iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

防範肉搜，用戶可要求Google Search搜尋結果移除包含用戶個資的網頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/new-options-for-removing-your-personally-identifiable-information-from-search/">Google 宣佈擴大用戶個資保護</a>，現在用戶可以要求Google從搜尋結果移除特定敏感個資的連結，以防範肉搜或被用於金錢詐騙。Google曾因應歐盟「被遺忘的權利」要求，允許用戶申請從搜尋結果頁移除過去不名譽的新聞或紀錄連結。Google指出，個人聯絡資訊被公開於網路上，不但難堪，也可能造成實際傷害，像是被人肉搜、騷擾恐嚇，或是電子郵件、銀行帳號被用於發送釣魚信件或詐騙電話、簡訊，過去Google一直接到從搜尋結果移除這類資訊的要求。為了擴大用戶對自身個資的控管權利，<a href="https://support.google.com/websearch/answer/9673730">現在Google開放用戶要求從搜尋結果移除特定個人資訊的網頁連結</a>，如電話號碼、電子郵件及住家地址，或是其他可能造成身份竊盜的資料，像是登入密碼等。Google接到要求後，會評估該網頁所有內容，若網頁其他內容是有用的，像是新聞報導，Google就不會移除。此外若這些資訊在政府或官方資料庫的公開紀錄找得到，也不會被移除。</p> <p dir="ltr">經過審核許可後，Google可能的選擇包括移除所有查詢的URL、或是包含用戶姓名的查詢的URL。Google也提醒，從搜尋頁結果移除的網頁其實還在網路上，因此用戶若真的希望資料不要曝光，應該要直接聯繫該網站代管單位。去年7月<a href="https://www.ithome.com.tw/news/146140">Google也開放用戶請求Google於圖片搜尋結果中，刪除未滿18歲的兒童/青少年、或其父母與監護人的照片</a>。為保護用戶個資，本周Google另外也透過<a href="https://www.ithome.com.tw/news/150649">Google Play Store政策</a>，要求7月開始，開發商應公開App蒐集的用戶資訊類型與用途、或分享哪些資料等。</p> </div></div></div>
2022/4/29 10:50作者林妍溱https://www.ithome.com.tw/news/150674
不畏流失俄羅斯用戶，今年首季Spotify付費用戶增加15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">全球串流音樂龍頭Spotify周三（4/27）<a href="https://investors.spotify.com/financials/press-release-details/2022/Spotify-Technology-S.A.-Announces-Financial-Results-for-First-Quarter-2022/default.aspx" target="_blank">公布今年第一季財報</a>，顯示該季創下26.61億歐元的營收，成長24%，雖然虧損了600萬歐元，而且因退出俄羅斯市場而損失了150萬名付費用戶，其付費用戶數依然比去年同期成長15%，比上一季增加1%，達到1.82億人，讓Spotify盤後上漲了1.94%，股價為98.55歐元。</p> <p dir="ltr">同樣受到俄烏戰爭影響的Spotify與Netflix在用戶成長上有著不同的表現，Netflix與Spotify皆為了抗議俄羅斯對烏克蘭的侵犯，暫時退出俄羅斯市場，不過，Spotify的付費用戶數比上一季增加了1%，<a href="https://www.ithome.com.tw/news/150505" target="_blank">但Netflix於該季的訂閱用戶數卻比上一季減少了20萬。</a></p> <p dir="ltr">Spotify該季的每月用戶數為4.22億人，比去年同期增加19%，其中的付費用戶占了1.82億人，增加15%，基於廣告的免費用戶則有2.52億人，增加21%，若與上一季相較，其每月用戶數增加了4%，付費用戶增加1%，免費用戶增加7%。反觀Netflix的2.22億付費用戶雖比去年同期成長6.7%，卻比上一季短少20萬。</p> <p dir="ltr">與去年同期相較，Spotify的單季營收成長了24%，達26.6億歐元，但虧損600萬歐元，反觀去年同期Spotify還有1,400萬歐元的獲利。</p> <p dir="ltr">Spotify表示，1.82億的付費用戶數雖然不符合當初的業績指引，但若扣除因退出俄羅斯市場而失去的150萬名付費用戶，再加上受惠於拉丁美洲與歐洲的出色表現，其成長是超乎預期的。 </p> </div></div></div>
2022/4/29 09:59作者陳曉莉https://www.ithome.com.tw/news/150673
因應資安已成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來政府推動資安即國安戰略，政府除了規範政府機關落實資安，近年也開始推動產業要落實資安，特別是去年底金融監督管理委員會（金管會）透過修法方式，要求公開發行公司需記載資安管理作為，以及要求符合條件的國內上市櫃公司，必須設置資安長或主管及資安人員，然而，不是每個企業都有良好的資安治理經驗與能量，該如何加速國內產業推動資安？</p> <p>今日（4月28日），國內上市櫃開始採取行動，一個跨產業的「台灣資安主管聯盟」宣布正式成立，曾擔任聯電資訊長、目前為華碩集團資安長，也是台灣資安主管聯盟的金慶柏表示，這個聯盟由國內14家企業代表所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，橫跨高科技、金融、電信、製造與服務業等，他們希望有更多公司加入成為會員，共同幫助國內產業提升資安韌性，促使企業永續發展。</p> <h2><strong>台灣CISO聯盟有4大目標，養成資安主管核心能力居首，資安人才培訓居次</strong></h2> <p>金慶柏表示，從台灣資安人才缺口來看，包括政府單位、民間企業、資安服務廠商的需求，共缺少超過4萬人，因此，面對人才不足，以及上述政策法規遵循的問題，「台灣資安主管聯盟」主要聚焦於4大面向：第一，資安主管核心能力養成，要能夠配合公司的數位轉型；第二，專業資安人才培訓整備，不論是現在公司內IT部門或其他部門調過來資安單位，相關證照訓練也是未來推動目標；第三，資安產業服務能量鏈結，臺灣大概有400家資安產品與服務廠商，年營收共約530億，未來如何從CISO的角色與相關資安服務能量鏈結，甚至臺灣資安產業立足臺灣面向全世界；第四，資安治理合規制度建立，配合政府相關政策，協助企業建立資安管理制度符合相關規範。</p> <p>而組織架構方面，也能顯現該聯盟當前所聚焦的重點，目前已經規畫有4大委員會：包括人才培訓委員會、政策與法規委員會、推廣服務委員會，以及供應鏈委員會。</p> <p>現階段，台灣資安主管聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <p>同時，招募會員也是今年的重點。金慶柏表示，加入聯盟不需要繳會費，而未來會用使用者付費的方式來進行。至於是否聯盟會員只限於上市櫃公司？興櫃、大型未上市公司能否加入？對此問題，他表示，並沒有限定，這些公司他們都歡迎加入到聯盟之中。</p> <p>今年會有那些目標？以2022年工作重點而言，有兩大重點最受關注，分別是針對企業執行長（CIO）的活動，以及針對資安主管的培訓。具體而言，聯盟將透過舉辦資安實務交流活動的方式，來強化企業執行長對資安認知與支持；而培訓資安主管的主要目標，是擬定資安策略與資源配置的能力。</p> <p>還有兩項工作也將同步進行，像是為了加速企業符合法令規範，將彙整產業資安治理現況與需求，建立資訊揭露盤點表並媒合所需資源，以及將研擬供應鏈資安成熟度問卷，幫助企業快速掌握自身防護程度，作為投入資源的準則。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-29_022215.png" style="width: 600px;" /></p> <p>特別的是，對於現在企業資安推動的態勢，金慶柏以過去企業推動品質管理與環境保護來舉例。他表示，就如同企業界推動ISO 9000國際標準，當時談得是要將品質管理導入到供應鏈，導入到相關合約；再來是環境保護的ISO 14000國際標準，要求像是不能使用有害的物質，而這些也都是經過可能好幾年時間的推廣，並從大公司逐漸擴及到中小企業去導入，資安管理的ISO 27001國際標準也是如此，現在國內就有上千家企業組織導入相關認證。</p> <p>此外，在台灣資安主管聯盟之前，其實在去年7月時，華碩與10家公司成立了高科技資安聯盟。基本上，現在新成立的台灣資安主管聯盟可看做一個擴大版，支持聯盟成立的行政院副院長沈榮津即指出，不只是高科技業需要，應該擴及到其他產業。如今，隨著台灣資安主管聯盟正式宣布成立，勢必能夠讓更多不同產業在資安治理培訓這一塊，可以更容易分享與交流。例如，以台灣各行業來說，金融資安的推動比高科技還要早，如何將資安課程結合各行各業原有的訓練，將整體能量帶起來；再者，以供應鏈角度來看，由於資安很多敏感議題，若能透過供應鏈委員會讓某些公司集合在一起，將可以做到封閉式的交流，讓企業更願意敏感的資安資訊分享，避免自己的供應鏈也因同樣問題受害。</p> <p>對於台灣資安主管聯盟的成立，政府也看重產業發起這樣的行動，包括行政院政務委員唐鳳、行政院副院長沈榮津都出席致詞，希望能從多個角度幫助國內更多企業做好資安。</p> <h2><span style="color:#B22222;"><strong>台灣資安主管聯盟共同發起名單</strong></span></h2> <table border="0" cellpadding="0" cellspacing="0" style="width:476px;" width="476"><tbody><tr height="22"><td height="22" style="height:22px;">任職公司</td> <td>姓名職稱</td> <td>聯盟職務</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">華碩集團</td> <td data-th="姓名" style="width:123px;">金慶柏資安長</td> <td data-th="職稱" style="width:255px;">會長</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">富邦金控</td> <td data-th="姓名" style="width:123px;">蘇清偉資安長</td> <td data-th="職稱" style="width:255px;">副會長（負責人才培訓委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">欣興電子</td> <td data-th="姓名" style="width:123px;">馬光華資安長</td> <td data-th="職稱" style="width:255px;">副會長（負責推廣服務委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">台達電</td> <td data-th="姓名" style="width:123px;">曾立峰資訊長</td> <td data-th="職稱" style="width:255px;">副會長（負責政策與法規委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">新光保全</td> <td data-th="姓名" style="width:123px;">蕭正鴻資訊長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">欣銓科技</td> <td data-th="姓名" style="width:123px;">周可恆副主席</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">聯華電子</td> <td data-th="姓名" style="width:123px;">洪錫興副總經理</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">元大金控</td> <td data-th="姓名" style="width:123px;">陳秀美資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">玉山銀行</td> <td data-th="姓名" style="width:123px;">劉懷聰資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">康和證券</td> <td data-th="姓名" style="width:123px;">張志堅資訊長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">國泰世華</td> <td data-th="姓名" style="width:123px;">吳建興資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">台新銀行</td> <td data-th="姓名" style="width:123px;">陳詰昌資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">遠傳電信</td> <td data-th="姓名" style="width:123px;">朱建國資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">友達光電</td> <td data-th="姓名" style="width:123px;">楊峻程資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr></tbody></table><p>資料來源：台灣資安主管聯盟，iThome整理，2022年4月</p> </div></div></div>
2022/4/28 23:19作者羅正漢https://www.ithome.com.tw/news/150666
去年Google Play封鎖了19萬個開發者帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於開源的Android為全球最普及的行動平臺，再加上Google允許第三方市集的存在，而讓Android手機成為許多惡意程式的溫床，為了強化Android平臺的安全性，<a href="https://security.googleblog.com/2022/04/how-we-fought-bad-apps-and-developers.html" target="_blank">Google持續改善其程式生態體系</a>，去年便封鎖了120萬個違反Google Play政策的行動程式，也關閉50萬個已被棄置的開發者帳號。</p> <p>除了偵測Google Play上的不良程式與帳號之外，Google也打造了Google Play Protect來保護Android裝置用戶，它會主動掃描Android手機上的所有程式，不管這些程式是自Google Play或第三方市集下載，以協助使用者清除手機上的不良或惡意程式。</p> <p>此外，Google去年更新Google Play的安全及隱私政策，要求開發者於程式中列出資料安全項目（Data Safety section），明確描述程式所蒐集與分享的用戶資訊，Android用戶自4月26日起就能檢視程式的資料安全項目，同時<a href="https://www.ithome.com.tw/news/150649" target="_blank">Google也要求所有開發者都必須在7月20日以前於程式中提供此一項目</a>。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Expanded_view_GIF.gif" style="width: 600px;" /></p> <p>而為了避免開發者過度存取機密API與使用者資料，Google亦透過Android平臺的更新來施加限制，例如在所有遷移至Android 11或更高版本的Android程式中，有高達98%減少它們對機密API與使用者資料的存取；到了Android 12則進一步限制非必要的Accessibility API的使用，例如<a href="https://www.ithome.com.tw/news/150587" target="_blank">將禁止程式開發者利用Accessibility API來提供遠端通話錄音功能</a>，只把Accessibility API保留給專為殘障人士設計的程式。</p> <p>不過，道高一尺，魔高一丈，<a href="https://onestore.nokia.com/asset/210870" target="_blank">根據Nokia所發布的2021年威脅情報報告</a>，在2021年遭到惡意程式感染的行動裝置中，有高達50.31%為Android裝置，居次的是Window裝置的23.1%，macOS裝置也占了9.2%。<a href="https://onestore.nokia.com/asset/210088" target="_blank">2020年Android僅占所有被感染裝置的26.64%</a>，還落後Windows的32.72%。</p> </div></div></div>
2022/4/29 02:25作者陳曉莉https://www.ithome.com.tw/news/150672
自俄烏開戰以來，至少有6個俄羅斯駭客集團針對烏克蘭發動逾200次攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE4Vwwd" target="_blank">微軟本周公布了俄羅斯針對烏克蘭所展開的網路攻擊活動報告</a>，指稱從俄國入侵烏克蘭以來，至少已有6個由俄羅斯支持的駭客集團鎖定烏克蘭發動237次的網路攻擊，而這些網路攻擊經常與實體攻擊相呼應。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0428-russia%20ukraine%20hacker-600.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-russia%20ukraine%20hacker-600.jpg" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>被該報告點名的6個駭客集團分別是隸屬於俄羅斯情報局（GRU）的APT 28與Sandworm，歸俄羅斯外國情報局（SVR）管轄的Nobelium（又名UNC2452或UNC 2652），以及俄羅斯聯邦安全局（FSB）麾下的Gamaredon、Unit 71330與Turla。另一個專門部署WhisperGate資料刪除程式並竊取資料的DEV-0586亦疑似來自GRU。</p> <p>根據微軟的觀察，這些網路攻擊行動的目的不僅是為了削弱烏克蘭系統及組織的能力，亦著眼於摧毀當地人民存取可靠資訊與重要民生服務的管道，並企圖動搖烏克蘭人民對現有政權的信心。</p> <p>在237次的攻擊行動中，有接近40次屬於破壞性攻擊，當中有32%直接鎖定烏克蘭政府組織，超過40%相準重大基礎設施，駭客利用各種不同的手法取得初步存取這些系統的權限，包括網釣攻擊、開採未修補的安全漏洞，或是自供應鏈下手。</p> <p>微軟表示，俄羅斯的駭客攻擊不僅是破壞性的，也夾雜著間諜行動，同時許多的網路攻擊都與實際的軍事攻擊行動相呼應，例如在3月1日針對烏克蘭電視臺展開了網路攻擊，當天便把飛彈對準烏克蘭的電視塔，或者是當俄羅斯軍隊圍攻烏克蘭城市Mariupol時，烏克蘭的居民即開始收到謊稱是Mariupol居民寄來的電子郵件，宣稱烏克蘭政府已經拋棄烏克蘭人。</p> <p class="rtecenter"><a href="https://twitter.com/kyivindependent/status/1498679703628136458?lang=zh-Hant" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-russia%20ukraine%20hacker-600-2.png" style="width: 477px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ukraine NOW/Telegram</span></span></p> <p>其實在各界協助烏克蘭抵抗俄羅斯攻擊的當下，不管是軍事、經濟或資安上的支援，也有不少駭客集團正鎖定俄羅斯發動各式攻擊，不過迄今尚未出現關於俄羅斯遭網路攻擊的彙整報告。</p> </div></div></div>
2022/4/28 21:16作者陳曉莉https://www.ithome.com.tw/news/150664
【資安日報】2022年4月28日，駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然微軟不斷呼籲用戶停止使用IE瀏覽器，但在企業裡很有可能仍有部分系統需要透過這款瀏覽器存取，因此，利用該瀏覽器漏洞的攻擊行動仍相當值得留意。最近有研究人員發現一起投放竊密軟體RedLine的攻擊行動，而駭客利用的漏洞，就是微軟於去年3月公布的IE漏洞CVE-2021-26411。</p> <p>在上述的瀏覽器漏洞攻擊之外，與烏克蘭戰爭有關的網路攻擊也引起外界關注。而在今天的資安新聞中，有2則與之相關的新聞。一則是中國駭客Mustang Panda的攻擊行動，他們過往曾鎖定協助烏克蘭難民的歐洲外交單位，但他們現在也攻擊俄羅斯的政府官員。</p> <p>另一起則是俄羅斯駭客開始針對烏克蘭附近的國家出手的攻擊行動，他們對於立陶宛、愛沙尼亞等國家的電信業者、工業公司下手。</p> <p>而在今天的臺灣資安界也發生了一件大事，那就是臺灣CISO聯盟的成立。尋找合適的資安長是許多臺灣企業正在討論的重大議題，不過，也有一些企業已經設立資安長，而為了促進多個公司資安長的交流，有14家來自不同產業的公司籌組了臺灣資安主管聯盟（臺灣CISO聯盟），在今天正式成立。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/redline-stealer-resurfaces-in-fresh-rig-exploit-kit-campaign/"><span style="color: rgb(0, 0, 0);">駭客利用IE漏洞投放竊密軟體RedLine</span></a></strong></h3> <p>隨著IE與相關的外掛程式逐漸遭到棄用，駭客運用漏洞利用工具包（Exploit Kit）的攻擊行動大幅下降，但這類手法並未因此消聲匿跡。防毒業者Bitdefender指出，他們發現駭客在一起散布竊密軟體RedLine的過程裡，攻擊者使用名為RIG Exploit Kit的漏洞利用工具包，並針對網頁瀏覽器Internet Explorer（IE）的漏洞CVE-2021-26411而來，此漏洞會導致使用者在瀏覽攻擊者特製網站時，出現記憶體損壞的情況。駭客一旦入侵成功並部署RedLine，就能進一步在受害電腦上搜刮瀏覽器資料、加密貨幣錢包的私鑰、信用卡資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/bronze-president-targets-russian-speakers-with-updated-plugx"><span style="color: rgb(0, 0, 0);">中國駭客Mustang Panda鎖定俄羅斯政府官員發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭未明確表達支持或反對力場的中國，<a href="https://www.ithome.com.tw/news/150088#mustang-panda">先前傳出該國駭客鎖定協助難民的歐洲外交單位下手</a>，但最近他們也開始針對俄羅斯發動攻擊。資安業者Secureworks發現，中國駭客Mustang Panda（亦稱HoneyMyte、Bronze President、TA416）於2022年3月，以歐盟針對白俄羅斯進行制裁的細節為由，鎖定俄羅斯政府官員發動網路釣魚攻擊，引誘對方開啟附件檔案，透過帶有合法簽章的可執行檔案，以DLL側載（DLL Sideloading）的方式，載入惡意程式PlugX。</p> <p>研究人員指出，DLL載入工具（DLL Loader）在執行的過程裡，會導出8個函式，但實際上只有其中一個帶有實際要執行的指令，很可能因此能夠躲過資安防護系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://securityintelligence.com/posts/hive00117-fileless-malware-delivery-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定電信業者散布惡意軟體DarkWatchman</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png" style="width: 300px; float: right;" /></a>俄羅斯駭客近期對烏克蘭頻頻發動攻擊，但他們現在也鎖定其他鄰近的國家下手。IT業者IBM的威脅情報團隊指出，使用俄語的駭客組織Hive0117近期發動釣魚郵件攻擊，鎖定立陶宛、愛沙尼亞、俄羅斯電信服務供應商、工業公司，這些釣魚郵件幾乎都寄給公司負責人或是高層，駭客冒充俄羅斯司法部，且郵件內含該單位的標誌，看起來更像由該單位發出。</p> <p>一旦收信人依照指示打開附件ZIP檔案的內容，電腦就有可能被感染惡意軟體DarkWatchman，為駭客提供後門，並藉由PowerShell程式碼側錄鍵盤輸入的內容。而對於Hive0117的身分，研究人員認為該組織並非俄羅斯政府資助的駭客，攻擊行動很可能出於經濟利益，而非與政治訴求有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.livemint.com/technology/cyberattacks-rise-at-oil-firms-as-hackers-step-up-their-game-11650649127129.html"><span style="color: rgb(0, 0, 0);">駭客近半年來針對印度石油公司攻擊逾36萬次</span></a></strong></h3> <p>印度國有的石油公司Oil India傳出於4月13日遭到攻擊，位於阿薩姆工廠的IT系統遭到鎖定，當地媒體報導駭客索討750萬美元的贖金。但根據當地非營利資安組織Cyberpeace Foundation的調查，駭客針對該公司下手的情況相當頻繁，從2021年10月至今年4月12日，他們偵測到近36萬次的攻擊行動，其中，攻擊行動有約三分之一出現在去年10月，為11.7萬次。</p> <p>這項研究也顯示，駭客鎖定印度關鍵基礎設施的網路攻擊越來越多，尤其是對於石油產業的網路釣魚最為顯著。雖然該組織並未說明攻擊來源，但根據研究人員發現的JavaScript程式碼疑似來自百度網域，中國駭客很有可能參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/psa-onyx-ransomware-destroys-large-files-instead-of-encrypting-them/"><span style="color: rgb(0, 0, 0);">勒索軟體Onyx鎖定大型檔案進行破壞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png" style="width: 300px; float: right;" /></a>過往勒索軟體攻擊行動中，駭客通常會鎖定檔案較小的檔案進行加密，而略過較大的檔案，但最近有勒索軟體出現新的攻擊手法。資安研究團隊MalwareHunterTeam發現，有一款名為Onyx的勒索軟體，依據檔案大小之分，而採取加密與破壞的兩面策略，近期被用於攻擊行動，駭客宣稱已有6個組織受害。</p> <p>研究人員針對此勒索軟體進行分析發現，Onyx會將小於200 MB的檔案加密，而對於大型的檔案，則是寫入隨機資料來進行破壞，換言之，即使受害組織向駭客支付贖金取得解密工具，只能將小於200 MB的檔案復原。研究人員呼籲，受害者不要向駭客低頭，因為就算想要付錢了事，還是很有可能無法復原所有的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/"><span style="color: rgb(0, 0, 0);">Linux弱點Nimbuspwn可被攻擊者用於提升權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png" style="width: 300px; float: right;" /></a>隨著Linux在企業運用越來越廣泛，這類作業系統的元件漏洞，也引起資安人員的重視。微軟揭露名為Nimbuspwn的一組漏洞，當中包含了CVE-2022-29799、CVE-2022-29800兩個漏洞，一旦被攻擊者串連利用，就有機會藉此取得受害主機上的root權限。</p> <p>研究人員指出，Nimbuspwn與Linux主機發出連線狀態有關，存在於networkd-dispatcher套件裡面。這些漏洞涉及目錄遊走（Directory Traversal）、符號連結競爭（Symlink Race），以及查核與使用時間的競爭條件（Time-of-Check-Time-of-Use Race Condition），而能夠讓駭客擴張權限，進而部署惡意程式或是進行其他攻擊行為。networkd-dispatcher維護者Clayton Craft獲報後已修補上述漏洞，IT人員應儘進安裝新版軟體修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-12"><span style="color: rgb(0, 0, 0);">威聯通呼籲用戶停用AFP通訊協定，避免NAS遭到Netatalk元件的漏洞波及</span></a></strong></h3> <p>在Linux檔案伺服器上，有個能夠支援蘋果電腦存取的通訊元件Netatalk，相當有名，不過，在Pwn2Own 2021，研究人員找到重大漏洞，最近也有NAS業者為此提出警告。威聯通於4月25日發布資安通告指出，該公司NAS設備用來支援macOS作業系統存取的Netatalk元件，存在CVE-2021-31439、CVE-2022-23121、CVE-2022-23123、CVE-2022-23122、CVE-2022-23125、CVE-2022-23124、CVE-2022-0194等多項漏洞，當中有數個漏洞CVSS風險層級達到9.8分。該公司已針對QTS作業系統發布4.5.4.2012版（組建編號20220419）予以修補，並呼籲尚未安裝更新韌體的用戶，應暫時停用Apple Filing Protocol（AFP）通訊協定來緩解相關風險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=1Kyr-wyPyuU"><span style="color: rgb(0, 0, 0);">因應資安成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TW-CISO-alliance_20220428-1713-20135.jpg" style="width: 300px; float: right;" /></p> <p>跨產業的「臺灣資安主管聯盟（簡稱台灣CISO聯盟）」今天宣布正式成立，首任聯盟會長由華碩集團資安長金慶柏擔任。這個聯盟由國內14家企業所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，希望日後能招募更多會員加入，提升臺灣產業資安韌性。</p> <p>金慶柏指出，臺灣資安主管聯盟將聚焦於4大目標：第一，資安主管核心能力養成；第二，專業資安人才培訓整備；第三，資安產業服務能量鏈結；第四，資安治理合規制度建立。同時，該聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/28 17:46作者周峻佑https://www.ithome.com.tw/news/150663
Container周報第147期：Docker公司募到1億美元後揭新目標，Istio最後還是捐給CNCF、K8s專用L…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/4/1~2022/4/28 精選容器新聞</strong></span></p> <p><span style="color:#0000FF;">本期必看重點：三則重要必看新聞，一是遲遲沒有發展出快速營利商業模式的Docker募到上億美元資金，得以繼續提供免費個人桌面版授權，1千萬名開發者繼續獲益。Google終於將微服務管理平臺Istio捐給CNCF基金會，K8s生態圈的主要元件，終於都改由社群主導發展。K8s專用Linux版Talos終於推出1.0版，邊緣設備環境可以有穩定的極簡版K8s部署環境可用。另外，k8s新版1.24版延後到5月初發布。</span></p> <p><strong><span style="color:#FF0000;">#Docker #新發展策略 #桌面版優化</span></strong><br /><strong>Docker公司終於募到1.05億美元C輪資金，將繼續支援千萬免費個人用戶，下一步將聚焦桌面版優化</strong></p> <p>Docker公司雖然在10年前掀起了容器化的新時代，很快獲得全世界開發者的青睞，但在公司營運上，長達數年遲遲沒有發展出成功盈利的商業模式，直到2019年底重新改組，全力聚焦商用開發者需求，直到最近，成功獲得高達1.05億美元的C輪資金。 Docker執行長Scott Johnston指出，這是公司組織重組後最大的進展。目前，Docker開發者社群中，每月活躍用戶高達1,600萬人，儲存到Docker Hub上的應用也多達1,400萬支，而付費的企業數量也達到了5萬6千家。Scott Johnston指出，新募到的資金有助於維持目前的發展策略，包括支援1千萬名使用免費個人版的開發者、高達14PB的映像檔儲存量，以及每月31PB的映像檔資料下載流量的維運費用。</p> <p>新資金到位之後，Scott Johnston指出，下一步發展方向，將特別投資於Docker桌面版，來優化開發者常用的開發流程，例如簡化K8s應用開發、提高應用程式元件的透明度、與生態圈夥伴整合的擴充性，另外還要發展可以自動打造出安全應用程式的能力，整合到開發者現有工具、流程和可信內容中。</p> <p><strong><span style="color:#FF0000;">#Istio #微服務管理平臺 #K8s生態圈</span><br /> Google終於放手，將微服務管理平臺Istio捐給CNCF基金會改由社群主導</strong></p> <p>Google兌現與IBM的協議，宣布將微服務管理平臺Istio提交給雲端原生運算基金會（Cloud Native Computing Foundation，CNCF），作為孵化專案。現在已經有20多家服務供應商，提供Istio託管服務，包括Google雲端的Anthos Service Mesh，也是以Istio為基礎建構的服務網格，供用戶監控和管理本地端和雲端上的工作負載。在2020年的時候，Google曾想把Istio加入到當時新成立的開源專案管理商標組織Open Use Commons中，遭到專案創始成員IBM反對，不符是群開放治理的期待。現在Google終於將Istio捐贈給了CNCF，Istio是Kubernetes生態系中，最後一個不在CNCF管理下的主要元件。Google承諾會繼續戰略性投資Istio，作為重要維護者，同時也會持續投資上游專案。</p> <p><strong><span style="color:#FF0000;">#新版延遲 #K8s #Dockershim移除</span><br /> 受Go釋出延期影響，K8s新1.24版也決定延後到5月初釋出</strong></p> <p>原定在4月19日釋出的K8s 1.24新版，受到Go小更新釋出時程延後的影響，K8s發布團隊決定延後2周釋出1.24新版，爭取更多時間來進行新版本穩定性的測試，不過，不會增加或減少新功能。原訂在1.24版中，釋出46個新功能的強化，包括13個進入穩定版的功能。這個版本最受矚目的異動是，將移除在kubelet程式碼中內建的Dokershim容器runtime。這個功能主要用於將Docker作為K8s叢集的主要容器runtime，一但移除後，若企業的K8s叢集，原本大量使用Docker runtime來部署K8s應用，未來必須改用containerd來部署，也無法支援一些Docker runtime專屬行為。目前已有第三方的轉移檢查工具，可以用來檢查Docker映像檔改用containerd之後的影響。</p> <p><strong><span style="color:#FF0000;">#K8s大調查 #跨叢集管理</span><br /> VMware發布大型企業2022年K8s大調查結果，跨叢集統一管理成新挑戰</strong></p> <p>這是VMware第五年針對千人大企業的K8s開發者調查，今年有776份有效樣本。29%的企業使用中的K8s叢集超過了50個，遠高於去年的16%。今年更多大型企業擴大K8s採用規模。採用K8s最大主因是為了提高應用程式的彈性。</p> <p>改用K8s後最重要的前三大效益是，提高資源利用率（59%）、簡化AP升級和維護（49%）以及IT架構得以上雲（42%），這也跟現在不少臺灣企業開始導入K8s的原因類似。隨著K8s叢集數量越來越多，維運管理成了企業的課題，三類與日常維運相關的管理工具需求也在今年大增，資料安全和加密保護工具（36%）、叢集生命周期管理工具（34%），以及平臺監控工具（30%）。目前導入K8s最大的隱憂，仍是資安和法規遵循議題，高達97%的企業擔心K8s資安問題，近5成企業則擔心部署和管理K8s時的合規挑戰。多雲架構或多叢集的部署方式帶來的挑戰，是企業擔心K8s安全的主因，46%企業擔心如何跨雲或跨叢集統一管理政策，35%企業則擔心跨叢集的存取控制課題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s%E8%AA%BF%E6%9F%A5%E7%99%BC%E7%8F%BE-VMware.png" /></p> <p><strong><span style="color:#FF0000;">#邊緣運算 #Talos #Linux</span><br /> K8s專用Linux版Talos終於釋出1.0正式版，能在超低功耗邊緣設備建置K8s</strong></p> <p>Talos是K8s專用的Linux發行版，可用來部署K8s環境。Talos是一個極簡版的Linux，但又高度整合K8s，甚至可以將Talos打包成一個容器化的映像檔，可以提供不可變更的Linux環境（immutable），可以透過gRPC API和一個宣告配置檔就能管理，方便用於打造邊緣運算環境或超低功耗環境的IaC架構。</p> <p>Talos雖然是Linux系列的作業系統，但是移除了大量執行K8s時不需要的Linux功能，來簡化整體作業系統的執行負載，特別是從機器執行角度來簡化功能，而不是從人如何管理的角度來考量，因此，在Talos中至還移除了Console功能、SSH、Telnet功能等MIS慣用的管理機制。Talos可以部署在容器環境、主要公有雲的雲端環境，或是常見虛擬化環境（VMware和微軟Hyper-V都支援），也能用於裸機平臺上，甚至可以安裝到Raspberry Pi樹莓派擴充板上。Worker主機的最小執行需求，只需要1GB記憶體和1個CPU核心。負責維護的Sidero Labs在3月底釋出了Talos的1.0正式版，支援到K8s 1.23.5版，其中，最重要的新功能是，增加了對Nvidia GPU的支援，可以用來發揮邊緣裝置中的GPU硬體加速，這個功能目前仍是Alpha版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Talos%E6%AD%A3%E5%BC%8F%E7%89%88%E7%AE%A1%E7%90%86%E7%95%AB%E9%9D%A2.jpg" /></p> <p><strong><span style="color:#FF0000;">#TAP #VMware #跨叢集維運</span><br /> VMware的K8s應用平臺TAP小改版，推出多項跨叢集維運強化功能</strong></p> <p>日前VMware旗下K8s應用平臺Tanzu Application Platform釋出了1.1新版，主要提供了更多跨叢集管理的新能力。例如可以讓工作負載更容易在跨K8s叢集之間移動，來提高K8s應用部署在TAP上的擴充性，也簡化了跨個人開發環境和正式環境之間的工作負載管理。另外，也提高了跨所有叢集runtime元件資源的透明度，可以在儀表板上清楚掌握所有叢集內runtime資源的利用情況。</p> <p>除了強化跨叢集管理，TAP新版也簡化了安裝部署流程，在TAPP參考架構中提供了不同類型K8s叢集的跨叢集安裝流程，可提供預先定義的安裝檔，來加快企業建置的速度。</p> <p><strong><span style="color:#FF0000;">#Google #邊緣主機設備</span><br /> Google雲GDC邊緣主機正式上市，1U主機內建了Anthos平臺和GPU</strong></p> <p>GCP在去年10月Next大會上發布的Google Distributed Cloud軟硬整合設備，終於在今年4月正式上市，推出了GDC邊緣主機設備和整櫃式設備。這款GDC邊緣主機設備，內建16核心CPU、Nvidia T4 GPU和64GB記憶體，另外也內建了4個2TB容量的SSD硬碟組成磁碟陣列，最大可提供3.6TB本地端儲存空間。軟體則內建了Anthos平臺。這款產品瞄準四種常見部署場景，Google網路邊緣部署、電信營運商部署、企業用戶邊緣環境部署、企業用戶資料中心部署都要能支援，也鎖定8大類應用，從運算、網路、儲存和資料庫、AI/ML、資料分析、容器和無伺服器、開發和管理工具到第三方服務等。另外在部署模式可採取主機模式（Hosted mode），完全不需要連線到Google雲，企業可以自行決定要自己管理，或者是委託信任的SI來代管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GDC%20Edge%E4%B8%BB%E6%A9%9F.jpeg" /></p> <p><strong><span style="color:#FF0000;">#支援Arm架構 #沙箱型容器</span><br /> 紅帽OpenShift推出4.10新版，正式支援Arm架構和沙箱型容器</strong></p> <p>紅帽商用容器管理平臺OpenShift日前推出了4.10新版，最大特色是正式支援Arm架構的公有雲服務（不過，目前只有支援AWS公有雲環境）以及裸機系統，所支援的K8s版本也更新到1.23版。先前多項技術預覽功能也在這個新版中轉為正式版本，包括了基礎架構（IPI）安裝方式正式支援微軟Azure Stack Hub，以及基於Kata容器打造的額外隔離機制OpenShift Sandboxed Containers。IPI安裝方式是指提供全自動、全整合的一鍵式安裝，目前正式支援Azure Stack Hub，而對IBM Cloud、阿里雲的支援則仍處於技術預覽階段。</p> <p>另外，4.10新版也強化對法規遵循的支援，增加了3種政策遵循自動運作器（Compliance Operator），協助企業檢查他們所用的叢集系統組態，確認是否具有需要遵循與矯正的已知問題，包括了支付卡產業資料安全標準PCI DSS、北美電子可靠性企業關鍵基礎設施防護標準NAERC CIP，以及美國聯邦政府所用的聯邦風險與授權管理計畫中階影響層級FedRAMP Moderate impact level。在4.8版開始預覽的沙箱型容器，也在4.10成為正式功能，可以讓應用程式執行多一個隔離執行層。新版本也提供了離線（disconnected）或實體隔離（air-gapped）設定，來簡化企業在此種環境下的OpenShift叢集安裝。</p> <p><strong><span style="color:#FF0000;">#KubeVirt #通吃容器和VM</span><br /> 貢獻者和使用案例持續成長，K8s虛擬機器管理專案KubeVirt進入CNCF孵育階段</strong></p> <p>紅帽在2017年所發起的K8s虛擬機器管理專案KubeVirt，近日從CNCF沙箱階段，進入了孵化階段。這意味著，這個讓K8s叢集可以直接原生管理VM的機制，不只獲得超過3家企業在正式環境中採用，也持續有不少貢獻者穩定產出和發布新版。有些部署在VM環境中的應用，無法輕易容器化，只能繼續部署在VM環境。KubeVirt專案可以讓K8s成為跨容器和虛擬機器的通用管理和調度平臺，來統一基礎架構的管理，不需要維護另一套獨立的VM管理機制。也可以用於在企業導入K8s架構的轉移過渡期中，仍可在K8s中，提供部分VM環境來執行還未容器化的老舊應用系統。通管VM和容器原是紅帽OpenShift的特色功能，未來，其他K8s平臺產品也更容易透過KubeVirt來管理VM環境。</p> <p><strong><span style="color:#FF0000;">#基礎架構程式碼化 #EKS快速部署</span><br /> AWS發布EKS藍圖專案，提供一套快速部署跨區域EKS叢集的IaC建置範本</strong></p> <p>近日AWS發布了一個開源的EKS藍圖專案，整理了一批用來建置基礎架構程式碼化（Infrastructure as Code）常用的模組和配置範本，可供企業部署跨AWS區域或多帳號時的建置參考架構。這套藍圖集結了AWS自家工具和常用K8s叢集管理工具，如Prometheus、Karpenter、Nginx、Traefik、AWS Load Balancer控制器、Fluent Bit、Keda、Argo CD等，另外，也整合了兩個熱門的IaC框架，包括HashiCorp的Terraform和AWS自家雲端部署工具包AWS CDK，並提供了建置時常用的配置設定參考，例如如何建立使用團隊的管理角色等。企業可自行選則要套用哪一個框架來建置。</p> <p><strong><span style="color:#FF0000;">#DevOps工具 #基礎架構自動化</span><br /> 老牌組態工具商Puppet賣了，成為美國開發工具商旗下基礎架構自動化產品線</strong></p> <p>開發工具廠商Perforce宣布收購DevOps工具開發商Puppet，雙方並未透露交易財務細節。Puppet將會成為Perforce中的一個業務單位運作，並與Perforce原有的其他DevOps相關部門共同合作，繼續提供Puppet品牌的基礎設施自動化解決方案。</p> <p>Perforce是一家美國超過25年的軟體公司，專注於提供開發者生產力工具，產品包括版本控制軟體、程式碼儲存庫管理、開發者協作，以及應用程式生命周期管理等開發者軟體，另外，Perforce還針對進階任務，提供一些更為專業的工具，包括對超級電腦上的工作負載進行除錯。</p> <p><strong>更多新聞</strong></p> <ul><li>Docker桌面版新增SBOM功能，可列出映像檔內各元件版本</li> <li>雲端原生批次運算專案Volcano成為CNCF孵化專案</li> </ul><p>責任編輯：王宏仁</p> </div></div></div>
2022/4/28 15:31作者王宏仁https://www.ithome.com.tw/news/150662
東芝、英國電信測試全球首個商用抗量子網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.global.toshiba/ww/news/corporate/2022/04/news-20220427-01.html" target="_blank">英國電信（BT）及日本網路設備商東芝本周宣布</a>，將啟動全球首個商轉的抗量子（quantum-secured）網路基礎架構的測試計畫。</p> <p>雙方是在去年10月啟動合作及興建能防禦量子電腦破解的安全網路。這個網路架構是由東芝提供量子密鑰分發（Quantum key distribution，QKD）硬體（<span style="color:#696969;">如下圖所示</span>）及金鑰管理軟體興建，並由BT營運，在BT家庭與企業網路服務子公司 Openreach的光纖專線網路上提供抗量子服務，包括寬頻端對端加密專網。QKD密鑰也將結合現有乙太網路的PKI安全技術，將產生的密鑰用於資料加密。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-Toshiba%20QKD-1.png" style="width: 600px;" /></p> <p>除了英國電信及東芝外，第一家客戶會計顧問商安永（Enst and Young，EY）也將投入測試。這條網路將串連EY分別位於倫敦金絲雀碼頭（Canary Wharf）和倫敦橋的二個辦公室，提供資料與資料的加密傳輸。這座網路已於4月初開始運作，初步計畫將營運三年。</p> <p>目前包括<a href="https://www.ithome.com.tw/news/139047" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/149531" target="_blank">新加坡</a>及中國政府都積極推動抗量子破解的安全網路研發計畫。英國政府於2020年頒布《<a href="https://uknqt.ukri.org/wp-content/uploads/2021/10/UKNQTP-Strategic-Intent-2020.pdf" target="_blank">國家量子技術計畫</a>》的未來10年規畫，投入10億英鎊，計畫將量子技術整合到英國的數位骨幹網路中。</p> <p>BT表示可望與英國及其他業界夥伴推動合作。</p> </div></div></div>
2022/4/28 14:32作者林妍溱https://www.ithome.com.tw/news/150660
蘋果正式於美國推出iPhone 12/13/SE自助維修服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年11月發表自助維修（Self Service Repair）服務的蘋果，<a href="https://www.apple.com/newsroom/2022/04/apples-self-service-repair-now-available/" target="_blank">周三（4/27）宣布該服務正式於美國上線</a>，將提供維修手冊與官方的蘋果零件及工具，以讓使用者得以自行維修他們的iPhone 12、iPhone 13，以及<a href="https://www.ithome.com.tw/news/149771" target="_blank">今年才上市的iPhone SE</a>。</p> <p>蘋果也特別設立了<a href="https://www.selfservicerepair.com/" target="_blank">自助維修商店（Self Service Repair Store）</a>，以用來出版維修手冊，以及銷售官方零件及工具。不過，由於該服務目前僅於美國上線，只有把語言切換成英文才能檢視相關的維修手冊。</p> <p>現階段該商店提供了超過200種不同的零件及工具，涵蓋iPhone 12/13/SE的顯示器、電池及相機等，今年還會開始支援採用蘋果M1系列處理器的Mac電腦的相關零件/工具及維修手冊，也會把此一自助維修服務擴大到歐洲市場。</p> <p>蘋果強調，自助維修商店所銷售的工具都與蘋果官方維修網路所使用的一致，它們都是針對維修蘋果產品而精心設計的，因此既專業又耐用，由於要價高昂，例如一支力矩扳手就要80美元，因此蘋果也提供了工具組的租賃服務，只要49美元就能租一周，供可能只需要維修一次的使用者租用。</p> <p>與蘋果門市的維修服務相較，iPhone 12顯示器的官方零件為269.95美元，回收舊顯示器的折讓為33.6美元，租賃工具為49美元，自行維修iPhone 12顯示器的整體成本是285.35美元，而蘋果門市的顯示器維修價格則是365美元。</p> <p>若與DIY維修網站iFixit相較，蘋果官網上的iPhone 12 Pro電池加上螺絲起子套件的售價為69美元，而<a href="https://www.ifixit.com/Store/iPhone/iPhone-12-Pro/Batteries" target="_blank">DIY維修網站iFixit的電池套件組合</a>則僅需40美元，但若扣除回收舊電池的24.15美元的折讓價，官方零件與第三方零件的價格差距即會明顯縮小。</p> <p>不過，<a href="https://zh.ifixit.com/News/59239/apples-self-repair-vision-is-here-and-its-got-a-catch" target="_blank">iFixit認為</a>，蘋果最大的問題在於零件配對政策，使得使用者無法購買缺乏序號或IMEI的關鍵零件，只要使用了二級市場（Aftermarket）的零件，螢幕就會出現「無法驗證」的警告，這可能會阻礙第三方的維修服務，並限制了回收業者的選擇。</p> <p>除了蘋果之外，<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>及<a href="https://www.ithome.com.tw/news/150354" target="_blank">Google</a>也都將加入自助維修行列，至於微軟雖然沒有正式發布自助維修計畫，但其Surface團隊也在本周公布了<a href="https://www.youtube.com/watch?v=cnBAeUD0Li4&t=1s" target="_blank">如何拆解及維修Surface Laptop Studio高階筆電的影片</a>。</p> </div></div></div>
2022/4/28 15:07作者陳曉莉https://www.ithome.com.tw/news/150661
Meta用戶數還在增加，盤後股價大漲18%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s21.q4cdn.com/399680738/files/doc_news/Meta-Reports-First-Quarter-2022-Results-2022.pdf" target="_blank">Meta周三（4/27）公布今年第一季財報</a>，該季Meta創下279億美元的營收，成長7%，是該公司自2012年上市以來營收成長幅度最低的一季，然而，由於Meta用戶數仍在成長，其程式家族（Family）每日用戶數增加了6%，而使得當天Meta的盤後股價大漲了18.37%，股價回到207.08美元。</p> <p>雖然該季Meta只帶進了75億美元的淨收入及2.72美元的每股盈餘（EPS），低於去年同期的95億美元，及3.3美元的EPS，但由於已高出分析師所預期的71億美元，而使得近來股價已下滑逾40%的Meta重燃投資人信心。</p> <p>在279億美元的營收中，有272億美元的營收來自於包括Facebook、WhatsApp、Instagram與Messenger的程式家族，專門發展元宇宙的Reality Labs則只創造7億美元的營收，前者的營業利潤為115億美元，後者則虧損了29.6億美元，由於Reality Labs仍處於重度研發階段，虧損金額也高於去年同期的18.3億美元。</p> <p>此外，Meta預期該公司下一季的表現仍會延續第一季營收成長趨緩的態勢，主要的原因之一為受到俄烏戰爭波及，也會密切關注<a href="https://www.ithome.com.tw/news/150123" target="_blank">大西洋資料傳輸協議</a>的發展，以及該協議對Meta於歐洲的營運可能產生的影響。</p> </div></div></div>
2022/4/28 13:30作者陳曉莉https://www.ithome.com.tw/news/150659
仍有上萬應用程式仍存在Log4j漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.ithome.com.tw/news/148332" target="_blank">Apache Log4j漏洞自去年底揭露以來已經過了4個月</a>，<a href="https://www.rezilion.com/wp-content/uploads/2022/04/Log4Shell-4-Months-Later.pdf" target="_blank">不過安全廠商發現</a>仍有上萬應用程式尚包含舊版Log4j。而一項數據顯示，臺灣下載舊版Log4j的比例，高達80%，超過其他主要國家。</p> <p dir="ltr">安全廠商Rezilion研究人員利用 Shodan.io搜尋引擎掃瞄面向網際網路(internet-facing)的應用程式，分析是否仍使用舊版Log4j以及這些應用程式使用的容器，結果發現9萬多個應用程式仍然曝險。</p> <p dir="ltr">造成這些應用程式曝險的原因主要有三，一是容器有最新版，但用戶仍未更新，像是Apache Storm、Elasticsearch、Apache skywalking-oap等。二是容器即使來到最新版本，但還是有舊版Log4j，包括Apache druid Solr、Ozone。連同Log4j和其他漏洞，這些容器內的漏洞有55%是2020年以前就存在。</p> <p dir="ltr">第3類則是面向網際網路的Minecraft伺服器，研究人員說，這突顯了老舊專屬軟體的風險。</p> <p dir="ltr">研究人員還分享了其他數據。根據Google掃瞄全球開源碼套件的服務數據Open Source Insights，在4月20日的調查結果，存在Log4j漏洞（即Log4Shell）的套件有17,840個，其中已經修補的只有7,140個，意謂著將近60%還曝險<span style="color:#696969;">（編按：下圖為Open Source Insights網站在4月28日公布的數據）</span>。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-google.png" style="width: 600px;" /></p> <p dir="ltr"><a href="https://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">若看</a><a href="http://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">Sonatype公司公布的</a><a href="https://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">Log4j下載追蹤資料</a>，去年12月10日以來，Log4j已被下載了超過4500萬次，其次有39%下載到了有漏洞的舊版本。以4月28日來看，過去24小時內從Maven Central套件庫下載Log4j版本將近35萬次，其中有34%仍然存在Log4Shell漏洞，舊版Log4j版本自2022年2月以後即長期維持高檔。</p> <p class="rtecenter" dir="ltr"><a href="https://s4.itho.me/sites/default/files/files/0428-log4j%20-sonatype.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-log4j%20-sonatype.jpg" style="width: 600px;" /></a></p> <p dir="ltr"><span style="color: rgb(128, 128, 128); font-size: 14px;">圖片來源／Sonatype</span></p> <p dir="ltr">Rezilion推測，造成舊版Log4j下載的原因，除了這些地區的安全研究人員下載來分析漏洞外，第2個原因可能是這些Log4j部署在無法連上網際網路的應用程式或網路環境，用戶認為不必急著修補。</p> <p dir="ltr">第3項原因，研究人員推測是使用者並不知道自己使用軟體內含有漏洞的Log4j元件。至於原因，可能是許多企業缺乏成熟的漏洞管理流程，以便無法完全掌握軟體元件組成（Software Bill of Materials）、在生產環境下很難偵測到Log4j、以及用戶使用了有漏洞的第三方軟體。</p> <p dir="ltr">值得一提的是，根據Sonatype提供的國別分析，臺灣下載舊版Log4j的比例是所有資訊應用發達的國家中最高的，從去年底以來都超過80%直到4月才有小幅下降。但這個比例仍遠高於澳洲、中國、印度、美國、日本、與俄羅斯。這些國家不良下載率大約30%到50%左右，其中以澳洲由去年底的40%減少到20%改善最為顯著。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sonatype%E5%85%AC%E5%8F%B8%20%E8%9E%A2%E5%B9%95%E6%88%AA%E5%9C%96.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#808080;"><span style="font-size:14px;">圖片來源／Sonatype</span></span></p> </div></div></div>
2022/4/28 11:05作者林妍溱https://www.ithome.com.tw/news/150656
AI趨勢周報第189期：推特在GitHub新添演算法公開庫，但又刪掉了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0422～0428)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">推特 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 演算法 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>推特在GitHub新添演算法公開庫，但又刪掉了</strong></span></p> <p>伊隆馬斯克買下推特後，就公開發表要開源推特演算法，提高透明度，像是揭露推特如何排名使用者的推文、如何推播推文給不同使用者，以及為何高度曝光某些推文，而另一些卻不見天日。日前，推特開發者就在開源平臺GitHub上，開設一個名為the Algorithm的程式碼公開庫，然而裡面連一行程式碼都沒有。沒多久，這個公開庫就被刪除了。</p> <p>其實，推特多年來也開源不少專案，像是R語言開發的異常偵測系統、輕量影片處理函式庫、互動式視覺化工具、RPC服務基準測試等。但這次，外界認為，推特開發者並不想完整開源自家演算法。<a href="https://twitter.com/disclosetv/status/1518708233057226753?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1518708233057226753%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.latestly.com%2Fsocially%2Fworld%2Fjust-in-twitter-employees-apparently-added-a-public-repository-called-the-algorithm-on-latest-tweet-by-disclose-tv-3633803.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-twitter-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Disclose_tv.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肺癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>首個肺癌醫病決策共享平臺！北醫大肺癌AI包辦診斷用藥和預後評估</strong></span></p> <p>北醫大以影像辨識和自然語言處理（NLP）技術打造肺癌臨床智能決策輔助系統，根據臨床實際流程，提供醫師與病患診斷、用藥、預後評估，是首個肺癌醫病共享決策平臺。該平臺包含3大模型，首先是電腦斷層肺癌基因突變預測模型，可自動從300多張電腦斷層影像自動偵測腫瘤並標示，也能判斷腫塊類型和可能的基因突變，提供肺結節處理建議。</p> <p>團隊也將電腦斷層預測結果整合臨床大數據，透過肺腺癌病患醫療大數據和AutoML方法建立腦轉移、預後與藥物反應預測模組，當電腦斷層影像發現新發個案時，可立即預測腦轉移風險和選藥建議。</p> <p>再來，北醫大將與雲象科技研發的全玻片數位病理判讀技術，延伸開發出肺腺癌病理基因突變預測選藥模型，來快速自動標註病灶，並預測最常見基因的突變狀態，來提早精準用藥。最後，團隊也利用NLP開發出病理報告自動判讀選藥檢疫系統和肺腺癌全基因用藥建議模型，只要輸入一份病人病理報告，就能得到存活率較高的健保與自費用藥推薦，且整合治療效果和存活期資訊，篩選出與病患相似且預後最佳的選藥治療建議。對於晚期肺癌無法開刀或已轉移復發的病人，系統還會自動將病人狀況媒和全球新藥試驗場域。<a href="https://www.most.gov.tw/folksonomy/detail/03350e10-7c91-4f6f-9028-dd5c3120425e?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-04-28%20at%2011_45_32%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯合學習又有新進展！高雄聯合學習醫療聯盟成立</strong></span></p> <p>臺灣聯合學習又有新進展，高醫附醫、高雄長庚、高雄榮總、義大醫院等4家醫院聯手成立高雄聯合學習智慧醫療聯盟，要針對在地臨床需求，發展腦心重症、就醫、智慧照護和健康關懷等領域的聯合學習專案。</p> <p>該聯盟關鍵推手臺灣人工智慧實驗室（Taiwan AI Labs）透露，將建立跨院聯合驗證確效平臺，來評估軟體醫材成效，加速智慧醫材SaMD發展與落地。高雄聯合學習智慧醫療聯盟是自去年臺灣聯合學習產業大聯盟成立以來，首個落地的產業聚落案例，與此同時，臺灣人工智慧實驗室也在高雄成立研發總部籌備處，預計擴編百人研發團隊，要與當地學界如中山大學、成功大學，來聚焦動態分潤演算、聯合學習資訊安全、智慧醫療聯網、前瞻醫療器材研發等領域發展。<a href="https://www.kcg.gov.tw/CityNews_Detail1.aspx?n=3A379BB94CA5F12D&ss=22CFD49BA03FB8FA">（詳全文）</a></p> <p><img alt="" src="https://kcginfonews.kcg.gov.tw/upload/RelPic/15105/6d565fdd-e13c-46bc-93be-2105f055cb82.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音轉文字 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Conformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google語音轉文字模型通吃3種任務，現已嵌入SST服務</strong></span></p> <p>Google雲端在語音轉文字API（STT）服務中，採用Conformer新模型，提高23種語言和61種區域口音的語音辨識準確性。過去，自動語音辨識技術是基於單獨的聲音、發音和語言模型，並各自單獨訓練這3類模型，最後再組裝起來辨識語音。但Google的Conformer新模型，則是單一神經網路，通吃這3種任務。</p> <p>Conformer架構是帶有卷積層的Transformer模型，可捕捉語音訊號中的區域和全域資訊。用戶使用STT API時，添加新標籤latest long和latest short，就能存取最新的Conformer模型，分別針對影片等應用設計和命令或短語上。新模型能支援更多類型語音、噪音和聲音條件，讓用戶可將語音技術嵌入應用程式中，這讓應用程式的使用者，能用更長的句子與應用程式互動。<a href="[https://www.ibm.com/blogs/systems/ibm-telum-processor-the-next-gen-microprocessor-for-ibm-z-and-ibm-linuxone/](https://www.ibm.com/blogs/systems/ibm-telum-processor-the-next-gen-microprocessor-for-ibm-z-and-ibm-linuxone/)">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/stt_model.max-600x600.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言處理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS開源51種語言AI訓練資料集和程式碼</strong></span></p> <p>Amazon釋出一套MASSIVE資料集，涵蓋51種語言，開發者可用來訓練虛擬助理。Amazon表示，到了2023年，全球會有80多億個AI虛擬助理，還有1億多臺智慧喇叭，但大部分的虛擬助理都只使用1種或少數幾種主流語言。</p> <p>為解決問題，NLP界發展出大量多語自然語言理解（MMNLU）模型。透過學習跨語言的共享資料表徵，模型可將從豐富訓練資料的主流語言學知識，轉移到資料稀少的語言上。為促成MMNLU的出現，Amazon釋出MASSIVE資料集，內含跨51種語言加註過的100萬條語句或單詞，以及程式碼。資料集包括訓練、驗證和測試資料，後者則提供MMNLU模型的執行範例。<a href="https://www.amazon.science/blog/amazon-releases-51-language-dataset-for-language-understanding">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/2bc4d4e/2147483647/strip/true/crop/1440x810+0+0/resize/1200x675!/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2Fb6%2F2f%2Fee1905e3464ab916a727da524572%2Famazonscience-hello-16x9.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位服務法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內容平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>平臺業者得提供推薦演算法！歐盟揭露數位服務法新要求</strong></span></p> <p>歐盟近期公布《數位服務法》（Digital Services Act）條文，規範內容平臺需提供2種以上的內容推薦系統，且歐盟有權存取內容平臺演算法，若不合規定，最高可對違法者裁罰6%全年營收。</p> <p>《數位服務法》今年1月通過，並展開會員國協商，這次要求內容平臺業者得負更多責任，比如更快移除不良或非法內容。這次協商影響最大的規範是，歐盟及會員國可存取超大型平臺的演算法，這些平臺也必須對用戶告知內容推薦系統的運作，且用戶可以有至少一個非依用戶側寫（profiling）推送內容的系統。不過該法條文尚未底定，歐洲議會代表將於5月前往美國討論這項新法，再由歐洲議會、歐盟理事會做最後許可。一旦完成並公布，將在20日執行，並在2024年上路。<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 鴻海 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對抗式學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鴻海用高速雲平臺加速AI模型訓練</strong></span></p> <p>鴻海去年開始啟動雲原生技術開發、混合辦公場域建立、核心系統上雲布局全球等三大戰略，近日鴻海研究院分享成果，藉Azure雲平臺高速算力，取得不少AI研究突破。</p> <p>比如，他們將對抗式模型的訓練時間，從3小時縮短到5分鐘，用來強化自駕車AI系統的安全性。又或是，鴻海用高速平臺縮短高解析度非監督式影像轉換模型，能在硬體資源有限的情況下生成高解析度影像，作為更擬真的自駕車場景訓練資料。此外，他們也加速自監督預訓練模型的開發，將巨量未標註的街景資料用來訓練預訓練模型，之後供不同專案使用，依任務特性，以少量資料微調即可。</p> <p>鴻海也研究自監督虹膜影像分割技術，也就是以無人工標註資料訓練模型，來更準確分割虹膜，提到辨識準確率。該技術也能用於自駕車的街景影響分割，進而訓練出更準確的模型。最後，鴻海也成功加速研發出符合醫療器械促進協會（AAMI）的即時、連續性血壓偵測AI，模型訓練時間比先前快上400倍。<a href="https://news.microsoft.com/zh-tw/azure-hpc-foxconn-ai/">（詳全文）</a></p> <p>圖片來源／Disclose.tv、北醫大、高雄市政府、Google、AWS</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟資料治理產品重整為Purview</strong></p> <p><strong>2. Google發表表格文字辨識新模型</strong></p> <p>資料來源：iThome整理，2022年4月</p> </div></div></div>
2022/4/28 12:26作者王若樸https://www.ithome.com.tw/news/150657
蘋果私密轉送VPN功能可能讓macOS機器曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的私密轉送（Private Relay）功能以確保用戶隱私為號召，<a href="https://mullvad.net/en/blog/2022/4/25/apples-private-relay-can-cause-the-system-to-ignore-firewall-rules/" target="_blank">但廠商發現這項技術可能有一瑕疵</a>，可能讓用戶裝置部份資訊被ISP得知。</p> <p>Private Relay功能類似VPN通道或Tor的運作。從用戶端送出流量時，它會以加密連線將網路流量繞經數個轉送伺服器（relay server），再送到網際網路。<a href="https://support.apple.com/zh-tw/HT212614" target="_blank">蘋果表示</a>，這項功能可使Safari用戶上網時沒有人、包括蘋果能看到用戶身份或他造訪的網站，確保上網隱私。私密傳送屬於在iCloud+訂閱服務中的一項服務，目前這項功能還是Beta版，包含在iOS/iPadOS 15以及macOS Monterey版中。</p> <p>VPN廠商Mullvad發現Private Relay功能似乎會忽略防火牆規則，而擅自呼叫蘋果伺服器（call home），引發訊號洩露。他們發現在Mac機器啟動Private Relay功能後，一道QUIC流量在VPN通道之外從電腦送出。一旦關閉這項功能，外溢的訊號就停止了。這道流量是否屬於Private Relay不得而知，但和它有關是確定的。</p> <p>此外，如果macOS電腦內建的PF（Packet Filter）防火牆加入了任何防火牆規則，Private Relay會自行關閉，同樣的，如果用戶的VPN加入防火牆規則，它也會關閉。</p> <p>至於這道訊號是什麼，廠商相信只是傳送給蘋果的heartbeat訊號呼叫，但既然目的地是蘋果伺服器，ISP及用戶本地網路應該也會由此訊號得知這來自macOS裝置。</p> <p>研究人員建議用戶為了以防萬一，最好暫時關閉Private Relay功能。</p> <p>目前蘋果尚未對此回應，但媒體相信，Private Relay會在正式釋出之前予以修復。一般預料蘋果會在今年秋天釋出的iOS 16推出這項服務。</p> </div></div></div>
2022/4/28 13:20作者林妍溱https://www.ithome.com.tw/news/150658
美國懸賞1,000萬美元以追捕Sandworm駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://twitter.com/RFJ_USA/status/1518983587697147906" target="_blank">美國國務院在本周祭出新的正義獎勵（Rewards for Justice，RFJ）計畫</a>，提供最高1,000萬美元的獎金來追捕駭客集團Sandworm的6名駭客。美國相信這6名駭客隸屬於俄羅斯情報局（GRU）的74455部隊，又被命名為Sandworm Team、Telebots、Voodoo Bear與Iron Viking。自2015年起就於全球展開網路攻擊，包括攻擊美國的重大基礎設施。</p> <p dir="ltr">RFJ計畫是專為那些攻擊美國重大基礎設施、違反《電腦詐欺及濫用法令》（Computer Fraud and Abuse Act，CFAA）的通緝犯所設立的獎勵計畫，鼓勵知道駭客身分或位置的線人透過Signal、Telegram、WhatsApp等加密通訊程式，或者美國政府的洋蔥網站向美國提供相關資訊。</p> <p dir="ltr">其實美國應該已經知道這6名駭客的身分，<a href="https://www.ithome.com.tw/news/140613" target="_blank">因為美國司法部早在2020年就起訴了他們</a>，包括34歲的Yuriy Sergeyevich Andrienko、37歲的Sergey Vladimirovich Detistov、30歲的Pavel Valeryevich Frolov、31歲的Anatoliy Sergeyevich Kovalev、29歲的Artem Valeryevich Ochichenko，以及34歲的Petr Nikolayevich Pliskin ，他們全都被指控7項罪名，包括電腦詐欺、電匯詐欺及身分竊盜等。</p> <p dir="ltr">此外，美國的懸賞海報上也刊出了他們的照片，宣稱這些駭客替俄羅斯政府執行惡意的網路活動，以攻擊美國的重大基礎設施。</p> <p dir="ltr"><img alt="" src="https://pbs.twimg.com/media/FRSDhaxWYAEmkZY?format=jpg&name=900x900" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國務院</span></span></p> <p dir="ltr">Sandworm駭客集團曾在2015年利用KillDisk及Industroyer造成烏克蘭大停電；在2017年以魚叉式網釣攻擊企圖影響法國的總統大選；2017年釋出的NotPetya危害了醫療機構、FedEx、TNT Express，以及美國大型的製藥公司；在2018年攻擊於南韓舉行的冬季奧運會；在2018年針對禁止化學武器的組織與英國國防科學技術實驗室進行魚叉式攻擊；同年亦大規模攻擊喬治亞的政府機構與民間企業。</p> <p dir="ltr">即使於2020年遭到美國起訴，Sandworm依然故我，<a href="https://www.ithome.com.tw/news/150300" target="_blank">美國相信在今年感染WatchGuard防火牆與華碩路由器的殭屍網路惡意程式Cyclops Blink亦是出自Sandworm之手</a>。</p> <p><a href="https://www.state.gov/rewards-for-justice-reward-offer-for-information-on-russian-military-intelligence-officers-conducting-malicious-activity-against-u-s-critical-infrastructure/" target="_blank">美國國務院表示</a>，Sandworm的惡意行為迄今已造成美國實體近10億美元的損失。</p> </div></div></div>
2022/4/28 11:08作者陳曉莉https://www.ithome.com.tw/news/150654
微軟揭露Linux的權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/" target="_blank">微軟本周揭露影響許多Linux版本的權限擴張漏洞</a>，相關漏洞存在於Systemd的networkd-dispatcher套件中，漏洞編號為CVE-2022-29799與CVE-2022-29800，微軟把它們統稱為Nimbuspwn漏洞，將允許駭客取得系統權限以部署酬載或執行其它惡意活動。</p> <p>networkd-dispatcher套件為許多Linux版本的套件，負責調度網路狀態的變更，還能執行各種腳本程式來回應新狀態，在機器啟動時便以根權限身分運作。</p> <p>微軟首席安全研究人員Jonathan Bar Or指出，他們會發現Nimbuspwn漏洞是因為他們會監控System Bus上的訊息，也會針對那些以根權限執行的服務進行程式碼的審核與動態分析，進而察覺到networkd-dispatcher的奇怪模式。</p> <p>Nimbuspwn漏洞涉及目錄遍歷（Directory Traversal）、符號連結競爭（Symlink Race），以及檢查時間/使用時間競爭條件（Time-of-Check-Time-of-Use Race Condition）等問題，得以讓駭客擴張權限，以部署惡意程式或執行其它惡意行為。</p> <p>Bar Or說，隨著各大組織持續仰賴不同的裝置與系統，它們需要全面的解決方案來提供跨平臺的保護，Linux環境中愈來愈多的安全漏洞亦彰顯了監控Linux及其元件的必要性。</p> <p>networkd-dispatcher的維護者Clayton Craft已修補了上述漏洞，Linux用戶則應於所使用的版本更新時儘速升級。</p> </div></div></div>
2022/4/27 21:01作者陳曉莉https://www.ithome.com.tw/news/150653
【資安日報】2022年4月27日，德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著烏克蘭戰爭的持續進行，伴隨著西方國家對於俄羅斯祭出經濟制裁，尤其是歐洲國家試圖透過再生能源擺脫對於該國的能源依賴，使得相關業者也遭到俄羅斯駭客鎖定。歐洲風力能源委員會（WindEurope）指控，最近幾起與德國風力發電有關業者遭到攻擊的事故，都是俄羅斯駭客出手，目的很可能都是企圖阻撓德國透過這種方式產生所需電力。</p> <p>而在烏克蘭戰爭之外，鎖定重大漏洞發動攻擊的事故也相當值得留意。在今天的資安新聞裡，伊朗駭客利用VMware身分驗證系統的重大漏洞CVE-2022-22954發動攻擊，但在此之前，已有人利用此漏洞散布Linux惡意軟體。</p> <p>我們把焦點轉回國內，隨著Omicron疫情升溫，臺北市不少學校相繼出現停課的情況，師生在被隔離的期間利用遠距教學上課。但在這個時候，臺北市線上教學平臺酷課雲卻傳出遭到DDoS攻擊的事故，而且，在2天之內已遭到4次攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150625"><span style="color: rgb(0, 0, 0);">德國多家風力發電廠遭到網路攻擊，疑與俄羅斯駭客有關</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150480#nordex">勒索軟體駭客Conti於3月底，對於德國風力發電機製造商Nordex發動攻擊</a>，但這很可能不是單一事件。根據華爾街日報的報導指出，歐洲風力能源委員會（WindEurope）指控，聲援俄羅斯的駭客組織，近日鎖定了因俄羅斯遭到經濟制裁而受惠的產業下手，尤其是對於再生能源之一的風力發電，且其中多起事件都是針對德國業者而來。</p> <p>在俄羅斯開始出兵烏克蘭之際，風力發電機製造商Enercon GmbH即因<a href="https://www.ithome.com.tw/news/150233#viasat">衛星網路（編按：此處應指美國衛星網路Ka-sat）遭到攻擊</a>，駭客切斷該公司對於近6千臺發電機的遠端控制能力；再者，就是3月底Nordex的資安事故；而到了4月上旬，風力發電維運業者德唯特（Deutsche Windtechnik）亦傳出遭到勒索軟體攻擊，導致約2千臺發電機的遠端控制系統停擺了大約一天。WindEurope認為，雖然上述風力發動業者沒有直接表明是遭到俄羅斯駭客襲擊，但這些駭客很可能出於上述報復的動機，繼續對相關業者出手。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/vmware-identity-manager-attack-backdoor"><span style="color: rgb(0, 0, 0);">又有駭客鎖定4月初VMware公布身分驗證系統的漏洞，發動惡意軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png" style="width: 300px; float: right;" /></a>VMware在4月6日針對旗下的Workspace ONE Access、Identity Manager等解決方案，發布漏洞修補程式，<a href="https://www.ithome.com.tw/news/150450#CVE-2022-22954">先前已有重大漏洞被用於散布Linux惡意軟體</a>，但最近有資安業者指出，APT駭客也開始利用這些漏洞發動攻擊。資安業者Morphisec指出，他們在4月11日，看到有人公布CVE-2022-22954的概念性驗證（PoC）攻擊程式後，伊朗駭客組織APT35（亦稱Rocket Kitten），也開始利用相關漏洞發動攻擊。</p> <p>這些駭客先於存在弱點的VMware Identity Manager執行PowerShell命令，從C2伺服器下載惡意程式載入器PowerTrash，並將滲透測試工具Core Impact載入記憶體內執行。在攻擊的過程中，駭客不只運用CVE-2022-22954，也利用了另外兩個需要管理者權限的RCE漏洞CVE-2022-22957、CVE-2022-22958。研究人員針對C2伺服器進行調查，疑似與主機代管業者Stark Industries有關，但該主機代管業者的母公司PQ Hosting SRL表示，他們的子公司沒有參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵可口可樂，竊得161 GB資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Stormous-poll.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stormous-poll.png" style="width: 300px; float: right;" /></a>日前<a href="https://www.ithome.com.tw/news/149780#mercado">勒索軟體駭客Lapsus$利用Telegram頻道舉行投票</a>，以決定接下來要公布受害組織資料的對象，如今也有其他組織仿效。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Stormous聲稱近期成功入侵飲料大廠可口可樂，並竊得161 GB資料，內容為含有文件的壓縮檔案，以及具有管理員、電子郵件、密碼的純文字檔案、帳號與付款資料的ZIP壓縮檔案等，駭客以1.65個比特幣（約6.4萬美元）的價格銷售這些資料。而這些駭客也傳出在下手之前，先在Telegram群組徵求其他支持者的意見，結果有超過7成的用戶投給了可口可樂。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-dental-association-hit-by-new-black-basta-ransomware/"><span style="color: rgb(0, 0, 0);">美國牙醫協會遭到勒索軟體Black Basta攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊醫療機構的態勢，如今也延燒到相關的保健推廣機構。根據資安新聞網站Bleeping Computer的報導，美國牙醫協會（ADA）於4月22日遭到網路攻擊，被迫將受影響的系統離線，暫停網站上的多項服務。此起事故不光ADA的網站部分服務停擺，也波及美國各州的牙醫協會，該新聞網站認為，這很可能是勒索軟體攻擊事件。</p> <p>上述事故發生不久，資安研究團隊MalwareHunterTeam向Bleeping Computer透露，名為Black Basta的勒索軟體駭客組織聲稱攻擊ADA得逞，並公開2.8 GB的外洩資料，約占他們竊得資料的三成。這些外洩的資料多半與ADA會員有關，ADA認為，駭客很有可能會利用這些資料，對牙醫診所進行網釣攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-the-ink-stained-trail-of-goldbackdoor/"><span style="color: rgb(0, 0, 0);">北韓駭客利用惡意軟體Goldbackdoor攻擊記者</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Kang-Min-chol-Edits-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kang-Min-chol-Edits-2.png" style="width: 300px; float: right;" /></a>根據新聞網站NK News於4月1日的報導，北韓駭客組織APT37（亦稱Ricochet Chollima）疑似鎖定專門報導該國新聞的記者發動網路釣魚攻擊，該網站尋求資安業者Stairwell進行調查，最近有了進一步的結果。</p> <p>研究人員發現，駭客組織利用南韓國家情報局（NIS）前局長的名義寄送釣魚郵件，並要求記者透過連結下載含有LNK捷徑檔案的ZIP壓縮檔，駭客將此LNK檔案的圖示置換成文件的樣式，且檔案大小有282.7 MB，而使得防毒軟體可能會略過檢查。但實際上，受害者一旦執行LNK檔案，將會從OneDrive或Google Drive，下載名為Goldbackdoor的惡意軟體，進而執行竊密的工作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150623"><span style="color: rgb(0, 0, 0);">無聊猿猴IG帳號遭駭，駭客盜走粉絲近3百萬美元的NFT</span></a></strong></h3> <p>非同質化代幣（NFT）吸引許多人投資的同時，也屢屢遭到駭客覬覦，例如，藝人周杰倫的無聊猿猴NFT於4月初遭竊，<a href="https://www.ithome.com.tw/news/150516#rarible-jaychou">駭客很可能利用了NFT市集Rarible的漏洞攻擊得逞</a>，而這次則是鎖定官方社群網站帳號下手。無聊猿猴遊艇俱樂部（BAYC）於4月25日發布警告，指出他們的Instagram帳號遭到駭客挾持，駭客假借BAYC的名義發布詐騙網址，偷走了91個NFT，價值逾280萬美元。值得留意的是，BAYC已採用雙因素驗證機制，究竟駭客如何取得他們的Instagram帳號控制權？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.appledaily.com/life/20220426/KVUUKSFXO5AN5G7OQNCJAMVHQA/"><span style="color: rgb(0, 0, 0);">北市線上教學平臺酷課雲遭DDoS攻擊而停擺</span></a></strong></h3> <p>近期臺灣Omicron疫情爆發，臺北市是重災區，許多學生和老師在隔離的狀況下必須仰賴線上授課，卻傳出相關平臺遭到DDoS攻擊而停擺。臺北市線上教學平臺酷課雲約於4月25日下午1時5分，疑似出現大量登入連線導致該系統中斷服務1個小時，<a href="https://www.doe.gov.taipei/News_Content.aspx?n=0F560782595DACFC&sms=72544237BBE4C5F6&s=529CE07A4A3ACEA2">臺北市政府教育局先是發出公告指出</a>，很可能是負責維運的業者臺灣智園的資源自動調度失靈所致，經廠商搶修後，該系統已於當日下午2時30分恢復正常，此起事故影響範圍為課堂點名與作業繳交，直播授課不受影響。</p> <p>隔日，臺北市政府於防疫記者會針對此事做出進一步說明，指出此起事故是來自國外IP位址的DDoS攻擊，該系統處理1萬次請求而導系統癱瘓，截至26日下午的記者會之前，這樣的攻擊行動已出現4起。臺北市政府指出，他們正在升級酷課雲的資安防護系統，希望能夠讓學生和老師能正常上課。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/27 18:17作者周峻佑https://www.ithome.com.tw/news/150652
簡訊實聯制午夜退場，家用快篩劑實名制28日啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因疫情變化，中央流行疫情指揮中心今日（4/27）宣布2大新措施，首先是取消簡訊實聯制、改以社交距離App因應，另一是明日啟動家用快篩實名制，民眾以健保卡就可至藥局和偏鄉衛生所購買。</p> <p>指揮中心表示，因COVID-19疫情進入社區流行階段，因此取消公共場所簡訊實聯制，並鼓勵民眾下載臺灣社交距離App來替代。指揮官陳時中表示，近日團隊正進行社交距離App改版，來因應簡訊實聯制退場。簡訊實聯制將於28日零時結束運作，但指揮中心表示，民眾出入場所時，仍應出示App畫面。</p> <p>另一方面，因應疫情急速上升、家用快篩試劑需求大增，指揮中心宣布家用快篩試劑販售實名制明日上路，民眾可持健保卡或居留證，至全國4,909家健保特約藥局及58個偏鄉衛生所購買，無年齡限制，每人都可購買。</p> <p>其中，販售模式依循先前口罩實名制1.0初期，以身分證字號尾數單雙號進行分流，單號星期一、三、五，雙號則是二、四、六，周日開放全民購買。不過，每輪每個身分證字號只能購買1次，也可代替他人購買，指揮中心會視情況公布下一輪日期。</p> <p>就購買份數來說，每人購買1份，每份包含5劑，每劑100元，因此共500元。指揮中心計畫販售至少5,000萬劑，共1,000萬份（人次）。民眾可至健保署、食藥署、藥師公會官網查詢販售資訊。</p> <p>最後，指揮中心提醒，口罩實名制實施至今歷時2年多，將於4月30日完成第一階段的任務，多數藥局將轉為快篩試劑實名制販售通路，因此，5月1日起想購買口罩實名制的民眾，得至145家藥局購買，藥局名單可至食藥署官網查詢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10-0426%E5%AE%B6%E7%94%A8%E5%BF%AB%E7%AF%A9%E5%AF%A6%E5%90%8D%E5%88%B6%E8%A6%8F%E5%8A%83-02.jpeg" /></p> <p>另，指揮中心也針對新疫情措施提供更多補充資訊，像是確診者通知密切接觸者，但密切接觸者尚未收到居家隔離書時，可先自行進行居家隔離3天，以及自主防疫4天。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-01.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-02.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-03.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-04.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-05.jpeg" /></p> </div></div></div>
2022/4/27 15:19作者王若樸https://www.ithome.com.tw/news/150648
Google Play Store新政策要求App公布蒐集資料類別，7月20日上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年5月針對App開發商公布「資料安全」章節，<a href="https://support.google.com/googleplay/android-developer/answer/10787469" target="_blank">本周開始部署</a>，要求在Play Store 上架的App需向用戶說明蒐集或分享哪些資料，7月底正式啟動。</p> <p>Play Store最新政策將在未來幾周內完成部署，7月20日正式啟動。資料安全章節要求開發商必須針對在Google Play上架的App，宣告它蒐集、分享及處理了哪些用戶資料（如地點、財務、個資、相片/影片、健康、上網活動、App活動及效能、訊息、裝置資訊）、蒐集的用意為何（如App功能、分析、用於行銷及廣告、個人化、詐欺偵測或遵法），以及詳細說明如何透過加密等安全措施保護這些資料。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0427-Provide%20information%20for%20Google%20Play's%20Data%20safety%20section-600-1.jpg" style="width: 460px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>受保護的資料也涵括App內使用的第三方函式庫或SDK。開發商也應提供SDK供應商，如Firebase或AdMob的資料安全資訊URL，方便用戶尋找進一步資訊。</p> <p><a href="https://play.google.com/console/u/0/signup" target="_blank">App開發商需經由App內容頁（Policy > App content）</a>，填寫資料安全章節表格。所有App，包括在內部測試、封閉、開放測試或上線測試各個階段的App，甚至完全不蒐集用戶資料的App都應填寫表格，且提供連向隱私政策的連結。如果App完全不蒐集用戶資料，則表格和隱私政策頁將顯示沒有蒐集或分享任何用戶資料。</p> <p>完成填寫及提供的宣告資料，會由Google審查作為App審核流程的一部份。這些宣告會顯示在Google Play的上架資訊中，在用戶下載前顯示供用戶參考。</p> <p>Google表示Play團隊會審查App是否遵守政策，但App開發商有責任確保這些宣告的完整和精確性，若日後Google發現App實際行為與宣告有出入的話也將採取行動，包括送交執法機關。</p> <p>所有資料必須在7月20日完成填寫上傳，App開發商也可以提早完成上傳，如果沒有問題就會在該日期後正式上線。</p> </div></div></div>
2022/4/27 16:05作者林妍溱https://www.ithome.com.tw/news/150649
特斯拉和中國關聯引發外界對馬斯克收購推特疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">推特公布科技大亨馬斯克以440億美元收購推特下市的計畫</a>。但是馬斯克的特斯拉（Tesla）在中國製造及以中國為重要市場，讓市場人士擔心將為推特未來蒙上一層陰影。</p> <p>在推特被馬斯克（Elon Musk）收購下市的消息公布後，<a href="https://twitter.com/PekingMike/status/1518675370895097858" target="_blank">紐約時報記者Mike Forsythe指出</a>，推特自2009年就被中國政府封鎖，原本中國政府對推特沒有任何控制力，但可能隨著馬斯克買下推特而改變，因為特斯拉電動車的電池主要是來自中國電池供應商，另一方面去年中國已成特斯拉全球第2大市場，僅次於美國。</p> <p><a href="https://twitter.com/JeffBezos/status/1518734031566778368" target="_blank">Amazon創辦人Jeff Bezos 回應該推文時抛出一個問題</a>：「中國政府是否剛剛取得了這自由論壇的一部份控制力？」</p> <p class="rtecenter"><a href="https://twitter.com/JeffBezos/status/1518734031566778368" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-jeff%20bezos%20twitter%20elon%20musk.jpg" style="width: 565px;" /></a></p> <p>媒體及一些分析家相信，為保護特斯拉在中國的利益可能讓馬斯克在言論自由問題上向中國低頭，例如交出批評中國的用戶個資。</p> <p><a href="https://twitter.com/isaacstonefish/status/1518579309207822337" target="_blank">Newsweek記者Isaac Stone Fish也指出</a>，馬斯克為了特斯拉的利益長期與北京政府保持友好關係，甚至鼓勵中國的言論管制，這些都會直接傷害推特保護言論自由的能力。撇開中國問題不說，<a href="https://www.bloomberg.com/news/features/2021-07-05/tesla-s-fall-from-grace-in-china-shows-perils-of-betting-on-beijing?sref=Nij721gp" target="_blank">彭博去年報導</a>，特斯拉甚至自己要中國政府管制在微博或微信等批評特斯拉的貼文。</p> <p>不過Bezos認為，面對北京，推特的言論管制挑戰還算小，更複雜的問題可能是在特斯拉方面。但他也委婉地說，馬斯克相當嫻熟於解決這類複雜問題。</p> <p>馬斯克的確將更仰賴中國市場。<a href="https://www.reuters.com/business/autos-transportation/exclusive-tesla-plans-new-shanghai-plant-more-than-double-china-capacity-sources-2022-02-24/" target="_blank">根據路透社報導</a>馬斯克3月在上海浦東開設的新Gigafactory，一年將增加200萬臺新車的年產量，使特斯拉成為全球最大車廠。</p> <p>美國以反托拉斯聞名的參議員Elizabeth Warren，<a href="https://twitter.com/SenWarren/status/1518702084048179200" target="_blank">指出這樁交易對美國民主政治十分危險</a>，像馬斯克等億萬富豪的手段靈活異於一般人，他們累積了大量資源以自利。她認為需要透過開徵富豪稅和強大的政策確保科技巨擘負起責任。</p> <p class="rtecenter"><a href="http://twitter.com/SenWarren/status/1518702084048179200" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0427-Elizabeth%20Warren%20twitter%20elon%20musk.jpg" style="width: 575px;" /></a></p> </div></div></div>
2022/4/27 14:34作者林妍溱https://www.ithome.com.tw/news/150647
微軟雲端服務單季成長46%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2022-Q3/" target="_blank">微軟周二（4/26）公布截至今年3月底的2022財年第三季財報</a>，該季微軟締造494億美元的營收，比前一年同期成長18%，淨收入為167億美元，成長8%，每股盈餘為2.22美元。所有業務中成長最快的仍是Azure與其它雲端服務，相關營收成長了46%。</p> <p>在不同的營收類別中，占比最高的是智慧雲端（Intelligent Cloud），該類別包含了伺服器與雲端服務，創下191億美元的營收，成長26%；居次的是生產力與業務流程（Productivity and Business Processes）的158億美元，它包含Office、LinkedIn與Dynamics產品，成長17%；更多個人運算（More Personal Computing）營收為145億美元，該類別涵蓋了Windows、Xbox及Surface，成長14%。</p> <p>微軟亦列出各別產品及服務的成長幅度，該季以Azure/其它雲端服務的成長最高，達46%，Dynamics 365成長了35%，LinkedIn營收也有34%的成長幅度。</p> <p>微軟財務長Amy Hood則說，該季Microsoft Cloud的表現超乎預期，帶進了234億美元的營收，成長32%。Microsoft Cloud 指的是Azure、Microsoft 365、Dynamics 365、Power Platform、GitHub、LinkedIn，以及安全服務。</p> <p>值得一提的是，<a href="https://www.microsoft.com/security/blog/2021/01/27/microsoft-surpasses-10-billion-in-security-business-revenue-more-than-40-percent-year-over-year-growth/" target="_blank">微軟曾在去年1月指出</a>，該公司的安全業務年度營收已突破100億美元，在過去12個月成長了40%，<a href="https://www.cnbc.com/2022/04/26/microsoft-15-billion-security-unit-gives-investors-reason-for-hope.html" target="_blank">並已於今年1月達到150億美元</a>，透露出雖然未於財報中揭露，但安全已成為重要的微軟營收來源。</p> <p>公布財報的當天，微軟盤後上漲了4.51%，股價漲至282.4美元。</p> </div></div></div>
2022/4/27 14:05作者陳曉莉https://www.ithome.com.tw/news/150646
上市櫃公司年報揭露資安作為，已有台積電、京城銀十多家企業公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動國內企業落實資安，提升年報資訊揭露品質，<a href="https://www.ithome.com.tw/news/148154">金管會在去年11月30日正式完成相關法令修改，要求上市、上櫃及興櫃公司，需在年報記載資安管理作為</a>，不僅提升資訊揭露的透明度，也將促使那些在資安作為上較被動的企業，能夠採取行動，至少建立基本資安管理框架。目前已有少數企業開始釋出2021（110年度）年報，當中也如預期揭露公司資安概況。</p> <p>隨著3月底年度財務報告公告申報期限截止，按理來說，各上市櫃公司將在3到6月舉行股東常會的前夕，對外發布公司年報，讓投資人與外界進一步了解企業經營狀況，在這份報告中，不只是要列出公司治理、募資、營運、財務等狀況的摘要說明，以及財務績效檢討分析與風險事項等，今年度更是首次揭露企業資安方面的組織架構、政策，以及說明該年度的資安事件。</p> <p>關於這些內容揭露的時機與數量，根據金管會公布的2022企業年度股東常會的舉行時程來看，3月份有1家、4月有14家、5月份456家、6月份1,580家，這些公司必須在股東常會7日之前對外公布年報內容，而資本額百億元或外資陸資持股3成以上者，更要提早於14天上傳。</p> <p>因此，在我們截稿之前（4月25日），單就3、4月份舉行股東常會的公司而言，至少就有力積電、系統電等共15家公司，已經公布包含資安管理作為的股東會年報。而在接下來的兩個月，國內將有2千多家上市櫃公司陸續發布股東會年報。</p> <p>同時，我們發現，已有少數公司的股東會在更晚舉行，但現在就已提早發布，包括台積電、創意、京城銀、統一超商等公司等。尤其是台積電，股東常會是在6月8日舉行，該公司在4月14日就已釋出股東會年報，早了至少一個半月。</p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>2022年上市櫃公司股東常會召開時程</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width:536px;" width="535"><tbody><tr height="22"><td height="22" style="height:22px;width:78px;">召開月份</td> <td style="width:459px;">該月份召開股東常會公司及數量</td> </tr><tr height="22"><td height="22" style="height:22px;">3月</td> <td>新華1家</td> </tr><tr height="43"><td height="43" style="height:43px;">4月</td> <td style="width:459px;">橋樁、寶島極、欣大健康、強信-KY、系統電、凱鈺、沛波、康科特、長勝、力積電、鉅橡、華鎂鑫、富鼎、率電等，共14家。</td> </tr><tr height="65"><td height="65" style="height:65px;">5月</td> <td style="width:459px;">台泥、統一、聯電、鴻海、佳世達、研華、南亞科、中華電、聯發科、陽明、萬海、彰銀、統一超、中租-KY、矽力-KY、台塑化、南電、富邦媒等456家。</td> </tr><tr height="108"><td height="108" style="height:108px;">6月</td> <td style="width:459px;">台塑、南亞、台化、亞德客、中鋼、和泰車、裕日車、台達電、國巨、台積電、華碩、瑞昱、廣達、友達、長榮、華南金、富邦金、國泰金、開發金、玉山金、元大金、兆豐金、台新金、中信金、第一金、大立光、聯詠、欣興、台灣大、日月光、遠傳、上海商銀、合庫金、豐泰等1,580家。</td> </tr><tr height="8"><td colspan="2" height="22" style="height:22px;"> 資料來源：臺灣證券交易所，iThome整理，2022年4月</td> </tr></tbody></table><h2><strong>在法令開始要求前，早有企業主動揭露資安管理與因應作為</strong></h2> <p>基本上，資安風險也是企業經營風險的一環，部分公司前幾年就開始主動揭露資安做為──早在臺灣政府的法規要求之前，已有少數企業會在風險管理的面向上，揭露資通安全風險及管理措施，台積電就是一例。</p> <p>過去，該公司在2020年報的風險管理內容揭露中，就已涵蓋資訊技術安全的風險，並對其管理措施做出說明。不僅如此，他們在2020年度企業社會責任報告中，公開了更多相關資訊，包括從2019年開始設立「企業資訊安全組織」，下轄資訊安全處與資訊保護處，揭露內部的企業資訊安全組織架構，以及專屬資訊保護委員會架構，同時說明其工作內容，並提及企業資訊安全組織最高主管，將每半年向董事會審計委員會彙報資安管理成效，以及資安相關議題及方向等。</p> <p>只是，這些資安治理方面的資訊，企業可能將相關資訊發布在公司網站某處，或是公布不同報告之中，或是不一定會對外公開。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E7%B6%B2%E7%AB%99202204%E4%B8%8A%E5%B8%82%E6%AB%83%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2.png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">隨著金管會2021年底法令修改，上市櫃公司在2021年報有三大注意要點，其中資通安全是全新重點。在年報中，金管會規範企業需揭露那些資安作為？基本上，有三個重點，分別是：（一）資通安全管理策略與架構，（二）資通安全風險與因應措施，（三）重大資通安全事件。</strong></p> <h2><strong>2021股東會年報新亮點：資通安全管理納入營運概況</strong></h2> <p>隨著金管會2021年底法令修改，在現有公布的2021年報中，企業開始揭露資安作為了嗎？是的！幾乎目前發布股東會年報的公司，都公開這方面資訊。</p> <p>大致來說，以管理面而言，各公司年報中的第五章「營運概況」，增加了「資通安全管理」的項次，說明資通安全風險管理架構、政策、具體管理方案，以及投入資源；以風險面而言，在後續章節的「風險管理」中，公司也說明了資訊技術安全對公司財務業務的影響及因應措施。同時，也會記載去年至今是否發生重大資安事件，以及危機處理應變機制說明。</p> <p>目前來看，台積電當然是眾人關注焦點，由於該公司往年揭露許多資安管理方面資訊，現在也將相關內容編制在2021年報之中，較特別的是，台積電在今年的年報中記載了更多資訊，包括年度資安的投入狀況，並提到去年台積電帶領SEMI標準工作組制定半導體資訊安全標準（SEMI 187）一事。</p> <p>而從現有十多家公司發布的年報來看，我們也對企業的資安狀態，有了更清楚的認識。</p> <h3><span style="color:#B22222;"><strong>揭露企業早已建立資安管理組織架構</strong></span></h3> <p>過去，國內有些企業很早就看重資安層面的管理，但這些資訊之前可能並未受到重視。</p> <p>2021年報中，多家企業公開資通安全管理架構發展歷程。例如，在所有金融業之中，將於5月初首先招開股東常會的京城銀行，2021年報已經釋出，當中公布的資訊顯示，該銀行在2015年11月成立資訊安全管理委員會，審查ISMS政策規畫及資安整體執行情形，同時揭露政策、具體管理方案；另一例子，則是全球知名水龍頭零組件商橋樁金屬公司，他們的年報顯示，該公司在2004年制定資訊管理規定，成立資訊安全處統籌相關政策，並於2017年發行資訊安全管理規定，成立資訊安全委員會。</p> <p>換言之，在這次年報中，我們可以看到一些公司很早就建立資訊安全委員會組織架構，來強化公司地資安管理，或是像台積電等公司，另外還有建立專屬資訊保護委員會，保護公司與客戶機密資訊。</p> <h3><span style="color:#B22222;"><strong>公布年度資安投資與人力狀況</strong></span></h3> <p>不只是資安管理架構與政策的公開，還有些公司更進一步闡明所投入資源。</p> <p>例如，台積電公布的資訊中，指出在2021年對於強化資訊安全的投資，超過10億元，並有超過500名員工負責資安相關業務，並有超過1千名外部人員，負責警勤等資安相關工作；在另一家企業：創意電子公布的資訊中，指出2021年投入資安的資源，比2020年費用成長190%。</p> <p>在京城銀行公布的資訊中，說明共有90名資安人力，包括去年12月新設資訊安全長一職，第二道防線資安推動單位3人，以及第一道防線資安執行單位86人，以及說明投入資安費用共1,284萬元；在統一超公布的資訊中，說明年度資安費用3,774萬，主要投入於網站防護、存取管理與安全性檢測的資安防護產品。</p> <h3><span style="color:#B22222;"><strong>如實公布資安治理處於長期階段</strong></span></h3> <p>有些資安推動進展較慢的公司，也如實公布資安治理發展現況。例如，在欣大健康公布的年報中，提到2021年他們擬定年度資訊安全政策與程序。而此舉不論是否為因應法令要求而設，但如果從這樣的現況來看，該公司對於資安管理，確實是轉向積極的態度。</p> <p>也有其他公司坦承未成立資通安全管理部門，但仍表達已強化資訊安全管理，並公布當前的管理政策與具體管理方案，或是表示尚未成立跨部門資訊安全委員會，甚至指出由行政課負責規畫、執行與推動。</p> <p>上述這些內容，雖然顯示公司的資安成熟度，仍有很大的發展空間，但也反映出這些公司誠實說明資安管理現況，值得大家肯定。畢竟,政府促進企業推動資安，主要目的也是希望更多尚未做好準備的企業，能夠真正為了提升資安，而付諸實際行動，至少要建立相關資安管理制度。而隨著相關資訊的透明度提升，也將讓管理高層檢視整體營運概況，以及風險時，能獲得更清楚的認知。</p> <p>日後這些企業，若能開始展現對於資安管理的積極性，如同在營運、永續的面向上，對於業務與市場經營、環保、ESG、勞資等議題有一樣重視程度，也將是各界所希望看到的。畢竟每間公司經營狀況有別，面對資安風險帶來的衝擊也不盡相同。</p> <p>另外須關注的是，在我們檢視的10多家公司2021年報中，發現有一家上櫃公司，可能沒有注意新的年報規範，雖然在其他重要風險及因應措施上，有說明資安風險評估分析及因應措施，以及資安具體管理方案，但在營運概況的章節上，並未看到資通安全管理策略與架構方面的說明。</p> <p>對於公司年報揭露未達揭露原則者，證交所表示，他們會在7月進行抽查，發現狀況後將請公司補充必要揭露內容，若遲未改善者，將可開罰24到480萬元。</p> <h3><span style="color:#B22222;"><strong>揭露企業董事會成員具資安背景</strong></span></h3> <p>關於證交所近年提倡董事會成員的組成，應考量多元化的背景安排，對此，我們在台積電年報中也看到實例，因為該董事會成員專業知識與才能，不只是商務、科技、財會、法律、行銷，其他，資訊安全也被獨立列出，並有一名獨立董事，本身具備這方面的背景。</p> <p>當然，或許各公司無法都能遴聘資安背景的董事、顧問，因此之前金管會的建議曾提到，或是可設置資安諮詢小組，增納專業人員參與董事會運作，另外，不少資安專家也提到，或是企業資安組織最高主管需定期向董事會成員彙報公司網路風險，讓董事會瞭解資訊並認可相關風險，這也意味著要讓董事會同樣負起責任。</p> <h3><span style="color:#B22222;"><strong>針對重大資通安全事件提出說明</strong></span></h3> <p>在上述資安管理組織架構面向的內容公開之外，年報登載還有兩個資安相關重點，那就是重大資通安全事件的說明，以及資通安全風險與因應措施。</p> <p>從目前已公開2021年報的公司來看，他們都表示無重大資安事件與財物損失。隨著更多公司年報的揭露，在2021到年報刊印日，公司若有發布資安重大訊息，理論上在事件調查結果、影響程度的揭露上，會有更進一步的公開說明，同樣值得外界留意。</p> <p>事實上，像是台積電在風險管理的面向上，除了說明資安技術安全為公司帶來的各式風險，同時也提到該公司數年前因購買及安裝內含惡意軟體的設備一事，並提及各方面的改進措施。</p> <p>無論如何,在金管會對公司年報揭露資訊的新要求之下，企業要能夠正視自身的資安防護不足，而對於已經推動資安的企業，其實也可藉由各個不同層面，來展現自家對資安的重視。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89%E7%B6%B2%E7%AB%99_202204%E4%B8%8A%E5%B8%82%E6%AB%83%E5%B9%B4%E5%A0%B1%E6%8F%AD%E9%9C%B2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-25_170301.png" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-25_170250.png" style="width: 295px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／臺灣證券交易所</span><br style="color: rgb(105, 105, 105);" /><br /><strong style="color: rgb(105, 105, 105);">金管會去年11月正式修法，要求上市櫃公司需在年報記載資安管理作為，為幫助各家公司編制2021之後的年報能有依循方向，臺灣證券交易所在去年12月，發布了資通安全管理資訊揭露的最佳實務範例，當中看來許多範例的內容是以台積電之前的資安管理資訊揭露經驗做為借鏡。（連結：<a href="https://cgc.twse.com.tw/lawReport/listCh">https://cgc.twse.com.tw/lawReport/listCh</a>）</strong></p> </div></div></div>
2022/4/27 12:10作者羅正漢https://www.ithome.com.tw/news/150630
可口可樂傳被勒索軟體攻擊，竊走161GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>飲料大廠可口可樂（Coca-Cola）疑似遭到名為Stormous的勒索軟體攻擊，駭客宣稱竊走161GB資料。</p> <p><a href="https://securityaffairs.co/wordpress/130614/cyber-crime/stormous-ransomware-hit-coca-cola.html" target="_blank">SecurityAffairs報導</a>，操控Stormous的駭客組織近日透過Telegram頻道舉行公開投票，徵求其他用戶票選下一個駭入的目標，其中可口可樂名列第1。之後這個組織公告，已駭入這家飲料大廠並竊取到161GB資料，成為其第一家受害者，駭客並在暗網上兜售，同時公布了管理檔、電子郵件、帳號密碼、以及支付相關的文件及壓縮檔等13個檔案。</p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/u/1220909/Forum%20and%20Marketplace%20Posts/cola-tor.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／</span><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/" target="_blank"><span style="color:#696969;">BleepingComputer</span></a></p> <p>駭客並表示，票選名單中的其他公司，包括玩具製造商美泰兒（Mattel）、儀器與工業設備製造商丹那赫（Danaher）、教育科技供應商Blackboard與奇異（GE）等，他們也會一如過去洩露資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/" target="_blank">BleepingComputer報導</a>，雖然Stormous組織自稱使用的是勒索軟體，但似乎並未在受害者網路植入加密資料的檔案。比較確定的是這群駭客在政治立場上比較傾向俄羅斯；在烏俄開戰後，Stormous曾宣稱將對攻擊俄羅斯的組織展開攻擊。</p> <p>根據駭客留下的勒索訊息，可口可樂僅被勒索了6.4萬美金，或1.6467000個比特幣。可口可樂對BleepingComputer表示公司正在調查這起案件，尚未確認資料損失狀況。</p> <p><a href="https://www.cisoadvisor.com.br/grupo-stormous-anuncia-dados-atribuidos-a-coca-cola/" target="_blank">可口可樂汽水的巴西製造商去年8月</a>也曾遭BlackMatter勒索軟體入侵並加密檔案50GB。</p> <p><a href="https://socradar.io/who-is-stormous-ransomware-group/" target="_blank">上個月Stormous也傳駭入遊戲大廠Epic Games</a>，駭客可能是經由這家遊戲公司系統的漏洞而得以存取網路，竊走199GB資料。</p> </div></div></div>
2022/4/27 12:38作者林妍溱https://www.ithome.com.tw/news/150644
Google將捐贈開源服務網格Istio給CNCF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google兌現與IBM的協議，宣布將<a href="https://cloud.google.com/blog/products/open-source/submitting-istio-project-to-the-cncf">微服務管理平臺Istio提交給雲端原生運算基金會</a>（Cloud Native Computing Foundation，CNCF），作為孵化器專案。</p> <p>Istio使用Envoy服務代理，擴展Kubernetes以建立一個可程式化，且應用程式感知的網路，Istio能夠支援Kubernetes以及傳統的工作負載，在複雜的部署中，提供標準並通用的流量管理、遙測和安全性。</p> <p>2016年Google、IBM和Lyft團隊合作開發Istio，Istio是由Google Istio和IBM Amalgam8專案合併而成，在2018年的時候達到1.0版本，並且被eBay 和 The Weather Company大規模採用，在經過一系列更新，並且透過在Envoy加入WebAssembly擴充，極大程度簡化了網格的可擴充性。</p> <p>現在已經有20多家服務供應商，提供Istio託管服務，包括Google雲端的Anthos Service Mesh，也是以Istio為基礎建構的服務網格，供用戶監控和管理本地端和雲端上的工作負載。</p> <p>在2020年的時候，Google曾想把Istio加入到當時新成立的開源專案管理商標組織Open Use Commons中。Open Use Commons是Google與學術界、獨立貢獻者，以及顧問公司所共同成立的組織，要將開源哲學和定義擴展到開源專案的商標上，有鑒於開源貢獻者通常對法律不夠熟悉，因此Open Use Commons會協助開源專案進行商標管理。</p> <p>Google當時預計要將Angular、Gerrit與Istio三個專案加入到Open Use Commons，但是遭到Istio創始成員IBM反對，認為Open Usage Commons並不符合社群開放治理的期待，而開放治理正是開源專案成功的關鍵。在Istio專案初期，Google就已經與IBM達成協議，會將Istio貢獻給CNCF，因此IBM希望Google可以兌現承諾。</p> <p>而現在Google終於將Istio交給了CNCF，Istio是Kubernetes生態系中，最後一個在CNCF之外的主要元件，在Google向CNCF捐贈Istio，便可在基金會的支援下，讓Istio更加靠近Kubernetes專案。Google提到，Istio是Google的關鍵專案，當該專案被CNCF接受，Google還是會繼續戰略性投資Istio，並作為重要維護者，同時也會持續投資上游專案。</p> </div></div></div>
2022/4/27 12:43作者李建興https://www.ithome.com.tw/news/150637
Alphabet首季財報出爐，Google Cloud成長44%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2022Q1_alphabet_earnings_release.pdf" target="_blank">Google母公司Alphabet周二（4/26）公布今年第一季財報</a>，該季Alphabet締造680億美元的營收，成長23%；Google Cloud雲端服務營收為58.21億美元，成長近44%，每股盈餘為24.62美元，低於去年同期的26.29美元。由於財報低於華爾街分析師預期，使得Alphabet盤後下滑了3.16%，股價跌至2,314.62美元。</p> <p>從Alphabet旗下各式營收來看，包括Google搜尋、YouTube及Google網路在內的Google服務營收為614.7億美元，成長20%；Google Cloud雲端服務營收為58.21億美元，成長44%；新創事業（Other Bets）營收為4.4億美元，成長122%。不過，上述只有Google服務創造229億美元的營業利潤，Google Cloud虧損了9.31億美元，略低於去年同期所虧損的9.74億美元，而新創事業則虧損11.55億美元，還高過去年的11.45億美元虧損。</p> <p>Alphabet最大的營收來源仍是美國市場，占了317億美元，居次的歐洲/中東/非洲（EMEA）占了203億美元，亞太地區營收為118億美元，其它美洲市場占38億美元。</p> <p><a href="https://www.cnbc.com/2022/04/26/alphabet-to-report-q1-earnings-after-the-bell-tuesday.html" target="_blank">根據《CNBC》的報導</a>，這一季Alphabet財報的每個類別都低於華爾街分析師的預期，特別是YouTube營收，該季YouTube創下68.7億美元的營收，成長14%，但分析師原本預期的YouTube營收為75.1億美元，成長不如預期的原因包括疫情趨緩，使用者減少使用裝置及服務的時間，以及來自競爭對手TikTok的衝擊。</p> </div></div></div>
2022/4/27 11:29作者陳曉莉https://www.ithome.com.tw/news/150635
馬斯克開源推特演算法、驗證用戶遭質疑可能危及用戶安全與隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克（Elon Musk）計畫開源推特內容演算法、以及驗證用戶等想法，令一些安全專家憂心，可能反而危及平臺用戶的安全與隱私。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">推特周一公布接受馬斯克以440億美元的收購提議</a>。推特共同創辦人Jack Dorsey對馬斯克的收購深表讚賞，<a href="https://twitter.com/jack/status/1518772754782187520" target="_blank">認為馬斯克收購推特的方案是他心目中唯一信得過的方案</a>。他說馬斯克的目的是建立「最受信賴及極度包容」的平臺，但作為上市公司，推特無法避免受到華爾街分析師的影響，這也是他最後悔的事之一，因此若想實現自由言論的理想，下市是第一步。</p> <p>馬斯克表示，為了維續推特作為辯論重要議題的數位論壇角色，他將以新功能讓推特變得更好、開源推特演算法以促進信任、打擊垃圾內容機器人（spambot），並且驗證所有人。</p> <p>但是一些媒體及安全專家對這些看法抱持質疑，尤其是公開演算法的想法。馬斯克公開推特演算法目的使內容的推送及排序更透明，避免有政治或廣告主黑手介入。但是<a href="https://techcrunch.com/2022/04/26/elon-musk-twitter-privacy/" target="_blank">安全廠商ExtraHop技術經理Jamie Moles表示</a>，開源演算法有助於減少馬斯克一直很感冒的垃圾內容機器人（spambot），即發送由廣告行銷業者、政治團體操作的訊息、或是詐騙內容。但是公開演算法也可能反而讓垃圾內容發送者，或是駭客更能輕易操弄訊息，反而更無法保護使用者。</p> <p><a href="https://www.theverge.com/2022/4/26/23040879/elon-musk-twitter-plans-free-speech-bots-anonymity-algorithm-open-source" target="_blank">The Verge則指出</a>，想了解內容平臺如何推送內容，馬斯克也可能問錯問題；若推特未提供輔助資料，光看演算法並不足以說明特定內容是如何排序，更別說操縱言論及意識型態也不是從單一則推文就做得到，還需結合斷章取義及惡意解讀等其他手法。</p> <p>反而是，推特現在已經有很嚴密措施來管制假帳號、垃圾訊息，馬斯克是否能比一大群專門研究的工程師想出更好的方法也令人質疑。</p> <p>除了公開演算法，馬斯克提及的驗證所有人（authenticating all humans）想法也引發爭議。首先，這如果是指防範網頁爬蟲或機器人（bot）冒充用戶來發文，推特已經使用Captcha或驗證工具。</p> <p>若他指的是實名制，要所有人必須驗證真實身分，問題就更大了，因為推特之所以成為自由言論平臺，主要原因是允許匿名或以假名發文。<a href="https://www.eff.org/deeplinks/2022/04/twitter-has-new-owner-heres-what-he-should-do" target="_blank">電子疆域基金會擔心</a>，如果馬斯克治理下的推特要求用戶提供可辨識身分的資料，將無法保護異議人士或參與群眾運動的一般用戶，將為駭客或是極權政府提供豐富的受害者資料寶庫。</p> </div></div></div>
2022/4/27 11:39作者林妍溱https://www.ithome.com.tw/news/150636
Google針對沈浸式體驗，發表大規模串流媒體用內容交付網路Media CDN
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布最新內容交付網路<a href="https://cloud.google.com/blog/products/networking/introducing-media-cdn">Media CDN</a>，Media CDN為一個可處理大規模沈浸式媒體交付的平臺。官方提到，他們在Media CDN中，使用與交付YouTube內容相同的基礎設施，來供Google雲端用戶大規模交付媒體。</p> <p>除了運作在全球規模的基礎設施之上，Media CDN還根據個人用戶和網路條件制定交付協定，提供QUIC（HTTP/3）、TLS 1.3和BBR開箱即用的支援，Google還提到，Media CDN實現了極高的卸載比率，透過多層快取，就算是不經常存取的內容，也能最大程度減少對來源的呼叫。</p> <p>Media CDN可有效減輕內容來源的效能與容量壓力，進而節省企業的成本開銷，而這些功能內建在產品中，可無縫支援託管在Google雲端、本地或是第三方雲端上的內容。對於當前熱門的沈浸式體驗，Media CDN提供進一步的支援，其附加功能可支援廣告插入、生態系整合以及平臺可擴充性，甚至是用於互動式體驗的AI/ML分析應用。</p> <p>串流媒體供應商可以使用Video Stitcher API，來整合廣告服務提高獲利能力，該API允許供應商操縱影片內容，並且動態插入廣告。在可擴展的生態系整合上，Media CDN賦予用戶重要的媒體處理功能，以簡化服務的營運，像是Transcoder API支援自定義串流格式，而Live Stream API可將夾層（Mezzanine）即時訊號，轉碼成消費者面向的串流格式。</p> <p>將Media CDN用於AI/ML應用建置上，終端使用者可以更好地查看、體驗，並且與內容互動，像是觀看體育比賽的觀眾，可獲得即時的統計和分析資料，甚至可從虛擬看板上購買物品。</p> <p>Media CDN提供完整的API，和Terraform等自動化工具，企業也可以查看詳細的指標和追蹤，以便在跨基礎設施堆疊上診斷效能問題，同時企業也能夠獲得Google操作工具所帶來的即時可見性，並且整合使用Grafana和ElasticSearch等工具。</p> </div></div></div>
2022/4/27 08:34作者李建興https://www.ithome.com.tw/news/150632
【資安日報】2022年4月26日，勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，勒索軟體的攻擊事故可說是當中較為引起關注的部分。而在其中，竟有駭客花費不到4個小時就將受害組織的整個網路檔案加密。在這種攻擊行動中，乍看4小時仍有，而使得IT人員難以防堵駭客的攻擊行動。</p> <p>而在勒索軟體攻擊行動裡，駭客用來投放勒索軟體的惡意程式，也扮演了重要的角色。例如，上述事件的攻擊者利用了惡意軟體IcedID，而勒索軟體駭客Conti則是使用了BazarLoader來執行相關任務。但為何資安系統難以發現BazarLoader的攻擊意圖？此惡意軟體利用Windows的API執行，且駭客在程式碼裡運用罕見的混淆手法來埋藏攻擊特徵。</p> <p>醫療院所遭到網路攻擊，很可能導致大量病人的隱私外洩。而近期有法國醫療集團證實遭到網路攻擊，為了避免災害擴大，他們決定切斷總部與醫院之間的網路連線，而使得部分服務被迫中斷。但值得留意的是，駭客已將竊得的病人資料流入地下市集，後續可能會造成的影響有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://thedfirreport.com/2022/04/25/quantum-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Quantum僅耗時4小時攻陷受害目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png" style="width: 200px; float: right;" /></a>勒索軟體駭客以迅雷不及掩耳的速度，將受害組織網路的檔案進行加密，而讓IT人員難以招架。資安研究團隊The DFIR Report指出，他們在一起使用勒索軟體Quantum的攻擊事故裡，發現駭客成功入侵後只耗費3小時44分，將受害組織網路內的大部分檔案都予以加密。這些駭客起初利用ISO映像檔散布惡意軟體IcedID，初步入侵目標電腦，然後在2個小時後，將Cobalt Strike注入Windows內建的命令列提示字元（CMD.EXE）處理程序，以規避資安系統的偵測。</p> <p>駭客接下來利用LSASS工具來竊取網域的憑證，進而在內部網路橫向移動，然後，他們繼續與網路內其他伺服器進行RDP連線，駭客一旦完全掌握網域的配置，就開始將C磁碟機設為共用，將勒索軟體酬載複製到所有電腦，並透過WMI或PsExec來散布並觸發勒索軟體病毒。研究人員提供入侵指標（IoC），以及IcedID與Cobalt Strike的C2中繼站IP位址，讓IT人員能加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/rio-de-janeiro-finance-department-hit-with-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">巴西里約財政部遭勒索軟體LockBit攻擊 </span></a></strong></h3> <p>勒索軟體針對南美洲金融中心下手，要脅當地政府機關付錢。根據Recorded Future的報導，巴西里約熱內盧財政部於4月21日遭到勒索軟體LockBit攻擊，該單位於22日證實遭到勒索軟體攻擊，對方要求支付贖金，以換取駭客不公開竊得的資料。巴西里約熱內盧財政部發言人聲稱，對方偷到的資料僅占秘書處的0.05%，但沒有提及這些資料的機密層級。勒索軟體駭客組織LockBit宣稱本次攻擊行動約竊得420 GB資料，要脅對方若是沒有依照指示進行後續處理，將於4月25日公布這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/french-hospital-group-disconnects-internet-after-hackers-steal-data/"><span style="color: rgb(0, 0, 0);">法國醫院遭網路攻擊，近30 GB內部資料疑似流入地下市集</span></a></strong></h3> <p>法國醫療集團GHT Coeur Grand Est於4月25日指出，他們在19日遭到網路攻擊，導致位於維特里勒弗朗索瓦、聖迪濟耶的分院受到影響，該集團為了避免災害擴大，將GHT總部與醫院之間的網路連線暫時切斷，使得線上預約等服務無法使用。該集團表示，駭客疑似設法盜取他們的內部資料，這些資料很有可能會被其他駭客散布。</p> <p>資安新聞網站Bleeping Computer發現，地下市集網站Industrial Spy疑似出現該集團遭竊的資料，共有28.7 GB。賣家宣稱他們偷到的資料內容，主要是病人的個資，包含了社會安全號碼、護照掃描檔案、電子郵件、電話號碼、付款的銀行帳號資料等，他們因向院方索討130萬美元未果，而決定兜售這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bazarloader-anti-analysis-techniques/"><span style="color: rgb(0, 0, 0);">後門程式BazarLoader利用Windows的API偷渡勒索軟體</span></a></strong></h3> <p>勒索軟體駭客組織Conti於3月上旬，利用釣魚郵件散布後門程式BazarLoader，此後門程式透過呼叫Windows的API運作，主要被該組織用於投放勒索軟體，但這個後門程式究竟如何規避各式的偵測機制？近期有資安業者揭露他們研究的結果。資安業者Palo Alto Networks指出，他們最近利用逆向工程工具IDA Pro分析BazarLoader，結果發現，駭客運用了兩種相當少見的手法，而能躲過大部分的資安防護系統偵測。</p> <p>這些手法中，其中一種是API功能雜湊化（API Function Hashing），混淆惡意軟體呼叫的功能；另一種則是叫做不透明述詞（Opaque Predicate），目的是混淆惡意軟體程式碼的實際運作流程，讓研究人員所使用的靜態分析工具難以解析。該公司也公布他們用來破解駭客手法的IDAPython程式碼，供其他研究人員解析使用上述手法的惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/04/21/prynt-stealer-a-new-info-stealer-performing-clipper-and-keylogger-activities/"><span style="color: rgb(0, 0, 0);">竊密軟體Prynt Stealer不只會偷取瀏覽器資料與加密錢包，連遊戲平臺帳號也不放過</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png" style="width: 300px; float: right;" /></a>竊密軟體具備的功能越來越複雜，甚至還搜刮受害電腦裡的遊戲帳號來獲利。資安業者Cyble最近揭露名為Prynt Stealer的竊密軟體，開發者以每月收取100美元的價格提供給駭客使用。這個竊密軟體可為攻擊者偷取受害電腦的文件、資料庫、程式原始碼等資料（檔案大小不超過5120位元組的檔案）。再者，該竊密軟體也能挖掘瀏覽器、即時通訊軟體、VPN連線程式、加密貨幣錢包、遊戲平臺的組態，以挾持受害者的各式帳號來牟利。此外，Prynt Stealer也具備在受害者想要進行加密貨幣交易時，竄改轉帳的錢包位址，而能將受害者的加密貨幣移轉到駭客的錢包。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-vulnerability-in-the-everscale-blockchain-wallet-preventing-cryptocurrency-theft/"><span style="color: rgb(0, 0, 0);">加密貨幣錢包Ever Surf存在漏洞，駭客可用來挾持用戶的錢包</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-5-–-Extracting-encrypted-wallet-data-from-localStorage-using-a-browser-extension.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-5-%E2%80%93-Extracting-encrypted-wallet-data-from-localStorage-using-a-browser-extension.png" style="width: 300px; float: right;" /></a>加密貨幣錢包一旦出現漏洞，很有可能讓攻擊者挾持錢包將存款轉走。資安業者Check Point發現，區塊鏈Everscale的網頁版本加密貨幣錢包Ever Surf，存在資安漏洞，攻擊者一旦加以利用，就能解開瀏覽器儲存在本機電腦的私鑰、通關密語（Seed Words），進而控制受害者的加密貨幣錢包。研究人員通報後，Everscale改以提供Ever Surf用戶專用的電腦版應用程式，並停止提供網頁版本的管理介面。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/press-office/press-releases/2022/04/sophos-acquires-socos"><span style="color: rgb(0, 0, 0);">資安業者Sophos併購新創公司SOC.OS</span></a></strong></h3> <p>資安業者Sophos於4月22日宣布，該公司將買下英國新創公司SOC.OS，此公司以雲端服務的型式，提供安全警示調查及自動化解析服務。Sophos在完成併購之後，將借助SOC.OS的技術，為不同規模的組織提供威脅回應代管（Managed Threat Response，MTR）服務、全面偵測與回應（XDR）解決方案，並強化其自動適應的網路安全生態系統（Adaptive Cybersecurity Ecosystem），讓Sophos的MTR、XDR產品能無縫與客戶現有的IT系統進行整合。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/26 14:34作者周峻佑https://www.ithome.com.tw/news/150627
3+4居家隔離新政策今上路，指揮中心公布更多調整細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密切接觸者3+4居家隔離政策今上路，中央流行疫情指揮中心今日（4/26）也宣布調整細節，包括取消原居家隔離第3天快篩一次，改為首日快篩即可，另，居家隔離和相關防疫措施也有所調整，比如已隔離超過3天者，一律以今日作為隔離期滿日。</p> <p>進一步來說，昨日公告3+4居隔政策，要求確診者的密切接觸者，也就是確診回推2日的同住家人、同事（九宮格計算）、同班同學等，需進行3天居家隔離，原本居家隔離第1天與第3天需進行快篩，陰性則進行4天自主防疫，可戴口罩出門、採買，而今日調整為，居家隔離第3天不必快篩，直接進入4天自主防疫期。而這4天，民眾依然得進行快篩，指揮中心建議，民眾出現症狀或要出門時，可進行快篩，4日最多4次。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0426%E7%B8%AE%E7%9F%AD%E5%B1%85%E5%AE%B6%E9%9A%94%E9%9B%A2%E5%A4%A9%E6%95%B8%E7%82%BA3%2B4%E5%A4%A9_V3_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpeg" /></p> <p>除此之外，指揮中心也重申，25日開始實施的重點疫調措施中，確診者須主動向衛生單位提供同住親友名單、校園及公司聯絡窗口等資訊，而確診者所在的學校、機關、公司防疫長或負責人，也應先行造冊，來配合提供衛生單位名冊。</p> <p>同時，指揮中心也將設置「確診個案自主回報疫調系統」，由疾管署發送給網址連結給確診者，由確診者填寫同住親友、校方、公司、機關（構）防疫長或主管聯絡資訊，再由系統發送通知書給同住親友，並通知相關機構主管，來匡列學校或職場的接觸者名冊並回傳，交由衛生局開立電子居隔單，作為請假、申請保險的依據。</p> <p>為因應新政策上路，指揮中心也表示，4月25日已開具的電子居隔書，須重新開立，並重新計算隔離天數，比如，隔離超過3天者，4月26日自動視為居隔期滿日。未達3天者，則由系統自動計算，從接觸次日計算3天。</p> <p>在快篩劑發放部分，則由隔離所在地政府發放5支快篩劑，至於4月26日隔離已滿7天者，解隔離當天使用原發放的快篩劑。未滿7天者，後續可聯絡隔離書填發單位，有其轉介現居地衛生所領取。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7.jpeg" /></p> </div></div></div>
2022/4/26 15:34作者王若樸https://www.ithome.com.tw/news/150629
美國國防部任用首位AI長Craig Martell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.defense.gov/News/Releases/Release/Article/3009684/dod-announces-dr-craig-martell-as-chief-digital-and-artificial-intelligence-off/" target="_blank">美國國防部周一（4/25）宣布</a>，已延攬曾在LinkedIn、Dropbox及Lyft任職的Craig Martell擔任該部門的首位數位暨人工智慧長（Chief Digital and Artificial Intelligence Officer，CDAO），將負責協助該部門加速對資料、分析、數位解決方案及AI功能的採用，以替美國創造會議或戰場上的決策優勢。而Martell也將成為美國國防部的首位AI長。</p> <p>Martell為美國海軍研究生院的終身教授，專長為自然語言處理，先前曾擔任專業人才社交網站LinkedIn的科學與工程負責人，主導LinkedIn人工智慧學院（LinkedIn AI Academy）的設立，之後又負責雲端儲存服務Dropbox的機器學習技術，最近的職位則是負責共乘服務Lyft的機器學習，顯示出不管是在哪個領域，Martell的機器學習專長都受到重用。</p> <p>美國國防部說明，它們是在今年2月才成立CDAO辦公室，以將數位與人工智慧的策略發展及政策建立提高到部長及副部長等級，同時確保該部門的任務能與內部的資料及AI密切整合。</p> <p>美國國防部副部長Kathleen Hicks指出，AI與機器學習的進步對於國防部迎接現在及未來所面臨的挑戰非常重要，Martell的到來將能加速該部門發展AI、資料分析與機器學習技術，並將業界的先進經驗應用在國防部的重大任務上。</p> </div></div></div>
2022/4/26 14:33作者陳曉莉https://www.ithome.com.tw/news/150626
OpenSea買下NFT整合銷售平臺Gem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensea.io/blog/announcements/opensea-acquires-gem-to-invest-in-pro-experience/" target="_blank">全球最大NFT市集OpenSea本周宣布</a>已買下了NFT銷售整合平臺Gem，以改善對專業使用者的服務。</p> <p><a href="https://www.gem.xyz/" target="_blank">Gem提供一站購足的NFT服務</a>，它讓使用者可探索及購買來自所有NFT市集的商品，除了方便之外，強調可節省買家的礦工費，還能一次篩選及購買不同收藏品最低價格的NFT，或是針對收藏品的稀有性進行排序。</p> <p>OpenSea表示，隨著NFT社群逐漸擴大，該平臺意識到必須針對更有經驗的使用者提供更好的服務，同時替不同等級的使用者帶來更多的彈性及選擇，此次的收購將讓Gem有更多的資源實現其願景，也讓OpenSea能夠學習Gem對高階NFT社群的專業智識與直覺。</p> <p>未來Gem將維持獨立經營，既有的服務不會有所變動，但OpenSea會漸次將Gem的功能整合到OpenSea上。</p> </div></div></div>
2022/4/26 14:44作者陳曉莉https://www.ithome.com.tw/news/150628
德國多家風力發電業者遭駭客鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/european-wind-energy-sector-hit-in-wave-of-hacks-11650879000?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）本周指出</a>，自從俄羅斯入侵烏克蘭以來，德國風力發電機製造商與維護業者相繼遭到駭客攻擊，而資安社群與歐洲風能協會（WindEurope）則懷疑這可能與支持俄羅斯的駭客集團有關，駭客集團鎖定了因俄羅斯遭各國制裁而受惠的產業展開攻擊，而再生能源即是其中之一。</p> <p>專門製造風力發電機的Enercon GmbH，幾乎是在俄羅斯入侵烏克蘭的同一時間就遭到攻擊，當時駭客關閉了系統對5,800臺風力發電機的遠端控制能力。另一家風力發電機製造商Nordex SE則是在3月底發現資安意外，Conti勒索軟體集團加密了該公司的IT系統。負責維護風力發電機的Deutsche Windtechnik AG是在4月遭到駭客入侵，造成管理2,000臺風力發電機的遠端控制系統停擺了一天。</p> <p>摧毀風力發電機的遠端控制能力即可阻止它們繼續生產電力，或者只是簡單地關閉當地的連網服務，就能干預風力發電場的遠端監控系統。</p> <p>不過，該報引述資安專家的看法指出，針對工業設備的重大網路攻擊並不常見，因為相關攻擊必須先累積大量知識。</p> <p>全球對俄羅斯的制裁以經濟為主，除了將俄羅斯部分銀行踢出主管國際交易的Deutsche Windtechnik AG之外，也計畫減少對俄羅斯天然資源的依賴，包括天然氣、石油與煤礦等，而再生能源則可能會因此而受惠，儘管德國因為太仰賴俄羅斯燃料而拒絕擴大對該國的制裁，但這3家遭到攻擊的業者全都位於德國。</p> <p>事實上，在俄烏戰爭啟動後，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_1511" target="_blank">歐盟即於3月提出了RePowerEU計畫</a>，要求成員國加速發展風能與其它再生能源，以於2030年以前擺脫對俄羅斯石化燃料的依賴。</p> <p>於俄烏戰爭中選擇支持俄羅斯的Conti勒索集團，已宣稱它們主導了Nordex SE的攻擊行動，同樣遭到勒索軟體攻擊的Windtechnik，則正在調查是否受到Conti感染。</p> </div></div></div>
2022/4/26 14:16作者陳曉莉https://www.ithome.com.tw/news/150625
推特接受馬斯克440億美元收購提議，恢復川普帳號，今年內將下市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過將近2周的市場喧囂及傳言後，<a href="https://www.prnewswire.com/news-releases/elon-musk-to-acquire-twitter-301532245.html" target="_blank">推特（Twitter）周一晚間宣布</a>，董事會已接受科技鉅子（Elon Musk）以54.2美元，總價約440億美元的收購提議。隨同這項收購推特也將下市，而今天前美國總統川普的推特帳號也立即恢復。</p> <p>包括彭博、<a href="https://www.nytimes.com/2022/04/24/technology/twitter-board-elon-musk.html" target="_blank">紐約時報</a>、<a href="https://www.wsj.com/articles/twitter-re-examines-elon-musks-bid-may-be-more-receptive-to-a-deal-11650822932" target="_blank">華爾街日報</a>、英國媒體<a href="https://www.independent.co.uk/tech/twitter-elon-musk-buy-company-b2064819.html" target="_blank">The Independent</a>等昨日率先報導，本周末推特董事會持續和馬斯克協商收購價格，並朝接收提供的方向前進。最後的每股54.2美元收購價，是推特4月1日收盤價的溢價38%。</p> <p>本收購案由推特董事會無異議通過，預計2022年底前完成，但還需獲得推特股東大會及主管機關同意。</p> <p>推特獨立董事長Bret Taylor指出，推特董事會據公司價值和財務等因素對馬斯克的提議進行審慎而全面的評估，認為本交易可提供相當的現金收益，相信是對推特股東最好的選擇。</p> <p>4月初馬斯克收購推特9.2%股權，<a href="https://www.ithome.com.tw/news/150261" target="_blank">成為第一大股東的消息曝光</a>，他隨後<a href="https://www.ithome.com.tw/news/150432" target="_blank">於4月15日表達以430億美元收購推特並將之下市</a>的意願。</p> <p>推特董事會一度啟動「毒藥丸」（poison pill）計畫允許其他股東增加持股，但馬斯克擁有大量資源，<a href="https://www.sec.gov/Archives/edgar/data/0001494730/000110465922048128/tm2213229d1_sc13da.htm" target="_blank">上周公布說明</a>，集結其手中股票及銀行團借貸各約210億及255億，他手握465億美元可推動收購計畫。</p> <p>成功收購推特後，馬斯克說明之後的計畫，多半是重申之前希望改善推特的問題，像是言論管制太甚以及廣告化推文太多。他說，言論自由是民主運行的基石，推特則扮演辯論重要議題的數位論壇角色，他將以新功能讓推特變得更好、開源推特的演算法以促進信任、打擊垃圾訊息機器人、並「驗證所有人」。</p> <p>本收購案公布同一天，長期被推特封鎖的川普帳號也立即恢復。川普在2021年1月6日美國國會山莊的抗議示威後幾天，遭推特以「煽動他人重覆暴力行為」為由封鎖帳號。不過<a href="https://nypost.com/2022/04/14/trump-says-he-wont-return-to-twitter-if-elon-musk-buys-it/" target="_blank">川普說他不會再回到這項服務</a>，因為推特已經「變得很無聊」，排除了多元意見，變得很保守。但是川普說他對馬斯克領導下的推特抱持信心。</p> <p>一般推測馬斯克將減少推特的言論管制，但是一些人權倡議者則擔心仇恨言論再起。</p> <p>在人事方面，收購完成後，馬斯克將解散推特董事會。此外，<a href="https://www.theverge.com/2022/4/25/23041753/twitter-ceo-elon-musk-no-layoffs-planned" target="_blank">The Verge</a>引述消息人士指出，推特執行長Parag Agrawal對員工表示暫時不會有裁員計畫，他在收購完成前也會維持其職務，至於完成後的去留，他則不願評論。</p> <p>周一推特股價上揚5.7%來到51.70美元，不過<a href="https://www.reuters.com/technology/exclusive-twitter-set-accept-musks-best-final-offer-sources-2022-04-25/" target="_blank">路透社報導</a>這個價格遠不及去年的最高價70美元。</p> </div></div></div>
2022/4/26 11:17作者林妍溱https://www.ithome.com.tw/news/150620
Atlassian修補Jira元件重大安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>好不容易修復Jira與Confluence等雲端服務，<a href="https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html" target="_blank">Atlassian本周又發出安全公告</a>，修補Jira元件一個重大的驗證繞過漏洞。</p> <p>這項編號CVE-2022-0540的漏洞為Jira及Jira Service Management的Web驗證框架Seraph內的驗證繞過漏洞，可讓未獲授權的攻擊者傳送惡意HTTP呼叫繞過外掛模組WebWork action的驗證以執行指令。Atlassian將本漏洞嚴重等級列為重大（critical）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-Jira%20CVE-2022-0540-600.jpg" style="width: 568px;" /></p> <p>這項漏洞影響本地部署的Jira產品包括Jira Core Server、Jira Software Server及Jira Software Data Center（8.13.18以前、8.14.x到8.20.6及8.21.x版）；Jira Service Management Versions（4.13.18以前、4.14.x到4.20.6及4.21.x版）。</p> <p>值得注意的是，這項漏洞雖位於Jira核心，實則影響2個App，開採條件是這些App的組態不當，包括Webwork1 action namespace level指定roles-required、在action level卻未指定，同時該Webwork1 action沒有做其他驗證。</p> <p>受影響的App包括Insight – Asset Management，包括Atlassian Marketplace 下載的8.10.0以前版本，及Jira Service Management Server 和 Data Center 4.15.0（以後版本）搭載的版本。另一個是Mobile Plugin for Jira，搭載於Jira Server、Jira Software Server、Data Center 8.0.0（版本以後）及Jira Service Management Server、Data Center 4.0.0（以後版本）。</p> <p>不過Atlassian指出，Jira Cloud及Jira Serve Management Cloud都不受影響。</p> <p>Atlassian已釋出最新版Jira及Jira Service Management，<a href="https://www.atlassian.com/software/jira/service-management/update" target="_blank">呼籲用戶儘速更新到最新版本</a>。</p> <p>上周Atlassian才在2星期的搶修下，使本月初斷線的網站恢復上線。受影響的雲端服務涵括Jira Software、Confluence、Bitbucket、Trello雲端版等出現網站停機情況。<a href="https://www.ithome.com.tw/news/150373" target="_blank">上周Atlassian說明</a>原因並非網路攻擊，而是兩個維護團隊溝通不良及使用的操作指令錯誤，導致近400網站資料被刪。<a href="https://status.atlassian.com/" target="_blank">根據該公司網站 </a>，除Atlassian Develops服務及狀態頁外，其他對用戶服務大都恢復正常。</p> </div></div></div>
2022/4/26 11:49作者林妍溱https://www.ithome.com.tw/news/150622
駭客入侵無聊猿猴IG帳號，盜走粉絲價值數百萬美元的NFT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的非同質化代幣（NFT）不斷遭到駭客覬覦，<a href="https://www.ithome.com.tw/news/150257" target="_blank">繼於今年4月初入侵Discord伺服器以廣播詐騙的NFT鑄幣訊息之後</a><span style="color: rgb(29, 28, 29); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);">，</span>無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）的官方Instagram帳號本周一（4/25）再遭到駭客入侵，駭客利用同樣的手法，於BAYC的IG帳號上張貼詐騙連結，盜走了受害者錢包中的91個NFT，價值超過280萬美元。</p> <p><a href="https://twitter.com/BoredApeYC/status/1518590210686308354" target="_blank">BAYC周一透過Twitter對外警告</a>，指出其官方的IG帳號被駭，呼籲粉絲不要鑄造任何東西，也不要點選任何連結，或是把自己的錢包連至任何服務。</p> <p><a href="https://www.coindesk.com/tech/2022/04/25/at-least-13m-in-nfts-stolen-after-bored-ape-yacht-club-instagram-discord-hacked/" target="_blank">BAYC向《CoinDesk》透露</a>，當駭客存取了BAYC的官方IG帳號後，旋即張貼了一個假冒為BAYC官方網站的連結，提供偽造的空投活動，一旦粉絲參與活動並連結自己的錢包，駭客即趁機竊取粉絲錢包中的NFT。初步估計至少有價值逾280萬美元的91個NFT已被盜走。</p> <p><a href="https://www.vice.com/en/article/88gpxg/bored-ape-yacht-club-instagram-hacked-nfts-worth-millions-stolen" target="_blank">而根據《Vice》的報導</a>，BAYC的官方IG帳號不僅早就啟用了雙因素認證，而且有關IG帳號的安全措施非常嚴格，使得BAYC與IG正在聯手調查駭客究竟是如何取得該帳號的。</p> </div></div></div>
2022/4/26 12:09作者陳曉莉https://www.ithome.com.tw/news/150623
AWS正式推出雲端應用程式建置工具Amplify Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent 2021大會釋出雲端應用程式建置工具<a href="https://aws.amazon.com/tw/blogs/aws/announcing-the-general-availability-of-aws-amplify-studio/">Amplify Studio</a>，而這項工具經過數個月時間的預覽，現在推出正式版本。Amplify Studio是一個視覺化工具，能夠簡化前後端開發工作，甚至讓開發者在數小時內，建構並且發布完整的網頁和行動應用程式。</p> <p>Amplify Studio供開發者快速建構應用程式後端，並創建豐富的使用者介面React元件，僅透過點擊，就能將這些UI連接到後端。Amplify Studio會將所有UI和基礎設施構件，匯出成開發者可以自己編輯的程式碼，因此開發者仍然可以擁有對應用程式設計和行為完全的控制權，但是卻不需要任何雲端和使用AWS服務的知識。</p> <p>該工具的重要特性之一是與Figma緊密整合，助設計師和前端開發人員，在設計和開發任務上協同工作，使用Amplify Studio能夠簡單地在程式碼和設計上保持同步，開發者只需要將Figma的新元件設計拉入Amplify Studio中的應用程式即可。</p> <p>Amplify Studio的正式版本，加入了幾項新功能，包括對UI事件處理程式的支援、元件主題化，並且強化開發者從程式碼擴展和自定義生成元件的能力。</p> <p>AWS在Amplify Studio發布之前，先推出了Amplify工具和功能，使得開發人員可以更快地配置各種AWS服務，來支援後端使用案例，像是身份驗證、即時資料、AI/ML和文件儲存等。而Amplify Studio則賦予前端開發人員相同的配置能力，能夠處理應用程式的預建置和自定義用戶界面元件，而後端開發人員也可以利用Amplify Studio，繼續開發和配置應用程式的後端服務。</p> <p>在Amplify Studio中，開發人員還可以利用AWS Amplify託管服務、Amplify全託管CI/CD，以及可擴展的網頁應用程式託管服務。Amplify Studio簡單地將Git儲存庫和內建的持續整合與部署工作流程連接起來，提供開發者一種零配置應用程式部署方法。</p> <p>在Amplify Studio中創建的構件，都可以匯出為程式碼，供開發者在選擇的IDE中編輯。Amplify Studio推出正式版的同時，AWS也發布了Figma擴充套件，讓用戶能夠調整UI元件主題，使其符合企業品牌和風格設計。</p> </div></div></div>
2022/4/26 10:54作者李建興https://www.ithome.com.tw/news/150616
全盈+PAY正式上線，挾電子支付、全家點數與會員生態圈瞄準多元消費場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由全家、玉山銀行、PChome集團下之拍付國際三方合資成立的全盈支付今天（4/25）正式開業，並推出電子支付服務全盈+PAY，要以多元平臺嵌入式金融科技，鎖定跨場景的支付應用。</p> <p>全盈+PAY首波進駐全家便利商店官方FamilyMart App，以及全臺擁有190多萬社區用戶的智慧社區管理平臺今網「智生活」App，消費者可透過全家官方App或智生活App，註冊或升級為全盈+PAY會員，除了可和其他全盈+PAY會員轉帳之外，可在全家4千多間門市儲值，或是綁定銀行信用卡、帳戶，可在包括全家、鼎王、怡客咖啡、清心福全、伯朗咖啡、神腦國際、嘟嘟房、大都會計程車、屈臣氏等超過萬家店使用，全盈+PAY會員擁有的全家點數可在這些合作通路使用及累積。至於社區住戶使用「智生活」App中的全盈+PAY，可支付冷氣或洗衣機清洗費用，未來還可能包含社區叫車、快遞等服務。</p> <p>全盈支付還預告，接下來將和電信通路合作，完成全盈+PAY與PChome 24h購物的串接。而不只是消費通路，今年下半年還將進入企業場景，全盈支付預告將會和MAYO鼎恒數位合作，全盈+PAY將進入MAYO的STAYFUN員工福利平臺，提供企業團購支付，福利金、點數折抵等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UNADJUSTEDNONRAW_thumb_6b4%20(1).jpg" style="width: 600px; height: 399px;" /></p> <p>全家便利商店董事長葉榮廷表示，一方面，透過全盈+PAY，串接消費者手機的全家與其他生活場景，強化全家會員黏著度，另方面，全家現有超過4千家門市、約1,500萬會員，年發400億點數，將能協助全盈+PAY發展，提供消費者便利及創新的服務體驗。</p> <p>除了在合作通路的支付及全家點數累積、折抵外，全盈+PAY在全家官方App或智生活App也與銀行業者合作，在全盈+PAY的平臺上提供小額、快速的微金融服務，例如與玉山銀行合作全線上信貸服務，還有鎖定消費需要的小額信貸，號稱最快58秒可讓用戶取得資金，以及線上開放服務，如玉山臺外幣數位存款、玉山證券開戶、金融卡、信用卡、e.Fingo會員，這些微金融服務將在第二季後陸續推出。此外，全盈+PAY也與AFTEE合作，提供會員先享後付。</p> <p><span style="color:#B22222;"><span style="font-size:22px;"><strong>以SDK與API嵌入多元生活場景打造新的消費體驗</strong></span></span></p> <p>全盈支付總經理劉美玲指出，相較於其他專營電子支付機構，全盈+PAY將以多元平臺嵌入式支付金融科技，讓支付能夠嵌入各種生活場景，成為場景的一部分，透過SDK與API，讓支付服務能夠融入不同場景。此外，全盈+PAY還結合全家的點數生態圈，過去全家的點數只能在全家超商兌換使用，未來透過全盈+PAY可在全家以外的通路累積全家點數，或在合作特店折抵全家點數，對合作的通路而言，增加流量、點數來源，可能為其提升營業額。「我們希望和合作通路共享會員、共享點數、共享數據」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01%20(1).jpg" style="width: 600px; height: 463px;" /></p> <p>去年底，全盈支付與全聯主導的全支付宣布將在通路上共同合作，讓雙方的電子支付可跨通路使用，如今全盈+支付上線後，全盈+支付會員未來何時可在全聯門市使用？</p> <p>對此，劉美玲表示，全家與全聯各自有非常多忠誠會員，各自可以經營忠誠會員，但在通路上可採取彼此合作，共享通路的策略，兩家業者將會分別做資訊轉傳業務，也就是全支付推展的通路，和全盈+支付的通路，只要接上一邊，希望自然將另一種支付帶進來，雖然各自廠商仍要和各自的支付簽約，但是能節省雙方特店的資訊介接成本。這是雙方通路共享的重要策略，希望一起將非現金支付通路打開、更普及，再各自經營會員，通路普及是共同的目標。</p> <p>至於為何採取多元平臺嵌入式支付金融科技？劉美玲表示，不同於先前的方式是在消費的最後一刻，選擇使用哪一家支付工具，嵌入式支付的目的是讓支付服務能夠嵌入不同的消費場景，常駐在這些場景中，全盈+支付不只提供支付，還包括轉帳、收款功能，不同場景也同時經營他們的會員，因此要嵌入這些場景，需要和合作的場景業者共同討論其所需要的全盈+支付功能，全盈支付的資訊團隊會與業務團隊一起與合作的場景業者討論，怎樣的嵌入方式、哪些功能符合該場景的會員需求。</p> <p>以全盈+支付常駐的今網智生活App為例，該App號稱擁胝195萬的社區住戶使用，除了社區公告等管理服務外，還與業者合作提供冷氣清潔、洗衣機清潔、洗衣、叫車、快遞等便利服務，社區住戶透過App預約上述服務，可以轉帳或信用卡付款，全盈支付與今網智生活合作，透過App線上預約冷氣、洗衣機清潔服務，可選擇使用全盈+支付付款。</p> </div></div></div>
2022/4/25 19:33作者蘇文彬https://www.ithome.com.tw/news/150618
【資安日報】2022年4月25日，電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天上午的資安新聞中，有幾個資安事故引起我們的注意。首先，是頻繁在2月底至整個3月，屢次聲稱他們攻陷IT大廠、作風相當囂張的駭客組織Lapsus$，最近又傳出有新的組織成為受害者。</p> <p>另一個也相當值得關注的事故，則是與雲端服務配置不當，而遭到殭屍網路LemonDuck鎖定的情況。這樣的情況，上週末也有類似的殭屍網路攻擊行動。</p> <p>日前<a href="https://www.ithome.com.tw/news/150373">IT業者Atlassian在4月上旬，因為其服務大斷線影響許多用戶</a>，而引起各界關注。但最近該公司再度出現在新聞版面的原因，是他們針對專案追蹤軟體Jira的一項重大漏洞CVE-2022-0540提出警告。</p> <p>在這個週末也有工業控制系統漏洞懸賞競賽Pwn2Own Miami for 2022、漏洞懸賞專案Hack DHS的執行結果出爐，但值得留意的是找到漏洞的獎金都不算高──前者平均1個漏洞約1.5萬美元，後者每個平均不到1千美元，但這些漏洞存在於工業控制系統，以及國防單位，一旦遭到利用，後果可能會相當嚴重。相關單位或許應該提高獎勵額度，來增加研究人員找出有關漏洞的意願。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile傳出遭到駭客組織Lapsus$入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png" style="width: 300px; float: right;" /></a>在3月份大肆公布受害者的<a href="https://www.ithome.com.tw/tags/lapsus">駭客組織Lapsus$</a>，最近有研究人員發現新的攻擊行動。資安新聞網站Krebs On Security指出，他們針對Lapsus$核心成員在Telegram頻道的對話內容進行分析後發現，該組織疑似在3月多次入侵T-Mobile，並竊得對方一系列的程式原始碼。該新聞網站指出，這些駭客入侵受害組織的初始管道，多半是從俄羅斯市集購得，然後成功進入到受害組織內部網路環境後，嘗試利用SIM卡挾持（SIM Swapping），來取得行動裝置管理（MDM）所需要相關資料，進而試圖竊取該公司的原始碼。</p> <p>針對上述的報導，T-Mobile向Krebs On Security表示，他們的確在幾個星期前，發現有駭客利用遭竊的帳密存取該公司內部系統，該公司亦迅速關閉入侵者的連線，遭到外洩的帳號密碼也已經重置。</p> <h3><strong style="font-size: 22px;"><a href="https://securityaffairs.co/wordpress/130505/cyber-crime/costa-rica-conti-ransomware.html"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊哥斯大黎加政府機關，癱瘓公務系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png" style="width: 300px; float: right;" /></a>日前美國、英國等多個國家提出警告，俄羅斯駭客將鎖定全球的關鍵基礎設施（CI）下手，近期已傳出相關事故。根據資安新聞網站Security Affairs的報導指出，哥斯大黎加政府的基礎設施上週遭到勒索軟體攻擊，影響該國財政部、勞動部等多個政府機關，勒索軟體駭客組織Conti聲稱是他們所為，並公布約50%竊得的資料，但發動攻擊的原因是否與哥斯大黎加譴責俄羅斯出兵有關？目前仍不明朗。</p> <p>哥斯大黎加總統卡洛斯．阿爾瓦拉多（Carlos Alvarado）表示，他們不會支付贖金，但他沒有證實攻擊者是否就是Conti。而這起網路攻擊所帶來的影響，根據新聞網站美聯社（AP）的報導，該國財政部為此被迫關閉大部分公職人員使用的系統數小時，且此系統亦與養老金支付有關，財政部延後了報稅的截止日期。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/lemonduck-botnet-targets-docker-for-cryptomining-operations/"><span style="color: rgb(0, 0, 0);">殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</span></a></strong></h3> <p>駭客鎖定配置不當的雲端服務環境下手，發動攻擊的情況，<a href="https://www.ithome.com.tw/news/150572#teamtnt">我們先前於22日報導殭屍網路TeamTNT鎖定AWS、阿里雲的事故</a>，但最近又有其他駭客組織跟進。資安業者CrowdStrike指出，他們發現原本針對Exchange伺服器下手的殭屍網路LemonDuck，近期將攻擊目標開始轉向Docker上的Linux環境。駭客藉由曝露的Docker API，執行惡意容器，進而取得偽裝成PNG圖檔的Bash程式碼檔案，此程式碼檔案會刪除crond、sshd、syslog等處理程序，以及入侵指標（IoC）路徑，並停用阿里雲的監控服務，同時也會清除其他對手的挖礦工具，切斷與C2中繼站的連線。</p> <p>此殭屍網路病毒在執行上述作業後，才會下載並執行挖礦工具XMRig，並嘗試透過SSH連線的金鑰橫向移動，一旦發現金鑰能夠使用，LemonDuck將會進行橫向感染。研究人員認為，隨著企業採用容器的情況日益普及，未來這類針對雲端的殭屍網路攻擊行動很有可能會越來越氾濫，他們呼籲用戶採取相關防護措施來加強容器安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/zero-days-exploited-2021"><span style="color: rgb(0, 0, 0);">駭客偏好微軟、蘋果、Google產品的零時差漏洞</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150544#zerodays">Google威脅分析小組（TAG）於4月19日，公布他們對於去年零時差漏洞的觀察</a>，2天之後，<a href="https://www.ithome.com.tw/news/149768">在3月併入Google Cloud旗下的資安業者Mandiant</a>也提出他們的看法，且內容更為詳細。Mandiant於4月21日，揭露2021年零時差漏洞遭到利用的情形，指出去年出現了80個這類漏洞，這樣的情況較2020年的30個多出超過一倍，也是最近10年來最多零時差漏洞被利用的一年，研究人員認為與行動裝置、物聯網裝置、雲端服務運用大幅增加，很可能是其中重要的因素。而對於利用這些漏洞的攻擊者類型，研究人員指出，最主要仍是中國政府支持的駭客組織，但像勒索軟體駭客等出於經濟利益發動攻擊的人士，他們利用相關漏洞的比例也有顯著增加，到了去年接近占三分之一。從駭客鎖定的零時差漏洞軟體廠牌來看，他們偏好對微軟、蘋果、Google的產品下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Jira身分驗證繞過漏洞</span></a></strong></h3> <p>IT業者Atlassian於4月20日發布資安通告，該公司旗下的Jira、Jira服務管理伺服器產品的Seraph元件，存在重大漏洞CVE-2022-0540，CVSS風險層級達9.9分，攻擊者一旦利用這項漏洞，就能藉由傳送偽造的HTTP請求到存在弱點的端點電腦，進而繞過身分驗證程序。該漏洞影響Jira Core Server、Software Data Center、Software Server、Service Management Server、Management Data Center，雲端版本則不受影響。該公司隨後於21日、22日再度發出公告，指出部分Atlassian市集提供的附加模組也可能一併受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results"><span style="color: rgb(0, 0, 0);">資安人員在漏洞挖掘競賽Pwn2Own找出工控系統零時差漏洞，抱走40萬美元獎金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg" style="width: 300px; float: right;" /></a>趨勢科技的漏洞懸賞專案團隊Zero Day Initiative（ZDI）於4月19日至21日，在美國邁阿密舉行Pwn2Own Miami for 2022漏洞挖掘競賽，這次的主題是工業控制系統（ICS），參賽者總共找出26個零時差漏洞，ZDI發出40萬美元獎勵。本次獲得破解大師（Master of Pwn）桂冠的參賽隊伍，是駭客競賽常客Daan Keuper與Thijs Alkemade所組成的Computest，Daan Keuper向麻省理工科技評論雜誌（MIT Technology Review）表示，工業控制系統是安全較為落後的領域，使得他們較為容易找出漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program"><span style="color: rgb(0, 0, 0);">美國國土安全部漏洞懸賞專案Hack DHS總共找出122個漏洞</span></a></strong></h3> <p>美國國土安全部（DHS）於去年12月發起了Hack DHS漏洞懸賞專案，邀及資安專家找尋該單位系統的安全漏洞，他們於4月22日公布第一階段的執行成果。該單位總共邀請了超過450名研究人員參與抓漏，目前找出122漏洞，其中有27個為重大漏洞。該單位亦發出12.56萬美元獎金。DHS並未透露相關漏洞的細節，但強調此項漏洞懸賞專案將能維護該國網路與基礎設施的資訊安全，並為聯邦機構帶來示範的作用。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/25 16:51作者周峻佑https://www.ithome.com.tw/news/150605
居家隔離時間大縮短！指揮中心公布居家隔離3+4新規定，明日開始執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>居家隔離政策大改變，中央流行疫情指揮中心今日（4/25）宣布，鑑於確診者數量越來越龐大，在專家會議討論後，決議居家隔離日期縮短為3+4，也就是密切接觸者居家隔離3天，期滿快篩陰性者，再進行4天自主防疫。</p> <p>進一步來說，密切接觸者的疫調時間也將縮短，以確診者發病前2日，或採撿陽性前2日起的同住親友、同班同學、同辦公室或同工作場域的密切接觸者（以九宮格計算），這些對象收到衛生局居隔單後，得進行3天居家隔離。居隔期間1人1室為原則，不得外出，完成框列後就進行快篩，或出現症狀、期滿日時，也得進行快篩。</p> <p>之後，陰性者轉為自主防疫4天，每日進行快篩，陰性者可外出工作、採買，但得全程佩戴口罩，不得內用、聚餐、聚會、前往人潮擁擠場所，或是與不特定對象接觸。</p> <p>指揮中心表示，這項政策於4月26日起正式實施。現有居家隔離超過3天者，從4月27日也開始自動解隔離。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11-0425%E7%A2%BA%E8%A8%BA%E8%80%85%E4%B8%BB%E5%8B%95%E5%9B%9E%E5%A0%B1%E5%8F%8A%E6%8E%A5%E8%A7%B8%E8%80%85%E5%8C%A1%E5%88%97%E8%AA%AA%E6%98%8E_01_01_01_01.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3%2B4%20_V2_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.jpeg" /></p> </div></div></div>
2022/4/25 18:32作者王若樸https://www.ithome.com.tw/news/150617
【專家觀點：安永風險管理公司總經理萬幼筠】稱職資安長要做的事情就是企業經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從金管會下令修法後，到2022年底，至少有超過一百家的上市櫃公司都必須設立資安長（CISO）一職後，許多人對於資安長的角色與職掌（R&R）有許多的想像和質疑，甚至於企業內部對於是否應該設立資安長，甚至，設立這個職位以後，在企業內部應該扮演何種角色，眾說紛紜。</p> <p>對此，專精風險管理、資安治理及數位轉型的安永風險顧問公司總經理萬幼筠，以簡單一句話概括資安長在企業內部應扮演的角色，「資安長要做的事情就是企業經營。」也就是說，身為企業高階主管的資安長，不能如同過去擔任資安部門主管，只偏重資安技術和縱深防護而已，當位置轉換的同時，頭腦思維也必須從技術思維轉成管理和治理思維才行。</p> <p><span style="font-size:28px;"><strong>資安長首先要定義資安角色與職掌功能</strong></span></p> <p>安全和營運往往是天秤的兩端，身為稱職的資安長（CISO），不再只是像擔任資安部門主管一般，只需要考量技術和防護觀點，而必須將資安風險對企業造成多大的損失，以及如何影響企業營運思考在內。</p> <p>因此，萬幼筠認為，一個稱職的資安長第一要務就是必須真正意識到：資安治理不等同於資安管理，資安長必須將資安的角色和職掌功能徹底定義清楚，因為資安管理不是單純的管理IT而已，而是包含企業經營、企業社會責任等多種層面的資安治理。</p> <p>他進一步解釋，「治理」是現在的趨勢，不管在公司哪一個位置和職務上，都必須要揭露治理權責和義務，也要揭露相關的財務營運損失，但其中，資訊安全因為涉及企業營運安全，現在是可以進到董事會報告的。</p> <p>資安是近幾年來政府開始重視的項目，剛開始，先是透過金管會的修法，鎖定大型的金融業者，要求內部應該要設立資安長、資安專責部門和資安專責人力，甚至也規定資安長應該是企業內部的高階主管，要求要副總層級以上的高階主管擔任資安長一職，後續也逐漸促使資安長成為企業內的重要角色。</p> <p>不過，目前實務上，有許多企業的資安長其實是資訊長兼任，萬幼筠認為，這往往意味著，「資安是資訊的附屬品」，在意的仍是維運層級，在意的是技術安全而非營運安全。「資訊背景出身的資安長，容易忽略企業風險這個環節。」他說，資訊長兼資安長是不得已的方式，因為適任的資安長人才難覓，但必須注意的是，這樣的作法，應該是短期內很難找到適任資安長所做的權宜措施，不應該是企業發展的長期作為。</p> <p>但萬幼筠也說，如果是由類似營運長的高階主管兼任資安長一職，表示企業高層對資安的重視。畢竟，營運長是企業經營管理委員會的成員，也必須向董事會報告，由這樣的高階主管兼任資安長，也意味著，資安在該公司屬於管理階層的工作內容。</p> <p>資安包含IT和OT，對許多高科技業者而言，OT才是公司營運核心、生財有道的關鍵，實際上，IT部門根本叫不動OT部門，更遑論當IT部門想要管理OT資安時，因為涉及企業賺錢關鍵，而處於插不上手或被排拒在外的狀態。</p> <p>從各種現況分析，萬幼筠表示，身處數位時代之下，由IT兼任資安經常就是一個失敗指標，除非直接成立更高階的「資安管理委員會」；而如今金管會修法將資安長拉高到公司治理階層，才更有機會落實企業的資安治理，而企業資安才可能成功。</p> <p>他也說，企業資安包含企業社會責任、專利營業秘密保護等，金管會去年十一月的修法，更證明企業如果能做好資安，不僅是公司治理好、管理營運好，外資更願意投資這樣的公司。</p> <p>不過，萬幼筠指出，企業要做好資安不是導入ISO 27001就好，更在意的是企業管理的成熟度，不只是砸大錢做資安而已，更關鍵是必須一步一步落實資安，因為資安長要落實資安治理，而這是一種管理職能，在意的是企業風控、內控；該關注的部分是：資安的角色與職掌，能否涵蓋企業風險的範疇；相較之下，資安部門主管這個角色才是偏重資安技術。</p> <p>他也觀察到，要界定資安長的職能範圍，除了要確認是否包含OT外，法遵合規與否也很重要；如果資安長在企業內沒有足夠高的位階，有許多大型企業會透過成立「資安管理委員會」的方式，來落實資安治理，該委員會由董事長擔任主席、資安長擔任秘書，並邀請涉及公司營運的重要部門主管，像是生產製造的廠長等應邀參與。</p> <p><span style="font-size:28px;"><strong>資安長要了解企業集團風險並連結績效指標</strong></span></p> <p>因為沒有百分之百不會遭駭的企業，也沒有百分之百的資安，所以，資安長就不可能保證企業不會發生資安事件，但關鍵在於，不會爆發資安事件的「機率」有多高？</p> <p>所以，萬幼筠認為，要了解企業集團面臨的資安風險，就必須要連結績效指標，也必須跟成本綁在一起，而最明顯的例子就是，當企業要投資購買某類型的設備軟體時，就要明確知道是為了解決什麼問題、降低何種風險，絕對不是買來供著而已。</p> <p>例如，金融業要進行OT系統盤點時，因為金融系統不能安裝代理程式，雖然法規要求金融系統上線前都必須要嚴格審查，但源碼檢測、上線過版都只能做非侵入式的掃描而已，在不安裝代理程式的前提之下，正確率大概只有八成。</p> <p>因為資安要跟績效指標結合，如果企業面臨的資安風險過高時，也可以考慮使用資安險作為風險轉移的工具。他表示，目前資安險有兩者，常見的是企業本身遭駭的第一責任險，另外一種則是後來才出現的資安險種：企業客戶遭駭的第三責任險，這類型資安險是因為供應鏈資安風險增加，加上保險理賠金額高，保險公司會再找國際再保公司分攤風險，一旦必須理賠，則會由再保公司出險。</p> <p>萬幼筠說，過去的資安險並不專業，資安長要看企業商業風險、公司營運狀態而有不同選擇，風險指標就是一種企業成熟度指標。近期，因為資安風險高、所以保費高、理賠金額也高，若參考國外企業購買資安險的作法，可以把企業內部分成不同類型和範圍，各自投保合適的資安險種，達到企業避險的目的，像是代工產線部分，一旦中斷將會直接影響企業營運，就可以投保最高額的資安險，其他IT維運系統、伺服器等，則可以買其他類型的資安保險因應。</p> <p>資安風險有很多種，很多高科技業者除了要考量人資資安、產線資安（機臺安全標準）、實體安全等不同面向，也必須注意到營運風險不是機器風險，而證交所要求企業要把營運風險揭露在年報中，呈現的是資訊治理、公司治理的一環，但其他的資訊作業內容則還沒有揭露在年報中。</p> <p><span style="font-size:28px;"><strong>資安長要配合業務發展策略，投入相對應的資源</strong></span></p> <p>對萬幼筠而言，只會導入傳統ISO 27001的資安長，並不是稱職的資安長；只懂資訊安全技術的資安長，也不是一位好的資安長；稱職的資安長必須能夠配合公司業務發展策略，而作配套的資源佈建。</p> <p>也就是說，稱職的資安長必須知道當公司業務拓展到哪一個地區，必須要符合哪一種規範，要做哪些相對應的投資。</p> <p>舉例而言，今天公司業務範圍擴展到歐盟地區時，許多客戶資料保護就必須符合歐盟個資法GDPR的要求，身為企業的資安長，就必須要很清楚扮演的角色是什麼？是要扮演幫公司做好客戶個資保護的資安長呢？還是要擔任保護個資當事人權益，通報當地監理機關的個資保護長（DPO）呢？</p> <p>假設該企業需要一個當公司在歐盟拓展業務時，可以協助把關客戶個資保護處理事宜的資安長時，公司的資源就必須放在：如何做到符合歐盟個資法GDPR保護客戶個資的方法上。</p> <p><span style="font-size:28px;"><strong>資安長落實內控的三大目的</strong></span></p> <p>萬幼筠認為，資安的事情交給資訊人員負責，並沒有監督意義；而資訊的效果確認，必須要由資安人員監督是否落實。他說：「對資安長而言，協助做好企業內控是非常重要的任務。」</p> <p>資安長落實企業內控有三個目的，首先，確定資訊資產的安全。</p> <p>他表示，包含企業營運活動的所有流程、OT、技術研發、營運模型、風險控管和資安保護等，都是為了要確保企業提供的產品或服務是安全的、受到保護的，取得ISO 27001資安認證，並不是資安長要做的事情。</p> <p>但是，如何保護客戶個資、如何增加個資保護強度、如何取得當事人個資使用同意等，不應該只是企業法務長或是營運長的事，每一個牽涉的流程環節和資訊資產安全，更是資安長責無旁貸的任務。</p> <p>其次，資安長落實內控，是為了確保管理資訊即時且正確表達。萬幼筠指出，企業的營運資料不容遭到竄改或任意變更，尤其是財務資訊的正確、即時表達，更攸關企業營運的安全性。</p> <p>第三，資安長落實內控是為了確保企業經營效果與效率。萬幼筠認為，資安長不同於資安部門主管，所作所為必須和企業營運相關，而非追逐最新攻防技術或產品趨勢。</p> <p>最簡單的例子就是，經濟部修法企業使用的資安產品和服務，可以列為資安投資抵減項目，這是因為攸關公司營運績效，財務長對這類資訊非常敏感，甚至是一有公告，馬上會研究該怎麼進行投資抵減對公司最有利。但這明明是資安的投資抵減項目，這樣的抵減金額是否可以列為資安長和資安部門的績效呢？這反而是資安長必須思考的事情。</p> <p>同時，金融業對於內稽內控有所謂的三道防線，這是資訊、資安和稽核部門可以發揮的功能，也是資安長可以據此落實企業經營的參考依據。</p> <p>第一道防線就是要辨識並管理日常事務所產生的風險，並針對風險特性設計並執行有效的內部控制程序以涵蓋相關的營運活動。萬幼筠表示，第一道防線就是資訊部門。</p> <p>第二道防線是為了協助及監督第一道防線辨識及管理風險，獨立於第一道防線和第三道防線，包含風險管理、法令遵循及其他專責單位。萬幼筠說，第二道防線就是資安部門。</p> <p>第三道防線是內部稽核單位，以獨立精神執行稽核業務，評估第一道防線和第二道防線風險監控的有效性。萬幼筠指出，第三道防線就是稽核部門。</p> <p>他也以臺灣某高科技業者的運作方式為例，他認為，三道防線若能各司其職，企業資安才能落實，該公司資安長透過槓桿方式規避風險，藉由打造的大平臺，完成資安工作，並且運用因勢利導的方式，藉由讓稽核部門開出缺失項目，就可以讓業務單位配合。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 16:31作者黃彥棻https://www.ithome.com.tw/news/150521
微軟與Red Button合作，在Azure提供DDoS攻擊模擬測試服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/microsoft-announces-new-collaboration-with-red-button-for-attack-simulation-testing/">微軟與DDoS攻擊測試公司Red Button合作</a>，提供Azure用戶DDoS攻擊模擬測試服務。藉由使用Red Button的DDoS測試服務套裝，並與專家合作，在受控的環境中模擬真實世界的DDoS的攻擊場景，企業可以評估當前抵禦DDoS的準備狀態，以進一步制定適當的DDoS回應策略。</p> <p>Red Button的DDoS測試服務包含三個階段，分別為規畫、執行受控DDoS攻擊，最後則是總結與建議。Red Button的專家團隊將與企業的資安團隊會面，經過了解網路架構、技術細節，並且定義明確的目標和測試計畫，包括DDoS的測試範圍、目標、攻擊向量和攻擊率。</p> <p>接下來Red Button團隊便會根據計畫定義的目標，發起多向量DDoS組合攻擊，測試通常會持續三到六小時，模擬攻擊將使用專用伺服器，確保過程的安全性，並且使用Red Button的管理控制臺進行操作與監控。最後Red Button團隊會根據測試攻擊結果，提供企業一份書面報告，內容包括測試結果執行摘要、模擬日誌、基礎設施的漏洞列表，以及修復這些漏洞的建議。</p> <p>除此之外，Red Button也提供額外的服務套裝，包括完整的DDoS全年服務DDoS 360，以及DDoS事件回應服務，來補充這個在Azure的DDoS測試服務。</p> <p>微軟提醒，Red Button的模擬環境建置在Azure中，用戶只能對自己訂閱的Azure託管公開IP地址進行攻擊模擬，在測試之前會經由Azure AD進行驗證，而且這些公開IP地址還必須受Azure DDoS防禦服務保護。</p> </div></div></div>
2022/4/25 15:23作者李建興https://www.ithome.com.tw/news/150597
T-Mobile也遭Lapsus$外洩程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/" target="_blank">資安部落格KrebsonSecurity報導</a> ，因駭入Nvidia、微軟、三星聞名的駭客組織Lapsus$，也曾駭入美國電信業者T-Mobile，並竊取多個專案的程式碼。</p> <p>KrebsonSecurity是取得Lapsus$核心成員透過Telegram非公開頻道三月底當周一個星期的通訊內容，等於是這個組織核心落網前犯下的最後大案之一。</p> <p>Lapsus$透過在地下網站購買或是在網上吸收知名目標企業員工，以取得這些公司內部系統的合法登入帳密。根據這些通訊紀錄，Lapsus$多次使用T-Mobile員工帳密登入公司VPN或是重要系統，包括3月19日登入管理廣大電信用戶帳號的Atlas系統。利用取得這些帳號資料，他們得以或發動SIM Swap攻擊，使其得以假冒用戶申請換新SIM卡，以便將用戶電話號碼移到駭客持有的裝置，藉此攔截銀行帳密或其他重要資料。</p> <p>通話內容顯示，名為White的駭客成功登入T-Mobile的Slack及Bitbucket帳號，也知道如何上傳檔案到T-Mobile的虛擬機器，同時曾計畫利用這招劫持美國政府FBI及國防部用戶的電話帳號，但未成功。最後，這名駭客貼出已利用自動script下載T-Mobile 3萬個程式碼儲存庫的螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://krebsonsecurity.com/wp-content/uploads/2022/04/t-mobsourcedl.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／KrebsonSecurity</span></p> <p>T-Mobile向KrebsonSecurity證實，幾個星期前該公司安全工具偵測到，有人利用被竊的登入憑證存取儲存營運工具軟體的內部系統。</p> <p>不過T-Mobile表示，所有系統及防護確實運作，使攻擊者很快就被封鎖並登出系統，被竊的憑證也都被廢除，因此沒有客戶或政府資訊外洩，他們也未發現駭客取得了任何有價值的資訊。</p> <p><a href="https://www.ithome.com.tw/news/148656" target="_blank">去年底T-Mobile坦承</a>其某些內部帳號出現未經授權的攻擊行動，可能導致客戶專用網路資訊（CPNI）被存取或是對客戶進行SIM卡挾持（SIM Swapping）攻擊。但這此攻擊是否為Lapsus$所為則不得而知。</p> <p>T-Mobile被駭並不令人意外，因為Lapsus$曾以每周2萬美元為代價，公開徵求AT&T、T-Mobile及Verizon員工作為攻擊行動內應。</p> <p>英國警方三月逮捕7名疑涉入Lapsus$ 的青少年，並<a href="https://www.ithome.com.tw/news/150253" target="_blank">在4月初控告</a>其中二名16歲及17歲的青少年。</p> </div></div></div>
2022/4/25 15:55作者林妍溱https://www.ithome.com.tw/news/150603
美司法部調查Google/Mandiant收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001370880/3c4d0433-8227-4076-8ed9-4aecf77858db.pdf" target="_blank">一項美國證管會（SEC）文件顯示</a>，三月間Google與安全廠商Mandiant宣布的收購案遭到美國司法部介入調查，增加政府插手干預大型收購案的可能性。</p> <p><a href="https://www.ithome.com.tw/news/149768" target="_blank">Google Cloud 3月初宣布</a>以54億美元收購資安服務業者Mandiant，取得Mandiant的各項專業能力，從安全顧問服務、威脅偵測與情報、自動化與回應工具、測試驗證，及代管防禦等，強化Google Cloud對企業及政府的端到端安全服務，支援雲端及本地部署環境。雙方預計2022年內完成收購合併。</p> <p>Mandiant上周在對證管會提交的文件指出，Mandiant與Google於3月21日向美國司法部與聯邦交易委員會（FTC）申報通知書及報表後，4月20日兩家公司都收到司法部要求提供關於本收購案的進一步資訊。文件指出，Mandiant及Google已立即回應第二次要求，同時，第二次要求將使收購案等待期，在Google、Mandiant遵循要求後延後30天，除非司法部提早終止等待或兩公司同意延長。</p> <p>這項文件並未透露司法部要求什麼資訊。<a href="https://www.theregister.com/2022/04/22/doj-google-mandiant/" target="_blank">不過The Register報導</a>，可能和反托拉斯的意圖有關。</p> <p>3月間美國以反托拉斯聞名的參議員Elizabeth Warren主導推動<a href="https://jones.house.gov/sites/evo-subsites/jones.house.gov/files/evo-media-document/The%20Prohibiting%20Anticompetitive%20Mergers%20Act%20-%20Full%20Text.pdf" target="_blank">《阻止反競爭合併法案》（Prohibiting Anticompetitive Mergers Act，PAMA）</a>，內容包括允許司法部及FTC阻擋金額在50億美元以上的收購合併案。<a href="https://www.ithome.com.tw/news/129213" target="_blank">Warren曾力主分割</a>收購WhatsApp與Instagram的Meta，以及Google和Amazon等科技巨擘。</p> <p>產業分析師指出，Google及Mandiant合併案被介入調查，顯示行政及立法部門已盯上大型廠商，未來所有大型合併案都可能面臨相同命運。</p> <p>此外，<a href="https://www.theregister.com/2022/04/04/mandiant_google_lawsuit/" target="_blank">4月一名Mandiant股東控告</a>該公司對投資人提供的SEC文件中包含誤導及不完整聲明，企圖誘使促成與Google的合併。</p> </div></div></div>
2022/4/25 16:14作者林妍溱https://www.ithome.com.tw/news/150604
Amazon買下印度社交商務網站Glowroad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon近日傳出已買下於2017年創立的印度社交商務網站Glowroad，<a href="https://techcrunch.com/2022/04/21/amazon-social-commerce-india/" target="_blank">Amazon也向媒體證實此事</a>。</p> <p>這幾年美國大型科技業者爭相投入印度市場，Amazon於2019年出手<a href="https://www.ithome.com.tw/news/132610" target="_blank">買下印度禮券業者Future Coupons的49%股份</a>，2020年與數千家印度商店合作，<a href="https://www.ithome.com.tw/news/138481" target="_blank">推出智慧商店服務</a>，2021年在印度<a href="https://www.ithome.com.tw/news/142016" target="_blank">推出全球首款FireOS電視</a>，同年<a href="https://www.ithome.com.tw/news/142760" target="_blank">攜手鴻海於印度成立電視棒生產工廠</a>。此外，Amazon亦承諾要投資10億美元，以協助印度1,000萬家的中小企業數位化，目標是讓印度在2025年以前達到100億美元的累積出口價值，並新增100萬個工作機會。</p> <p>Glowroad聚集超過2萬個商家，陳列逾300種商品類別，具備金流及物流服務，以「在家工作」為口號，號召家庭主婦或學生等使用者加入經銷商行列，以批發價供應商品，並鼓勵他們透過WhatsApp、Facebook及Instagram等社交平臺銷售商品，還可自行定價。</p> <p>根據Glowroad的統計，認真的經銷商在經營一年後，每月的平均收入可達到4萬~5萬（約新臺幣15,200元至19,000元），且迄今已有超過600萬名經銷商加入Glowroad平臺。</p> <p>雙方並未公布交易金額，但根據<a href="https://economictimes.indiatimes.com/tech/technology/amazon-acquires-reseller-platform-glowroad-to-bolster-social-commerce-ambitions/articleshow/90987418.cms" target="_blank">《印度時報》（India Times）</a>的報導，Glowroad最近一次的估值約為7,500萬美元。此外，Glowroad未來在印度仍將維持獨立運作。</p> </div></div></div>
2022/4/25 15:19作者陳曉莉https://www.ithome.com.tw/news/150602
蘋果終止macOS Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://support.apple.com/en-us/HT208312" target="_blank">蘋果上周五（4/22）公告</a><a href="https://support.apple.com/en-us/HT208312)%EF%BC%8CmacOS">，</a>macOS Server已在4月21日終止，為macOS Server的更新畫下句點。</p> <p dir="ltr">蘋果表示，<a href="https://apps.apple.com/us/app/macos-server/id883878097" target="_blank">現有macOS Server客戶仍可持續下載及使用macOS Monterey版本App</a>。<a href="https://www.zdnet.com/article/apple-say-a-final-goodbye-to-macos-server/" target="_blank">不過ZDNet指出</a>，在App Store上這款App的評分只有1.5星。</p> <p dir="ltr">蘋果自從將重點轉到iPhone及消費市場後，就不再著重開發macOS Server了。2018年它將大部份功能轉移到macOS ，留下VPN伺服器、網路服務、網域名伺服器（DNS）、郵件伺服器、行事曆、訊息、AirPort管理等功能。</p> <p dir="ltr">但是從macOS Server 5.7.1 開始，已不原生提供行事曆、通訊錄、郵件伺服器、VPN 伺服器、Web Server、DHCP等，用戶必須自己下載開源軟體。此外，macOS Server的快取伺服器、檔案伺服器、時光機Server則轉移到macOS High Sierra 中，蘋果說這樣可讓更多用戶免費存取這些服務。</p> <p dir="ltr">5.7.1到5.11.1版macOS Server目前內建的服務剩下Profile Manager、Open Directory、Xsan。<a href="https://support.apple.com/zh-hk/HT208312" target="_blank">至於MacOS Server 5.12</a>版，則不再包括Xsan指令行工具，因為已搬到macOS Big Sur（及之後）版本。</p> <p dir="ltr">針對Profile Manager，如果用戶想轉移到其他MDM方案，<a href="https://support.apple.com/zh-tw/guide/deployment/dep1d7afa557/web" target="_blank">蘋果也提供</a>了採購及規畫指示。</p> </div></div></div>
2022/4/25 13:51作者林妍溱https://www.ithome.com.tw/news/150600
美國國土安全部Hack DHS抓漏專案找出逾122個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國國土安全部（Department of Homeland Security，DHS）於去年12月啟動<a href="https://www.dhs.gov/news/2021/12/14/dhs-announces-hack-dhs-bug-bounty-program-identify-potential-cybersecurity" target="_blank">Hack DHS抓漏專案</a>，邀請資安專家尋找特定DHS系統的安全漏洞，<a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program" target="_blank">上周公布了第一階段的成果</a>，指出逾450名受邀的安全研究人員總計找出了122個安全漏洞，發出12.56萬美元的獎金，當中有27個被視為重大（Critical）漏洞。</p> <p dir="ltr">Hack DHS分為三個階段，一是由研究人員負責評估及找出特定對外系統的安全漏洞，第二階段則將邀請研究人員參與現場的駭客活動，最後一個階段則由DHS公布完整的專案成果、所學到的教訓，以及未來的抓漏專案，預計於今年完成。</p> <p dir="ltr">因此，目前DHS並未揭露第一階段所發現的漏洞細節，僅強調各種規模及領域的組織，包括DHS在內都必須保持警惕並強化網路安全，Hack DHS示範了該部門以身作則來保護美國的網路與基礎設施，以避免受到網路威脅的承諾。</p> </div></div></div>
2022/4/25 14:12作者陳曉莉https://www.ithome.com.tw/news/150601
零時差漏洞遭濫用數量再創新高，Mandiant認為間諜駭客、中國最常這麼做！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/149768" target="_blank">甫於今年3月被Google併購的資安業者Mandiant</a>，於上周公布了<a href="https://www.mandiant.com/resources/zero-days-exploited-2021" target="_blank">2021年的零時差漏洞調查報告</a>，指出去年總計出現了80個零時差漏洞，濫用零時差漏洞主要的族群為國家級間諜駭客（espionage groups），中國駭客便濫用了8個。此外，愈受歡迎的品牌就愈容易被濫用，例如被濫用零時差漏洞的前三名業者依序是微軟、蘋果及Google。</p> <p>Mandiant所定義的零時差漏洞是漏洞尚未修補前就遭到濫用，與Google的定義一致，但<a href="https://googleprojectzero.blogspot.com/2022/04/the-more-you-know-more-you-know-you.html" target="_blank">Google僅於去年發現58個遭濫用的零時差漏洞</a>，Mandiant則說有80個，不過，他們都說這是史上發現最多零時差漏洞的一年。</p> <p>此外，有別於Google認為零時差漏洞變多的原因，也許是資安社群偵測零時差攻擊程式的能力變好了，Mandiant則指出，除了此一原因之外，各組織陸續遷移到雲端代管、行動及物聯網技術增加了系統與裝置的複雜度，簡單地說，使用更多的軟體也帶來更多的安全漏洞，且市場上愈來愈多的零時差濫用程式掮客與更多研發資源的投入，也助長了零時差攻擊程式的成長。</p> <p>根據Mandiant的研究，基於間諜目的的國家級駭客依然是濫用零時差漏洞的主要族群，中國駭客濫用了8個零時差漏洞，俄羅斯駭客濫用了2個，北韓濫用1個。而因經濟動機而濫用零時差漏洞的比例也愈來愈高，在針對零時差漏洞展開攻擊的駭客集團中，約有1/3是基於經濟動機。</p> <p>值得注意的是Mandiant還發現了零時差漏洞掮客的增加，這些業者專門開發零時差漏洞攻擊程式並出售給買家，去年至少有6個零時差攻擊程式是由這些業者所供應。</p> <p>愈受歡迎的品牌就愈受駭客青睞，去年現身的80個零時差漏洞中，光是來自微軟、蘋果及Google產品的就占了75%，其它還包括Accellion、SonicWall、Apache、高通、趨勢與Adobe等。</p> <p class="rtecenter"><img alt="" src="https://www.mandiant.com/sites/default/files/inline-images/zero-day4.png" style="width: 600px;" /></p> </div></div></div>
2022/4/25 11:30作者陳曉莉https://www.ithome.com.tw/news/150595
歐盟新法規定平臺需分享內容演算法、最高可罰6%全球營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545" target="_blank">歐盟上周末公</a><a href="http://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545" target="_blank">布</a>規範大型內容平臺與線上廣告的《數位服務法》（Digital Services Act）條文規範，初步規定平臺需提供兩種以上內容推薦系統，歐盟可要求存取內容平臺演算法、以及最高可對違法者裁罰6%全年營收等規定。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/news/141699" target="_blank">歐盟2020年公</a><a href="http://www.ithome.com.tw/news/141699" target="_blank">布</a>《數位服務法》與《數位市場法》（Digital Markets Act），被視為規範Meta、Google等大型內容平臺業者的法案。<a href="https://www.ithome.com.tw/news/149032" target="_blank">其中數位服務法於今年1月通過</a>，並啟動與歐盟議會和理事會，代表會員國協商內容，協商初步結果於周五公布。</p> <p dir="ltr">《數位服務法》旨在要求內容平臺必須對平臺上顯示的內容負更多責任，需更快移除不良或非法內容，且需更透明，尤其是用戶人數超過4,500萬的超大型業者，如Meta、Google或蘋果等平臺。</p> <p dir="ltr">本次協商內容影響最大規範是歐盟及會員國可以存取超大型平臺的演算法。此外，這些平臺必須對用戶告知其內容推薦系統的運作，且用戶可以有至少一個非依用戶側寫（profiling）推送內容的系統（例如按時間排序）。</p> <p dir="ltr">其他的內容則和今年1月公布的方向差不多。廣告方面，完全禁止針對未成年人的個人廣告、不得依性傾向、民族或宗教發送精準廣告。內容發送方面，平臺不得以「暗黑模式」（dark pattern）偏私特定內容或以跳出式視窗操弄選擇、而平臺需在用戶通報非法內容時儘速移除，並立即移除非合意分享（如報復色情）的內容，同時用戶也可針對因平臺而遭致的損失或傷害尋求賠償。為防止網路犯罪，平臺需確保消費者採購的是安全產品或服務，且加強交易人士的稽查（Know Your Customer）。</p> <p dir="ltr">新法並新增一項規定，違法的線上平臺及搜尋引擎最高可處以全球營收的6%罰金，若是超大型平臺，則將由歐盟委員會要求遵循法規。</p> <p dir="ltr">不過數位服務法條文尚未底定。歐洲議會代表將在5月23到27日前往Meta、Google、蘋果等公司總部及美國當地新創公司、學界與政府官員等，討論這項新法。這項新法條文也會再由歐洲議會及歐盟理事會做最後許可。一旦完成並公布，將在20日執行，並在15個月後，約2024年上路實施。</p> </div></div></div>
2022/4/25 11:33作者林妍溱https://www.ithome.com.tw/news/150599
蘋果準備清除App Store上的老舊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">許多iOS程式開發者最近都收到了蘋果的通知，指出相關程式太久沒有更新，因此會在30天後被下架，若要維持上架狀態，就必須於30天內提交更新程式。</p> <p dir="ltr"><a href="https://twitter.com/lazerwalker/status/1517849201148932096" target="_blank">一名遊戲開發者Emilia Lazer-Walker於Twitter上抱怨</a>，遊戲可當作是個完整物件的存在，她所打造的這些免費專案並不適合更新，也不適合採用動態服務模式，在多年前就是屬於完整的作品。</p> <p dir="ltr"><a href="https://twitter.com/protopop/status/1517701619374338050" target="_blank">另一名遊戲開發者Robert Kabwe則說</a>，蘋果說要移除他兩年前上架的免費遊戲Motivoto，此事一點都不酷，於2000年問世的遊戲機遊戲迄今仍在銷售，這對獨立開發者而言是個不公平的障礙。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/news/108167" target="_blank">蘋果在2016年曾宣布將針對App Store進行大掃除</a>，要求開發人員改善無法正常運作、未遵循最新規範，或是太久未進行相容性更新的程式，否則就會將它們移除。</p> <p dir="ltr"><a href="https://developer.apple.com/support/app-store-improvements/" target="_blank">最近的舉動也是蘋果App Store Improvements的一環</a>，不過蘋果並未說明多久未更新就會收到警告通知。</p> </div></div></div>
2022/4/25 11:41作者陳曉莉https://www.ithome.com.tw/news/150598
【企業為什麼要設立資安長】臺灣設立資安長動能來自法規遵循
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">近期最熱門的高階人才就是資安長（CISO），來自產業對資安長龐大的需求，也讓許多具備資安專業的公務機關高階主管，紛紛離開公務體系，轉身投身產業、擔任資安長一職。</p> <p dir="ltr">臺灣設立資安長最大的動能來自法規遵循，目前有兩個方面，首先，是「金融資安行動方案」的要求，具有一定規模以上的銀行、證券、保險、投信等，共計65家金融業者，必須要在今年三月底前設立資安長。</p> <p dir="ltr">另外，就是金管會修正「公開發行公司建立內部控制制度處理準則」，希望透過修法的方式，提升各個產業的資安防護能力。</p> <p dir="ltr">根據修法內容，到2022年底，就有111家上市櫃公司需要設立資安長，以及資安專責單位，現在距離這個期限只剩下八個月的時間，這些公司就必須設立資安長，這也讓資安長成為年度炙手可熱的高階獵人頭標的。</p> <p dir="ltr">不過，資安長只是一個職稱，要如何成為稱職的資安長呢？根據線上開源字典《萌典》對「稱職」的解釋：才能足夠勝任所擔負的職務，因此，這個負責人若要成為稱職的資安長，符合法規遵循只是第一步，但要進一步做到名實相符，該考量什麼？</p> <p dir="ltr">專精風險管理、資安治理及數位轉型的安永顧問顧問公司總經理萬幼筠，則以簡單的一句話概括資安長在企業內部應該扮演的角色，他說：「資安長要做的事情就是企業經營。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>金融業是設立資安長先驅，副總級資安長有利內部資源調度</strong></span></p> <p dir="ltr">資安長長年以來是國外的熱門職缺，但臺灣企業因為產業規模較小，加上對於資安防護意識較為薄弱，除了外商公司之外，本土企業少有資安長（CISO）的職缺。</p> <p dir="ltr">隨著企業仰賴資訊系統提供服務日深，但資安風險逐日加劇，不論公司規模大小，都有機會遭遇到各種類型的網路攻擊，從最簡單的網頁置換開始，或是對企業危害不斷的勒索加密攻擊、癱瘓網站的DDoS（分散式阻斷式）攻擊、鎖定特定企業的APT（針對式攻擊），甚至是最難防護的供應鏈攻擊等，也讓許多企業開始有資安風險意識，會在資訊部門內成立資安相關的功能小組，具備風險意識的企業，就會分別成立資訊部門和資安部門，但資安長這樣的高階主管職缺，卻一直是稀缺產物。</p> <p dir="ltr">現任國安會秘書長顧立雄在擔任金管會主委時，就已經意識到資安的重要性，在2017年2月，金管會邀請本國銀行討論相關議題所達成的共識則是，鼓勵本國銀行可依規模、業務複雜度與營運風險，於半年內，設置資安專責單位及相當層級的專責主管。此時，資安專責主管只需要協理層級以上的位階即可，當時只限制兆元以上的銀行需遵循相關規定。</p> <p dir="ltr">但從2020年8月，金管會開始推動《金融資安行動方案》開始後，便規定具有一定規模以上的金融機構或純網銀，都必須設置副總經理層級的資安長；另外也希望董事會的運作中，能聘請資安背景的董事、顧問，或是設置資安諮詢小組。</p> <p dir="ltr">到2021年9月，金管會所屬銀行局、保險局及證期局也完成修法，明定符合條件的金融機構，都必須設置副總層級或職責相當的管理人兼任「資安長」，以統籌資安政策推動協調及資源調度，提升其對資安議題的執行能力。</p> <p dir="ltr">法條適用的範圍包括銀行、壽險、證券、期貨、投信投顧、證交所、櫃買中心、期交所以及證券集中保管所等65家金融機構，最遲到2022年3月，上述65家金融機構都必須設立副總層級的資安長。</p> <p dir="ltr">金融業是臺灣設立資安長的先鋒產業，除了金管會希望能夠強化主管機關的資安監理能力外，更希望讓金融業組織內部，可以獲得組織管理高層的支持，透過副總經理高階主管位階的資安長帶領，更容易由上到下做各種資源調度，支持組織發展資安、進而落實資安治理。</p> <p dir="ltr">另外一個法遵要求則來自於，金管會希望可以強化對上市櫃等公開發行公司資訊安全管理機制，透過修法方式，提升各產業公司資安防護能力，希望企業可以指派綜理資訊安全政策推動及資源調度事務的人兼任資安長一職，並設置資訊安全專責單位、主管及人員，以利進行差異化管理。</p> <p dir="ltr">金管會將上市櫃公司分成三個等級，其中，符合第一級規範的111家上市櫃公司，都必須在2022年底前設立資安長，以及成立包含資安專責主管和至少2名以上資安專責人員的資安專責單位。</p> <p dir="ltr">至於，第二級的上市櫃公司，則必須要在2023年底前設立資安專責主管，以及至少1名資安專責人員，總計有1,321家企業；其他266家第三級上市櫃公司，鼓勵企業配置至少1名資安專責人員。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要有管理和治理思維，衡量資安整體需求與資源分配</strong></span></p> <p dir="ltr">除了法遵要求外，萬幼筠認為，要成為一位稱職的資安長，首先要能夠定義資安角色與職掌功能，也要能夠了解企業集團風險並連結績效指標，更要配合業務發展策略，投入相對應的資源。</p> <p dir="ltr">也就是說，身為企業高階主管的資安長，不能如同過去擔任資安部門主管一樣，只偏重資安技術和縱深防護而已，當位置轉換的同時，頭腦思維也必須從技術思維轉成管理和治理思維才行。</p> <p dir="ltr">但萬幼筠從各種現況分析表示，在數位時代下，由IT兼任資安經常就是一個失敗指標，除非直接成立更高階的「資安管理委員會」，而金管會修法將資安長拉高到公司治理階層，就是希望落實企業的資安治理，有助於企業資安的成功。</p> <p dir="ltr">他也說，企業資安包含企業社會責任、專利營業秘密保護等，金管會去年十一月的修法，更證明企業如果能做好資安，不僅是公司治理好、管理營運好，外資更願意投資這樣的公司。</p> <p dir="ltr">臺灣科技大學資管系教授查士朝則指出，不同產業的資安長有不同要求，例如：金融資安長最重要的工作，是落實各種法遵，以及做好相關的稽核和資安檢查；各種製造業資安長，應該做好資訊資產分級分類；電商服務業資安長則要制定制度，可以從各種Log檔追資安事件根因。</p> <p dir="ltr">他認為，資安長的高度與眼界，和公司規模、營運有正相關，要學會確認資安需求，以及做好資源分配，成為稱職資安長應該具備的技能。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安是推動數位轉型的重要基礎</strong></span></p> <p dir="ltr">臺灣微軟Microsoft 365事業部副總經理朱以方日前也分享資安部署及日本資安長設立的相關經驗，她說：「資安防護不只是資安長CISO或資訊長CIO的工作，而是每位員工的責任。」</p> <p dir="ltr">來自日本網路安全創新委員會（Japan Cybersecurity Innovation Committee，JCIC）主席梶浦敏範（Kajiura Toshinori），除了擔任日本網路安全協會主席，也是日本經團連資安工作協會小組主席。</p> <p dir="ltr">他表示，日本政府提出新的資安戰略：全體人員資訊安全對應（cybersecurity for all），包含推動數位轉型、資安議題、安全保障計畫等，以及最重要的資安意識養成。</p> <p dir="ltr">梶浦敏範指出，對日本企業而言，數位轉型和資安兩者在企業成長中同等重要。他說，數位轉型過程中，數據持續發展新的應用方式，就會有資安風險出現，資安長的角色和職責也從守備擴展到商業模式上，企業若將數位轉型視為獲利來源，資安也成為必要的投資。</p> <p dir="ltr">而日本企業的資安長，也從以往以防禦為導向的「資安長1.0版」：找出資安風險、制定資安計畫、對應資安事件，以及對外的資安報告等，進一步轉變成以攻擊為導向的「資安長2.0版」，主要接觸和業務有關，與事業核心有關，幫助經營者與顧客、市場及股東說明資安投資、預測資安風險，改革並引導企業資安方針。</p> <p dir="ltr">微軟亞洲首席資安官花村実則表示，資安長和資安團隊，會隨著經營者的決策與企業文化，而提升其權限和成熟度，當資安長能以業務和戰略為導向，將能有效抑止企業面臨資安風險。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:40作者黃彥棻https://www.ithome.com.tw/news/150580
【專家觀點：臺灣科技大學資管系教授查士朝】稱職資安長要懂得確認資安需求並做好資源分配
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對今年（2022年）底，臺灣有111家上市櫃公司必須要設立資安長及專責單位，這麼急迫的高階人才需求，也讓資安長（CISO）這個角色一時供不應求。</p> <p>這股人才吸力也讓過往一些職涯偏向穩健保守、具備資安專業技能的公務員，跳槽到對資安長人才需求更為殷切的產業界，例如金融業。</p> <p>公務機關的保守，加上對產業界對資安人才薪資的躍升，這也讓《資通安全法》實施後，公務機關近千名資安人力缺口，一直處於無法補足的狀態。</p> <p>在產業界亟需資安長高階人才的同時，臺灣科技大學資管系教授查士朝觀察指出，資安長的高度與眼界，和公司規模及營運有正相關，要學會確認資安需求以及做好資源分配，成為稱職資安長應該具備的技能。</p> <p><span style="font-size:28px;"><strong>掌握三個共通特質，學會資源分配與確認需求</strong></span></p> <p>要成為稱職的資安長，應該具備哪一些特質呢？查士朝曾經觀察過許多各行各業的資安長，他發現有幾個共通的特質。</p> <p>首先，稱職的資安長在企業發生資安事件時，必須要能夠快速掌握事件原因，並且可以對事件進行因應。</p> <p>其次，稱職資安長必須要能夠知道自己組織的資安風險，並且能夠妥善地運用有限的資源因應風險。</p> <p>第三，要能夠定義並識別每個成員的資安責任，並且協助組織成員擔負起應該負擔的安全責任。</p> <p>但如果要以產業別做區分的話，查士朝認為，首先要考慮到的是業務類型：是否會處理到敏感個資？如果服務中斷，是否會造成重大衝擊？是否涉及營業秘密外洩？一旦發生資安事件，是否會產生外溢效果？資安要求是否被列入法規當中？甚至是企業本身是甲方、乙方，乃至於丙方，對於擔負的資安責任都有差異。</p> <p>若以個別組織思考的方向是：該企業是否仰賴委外或外部雲端服務？個別組織是否賺錢等等。他坦言，如果組織是高度監管並且有許多法規要求，並且有很多委外廠商，該組織資安長的特性會比較著重於法遵與稽核。</p> <p>設立資安長除了法規的要求外，公司是否獲利也會影響資安長的「底氣」。查士朝指出，倘若公司不怎麼賺錢，即便設有專職的資安長，整個公司可能是「校長兼撞鐘」，對於資安長而言，除了負責政策制定，其他從網路、防毒到桌機，可能都是資安長一肩挑起。「這時候資安長最重要的能力就是，怎麼做好資源分類。」他說。</p> <p>但如果是資訊部門在組織中相對弱勢，很多時候都是由業務單位主動提出需求，資安長此時關注的部分，應該偏重：確認資安需求不會因為業務單位的要求而消失。</p> <p><span style="font-size:28px;"><strong>資安不只是資安部門的事，更是全公司的事</strong></span></p> <p>查士朝坦言，資訊安全部門的功能會和很多部門的功能重疊，以防火牆的設定為例，雖然防火牆算是資安設備，但設備的設定通常會由資訊部門設定，資安部門則是「決定資安政策要怎麼設定」。</p> <p>他認為，資安風險的擬定如果沒有納入業務單位的意見，往往無法發揮應該有的效果。因此，如果太強調資安部門，以致於公司所有資安相關工作都歸到資安部門負責，其實並不是好事；反而是要讓公司的每個成員，都清楚知道自身在資訊安全上的責任。目前看來，資訊安全部門最直接的工作，就是風險評估與制度建立、稽核、資安檢查、資安投資的規畫與教育訓練等。</p> <p>查士朝表示，應該會有許多了解業務運作的人，和業務單位與資訊部門一起進行風險管理的工作，建立與推動資訊安全管理制度，規畫資訊安全教育訓練，以確保人員能夠執行資安責任。</p> <p>同時，有資安稽核人員確認制度的落實、協助改善缺失；也會有資安分析人員，去進行弱點掃描與滲透測試等工作；最後，需要有人員去規畫重大資訊安全投資，或是協助審查資訊投資的安全性。</p> <p><span style="font-size:28px;"><strong>資安長不只要跟董事會報告，也須向全公司形塑資安意識</strong></span></p> <p>資安從原本不受重視，到現在，已經成為必須跟董事會報告的重要事項之一。查士朝以自身曾經擔任企業獨立董事的經驗指出關鍵，他說，對董事會成員或管理階層而言，希望聽到資安長報告最重要的事情就是：了解企業本身，是否遭到什麼樣重大的資安風險；另外就是，需要了解企業是否已經遭駭，而目前資安事件的處理狀況為何。</p> <p>他也說，其他資安長需要向董事會報告的事情，則包括：是否有其他可能造成資安隱憂的事件，或者是希望董事會同意重大的資安投資項目。</p> <p>查士朝表示，資安長在董事會報告時，不能只是點出問題所在，更關鍵的是，必須要可以提供相對應的解決方案，以及成本效益分析的結果報告。因此，資安長就必須有能力，針對所要推動的資安投資項目進行背書和說明。至於，其他資安檢查成果或是重要工作事項報告，則能夠以比較短的篇幅進行相關報告。</p> <p>資安長除了做好針對董事會或是經營管理階層的向上管理外，也同樣要面對平行部門和下屬的管理。查士朝認為，對於資安部門的同仁而言，「創造一個讓同仁有成就感的工作環境」是重要的任務，這樣才能維持資安部門的穩定運作。</p> <p>但若是面對其他部門的合作，甚至是擴及全公司同仁的合作，他認為，資安長就必須要展現其說服力和影響力，不僅可以做到和其他部門的協同合作，甚至要將資安意識的種子，深植到公司每個人的意識中，讓「資訊安全」成為全員工的事，而不只是資安長或資安部門的事。</p> <p><span style="font-size:28px;"><strong>產業資安長因應產業特性而有不同要求</strong></span></p> <p>不同產業對於資安長如何因應產業需求，都有不同的期待。其中，金融業是各個產業中，最早被金管會規範要設立資安長、成立資安專責單位的產業。查士朝認為，這是受到高度監管的產業，其資安長也是各個不同產業中，法遵要求最多也最複雜的產業，因此，了解相關法規、落實法遵要求，成為金融業資安長的第一要務；也因為各種法遵規範多，檢查法遵落實程度的資安檢查和稽核工作，也成為金融業資安長的日常。</p> <p>高科技製造業是帶動臺灣經濟發展的重要產業，而傳統製造業則是臺灣產業發展的命脈，查士朝表示，不管是哪一種製造業的資訊部門，因為不是公司主要賺錢來源，都是要花錢的成本單位，資訊單位相對弱勢，往往都是要配合工廠需求而生；而毛利相對低的企業，在面對各種資安事件發生時，只能做到立即處理和因應。</p> <p>若要預防的話，查士朝也說，比較好的方式則是，針對不同的資訊資產事先做分級分類，把資源做合理的分配應用；甚至，也可以事先把比較重要的機敏系統做網段隔離以確保安全，這些都是製造業資安長可以做的作為。</p> <p>至於電子商務業，已經是臺灣服務業中，高度仰賴資訊系統提供服務，卻也是各種個資外洩、詐騙事件頻傳的產業。他指出，很多電商的服務會直接面對使用者，也同時面臨很多資安挑戰，保護客戶個資成為當務之急。</p> <p>查士朝建議，對於電商業者而言，善用各種雲端服務資源，可以有效降低該產業的資安投資；如果能夠有足夠的記錄檔（Log），一旦發生資安事件時，就可以通知相關使用者做處理。</p> <p>他也說，電商業者應該要做好分工制度，因為電商業者規模落差很大，很多小型電商甚至是十人以下微型企業的情況下，各個部門對於資訊技術也不甚熟悉，若面對業務單位要求資訊部門立即做很多行銷活動，或系統設定更改時，一旦爆發資安事件時，資訊部門往往力有未逮、不見得有能力解決。</p> <p>因此，他認為，像是電商服務業的資安長最重要的任務則是「建立制度」，釐清各個部門的任務分工，資訊、資安部門的職掌也要清楚，面對資安事件發生時，資安部門也有能力透過各種Log檔去發現資安事件的根因，這才是電商業者資安長應該做的事情。</p> <p><span style="font-size:28px;"><strong>從專業能力考量是否由資訊長兼任，要有足夠位階與授權</strong></span></p> <p>面對金管會修法，要求各種規模的上市櫃公司，陸續在今年底和明年底設立資安長、成立資安專責單位，高階資安長也成為這兩年最炙手可熱的人才需求。</p> <p>但查士朝提出務實的觀點，他認為，很多企業不見得一開始就會設立專責的資安長，通常會由其他高階主管兼任，最常見的就是資訊長兼任資安長。資安長通常會有特別的法律責任，經常被視為和政府單位的窗口和聯絡人，因此，資安長因為需要解決資安事件，也會被要求具備特別的資安能力時，資訊長若無法具備相對應的能力時，資訊長就不見得適合兼任資安長。</p> <p>他指出，如果這個產業對資安長的要求是，必須完成一些資安稽核項目或做資安檢查時，資訊長兼任資安長就不見得適合，因為這些項目可能都是資訊部門開發或部署的，考量其資安稽核或資安檢查的獨立性，資安長獨立於資訊長之外或許是比較好的選擇。不過，他強調，資訊安全的工作一定是要資訊部門配合，因此，資訊長和資安長一定要能合作才行。</p> <p>對於資安部門主管有時候會稱呼為資安官，和具有高階主管授權的資安長最大的差別就是公司職務的位階。如果說，資安長是副總等級，那麼資安官大概就是經理等級，因為職務位階而有不同授權，能夠做到的事情就會有一些差異。</p> <p>查士朝認為，對資安長而言，最重要的任務就是讓企業高階主管有資安的認知，如果企業要做重大的資訊投資時，最好可以由資安長協助確認該資訊投資面臨的資安風險，也可以有效降低企業面臨的資安風險、提高資訊投資的效益。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150527
【金融業資安長經驗分享】稱職的資安長是業務的促成者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">危機是否也能成為轉機？重點在於，面對危機發生後的因應態度。</p> <p dir="ltr">臺灣本土百年老行庫第一銀行在2016年迎來臺灣金融史上最大的危機：金融ATM盜領案，金融駭客透過第一銀行英國分行的語音系統作為跳板，進到臺灣總公司內網後，透過橫向移動，取得關鍵使用者帳號密碼後，植入金融木馬程式，駭客透過遠端遙控方式，並由車手在第一銀行分行ATM盜領八千多萬元。</p> <p dir="ltr">這起前無古人、後難有來者的ATM盜領案，對第一銀行帶來嚴重的商譽衝擊，但是，直視危機的第一銀行並未因此氣餒，他們透過獵人頭公司，積極挖角當時擔任資策會資安所副所長、兼任國家資通安全技術服務中心主任的劉培文，擔任第一銀行資訊管理中心副總經理一職，跨域挖角補漏洞的作法，讓第一銀行從ATM的盜領危機後，找到新的因應之道。</p> <p dir="ltr">劉培文當時雖然因為資安專長而被找到第一銀行任職，但由於過往累積的豐富工作經驗，也讓他在當時還沒有資安長的職稱時，便直接接任資訊管理中心副總經理，同時管理資訊和資安領大領域。</p> <p dir="ltr">爾後，劉培文的資訊、資安專業，在高度依賴資訊系統提供服務的金融業中，更進一步拓展業務掌管範圍，連數位金融以及金融科技的推動，也都成為他的核心業務。</p> <p dir="ltr">基本上，在沒有內建資安的狀況下所提供的金融服務，無法贏得顧客的信任，劉培文認為，對於金融業的資安長而言，資安會是金融業務的促成者，「沒有資安的促成，就沒有讓人信任的金融服務存在。」他說。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長的百日維新</strong></span></p> <p dir="ltr">根據調研公司Gartner的「資安長前一百天藍圖（The CISO’s First 100 Days Roadmap）」研究顯示，資安長在任期中，不僅要與各種利害關係人做好溝通外，更把擔任資安長的前一百天，分成五個發展階段，不管是空降或是內升的資安長，都可以在這五個階段中掌握業務關鍵，扮演稱職資安長的角色。</p> <ul><li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第一個階段：準備</strong>，資安長最遲在上工前一天，就必須規畫好相關的角色職掌。第二個階段：評估，資安長就任的第一到四周，必須掌握企業內部的資安成熟度。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第三個階段：規畫</strong>，資安長就任的第三到六周，打造前一百天的工作藍圖。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第四個階段：行動</strong>，資安長就任的第五到十二周，針對現有的不足，做出一些可見的改善成績。</p> </li> <li aria-level="1" dir="ltr"> <p dir="ltr" role="presentation"><strong>第五個階段：評量</strong>，資安長就任的第十一到十四周，提供現有資安流程的確有改善的證據。</p> </li> </ul><p dir="ltr">對於劉培文而言，資安長的百日維新，是一個讓他熟悉金融業業務運作的階段。他表示，獵人頭公司從2016年7月開始跟他接觸，歷經幾次面試後，他的工作內容也從原本只管理資安，到後來同時管理資訊和資安；其他的，除了要求他必須在10月前，通過金融業對從業人員內稽內控的考試外，就沒有其他要求。</p> <p dir="ltr">劉培文在11月30日正式上任，便擔任一銀執行副總兼資訊處長的職位，剛開始進來負責資安。</p> <p dir="ltr">他花了三個月的時間了解金融業的資訊運作，也因應ATM盜領事件，針對銀行的資安架構做調整。當時他的想法是：銀行要有區域中心，資訊集中連回台灣，資安的長期發展上，則看海外發展需求是否要有區域資安中心。但關鍵在於，一旦要把資安架構移出總行，資訊架構就一定要改，包括海外分行的內外網，也必須做良好的切割。</p> <p dir="ltr">不過，目前這樣的資安架構調整的規畫，還沒有實現。他說，光是網路架構調整就花兩年，之後，配合數安處成立，海外分行都必須架設內、外兩道防火牆，確保安全，相關設備都是從臺灣設定好之後，再協同相關的資訊服務業者，赴海外架設。</p> <p dir="ltr">他也說，這段期間還忙著包括總行伺服器盤點和資安分級、分類，還有許多軟體授權到期的續訂，或針對不再提供更新服務的軟體做調整或升級，目的就是不能讓業務中段。</p> <p dir="ltr">回顧第一階段，同時兼任資安處長的時候，他透過專業對話，針對資安架構的調整，都可以找同仁了解運作狀況，狀況並不複雜。但等到第二階段，劉培文雖然不需兼任資訊處長，但開始接觸數位銀行處的業務時，當時的數位銀行處屬於法金業務，後來才移到資訊管理中心統籌。</p> <p dir="ltr">他說，這一年花最多的時間都在數位金融改造上，包括數安處成立，對他而言，數位金融的改造就是銀行業務改造的火車頭，因為直接和營運掛勾，也影響未來銀行的商業發展模式，對此，他也曾經撰寫數位金融轉型的萬言書，寫下他對數位金融的完整規畫。他表示，2021年數位通路交易量，已經超過臨櫃服務的黃金交叉，未來數位金融將成為第一銀行營運發展的關鍵。</p> <p dir="ltr">接下來，他可以想像的未來，核心系統再兩三年後要調整，資訊架構可能要大改，他評估，光是銀行的數位轉型至少要花七年時間，核心系統改造也要五到七年，資訊、資安和數位金融的業務推動與改造，是一條漫漫長路。</p> <p dir="ltr"><span style="font-size:28px;"><strong>過去的職涯發展都成為開花的養分</strong></span></p> <p dir="ltr">劉培文表示，過去擔任資策會資安所副所長，長期督導技服中心，因為技服中心需要協助政府參與各種國際組織，當時也擔任一些國際組織的資安工作小組召集人，也趁這個機會，認識許多其他國家，像是日本、新加坡和韓國做ISO國際標準的人，而這樣的經驗，讓他對於資安長期國際發展，標準發展趨勢等，具有很多優勢。</p> <p dir="ltr">另外，他幫政府做國家資安規畫，因為參與相關的政策制定，清楚知道政府在想什麼，也能掌握未來政策發展方向，加上技服中心協助政府做很多資安事件的處理，看很多網路攻擊案例，這樣的經驗也讓他對於各種資安攻擊趨勢能有深刻體悟。</p> <p dir="ltr">此外，擔任資安所副所長期間，劉培文也帶領科專團隊一段時間，讓他可以知道資安業界思維，知道廠商想什麼，產業實務需要的是什麼，各方面的整合經驗，也讓他從資策會到第一銀行後，可以順利無縫接軌。</p> <p dir="ltr">進來一銀後，劉培文先兼任資訊處處長一段時間，了解實際業務運作，因為每年年底都要做高階策略會議，做完之後，經營計畫每個總行業管單位要做年度經營計畫規畫，光是臺灣就有187家分行，國外40多家分行，需要參加的會議，光是全球經理人會議，各種委員會，不管是總經理主持的，或是部門的月會、季會、資訊發展委員會，還是每週召開的常董會議，每個月召開的董事會，或是每兩週由董事長邀請副總召開的晨報等，種種的會議參與經驗，更讓他可以徹底掌握銀行業務發展的即時動態。</p> <p dir="ltr">他認為，高階主管擔任或兼任資安長，透過參加各種會議，就有機會了解其他部門在做什麼，了解之後才會思考，他所管理的部門要參與哪些部分、可以做哪些改變。</p> <p dir="ltr">他從資策會工作開始，到一銀工作後，參加各種會議、內化各種資訊，並轉換成部門工作需要的發展方向，這些經驗都是讓他面對職涯轉換，或是接觸不同業務時，可以無懼的養分。</p> <p><span style="font-size:28px;"><strong>資安不是真空存在，要跟業務系統連結才有意義</strong></span></p> <p>身為第一銀行資安最高主管，劉培文如何界定「資安長」的管理範疇呢？轄下管理的資訊、資安和數位金融部門，彼此又該如何做到緊密合作？他表示，針對各種日常維運作業，必須要清楚界定部門的角色和職掌，每一個部門做什麼事情、掌管哪些業務和系統，都必須一清二楚。但目前最大的困難在於，所有的銀行都在講數位轉型，包括資訊、資安和數位金融部門也都必須做到數位轉型。他說，想像一下，如果資訊、資安和數位金融部門是三家不同的公司，怎麼讓這三家公司緊密合作，就要互相知道彼此的業務部門主管和高階主管，都在做什麼、想什麼，才可能緊密合作。他認為，資安長要知道企業未來業務發展方向往哪裡走，科技會隨之怎麼改變，資訊系統又如何跟著改變，甚至連資安實務也必須有相對應的調整。每一個改變調整都環環相扣，絕對不可能關著門就憑空改變。他說：「資安不會真空存在，每一個改變都跟未來的業務發展方向有關，資安也要跟某一個業務資訊系統連結才有意義。」</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150581
【高科技業資安長經驗分享】稱職的資安長是業務的加值者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">合勤科技是臺灣知名的網通設備業者，兼具網通產品的設計、生產製造、銷售和品牌，加上也是臺灣國防安全產業供應鏈業者之一，相較其他某些只負責3C品牌產品代工的高科技業者而言，合勤是臺灣很早就開始重視資安的企業。</p> <p dir="ltr">合勤投控資安長游政卿原本是擔任公司資訊長的角色，但因為是國防產業供應鏈的一環，很早就有被駭客攻擊的經驗，在該公司創辦人兼董事長朱順一的支持下，資安很早就成為公司營運的重要環節。</p> <p dir="ltr">不過，早期合勤科技重視資安是因為，資安涉及公司更重要的供應鏈管理及營運決策，包括集團資安及所有的資安事件應變處理，都先由資訊服務處回報給董事長，並固定在董事會做報告。</p> <p dir="ltr">爾後，合勤科技成立PSIRT（產品資安事件處理小組）團隊把關產品安全，不僅贏得客戶信任更增加企業營收；資安長則整合產品安全和資安治理，合勤科技更在每一款新產品上市前，檢附自家產品的資安檢測報告，藉此和同業區隔。游政卿表示，資安逐漸成為公司營運加值的利器，資安長則搖身一變，成為公司營運的加值者。</p> <p dir="ltr"><span style="font-size:28px;"><strong>設立PSIRT團隊為公司營運加分</strong></span></p> <p dir="ltr">游政卿於2007年任職合勤科技資訊服務處協理一職，負責合勤科技的各種IT應用服務的推動，直到2010年，該公司成立合勤投資控股後，因為對各種IT服務採用集中管理方式，便將資訊服務處設在合勤投控之下，他也成為合勤投控資訊服務處協理。</p> <p dir="ltr">即便合勤科技很早就很重視資安議題，但剛開始，也只是先從IT部門找懂得防火牆設定、懂網路封包的人成立資安小組；直到2013年，該公司才真正成立專責的資安部門，並有獨立的資安專責人員。</p> <p dir="ltr">不過，合勤科技的大客戶德國電信在2016年11月28日，遇到一波Mirai傀儡網路攻擊造成的大範圍網路故障，其中，德國電信2千萬個使用固定網路的用戶中，有大約90萬個路由器發生故障（約4.5%），而這些路由器就是合勤科技的產品。</p> <p dir="ltr">合勤科技為了解決公司產品遭遇資安風險後，所帶來的公司商譽和營運的損失，也為了讓該公司推出各種產品的時候，一旦遇到爆發資安事件時，該公司具備足夠的資安量能可以即時因應，便決定在2017年4月，正式成立PSIRT（產品資安事件處理小組）團隊。</p> <p dir="ltr">成立PSIRT團隊，不只是單純做好事後的漏洞修補而已，游政卿表示，最主要的目的就是保護客戶和公司的信譽；更重要的是，希望可以在產品設計的初期，就把產品資安漏洞補起來，真正落實Security By Design（產品安全設計）。畢竟，他說：「可以把資安在產品設計初期就落實，往往會比事後做漏洞修補還來得省事。」</p> <p dir="ltr">合勤科技雖然因為Mirai傀儡網路的橫行，導致德國電信使用合勤科技網路路由器客戶的損害，並遭到德國電信罰款，但他指出，該公司直球對決，成立PSIRT團隊也帶來實際效益，合勤則在2018年名列德國電信的四大優秀供應商，這代表他們最終獲得客戶的信任，並對公司帶來實際的營收獲利，更讓資安成為與同業相比的競爭優勢。</p> <p dir="ltr"><span style="font-size:28px;"><strong>從資訊長轉任資安長，職掌範圍囊括資訊安全和產品安全</strong></span></p> <p dir="ltr">游政卿於2007年任職合勤科技資訊服務處協理一職，負責合勤科技的各種IT應用服務的推動，直到2010年，該公司成立合勤投資控股後，因為對各種IT服務採用集中管理方式，便將資訊服務處設在合勤投控之下，他也成為合勤投控資訊服務處協理。</p> <p dir="ltr">合勤科技在成立PSIRT團隊後，更是將資安變成該公司的競爭優勢。不過，合勤科技直到2019年9月30日，才正式任命游政卿擔任合勤投控資安長一職，並且直屬董事長朱順一，此時，其他高科技製造業還不時興指派資安長的時候，合勤科技便設立資安長一職。</p> <p dir="ltr">回顧游政卿的職涯發展，他表示，主要是董事長朱順一認為，公司內部雖然重視資安，也成立PSIRT團隊對應產品安全，但是，資安在企業內部的組織和角色、責任等，都還沒有做到真正的名實相符，於是，才決定建構相關的角色和職務分工，讓職務可以真正扮演期待的角色。</p> <p dir="ltr">在成為資安長之前，資安相關事件的應變處理都在游政卿的掌握之中，包括PSIRT團隊在內。因此，游政卿擔任合勤投控資安長的職掌範圍，除了囊括資訊安全更包括產品安全，他認為，合勤科技是網通設備公司，在許多物聯網（IoT）裝置成為駭客幫凶，且該公司產品行銷全球之際，產品安全就應該納入企業整體安全的一個環節。」</p> <p dir="ltr">此外，資安治理已經是重要的企業治理環節，設立資安長角色，不僅做到整合產品安全和資訊安全，隸屬董事長之下，更必須和其他集團法務、稽核、智財權和安全部門等平行單位協力合作。他表示，當企業對資安給予足夠的授權，合勤資安長也扮演對公司產品和公司營運的加值者。</p> <p dir="ltr">由於游政卿兼管資安與產品安全，該公司在2021年5月1日正式新增產品安全管理部，負責PSIRT及所有產品安全事宜，仍由資安長擔任直屬主管；更在同年6月，成為MITRE通用漏洞揭露計畫的CVE Numbering Authority（CNA）成員，成為臺灣第四家針對自家產品漏洞發佈漏洞編號的企業。</p> <p dir="ltr">此外，合勤科技為了提高產品的競爭力，更在每一款產品上市時，會提供針對自家產品所做的資安檢測報告，以此和同業區隔，而這也成為該公司落實資安成為企業營運競爭優勢的最佳實例。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長要掌握企業資安風險，通報平臺一目了然</strong></span></p> <p dir="ltr">游政卿笑說，做資安的人都必須要有一定程度的使命感，才能把資安做好！他說，正式接任資安長這天，則是他人生最重大的轉捩點，因為，這讓他可以實現他對資安的使命。</p> <p dir="ltr">接任資安長半個月後，游政卿的第一要務就是讓「資安事件通報系統」上線，資料庫囊括弱點掃描、網路組態設定等資訊，讓通報的資安事件可以成為企業內部資安知識管理平臺（KM）的重要資產。</p> <p dir="ltr">以2021年合勤科技資安事件通報系統的統計來看，該年度通報了997起資安事件，以及45個產品安全漏洞修補。其中，除了常見的惡意程式軟體通報、弱點掃描通報外，還有網路資安風險協定、加密強度、加密金鑰強度在內的網路資安風險通報，其他像是造成許多網路服務大廠出包的管理與設定的弱點通報等，也都包含在內，畢竟，他說：「很多資安事件的發生是肇因於工程師太粗心，許多管理設定、配置錯誤造成的。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>資安長不僅要懂技術，更要懂業務</strong></span></p> <p dir="ltr">一路從資訊長當到資安長，兩種職務中間的差異，游政卿最有體會。他表示，資安長和技術長的差異，基本來自對資安技術的理解和掌握有落差，像是資安長通常要了解威脅情報、安全技術和一些資安治理的策略等等，資訊長的心力，一般不會放在這些項目上。</p> <p dir="ltr">但游政卿認為，資安長雖然必須掌握相關的資安技術和趨勢，但這些對資安長而言，其實都還是「次要」的技能，他說：「資安長最重要的還要必須要了解公司的業務。」</p> <p dir="ltr">他表示，效率和安全是天平的兩邊，資安長的重點是要掌握平衡之道，一味地傾向效率，一旦有資安風險，可能對企業造成營運或商譽的損壞；但若是一味傾向安全，公司營運缺乏效率，不僅缺乏競爭力，連帶也會造成公司營運狀況不佳。游政卿說：「找到效率與安全的甜蜜點，是資安長的任務。」</p> <p dir="ltr">另外，他也分享自身的管理經驗，合勤的資安長要管資訊安全和產品安全，不同部門之間如何調和鼎鼐，就必須培養聆聽溝通的軟實力，而在傾聽需求、滿足需求外，也必須學會怎麼用對方聽得懂的話，講給對方聽，其中，學會肢體語言觀察也是重點。</p> <p dir="ltr">再者，團隊領導能力也是重要的軟實力之一。他認為，要打造有向心力的資安團隊，就必須要做好向上溝通、平行部門協作，以及向下管理，這樣才能讓這個資安團隊有共同的目標願景，一起努力。</p> <p dir="ltr">游政卿表示，資訊安全是一種紀律，更是一種風險管理的動態過程，他身為集團資安長，除了要做到以駭客為師，更希望能將資安落實在公司的產品和每一個作業流程上。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/news/150582
如何當一個稱職的資安長？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年底，臺灣至少有超過一百家上市櫃公司須設立資安長及資安專責單位，需求孔急，但肩負資安防護重責大任的資安長，不能只專注資安技術，更需具備資安治理和營運思維，才算稱職</p> </div></div></div>
2022/4/25 07:00作者黃彥棻https://www.ithome.com.tw/article/150584
資安長是企業創新的引水人
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，在年中一場記者會中，玉山銀行董事黃男州這麼形容，資安單位對玉山集團的重要性。玉山之所以敢大力嘗試各種AI創新，就是因為在他們的科技聯隊中，有一個扮演「煞車角色」的資安處。人數不多，但卻是各種IT應用安全性的把關者，「如果沒有煞車，大家只會慢速前進！」黃男州這樣強調。科技聯隊敢加速，敢創新，嘗試AI新技術，就是因為有了這個單位。</p> <p>用「煞車」來比喻資安單位，非常貼切又傳神！一輛有煞車的跑車，和一輛沒有煞車的跑車，對一位賽車手而言，哪一輛車更好？如果賽道是如同火箭升空，一路向上，越快越好，當然沒有煞車存在的必要。可是，真實世界的道路，就算是在競賽場上，也都是彎彎曲曲的賽道，只是一昧加油，只會讓汽車失控，衝出賽場，撞上圍牆而失去資格，無法幫助車手奪下冠軍。</p> <p>只有裝上了煞車，賽車手才能靈活控制跑車，在可見的彎道前，壓制速度，以最小路徑快速轉進新方向，甚至遇到突如其來的障礙物，或切入搶道的競爭對手，也能靠煞車降速，爭取變換路徑再加速超車的迴旋空間，沒有煞車，就難有靈活性，更無法精確操控來尋找最佳路線。煞車可說是車手的除了方向盤之外，另外一個控制車輛的手段，讓車手更容易控制速度來避開風險。</p> <p>也難怪，玉山用煞車來形容資安單位，對法遵規範嚴厲，主管機關要求繁多的金融產業而言，漫無限制的創新，極可能最後只能淪為無法落地的點子，而非實際產品，因此，他們更能體會煞車單位，對企業創新的必要性。但這不只是玉山，或金融產業，對所有產業都是一樣，資安單位，正是企業可以安心，不斷創新衝刺的煞車。</p> <p>用煞車來比喻資安，點出了資安對企業的另一個少為人討論的創造性價值。這正是這幾年資安人才越來越搶手的另一個原因，不只是為了解決自身資安問題，滿足法規要求，也有不少企業開始感受到資安人才在企業中的創造性價值。</p> <p>而金管會日前的新要求，在2022年底，臺灣超過1百家上市櫃公司必須要設立資安長（CISO）及專責單位，更帶來了一股高階資安人才搶人大戰的趨勢。</p> <p>若用煞車來比喻資安單位能讓企業制險、避險而敢衝。那麼，掌管這個部門的最高主管，資安長，我覺得就像是一位引水人。</p> <p>當大船入港，或進入複雜水路、峽灣時，需要一位指引最佳航路的領航員，也是俗稱的引水人。</p> <p>他一方面要熟悉的當前水域的各種水文資料，天候狀況，海流海象變化，水底礁石分布，甚至曾導致沈船事件的暗流變化，也要略知，才能掌握各種不同特性的航道，再依據一大船自身機械特性、動力性能、這趟運輸載重資訊、吃水深度，來決定這時候該走哪一段航道，才是最佳航道。</p> <p>如果企業執行長是決策、帶頭的船長，他依然需要一位擁有領域知識的引水人，指出前方水路的風險，航道的限制，甚至提供更佳航行路徑的建議。</p> <p>創新路上，可能會遭遇法規風險、技術挑戰、資料運用限制，這些都是企業創新航道上，隱藏在水下難以發現的礁石，不只要建立擁有充分煞車技術能力的資安處，企業更需要一位，能夠洞悉風險，幫助企業尋找更加機會的資安長。</p> <p>如何成為稱職的資安長，正是我們這一期封面故事要探討的課題。</p> <p><a href="https://www.ithome.com.tw/article/150584" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a><a href="https://www.ithome.com.tw/article/150584" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1074-feng_mian_gu_shi_1_open-yan_fen_-960x420_kao_bei_.jpg?itok=xfkOV3ng" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E9%95%B7">資安長</a></div><div class="field-item odd"><a href="/tags/ciso">CISO</a></div></div></div>
2022/4/25 07:00作者王宏仁https://www.ithome.com.tw/voice/150585
【DBS客座文章】星展銀行如何透過語意檢索聰明地幫聊天機器人模型加上標籤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>原著：Samarth Agarwal, Team Lead, Data Scientist／DBS Transformation Group<br /> 翻譯：石平<br /> 譯註：文中所稱之”我們”、”星展銀行”或”星展”皆係指新加坡星展銀行，所提及之金融服務亦為新加坡國內之服務）<br /> 原文出處：<a href="https://medium.com/dbs-tech-blog/using-semantic-search-to-drive-smart-annotations-for-chatbot-models-f317db7fd41e">https://medium.com/dbs-tech-blog/using-semantic-search-to-drive-smart-an...</a></strong></p> <p>隨著自然語言處理技術的發展，聊天機器人已成為客戶服務中不可或缺的一環。然而，聊天機器人的使用場景並不僅止於服務客戶。</p> <p>為了提升員工的工作體驗，星展銀行導入了一套聊天機器人來回答員工們各種面向的問題，包括人資、IT、風控、通訊傳播、設備及各種支援服務。員工們能夠向聊天機器人發問，甚至提交假單、查閱法律文件、搜尋資料，或是尋求IT的支援。</p> <p><strong>星展銀行的員工聊天機器人模型</strong></p> <p>星展銀行內部的聊天機器人採用「意向分類模型（intent classification model）」，基於員工提出的問題或敘述（utterance）來判斷員工的意向。模型會分辨員工的意向，並給予相應的回覆。不論是提供相關的資訊，或是使用引導性對話（guided conversation）來解決員工的需求。</p> <p>模型給予的每則回覆都有一個信賴度分數（confidence score）。經過內部評估，我們將信賴度分數低於0.4的回覆視為低信賴。低信賴度的問題將會被標記為「未知」。這些問題將被匯入「內容管理系統（Content Management System）」，委由各事業單位負責標籤（annotation）的同仁處理。加上標籤的對話將會再次被送回聊天機器人的訓練資料集，使用優化過的資料再次進行訓練。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-1(2).png" /></p> <p><strong>我們所遭遇到的問題</strong></p> <p>在標籤的過程中，同仁們必須親自瀏覽所有被標記為「未知」的句子，才能夠加上標籤。這樣造成了許多不必要且重複的工作；此外，加上標籤的過程目前完全以人工方式處理。若負責的同仁對於使用者提出的問題很熟悉，那就可以快速加上標籤並送回訓練資料集，反之，則需要在冗長的意向分類表中找到最適合的一項。</p> <p>有鑑於此，星展銀行卓越分析中心（DBS Analytics Centre of Excellence）的同仁John Jianan Lu、Steven Yang-Yu Tseng、Ying Yang Lee、Xuejie Zhang以及我本人在近期於KDD2021 — MLF Workshop發表的論文《Smart Annotation using Semantic Search for Employee Chatbot Platform in Financial Services》中，提出了一套更有效的「智慧標籤系統」以減輕在標籤的過程中瀏覽大量「未知對話」所造成的困擾。</p> <p><strong>智慧標籤系統的設計</strong></p> <p>這套智慧標籤系統將會基於我們所要解決的問題，利用語意檢索（Semantic Search）技術對使用者（也就是加上標籤者）提出建議，這個功能在於減少使用者重複檢查以及搜尋相關標籤的時間。以下是本系統的兩項目標：</p> <p>1. 將「未知對話」歸納為相對應的領域（domain），並將各領域的句子交付給相關的團隊，由於預測準確度很高，因此減少了三至四倍的工作量。</p> <p>2. 提供三個意向（intent）建議給加上標籤者，藉此減少尋找潛在意向所需的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-2-new.png" /></p> <p>實驗過程中，我們使用敘述（utterance）資料作為訓練資料（資料日期止於2020年12月），並利用已實際上過標籤的資料作為驗證資料（資料日期始於2021年1月）。聊天機器人使用的資料以下列方式做安排：</p> <p><strong>敘述訓練資料</strong><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-3(2).png" /></p> <p>語意檢索模型會基於接收到的對話，在訓練資料中找出最接近的敘述。在敘述資料集中，每個敘述皆標註有一個意向（intent）、一個話題（topic），以及一個領域（domain），它們被用來比較對話的相似程度，模型並藉此提出建議。</p> <p>當對敘述提出前三順位的意向建議時，系統會針對結果去重複化，並提出彼此相異的前三順位意向建議。舉例來說，當使用者詢問「員工識別證」時，最相近的敘述可能皆屬於同一種類型的意向（如新員工識別證），但我們只將其視為同一種意向建議。去除重覆化的步驟，讓系統得以從所有的搜尋結果中提出三項不同的建議。</p> <p>在領域預測上，各領域中與敘述最相近者，將在訓練資料中被作為建議類別。在正式環境中，若前三順位的意向建議屬於不同的領域，則所有與這些領域相關的事業單位中負責標籤的同仁，都能存取這段由使用者所輸入的對話。</p> <p><strong>成效評估</strong></p> <p>我們擷取一組標籤集，並利用以下指標來評估這套系統的成效：</p> <p>1. 平均領域預測準確度</p> <p>2. 前K項話題準確度：若任一前K項話題建議與事實相符，則視為正確</p> <p>3. 前K項意向準確度：若任一前K項意向建議與事實相符，則視為正確</p> <p>在我們的評量中，本實驗將K設為1及3。最理想的情況是能夠取得非常高的第一順位意向準確度，這樣整套流程即可自動化。然而，由於意向的條目非常多（超過一千項），加上其中一些意向之間僅存在著細微的差異，因此我們也同時評估前三順位的準確度。</p> <p>每得到一個input，演算法就會找出與其最接近的前三項敘述，並取得相應的意向，如此一來就成了一個kNN（k-nearest-neighbor）問題。所以為了加快搜尋速度，我們比較了完美相符和近似最近鄰（approximate nearest neighbor）兩種方法的搜尋速度。在近似最近鄰方法下，資料集依照詞嵌入（word embedding）被切分為多個小區塊，因此即便在上百萬資料點的向量空間中，也能有效率的搜尋。但值得注意的是，近似最近鄰的搜尋結果未必完全吻合，有時相似度很高的向量也可能會被忽略，可以說是速度和準確度之間的取捨。由於我們並非處理極大量的資料，因此最終決定採用完美相符的搜尋方法。</p> <p><strong>實驗結果</strong></p> <p>實驗對照組方面，我們使用以TF-IDF為基礎的詞彙搜尋法（Lexical Search）作為基準。在我們的研究中發現，純粹以名詞作為搜索方式會得到較好的準確度。實驗使用NLTK（Natural Language Toolkit），以Penn Treebank的詞性集（tag-set）進行詞性標註（Part-of-Speech Tagging）。我們將訓練資料集進行上述整理，並對所產生的token（即單詞）依照文件頻率（document frequency）進行過濾以產生出最終的詞彙集來進行一元TF-IDF向量化（unigram TF-IDF vectorization）。修訂過後的詞彙集和逆向文件頻率權重（IDF weight）將用來處理未來輸入的資料。用以衡量兩個句子是否相似的測量方法，則是採用餘弦相似性（Cosine distance）來判定。</p> <p>對照組能夠達到不錯的領域準確度，但在意向建議上表現則並不出色。</p> <p>詞袋模型（Bag-of-word）會忽略句子的整體架構，並且當同樣一組詞彙使用在不同的意向或話題時也會失準。舉例來說，當搜尋潛在可能離職的員工（flight risk employee）時，若未加以考量語意，則與flight和risk等詞彙最相近的敘述，將會是關於機票（flight ticket）或是營業風險（business operational risk）等項目。</p> <p>此外，我們也用驗證資料集比較了一些預先訓練好的BERT語句模型（pre-trained sentence-BERT models），如stsb-distillbert-base、stsb-bert-base、stsb-roberta-base。我們發現stsb-roberta-base在幾種BERT語句模型中的表現最好。由於是預先訓練過的模型，其表現也勝過未施加額外訓練的TF-IDF模型（即對照組）。</p> <p>然而，在細部分析預訓練模型所得到的錯誤分類結果後，我們發現此類模型在屬於專門領域的對話中表現欠佳。因此，我們接著利用聊天機器人的資料來將stsb-roberta-base模型加以調整，讓它更加熟悉我們的資料集。為了調整stsb-roberta-base模型，句子們以成對的方式呈現，會被給予相似度分數。下表為產生此一相似度資料集的邏輯。</p> <p><strong>句子相似度資料集</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-4(2).png" /></p> <p>由於具備有不同的意向、話題及領域，我們能夠較輕易的將相似的句子做分類。相似句透過排序所組成，因此並非完美相符。</p> <p>此方法產生的資料量相當龐大。舉例來說，若我們僅考慮相似度為1的情況時，我們的資料集將會產生435,000組相似句子。在我們的案例中，透過抽樣方法減少相似度小於1的情況，最終產生的資料集共計約兩百萬筆。</p> <p>用於訓練的資料約三十至五十萬筆中，我們優先擷取符合特定標準的資料，以利取得較複雜的相似句。判斷標準如下：</p> <p>- 相似度=1者，優先取用文字重複度低者。<br /> - 相似度<1者，優先取用文字重複度高者。</p> <p>本研究使用孿生神經網路（Siamese networks）及餘弦損失函數（Cosine Similarity Loss）來優化stsb-roberta-base預訓練模型，以此減少兩個語句向量間標籤及餘弦相似度的差異。下列為訓練細節及參數：</p> <p>- Data size: 300,000 sentence pairs<br /> - Number of epochs: 2<br /> - Batch size: 8<br /> - Warm up steps: 10% of total steps<br /> - Learning rate: 2e-5</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-5(2).png" /><br /> 本實驗使用斯皮爾曼等級相關係數（Spearman correlation）來比較優化前、後詞嵌入之間的相似度，並發現優化後的stsb-roberta-base模型表現有顯著的提升。</p> <p>我們採用結合了TF-IDF向量及語句嵌入（Sentence Embedding）向量（優化後的模型）作為我們的最終搜尋方法，因為它在資料中融合了詞彙層級及語意層級的資訊。</p> <p>由於TF-IDF和語句詞嵌入的向量空間維度並不相合，我們採取了以下手法：</p> <p>首先，我們從訓練資料集中分別抽取出同一段搜尋文字在TF-IDF及語句詞嵌入中，透過餘弦距離找出的一組「最近鄰（nearest neighbor）」。接著我們將兩個權重參數，個別與兩個模型所產生的餘弦距離相乘，最後再相加，得出最終距離維度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs-eq.png" /></p> <p>利用此最終維度距離所產生的「最近鄰」可用來找出最高順位的話題及意向建議。在我們的實驗中，將α設為0.66；β設為0.34，賦予語句詞嵌入相當於TF-IDF兩倍的權重。僅納入名詞的TF-IDF模型能讓演算法更著重在使用者感興趣的物件或產品。</p> <p>這個結合兩者模型的方法在尋找相符合的話題和意向上，稍微比單純使用語句詞嵌入的方法更好。</p> <p><strong>實驗結果</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dbs7-6(2).png" /></p> <p><strong>錯誤分析</strong></p> <p>隨著越來越多來自不同團隊的意向和敘述陸續加入，即便提出了一套準則，仍然很難得到一份完全周延、互斥的意向及敘述清單。與此同時，最近有個很熱門觀點叫DataOps，其概念是透過改善資料本身的品質，藉此優化模型的表現。一旦完成模型，我們會分析模型中預測表現較差的部份，並提出改善策略。因此為了解決模型中的錯誤，我們使用了以下的分析方法：</p> <p><strong>1. 前三順位中主題、意向層級的精準度</strong>：找出預測表現不佳的意向，觀察模型預測出哪些意向，而非著眼於正確的解答。</p> <p><strong>2. 文字層級：</strong>檢查是否有特定文字總是表現不佳，以及在訓練資料集中有多少此一文字。</p> <p>透過以上分析，我們找到以下問題，並與相關單位合作改善資料品質，以及模型的表現。</p> <p><strong>1. 不同意向中有相同的資料：</strong>同樣的一段敘述，有時會包含多種不同的意向，導致分類錯誤。</p> <p><strong>2. 進階案件：</strong>進階案件是指模型無法處理的案件，它們可能需要經由主管或人資單位審核。由於這類案件的可能性相當多樣化，模型在預測的表現比較差。</p> <p><strong>3. 新詞：</strong>某些特定領域專用字，例如系統名稱，在資料集中並不常出現，因此無法妥善地被預測。</p> <p><strong>4. Transformer模型偏見：</strong>自然語言模型對於數字及日期較敏感，例如當輸入「申請9月2日休假」時，模型將會把它和其他提到日期的敘述視為具有更高的相似性，即便其他的敘述與申請休假無關。這可能與模型在訓練時針對資料集的偏見有關。</p> <p><strong>影響</strong></p> <p>藉由導入智慧標籤系統，我們在HR和IT領域等佔使用者提問比例較大的問題中減少了40–60%上標籤的工作量。此外，在較少被詢問的領域（如法遵），即便需要上標籤數量一樣，仍然減少了90%的工時。</p> <p><strong>未來發展</strong></p> <p>透過本研究，我們展示出基於語意檢索的智慧標籤系統能夠有效的被利用在聊天機器人上。結合文字及詞嵌入（針對個別領域進行優化）的方法比其他方法表現更優異。DataOps策略在處理大量文本資料上，能更有效改善資料品質，以及模型表現因此變得更好。透過改善資料品質，我們預估模型準確度能提升10%以上。</p> <p>整體來說，使用語意檢索方法比起傳統文字分類方法，有以下三層優勢：</p> <p>1. 它能被使用在較少出現的意向上，傳統文字分類方法則會剔除較少出現的敘述。</p> <p>2. 即便沒有重新訓練，模型也能對含有新詞彙的句子進行相當程度的預測。</p> <p>3. 由於系統提出多個順位的高相似度結果提供觀察，讓模型具有更高的可解釋性，亦提供我們更多檢討模型為何失敗的線索。</p> <p>最後提出本系統的未來計畫以及如何擴展目前的解決方案：</p> <p><strong>1. 多語言模型：</strong>開發橫跨多語言的模型，例如中文及印尼文模型。如此能幫助我們將本系統擴展到星展銀行位於其他國家及地區的使用者。</p> <p><strong>2. 加入交互編碼（Cross-encoder）模型層來重新排序</strong>：研究論文顯示，交互編碼模型藉由在第一階段得到的句子上再加入一層重新排序的步驟，能得到更好的表現。這是因為交互編碼器在預測相似度時是同時參考所有輸入的問題。</p> <p><strong>參考資料</strong></p> <p>1.Jacob Devlin, Ming-Wei Chang, Kenton Lee and Kristina Toutanova, 2019. BERT: Pre-training of Deep Bidirectional Transformers for Language Understanding. Proceedings of the 2019 Conference of the North American Chapter of the Association for Computational Linguistics: Human Language Technologies, Volume 1 (Long and Short Papers), (Jun 2019), 4171–4186.</p> <p>2.S ́ebastien Harispe, Sylvie Ranwez, Stefan Janaqi, Jacky Montmain and Ecole des mines d’Al`e, 2015, Semantic Similarity from Natural Language and Ontology analysis, Synthesis Lectures on Human Language Technologies, (May 2015).</p> <p>3.Yinhan Liu, Myle Ott, Naman Goyal, Jingfei Du, Mandar Joshi, Danqi Chen, Omer Levy, Mike Lewis, Luke Zettlemoyer and Veselin Stoyanov, 2019. RoBERTa: A Robustly Optimized BERT Pretraining Approach. arXiv:1907.11692.</p> <p>4.Nils Reimers and Iryna Gurevych, 2019. Sentence-BERT: Sentence Embeddings using Siamese BERT-Networks. arXiv:1908.10084.</p> <p>5.James Pustejovsky and Amber Stubbs, 2012. Natural Language Annotation for Machine Learning. O’Reilly Media, Inc, (Oct 2012).</p> <p>6.Ting Liu, Andrew W. Moore, Alexander Gray and Ke Yang, 2004. An Investigation of Practice Approximate Nearest Neighbor Algorithm. Neural Information Processing Systems, (Dec, 2004).</p> <p>7.Luyu Gao, Zhuyun Dai, Tongfei Chen, Zhen Fan, Benjamin Van Durme and Jamie Callan, 2021. Complementing Lexical Retrieval with Semantic Residual Embedding. arXiv:2004.13969, (Apr 2021).</p> <p>8.Andrew Ng. Machine Learning Yearning (Draft Version). <a href="https://d2wvfoqc9gyqzf.cloudfront.net/content/uploads/2018/09/Ng-MLY01-13.pdf">https://d2wvfoqc9gyqzf.cloudfront.net/content/uploads/2018/09/Ng-MLY01-1...</a></p> <p>9.Nils Reimers, 2021. Sentence Embedding Models. Retrieved From <a href="https://www.sbert.net/docs/pretrained_models.html#sentence-embedding-models">https://www.sbert.net/docs/pretrained_models.html#sentence-embedding-models</a></p> <p><strong>免責聲明和重要通知</strong></p> <p>本文章（英文）係由DBS LTD提供並經星展銀行（台灣）（下稱｢本行｣）翻譯為中文，僅供參考，本行及DBS LTD不對使用本文章所引起之任何損失或損害負任何責任。如您有任何疑問或欲參考本文章而為行事之依據，本行建議您諮詢您的專業顧問之意見，以保障您的權益。非經本行之事前書面同意，任何人不得對本文章為複製、轉載、引用、抄襲、修改、散佈或為任何其他方式之使用</p> </div></div></div>
2022/4/24 09:05作者星展銀行https://www.ithome.com.tw/news/150592
Pwn2Own Miami for 2022落幕，研究人員找到26個位於工業控制系統的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由趨勢科技旗下Zero Day Initiative（ZDI）團隊所主辦的<a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results" target="_blank">Pwn2Own Miami for 2022駭客競賽在本周落幕了</a>，參賽隊伍總共找到了26個零時差漏洞，抱走40萬美元的獎金。這次的主題為工業控制系統（Industrial Control Systems，ICS），獲得破解大師（Master of Pwn）桂冠的是駭客競賽的常客Daan Keuper與Thijs Alkemade，特別的是，<a href="https://www.technologyreview.com/2022/04/21/1050815/hackers-target-critical-infrastructure-pwn2own/" target="_blank">Keuper向《MIT Technology Review》表示</a>，這是他們所參加過最簡單的競賽，因為工業控制系統中有太多唾手可得的成果，這是個安全性落後許多的領域。</p> <p>在這次以工業控制系統為主題的競賽中分為4個類別，包括控制伺服器、開放平臺通訊統一架構（OPC UA）伺服器、資料閘道，以及人機介面。其中，控制伺服器指的是可用來控制各種可程式化邏輯控制器與其它現場系統的伺服器，攻擊目標為Iconics Genesis64與Inductive Automation Ignition。</p> <p>OPC UA則是一個整合所有OPC Classic規格的架構，擔任ICS世界的通用翻譯協定，幾乎出現在所有的ICS產品中，負責在不同供應商的系統間傳遞資料，攻擊目標為Unified Automation C++ Demo Server、OPC Foundation OPC UA .NET Standard、Prosys OPC US SDK for Java，以及Softing Secure Integration Server。</p> <p>資料閘道專門連結採用不同協定的裝置，攻擊目標為 Triangle Microworks SCADA Data Gateway 與Kepware KEPServerEx server；人機介面指的是允許工業系統操作人員存取各種ICS硬體元件的介面，攻擊目標為AVEVA Edge與Schneider Electric EcoStruxure Operator Terminal Expert。</p> <p>其中，控制伺服器Iconics Genesis64與人機介面AVEVA Edge都被成功攻陷6次。鎖定Iconics Genesis64的攻擊全都可自遠端執行任意程式，當中有3次攻擊開採的零時差漏洞。針對AVEVA Edge的成功攻擊同樣可執行遠端程式，並有4次攻擊開採零時差漏洞。</p> <p>該競賽的主持人Dustin Childs指出，在工業控制系統上所看到的很多漏洞，在10至15年前都曾出現在企業軟體中，同時他也很訝異在Iconics Genesis64中看到這麼多不同的漏洞。</p> <p>Keuper曾在2012年的Pwn2Own競賽中成功駭進iPhone，也與同伴Alkemade<a href="https://www.ithome.com.tw/news/122843" target="_blank">在2018年駭進福斯汽車所使用的車載資訊系統</a>，他認為駭進iPhone與駭進ICS不同，因為蘋果作業系統經常更新，且消費者換手機的頻率高，但經常出現在重大基礎設施中的ICS可能沿用了幾十年，因為不容易重新啟動所以顯少進行安全更新，ICS領域需要導入全新的安全設計。</p> </div></div></div>
2022/4/24 02:04作者陳曉莉https://www.ithome.com.tw/news/150589
AWS推出第二版Aurora無伺服器服務，能即時擴張規模因應工作負載高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS無伺服器資料庫服務更新<a href="https://aws.amazon.com/tw/blogs/aws/amazon-aurora-serverless-v2-is-generally-available-instant-scaling-for-demanding-workloads/">Amazon Aurora Serverless v2</a>，強化其擴展能力，使得資料庫服務可以根據應用程式的需求，即時向上擴展或是向下縮減容量。</p> <p>Amazon Aurora是AWS針對雲端需求，所開發與MySQL、PostgreSQL相容的關聯式資料庫，由Amazon RDS完全管理，可自動執行繁瑣的管理工作，包括硬體配置、資料庫配置、程式修補和備份。Aurora最主要的特色是運算和儲存分離，因此能夠單獨擴展運算或是儲存資源，當用戶從原本的龐大資料中，刪除大部分的資料，Aurora配置的儲存容量也能跟著縮減。</p> <p>AWS在2018年的時候，推出第一版的Amazon Aurora Serverless，來替用戶監控資料庫的容量使用，並根據變化調整規模，用戶不再需要花時間管理資料庫資源。而現在AWS更新Amazon Aurora Serverless推出第二版，目標是供用戶能夠以無伺服器服務，運作嚴苛的工作負載，其具有即時且無中斷的擴展和精細的容量調整能力，同時提供唯讀副本、多可用區域和Amazon Aurora全球資料庫等多個附加功能。</p> <p>第二版Aurora無伺服器服務能夠擴展資料庫，以應付每秒數十萬個交易，並且高經濟效益地管理工作負載。AWS提到，Aurora無伺服器服務現在能微幅增加資料庫容量，以緊密貼近用戶工作負載需求，且不會中斷任何連接和交易，用戶僅需要針對切確的資料庫使用量付費，與針對高峰負載的系統配置相比，可節省高達90％的費用。</p> <p>用戶可以在現有的Aurora叢集中，創建一個Aurora Serverless v2執行個體，以獲得混合配置叢集，由用戶配置的Aurora執行個體與Aurora Serverless v2執行個體，可共存於同一個叢集。無伺服器執行個體支援Aurora所有功能，像是用戶可以跨多個可用區域創建高達15個唯讀副本，這些副本可以都是Aurora Serverless v2執行個體，並且用於故障轉移、高可用性或是擴展讀取操作。</p> <p>之所以Aurora Serverless v2具有更大的擴展靈活度，AWS解釋，他們在底層執行個體添加更多的CPU和記憶體資源，來實現即時且無中斷的擴展，而這項技術讓底層執行個體可以直接增加或是減少容量，而不需要故障轉移至新的執行個體才能進行擴展。</p> <p>在縮小規模的行為上，Aurora Serverless v2更為保守，採用逐步縮減的方法，AWS表示，Aurora Serverless v2會逐步縮減規模以貼近工作負載所需容量，執行個體會避免縮減太快，以防過早驅逐快取頁面減少緩衝池，而影響效能。</p> <p>Aurora Serverless容量以ACU（Aurora Capacity Unit）衡量，每個ACU是大約2 GB記憶體，以及相對應的CPU和網路組合。Aurora Serverless v2最小的容量可以從0.5 ACU開始，最大容量可達128 ACU，最小的容量增加單位為0.5 ACU。</p> <p>目前Aurora Serverless v2已經在美東、美西、加拿大、南美和歐洲各AWS地區上線，而亞洲地區則有香港、孟買、首爾、新加坡、雪梨和東京。</p> </div></div></div>
2022/4/24 01:02作者李建興https://www.ithome.com.tw/news/150566
Google準備封鎖第三方通話錄音程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/googleplay/android-developer/answer/9876714" target="_blank">Google在今年4月更新了Google Play Store政策</a>，準備禁止開發者利用Accessibility API來提供遠端通話錄音功能，此一新政策預計於今年5月11日生效。</p> <p>根據<a href="https://www.youtube.com/watch?v=d21mg8JxxU0&t=2990s" target="_blank">Google Play營運經理Moun Choi的說明</a>，所謂的遠端通話錄音指的是另一端的使用者並不知道這通電話正在被錄音，不過，倘若該程式為手機上的內建或預設通知程式，由於並不會使用Accessibility功能，因此不在此限。</p> <p><a href="https://www.androidauthority.com/google-killing-call-recording-apps-3155610/" target="_blank">《Android Authority》指出</a>，過去Google陸續於不同的Android版本中削弱提供通話錄音的能力，一直到於Android 10完全封鎖通話錄音功能，使得開發者只好利用Accessibility API來繞過此一限制，新的政策代表未來非內建於手機上的第三方程式都無法再提供通話錄音功能。</p> <p>Google打造Accessibility的目的，是為了讓開發者可協助殘障用戶來使用Android裝置與應用程式，因此賦予該API許多特殊權限，例如可讀取螢幕，也支援聲音或點字輸入，但在新的政策中，Google明文指出Accessibility API並非設計用來執行遠端通話錄音，也不應該被用來執行此一任務。</p> <p>屆時Google將會封鎖相關程式的上架，可能也會阻止既有程式的更新，最終也許會將所有這類程式下架。</p> </div></div></div>
2022/4/24 01:27作者陳曉莉https://www.ithome.com.tw/news/150587
AWS正式推出SageMaker無伺服器推理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Invent 2021大會中發表的機器學習<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/04/amazon-sagemaker-serverless-inference/">SageMaker無伺服器推理（SageMaker Serverless Inference）</a>服務，現在已經正式上線。用戶可以使用該服務快速部署機器學習模型，執行推理工作負載，而不需要配置和管理底層基礎設施。</p> <p>當用戶在SageMaker部署模型時，只需要選擇無伺服器選項，SageMaker就會根據推理請求的數量，自動配置、擴展和縮減運算容量，AWS提到，用戶僅需要針對處理推理請求的運算容量，和資料量支付費用，不需要對空閒時間付費，因此很適合用於間歇性或是不可預測流量的應用程式。</p> <p>從re:Invent 2021大會發布以來，AWS持續更新SageMaker無伺服器推理，加入了對Python SDK的支援，抽象模型部署來簡化開發者的工作，同時支援模型註冊表，讓開發者可以整合無伺服器推理端點和MLOps工作流程。AWS也加大每個端點並行觸發的上限，從50提升到200，使得用戶可以將SageMaker無伺服器推理用於高流量工作負載。</p> </div></div></div>
2022/4/24 01:29作者李建興https://www.ithome.com.tw/news/150573
Andreessen Horowitz成立專門研究加密貨幣與Web3的a16z Crypto Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名美國創投業者Andreessen Horowitz（又被稱為a16z）繼設立3個以加密貨幣為主的投資基金之後，<a href="https://a16z.com/2022/04/21/announcing-a16z-crypto-research/" target="_blank">在本周成立了專門研究加密貨幣與Web3的a16z Crypto Research</a>，不管是加密貨幣或Web3都奠基在區塊鏈上，標榜去中心化網路的Web3也被某些人視為全球網路的下一個趨勢，而a16z Crypto Research的任務即是要把加密貨幣及Web3當作是一個正式的研究領域，並銜接學術研究與實際應用。</p> <p>a16z的第一個加密貨幣基金誕生於2018年，集資了3億美元，第二個出現在2020年，集資5.15億美元，去年籌募的第三個加密貨幣基金規模更高達22億美元，不免令人懷疑a16z Crypto Research設立的主要目的是為了替這些基金抬轎。</p> <p>不論如何，a16z Crypto Research延攬了該領域許多知名的學者專家，包括曾於史丹佛大學與哥倫比亞大學擔任電腦科學教授、致力於發展電腦科學領域賽局理論的Tim Roughgarden，以及擔任史丹佛大學電腦科學暨電子工程教授、主導應用密碼學、史丹佛區塊鏈研究中心與計算機安全實驗室的Dan Boneh，其中，Roughgarden將擔任該研究中心的負責人，Boneh的頭銜為高級研究顧問。</p> <p>現有的團隊還包括加密貨幣技術教科書的作者Joseph Bonneau，Web3應用新創Espresso Systems的首席科學家Benedikt Bünz，專精於市場設計的經濟學家Scott Duke Kominers，以及曾參與臉書Libra專案的權益證明區塊鏈專家Valeria Nikolaenko 。</p> <p>a16z表示，隨著以太坊與其它可程式化的區塊鏈的出現，Web3替創新打開了更豐富的空間，有別於集中化的作法，最近這幾年開始出現去中心化金融、諸如NFT等由藝術家與創作者建立的網路、能與實體世界互動的遊戲經濟，以及各式的分散式自治組織（DAO）等，在在都顯示該領域的創新正在加速。</p> <p>然而，這些新興應用也都面臨了許多挑戰，例如相關的運算基礎設施該如何擴展與發展，如何建構公布的代幣激勵機制，以及如何把代幣經濟帶入Web3的應用程式或社交網路上。</p> <p>a16z認為，現在正是銜接學術理論與實際應用的好時機，該研究中心即聚集了該領域不同學科的研究人才，以協助解決上述的挑戰。</p> <p>業界對於標榜去中心化、把治理權交還給使用者的Web3究竟能否成氣候有不同的看法，例如同樣推崇加密貨幣的<a href="https://www.ithome.com.tw/news/148558" target="_blank">Twitter創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk）皆不看好Web3</a>，Dorsey認為Web3最終還是會成為權力集中的平臺，而Musk不僅說他找不到Web3，<a href="https://twitter.com/elonmusk/status/1466320998379175939" target="_blank">也曾毫不客氣地說「Web3聽起來像bs」</a>。</p> </div></div></div>
2022/4/24 01:39作者陳曉莉https://www.ithome.com.tw/news/150588