iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Workspace推出監看用戶儲存用量的管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企業免費服務都逐漸轉成付費同時，管理員得更小心控管用戶用量。<a href="https://workspaceupdates.googleblog.com/2022/04/updated-storage-management-admin-console.html" target="_blank">Google近日公布了雲端生產力應用Workspace的儲存管理功能</a>，可監看用戶或群組的儲存用量及活動，必要時限制或刪除特定用戶的雲端硬碟。</p> <p>這項功能讓Workspace管理員可從管理中控臺，一覽全組織內多個用戶、群組的儲存使用狀況。其主要功能包括顯示特定產品（如Drive或Gmail）、主要使用者的儲存使用狀況、產出整個組織儲存使用概況彙報、提供詳細的儲存空間上限警告報告，並允許總覽、分類顯示及刪除儲存量最多的共享磁碟。最後，它還讓管理員對不同用戶或群組，設定客製化儲存政策及用量限額。</p> <p>最新儲存管理功能可在管理控制臺主頁的「儲存」卡，或從帳號>設定>儲存啟動，預設為關閉。</p> <p>目前，僅超級管理員（super admin）得以使用這儲存管理功能。Google表示未來幾個月後會逐漸將存取權推向代理者、使用者或經銷商管理員。屆時管理員就可以建立、客製及執行管理政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0504-google%20workspace%20%20storage%20management%20tools-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>這功能在Google逐漸將企業免費服務轉成付費此時有其意義。<a href="https://www.ithome.com.tw/news/150722" target="_blank">今年初Google宣布</a>，自6月1日起Google將自動把企業免費版G-Suite升級為付費版Workspace，而從今年8月1日將會正式開始收費。</p> </div></div></div>
2022/5/4 13:14作者林妍溱https://www.ithome.com.tw/news/150752
百年行庫從ATM案重生，一銀跨域挖角救火力挽狂瀾
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「ATM盜領案對一銀雖然是危機，卻也是轉機，」第一銀行執行副總兼資安長劉培文強調。</p> <p dir="ltr">臺灣成立超過120年的本土老行庫第一銀行，在2016年遭遇臺灣金融史上第一起ATM盜領案後，當時身為資策會資安所副所長、兼任國家資通安全技術服務中心主任的劉培文，則被第一銀行公司高層找來救火，希望能夠在ATM盜領案的危機過後，趁機挽回頹勢，補強第一銀行的資安防護。</p> <p dir="ltr">而劉培文在第一銀行的職務調整也是該行的資安發展史，最早擔任資訊管理中心副總經理，兼管資訊、資安兩大業務範圍；早在金管會規定兆元行庫要設立資安專責機構時，第一銀行便已經成立資安專責單位「數位安全處」，也同時將負責數位應用和數位創新的「數位銀行處」，以及負責系統開發的「資訊處」，整合為「資訊管理中心」，成為統整資訊、資安和數位金融等業務範圍的部門。</p> <p dir="ltr">此外，第一銀行也在2021年6月公告，由執行副總劉培文兼任第一銀行資安長，該公司又在今年4月公告，劉培文再度擴張工作守備範圍，同時兼任第一金控資安長。</p> <p dir="ltr">劉培文在加入一銀以前，有超過二十年的資訊產業工作經驗，跨界到金融產業，主要在需要補強產業的專業知識，但其他像是資訊或是資安的專業，不同產業的差異並不大。</p> <p dir="ltr">轉進金融業工作後，劉培文同時兼管一銀的資訊和資安業務，到後來擴大到與業務掛勾的數位金融業務，他便透過參加各種會議，就有機會了解其他部門在做什麼，了解之後才會思考，他所管理的部門要參與哪些部分、可以做哪些改變，透過內化各種資訊，轉換成部門工作需要的發展方向</p> <p dir="ltr">劉培文進入一銀工作後，他觀察，大家對資安有高度共識，反而全公司更願意群策群力落實資安，對他而言，在ATM盜領案後，反而可以建立各部門對資安的信心和SOP。這個經歷，更成為後來一銀轉型的重要助力。</p> <p dir="ltr">「金融業要存活，數位轉型是必然之路，但隨著營運模式改變、產品提供走向線上生態圈、行銷數位化的發展趨勢，為了支援業務變革，資訊系統勢必要改變，資安也要跟著改變。」劉培文表示。</p> <p dir="ltr">像是一銀的信用卡業務系統到核心系統的開發，以往是業務部門主導，資訊部門配合，但現在，相關專案從啟動之初，掌管資安的數安處就是當然成員，「資安已經是一銀所有業務發展、系統開發時的必要核心。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">ATM盜領案是一銀的危機，卻也是轉機</span></strong></p> <p dir="ltr">對第一銀行而言，2016年的ATM盜領案不僅震驚全臺灣，更是東歐金融駭客入侵臺灣的首例。</p> <p dir="ltr">ATM盜領案的由來，主要是東歐的金融駭客透過第一銀行英國分行的語音系統作為攻擊跳板，在進到臺灣總公司的內網後，變透過橫向移動的方式，取得關鍵使用者帳號密碼後，再植入金融木馬程式。</p> <p dir="ltr">金融駭客則透過遠端遙控方式，並由車手在第一銀行分行ATM陸續盜領八千多萬元。所幸，有民眾察覺這起盜領行為而報警，第一銀行也先後向刑事局以及調查局報案。</p> <p dir="ltr">透過各種鑑識分析的方式，追查到植入第一銀行內部系統的金融木馬程式，該駭客為了滅證，植入的惡意程式甚至會自動清除軌跡，也大幅提升警調單位調查和鑑識的難度。</p> <p dir="ltr">後來，警方逮捕了盜領車手，也順利追回大部分的款項。但第一銀行內部系統的漏洞，導致銀行商譽的損失，才是整起事件的重中之重。</p> <p dir="ltr">直視危機的第一銀行，便透過獵人頭公司積極挖角劉培文。他表示，獵人頭公司從2016年7月開始跟他接觸，歷經幾次面試後，他的工作內容也從原本只負責資安，到後來同時管理資訊和資安；其他的，除了要求他必須在10月前，通過金融業對從業人員內稽內控的考試外，就沒有其他要求。</p> <p dir="ltr">劉培文在11月30日正式上任後，過往豐富的工作經驗，讓他在尚無資安長職稱時，便直接接任資訊管理中心副總經理，同時管理資訊和資安兩大領域。</p> <p dir="ltr">爾後，劉培文更因資訊、資安雙專業，在高度依賴資訊系統提供服務的金融業中，逐步拓展業務掌管範圍，包括數位金融以及金融科技的推動，也成了他負責的核心業務範圍。</p> <p dir="ltr">事實上，早在金管會要求兆元資產銀行成立資安專責部門之前，該公司就已經先成立「數位安全處」，也把原本掛在法人金融事業群的「數位銀行處」，和「數位安全處」以及「資訊處」整合，成立資訊管理中心，並在劉培文的帶領下，以推動公司的數位轉型。</p> <p dir="ltr"><span style="font-size:28px;"><strong>職務調整，見證一銀資安架構發展</strong></span></p> <p dir="ltr">第一銀行這種跨域挖角補不足的作法，也讓第一銀行在ATM的盜領危機後，找到新的因應之道。</p> <p dir="ltr">剛開始，劉培文雖然取得主管機關要求的金融從業人員證照，但他仍是金融業務的門外漢，不過，資安專業讓他相信：「沒有內建資安所提供的金融服務，無法贏得顧客的信任。」</p> <p dir="ltr">所以，劉培文上任後，先花三個月時間了解金融業的資訊運作，也因應ATM盜領事件，來調整銀行的資安架構。</p> <p dir="ltr">他說，因為ATM盜領案的導因來自海外分行的資安問題，當時對資安的長期規畫傾向於集中式的資安，像是銀行要有區域中心，相關的資訊要集中連回臺灣；至於海外分行的資安發展需求，則考慮設置區域資安中心。但關鍵是，一旦要把資安架構移出總行，資訊架構就必須改，妥善的切割海外分行的內外網架構。</p> <p dir="ltr">不過，目前這個資安架構調整規畫，迄今還沒有實現。他表示，光是網路架構調整就花兩年；之後，配合數位安全處的成立，海外分行都必須架設內、外兩道防火牆以確保安全，「相關資安設備都是從臺灣先完成相關設定後，再協同一銀資安人員以及相關的資訊服務業者，一同遠赴海外分行架設。」他說。</p> <p dir="ltr">不僅如此，這段期間，也忙著進行總行伺服器的盤點和資安分級、分類，其中還得處理許多軟體授權到期後的續訂或更換，也針對不再提供更新服務（EOL）的軟體進行調整或升級，最終目的是：不能讓業務中斷。</p> <p dir="ltr">他表示，金融業經常談三道防線，資訊是資安第一道防線，數安處則是第二道防線，稽核就是第三道防線。對第一銀行而言，跟資安有關的事，就找資安處，「資訊、資安和數安的分工沒有標準答案，端看組織的成熟度，以及團隊是否能夠互信。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">數位金融改造將引領銀行業務發展</span></strong></p> <p dir="ltr">劉培文職務的異動過程，也反映一銀資安發展的進化。第一階段，他剛到一銀擔任資訊管理中心副總經理的時候，同時兼管資訊和資安兩大業務範圍，</p> <p dir="ltr">需要調整資安架構時，可以找來資訊同仁了解運作狀況。</p> <p dir="ltr">到了第二階段，劉培文雖然不用兼任資訊處長，但開始接觸數位銀行處的業務，當時的數位銀行處屬於法金業務，後來才移到資訊管理中心統籌。</p> <p dir="ltr">他說，這一年花最多的時間都在數位金融改造上，包括數安處成立。</p> <p dir="ltr">對他而言，數位金融的改造就是銀行業務改造的火車頭，因為直接和營運掛勾，也影響了銀行未來的商業發展模式，對此，他曾經撰寫數位金融轉型的萬言書，寫下他對數位金融的完整規畫。</p> <p dir="ltr">他表示，根據統計，該行在2021年數位通路的交易量，已經超過臨櫃服務的黃金交叉，「未來數位金融將成為第一銀行營運發展的關鍵。」</p> <p dir="ltr">接下來，他可以想像的未來，核心系統在兩三年後就得調整，資訊架構可能必須大改。他評估，光是銀行的數位轉型至少要花七年時間，其他像是核心系統改造，至少也要五到七年，劉培文坦言，資訊、資安和數位金融的業務推動與改造，是一條漫漫長路。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/20_(%E6%8A%BD)%E5%8A%89%E5%9F%B9%E6%96%87_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E8%B3%87%E5%AE%89%E9%95%B7_20220318_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-shadow.jpg" style="width: 500px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span><br /><span style="color:#696969;"><span style="font-size:20px;"><strong>資安不會真空存在，每一個改變都跟未來的業務發展有關，資安要連結到業務資訊系統才有意義。──第一銀行執行副總兼資安長劉培文</strong></span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>資訊、資安和數金也要數位轉型</strong></span></p> <p dir="ltr">身為第一銀行資安最高主管，劉培文如何界定「資安長」的管理範疇呢？如何讓資訊、資安和數金部門，彼此緊密合作？</p> <p dir="ltr">他表示，各種日常維運作業，必須要清楚界定部門的角色和職掌，每一個部門做什麼事情、掌管哪些業務和系統，都必須一清二楚。</p> <p dir="ltr">目前最大困難在於，所有銀行都在談數位轉型，從資訊、資安到數位金融部門都必須推動數位轉型。他說，可以將這三個部門想像成三家不同的公司來思考，若要緊密合作，就得互相知道彼此的業務部門主管和高階主管，正在做什麼，甚至是想什麼，才可能實現。</p> <p dir="ltr">因此，他認為，資安長必須知道企業未來業務發展方向，了解科技如何隨之改變，資訊系統又該如何跟著改變，甚至連資安實務也須有對應的調整「每一個改變和調整都環環相扣，絕對不可能關著門憑空改變。」他解釋：「資安不會真空存在，每一個改變都跟未來的業務發展方向有關，資安要連結到業務資訊系統才有意義。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>稱職資安長具備的三種特質</strong></span></p> <p dir="ltr">劉培文認為，成為稱職資安長需要三種特質，首先，要主動積極發掘問題，杜絕「多一事不如少一事」的心態，資安從很多小地方開始，為了防微杜漸，資安長得主動找問題，像是主動訂閱各種資安新聞、掌握國際法規標準趨勢，不要被動等同仁提供資訊。</p> <p dir="ltr">其次，要能落實開放、積極溝通。他表示，資安面向太廣，至少要達到，所有業務可以順暢進行、將企業風險降到可接受的水準。劉培文舉例，資安要跟各業務單位合作並了解其想法，像是密碼長度不足，從八碼增加為十碼，對每次交易都要先輸入密碼的分行行員而言，是一件痛苦的改變，怎麼讓行員接受安全度更強的密碼長度，資安單位得將資安意識推廣到業務單位才行。</p> <p dir="ltr">第三，虛心學習、持續成長。劉培文帶領資訊、資安和數位金融部門，未來不只要發展數位上雲，資訊開發又要朝敏捷迭代模式發展，數位和業務單位組成的產品小組更必須快速反應市場，光是如何進行資安檢測、同時滿足業務和資安需求等，都必須要掌握新技術、新方法才能做到，不能憑過去經驗來解決未來的問題。</p> <p dir="ltr">但他認為，未來在開放銀行架構下，很多典範隨之改變，對資安長而言，重點仍在管理，須決定大方向和設定中長期願景目標，後面的策略、戰術、資源配置調整，才能跟得上。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p dir="ltr"><strong>劉培文　第一銀行執行副總兼資安長</strong></p> <p dir="ltr">學經歷：成功大學電機工程研究所博士，擁有20年資訊產業工作經驗，先前曾擔任資策會資安科技研究所副所長，並兼任國家資通安全會報技術服務中心主任。2016年底，接任第一銀行資訊管理中心副總經理，帶領數位銀行處、資訊處、數位安全處共逾450人；2021年6月，兼任第一銀行資安長一職；到2022年4月，又兼任第一金控資安長一職</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p dir="ltr"><strong>第一銀行</strong></p> <p dir="ltr">地址：臺北市松山區民生東路三段成立時間：1899年11月12日（日本明治32年）</p> <p dir="ltr">業務類型：提供個人金融、企業金融和數位金融等各種金融服務</p> <p dir="ltr">資本額：980.8億元</p> <p dir="ltr">董事長：邱月琴</p> <p dir="ltr">總經理：鄭美玲</p> <p dir="ltr">員工人數：8千多人</p> <p dir="ltr">分行數量：總行營業部外，尚有187家分行；另有30家國外分支行、3家辦事處、1家子銀行及8家子分行</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資安大事記 </span></span></strong></p> <p dir="ltr">2016年11月30日：劉培文擔任資訊管理中心副總經理，兼管資訊和資安</p> <p dir="ltr">2017年6月1日：一銀向臺灣產物保險公司投保「資訊系統不法行為保險」（俗稱電腦犯罪保險），保額1.5億元</p> <p dir="ltr">2018年：行動App上線</p> <p dir="ltr">2019年：正式推出全新「iLEO」數位副品牌</p> <p dir="ltr">2020年9月：導入虛擬桌面服務</p> <p dir="ltr">2021年：正式啟動核心資訊系統的轉換工作</p> <p dir="ltr">2021年6月17日：接任第一銀行資安長</p> <p dir="ltr">2022年1月：成立資安諮詢小組，諮詢外部專業資安專家，範圍包括銀行資安治理與管理架構、資安計畫投資、整體資安執行情況</p> <p dir="ltr">2022年2月：召開第一次資安諮詢小組會議</p> <p dir="ltr">2022年4月21日：兼任第一金控資安長</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-ciso-960-v2.jpg" width="960" height="420" alt="" title="第一銀行執行副總兼資安長劉培文　（攝影／洪政偉）" /></div></div></div>
2022/5/4 07:00作者黃彥棻https://www.ithome.com.tw/people/150681
中國駭客Moshen Dragon濫用防毒軟體並鎖定中亞電信產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/" target="_blank">美國資安業者SentinelLabs本周揭露了中國駭客集團Moshen Dragon最近的攻擊行動</a>，指稱Moshen Dragon企圖將惡意的DLL檔案側載至各大防毒軟體，並竊取憑證以於受害組織中橫向移動，攻擊目標為中亞的電信業者，目的則是常駐以展開間諜活動。</p> <p>SentinelLabs迄今並不知道Moshen Dragon如何入侵這些受害組織，因而以駭客於組織內的行為進行探討，發現Moshen Dragon會濫用系統上的防毒軟體以執行DLL搜尋順序挾持，藉以於系統上側載惡意程式，並利用Impacket進行橫向移動，有些惡意程式可竊取憑證，有些則能建立預定任務或服務以維持常駐狀態。</p> <p>根據分析，遭到Moshen Dragon濫用的防毒軟體產品包括Symantec SNAC、TrendMicro Platinum Watch Dog、BitDefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher，研究人員指出，與其追究這些遭到濫用的防毒軟體，不如說是相關攻擊反映了Windows作業系統允許DLL搜尋順序劫持的古老設計漏洞。</p> <p><a href="https://attack.mitre.org/techniques/T1574/001/" target="_blank">執行DLL搜尋順序劫持有許多方法</a>，諸如將惡意DLL置放在優先目錄中，以在程式呼叫程式庫時率先被載入，或是把同名的惡意DLL置放在程式正在執行的目錄中，以利被優先取用。Moshen Dragon透過DLL挾持側載了ShadowPad與PlugX等惡意程式。</p> <p>不管是ShadowPad或PlugX都是中國駭客常用的工具，它們具備彈性及模組化功能，而且可輕易繞過傳統的端點保護產品，專供間諜活動使用，一旦駭客於組織內建立了據點，就會開始透過Impacket進行橫向移動，於組織中植入後門程式，竊取大量憑證與資料。</p> </div></div></div>
2022/5/3 22:49作者陳曉莉https://www.ithome.com.tw/news/150745
Anaconda新專案PyScript，讓Python程式碼也能在瀏覽器執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python資料科學平臺Anaconda釋出了一項名為<a href="https://anaconda.cloud/pyscript-python-in-the-browser">PyScript</a>的新專案，要讓Python程式也能在瀏覽器中執行。PyScript是由Anaconda所開發，讓開發者可以在HTML中，編寫和執行Python，同時也透過Python呼叫Javascript函式庫，在Python中進行所有的網頁應用程式開發工作。</p> <p>PyScript建構在Pyodide之上，而Pyodide則是CPython到WebAssembly/Emscripten間的連接埠，透過以WebAssembly為基礎的技術，使得Python甚至是其他程式語言，也能在瀏覽器上運作。</p> <p>WebAssembly在2017年發表，在2019年成為W3C標準，提供人類可讀的.wat文字格式語言，能夠轉換成可執行的二進位格式.wasm，而這種方式讓任何語言的程式碼，都能被編譯成WebAssembly，並且在網頁瀏覽器中執行。</p> <p>PyScript供Python開發者，能夠在HTML中編寫Python程式語言來建置網頁應用程式，PyScript的重要性在於，前端開發人員也能夠使用Python來開發應用程式，而這使得原本就很強大的Python，能夠在更多的地方發揮作用。</p> <p>Anaconda執行長Peter Wang提到，網頁瀏覽器是目前世界上最普遍，最可攜的電腦環境。幾乎所有人都可以在電腦或是手機上使用網頁瀏覽器，以沒有基礎設施障礙的方式存取程式。</p> <p>官方表示，透過使用PyScript，Python開發者便不需要擔心程式部署問題，因為PyScript讓程式直接在網頁瀏覽器中運作，也就是說，資料科學家可以在HTML檔案中，分享儀表板和模型，只要其他人在網頁瀏覽器中開啟檔案，該檔案中的程式碼就會開始運作。</p> <p>PyScript目前仍在alpha測試階段，開發者可以從pyscript.net下載先嚐鮮。</p> </div></div></div>
2022/5/3 22:52作者李建興https://www.ithome.com.tw/news/150725
Mozilla分析32款心理健康程式，8成的安全及隱私有缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.mozilla.org/en/blog/top-mental-health-and-prayer-apps-fail-spectacularly-at-privacy-security/" target="_blank">Mozilla周一（5/1）公布了心理健康暨禱告程式類別的隱私安全清單</a>，顯示在所調查的32款程式中，有28款取得了「缺乏隱私」（Privacy Not Included）的警告標籤，同時這也是Mozilla自2017年所調查的產品類別中，最不具隱私與安全性的類別。</p> <p>心理健康及禱告程式由於涉及許多敏感資料，像是沮喪、焦慮、自殺、家庭暴力或是創傷後壓力症候群等，理應受到更多的隱私保護，然而，Mozilla的調查卻發現，這些程式定期地分享資料，允許使用脆弱的密碼，還會針對這些已有心理健康問題的使用者遞送目標式廣告，使得Mozilla的研究人員Says Misha Rykov直呼這些程式簡直是披著羊皮的狼。</p> <p>此次所調查的32款行動程式皆與心理治療師有關，它們具備聊天機器人、社群支援頁面與禱告功能，提供情緒日記與幸福感評估機制，每款程式平均都經過8小時以上的研究。</p> <p>整體而言，32款程式中有28款收到了「缺乏隱私」警告標籤，有25款未符合Mozilla所制定的最低安全標準。</p> <p>研究顯示，這些心理健康程式都蒐集了豐富的使用者資料，但其隱私政策多半都很模糊，在隱私上表現最差的6款程式分別是Better Help、Youper、Woebot、Better Stop Suicide、Pray.com與Talkspace，有的直接與第三方分享個人資訊，Talkspace甚至蒐集使用者的聊天紀錄。</p> <p>而其安全設計也不足以保護這些含有敏感資料的程式，例如至少有8款程式允許連續數字組合的密碼，Moodfit甚至允許使用者設立僅含一個字母或一個數字的密碼，此外，研究人員也無法確定這些程式是否定期進行安全更新，或是有無能力管理程式中的安全漏洞。</p> <p>令研究人員更擔心的是，有些心理健康程式鎖定青少年，倘若資料外流，日後可能造成更大的影響。</p> <p>不過，Mozilla也選出了兩款值得信賴的心理健康程式，分別是由美國退伍軍人事務部所打造的PTSD Coach，以及AI聊天機器人Wysa，這兩款程式都達到了基本的隱私與安全標準。</p> <p><a href="https://foundation.mozilla.org/en/privacynotincluded/" target="_blank">自2017年迄今</a>，Mozilla已調查過智慧家庭、連網玩具、娛樂裝置、穿戴裝置、連網寵物裝置及視訊通訊程式等產品的隱私與安全性，令人驚訝的是，更應具備隱私保護的心理健康類別竟然在這些分類中敬陪末座。</p> </div></div></div>
2022/5/3 23:03作者陳曉莉https://www.ithome.com.tw/news/150746
蘋果控告晶片新創Rivos藉由挖角工程師危害商業機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docketalarm.com/cases/California_Northern_District_Court/5--22-cv-02637/Apple_Inc._a_California_Corporation_v._Rivos_Inc._et_al/1/" target="_blank">蘋果於上周狀告美國一家名為Rivos的新創企業</a>，指稱Rivos大量挖角蘋果的工程師，以竊取蘋果的商業機密，包括新的M1晶片及A15手機晶片。</p> <p>Rivos是一家基於隱形模式（Stealth Mode）的新創企業，代表該公司暫時保持機密狀態，以避免曝露即將推出的產品或業務計畫，因此，<a href="https://www.rivosinc.com/" target="_blank">雖然Rivos設立了官方網站</a>，但並未公布其業務內容，<a href="https://jobs.lever.co/rivosinc" target="_blank">只有招聘資訊</a>，顯示該公司正在招募封裝技術人員、PCB設計師、SI/PI工程師、系統硬體工程師，以及各種有關矽技術的設計或架構師等。</p> <p>蘋果則於訴狀中指出，2021年5月才成立的Rivos，自同年6月起就開始挖角蘋果員工，著眼於取得有關蘋果SoC設計的私有資訊與商業機密，準備推出系統單晶片（SoC），迄今已有超過40名蘋果員工跳槽至Rivos。該公司曾發文給Rivos，警告這些前員工都負有保密責任，但Rivos從未回應。</p> <p>此外，有些蘋果員工在接受Rivos所提出的條件後，利用尚在蘋果任職的最後幾天，帶走了數GB的SoC規格與設計檔案，有的是利用多個隨身碟將蘋果文件轉移到個人裝置上，並利用AirDrop將存放於協作程式中的蘋果私有規格傳送到個人裝置上；也有人把蘋果現有或尚未發表的SoC的簡報資料存放至個人雲端；其中一人甚至把工作用蘋果裝置上的整個Time Machine備份到個人硬碟上。</p> <p>蘋果指出，為了掩蓋他們的行徑，該公司相信Rivos指使某些員工下載與安裝加密通訊程式，有些員工還清除了工作用的蘋果裝置。</p> <p>蘋果說，他們歡迎開放的競爭與創新，但競爭不應建立在竊取商業行為上，倘若該公司不採取行動來保護機密資訊，蘋果很可能會完全失去這些機密，提出訴訟的目的是為了取回這些商業機密，避免它們進一步被揭露，釐清已被使用的範圍，減輕已經、或未來可能造成的傷害。</p> </div></div></div>
2022/5/3 23:12作者陳曉莉https://www.ithome.com.tw/news/150747
西班牙總理及國防部長的手機都感染了間諜程式Pegasus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙政府本周一（5/2）緊急召開了記者會，指出該國總理Pedro Sanchez與國防部長Margarita Robles的手機，都感染了由以色列資安公司NSO Group所打造的Pegasus間諜程式。</p> <p>根據該國政府的說法，總理Sanchez的手機是在2021年5月被感染，國防部長Robles的手機則是在同年6月淪陷，駭客成功自兩支手機汲取了資訊。</p> <p><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware" target="_blank">《衛報》引用西班牙總統府部長Félix Bolaños的說法</a>，西班牙最高刑事法院將會調查此一非法的目標式攻擊事件，而且這應該是來自國外的，因為在西班牙進行相關監控必須取得司法機關的授權。</p> <p>然而，外界則揣測西班牙公布此事，也許是為了淡化<a href="https://www.ithome.com.tw/news/150494" target="_blank">今年4月公民實驗室所揭露的Pegasus新一波攻擊行動</a>。當時相關攻擊瞄準了加泰隆尼亞政要，總計有63支隸屬於加泰羅尼亞總統、立法委員、法界人士，以及公民組織成員感染了Pegasus，且相信是西班牙所為。加泰隆尼亞為西班牙的自治區，因追求獨立而與西班牙關係緊張。</p> <p>或許是其它國家於西班牙總理及國防部長的手機上植入Pegasus，幕後的首腦也可能是加泰隆尼亞。</p> <p>雖然NSO Group宣稱只出售Pegasus服務予各國政府，來打擊恐怖分子或犯罪行動，但除了加泰隆尼亞總統及西班牙總理之外，葉門總統及英國首相辦公室亦傳出曾感染Pegasus。</p> <p>Pegasus的氾濫已讓<a href="https://www.europarl.europa.eu/news/en/press-room/20220304IPR24801/three-new-committees-on-pegasus-spyware-foreign-interference-and-covid-19" target="_blank">歐盟議會於今年3月以635票對36票的壓倒性票數</a>，通過成立一編制38名成員的調查委員會，負責調查Pegasus與相關間諜軟體的使用，檢視它們是否違反歐盟法令，特別是已明目張膽使用Pegasus來監控反對者的波蘭與匈牙利。</p> </div></div></div>
2022/5/3 23:17作者陳曉莉https://www.ithome.com.tw/news/150748
Amazon的Kindle電子書閱讀裝置即將於年底支援熱門的EPUB格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.com/gp/help/customer/display.html?nodeId=G5WYD9SAF7PGXRNA&linkCode=sl2&tag=gooderead-20&linkId=061560a0ff3c1811a62ad5e5d59dc3c1&language=en_US&ref_=as_li_ss_tl" target="_blank">Amazon於近日更新了Kindle的個人檔案服務（Kindle Personal Documents Service）</a>，指出從今年底開始，Kindle用戶將可藉由Send to Kindle傳送EPUB格式的電子書，且屆時也將無法再透過該服務傳送.MOBI及.AZW檔，代表Amazon終於決定擁抱更普及的EPUB電子書格式。</p> <p>MOBI是由法國業者Mobipocket在2000年所建立的電子書格式，Amazon在2005年買下了Mobipocket，接著在之後以MOBI作為Kindle電子書閱讀裝置主要的格式，以MOBI為基礎開發了AZW、AZW3及KFX等Kindle專用的電子書格式，Kindle除了支援圍繞著MOBI的格式之外，也支援PDF、TXT或HTML等格式，但並不支援絕大多數電子書閱讀裝置所採用的EPUB格式。</p> <p>至於Send to Kindle則是Amazon的電子書傳送服務，Kindle用戶可將電子書以電子郵件附件的方式傳送到Kindle裝置的電子郵件帳號，即可讓電子書出現在Kindle上的藏書（Library）中，過去該服務支援使用者傳送許多檔案格式，但同樣不支援EPUB，這使得許多Kindle用戶都必須利用軟體或網路服務將EPUB檔案轉成MOBI格式再傳送至Kindle閱讀。</p> <p>不過，從今年底開始，Send to Kindle即將支援使用者傳送EPUB檔案，而且無法再傳送AZW及MOBI檔案。根據Amazon的說法，這是因為MOBI是個老舊的檔案格式，無法執行Kindle替文件所設計的許多新功能。</p> <p>Amazon並未明確指出未來的Kindle裝置是否能直接讀取EPUB檔案，但《<a href="https://www.techradar.com/news/amazon-kindle-will-finally-support-epub-books-but-theres-a-catch" target="_blank">TechRadar</a>》及《<a href="https://gizmodo.com/amazon-kindle-e-readers-will-now-convert-epub-to-kindle-1848867278?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Gizmodo</a>》則指出，Kindle對EPUB尚無原生支援，當使用者傳送EPUB檔至Kindle的電子郵件時，系統會自動將它轉換成Kindle裝置可閱讀的格式。</p> </div></div></div>
2022/5/3 20:34作者陳曉莉https://www.ithome.com.tw/news/150744
【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天的資安新聞中，資安業者揭露的網路間諜攻擊行動相當值得留意，而在其中一起事故當中，駭客的手法相當特別，他們鎖定受害組織的Exchange伺服器下手，竊取公司併購相關的往來郵件，但除此之外，駭客還利用後門程式針對有網路視訊設備下手，將這些系統變成殭屍網路的機器人（Bot）。但攻擊者是否也針對鏡頭錄下的內容進行監聽？研究人員沒有進一步說明。</p> <p>另一起中國駭客Moshen Dragon的網路間諜行動也相當值得留意。在攻擊過程中，駭客竟是經由防毒軟體的元件來側載（Sideloading）惡意程式，來躲過各式資安系統的偵測。不過，研究人員認為，駭客利用的是作業系統本身的設計缺陷，而非防毒軟體出現瑕疵。</p> <p>而在上述的網路間諜攻擊事故之外，還有一起中國駭客的網路間諜行動引起資安業者的關注，原因是駭客運用了較為少見的滲透測試工具Viper，並透過開源的資產盤點工具進行監控。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc3524-eye-spy-email"><span style="color: rgb(0, 0, 0);">網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png" style="width: 300px; float: right;" /></a>研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。</p> <p>值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/"><span style="color: rgb(0, 0, 0);">中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式</span></a></strong></h3> <p>駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。</p> <p>在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。</p> <h3><strong style="font-size: 22px;"><a href="https://cluster25.io/2022/04/29/lotus-panda-awake-last-strike/"><span style="color: rgb(0, 0, 0);">中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/naikon_schema.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/naikon_schema.png" style="width: 300px; float: right;" /></a>資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Magniber以Windows 10更新名義散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg" style="width: 300px; float: right;" /></a>雖然微軟推出了Windows 11，但仍有不少使用Windows 10的用戶，也成為駭客鎖定的對象。資安新聞網站Bleeping Computer指出，他們討論區的用戶疑似遭到勒索軟體Magniber攻擊，而駭客散布的手法，是假借Windows 10系統更新檔案的名義散布，檔案名稱如Win10.0_System_Upgrade_Software.msi、System.Upgrade.Win10.0-KB47287134.msi等，使用者很可能因為有系統升級、臭蟲知識庫編號（KB）而不疑有他。</p> <p>這波勒索軟體攻擊行動很可能自4月8日開始出現，鎖定一般個人用戶或是學生，駭客向多數電腦遭到加密的受害者索討2.500美元或0.068個比特幣。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome逾30個漏洞，當中7個存在重大風險</span></a></strong></h3> <p>Google於4月26日發布新的Chrome電腦版101.0.4951.41，當中總共修補超過30漏洞，其中總共有7項屬重大漏洞。這些重大漏洞有5項與記憶體釋放後的濫用（UAF）有關，存在於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API，以及Sharing元件，當中又以存在於Vulkan的漏洞CVE-2022-1477最為嚴重，研究人員獲頒1萬美元獎金。其餘2項重大漏洞分別與WebGL實作不當、WebGPU記憶體堆疊緩衝溢位有關。該公司建議用戶安裝新版Chrome來緩解上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/"><span style="color: rgb(0, 0, 0);">微軟修補Azure PostgreSQL租戶隔離漏洞</span></a></strong></h3> <p>雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.com/ossf/package-analysis/blob/main/docs/case_studies.md"><span style="color: rgb(0, 0, 0);">OpenSSF推出能檢測惡意NPM與PyPI套件的工具</span></a></strong></h3> <p>惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/3 18:35作者周峻佑https://www.ithome.com.tw/news/150742
Microsoft Defender for Business獨立版問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/05/02/microsoft-announces-general-availability-of-microsoft-defender-for-business-designed-to-boost-small-and-medium-business-smb-security/" target="_blank">微軟周一（5/2）正式推出</a>鎖定中小企業的獨立版安全解決方案Microsoft Defender for Business，<a href="https://www.ithome.com.tw/news/149641" target="_blank">整合於Microsoft 365商務進階版（Microsoft 365 Business Premium）的Defender for Business已先行於3月問世</a>，獨立版意謂著使用者可個別訂閱，每名使用者每月的訂閱費用為3美元，也預計在今年新增對伺服器的支援。</p> <p>Defender for Business是微軟專門針對300人以下的中小企業所設計的安全解決方案，主要功能包括威脅與漏洞管理、減少攻擊表面、提供新一代的保護機制、端點偵測與回應，以及自動化的調查與補救等，它並支援Windows、macOS、iOS 和 Android等跨平臺裝置，也能阻擋危險網域及垃圾內容。</p> <p>微軟表示，中小企業其實面臨了與大型企業類似的網路威脅，但它們卻經常無法取得正確的資源與工具，包括缺乏專業的安全人員，許多中小企業依舊仰賴傳統的防毒解決方案來維護安全，但就算有8成的中小企業安裝了防毒解決方案，當中卻有9成仍舊擔心日益進化的網路攻擊。</p> <p>根據微軟於今年4月針對逾150家中小企業所進行的調查，有7成的受訪者認為網路威脅愈來愈成為商業風險，而在過去一年來，這些受訪的中小企業中，就有接近1/4曾遭遇安全危機。</p> <p>甫上線的Microsoft Defender for Business獨立版目前提供30天的免費試用期。</p> </div></div></div>
2022/5/3 20:09作者陳曉莉https://www.ithome.com.tw/news/150743
歐盟說蘋果Apple Pay妨礙市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2764" target="_blank">歐盟執委會（European Commission，EC）近日已寄出異議聲明（Statement of Objection）予蘋果</a>，初步評估認為蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，而使得第三方開發者無從打造行動錢包以與蘋果的Apple Pay競爭。</p> <p>EC指出，Apple Pay為蘋果在iPhone與iPad上的行動錢包解決方案，以讓使用者於網路或實體商店中進行行動支付，蘋果裝置與軟體形成一個封閉的生態體系，並由蘋果控制該生態體系使用者經驗的每一個環節，包括行動錢包在內。</p> <p>然而，初步的評估顯示，蘋果不僅於行動裝置市場擁有重大的市占率，也於行動錢包市場占據主導地位，特別是iOS中唯一能存取近場通訊（NFC）協定的行動錢包解決方案就是Apple Pay，而且蘋果並未允許第三方行動錢包開發者存取NFC。</p> <p>EC解釋，蘋果裝置所內建的NFC感應支付（Tap and Go）技術可應用於商店支付，此一技術允許手機及商店中的支付終端進行通訊，NFC是個標準化技術，幾乎所有商店中的支付終端機都可透過它來執行行動支付，它不僅提供更無縫也更安全的支付經驗，在歐洲也有高度的接受度。</p> <p>但目前看來蘋果卻保留裝置上的NFT技術予Apple Pay，妨礙了第三方的競爭，也限制了消費者的選擇，倘若進一步的調查發現此一看法屬實，意謂著蘋果違反了歐盟的反壟斷法令。</p> <p>異議聲明只是指控蘋果違反反壟斷法令的前奏，允許蘋果對此作出說明，<a href="https://www.ft.com/content/de7a0c50-e087-4db3-9cb3-ed1d3c1a4b8b" target="_blank">《金融時報》引用了蘋果的回應</a>，表示Apple Pay的設計是為了提供既簡單又安全的方式讓使用者可以出示現有的支付卡，也讓銀行與金融機構能夠提供非接觸式的支付管道；Apple Pay只是歐盟消費者執行支付的眾多選擇之一，已確保可平等存取NFC的同時訂定隱私與安全標準，蘋果亦將持續與EC合作，以讓歐盟的消費者都能在安全的環境中存取想要的支付方式。</p> </div></div></div>
2022/5/3 14:52作者陳曉莉https://www.ithome.com.tw/news/150723
百度於北京推出真正自駕計程車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/%E5%8C%97%E4%BA%AC%E6%AD%A3%E5%BC%8F%E5%BC%80%E6%94%BE%E5%9B%BD%E5%86%85%E9%A6%96%E4%B8%AA%E8%87%AA%E5%8A%A8%E9%A9%BE%E9%A9%B6%E5%87%BA%E8%A1%8C%E6%9C%8D%E5%8A%A1%E5%95%86%E4%B8%9A%E5%8C%96%E8%AF%95%E7%82%B9%EF%BC%8C%E7%99%BE%E5%BA%A6-%E5%B0%8F%E9%A9%AC%E6%99%BA%E8%A1%8C%E8%8E%B7%E8%AE%B8%E5%8F%AF-idCNL4S2SG1MR" target="_blank">中國網路巨擘百度於上周取得北京當局的許可</a>，啟動真正無人駕駛的自駕計程車商業營運前的測試。</p> <p>取得北京官方許可後，以百度Apollo AI軟體平臺開發的自駕叫車服務「蘿蔔快跑」將結合百度和日本豐田汽車合資的自駕車小馬智行（Pony.ai）在北京高級別自動駕駛示範區約60平方公里的區域內，常態化運行PonyPilot+將從免費體驗逐步過渡為收費服務。</p> <p>在北京的測試中，百度首批投入了10輛自駕車，後續計畫再增加30輛。雖然這輛方向盤後沒有坐人，不過車內仍然有一名百度的隨車人員。</p> <p>去年8月百度宣布「蘿蔔快跑」服務，於北京、廣州、深圳、長沙等城市啟動載人測試，預計三年內要在30個城市部署，去年，百度先後在北京、重慶及山西啟動商轉前的測試許可。百度並宣稱擁有中國最大無人駕駛車隊，去年第4季蘿蔔快跑的載人訂單已經達21.3萬張訂單。</p> </div></div></div>
2022/5/3 10:56作者林妍溱https://www.ithome.com.tw/news/150718
遠端鎖定功能讓俄軍竊用的烏克蘭農用車成廢鐵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edition.cnn.com/2022/05/01/europe/russia-farm-vehicles-ukraine-disabled-melitopol-intl/index.html" target="_blank">CNN報導</a>，烏克蘭農業機具遭到遠端鎖定而無法為占領的俄軍所用。</p> <p>俄羅斯入侵烏克蘭自3月起占領烏國各城，包括東南部的梅利托波爾（Melitopol），同時開始劫掠當地居民財物、穀物、機械、建築設備，甚至透過組織化行動使用俄軍的運輸工具搬運當地大型農業機具以占為己有。報導指出，幾周下來，俄方已經拖走單價30萬美元的聯合收割機、拖曳機、播種機等27件大型農機。有些運到車臣，有則留在鄰近村落。</p> <p>其中俄軍在當地竊走John Deere價值近500萬美元的農業機具，在拖到1,100公里以外的車臣後發現無法啟動，因為這些具有物聯網功能的農用車已經被遠端鎖定。</p> <p><a href="https://www.deere.com/en/technology-products/precision-ag-technology/data-management/operations-center/" target="_blank">John Deere的遠端資料管理功能</a>是結合內建GPS及物聯網功能，原義是用以遠端監控並提供「主動支援」。但是這項功能也引起爭議，因為John Deere可藉由這軟體防範車主繞過他們自行維修車輛，甚至可任意遠端關閉車輛，不過<a href="https://www.bloomberg.com/news/features/2020-03-05/farmers-fight-john-deere-over-who-gets-to-fix-an-800-000-tractor" target="_blank">John Deere宣稱</a>他們絕對不會這麼做。</p> <p>不過最後俄軍還是從俄國境內找來高手繞過了這個軟體鎖，而啟動農業機具。</p> <p>物聯網科技意外在這場戰爭中扮演了重要角色。除了可利用Google Maps追蹤俄國軍隊動向外，<a href="https://www.thetimes.co.uk/article/stolen-airpods-give-away-russian-retreat-positions-c60j88nvv" target="_blank">英國媒體報導</a>，一名烏克蘭人在俄軍偷走他的AirPods後，利用蘋果的Find My功能而追蹤到俄軍從基輔撤離的行動。</p> </div></div></div>
2022/5/3 12:29作者林妍溱https://www.ithome.com.tw/news/150721
免費G-Suite企業版6月1日自動改成付費Workspace，新增免費使用方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/60217#nocost" target="_blank">Google公告</a>，G-Suite免費企業版將從6月1日自動轉為付費版Workspace服務。但同時間Google提供了持續使用的選項。</p> <p>最早名為Google Apps免費版G-Suite，是2006年Google針對企業、政府、教育及個人提供的生產力應用。雖然Google 2020年就將雲端服務品牌改成Workspace，且要開始收費，不過仍持續支援免費企業版G-Suite，直到<a href="https://www.ithome.com.tw/news/148976" target="_blank">今年1月Google宣布</a>，2022年5月1日這個服務要轉成付費Workspace服務，要求用戶需設定訂閱帳號包括提供信用卡、帳單地址等資訊，並在2個月後開始收費。</p> <p><a href="https://support.google.com/a/answer/2855120?hl=zh-Hant" target="_blank">不過本周Google宣布</a> ，為了給客戶更多時間轉換，將原訂時程延後一個月，將從2022年6月1日把免費服務升級為付費訂閱制，而在2022年8月1日起開始收費。</p> <p>但同時Google也新增使用免付費方案的候補名單選項。除了不能使用自訂網域的Gmail服務及無法管理多名使用者外，其實可以用的還不少，包括Google Workspace 服務（如Google Drive、Meet）免付費版本、及Google搜尋、Google Maps和YouTube。此外，用戶還可以繼續使用付費內容，如透過Google Play 商店購買電影。</p> <p>企業用戶必須從<a href="https://accounts.google.com/ServiceLogin?continue=https://admin.google.com/?pli%3D1&authuser=0&passive=3600&osid=1" target="_blank">Google管理控制臺</a>申請加入候補名單。Google說在未來幾週內，Google管理控制臺會顯示候補名單訊息。</p> <p>不在這候補名單的大部份企業6月1日會需要提供帳號資料。8月1日起，不願提供者的Google Workspace服務會被停權直到設定收費帳戶。而在停權60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用。</p> <p>教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> </div></div></div>
2022/5/3 13:08作者林妍溱https://www.ithome.com.tw/news/150722
微軟關閉VBA使Emotet改用新手法感染用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/au/blog/threat-insight/emotet-tests-new-delivery-techniques" target="_blank">研究人員發現</a>，微軟關閉Office文件的VBA巨集以防止惡意程式，使得歷來最險惡的殭屍網路程式Emotet改變擴散策略及攻擊手法。</p> <p>安全廠商Proofpoint去年11月偵測到蟄伏10個月的殭屍網路程式Emotet復出，它背後的駭客組織TA542也開始在多個地方散布數萬釣魚郵件感染數千用戶。他們觀察到駭客在4月4日到19日放完「春假」後再度活動，然而這次卻採用不同的策略來散布包含Emotet的郵件。</p> <p>這波釣魚郵件是以包含簡單關鍵字如「Salary」為郵件主旨，吸引用戶點選信中的OneDrive下載URL。該連結會將用戶導向下載zip檔案，該檔案內含數個Excel 外掛（XLL）檔案，也以「salary」或「bonus」等為檔名。一旦用戶執行檔案，就會啟動新一波下載過程並且在用戶電腦中執行Emotet。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%2520Shot%25202022-04-25%2520at%252010_30_53%2520AM%5B1%5D.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></p> <p>安全廠商觀察到和過去散布Emotet的型態有數點不同。過去TA542都是散布數萬、甚至上百萬封釣魚郵件攻擊眾多使用者，然而這次卻只發出很少量，攻擊很少用戶。以OneDrive連結誘使用戶下載，也不同於過去以Office（包括Word或Excel）附檔散布的手法。此外過去駭客以包含VBA或XL4巨集的Office檔案散布Emotet，現在卻改用XLL檔。XLL是Excel的動態連結函式（DLL）的一種，旨在強化Excel的功能。</p> <p>Proofpoint認為作案者並非別群駭客，理由是TA542自2014年後就控制了Emotet使用的網路基礎架構，也未曾租給其他組織。研究人員相信駭客正在測試新的手法、工具和程序，原因是原本的感染途徑已被封鎖。<a href="https://www.ithome.com.tw/news/149028" target="_blank">微軟先後於今年1月關閉XL4/XLM巨集</a>，以及<a href="https://www.ithome.com.tw/news/149245" target="_blank">在2月預設關閉Office應用程式（Word、Excel、PowerPoint、Visio及Access）的VBA巨集</a>，迫使駭客轉向不使用巨集的散布手法。</p> <p>這也顯示，微軟強化安全而關閉VBA、XL4/XLM巨集，同時間也推動駭客攻擊手法及策略的演進。</p> </div></div></div>
2022/5/3 09:53作者林妍溱https://www.ithome.com.tw/news/150714
OpenSSF釋出可用來辨識惡意套件的Package Analysis工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源安全基金會（Open Source Security Foundation，OpenSSF）<a href="https://openssf.org/blog/2022/04/28/introducing-package-analysis-scanning-open-source-packages-for-malicious-behavior/" target="_blank">上周發表了套件分析（Package Analysis）專案的原型</a>，以用來辨識開源儲存庫中的惡意套件，經過一個月的分析之後，找到了上傳至PyPI及npm專案的逾200個惡意套件。</p> <p>OpenSSF說明，此一專案的任務在於理解開源儲存庫中套件的行為及能力，例如套件存取了哪些檔案、連結至什麼位址或是執行哪些命令等，也會追蹤套件在不同時期的改變，以辨識那些原本安全卻日益可疑的套件。</p> <p>套件分析專案可望藉由偵測惡意行為、通知選擇相關套件的使用者，並提供資料予安全研究人員，以改善開源碼軟體的安全性。</p> <p>初期該專案所找到的惡意套件絕大多數都與依賴混淆及偽造網址有關，且它們通常只是在安裝時內含一個簡單的腳本程式，且只提供很少的主機資訊。不過，這些套件很可能是安全研究人員為了抓漏獎勵專案所設計的，因為它們多半只存取機器或使用者名稱，而未汲取更有意義的資料，再加上它們基本上並未掩飾自己的企圖。</p> <p>儘管如此，有鑑於相關套件有機會演變成惡意行為，套件分析專案還是針對相關攻擊提供了對策。</p> <p>OpenSSF同時呼籲開源社群協助改善該專案，包括如何追蹤套件行為的轉變、如何自動化處理分析結果、儲存套件以進行長期分析，以及提高流程的可靠性等。</p> </div></div></div>
2022/5/2 16:46作者陳曉莉https://www.ithome.com.tw/news/150713
Google將在印度興建美國總部以外最大的企業園區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.in/tech/news/google-begins-building-its-largest-campus-outside-us-headquarters-in-hyderabad/articleshow/91150334.cms" target="_blank">根據印度《Business Insider》的報導</a>，Google已開始於印度泰倫加納邦（Telangana）郊區Gachibowli打造占地7.3英畝的企業園區，將成為Google美國山景城總部之外，最大的Google園區。</p> <p>Google是在2019年取得位於Gachibowli的7.3英畝基地，在上周四（4/28）由泰倫加納邦的IT部長K.T. Rama Rao主持動土典禮，打算興建樓板面積為300萬平方英尺（27.87萬平方米）的建築物，以替當地的科技人才打造一個健全的工作空間，此一位於印度的新Google建物將以可續性及能源效率為設計重點。</p> <p>目前Google在印度已有7,000名員工，新園區可望讓Google的當地員工數量成長至1.4萬名。</p> <p>當天Google亦與泰倫加納邦簽署了合作備忘錄，主要是協助該邦進行數位化，讓當地的年輕人與女性企業家都能受益於數位經濟，包括Google與當地的非營利組織 Telangana Academy for Skills and Knowledge（TASK）合作，提供IT領域的Google職業認證獎學金予當地的青年學子，涵蓋IT支援、IT自動化、使用者介面設計、資料分析及專案管理等；以及與女性企業家中心WE-Hub合作，替當地的女性創業者提供數位、商業與金融技能。</p> <p>Google位於加州山景城的總部基地約有26英畝，但該處的辦公室樓板面積只有200萬平方英尺（19萬平方米），Google在美國最大的辦公室是該公司於2010年在紐約買下的111 Eighth Avenue，它的樓板面積為290萬平方英尺（27萬平方米）。</p> </div></div></div>
2022/5/2 16:27作者陳曉莉https://www.ithome.com.tw/news/150711
維基媒體基金會宣布不再接受加密貨幣捐款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英文維基百科管理員Molly White在今年1月發起一項提案，要求維基媒體基金會（Wikimedia Foundation）不再接受加密貨幣捐款，<a href="https://www.ithome.com.tw/news/150425" target="_blank">在逾200名維基百科編輯志工於4月12日投票支持該提案之後</a>，維基媒體基金會的發展長<a href="https://meta.wikimedia.org/w/index.php?title=Talk:Requests_for_comment/Stop_accepting_cryptocurrency_donations&oldid=23231055#Update_from_Wikimedia_Foundation" target="_blank">Lisa Seitz-Gruwell周日（5/1）宣布</a>，決定不再直接接受加密貨幣捐款。</p> <p>維基媒體基金會是自2014年開始接受加密貨幣捐款，最近一年來，該基金會收到了價值13萬美元的加密貨幣，有347名贊助者以加密貨幣捐款，占所有收入的0.08%，也是該基金會占比最小的捐贈形式。</p> <p>不過，White認為該基金會所接受的比特幣、比特幣現金或以太幣等加密貨幣基本上屬於掠奪性的投資，並不符合基金會對環境可續性的承諾，因而要求停止接受加密貨幣捐款。</p> <p>在經過3個月的公開討論之後，Seitz-Gruwell決定從善如流，表示該基金會未來將不再直接接受加密貨幣捐款。她說，當時是在贊助社群與志工的要求下才開放加密貨幣捐款，而現在的決定也是基於這些社群的意見，具體的作法是關閉該基金會的Bitpay帳號，並移除以加密貨幣捐款的功能。</p> <p>此外，Seitz-Gruwell也表示，維基媒體基金會未來將持續觀察此一議題，對於志工與贊助社群的需求也將維持靈活與快速的回應。</p> </div></div></div>
2022/5/2 16:35作者陳曉莉https://www.ithome.com.tw/news/150712
Microsoft 365、Azure即將允許不同帳號間一鍵切換
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應遠距工作及公、私應用愈來愈模糊，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/announcing-account-switching-for-microsoft-365-web-apps/ba-p/3290787" target="_blank">微軟上周宣布讓Microsoft 365及Azure用戶更容易在不同帳號之間切換</a>。</p> <p>COVID-19疫情過後，更多企業採行混合式作業模式，許多人在家中電腦上必須在工作及私人帳號之間切換。以微軟生產力應用Microsoft 365而言，用戶在一個Web app內只能登入單一帳號，如果想使用不同帳號有數種方式，像是先登出這個帳號再登入別的、使用InPrivate瀏覽器視窗，或是使用不同瀏覽器或另一臺裝置。這也是許多用戶期待的功能。</p> <p><a href="https://techcommunity.microsoft.com/t5/azure-active-directory-identity/announcing-account-switching-for-microsoft-365-web-apps/ba-p/3290634" target="_blank">本周微軟表示</a>，很快Microsoft 365用戶可在同一個瀏覽器下，自由在多個Azure Active Directory帳號，或多個微軟帳號之間，或是兩類帳號之間切換，不用再不停登出、登入。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/366686i52545C36F9364F9A/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p>從4到6月，自由切換帳號的應用程式會逐漸部署到全球Office.com、Web版Word、Excel和PowerPoint、Outlook、OneDrive和SharePoint，以及Microsoft 365管理員中心。</p> <p>功能限制方面，不同於Edge跨帳號切換允許不同帳號有不同使用者資料側寫（profiles）， Microsoft 365 Web App的各個帳號沒有差別。企業管理員也無法關閉某些租戶（tenant）的帳號切換功能，但微軟表示這項功能的安全功能可維持跨組織的雲端資料安全及隱私性。</p> <p>不過這項功能不會提供給Microsoft 365 Government、德國雲端環境，以及由中國21Vianet代管的Microsoft 365。</p> <p>除了Web版應用程式，今天起Office桌機版也可支援多帳號同時登入，微軟表示很快會推向其他桌機及行動版應用程式，像是Teams。</p> </div></div></div>
2022/5/2 14:21作者林妍溱https://www.ithome.com.tw/news/150709
蘋果明訂3年沒更新、下載量太少的程式將被移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150598" target="_blank">日前蘋果針對那些太久沒更新程式的開發者寄出警告信</a>，表示將把這些程式移除，當時蘋果並未說明「太久」是多久，<a href="https://developer.apple.com/support/app-store-improvements/" target="_blank">不過近日蘋果更新了App Store Improvements文件</a>，明訂若長達3年未更新，或者是下載量太少的程式，便可能面臨被移除的命運。</p> <p>比較蘋果於App Store Improvements在更新前後的敘述，先前蘋果僅說會移除那些功能不符期待、未遵循最新規範或老舊的程式，並未揭露細節，現在蘋果則訂出了明確的時程，指出只要是最近3年都沒有更新的程式便可能被移除。</p> <p>此外，蘋果也新增了一項規定，亦即在最近12個月完全沒有使用者下載，或是下載量極少的程式，也可能會收到警告通知，不過，蘋果並未公布最低下載閥值。</p> <p>蘋果應該聽到了開發者的抱怨，因而在更新的文件中將開發者更新程式的期限從30天延長到90天，另也提供開發者提出上訴的途徑。不過，假設程式在開啟時就會當掉，那麼立即就會被蘋果移除。</p> </div></div></div>
2022/5/2 14:31作者陳曉莉https://www.ithome.com.tw/news/150710
Magniber勒索軟體藉冒牌Windows 10更新感染用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/" target="_blank">Bleeping Computer報導</a>，近日有惡意檔案冒充Windows 10更新在網路流傳，藉此散布Magniber勒索軟體。</p> <p><a href="https://www.bleepingcomputer.com/forums/t/771427/magniber-2022-ransomware-cyvpbwzfv-lpdyefulm-yyqiidt-support-topic/" target="_blank">上周一些用戶在討論區</a>反映遭到勒索軟體加密檔案，經研究人員判定元兇是Magniber。</p> <p>Magniber之前已在網路上流傳。<a href="https://www.ithome.com.tw/news/124669" target="_blank">2018年它就曾感染南韓及臺灣用戶</a>，去年Magniber先後透過攻擊<a href="https://www.ithome.com.tw/news/146233" target="_blank">Windows PrintNightmare</a>及<a href="https://www.notebookcheck.net/Magniber-ransomware-being-spread-in-the-guise-of-a-legit-Microsoft-Edge-and-Google-Chrome-update.592776.0.html" target="_blank">Internet Explorer（IE）漏洞</a> 散布，今年1月這隻勒索軟體則冒充 Edge及 Google Chrome更新感染警覺性不高的電腦用戶。</p> <p>Bleeping Computer報導，這波散布的Magniber是冒充Windows累積更新檔案誘使用戶下載安裝，使用的檔名包括Win10.0_System_Upgrade_Software.msi、Security_Upgrade_Software_Win10.0.msi等類似檔名，是從4月初開始在網路上，透過破解網站或以FTP連結散布。</p> <p>一旦Magniber加密受害者檔案，即會產生以隨機多字母為附檔名的檔案，像是.gtearevf、madrcby、.jdakuzbrk、.ymdmf等等。一如其他勒索軟體，Magniber在加密後也顯示勒索訊息，要求受害者依指定連結聯繫並付款以贖回檔案。</p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/ransomware/m/magniber/fake-windows-10-updates/encrypted-files.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://www.bleepstatic.com/images/news/ransomware/m/magniber/fake-windows-10-updates/magniber-ransom-note-windows-10.jpg" style="width: 600px;" /></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Bleeping Computer</span></span></a></p> <p>Magniber似乎以攻擊學生或一般消費者為主，僅勒索不高的金額。大部份受害者被勒索約2500美元（約7.5萬臺幣）或0.068個比特幣。</p> <p>雖然報導指出，Magniber設計良好，沒有可被破解或免費解密的方法，不過<a href="https://seed.kisa.or.kr/kisa/Board/56/detailView.do" target="_blank">韓國訊息安全局（Korea Internet & Security Agency，KISA）網站</a>已提供了Magniber的解密金鑰。</p> </div></div></div>
2022/5/2 12:31作者林妍溱https://www.ithome.com.tw/news/150706
Google Chrome更新修補30多項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html" target="_blank">Google上周釋出</a>Windows、macOS與Linux版Chrome 101.0.4951.41版修補30多項漏洞，包含7項重大風險漏洞。</p> <p>這7項高風險漏洞包含5項使用已釋放記憶體（use after free，UAF）漏洞，分別位於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API及Sharing元件。UAF通常會導致應用程式崩潰及任意程式碼執行等後果，命名為CVE-2022-1477到CVE-2022-1481。5項漏洞以發生在Vulkan（CVE-2022-1477）最嚴重，獲頒1萬美元獎金，其次是Swiftshader和Angle的漏洞。</p> <p>另2項重大漏洞分別是WebGL實作不當（CVE-2022-1482）及WebGPU記憶體堆積緩衝溢位（CVE-2022-1483）。</p> <p>最新更新另外也修補了14項中度及4項低風險漏洞。Google呼籲用戶應及早更新到最新版本。</p> </div></div></div>
2022/5/2 12:37作者林妍溱https://www.ithome.com.tw/news/150707
Atlassian斷線事件影響775家客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對4月初發生的斷線事件，<a href="https://www.atlassian.com/engineering/post-incident-review-april-2022-outage" target="_blank">Atlassian上周發布事後說明</a>，指受影響的客戶來到775家。</p> <p>這事後報告說明斷線事件不是出於網路攻擊或被駭，而出於維護團隊溝通及系統設計問題。事由是Jira Service Management及Jira Software共用的「Insight – Asset Management」獨立App去年整合到Jira Service Management中，因而必須刪掉舊版獨立App。但在執行時發生2項錯誤。一是請求刪除App的團隊給成了刪除整個雲端網站的Site ID，而非該App的ID，但Atlassian標準的同儕審查（peer-review）並未檢查到給出的Site ID。第二項錯誤是，刪除網站或App的API並未能在接到Site ID（或App ID）時發出警告並確認，而逕自刪除了網站。</p> <p>種種烏龍造成的結果是，<a href="https://www.ithome.com.tw/news/150622" target="_blank">在世界協調時間（UTC）4月5日</a>早上7:38到8:01分775家客戶的883個網站立即被刪除，占其20多萬客戶的0.04%。2周前Atlassian說被刪除的網站為將近400個。</p> <p>Atlassian表示，事件發生時他們不是茫然無知，而是一開始就知道有哪些網站受影響。他們也知道第一要務是和網站負責人取得聯繫，不幸一些客戶的聯絡資料遭到刪除，這使得Atlassian無法立即聯繫上客戶，客戶也無法透過支援工單通報。</p> <p>整個斷線歷時14天，在搶修後第一批客戶於4月8日回復上線。Atlassian於4月18日說明所有受影響的客戶均已恢復服務。該公司強調沒有一家客戶損失的資料超過5分鐘，在回復服務期間，99.6%的雲端服務客戶運作均未有任何中斷。</p> <p>為了防範事件重演，Atlassian也修正了管理作業。第一是所有系統將禁止全網站刪除，或採用各種防護措施，包括階段性部署，以及回復計畫。未來全球各站點都會導入「軟刪除」（soft delete），避免刪除客戶資料及metadata。</p> <p>其次他們會擴大實施災難復原（disaster recovery，DR），以便在多站點、多產品刪除事件發生時自動啟動回復，加速回復時間目標（recovery time objective，RTO）。Atlassian也將改進大規模事件發生的SOP（standard operating procedure）並且強化多團隊協同的人員訓練及工具。最後他們也將建立多管道通報，加速事件確認及建立客戶聯繫，並期許在1小時內發布公開說明。</p> </div></div></div>
2022/5/2 13:06作者林妍溱https://www.ithome.com.tw/news/150708
Meta投入資源長期研究人腦與語言處理，以建立具高效學習能力的AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/04/building-ai-that-processes-language-as-people-do/">Meta</a>對外宣布一項長期人工智慧研究計畫，以更好地研究人類大腦處理語言和文字的方式，希望可以開發出與人類相同學習方式的人工智慧系統。而這項計畫所揭露關於人腦的新發現，可作為之後改進人工智慧模型的方向。</p> <p>Meta透過與神經影像中心Neurospin和研究中心Inria合作，比較人腦和人工智慧模型對相同句子口說和書寫的反應，並利用這些發現，來推進人工智慧的發展，目的是要讓人工智慧能夠跟人類一樣高效率地學習。</p> <p>雖然近年人工智慧有大幅的進展，但是學習語言的效率還是遠遠不及人類，Meta提到，像是人類小孩在學習Orange這個詞的時候，能夠同時學習既是水果也是顏色的概念，但是當前的人工智慧，還不能像人類一樣有效率地做到這點。</p> <p>而這也讓研究人員感興趣，或許研究人腦有助於建構，能夠像人一樣學習和推理的人工智慧系統。</p> <p>要研究人腦訊號並不容易，因為研究神經元活動以及大腦成像，是一個複雜的過程，需要用到大型機器，但Meta表示，因為深度學習的興起，得以突破這個障礙，讓研究人員可以研究當人類在閱讀或是聽故事時，大腦會在什麼時候產生單字和句子。</p> <p>Meta與其合作夥伴的研究，發現人類大腦能夠進行更長期的預測，研究人員將各種語言模型，和345名受試者的大腦反應進行比較，這些受試者會在聆聽複雜敘述時，接受fMRI的紀錄。研究發現人類大腦會提前很久，預測單詞和想法，而這是當前語言模型所缺乏的，當前的多數語言模型，通常有能力在「Once upon a」之後，預測接下來最佳的單詞為「Time」，但是對更複雜的想法、情境和敘述時，預測能力仍然有限，難以達到人類的程度。</p> <p class="rtecenter"><img alt="" src="https://about.fb.com/wp-content/uploads/2022/04/03_Once-Upon-A-Time-Animation.gif?resize=890%2C501" style="width: 580px;" /></p> </div></div></div>
2022/5/2 12:19作者李建興https://www.ithome.com.tw/news/150694
【基於DPU的應用環境來臨】DPU運算加速應用邁入新階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩、三年來，資料處理器（Data Processing Units，DPU）堪稱是發展最興盛、迅速的儲存硬體技術領域之一，吸引眾多廠商競相投入。其中既有Intel、Broadcom、Nvidia／Mellanox等網路卡大廠，也有Xilinx這樣的FPGA龍頭廠商，還有Marvell與Netronome等重量級網路元件供應商，更有Pensando、Fungible、Nebulon、SoftIron與Pliops等新創廠商。</p> <p>就連原本無DPU產品的廠商，也試圖藉併購進入這領域，如AMD今年2月宣布以19億美元併購Pensando，而這家被買下的公司，他們所發展的主力產品：分散式服務卡（Distributed Services Card，DSC），是以支援P4語言、可程式化處理器為核心的DPU加速卡。AMD也因此躋身DPU供應商一員。</p> <p>過去幾個月以來，DPU的發展也開始進入新階段，除了持續有新產品問世，還誕生首批基於DPU的完整產品與應用架構，出現嶄新混合式DPU應用架構。</p> <p><span style="font-size:28px;"><strong>DPU的基本類型</strong></span></p> <p>DPU是一種輔助的可程式化處理器，專門用於為IT基礎架構提供特定應用的運算加速功能，例如網路、安全或儲存等，藉此卸載伺服器與儲存設備的運算負荷，進而改善整體效能。</p> <p>隨著個別廠商偏好、技術發展路線的差異，以及產品型態與應用取向的不同，大家對於DPU這類產品還有著各式各樣的稱呼，例如：智慧型網路卡（SmartNIC）、可程式化加速卡（Programmable Accelerator），儲存處理器（SPU）、基礎架構處理器（IPU）、智慧型SSD（SmartSSD）、可程式化SSD（Programmable SSD），以及運算型儲存裝置（Computational storage）等等。</p> <p>儘管產品名稱繁多，但我們還是可以根據處理器的形式，以及產品部署的方式等兩方面出發，作為分析框架，理清這些形形色色產品的脈絡。</p> <p><span style="color:#B22222;"><strong>DPU的處理器類型</strong></span></p> <p>依我們來看，DPU應看作「角色」，而非特定處理器架構形式，任何可程式化的處理器，無論是CPU、FPGA，甚至是GPU，只要是用於「資料處理」目的的輔助加速硬體，都可算是DPU。</p> <p>當前最普遍應用於DPU的處理器類型，是嵌入式通用處理器、專用網路處理器、FPGA，這也形成3大技術陣營。</p> <p>採用嵌入式通用處理器的DPU廠商有Mellanox、Broadcom、Nebulon等；採用FGPA的則有Intel、Xilinx、三星、NGD Systems等；採用專用網路處理器的則有Pensando、Netronome等。</p> <p>事實上，通常DPU廠商採用一種處理器架構，然而，還是有例外。像是Intel旗下DPU產品同時包含前述3種架構；也有廠商後續更換處理器架構，如NGD System與ScaleFlux，都在新產品改用Arm處理器作為運算核心，取代早先使用的Xilinx FGPA。</p> <p>除了前述3大處理器架構陣營外，還有基於GPU處理器架構的DPU產品，不過這類產品很少，目前已知只有Nyriad。也有少數DPU產品是基於ASIC晶片，如Intel即將推出的Mount Evans，雖然ASIC缺乏其他處理器的應用彈性，但執行特定應用時，速度遠高於其他處理器。</p> <p><span style="color:#B22222;"><strong>DPU的部署形式</strong></span></p> <p>DPU是一種搭配伺服器或儲存設備使用的輔助運算裝置，從DPU部署到伺服器或儲存設備的形式來看，可分為I/O介面卡與運算型儲存裝置等兩大類型，I/O介面卡是以擴充介面卡的形式來部署，運算型儲存裝置則是以2.5吋SSD或PCIe SSD卡的形式來部署，各自具備不同的應用取向與特性。</p> <p>在I/O介面卡方面，又分為智慧型網路卡、伺服器卸載處理器、儲存陣列控制器等幾種類型。無論屬於何種類型，這類產品的基本型態，都是1張搭載嵌入式運算單元、內含1到2組高速網路埠的PCIe介面卡，可以看作是具備加速運算功能的網路卡，除基本的網路傳輸功能外，還提供額外的運算卸載功能。似的，運算型儲存裝置則可看作是搭載了嵌入式運算單元的SSD，和一般SSD同樣提供儲存空間，但另外提供了運算卸載功能。</p> <p>不過，視個別廠商的產品定位差異，這些DPU通常各具不同的卸載應用取向。例如，智慧型網路卡或伺服器卸載處理器類型產品，大多以網路傳輸、加密與安全協定方面的卸載功能為主；儲存陣列控制器類型的產品，則通常還能提供RAID方面的運算卸載功能，甚至是SAS磁碟連接功能；至於運算型儲存裝置，多半是提供壓縮、重複資料刪除等資料縮減運算功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P2-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>DPU發展的兩大新趨勢</strong></span></p> <p>過去一年多以來，DPU領域有了2項與以往不同的新變化。</p> <p>首先，是開始從個別元件形成完整的系統。無論是哪一種DPU產品，智慧型網路卡、伺服器卸載處理器或運算型儲存裝置，都只是本身無法獨立運作的個別元件，必須搭配伺服器或儲存設備才能運作，用戶必須自行解決DPU與系統的整合問題。</p> <p>到了現在，有廠商推出內含DPU的完整系統產品，包含整合DPU的儲存陣列，以及結合伺服器、儲存設備的整櫃式套件等，免除整合麻煩，便於應用。</p> <p>其次，是出現了跨界的混合式DPU應用，也就是將2種不同型態的DPU結合在一起，試圖兼收不同DPU的優點，提供更完整的運算卸載功能。</p> <p>而這兩項發展，不僅讓DPU產品領域的內涵更為豐富，也讓DPU產品的應用往前邁進了一大步。</p> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P2-600-2.jpg" style="width: 567px;" /></p> <p><span style="color:#696969;"><strong>基本上，DPU是一種「角色」，而非特定的處理器架構類型，因此，只要是用於「資料處理」的「可程式化處理器」，都可以算是DPU。但不同的處理器架構，分別具有不同的應用彈性、便利性與效能特性，進而會影響DPU的功能取向。舉例來說，通用的CPU具備最高的應用彈性與便利性，但效能不如其他類型的處理器。而ASIC與GPU在特定應用中具備極高的效能，但其應用便利性與彈性也相對較低。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150697
【從個別元件邁向完整應用環境的DPU】第一世代DPU應用系統問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Fungible</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾個月來，隨著一系列基於DPU的應用平臺與儲存設備的問世，讓DPU的相關應用邁向新的階段，可望藉此克服以往DPU與系統平臺的整合問題，解開DPU推廣的桎梏。</p> <p>無論哪一種類型的DPU產品，從智慧型網路卡、可程式化加速卡，儲存處理器（SPU），到運算型儲存裝置等，都只是提供運算卸載功能的輔助附加裝置，本身無法獨立運作，必須安裝到伺服器或儲存設備，才能發揮作用。</p> <p>更進一步來看，DPU也並非安裝到伺服器便能直接發揮作用，還有一連串的設定、調校問題必須處理，有時甚至還需要搭配DPU廠商提供的API與SDK，修改前端應用程式，才能完整發揮DPU提供的運算能力。</p> <p>這也意味著，DPU的使用門檻其實相當高，只有開發、整合能力較強的用戶，才能有效發揮特色，對於一般用戶而言，恐怕將難以發揮這些裝置的效益，這也成為DPU推廣上的一個障礙。</p> <p>若要打破這個障礙，其實有一個辦法，便是由供應商端負責解決DPU與系統平臺的整合問題，推出預先整合了DPU的應用平臺或儲存設備，用戶端只要使用這些內含DPU的系統，便能馬上取得DPU所提供的運算加速能力。</p> <p>所以，對於DPU加速應用有意採行的用戶而言，近期問世的一系列DPU儲存設備，以及應用平臺，等於提供了導入這類技術架構的方便法門。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3--960(1).jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;">圖片來源／Fungible</span><br /><span style="color:#696969;"><strong>【Fungible的DPU-based產品線】Fungible堪稱目前最積極發展DPU-based產品的廠商之一，除了元件等級的DPU晶片及DPU卡，他們還推出以DPU為控制器核心的儲存伺服器，稱為FS1600（右），以及由內含DPU的伺服器與儲存設備組成的整櫃式產品，如Fungible Data Center，以及Fungible Rack（左）。</strong></span></p> <p><span style="font-size:28px;"><strong>第一世代的DPU儲存設備與伺服器</strong></span></p> <p>為了協助將DPU從元件推廣到系統層面，Nvidia在2020年時，便曾推出搭配該公司BlueField DPU的參考平臺，以BlueField DPU為核心，搭配NVMe SSD、機箱、背板、電源供應器等元件，構成1U與2U兩種規格的儲存伺服器。然而，這種參考平臺，還不算是面對第一線用戶的實際產品。</p> <p>就現在看來，最積極建構完整DPU儲存產品應用環境的廠商，我們認為可能是Fungible，事實上，該公司在2020年10月發表的FS1600儲存伺服器，應該是市面上首款基於DPU的儲存陣列產品，當中採用了常見的2U/24Bay機箱，以2組Fungible的F1 DPU作為核心，內含12組100 GbE埠，可支援NVMe/TCP傳輸介面，並能透過DPU提供即時壓縮、加密與Erasure Coding等功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3--600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Fungible</span></span><br /><span style="color: rgb(105, 105, 105);"><strong>【Fungible的DPU-based資料中心架構】Fungible已經將DPU產品線擴展到整櫃式套件層級，透過以DPU作為儲存控制器核心的FS1600儲存伺服器，構成儲存節點，搭配安裝DPU卡的伺服器作為運算節點，以及在x86伺服器運行的Fungible Data Centre Composer管理平臺，來提供資料傳輸與儲存裝置的管理，所有的資料儲存與傳輸作業，都是由DPU來驅動。</strong></span></p> <p>Fungible宣稱憑藉DPU提供的加速功能，使得1組滿載24臺NVMe SSD的FS1600節點，便能提供高達1,500萬IOPS效能，存取延遲僅110μs，是一般2U全快閃儲存陣列效能的3到5倍以上。</p> <p>繼Fungible之後，陸續有其他廠商推出搭載了DPU的儲存設備產品。</p> <p>例如，近年大出鋒頭的新創廠商VAST Data，便在今年3月發表內含Nvidia BlueField DPU的Cares資料儲存機箱，這款產品採用1U機箱，可搭載最多22組E.1規格的SSD，以及8組U.2規格的儲存級記憶體模組（SCM），並配置4張BlueField BF1600 DPU卡。</p> <p>Care資料儲存機箱內含的4張BF1600卡，是替代VAST Data上一代資料儲存機箱採用的2組Intel處理器I/O模組，每張BF1600，各自連接1或4個的SSD與SCM模組，構成4路的Active-Active架構。而藉由採用BlueField DPU，Care資料儲存機箱的單一機箱輸出傳輸率，可從40 GB/s提高到60 GB/s以上。VAST Data進一步表示，未來，這一套系統還預定將搭配的DPU卡，升級到Nvidia最新發表的BlueField-3。</p> <p class="rtecenter"><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/%E5%9F%B7%E7%B7%A8%E4%B8%8A%E7%A8%BF%E7%94%A8/web-1075-%E5%B0%81%E9%9D%A2P3-web-resources/image/%E4%B8%BB%E5%9C%964_VAST-Ceres.png" /><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P3-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／VAST Data</span><br /><strong>【VAST Data的DPU儲存設備】VAST Data日前也推出基於DPU的Care資料儲存機箱，當中採用了Nvidia的BlueField DPU卡，以此取代上一代資料儲存機箱使用的Intel I/O模組，藉此提高了傳輸效能。</strong></span></p> <p>另外是新創儲存廠商Nyriad，他們的GPU加速架構儲存陣列，近日也有新發展。多數DPU廠商都是採用嵌入式通用處理器或FPGA，作為DPU的運算核心，但Nyriad獨樹一格，以Nvidia GPU作為輔助運算單元的核心。</p> <p>整體而言，該公司的Nsulate儲存平臺除了x86處理器之外，還特別安裝了基於Nvidia GPU的加速卡，構成CPU+GPU架構，可由GPU取代傳統RAID控制器，提供Erasure Coding與其他運算卸載功能。</p> <p>2022年3月，Nyriad推出新一代GPU加速儲存陣列產品UltraIO H系列，機箱內含2組控制器，稱作head nodes，每組控制器都採用兩顆Intel Xeon處理器，搭配兩張Nvidia RTX A6000 GPU卡，其中GPU扮演的角色，是配合Nyriad專屬的UltraIO OS作業系統，為每個寫入區塊執行hash運算、藉此來檢驗資料的完整性，藉此減輕CPU的運算負載，因此，無論是對於平常的資料寫入，或是磁碟失效後的重建作業，均可望能發揮加速的效果。</p> <p><strong><span style="color:#B22222;">伺服器端與整櫃式套件產品</span></strong></p> <p>除了儲存端產品，在伺服器端與整櫃式套件產品領域，也開始出現整合DPU的產品。</p> <p>對此最積極的廠商仍是Fungible，有了DPU-based的FS1600儲存伺服器，接下來，他們又將DPU應用的戰線，延伸到融合式基礎架構（Converged Infrastructure）整櫃式套件的領域。</p> <p>在2021年初，Fungible發表了基於DPU的Fungible Data Center，而這套產品是由Fungible Rack機櫃組成，含有標準的運算伺服器、儲存設備與交換器。</p> <p>其特別之處，是運算伺服器安裝Fungible的S1 DPU卡，搭配的儲存設備，則是同廠牌的FS1600 DPU儲存伺服器叢集，在管理平臺Fungible Data Centre Composer的控制下，整座機櫃的儲存及網路傳輸，都以DPU為核心來驅動。</p> <p>而在一線伺服器大廠方面，相對較熱心導入DPU應用的則是HPE。雖然該公司自身無DPU產品，但在2021年，先後與Nebulon與Pensando這2家DPU供應商合作，將Nebulon的SPU卡，以及Pensando的DSC卡，引進HPE的伺服器產品線，包括ProLiant系列通用伺服器，Apollo系列高效能運算與大數據伺服器，以及Edgeline融合邊緣系統等產品線，日後都可提供預載與整合DPU的組態，因此這些產品堪稱市面上首批「DPU Ready」的伺服器產品線。</p> <p>整體來說，整合了DPU的IT設備數量雖然還不多，但已經涵蓋了儲存設備、伺服器到整櫃式套件的領域，可以針對有意導入DPU的用戶，提供建構DPU應用環境的基礎。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div><div class="field-item odd"><a href="/tags/fungible">Fungible</a></div><div class="field-item even"><a href="/tags/vast-data">VAST Data</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150698
【結合不同加速裝置截長補短，提升運算卸載效果】跨界的DPU混合應用架構
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p4-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Los Alamos National Lab</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器（DPU）的應用，本身就屬於一種混合運算架構，用於搭配伺服器與儲存陣列控制器的CPU，卸載特定服務的運算負載。從而能將更多的CPU資源保留給主要的應用。</p> <p>不過，除了標準的CPU+DPU的混合應用型態，過去一年來又出現了一些新的架構。其中之一，是兩種不同類型DPU的混搭架構。</p> <p>美國洛阿摩斯國家實驗室（Los Alamos National Lab）所屬的高效能運算部門，在2022年3月宣布已委由Aeon Computing公司打造新型儲存加速裝置，稱作「Flash裝置加速盒」（Accelerated Box of Flash Drives，ABFD）。雖然ABFD是專門訂製的設備，而非商售的企業儲存產品，不過當中採用了特別的混搭式DPU加速架構，值得大家進一步關注。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P4-960.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Los Alamos National Lab</span></span><br /><span style="color: rgb(105, 105, 105);"><strong>【結合2種DPU裝置的混合式加速設備】美國洛阿摩斯國家實驗室日前引進一款設備「Flash裝置加速盒」（ABFD），採用2種DPU裝置混搭的特殊架構。<br /> 上為ABFD機箱的外型，採用常見的2U/24Bay機箱，安裝了24臺SK Hynix的U.2規格NVMe SSD。右為ABFD機箱的內部，沒有一般儲存設備的主機板，而是安裝了數張BlueField DPU卡，右上角的空位則是用於安裝Eideticom的NoLoad FPGA加速器。</strong></span></p> <p>ABFD是我們首次見到同時結合兩種DPU加速裝置的儲存設備，採用常見的2U機箱，可容納24臺NVMe SSD，特別之處，是同時安裝運算型儲存裝置與智慧型網路卡，分別是1臺U.2規格、屬於運算型儲存裝置類型的產品Eideticom的NoLoad FPGA加速器，以及數張BlueField-2智慧型網路卡。</p> <p>其中BlueField-2扮演的應該是控制器角色，雖然官方沒有公布ABFD安裝的BlueField-2數量，不過以BlueField-2的規格來看，至少要安裝3張，才能連結24臺NVMe SSD——每張BlueField-2卡含有8個下行（downstream）PCIe埠，如果以3張BlueField-2卡計算，可匯聚出24個Armv8 A72處理器核心，加上NoLoad FPGA加速器本身，也提供Xilinx Kintex Ultrascale+ KU15P FPGA晶片，算是提供頗為可觀的運算能力。</p> <p>ABFD在軟體方面是以ZFS on Linux檔案系統為基礎，可透過專門的ZFS FPGA加速器介面與DPU介面，將關鍵運算負載卸載到FPGA與DPU執行──Eideticom的NoLoad FPGA負責提供Erasure Coding、壓縮與checksum等儲存端運算卸載，BlueField-2則分攤網路傳輸方面的卸載處理工作。整個ABFD則可透過BlueField-2的200Gb InfiniBand埠來連接前端主機。</p> <p>理論上，ABFD這類混合式的DPU應用架構，可以藉由結合不同類型的加速裝置，彼此分工合作，發揮截長補短的效果，為系統整體帶來更完整、更多樣化的運算卸載功能，但代價是提高了成本與複雜性。</p> <p>然而，換個角度來看，ABFD這種結合多種DPU的混搭架構，雖然是很有意思的嘗試，卻也與DPU目前的另一個發展方向背道而馳。</p> <p>許多DPU產品提供的運算卸載功能，正朝向更多類型、更多樣化的方向發展，未來只需要1種DPU裝置，便能兼用於多種不同形式的運算卸載功能。</p> <p>因而這也形成了兩個相反的發展方向，一為「結合不同加速裝置的混搭架構」，另一為「單體DPU運算功能的多樣化」。我們認為，若從簡化架構、節約成本的觀點來看，後者應會成為日後的主流方向。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150699
【實測驗證DPU的I/O效能】兩款DPU效能測試數據大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-feng_mian_p5-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料處理器（DPU）的應用概念，是以輔助運算裝置的角色，來幫助CPU卸載運算負擔，一方面可以將更多的CPU資源保留給應用程式，另一方面則能改善整體I/O效能。概念上雖然如此，但當DPU實際應用在企業環境時，效能可提供到何種程度？以往很少有可供參考的實證數據。</p> <p>不過，恰好在2021年底，Fungible與Nvidia等2家DPU供應商，先後公布一系列DPU儲存效能驗證結果，也讓大家有了實際檢視DPU應用效果的機會。</p> <p><span style="font-size:28px;"><strong>Fungible的DPU效能測試</strong></span></p> <p>首先是Fungible透過聖地牙哥超級電腦中心（San Diego Supercomputer Center）所進行的效能實測，當中使用該公司的FS1600 DPU儲存伺服器，作為儲存系統端，搭配安裝Fungible S1 DPU卡的技嘉R282-Z93伺服器，作為應用伺服器端（搭載2顆64核心AMD EPYC 7763處理器與2TB記憶體），兩者透過100 GbE網路互連，執行NVMe/TCP傳輸協定，結果在4K讀取測試中，達到了1,000萬IOPS的效能。</p> <p>作為對照，當應用伺服器端安裝一般網路卡時（Mellanox ConnectX-5），在相同環境下，只得到655萬IOPS效能，而且，其CPU資源占用率接近飽和。也就是說，在應用伺服器端以Fungible的S1 DPU卡取代一般網路卡，IOPS效能提高了50%以上，CPU資源耗用率也從原本的將近飽和狀態，控制在63%。</p> <p>而在儲存端，Fungible僅僅以1臺基於DPU的FS1600，就為伺服器端提供了1,000萬IOPS的效能輸出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P5-600-1.jpg" style="width: 586px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：iThome整理，2022年4月</span><br /><strong>【Fungible的DPU測試架構】伺服器端本身是安裝5張Fungible S1 DPU卡的技嘉伺服器，儲存端是Fungible的FS1600 DPU儲存伺服器（內含2組Fungible F1 DPU），構成全面搭配DPU的傳輸架構。至於對照組，則將技嘉伺服器上安裝的Fungible S1 DPU卡，換成一般網卡（Mellanox ConnectX-5）。</strong></span></p> <p><span style="font-size:28px;"><strong>Nvidia的DPU效能測試</strong></span></p> <p>繼Fungible之後，另一家廠商Nvidia也發布BlueField-2 DPU卡實測結果。</p> <p>由於Nvidia不像Fungible有DPU儲存陣列產品，所以，他們的效能測試，是以1臺HPE DL380 Gen10 Plus伺服器來扮演儲存端角色，另1臺DL380 Gen 10 Plus扮演應用程式伺服器端角色。</p> <p>每臺DL380 Gen10 Plus伺服器當中，都安裝2顆Intel Xeon Platinum 8380處理器，一共160個處理器核心，搭配512 GB記憶體，還有2張BlueField-2 DPU卡。伺服器端與儲存端之間透過Nvidia LinkX 100GbE DAC纜線直連。結果在512Bytes NVMe/TCP的100%讀取測試中，得到4,150萬IOPS效能，在4K測試中的IOPS效能，也超過500萬。</p> <p>不過，Nvidia上述效能測試的驚人IOPS表現，似乎是以儲存端的DRAM作為I/O傳輸的目標端，因此，I/O可能並未實際落到底層的SSD上，主要目的應該是藉此展現作為傳輸端點的BlueField-2 DPU卡吞吐能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E5%B0%81%E9%9D%A2P5-600-%EF%BC%92.jpg" style="width: 587px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">資料來源：iThome整理，2022年4月</span><br /><strong>【Nvidia的DPU測試架構】伺服器端是一臺安裝2張Nvidia BlueFiled-2 DPU卡的HPE DL380 Gen 10 Plus，儲存端是另一臺HPE DL380 Gen 10 Plus，同樣安裝2張Nvidia BlueFiled-2 DPU，兩端以Nvidia LinkX 100GbE DAC纜線直連，同樣構成全面DPU傳輸架構。</strong></span></p> <p><span style="font-size:28px;"><strong>效能與功耗的雙重效益</strong></span></p> <p>Fungible與Nvidia兩家廠商，都基於橫貫各個環節（End-to-End）的DPU應用環境來測試，也就是說，不僅在儲存端安裝DPU，在伺服器端也安裝了DPU，兩個端點都具備DPU加速能力。除此之外，兩個端點之間也都是透過100GbE網路連結。</p> <p>兩組測試的主要差別有二：首先，在兩端點的連結上，Fungible的測試環境，是以一臺100GbE交換器作為中介，至於Nvidia，則是以Nvidia LinkX 100GbE DAC纜線直皆互連。</p> <p>其次，Fungible的測試是標準的儲存端測試，I/O有實際進到儲存端的NVMe SSD上，可以展現出儲存端的FS1600儲存伺服器實際輸出能力；而Nvidia的測試應該只涉及網路端，展現的是作為傳輸端點的BlueField-2 DPU卡 I/O吞吐能力。</p> <p>從Fungible與Nvidia的測試結果來看，DPU確實能發揮顯著的加速效果。與未使用DPU的環境相比，只需要耗用1/3不到的處理器數量，就能提供同等的IOPS效能表現，不僅節約了硬體資源，更顯著減少了電力消耗。</p> <p>在此同時，兩家廠商的測試架構，還有幾點值得我們注意。</p> <p>第一，兩家廠商都選擇使用NVMe/TCP作為傳輸協定，顯示了NVMe/TCP已逐漸被視為iSCSI接班人，作為新一代低成本區塊儲存傳輸協定的角色，相較之下，NVMe/RoCE協定儘管有更高效能，但考慮到成本，仍難撼動這樣的技術搭配趨勢。</p> <p>Nvidia在他們的DPU測試中，也另外使用了NVMe/RoCE作為對照，在512Bytes 100%讀取測試當中，可獲得超過5,500萬IOPS效能，比NVMe/TCP的測試效能高出30%。但Nvidia在宣傳上仍舊是以後者為基準，顯示對NVMe/TCP的重視。</p> <p>第二，在Nvidia的測試中，我們看到伺服器端用於連接儲存端的Initiator軟體，對測試結果有顯著的影響。</p> <p>例如，Nivdia在此測試使用3種Initiator軟體——SPDK、standard kernel storage initiator（包括4.18與5.15版兩種），以及FIO plugin for SPDK，</p> <p>測試結果顯示，在4種不同的組合當中（SPDK to SPDK，FIO to kernel 5.15，FIO to kernel 4.18，FIO plugin to SPDK），SPDK to SPDK的效能略勝其他組合。而同為standard kernel storage initiator時，若採用較新的5.15版來測試，其效能也略優於4.18版。</p> <p><a href="https://www.ithome.com.tw/article/150701" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/dpu">DPU</a></div><div class="field-item odd"><a href="/tags/%E5%84%B2%E5%AD%98%E9%99%A3%E5%88%97">儲存陣列</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E8%99%95%E7%90%86%E5%99%A8">資料處理器</a></div><div class="field-item odd"><a href="/tags/fungible">Fungible</a></div><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/tech/150700
DPU走入企業應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1075-feng_mian_p1_open-ming_de_-960x420_kao_bei_.jpg?itok=rd4tVsCz" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蓬勃發展中的資料處理器（Data Processing Units，DPU），正從個別元件產品進入完整系統運用的階段，朝向普及應用邁出一大步，同時還出現多種新的混合架構，進一步拓展了應用型態</p> </div></div></div>
2022/5/2 07:00作者張明德https://www.ithome.com.tw/article/150701
【資安週報】2022年4月25日至29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>縱觀本週的資安事故，有一則新聞相當值得留意。駭客組織Stormous透過即時通訊軟體的公開群組會員投票，來決定對可口可樂發動攻擊，而這樣的手法該組織並非首例，曾在整個3月份不斷宣稱攻陷數家IT大廠的Lapsus$，就使用同樣的方法決定公布那個受害組織的資料。原本攻擊目標多半可能由少數駭客討論，如今卻出現相當類似黑幫依據群眾意見而決定對象，將全球知名企業與組織列入頭號攻擊目標的狀況，未來很有可能再度上演，而且可能是由駭客以外的網友來決定。</p> <p>在本週的資安新聞裡，不少研究人員揭露資安事故與攻擊工具，都與勒索軟體駭客組織Conti的動態有關。而值得注意的是，這些駭客很可能因日前在烏克蘭戰爭開打時力挺俄羅斯，而使得程式原始碼等內部資料外洩，疑似進而更換組織的名稱，以避免歐美國家的警方盯上，同時，這些駭客使用的惡意軟體也出現了變化。</p> <p>原本Conti使用的後門程式BazarLoader，就已經相當刁鑽，而使得受害者難以駭客察覺投放勒索軟體的跡象，但有研究人員發現，這些駭客近期又改用行蹤更為隱密的後門程式Bumblebee。該組織這一系列的動作，也引起了研究人員的高度關切，後續動態相當值得留意。</p> <p>而論及Conti的同時，已經進行超過2個月的烏克蘭戰爭，與之相關的網路攻擊行動可說是極為頻繁，有資安業者統計俄羅斯駭客至今攻擊烏克蘭多達237次，平均每天有3至4次攻擊行動，其中部分的網路攻擊，似乎是和俄羅斯的軍事行動配合。除此之外，俄羅斯的攻擊範圍，也擴及了鄰近烏克蘭的歐洲國家。</p> <p>在本週的勒索軟體攻擊行動裡，有些駭客的手法較為少見而值得留意。例如，勒索軟體Quantum只花了不到4個小時，就加密受害組織的內部網路；再者，則是名為Onyx的勒索軟體，採取了加密與破壞的兩面策略，不只會加密資料，還會在大型檔案寫入垃圾內容進行破壞。</p> <p>重大漏洞的利用或是揭露，也是本週資安新聞的焦點之一。其中，最值得留意的是Log4Shell漏洞修補情形。這項漏洞研究人員曾於去年12月公布細節，但過了4個月後，仍有不少應用系統存在相關漏洞而值得注意。</p> <p>另一個也出現大肆利用的漏洞，則是VMware針對旗下在4月初修補的身分驗證平臺漏洞，最近再度傳出遭到APT駭客利用的情形。</p> <p>本週國內出現兩件大事，一個是臺灣企業結盟，成立了「臺灣資安主管聯盟」，讓資安長能夠交換相關經驗；再者則是與疫情導致許多臺北市師生需要遠距上課的情況，但此時卻傳出酷課雲網站遭到DDoS攻擊而停擺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-ransomware-springs-into-action-with-a-dozen-breaches/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta很有可能是Conti另起爐灶</span></a></strong></h3> <p>名為Black Basta的勒索軟體駭客組織在4月開始發動攻擊，至少已有12個組織遭到入侵，包含德國風力發電維運業者德維特（Deutsche Windtechnik）、美國牙醫協會（ADA）疑似都是受害者，但研究人員發現，Black Basta很有可能就是原本的Conti。</p> <p>根據資安研究團隊MalwareHunterTeam的調查，他們發現Black Basta、Conti的勒索軟體有所不同，但兩個組織有許多共通之處，例如，洩露受害者資料的網站、付贖金的網站極為相似，以及協助受害者向駭客付款的「客服」說話方式、處理手法也幾乎一樣，因此研究人員推測，Black Basta很有可能就是Conti駭客因日前內部資料外洩後，更換名稱再重新開張，以逃避司法單位的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/bazarloader-anti-analysis-techniques/"><span style="color: rgb(0, 0, 0);">後門程式BazarLoader利用Windows的API偷渡勒索軟體</span></a></strong></h3> <p>勒索軟體駭客組織Conti於3月上旬，利用釣魚郵件散布後門程式BazarLoader，此後門程式透過呼叫Windows的API運作，主要被該組織用於投放勒索軟體，但這個後門程式究竟如何規避各式的偵測機制？近期有資安業者揭露他們研究的結果。資安業者Palo Alto Networks指出，他們最近利用逆向工程工具IDA Pro分析BazarLoader，結果發現，駭客運用了兩種相當少見的手法，而能躲過大部分的資安防護系統偵測。</p> <p>這些手法中，其中一種是API功能雜湊化（API Function Hashing），混淆惡意軟體呼叫的功能；另一種則是叫做不透明述詞（Opaque Predicate），目的是混淆惡意軟體程式碼的實際運作流程，讓研究人員所使用的靜態分析工具難以解析。該公司也公布他們用來破解駭客手法的IDAPython程式碼，供其他研究人員解析使用上述手法的惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/bumblebee-is-still-transforming"><span style="color: rgb(0, 0, 0);">研究人員揭露Conti新的惡意軟體Bumblebee</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bumblebee-20220427171512-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bumblebee-20220427171512-5.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti在吸收殭屍網路TrickBot的成員後，持續使用TrickBot開發的惡意軟體載入器BazarLoader，但最近兩個月Conti似乎開始改用新的惡意軟體。資安業者Proofpoint指出，他們在今年3月開始，發現至少有TA578、TA579等3個駭客組織，使用惡意軟體Bumblebee發動攻擊，進而在受害組織投放勒索軟體Conti或Diavol。研究人員提及，這次的攻擊行動特徵，<a href="https://www.ithome.com.tw/news/149991#exotic-lily">與Google自2021年9月開始調查的駭客組織Exotic Lily</a>後期手法雷同，因為，Exotic Lily在今年3月開始也使用了Bumblebee。</p> <p>研究人員看到駭客利用Bumblebee投放Cobalt Strike、Meterpreter、Sliver等滲透測試工具，以及Shell Code，他們對此惡意軟體進一步分析後發現，雖然Bumblebee處於開發階段，但駭客已經運用了相當複雜的反組譯手法，來避免被研究人員察覺異狀。而從Bumblebee內有部分TrickBot程式碼，並在近期BazarLoader幾乎沒有再被使用的跡象，研究人員推測，很可能就是相關駭客已經幾乎從BazarLoader轉換到了Bumblebee。</p> <h3><strong style="font-size: 22px;"><a href="https://securityaffairs.co/wordpress/130505/cyber-crime/costa-rica-conti-ransomware.html"><span style="color: rgb(0, 0, 0);">勒索軟體Conti攻擊哥斯大黎加政府機關，癱瘓公務系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rica-Conti-ransomware.png" style="width: 300px; float: right;" /></a>日前美國、英國等多個國家提出警告，俄羅斯駭客將鎖定全球的關鍵基礎設施（CI）下手，近期已傳出相關事故。根據資安新聞網站Security Affairs的報導指出，哥斯大黎加政府的基礎設施上週遭到勒索軟體攻擊，影響該國財政部、勞動部等多個政府機關，勒索軟體駭客組織Conti聲稱是他們所為，並公布約50%竊得的資料，但發動攻擊的原因是否與哥斯大黎加譴責俄羅斯出兵有關？目前仍不明朗。</p> <p>哥斯大黎加總統卡洛斯．阿爾瓦拉多（Carlos Alvarado）表示，他們不會支付贖金，但他沒有證實攻擊者是否就是Conti。而這起網路攻擊所帶來的影響，根據新聞網站美聯社（AP）的報導，該國財政部為此被迫關閉大部分公職人員使用的系統數小時，且此系統亦與養老金支付有關，財政部延後了報稅的截止日期。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-dental-association-hit-by-new-black-basta-ransomware/"><span style="color: rgb(0, 0, 0);">美國牙醫協會遭到勒索軟體Black Basta攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊醫療機構的態勢，如今也延燒到相關的保健推廣機構。根據資安新聞網站Bleeping Computer的報導，美國牙醫協會（ADA）於4月22日遭到網路攻擊，被迫將受影響的系統離線，暫停網站上的多項服務。此起事故不光ADA的網站部分服務停擺，也波及美國各州的牙醫協會，該新聞網站認為，這很可能是勒索軟體攻擊事件。</p> <p>上述事故發生不久，資安研究團隊MalwareHunterTeam向Bleeping Computer透露，名為Black Basta的勒索軟體駭客組織聲稱攻擊ADA得逞，並公開2.8 GB的外洩資料，約占他們竊得資料的三成。這些外洩的資料多半與ADA會員有關，ADA認為，駭客很有可能會利用這些資料，對牙醫診所進行網釣攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150625"><span style="color: rgb(0, 0, 0);">德國多家風力發電廠遭到網路攻擊，疑與俄羅斯駭客有關</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150480#nordex">勒索軟體駭客Conti於3月底，對於德國風力發電機製造商Nordex發動攻擊</a>，但這很可能不是單一事件。根據華爾街日報的報導指出，歐洲風力能源委員會（WindEurope）指控，聲援俄羅斯的駭客組織，近日鎖定了因俄羅斯遭到經濟制裁而受惠的產業下手，尤其是對於再生能源之一的風力發電，且其中多起事件都是針對德國業者而來。</p> <p>在俄羅斯開始出兵烏克蘭之際，風力發電機製造商Enercon GmbH即因<a href="https://www.ithome.com.tw/news/150233#viasat">衛星網路（編按：此處應指美國衛星網路Ka-sat）遭到攻擊</a>，駭客切斷該公司對於近6千臺發電機的遠端控制能力；再者，就是3月底Nordex的資安事故；而到了4月上旬，風力發電維運業者德唯特（Deutsche Windtechnik）亦傳出遭到勒索軟體攻擊，導致約2千臺發電機的遠端控制系統停擺了大約一天。WindEurope認為，雖然上述風力發動業者沒有直接表明是遭到俄羅斯駭客襲擊，但這些駭客很可能出於上述報復的動機，繼續對相關業者出手。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/"><span style="color: rgb(0, 0, 0);">從烏克蘭戰爭開戰至今，俄羅斯駭客已攻擊烏克蘭237次</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Russia-apt-target-ukraine.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Russia-apt-target-ukraine.jpg" style="width: 300px; float: right;" /></a>自烏克蘭戰爭開打以來，俄羅斯駭客對於烏克蘭的網路攻擊也從未間斷，但研究人員發現，駭客攻擊不只相當頻繁，還與武裝攻擊行動互相呼應。微軟近日發布對於俄羅斯駭客對烏克蘭發動攻擊的調查結果，指出在俄烏開戰以來，至少有6個俄羅斯駭客集團對烏克蘭出手，已發動逾237次攻擊行動，當中有約40次屬於破壞性攻擊，且多半鎖定烏克蘭政府或是關鍵基礎設施（CI）。</p> <p>研究人員發現，許多網路攻擊與武裝行動呼應，例如，駭客於3月1日攻擊烏克蘭電視臺，該國軍隊隨後就將飛彈瞄準電視臺；再者，俄羅斯軍隊攻擊馬里烏波爾市（Mariupol）時，駭客也對於當地居民發動釣魚郵件攻擊，散布烏克蘭政府拋棄民眾的消息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-targeted-by-ddos-attacks-from-compromised-wordpress-sites/"><span style="color: rgb(0, 0, 0);">WordPress網站再度成為駭客攻擊烏克蘭的工具，被用於感染用戶電腦發動DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cert-ur_wordpress-sites-cyberattack_code.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cert-ur_wordpress-sites-cyberattack_code.png" style="width: 300px; float: right;" /></a>駭客<a href="https://www.ithome.com.tw/news/150170#wordpress">曾於3月底，在許多WordPress網站植入惡意程式碼</a>，感染用戶的電腦並向烏克蘭發動攻擊，但濫用WordPress網站的類似攻擊行動再度出現。烏克蘭電腦緊急應變小組（CERT-UA）指出，最近有駭客組織UAC-0101鎖定WordPress網站進行破壞，植入名為BrownFlood的惡意JavaScript程式碼，使得瀏覽網站的用戶電腦成為駭客的攻擊工具，對烏克蘭發動DDoS攻擊。CERT-UA指出，至少有36個網站被用於攻擊行動，該單位也提供網站檢測工具，讓IT人員能檢查網站是否被植入惡意程式碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/bronze-president-targets-russian-speakers-with-updated-plugx"><span style="color: rgb(0, 0, 0);">中國駭客Mustang Panda鎖定俄羅斯政府官員發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭未明確表達支持或反對力場的中國，<a href="https://www.ithome.com.tw/news/150088#mustang-panda">先前傳出該國駭客鎖定協助難民的歐洲外交單位下手</a>，但最近他們也開始針對俄羅斯發動攻擊。資安業者Secureworks發現，中國駭客Mustang Panda（亦稱HoneyMyte、Bronze President、TA416）於2022年3月，以歐盟針對白俄羅斯進行制裁的細節為由，鎖定俄羅斯政府官員發動網路釣魚攻擊，引誘對方開啟附件檔案，透過帶有合法簽章的可執行檔案，以DLL側載（DLL Sideloading）的方式，載入惡意程式PlugX。</p> <p>研究人員指出，DLL載入工具（DLL Loader）在執行的過程裡，會導出8個函式，但實際上只有其中一個帶有實際要執行的指令，很可能因此能夠躲過資安防護系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://securityintelligence.com/posts/hive00117-fileless-malware-delivery-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定電信業者散布惡意軟體DarkWatchman</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png" style="width: 300px; float: right;" /></a>俄羅斯駭客近期對烏克蘭頻頻發動攻擊，但他們現在也鎖定其他鄰近的國家下手。IT業者IBM的威脅情報團隊指出，使用俄語的駭客組織Hive0117近期發動釣魚郵件攻擊，鎖定立陶宛、愛沙尼亞、俄羅斯電信服務供應商、工業公司，這些釣魚郵件幾乎都寄給公司負責人或是高層，駭客冒充俄羅斯司法部，且郵件內含該單位的標誌，看起來更像由該單位發出。</p> <p>一旦收信人依照指示打開附件ZIP檔案的內容，電腦就有可能被感染惡意軟體DarkWatchman，為駭客提供後門，並藉由PowerShell程式碼側錄鍵盤輸入的內容。而對於Hive0117的身分，研究人員認為該組織並非俄羅斯政府資助的駭客，攻擊行動很可能出於經濟利益，而非與政治訴求有關。</p> <h3><strong style="font-size: 22px;"><a href="https://krebsonsecurity.com/2022/04/leaked-chats-show-lapsus-stole-t-mobile-source-code/"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile傳出遭到駭客組織Lapsus$入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lowerlevelsource.png" style="width: 300px; float: right;" /></a>在3月份大肆公布受害者的<a href="https://www.ithome.com.tw/tags/lapsus">駭客組織Lapsus$</a>，最近有研究人員發現新的攻擊行動。資安新聞網站Krebs On Security指出，他們針對Lapsus$核心成員在Telegram頻道的對話內容進行分析後發現，該組織疑似在3月多次入侵T-Mobile，並竊得對方一系列的程式原始碼。該新聞網站指出，這些駭客入侵受害組織的初始管道，多半是從俄羅斯市集購得，然後成功進入到受害組織內部網路環境後，嘗試利用SIM卡挾持（SIM Swapping），來取得行動裝置管理（MDM）所需要相關資料，進而試圖竊取該公司的原始碼。</p> <p>針對上述的報導，T-Mobile向Krebs On Security表示，他們的確在幾個星期前，發現有駭客利用遭竊的帳密存取該公司內部系統，該公司亦迅速關閉入侵者的連線，遭到外洩的帳號密碼也已經重置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵可口可樂，竊得161 GB資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Stormous-poll.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stormous-poll.png" style="width: 300px; float: right;" /></a>日前<a href="https://www.ithome.com.tw/news/149780#mercado">勒索軟體駭客Lapsus$利用Telegram頻道舉行投票</a>，以決定接下來要公布受害組織資料的對象，如今也有其他組織仿效。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Stormous聲稱近期成功入侵飲料大廠可口可樂，並竊得161 GB資料，內容為含有文件的壓縮檔案，以及具有管理員、電子郵件、密碼的純文字檔案、帳號與付款資料的ZIP壓縮檔案等，駭客以1.65個比特幣（約6.4萬美元）的價格銷售這些資料。而這些駭客也傳出在下手之前，先在Telegram群組徵求其他支持者的意見，結果有超過7成的用戶投給了可口可樂。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/"><span style="color: rgb(0, 0, 0);">駭客發動大規模的HTTPS加密流量DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png" style="width: 300px; float: right;" /></a>駭客發動分散式阻斷服務（DDoS）攻擊的手法，從原本企圖消耗受害網站的頻寬，現在改以發送大量垃圾請求，進而耗盡伺服器的處理器和記憶體等運算來癱瘓網站的運作。雲端服務業者Cloudflare於4月27日指出，他們在本月初緩解大規模的HTTPS流量攻擊，駭客從全世界112個國家、約6千個殭屍網路機器人（Bot），發動每秒1,530萬次請求（RPS）的DDoS攻擊行動，目標是加密貨幣業者。</p> <p>值得留意的是，有別於過往駭客普遍使用未加密的HTTP流量，這次駭客以加密的HTTPS流量發動攻擊，所需要資源較未加密流量要來得多，但這麼做的目的為何？Cloudflare沒有進一步說明，<a href="https://therecord.media/cloudflare-detects-one-of-the-largest-ddos-attacks-on-record-targeting-crypto-platform/">而資安業者Recorded Future懷疑，這起DDoS攻擊可能與殭屍網路Emotet有關</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/redline-stealer-resurfaces-in-fresh-rig-exploit-kit-campaign/"><span style="color: rgb(0, 0, 0);">駭客利用IE漏洞投放竊密軟體RedLine</span></a></strong></h3> <p>隨著IE與相關的外掛程式逐漸遭到棄用，駭客運用漏洞利用工具包（Exploit Kit）的攻擊行動大幅下降，但這類手法並未因此消聲匿跡。防毒業者Bitdefender指出，他們發現駭客在一起散布竊密軟體RedLine的過程裡，攻擊者使用名為RIG Exploit Kit的漏洞利用工具包，並針對網頁瀏覽器Internet Explorer（IE）的漏洞CVE-2021-26411而來，此漏洞會導致使用者在瀏覽攻擊者特製網站時，出現記憶體損壞的情況。駭客一旦入侵成功並部署RedLine，就能進一步在受害電腦上搜刮瀏覽器資料、加密貨幣錢包的私鑰、信用卡資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150623"><span style="color: rgb(0, 0, 0);">無聊猿猴IG帳號遭駭，駭客盜走粉絲近3百萬美元的NFT</span></a></strong></h3> <p>非同質化代幣（NFT）吸引許多人投資的同時，也屢屢遭到駭客覬覦，例如，藝人周杰倫的無聊猿猴NFT於4月初遭竊，<a href="https://www.ithome.com.tw/news/150516#rarible-jaychou">駭客很可能利用了NFT市集Rarible的漏洞攻擊得逞</a>，而這次則是鎖定官方社群網站帳號下手。無聊猿猴遊艇俱樂部（BAYC）於4月25日發布警告，指出他們的Instagram帳號遭到駭客挾持，駭客假借BAYC的名義發布詐騙網址，偷走了91個NFT，價值逾280萬美元。值得留意的是，BAYC已採用雙因素驗證機制，究竟駭客如何取得他們的Instagram帳號控制權？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/lemonduck-botnet-targets-docker-for-cryptomining-operations/"><span style="color: rgb(0, 0, 0);">殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</span></a></strong></h3> <p>駭客鎖定配置不當的雲端服務環境下手，發動攻擊的情況，<a href="https://www.ithome.com.tw/news/150572#teamtnt">我們先前於22日報導殭屍網路TeamTNT鎖定AWS、阿里雲的事故</a>，但最近又有其他駭客組織跟進。資安業者CrowdStrike指出，他們發現原本針對Exchange伺服器下手的殭屍網路LemonDuck，近期將攻擊目標開始轉向Docker上的Linux環境。駭客藉由曝露的Docker API，執行惡意容器，進而取得偽裝成PNG圖檔的Bash程式碼檔案，此程式碼檔案會刪除crond、sshd、syslog等處理程序，以及入侵指標（IoC）路徑，並停用阿里雲的監控服務，同時也會清除其他對手的挖礦工具，切斷與C2中繼站的連線。</p> <p>此殭屍網路病毒在執行上述作業後，才會下載並執行挖礦工具XMRig，並嘗試透過SSH連線的金鑰橫向移動，一旦發現金鑰能夠使用，LemonDuck將會進行橫向感染。研究人員認為，隨著企業採用容器的情況日益普及，未來這類針對雲端的殭屍網路攻擊行動很有可能會越來越氾濫，他們呼籲用戶採取相關防護措施來加強容器安全。</p> <h3><strong style="font-size: 22px;"><a href="https://thedfirreport.com/2022/04/25/quantum-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Quantum僅耗時4小時攻陷受害目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Quantum-Ransomware.png" style="width: 200px; float: right;" /></a>勒索軟體駭客以迅雷不及掩耳的速度，將受害組織網路的檔案進行加密，而讓IT人員難以招架。資安研究團隊The DFIR Report指出，他們在一起使用勒索軟體Quantum的攻擊事故裡，發現駭客成功入侵後只耗費3小時44分，將受害組織網路內的大部分檔案都予以加密。這些駭客起初利用ISO映像檔散布惡意軟體IcedID，初步入侵目標電腦，然後在2個小時後，將Cobalt Strike注入Windows內建的命令列提示字元（CMD.EXE）處理程序，以規避資安系統的偵測。</p> <p>駭客接下來利用LSASS工具來竊取網域的憑證，進而在內部網路橫向移動，然後，他們繼續與網路內其他伺服器進行RDP連線，駭客一旦完全掌握網域的配置，就開始將C磁碟機設為共用，將勒索軟體酬載複製到所有電腦，並透過WMI或PsExec來散布並觸發勒索軟體病毒。研究人員提供入侵指標（IoC），以及IcedID與Cobalt Strike的C2中繼站IP位址，讓IT人員能加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/psa-onyx-ransomware-destroys-large-files-instead-of-encrypting-them/"><span style="color: rgb(0, 0, 0);">勒索軟體Onyx鎖定大型檔案進行破壞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png" style="width: 300px; float: right;" /></a>過往勒索軟體攻擊行動中，駭客通常會鎖定檔案較小的檔案進行加密，而略過較大的檔案，但最近有勒索軟體出現新的攻擊手法。資安研究團隊MalwareHunterTeam發現，有一款名為Onyx的勒索軟體，依據檔案大小之分，而採取加密與破壞的兩面策略，近期被用於攻擊行動，駭客宣稱已有6個組織受害。</p> <p>研究人員針對此勒索軟體進行分析發現，Onyx會將小於200 MB的檔案加密，而對於大型的檔案，則是寫入隨機資料來進行破壞，換言之，即使受害組織向駭客支付贖金取得解密工具，只能將小於200 MB的檔案復原。研究人員呼籲，受害者不要向駭客低頭，因為就算想要付錢了事，還是很有可能無法復原所有的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/rio-de-janeiro-finance-department-hit-with-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">巴西里約財政部遭勒索軟體LockBit攻擊 </span></a></strong></h3> <p>勒索軟體針對南美洲金融中心下手，要脅當地政府機關付錢。根據Recorded Future的報導，巴西里約熱內盧財政部於4月21日遭到勒索軟體LockBit攻擊，該單位於22日證實遭到勒索軟體攻擊，對方要求支付贖金，以換取駭客不公開竊得的資料。巴西里約熱內盧財政部發言人聲稱，對方偷到的資料僅占秘書處的0.05%，但沒有提及這些資料的機密層級。勒索軟體駭客組織LockBit宣稱本次攻擊行動約竊得420 GB資料，要脅對方若是沒有依照指示進行後續處理，將於4月25日公布這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/french-hospital-group-disconnects-internet-after-hackers-steal-data/"><span style="color: rgb(0, 0, 0);">法國醫院遭網路攻擊，近30 GB內部資料疑似流入地下市集</span></a></strong></h3> <p>法國醫療集團GHT Coeur Grand Est於4月25日指出，他們在19日遭到網路攻擊，導致位於維特里勒弗朗索瓦、聖迪濟耶的分院受到影響，該集團為了避免災害擴大，將GHT總部與醫院之間的網路連線暫時切斷，使得線上預約等服務無法使用。該集團表示，駭客疑似設法盜取他們的內部資料，這些資料很有可能會被其他駭客散布。</p> <p>資安新聞網站Bleeping Computer發現，地下市集網站Industrial Spy疑似出現該集團遭竊的資料，共有28.7 GB。賣家宣稱他們偷到的資料內容，主要是病人的個資，包含了社會安全號碼、護照掃描檔案、電子郵件、電話號碼、付款的銀行帳號資料等，他們因向院方索討130萬美元未果，而決定兜售這些資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.livemint.com/technology/cyberattacks-rise-at-oil-firms-as-hackers-step-up-their-game-11650649127129.html"><span style="color: rgb(0, 0, 0);">駭客近半年來針對印度石油公司攻擊逾36萬次</span></a></strong></h3> <p>印度國有的石油公司Oil India傳出於4月13日遭到攻擊，位於阿薩姆工廠的IT系統遭到鎖定，當地媒體報導駭客索討750萬美元的贖金。但根據當地非營利資安組織Cyberpeace Foundation的調查，駭客針對該公司下手的情況相當頻繁，從2021年10月至今年4月12日，他們偵測到近36萬次的攻擊行動，其中，攻擊行動有約三分之一出現在去年10月，為11.7萬次。</p> <p>這項研究也顯示，駭客鎖定印度關鍵基礎設施的網路攻擊越來越多，尤其是對於石油產業的網路釣魚最為顯著。雖然該組織並未說明攻擊來源，但根據研究人員發現的JavaScript程式碼疑似來自百度網域，中國駭客很有可能參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/04/21/prynt-stealer-a-new-info-stealer-performing-clipper-and-keylogger-activities/"><span style="color: rgb(0, 0, 0);">竊密軟體Prynt Stealer不只會偷取瀏覽器資料與加密錢包，連遊戲平臺帳號也不放過</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-Details-from-Telegram.png" style="width: 300px; float: right;" /></a>竊密軟體具備的功能越來越複雜，甚至還搜刮受害電腦裡的遊戲帳號來獲利。資安業者Cyble最近揭露名為Prynt Stealer的竊密軟體，開發者以每月收取100美元的價格提供給駭客使用。這個竊密軟體可為攻擊者偷取受害電腦的文件、資料庫、程式原始碼等資料（檔案大小不超過5120位元組的檔案）。再者，該竊密軟體也能挖掘瀏覽器、即時通訊軟體、VPN連線程式、加密貨幣錢包、遊戲平臺的組態，以挾持受害者的各式帳號來牟利。此外，Prynt Stealer也具備在受害者想要進行加密貨幣交易時，竄改轉帳的錢包位址，而能將受害者的加密貨幣移轉到駭客的錢包。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.appledaily.com/life/20220426/KVUUKSFXO5AN5G7OQNCJAMVHQA/"><span style="color: rgb(0, 0, 0);">北市線上教學平臺酷課雲遭DDoS攻擊而停擺</span></a></strong></h3> <p>近期臺灣Omicron疫情爆發，臺北市是重災區，許多學生和老師在隔離的狀況下必須仰賴線上授課，卻傳出相關平臺遭到DDoS攻擊而停擺。臺北市線上教學平臺酷課雲約於4月25日下午1時5分，疑似出現大量登入連線導致該系統中斷服務1個小時，<a href="https://www.doe.gov.taipei/News_Content.aspx?n=0F560782595DACFC&sms=72544237BBE4C5F6&s=529CE07A4A3ACEA2">臺北市政府教育局先是發出公告指出</a>，很可能是負責維運的業者臺灣智園的資源自動調度失靈所致，經廠商搶修後，該系統已於當日下午2時30分恢復正常，此起事故影響範圍為課堂點名與作業繳交，直播授課不受影響。</p> <p>隔日，臺北市政府於防疫記者會針對此事做出進一步說明，指出此起事故是來自國外IP位址的DDoS攻擊，該系統處理1萬次請求而導系統癱瘓，截至26日下午的記者會之前，這樣的攻擊行動已出現4起。臺北市政府指出，他們正在升級酷課雲的資安防護系統，希望能夠讓學生和老師能正常上課。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/npm-package-planting"><span style="color: rgb(0, 0, 0);">NPM弱點可讓駭客為套件任意新增維護者，嫁禍他人</span></a></strong></h3> <p>套件管理平臺允許開發者在不經他人的同意下，將別人列為套件的維護者，使得這些人有可能在不知情的情況下，成為惡意專案的「經營者」。資安業者Aqua Security揭露NPM套件市集中，名為Package Planting的弱點，這項漏洞的問題在於，NPM允許原本的套件開發者，擅自增列其他的開發人員為套件的維護者，一旦駭客利用這樣的機制缺陷，就可以先上架惡意NPM套件，然後將知名的套件開發人員並列為維護者，自己再退出。</p> <p>如此一來，該惡意套件看起來就像是由上述被加入的開發者所推出，但他們毫不知情，而有可能在這樣的情況下，讓用戶認為是由不知情的開發者所為，影響開發社群之間的信賴。NPM獲報後已著手修補上述的平臺缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cysrc.com/blog/virus-total-blog/"><span style="color: rgb(0, 0, 0);">惡意軟體檢測平臺VirusTotal出現RCE漏洞</span></a></strong></h3> <p>提供檢測惡意軟體的系統一旦出現漏洞，攻擊者很有可能用來操控掃描結果。資安業者Cysource指出，他們於去年發現知名的惡意軟體檢測平臺VirusTotal裡，存在漏洞CVE-2021-22204，起因與該系統採用的ExifTool元件，處理DjVu檔案不當有關，CVSS風險層級為7.8分。一旦駭客利用這項漏洞，就有可能藉此發動RCE攻擊，進而取得該平臺掃描的結果。Google獲報後於今年1月13日予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/log4shell-4-months-later/"><span style="color: rgb(0, 0, 0);">仍有大量用戶使用存在Log4Shell漏洞的Log4j</span></a></strong></h3> <p>去年12月公布的Java日誌框架Log4j重大漏洞Log4Shell，事隔4個月後是否都已完成修補？有資安業者透露現況。資安業者Rezilion近日提出警告，根據多家資安業者的統計資料，仍有不少環境使用存在上述漏洞的Log4j。研究人員指出，根據Sonatype的統計，截至4月底仍有近4成使用者下載存在相關漏洞的Log4j；對於實際利用Log4j的應用系統面臨漏洞風險的情況，研究人員利用物聯網搜尋引擎Shodan，找到超過9萬個疑似存在相關漏洞的應用系統，以及6.8萬臺Minecraft伺服器。</p> <p>而相依Log4j的開源軟體尚未修補的情況似乎更為嚴重，根據Google的Open Source Insights服務，依賴該軟體的17,840個開源專案，只有7,140個採用已修補漏洞的Log4j，換言之，仍有6成專案曝露於Log4Shell的危險之中。研究人員表示，光是Apache基金會旗下的軟體專案，就出現修補該漏洞相當緩慢的現象，例如，Storm、SkyWalking OAP都是在今年4月才完成修補，而Solr、Ozone目前仍使用存在漏洞的Log4j 2.16版。研究人員認為，前述Log4j存在於許多軟體的情況，導致IT人員難以盤點，甚至組織很可能不清楚那些系統有使用這套日誌系統，而沒有打算採取相關緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/zero-days-exploited-2021"><span style="color: rgb(0, 0, 0);">駭客偏好微軟、蘋果、Google產品的零時差漏洞</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150544#zerodays">Google威脅分析小組（TAG）於4月19日，公布他們對於去年零時差漏洞的觀察</a>，2天之後，<a href="https://www.ithome.com.tw/news/149768">在3月併入Google Cloud旗下的資安業者Mandiant</a>也提出他們的看法，且內容更為詳細。Mandiant於4月21日，揭露2021年零時差漏洞遭到利用的情形，指出去年出現了80個這類漏洞，這樣的情況較2020年的30個多出超過一倍，也是最近10年來最多零時差漏洞被利用的一年，研究人員認為與行動裝置、物聯網裝置、雲端服務運用大幅增加，很可能是其中重要的因素。而對於利用這些漏洞的攻擊者類型，研究人員指出，最主要仍是中國政府支持的駭客組織，但像勒索軟體駭客等出於經濟利益發動攻擊的人士，他們利用相關漏洞的比例也有顯著增加，到了去年接近占三分之一。從駭客鎖定的零時差漏洞軟體廠牌來看，他們偏好對微軟、蘋果、Google的產品下手。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/vmware-identity-manager-attack-backdoor"><span style="color: rgb(0, 0, 0);">又有駭客鎖定4月初VMware公布身分驗證系統的漏洞，發動惡意軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png" style="width: 300px; float: right;" /></a>VMware在4月6日針對旗下的Workspace ONE Access、Identity Manager等解決方案，發布漏洞修補程式，<a href="https://www.ithome.com.tw/news/150450#CVE-2022-22954">先前已有重大漏洞被用於散布Linux惡意軟體</a>，但最近有資安業者指出，APT駭客也開始利用這些漏洞發動攻擊。資安業者Morphisec指出，他們在4月11日，看到有人公布CVE-2022-22954的概念性驗證（PoC）攻擊程式後，伊朗駭客組織APT35（亦稱Rocket Kitten），也開始利用相關漏洞發動攻擊。</p> <p>這些駭客先於存在弱點的VMware Identity Manager執行PowerShell命令，從C2伺服器下載惡意程式載入器PowerTrash，並將滲透測試工具Core Impact載入記憶體內執行。在攻擊的過程中，駭客不只運用CVE-2022-22954，也利用了另外兩個需要管理者權限的RCE漏洞CVE-2022-22957、CVE-2022-22958。研究人員針對C2伺服器進行調查，疑似與主機代管業者Stark Industries有關，但該主機代管業者的母公司PQ Hosting SRL表示，他們的子公司沒有參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/"><span style="color: rgb(0, 0, 0);">Linux弱點Nimbuspwn可被攻擊者用於提升權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png" style="width: 300px; float: right;" /></a>隨著Linux在企業運用越來越廣泛，這類作業系統的元件漏洞，也引起資安人員的重視。微軟揭露名為Nimbuspwn的一組漏洞，當中包含了CVE-2022-29799、CVE-2022-29800兩個漏洞，一旦被攻擊者串連利用，就有機會藉此取得受害主機上的root權限。</p> <p>研究人員指出，Nimbuspwn與Linux主機發出連線狀態有關，存在於networkd-dispatcher套件裡面。這些漏洞涉及目錄遊走（Directory Traversal）、符號連結競爭（Symlink Race），以及查核與使用時間的競爭條件（Time-of-Check-Time-of-Use Race Condition），而能夠讓駭客擴張權限，進而部署惡意程式或是進行其他攻擊行為。networkd-dispatcher維護者Clayton Craft獲報後已修補上述漏洞，IT人員應儘進安裝新版軟體修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-12"><span style="color: rgb(0, 0, 0);">威聯通呼籲用戶停用AFP通訊協定，避免NAS遭到Netatalk元件的漏洞波及</span></a></strong></h3> <p>在Linux檔案伺服器上，有個能夠支援蘋果電腦存取的通訊元件Netatalk，相當有名，不過，在Pwn2Own 2021，研究人員找到重大漏洞，最近也有NAS業者為此提出警告。威聯通於4月25日發布資安通告指出，該公司NAS設備用來支援macOS作業系統存取的Netatalk元件，存在CVE-2021-31439、CVE-2022-23121、CVE-2022-23123、CVE-2022-23122、CVE-2022-23125、CVE-2022-23124、CVE-2022-0194等多項漏洞，當中有數個漏洞CVSS風險層級達到9.8分。該公司已針對QTS作業系統發布4.5.4.2012版（組建編號20220419）予以修補，並呼籲尚未安裝更新韌體的用戶，應暫時停用Apple Filing Protocol（AFP）通訊協定來緩解相關風險。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/jira/jira-security-advisory-2022-04-20-1115127899.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Jira身分驗證繞過漏洞</span></a></strong></h3> <p>IT業者Atlassian於4月20日發布資安通告，該公司旗下的Jira、Jira服務管理伺服器產品的Seraph元件，存在重大漏洞CVE-2022-0540，CVSS風險層級達9.9分，攻擊者一旦利用這項漏洞，就能藉由傳送偽造的HTTP請求到存在弱點的端點電腦，進而繞過身分驗證程序。該漏洞影響Jira Core Server、Software Data Center、Software Server、Service Management Server、Management Data Center，雲端版本則不受影響。該公司隨後於21日、22日再度發出公告，指出部分Atlassian市集提供的附加模組也可能一併受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/4/14/pwn2own-miami-2022-results"><span style="color: rgb(0, 0, 0);">資安人員在漏洞挖掘競賽Pwn2Own找出工控系統零時差漏洞，抱走40萬美元獎金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pwn2own-maimi-2022.jpg" style="width: 300px; float: right;" /></a>趨勢科技的漏洞懸賞專案團隊Zero Day Initiative（ZDI）於4月19日至21日，在美國邁阿密舉行Pwn2Own Miami for 2022漏洞挖掘競賽，這次的主題是工業控制系統（ICS），參賽者總共找出26個零時差漏洞，ZDI發出40萬美元獎勵。本次獲得破解大師（Master of Pwn）桂冠的參賽隊伍，是駭客競賽常客Daan Keuper與Thijs Alkemade所組成的Computest，Daan Keuper向麻省理工科技評論雜誌（MIT Technology Review）表示，工業控制系統是安全較為落後的領域，使得他們較為容易找出漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dhs.gov/news/2022/04/22/hack-dhs-program-successfully-concludes-first-bug-bounty-program"><span style="color: rgb(0, 0, 0);">美國國土安全部漏洞懸賞專案Hack DHS總共找出122個漏洞</span></a></strong></h3> <p>美國國土安全部（DHS）於去年12月發起了Hack DHS漏洞懸賞專案，邀及資安專家找尋該單位系統的安全漏洞，他們於4月22日公布第一階段的執行成果。該單位總共邀請了超過450名研究人員參與抓漏，目前找出122漏洞，其中有27個為重大漏洞。該單位亦發出12.56萬美元獎金。DHS並未透露相關漏洞的細節，但強調此項漏洞懸賞專案將能維護該國網路與基礎設施的資訊安全，並為聯邦機構帶來示範的作用。</p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.tenable.com/press-releases/Tenable-Agrees-To-Acquire-Bit-Discovery"><span style="color: rgb(0, 0, 0);">漏洞管理解決方案業者Tenable買下外部攻擊面管理廠商Bit Discovery</span></a></strong></h3> <p>提供漏洞管理解決方案的資安業者Tenable於4月26日宣布，他們買下了名為Bit Discovery的外部攻擊面管理（External Attack Surface Management，EASM）廠商。Bit Discovery所提供的EASM解決方案，可協助組織了解面向網際網路的應用系統、API，當中可能會被駭客鎖定的弱點。</p> <p>Tenable將會結合旗下的弱點管理解決方案，以及Bit Discovery的EASM技術，讓客戶能更為擁有全面地了解組織內外環境所曝露的資安風險，進而及早進行處置。Tenable將以4,450萬美元買下Bit Discovery，並預計於今年第二季完成併購作業。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/press-office/press-releases/2022/04/sophos-acquires-socos"><span style="color: rgb(0, 0, 0);">資安業者Sophos併購新創公司SOC.OS</span></a></strong></h3> <p>資安業者Sophos於4月22日宣布，該公司將買下英國新創公司SOC.OS，此公司以雲端服務的型式，提供安全警示調查及自動化解析服務。Sophos在完成併購之後，將借助SOC.OS的技術，為不同規模的組織提供威脅回應代管（Managed Threat Response，MTR）服務、全面偵測與回應（XDR）解決方案，並強化其自動適應的網路安全生態系統（Adaptive Cybersecurity Ecosystem），讓Sophos的MTR、XDR產品能無縫與客戶現有的IT系統進行整合。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=1Kyr-wyPyuU"><span style="color: rgb(0, 0, 0);">因應資安成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TW-CISO-alliance_20220428-1713-20135.jpg" style="width: 300px; float: right;" />「臺灣資安主管聯盟（簡稱臺灣CISO聯盟）」今天宣布正式成立，首任聯盟會長由華碩集團資安長金慶柏擔任。這個聯盟由國內14家企業所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，希望日後能招募更多會員加入，提升臺灣產業資安韌性。</p> <p>金慶柏指出，臺灣資安主管聯盟將聚焦於4大目標：第一，資安主管核心能力養成；第二，專業資安人才培訓整備；第三，資安產業服務能量鏈結；第四，資安治理合規制度建立。同時，該聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150654"><span style="color: rgb(0, 0, 0);">美國懸賞千萬美元追捕Sandworm駭客</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/reward-10m.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/reward-10m.jpg" style="width: 300px; float: right;" /></a>針對近期大肆發動網路攻擊的俄羅斯駭客組織Sandworm，美國國務院於4月27日祭出正義懸賞專案（Rewards for Justice，RFJ），目標是該組織旗下的6名駭客。起因疑似是這些駭客屢屢替俄羅斯政府攻擊美國的關鍵基礎設施（CI）。美國祭出1,000萬美元高額獎金，希望線民能提供相關情報，讓他們能早日將這些駭客逮捕到案。</p> </div></div></div>
2022/5/1 01:11作者周峻佑https://www.ithome.com.tw/news/150703
如何替加密貨幣訂出價值
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-shu_zhai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">三采文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果代幣可以索取標的資產（例如一盎司黃金），這些代幣的價格應該或多或少會跟著標的資產走。但是加密貨幣並非索取資產的代幣，背後也沒有支撐的機構。有沒有一種方法，能計算出加密貨幣的合理價值呢？</p> <p>我們可以提出三個獨立問題：</p> <p>一、加密資產的當前價格為何？</p> <p>二、是什麼因素影響價格變化？</p> <p>三、價格應該是多少？</p> <p>＠小標：加密資產的當前價格為何？</p> <p>資產的當前價格取決於市場。加密資產會在一至多間交易所交易，每間交易所的價格和流動性可能不一樣。公告交易量最大的幾間交易所是判斷價格的好地方，因為這些交易所的交易最熱絡，流動性應該最高。在其他交易所，價格可能較高，也可能較低。</p> <p>有許多網站會提供代幣當前價格和掛牌交易所的資料，coinmar-ketcap.com 是其中一個網站。進入coinmarketcap.com 以後，先點選代幣名稱，再點選「市場」，你會看到代幣在哪些地方交易，以及交易所公告的交易量。注意，有些交易所曾經被抓到用假造的交易量吸引生意上門，我不確定這種做法是否已經絕跡……要小心！</p> <p>＠小標：是什麼因素影響價格變化？</p> <p>加密貨幣與代幣價格像其他金融資產一樣會波動，因為買方和賣方的交易決定會受許多因素影響：</p> <p>一、心情──交易者對資產的感覺。</p> <p>二、論壇和社群媒體網站上的流言和聊天內容。</p> <p>三、技術進展──例如：區塊鏈成功執行技術升級，進而提升實用性，或是ICO達成藍圖上的進度。</p> <p>四、技術失敗──例如：交易速度趨緩，或是區塊鏈運作過程出現漏洞。</p> <p>五、名人加持──例如：芭黎絲．希爾頓（Paris Hilton）在二○一七年九月替LydianCoin 背書，或是約翰．麥克菲（John Mcafee）偶爾會在推特上宣傳加密貨幣。</p> <p>六、創辦人被逮捕──例如：Centra 代幣創辦人在美國被逮捕，代幣價格下跌六成。</p> <p>七、精心策劃的拉高倒貨手法──一群人先說好一起買進一種貨幣拉抬價格，說服別人跳進來用較高的價格入手，接著將貨幣賣給沒有警覺心的新買家。</p> <p>八、被持有特定代幣的大戶操弄。</p> <p>＠小標：價格應該是多少？</p> <p>有一些人嘗試建立模型，希望能藉此算出加密貨幣和代幣的合理價格。其中有一種常見（但有瑕疵）的模型是用「黃金有多少金錢價值流入比特幣」，來估算比特幣的價值：「若黃金（或其他類資產）的金錢價值有x% 流入比特幣，則一顆比特幣的價值等於$y。」</p> <p>論點如下：在市面上流通的黃金總金額大約為八兆美元。若一小部分的黃金持有者，假設有百分之五（其實○到百分之百，任何數字都行），出售黃金換美元，就會釋出大量金錢（在這裡是四千億美元）。若這些美元被用來購買比特幣，在市面流通的比特幣總金額――通常稱為市值（英文為market capitalisation 或market cap）──會同樣增加四千億美元。我們知道，在市面流通的比特幣約一千七百萬顆，算下來每一顆比特幣的價值增加兩萬三千五百美元（四千億除以一千七百萬顆）。</p> <p>但邏輯錯了，金融市場完全不是那樣運作。「流入比特幣的金錢」不會直接轉換成比特幣的「市值」，理由很簡單：你購買一萬美元的比特幣，就會有別人賣出一萬美元的比特幣，因此「流入」金額正好等於「流出」金額（為了簡單化，這裡並不考慮交易手續費）。</p> <p>你購入比特幣時唯一發生的事，就是比特幣的所有權易主和某些現金的所有權易主。你花多少錢向別人買比特幣和比特幣的市值，兩者之間不具數學關聯性。</p> <p>要替ICO代幣訂價，應該比較容易吧。這類代幣將來可交換特定商品或服務，所以只要釐清商品或服務的價值，應該就能替代幣訂出價格了，對吧？</p> <p>糟糕，事情永遠沒那麼簡單。發行代幣的ICO計畫會希望代幣價格上漲，投資人也抱持這樣的心理。所以贖回方案永遠描述得很籠統，方案裡不會把數量講明。舉個例子，他們會說：「你將來可以用代幣存取雲端儲存服務。」不會說：「一枚代幣可讓你使用一百億位元組（10 GB）的雲端儲存空間一年，時間從二○二○年起算。」</p> <p>＠小標：功能型代幣的價格由誰掌控？</p> <p>關於這個問題，我們似乎不需多想，就能給出「市場」或「買賣雙方」的答案，但既然發行人可以動點手腳去影響代幣價值，那就表示，這麼回答無法刻劃事情的全貌。</p> <p>代幣可購買的商品或服務數量在ICO初期不會講明，因此代幣價格會受到一般的加密貨幣市場力量影響，而且此時我們無法對合理市場價格進行基本分析（缺少「雲端儲存空間」的容量和使用時間，你無法訂價）。有些ICO計畫會在這段期間對自家代幣的價格施加影響，透過購入代幣的方式在下跌時拉抬價格。有些ICO計畫甚至會在白皮書提及這項策略。ICO計畫通常會保留一定數量的代幣，以便在價格拉抬得太誇張時出售一些。基本上，他們就像自家代幣的中央銀行，會出手操控代幣價格。</p> <p>之後，來到某個時間點，計畫必須決定：要用法幣或代幣訂價？是一百億位元組（10 GB）的雲端儲存空間使用一年支付十美元，可依市場匯率，透過代幣支付？還是一百億位元組（10 GB）的雲端儲存空間，一年支付一枚代幣？</p> <p>讓我們來分析一下這兩種選項。</p> <p>＠粗體：以法幣訂價，代幣支付</p> <p>採用這種算法，你的第一個念頭應該是代幣價格無關緊要。客戶持有的是法幣，當他們要使用服務時，會買進代幣並立刻兌換服務。由於過程可以自動進行，所以客戶不會知道背後還有這道程序。</p> <p>抱持這樣的論點，就好比比特幣匯款公司主張，公司的業務與比特幣價格並無關聯。</p> <p>如果是這樣，代幣是好的投資工具嗎？或許是。代幣持有者向發行人兌換商品或服務，只要計畫發起者沒有重新發行代幣，也沒有用代幣兌換法幣，去支付員工薪資，那麼在外流通的代幣就會愈來愈少。數量減少可能會使代幣稀有，拉高代幣價格。若計畫的財務體質良好（不以轉售贖回代幣來償付成本），代幣會隨時間的推移愈來愈稀有，有機會進一步推升代幣價格。或許是這樣，但財務體質差勁的計畫必須不斷轉售代幣來彌補成本。所以實際上，公司的財務健康會對代幣的價格產生壓力。</p> <p>＠粗體：以代幣訂價，代幣支付</p> <p>這就太棒了：如果公司以代幣來替商品或服務訂價，公司就能掌控代幣的價值，就像航空公司掌控自家航班的飛航里程價值。怎麼說呢？除了獨一無二的產品或服務，客戶都會對自己願意為產品或服務付出多少錢，或多或少有一些概念。想像一下，有一個競爭者以十美元販售類似產品。如果計畫發起者希望代幣有十美元價值，就會將產品訂價設為一枚代幣；如果他們希望代幣有二十美元的價值，就會將產品訂價設為零點五枚代幣！競爭者的價格可幫助發起者為代幣訂立價格，只要產品之間或多或少可以替代，計畫發起者就能隨意掌控自家代幣的價值。不過他們應該要了解，這麼做會影響計畫的負債。在外流通的代幣是計畫的負債，產品價格從一枚代幣變成零點五枚代幣，現有代幣持有者可兌換的產品數量就會翻倍。</p> <p>當公司決定用代幣替產品訂價，此時代幣是一種好的投資工具嗎？可能是吧。在計畫創辦人無法快速退場的前提下，由於創辦人手中也持有代幣，所以他們有讓代幣價格保持在高檔和相對穩定位階的金錢誘因。</p> <p>可知用代幣來替服務訂價，計畫發起者更能掌控代幣的價格。我預估，只要計畫沒有先因為違反證券法規而被關閉，我們就會看見，逐漸邁向成熟的計畫開始用代幣來訂價。安舒曼．梅塔（Anshuman Mehta）曾經嘗試在自己的部落格上，替虛構的功能性代幣訂價，他的結論是：「在法幣的世界裡，代幣的市場或代幣交易價格，與代幣的用途和流通速度完全脫鉤。」（本文節錄自《加密貨幣聖經》，三采文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1075-%E6%9B%B8%E6%91%98-350.png" style="width: 308px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三采文化</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>加密貨幣聖經：數位貨幣、數位資產、加密交易與區塊鏈的過去與未來</strong></p> <p>安東尼．路易斯（Antony Lewis）／著；趙盛慈／譯</p> <p>三采文化出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>東尼．路易斯（Antony Lewis）</strong></p> <p>二○○七年在巴克萊資本公司擔任即期外匯交易員，隨後分別於瑞士信貸倫敦分行和新加坡分行擔任技術專家。二○一三年，加入一間名為itBit的小型新創公司。二○一五年，離開itBit為客戶提供私人顧問服務，並且撰寫文章、經營工作坊，向好奇的專業人士解釋這項新技術。二○一六年，加入R3組織擔任研究總監。</p> </div></div></div>
2022/4/30 03:12未署名https://www.ithome.com.tw/article/150702
加速運算可望成為企業IT必備新技術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">為了因應各種新興的技術應用需求，長期以來，硬體運算平臺肩負著如何提供高效能執行環境的重擔，因此，往往會透過中央處理器搭配輔助運算晶片式，或是由中央處理器本身新增多種指令集，來擴充本身的運算能力，如今隨著各種加速運算晶片的蓬勃發展，使得透過硬體來擴充運算加速能力的方法越來越多元，簡而言之，一種是透過升級新款功能更強大的處理器，一種是搭配各種專屬加速運算晶片。</p> <p dir="ltr">以中央處理器（CPU）而言，在32位元x86運算崛起之初，曾出現搭配浮點運算器（FPU）的方式，例如，在80386處理器時代，用戶若需要大量浮點運算，需選購同時搭配80387晶片的電腦，到了80486，處理器已內建浮點運算器。在英特爾Pentium與AMD Athlon等處理器推出之後，開始內建MMX、3DNow!等SIMD指令集，之後兩大廠商在其處理器陸續加入多種指令集延伸，像是：SSE、SSE2、SSE3、SSE4，以及近期我們較為熟悉的AVX、AVX2、AVX512，強化多媒體資訊與向量處理能力。</p> <p dir="ltr">而在伺服器與嵌入式設備領域的處理器當中，隨著企業與雲端服務對於虛擬化技術應用需求大增，x86處理器開始內建相關的指令集，例如英特爾VT-X系列、AMD-V；針對熱門的AI深度學習運算負載，英特爾也從第二代Xeon Scalable處理器起，開始內建DL Boost指令集；在安全性的處理上，英特爾提供AES-NI、SGX等指令集與技術架構，並且可透過晶片組的搭配，支援TXT保護與QAT卸載等功能的執行。</p> <p dir="ltr">除了中央處理器的不斷進化，繪圖處理器（GPU）相關的軟硬體技術與應用形式，這些年來也屢屢突破既有藩籬，開闢出一片新的天地。在這部分取得最多進展的廠商，是以GPU起家的Nvidia，從持續支援影視電玩的視覺特效、各種專業平面圖像與多媒體內容的處理，到積極發展豐富的企業GPU虛擬化應用，以至近年來乘勢而起，談起大數據、機器學習、雲端服務、自動駕駛車輛、高效能運算等舉世關注的IT技術浪潮，甚至是今年最夯的Metaverse，所有使用者都能體驗到GPU的威力，理解這種運算技術正以不同形式的實例展現價值，並在產、官、學等各種領域，看到GPU在視覺運算、平行處理等應用發揮特有的競爭優勢。</p> <p dir="ltr">而這樣的成果，或許也反映在該公司每年固定舉行的GPU技術大會，例如，2021年春、秋兩場報名參加人數都達數十萬之譜，今年3月底舉行的GTC春季大會，距離現在才短短一個月，執行長黃仁勳演講YouTube影片觀看次數卻已超過1千萬，其受關注程度與影響力可見一斑。</p> <p dir="ltr">而在成熟發展的CPU，以及廣泛用於越來越多領域的GPU，資料處理器（DPU）可望成為下一個關鍵運算技術。然而，DPU目前並沒有很明確的定義，目前可涵蓋網路、儲存，以及特定類型工作負載的卸載／加速。</p> <p dir="ltr">DPU這幾年躍上檯面，主要是因為特定廠商積極推動──Nvidia在2020年上半完成併購Mellanox，下半年開始主推DPU，經過一年半發展，持續拓展應用，並以資料中心單晶片架構（Data Center-on-a-Chip Architecture，DOCA）為名，推出軟體開發套件，也陸續和伺服器虛擬化平臺軟體廠商VMware，以及容器即服務平臺廠商Red Hat，展開合作。</p> <p dir="ltr">而在DPU市場生態系發展上，Nvidia將旗下SmartNIC與DPU產品納入認證系統條件，他們與VMware、Red Hat推動的AI Enterprise整合軟體平臺，也將這個認證系統納入必備條件，因此，這無形中也等於增加企業採用DPU的新動能。</p> <p dir="ltr">除了借助企業建置AI環境而順勢拓展DPU的市場，另一股力量則是來自於系統軟體平臺的大力支持，目前，以VMware在2020年9月推動的Project Monterey最受矚目，因為這當中參與的硬體晶片廠商，不僅是Nvidia，還有兩家公司投入發展，一是英特爾，他們在伺服器網路介面的市占最大，並握有FPGA與ASIC加速、可程式化網路交換器等技術，另一是後起之秀Pensando，他們主打SmartNIC與分散式服務介面卡（DSC）的解決方案。</p> <p dir="ltr">第三股DPU市場動能，則是伺服器處理器廠商的布局。今年2月AMD完成全球第一大FPGA廠商Xilinx的併購，無疑是劍指DPU；再加上英特爾去年宣示推出基礎架構處理器（IPU）產品，並揭露代號為Mount Evans的ASIC架構IPU技術規格，可望再度掀起新一波話題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%8A%A0%E9%80%9F%E9%81%8B%E7%AE%97">加速運算</a></div><div class="field-item odd"><a href="/tags/dpu">DPU</a></div><div class="field-item even"><a href="/tags/amd">AMD</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E8%8B%B1%E7%89%B9%E7%88%BE">英特爾</a></div><div class="field-item odd"><a href="/tags/pensando">Pensando</a></div></div></div>
2022/4/30 01:50作者李宗翰https://www.ithome.com.tw/voice/150679
【資安日報】2022年4月29日，駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，有一起駭客發動大規模DDoS攻擊的事故相當值得留意。因為，這起事故駭客特別使用了HTTPS流量出手，而可能讓相關業者可能難以察覺是否挾帶惡意內容。有研究人員懷疑，這起攻擊行動與惡名昭彰的殭屍網路Emotet有關。</p> <p>日前知名NPM開發者遭到冒用上架惡意套件的事故，已發生數起。這樣的現象很有可能與最近資安業者公布NPM市集的一項弱點有關，因為，這項弱點可讓駭客將惡意套件嫁禍給知名開發者，進而引誘用戶上當。</p> <p>勒索軟體駭客組織Conti的動態，近期也有研究人員揭露新的發現，Conti很可能重組名為Black Besta的駭客組織，並改用新的惡意軟體Bumblebee來投放勒索軟體。後續該組織的發展將有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/"><span style="color: rgb(0, 0, 0);">駭客發動大規模的HTTPS加密流量DDoS攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emotet-HTTPS-1109-2.png" style="width: 300px; float: right;" /></a>駭客發動分散式阻斷服務（DDoS）攻擊的手法，從原本企圖消耗受害網站的頻寬，現在改以發送大量垃圾請求，進而耗盡伺服器的處理器和記憶體等運算來癱瘓網站的運作。雲端服務業者Cloudflare於4月27日指出，他們在本月初緩解大規模的HTTPS流量攻擊，駭客從全世界112個國家、約6千個殭屍網路機器人（Bot），發動每秒1,530萬次請求（RPS）的DDoS攻擊行動，目標是加密貨幣業者。</p> <p>值得留意的是，有別於過往駭客普遍使用未加密的HTTP流量，這次駭客以加密的HTTPS流量發動攻擊，所需要資源較未加密流量要來得多，但這麼做的目的為何？Cloudflare沒有進一步說明，<a href="https://therecord.media/cloudflare-detects-one-of-the-largest-ddos-attacks-on-record-targeting-crypto-platform/">而資安業者Recorded Future懷疑，這起DDoS攻擊可能與殭屍網路Emotet有關</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-black-basta-ransomware-springs-into-action-with-a-dozen-breaches/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta很有可能是Conti另起爐灶</span></a></strong></h3> <p>名為Black Basta的勒索軟體駭客組織在4月開始發動攻擊，至少已有12個組織遭到入侵，包含德國風力發電維運業者德維特（Deutsche Windtechnik）、美國牙醫協會（ADA）疑似都是受害者，但研究人員發現，Black Basta很有可能就是原本的Conti。</p> <p>根據資安研究團隊MalwareHunterTeam的調查，他們發現Black Basta、Conti的勒索軟體有所不同，但兩個組織有許多共通之處，例如，洩露受害者資料的網站、付贖金的網站極為相似，以及協助受害者向駭客付款的「客服」說話方式、處理手法也幾乎一樣，因此研究人員推測，Black Basta很有可能就是Conti駭客因日前內部資料外洩後，更換名稱再重新開張，以逃避司法單位的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/bumblebee-is-still-transforming"><span style="color: rgb(0, 0, 0);">研究人員揭露Conti新的惡意軟體Bumblebee</span></a></strong></h3> <p>勒索軟體駭客組織Conti在吸收殭屍網路TrickBot的成員後，持續使用TrickBot開發的惡意軟體載入器BazarLoader，但最近兩個月Conti似乎開始改用新的惡意軟體。資安業者Proofpoint指出，他們在今年3月開始，發現至少有TA578、TA579等3個駭客組織，使用惡意軟體Bumblebee發動攻擊，進而在受害組織投放勒索軟體Conti或Diavol。研究人員提及，這次的攻擊行動特徵，與Google自2021年9月開始調查的駭客組織Exotic Lily，後期的手法雷同，因為，Exotic Lily在今年3月開始也使用了Bumblebee。</p> <p>研究人員看到駭客利用Bumblebee投放Cobalt Strike、Meterpreter、Sliver等滲透測試工具，以及Shell Code，他們對此惡意軟體進一步分析後發現，雖然Bumblebee處於開發階段，但駭客已經運用了相當複雜的反組譯手法，來避免被研究人員察覺異狀。而從Bumblebee內有部分TrickBot程式碼，並在近期BazarLoader幾乎沒有再被使用的跡象，研究人員推測，很可能就是相關駭客已經幾乎從BazarLoader轉換到了Bumblebee。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/"><span style="color: rgb(0, 0, 0);">從烏克蘭戰爭開戰至今，俄羅斯駭客已攻擊烏克蘭237次</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，俄羅斯駭客對於烏克蘭的網路攻擊也從未間斷，但研究人員發現，駭客攻擊不只相當頻繁，還與武裝攻擊行動互相呼應。微軟近日發布對於俄羅斯駭客對烏克蘭發動攻擊的調查結果，指出在俄烏開戰以來，至少有6個俄羅斯駭客集團對烏克蘭出手，已發動逾237次攻擊行動，當中有約40次屬於破壞性攻擊，且多半鎖定烏克蘭政府或是關鍵基礎設施（CI）。</p> <p>研究人員發現，許多網路攻擊與武裝行動呼應，例如，駭客於3月1日攻擊烏克蘭電視臺，該國軍隊隨後就將飛彈瞄準電視臺；再者，俄羅斯軍隊攻擊馬里烏波爾市（Mariupol）時，駭客也對於當地居民發動釣魚郵件攻擊，散布烏克蘭政府拋棄民眾的消息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ukraine-targeted-by-ddos-attacks-from-compromised-wordpress-sites/"><span style="color: rgb(0, 0, 0);">WordPress網站再度成為駭客攻擊烏克蘭的工具，被用於感染用戶電腦發動DDoS攻擊</span></a></strong></h3> <p>駭客曾於3月底，在許多WordPress網站植入惡意程式碼，感染用戶的電腦並向烏克蘭發動攻擊，但濫用WordPress網站的類似攻擊行動再度出現。烏克蘭電腦緊急應變小組（CERT-UA）指出，最近有駭客組織UAC-0101鎖定WordPress網站進行破壞，植入名為BrownFlood的惡意JavaScript程式碼，使得瀏覽網站的用戶電腦成為駭客的攻擊工具，對烏克蘭發動DDoS攻擊。CERT-UA指出，至少有36個網站被用於攻擊行動，該單位也提供網站檢測工具，讓IT人員能檢查網站是否被植入惡意程式碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/npm-package-planting"><span style="color: rgb(0, 0, 0);">NPM弱點可讓駭客為套件任意新增維護者，嫁禍他人</span></a></strong></h3> <p>套件管理平臺允許開發者在不經他人的同意下，將別人列為套件的維護者，使得這些人有可能在不知情的情況下，成為惡意專案的「經營者」。資安業者Aqua Security揭露NPM套件市集中，名為Package Planting的弱點，這項漏洞的問題在於，NPM允許原本的套件開發者，擅自增列其他的開發人員為套件的維護者，一旦駭客利用這樣的機制缺陷，就可以先上架惡意NPM套件，然後將知名的套件開發人員並列為維護者，自己再退出。</p> <p>如此一來，該惡意套件看起來就像是由上述被加入的開發者所推出，但他們毫不知情，而有可能在這樣的情況下，讓用戶認為是由不知情的開發者所為，影響開發社群之間的信賴。NPM獲報後已著手修補上述的平臺缺陷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cysrc.com/blog/virus-total-blog/"><span style="color: rgb(0, 0, 0);">惡意軟體檢測平臺VirusTotal出現RCE漏洞</span></a></strong></h3> <p>提供檢測惡意軟體的系統一旦出現漏洞，攻擊者很有可能用來操控掃描結果。資安業者Cysource指出，他們於去年發現知名的惡意軟體檢測平臺VirusTotal裡，存在漏洞CVE-2021-22204，起因與該系統採用的ExifTool元件，處理DjVu檔案不當有關，CVSS風險層級為7.8分。一旦駭客利用這項漏洞，就有可能藉此發動RCE攻擊，進而取得該平臺掃描的結果。Google獲報後於今年1月13日予以修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/log4shell-4-months-later/"><span style="color: rgb(0, 0, 0);">仍有大量用戶使用存在Log4Shell漏洞的Log4j</span></a></strong></h3> <p>去年12月公布的Java日誌框架Log4j重大漏洞Log4Shell，事隔4個月後是否都已完成修補？有資安業者透露現況。資安業者Rezilion近日提出警告，根據多家資安業者的統計資料，仍有不少環境使用存在上述漏洞的Log4j。研究人員指出，根據Sonatype的統計，截至4月底仍有近4成使用者下載存在相關漏洞的Log4j；對於實際利用Log4j的應用系統面臨漏洞風險的情況，研究人員利用物聯網搜尋引擎Shodan，找到超過9萬個疑似存在相關漏洞的應用系統，以及6.8萬臺Minecraft伺服器。</p> <p>而相依Log4j的開源軟體尚未修補的情況似乎更為嚴重，根據Google的Open Source Insights服務，依賴該軟體的17,840個開源專案，只有7,140個採用已修補漏洞的Log4j，換言之，仍有6成專案曝露於Log4Shell的危險之中。研究人員表示，光是Apache基金會旗下的軟體專案，就出現修補該漏洞相當緩慢的現象，例如，Storm、SkyWalking OAP都是在今年4月才完成修補，而Solr、Ozone目前仍使用存在漏洞的Log4j 2.16版。研究人員認為，前述Log4j存在於許多軟體的情況，導致IT人員難以盤點，甚至組織很可能不清楚那些系統有使用這套日誌系統，而沒有打算採取相關緩解措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.tenable.com/press-releases/Tenable-Agrees-To-Acquire-Bit-Discovery"><span style="color: rgb(0, 0, 0);">漏洞管理解決方案業者Tenable買下外部攻擊面管理廠商Bit Discovery</span></a></strong></h3> <p>提供漏洞管理解決方案的資安業者Tenable於4月26日宣布，他們買下了名為Bit Discovery的外部攻擊面管理（External Attack Surface Management，EASM）廠商。Bit Discovery所提供的EASM解決方案，可協助組織了解面向網際網路的應用系統、API，當中可能會被駭客鎖定的弱點。</p> <p>Tenable將會結合旗下的弱點管理解決方案，以及Bit Discovery的EASM技術，讓客戶能更為擁有全面地了解組織內外環境所曝露的資安風險，進而及早進行處置。Tenable將以4,450萬美元買下Bit Discovery，並預計於今年第二季完成併購作業。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150654"><span style="color: rgb(0, 0, 0);">美國懸賞千萬美元追捕Sandworm駭客</span></a></strong></h3> <p>針對近期大肆發動網路攻擊的俄羅斯駭客組織Sandworm，美國國務院於4月27日祭出正義懸賞專案（Rewards for Justice，RFJ），目標是該組織旗下的6名駭客。起因疑似是這些駭客屢屢替俄羅斯政府攻擊美國的關鍵基礎設施（CI）。美國祭出1,000萬美元高額獎金，希望線民能提供相關情報，讓他們能早日將這些駭客逮捕到案。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/29 18:15作者周峻佑https://www.ithome.com.tw/news/150695
馬斯克希望推特私訊加入全程加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）推動推特（Twitter）收購案進行同時，仍不忘提出新功能。<a href="https://twitter.com/elonmusk/status/1519469891455234048" target="_blank">昨（28）日他表示</a>，推特的私訊（direct message）功能應該要提供全程加密（end to end encryption）。</p> <p class="rtecenter"><a href="http://twitter.com/elonmusk/status/1519469891455234048" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-twitter%20e2ee%20musk.png" style="width: 569px;" /></a></p> <p>他說，推特的私訊應該要像Signal提供全程加密，以免任何人刺探或駭入其訊息。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">馬斯克本周一宣布</a>計畫以440億美元收購推特，當時他強調著眼在言論自由，以便即使批評他最猛烈的人都能在這個平臺上暢所欲言。馬斯克承諾確保推特作為辯論重要議題的數位論壇角色，將以新功能讓推特變得更好、開源推特演算法、打擊垃圾訊息機器人、並驗證所有人。</p> <p>相較一些主要傳訊軟體包括WhatsApp、Signal及Telegram等都提供全程加密，推特的安全性顯得較弱。馬斯克自己也成為<a href="https://www.ithome.com.tw/news/138889" target="_blank">2020年推特安全事件</a>的受害者。在該事件中，包括馬斯克、拜登、比爾蓋茲、及貝佐斯等名人的推特帳號被駭入，向粉絲發送加密貨幣詐騙訊息。<a href="https://spectrum.ieee.org/twitters-direct-messages-is-a-bigger-headache-than-the-bitcoin-scam" target="_blank">當時媒體指出</a>推特私訊未全程加密的安全問題，比加密貨幣詐騙更為嚴重。</p> <p>這也是馬斯克倡議的推特最新功能。他之前曾說推特發文應加入編輯功能，<a href="https://www.ithome.com.tw/news/150273" target="_blank">還對自己的粉絲做了民調</a>。此時推特內部已經在測試這項功能。</p> <p>馬斯克收購消息公布後引發各種臆測，包括<a href="https://www.cnbc.com/2022/04/26/tesla-stock-falls-more-than-9percent-after-musks-twitter-deal.html" target="_blank">本周特斯拉股價大跌</a>，可能影響馬斯克收購推特的資金實力，以及<a href="https://www.theverge.com/2022/4/28/23047376/elon-musk-twitter-job-cuts" target="_blank">報導指出</a>雖然目前推特尚未裁員，但他公司獲利計畫<a href="https://www.theverge.com/2022/4/28/23047376/elon-musk-twitter-job-cuts" target="_blank">仍然列入裁員</a>，也<a href="https://www.reuters.com/breakingviews/elon-musk-probably-wont-buy-twitter-2022-04-27/" target="_blank">有消息</a>指出，來自股價下跌及歐盟、美國的政治壓力，可能使馬斯克撤回收購決定。但如果收購案取消，<a href="https://techcrunch.com/2022/04/26/elon-musks-twitter-deal-includes-a-1-billion-termination-fee-on-both-sides/" target="_blank">按照協議</a>馬斯克將支付推特10億美元作為「分手費」。</p> </div></div></div>
2022/4/29 16:24作者林妍溱https://www.ithome.com.tw/news/150692
Snap推出迷你空拍機Pixy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打造影像分享平臺Snapchat的Snap，自2016年發表首款可錄影及分享的<a href="https://www.ithome.com.tw/news/108659" target="_blank">太陽眼鏡Spectacles</a>之後，再於本周推出該公司的第二款硬體裝置：<a href="https://newsroom.snap.com/sps2022close" target="_blank">迷你空拍機Pixy</a>，Pixy即日起開始於美國及法國銷售，售價為229.99美元。</p> <p>Pixy是個只比手掌大一些的方型空拍機，內建4種飛行模式，可在空中漂浮、繞著使用者飛行，或者是跟隨著使用者的腳步，只要一啟動它就會自動飛行，無需任何控制器或設定，伸出手掌它便會自動降落。</p> <p>與Spectacles一樣，Pixy也是Snap為了Snapchat平臺所設計的簡便錄影及分享裝置，每一次的充電可執行5~8次的飛行行動，拍完後可開啟Snapchat程式，以無線方式將影片傳送至Snapchat Memories，再藉由Snapchat所提供的工具進行編輯，包括加入聲音或特效，再透過Snapchat分享。</p> <p>目前Pixy僅開放美國及法國用戶購買，Snap亦提醒使用者要注意當地的空拍機使用限制。</p> </div></div></div>
2022/4/29 15:29作者陳曉莉https://www.ithome.com.tw/news/150688
微軟Edge瀏覽器新增內建VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少用戶購買VPN或使用第三方瀏覽器外掛程式來確保上網安全。現在多了一項選擇。<a href="https://support.microsoft.com/en-us/topic/use-the-microsoft-edge-secure-network-to-protect-your-browsing-885472e2-7847-4d89-befb-c80d3dda6318" target="_blank">微軟本周宣布透過和Cloudflare合作</a>，為Edge瀏覽器新增VPN功能。</p> <p>微軟表示，Microsoft Edge Secure Network可確保經由Edge送出的資料經由加密通道傳送，即使用戶造訪的是使用HTTP協定、較不安全的網站。</p> <p>啟用這項服務後，上網活動及網頁資訊都能獲得保護，可防止ISP或駭客得知用戶存取哪些網站、用戶所在地點或IP位址，或是在公共Wi-Fi網路竊聽透過網頁傳送的資訊，像是帳號密碼等。用戶以Microsoft 帳號登入Edge後，每月可免費使用1GB的資料傳輸量。</p> <p>這項服務是結合Cloudflare基礎架構，而為提供這項服務，後者將扮演微軟的資料委外處理者（subprocessor）蒐集一小部份關於HTTP/HTTPS呼叫的診斷和支援資訊，以觀察來源、目的地IP、傳輸埠、時間戳記及Edge提供的存取令牌。Cloudflare會在每25小時後永久刪除這些資料。</p> <p>在與微軟的合作下，Cloudflare不會將Edge用戶資料轉給、授權或銷售給任何人或組織，也不會以用戶上網紀錄資料，或整合Cloudflare及其他單位資料來建立使用者資料檔（profile）。</p> <p>要使用Microsoft Edge Secure Network，用戶必須具備Microsoft帳號並登入，微軟會蒐集每月Edge Secure Network服務頻寬用量，並在限額用罄前發出提醒。</p> <p>其他瀏覽器也都加入VPN功能。目前Chrome已經內建支援使用L2TP over IPsec 的VPN服務。Mozilla也和ProtonVPN合作，<a href="https://www.ithome.com.tw/news/138337" target="_blank">Firefox用戶提供</a>付費VPN服務，每月4.99美元支援5臺裝置。蘋果也在macOS Monterey版及iOS/iPadOS 15開始測試類似VPN的服務，名為私密轉送（Private Relay），預計在今年秋天正式釋出。</p> </div></div></div>
2022/4/29 15:40作者林妍溱https://www.ithome.com.tw/news/150689
Amazon重新取得美國國安局價值100億美元的WildandStormy合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nextgov.com/emerging-tech/2022/04/nsa-re-awards-secret-10-billion-contract-amazon/366184/" target="_blank">根據《Nextgov》的報導</a>，Amazon Web Services（AWS）已於最近重新取得美國國安局（NSA）價值100億美元的WildandStormy合約了。</p> <p>NSA原本在去年7月就把WildandStormy採購合約交給了AWS，由AWS協助該機構將內容現代化，<a href="https://www.ithome.com.tw/news/147591" target="_blank">但10月微軟即向美國政府審計辦公室（GAO）提出抗議</a>，GAO則要求NSA必須重新評估該合約。</p> <p>由於WildandStormy主要支援NSA機密與非機密的運算需求，因此不管是NSA或AWS都未透露合約的詳細內容。</p> <p>NSA向《Nextgov》證實WildandStormy合約已於近日回到AWS手上，將藉由AWS的雲端運算服務來支援NSA的任務，目的在於實現NSA所需的處理與分析需求。</p> </div></div></div>
2022/4/29 15:51作者陳曉莉https://www.ithome.com.tw/news/150690
Twitter因出售MoPub而獲利逾5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來因被特斯拉（Tesla）及SpaceX創辦人馬斯克（Elon Musk）收購而頻頻躍上新聞版面的Twitter，<a href="https://s22.q4cdn.com/826641620/files/doc_financials/2022/q1/Final-Q1%e2%80%9922-earnings-release.pdf" target="_blank">周四（4/28）公布了今年第一季財報</a>，該季Twitter創下12億美元的營收，比去年同期成長16%，本業虧損了1.28億美元，但因<a href="https://s22.q4cdn.com/826641620/files/doc_news/2021/12/01-03-22_TWTR_Announcement.pdf" target="_blank">在今年1月以10.5億美元出售了廣告平臺MoPub</a>，使得該季的淨收入達到5.1億美元。</p> <p>在Twitter的12億美元營收中，有11.1億美元來自於廣告收入，另有9,400萬美元來自於訂閱及其它收入。</p> <p>在全球社交網站的排行榜上，Twitter並未擠進前十名，<a href="https://www.statista.com/statistics/272014/global-social-networks-ranked-by-number-of-users/" target="_blank">根據Statista所公布的排行榜</a>，以用戶數來計算，Twitter排在第十五名，落後臉書、YouTube、WhatsApp、Instagram、WeChat、Tiktok、Messenger、抖音、QQ、微博、快手、Snapchat、Telegram與Pinterest。</p> <p>不過，Twitter卻是馬斯克最常發聲的平臺，也曾受到美國前任總統川普（Donald Trump）的青睞。</p> <p>財報顯示，Twitter今年第一季的每日用戶數為2.29億人，比去年同期增加15.9%，當中有3,960萬為美國用戶，1.89億為國際用戶。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">由於Twitter董事會已於日前接受馬斯克的收購提議</a>，以每股54.2美元、總價440億美元的價格出售，因此在此次的財報中，Twitter已停止提供下一季的業績指引，並表示此一收購案預計於今年完成，之後Twitter將下市成為私人公司。</p> </div></div></div>
2022/4/29 16:09作者陳曉莉https://www.ithome.com.tw/news/150691
Amazon首季財報出現38億美元的虧損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazoncom-announces-first-quarter-results-1" target="_blank">Amazon周四（4/28）公布今年第一季財報</a>，該季Amazon創下1,164億美元的營收，成長7%，然而，Amazon罕見地在第一季出現38億美元的虧損，原因包括電子商務並未獲利，再加上對電動車業者Rivian Automotive的投資虧損了76億美元。</p> <p>今年第一季Amazon北美電子商務的營收為692億美元，成長7.6%，但虧損15.7億美元；國際電子商務營收為288億美元，下滑6%，也虧損了12.8億美元；AWS服務該季創下184億美元的營收，成長37%，獲利65.2億美元。</p> <p>除了電子商務出現虧損之外，Amazon對Rivian的投資也讓該公司虧損了76億美元，導致Amazon該季虧損38億美元。</p> <p>事實上，去年11月才上市的Rivian，也曾讓Amazon於<a href="https://www.ithome.com.tw/news/149193" target="_blank">去年第四季增加了118億美元的非營業利潤</a>。</p> <p>Amazon的財報讓該公司當天的盤後大跌了9.02%，股價為2,631美元。</p> </div></div></div>
2022/4/29 15:11作者陳曉莉https://www.ithome.com.tw/news/150687
Cloudflare緩解歷來最大的HTTPS DDoS攻擊，每秒呼叫1,530萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/15m-rps-ddos-attack/" target="_blank">CDN及網路防禦供應商Cloudflare昨（28）日表示，</a>該公司近日偵測並緩解了一次呼叫流量高達15.3M rps（request-per-second）的分散式阻斷服務（DDoS）攻擊，是有紀錄以來最大的HTTPS流量攻擊。</p> <p>這波攻擊以流量而言，是每秒1,530萬次呼叫，並非歷來最大的DDoS攻擊事件。最大的是2021年8月Cloudflare緩解的17.2M rps攻擊。但是這次攻擊是發生在HTTPS/ TLS加密連線中，不論是攻擊者發動攻擊，或是受害者緩解，成本都更高。</p> <p>這波攻擊來自一個大型殭屍網路，時間僅15秒，目標是Cloudflare一家客戶發行加密貨幣的計畫。有相同攻擊特徵（attack fingerprint）的DDoS，過去也有過高達10Mrps的規模。</p> <p>Cloudflare指出，這波攻擊使用的殭屍網路涵括將近6,000個不同殭屍機器人，分佈全球112個國家，其中15%集中在印尼、其次是俄羅斯、巴西、印度、哥倫比亞及美國、德國等地。這些國家中有1,300多個不同網路，最大的分別位於德國Hetzner Online、哥倫比亞Azteca Comunicaciones、法國OVH和雲端服務供應商。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/04/1109-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>這次攻擊顯示的另一項趨勢是，雲端服務供應商漸超越傳統網路ISP成了發動DDoS攻擊管道。源自殭屍網路的DDoS攻擊流量，透過上述網路傳送，經由BGP Anycast再導向Cloudflare位於全球270多個城市的資料中心，最後由Cloudflare緩解。</p> </div></div></div>
2022/4/29 13:21作者林妍溱https://www.ithome.com.tw/news/150686
微軟修補Azure PostgreSQL租戶隔離漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc-blog.microsoft.com/2022/04/28/azure-database-for-postgresql-flexible-server-privilege-escalation-and-remote-code-execution" target="_blank">微軟昨（4/28）日修補了Azure Database for PostgreSQL服務一項租戶隔離（Tenant isolation）漏洞</a>，可讓攻擊者存取同一Azure區域上多個不同租戶（tenant）或帳號上的PostgreSQL資料庫。</p> <p><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/" target="_blank">這個問題是由安全廠商Wiz Research發現並通報微軟</a>。漏洞發生於Azure Database for PostgreSQL Flexible Server，廠商稱之為ExtraReplica，它實際是2項漏洞組成，一個是源自微軟近日為了強化功能而對PostgreSQL Flexible Server服務做的修改，導致權限升級；另一個則讓發派給Azure其他網域的憑證得以登入PostgreSQL執行個體，達到跨租戶（cross-tenant）存取的目的。成功開採這項ExtraReplica漏洞的攻擊者，可複製並取得Azure PostgreSQL Flexible Server用戶資料庫的讀取權限。</p> <p>所有設定公開網路連線的Flexible Server Postgres伺服器都受這漏洞影響。啟用VPN或安全網路連線的環境則不受影響（不過這並非預設）。此外，Azure Database for PostgreSQL Single Server用戶也未曝險。</p> <p>Wiz Research於今年1月通報微軟，微軟已更新Flexible Servers以解決這項漏洞。Azure用戶無需採取任何動作。不過為了安全起見，微軟仍建議用戶在設定Flexible Server執行個體時啟用VPN等安全連線。</p> <p><a href="https://www.ithome.com.tw/news/150422" target="_blank">本月初AWS也修補了一項源於關聯式資料庫雲端服務RDS for PostgreSQL第三方開源擴充程式</a>，可導致Aurora資料庫內容外洩的檔案讀取漏洞。</p> </div></div></div>
2022/4/29 12:56作者林妍溱https://www.ithome.com.tw/news/150683
Fintech周報第210期：純網保兩類執照申請條件出爐，Line Bank和全盈支付紛紛祭出新生態圈戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022/3/18~2022/4/28 精選金融科技新聞</p> <p><strong><span style="color:#FF0000;">#純網保 #金融科技</span><br /> 純網保申辦條件出爐，將分2類執照，只能賣創新型和保障型商品</strong></p> <p>金管會計畫在今年8月開放純網保業者申請，最近也展開了相關保險法規的修法動作。金管會在4月21日預告將修正保險四法，也間接公開了純網保的申請條件。金管會定義純網保只能透過數位方式提供保險商品，實體據點只能設立總公司和客服中心，不能在實體據點從事銷售或招攬保險商品。</p> <p>將開放兩類純網保公司，一種為銷售創新型保險商品為主的純網路財產保險公司，最低資本額為10億元，不過，沒有明確定義創新型保險商品的類型，而是須通過創新性審查後才能銷售，不過，也可額外申請經營傷害保險和健康保險。另一種純網保公司，則是以銷售保障型保險商品為主的純網路人身保險公司，最低資本額而為20億元。金管會並要求，發起人需有金融業發起人以及金融科技專業的發起人，後者有從事大數據、介面設計、軟體研發、物聯網、無線通訊業務的經驗。金管會也規定純網保不能有保險業務員，也不能透過保險經紀人或保險代理人來銷售保險商品。</p> <p>從此草案預告可以看出，金管會將開放的純網保公司，可經營的業務範圍不完全等同於實體保險公司，金管會不只要求，只能透過數位提供產品，還限定了純網保可銷售的商品類型。申請所附的營運計畫書中，除了營運模式、商品規劃外，也須列出客戶身份驗證機制、採用的資訊系統、安全控管、備援作業及業務連續性計畫說明，還要訂定市場退出計畫。</p> <p><strong><span style="color:#FF0000;">#2月最新數據 #電子支付市場</span></strong></p> <p><strong>銀行局公布2月份電支市場數據，用戶數達1,653萬人，以街口551萬人最多</strong></p> <p>根據銀行局在4月中揭露了臺灣電子支付市場數據，統計到2月底，共有10家專營和20家兼營電子支付的機構，整體電子支付使用者人數持續成長，比1月底增加了2.7％，達到1,653萬人之多，其中以街口電子支付的使用者人數最多，達到551萬名，其次是一卡通票證，以475萬餘人緊追在後，悠遊卡公司和玉山銀行則以約150多萬人名列三、四名。另外，儲值卡流通卡數仍高達1億4千9百多萬張，比1月多了89萬張，不過，當月仍有消費的儲值卡比1月減少了24萬張，只有1,179萬張，也比去年2月少了1成多，反映出實體儲值卡的使用量正緩慢減少中。</p> <p><strong><span style="color:#FF0000;">#異常改善＃國泰世華銀行</span><br /> 不只是開罰，金管會對國泰世華銀行ATM等系統異常事件，提出多項未來IT改善要求</strong></p> <p>國泰世華銀行是臺灣ATM數量第二多的銀行，但在去年10月、今年2月、3月時，出現了多次資訊系統升級導致ATM等資訊系統異常的事件，金管會在4月中時宣布開罰2百萬元，並要求該行再改善問題前，先暫停設置新ATM。金管會在新聞稿中也揭露了造成這四次系統異常事件的發生原因，略有不同。去年10月的2次異常是，因為EFT系統及資料庫升級作業所致，而今年2月異常事件則是，因為該行為了上線新功能而搭配的EFT系統改版，再度造成交易異常。而今年3月中的異常事件則是因為EFT系統的磁碟機陣列在資料讀寫時出現異常，造成部分交易處理逾時，而導致交易失敗。</p> <p>不只是開罰，金管會也提出多項改善要求，在資訊面的改善重點，一是在重要系統轉換、架構重大調整或是跨版本升級之前，必須建立仿真的測試環境，也要強化對測試和上線環境間的參數比對、測試驗證及程序演練等，來提高模擬驗證的真實程度。另外，金管會也要求，資安專責單位要參與轉換前的關鍵準備工作，也拉高資安參與層級，要求資安長發揮資安政策推動與資源調度的工作。</p> <p><strong><span style="color:#FF0000;">#英國財政部 #NFT</span><br /> 英國將立法讓特定穩定幣加入英國支付框架，皇家鑄幣廠也將在夏天發行NFT</strong></p> <p>英國財政部在近日在創新金融全球高峰會上，宣布將將從政策及法令著手，讓英國成為全球加密貨幣技術與金融科技的中樞，來宣示英國財政部推動加密貨幣政策與市場的決心。</p> <p>其中，包括英國將立法，讓特定的穩定幣加入英國的支付框架，替穩定幣的發行商與服務供應商奠定於英國發展的基礎，提高消費者使用穩定幣支付服務的信心。此外還將推出金融市場基礎設施沙箱（Financial Market Infrastructure Sandbox），以讓這些金融新創能夠實驗各種新的技術、產品與服務。英國財政部大臣Rishi Sunak也已經要求皇家鑄幣廠於今年夏天發行非同質化代幣（NFT），不過，他沒有透露更多發行細節。</p> <p><strong><span style="color:#FF0000;">#加密貨幣 #NFT社群</span><br /> 美國加密貨幣交易平臺Coinbase開始測試NFT市集，結合互動機制要發展成NFT社群平臺</strong></p> <p>美國加密貨幣交易平臺Coinbase近日發表了NFT市集測試版，不只可提供NFT收藏買賣，更結合多項用戶互動機制，例如展示收藏，能在別人的NFT收藏中留言或評論，或是投票以贊成或反對他人的評論，來提供社交元素。藉由使用者所展示的收藏及在Coinbase NFT上的互動，Coinbase還希望進一步提供個人化的NFT推薦功能，來形成社群。</p> <p>#產險 #聯盟區塊鏈<br /> 14家業者合推第一個產險聯盟區塊鏈，從申辦，理賠到追償都能一站式鏈上完成</p> <p>產險公會日前宣布將聯手14家產險業者，推出產險聯盟區塊鏈平臺，先鎖定汽機車強制險和任意險，透過國泰金控區塊鏈團隊的技術，利用區塊鏈不可篡改、可信任等特性，讓加入聯盟的保險公司成員，能在鏈上安全的傳遞數位資料，來加速彼此的資訊共享與保險服務數位化，來縮短理賠作業時間。這項合作案以獲得金管會核准，將從5月1日開始試辦。</p> <p><strong><span style="color:#FF0000;">#純網銀 #生態圈</span><br /> 開業周年用戶破百萬，Line Bank生態圈戰略3線大展開</strong></p> <p>Line Bank開業1周年達到110萬名使用者，Line Bank總經理黃以孟</p> <p>近日進一步公開了新的生態圈戰略，將以快點生活圈策略，來經營3點生態圈，包括了點數生態圈、場景生態圈和服務生態圈。</p> <p>Line Bank超過96%用戶的簽帳金融卡已經綁定Line Points，可用Line Pay來使用點數，點數生態圈將以Line Points和Line Pay為中心，透過點數抵消費的方式，來串接線上線下生態圈。場景生態圈則要涵蓋食衣住行育樂的異業結盟，目前已經整合超商、電商網購、餐飲外送、百貨藥妝等，近期則將推出行車支付服務，來整合停車、加油等場景。最後一項服務生態圈，則要借助API綁定銀行帳戶，來整合更多訂閱服務提供自動扣款。目前Line Bank也打造了一套API平臺，來加速綁定服務的串接。黃以孟透露，未來會陸續串接一個個服務，讓場景生態圈更豐富。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/line%20bank%E7%94%9F%E6%B4%BB%E5%9C%88%E6%88%B0%E7%95%A5.jpeg" /></p> <p><strong><span style="color:#FF0000;">#電子支付生態圈 #全家 #玉山金</span><br /> 串接全家4百億點數生態圈，嵌入玉山線上信貸，全盈支付要靠SDＫ和API將電支融入更多生活場景</strong></p> <p>由全家、玉山銀行、PChome集團下之拍付國際三方合資成立的全盈支付，於4月正式開業，正式推出全盈+PAY服務。全盈支付總經理劉美玲指出，目標是將電子支付融入多元的消費場景中，成為用戶生活場景的一部分，透過SDK與API，與不同場景、通路業者合作，讓電子支付融入不同的場景，發展共享會員生態圈。</p> <p>目前策略，一方面將串接全家現有超過4千家門市、約1,500萬會員，年發400億點數的點數生態圈，另一方面也與玉山銀行合作，預告推出全線上信貸服務，以及線上開戶服務，將在第二季後陸續推出。還與AFTEE合作，未來將提供用戶先享後付的消費方式。</p> <p>全盈支付預告將和電商通路合作，串接電子支付與PChome 24h購物，可在線上、線下通路使用。下半年還將進入企業場景，將與MAYO鼎恒數位合作，將電子支付融入企業的員工福利平臺，提供企業團購支付，福利金、點數折抵等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E7%9B%88%E6%94%AF%E4%BB%98.jpeg" /></p> <p><strong>責任編輯：王宏仁</strong></p> <p><strong>更多Fintech新聞</strong></p> <ul><li>去年賣出291萬美元的Twitter創辦人首推，今年出價跌破1萬美元</li> <li>全球最大NFT市集OpenSea買下NFT銷售整合平臺Gem</li> <li>a16z成立加密貨幣與Web3的專門研究團隊，要整合Web3學術理論與實際應用</li> <li>將來銀行開業首月，開戶數接近6萬戶</li> <li>國泰金融創新實驗室計畫第二期完成8項PoC，AI解讀法規和人臉判讀測健康是亮點</li> </ul></div></div></div>
2022/4/29 13:04作者王宏仁https://www.ithome.com.tw/news/150684
蘋果財報出爐，創下該季史上最佳營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/04/apple-reports-second-quarter-results/" target="_blank">蘋果周四（4/28）公布截至今年3月26日的2022財年第二季營收</a>，以973億美元創下該季的史上最佳營收，比去年同期成長8.6%，除了iPad銷售下滑之外，不管是iPhone、Mac、穿戴裝置或服務營收都是成長的，每股盈餘為1.52美元。</p> <p>在973億美元的營收中，有506億美元來自iPhone的貢獻，占了蘋果總營收的52%，比去年同期成長5.5%；有104億美元來自Mac，成長14.6%；iPad營收為76.5億美元，下滑了2%；穿戴、配件與家用裝置營收為88億美元，成長12.8%。除了上述的硬體之外，該季的服務營收達198億美元，成長17.3%，約占蘋果總營收的20%。</p> <p>若以市場來區分，蘋果目前最大的市場為美洲，替蘋果帶進409億美元的營收，居次的是歐洲的233億美元，大中華區占了183億美元，日本為77億美元，其它亞太地區為70億美元。</p> <p>不過，蘋果在財報會議警告目前這一季所面臨的難題，包括供應鏈的限制，以及中國的封城策略將影響當地的產品銷售等，<a href="https://www.cnbc.com/2022/04/28/apple-aapl-earnings-q2-2022.html" target="_blank">根據《CNBC》報導</a>，蘋果執行長Tim Cook坦承蘋果亦無法於全球供應鏈問題上倖免於難，這使得蘋果當天盤中雖然上漲4.5%，但盤後下滑逾2%，股價為159.98美元。</p> </div></div></div>
2022/4/29 13:11作者陳曉莉https://www.ithome.com.tw/news/150685
防範肉搜，用戶可要求Google Search搜尋結果移除包含用戶個資的網頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/new-options-for-removing-your-personally-identifiable-information-from-search/">Google 宣佈擴大用戶個資保護</a>，現在用戶可以要求Google從搜尋結果移除特定敏感個資的連結，以防範肉搜或被用於金錢詐騙。Google曾因應歐盟「被遺忘的權利」要求，允許用戶申請從搜尋結果頁移除過去不名譽的新聞或紀錄連結。Google指出，個人聯絡資訊被公開於網路上，不但難堪，也可能造成實際傷害，像是被人肉搜、騷擾恐嚇，或是電子郵件、銀行帳號被用於發送釣魚信件或詐騙電話、簡訊，過去Google一直接到從搜尋結果移除這類資訊的要求。為了擴大用戶對自身個資的控管權利，<a href="https://support.google.com/websearch/answer/9673730">現在Google開放用戶要求從搜尋結果移除特定個人資訊的網頁連結</a>，如電話號碼、電子郵件及住家地址，或是其他可能造成身份竊盜的資料，像是登入密碼等。Google接到要求後，會評估該網頁所有內容，若網頁其他內容是有用的，像是新聞報導，Google就不會移除。此外若這些資訊在政府或官方資料庫的公開紀錄找得到，也不會被移除。</p> <p dir="ltr">經過審核許可後，Google可能的選擇包括移除所有查詢的URL、或是包含用戶姓名的查詢的URL。Google也提醒，從搜尋頁結果移除的網頁其實還在網路上，因此用戶若真的希望資料不要曝光，應該要直接聯繫該網站代管單位。去年7月<a href="https://www.ithome.com.tw/news/146140">Google也開放用戶請求Google於圖片搜尋結果中，刪除未滿18歲的兒童/青少年、或其父母與監護人的照片</a>。為保護用戶個資，本周Google另外也透過<a href="https://www.ithome.com.tw/news/150649">Google Play Store政策</a>，要求7月開始，開發商應公開App蒐集的用戶資訊類型與用途、或分享哪些資料等。</p> </div></div></div>
2022/4/29 10:50作者林妍溱https://www.ithome.com.tw/news/150674
不畏流失俄羅斯用戶，今年首季Spotify付費用戶增加15%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">全球串流音樂龍頭Spotify周三（4/27）<a href="https://investors.spotify.com/financials/press-release-details/2022/Spotify-Technology-S.A.-Announces-Financial-Results-for-First-Quarter-2022/default.aspx" target="_blank">公布今年第一季財報</a>，顯示該季創下26.61億歐元的營收，成長24%，雖然虧損了600萬歐元，而且因退出俄羅斯市場而損失了150萬名付費用戶，其付費用戶數依然比去年同期成長15%，比上一季增加1%，達到1.82億人，讓Spotify盤後上漲了1.94%，股價為98.55歐元。</p> <p dir="ltr">同樣受到俄烏戰爭影響的Spotify與Netflix在用戶成長上有著不同的表現，Netflix與Spotify皆為了抗議俄羅斯對烏克蘭的侵犯，暫時退出俄羅斯市場，不過，Spotify的付費用戶數比上一季增加了1%，<a href="https://www.ithome.com.tw/news/150505" target="_blank">但Netflix於該季的訂閱用戶數卻比上一季減少了20萬。</a></p> <p dir="ltr">Spotify該季的每月用戶數為4.22億人，比去年同期增加19%，其中的付費用戶占了1.82億人，增加15%，基於廣告的免費用戶則有2.52億人，增加21%，若與上一季相較，其每月用戶數增加了4%，付費用戶增加1%，免費用戶增加7%。反觀Netflix的2.22億付費用戶雖比去年同期成長6.7%，卻比上一季短少20萬。</p> <p dir="ltr">與去年同期相較，Spotify的單季營收成長了24%，達26.6億歐元，但虧損600萬歐元，反觀去年同期Spotify還有1,400萬歐元的獲利。</p> <p dir="ltr">Spotify表示，1.82億的付費用戶數雖然不符合當初的業績指引，但若扣除因退出俄羅斯市場而失去的150萬名付費用戶，再加上受惠於拉丁美洲與歐洲的出色表現，其成長是超乎預期的。 </p> </div></div></div>
2022/4/29 09:59作者陳曉莉https://www.ithome.com.tw/news/150673
因應資安已成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年來政府推動資安即國安戰略，政府除了規範政府機關落實資安，近年也開始推動產業要落實資安，特別是去年底金融監督管理委員會（金管會）透過修法方式，要求公開發行公司需記載資安管理作為，以及要求符合條件的國內上市櫃公司，必須設置資安長或主管及資安人員，然而，不是每個企業都有良好的資安治理經驗與能量，該如何加速國內產業推動資安？</p> <p>今日（4月28日），國內上市櫃開始採取行動，一個跨產業的「台灣資安主管聯盟」宣布正式成立，曾擔任聯電資訊長、目前為華碩集團資安長，也是台灣資安主管聯盟的金慶柏表示，這個聯盟由國內14家企業代表所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，橫跨高科技、金融、電信、製造與服務業等，他們希望有更多公司加入成為會員，共同幫助國內產業提升資安韌性，促使企業永續發展。</p> <h2><strong>台灣CISO聯盟有4大目標，養成資安主管核心能力居首，資安人才培訓居次</strong></h2> <p>金慶柏表示，從台灣資安人才缺口來看，包括政府單位、民間企業、資安服務廠商的需求，共缺少超過4萬人，因此，面對人才不足，以及上述政策法規遵循的問題，「台灣資安主管聯盟」主要聚焦於4大面向：第一，資安主管核心能力養成，要能夠配合公司的數位轉型；第二，專業資安人才培訓整備，不論是現在公司內IT部門或其他部門調過來資安單位，相關證照訓練也是未來推動目標；第三，資安產業服務能量鏈結，臺灣大概有400家資安產品與服務廠商，年營收共約530億，未來如何從CISO的角色與相關資安服務能量鏈結，甚至臺灣資安產業立足臺灣面向全世界；第四，資安治理合規制度建立，配合政府相關政策，協助企業建立資安管理制度符合相關規範。</p> <p>而組織架構方面，也能顯現該聯盟當前所聚焦的重點，目前已經規畫有4大委員會：包括人才培訓委員會、政策與法規委員會、推廣服務委員會，以及供應鏈委員會。</p> <p>現階段，台灣資安主管聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <p>同時，招募會員也是今年的重點。金慶柏表示，加入聯盟不需要繳會費，而未來會用使用者付費的方式來進行。至於是否聯盟會員只限於上市櫃公司？興櫃、大型未上市公司能否加入？對此問題，他表示，並沒有限定，這些公司他們都歡迎加入到聯盟之中。</p> <p>今年會有那些目標？以2022年工作重點而言，有兩大重點最受關注，分別是針對企業執行長（CIO）的活動，以及針對資安主管的培訓。具體而言，聯盟將透過舉辦資安實務交流活動的方式，來強化企業執行長對資安認知與支持；而培訓資安主管的主要目標，是擬定資安策略與資源配置的能力。</p> <p>還有兩項工作也將同步進行，像是為了加速企業符合法令規範，將彙整產業資安治理現況與需求，建立資訊揭露盤點表並媒合所需資源，以及將研擬供應鏈資安成熟度問卷，幫助企業快速掌握自身防護程度，作為投入資源的準則。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-04-29_022215.png" style="width: 600px;" /></p> <p>特別的是，對於現在企業資安推動的態勢，金慶柏以過去企業推動品質管理與環境保護來舉例。他表示，就如同企業界推動ISO 9000國際標準，當時談得是要將品質管理導入到供應鏈，導入到相關合約；再來是環境保護的ISO 14000國際標準，要求像是不能使用有害的物質，而這些也都是經過可能好幾年時間的推廣，並從大公司逐漸擴及到中小企業去導入，資安管理的ISO 27001國際標準也是如此，現在國內就有上千家企業組織導入相關認證。</p> <p>此外，在台灣資安主管聯盟之前，其實在去年7月時，華碩與10家公司成立了高科技資安聯盟。基本上，現在新成立的台灣資安主管聯盟可看做一個擴大版，支持聯盟成立的行政院副院長沈榮津即指出，不只是高科技業需要，應該擴及到其他產業。如今，隨著台灣資安主管聯盟正式宣布成立，勢必能夠讓更多不同產業在資安治理培訓這一塊，可以更容易分享與交流。例如，以台灣各行業來說，金融資安的推動比高科技還要早，如何將資安課程結合各行各業原有的訓練，將整體能量帶起來；再者，以供應鏈角度來看，由於資安很多敏感議題，若能透過供應鏈委員會讓某些公司集合在一起，將可以做到封閉式的交流，讓企業更願意敏感的資安資訊分享，避免自己的供應鏈也因同樣問題受害。</p> <p>對於台灣資安主管聯盟的成立，政府也看重產業發起這樣的行動，包括行政院政務委員唐鳳、行政院副院長沈榮津都出席致詞，希望能從多個角度幫助國內更多企業做好資安。</p> <h2><span style="color:#B22222;"><strong>台灣資安主管聯盟共同發起名單</strong></span></h2> <table border="0" cellpadding="0" cellspacing="0" style="width:476px;" width="476"><tbody><tr height="22"><td height="22" style="height:22px;">任職公司</td> <td>姓名職稱</td> <td>聯盟職務</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">華碩集團</td> <td data-th="姓名" style="width:123px;">金慶柏資安長</td> <td data-th="職稱" style="width:255px;">會長</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">富邦金控</td> <td data-th="姓名" style="width:123px;">蘇清偉資安長</td> <td data-th="職稱" style="width:255px;">副會長（負責人才培訓委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">欣興電子</td> <td data-th="姓名" style="width:123px;">馬光華資安長</td> <td data-th="職稱" style="width:255px;">副會長（負責推廣服務委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">台達電</td> <td data-th="姓名" style="width:123px;">曾立峰資訊長</td> <td data-th="職稱" style="width:255px;">副會長（負責政策與法規委員會）</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">新光保全</td> <td data-th="姓名" style="width:123px;">蕭正鴻資訊長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">欣銓科技</td> <td data-th="姓名" style="width:123px;">周可恆副主席</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">聯華電子</td> <td data-th="姓名" style="width:123px;">洪錫興副總經理</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">元大金控</td> <td data-th="姓名" style="width:123px;">陳秀美資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">玉山銀行</td> <td data-th="姓名" style="width:123px;">劉懷聰資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">康和證券</td> <td data-th="姓名" style="width:123px;">張志堅資訊長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">國泰世華</td> <td data-th="姓名" style="width:123px;">吳建興資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">台新銀行</td> <td data-th="姓名" style="width:123px;">陳詰昌資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">遠傳電信</td> <td data-th="姓名" style="width:123px;">朱建國資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr><tr height="22"><td data-th="任職公司" height="22" style="height:22px;width:99px;">友達光電</td> <td data-th="姓名" style="width:123px;">楊峻程資安長</td> <td data-th="職稱" style="width:255px;">推動委員</td> </tr></tbody></table><p>資料來源：台灣資安主管聯盟，iThome整理，2022年4月</p> </div></div></div>
2022/4/28 23:19作者羅正漢https://www.ithome.com.tw/news/150666
去年Google Play封鎖了19萬個開發者帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於開源的Android為全球最普及的行動平臺，再加上Google允許第三方市集的存在，而讓Android手機成為許多惡意程式的溫床，為了強化Android平臺的安全性，<a href="https://security.googleblog.com/2022/04/how-we-fought-bad-apps-and-developers.html" target="_blank">Google持續改善其程式生態體系</a>，去年便封鎖了120萬個違反Google Play政策的行動程式，也關閉50萬個已被棄置的開發者帳號。</p> <p>除了偵測Google Play上的不良程式與帳號之外，Google也打造了Google Play Protect來保護Android裝置用戶，它會主動掃描Android手機上的所有程式，不管這些程式是自Google Play或第三方市集下載，以協助使用者清除手機上的不良或惡意程式。</p> <p>此外，Google去年更新Google Play的安全及隱私政策，要求開發者於程式中列出資料安全項目（Data Safety section），明確描述程式所蒐集與分享的用戶資訊，Android用戶自4月26日起就能檢視程式的資料安全項目，同時<a href="https://www.ithome.com.tw/news/150649" target="_blank">Google也要求所有開發者都必須在7月20日以前於程式中提供此一項目</a>。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Expanded_view_GIF.gif" style="width: 600px;" /></p> <p>而為了避免開發者過度存取機密API與使用者資料，Google亦透過Android平臺的更新來施加限制，例如在所有遷移至Android 11或更高版本的Android程式中，有高達98%減少它們對機密API與使用者資料的存取；到了Android 12則進一步限制非必要的Accessibility API的使用，例如<a href="https://www.ithome.com.tw/news/150587" target="_blank">將禁止程式開發者利用Accessibility API來提供遠端通話錄音功能</a>，只把Accessibility API保留給專為殘障人士設計的程式。</p> <p>不過，道高一尺，魔高一丈，<a href="https://onestore.nokia.com/asset/210870" target="_blank">根據Nokia所發布的2021年威脅情報報告</a>，在2021年遭到惡意程式感染的行動裝置中，有高達50.31%為Android裝置，居次的是Window裝置的23.1%，macOS裝置也占了9.2%。<a href="https://onestore.nokia.com/asset/210088" target="_blank">2020年Android僅占所有被感染裝置的26.64%</a>，還落後Windows的32.72%。</p> </div></div></div>
2022/4/29 02:25作者陳曉莉https://www.ithome.com.tw/news/150672
自俄烏開戰以來，至少有6個俄羅斯駭客集團針對烏克蘭發動逾200次攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE4Vwwd" target="_blank">微軟本周公布了俄羅斯針對烏克蘭所展開的網路攻擊活動報告</a>，指稱從俄國入侵烏克蘭以來，至少已有6個由俄羅斯支持的駭客集團鎖定烏克蘭發動237次的網路攻擊，而這些網路攻擊經常與實體攻擊相呼應。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0428-russia%20ukraine%20hacker-600.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-russia%20ukraine%20hacker-600.jpg" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>被該報告點名的6個駭客集團分別是隸屬於俄羅斯情報局（GRU）的APT 28與Sandworm，歸俄羅斯外國情報局（SVR）管轄的Nobelium（又名UNC2452或UNC 2652），以及俄羅斯聯邦安全局（FSB）麾下的Gamaredon、Unit 71330與Turla。另一個專門部署WhisperGate資料刪除程式並竊取資料的DEV-0586亦疑似來自GRU。</p> <p>根據微軟的觀察，這些網路攻擊行動的目的不僅是為了削弱烏克蘭系統及組織的能力，亦著眼於摧毀當地人民存取可靠資訊與重要民生服務的管道，並企圖動搖烏克蘭人民對現有政權的信心。</p> <p>在237次的攻擊行動中，有接近40次屬於破壞性攻擊，當中有32%直接鎖定烏克蘭政府組織，超過40%相準重大基礎設施，駭客利用各種不同的手法取得初步存取這些系統的權限，包括網釣攻擊、開採未修補的安全漏洞，或是自供應鏈下手。</p> <p>微軟表示，俄羅斯的駭客攻擊不僅是破壞性的，也夾雜著間諜行動，同時許多的網路攻擊都與實際的軍事攻擊行動相呼應，例如在3月1日針對烏克蘭電視臺展開了網路攻擊，當天便把飛彈對準烏克蘭的電視塔，或者是當俄羅斯軍隊圍攻烏克蘭城市Mariupol時，烏克蘭的居民即開始收到謊稱是Mariupol居民寄來的電子郵件，宣稱烏克蘭政府已經拋棄烏克蘭人。</p> <p class="rtecenter"><a href="https://twitter.com/kyivindependent/status/1498679703628136458?lang=zh-Hant" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-russia%20ukraine%20hacker-600-2.png" style="width: 477px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ukraine NOW/Telegram</span></span></p> <p>其實在各界協助烏克蘭抵抗俄羅斯攻擊的當下，不管是軍事、經濟或資安上的支援，也有不少駭客集團正鎖定俄羅斯發動各式攻擊，不過迄今尚未出現關於俄羅斯遭網路攻擊的彙整報告。</p> </div></div></div>
2022/4/28 21:16作者陳曉莉https://www.ithome.com.tw/news/150664
【資安日報】2022年4月28日，駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然微軟不斷呼籲用戶停止使用IE瀏覽器，但在企業裡很有可能仍有部分系統需要透過這款瀏覽器存取，因此，利用該瀏覽器漏洞的攻擊行動仍相當值得留意。最近有研究人員發現一起投放竊密軟體RedLine的攻擊行動，而駭客利用的漏洞，就是微軟於去年3月公布的IE漏洞CVE-2021-26411。</p> <p>在上述的瀏覽器漏洞攻擊之外，與烏克蘭戰爭有關的網路攻擊也引起外界關注。而在今天的資安新聞中，有2則與之相關的新聞。一則是中國駭客Mustang Panda的攻擊行動，他們過往曾鎖定協助烏克蘭難民的歐洲外交單位，但他們現在也攻擊俄羅斯的政府官員。</p> <p>另一起則是俄羅斯駭客開始針對烏克蘭附近的國家出手的攻擊行動，他們對於立陶宛、愛沙尼亞等國家的電信業者、工業公司下手。</p> <p>而在今天的臺灣資安界也發生了一件大事，那就是臺灣CISO聯盟的成立。尋找合適的資安長是許多臺灣企業正在討論的重大議題，不過，也有一些企業已經設立資安長，而為了促進多個公司資安長的交流，有14家來自不同產業的公司籌組了臺灣資安主管聯盟（臺灣CISO聯盟），在今天正式成立。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitdefender.com/blog/labs/redline-stealer-resurfaces-in-fresh-rig-exploit-kit-campaign/"><span style="color: rgb(0, 0, 0);">駭客利用IE漏洞投放竊密軟體RedLine</span></a></strong></h3> <p>隨著IE與相關的外掛程式逐漸遭到棄用，駭客運用漏洞利用工具包（Exploit Kit）的攻擊行動大幅下降，但這類手法並未因此消聲匿跡。防毒業者Bitdefender指出，他們發現駭客在一起散布竊密軟體RedLine的過程裡，攻擊者使用名為RIG Exploit Kit的漏洞利用工具包，並針對網頁瀏覽器Internet Explorer（IE）的漏洞CVE-2021-26411而來，此漏洞會導致使用者在瀏覽攻擊者特製網站時，出現記憶體損壞的情況。駭客一旦入侵成功並部署RedLine，就能進一步在受害電腦上搜刮瀏覽器資料、加密貨幣錢包的私鑰、信用卡資料等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/bronze-president-targets-russian-speakers-with-updated-plugx"><span style="color: rgb(0, 0, 0);">中國駭客Mustang Panda鎖定俄羅斯政府官員發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bronze-president-targets-russian-speakers-figure4.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭未明確表達支持或反對力場的中國，<a href="https://www.ithome.com.tw/news/150088#mustang-panda">先前傳出該國駭客鎖定協助難民的歐洲外交單位下手</a>，但最近他們也開始針對俄羅斯發動攻擊。資安業者Secureworks發現，中國駭客Mustang Panda（亦稱HoneyMyte、Bronze President、TA416）於2022年3月，以歐盟針對白俄羅斯進行制裁的細節為由，鎖定俄羅斯政府官員發動網路釣魚攻擊，引誘對方開啟附件檔案，透過帶有合法簽章的可執行檔案，以DLL側載（DLL Sideloading）的方式，載入惡意程式PlugX。</p> <p>研究人員指出，DLL載入工具（DLL Loader）在執行的過程裡，會導出8個函式，但實際上只有其中一個帶有實際要執行的指令，很可能因此能夠躲過資安防護系統的偵測。</p> <h3><strong style="font-size: 22px;"><a href="https://securityintelligence.com/posts/hive00117-fileless-malware-delivery-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客鎖定電信業者散布惡意軟體DarkWatchman</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hive0117-phishing-mail.png" style="width: 300px; float: right;" /></a>俄羅斯駭客近期對烏克蘭頻頻發動攻擊，但他們現在也鎖定其他鄰近的國家下手。IT業者IBM的威脅情報團隊指出，使用俄語的駭客組織Hive0117近期發動釣魚郵件攻擊，鎖定立陶宛、愛沙尼亞、俄羅斯電信服務供應商、工業公司，這些釣魚郵件幾乎都寄給公司負責人或是高層，駭客冒充俄羅斯司法部，且郵件內含該單位的標誌，看起來更像由該單位發出。</p> <p>一旦收信人依照指示打開附件ZIP檔案的內容，電腦就有可能被感染惡意軟體DarkWatchman，為駭客提供後門，並藉由PowerShell程式碼側錄鍵盤輸入的內容。而對於Hive0117的身分，研究人員認為該組織並非俄羅斯政府資助的駭客，攻擊行動很可能出於經濟利益，而非與政治訴求有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.livemint.com/technology/cyberattacks-rise-at-oil-firms-as-hackers-step-up-their-game-11650649127129.html"><span style="color: rgb(0, 0, 0);">駭客近半年來針對印度石油公司攻擊逾36萬次</span></a></strong></h3> <p>印度國有的石油公司Oil India傳出於4月13日遭到攻擊，位於阿薩姆工廠的IT系統遭到鎖定，當地媒體報導駭客索討750萬美元的贖金。但根據當地非營利資安組織Cyberpeace Foundation的調查，駭客針對該公司下手的情況相當頻繁，從2021年10月至今年4月12日，他們偵測到近36萬次的攻擊行動，其中，攻擊行動有約三分之一出現在去年10月，為11.7萬次。</p> <p>這項研究也顯示，駭客鎖定印度關鍵基礎設施的網路攻擊越來越多，尤其是對於石油產業的網路釣魚最為顯著。雖然該組織並未說明攻擊來源，但根據研究人員發現的JavaScript程式碼疑似來自百度網域，中國駭客很有可能參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/psa-onyx-ransomware-destroys-large-files-instead-of-encrypting-them/"><span style="color: rgb(0, 0, 0);">勒索軟體Onyx鎖定大型檔案進行破壞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Onyx-Ransom-notes.png" style="width: 300px; float: right;" /></a>過往勒索軟體攻擊行動中，駭客通常會鎖定檔案較小的檔案進行加密，而略過較大的檔案，但最近有勒索軟體出現新的攻擊手法。資安研究團隊MalwareHunterTeam發現，有一款名為Onyx的勒索軟體，依據檔案大小之分，而採取加密與破壞的兩面策略，近期被用於攻擊行動，駭客宣稱已有6個組織受害。</p> <p>研究人員針對此勒索軟體進行分析發現，Onyx會將小於200 MB的檔案加密，而對於大型的檔案，則是寫入隨機資料來進行破壞，換言之，即使受害組織向駭客支付贖金取得解密工具，只能將小於200 MB的檔案復原。研究人員呼籲，受害者不要向駭客低頭，因為就算想要付錢了事，還是很有可能無法復原所有的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/"><span style="color: rgb(0, 0, 0);">Linux弱點Nimbuspwn可被攻擊者用於提升權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Our-exploit-implemented-and-winning-the-TOCTOU-race.png" style="width: 300px; float: right;" /></a>隨著Linux在企業運用越來越廣泛，這類作業系統的元件漏洞，也引起資安人員的重視。微軟揭露名為Nimbuspwn的一組漏洞，當中包含了CVE-2022-29799、CVE-2022-29800兩個漏洞，一旦被攻擊者串連利用，就有機會藉此取得受害主機上的root權限。</p> <p>研究人員指出，Nimbuspwn與Linux主機發出連線狀態有關，存在於networkd-dispatcher套件裡面。這些漏洞涉及目錄遊走（Directory Traversal）、符號連結競爭（Symlink Race），以及查核與使用時間的競爭條件（Time-of-Check-Time-of-Use Race Condition），而能夠讓駭客擴張權限，進而部署惡意程式或是進行其他攻擊行為。networkd-dispatcher維護者Clayton Craft獲報後已修補上述漏洞，IT人員應儘進安裝新版軟體修補。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-12"><span style="color: rgb(0, 0, 0);">威聯通呼籲用戶停用AFP通訊協定，避免NAS遭到Netatalk元件的漏洞波及</span></a></strong></h3> <p>在Linux檔案伺服器上，有個能夠支援蘋果電腦存取的通訊元件Netatalk，相當有名，不過，在Pwn2Own 2021，研究人員找到重大漏洞，最近也有NAS業者為此提出警告。威聯通於4月25日發布資安通告指出，該公司NAS設備用來支援macOS作業系統存取的Netatalk元件，存在CVE-2021-31439、CVE-2022-23121、CVE-2022-23123、CVE-2022-23122、CVE-2022-23125、CVE-2022-23124、CVE-2022-0194等多項漏洞，當中有數個漏洞CVSS風險層級達到9.8分。該公司已針對QTS作業系統發布4.5.4.2012版（組建編號20220419）予以修補，並呼籲尚未安裝更新韌體的用戶，應暫時停用Apple Filing Protocol（AFP）通訊協定來緩解相關風險。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=1Kyr-wyPyuU"><span style="color: rgb(0, 0, 0);">因應資安成公司治理重要指標，14家上市櫃公司共同發起「臺灣資安主管聯盟」</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TW-CISO-alliance_20220428-1713-20135.jpg" style="width: 300px; float: right;" /></p> <p>跨產業的「臺灣資安主管聯盟（簡稱台灣CISO聯盟）」今天宣布正式成立，首任聯盟會長由華碩集團資安長金慶柏擔任。這個聯盟由國內14家企業所共同發起，包括華碩、富邦金、欣興電子、台達電、新光保全、欣銓科技、聯華電子、元大金、玉山銀行、康和證券、國泰世華、台新銀行、遠傳電信，以及友達光電，希望日後能招募更多會員加入，提升臺灣產業資安韌性。</p> <p>金慶柏指出，臺灣資安主管聯盟將聚焦於4大目標：第一，資安主管核心能力養成；第二，專業資安人才培訓整備；第三，資安產業服務能量鏈結；第四，資安治理合規制度建立。同時，該聯盟已針對未來3年提出工作重點藍圖，希望分三階段逐步強化企業防護架構。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/28 17:46作者周峻佑https://www.ithome.com.tw/news/150663
Container周報第147期：Docker公司募到1億美元後揭新目標，Istio最後還是捐給CNCF、K8s專用L…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/4/1~2022/4/28 精選容器新聞</strong></span></p> <p><span style="color:#0000FF;">本期必看重點：三則重要必看新聞，一是遲遲沒有發展出快速營利商業模式的Docker募到上億美元資金，得以繼續提供免費個人桌面版授權，1千萬名開發者繼續獲益。Google終於將微服務管理平臺Istio捐給CNCF基金會，K8s生態圈的主要元件，終於都改由社群主導發展。K8s專用Linux版Talos終於推出1.0版，邊緣設備環境可以有穩定的極簡版K8s部署環境可用。另外，k8s新版1.24版延後到5月初發布。</span></p> <p><strong><span style="color:#FF0000;">#Docker #新發展策略 #桌面版優化</span></strong><br /><strong>Docker公司終於募到1.05億美元C輪資金，將繼續支援千萬免費個人用戶，下一步將聚焦桌面版優化</strong></p> <p>Docker公司雖然在10年前掀起了容器化的新時代，很快獲得全世界開發者的青睞，但在公司營運上，長達數年遲遲沒有發展出成功盈利的商業模式，直到2019年底重新改組，全力聚焦商用開發者需求，直到最近，成功獲得高達1.05億美元的C輪資金。 Docker執行長Scott Johnston指出，這是公司組織重組後最大的進展。目前，Docker開發者社群中，每月活躍用戶高達1,600萬人，儲存到Docker Hub上的應用也多達1,400萬支，而付費的企業數量也達到了5萬6千家。Scott Johnston指出，新募到的資金有助於維持目前的發展策略，包括支援1千萬名使用免費個人版的開發者、高達14PB的映像檔儲存量，以及每月31PB的映像檔資料下載流量的維運費用。</p> <p>新資金到位之後，Scott Johnston指出，下一步發展方向，將特別投資於Docker桌面版，來優化開發者常用的開發流程，例如簡化K8s應用開發、提高應用程式元件的透明度、與生態圈夥伴整合的擴充性，另外還要發展可以自動打造出安全應用程式的能力，整合到開發者現有工具、流程和可信內容中。</p> <p><strong><span style="color:#FF0000;">#Istio #微服務管理平臺 #K8s生態圈</span><br /> Google終於放手，將微服務管理平臺Istio捐給CNCF基金會改由社群主導</strong></p> <p>Google兌現與IBM的協議，宣布將微服務管理平臺Istio提交給雲端原生運算基金會（Cloud Native Computing Foundation，CNCF），作為孵化專案。現在已經有20多家服務供應商，提供Istio託管服務，包括Google雲端的Anthos Service Mesh，也是以Istio為基礎建構的服務網格，供用戶監控和管理本地端和雲端上的工作負載。在2020年的時候，Google曾想把Istio加入到當時新成立的開源專案管理商標組織Open Use Commons中，遭到專案創始成員IBM反對，不符是群開放治理的期待。現在Google終於將Istio捐贈給了CNCF，Istio是Kubernetes生態系中，最後一個不在CNCF管理下的主要元件。Google承諾會繼續戰略性投資Istio，作為重要維護者，同時也會持續投資上游專案。</p> <p><strong><span style="color:#FF0000;">#新版延遲 #K8s #Dockershim移除</span><br /> 受Go釋出延期影響，K8s新1.24版也決定延後到5月初釋出</strong></p> <p>原定在4月19日釋出的K8s 1.24新版，受到Go小更新釋出時程延後的影響，K8s發布團隊決定延後2周釋出1.24新版，爭取更多時間來進行新版本穩定性的測試，不過，不會增加或減少新功能。原訂在1.24版中，釋出46個新功能的強化，包括13個進入穩定版的功能。這個版本最受矚目的異動是，將移除在kubelet程式碼中內建的Dokershim容器runtime。這個功能主要用於將Docker作為K8s叢集的主要容器runtime，一但移除後，若企業的K8s叢集，原本大量使用Docker runtime來部署K8s應用，未來必須改用containerd來部署，也無法支援一些Docker runtime專屬行為。目前已有第三方的轉移檢查工具，可以用來檢查Docker映像檔改用containerd之後的影響。</p> <p><strong><span style="color:#FF0000;">#K8s大調查 #跨叢集管理</span><br /> VMware發布大型企業2022年K8s大調查結果，跨叢集統一管理成新挑戰</strong></p> <p>這是VMware第五年針對千人大企業的K8s開發者調查，今年有776份有效樣本。29%的企業使用中的K8s叢集超過了50個，遠高於去年的16%。今年更多大型企業擴大K8s採用規模。採用K8s最大主因是為了提高應用程式的彈性。</p> <p>改用K8s後最重要的前三大效益是，提高資源利用率（59%）、簡化AP升級和維護（49%）以及IT架構得以上雲（42%），這也跟現在不少臺灣企業開始導入K8s的原因類似。隨著K8s叢集數量越來越多，維運管理成了企業的課題，三類與日常維運相關的管理工具需求也在今年大增，資料安全和加密保護工具（36%）、叢集生命周期管理工具（34%），以及平臺監控工具（30%）。目前導入K8s最大的隱憂，仍是資安和法規遵循議題，高達97%的企業擔心K8s資安問題，近5成企業則擔心部署和管理K8s時的合規挑戰。多雲架構或多叢集的部署方式帶來的挑戰，是企業擔心K8s安全的主因，46%企業擔心如何跨雲或跨叢集統一管理政策，35%企業則擔心跨叢集的存取控制課題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/K8s%E8%AA%BF%E6%9F%A5%E7%99%BC%E7%8F%BE-VMware.png" /></p> <p><strong><span style="color:#FF0000;">#邊緣運算 #Talos #Linux</span><br /> K8s專用Linux版Talos終於釋出1.0正式版，能在超低功耗邊緣設備建置K8s</strong></p> <p>Talos是K8s專用的Linux發行版，可用來部署K8s環境。Talos是一個極簡版的Linux，但又高度整合K8s，甚至可以將Talos打包成一個容器化的映像檔，可以提供不可變更的Linux環境（immutable），可以透過gRPC API和一個宣告配置檔就能管理，方便用於打造邊緣運算環境或超低功耗環境的IaC架構。</p> <p>Talos雖然是Linux系列的作業系統，但是移除了大量執行K8s時不需要的Linux功能，來簡化整體作業系統的執行負載，特別是從機器執行角度來簡化功能，而不是從人如何管理的角度來考量，因此，在Talos中至還移除了Console功能、SSH、Telnet功能等MIS慣用的管理機制。Talos可以部署在容器環境、主要公有雲的雲端環境，或是常見虛擬化環境（VMware和微軟Hyper-V都支援），也能用於裸機平臺上，甚至可以安裝到Raspberry Pi樹莓派擴充板上。Worker主機的最小執行需求，只需要1GB記憶體和1個CPU核心。負責維護的Sidero Labs在3月底釋出了Talos的1.0正式版，支援到K8s 1.23.5版，其中，最重要的新功能是，增加了對Nvidia GPU的支援，可以用來發揮邊緣裝置中的GPU硬體加速，這個功能目前仍是Alpha版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Talos%E6%AD%A3%E5%BC%8F%E7%89%88%E7%AE%A1%E7%90%86%E7%95%AB%E9%9D%A2.jpg" /></p> <p><strong><span style="color:#FF0000;">#TAP #VMware #跨叢集維運</span><br /> VMware的K8s應用平臺TAP小改版，推出多項跨叢集維運強化功能</strong></p> <p>日前VMware旗下K8s應用平臺Tanzu Application Platform釋出了1.1新版，主要提供了更多跨叢集管理的新能力。例如可以讓工作負載更容易在跨K8s叢集之間移動，來提高K8s應用部署在TAP上的擴充性，也簡化了跨個人開發環境和正式環境之間的工作負載管理。另外，也提高了跨所有叢集runtime元件資源的透明度，可以在儀表板上清楚掌握所有叢集內runtime資源的利用情況。</p> <p>除了強化跨叢集管理，TAP新版也簡化了安裝部署流程，在TAPP參考架構中提供了不同類型K8s叢集的跨叢集安裝流程，可提供預先定義的安裝檔，來加快企業建置的速度。</p> <p><strong><span style="color:#FF0000;">#Google #邊緣主機設備</span><br /> Google雲GDC邊緣主機正式上市，1U主機內建了Anthos平臺和GPU</strong></p> <p>GCP在去年10月Next大會上發布的Google Distributed Cloud軟硬整合設備，終於在今年4月正式上市，推出了GDC邊緣主機設備和整櫃式設備。這款GDC邊緣主機設備，內建16核心CPU、Nvidia T4 GPU和64GB記憶體，另外也內建了4個2TB容量的SSD硬碟組成磁碟陣列，最大可提供3.6TB本地端儲存空間。軟體則內建了Anthos平臺。這款產品瞄準四種常見部署場景，Google網路邊緣部署、電信營運商部署、企業用戶邊緣環境部署、企業用戶資料中心部署都要能支援，也鎖定8大類應用，從運算、網路、儲存和資料庫、AI/ML、資料分析、容器和無伺服器、開發和管理工具到第三方服務等。另外在部署模式可採取主機模式（Hosted mode），完全不需要連線到Google雲，企業可以自行決定要自己管理，或者是委託信任的SI來代管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GDC%20Edge%E4%B8%BB%E6%A9%9F.jpeg" /></p> <p><strong><span style="color:#FF0000;">#支援Arm架構 #沙箱型容器</span><br /> 紅帽OpenShift推出4.10新版，正式支援Arm架構和沙箱型容器</strong></p> <p>紅帽商用容器管理平臺OpenShift日前推出了4.10新版，最大特色是正式支援Arm架構的公有雲服務（不過，目前只有支援AWS公有雲環境）以及裸機系統，所支援的K8s版本也更新到1.23版。先前多項技術預覽功能也在這個新版中轉為正式版本，包括了基礎架構（IPI）安裝方式正式支援微軟Azure Stack Hub，以及基於Kata容器打造的額外隔離機制OpenShift Sandboxed Containers。IPI安裝方式是指提供全自動、全整合的一鍵式安裝，目前正式支援Azure Stack Hub，而對IBM Cloud、阿里雲的支援則仍處於技術預覽階段。</p> <p>另外，4.10新版也強化對法規遵循的支援，增加了3種政策遵循自動運作器（Compliance Operator），協助企業檢查他們所用的叢集系統組態，確認是否具有需要遵循與矯正的已知問題，包括了支付卡產業資料安全標準PCI DSS、北美電子可靠性企業關鍵基礎設施防護標準NAERC CIP，以及美國聯邦政府所用的聯邦風險與授權管理計畫中階影響層級FedRAMP Moderate impact level。在4.8版開始預覽的沙箱型容器，也在4.10成為正式功能，可以讓應用程式執行多一個隔離執行層。新版本也提供了離線（disconnected）或實體隔離（air-gapped）設定，來簡化企業在此種環境下的OpenShift叢集安裝。</p> <p><strong><span style="color:#FF0000;">#KubeVirt #通吃容器和VM</span><br /> 貢獻者和使用案例持續成長，K8s虛擬機器管理專案KubeVirt進入CNCF孵育階段</strong></p> <p>紅帽在2017年所發起的K8s虛擬機器管理專案KubeVirt，近日從CNCF沙箱階段，進入了孵化階段。這意味著，這個讓K8s叢集可以直接原生管理VM的機制，不只獲得超過3家企業在正式環境中採用，也持續有不少貢獻者穩定產出和發布新版。有些部署在VM環境中的應用，無法輕易容器化，只能繼續部署在VM環境。KubeVirt專案可以讓K8s成為跨容器和虛擬機器的通用管理和調度平臺，來統一基礎架構的管理，不需要維護另一套獨立的VM管理機制。也可以用於在企業導入K8s架構的轉移過渡期中，仍可在K8s中，提供部分VM環境來執行還未容器化的老舊應用系統。通管VM和容器原是紅帽OpenShift的特色功能，未來，其他K8s平臺產品也更容易透過KubeVirt來管理VM環境。</p> <p><strong><span style="color:#FF0000;">#基礎架構程式碼化 #EKS快速部署</span><br /> AWS發布EKS藍圖專案，提供一套快速部署跨區域EKS叢集的IaC建置範本</strong></p> <p>近日AWS發布了一個開源的EKS藍圖專案，整理了一批用來建置基礎架構程式碼化（Infrastructure as Code）常用的模組和配置範本，可供企業部署跨AWS區域或多帳號時的建置參考架構。這套藍圖集結了AWS自家工具和常用K8s叢集管理工具，如Prometheus、Karpenter、Nginx、Traefik、AWS Load Balancer控制器、Fluent Bit、Keda、Argo CD等，另外，也整合了兩個熱門的IaC框架，包括HashiCorp的Terraform和AWS自家雲端部署工具包AWS CDK，並提供了建置時常用的配置設定參考，例如如何建立使用團隊的管理角色等。企業可自行選則要套用哪一個框架來建置。</p> <p><strong><span style="color:#FF0000;">#DevOps工具 #基礎架構自動化</span><br /> 老牌組態工具商Puppet賣了，成為美國開發工具商旗下基礎架構自動化產品線</strong></p> <p>開發工具廠商Perforce宣布收購DevOps工具開發商Puppet，雙方並未透露交易財務細節。Puppet將會成為Perforce中的一個業務單位運作，並與Perforce原有的其他DevOps相關部門共同合作，繼續提供Puppet品牌的基礎設施自動化解決方案。</p> <p>Perforce是一家美國超過25年的軟體公司，專注於提供開發者生產力工具，產品包括版本控制軟體、程式碼儲存庫管理、開發者協作，以及應用程式生命周期管理等開發者軟體，另外，Perforce還針對進階任務，提供一些更為專業的工具，包括對超級電腦上的工作負載進行除錯。</p> <p><strong>更多新聞</strong></p> <ul><li>Docker桌面版新增SBOM功能，可列出映像檔內各元件版本</li> <li>雲端原生批次運算專案Volcano成為CNCF孵化專案</li> </ul><p>責任編輯：王宏仁</p> </div></div></div>
2022/4/28 15:31作者王宏仁https://www.ithome.com.tw/news/150662
東芝、英國電信測試全球首個商用抗量子網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.global.toshiba/ww/news/corporate/2022/04/news-20220427-01.html" target="_blank">英國電信（BT）及日本網路設備商東芝本周宣布</a>，將啟動全球首個商轉的抗量子（quantum-secured）網路基礎架構的測試計畫。</p> <p>雙方是在去年10月啟動合作及興建能防禦量子電腦破解的安全網路。這個網路架構是由東芝提供量子密鑰分發（Quantum key distribution，QKD）硬體（<span style="color:#696969;">如下圖所示</span>）及金鑰管理軟體興建，並由BT營運，在BT家庭與企業網路服務子公司 Openreach的光纖專線網路上提供抗量子服務，包括寬頻端對端加密專網。QKD密鑰也將結合現有乙太網路的PKI安全技術，將產生的密鑰用於資料加密。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-Toshiba%20QKD-1.png" style="width: 600px;" /></p> <p>除了英國電信及東芝外，第一家客戶會計顧問商安永（Enst and Young，EY）也將投入測試。這條網路將串連EY分別位於倫敦金絲雀碼頭（Canary Wharf）和倫敦橋的二個辦公室，提供資料與資料的加密傳輸。這座網路已於4月初開始運作，初步計畫將營運三年。</p> <p>目前包括<a href="https://www.ithome.com.tw/news/139047" target="_blank">美國</a>、<a href="https://www.ithome.com.tw/news/149531" target="_blank">新加坡</a>及中國政府都積極推動抗量子破解的安全網路研發計畫。英國政府於2020年頒布《<a href="https://uknqt.ukri.org/wp-content/uploads/2021/10/UKNQTP-Strategic-Intent-2020.pdf" target="_blank">國家量子技術計畫</a>》的未來10年規畫，投入10億英鎊，計畫將量子技術整合到英國的數位骨幹網路中。</p> <p>BT表示可望與英國及其他業界夥伴推動合作。</p> </div></div></div>
2022/4/28 14:32作者林妍溱https://www.ithome.com.tw/news/150660
蘋果正式於美國推出iPhone 12/13/SE自助維修服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年11月發表自助維修（Self Service Repair）服務的蘋果，<a href="https://www.apple.com/newsroom/2022/04/apples-self-service-repair-now-available/" target="_blank">周三（4/27）宣布該服務正式於美國上線</a>，將提供維修手冊與官方的蘋果零件及工具，以讓使用者得以自行維修他們的iPhone 12、iPhone 13，以及<a href="https://www.ithome.com.tw/news/149771" target="_blank">今年才上市的iPhone SE</a>。</p> <p>蘋果也特別設立了<a href="https://www.selfservicerepair.com/" target="_blank">自助維修商店（Self Service Repair Store）</a>，以用來出版維修手冊，以及銷售官方零件及工具。不過，由於該服務目前僅於美國上線，只有把語言切換成英文才能檢視相關的維修手冊。</p> <p>現階段該商店提供了超過200種不同的零件及工具，涵蓋iPhone 12/13/SE的顯示器、電池及相機等，今年還會開始支援採用蘋果M1系列處理器的Mac電腦的相關零件/工具及維修手冊，也會把此一自助維修服務擴大到歐洲市場。</p> <p>蘋果強調，自助維修商店所銷售的工具都與蘋果官方維修網路所使用的一致，它們都是針對維修蘋果產品而精心設計的，因此既專業又耐用，由於要價高昂，例如一支力矩扳手就要80美元，因此蘋果也提供了工具組的租賃服務，只要49美元就能租一周，供可能只需要維修一次的使用者租用。</p> <p>與蘋果門市的維修服務相較，iPhone 12顯示器的官方零件為269.95美元，回收舊顯示器的折讓為33.6美元，租賃工具為49美元，自行維修iPhone 12顯示器的整體成本是285.35美元，而蘋果門市的顯示器維修價格則是365美元。</p> <p>若與DIY維修網站iFixit相較，蘋果官網上的iPhone 12 Pro電池加上螺絲起子套件的售價為69美元，而<a href="https://www.ifixit.com/Store/iPhone/iPhone-12-Pro/Batteries" target="_blank">DIY維修網站iFixit的電池套件組合</a>則僅需40美元，但若扣除回收舊電池的24.15美元的折讓價，官方零件與第三方零件的價格差距即會明顯縮小。</p> <p>不過，<a href="https://zh.ifixit.com/News/59239/apples-self-repair-vision-is-here-and-its-got-a-catch" target="_blank">iFixit認為</a>，蘋果最大的問題在於零件配對政策，使得使用者無法購買缺乏序號或IMEI的關鍵零件，只要使用了二級市場（Aftermarket）的零件，螢幕就會出現「無法驗證」的警告，這可能會阻礙第三方的維修服務，並限制了回收業者的選擇。</p> <p>除了蘋果之外，<a href="https://www.ithome.com.tw/news/150227" target="_blank">三星</a>及<a href="https://www.ithome.com.tw/news/150354" target="_blank">Google</a>也都將加入自助維修行列，至於微軟雖然沒有正式發布自助維修計畫，但其Surface團隊也在本周公布了<a href="https://www.youtube.com/watch?v=cnBAeUD0Li4&t=1s" target="_blank">如何拆解及維修Surface Laptop Studio高階筆電的影片</a>。</p> </div></div></div>
2022/4/28 15:07作者陳曉莉https://www.ithome.com.tw/news/150661
Meta用戶數還在增加，盤後股價大漲18%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s21.q4cdn.com/399680738/files/doc_news/Meta-Reports-First-Quarter-2022-Results-2022.pdf" target="_blank">Meta周三（4/27）公布今年第一季財報</a>，該季Meta創下279億美元的營收，成長7%，是該公司自2012年上市以來營收成長幅度最低的一季，然而，由於Meta用戶數仍在成長，其程式家族（Family）每日用戶數增加了6%，而使得當天Meta的盤後股價大漲了18.37%，股價回到207.08美元。</p> <p>雖然該季Meta只帶進了75億美元的淨收入及2.72美元的每股盈餘（EPS），低於去年同期的95億美元，及3.3美元的EPS，但由於已高出分析師所預期的71億美元，而使得近來股價已下滑逾40%的Meta重燃投資人信心。</p> <p>在279億美元的營收中，有272億美元的營收來自於包括Facebook、WhatsApp、Instagram與Messenger的程式家族，專門發展元宇宙的Reality Labs則只創造7億美元的營收，前者的營業利潤為115億美元，後者則虧損了29.6億美元，由於Reality Labs仍處於重度研發階段，虧損金額也高於去年同期的18.3億美元。</p> <p>此外，Meta預期該公司下一季的表現仍會延續第一季營收成長趨緩的態勢，主要的原因之一為受到俄烏戰爭波及，也會密切關注<a href="https://www.ithome.com.tw/news/150123" target="_blank">大西洋資料傳輸協議</a>的發展，以及該協議對Meta於歐洲的營運可能產生的影響。</p> </div></div></div>
2022/4/28 13:30作者陳曉莉https://www.ithome.com.tw/news/150659
仍有上萬應用程式仍存在Log4j漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.ithome.com.tw/news/148332" target="_blank">Apache Log4j漏洞自去年底揭露以來已經過了4個月</a>，<a href="https://www.rezilion.com/wp-content/uploads/2022/04/Log4Shell-4-Months-Later.pdf" target="_blank">不過安全廠商發現</a>仍有上萬應用程式尚包含舊版Log4j。而一項數據顯示，臺灣下載舊版Log4j的比例，高達80%，超過其他主要國家。</p> <p dir="ltr">安全廠商Rezilion研究人員利用 Shodan.io搜尋引擎掃瞄面向網際網路(internet-facing)的應用程式，分析是否仍使用舊版Log4j以及這些應用程式使用的容器，結果發現9萬多個應用程式仍然曝險。</p> <p dir="ltr">造成這些應用程式曝險的原因主要有三，一是容器有最新版，但用戶仍未更新，像是Apache Storm、Elasticsearch、Apache skywalking-oap等。二是容器即使來到最新版本，但還是有舊版Log4j，包括Apache druid Solr、Ozone。連同Log4j和其他漏洞，這些容器內的漏洞有55%是2020年以前就存在。</p> <p dir="ltr">第3類則是面向網際網路的Minecraft伺服器，研究人員說，這突顯了老舊專屬軟體的風險。</p> <p dir="ltr">研究人員還分享了其他數據。根據Google掃瞄全球開源碼套件的服務數據Open Source Insights，在4月20日的調查結果，存在Log4j漏洞（即Log4Shell）的套件有17,840個，其中已經修補的只有7,140個，意謂著將近60%還曝險<span style="color:#696969;">（編按：下圖為Open Source Insights網站在4月28日公布的數據）</span>。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-google.png" style="width: 600px;" /></p> <p dir="ltr"><a href="https://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">若看</a><a href="http://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">Sonatype公司公布的</a><a href="https://www.sonatype.com/resources/log4j-vulnerability-resource-center" target="_blank">Log4j下載追蹤資料</a>，去年12月10日以來，Log4j已被下載了超過4500萬次，其次有39%下載到了有漏洞的舊版本。以4月28日來看，過去24小時內從Maven Central套件庫下載Log4j版本將近35萬次，其中有34%仍然存在Log4Shell漏洞，舊版Log4j版本自2022年2月以後即長期維持高檔。</p> <p class="rtecenter" dir="ltr"><a href="https://s4.itho.me/sites/default/files/files/0428-log4j%20-sonatype.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0428-log4j%20-sonatype.jpg" style="width: 600px;" /></a></p> <p dir="ltr"><span style="color: rgb(128, 128, 128); font-size: 14px;">圖片來源／Sonatype</span></p> <p dir="ltr">Rezilion推測，造成舊版Log4j下載的原因，除了這些地區的安全研究人員下載來分析漏洞外，第2個原因可能是這些Log4j部署在無法連上網際網路的應用程式或網路環境，用戶認為不必急著修補。</p> <p dir="ltr">第3項原因，研究人員推測是使用者並不知道自己使用軟體內含有漏洞的Log4j元件。至於原因，可能是許多企業缺乏成熟的漏洞管理流程，以便無法完全掌握軟體元件組成（Software Bill of Materials）、在生產環境下很難偵測到Log4j、以及用戶使用了有漏洞的第三方軟體。</p> <p dir="ltr">值得一提的是，根據Sonatype提供的國別分析，臺灣下載舊版Log4j的比例是所有資訊應用發達的國家中最高的，從去年底以來都超過80%直到4月才有小幅下降。但這個比例仍遠高於澳洲、中國、印度、美國、日本、與俄羅斯。這些國家不良下載率大約30%到50%左右，其中以澳洲由去年底的40%減少到20%改善最為顯著。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sonatype%E5%85%AC%E5%8F%B8%20%E8%9E%A2%E5%B9%95%E6%88%AA%E5%9C%96.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#808080;"><span style="font-size:14px;">圖片來源／Sonatype</span></span></p> </div></div></div>
2022/4/28 11:05作者林妍溱https://www.ithome.com.tw/news/150656
AI趨勢周報第189期：推特在GitHub新添演算法公開庫，但又刪掉了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0422～0428)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">推特 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 演算法 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>推特在GitHub新添演算法公開庫，但又刪掉了</strong></span></p> <p>伊隆馬斯克買下推特後，就公開發表要開源推特演算法，提高透明度，像是揭露推特如何排名使用者的推文、如何推播推文給不同使用者，以及為何高度曝光某些推文，而另一些卻不見天日。日前，推特開發者就在開源平臺GitHub上，開設一個名為the Algorithm的程式碼公開庫，然而裡面連一行程式碼都沒有。沒多久，這個公開庫就被刪除了。</p> <p>其實，推特多年來也開源不少專案，像是R語言開發的異常偵測系統、輕量影片處理函式庫、互動式視覺化工具、RPC服務基準測試等。但這次，外界認為，推特開發者並不想完整開源自家演算法。<a href="https://twitter.com/disclosetv/status/1518708233057226753?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1518708233057226753%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.latestly.com%2Fsocially%2Fworld%2Fjust-in-twitter-employees-apparently-added-a-public-repository-called-the-algorithm-on-latest-tweet-by-disclose-tv-3633803.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-twitter-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Disclose_tv.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 北醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 肺癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>首個肺癌醫病決策共享平臺！北醫大肺癌AI包辦診斷用藥和預後評估</strong></span></p> <p>北醫大以影像辨識和自然語言處理（NLP）技術打造肺癌臨床智能決策輔助系統，根據臨床實際流程，提供醫師與病患診斷、用藥、預後評估，是首個肺癌醫病共享決策平臺。該平臺包含3大模型，首先是電腦斷層肺癌基因突變預測模型，可自動從300多張電腦斷層影像自動偵測腫瘤並標示，也能判斷腫塊類型和可能的基因突變，提供肺結節處理建議。</p> <p>團隊也將電腦斷層預測結果整合臨床大數據，透過肺腺癌病患醫療大數據和AutoML方法建立腦轉移、預後與藥物反應預測模組，當電腦斷層影像發現新發個案時，可立即預測腦轉移風險和選藥建議。</p> <p>再來，北醫大將與雲象科技研發的全玻片數位病理判讀技術，延伸開發出肺腺癌病理基因突變預測選藥模型，來快速自動標註病灶，並預測最常見基因的突變狀態，來提早精準用藥。最後，團隊也利用NLP開發出病理報告自動判讀選藥檢疫系統和肺腺癌全基因用藥建議模型，只要輸入一份病人病理報告，就能得到存活率較高的健保與自費用藥推薦，且整合治療效果和存活期資訊，篩選出與病患相似且預後最佳的選藥治療建議。對於晚期肺癌無法開刀或已轉移復發的病人，系統還會自動將病人狀況媒和全球新藥試驗場域。<a href="https://www.most.gov.tw/folksonomy/detail/03350e10-7c91-4f6f-9028-dd5c3120425e?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-04-28%20at%2011_45_32%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高雄 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯合學習又有新進展！高雄聯合學習醫療聯盟成立</strong></span></p> <p>臺灣聯合學習又有新進展，高醫附醫、高雄長庚、高雄榮總、義大醫院等4家醫院聯手成立高雄聯合學習智慧醫療聯盟，要針對在地臨床需求，發展腦心重症、就醫、智慧照護和健康關懷等領域的聯合學習專案。</p> <p>該聯盟關鍵推手臺灣人工智慧實驗室（Taiwan AI Labs）透露，將建立跨院聯合驗證確效平臺，來評估軟體醫材成效，加速智慧醫材SaMD發展與落地。高雄聯合學習智慧醫療聯盟是自去年臺灣聯合學習產業大聯盟成立以來，首個落地的產業聚落案例，與此同時，臺灣人工智慧實驗室也在高雄成立研發總部籌備處，預計擴編百人研發團隊，要與當地學界如中山大學、成功大學，來聚焦動態分潤演算、聯合學習資訊安全、智慧醫療聯網、前瞻醫療器材研發等領域發展。<a href="https://www.kcg.gov.tw/CityNews_Detail1.aspx?n=3A379BB94CA5F12D&ss=22CFD49BA03FB8FA">（詳全文）</a></p> <p><img alt="" src="https://kcginfonews.kcg.gov.tw/upload/RelPic/15105/6d565fdd-e13c-46bc-93be-2105f055cb82.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音轉文字 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Conformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google語音轉文字模型通吃3種任務，現已嵌入SST服務</strong></span></p> <p>Google雲端在語音轉文字API（STT）服務中，採用Conformer新模型，提高23種語言和61種區域口音的語音辨識準確性。過去，自動語音辨識技術是基於單獨的聲音、發音和語言模型，並各自單獨訓練這3類模型，最後再組裝起來辨識語音。但Google的Conformer新模型，則是單一神經網路，通吃這3種任務。</p> <p>Conformer架構是帶有卷積層的Transformer模型，可捕捉語音訊號中的區域和全域資訊。用戶使用STT API時，添加新標籤latest long和latest short，就能存取最新的Conformer模型，分別針對影片等應用設計和命令或短語上。新模型能支援更多類型語音、噪音和聲音條件，讓用戶可將語音技術嵌入應用程式中，這讓應用程式的使用者，能用更長的句子與應用程式互動。<a href="[https://www.ibm.com/blogs/systems/ibm-telum-processor-the-next-gen-microprocessor-for-ibm-z-and-ibm-linuxone/](https://www.ibm.com/blogs/systems/ibm-telum-processor-the-next-gen-microprocessor-for-ibm-z-and-ibm-linuxone/)">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/stt_model.max-600x600.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言處理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS開源51種語言AI訓練資料集和程式碼</strong></span></p> <p>Amazon釋出一套MASSIVE資料集，涵蓋51種語言，開發者可用來訓練虛擬助理。Amazon表示，到了2023年，全球會有80多億個AI虛擬助理，還有1億多臺智慧喇叭，但大部分的虛擬助理都只使用1種或少數幾種主流語言。</p> <p>為解決問題，NLP界發展出大量多語自然語言理解（MMNLU）模型。透過學習跨語言的共享資料表徵，模型可將從豐富訓練資料的主流語言學知識，轉移到資料稀少的語言上。為促成MMNLU的出現，Amazon釋出MASSIVE資料集，內含跨51種語言加註過的100萬條語句或單詞，以及程式碼。資料集包括訓練、驗證和測試資料，後者則提供MMNLU模型的執行範例。<a href="https://www.amazon.science/blog/amazon-releases-51-language-dataset-for-language-understanding">（詳全文）</a></p> <p><img alt="" src="https://assets.amazon.science/dims4/default/2bc4d4e/2147483647/strip/true/crop/1440x810+0+0/resize/1200x675!/quality/90/?url=http%3A%2F%2Famazon-topics-brightspot.s3.amazonaws.com%2Fscience%2Fb6%2F2f%2Fee1905e3464ab916a727da524572%2Famazonscience-hello-16x9.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位服務法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 內容平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>平臺業者得提供推薦演算法！歐盟揭露數位服務法新要求</strong></span></p> <p>歐盟近期公布《數位服務法》（Digital Services Act）條文，規範內容平臺需提供2種以上的內容推薦系統，且歐盟有權存取內容平臺演算法，若不合規定，最高可對違法者裁罰6%全年營收。</p> <p>《數位服務法》今年1月通過，並展開會員國協商，這次要求內容平臺業者得負更多責任，比如更快移除不良或非法內容。這次協商影響最大的規範是，歐盟及會員國可存取超大型平臺的演算法，這些平臺也必須對用戶告知內容推薦系統的運作，且用戶可以有至少一個非依用戶側寫（profiling）推送內容的系統。不過該法條文尚未底定，歐洲議會代表將於5月前往美國討論這項新法，再由歐洲議會、歐盟理事會做最後許可。一旦完成並公布，將在20日執行，並在2024年上路。<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 鴻海 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 對抗式學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鴻海用高速雲平臺加速AI模型訓練</strong></span></p> <p>鴻海去年開始啟動雲原生技術開發、混合辦公場域建立、核心系統上雲布局全球等三大戰略，近日鴻海研究院分享成果，藉Azure雲平臺高速算力，取得不少AI研究突破。</p> <p>比如，他們將對抗式模型的訓練時間，從3小時縮短到5分鐘，用來強化自駕車AI系統的安全性。又或是，鴻海用高速平臺縮短高解析度非監督式影像轉換模型，能在硬體資源有限的情況下生成高解析度影像，作為更擬真的自駕車場景訓練資料。此外，他們也加速自監督預訓練模型的開發，將巨量未標註的街景資料用來訓練預訓練模型，之後供不同專案使用，依任務特性，以少量資料微調即可。</p> <p>鴻海也研究自監督虹膜影像分割技術，也就是以無人工標註資料訓練模型，來更準確分割虹膜，提到辨識準確率。該技術也能用於自駕車的街景影響分割，進而訓練出更準確的模型。最後，鴻海也成功加速研發出符合醫療器械促進協會（AAMI）的即時、連續性血壓偵測AI，模型訓練時間比先前快上400倍。<a href="https://news.microsoft.com/zh-tw/azure-hpc-foxconn-ai/">（詳全文）</a></p> <p>圖片來源／Disclose.tv、北醫大、高雄市政府、Google、AWS</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟資料治理產品重整為Purview</strong></p> <p><strong>2. Google發表表格文字辨識新模型</strong></p> <p>資料來源：iThome整理，2022年4月</p> </div></div></div>
2022/4/28 12:26作者王若樸https://www.ithome.com.tw/news/150657
蘋果私密轉送VPN功能可能讓macOS機器曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的私密轉送（Private Relay）功能以確保用戶隱私為號召，<a href="https://mullvad.net/en/blog/2022/4/25/apples-private-relay-can-cause-the-system-to-ignore-firewall-rules/" target="_blank">但廠商發現這項技術可能有一瑕疵</a>，可能讓用戶裝置部份資訊被ISP得知。</p> <p>Private Relay功能類似VPN通道或Tor的運作。從用戶端送出流量時，它會以加密連線將網路流量繞經數個轉送伺服器（relay server），再送到網際網路。<a href="https://support.apple.com/zh-tw/HT212614" target="_blank">蘋果表示</a>，這項功能可使Safari用戶上網時沒有人、包括蘋果能看到用戶身份或他造訪的網站，確保上網隱私。私密傳送屬於在iCloud+訂閱服務中的一項服務，目前這項功能還是Beta版，包含在iOS/iPadOS 15以及macOS Monterey版中。</p> <p>VPN廠商Mullvad發現Private Relay功能似乎會忽略防火牆規則，而擅自呼叫蘋果伺服器（call home），引發訊號洩露。他們發現在Mac機器啟動Private Relay功能後，一道QUIC流量在VPN通道之外從電腦送出。一旦關閉這項功能，外溢的訊號就停止了。這道流量是否屬於Private Relay不得而知，但和它有關是確定的。</p> <p>此外，如果macOS電腦內建的PF（Packet Filter）防火牆加入了任何防火牆規則，Private Relay會自行關閉，同樣的，如果用戶的VPN加入防火牆規則，它也會關閉。</p> <p>至於這道訊號是什麼，廠商相信只是傳送給蘋果的heartbeat訊號呼叫，但既然目的地是蘋果伺服器，ISP及用戶本地網路應該也會由此訊號得知這來自macOS裝置。</p> <p>研究人員建議用戶為了以防萬一，最好暫時關閉Private Relay功能。</p> <p>目前蘋果尚未對此回應，但媒體相信，Private Relay會在正式釋出之前予以修復。一般預料蘋果會在今年秋天釋出的iOS 16推出這項服務。</p> </div></div></div>
2022/4/28 13:20作者林妍溱https://www.ithome.com.tw/news/150658
美國懸賞1,000萬美元以追捕Sandworm駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://twitter.com/RFJ_USA/status/1518983587697147906" target="_blank">美國國務院在本周祭出新的正義獎勵（Rewards for Justice，RFJ）計畫</a>，提供最高1,000萬美元的獎金來追捕駭客集團Sandworm的6名駭客。美國相信這6名駭客隸屬於俄羅斯情報局（GRU）的74455部隊，又被命名為Sandworm Team、Telebots、Voodoo Bear與Iron Viking。自2015年起就於全球展開網路攻擊，包括攻擊美國的重大基礎設施。</p> <p dir="ltr">RFJ計畫是專為那些攻擊美國重大基礎設施、違反《電腦詐欺及濫用法令》（Computer Fraud and Abuse Act，CFAA）的通緝犯所設立的獎勵計畫，鼓勵知道駭客身分或位置的線人透過Signal、Telegram、WhatsApp等加密通訊程式，或者美國政府的洋蔥網站向美國提供相關資訊。</p> <p dir="ltr">其實美國應該已經知道這6名駭客的身分，<a href="https://www.ithome.com.tw/news/140613" target="_blank">因為美國司法部早在2020年就起訴了他們</a>，包括34歲的Yuriy Sergeyevich Andrienko、37歲的Sergey Vladimirovich Detistov、30歲的Pavel Valeryevich Frolov、31歲的Anatoliy Sergeyevich Kovalev、29歲的Artem Valeryevich Ochichenko，以及34歲的Petr Nikolayevich Pliskin ，他們全都被指控7項罪名，包括電腦詐欺、電匯詐欺及身分竊盜等。</p> <p dir="ltr">此外，美國的懸賞海報上也刊出了他們的照片，宣稱這些駭客替俄羅斯政府執行惡意的網路活動，以攻擊美國的重大基礎設施。</p> <p dir="ltr"><img alt="" src="https://pbs.twimg.com/media/FRSDhaxWYAEmkZY?format=jpg&name=900x900" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國務院</span></span></p> <p dir="ltr">Sandworm駭客集團曾在2015年利用KillDisk及Industroyer造成烏克蘭大停電；在2017年以魚叉式網釣攻擊企圖影響法國的總統大選；2017年釋出的NotPetya危害了醫療機構、FedEx、TNT Express，以及美國大型的製藥公司；在2018年攻擊於南韓舉行的冬季奧運會；在2018年針對禁止化學武器的組織與英國國防科學技術實驗室進行魚叉式攻擊；同年亦大規模攻擊喬治亞的政府機構與民間企業。</p> <p dir="ltr">即使於2020年遭到美國起訴，Sandworm依然故我，<a href="https://www.ithome.com.tw/news/150300" target="_blank">美國相信在今年感染WatchGuard防火牆與華碩路由器的殭屍網路惡意程式Cyclops Blink亦是出自Sandworm之手</a>。</p> <p><a href="https://www.state.gov/rewards-for-justice-reward-offer-for-information-on-russian-military-intelligence-officers-conducting-malicious-activity-against-u-s-critical-infrastructure/" target="_blank">美國國務院表示</a>，Sandworm的惡意行為迄今已造成美國實體近10億美元的損失。</p> </div></div></div>
2022/4/28 11:08作者陳曉莉https://www.ithome.com.tw/news/150654
微軟揭露Linux的權限擴張漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/04/26/microsoft-finds-new-elevation-of-privilege-linux-vulnerability-nimbuspwn/" target="_blank">微軟本周揭露影響許多Linux版本的權限擴張漏洞</a>，相關漏洞存在於Systemd的networkd-dispatcher套件中，漏洞編號為CVE-2022-29799與CVE-2022-29800，微軟把它們統稱為Nimbuspwn漏洞，將允許駭客取得系統權限以部署酬載或執行其它惡意活動。</p> <p>networkd-dispatcher套件為許多Linux版本的套件，負責調度網路狀態的變更，還能執行各種腳本程式來回應新狀態，在機器啟動時便以根權限身分運作。</p> <p>微軟首席安全研究人員Jonathan Bar Or指出，他們會發現Nimbuspwn漏洞是因為他們會監控System Bus上的訊息，也會針對那些以根權限執行的服務進行程式碼的審核與動態分析，進而察覺到networkd-dispatcher的奇怪模式。</p> <p>Nimbuspwn漏洞涉及目錄遍歷（Directory Traversal）、符號連結競爭（Symlink Race），以及檢查時間/使用時間競爭條件（Time-of-Check-Time-of-Use Race Condition）等問題，得以讓駭客擴張權限，以部署惡意程式或執行其它惡意行為。</p> <p>Bar Or說，隨著各大組織持續仰賴不同的裝置與系統，它們需要全面的解決方案來提供跨平臺的保護，Linux環境中愈來愈多的安全漏洞亦彰顯了監控Linux及其元件的必要性。</p> <p>networkd-dispatcher的維護者Clayton Craft已修補了上述漏洞，Linux用戶則應於所使用的版本更新時儘速升級。</p> </div></div></div>
2022/4/27 21:01作者陳曉莉https://www.ithome.com.tw/news/150653
【資安日報】2022年4月27日，德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著烏克蘭戰爭的持續進行，伴隨著西方國家對於俄羅斯祭出經濟制裁，尤其是歐洲國家試圖透過再生能源擺脫對於該國的能源依賴，使得相關業者也遭到俄羅斯駭客鎖定。歐洲風力能源委員會（WindEurope）指控，最近幾起與德國風力發電有關業者遭到攻擊的事故，都是俄羅斯駭客出手，目的很可能都是企圖阻撓德國透過這種方式產生所需電力。</p> <p>而在烏克蘭戰爭之外，鎖定重大漏洞發動攻擊的事故也相當值得留意。在今天的資安新聞裡，伊朗駭客利用VMware身分驗證系統的重大漏洞CVE-2022-22954發動攻擊，但在此之前，已有人利用此漏洞散布Linux惡意軟體。</p> <p>我們把焦點轉回國內，隨著Omicron疫情升溫，臺北市不少學校相繼出現停課的情況，師生在被隔離的期間利用遠距教學上課。但在這個時候，臺北市線上教學平臺酷課雲卻傳出遭到DDoS攻擊的事故，而且，在2天之內已遭到4次攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150625"><span style="color: rgb(0, 0, 0);">德國多家風力發電廠遭到網路攻擊，疑與俄羅斯駭客有關</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150480#nordex">勒索軟體駭客Conti於3月底，對於德國風力發電機製造商Nordex發動攻擊</a>，但這很可能不是單一事件。根據華爾街日報的報導指出，歐洲風力能源委員會（WindEurope）指控，聲援俄羅斯的駭客組織，近日鎖定了因俄羅斯遭到經濟制裁而受惠的產業下手，尤其是對於再生能源之一的風力發電，且其中多起事件都是針對德國業者而來。</p> <p>在俄羅斯開始出兵烏克蘭之際，風力發電機製造商Enercon GmbH即因<a href="https://www.ithome.com.tw/news/150233#viasat">衛星網路（編按：此處應指美國衛星網路Ka-sat）遭到攻擊</a>，駭客切斷該公司對於近6千臺發電機的遠端控制能力；再者，就是3月底Nordex的資安事故；而到了4月上旬，風力發電維運業者德唯特（Deutsche Windtechnik）亦傳出遭到勒索軟體攻擊，導致約2千臺發電機的遠端控制系統停擺了大約一天。WindEurope認為，雖然上述風力發動業者沒有直接表明是遭到俄羅斯駭客襲擊，但這些駭客很可能出於上述報復的動機，繼續對相關業者出手。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.morphisec.com/vmware-identity-manager-attack-backdoor"><span style="color: rgb(0, 0, 0);">又有駭客鎖定4月初VMware公布身分驗證系統的漏洞，發動惡意軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT35-CVE-2022-22954.png" style="width: 300px; float: right;" /></a>VMware在4月6日針對旗下的Workspace ONE Access、Identity Manager等解決方案，發布漏洞修補程式，<a href="https://www.ithome.com.tw/news/150450#CVE-2022-22954">先前已有重大漏洞被用於散布Linux惡意軟體</a>，但最近有資安業者指出，APT駭客也開始利用這些漏洞發動攻擊。資安業者Morphisec指出，他們在4月11日，看到有人公布CVE-2022-22954的概念性驗證（PoC）攻擊程式後，伊朗駭客組織APT35（亦稱Rocket Kitten），也開始利用相關漏洞發動攻擊。</p> <p>這些駭客先於存在弱點的VMware Identity Manager執行PowerShell命令，從C2伺服器下載惡意程式載入器PowerTrash，並將滲透測試工具Core Impact載入記憶體內執行。在攻擊的過程中，駭客不只運用CVE-2022-22954，也利用了另外兩個需要管理者權限的RCE漏洞CVE-2022-22957、CVE-2022-22958。研究人員針對C2伺服器進行調查，疑似與主機代管業者Stark Industries有關，但該主機代管業者的母公司PQ Hosting SRL表示，他們的子公司沒有參與相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/coca-cola-investigates-hackers-claims-of-breach-and-data-theft/"><span style="color: rgb(0, 0, 0);">駭客組織聲稱入侵可口可樂，竊得161 GB資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Stormous-poll.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stormous-poll.png" style="width: 300px; float: right;" /></a>日前<a href="https://www.ithome.com.tw/news/149780#mercado">勒索軟體駭客Lapsus$利用Telegram頻道舉行投票</a>，以決定接下來要公布受害組織資料的對象，如今也有其他組織仿效。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Stormous聲稱近期成功入侵飲料大廠可口可樂，並竊得161 GB資料，內容為含有文件的壓縮檔案，以及具有管理員、電子郵件、密碼的純文字檔案、帳號與付款資料的ZIP壓縮檔案等，駭客以1.65個比特幣（約6.4萬美元）的價格銷售這些資料。而這些駭客也傳出在下手之前，先在Telegram群組徵求其他支持者的意見，結果有超過7成的用戶投給了可口可樂。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-dental-association-hit-by-new-black-basta-ransomware/"><span style="color: rgb(0, 0, 0);">美國牙醫協會遭到勒索軟體Black Basta攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊醫療機構的態勢，如今也延燒到相關的保健推廣機構。根據資安新聞網站Bleeping Computer的報導，美國牙醫協會（ADA）於4月22日遭到網路攻擊，被迫將受影響的系統離線，暫停網站上的多項服務。此起事故不光ADA的網站部分服務停擺，也波及美國各州的牙醫協會，該新聞網站認為，這很可能是勒索軟體攻擊事件。</p> <p>上述事故發生不久，資安研究團隊MalwareHunterTeam向Bleeping Computer透露，名為Black Basta的勒索軟體駭客組織聲稱攻擊ADA得逞，並公開2.8 GB的外洩資料，約占他們竊得資料的三成。這些外洩的資料多半與ADA會員有關，ADA認為，駭客很有可能會利用這些資料，對牙醫診所進行網釣攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-the-ink-stained-trail-of-goldbackdoor/"><span style="color: rgb(0, 0, 0);">北韓駭客利用惡意軟體Goldbackdoor攻擊記者</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Kang-Min-chol-Edits-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kang-Min-chol-Edits-2.png" style="width: 300px; float: right;" /></a>根據新聞網站NK News於4月1日的報導，北韓駭客組織APT37（亦稱Ricochet Chollima）疑似鎖定專門報導該國新聞的記者發動網路釣魚攻擊，該網站尋求資安業者Stairwell進行調查，最近有了進一步的結果。</p> <p>研究人員發現，駭客組織利用南韓國家情報局（NIS）前局長的名義寄送釣魚郵件，並要求記者透過連結下載含有LNK捷徑檔案的ZIP壓縮檔，駭客將此LNK檔案的圖示置換成文件的樣式，且檔案大小有282.7 MB，而使得防毒軟體可能會略過檢查。但實際上，受害者一旦執行LNK檔案，將會從OneDrive或Google Drive，下載名為Goldbackdoor的惡意軟體，進而執行竊密的工作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/150623"><span style="color: rgb(0, 0, 0);">無聊猿猴IG帳號遭駭，駭客盜走粉絲近3百萬美元的NFT</span></a></strong></h3> <p>非同質化代幣（NFT）吸引許多人投資的同時，也屢屢遭到駭客覬覦，例如，藝人周杰倫的無聊猿猴NFT於4月初遭竊，<a href="https://www.ithome.com.tw/news/150516#rarible-jaychou">駭客很可能利用了NFT市集Rarible的漏洞攻擊得逞</a>，而這次則是鎖定官方社群網站帳號下手。無聊猿猴遊艇俱樂部（BAYC）於4月25日發布警告，指出他們的Instagram帳號遭到駭客挾持，駭客假借BAYC的名義發布詐騙網址，偷走了91個NFT，價值逾280萬美元。值得留意的是，BAYC已採用雙因素驗證機制，究竟駭客如何取得他們的Instagram帳號控制權？仍有待進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.appledaily.com/life/20220426/KVUUKSFXO5AN5G7OQNCJAMVHQA/"><span style="color: rgb(0, 0, 0);">北市線上教學平臺酷課雲遭DDoS攻擊而停擺</span></a></strong></h3> <p>近期臺灣Omicron疫情爆發，臺北市是重災區，許多學生和老師在隔離的狀況下必須仰賴線上授課，卻傳出相關平臺遭到DDoS攻擊而停擺。臺北市線上教學平臺酷課雲約於4月25日下午1時5分，疑似出現大量登入連線導致該系統中斷服務1個小時，<a href="https://www.doe.gov.taipei/News_Content.aspx?n=0F560782595DACFC&sms=72544237BBE4C5F6&s=529CE07A4A3ACEA2">臺北市政府教育局先是發出公告指出</a>，很可能是負責維運的業者臺灣智園的資源自動調度失靈所致，經廠商搶修後，該系統已於當日下午2時30分恢復正常，此起事故影響範圍為課堂點名與作業繳交，直播授課不受影響。</p> <p>隔日，臺北市政府於防疫記者會針對此事做出進一步說明，指出此起事故是來自國外IP位址的DDoS攻擊，該系統處理1萬次請求而導系統癱瘓，截至26日下午的記者會之前，這樣的攻擊行動已出現4起。臺北市政府指出，他們正在升級酷課雲的資安防護系統，希望能夠讓學生和老師能正常上課。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/4/27 18:17作者周峻佑https://www.ithome.com.tw/news/150652
簡訊實聯制午夜退場，家用快篩劑實名制28日啟動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因疫情變化，中央流行疫情指揮中心今日（4/27）宣布2大新措施，首先是取消簡訊實聯制、改以社交距離App因應，另一是明日啟動家用快篩實名制，民眾以健保卡就可至藥局和偏鄉衛生所購買。</p> <p>指揮中心表示，因COVID-19疫情進入社區流行階段，因此取消公共場所簡訊實聯制，並鼓勵民眾下載臺灣社交距離App來替代。指揮官陳時中表示，近日團隊正進行社交距離App改版，來因應簡訊實聯制退場。簡訊實聯制將於28日零時結束運作，但指揮中心表示，民眾出入場所時，仍應出示App畫面。</p> <p>另一方面，因應疫情急速上升、家用快篩試劑需求大增，指揮中心宣布家用快篩試劑販售實名制明日上路，民眾可持健保卡或居留證，至全國4,909家健保特約藥局及58個偏鄉衛生所購買，無年齡限制，每人都可購買。</p> <p>其中，販售模式依循先前口罩實名制1.0初期，以身分證字號尾數單雙號進行分流，單號星期一、三、五，雙號則是二、四、六，周日開放全民購買。不過，每輪每個身分證字號只能購買1次，也可代替他人購買，指揮中心會視情況公布下一輪日期。</p> <p>就購買份數來說，每人購買1份，每份包含5劑，每劑100元，因此共500元。指揮中心計畫販售至少5,000萬劑，共1,000萬份（人次）。民眾可至健保署、食藥署、藥師公會官網查詢販售資訊。</p> <p>最後，指揮中心提醒，口罩實名制實施至今歷時2年多，將於4月30日完成第一階段的任務，多數藥局將轉為快篩試劑實名制販售通路，因此，5月1日起想購買口罩實名制的民眾，得至145家藥局購買，藥局名單可至食藥署官網查詢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10-0426%E5%AE%B6%E7%94%A8%E5%BF%AB%E7%AF%A9%E5%AF%A6%E5%90%8D%E5%88%B6%E8%A6%8F%E5%8A%83-02.jpeg" /></p> <p>另，指揮中心也針對新疫情措施提供更多補充資訊，像是確診者通知密切接觸者，但密切接觸者尚未收到居家隔離書時，可先自行進行居家隔離3天，以及自主防疫4天。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-01.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-02.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-03.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-04.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0427%E8%BF%91%E6%9C%9F%E6%B0%91%E7%9C%BE%E9%80%B2%E7%B7%9A1922%E5%B8%B8%E8%A6%8B%E5%95%8F%E9%A1%8C-05.jpeg" /></p> </div></div></div>
2022/4/27 15:19作者王若樸https://www.ithome.com.tw/news/150648