勵本國銀行可依規模、業務複雜度與營運風險，於半年內，設置資安專責單位及相當層級的專責主管。此時，資安專責主管只需要協理層級以上的位階即可，當時只限制兆元以上的銀行需遵循相關規定。</p> <p dir="ltr">但從2020年8月，金管會開始推動《金融資安行動方案》開始後，便規定具有一定規模以上的金融機構或純網銀，都必須設置副總經理層級的資安長；另外也希望董事會的運作中，能聘請資安背景的董事、顧問，或是設置資安諮詢小組。</p> <p dir="ltr">到2021年9月，金管會所屬銀行局、保險局及證期局也完成修法，明定符合條件的金融機構，都必須設置副總層級或職責相當的管理人兼任「資安長」，以統籌資安政策推動協調及資源調度，提升其對資安議題的執行能力。</p> <p dir="ltr">法條適用的範圍包括銀行、壽險、證券、期貨、投信投顧、證交所、櫃買中心、期交所以及證券集中保管所等65家金融機構，最遲到2022年3月，上述65家金融機構都必須設立副總層級的資安長。</p> <p dir="ltr">金融業是臺灣設立資安長的先鋒產業，除了金管會希望能夠強化主管機關的資安監理能力外，更希望讓金融業組織內部，可以獲得組織管理高層的支持，透過副總經理高階主管位階的資安長帶領，更容易由上到下做各種資源調度，支持組織發展資安、進而落實資安治理。</p> <p dir="ltr">另外一個法遵要求則來自於，金管會希望可以強化對上市櫃等公開發行公司資訊安全管理機制，透過修法方式，提升各產業公司資安防護能力，希望企業可以指派綜理資訊安全政策推動及資源調度事務的人兼任資安長一職，並設置資訊安全專責單位、主管及人員，以利進行差異化管理。</p> <p dir="ltr">金管會將上市櫃公司分成三個等級，其中，符合第一級規範的111家上市櫃公司，都必須在2022年底前設立資安長，以及成立包含資安專責主管和至少2名以上資安專責人員的資安專責單位。</p> <p dir="ltr">至於，第二級的上市櫃公司，則必須要在2023年底前設立資安專責主管，以及至少1名資安專責人員，總計有1,321家企業；其他266家第三級上市櫃公司，鼓勵企業配置至少1名資安專責人員。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要有管理和治理思維，衡量資安整體需求與資源分配</strong></span></p> <p dir="ltr">除了法遵要求外，萬幼筠認為，要成為一位稱職的資安長，首先要能夠定義資安角色與職掌功能，也要能夠了解企業集團風險並連結績效指標，更要配合業務發展策略，投入相對應的資源。</p> <p dir="ltr">也就是說，身為企業高階主管的資安長，不能如同過去擔任資安部門主管一樣，只偏重資安技術和縱深防護而已，當位置轉換的同時，頭腦思維也必須從技術思維轉成管理和治理思維才行。</p> <p dir="ltr">但萬幼筠從各種現況分析表示，在數位時代下，由IT兼任資安經常就是一個失敗指標，除非直接成立更高階的「資安管理委員會」，而金管會修法將資安長拉高到公司治理階層，就是希望落實企業的資安治理，有助於企業資安的成功。</p> <p dir="ltr">他也說，企業資安包含企業社會責任、專利營業秘密保護等，金管會去年十一月的修法，更證明企業如果能做好資安，不僅是公司治理好、管理營運好，外資更願意投資這樣的公司。</p> <p dir="ltr">臺灣科技大學資管系教授查士朝則指出，不同產業的資安長有不同要求，例如：金融資安長最重要的工作，是落實各種法遵，以及做好相關的稽核和資安檢查；各種製造業資安長，應該做好資訊資產分級分類；電商服務業資安長則要制定制度，可以從各種Log檔追資安事件根因。</p> <p dir="ltr">他認為，資安長的高度與眼界，和公司規模、營運有正相關，要學會確認資安需求，以及做好資源分配，成為稱職資安長應該具備的技能。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安是推動數位轉型的重要基礎</strong></span></p> <p dir="ltr">臺灣微軟Microsoft 365事業部副總經理朱以方日前也分享資安部署及日本資安長設立的相關經驗，她說：「資安防護不只是資安長CISO或資訊長CIO的工作，而是每位員工的責任。」</p> <p dir="ltr">來自日本網路安全創新委員會（Japan Cybersecurity Innovation Committee，JCIC）主席梶浦敏範（Kajiura Toshinori），除了擔任日本網路安全協會主席，也是日本經團連資安工作協會小組主席。</p> <p dir="ltr">他表示，日本政府提出新的資安戰略：全體人員資訊安全對應（cybersecurity for all），包含推動數位轉型、資安議題、安全保障計畫等，以及最重要的資安意識養成。</p> <p dir="ltr">梶浦敏範指出，對日本企業而言，數位轉型和資安兩者在企業成長中同等重要。他說，數位轉型過程中，數據持續發展新的應用方式，就會有資安風險出現，資安長的角色和職責也從守備擴展到商業模式上，企業若將數位轉型視為獲利來源，資安也成為必要的投資。</p> <p dir="ltr">而日本企業的資安長，也從以往以防禦為導向的「資安長1.0版」：找出資安風險、制定資安計畫、對應資安事件，以及對外的資安報告等，進一步轉變成以攻擊為導向的「資安長2.0版」，主要接觸和業務有關，與事業核心有關，幫助經營者與顧客、市場及股東說明資安投資、預測資安風險，改革並引導企業資安方針。</p> <p dir="ltr">微軟亞洲首席資安官花村実則表示，資安長和資安團隊，會隨著經營者的決策與企業文化，而提升其權限和成熟度，當資安長能以業務和戰略為導向，將能有效抑止企業面臨資安風險。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:40作者黃彥棻https://www.ithome.com.tw/news/150580
【專家觀點：臺灣科技大學資管系教授查士朝】稱職資安長要懂得確認資安需求並做好資源分配
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對今年（2022年）底，臺灣有111家上市櫃公司必須要設立資安長及專責單位，這麼急迫的高階人才需求，也讓資安長（CISO）這個角色一時供不應求。</p> <p>這股人才吸力也讓過往一些職涯偏向穩健保守、具備資安專業技能的公務員，跳槽到對資安長人才需求更為殷切的產業界，例如金融業。</p> <p>公務機關的保守，加上對產業界對資安人才薪資的躍升，這也讓《資通安全法》實施後，公務機關近千名資安人力缺口，一直處於無法補足的狀態。</p> <p>在產業界亟需資安長高階人才的同時，臺灣科技大學資管系教授查士朝觀察指出，資安長的高度與眼界，和公司規模及營運有正相關，要學會確認資安需求以及做好資源分配，成為稱職資安長應該具備的技能。</p> <p><span style="font-size:28px;"><strong>掌握三個共通特質，學會資源分配與確認需求</strong></span></p> <p>要成為稱職的資安長，應該具備哪一些特質呢？查士朝曾經觀察過許多各行各業的資安長，他發現有幾個共通的特質。</p> <p>首先，稱職的資安長在企業發生資安事件時，必須要能夠快速掌握事件原因，並且可以對事件進行因應。</p> <p>其次，稱職資安長必須要能夠知道自己組織的資安風險，並且能夠妥善地運用有限的資源因應風險。</p> <p>第三，要能夠定義並識別每個成員的資安責任，並且協助組織成員擔負起應該負擔的安全責任。</p> <p>但如果要以產業別做區分的話，查士朝認為，首先要考慮到的是業務類型：是否會處理到敏感個資？如果服務中斷，是否會造成重大衝擊？是否涉及營業秘密外洩？一旦發生資安事件，是否會產生外溢效果？資安要求是否被列入法規當中？甚至是企業本身是甲方、乙方，乃至於丙方，對於擔負的資安責任都有差異。</p> <p>若以個別組織思考的方向是：該企業是否仰賴委外或外部雲端服務？個別組織是否賺錢等等。他坦言，如果組織是高度監管並且有許多法規要求，並且有很多委外廠商，該組織資安長的特性會比較著重於法遵與稽核。</p> <p>設立資安長除了法規的要求外，公司是否獲利也會影響資安長的「底氣」。查士朝指出，倘若公司不怎麼賺錢，即便設有專職的資安長，整個公司可能是「校長兼撞鐘」，對於資安長而言，除了負責政策制定，其他從網路、防毒到桌機，可能都是資安長一肩挑起。「這時候資安長最重要的能力就是，怎麼做好資源分類。」他說。</p> <p>但如果是資訊部門在組織中相對弱勢，很多時候都是由業務單位主動提出需求，資安長此時關注的部分，應該偏重：確認資安需求不會因為業務單位的要求而消失。</p> <p><span style="font-size:28px;"><strong>資安不只是資安部門的事，更是全公司的事</strong></span></p> <p>查士朝坦言，資訊安全部門的功能會和很多部門的功能重疊，以防火牆的設定為例，雖然防火牆算是資安設備，但設備的設定通常會由資訊部門設定，資安部門則是「決定資安政策要怎麼設定」。</p> <p>他認為，資安風險的擬定如果沒有納入業務單位的意見，往往無法發揮應該有的效果。因此，如果太強調資安部門，以致於公司所有資安相關工作都歸到資安部門負責，其實並不是好事；反而是要讓公司的每個成員，都清楚知道自身在資訊安全上的責任。目前看來，資訊安全部門最直接的工作，就是風險評估與制度建立、稽核、資安檢查、資安投資的規畫與教育訓練等。</p> <p>查士朝表示，應該會有許多了解業務運作的人，和業務單位與資訊部門一起進行風險管理的工作，建立與推動資訊安全管理制度，規畫資訊安全教育訓練，以確保人員能夠執行資安責任。</p> <p>同時，有資安稽核人員確認制度的落實、協助改善缺失；也會有資安分析人員，去進行弱點掃描與滲透測試等工作；最後，需要有人員去規畫重大資訊安全投資，或是協助審查資訊投資的安全性。</p> <p><span style="font-size:28px;"><strong>資安長不只要跟董事會報告，也須向全公司形塑資安意識</strong></span></p> <p>資安從原本不受重視，到現在，已經成為必須跟董事會報告的重要事項之一。查士朝以自身曾經擔任企業獨立董事的經驗指出關鍵，他說，對董事會成員或管理階層而言，希望聽到資安長報告最重要的事情就是：了解企業本身，是否遭到什麼樣重大的資安風險；另外就是，需要了解企業是否已經遭駭，而目前資安事件的處理狀況為何。</p> <p>他也說，其他資安長需要向董事會報告的事情，則包括：是否有其他可能造成資安隱憂的事件，或者是希望董事會同意重大的資安投資項目。</p> <p>查士朝表示，資安長在董事會報告時，不能只是點出問題所在，更關鍵的是，必須要可以提供相對應的解決方案，以及成本效益分析的結果報告。因此，資安長就必須有能力，針對所要推動的資安投資項目進行背書和說明。至於，其他資安檢查成果或是重要工作事項報告，則能夠以比較短的篇幅進行相關報告。</p> <p>資安長除了做好針對董事會或是經營管理階層的向上管理外，也同樣要面對平行部門和下屬的管理。查士朝認為，對於資安部門的同仁而言，「創造一個讓同仁有成就感的工作環境」是重要的任務，這樣才能維持資安部門的穩定運作。</p> <p>但若是面對其他部門的合作，甚至是擴及全公司同仁的合作，他認為，資安長就必須要展現其說服力和影響力，不僅可以做到和其他部門的協同合作，甚至要將資安意識的種子，深植到公司每個人的意識中，讓「資訊安全」成為全員工的事，而不只是資安長或資安部門的事。</p> <p><span style="font-size:28px;"><strong>產業資安長因應產業特性而有不同要求</strong></span></p> <p>不同產業對於資安長如何因應產業需求，都有不同的期待。其中，金融業是各個產業中，最早被金管會規範要設立資安長、成立資安專責單位的產業。查士朝認為，這是受到高度監管的產業，其資安長也是各個不同產業中，法遵要求最多也最複雜的產業，因此，了解相關法規、落實法遵要求，成為金融業資安長的第一要務；也因為各種法遵規範多，檢查法遵落實程度的資安檢查和稽核工作，也成為金融業資安長的日常。</p> <p>高科技製造業是帶動臺灣經濟發展的重要產業，而傳統製造業則是臺灣產業發展的命脈，查士朝表示，不管是哪一種製造業的資訊部門，因為不是公司主要賺錢來源，都是要花錢的成本單位，資訊單位相對弱勢，往往都是要配合工廠需求而生；而毛利相對低的企業，在面對各種資安事件發生時，只能做到立即處理和因應。</p> <p>若要預防的話，查士朝也說，比較好的方式則是，針對不同的資訊資產事先做分級分類，把資源做合理的分配應用；甚至，也可以事先把比較重要的機敏系統做網段隔離以確保安全，這些都是製造業資安長可以做的作為。</p> <p>至於電子商務業，已經是臺灣服務業中，高度仰賴資訊系統提供服務，卻也是各種個資外洩、詐騙事件頻傳的產業。他指出，很多電商的服務會直接面對使用者，也同時面臨很多資安挑戰，保護客戶個資成為當務之急。</p> <p>查士朝建議，對於電商業者而言，善用各種雲端服務資源，可以有效降低該產業的資安投資；如果能夠有足夠的記錄檔（Log），一旦發生資安事件時，就可以通知相關使用者做處理。</p> <p>他也說，電商業者應該要做好分工制度，因為電商業者規模落差很大，很多小型電商甚至是十人以下微型企業的情況下，各個部門對於資訊技術也不甚熟悉，若面對業務單位要求資訊部門立即做很多行銷活動，或系統設定更改時，一旦爆發資安事件時，資訊部門往往力有未逮、不見得有能力解決。</p> <p>因此，他認為，像是電商服務業的資安長最重要的任務則是「建立制度」，釐清各個部門的任務分工，資訊、資安部門的職掌也要清楚，面對資安事件發生時，資安部門也有能力透過各種Log檔去發現資安事件的根因，這才是電商業者資安長應該做的事情。</p> <p><span style="font-size:28px;"><strong>從專業能力考量是否由資訊長兼任，要有足夠位階與授權</strong></span></p> <p>面對金管會修法，要求各種規模的上市櫃公司，陸續在今年底和明年底設立資安長、成立資安專責單位，高階資安長也成為這兩年最炙手可熱的人才需求。</p> <p>但查士朝提出務實的觀點，他認為，很多企業不見得一開始就會設立專責的資安長，通常會由其他高階主管兼任，最常見的就是資訊長兼任資安長。資安長通常會有特別的法律責任，經常被視為和政府單位的窗口和聯絡人，因此，資安長因為需要解決資安事件，也會被要求具備特別的資安能力時，資訊長若無法具備相對應的能力時，資訊長就不見得適合兼任資安長。</p> <p>他指出，如果這個產業對資安長的要求是，必須完成一些資安稽核項目或做資安檢查時，資訊長兼任資安長就不見得適合，因為這些項目可能都是資訊部門開發或部署的，考量其資安稽核或資安檢查的獨立性，資安長獨立於資訊長之外或許是比較好的選擇。不過，他強調，資訊安全的工作一定是要資訊部門配合，因此，資訊長和資安長一定要能合作才行。</p> <p>對於資安部門主管有時候會稱呼為資安官，和具有高階主管授權的資安長最大的差別就是公司職務的位階。如果說，資安長是副總等級，那麼資安官大概就是經理等級，因為職務位階而有不同授權，能夠做到的事情就會有一些差異。</p> <p>查士朝認為，對資安長而言，最重要的任務就是讓企業高階主管有資安的認知，如果企業要做重大的資訊投資時，最好可以由資安長協助確認該資訊投資面臨的資安風險，也可以有效降低企業面臨的資安風險、提高資訊投資的效益。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150527
【金融業資安長經驗分享】稱職的資安長是業務的促成者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">危機是否也能成為轉機？重點在於，面對危機發生後的因應態度。</p> <p dir="ltr">臺灣本土百年老行庫第一銀行在2016年迎來臺灣金融史上最大的危機：金融ATM盜領案，金融駭客透過第一銀行英國分行的語音系統作為跳板，進到臺灣總公司內網後，透過橫向移動，取得關鍵使用者帳號密碼後，植入金融木馬程式，駭客透過遠端遙控方式，並由車手在第一銀行分行ATM盜領八千多萬元。</p> <p dir="ltr">這起前無古人、後難有來者的ATM盜領案，對第一銀行帶來嚴重的商譽衝擊，但是，直視危機的第一銀行並未因此氣餒，他們透過獵人頭公司，積極挖角當時擔任資策會資安所副所長、兼任國家資通安全技術服務中心主任的劉培文，擔任第一銀行資訊管理中心副總經理一職，跨域挖角補漏洞的作法，讓第一銀行從ATM的盜領危機後，找到新的因應之道。</p> <p dir="ltr">劉培文當時雖然因為資安專長而被找到第一銀行任職，但由於過往累積的豐富工作經驗，也讓他在當時還沒有資安長的職稱時，便直接接任資訊管理中心副總經理，同時管理資訊和資安領大領域。</p> <p dir="ltr">爾後，劉培文的資訊、資安專業，在高度依賴資訊系統提供服務的金融業中，更進一步拓展業務掌管範圍，連數位金融以及金融科技的推動，也都成為他的核心業務。</p> <p dir="ltr">基本上，在沒有內建資安的狀況下所提供的金融服務，無法贏得顧客的信任，劉培文認為，對於金融業的資安長而言，資安會是金融業務的促成者，「沒有資安的促成，就沒有讓人信任的金融服務存在。」他說。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長的百日維新</strong></span></p> <p dir="ltr">根據調研公司Gartner的「資安長前一百天藍圖（The CISO’s First 100 Days Roadmap）」研究顯示，資安長在任期中，不僅要與各種利害關係人做好溝通外，更把擔任資安長的前一百天，分成五個發展階段，不管是空降或是內升的資安長，都可以在這五個階段中掌握業務關鍵，扮演稱職資安長的角色。</p> <ul><li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第一個階段：準備</strong>，資安長最遲在上工前一天，就必須規畫好相關的角色職掌。第二個階段：評估，資安長就任的第一到四周，必須掌握企業內部的資安成熟度。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第三個階段：規畫</strong>，資安長就任的第三到六周，打造前一百天的工作藍圖。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第四個階段：行動</strong>，資安長就任的第五到十二周，針對現有的不足，做出一些可見的改善成績。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第五個階段：評量</strong>，資安長就任的第十一到十四周，提供現有資安流程的確有改善的證據。</p> </li> </ul><p dir="ltr">對於劉培文而言，資安長的百日維新，是一個讓他熟悉金融業業務運作的階段。他表示，獵人頭公司從2016年7月開始跟他接觸，歷經幾次面試後，他的工作內容也從原本只管理資安，到後來同時管理資訊和資安；其他的，除了要求他必須在10月前，通過金融業對從業人員內稽內控的考試外，就沒有其他要求。</p> <p dir="ltr">劉培文在11月30日正式上任，便擔任一銀執行副總兼資訊處長的職位，剛開始進來負責資安。</p> <p dir="ltr">他花了三個月的時間了解金融業的資訊運作，也因應ATM盜領事件，針對銀行的資安架構做調整。當時他的想法是：銀行要有區域中心，資訊集中連回台灣，資安的長期發展上，則看海外發展需求是否要有區域資安中心。但關鍵在於，一旦要把資安架構移出總行，資訊架構就一定要改，包括海外分行的內外網，也必須做良好的切割。</p> <p dir="ltr">不過，目前這樣的資安架構調整的規畫，還沒有實現。他說，光是網路架構調整就花兩年，之後，配合數安處成立，海外分行都必須架設內、外兩道防火牆，確保安全，相關設備都是從臺灣設定好之後，再協同相關的資訊服務業者，赴海外架設。</p> <p dir="ltr">他也說，這段期間還忙著包括總行伺服器盤點和資安分級、分類，還有許多軟體授權到期的續訂，或針對不再提供更新服務的軟體做調整或升級，目的就是不能讓業務中段。</p> <p dir="ltr">回顧第一階段，同時兼任資安處長的時候，他透過專業對話，針對資安架構的調整，都可以找同仁了解運作狀況，狀況並不複雜。但等到第二階段，劉培文雖然不需兼任資訊處長，但開始接觸數位銀行處的業務時，當時的數位銀行處屬於法金業務，後來才移到資訊管理中心統籌。</p> <p dir="ltr">他說，這一年花最多的時間都在數位金融改造上，包括數安處成立，對他而言，數位金融的改造就是銀行業務改造的火車頭，因為直接和營運掛勾，也影響未來銀行的商業發展模式，對此，他也曾經撰寫數位金融轉型的萬言書，寫下他對數位金融的完整規畫。他表示，2021年數位通路交易量，已經超過臨櫃服務的黃金交叉，未來數位金融將成為第一銀行營運發展的關鍵。</p> <p dir="ltr">接下來，他可以想像的未來，核心系統再兩三年後要調整，資訊架構可能要大改，他評估，光是銀行的數位轉型至少要花七年時間，核心系統改造也要五到七年，資訊、資安和數位金融的業務推動與改造，是一條漫漫長路。</p> <p dir="ltr"><span style="font-size:28px;"><strong>過去的職涯發展都成為開花的養分</strong></span></p> <p dir="ltr">劉培文表示，過去擔任資策會資安所副所長，長期督導技服中心，因為技服中心需要協助政府參與各種國際組織，當時也擔任一些國際組織的資安工作小組召集人，也趁這個機會，認識許多其他國家，像是日本、新加坡和韓國做ISO國際標準的人，而這樣的經驗，讓他對於資安長期國際發展，標準發展趨勢等，具有很多優勢。</p> <p dir="ltr">另外，他幫政府做國家資安規畫，因為參與相關的政策制定，清楚知道政府在想什麼，也能掌握未來政策發展方向，加上技服中心協助政府做很多資安事件的處理，看很多網路攻擊案例，這樣的經驗也讓他對於各種資安攻擊趨勢能有深刻體悟。</p> <p dir="ltr">此外，擔任資安所副所長期間，劉培文也帶領科專團隊一段時間，讓他可以知道資安業界思維，知道廠商想什麼，產業實務需要的是什麼，各方面的整合經驗，也讓他從資策會到第一銀行後，可以順利無縫接軌。</p> <p dir="ltr">進來一銀後，劉培文先兼任資訊處處長一段時間，了解實際業務運作，因為每年年底都要做高階策略會議，做完之後，經營計畫每個總行業管單位要做年度經營計畫規畫，光是臺灣就有187家分行，國外40多家分行，需要參加的會議，光是全球經理人會議，各種委員會，不管是總經理主持的，或是部門的月會、季會、資訊發展委員會，還是每週召開的常董會議，每個月召開的董事會，或是每兩週由董事長邀請副總召開的晨報等，種種的會議參與經驗，更讓他可以徹底掌握銀行業務發展的即時動態。</p> <p dir="ltr">他認為，高階主管擔任或兼任資安長，透過參加各種會議，就有機會了解其他部門在做什麼，了解之後才會思考，他所管理的部門要參與哪些部分、可以做哪些改變。</p> <p dir="ltr">他從資策會工作開始，到一銀工作後，參加各種會議、內化各種資訊，並轉換成部門工作需要的發展方向，這些經驗都是讓他面對職涯轉換，或是接觸不同業務時，可以無懼的養分。</p> <p><span style="font-size:28px;"><strong>資安不是真空存在，要跟業務系統連結才有意義</strong></span></p> <p>身為第一銀行資安最高主管，劉培文如何界定「資安長」的管理範疇呢？轄下管理的資訊、資安和數位金融部門，彼此又該如何做到緊密合作？他表示，針對各種日常維運作業，必須要清楚界定部門的角色和職掌，每一個部門做什麼事情、掌管哪些業務和系統，都必須一清二楚。但目前最大的困難在於，所有的銀行都在講數位轉型，包括資訊、資安和數位金融部門也都必須做到數位轉型。他說，想像一下，如果資訊、資安和數位金融部門是三家不同的公司，怎麼讓這三家公司緊密合作，就要互相知道彼此的業務部門主管和高階主管，都在做什麼、想什麼，才可能緊密合作。他認為，資安長要知道企業未來業務發展方向往哪裡走，科技會隨之怎麼改變，資訊系統又如何跟著改變，甚至連資安實務也必須有相對應的調整。每一個改變調整都環環相扣，絕對不可能關著門就憑空改變。他說：「資安不會真空存在，每一個改變都跟未來的業務發展方向有關，資安也要跟某一個業務資訊系統連結才有意義。」</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150581
【高科技業資安長經驗分享】稱職的資安長是業務的加值者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">合勤科技是臺灣知名的網通設備業者，兼具網通產品的設計、生產製造、銷售和品牌，加上也是臺灣國防安全產業供應鏈業者之一，相較其他某些只負責3C品牌產品代工的高科技業者而言，合勤是臺灣很早就開始重視資安的企業。</p> <p dir="ltr">合勤投控資安長游政卿原本是擔任公司資訊長的角色，但因為是國防產業供應鏈的一環，很早就有被駭客攻擊的經驗，在該公司創辦人兼董事長朱順一的支持下，資安很早就成為公司營運的重要環節。</p> <p dir="ltr">不過，早期合勤科技重視資安是因為，資安涉及公司更重要的供應鏈管理及營運決策，包括集團資安及所有的資安事件應變處理，都先由資訊服務處回報給董事長，並固定在董事會做報告。</p> <p dir="ltr">爾後，合勤科技成立PSIRT（產品資安事件處理小組）團隊把關產品安全，不僅贏得客戶信任更增加企業營收；資安長則整合產品安全和資安治理，合勤科技更在每一款新產品上市前，檢附自家產品的資安檢測報告，藉此和同業區隔。游政卿表示，資安逐漸成為公司營運加值的利器，資安長則搖身一變，成為公司營運的加值者。</p> <p dir="ltr"><span style="font-size:28px;"><strong>設立PSIRT團隊為公司營運加分</strong></span></p> <p dir="ltr">游政卿於2007年任職合勤科技資訊服務處協理一職，負責合勤科技的各種IT應用服務的推動，直到2010年，該公司成立合勤投資控股後，因為對各種IT服務採用集中管理方式，便將資訊服務處設在合勤投控之下，他也成為合勤投控資訊服務處協理。</p> <p dir="ltr">即便合勤科技很早就很重視資安議題，但剛開始，也只是先從IT部門找懂得防火牆設定、懂網路封包的人成立資安小組；直到2013年，該公司才真正成立專責的資安部門，並有獨立的資安專責人員。</p> <p dir="ltr">不過，合勤科技的大客戶德國電信在2016年11月28日，遇到一波Mirai傀儡網路攻擊造成的大範圍網路故障，其中，德國電信2千萬個使用固定網路的用戶中，有大約90萬個路由器發生故障（約4.5%），而這些路由器就是合勤科技的產品。</p> <p dir="ltr">合勤科技為了解決公司產品遭遇資安風險後，所帶來的公司商譽和營運的損失，也為了讓該公司推出各種產品的時候，一旦遇到爆發資安事件時，該公司具備足夠的資安量能可以即時因應，便決定在2017年4月，正式成立PSIRT（產品資安事件處理小組）團隊。</p> <p dir="ltr">成立PSIRT團隊，不只是單純做好事後的漏洞修補而已，游政卿表示，最主要的目的就是保護客戶和公司的信譽；更重要的是，希望可以在產品設計的初期，就把產品資安漏洞補起來，真正落實Security By Design（產品安全設計）。畢竟，他說：「可以把資安在產品設計初期就落實，往往會比事後做漏洞修補還來得省事。」</p> <p dir="ltr">合勤科技雖然因為Mirai傀儡網路的橫行，導致德國電信使用合勤科技網路路由器客戶的損害，並遭到德國電信罰款，但他指出，該公司直球對決，成立PSIRT團隊也帶來實際效益，合勤則在2018年名列德國電信的四大優秀供應商，這代表他們最終獲得客戶的信任，並對公司帶來實際的營收獲利，更讓資安成為與同業相比的競爭優勢。</p> <p dir="ltr"><span style="font-size:28px;"><strong>從資訊長轉任資安長，職掌範圍囊括資訊安全和產品安全</strong></span></p> <p dir="ltr">游政卿於2007年任職合勤科技資訊服務處協理一職，負責合勤科技的各種IT應用服務的推動，直到2010年，該公司成立合勤投資控股後，因為對各種IT服務採用集中管理方式，便將資訊服務處設在合勤投控之下，他也成為合勤投控資訊服務處協理。</p> <p dir="ltr">合勤科技在成立PSIRT團隊後，更是將資安變成該公司的競爭優勢。不過，合勤科技直到2019年9月30日，才正式任命游政卿擔任合勤投控資安長一職，並且直屬董事長朱順一，此時，其他高科技製造業還不時興指派資安長的時候，合勤科技便設立資安長一職。</p> <p dir="ltr">回顧游政卿的職涯發展，他表示，主要是董事長朱順一認為，公司內部雖然重視資安，也成立PSIRT團隊對應產品安全，但是，資安在企業內部的組織和角色、責任等，都還沒有做到真正的名實相符，於是，才決定建構相關的角色和職務分工，讓職務可以真正扮演期待的角色。</p> <p dir="ltr">在成為資安長之前，資安相關事件的應變處理都在游政卿的掌握之中，包括PSIRT團隊在內。因此，游政卿擔任合勤投控資安長的職掌範圍，除了囊括資訊安全更包括產品安全，他認為，合勤科技是網通設備公司，在許多物聯網（IoT）裝置成為駭客幫凶，且該公司產品行銷全球之際，產品安全就應該納入企業整體安全的一個環節。」</p> <p dir="ltr">此外，資安治理已經是重要的企業治理環節，設立資安長角色，不僅做到整合產品安全和資訊安全，隸屬董事長之下，更必須和其他集團法務、稽核、智財權和安全部門等平行單位協力合作。他表示，當企業對資安給予足夠的授權，合勤資安長也扮演對公司產品和公司營運的加值者。</p> <p dir="ltr">由於游政卿兼管資安與產品安全，該公司在2021年5月1日正式新增產品安全管理部，負責PSIRT及所有產品安全事宜，仍由資安長擔任直屬主管；更在同年6月，成為MITRE通用漏洞揭露計畫的CVE Numbering Authority（CNA）成員，成為臺灣第四家針對自家產品漏洞發佈漏洞編號的企業。</p> <p dir="ltr">此外，合勤科技為了提高產品的競爭力，更在每一款產品上市時，會提供針對自家產品所做的資安檢測報告，以此和同業區隔，而這也成為該公司落實資安成為企業營運競爭優勢的最佳實例。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長要掌握企業資安風險，通報平臺一目了然</strong></span></p> <p dir="ltr">游政卿笑說，做資安的人都必須要有一定程度的使命感，才能把資安做好！他說，正式接任資安長這天，則是他人生最重大的轉捩點，因為，這讓他可以實現他對資安的使命。</p> <p dir="ltr">接任資安長半個月後，游政卿的第一要務就是讓「資安事件通報系統」上線，資料庫囊括弱點掃描、網路組態設定等資訊，讓通報的資安事件可以成為企業內部資安知識管理平臺（KM）的重要資產。</p> <p dir="ltr">以2021年合勤科技資安事件通報系統的統計來看，該年度通報了997起資安事件，以及45個產品安全漏洞修補。其中，除了常見的惡意程式軟體通報、弱點掃描通報外，還有網路資安風險協定、加密強度、加密金鑰強度在內的網路資安風險通報，其他像是造成許多網路服務大廠出包的管理與設定的弱點通報等，也都包含在內，畢竟，他說：「很多資安事件的發生是肇因於工程師太粗心，許多管理設定、配置錯誤造成的。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長不僅要懂技術，更要懂業務</strong></span></p> <p dir="ltr">一路從資訊長當到資安長，兩種職務中間的差異，游政卿最有體會。他表示，資安長和技術長的差異，基本來自對資安技術的理解和掌握有落差，像是資安長通常要了解威脅情報、安全技術和一些資安治理的策略等等，資訊長的心力，一般不會放在這些項目上。</p> <p dir="ltr">但游政卿認為，資安長雖然必須掌握相關的資安技術和趨勢，但這些對資安長而言，其實都還是「次要」的技能，他說：「資安長最重要的還要必須要了解公司的業務。」</p> <p dir="ltr">他表示，效率和安全是天平的兩邊，資安長的重點是要掌握平衡之道，一味地傾向效率，一旦有資安風險，可能對企業造成營運或商譽的損壞；但若是一味傾向安全，公司營運缺乏效率，不僅缺乏競爭力，連帶也會造成公司營運狀況不佳。游政卿說：「找到效率與安全的甜蜜點，是資安長的任務。」</p> <p dir="ltr">另外，他也分享自身的管理經驗，合勤的資安長要管資訊安全和產品安全，不同部門之間如何調和鼎鼐，就必須培養聆聽溝通的軟實力，而在傾聽需求、滿足需求外，也必須學會怎麼用對方聽得懂的話，講給對方聽，其中，學會肢體語言觀察也是重點。</p> <p dir="ltr">再者，團隊領導能力也是重要的軟實力之一。他認為，要打造有向心力的資安團隊，就必須要做好向上溝通、平行部門協作，以及向下管理，這樣才能讓這個資安團隊有共同的目標願景，一起努力。</p> <p dir="ltr">游政卿表示，資訊安全是一種紀律，更是一種風險管理的動態過程，他身為集團資安長，除了要做到以駭客為師，更希望能將資安落實在公司的產品和每一個作業流程上。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150582
如何當一個稱職的資安長？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年底，臺灣至少有超過一百家上市櫃公司須設立資安長及資安專責單位，需求孔急，但肩負資安防護重責大任的資安長，不能只專注資安技術，更需具備資安治理和營運思維，才算稱職</p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/article/150584
資安長是企業創新的引水人
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，在年中一場記者會中，玉山銀行董事黃男州這麼形容，資安單位對玉山集團的重要性。玉山之所以敢大力嘗試各種AI創新，就是因為在他們的科技聯隊中，有一個扮演「煞車角色」的資安處。人數不多，但卻是各種IT應用安全性的把關者，「如果沒有煞車，大家只會慢速前進！」黃男州這樣強調。科技聯隊敢加速，敢創新，嘗試AI新技術，就是因為有了這個單位。</p> <p>用「煞車」來比喻資安單位，非常貼切又傳神！一輛有煞車的跑車，和一輛沒有煞車的跑車，對一位賽車手而言，哪一輛車更好？如果賽道是如同火箭升空，一路向上，越快越好，當然沒有煞車存在的必要。可是，真實世界的道路，就算是在競賽場上，也都是彎彎曲曲的賽道，只是一昧加油，只會讓汽車失控，衝出賽場，撞上圍牆而失去資格，無法幫助車手奪下冠軍。</p> <p>只有裝上了煞車，賽車手才能靈活控制跑車，在可見的彎道前，壓制速度，以最小路徑快速轉進新方向，甚至遇到突如其來的障礙物，或切入搶道的競爭對手，也能靠煞車降速，爭取變換路徑再加速超車的迴旋空間，沒有煞車，就難有靈活性，更無法精確操控來尋找最佳路線。煞車可說是車手的除了方向盤之外，另外一個控制車輛的手段，讓車手更容易控制速度來避開風險。</p> <p>也難怪，玉山用煞車來形容資安單位，對法遵規範嚴厲，主管機關要求繁多的金融產業而言，漫無限制的創新，極可能最後只能淪為無法落地的點子，而非實際產品，因此，他們更能體會煞車單位，對企業創新的必要性。但這不只是玉山，或金融產業，對所有產業都是一樣，資安單位，正是企業可以安心，不斷創新衝刺的煞車。</p> <p>用煞車來比喻資安，點出了資安對企業的另一個少為人討論的創造性價值。這正是這幾年資安人才越來越搶手的另一個原因，不只是為了解決自身資安問題，滿足法規要求，也有不少企業開始感受到資安人才在企業中的創造性價值。</p> <p>而金管會日前的新要求，在2022年底，臺灣超過1百家上市櫃公司必須要設立資安長（CISO）及專責單位，更帶來了一股高階資安人才搶人大戰的趨勢。</p> <p>若用煞車來比喻資安單位能讓企業制險、避險而敢衝。那麼，掌管這個部門的最高主管，資安長，我覺得就像是一位引水人。</p> <p>當大船入港，或進入複雜水路、峽灣時，需要一位指引最佳航路的領航員，也是俗稱的引水人。</p> <p>他一方面要熟悉的當前水域的各種水文資料，天候狀況，海流海象變化，水底礁石分布，甚至曾導致沈船事件的暗流變化，也要略知，才能掌握各種不同特性的航道，再依據一大船自身機械特性、動力性能、這趟運輸載重資訊、吃水深度，來決定這時候該走哪一段航道，才是最佳航道。</p> <p>如果企業執行長是決策、帶頭的船長，他依然需要一位擁有領域知識的引水人，指出前方水路的風險，航道的限制，甚至提供更佳航行路徑的建議。</p> <p>創新路上，可能會遭遇法規風險、技術挑戰、資料運用限制，這些都是企業創新航道上，隱藏在水下難以發現的礁石，不只要建立擁有充分煞車技術能力的資安處，企業更需要一位，能夠洞悉風險，幫助企業尋找更加機會的資安長。</p> <p>如何成為稱職的資安長，正是我們這一期封面故事要探討的課題。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%95%B7">資安長</a></div><div class="field-item odd"><a href="/tags/ciso">CISO</a></div></div></div>
2022/4/25 07:00作者王宏仁https://www.ithome.com.tw/voice/150585
【DBS客座文章】星展銀行如何透過語意檢索聰明地幫聊天機器人模型加上標籤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>原著：Samarth Agarwal, Team Lead, Data Scientist／DBS Transformation Group<br /> 翻譯：石平<br /> 譯註：文中所稱之”我們”、”星展銀行”或”星展”皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務）<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/using-semantic-search-to-drive-smart-annotations-for-chatbot-models-f317db7fd41e">https://medium.com/dbs-tech-blog/using-semantic-search-to-drive-smart-an...</a></strong></p> <p>隨著自然語言處理技術的發展，聊天機器人已成為客戶服務中不可或缺的一環。然而，聊天機器人的使用場景並不僅止於服務客戶。</p> <p>為了提升員工的工作體驗，星展銀行導入了一套聊天機器人來回答員工們各種面向的問題，包括人資、IT、風控、通訊傳播、設備及各種支援服務。員工們能夠向聊天機器人發問，甚至提交假單、查閱法律文件、搜尋資料，或是尋求IT的支援。</p> <p><strong>星展銀行的員工聊天機器人模型</strong></p> <p>星展銀行內部的聊天機器人採用「意向分類模型（intent classification model）」，基於員工提出的問題或敘述（utterance）來判斷員工的意向。模型會分辨員工的意向，並給予相應的回覆。不論是提供相關的資訊，或是使用引導性對話（guided conversation）來解決員工的需求。</p> <p>模型給予的每則回覆都有一個信賴度分數（confidence score）。經過內部評估，我們將信賴度分數低於0.4的回覆視為低信賴。低信賴度的問題將會被標記為「未知」。這些問題將被匯入「內容管理系統（Content Management System）」，委由各事業單位負責標籤（annotation）的同仁處理。加上標籤的對話將會再次被送回聊天機器人的訓練資料集，使用優化過的資料再次進行訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-1(2).png" /></p> <p><strong>我們所遭遇到的問題</strong></p> <p>在標籤的過程中，同仁們必須親自瀏覽所有被標記為「未知」的句子，才能夠加上標籤。這樣造成了許多不必要且重複的工作；此外，加上標籤的過程目前完全以人工方式處理。若負責的同仁對於使用者提出的問題很熟悉，那就可以快速加上標籤並送回訓練資料集，反之，則需要在冗長的意向分類表中找到最適合的一項。</p> <p>有鑑於此，星展銀行卓越分析中心（DBS Analytics Centre of Excellence）的同仁John Jianan Lu、Steven Yang-Yu Tseng、Ying Yang Lee、Xuejie Zhang以及我本人在近期於KDD2021 — MLF Workshop發表的論文《Smart Annotation using Semantic Search for Employee Chatbot Platform in Financial Services》中，提出了一套更有效的「智慧標籤系統」以減輕在標籤的過程中瀏覽大量「未知對話」所造成的困擾。</p> <p><strong>智慧標籤系統的設計</strong></p> <p>這套智慧標籤系統將會基於我們所要解決的問題，利用語意檢索（Semantic Search）技術對使用者（也就是加上標籤者）提出建議，這個功能在於減少使用者重複檢查以及搜尋相關標籤的時間。以下是本系統的兩項目標：</p> <p>1. 將「未知對話」歸納為相對應的領域（domain），並將各領域的句子交付給相關的團隊，由於預測準確度很高，因此減少了三至四倍的工作量。</p> <p>2. 提供三個意向（intent）建議給加上標籤者，藉此減少尋找潛在意向所需的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-2-new.png" /></p> <p>實驗過程中，我們使用敘述（utterance）資料作為訓練資料（資料日期止於2020年12月），並利用已實際上過標籤的資料作為驗證資料（資料日期始於2021年1月）。聊天機器人使用的資料以下列方式做安排：</p> <p><strong>敘述訓練資料</strong><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-3(2).png" /></p> <p>語意檢索模型會基於接收到的對話，在訓練資料中找出最接近的敘述。在敘述資料集中，每個敘述皆標註有一個意向（intent）、一個話題（topic），以及一個領域（domain），它們被用來比較對話的相似程度，模型並藉此提出建議。</p> <p>當對敘述提出前三順位的意向建議時，系統會針對結果去重複化，並提出彼此相異的前三順位意向建議。舉例來說，當使用者詢問「員工識別證」時，最相近的敘述可能皆屬於同一種類型的意向（如新員工識別證），但我們只將其視為同一種意向建議。去除重覆化的步驟，讓系統得以從所有的搜尋結果中提出三項不同的建議。</p> <p>在領域預測上，各領域中與敘述最相近者，將在訓練資料中被作為建議類別。在正式環境中，若前三順位的意向建議屬於不同的領域，則所有與這些領域相關的事業單位中負責標籤的同仁，都能存取這段由使用者所輸入的對話。</p> <p><strong>成效評估</strong></p> <p>我們擷取一組標籤集，並利用以下指標來評估這套系統的成效：</p> <p>1. 平均領域預測準確度</p> <p>2. 前K項話題準確度：若任一前K項話題建議與事實相符，則視為正確</p> <p>3. 前K項意向準確度：若任一前K項意向建議與事實相符，則視為正確</p> <p>在我們的評量中，本實驗將K設為1及3。最理想的情況是能夠取得非常高的第一順位意向準確度，這樣整套流程即可自動化。然而，由於意向的條目非常多（超過一千項），加上其中一些意向之間僅存在著細微的差異，因此我們也同時評估前三順位的準確度。</p> <p>每得到一個input，演算法就會找出與其最接近的前三項敘述，並取得相應的意向，如此一來就成了一個kNN（k-nearest-neighbor）問題。所以為了加快搜尋速度，我們比較了完美相符和近似最近鄰（approximate nearest neighbor）兩種方法的搜尋速度。在近似最近鄰方法下，資料集依照詞嵌入（word embedding）被切分為多個小區塊，因此即便在上百萬資料點的向量空間中，也能有效率的搜尋。但值得注意的是，近似最近鄰的搜尋結果未必完全吻合，有時相似度很高的向量也可能會被忽略，可以說是速度和準確度之間的取捨。由於我們並非處理極大量的資料，因此最終決定採用完美相符的搜尋方法。</p> <p><strong>實驗結果</strong></p> <p>實驗對照組方面，我們使用以TF-IDF為基礎的詞彙搜尋法（Lexical Search）作為基準。在我們的研究中發現，純粹以名詞作為搜索方式會得到較好的準確度。實驗使用NLTK（Natural Language Toolkit），以Penn Treebank的詞性集（tag-set）進行詞性標註（Part-of-Speech Tagging）。我們將訓練資料集進行上述整理，並對所產生的token（即單詞）依照文件頻率（document frequency）進行過濾以產生出最終的詞彙集來進行一元TF-IDF向量化（unigram TF-IDF vectorization）。修訂過後的詞彙集和逆向文件頻率權重（IDF weight）將用來處理未來輸入的資料。用以衡量兩個句子是否相似的測量方法，則是採用餘弦相似性（Cosine distance）來判定。</p> <p>對照組能夠達到不錯的領域準確度，但在意向建議上表現則並不出色。</p> <p>詞袋模型（Bag-of-word）會忽略句子的整體架構，並且當同樣一組詞彙使用在不同的意向或話題時也會失準。舉例來說，當搜尋潛在可能離職的員工（flight risk employee）時，若未加以考量語意，則與flight和risk等詞彙最相近的敘述，將會是關於機票（flight ticket）或是營業風險（business operational risk）等項目。</p> <p>此外，我們也用驗證資料集比較了一些預先訓練好的BERT語句模型（pre-trained sentence-BERT models），如stsb-distillbert-base、stsb-bert-base、stsb-roberta-base。我們發現stsb-roberta-base在幾種BERT語句模型中的表現最好。由於是預先訓練過的模型，其表現也勝過未施加額外訓練的TF-IDF模型（即對照組）。</p> <p>然而，在細部分析預訓練模型所得到的錯誤分類結果後，我們發現此類模型在屬於專門領域的對話中表現欠佳。因此，我們接著利用聊天機器人的資料來將stsb-roberta-base模型加以調整，讓它更加熟悉我們的資料集。為了調整stsb-roberta-base模型，句子們以成對的方式呈現，會被給予相似度分數。下表為產生此一相似度資料集的邏輯。</p> <p><strong>句子相似度資料集</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-4(2).png" /></p> <p>由於具備有不同的意向、話題及領域，我們能夠較輕易的將相似的句子做分類。相似句透過排序所組成，因此並非完美相符。</p> <p>此方法產生的資料量相當龐大。舉例來說，若我們僅考慮相似度為1的情況時，我們的資料集將會產生435,000組相似句子。在我們的案例中，透過抽樣方法減少相似度小於1的情況，最終產生的資料集共計約兩百萬筆。</p> <p>用於訓練的資料約三十至五十萬筆中，我們優先擷取符合特定標準的資料，以利取得較複雜的相似句。判斷標準如下：</p> <p>- 相似度=1者，優先取用文字重複度低者。<br /> - 相似度<1者，優先取用文字重複度高者。</p> <p>本研究使用孿生神經網路（Siamese networks）及餘弦損失函數（Cosine Similarity Loss）來優化stsb-roberta-base預訓練模型，以此減少兩個語句向量間標籤及餘弦相似度的差異。下列為訓練細節及參數：</p> <p>- Data size: 300,000 sentence pairs<br /> - Number of epochs: 2<br /> - Batch size: 8<br /> - Warm up steps: 10% of total steps<br /> - Learning rate: 2e-5</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-5(2).png" /><br /> 本實驗使用斯皮爾曼等級相關係數（Spearman correlation）來比較優化前、後詞嵌入之間的相似度，並發現優化後的stsb-roberta-base模型表現有顯著的提升。</p> <p>我們採用結合了TF-IDF向量及語句嵌入（Sentence Embedding）向量（優化後的模型）作為我們的最終搜尋方法，因為它在資料中融合了詞彙層級及語意層級的資訊。</p> <p>由於TF-IDF和語句詞嵌入的向量空間維度並不相合，我們採取了以下手法：</p> <p>首先，我們從訓練資料集中分別抽取出同一段搜尋文字在TF-IDF及語句詞嵌入中，透過餘弦距離找出的一組「最近鄰（nearest neighbor）」。接著我們將兩個權重參數，個別與兩個模型所產生的餘弦距離相乘，最後再相加，得出最終距離維度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs-eq.png" /></p> <p>利用此最終維度距離所產生的「最近鄰」可用來找出最高順位的話題及意向建議。在我們的實驗中，將α設為0.66；β設為0.34，賦予語句詞嵌入相當於TF-IDF兩倍的權重。僅納入名詞的TF-IDF模型能讓演算法更著重在使用者感興趣的物件或產品。</p> <p>這個結合兩者模型的方法在尋找相符合的話題和意向上，稍微比單純使用語句詞嵌入的方法更好。</p> <p><strong>實驗結果</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-6(2).png" /></p> <p><strong>錯誤分析</strong></p> <p>隨著越來越多來自不同團隊的意向和敘述陸續加入，即便提出了一套準則，仍然很難得到一份完全周延、互斥的意向及敘述清單。與此同時，最近有個很熱門觀點叫DataOps，其概念是透過改善資料本身的品質，藉此優化模型的表現。一旦完成模型，我們會分析模型中預測表現較差的部份，並提出改善策略。因此為了解決模型中的錯誤，我們使用了以下的分析方法：</p> <p><strong>1. 前三順位中主題、意向層級的精準度</strong>：找出預測表現不佳的意向，觀察模型預測出哪些意向，而非著眼於正確的解答。</p> <p><strong>2. 文字層級：</strong>檢查是否有特定文字總是表現不佳，以及在訓練資料集中有多少此一文字。</p> <p>透過以上分析，我們找到以下問題，並與相關單位合作改善資料品質，以及模型的表現。</p> <p><strong>1. 不同意向中有相同的資料：</strong>同樣的一段敘述，有時會包含多種不同的意向，導致分類錯誤。</p> <p><strong>2. 進階案件：</strong>進階案件是指模型無法處理的案件，它們可能需要經由主管或人資單位審核。由於這類案件的可能性相當多樣化，模型在預測的表現比較差。</p> <p><strong>3. 新詞：</strong>某些特定領域專用字，例如系統名稱，在資料集中並不常出現，因此無法妥善地被預測。</p> <p><strong>4. Transformer模型偏見：</strong>自然語言模型對於數字及日期較敏感，例如當輸入「申請9月2日休假」時，模型將會把它和其他提到日期的敘述視為具有更高的相似性，即便其他的敘述與申請休假無關。這可能與模型在訓練時針對資料集的偏見有關。</p> <p><strong>影響</strong></p> <p>藉由導入智慧標籤系統，我們在HR和IT領域等佔使用者提問比例較大的問題中減少了40–60%上標籤的工作量。此外，在較少被詢問的領域（如法遵），即便需要上標籤數量一樣，仍然減少了90%的工時。</p> <p><strong>未來發展</strong></p> <p>透過本研究，我們展示出基於語意檢索的智慧標籤系統能夠有效的被利用在聊天機器人上。結合文字及詞嵌入（針對個別領域進行優化）的方法比其他方法表現更優異。DataOps策略在處理大量文本資料上，能更有效改善資料品質，以及模型表現因此變得更好。透過改善資料品質，我們預估模型準確度能提升10%以上。</p> <p>整體來說，使用語意檢索方法比起傳統文字分類方法，有以下三層優勢：</p> <p>1. 它能被使用在較少出現的意向上，傳統文字分類方法則會剔除較少出現的敘述。</p> <p>2. 即便沒有重新訓練，模型也能對含有新詞彙的句子進行相當程度的預測。</p> <p>3. 由於系統提出多個順位的高相似度結果提供觀察，讓模型具有更高的可解釋性，亦提供我們更多檢討模型為何失敗的線索。</p> <p>最後提出本系統的未來計畫以及如何擴展目前的解決方案：</p> <p><strong>1. 多語言模型：</strong>開發橫跨多語言的模型，例如中文及印尼文模型。如此能幫助我們將本系統擴展到星展銀行位於其他國家及地區的使用者。</p> <p><strong>2. 加入交互編碼（Cross-encoder）模型層來重新排序</strong>：研究論文顯示，交互編碼模型藉由在第一階段得到的句子上再加入一層重新排序的步驟，能得到更好的表現。這是因為交互編碼器在預測相似度時是同時參考所有輸入的問題。</p> <p><strong>參考資料</strong></p> <p>1.Jacob Devlin, Ming-Wei Chang, Kenton Lee and Kristina Toutanova, 2019. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. Proceedings of the 2019 Conference of the North American Chapter of the Association for Computational Linguistics: Human Language Technologies, Volume 1 (Long and Short Papers), (Jun 2019), 4171–4186.</p> <p>2.S ́ebastien Harispe, Sylvie Ranwez, Stefan Janaqi, Jacky Montmain and Ecole des mines d’Al`e, 2015, Semantic Similarity from Natural Language and Ontology analysis, Synthesis Lectures on Human Language Technologies, (May 2015).</p> <p>3.Yinhan Liu, Myle Ott, Naman Goyal, Jingfei Du, Mandar Joshi, Danqi Chen, Omer Levy, Mike Lewis, Luke Zettlemoyer and Veselin Stoyanov, 2019. RoBERTa: A Robustly Optimized BERT Pretraining Approach. arXiv:1907.11692.</p> <p>4.Nils Reimers and Iryna Gurevych, 2019. Sentence-BERT: Sentence Embeddings using Siamese BERT-Networks. arXiv:1908.10084.</p> <p>5.James Pustejovsky and Amber Stubbs, 2012. Natural Language Annotation for Machine Learning. O’Reilly Media, Inc, (Oct 2012).</p> <p>6.Ting Liu, Andrew W. Moore, Alexander Gray and Ke Yang, 2004. An Investigation of Practice Approximate Nearest Neighbor Algorithm. Neural Information Processing Systems, (Dec, 2004).</p> <p>7.Luyu Gao, Zhuyun Dai, Tongfei Chen, Zhen Fan, Benjamin Van Durme and Jamie Callan, 2021. Complementing Lexical Retrieval with Semantic Residual Embedding. arXiv:2004.13969, (Apr 2021).</p> <p>8.Andrew Ng. Machine Learning Yearning (Draft Version). <a href="https://d2wvfoqc9gyqzf.cloudfront.net/content/uploads/2018/09/Ng-MLY01-13.pdf">https://d2wvfoqc9gyqzf.cloudfront.net/content/uploads/2018/09/Ng-MLY01-1...</a></p> <p>9.Nils Reimers, 2021. Sentence Embedding Models. Retrieved From <a href="https://www.sbert.net/docs/pretrained_models.html#sentence-embedding-models">https://www.sbert.net/docs/pretrained_models.html#sentence-embedding-models</a></p> <p><strong>免責聲明和重要通知</strong></p> <p>本文章（英文）係由DBS LTD提供並經星展銀行（台灣）（下稱｢本行｣）翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用</p> </div></div></div>
2022/4/24 09:05作者星展銀行https://www.ithome.com.tw/news/150592
Pwn2Own Miami for 2022落幕，研究人員找到26個位於工業控制系統的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由趨勢科技旗下Zero Day Initiative（ZDI）團隊所主辦的<a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results" target="_blank">Pwn2Own Miami for 2022駭客競賽在本周落幕了</a>，參賽隊伍總共找到了26個零時差漏洞，抱走40萬美元的獎金。這次的主題為工業控制系統（Industrial Control Systems，ICS），獲得破解大師（Master of Pwn）桂冠的是駭客競賽的常客Daan Keuper與Thijs Alkemade，特別的是，<a href="https://www.technologyreview.com/2022/04/21/1050815/hackers-target-critical-infrastructure-pwn2own/" target="_blank">Keuper向《MIT Technology Review》表示</a>，這是他們所參加過最簡單的競賽，因為工業控制系統中有太多唾手可得的成果，這是個安全性落後許多的領域。</p> <p>在這次以工業控制系統為主題的競賽中分為4個類別，包括控制伺服器、開放平臺通訊統一架構（OPC UA）伺服器、資料閘道，以及人機介面。其中，控制伺服器指的是可用來控制各種可程式化邏輯控制器與其它現場系統的伺服器，攻擊目標為Iconics Genesis64與Inductive Automation Ignition。</p> <p>OPC UA則是一個整合所有OPC Classic規格的架構，擔任ICS世界的通用翻譯協定，幾乎出現在所有的ICS產品中，負責在不同供應商的系統間傳遞資料，攻擊目標為Unified Automation C++ Demo Server、OPC Foundation OPC UA .NET Standard、Prosys OPC US SDK for Java，以及Softing Secure Integration Server。</p> <p>資料閘道專門連結採用不同協定的裝置，攻擊目標為 Triangle Microworks SCADA Data Gateway 與Kepware KEPServerEx server；人機介面指的是允許工業系統操作人員存取各種ICS硬體元件的介面，攻擊目標為AVEVA Edge與Schneider Electric EcoStruxure Operator Terminal Expert。</p> <p>其中，控制伺服器Iconics Genesis64與人機介面AVEVA Edge都被成功攻陷6次。鎖定Iconics Genesis64的攻擊全都可自遠端執行任意程式，當中有3次攻擊開採的零時差漏洞。針對AVEVA Edge的成功攻擊同樣可執行遠端程式，並有4次攻擊開採零時差漏洞。</p> <p>該競賽的主持人Dustin Childs指出，在工業控制系統上所看到的很多漏洞，在10至15年前都曾出現在企業軟體中，同時他也很訝異在Iconics Genesis64中看到這麼多不同的漏洞。</p> <p>Keuper曾在2012年的Pwn2Own競賽中成功駭進iPhone，也與同伴Alkemade<a href="https://www.ithome.com.tw/news/122843" target="_blank">在2018年駭進福斯汽車所使用的車載資訊系統</a>，他認為駭進iPhone與駭進ICS不同，因為蘋果作業系統經常更新，且消費者換手機的頻率高，但經常出現在重大基礎設施中的ICS可能沿用了幾十年，因為不容易重新啟動所以顯少進行安全更新，ICS領域需要導入全新的安全設計。</p> </div></div></div>
2022/4/24 02:04作者陳曉莉https://www.ithome.com.tw/news/150589
AWS推出第二版Aurora無伺服器服務，能即時擴張規模因應工作負載高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS無伺服器資料庫服務更新<a href="https://aws.amazon.com/tw/blogs/aws/amazon-aurora-serverless-v2-is-generally-available-instant-scaling-for-demanding-workloads/">Amazon Aurora Serverless v2</a>，強化其擴展能力，使得資料庫服務可以根據應用程式的需求，即時向上擴展或是向下縮減容量。</p> <p>Amazon Aurora是AWS針對雲端需求，所開發與MySQL、PostgreSQL相容的關聯式資料庫，由Amazon RDS完全管理，可自動執行繁瑣的管理工作，包括硬體配置、資料庫配置、程式修補和備份。Aurora最主要的特色是運算和儲存分離，因此能夠單獨擴展運算或是儲存資源，當用戶從原本的龐大資料中，刪除大部分的資料，Aurora配置的儲存容量也能跟著縮減。</p> <p>AWS在2018年的時候，推出第一版的Amazon Aurora Serverless，來替用戶監控資料庫的容量使用，並根據變化調整規模，用戶不再需要花時間管理資料庫資源。而現在AWS更新Amazon Aurora Serverless推出第二版，目標是供用戶能夠以無伺服器服務，運作嚴苛的工作負載，其具有即時且無中斷的擴展和精細的容量調整能力，同時提供唯讀副本、多可用區域和Amazon Aurora全球資料庫等多個附加功能。</p> <p>第二版Aurora無伺服器服務能夠擴展資料庫，以應付每秒數十萬個交易，並且高經濟效益地管理工作負載。AWS提到，Aurora無伺服器服務現在能微幅增加資料庫容量，以緊密貼近用戶工作負載需求，且不會中斷任何連接和交易，用戶僅需要針對切確的資料庫使用量付費，與針對高峰負載的系統配置相比，可節省高達90％的費用。</p> <p>用戶可以在現有的Aurora叢集中，創建一個Aurora Serverless v2執行個體，以獲得混合配置叢集，由用戶配置的Aurora執行個體與Aurora Serverless v2執行個體，可共存於同一個叢集。無伺服器執行個體支援Aurora所有功能，像是用戶可以跨多個可用區域創建高達15個唯讀副本，這些副本可以都是Aurora Serverless v2執行個體，並且用於故障轉移、高可用性或是擴展讀取操作。</p> <p>之所以Aurora Serverless v2具有更大的擴展靈活度，AWS解釋，他們在底層執行個體添加更多的CPU和記憶體資源，來實現即時且無中斷的擴展，而這項技術讓底層執行個體可以直接增加或是減少容量，而不需要故障轉移至新的執行個體才能進行擴展。</p> <p>在縮小規模的行為上，Aurora Serverless v2更為保守，採用逐步縮減的方法，AWS表示，Aurora Serverless v2會逐步縮減規模以貼近工作負載所需容量，執行個體會避免縮減太快，以防過早驅逐快取頁面減少緩衝池，而影響效能。</p> <p>Aurora Serverless容量以ACU（Aurora Capacity Unit）衡量，每個ACU是大約2 GB記憶體，以及相對應的CPU和網路組合。Aurora Serverless v2最小的容量可以從0.5 ACU開始，最大容量可達128 ACU，最小的容量增加單位為0.5 ACU。</p> <p>目前Aurora Serverless v2已經在美東、美西、加拿大、南美和歐洲各AWS地區上線，而亞洲地區則有香港、孟買、首爾、新加坡、雪梨和東京。</p> </div></div></div>
2022/4/24 01:02作者李建興https://www.ithome.com.tw/news/150566
Google準備封鎖第三方通話錄音程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/googleplay/android-developer/answer/9876714" target="_blank">Google在今年4月更新了Google Play Store政策</a>，準備禁止開發者利用Accessibility API來提供遠端通話錄音功能，此一新政策預計於今年5月11日生效。</p> <p>根據<a href="https://www.youtube.com/watch?v=d21mg8JxxU0&t=2990s" target="_blank">Google Play營運經理Moun Choi的說明</a>，所謂的遠端通話錄音指的是另一端的使用者並不知道這通電話正在被錄音，不過，倘若該程式為手機上的內建或預設通知程式，由於並不會使用Accessibility功能，因此不在此限。</p> <p><a href="https://www.androidauthority.com/google-killing-call-recording-apps-3155610/" target="_blank">《Android Authority》指出</a>，過去Google陸續於不同的Android版本中削弱提供通話錄音的能力，一直到於Android 10完全封鎖通話錄音功能，使得開發者只好利用Accessibility API來繞過此一限制，新的政策代表未來非內建於手機上的第三方程式都無法再提供通話錄音功能。</p> <p>Google打造Accessibility的目的，是為了讓開發者可協助殘障用戶來使用Android裝置與應用程式，因此賦予該API許多特殊權限，例如可讀取螢幕，也支援聲音或點字輸入，但在新的政策中，Google明文指出Accessibility API並非設計用來執行遠端通話錄音，也不應該被用來執行此一任務。</p> <p>屆時Google將會封鎖相關程式的上架，可能也會阻止既有程式的更新，最終也許會將所有這類程式下架。</p> </div></div></div>
2022/4/24 01:27作者陳曉莉https://www.ithome.com.tw/news/150587
AWS正式推出SageMaker無伺服器推理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent 2021大會中發表的機器學習<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/04/amazon-sagemaker-serverless-inference/">SageMaker無伺服器推理（SageMaker Serverless Inference）</a>服務，現在已經正式上線。用戶可以使用該服務快速部署機器學習模型，執行推理工作負載，而不需要配置和管理底層基礎設施。</p> <p>當用戶在SageMaker部署模型時，只需要選擇無伺服器選項，SageMaker就會根據推理請求的數量，自動配置、擴展和縮減運算容量，AWS提到，用戶僅需要針對處理推理請求的運算容量，和資料量支付費用，不需要對空閒時間付費，因此很適合用於間歇性或是不可預測流量的應用程式。</p> <p>從re:Invent 2021大會發布以來，AWS持續更新SageMaker無伺服器推理，加入了對Python SDK的支援，抽象模型部署來簡化開發者的工作，同時支援模型註冊表，讓開發者可以整合無伺服器推理端點和MLOps工作流程。AWS也加大每個端點並行觸發的上限，從50提升到200，使得用戶可以將SageMaker無伺服器推理用於高流量工作負載。</p> </div></div></div>
2022/4/24 01:29作者李建興https://www.ithome.com.tw/news/150573
Andreessen Horowitz成立專門研究加密貨幣與Web3的a16z Crypto Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名美國創投業者Andreessen Horowitz（又被稱為a16z）繼設立3個以加密貨幣為主的投資基金之後，<a href="https://a16z.com/2022/04/21/announcing-a16z-crypto-research/" target="_blank">在本周成立了專門研究加密貨幣與Web3的a16z Crypto Research</a>，不管是加密貨幣或Web3都奠基在區塊鏈上，標榜去中心化網路的Web3也被某些人視為全球網路的下一個趨勢，而a16z Crypto Research的任務即是要把加密貨幣及Web3當作是一個正式的研究領域，並銜接學術研究與實際應用。</p> <p>a16z的第一個加密貨幣基金誕生於2018年，集資了3億美元，第二個出現在2020年，集資5.15億美元，去年籌募的第三個加密貨幣基金規模更高達22億美元，不免令人懷疑a16z Crypto Research設立的主要目的是為了替這些基金抬轎。</p> <p>不論如何，a16z Crypto Research延攬了該領域許多知名的學者專家，包括曾於史丹佛大學與哥倫比亞大學擔任電腦科學教授、致力於發展電腦科學領域賽局理論的Tim Roughgarden，以及擔任史丹佛大學電腦科學暨電子工程教授、主導應用密碼學、史丹佛區塊鏈研究中心與計算機安全實驗室的Dan Boneh，其中，Roughgarden將擔任該研究中心的負責人，Boneh的頭銜為高級研究顧問。</p> <p>現有的團隊還包括加密貨幣技術教科書的作者Joseph Bonneau，Web3應用新創Espresso Systems的首席科學家Benedikt Bünz，專精於市場設計的經濟學家Scott Duke Kominers，以及曾參與臉書Libra專案的權益證明區塊鏈專家Valeria Nikolaenko 。</p> <p>a16z表示，隨著以太坊與其它可程式化的區塊鏈的出現，Web3替創新打開了更豐富的空間，有別於集中化的作法，最近這幾年開始出現去中心化金融、諸如NFT等由藝術家與創作者建立的網路、能與實體世界互動的遊戲經濟，以及各式的分散式自治組織（DAO）等，在在都顯示該領域的創新正在加速。</p> <p>然而，這些新興應用也都面臨了許多挑戰，例如相關的運算基礎設施該如何擴展與發展，如何建構公布的代幣激勵機制，以及如何把代幣經濟帶入Web3的應用程式或社交網路上。</p> <p>a16z認為，現在正是銜接學術理論與實際應用的好時機，該研究中心即聚集了該領域不同學科的研究人才，以協助解決上述的挑戰。</p> <p>業界對於標榜去中心化、把治理權交還給使用者的Web3究竟能否成氣候有不同的看法，例如同樣推崇加密貨幣的<a href="https://www.ithome.com.tw/news/148558" target="_blank">Twitter創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk）皆不看好Web3</a>，Dorsey認為Web3最終還是會成為權力集中的平臺，而Musk不僅說他找不到Web3，<a href="https://twitter.com/elonmusk/status/1466320998379175939" target="_blank">也曾毫不客氣地說「Web3聽起來像bs」</a>。</p> </div></div></div>
2022/4/24 01:39作者陳曉莉https://www.ithome.com.tw/news/150588
用Scrum開始敏捷開發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1074shu_zhai_zhu_tu_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">由Jeff Sutherland 和Ken Schwaber在1990年代創立的Scrum，是將野中郁次郎與竹內弘高在1986年發表於《哈佛商業評論》的文章「新新產品開發遊戲」（The New New Product Development Game）的內容，應用在軟體開發上，而Scrum這個名稱也是來自該文章。Scrum具有以下特點：</p> <p dir="ltr"><span style="color:#B22222;"><strong>依照價值、風險或必要程度，對需求進行排序，並依此順序建構產品，以達成成果最大化</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><strong>在Scrum中進行作業時，將時間切分成固定且短的區間，固定的時間區間稱為時間盒（timebox）</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><strong>時常釐清目前狀況和問題，即所謂的透明（transparency）</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><strong>定期檢查進度，確認所製作的產品是否能得到預期的結果，以及工作方式是否存在問題，即所謂的檢驗（inspection）</strong></span></p> <p dir="ltr"><span style="color:#B22222;"><strong>如果做法有問題，或是有能做得更好的方法，我們就改變做法，即所謂的調適（adaptation）</strong></span></p> <p dir="ltr">Scrum適合處理未知多於已知的複雜問題，它由一套最基本的規則組成：5種事件（event，會議等）、3種角色（role，人的角色）和3個產出物（artifact）。因為只有最低限度的規則，所以我們必須自己找出如何應用這些規則。此外還要根據自己的情況，決定Scrum中未定義部分的做法，譬如如何撰寫程式碼，如何測試，這些都是建構產品所需的。因此它也可以說是一種架構（framework）。</p> <p dir="ltr"><span style="font-size:28px;"><strong>對功能和要求進行排序</strong></span></p> <p dir="ltr">在Scrum中，我們會列出產品所需的功能、需求、請求、修正等項目，建立一個稱為產品待辦清單（product backlog）的列表，依序排列。每個產品只能有一個待辦清單，其中的項目是依照這些項目帶來的價值、風險和必要性排序的。</p> <p dir="ltr">待辦清單中的每個項目都有唯一順序，開發時會依序從前面的項目開始，因此順序越高，內容就越具體而詳細。此外，還要對每個項目（特別是排比較前面的）進行估算（estimation）以用於計劃。估算通常是基於工作量的相對值，而非時間或金額等絕對值。</p> <p dir="ltr">產品待辦清單並不是建立然後排序就算完成了。需求不斷變化，新的需求也不斷冒出，實作順序也會根據情況改變。因此產品待辦清單必須在整個產品建構過程中，時時更新，保持最新狀態。</p> <p dir="ltr">產品待辦清單的項目沒有特定的寫法，不過通常是用使用者故事（User Story）的形式來寫。</p> <p dir="ltr"><span style="font-size:28px;"><strong>誰是產品的負責人？</strong></span></p> <p dir="ltr">負責管理產品待辦清單的人被稱為產品負責人（PO, Product Owner）。</p> <p dir="ltr">產品負責人是對產品負責的人，每項產品都會有一位（不是合議制的委員會），負責利用開發團隊最大化產品帶來的價值，儘管產品負責人可與開發團隊一起建立及更新產品待辦清單，但最終的責任還是在產品負責人身上。</p> <p dir="ltr">產品負責人的決定不應輕易被其他人推翻，產品負責人自己做出決定，並對結果負責。</p> <p dir="ltr"><span style="font-size:28px;"><strong>開發能用的產品</strong></span></p> <p dir="ltr">第二個角色是開發團隊，主要責任是根據產品負責人所建立的產品待辦清單，依其項目順序進行開發。</p> <p dir="ltr">一個開發團隊通常由3～9人組成，若少於3人，因為彼此互動較少，主要是依賴個人的技能，所以團隊一同開發所帶來的效果較少。而人數在10人以上時，則會因為溝通成本增加而造成開發效率低落，因此一般會拆分團隊以保持適當規模。</p> <p dir="ltr">開發團隊必須能完成產品建構所需的所有工作，例如開發團隊要能分析需求、設計、撰寫程式、架設伺服器、測試，以及撰寫文件，這就是所謂的跨職能團隊（cross-functional team），裡面不會再分成特定的小組，像是「需求分析小組」或「測試小組」。團隊中每位成員可能會做不同的事情，或者有能力差別，但在工作過程中，最好是每個人都盡可能地能做多種事情。</p> <p dir="ltr">在開發團隊中，不會有基於職位或技能的特定頭銜或角色。開發團隊內部的工作進行方式，是由成員之間共識決的，而非受到外部指示該如何進行。整個開發團隊作為一個整體，對自己的工作負責，這就是所謂的自我組織（selforganization）。用這種方式能讓開發團隊發揮主體性，團隊的能力也會不斷提高。</p> <p dir="ltr"><span style="font-size:28px;"><strong>切成期間並重複</strong></span></p> <p dir="ltr">Scrum將時間切分為最長一個月的固定期間，周而復始地進行開發。這個固定期間稱為Sprint（「衝刺」的意思）。</p> <p dir="ltr">在這期間內，開發團隊會進行各種工作來完成產品待辦清單上的項目，包括規劃、設計、開發和測試。</p> <p dir="ltr">這種固定期間的反覆進行能帶來節奏感，讓團隊專注於開發工作，掌握整體目標進度，更能應對風險。</p> <p dir="ltr">即使在Sprint最後一天還有工作沒完成，也會結束Sprint，不再延長。Sprint的期間該設定多長，是根據產品規模、開發團隊人數和成熟度，以及業務狀況決定的，一般是以週為單位，短則1週，長則4 週。若因情況變化導致Sprint的工作失去意義，那麼只有產品負責人能決定是否提前終止Sprint。</p> <p dir="ltr"><span style="font-size:28px;"><strong>頻繁地計劃</strong></span></p> <p dir="ltr">開始Sprint之前，要先計劃在Sprint中要做什麼（What）、如何做（How）。計劃是在Sprint計劃（Sprint Planning）這個事件確定的。如果是1 個月的Sprint，那麼Spring計劃會議所花的時間大約是8小時，如果Sprint期間較短，那麼計劃的時間也會比較短。</p> <p dir="ltr">在Sprint計劃中，主要有兩個主題。</p> <p dir="ltr">第一個主題是決定在一個Sprint要完成什麼。</p> <p dir="ltr">首先產品負責人要釐清在這個Sprint想達成的目標，然後從產品待辦清單中，選擇在這個Sprint要完成的項目以達成目標，一般來說會選排在前面的項目。選擇的項目數量是根據每個項目的估算規模、開發團隊過去表現（稱為速率，velocity）、該次Sprint可用於工作的時間（稱為產能，capacity）進行初步的決定。</p> <p dir="ltr">另外還會根據討論的內容簡單總結本次Sprint的目標，這稱為Sprint目標（Sprint Goal），能幫助開發團隊理解為何是從清單中選擇這些項目來進行開發。</p> <p dir="ltr">若要像這樣從待辦清單頂部開始，依序討論項目並作為本次Sprint開發對象，就需要在Sprint計劃會議前，先對頂部的項目做好準備。準備內容各不相同，譬如將項目內容更加具體化、解決項目的疑點、訂定項目該完成什麼（驗收標準）、將項目切分成可處理的大小、進行估算等。這些活動被稱為產品待辦清單精煉（Backlog Refinement，通常簡稱為精煉，或稱為梳理）。</p> <p dir="ltr">Scrum 並沒有定義何時及如何進行精煉，但應該保留充足時間進行，如果在Sprint開始前才準備可能會來不及，通常精煉所花時間在Sprint的10% 以內。接下來第二個主題是計劃開發團隊如何完成選定的項目，也就是對每一個項目擬出具體任務內容，制定工作計劃。選定的產品待辦清單項目以及工作列表，稱為Sprint待辦清單（Sprint Backlog）。待辦清單是開發團隊的工作計劃，可以在Sprint期間自由增減任務內容。一般會將各任務分割為可在一天內完成的規模。</p> <p dir="ltr">如果在討論Sprint待辦清單之後，開發團隊認為主題1 所選的項目很難完成，那就得和產品負責人討論如何調整工作量，看是要將一部分項目拿掉，或是重新檢討工作計劃。</p> <p dir="ltr">要注意的是，雖然開發團隊必須盡其所能完成Sprint計劃會議中討論的內容，但並不保證會完成計劃的所有內容。如果承諾完成所有工作，可能會導致若出現估計失誤、難度過高、出現意外等情況時，開發團隊需要長時間加班或省略必要工作，結果就是產品會出現各種問題。Sprint待辦清單的各個項目並沒有特定負責人，且在Sprint計劃時，也不必決定所有項目的負責人，可以在真正開始作業時，由實際進行的人自己從Sprint待辦清單中選擇項目。</p> <p dir="ltr"><span style="font-size:28px;"><strong>完成每個Sprint</strong></span></p> <p dir="ltr">Scrum要的是在每個Sprint裡能進行評估的增量（Increment）。</p> <p dir="ltr">增量是指過去累積的成果和目前Sprint中完成的待辦清單項目的成果總和，通常是提供能運作的軟體，必須在Sprint結束時完成，且能正常運作。因此產品負責人和開發團隊需要對「完成」有共通的標準，這就是所謂完成的定義（Definition of Done），開發團隊必須做出符合此定義的產品。</p> <p dir="ltr">完成的定義也可以說是品質標準。可以在開發途中追加定義，但要注意若是在途中刪減定義，可能導致產品無法達成品質要求。（摘錄整理自《SCRUM BOOT CAMP》，碁峰資訊提供）</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/280_SCRUM%20BOOT%20CAMP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-2.png" style="width: 298px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>SCRUM BOOT CAMP｜23場工作現場的敏捷實戰演練</strong></p> <p dir="ltr">西村直人、永瀬美穂、吉羽龍太郎／著；游子賢／譯</p> <p dir="ltr">碁峰資訊出版</p> <p dir="ltr">定價：500元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>西村直人</strong></p> <p dir="ltr">2005年開始實踐敏捷軟體開發。自從接觸極限程式設計以及在永和系統管理公司開發以來，抱持著「想增加更多優良團隊，讓大家能透過敏捷開發為公司業務做出貢獻」的想法在努力。</p> <p dir="ltr"><strong>永瀨美穗 </strong></p> <p dir="ltr">株式会社アトラクタ（Attractor Inc.）創辦人兼品牌官／敏捷教練。在委託開發現場擔任軟體工程師，擔任組織管理者，導入並實踐敏捷。</p> <p dir="ltr"><strong>吉羽龍太郎 </strong></p> <p dir="ltr">株式会社アトラクタ（Attractor Inc.）創辦人兼技術長／敏捷教練。從事顧問與培訓，主要領域為敏捷開發、DevOps、雲端計算。</p> </div></div></div>
2022/4/24 00:58未署名https://www.ithome.com.tw/article/150586
【資安週報】2022年4月18日至22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到最近的資安事故隊，攻擊者利用GitHub雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的OAuth憑證，向NPM等數十個組織發動供應鏈攻擊，但究竟OAuth憑證外洩的源頭為何？顯然還有待進一步的調查。</p> <p>在整個3月份不斷公布入侵大型IT業者的駭客組織Lapsus$，當時就有一些資安業者認為，該組織過度誇大他們攻擊行動的影響程度。而其中的受害組織之一Okta近期再度公布資安事故新的調查結果，指出這些駭客只有入侵客服工程師的帳號25分鐘，並沒有如駭客宣稱可對用戶的帳號竄改密碼，或是雙因素驗證的配置。</p> <p>烏克蘭戰爭雙方僵持不下，多個國家提出警告，俄羅斯很可能會為了報復經濟制裁，或是針對各國對於烏克蘭的援助，而將下一波的攻擊目標鎖定全球各地的關鍵基礎設施。</p> <p>而在勒索軟體組織的動態中，有資安業者發現Conti與另一個名為Karakurt的駭客組織之間分工的情形；再者，勒索軟體REvil疑似有人再度於地下論壇宣傳，並東山再起的情況，也相當值得觀察其後續動態。此外，美國也警告勒索軟體駭客鎖定農業合作社為目標，並挑選農作關鍵的時間點發動攻擊，讓這些合作社可能會迫於情勢向他們低頭，選擇付錢了事。</p> <p>針對漏洞的部分，本週美國將微軟於2月修補的Print Spooler漏洞CVE-2022-22718，列入已遭利用的漏洞名單，間接證實已有利用這項漏洞的攻擊行動。而AWS去年底對於Log4Shell漏洞發布的修補程式，竟出現修補不全的情況，並衍生4個新的高風險漏洞，直到本週重新修補完成。再者，手機處理器晶片也因為使用存在漏洞的聲音解碼器模組，而可能影響眾多的安卓手機用戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.blog/2022-04-15-security-alert-stolen-oauth-user-tokens/"><span style="color: rgb(0, 0, 0);">攻擊者利用遭竊的OAuth憑證入侵NPM等數十個組織的GitHub</span></a></strong></h3> <p>駭客利用OAuth憑證發動攻擊的情況，<a href="https://www.ithome.com.tw/news/149154">今年1月底有針對高階主管的攻擊行動</a>，如今駭客也鎖定組織的程式碼代管服務下手。GitHub於4月15日發出警告指出，他們於4月12日發現，駭客利用該公司授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證，導致NPM等數十個組織的GitHub儲存庫可能會遭到異常存取。GitHub也向Heroku及Travis-CI進行通報，並停用受影響用戶的OAuth憑證。Heroku母公司Salesforce指出，攻擊者疑似於4月9日，存取Heroku的GitHub儲存庫並下載程式原始碼，然後發動上述攻擊，但該公司沒有透露相關憑證外洩的外洩原因。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/04/uk-government-officials-targeted-pegasus/"><span style="color: rgb(0, 0, 0);">間諜軟體Pegasus又有新的受害者！英國政府遭到鎖定</span></a></strong></h3> <p>加拿大多倫多大學公民實驗室（Citizen Lab）在進行瞄準加泰隆尼亞政要的間諜軟體Pegasus攻擊事故調查時，發現網路間諜軟體廠商NSO Group曾於2019年底遭到利用的Homage漏洞，這是iMessage的零點擊漏洞，疑似於iOS 13.2修復，但未曾被公布。再者，研究人員指出，他們在2020年與2021年時，察覺英國政府內部網路的部分裝置感染Pegasus間諜程式，有些隸屬於英國首相辦公室，有些隸屬於外交暨國協與發展事務部（FCDO），他們研判很可能是駐守不同國家的員工使用外國SIM卡，而成為攻擊目標。其中，針對英國首相辦公室發動間諜軟體攻擊的可能是阿拉伯聯合大公國，而涉及攻擊FCDO員工手機的，則包括阿拉伯聯合大公國、印度、賽普勒斯，以及約旦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/okta-lapsus-breach-lasted-only-25-minutes-hit-2-customers/"><span style="color: rgb(0, 0, 0);">Okta針對駭客組織Lapsus$入侵事件公布更多細節</span></a></strong></h3> <p>駭客組織Lapsus$今年初入侵身分安全管理業者Okta，該業者曾表示駭客因取得合作夥伴Sitel的客戶支援工程師帳密，可能在5天內存取了365個Okta客戶的資料，但此事最近又有新的調查結果出爐。</p> <p>Okta於4月19日再度針對這起事件做出說明，表示駭客的確掌控了一臺Sitel工程師所使用的工作站電腦，進而存取Okta的資源，但實際上此攻擊行動只在1月21日進行了25分鐘，駭客透過超級使用者（SuperUser）的應用，存取2家客戶的資料，並瀏覽他們的Slack、Jira等應用程式的內容。該公司強調，駭客這些舉動無法用來竄改用戶的配置，或是重設他們的雙因素驗證、密碼等資料。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/shuckworm-intense-campaign-ukraine"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon利用後門程式Pteredo變種對烏克蘭發動攻擊</span></a></strong></h3> <p>自烏克蘭政府機關在今年1月初陸續遭到俄羅斯駭客Gamaredon網路攻擊，最近又有新的攻擊行動出現。賽門鐵克指出，Gamaredon近期使用名為Pteredo的後門程式變種，對烏克蘭發動攻擊，研究人員至少看到4個變種病毒。這些後門程式都會投放Visual Basic程式碼且功能相似，並利用Windows排程工作器來長期在受害電腦上運作，然後從C2伺服器下載額外的程式碼，以執行下個階段的攻擊行動。</p> <p>而上述變種Pteredo用途略有不同，其中一種主要用於資料收集、另一種用於接收外部的PowerShell程式碼並執行，第3種則是用於更新DNS配置；至於最後一種則包含前述3款的功能。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-110a"><span style="color: rgb(0, 0, 0);">疑報復經濟制裁，俄羅斯駭客鎖定全球關鍵基礎設施展開網路攻擊</span></a></strong></h3> <p>俄羅斯對烏克蘭發動戰爭後，受到許多國家的經濟制裁，現在傳出聲援該國政府的駭客組織打算對全球發動網路攻擊。美國、加拿大、英國、紐西蘭、澳洲於4月20聯手發布資安通告指出，俄羅斯政府支持的駭客組織與網路攻擊行動，很可能不再集中攻擊烏克蘭，而是對於全球其他國家下手，呼籲基礎設施業者應嚴陣以待。這些駭客這麼做的原因，很可能是想要報復各國對俄羅斯的經濟制裁，或是反擊各國發動的網路攻擊。</p> <p>遭到五眼聯盟點名的俄羅斯國家級駭客組織，包括俄羅斯聯邦安全局（FSB）、駭客組織Dragonfly（亦稱Energetic Bear）、俄羅斯外國情報局（SVR）、俄羅斯情報局（GRU）、GRU特別技術中心（GTsST）、特勤中心（GTsSS），以及俄羅斯FGUP中央化學暨機械學研究所國家研究中心（TsNIIKhM）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/karakurt-revealed-as-data-extortion-arm-of-conti-cybercrime-syndicate/"><span style="color: rgb(0, 0, 0);">駭客組織Karakurt與勒索軟體Conti狼狽為奸，協助該組織後續索討贖金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ContiKarakurt-Timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ContiKarakurt-Timeline.png" style="width: 300px; float: right;" /></a>自2021年6月出現的駭客組織Karakurt，<a href="http://www.ithome.com.tw/news/148334#karakurt">宣稱在同年9月至11月間竊得40個組織的資料</a>，如今有新的調查結果顯示該組織與勒索軟體Conti之間的關連。<a href="https://www.infinitumit.com.tr/conti-ransomware-group-behind-the-karakurt-hacking-team/">資安業者Infinitum IT在勒索軟體駭客組織Conti內部資料外洩後，進行後續追蹤發現</a>，駭客組織KaraKurt在Conti得手受害組織內部資料後，取得部分竊得的資料進行分類及公布，疑似是Conti索討贖金不成而委由KaraKurt後續處理。</p> <p><a href="https://arcticwolf.com/resources/blog/karakurt-web">另一家資安業者Arctic Wolf的調查結果</a>，也能印證這樣的論點──他們在曾經遭到Conti攻擊的受害組織中，發現後來Karakurt利用Conti留下的Cobalt Strike後門入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/revils-tor-sites-come-alive-to-redirect-to-new-ransomware-operation/"><span style="color: rgb(0, 0, 0);">勒索軟體REvil疑死灰復燃，該組織的Tor網站恢復運作</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/REvil-AffilDeets.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/REvil-AffilDeets.jpg" style="width: 300px; float: right;" /></a>勒索軟體REvil的基礎設施於今年1月遭到俄羅斯政府摧毀，但最近傳出再度開始恢復運作的現象。研究人員Soufiane Tahiri與Pancak3發現，有人在俄語論壇市集RuTOR公布新的REvil洩密網站，這個網站位於Tor網路，但使用不同的網域。</p> <p>而此網站似乎正在找尋想要使用新版勒索軟體的駭客，提供勒索軟體的組織將在成功收到贖金後，收取2成費用。該網站也列出26個受害組織，但其中僅有2個是新增的，其中一個是印度石油（Oil India）。</p> <p>資安研究團隊MalwareHunterTeam也在今年4月5日至10日，發現上述與REvil有關的外洩網站，但當時網站上並沒有任何內容，而是在一個星期後，有人才從舊的REvil網站複製24個受害組織的資料，並增列2個新的受害組織。資安新聞網站Bleeping Computer指出，美國聯邦調查局（FBI）曾在2021年11月控制REvil的網站，究竟REvil是否真的另起爐灶？顯然有待進一步的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220420-2.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體鎖定農業合作社下手</span></a></strong></h3> <p>在全球因疫情導致糧食短缺之際，勒索軟體駭客看準了可能會影響收成的時機，向相關組織發動攻擊，而使得受害組織為了避免先前的努力付諸流水，選擇支付贖金。美國聯邦調查局（FBI）於4月20日對食品生產與農業業者提出警告，勒索軟體駭客很可能選擇在種植或是收成的期間展開攻擊，該單位獲報在2021年秋季的收成期間，勒索軟體駭客針對6家糧食合作社下手，在2022年初駭客也發動2起攻擊行動，企圖中斷種子與肥料的供應，進而延誤耕種的時間。FBI指出，駭客認為合作社在農業生產過程扮演了重要的角色，很可能願意支付贖金來避免營運中斷，而將其視為主要的攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220420.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體Black Cat半年內已入侵逾60個組織</span></a></strong></h3> <p>勒索軟體Black Cat（亦稱Alphv）因其前身是BlackMatter、DarkSide，而引起資安人員關注，但這些駭客更改組織名稱後依舊持續發動攻擊。美國聯邦調查局（FBI）於4月19日發布資安通告指出，勒索軟體Black Cat於2021年11月至2022年3月，至少入侵全球超過60個組織，是全球第一款採用程式語言Rust打造的勒索軟體，意味著該勒索軟體可能具備較佳的執行效率，以及擁有較為可靠的工作排程，而讓受害組織更難以防範。該組織多半利用已經外洩的使用者帳密入侵，一旦建立連線，駭客將會挾持AD管理者與使用者的帳號，進而使用群組原則（GPO）與Windows工作排程來部署勒索軟體。在攻擊的過程中，駭客不只會運用Cobalt Strike，還會濫用Windows管理者工具與Sysinternals工具包進行寄生攻擊（LoL）。FBI也提供入侵指標（IoC）與建議緩解措施，供組織防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/emotet-botnet-switches-to-64-bit-modules-increases-activity"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet攻擊行動再度急劇增加</span></a></strong></h3> <p>自<a href="https://www.ithome.com.tw/news/149414#emotet">日本JPCERT/CC於2月初，發現殭屍網路Emotet攻擊大幅增加</a>，有多家資安業者發現，3月份相關攻擊行動現在變得更加氾濫。<a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-servers-hacked-in-internal-reply-chain-attacks/">資安業者卡巴斯基提出警告</a>，他們偵測到駭客用來散布Qbot與Emotet的垃圾郵件數量，從2022年2月的3千封，到了3月有3萬封，鎖定使用英語、法語、意大利語等9種語言的使用者而來。</p> <p><a href="https://www.checkpoint.com/press/2022/march-2022s-most-wanted-malware-easter-phishing-scams-help-emotet-assert-its-dominance/">另一家資安業者Check Point指出</a>，Emotet在3月影響了全球十分之一的組織，威脅程度較2月翻倍。</p> <p><a href="https://twitter.com/Cryptolaemus1/status/1516261512372965383">資安研究團隊Cryptolaemus也有類似的發現</a>，並指出駭客改用原生64位元的Emotet，來增加惡意軟體執行的效率，且防毒軟體能識別為惡意軟體的成功率下降至約6成，很可能就與這樣變化有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-108a"><span style="color: rgb(0, 0, 0);">美國警告北韓駭客Lazarus利用惡意加密貨幣App發動攻擊</span></a></strong></h3> <p>針對加密貨幣產業攻擊可說是北韓駭客取得資金的重要管道，但最近相關的網路攻擊不斷傳出，而使得美國政府提出警告。美國財政部、聯邦調查局（FBI）、網路安全暨基礎設施安全局（CISA）聯手發出公告，揭露北韓駭客組織Lazarus針對加密貨幣產業的攻擊情形，指出駭客不只針對加密貨幣交易所、DeFi平臺下手，亦攻擊握有大量加密貨幣或NFT資產的人士，利用平臺的漏洞、網釣攻擊，以惡意程式TraderTraitor竊得加密貨幣。美國財政部也公布入侵指標與防禦建議供企業與民眾參考。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/2022-defi-hacks/"><span style="color: rgb(0, 0, 0);">駭客偏好從DeFi平臺盜取加密貨幣</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptocurrency-stolen-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptocurrency-stolen-image2.png" style="width: 300px; float: right;" /></a>駭客竊取加密貨幣的管道，從過往主要針對加密貨幣交易所下手，演變至今已將目標轉向去中心化（DeFi）平臺。資安業者Chainalysis近期公布他們對於加密貨幣犯罪的調查報告，駭客在2021年總共偷取價值32億美元的加密貨幣，但在2022年第1季，駭客已經竊得13億美元，而且幾乎（97%）都是來自DeFi平臺。為何駭客會特別針對這類平臺而來？研究人員認為，主要與這類平臺採取開放原始碼的開發模式有關，駭客經由原始碼來找尋可利用的漏洞而較能得逞；其次，則是這類平臺上維護各類加密貨幣的定價機制不穩定，而讓駭客有機會發動閃電貸款（Flash Loan）攻擊。</p> <p>研究人員認為，DeFi平臺業者可能需要透過更嚴格的程式碼審查，並採取較為嚴格的安全防護機制來防堵上述攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-655k-after-picking-metamask-seed-from-icloud-backup/"><span style="color: rgb(0, 0, 0);">駭客鎖定加密錢包MetaMask用戶下手，竊取存放在iCloud的通關密語來掏空加密貨幣</span></a></strong></h3> <p>加密貨幣錢包的通關密語（Seed words）是保護數位資產的重要資料，有業者為避免用戶遺失而儲存於蘋果的雲端空間iCloud，但這樣的備份資料竟成為駭客能將用戶錢包洗劫一空的途徑。</p> <p>熱加密貨幣錢包業者MetaMask於4月18日發出警告，若是iPhone用戶利用iCloud備份應用程式的資料，將很有可能成為駭客下手的目標，且傳出已有MetaMask用戶遭到網釣簡訊攻擊而損失65萬美元。駭客以要求重置Apple ID密碼為由寄送多次簡訊，這名用戶依照指示操作後，他的MetaMask錢包不久後就被盜領一空。</p> <p>研究人員建議iPhone用戶，應在iCloud備份的應用程式資料名單中，排除MetaMask。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/Y2022/PSA220414"><span style="color: rgb(0, 0, 0);">美國警告鎖定行動支付的網釣簡訊攻擊</span></a></strong></h3> <p>行動支付日益普及，但駭客竟假借發送假的銀行交易警示通知來行騙。美國聯邦調查局（FBI）近期發出警告指出，有人針對綁定銀行帳號的行動支付用戶下手，向這些目標通知目前正以行動支付App進行較高金額的轉帳程序，要求進行確認，一旦用戶進行相關操作，隨即就會接到「客服人員」的電腦，對方會模仿銀行比對受害者的身分，然後要求受害者移除App上登記的電子郵件信箱，再將其綁定於歹徒控制的銀行帳號。接著，這位「客服」就會要用戶嘗試轉帳，宣稱這樣能取消之前的錯誤匯款，然而，受害者實際上是將銀行帳號的存款轉到歹徒名下。</p> <p>FBI指出，在他們接獲多起案例中，歹徒有可能會聯絡受害者數次，而這些受害者往往等到後來檢查交易記錄才會發現異狀，他們呼籲民眾，要對這種不請自來的交易確認訊息提高警覺，並利用銀行網站上的電話來進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyber.nj.gov/alerts-advisories/new-smishing-campaign-targets-t-mobile-customers"><span style="color: rgb(0, 0, 0);">美國警告鎖定T-Mobile用戶來的簡訊網釣攻擊</span></a></strong></h3> <p>攻擊者鎖定特定電信業者的手機用戶，發送網釣簡訊攻擊（Smishing）的現象，引起主管機關提出警告。美國新紐澤西州網路安全暨通訊整合小組（NJCCIC）於4月15日提出警告，他們接獲許多T-Mobile用戶通報，攻擊者以用戶完成T-Mobile費用付款，要提供贈品的名義，來發送網釣簡訊，一旦收信人依照指示點選簡訊中的連結，就有可能導致個人敏感資料遭竊，或是手機被植入惡意軟體。他們呼籲用戶，切勿點選簡訊裡來路不明的連結。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/malware-campaigns-targeting-african-banking-sector/"><span style="color: rgb(0, 0, 0);">木馬程式RemcosRAT鎖定非洲銀行下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/africa_malware_campaign_image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/africa_malware_campaign_image1.png" style="width: 300px; float: right;" /></a>第三世界國家近年來逐步走向數位化，但網路攻擊事件也伴隨而來。IT業者HP的威脅研究團隊指出，他們發現一起針對非洲銀行而來的攻擊行動，駭客先是冒充競爭對手，向收信人提供高薪的工作職缺，並以網頁連結提供詳細資訊，一旦對方照做點選連結，電腦就有可能遭到HTML挾帶（HTML Smuggling）攻擊，透過HTML檔案執行後產生ISO映像檔，該映像檔內容包含了Visual Basic程式碼。</p> <p>收信人一旦點選執行上述的程式碼檔案後，就會呼叫電腦多個Windows系統的API，進而透過惡意程式下載器GuLoader在受害電腦組裝、植入木馬程式RemcosRAT。研究人員指出，駭客下載GuLoader的來源是檔案共享服務OneDrive、Dropbox，再加上此下載器是經由PowerShell挾帶執行，並在記憶體內運作，而難以被防毒軟體發現。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/wind-turbine-firm-nordex-hit-by-conti-ransomware-attack/"><span style="color: rgb(0, 0, 0);">風力渦輪發電機業者Nordex遭到勒索軟體Conti攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/nordex-tor-conti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nordex-tor-conti.jpg" style="width: 300px; float: right;" /></a>繼去年11月風力渦輪發電機業者Vestas遭到勒索軟體攻擊，近期有其他業者受害。資安新聞網站Bleeping Computer取得消息人士的說法，得知風力渦輪發電機業者Nordex疑似遭到勒索軟體Conti攻擊，到了4月2日，Nordex首度發出公告表示他們遭到網路攻擊，已經關閉部分IT系統防止災情蔓延。而到了12日，該公司再度公告這起事故的處理進度，表明他們切斷自己IT系統與客戶渦輪發電機之間的遠端連線，來防範事態擴大，但根據他們的初步調查結果，此起攻擊事故只影響Nordex內部的IT基礎設施。</p> <p>勒索軟體組織Conti於14日聲稱此起攻擊事件是他們所為，但疑似是因為雙方正在談判贖金的交付的事宜，這些駭客沒有外洩該公司的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.varonis.com/blog/hive-ransomware-analysis"><span style="color: rgb(0, 0, 0);">勒索軟體Hive透過ProxyShell漏洞入侵受害組織</span></a></strong></h3> <p>勒索軟體Hive最近幾個月動作頻頻，有研究人員發現駭客動作相當迅速，入侵後數日後就加密資料。資安業者Varonis針對客戶遭到勒索軟體Hive攻擊的事故進行調查，結果發現，駭客先透過ProxyShell漏洞入侵Exchange Server，並植入Web Shell做為後門，而攻擊者可利用這些後門以系統權限執行惡意PowerShell程式碼，進而從C2伺服器下載Cobalt Strike於記憶體內執行。</p> <p>接著，攻擊者以系統權限建立名為user的管理員用戶，並利用Mimikatz來截取企業的憑證，並藉由Pass-The-Hash手法來控制網域管理員帳號，最後，駭客在受害組織網路進一步調查，掃描敏感資訊，再部署Hive勒索軟體。研究人員指出，駭客從成功入侵到部署勒索軟體，只花了不到72小時，組織能察覺異狀並採取行動的時間並不多。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/4/15/23027363/apple-scammy-apps-mac-app-store-moderation"><span style="color: rgb(0, 0, 0);">Mac電腦的App Store市集出現騙錢軟體，不訂閱就無法關閉應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/macOS-App-Store-FQVmfW1VgA0xZVX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS-App-Store-FQVmfW1VgA0xZVX.jpg" style="width: 300px; float: right;" /></a>蘋果對於應用程式市集App Store的管控，可說是相當嚴謹，但如今傳出有人能通過相關審核程序上架App，並脅迫Mac電腦用戶付錢的現象。資安研究員Kosta Eleftheriou、Edoardo Vacchi不約而同指出，他們發現蘋果App Store市集上出現名為My Metronome的騙錢軟體（Fleeceware），一旦Mac電腦的用戶不慎安裝後，這個應用程式就會強迫用戶同意每個月以9.99美元訂閱，否則程式本身將無法透過關閉按鈕或是鍵盤快速鍵關閉（但研究人員發現能強制關閉），不久後這款應用程式遭到蘋果下架。</p> <p>無獨有偶，另一名研究人員Jeff Johnson發現，Music Paradise與Groove Vibes兩家公司上架的App也有類似情況，報導此事的新聞網站The Verge也著手進行測試，發現其中一款應用程式Music Paradise Player確實有這樣的問題。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/unofficial-windows-11-upgrade-installs-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客藉由提供Windows 11升級的名義來散布竊密軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Inno-Stealer-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Inno-Stealer-chain.png" style="width: 300px; float: right;" /></a>微軟自去年底推出Windows 11，<a href="https://www.ithome.com.tw/news/149295">今年2月有駭客假借提供升級工具的名義散布RedLine</a>，但最近又有相關攻擊出現。根據資安新聞網站Bleeping Computer的報導，資安業者CloudSEK向他們透露，駭客建置假造的Windows 11升級網站，藉此散布一隻名為Inno Stealer的竊密軟體。</p> <p>一旦瀏覽網站的用戶點選下載按鈕，便會取得內有惡意軟體的ISO映像檔，使用者若是執行映像檔內的可執行檔案想要升級電腦，此執行檔案會移除ESET與Emsisoft等防毒軟體，並在Microsoft Defender將惡意軟體加入白名單，且刪除Shadow Volume備份資料、停用登錄機碼的功能等，最終在受害電腦植入Inno Stealer，竊取瀏覽器Cookie與加密錢包資料，得手後再透過PowerShell回傳給駭客。</p> <p>研究人員呼籲想要升級Windows 11的用戶，應從Windows Update安裝，或微軟網站下載相關部署工具。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/new-botenago-variant-discovered-by-nozomi-networks-labs/"><span style="color: rgb(0, 0, 0);">殭屍網路BotenaGo變種病毒鎖定利凌視訊監視器下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-2-file-not-detected-as-a-threat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-2-file-not-detected-as-a-threat.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/147814">殭屍網路BotenaGo自去年10月出現</a>，最近又有了新的攻擊行動。資安業者Nozomi Networks指出，他們最近發現了BotenaGo的變種病毒Lilin Scanner，有別於BotenaGo針對多種廠牌的家用路由器、數據機、NAS而來，新的變種專門鎖定利凌（Lilin）的DVR設備，很可能是別的駭客組織利用外洩的BotenaGo原始碼開發而成。Lilin Scanner廣泛掃描IP位址找尋該廠牌的DVR設備，並企圖透過漏洞入侵，其中一個遭利用的漏洞CVSS風險層級達到10分。</p> <p>研究人員指出，根據惡意軟體檢測平臺VirusTotal分析的結果，尚未有防毒引擎將此殭屍網路病毒識別為有害，原因很可能是駭客刪除了原本BotenaGo利用大量漏洞的程式碼。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/04/teamtnt-targeting-aws-alibaba.html"><span style="color: rgb(0, 0, 0);">蠕蟲程式TeamTNT針對AWS、阿里雲發動攻擊</span></a></strong></h3> <p>趨勢科技於今年3月揭露駭客組織TeamTNT鎖定AWS的攻擊行動，但駭客疑似在研究人員公布細節後再度進行調整，而能夠規避資安系統的偵測。思科於4月21日指出，他們看到TeamTNT蠕蟲程式的變種，駭客利用惡意的Shell程式碼，鎖定AWS發動攻擊，但研究人員發現，上述的程式碼也能在內部建置或是容器的Linux環境中運作。</p> <p>這些駭客的主要目的是竊取帳密，但研究人員也發現負責其他工作的TeamTNT酬載，有的被用於挖掘加密貨幣，有的供駭客橫向移動或是持續在受害環境運作。此外，他們發現也有TeamTNT的程式碼針對阿里雲而來，能夠停用阿里巴巴提供的防護工具。值得留意的是，TeamTNT的挖礦攻擊僅會占用7成處理器資源，而非全部，管理者可能要透過相關的儀表板才能察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.gdatasoftware.com/blog/2022/03/ginzo-free-malware"><span style="color: rgb(0, 0, 0);">駭客向其他網路罪犯免費提供竊密軟體Ginzo Stealer，疑似為了培養客群</span></a></strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/raccoon-stealer-malware-suspends-operations-due-to-war-in-ukraine/">自3月底傳出竊密軟體Raccoon Stealer部分開發者在烏克蘭戰爭中喪生而終止開發</a>，許多新的竊密軟體接連出現，近期甚至有人打著免費的旗號，提供這類作案工具給駭客使用。防毒軟體業者G Data指出，他們從3月下旬開始看到有人免費散布名為Ginzo Stealer的竊密軟體，自3月20日至30日於惡意軟體檢測平臺VirusTotal上就發現超過400個檔案，這代表了此竊密軟體相當受到駭客的歡迎。此竊密軟體可竊取Chrome、Firefox、Opera等瀏覽器的Cookie與密碼，以及存放於桌面的檔案、Telegram連線階段、Discord的Token、加密貨幣錢包等。</p> <p>但駭客為何會採取免費提供Ginzo Stealer的策略？研究人員認為很有可能是為了培養未來的買家，而且，在其他攻擊者使用Ginzo Stealer的時候，也會將竊得的資料同時回傳給提供此竊密軟體的駭客組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-flags-google-chrome-updates-as-suspicious/"><span style="color: rgb(0, 0, 0);">微軟端點防護產品再傳誤報，將下載Chrome更新檔案視為可疑行為</span></a></strong></h3> <p>又是微軟端點防護出現誤報的情況。根據資安新聞網站Bleeping Computer的報導，有許多IT人員發現自己組織的Microsoft Defender for Endpoint約從4月20日晚間，將Google更新程式下載Chrome瀏覽器更新檔案的工作，視為執行可疑的服務，或是投放有問題的檔案。後來微軟在Microsoft 365 Defender的服務狀態公告裡，坦承上述現象的確是誤報，並非實際的攻擊行動，約在一個半小時後微軟再度公告，表示已修正誤報的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html"><span style="color: rgb(0, 0, 0);">2021年出現近60個零時差漏洞，較前年倍增</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zeroday-2015-2021.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zeroday-2015-2021.png" style="width: 300px; float: right;" /></a>駭客利用零時差漏洞的情況，在2021年出現大幅增加的情況。Google旗下的威脅分析小組（TAG）指出，他們在2021年發現了58個遭到利用的零時差漏洞，相較於2020年僅有25個，多出超過一倍。研究人員認為，去年零時差漏洞數量大幅增加的原因，主要是因為他們相關的檢測與揭露工作所致。其中，最值得留意的是Chrome瀏覽器的漏洞就占了14個、Safari有7個，作業系統的部分，Windows有10個、Android有7個，此外，微軟的郵件系統Exchange Server也有5個。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-attackers-now-exploiting-windows-print-spooler-bug/"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞</span></a></strong></h3> <p>微軟於2月修補Windows作業系統上的Print Spooler漏洞CVE-2022-22718，當時該公司提及很可能已有相關攻擊行動，而這樣的推測最近得到證實。美國網路安全暨基礎設施安全局（CISA）於4月19日，將CVE-2022-22718列入已遭利用的漏洞名單，並要求聯邦機構要在5月10日前完成修補。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/aws-log4shell-hot-patch-vulnerabilities/"><span style="color: rgb(0, 0, 0);">AWS針對旗下服務的Log4Shell漏洞修補不全，並衍生出4個高風險弱點</span></a></strong></h3> <p>去年12月被揭露的Log4Shell漏洞，傳出有雲端服務廠商漏洞修補不全的情況。資安業者Palo Alto Networks近日指出，AWS於去年12月中旬針對旗下解決方案發布的Log4Shell熱修補（Hot Patch）程式，存在漏洞修補不完全的現象，而導致可能被攻擊者用於提升權限，或是逃脫容器的情況，研究人員將衍生的弱點列管為CVE-2021-3100、CVE-2021-3101、CVE-2022-0070、CVE-2022-0071，CVSS風險層級為8.8分。在12月下旬通報後，AWS進行多次修補與驗證，於今年4月19日發布完整的修補程式與資安通告。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/04/21/largest-mobile-chipset-manufacturers-used-vulnerable-audio-decoder-2-3-of-android-users-privacy-around-the-world-were-at-risk/"><span style="color: rgb(0, 0, 0);">高通與聯發科手機處理器晶片使用存在漏洞的聲音解碼器，恐波及三分之二安卓用戶</span></a></strong></h3> <p>蘋果研發的無失真聲音壓縮格式ALAC，於2011年開放相關原始碼，而使得其他廠牌的裝置也能支援這類格式，但蘋果在發布之後，未曾針對這些公開的原始碼進行維護，而使得導入這些原始碼的裝置曝露於危險。資安業者Check Point指出，他們在高通與聯發科的行動裝置晶片裡，就採用了這些老舊的原始碼支援播放ALAC檔案，攻擊者一旦利用相關漏洞，將能透過錯誤格式的聲音檔案，在行動裝置上發動RCE攻擊，恐有三分之二的安卓裝置受到波及。</p> <p>經研究人員通報後，高通與聯發科皆於2021年12月予以修補，前者將上述漏洞登記為CVE-2021-30351，後者則是以CVE-2021-0674與CVE-2021-0675列管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/04/19/when-secure-isnt-secure-uefi-vulnerabilities-lenovo-consumer-laptops/"><span style="color: rgb(0, 0, 0);">聯想筆電韌體存在漏洞，攻擊者恐用於植入UEFI惡意軟體</span></a></strong></h3> <p>資安業者ESET揭露聯想筆電UEFI韌體的3個漏洞CVE-2021-3970、CVE-2021-3971、CVE-2021-3972，這些漏洞存在於SecureBackDoor和SecureBackDoorPeim驅動程式，影響該廠牌IdeaPad、Yoga、Legion系列的上百款家用機種。一旦攻擊者利用上述漏洞，就有可能以特殊權限關閉筆電的快閃記憶體防護機制，或是UEFI安全開機功能。這些漏洞在去年10月通報後，聯想已推出新版韌體與驅動程式予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://github.com/kagancapar/CVE-2022-29072#readme="><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip出現漏洞，恐讓攻擊者獲得管理員權限</span></a></strong></h3> <p>知名的解壓縮軟體WinRAR日前被揭露嚴重漏洞引起關注，但這樣情況疑似也出現在7-Zip上。土耳其研究人員Kağan Çapar揭露7-Zip的漏洞CVE-2022-29072，影響21.07與之前版本，此漏洞出現在該軟體的程式庫7z.dll組態錯誤，一旦攻擊者利用這項漏洞，就有可能導致7-Zip視窗版主程式7zFM.exe記憶體堆積溢位，進而取得電腦的管理員權限來執行指令。</p> <p>7-Zip尚未修補這項漏洞，但研究人員指出，使用者有2種方法能緩解上述漏洞，一種是直接刪除7-Zip的說明檔案7-zip.chm，另一種做法則是針對該應用程式的資料夾裡的所有檔案，限制所有使用者只能讀取與執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-11"><span style="color: rgb(0, 0, 0);">威聯通公告部分NAS機種可能存在Apache HTTP伺服器漏洞，並提出緩解措施</span></a></strong></h3> <p>Apache基金會於3月中旬，發布網頁伺服器軟體HTTP Server的2.4.53版，修補數個漏洞，最近有NAS業者公布旗下產品受到影響的情況。威聯通於4月20日發出資安通告指出，Apache於2.4.53版網頁伺服器軟體裡總共修補了4個漏洞：CVE-2022-22719、CVE-2022-22720、CVE-2022-22721、CVE-2022-23943，該公司的NAS設備主要是受到CVE-2022-22721與CVE-2022-23943影響，前者影響執行32位元版系統的設備，後者則與啟用mod_sed的Apache HTTP Server有關。</p> <p>該公司表示，他們仍在針對漏洞的影響範圍進一步調查，並儘快提供更新軟體，但用戶可先透過調整相關設定來緩解漏洞帶來的風險。例如，該公司建議將LimitXMLRequestBody的參數調回預設的1M，來緩解CVE-2022-22721；而針對CVE-2022-23943，他們建議停用mod_sed模組來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-wlc-auth-bypass-JRNhV4fF"><span style="color: rgb(0, 0, 0);">思科無線網路控制軟體存在漏洞，恐讓攻擊者繞過身分驗證取得管理者權限</span></a></strong></h3> <p>無線網路控制器軟體存在的重大漏洞，有可能讓攻擊者得以掌控網路設備。思科最近針對旗下的Wireless LAN Controller（WLC）軟體，修補管理介面的身分驗證繞過漏洞CVE-2022-20695，此漏洞與密碼驗證演算法的實作不當有關，導致攻擊者一旦加以利用，就有機會以管理者的權限掌控控制器，CVSS風險層級達到10分。思科旗下的3504、5520、8540無線控制器，以及Mobility Express、Virtual Wireless Controller等軟硬體控制器都可能受到影響，該公司亦提供新版WLC軟體，但強調若是採用預設配置的無線控制器，不會受到上述漏洞波及。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-vulnerability-in-the-rarible-nft-marketplace-preventing-risk-of-account-take-over-and-cryptocurrency-theft/"><span style="color: rgb(0, 0, 0);">NFT市集Rarible存在漏洞，恐被攻擊者用於竊取NFT與Token</span></a></strong></h3> <p>非同質化代幣（NFT）最近掀起一股投資熱潮，但相關市集很可能存在漏洞而面臨駭客盜取大量NFT或加密貨幣的情況。資安業者Check Point在擁有200萬常態用戶的Rarible市集發現漏洞，一旦攻擊者加以利用，可藉此引誘受害者點選惡意NFT，進而竊取對方的加密貨幣錢包，Rarible獲報後已完成修復。研究人員指出，他們著手調查Rarible漏洞的原因，與4月初歌手周杰倫的NFT遭竊有關。</p> </div></div></div>
2022/4/23 07:51作者周峻佑https://www.ithome.com.tw/news/150579
AI趨勢周報第188期：Google新技術憑一張RGB照片就產出栩栩如生的3D人像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0415～0421)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D重建 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RGB照片 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新技術憑一張RGB照片就產出栩栩如生的3D人像</strong></span></p> <p>Google發表3D穿衣人像重建模型Phorhum，只憑一張單眼RGB人物照片，就能重建出栩栩如生的3D穿衣人像，甚至還能做各式各樣的動作，未來可用於線上購物如服裝試穿等。團隊解釋，Phorhum是套端到端、可訓練的深度學習模型，採用了像素對齊方法，來預估詳細的3D幾何圖形和無陰影的表面與場景光照。此外，Phorhum也採用補丁渲染損失方法，可針對人體可見部位進行顏色重建，並對不可見部位進行詳細且合理的顏色預估。</p> <p>經測試，Google指出，Phorhum突破了過往3D人體重建研究的幾何、光照等限制，可在3D重建中忠實呈現照片人物的大部分細節，適用於各種體形、膚色和服裝。<a href="https://arxiv.org/abs/2204.08906">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/mU16oKt_U_k?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SageMaker </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器機器學習推論服務SageMaker正式發布了</strong></span></p> <p>AWS去年12月釋出無伺服器機器學習推論服務SageMaker Serverless Inference，近日終於正式發布了。這個服務主打使用者部署ML模型時，不必配置和管理基礎架構，適合用於間歇性或流量不頻繁的工作，像是Chatbot、文件分析等。</p> <p>AWS指出，不同ML推論情境，對底層架構的需求也不同。比如，廣告投放、詐欺偵測、個人化產品推薦等ML應用，就適合毫秒級反應時間的API線上推論。而大型ML模型，如電腦視覺應用，就需要優化的基礎架構，來在幾分鐘內執行大量的工作負載推論。至於Chatbot服務、文件資料分析等這類使用量間歇性的工作，就需要能根據推論請求量來自動擴展運算資源的線上推論服務，這種服務能在閒置時自動關閉運算資源，替使用者省下運算成本。</p> <p>在操作上，使用者可用SageMaker內建演算法和支援ML框架的容器，來部署模型到無伺服器推論端點，或是自帶容器。如果推論需求量變得穩定、可預期，使用者可輕鬆從無伺服器服務轉為SageMaker即時推論服務，不需變更容器映像檔。使用無伺服器服務，使用者也能享有SageMaker功能，像是內建指標，如調用計數、故障、延遲、錯誤等。自SageMaker無伺服器服務預覽以來，AWS還新添了SageMaker Python SDK和模型庫，這次GA也有新調整，將每個端點的同時調用最大值設為200，比預覽版的50還要高，可用來處理高負載工作。<a href="https://aws.amazon.com/blogs/aws/amazon-sagemaker-serverless-inference-machine-learning-inference-without-worrying-about-servers/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/04/01/sm-serverless-1-1024x559.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 孔祥重 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI模組 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></p> <p><span style="font-size:22px;"><strong>孔祥重揭露分散式AI新趨勢，預言AI模組未來能用區塊鏈交易</strong></span></p> <p>長年鑽研AI的中研院院士暨哈佛大學電腦科學與電子工程教授孔祥重日前出席Galaxy Summit 2022指出，AI將繼續朝分散式方向發展，目前除了分散式聯合學習（Federated learning）方法，和分散式的GPU算力網路來協助訓練超大AI模型外，他與哈佛實驗室團隊也提出不少創新嘗試，比如利用Early Exit方法，讓AI預測時，不必每層類神經網路都得運算，來降低延遲，又或是將AI模型模組化，來提高重複使用率。</p> <p>甚至，他認為，AI模型中的模組，未來也會放置於區塊鏈上來交易。這就好比，數位內容以NFT形式在區塊鏈上販售。「讓AI模組在區塊鏈上進行商業交易，現在說來雖然有點遠，但遲早會走到這一步，」孔祥重說。<a href="https://www.ithome.com.tw/news/150429">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子破解 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM最新大型主機z16主打AI加速，號稱能抗量子破解</strong></span></p> <p>IBM日前發表最新大型主機z16，晶片具AI加速功能，專用於即時大量資料運算和AI分析，同時也號稱是第一個能抗量子破解的安全系統。z16搭載Telum處理器，這款晶片採7奈米製程，具225億顆電晶體，可有效支援AI推論等高運算量作業。IBM表示，它一天可處理3千億次推論呼叫，延遲性不到1毫秒。除了傳統詐欺偵測或醫療影像分析任務，Z16也可用於其他新應用，像是貸款審核、加密貨幣的清算、結算、逃稅，以及零售業防詐欺和盜竊的聯合學習等。</p> <p>z16也號稱是第一臺抗量子破解的系統。因為，z16多層韌體都內建雙簽章，其安全開機功能整合傳統簽章及抗量子簽章可防量子破解攻擊，確保韌體不被注入木馬或勒索軟體等惡意程式。Z16預計5月31日正式上市。<a href="https://www.ibm.com/cloud/blog/ibm-z16">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MySQL </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HeatWave ML </span></strong></span></p> <p><span style="font-size:22px;"><strong>MySQL應用程式也能有ML功能！甲骨文新推HeatWave ML服務</strong></span></p> <p>甲骨文推出HeatWave ML服務，讓原本的雲端資料庫服務MySQL HeatWave也能支援ML功能，打破MySQL應用程式難以添加ML功能的魔咒。HeatWave ML可完全自動化ML生命周期，能將所有訓練過的模型儲存在MySQL資料庫，不必將資料或模型移轉至ML工具或服務。如此一來就降低ETL流程的複雜度和成本，並提高資料和模型的安全性。HeatWave ML包含不少功能，像是全自動化模型訓練、模型和推論可解釋性、超參數調整，以及演算法選擇和模型訓練資料抽樣等。<a href="https://www.oracle.com/mysql/heatwave/#:~:text=HeatWave%E2%80%94In%2DMemory%20Query%20Accelerator,and%20load%20(ETL)%20processes.">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國研院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 地震預警 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 建物監測 </span></strong></span></p> <p><span style="font-size:22px;"><strong>國研院打造AI震前預警、震後建物監測系統</strong></span></p> <p>國研院國震中心研究員林沛暘透過科技部科研創業計畫，成立一家新創，將多年研發經驗打造為AI現地型地震預警系統、結構監測自動化平臺等2大系統，前者要在第一時間通知民眾和企業，後者要在震後分析建築物結構，透過震前預警、震後監測來降低損害。</p> <p>進一步來說，預警系統會先偵測較快發出的地震P波，接著預測地震震度和最大地動加速度值（PGA），算出地震大小。為打造預測系統，林沛暘用20多萬筆歷史資料和每年新增的5千筆資料，來訓練AI預警模組。完成後測試，模型可在接收3秒P波後，在0.01秒內給出預警警報，比地震早5到20秒。</p> <p>這個預警系統已用於企業和海外，使用企業包括高鐵和高科技大廠，透過地震儀和AI運算主機來執行預警系統，接到預警警報時，產線機臺自動觸發相關處置，相關人員也會接收簡訊通知，這種方式讓產線恢復時間從4到8小時縮短為15至30分鐘。這套AI預警系統，一套可服務半徑15公里的區域，學校、住家、辦公大樓等區域安裝警報接收機即可，就能使用震前聲光警示、瓦斯、電梯控制。在海外，印尼雅加達就部署7套系統。另一套大樓結構監測系統，可在震後10到15分鐘內，提出建物結構安全評估報告。目前，團隊正與公部門洽談，要應用於社會住宅。<a href="https://www.most.gov.tw/folksonomy/detail/5de66848-8193-4a91-a082-ac9b9412795c?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%B0%E9%9C%87.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HPE </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國際太空站 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI系統在國際太空站實驗結果揭曉</strong></span></p> <p>HPE電腦登上太空站已滿1年，共完成了24項AI運算實驗。HPE去年和美國NASA合作，將自家SBC-2電腦由火箭載往國際太空站，是太空站上第一座邊緣運算AI系統。它的任務是協助太空人在登月及登陸火星等探索任務中，能獨立執行即時AI資料分析，它所完成的24項實驗，涵蓋醫療、影像處理、自然災害復原、3D列印、5G等任務，比如將原本耗時12小時的1.8GB DNA序列資料分析作業縮短為6分鐘，分析的結果還可壓縮成92KB檔案，在2秒鐘內送回地球。這座系統也能即時執行NASA噴氣推進實驗室的深度學習推論網路，由衛星拍攝的地球遙感影像，推測颶風後的洪水範圍及對都會區建築的影響。<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/04/hewlett-packard-enterprise-drives-innovation-at-the-extreme-edge-on-the-international-space-station-with-24-completed-experiments.html">（詳全文）</a></p> <p>圖片來源／Google、AWS、林沛暘</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 鴻海導入商用雲端工具，將模型訓練時間從3小時縮短為5分鐘</strong></p> <p><strong>2. 玉山銀行2022年夏季AI挑戰賽開跑！聚焦語音辨識後修正</strong></p> <p><strong>3. 吳恩達預告6月將推出與史丹佛大學合作的新ML Coursera課程</strong></p> <p>資料來源：iThome整理，2022年4月</p> </div></div></div>
2022/4/22 16:53作者王若樸https://www.ithome.com.tw/news/150570
【資安日報】2022年4月22日，多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯國家級駭客在烏克蘭戰爭中頻頻對烏克蘭出手，不時破壞該國的關鍵基礎設施，或是散布不實訊息，擾亂民眾視聽。但最近五眼聯盟提出警告，這些駭客在烏克蘭戰爭的戰況僵持不下的時候，疑似打算改對全球其他國家進行報復，鎖定關鍵基礎設施下手。</p> <p>手機晶片的聲音解碼器模組出現漏洞，而很可能影響大量安卓手機用戶，雖然晶片業者已著手修補，但用戶很可能要等待製造商將其納入新版韌體。</p> <p>在雲端服務中，攻擊者利用管理不當的帳密，或是藉由配置不當進行入侵，使得管理者人心惶惶。但為了避免管理者察覺，近期駭客也採取了較為隱密的手法，而比較不易東窗事發。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-110a"><span style="color: rgb(0, 0, 0);">疑報復經濟制裁，俄羅斯駭客鎖定全球關鍵基礎設施展開網路攻擊</span></a></strong></h3> <p>俄羅斯對烏克蘭發動戰爭後，受到許多國家的經濟制裁，現在傳出聲援該國政府的駭客組織打算對全球發動網路攻擊。美國、加拿大、英國、紐西蘭、澳洲於4月20聯手發布資安通告指出，俄羅斯政府支持的駭客組織與網路攻擊行動，很可能不再集中攻擊烏克蘭，而是對於全球其他國家下手，呼籲基礎設施業者應嚴陣以待。這些駭客這麼做的原因，很可能是想要報復各國對俄羅斯的經濟制裁，或是反擊各國發動的網路攻擊。</p> <p>遭到五眼聯盟點名的俄羅斯國家級駭客組織，包括俄羅斯聯邦安全局（FSB）、駭客組織Dragonfly（亦稱Energetic Bear）、俄羅斯外國情報局（SVR）、俄羅斯情報局（GRU）、GRU特別技術中心（GTsST）、特勤中心（GTsSS），以及俄羅斯FGUP中央化學暨機械學研究所國家研究中心（TsNIIKhM）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220420-2.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體鎖定農業合作社下手</span></a></strong></h3> <p>在全球因疫情導致糧食短缺之際，勒索軟體駭客看準了可能會影響收成的時機，向相關組織發動攻擊，而使得受害組織為了避免先前的努力付諸流水，選擇支付贖金。美國聯邦調查局（FBI）於4月20日對食品生產與農業業者提出警告，勒索軟體駭客很可能選擇在種植或是收成的期間展開攻擊，該單位獲報在2021年秋季的收成期間，勒索軟體駭客針對6家糧食合作社下手，在2022年初駭客也發動2起攻擊行動，企圖中斷種子與肥料的供應，進而延誤耕種的時間。FBI指出，駭客認為合作社在農業生產過程扮演了重要的角色，很可能願意支付贖金來避免營運中斷，而將其視為主要的攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/News/2022/220420.pdf"><span style="color: rgb(0, 0, 0);">勒索軟體Black Cat半年內已入侵逾60個組織</span></a></strong></h3> <p>勒索軟體Black Cat（亦稱Alphv）因其前身是BlackMatter、DarkSide，而引起資安人員關注，但這些駭客更改組織名稱後依舊持續發動攻擊。美國聯邦調查局（FBI）於4月19日發布資安通告指出，勒索軟體Black Cat於2021年11月至2022年3月，至少入侵全球超過60個組織，是全球第一款採用程式語言Rust打造的勒索軟體，意味著該勒索軟體可能具備較佳的執行效率，以及擁有較為可靠的工作排程，而讓受害組織更難以防範。該組織多半利用已經外洩的使用者帳密入侵，一旦建立連線，駭客將會挾持AD管理者與使用者的帳號，進而使用群組原則（GPO）與Windows工作排程來部署勒索軟體。在攻擊的過程中，駭客不只會運用Cobalt Strike，還會濫用Windows管理者工具與Sysinternals工具包進行寄生攻擊（LoL）。FBI也提供入侵指標（IoC）與建議緩解措施，供組織防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/04/teamtnt-targeting-aws-alibaba.html"><span style="color: rgb(0, 0, 0);">蠕蟲程式TeamTNT針對AWS、阿里雲發動攻擊</span></a></strong></h3> <p>趨勢科技於今年3月揭露駭客組織TeamTNT鎖定AWS的攻擊行動，但駭客疑似在研究人員公布細節後再度進行調整，而能夠規避資安系統的偵測。思科於4月21日指出，他們看到TeamTNT蠕蟲程式的變種，駭客利用惡意的Shell程式碼，鎖定AWS發動攻擊，但研究人員發現，上述的程式碼也能在內部建置或是容器的Linux環境中運作。</p> <p>這些駭客的主要目的是竊取帳密，但研究人員也發現負責其他工作的TeamTNT酬載，有的被用於挖掘加密貨幣，有的供駭客橫向移動或是持續在受害環境運作。此外，他們發現也有TeamTNT的程式碼針對阿里雲而來，能夠停用阿里巴巴提供的防護工具。值得留意的是，TeamTNT的挖礦攻擊僅會占用7成處理器資源，而非全部，管理者可能要透過相關的儀表板才能察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.gdatasoftware.com/blog/2022/03/ginzo-free-malware"><span style="color: rgb(0, 0, 0);">駭客向其他網路罪犯免費提供竊密軟體Ginzo Stealer，疑似為了培養客群</span></a></strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/raccoon-stealer-malware-suspends-operations-due-to-war-in-ukraine/">自3月底傳出竊密軟體Raccoon Stealer部分開發者在烏克蘭戰爭中喪生而終止開發</a>，許多新的竊密軟體接連出現，近期甚至有人打著免費的旗號，提供這類作案工具給駭客使用。防毒軟體業者G Data指出，他們從3月下旬開始看到有人免費散布名為Ginzo Stealer的竊密軟體，自3月20日至30日於惡意軟體檢測平臺VirusTotal上就發現超過400個檔案，這代表了此竊密軟體相當受到駭客的歡迎。此竊密軟體可竊取Chrome、Firefox、Opera等瀏覽器的Cookie與密碼，以及存放於桌面的檔案、Telegram連線階段、Discord的Token、加密貨幣錢包等。</p> <p>但駭客為何會採取免費提供Ginzo Stealer的策略？研究人員認為很有可能是為了培養未來的買家，而且，在其他攻擊者使用Ginzo Stealer的時候，也會將竊得的資料同時回傳給提供此竊密軟體的駭客組織。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.chainalysis.com/reports/2022-defi-hacks/"><span style="color: rgb(0, 0, 0);">駭客偏好從DeFi平臺盜取加密貨幣</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptocurrency-stolen-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptocurrency-stolen-image2.png" style="width: 300px; float: right;" /></a>駭客竊取加密貨幣的管道，從過往主要針對加密貨幣交易所下手，演變至今已將目標轉向去中心化（DeFi）平臺。資安業者Chainalysis近期公布他們對於加密貨幣犯罪的調查報告，駭客在2021年總共偷取價值32億美元的加密貨幣，但在2022年第1季，駭客已經竊得13億美元，而且幾乎（97%）都是來自DeFi平臺。為何駭客會特別針對這類平臺而來？研究人員認為，主要與這類平臺採取開放原始碼的開發模式有關，駭客經由原始碼來找尋可利用的漏洞而較能得逞；其次，則是這類平臺上維護各類加密貨幣的定價機制不穩定，而讓駭客有機會發動閃電貸款（Flash Loan）攻擊。</p> <p>研究人員認為，DeFi平臺業者可能需要透過更嚴格的程式碼審查，並採取較為嚴格的安全防護機制來防堵上述攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/PttTW/posts/10158226494581364"><span style="color: rgb(0, 0, 0);">多名網友PTT帳號被盜，疑似採用與其他網站服務相同的密碼，或使用不安全連線所致</span></a></strong></h3> <p>臺灣大型電子佈告欄批踢踢實業坊（PTT）自4月19日起，有多名網友在ID_Problem看板發文表示無法登入，帳號疑似遭到挾持。批踢踢實業坊於22日凌晨3時在粉絲專頁做出說明，表示這些使用者無法存取自己帳號的原因，很可能是與其他網站共用密碼而遭外洩，或是過去曾使用不安全的連線方式所致。批踢踢實業坊已連繫警方，並提供異常登入相關資訊供警方調查，並指出目前沒有發現密碼被暴力破解的狀況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/04/21/largest-mobile-chipset-manufacturers-used-vulnerable-audio-decoder-2-3-of-android-users-privacy-around-the-world-were-at-risk/"><span style="color: rgb(0, 0, 0);">高通與聯發科手機處理器晶片使用存在漏洞的聲音解碼器，恐波及三分之二安卓用戶</span></a></strong></h3> <p>蘋果研發的無失真聲音壓縮格式ALAC，於2011年開放相關原始碼，而使得其他廠牌的裝置也能支援這類格式，但蘋果在發布之後，未曾針對這些公開的原始碼進行維護，而使得導入這些原始碼的裝置曝露於危險。資安業者Check Point指出，他們在高通與聯發科的行動裝置晶片裡，就採用了這些老舊的原始碼支援播放ALAC檔案，攻擊者一旦利用相關漏洞，將能透過錯誤格式的聲音檔案，在行動裝置上發動RCE攻擊，恐有三分之二的安卓裝置受到波及。</p> <p>經研究人員通報後，高通與聯發科皆於2021年12月予以修補，前者將上述漏洞登記為CVE-2021-30351，後者則是以CVE-2021-0674與CVE-2021-0675列管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-11"><span style="color: rgb(0, 0, 0);">威聯通公告部分NAS機種可能存在Apache HTTP伺服器漏洞，並提出緩解措施</span></a></strong></h3> <p>Apache基金會於3月中旬，發布網頁伺服器軟體HTTP Server的2.4.53版，修補數個漏洞，最近有NAS業者公布旗下產品受到影響的情況。威聯通於4月20日發出資安通告指出，Apache於2.4.53版網頁伺服器軟體裡總共修補了4個漏洞：CVE-2022-22719、CVE-2022-22720、CVE-2022-22721、CVE-2022-23943，該公司的NAS設備主要是受到CVE-2022-22721與CVE-2022-23943影響，前者影響執行32位元版系統的設備，後者則與啟用mod_sed的Apache HTTP Server有關。</p> <p>該公司表示，他們仍在針對漏洞的影響範圍進一步調查，並儘快提供更新軟體，但用戶可先透過調整相關設定來緩解漏洞帶來的風險。例如，該公司建議將LimitXMLRequestBody的參數調回預設的1M，來緩解CVE-2022-22721；而針對CVE-2022-23943，他們建議停用mod_sed模組來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-uva-static-key-6RQTRs4c"><span style="color: rgb(0, 0, 0);">思科資安解決方案的管理遠端存取機制存在漏洞，恐被攻擊者竊取管理員帳密</span></a></strong></h3> <p>思科於4月20日發布3.3.2版的Umbrella的虛擬應用設備（Virtual Appliance），主要是修補SSH連線身分驗證漏洞CVE-2022-20773，這項漏洞與Umbrella系統本身的靜態SSH主機金鑰有關，一旦攻擊者加以利用，就有可能在Umbrella虛擬應用設備的SSH連線過程進行中間人（MitM）攻擊，進而取得管理員帳密、竄改配置，或是讓攻擊者重新讀取此虛擬應用設備，CVSS風險層級為7.5分。不過，該公司也強調，採用預設配置的Umbrella虛擬應用設備因沒有啟用SSH服務，不受上述漏洞波及。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/22 17:19作者周峻佑https://www.ithome.com.tw/news/150572
美國前總統歐巴馬呼籲立法管控社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國前總統歐巴馬（Barack Obama）本周在史丹佛大學網路政策中心的研討會上，<a href="https://techpolicy.press/transcript-barack-obama-speech-on-technology-and-democracy/" target="_blank">以「數位資訊領域對民主的挑戰」（Challenges to Democracy in the Digital Information Realm）為</a>題，指出搜尋及社交媒體已成為人們進入網路的窗口，也是獲取新聞與訊息的主要來源，美國需要考慮對保障社交平臺的《通訊規範法》（Communications Decency Act）第230條（Section 230）進行改革，也需要建立一個監管結構。</p> <p>歐巴馬指出，美國憲法中的《第一修正案》（First Amendment）是為了保障民主社會中的言論自由，美國不像中國可以告訴人們不得或不能出版特定言論，美國不會動手刪除網路上令人反感或具煽動性的內容，然而，《第一修正案》檢查的是國家的權力，並不適用於Facebook或Twitter等私人企業，或是諸如《紐約時報》及《Fox News》等媒體的編輯決定，且社交平臺已經透過內容審核及演算法對平臺上所能出現的內容作出了選擇。</p> <p>問題在於人們並不清楚社交平臺執行這些決定的原則，就算是一個基於公共利益的重大問題上，相關的原則並未被公開辯論，也缺乏民主監督，此外，所有的規則都涉及價值判斷。</p> <p>這使得歐巴馬認為，評估社交媒體或網路的提案應該是它是否會強化或削弱包容性民主的前景，能否既鼓勵健全的辯論又尊重彼此的分歧，能否加強法治與自治，是否有助於根據可獲得的最佳資訊作出集體決定，以及它是否認同所有公民的權利、自由與尊嚴。</p> <p>過去Facebook經常因為內容審核而受到大眾抨擊，有時被批評煽動暴力、縱容不實資訊，有時又被批評箝制言論，而使得<a href="https://www.ithome.com.tw/news/129690" target="_blank">Facebook創辦人祖克柏（Mark Zuckerberg）經常公開呼</a>籲應由政府來定義各種言論的違法與否。</p> <p>不過，歐巴馬看起來認定政府不應干預言論自由，反而應該向社交媒體問責。他稱讚社交媒體對於限制暴力與仇恨言論的努力，但散布不實資訊的使用者早已成為專家，遊走於規範邊緣，可是社交媒體往往選擇忽視這些內容，一方面是為了避免被指責為內容審查，另一方面則是基於經濟動機，企圖儘可能地保留最大數量的用戶。他責難社交媒體的是它們未能公布這些標準究竟是如何運作的，或者是其排序系統會如何影響資訊的散布。</p> <p>因此，歐巴馬認為美國需要考慮<a href="https://www.ithome.com.tw/news/145832" target="_blank">改革《通訊規範法》第230條</a>，例如是否應對於相關平臺上露出的廣告採用更高的標準。</p> <p>此外，歐巴馬也覺得監管及創新並不互相砥觸，即使企業最初總是抱怨規則會扼殺創新並摧毀產業，但最終都證明良好的監管環境可刺激創新，它帶來了安全及品質的標準，也讓創新達到更高標準。</p> <p>他建議美國應該建立一個聰明的監管架構，該架構必須經過科技業者、專家及相關社群的協商，例如有色人種或其它弱勢族群，以讓社交媒體在經營的同時減少有害內容的傳播，而科技業者也應該要更透明化其經營方式，在保護智慧財產權的同時遵守某些安全標準。</p> <p>除了平臺端之外，對於網路上五花八門的資訊，歐巴馬也呼籲公民必須自己承擔成為更好新聞消費者的責任，在分享任何資訊時先查看新聞來源並且三思，也應教育自己的小孩如何評估消息來源，以及區分事實與意見，協助他們成為重要的思想家。事實上，現在美國許多學區都已著手培養學生相關的網路媒體素養，它們不是教育學生特定的意識型態觀點，而只是教他們檢查來源，透過學習、辯論、投票及共同決策來鍛鍊他們的公民實力。</p> </div></div></div>
2022/4/22 16:22作者陳曉莉https://www.ithome.com.tw/news/150567
蘋果無損音訊格式漏洞讓數億Android手機曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.checkpoint.com/2022/04/21/largest-mobile-chipset-manufacturers-used-vulnerable-audio-decoder-2-3-of-android-users-privacy-around-the-world-were-at-risk/" target="_blank">資安業者Check Point Research本周揭露</a>，去年出貨的Android手機中，只要是搭載聯發科（MediaTek）及高通（Qualcomm）晶片的裝置，都部署了含有安全漏洞的蘋果無損音訊壓縮格式（Apple Lossless Audio Codec，ALAC），將允許駭客自遠端執行攻擊，讓2/3的手機曝險，可能危害數億支的Android手機。</p> <p>ALAC為蘋果於2004年發表的音訊編碼格式，繼之於2011年開源，而成為iPhone、Android手機、Linux或Windows媒體播放器所支援的格式。</p> <p>Check Point Research指出，蘋果雖然持續更新私有的ALAC版本，但開源的版本從2011年以來就未再更新，許多業者以最初的程式碼作為導入ALAC的基礎，且很可能沒有特別維護相關的程式碼。</p> <p>例如聯發科與高通都在音訊解碼器中採用了含有安全漏洞的ALAC，其中，出現在聯發科晶片中的漏洞為CVE-2021-0674與CVE-2021-0675，出現在高通晶片中的則是CVE-2021-30351。</p> <p><a href="https://corp.mediatek.tw/product-security-bulletin/December-2021" target="_blank">聯發科在去年12月的安全更新中修補了這兩個漏洞</a>，顯示CVE-2021-0674為ALAC解碼器的輸入驗證不當，可能造成越界讀取，駭客可在無需使用者互動，也不需要特殊權限的情況下存取本地端資訊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0422-mediateck%20CVE-2021-0674%20alac.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-mediateck%20CVE-2021-0674%20alac-600.jpg" style="width: 600px;" /></a></p> <p>CVE-2021-0675則是ALAC解碼器記憶體緩衝區操作的不當限制，可能造成越界寫入，導致本地端的權限擴充。</p> <p><a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/december-2021-bulletin.html" target="_blank">高通同樣是在去年12月修補了CVE-2021-30351</a>，指出該漏洞是因不當驗證媒體幀幅數量所造成，可導致越界的記憶體存取，由於該漏洞允許遠端開採，因而被列為重大（Critical）漏洞。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0422-qualcomm%20CVE-2021-30351-ALAC-600.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-qualcomm%20CVE-2021-30351-ALAC-600.jpg" style="width: 600px;" /></a></p> <p>Check Point Research的研究顯示，駭客只要藉由傳遞一個特製的聲音檔案，就能自遠端執行程式攻擊，控制受害者的多媒體資料，包括串流來自受害裝置的相機畫面。至於那些權限擴張漏洞，則允許缺乏權限的Android程式存取媒體資料及使用者的對話內容。</p> <p>有鑑於聯發科與高通晶片占了美國2021年Android手機出貨量的95%，Check Point Research估計全球可能有2/3在去年出貨的Android手機受到影響。<a href="https://www.counterpointresearch.com/global-smartphone-share/" target="_blank">而Counterpoint的數據則顯</a>示，去年全球手機出貨量為13.9億支，保守估計有7成為Android手機，再計算2/3的比例，意味著有超過6億支Android手機含有相關漏洞。</p> <p>雖然聯發科與高通已經修補了上述漏洞，但並不確定手機製造商是否更新了Android平臺，使用者可藉由檢查裝置作業系統的最後更新日期，來判斷是否處於風險中。</p> </div></div></div>
2022/4/22 16:58作者陳曉莉https://www.ithome.com.tw/news/150569
Google Message臭蟲成手機耗電元兇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://9to5google.com/2022/04/20/google-messages-bug-camera-background-drain-battery-fix/" target="_blank">9to5Google報導</a>，Google訊息（Message）App一項臭蟲導致Android手機相機App持續背景運作而成吃電怪獸。</p> <p><a href="https://www.reddit.com/r/GooglePixel/comments/stem75/camera_running_constantly_in_backgroundthrough/" target="_blank">近幾個月來Android手機用戶抱怨</a>，他們發現手機的相機App經常顯示開啟，但僅僅是使用訊息App的結果。查詢電池狀態則顯示相機App開啟時間長達數十分鐘甚至數小時，這讓他們的手機不但經常發燙，也快速耗盡手機電量。回報有問題的機型包括Pixel 4 XL或6 Pro。</p> <p>這問題出在Android手機方便用戶將相片傳送給友人的功能。你可以相機App拍攝完，可以用訊息App寄出，或是在訊息App環境下啟動相機拍攝、附加在訊息中送出。這些用戶的問題疑似出在訊息App背景執行了相機。9to5Google報導，在Android 12的隱私指示頁會顯示訊息App正在使用相機。</p> <p>最簡單的方法是從「最近使用的應用程式」關閉訊息App。另一個解法是關閉訊息App存取相機的許可，方法是從「設定」>「應用程式」>「訊息」>「權限」下的「相機」中選擇「不允許」。</p> <p><a href="https://www.theverge.com/2022/4/21/23036246/google-messages-battery-drain-power-fix" target="_blank">The Verge 報導</a>，Google說這是一項臭蟲，目前已經將修補程式釋出給用戶。</p> </div></div></div>
2022/4/22 15:25作者林妍溱https://www.ithome.com.tw/news/150564
YouTube關閉香港準下任特首頻道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.scmp.com/news/hong-kong/politics/article/3174862/youtube-terminates-campaign-channel-sole-hong-kong-chief" target="_blank">南華早報</a>、<a href="https://variety.com/2022/digital/asia/youtube-hong-kong-john-lee-1235236624/" target="_blank">Variety</a>等媒體報導，因應美國政府制裁，YouTube本周關閉香港準下任特首李家超的競選頻道及帳號。</p> <p>李家超是香港警察出身，2021年出任香港政務司司長，成為港府第二號人物，也被視為接任林鄭月娥的熱門人選。而將在5月8日投票的特首選舉中，李家超也是唯一候選人。</p> <p>本周三（4/20）李家超競選用的YouTube頻道遭YouTube關閉。此外雖然李家超的臉書及Instagram頻道仍然可使用，但南華早報報導，臉書也限制了用戶權限。YouTube及臉書都表示是因應美國政策而為之。</p> <p>林鄭月娥及李家超等11名香港人名列美國財政部去年公佈的<a href="https://home.treasury.gov/news/press-releases/sm1088" target="_blank">制裁名單</a>，美政府聲稱是「鎖定顛覆香港自治的人士」。</p> <p>李家超對媒體表示，對被YouTube封鎖感到失望，但不但無法動搖他，反而更激發他參選決心。他的支持者則批評YouTube此舉魯莽、令人難以理解，更是干涉香港選舉。</p> </div></div></div>
2022/4/22 15:40作者林妍溱https://www.ithome.com.tw/news/150565
DuckDuckGo也要幫使用者跳過Google AMP網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼隱私瀏覽器Brave之後，隱私搜尋引擎廠商DuckDuckGo也表示將提供新功能，幫使用者繞過以加速網頁載入之名，行蒐集用戶資料之實的Google AMP（Accelerated Mobile Pages）網頁。</p> <p>Accelerated Mobile Pages是Google主導開發的開源專案，它是一套以提升行動裝置對網站存取速度為目的的網頁框架，其核心是以標準HTML為基礎改寫的版本，名為AMP HTML。但它也會將AMP網頁儲存在Google AMP快取，藉此加快網頁下載速度。但批評者如小型瀏覽器廠商Brave、DuckDuckGo、Vivaldi相信，AMP最高宗旨是鞏固Google搜尋及廣告壟斷。</p> <p><a href="https://brave.com/privacy-updates/18-de-amp/" target="_blank">隱私瀏覽器Brave本周公布</a>可繞過Google AMP網頁的功能，名為De-AMP。De-AMP會在用戶由Google搜尋存取某出版商網頁時，若偵測到導向AMP網頁時會將之改寫，將用戶連到真正的出版商網頁。若無法改寫，則會在AMP網頁載入之前將用戶帶離這些網頁，避免載入並執行AMP/Google程式碼。這項功能目前來到測試版中，預計會推向桌機版和Android Brave 1.38版，iOS版則緊接著釋出。</p> <p class="rtecenter"><img alt="" src="https://brave.com/static-assets/images/optimized/privacy-updates/images/redirect-amp-setting.webp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Brave</span></span></p> <p><a href="https://twitter.com/DuckDuckGo/status/1516534351974092805" target="_blank">以隱私搜尋引擎起家的DuckDuckGo也表示</a>將有類似作法。用戶以DuckDuckGo App或外掛（Firefox或Chrome版）時，這項功能會以出版商原始網頁取代Google AMP版本。<a href="https://twitter.com/DuckDuckGo/status/1516535049671397379" target="_blank">該公司表示</a>， AMP讓Google得以追蹤用戶，且在Google搜尋中獨厚AMP網頁，而AMP網頁也將偏私Google投放的廣告，藉此迫使媒體或出版商採用其技術，進一步鞏固其搜尋壟斷。</p> <p>一些出版商網站包括Vox Media、BuzzFeed、BDG Media等都不使用Google AMP，而使用自家開發的網頁加速技術。</p> <p>不過<a href="https://twitter.com/dannysullivan/status/1516551116476936194" target="_blank">Google搜尋部門Danny Sullivan駁斥批評者指出</a>，AMP並不會影響網頁在Google 搜尋的排序，AMP曾是行動版網頁出現在Google Top Stories展示地的必要條件，但是去年Google已終止這項計畫。</p> <p>作為和Google Chrome競爭的瀏覽器，Brave、DuckDuckGo、Vivaldi也<a href="https://www.ithome.com.tw/news/143829" target="_blank">封鎖Google FLoC廣告投放技術</a>。</p> </div></div></div>
2022/4/22 14:42作者林妍溱https://www.ithome.com.tw/news/150563
Google雲端語音轉文字服務採用Conformer新模型，將大幅提升辨識品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端在其<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-cloud-updates-speech-api-models-for-improved-accuracy">語音轉文字API（Speech-to-Text API，STT）採用Conformer新模型</a>，以提高STT所支援23種語言和61種區域口音的語音辨識準確性。新模型可能與現有模型的功能略有不同，不過皆提供相同的穩定性和支援。</p> <p>Google提到，這是一項重大技術改進，使用當前最新的機器學習技術，是他們在語音辨識神經序列到序列模型研究8年來的階段性成果，其經過大量研究和最佳化，使模型能夠適用於不同的用例、噪音環境，並提供最佳的結果。</p> <p>Google解釋了新模型與當前模型的不同，過去自動語音辨識技術都是基於單獨的聲音、發音和語言模型，這三個單獨的元件會獨立訓練，最後組裝在一起進行語音辨識，而Conformer新模型，則是單一神經網路。</p> <p>與過去需要組合三個獨立模型的方法不同，Conformer模型能夠更有效地使用模型參數，由於這個架構是帶有卷積層（Convolution Layer）的Transformer模型，因此才稱為Conformer，該架構能夠捕捉語音訊號中的區域和全域資訊。</p> <p>開發者現在使用STT API可立即看到新模型所帶來的品質改進，雖然用戶仍然可以透過調整模型，來改進模型效能，但是Conformer新模型不需要用戶進行任何動作，就能明顯感覺品質提升。</p> <p>新模型支援更多不同類型的語音、噪音和聲音條件，使得用戶可以將語音技術嵌入應用程式中，並在更多環境產生更準確的輸出。智慧應用程式的使用者，將可以自然地用更長的句子，跟應用程式互動，不需要擔心語音能否被準確擷取。</p> <p>用戶只要在使用STT API時，添加新標籤latest long和latest short，便可以存取最新的Conformer模型，latest long針對影片等應用設計，可以處理長篇語音，而latest short則是用於命令或是短語上，能提供更好地品質和低延遲。</p> </div></div></div>
2022/4/22 14:54作者李建興https://www.ithome.com.tw/news/150559
法國物聯網新創Sigfox確定易主！由Sigfox位於新加坡及臺灣代理商UnaBiz取得經營權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3個月共9家業者競標及多方審查後，法國法院於昨日(4/21）宣布Sigfox正式售出，由新加坡與臺灣Sigfox代理商UnaBiz取得Sigfox經營權，未來將負責協助推動Sigfox在全球的業務發展。儘管，UnaBiz沒有揭露交易金額，不過有傳言約為2,500萬歐元。</p> <p>由於疫情營運不善，過去推動Sigfox物聯網通訊標準的法國物聯網新創Sigfox自今年1月宣布由法國法院接管，並積極尋找買主來接手，確保未來能夠維持Sigfox長期發展與成長。</p> <p>在開放競標後，各地陸續有買家來投標，統計到3月，參與Sigfox競標的公司共有9家，除了UnaBiz，還有推動LoRa標準的法國物聯網公司Actility、私人投資公司Greybull Capital、南非投資基金Buffet Investment Services Consortium、中歐Sigfox代理商Heliot Europe Gmbh、中東Sigfox代理商Iwire Innovation Management Lt、法國基礎設施諮詢和工程集團Oteis France、法國IT諮詢公司Sentiens以及法國科技集團Groupe Zekat。</p> <p>法國法院歷經3個多月競標，專家審查及多方綜合評估後，最後宣判由UnaBiz勝出，取得Sigfox公司經營權。</p> <p>2016年成立，總部位於新加坡的UnaBiz，主要代理臺灣及新加坡Sigfox營運。2017年引進臺灣後，UnaBiz短短一年內就以Sigfox打造一個全國規模IoT通訊網路，可覆蓋全臺95%人口，迄今已陸續應用於各縣市民生公共物網應用上，如智慧水表、智慧瓦斯表等，而且不只代理Sigfox硬體，後來也推出自己的軟硬整合方案，還替日本一家大型瓦斯業者打造百萬顆智慧瓦斯讀表器。</p> <p>在法院宣判後，UnaBiz隨後發布新聞稿表示，透過Sigfox經營權的更迭，意味著大規模物聯網產業有新氣象，未來該公司將善用Sigfox優勢<wbr></wbr>，重塑其在LPWAN定位，同時與LoRa、LTE-M、 NB-IoT等其他通訊技術協作，推動大規模物聯網發展。</p> <p>目前在全球採用Sigfox的物聯網裝置超過2千萬個，收購Sigfox以後，UnaBiz也將接收現有Sigfox團隊100多名員工、全球資產、營運和財會資料等業務，UnaBiz指出，未來將協助Sigfox維持業務連續和客戶服務，幫助Sigfox既有商業活動正常運作，確保網路通訊服務穩定。</p> <p>由於Sigfox在全球有75家代理營運商，包括法國、英國、日本等，正式接掌Sigfox後，UnaBiz不再只負責臺灣和新加坡業務，未來也將以Sigfox身份來與全球75家營運商溝通協商，重新確立往後Sigfox經營策略及其商業模式。</p> </div></div></div>
2022/4/22 12:51作者余至浩https://www.ithome.com.tw/news/150560
Okta公布Lapsus$駭客事件調查結果：只被駭了25分鐘
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客集團Lapsus$在今年初連續入侵Nvidia、三星、Okta及微軟，<a href="https://www.okta.com/blog/2022/04/okta-concludes-its-investigation-into-the-january-2022-compromise/" target="_blank">本周身分暨存取管理業者Okta公布了相關意外的調查結</a>果，指出駭客真正取得控制權的時間只有25分鐘，且只有兩名客戶的資料遭到存取。</p> <p>Lapsus$入侵了了Okta第三方合作業者Sitel，取得了一名客戶支援工程師的帳號，在1月16日至1月21日間存取了該名工程師的筆電，調查顯示，該名工程師的帳號在這5天的時間存取了365家Okta客戶的資料，原本Okta已經作了最壞的打算，但進一步分析後發現，駭客真正存取Okta客戶資料的時間並不長，而且也只存取了兩家客戶資料。</p> <p>Okta說明，駭客是在1月21日才使用該工程師帳號，而且只持續了25分鐘，於SuperUser應用中存取了兩家客戶資料，並瀏覽這些客戶的Slack與Jira等內容，這些舉動並無法用來執行其它惡意行為，像是變更配置，或是重設雙因素認證或密碼等，也無法冒充Okta的客戶支援，或是取得Okta的帳號認證。</p> <p><a href="https://www.ithome.com.tw/news/150050" target="_blank">Lapsus$入侵微軟的手法</a>與入侵Okta如出一轍，同樣是先取得一名微軟員工的帳號，再進一步存取微軟的內部資源。</p> <p>經過此次意外事件之後，Okta決定加強第三方合作夥伴的風險管理，包括確認第三方符合Okta對安全的要求，任何替Okta提供客戶支援服務的業者都必須採行零信任安全架構，也必須採用Okta的IDAM解決方案來進行所有工作應用程式的身分認證，同時也宣布終止與Sitel的合作。</p> <p>此外，未來Okta將直接管理所有存取該公司客戶支援工具、來自第三方合作夥伴的所有裝置，以讓Okta能夠直接控制並回應安全風險，而不完全依賴第三方業者。</p> </div></div></div>
2022/4/22 13:22作者陳曉莉https://www.ithome.com.tw/news/150561
Azure也開始提供全託管Grafana監控資料視覺化服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年微軟開始與Grafana Labs建立戰略合作夥伴關係，要讓用戶能夠在Azure中，原生用到監控資料視覺化平臺Grafana，而現在這項合作已經有階段性的成果，微軟釋<a href="https://azure.microsoft.com/zh-tw/blog/enhance-your-data-visualizations-with-azure-managed-grafana-now-in-preview/">出Azure Managed Grafana預覽版</a>，提供用戶與Azure服務和安全性功能無縫整合的Grafana。</p> <p>Grafana是當前熱門的開源可觀察性和視覺化平臺，可以在單一使用者介面中，視覺化所有遠端遙測資料，包括Prometheus、Loki、Elasticsearch、InfluxDB和Postgres等來源的資料，藉由Grafana的可擴展架構，用戶便可以跨本地、Azure甚至是多雲環境，關聯並視覺化指標、日誌和追蹤紀錄。</p> <p>微軟提到，Azure Managed Grafana特別最佳化了Azure原生資料儲存，包括Azure Monitor和資料資源管理器等，使得用戶可以輕鬆地連接到其訂閱的任何資源，並在Grafana儀表板中查看所有生成的遙測資料。</p> <p>微軟提供服務到服務層級的整合，用戶可以保留當前在Azure Portal中使用的監控圖表，一鍵將Azure Portal中的圖表經自動化搬遷過程，帶入到Azure Managed Grafana執行個體中。另外，Azure Managed Grafana也替Azure Monitor功能提供一組內建儀表板，讓用戶更容易地建構新的視覺化功能，包括Azure Monitor應用程式分析、虛擬機器分析和警示功能。</p> <p>在Azure Managed Grafana中，用戶可以使用儲存在Azure Active Directory的特定角色，來自定義用戶的權限，這些定義映射到Grafana的內部角色中，因此管理員便能利用Azure Active Directory，來授權團隊使用Grafana，以簡化管理並提高操作一致性。</p> </div></div></div>
2022/4/22 13:35作者李建興https://www.ithome.com.tw/news/150541
AWS強化搬遷解決方案Migration Hub加入自動化調度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其雲端搬遷和現代化工具Migration Hub，加入調度新功能Orchestrator，提供用戶預定義和可自訂的工作流程模板，其包含一系列搬遷任務、搬遷工具等資訊，並且讓用戶能夠簡單地追蹤進度。官方表示，<a href="https://aws.amazon.com/tw/blogs/aws/aws-migration-hub-orchestrator-new-migration-orchestration-capability-with-customizable-workflow-templates/">Migration Hub Orchestrator</a>透過自動化搬遷大型應用程式中的繁瑣工作，來簡化搬遷程序。</p> <p>Migration Hub是一個能夠加速用戶上雲的工具，讓用戶可在單一位置，執行雲端搬遷和應用程式現代化工作，只要在Migration Hub匯入企業本地部署伺服器的詳細資訊，該工具就能提供搬遷策略建議，用戶可以在儀表板中跨多個工具追蹤搬遷程序，並在任意AWS地區逐步重建應用程式。</p> <p>AWS提到，藉由使用Migration Hub Orchestrator，可以減少搬遷大型企業應用程式，以及管理不同工具間相依關係的手動作業，並且提供搬遷過程中的可見度。另外，Migration Hub Orchestrator讓用戶能夠自定義模板，並添加步驟來滿足用戶搬遷過程中的其他需求。</p> <p>目前Migration Hub Orchestrator支援使用HANA資料庫的SAP NetWeaver應用程式，並且可以重新託管任何使用AWS MGN（AWS Application Migration Service）的應用程式。Migration Hub Orchestrator會將搬遷的步驟與輸出，儲存在用戶帳戶底下的S3儲存桶中，這些日誌可用於除錯或是檢查各步驟的輸出。</p> <p>目前Migration Hub Orchestrator已經在所有提供Migration Hub的AWS地區中推出，使用Migration Hub Orchestrator不需額外費用，僅需要對搬遷過程所用到的AWS資源支付費用。</p> </div></div></div>
2022/4/22 13:38作者李建興https://www.ithome.com.tw/news/150543
甲骨文第2季安全更新修補520項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.oracle.com/security/post/april-2022-cpu-released" target="_blank">商用軟體大廠甲骨文本周釋出</a>今年第二季安全更新，<a href="https://www.oracle.com/security-alerts/cpuapr2022.html" target="_blank">修補包括520項漏洞，包括2項風險值10的重大漏</a>洞。</p> <p>本季修補的漏洞涵括甲骨文31項產品。500多項漏洞中，包括77個重大漏洞及141項高風險漏洞，佔比各為14.8%及27.1%。</p> <p>而在重大漏洞中有2項被判定風險值為最高的10分，分別是CVE-2022-22947及 CVE-2022-21431。CVE-2022-22947影響Oracle Communications產品，當產品中開啟Spring Cloud Gateway端點，遠端攻擊者就可發送惡意HTTP呼叫開採，而在主機上執行任意程式碼。CVE-2022-21431則影響Oracle Communications Billing及Revenue Management。未經授權的攻擊者可送TCP呼叫開採來接管這兩項產品，不過甲骨文表示，本漏洞也可能影響其他產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-Oracle%20Critical%20Patch%20Update%20Advisory%20-%20April%202022-600-V2.png" style="width: 586px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-Oracle%20Critical%20Patch%20Update%20Advisory%20-%20April%202022-600-2-V2.png" style="width: 559px;" /></p> <p><a href="https://www.ithome.com.tw/news/150201" target="_blank">本季安全更新也修補了SpringShell漏洞CVE-2022-22965</a> 。</p> <p>一項編號CVE-2022-21449的漏洞，成功攻擊可讓駭客新增、刪除或修改存取Oracle Java SE（15到18版）、Oracle Java SE訂閱服務中的Oracle GraalVM Enterprise Edition。雖然甲骨文給予7.5的風險值，<a href="https://neilmadden.blog/2022/04/19/psychic-signatures-in-java/" target="_blank">但有安全研究人員認為應達到10</a>。</p> <p>這次的更新也涵括源自第三方元件的漏洞，包括2個新的Apache Log4j漏洞，分別是中度風險的<a href="https://www.ithome.com.tw/news/148623" target="_blank">CVE-2021-44832 </a>及高風險的<a href="https://access.redhat.com/security/cve/cve-2022-23305" target="_blank">CVE-2022-23305</a>。</p> <p>以數量而言，本季甲骨文修補的漏洞以Oracle Communications、Fusion Middleware最多，兩者也分別有98個和41個可非授權遠端開採的漏洞，超過所有其他產品。</p> <p>其他修補的主要產品由漏洞數量來看，還包括Oracle MySQL、Oracle PeopleSoft、Hyperion、Supply Chain、Enterprise Manager、JD Edwards、Oracle Virtualization、Database Server、E-Business Suite等。</p> </div></div></div>
2022/4/22 14:05作者林妍溱https://www.ithome.com.tw/news/150562
AWS應用程式可用性提升服務DevOps Guru現可自動偵測Lambda函式效能問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS用於改善應用程式效能和可用性的機器學習服務Amazon DevOps Guru，現在支援無伺服器服務推出<a href="https://aws.amazon.com/tw/blogs/aws/automatically-detect-operational-issues-in-lambda-functions-with-amazon-devops-guru-for-serverless/">DevOps Guru for Serverless</a>，該DevOps Guru新功能可自動偵測Lambda函式異常，並且使用機器學習技術提供建議，協助用戶修復偵測到的問題。</p> <p>適用無伺服器的DevOps Guru功能運用機器學習技術，自動辨識和分析Lambda函式各種效能和可用性相關問題，包括低配置並行性（Provisioned Concurrency）或是記憶體使用率不足等問題。AWS提到，該分析服務可以讓用戶有效地解決，無伺服器應用程式中持續性問題，藉由提供可操作建議，在短時間辨識並且修復根本原因。</p> <p>另外，該功能還提供主動分析功能，偵測更廣泛的運作異常，可在應用程式受到效能影響之前，先抓出問題並且提供解決之道。在DevOps Guru偵測到Lambda函式的問題時，會在DevOps Guru控制臺中顯示結果，並且使用Amazon EventBridge或Amazon Simple Notification Service發出通知，使開發人員可以即時採取行動。</p> <p>DevOps Guru for Serverless目前已在所有提供DevOps Guru服務的AWS地區中上線，包括美東、美西和歐洲，而亞洲則為新加坡、雪梨和東京地區。</p> </div></div></div>
2022/4/22 14:16作者李建興https://www.ithome.com.tw/news/150554
Cloud周報第141期：Google漁電共生計畫年底正式併網展開運作，開始為在臺資料中心供應綠電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（04/14～04/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 綠能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資料中心 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>Google漁電共生計畫年底正式併網運作，在臺綠電雖不足但不會影響臺南資料中心建置進度</strong></span></p> <p>Google在2019年初時宣布，要在臺南魚塭架設4萬個太陽能板，以漁電共生方式種電，並承諾採購10MW再生能源，作為在臺第二座資料中心的供電來源之一。最近，在一場活動中，Google透露，合作進行漁電共生計畫的雲豹能源，去年底宣布開始展開施工建設，今年年底會正式併網展開運作，也意味著，今年底前可以開始供應綠電。不過，Google臺灣總經理林雅芳坦言，單靠這項漁電共生的電力，無法滿足資料中心供電所需，但，不會影響在臺第二座資料中心的進度，目前仍持續進行中。</p> <p>林雅芳指出，臺灣再生能源市場的供需嚴重失衡，需要整個生態圈動員，目前Google透過美國商會，與其他外商共同倡議，來健全化市場供給狀況，希望達到系統性的改善。Google的目標不只是自己夠用，而是希望發揮大型企業的影響力，來促進在地對綠電的重視。</p> <p>Google在2017年，購買的再生能源憑證已經超越了Google的全球用電量，全球來看，達到100%用再生能源，但Google的目標，希望2030年可以在各地也能達到100％使用再生能源，但臺灣目前綠電供應嚴重不足，是一大挑戰。目前臺灣供給綠電的做法有限，Google希望，能有更多綠電供給方式。不過，整體來看，相較全球發展，臺灣再生能源市場的發展仍屬於早期，不只法規，供電場數量，供電網穩定性都還需要時間發展。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Jira雲端軟體 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Atlassian </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaaS服務中斷 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>知名Jira軟體供應商Atlassian因雲端SaaS服務突然中斷，導致上百名用戶受影響</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap8.png" style="width: 600px; height: 297px;" /></p> <p>協同軟體Confluence及Jira軟體供應商Atlassian於4月初因SaaS服務網站突然中斷，導致超過400位Atlassian Cloud用戶受影響，即使經過2周搶修，到17日仍有1%的用戶服務網站尚未修復，估計得等到4月下旬才能完全恢復服務。</p> <p>Atlassian於4月5日發布公告指出多個雲端執行個體斷線顯示維修狀態，影響所及包括Jira Work Management、Jira Service Management、Jira Sofware、Confluence、Atlassian Access Cloud服務，事件發生後，該公司隨及展開調查，同時規畫緩解措施。</p> <p>不過，直到4月12日，事件發生一周後，Conuence及Jira雲端服務仍沒完全修復，許多受影響的用戶紛紛上網抱怨，迄今仍無法使用服務，而影響其工作。同一天，Atlassian技術長Sri Viswanath也在官網說明該起事件原委及後續處理進度。</p> <p>Sri Viswanath表示，這次服務斷線並非出於網路攻擊，或是系統大規模運行的錯誤，而是工程團隊關閉舊式軟體時出現操作失誤，主因是為推出Jira服務管理及Jira 軟體的整合式App，名為Insight-資產管理，而必須關閉客戶網站的舊App，但因為團隊溝通有落差，加上執行指令碼時誤用了錯誤的執行模式和錯誤的ID 列表，而誤刪了400 位用戶使用的網站。</p> <p>即使經過2周以上搶修，截至4月17日，仍有1%受影響用戶尚未恢復服務，Atlassian表示，除了加速回復剩下的用戶網站，並已聯絡上所有受影響的使用者，將會提供1對1支援，並透過工單每日回報，也會提出事後報告。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 波音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端戰略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>波音揭雲端新戰略將以3大型公雲打造IT雲端化單一基礎架構，加速轉型</strong></span></p> <p>美國航太龍頭波音近日揭露雲端新戰略，將使用3大公雲服務打造IT雲端化單一基礎架構，希望透過採用多雲混合雲架構來加速IT數位轉型。</p> <p>由於波音現有應用主要是部署於本地，但是許多系統不僅老舊，維護也不易，大大阻礙公司數位化轉型。波音原先已分別採用AWS、Azure以及GCP三大公雲方案，接下來更將進一步擴大採用，希望為波音的IT雲端化建立單一基礎架構，來加速內部轉型。</p> <p>波音資訊長Susan Doniz指出，IT架構雲端化最大目的之一是加速飛機的設計、開發與測試。在傳統本地部署方案下，開發部門一行程式碼都還沒寫出來前，就得先處理預測需求、採購、維護及付費等過程。透過和雲端業者合作，可讓開發人員利用數位分身（digital twin）技術測試系統或飛機，最後再實地部署，大幅提升開發測試的速度。</p> <p>像是與Azure合作上，波音計畫把數位航空應用從本地資料中心遷移到Azure，並使用其AI服務提高生產效率和簡化營運。而在AWS合作方面，除了計畫將各種應用程式搬遷到AWS，波音還將採用新架構來加強工程與製造流程，對於部分需要較複雜運算的工程模擬與驗證，未來也會使用其HPC雲端服務。</p> <p>另外，還有上百個業務相關和航空應用程式將搬上GCP，波音也將借助其數據分析和AI服務及工具，來幫助這家公司改善營運，像是提高飛機製造效率等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nephio </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Linux基金會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲原生</span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Linux基金會聯手GCP發起新專案Nephio，要簡化電信網路功能的雲原生自動化部署及管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap6(1).png" style="width: 600px; height: 324px;" /></p> <p>近日，Linux基金會與Google Cloud及多家電信相關業者共同發起一個開源新專案Nephio，希望透過採用新方法簡化電信網路功能的雲原生自動化部署和管理。</p> <p>根據Linux基金會的說明，Nephio旨在提供基於Kubernetes的雲原生自動化和通用自動化的樣板，具有電信級、簡單易用、開放的特性，從而大大簡化橫跨多個供應商的雲原生基礎架構和網路功能自動化部署和管理。Linux基金會表示，透過Nephio新專案，將使電信營運商能更快將電信網路功能推出上線，包括使用雲原生配置底層雲端基礎設施，也能因此降低雲端和網路使用成本。</p> <p>目前已參與該專案的組織或企業，包括Airtel、Bell Canada、Elisa、Equinix、Jio、Orange、Rakuten Mobile、TIM、TELUS、Vapor IO、Virgin Media O2、WINDTRE ，還有不少網路服務及基礎設施供應商，如Aarna Networks、Arm、Casa-systems、DZS、愛立信、F5、英特爾、JuniperNetworks、Mavenir、Nokia、Parallel Wireless、VMware等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">富士通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CaaS </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>富士通CaaS新服務推出可媲美世界最快超級電腦富岳硬體效能的雲端運算服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(1).jpg" style="width: 600px; height: 394px;" /></p> <p>日本富士通近日宣布將推出新的富士通運算即服務(CaaS)，可提供媲美世界最快超級電腦富岳(Fugaku)硬體效能的雲端運算服務，加速企業數位轉型。</p> <p>新的CaaS服務初期將提供富士通HPC雲端服務，搭載64位元Arm A64FX 處理器的富士通超級電腦PRIMEHPC FX1000運算能力，使用與全球500大超級電腦第1名的富岳相同的CPU，其運算效能可達到Exascale等級。</p> <p>該服務將於10月先在日本推出上線，之後也會推向全球，包括歐洲、亞太和美洲地區。除了HPC服務，富士通未來幾個月內也將於CaaS服務中，提供量子啟發式運算使用的量子退火技術，還有各種雲端軟體應用，協助用戶解決AI及ML問題。</p> <p><strong>圖片來源／富士通</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.微軟9月調升非營利機構版本的Oce 365、Windows 365價格</strong></strong></p> <p><strong><strong>2.澳洲政府與AWS續簽3年雲端服務合約，合計約1.74 億澳元</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年4月</strong></strong></p> </div></div></div>
2022/4/22 10:07作者余至浩https://www.ithome.com.tw/news/150552
【資安日報】2022年4月21日，AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月引起全球IT人員關注的漏洞Log4Shell，各家軟體業者相繼為受影響產品推出修補程式，而最近有資安業者揭露，AWS於去年發布的修補程式，出現了修補不全的情況，甚至還衍生新的弱點，AWS經過反覆驗證後才在最近完成修補。</p> <p>而勒索軟體REvil在去年年底十多名成員遭到逮捕，該組織的基礎設施也遭到執法機關接管，但最近有多名資安人員發現，這個駭客組織可能又東山再起。</p> <p>針對駭客組織Lapsus$入侵Okta的事故，Okta再度公布新的調查結果，指出駭客實際上只入侵了25分鐘，存取2家客戶的帳號，而非先前提及可能影響超過360個用戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/revils-tor-sites-come-alive-to-redirect-to-new-ransomware-operation/"><span style="color: rgb(0, 0, 0);">勒索軟體REvil疑死灰復燃，該組織的Tor網站恢復運作</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/REvil-AffilDeets.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/REvil-AffilDeets.jpg" style="width: 300px; float: right;" /></a>勒索軟體REvil的基礎設施於今年1月遭到俄羅斯政府摧毀，但最近傳出再度開始恢復運作的現象。研究人員Soufiane Tahiri與Pancak3發現，有人在俄語論壇市集RuTOR公布新的REvil洩密網站，這個網站位於Tor網路，但使用不同的網域。</p> <p>而此網站似乎正在找尋想要使用新版勒索軟體的駭客，提供勒索軟體的組織將在成功收到贖金後，收取2成費用。該網站也列出26個受害組織，但其中僅有2個是新增的，其中一個是印度石油（Oil India）。</p> <p>資安研究團隊MalwareHunterTeam也在今年4月5日至10日，發現上述與REvil有關的外洩網站，但當時網站上並沒有任何內容，而是在一個星期後，有人才從舊的REvil網站複製24個受害組織的資料，並增列2個新的受害組織。資安新聞網站Bleeping Computer指出，美國聯邦調查局（FBI）曾在2021年11月控制REvil的網站，究竟REvil是否真的另起爐灶？顯然有待進一步的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/okta-lapsus-breach-lasted-only-25-minutes-hit-2-customers/"><span style="color: rgb(0, 0, 0);">Okta針對駭客組織Lapsus$入侵事件公布更多細節</span></a></strong></h3> <p>駭客組織Lapsus$今年初入侵身分安全管理業者Okta，該業者曾表示駭客因取得合作夥伴Sitel的客戶支援工程師帳密，可能在5天內存取了365個Okta客戶的資料，但此事最近又有新的調查結果出爐。</p> <p>Okta於4月19日再度針對這起事件做出說明，表示駭客的確掌控了一臺Sitel工程師所使用的工作站電腦，進而存取Okta的資源，但實際上此攻擊行動只在1月21日進行了25分鐘，駭客透過超級使用者（SuperUser）的應用，存取2家客戶的資料，並瀏覽他們的Slack、Jira等應用程式的內容。該公司強調，駭客這些舉動無法用來竄改用戶的配置，或是重設他們的雙因素驗證、密碼等資料。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/shuckworm-intense-campaign-ukraine"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Gamaredon利用後門程式Pteredo變種對烏克蘭發動攻擊</span></a></strong></h3> <p>自烏克蘭政府機關在今年1月初陸續遭到俄羅斯駭客Gamaredon網路攻擊，最近又有新的攻擊行動出現。賽門鐵克指出，Gamaredon近期使用名為Pteredo的後門程式變種，對烏克蘭發動攻擊，研究人員至少看到4個變種病毒。這些後門程式都會投放Visual Basic程式碼且功能相似，並利用Windows排程工作器來長期在受害電腦上運作，然後從C2伺服器下載額外的程式碼，以執行下個階段的攻擊行動。</p> <p>而上述變種Pteredo用途略有不同，其中一種主要用於資料收集、另一種用於接收外部的PowerShell程式碼並執行，第3種則是用於更新DNS配置；至於最後一種則包含前述3款的功能。</p> <h3><strong style="font-size: 22px;"><a href="https://www.varonis.com/blog/hive-ransomware-analysis"><span style="color: rgb(0, 0, 0);">勒索軟體Hive透過ProxyShell漏洞入侵受害組織</span></a></strong></h3> <p>勒索軟體Hive最近幾個月動作頻頻，有研究人員發現駭客動作相當迅速，入侵後數日後就加密資料。資安業者Varonis針對客戶遭到勒索軟體Hive攻擊的事故進行調查，結果發現，駭客先透過ProxyShell漏洞入侵Exchange Server，並植入Web Shell做為後門，而攻擊者可利用這些後門以系統權限執行惡意PowerShell程式碼，進而從C2伺服器下載Cobalt Strike於記憶體內執行。</p> <p>接著，攻擊者以系統權限建立名為user的管理員用戶，並利用Mimikatz來截取企業的憑證，並藉由Pass-The-Hash手法來控制網域管理員帳號，最後，駭客在受害組織網路進一步調查，掃描敏感資訊，再部署Hive勒索軟體。研究人員指出，駭客從成功入侵到部署勒索軟體，只花了不到72小時，組織能察覺異狀並採取行動的時間並不多。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-defender-flags-google-chrome-updates-as-suspicious/"><span style="color: rgb(0, 0, 0);">微軟端點防護產品再傳誤報，將下載Chrome更新檔案視為可疑行為</span></a></strong></h3> <p>又是微軟端點防護出現誤報的情況。根據資安新聞網站Bleeping Computer的報導，有許多IT人員發現自己組織的Microsoft Defender for Endpoint約從4月20日晚間，將Google更新程式下載Chrome瀏覽器更新檔案的工作，視為執行可疑的服務，或是投放有問題的檔案。後來微軟在Microsoft 365 Defender的服務狀態公告裡，坦承上述現象的確是誤報，並非實際的攻擊行動，約在一個半小時後微軟再度公告，表示已修正誤報的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html"><span style="color: rgb(0, 0, 0);">2021年出現近60個零時差漏洞，較前年倍增</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/zeroday-2015-2021.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/zeroday-2015-2021.png" style="width: 300px; float: right;" /></a>駭客利用零時差漏洞的情況，在2021年出現大幅增加的情況。Google旗下的威脅分析小組（TAG）指出，他們在2021年發現了58個遭到利用的零時差漏洞，相較於2020年僅有25個，多出超過一倍。研究人員認為，去年零時差漏洞數量大幅增加的原因，主要是因為他們相關的檢測與揭露工作所致。其中，最值得留意的是Chrome瀏覽器的漏洞就占了14個、Safari有7個，作業系統的部分，Windows有10個、Android有7個，此外，微軟的郵件系統Exchange Server也有5個。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/aws-log4shell-hot-patch-vulnerabilities/"><span style="color: rgb(0, 0, 0);">AWS針對旗下服務的Log4Shell漏洞修補不全，並衍生出4個高風險弱點</span></a></strong></h3> <p>去年12月被揭露的Log4Shell漏洞，傳出有雲端服務廠商漏洞修補不全的情況。資安業者Palo Alto Networks近日指出，AWS於去年12月中旬針對旗下解決方案發布的Log4Shell熱修補（Hot Patch）程式，存在漏洞修補不完全的現象，而導致可能被攻擊者用於提升權限，或是逃脫容器的情況，研究人員將衍生的弱點列管為CVE-2021-3100、CVE-2021-3101、CVE-2022-0070、CVE-2022-0071，CVSS風險層級為8.8分。在12月下旬通報後，AWS進行多次修補與驗證，於今年4月19日發布完整的修補程式與資安通告。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/21 19:13作者周峻佑https://www.ithome.com.tw/news/150544
五眼聯盟警告俄羅斯駭客集團針對全球重大基礎設施展開報復性攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">包括美國、澳洲、加拿大、紐西蘭與英國等<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-110a" target="_blank">五眼聯盟（Five Eyes）的網路安全主管機關在周三（4/20）警</a>告，俄羅斯官方或支持俄羅斯的各個駭客集團正在針對全球重大基礎設施展開攻擊，目的可能是為了報復各國對俄羅斯所實施的經濟制裁，或是反擊各國針對俄羅斯展開的網路攻擊行動，呼籲基礎設施業者應嚴陣以待。</p> <p dir="ltr">五眼聯盟聯手發布了聯合網路安全通報（Joint Cybersecurity Advisory），指出由俄羅斯政府支持的網路行動包括發動分散式阻斷服務攻擊，部署毀滅式惡意程式以攻擊烏克蘭政府及重大基礎設施。此外，支持俄羅斯政府的駭客集團也威脅要攻擊反對俄羅斯政府的各個國家，包括那些提供物資予烏克蘭的國家及組織。</p> <p class="rtecenter" dir="ltr"><a href="https://www.cisa.gov/uscert/sites/default/files/publications/AA22-110A_Joint_CSA_Russian_State-Sponsored_and_Criminal_Cyber_Threats_to_Critical_Infrastructure_4_20_22_Final.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-Joint%20Cybersecurity%20Advisory%20in%200420.png" style="width: 600px;" /></a></p> <p dir="ltr">遭到五眼聯盟點名的俄羅斯官方駭客組織包括由俄羅斯聯邦安全局（FSB）與旗下的Dragonfly駭客集團（或稱Energetic Bear），以及俄羅斯外國情報局（SVR）、俄羅斯情報局（GRU）、GRU的特別技術中心（GTsST）、特勤中心（GTsSS），以及俄羅斯的國防、化學與力學研究部（TsNIIKhM）。</p> <p dir="ltr">其中，FSB曾經鎖定英國及美國的能源企業，美國的航空組織、美國政府與軍方、資安公司與記者發動惡意的網路行動，亦指使Dragonfly針對廢水處理等重大基礎設施展開攻擊。</p> <p dir="ltr">GRU特別技術中心亦曾透過分散式服務阻斷攻擊或破壞性惡意程式來攻擊北約組織成員國、西方政府與軍事組織，以及重大基礎設施相關業者。其它的俄羅斯官方組織也藉由部署惡意程式，來從事網路間諜與情報蒐集任務。</p> <p dir="ltr">至於支持俄羅斯政府的駭客集團則包括The CoomingProject、Killnet、Mummy Spider、Salty Spider、Scully Spider、Smokey Spider、Wizard Spider與The Xaknet Team。</p> <p dir="ltr">不過，即使這些駭客集團表態是為了支持俄羅斯政府才發動攻擊，但它們也都繼續從事以利益為主的攻擊行動。</p> <p dir="ltr">總之，五眼聯盟呼籲所有建設基礎設施的組織必須儘快採取行動來強化系統安全，包括更新軟體、強制採用多因素認證、監控RDP及其它潛在風險服務，以及務必提高使用者的安全意識。</p> </div></div></div>
2022/4/21 16:31作者陳曉莉https://www.ithome.com.tw/news/150539
Visual Studio整合程式碼和功能搜尋功能，開發者還可自訂搜尋框UI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將在Visual Studio 17.2中加入全新的<a href="https://devblogs.microsoft.com/visualstudio/introducing-a-new-way-to-search-your-code-and-visual-studio-features/">二合一搜尋功能</a>，其整併了現有的Ctrl+Q搜尋，以及Ctrl+T移至（Go To）搜尋功能，讓開發者可以在同一個地方，搜尋程式碼以及任何Visual Studio功能，搜尋框會即時回應用戶輸入，提供搜尋結果。</p> <p>二合一搜尋視窗擁有兩個頁籤，分別為程式碼搜尋以及功能搜尋。程式碼搜尋供開發者搜尋符號（Symbol）以找到目標程式碼，微軟解釋，該功能與一般的檔案全文搜尋不同，符號搜尋不會尋找程式碼中，所有與輸入相符的文字，而是只會搜尋符號定義，將開發者導覽至類別、方法、函式和變數等位置。在程式碼搜尋頁籤，開發者不只可跨解決方案搜尋符號，也能對檔案進行搜尋。</p> <p>而Visual Studio功能搜尋則是讓開發者在大量的Visual Studio功能中，找到特定功能，二合一搜尋功能中的功能搜尋分頁，便可讓開發者搜尋Visual Studio的選單、選項、元件和模板，因此用戶不需要逐一瀏覽各種選單，就能直接存取目標功能。</p> <p>二合一搜尋功能為一個輕量級的彈出視窗，開發者可以根據需求，自訂搜尋UI大小和位置等屬性。目前二合一搜尋仍是預覽功能，需要手動啟用才能開始使用新功能，用戶可以選擇以滑鼠點擊或是快捷鍵開啟二合一搜尋視窗。</p> </div></div></div>
2022/4/21 15:23作者李建興https://www.ithome.com.tw/news/150528
歐洲消費者保護委員會通過USB-C充電標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">歐洲議會的國內市場暨消費者保護委員會（Internal Market and Consumer Protection Committee）在本周三（4/20）以43比2票<a href="https://www.europarl.europa.eu/news/en/press-room/20220412IPR27115/common-charger-meps-agree-on-proposal-to-reduce-electronic-waste" target="_blank">通過了《無線電設備指令》（Radio Equipment Directive）修正草案</a>，將要求所有的可攜式電子裝置都必須具備USB Type-C充電埠，以避免消費者必須購買不同規格充電器而帶來的大量電子垃圾。</p> <p dir="ltr">該委員會表示，新的規定將確保消費者在購買新的裝置時，不再需要新的充電器與充電線，使用一個充電器就能替所有中小型的電子裝置充電。</p> <p dir="ltr">因此，舉凡行動電話、平板電腦、數位相機、耳機、頭戴式裝置、手持遊戲機或可攜式喇叭，只要是可透過纜線充電的，不管是哪個品牌，都必須配備USB Type-C傳輸埠。這意謂著目前仍採用獨家Lightning傳輸埠以同時傳送資料與充電的蘋果，也必須作出改變。</p> <p dir="ltr">此外，議員們還希望未來每個新裝置上都有標示充電選項，以及產品是否附有充電器，以協助那些已經擁有許多充電器的消費者進行採購決策。</p> <p dir="ltr">歐洲議會也期許歐盟執委會能在2026年年底以前制定政策，以讓任何新的充電解決方案都能具備基本的互動能力，避免市場出現新的分裂，並減少環境的污染與浪費。</p> <p dir="ltr">根據調查，每年約有50億的可攜式裝置充電器出貨至歐洲，造成1.1萬至1.3萬噸的電子浪費，單一的充電器不僅能減少浪費與對環境的衝擊，也將造福消費者。</p> <p dir="ltr">此一修正案也有例外，如尺寸太小而無法嵌入USB Type-C傳輸埠的智慧手錶、健康追蹤器或其它運動設備。</p> <p dir="ltr">歐洲議會即將於今年5月舉行的全體會議上針對該修正案進行投票，外界預期將會順利過關，之後即會與歐盟各國展開協商以確定該法案的最終形式。</p> </div></div></div>
2022/4/21 15:20作者陳曉莉https://www.ithome.com.tw/news/150529
Coinbase NFT市集測試版上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國加密貨幣交易平臺<a href="https://blog.coinbase.com/gm-coinbase-nft-is-now-in-beta-25e6c052aa43" target="_blank">Coinbase在周三（4/20）發表了NFT市集測試版</a>，指出Coinbase NFT將不會只是一個交易NFT（Non-Fungible Token，非同質化代幣）的場所，而是準備將它營造成一個NFT社群。</p> <p>現階段的<a href="https://nft.coinbase.com/" target="_blank">Coinbase NFT</a>主要提供以太坊區塊鏈上的大量NFT收藏，使用者可建立自己的個人檔案以用來出售或購買NFT，該市集支援各種錢包，而且暫時不收交易手續費。</p> <p>使用者可連結自己的錢包，並選擇要在Coinbase NFT上展示的收藏，也能在別人的NFT收藏中留言或評論，或是投票以贊成或反對他人的評論，讓Coinbase NFT市集具備社交元素。藉由使用者所展示的收藏及在Coinbase NFT上的互動，Coinbase可據此提供個人化的NFT推薦功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-coinbase%20NFT-600.png" style="width: 510px;" /></p> <p>除了上述功能之外，Coinbase也計畫於Coinbase NFT上新增空投（Drop）、鑄幣、私有社群，或是讓使用者以Coinbase帳號或信用卡購買NFT的功能，並將支援其它區塊鏈上的NFT。</p> </div></div></div>
2022/4/21 14:02作者陳曉莉https://www.ithome.com.tw/news/150526
Google Wallet疑將復活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://twitter.com/MishaalRahman/status/1516038670112935936" target="_blank">媒體發現</a>，Google幾年前以Google Pay取代的數位支付服務Google Wallet，似乎又悄悄復活。</p> <p dir="ltr">網站Esperdev技術編輯Mishaal Rahman公布可能是新改版的Google Play Service擷圖，其中增加了「加到Wallet」的功能，可讓用戶將機票、活動票券、會員卡或交通與停車票券等加入Wallet。而在設定頁面，也讓用戶啟動一項智慧功能，可將Gmail內收到的電子票券自動加入到Wallet，並且設定啟動以電子郵件收到Wallet個人化新功能及試用通知。</p> <p class="rtecenter" dir="ltr"><a href="https://twitter.com/MishaalRahman/status/1516038665880969221" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-google%20wallet-600.png" style="width: 461px;" /></a></p> <p dir="ltr">Google Wallet是Google在2011年開發NFC支付App，原本功能即是管理數位卡片，隨後Wallet變成一項和Venmo類似的支付服務，並在2018年整合Android Pay，變成今天的Google Pay。Google對Google Pay的定位愈來愈廣，發展的企圖包括小額匯款轉帳、靠卡支付、記帳、甚至完整的行動化銀行服務，不過銀行服務的計畫後來取消。</p> <p dir="ltr">整體看起來，是讓用戶以Google Pay支付或轉帳，但由Wallet提供電子票券管理。</p> <p dir="ltr">今年一月Google商務部門總裁Bill Ready曾說Google Pay將致力於發展成「完整的數位錢包」，包括數位票券、機票或疫苗護照等。Rahman相信這次改版將是這項計計畫的第一步。</p> <p dir="ltr"> 不過目前一切只有UI，Wallet是否復出還不得而知。<a href="https://www.theverge.com/2022/4/18/23030464/google-wallet-return-pay-screen-manage-cards-passes" target="_blank">媒體推測</a>，若Wallet以管理卡片功能復活，則能讓Google Pay回到單純的支付功能。</p> </div></div></div>
2022/4/21 12:21作者林妍溱https://www.ithome.com.tw/news/150523
美國針對俄羅斯加密貨幣挖礦業者Bitriver祭出制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄羅斯入侵烏克蘭之後，環球銀行金融電信協會（SWIFT）將俄羅斯特定銀行除名以進行制裁，但俄羅斯政府仍透過各種管道逃避制裁，而<a href="https://home.treasury.gov/news/press-releases/jy0731" target="_blank">美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）在本周點名</a>了俄羅斯商業銀行TransCapitalBank、由俄羅斯寡頭Konstantin Malofeev所領導的逾40多個實體，以及加密貨幣挖礦業者Bitriver，宣稱它們將因協助俄羅斯逃避制裁而遭到美國制裁，當中的Bitriver成為首度遭到美國制裁的加密貨幣業者。</p> <p>俄羅斯現為全球第三大的加密貨幣礦區，僅次於美國與哈薩克。</p> <p>美國財政部指出，俄羅斯的加密貨幣業者藉由經營龐大的伺服器農場，以於全球銷售加密貨幣挖礦能力，其優勢來自於俄羅斯豐富的天然資源與寒冷的氣候，等於是協助俄羅斯將天然資源貨幣化，然而，挖礦仰賴進口的電腦設備與貨幣支付，也讓它們得以被制裁。</p> <p>遭到美國點名的挖礦業者Bitriver成立於2017年，在俄羅斯擁有3個辦公室，並於2021年將所有權移轉給位於瑞士的控股公司Bitriver AG，Bitriver AG旗下的10家俄羅斯子公司全都被列入財政部的制裁名單。</p> <p>在這波針對逃避制裁的制裁中，不管是TransCapitalBank、Malofeev、Bitriver或相關的實體及個人，其位於美國的資產都將被凍結，財政部亦禁止美國個人或實體與這些被制裁的對象交易。</p> </div></div></div>
2022/4/21 12:49作者陳曉莉https://www.ithome.com.tw/news/150524
AWS開源支援51種語言的數位助理AI訓練資料集、程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.amazon.science/blog/amazon-releases-51-language-dataset-for-language-understanding" target="_blank">Amazon本周釋出名為MASSIVE的資料集</a>，供開發商訓練能理解多種語言的數位助理使用的AI模型。</p> <p dir="ltr">到2023年全球將因智慧型手機的普及而有80多億個AI虛擬助理，還有超過1億臺智慧喇叭。然而大部份虛擬助理都僅能使用1種或僅數種主流語言。此外這些數位助理的訓練還面臨標註資料不足、去除資料訛誤、維護和更新模型的成本等問題，進一步限制了數位助理的口語翻譯的能力。</p> <p dir="ltr">大量多語自然語言理解（massively multilingual natural-language understanding，MMNLU）模型即希望解決這個問題。Amazon Alexa AI自然語言理解部門科學家Jack FitzGerald指出，這願景下，單一機器學習模型能分析和理解多種語言。透過學習跨語言的共享資料展現（data representation），這個模型可以從有很豐富訓練資料的主流語言學習到的知識，轉移到資料很稀少的語言上。</p> <p dir="ltr">為推動MMNLU模型建立，Amazon宣布釋出<a href="https://github.com/alexa/massive" target="_blank">MASSIVE資料集</a>。MASSIVE資料集包含跨51種語言加註過的100萬項話語或單詞（utterance）及開源程式碼。資料集包括訓練、驗證和測試資料，後者則提供MMNLU模型的執行範例，協助AI專案人員建立意圖分類（intent classification）或詞槽填充（Slot Filling）的結果基準線（baseline）。</p> <p dir="ltr">MASSIVE為平行資料集，意謂每個單詞都有51種語言版本，這可讓模型學習到同一意圖的共享表達方式，可加速自然語言理解（NLP）任務的跨語言訓練，也能用於其他NLP任務，如機器翻譯、多語複述（multilingual paraphrasing）等等。MASSIVE透過CC BY 4.0授權開源，以鼓勵學界及業界使用。</p> <p dir="ltr">Amazon同時還宣布<a href="https://mmnlu-22.github.io/" target="_blank">MMNLU-22</a>競賽（Massively Multilingual NLU 2022），鼓勵開發人員利用MASSIVE資料集建立模型。</p> </div></div></div>
2022/4/21 13:08作者林妍溱https://www.ithome.com.tw/news/150525
Log4j漏洞熱修補有漏洞，AWS又再次修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.ithome.com.tw/news/148337" target="_blank">去年公布的Apache Log4j漏洞</a>促使眾多雲端服務商及軟體廠商加緊修補，但安全研究人員發現AWS第一波的熱修補不全，導致新增4項漏洞。不過在通報後，AWS於本周再次修補完成。</p> <p dir="ltr">Log4j漏洞（即Log4Shell）公布後，<a href="https://alas.aws.amazon.com/announcements/2021-001.html" target="_blank">AWS 安裝了熱修補程式（hot patch）</a>一方面監控Java應用程式及Java 容器安全，同時啟動修補。這些修補方案涵括獨立伺服器、Kubernetes叢集、ECS（Elastic Container Service）叢集及無伺服器運算引擎Fargate等。這個方案不只用於AWS環境，也可以安裝在其他雲端和本地部署環境。</p> <p dir="ltr"><a href="https://unit42.paloaltonetworks.com/aws-log4shell-hot-patch-vulnerabilities/" target="_blank">但Palo Alto Networks安全研究人員發現</a>，AWS安裝的這個hotpatch及相關AWS 自有容器Linux發行版Bottlerocket的OCI hooks（名為Hotdog）有數項漏洞，其中CVE-2021-3100、CVE-2021-3101較早出現。CVE-2021-3100影響hotpatch for Apache Log4j 1.1-12版本以前的權限升級漏洞，讓沒有特權許可的行程擴充其權限，並以根許可執行程式碼。CVE-2021-3101則影響Hotdog v1.0.1版本以前的容器逃逸（container escape），使同一個環境，包括伺服器或Kubernete叢集上所有容器的惡意程式可接管底層主機。這些漏洞允許容器逃逸，不論容器是否執行Java應用程式，或是底層是否為AWS Bottlerocket。另外，以使用者命名空間或以非根權限使用者執行的容器也會受到影響。</p> <p dir="ltr">但hotpatch for Apache Log4j 1.1-12及Hotdog v1.0.1並未能修補成功，因而衍生出CVE-2022-0070和CVE-2022-0071。</p> <p dir="ltr">美國NIST漏洞資料庫沒有給予這四項漏洞風險值，不過Palo Alto將4項漏洞風險分別評為8.8。</p> <p dir="ltr">AWS接獲通報後，於本周稍早針對Amazon Linux、Amazon Linux 2釋出了新版hotpatch for Apache Log4j（Version 1.1-16）及新版Hotdog（Version 1.02），建議容器內執行Java應用程式，以及使用具有hotpatch 的Bottlerocket用戶應立即升級到最新版。</p> <p dir="ltr"><a href="https://aws.amazon.com/security/security-bulletins/AWS-2022-006/" target="_blank">AWS表示</a>，新版Hotpatch需要升級到最新Linux核心，用戶不應略過任何核心更新。同樣的，新版Hotdog也需Bottlerocket升級到最新版。</p> </div></div></div>
2022/4/21 12:05作者林妍溱https://www.ithome.com.tw/news/150522
維多利亞的秘密推動以會員為中心的行銷策略，公開個人化UX設計關鍵六步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國女性內衣龍頭業者維多莉亞的祕密（以下簡稱VS）線上商城每年瀏覽人次超過7億人，近日在一場活動中，VS數位產品長Jenna Brunner公開了他們4年來發展網站個人化體驗的6大步驟。</p> <p><strong>分6大步驟，發展以會員體驗為中心的行銷模式</strong></p> <p>近年來，VS行銷策略，從以產品發布或店面策展為主軸，逐漸改以會員個人體驗為中心的行銷模式，並著重優化網站個人化體驗。Jenna Brunner表示，VS 2018年開始推動這項改變，並分為6大步驟來進行。</p> <p>第一步，VS先分析客戶需求和品牌優勢，並審視競爭對手同時期的個人化體驗設計後，確定開始優化自家網站的個人化體驗。第二步，展開一項「北極星計畫」，先統一企業內部對個人化體驗的定義，並訂出8目標，以及達成目標所需核心能力，再共同討論出優先執行的項目。第三步要完成技術選型，VS官網開始導入技術供應商的技術架構，同時擬定未來5年執行計畫和商業案例。</p> <p>第四步驟則是開始進入落地階段，他們先設立個人化體驗專門團隊，並用套裝解決方案，來客製化商城網站的內容和排版，提供個人化的網站體驗設計。第五步，才進入行銷階段，利用AI／ML技術分析數據，來設計專屬優惠等個人化行銷手法，並進一步優化網站中的個人化推薦品項。</p> <p>目前，VS仍持續強化第六步驟的做法，要將官網個人化體驗設計，擴大到生態圈的其他顧客接觸點，並進一步整合站內外購物和行銷體驗。例如，點開促銷郵件的優惠券，就能直接開啟商城自動輸入優惠碼。VS也希望升級Email及簡訊行銷策略，提供更個人化的內容，甚至可以用來判斷出精準行銷時機，而非固定時間寄送。</p> <p><strong>個人化體驗，從網站首頁就開始</strong></p> <p>每年7億瀏覽人次的VS商城網站中，首頁是流量最大的一頁。Jenna Brunner指出，與其以一成不變的排版示人，不如把握機會，將首頁化為與使用者互動的接觸點。透過客製化首頁來引導新顧客，嘗試讓新顧客繼續停留在商城。辨識出首次造訪的使用者後，首頁會自動提供逛商城的各種方法，例如按照品牌、按照樣式來瀏覽網站。而舊使用者就直接提供個人化的時尚商品資訊。Jenna Brunner補充：「因為VS也不清楚應該推薦新使用者用哪種逛法」，所以，利用AI分析找出近期受歡迎的逛法，自動在首頁上提示，引導潛在客戶逛商城，光是採用這個引導做法，VS就成功提高了約15%每位新使用者帶來的平均收入（RPV）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1(101).jpg" style="width: 600px;" /></p> <blockquote><p><span id="docs-internal-guid-a35d0900-7fff-e889-42c6-8b24addf9c00"><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">分辨出首次造訪維多利亞的秘密網站的使用者後，會依照近期使用者偏好，推薦多種逛商城給新訪客參考（如左圖）。舊使用者則導向原有首頁，提供時尚資訊和個人化商品推薦（如右圖）。</span></span></p> </blockquote> <p><strong>AI自動搭配成套品項，智慧推薦省人力</strong></p> <p>除了首頁新訪客的引導設計之外，VS也優化了商品頁面的推薦功能。比起推薦類似單品，VS在商品頁的推薦策略，以推薦可以搭配成套的商品為主。不過，原有作法，得靠員工登入後臺，手動標記出一項單品服飾所對應的各種搭配款式，既耗工耗時，更無明確的搭配標準，全靠員工喜好或經驗而定。</p> <p>新的做法是，VS改利用AI關聯性分析，從使用者消費數據，自動產生推薦的成套搭配品項。「不僅省下大量人力，更因為這些商品推薦結果，來自相近分眾的品味，更有機會符合個人喜好。」Jenna Brunner表示。甚至，在使用者介面呈現上，隨著使用者選擇不同色系的主品項，所推薦商品圖片，也會自動調整成相符顏色的款式，方便消費者更容易比對成套的搭配。</p> <p><strong>分辨高價值客戶，提供限時個人化優惠</strong></p> <p>除了官網介面的個人化設計之外，在優惠促銷方案的設計上也結合了個人化特性。Jenna Brunner強調，VS自詡為高端品牌，因此在促銷時，不希望給人「賤價推銷」的感覺。過去，促銷訊息只能在固定時間內，地毯式地在網頁中呈現給所有消費者。現在，VS透過精準行銷技術，將個人化優惠方案，在特定情境和時機，推銷給符合資格的個別消費者，借助這種更貼近不同類型消費者的需求的方式，來降低廣發促銷的廉價感。VS還會特別辨認出一群具有高消費力的消費者，提供限時的個人化優惠，試圖創造一種盡快消費的急迫感。而針對一般消費者，VS則會在購物車內品項總價超過100美金時，提供更多商品的促銷訊息，希望能藉此帶動衝動消費情緒，來增加客單價。這些都是借助精準行銷機制來發動的個人化行銷做法。</p> <p>除了分析消費者行為，作為個人化體驗的設計依據，VS也會利用常見的個人化行銷包奘手法，直接參考會員資訊，在網站中多處，呈現簡單但針對個人客製化的內容，例如將客戶名字寫入網頁內容中，例如：網頁上註明，這是推薦給某某某的品項，以增加顧客的專屬感，或是根據會員所在地區，導覽至對應地區的線下商店，或者是推銷聯名卡給非卡友客戶等做法。</p> <p><strong>將客戶分組以驗證成效，實驗組營收高出15%</strong></p> <p>如何衡量行銷科技的效果不是一件容易的事，Jenna Brunner指出，導入新行銷科技時，企業往往難以歸因，業績漲跌是否與新科技有關，或是來自季節性或景氣等其他外在因素的影響。VS導入了一套內部CMS測試機制，保留全網站訪客的5%，作為控制組，不提供他們任何個人化體驗，仍採用原有網站體驗設計，來比較新行銷模式實際帶來的成效。Jenna Brunner表示，經過長達12個月的測試比對，個人化體驗優化的實驗組產生的營收，相較於採用舊設計的控制組，多帶來了15%的營收。</p> <p>Jenna Brunner也揭露了VS個人化體驗策略未來一年的新計畫。執行面上，要更細緻地設計首頁個人化的內容的呈現順序，甚至交給AI全自動執行。另外，也將在進入商品頁前的「精選商品」頁面上，開發更多個人化體驗的功能。除了繼續優化官網之外，VS還計畫將這些個人化功能也搬到自家App上，並進一步整合個人化Email和簡訊文案內容，從過去以生日、紀念日型態為主的事件式個人化行銷做法，轉變為全面性的個人化行銷。策略面上，則是重啟五年前的北極星計畫，以2022年累積的消費者資訊和合作業者需求，再次制定未來目標。</p> <p> </p> </div></div></div>
2022/4/21 10:08作者郭又華https://www.ithome.com.tw/news/150519
【資安日報】2022年4月20日，美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEF…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年2月微軟公告的Print Spooler漏洞CVE-2022-22718，當時該公司表示有可能已被攻擊者利用，但最近美國祭出公告要求聯邦機構限期完成修補，因為這項漏洞已經被用於攻擊行動。</p> <p>而電腦的UEFI漏洞相當值得留意。最近資安業者揭露聯想筆電的UEFI漏洞，研究人員表示，這些漏洞很可能被攻擊者用於植入LoJax、ESPecter等埋伏於電腦韌體的惡意程式。</p> <p>惡意軟體Emotet的攻擊行動升溫也值得留意，有多家資安業者近期公布於3月份的調查結果，其共通點都是較2月顯著大幅增加。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/emotet-botnet-switches-to-64-bit-modules-increases-activity"><span style="color: rgb(0, 0, 0);">惡意軟體Emotet攻擊行動再度急劇增加</span></a></strong></h3> <p>自<a href="https://www.ithome.com.tw/news/149414#emotet">日本JPCERT/CC於2月初，發現殭屍網路Emotet攻擊大幅增加</a>，有多家資安業者發現，3月份相關攻擊行動現在變得更加氾濫。<a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-servers-hacked-in-internal-reply-chain-attacks/">資安業者卡巴斯基提出警告</a>，他們偵測到駭客用來散布Qbot與Emotet的垃圾郵件數量，從2022年2月的3千封，到了3月有3萬封，鎖定使用英語、法語、意大利語等9種語言的使用者而來。</p> <p><a href="https://www.checkpoint.com/press/2022/march-2022s-most-wanted-malware-easter-phishing-scams-help-emotet-assert-its-dominance/">另一家資安業者Check Point指出</a>，Emotet在3月影響了全球十分之一的組織，威脅程度較2月翻倍。</p> <p><a href="https://twitter.com/Cryptolaemus1/status/1516261512372965383">資安研究團隊Cryptolaemus也有類似的發現</a>，並指出駭客改用原生64位元的Emotet，來增加惡意軟體執行的效率，且防毒軟體能識別為惡意軟體的成功率下降至約6成，很可能就與這樣變化有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/new-botenago-variant-discovered-by-nozomi-networks-labs/"><span style="color: rgb(0, 0, 0);">殭屍網路BotenaGo變種病毒鎖定利凌視訊監視器下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-2-file-not-detected-as-a-threat.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-2-file-not-detected-as-a-threat.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/147814">殭屍網路BotenaGo自去年10月出現</a>，最近又有了新的攻擊行動。資安業者Nozomi Networks指出，他們最近發現了BotenaGo的變種病毒Lilin Scanner，有別於BotenaGo針對多種廠牌的家用路由器、數據機、NAS而來，新的變種專門鎖定利凌（Lilin）的DVR設備，很可能是別的駭客組織利用外洩的BotenaGo原始碼開發而成。Lilin Scanner廣泛掃描IP位址找尋該廠牌的DVR設備，並企圖透過漏洞入侵，其中一個遭利用的漏洞CVSS風險層級達到10分。</p> <p>研究人員指出，根據惡意軟體檢測平臺VirusTotal分析的結果，尚未有防毒引擎將此殭屍網路病毒識別為有害，原因很可能是駭客刪除了原本BotenaGo利用大量漏洞的程式碼。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-vulnerability-in-the-rarible-nft-marketplace-preventing-risk-of-account-take-over-and-cryptocurrency-theft/"><span style="color: rgb(0, 0, 0);">NFT市集Rarible存在漏洞，恐被攻擊者用於竊取NFT與Token</span></a></strong></h3> <p>非同質化代幣（NFT）最近掀起一股投資熱潮，但相關市集很可能存在漏洞而面臨駭客盜取大量NFT或加密貨幣的情況。資安業者Check Point在擁有200萬常態用戶的Rarible市集發現漏洞，一旦攻擊者加以利用，可藉此引誘受害者點選惡意NFT，進而竊取對方的加密貨幣錢包，Rarible獲報後已完成修復。研究人員指出，他們著手調查Rarible漏洞的原因，與4月初歌手周杰倫的NFT遭竊有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/04/19/when-secure-isnt-secure-uefi-vulnerabilities-lenovo-consumer-laptops/"><span style="color: rgb(0, 0, 0);">聯想筆電韌體存在漏洞，攻擊者恐用於植入UEFI惡意軟體</span></a></strong></h3> <p>資安業者ESET揭露聯想筆電UEFI韌體的3個漏洞CVE-2021-3970、CVE-2021-3971、CVE-2021-3972，這些漏洞存在於SecureBackDoor和SecureBackDoorPeim驅動程式，影響該廠牌IdeaPad、Yoga、Legion系列的上百款家用機種。一旦攻擊者利用上述漏洞，就有可能以特殊權限關閉筆電的快閃記憶體防護機制，或是UEFI安全開機功能。這些漏洞在去年10月通報後，聯想已推出新版韌體與驅動程式予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://github.com/kagancapar/CVE-2022-29072#readme="><span style="color: rgb(0, 0, 0);">解壓縮軟體7-Zip出現漏洞，恐讓攻擊者獲得管理員權限</span></a></strong></h3> <p>知名的解壓縮軟體WinRAR日前被揭露嚴重漏洞引起關注，但這樣情況疑似也出現在7-Zip上。土耳其研究人員Kağan Çapar揭露7-Zip的漏洞CVE-2022-29072，影響21.07與之前版本，此漏洞出現在該軟體的程式庫7z.dll組態錯誤，一旦攻擊者利用這項漏洞，就有可能導致7-Zip視窗版主程式7zFM.exe記憶體堆積溢位，進而取得電腦的管理員權限來執行指令。</p> <p>7-Zip尚未修補這項漏洞，但研究人員指出，使用者有2種方法能緩解上述漏洞，一種是直接刪除7-Zip的說明檔案7-zip.chm，另一種做法則是針對該應用程式的資料夾裡的所有檔案，限制所有使用者只能讀取與執行。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-attackers-now-exploiting-windows-print-spooler-bug/"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞</span></a></strong></h3> <p>微軟於2月修補Windows作業系統上的Print Spooler漏洞CVE-2022-22718，當時該公司提及很可能已有相關攻擊行動，而這樣的推測最近得到證實。美國網路安全暨基礎設施安全局（CISA）於4月19日，將CVE-2022-22718列入已遭利用的漏洞名單，並要求聯邦機構要在5月10日前完成修補。</p> <h3><strong style="font-size: 22px;"><a href="http://support.kaspersky.com/8547"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體「閰羅王」解密工具</span></a></strong></h3> <p>資安業者於<a href="https://www.ithome.com.tw/news/147309">去年10月發現勒索軟體「閰羅王（Yanluowang）」</a>，駭客同時結合檔案加密、DDoS、電話恐嚇等施壓手法，最近有資安業者提供解密工具。資安業者卡巴斯基最近指出，他們發現閰羅王的加密演算法存在漏洞，在該公司提供的勒索軟體解密工具Rannoh Decryptor裡加入相關支援，使用者一旦執行新版的解密工具，就有機會恢復遭閰羅王加密的檔案。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/20 18:35作者周峻佑https://www.ithome.com.tw/news/150516
Martech雙周報第20期：誠品分享如何用App整合會員數據，貫串全通路生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0410~0423)</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">誠品</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">全通路</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">OMO</span></strong></span></strong></p> <p><strong>誠品分享如何用App整合會員數據，貫串全通路生態圈</strong></p> <p>誠品副總經理張鈿浤近日在一場Martech論壇中揭露，誠品如何用App完整掌握顧客旅程，串接線上線下生態圈，打通會員在不同通路的體驗。他指出，盤點自家眾多通路，了解各通路有哪些數據可蒐集後，有計畫性的利用通路流量，生成優質數據，是整合各種通路數據關鍵。（<a href="https://www.ithome.com.tw/news/150472">詳全文</a>）</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Pinterest</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>WooCommerce</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>電子商務</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>SEO</b></span></font></p> <p><strong>Pinterest商務功能再升級，可將Woocommerce架設電商商品轉為商品釘圖</strong></p> <p>使用商家超過3百萬間的Wordpress電商外掛Woocommerce與Pinterest合作推出免費新擴充功能。利用Woocommerce架設電商網站的商家，可以將整份商品型錄轉為Pinterest上的商品釘圖（Pin）。這些商品釘圖，就會在Pinterest使用者搜尋頁面中出現，並連接到商品購買連結。</p> <p>商品從型錄轉成圖釘後，價格、存貨狀況等商品資訊會自動同步。商家還能追蹤使用者與自家商品的互動紀錄，包括儲存圖釘情況、轉換到電商網站情況及銷售情況等。</p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"> </p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">iOS</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">ATT</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">使用者追蹤</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Adjust</span></strong></span></strong></p> <p><strong>調查：iOS ATT框架落地一年，用戶同意追蹤率從16%升至25%，遊戲類最高達30%</strong></p> <p>去年4月iOS 14.5的程式追蹤透明化（App Tracking Transparency，ATT）政策落地，除非經過使用者明確同意，否則禁止App追蹤使用者活動，引起行銷界恐慌。然而落地一年後，調查發現，iOS用戶似乎比想像中更願意讓App蒐集自身喜好資料。</p> <p>行動裝置行銷商Adjust最近揭露一項報告指出，用戶同意App追蹤的比例，從去年五月的16%，上升到了25%，其中遊戲類App最高（30%），表現最佳的單一遊戲App甚至高達75%。Adjust發現，如果一個App的使用者，大多是從其他廣告發現並安裝此App，同意追蹤率會比較高，這或許是因為願意從廣告尋找App的使用者，也會更願意接受個人化廣告。</p> <p>根據報告，遊戲類App的安裝量較去年提升了32%，其中又以超休閒遊戲（Hyper casual Game）占比最高（27%），同時也是付費／有機流量比最高的分類。</p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Roku</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">第一手數據</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">數據無塵室</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">跨螢行銷</span></strong></span></strong></p> <p><strong>Roku推出數據無塵室與行銷商串接共有用戶資料，作為跨螢行銷參考</strong></p> <p>在美國有超過6千萬活躍使用者的連網電視（CTV）巨頭Roku宣布，推出數據無塵室，與行銷商在此交換第一手使用者數據，來串接起共有的用戶資料，以作為跨螢行銷（Cross-screen marketing)的參考。</p> <p>行銷商將自己的第一手數據輸入到無塵室後，無塵室會跟Roku方的CTV和線性電視（LTV）客戶資料比對，再輸出共有客戶資料給行銷商，用以分析雙方共有客戶資料，擬定跨螢行銷策略，甚至是未來和Roku的行銷合作計畫。Roku強調，交換過程中雙方分別持有的個資不會直接暴露給對方，整合並去識別化後，才會交給行銷商。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Netflix</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AVOD</span></strong></span></strong> </p> <p><strong>Netflix訂閱戶十年來首次衰退，正考慮推出夾帶廣告的低價訂閱方案</strong></p> <p>Netflix在法說會中公布經營數據，揭露Q1比去年Q4減少了20萬訂閱戶，且預計在今年Q2將減少2百萬戶。這是十多年來，Netflix訂閱戶數首次減少。為了力挽狂瀾，Netflix正考慮在訂閱方案定價上妥協。</p> <p>執行長Reed Hastings在法說會提到，未來為了增加更多價位選項，可能會一改之前無廣告的堅持，推出含廣告的低價位方案。他說，公司內部正在評估方案細節，並預計未來一到兩年內推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Data Scrapping</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Linkedin</span></strong></span></strong></p> <p><strong>美國法庭裁定，出於商業目的進行公開數據抓取不犯法</strong></p> <p>Linkedin在2019年對競爭公司在自家網站出於商業目的進行數據抓取（data scrapping）提告，近日美國聯邦第九巡迴上訴法院裁決，抓取公開資料並不違法，顯示不僅是學術或記錄目的，連基於商業目的進行數據抓取，美國法庭也不打算限制。（<a href="https://www.ithome.com.tw/news/150487">詳全文</a>）</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>微軟</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Xbox</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遊戲內廣告</b></span></font><br /><strong>微軟傳將開放Xbox免費遊戲內廣告版位，擬不收平臺費來發展Xbox廣告網絡</strong></p> <p>美國商業媒體Insider揭露了一項微軟的新廣告計畫，預計在今年Q3推出Xbox免費遊戲內的數位廣告版位。根據媒體取得的內幕資訊透露，微軟不打算收取平臺中介費，將收入完全留給遊戲開發商跟廣告技術商，藉此來建立Xbox自己的廣告網絡。不過，Insider向微軟查證時，微軟表示暫不評論，沒有透露更多細節。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong></p> <p>Google<a href="http://twitter.com/type_SEO/status/1513618736758013957">疑似在測試</a>於搜尋結果頁中，為廣告商品貼上「Higher Price」跟「Lower Price」的標籤。<br /> </p> <p>資料來源：iThome整理，2022年4月</p> <p> </p> </div></div></div>
2022/4/20 18:42作者郭又華https://www.ithome.com.tw/news/150517
去年出現58個零時差攻擊程式，創歷年新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html" target="_blank">Google Zero專案（Project Zero）本周指出</a>，去年全球出現58個零時差攻擊程式，是該專案自2014年以來觀察該趨勢的最高紀錄。之前的紀錄是2015年的28個，2020年也才24個，但去年一下就竄升到了58個。</p> <p>不過，Zero專案坦承，與其說他們發現了實際使用的零時差攻擊程式，不如說他們所計算的是已經被偵測到且揭露的零時差攻擊程式，因此或許不一定是零時差攻擊程式倍增，而是資安社群的偵測能力變好了。</p> <p>該專案的研究人員Maddie Stone強調，此一報告並不是為了要詳細說明每一款攻擊程式的細節，而是要分析這些年來零時差攻擊程式的趨勢，以提高駭客打造零時差攻擊程式的難度。</p> <p>例如在去年所發現的58款零時差攻擊程式中，它們所開採的多是與過去類似的安全漏洞，而且使用已公開的方法及技術，當中只有兩款具備新意，一款採用複雜的技術，另一款則利用邏輯臭蟲自沙箱逃逸。當確認駭客都是使用已知技術，而非投入新技術的開發時，對資安社群而言就是個機會。</p> <p>Zero專案也呼籲所有業者都應該要揭露遭到開採的零時差漏洞，並分享攻擊程式細節，同時繼續減少經常被開採的記憶體毀損漏洞，或是部署緩解措施。</p> <p>在去年所發現的58個遭到攻擊的零時差漏洞中，便有高達39個屬於記憶體毀損漏洞，17個為釋放後使用漏洞，6個為越界讀寫漏洞，4個緩衝區溢位漏洞與4個整數溢位漏洞。</p> <p>而這些零時差漏洞所牽涉到的產品則包括：Chromium（14個）、Safari所使用的WebKit（7個）、IE（4個）、Windows（10個）、iOS/macOS（5個），Android（7個）， Microsoft Exchange Server（5個），以及iMessage（1個），同時Google也列出了這些零時差漏洞攻擊程式所鎖定的安全漏洞與元件，以供資安社群參考。</p> </div></div></div>
2022/4/20 16:42作者陳曉莉https://www.ithome.com.tw/news/150513
微軟資料治理產品改名為Microsoft Purview
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146969" target="_blank">微軟去年9月</a>宣布跨入資料治理領域，推出資料治理服務Azure Purview，<a href="https://www.microsoft.com/security/blog/2022/04/19/the-future-of-compliance-and-data-governance-is-here-introducing-microsoft-purview/" target="_blank">微軟本周再宣布</a>Microsoft 365法規遵循及資料治理服務將改名為Microsoft Purview。</p> <p>微軟指出，過去幾年疫情下企業面臨員工遠距作業環境下分享協同資料、資料保護、AI及分析的需要，政府法規要求及國家駭客攻擊風險，使得資訊長或資料長（CDO）職責超越資料保存、資安或備份需要，為此微軟推出Microsoft Purview產品線及品牌，它包含去年9月推出的Azure Purview，以及Microsoft 365 Compliance系列。</p> <p>Microsoft Purview包含資料管理、安全、治理、風險控管方案。所有分散於Microsoft 365 Compliance和Azure Purview、Office 365 Compliance產品線的產品，如Azure Purview Data Catalog、Records Management in Microsoft 365、Microsoft 365 Advanced Audit或Office 365 Advanced eDiscovery等，將全部統一為Microsoft Purview品牌。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0420-Microsoft%20Purview-1.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-Microsoft%20Purview-1(1).png" style="width: 600px;" /></a></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>而因應企業資料涵括雲端及不同主機平臺，微軟昨日也公布Microsoft Purview Data Loss Prevention macOS版，支援Catalina以後版本，並預覽Windows端點的限制App群組功能。針對行動裝置，微軟本周則預覽了iOS及Android版加密文件的共同編輯功能，使多位使用者可同時編修同一份Microsoft 365文件。</p> <p>此外，微軟為敏感資訊類別型錄（sensitive information type catalog）新增50多項類別，以作為資料保護或資料生命周期管理之用。最後，針對所有檔案的生命周期管理，本周微軟也預覽Microsoft Purview Data Lifecycle Management（原名Microsoft Information Governance）的多階段留存功能。</p> <p>今天微軟也宣布強化內部風險管理Insider Risk Management的偵測及調查功能、以光學辨識及機器模型檢查員工通訊適當性的Microsoft Purview Communication Compliance、法遵持續性評估功能、以及付費的文件發現功能Microsoft Purview eDiscovery等。</p> </div></div></div>
2022/4/20 16:58作者林妍溱https://www.ithome.com.tw/news/150514
開業1年用戶數破110萬，Line Bank預告4月下旬推出快點生活圈布局3大金融生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line Bank在臺開業1年以來，已累積110萬名使用者，現在要以Line平臺既有生態圈，在下周啟動Line Bank快點生活圈，專攻點數、場景和服務等3大生態圈。這3大生態圈涵蓋食衣住行育樂層面，比如4月下旬即將推出行車支付服務，將整合停車、加油場景，來提供免取票、不必排隊繳費的行車自動扣款服務。</p> <p><span style="font-size:22px;"><strong>快點生活圈聚焦點數、場景、服務3大數金生態圈</strong></span></p> <p>進一步來說，Line Bank開業至今，透過異業結盟、交易綁定推行不少日常生活相關服務，今日（4/20）更揭露快點生活圈策略。Line Bank總經理黃以孟指出，該策略意在結合使用者生活所需，將金融服務嵌入其中，在快點生活圈策略之下有3大支柱，包括點數生態圈、場景生態圈和服務生態圈。這3大生態圈各有任務，也彼此支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/line%20bank.jpg" /></p> <p>首先，點數生態圈要以Line Points和行動支付Line Pay為中心。黃以孟指出，Line Bank累積至今的110萬名客戶中，超過96%的簽帳金融卡綁定Line Points，這些使用者可直接藉Line Pay來使用點數。這龐大的使用者群，是Line Bank發展點數生態圈的利基點。</p> <p><span style="font-size:22px;"><strong>場景生態圈今年將推出行車支付，自建API平臺加速服務串接</strong></span></p> <p>再來，Line Bank場景生態圈的目標，則是要與食衣住行育樂的異業結盟，讓使用者透過綁定，來享有更多服務。過去1年來，Line Bank已與不少異業合作，像是超商、電商網購、餐飲外送、百貨藥妝、悠活出行等領域業者，今年，Line Bank鎖定食衣住行育樂中的「行」，黃以孟指出，下周將推出的快點生活圈中，其中一項服務就是與Autopass合作的行車支付服務，來整合停車、加油等場景，讓車主綁定Line Bank帳戶後，就可自動從中扣款，不必取票、排隊繳費。</p> <p>黃以孟表示，未來，團隊還會在Line Bank App中開發新介面，讓使用者一眼就知道，哪些場景可綁定銀行帳戶，並提供一鍵綁定功能，自動替使用者連結特定合作夥伴的服務。「我們的終極目標是，兩邊（即Line Bank與服務提供方）都有個介面，來讓使用者輕鬆綁定，」他補充。</p> <p>不只從行開始，接下來，Line Bank還會推出更多元的場景金融服務，他們也因此開發了靈活的API平臺，來加速綁定服務的串接。黃以孟透露，未來會一個個陸續接棒串接，讓場景生態圈更豐富。</p> <p>而Line Bank聚焦的服務生態圈，也是類似理念，要藉API綁定銀行帳戶，來自動扣款。比如，一些訂閱服務需定期扣款，就是服務生態圈瞄準的應用場景。</p> <p>Line Bank也計畫邀集更多異業加入快點生活圈，目的是要讓Line Bank帳戶「更好用、更方便。」</p> <p><span style="font-size:22px;"><strong>今明年計畫推出線上投保、完善信貸服務</strong></span></p> <p>Line Bank董事長黃仁埈表示，Line Bank以存款出發，今明2年將鎖定貸款和保險相關服務。黃以孟解釋，未來2年明確的產品方向有2個，首先是貸款產品線，Line Bank 5月初將推出循環信貸，下半年也會陸續推出信貸產品，來讓目前僅有的分期信貸服務更豐富。黃以孟預告，Line Bank要在今年底前，將信貸產品線補齊。</p> <p>另一個產品方向則是線上投保服務，待相關單位審核後，Line Bank就會推出相關服務。至於基金、外匯等業務，他們也在規畫中，未來也不排除發行信用卡。</p> </div></div></div>
2022/4/20 15:03作者王若樸https://www.ithome.com.tw/news/150509
微軟關閉Windows 11家用版SMB1協定支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/storage-at-microsoft/smb1-now-disabled-by-default-for-windows-11-home-insiders-builds/ba-p/3289473" target="_blank">微軟本周宣布</a>將移除Windows 11家用版的SMBv1協定支援，使所有Windows桌機和伺服器版本都已不再支援這不安全的舊式協定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-windows%2011%20SMB1-600.jpg" style="width: 550px;" /></p> <p>SMBv1協定是很老舊的傳輸協定，曾被WannaCry用來散布感染數百萬臺電腦。微軟於2017年的Windows 10更新（Fall Creators Update）釋出的Windows Server就不再安裝SMBv1服務。在用戶端，企業版本也都不含這項服務，但家用（Home）及專業版（Pro）Windows 10仍然保留，以便Windows 電腦可連結只支援SMBv1的第三方NAS儲存裝置或是其他舊設備。</p> <p>在Windows 10 Home及Pro版中，如果Windows用戶端開機15天之內沒有對外的SMBv1連線，Windows也會自動將之移除。微軟隨後又在Windows 10 1809 時不再安裝於Pro版用戶端。</p> <p>而在本周，Insider Dev頻道釋出的Windows 11 Home測試版也不再安裝SMBv1用戶端。微軟表示，這意謂著Windows 11 Insider已經不再預設啟動任何SMBv1元件。未來Windows 11主要版本也不會預設啟用。不過原地升級的機器則不會受影響，IT管理員也可以主動下載安裝SMBv1。</p> <p>微軟同時宣布未來Windows都會移除SMBv1 binary，不論是用戶端及伺服器版本都不會再內建SMBv1驅動程式和DLL。但微軟之後會發布安裝套件給還是需要SMB1的企業或用戶，以便連到舊式工廠設備、醫療儀器或消費性NAS等裝置。</p> </div></div></div>
2022/4/20 15:26作者林妍溱https://www.ithome.com.tw/news/150510
卡巴斯基找到勒索軟體Yanluowang漏洞，提供免費解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/how-to-recover-files-encrypted-by-yanlouwang/106332/" target="_blank">俄羅斯資安業者卡巴斯基（Kaspersky）本周指出</a>，他們在勒索軟體Yanluowang（閻羅王）的加密演算法中找到一個漏洞，並打造了一個免費的解密工具以協助受害者恢復被加密的檔案。</p> <p><a href="https://www.ithome.com.tw/news/147309" target="_blank">卡巴斯基是在去年10月發現Yanluowang的存在</a>，目前僅知Yanluowang僅針對特定對象展開攻擊，因此即使受害者遍布美國、巴西、土耳其或其它國家，但數量並不多。</p> <p>此外，駭客在加密受害者系統，刪除系統備份並下載受害者資料後，還要求受害者不得聯繫警方或尋找第三方業者來協助恢復檔案，否則便會針對受害者展開分散式服務阻斷攻擊。</p> <p>不過，卡巴斯基的研究人員在分析Yanluowang之後發現了一個漏洞，使得他們可藉由已知明文攻擊（Known-plaintext Attack）來解密受害者檔案，並把此一解鎖作業加入了免費的Rannoh Decryptor解密工具中。</p> <p>Rannoh Decryptor除了可解密遭Yanluowang攻擊的檔案之外，也適用於AutoIt、Fury、Cryakl、Crybola、CryptXXX與Polyglot等勒索軟體的受害者。</p> </div></div></div>
2022/4/20 15:44作者陳曉莉https://www.ithome.com.tw/news/150511
駭客著手開採微軟今年2月修補的Windows Print Spooler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/04/19/cisa-adds-three-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全及基礎設施安全局（CISA）本周將微軟於今年2月修補的CVE-2022-22718納入「已知遭開採漏洞」</a>（Known Exploited Vulnerabilities）目錄中，顯示此一涉及Windows Print Spooler的安全漏洞已經遭到駭客利用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0420-CISA-CVE-2022-22718-Windows%20Print%20Spooler.png" style="width: 550px;" /></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22718" target="_blank">CVE-2022-22718</a>為一存在於Windows Print Spooler（列印多工緩衝處理器）的權限擴張漏洞，微軟在2月進行修補時，表示它並非為已知漏洞，也未被開採，只是「很可能」（More Likely）會被開採。兩個月後，CISA即把它加入了「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄，要求聯邦機構要在5月10日以前修補該漏洞。</p> <p>Windows Print Spooler為一用來管理列印程序的執行檔，它既是Windows工作站及伺服器內建的元件，也是列印介面的主要元件，負責判斷正確的印表機驅動程式位置，載入驅動程式，接著管理與控制列印任務。</p> <p><a href="https://research.ifcr.dk/spoolfool-windows-print-spooler-privilege-escalation-cve-2022-22718-bf7752b68d81" target="_blank">根據安全研究人員Oliver Lyak的說明</a>，Windows Print Spooler從2020年5月以來就不斷出現安全漏洞，包括微軟於同年7月緊急修補、被稱為<a href="https://www.ithome.com.tw/news/145491" target="_blank">PrintNightmare的遠端程式執行漏洞CVE-2021-34527</a>。</p> <p>事實上，微軟在今年2月Patch Tuesday所修補的51個安全漏洞中，就有4個與Windows Print Spooler有關，除了CVE-2022-22718之外，還包括CVE-2022-21997、CVE-2022-21999與CVE-2022-22717，且全屬權限擴張漏洞。</p> <p>除了CISA的舉動之外，迄今尚未有人公開CVE-2022-22718漏洞或攻擊程式的細節。</p> </div></div></div>
2022/4/20 16:10作者陳曉莉https://www.ithome.com.tw/news/150512
Netflix訂閱用戶數下滑，超過1億用戶免費使用他人帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix周二（4/19）公布該公司今年第一季財報，雖然營收成長9.8%，但淨收入與每股盈餘都低於去年同期，再加上該季的付費訂閱會員數減少了20萬，使得其當天盤後股價滑落至258.9美元，大跌25.73%。Netflix表示，其成長趨緩的原因之一是付費用戶與他人共享服務；Netflix執行長Reed Hastings則在財報會議中透露，他們很願意以更低的價格並搭配廣告來提供消費者另一個選擇。</p> <p>Netflix第一季創下了78.68億美元的營收，比2021年同期成長9.8%，該季的淨收入為15.97億美元，低於去年同期的17.07億美元，每股盈餘為3.53美元，亦低於去年同期的3.75美元。</p> <p>不過，造成投資人恐慌的是在這十多年來，每季訂閱用戶數都呈現正成長的Netflix，在該季的訂閱用戶數減少了20萬，而且預期下一季會可能會再減少200萬。去年Netflix每季訂閱用戶數分別增加了375萬、297萬、319萬及133萬，而目前Netflix在全球的付費用戶數為2.22億。</p> <p>Netflix解釋，疫情讓該公司的業績在2020年大幅成長，隔年的成長趨緩也拜疫情所賜，但反省今年的表現，歸納它來自4個因素，包括Netflix無法控制連網電視的普及或隨選視訊的採用，來自Amazon、Hulu或YouTube的競爭，全球經濟不振、通膨與俄烏戰爭，以及有大量用戶與他人分享帳號。</p> <p>根據Netflix的估計，除了現有的2.22億付費用戶之外，另有超過1億用戶免費分享了Netflix帳號，當中有3,000萬位於美國及加拿大。Netflix指出，雖然既有付費用戶分享帳號的比例在這幾年來並沒有太大的改變，但再加上其它因素，導致在許多市場都很難推動新會員。</p> <p>為了重返高度成長，Netflix計畫持續改善影片內容與推薦品質，並努力讓那些免費分享他人帳號的使用者成為付費會員。</p> <p>其實Netflix去年初便開始測試新功能，以解決使用者免費分享帳號的問題，包括<a href="https://www.ithome.com.tw/news/143170" target="_blank">於螢幕上提醒那些使用他人帳號的使用者</a>，也在今年3月<a href="https://about.netflix.com/en/news/paying-to-share-netflix-outside-your-household'" target="_blank">於智利、哥斯大黎加與秘魯測試新的服務</a>，讓既有會員額外付費邀請其他非家庭成員的使用者分享帳號。</p> </div></div></div>
2022/4/20 12:19作者陳曉莉https://www.ithome.com.tw/news/150505