iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第142期：加強對烏克蘭戰爭抵制，SAP將全面撤出經營30年的俄國雲端業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（04/21～04/27）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端CDN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影音串流 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>Google推出雲端Media CDN服務，可提供媲美YouTube影音內容平臺規模的大型影音串流體驗</strong></span></p> <p>在近日舉辦的2022 NAB Show影音串流峰會上，Google Cloud推出雲端Media CDN內容交付服務，將其為20億YouTube用戶影音串流所建立的基礎架構加以商用化後，而推出全新的大型影音串流CDN服務。</p> <p>根據Google Cloud說明，雲端Media CDN服務是一個現代化、可擴展的平臺，讓串流影音或內容平臺業者可以透過它向所有人提供更高效、智慧化的串流影音體驗。</p> <p>該服務主要是將過去Google為逾20億用戶提供YouTube影音串流內容而建立的基礎架構，轉為雲端CDN服務來提供，並以現有用於 Web和API加速的Cloud CDN產品為基礎進行開發，也因此，Google Cloud表示，MediaCDN服務範圍，能夠覆蓋 200個國家及地區共 1,300 多個城市。</p> <p>除了可在GCP全球各個雲端基礎設施上執行之外，Media CDN用戶也能根據個別需求制定交付協議，能支援QUIC （HTTP/3）、TLS 1.3 和 BBR等協定，並針對最後一哩路內容交付進行優化。</p> <p>Media CDN本身也提供了分潤功能，還整合插入廣告、生態系統和平臺可擴展性，例如串流影音業者可以通過Video Stitcher API 的整合廣告服務來獲取盈利，該 API 允許在影音內容中動態插入廣告，並也引進AI/ML技術，提高使用者沉浸體驗。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 烏克蘭戰爭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SAP </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>擴大抵制烏克蘭戰爭，SAP將全面退出俄國雲端業務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 300px;" /></p> <p>烏克蘭戰爭開打至今已兩個月，但仍看不見終戰的跡象，不只國際間持續加強制裁的力道，不少大型企業也擴大抵制範圍，例如最早被烏克蘭點名加入抵制的企業商用軟體巨頭SAP，近日宣布將全面退出俄國業務，包括雲端服務和On-Premise本地產品，以支持烏克蘭政府和人民。</p> <p>早在3月初時，SAP已經在俄羅斯和白俄羅斯暫停所有SAP服務和產品銷售，而現在更進一布計畫全面退出已經營30年的俄國市場。</p> <p>在雲端業務方面，SAP表示，目前正逐步關閉俄羅斯當地雲端服務，對於存放其資料中心內的客戶數據，將允許非受到制裁的俄羅斯公司將其數據刪除、發送或遷移到俄羅斯以外的資料中心，但服務或訂閱合約屆滿後將不再與其續約。</p> <p>除了不再提供雲端服務，SAP未來也考慮不再提供俄羅斯On-Premise產品後續維護及其服務支援，但對於已經採用其產品的俄羅斯客戶未來仍可繼續使用。</p> <p>而從SAP最新一季財報中也揭露，由於退出俄羅斯雲端及On-Premise市場，預期對於2022年財年收入影響約3億歐元。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Woolworths </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端ERP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>澳洲最大連鎖超市Woolworths全面擁抱雲端，更將關鍵核心ERP搬上公雲加速轉型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1.jpg" style="width: 600px; height: 393px;" /></p> <p>澳洲最大連鎖超市Woolworths，為了加速轉型擁抱雲端，花了2年完成將關鍵核心ERP等系統搬上公雲，希望透過上雲加速轉型與服務創新。</p> <p>Woolworths目前在澳洲有上千家門市，過去許多業務關鍵核心系統，採用地端SAP ERP 、SAP Retail for Merchandise Management 和SAP CustomerActivity Repository on HANA平臺，包辦所有零售務流程，從商品訂購、庫存管理到將貨品送到顧客手中，以及財務支援等。</p> <p>但為了要能夠因應市場不斷變化的顧客需求，同時還要提高營運彈性，Woolworths兩年前決定擁抱雲端加速轉型，第一步就是將關鍵核心系統搬上公雲，並以Azure作為主要的搬遷平臺。</p> <p>這項搬遷計畫，對於Woolworths可說是一大工程，超過200多人團隊，包括Woolworths技術團隊、微軟工程師、SAP、TCS顧問公司共同執行，在8個月內總計完成遷移了20多個 SAP 應用程式、75 TB數據、135臺資料庫和435臺應用程式伺服器到Azure。除了將系統搬上公雲，Woolworths內部也同時加強自身災難恢復能力，提高服務可靠性和彈性</p> <p>Woolworths企業系統技術總監Laurence Bennett表示，透過擁抱雲端，可以幫助公司創新並加快服務上線，更將成為門市與數位化通路中提高顧客體驗的關鍵驅力。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 財報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務</span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟最新一季Azure雲端業績成長破3成，達234億美元</strong></span></p> <p>微軟於26日公布2022年第三季財報，該季營收達到494億美元，成長18％，主要受惠於本季雲端業務的成長強勁，幫助整體營收的增長。根據財報顯示，該季雲端營收達到了234億美元，較去年同期增長32%，反應出，在疫情下，企業上雲需求仍然不減。</p> <p>進一步來看，以智慧雲（Intelligent Cloud）的26%營收增長最快，達到191億美元，歸功於Azure和其他雲服務收入增長，光這個部分的收入，就占了快一半伺服器和雲端服務收入。</p> <p>其次，在生產力和業務流程營收為158億美元，增長17%，包括Oce 365商用產品、Office消費性產品及雲服務都有超過1成增長，也使得Microsoft 365消費訂閱用戶數提高至5,840萬戶。另外，以Dynamics 365為主的Dynamics產品及其雲服務也增長了22%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Log4Shell </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 漏洞 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>資安研究員發現AWS的Log4j漏洞熱修補不完全，導致新增4項漏洞</strong></span></p> <p>近日，資安廠商Palo Alto Networks安全研究人員發現，AWS用來熱修補Log4Shell漏洞所安裝的hotpatch及相關AWS自有容器Linux發行版Bottlerocket的OCI hooks（名為Hotdog）存有數項漏洞，可利用這些漏洞控制底層伺服器，Palo Alto更將4項漏洞風險分別評為8.8。所幸，在通報後，AWS已經修補完成。</p> <p>其中CVE-2021-3100、CVE-2021-3101漏洞較早出現。CVE-2021-3100影響hotpatch for Apache Log4j 1.1-12版本以前的權限升級漏洞，在未經授權的處理執行過程中，可以利用這些漏洞來提升權限並獲得對底層伺服器的完全控制。CVE-2021-3101則影響Hotdog v1.0.1版本以前的容器逃逸（containerescape），使同一個環境，包括伺服器或Kubernete叢集上所有容器的惡意程式可接管底層主機。</p> <p>由於hotpatch for Apache Log4j 1.1-12及Hotdog v1.0.1並未能修補成功，因而衍生出CVE-2022-0070和CVE-2022-0071。AWS接獲通報後，隨即也針對Amazon Linux、Amazon Linux 2釋出了新版熱修補更新包，包括hotpatch for Apache Log4j（Version 1.1-16）及Hotdog（Version 1.02）。</p> <p>AWS也建議所有在容器內執行Java應用程式，以及使用具有hotpatch 的Bottlerocket用戶應立即升級到最新版。</p> <p><strong>圖片來源／富士通</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.美司法部對於Google Cloud收購安全廠商Mandiant一案展開調查</strong></strong></p> <p><strong><strong>2.AWS雲端數位分身服務IoT TwinMaker正式推出上市</strong></strong></p> <p><strong><strong>3.VMware服務也搬上阿里雲！阿里雲推出企業Alibaba Cloud VMware Service服務</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年4月</strong></strong></p> </div></div></div>
2022/5/9 09:26作者余至浩https://www.ithome.com.tw/news/150822
傳中國政府部門、國企禁用外國電腦產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/markets/status/1522420624337031168" target="_blank">彭博報導</a>，中國以資訊安全為由，已下令政府機關與國營企業在2年內汰換外國品牌電腦，改使用中國國產產品。</p> <p>報導引述消息人士指出，除了取得特別許可的單位外，中國政府要求政府機構及國營企業員工上繳外國品牌電腦，並發派本地廠牌PC。光是中央政府第一級單位就將汰換5,000萬臺PC。HP、Dell將是這波禁令首當其衝的受害者。</p> <p>消息人士指出，之後除了中央政府，本命令也將擴及地方政府機關。雖然目前取得特別許可相對容易，但未來可能會愈來愈難。</p> <p>中國政府目前僅針對PC系統及作業系統下達汰換令，不包括處理器等難以更換的元件，但消息人士說也不排除未來這些元件也會列入禁用範圍。</p> <p>中國PC大廠聯想、浪潮儘管名列全球PC市場前五大，但它們的產品仍仰賴美國晶片業者如英特爾（Intel）或AMD的處理器。在作業系統方面，中國政府以推動Linux為一貫政策。位於上海的中標軟件是中國Linux作業系統的主要供應商。</p> <p>報導指出，此波命令反映中國對外國PC軟、硬體的不信任，欲藉由汰除外國產品降低資安風險。同時這也視為對美國自川普政府以來封鎖華為、中興等廠商的回應。從前任政府以來，美國商務部已經接連以資安、或國安為由，禁止電信業者採用華為、中興的網路設備、及Tiktok、微信等服務，還公布實體名單禁止作業系統軟體、晶片以及量子電腦技術輸出給中國業者。</p> <p>中國也非第一次回擊美國的封鎖。<a href="https://www.ithome.com.tw/news/140117" target="_blank">2020年底中國政府頒布《不可靠實體清單規定》</a>，把危害中國主權、安全與發展利益的外國組織或個人列入黑名單。</p> </div></div></div>
2022/5/9 09:36作者林妍溱https://www.ithome.com.tw/news/150823
新版Tor瀏覽器以壅塞控制技術提升網路速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.torproject.org/congestion-contrl-047/" target="_blank">Tor（The Onion Router）專案組織上周宣布</a>將釋出加入可提升連線速度技術的新Tor瀏覽器0.4.7.7版本。</p> <p>Tor 0.4.7.7是第一個支援壅塞控制（Congestion Control）的穩定版本。壅塞控制可移除現有Tor的速限，同時最小化在不同轉接（relay）階段的佇列長度，藉此降低延遲性，大幅提升Tor效能，也能最大化網路頻寬利用率。</p> <p>Tor雖然能保護使用者匿名通訊及隱私，但網路節點壅塞及出口節點長佇列卻也讓Tor連線速度受到影響。Tor專案過去20年一直試圖解決這個問題，現在似乎有了重大突破，關鍵在壅塞控制（congestion control）。</p> <p>Tor專案小組解釋，壅塞控制是分散式網路的一項適應特性。TCP壅塞控制主要透過減少掉封包，使流量速度可以提升到路由器佇列滿溢（overflow）為止，同時降低掉封包的速度。以TCP的專業術語來說，即將壅塞空窗（congestion windows）設定等於路徑的頻寬時延乘積（bandwidth-delay product）。</p> <p>Tor專案使用了3項演算法，包括Tor-Westwood、Tor-Vegas及Tor-NOLA來解決壅塞問題。其中Tor-Westwood目的在減少幹道上掉封包情形，Tor-Vegas可估計佇列長度而及早排解掉，Tor-NORA則可模擬頻寬延遲。</p> <p>使用新技術的結果是網路頻寬及端點獲得最大利用，且降低掉封包對流速的影響。升級到Tor 0.4.7以上版本的出口端點或洋蔥服務（Onion Services）將可感受到效能提升。因此Tor維護單位呼籲Tor出口節點的伺服器管理員儘速升級。</p> <p>至於非出口轉接伺服器的管理員，Tor 專案指出，更快效能及流量意謂著很快就能使用Tor網路所有容量，那麼結果是所有轉接很快就會碰到新的瓶頸，包括Tor網路內部（非出口節點）轉接伺服器。因此，技術上他們不一定得升級到壅塞控制版Tor，但得開始留意頻寬限制，而有了壅塞控制版本則可完全預防瓶頸的發生。</p> <p>至於能有多少改善，Tor專案表示，由於網路利用率將近25%，他們預期頭幾名用戶會感到傳輸率「非常高」，等大部份用戶端升級後，又會形成新的平衡秩序。必須等大部份Tor出口端點都升級整體流速才會提升，為此Tor專案押後到5月31日才釋出Tor 0.4.7穩定版。</p> </div></div></div>
2022/5/9 09:47作者林妍溱https://www.ithome.com.tw/news/150824
蘋果iCloud文件同步服務整合進iCloud雲碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT211995" target="_blank">蘋果本周宣布</a>iCloud文件與資料（Documents and Data）已整合到iCloud雲碟（iCloud Drive）服務中。</p> <p>iCloud文件與資料是2014年推出的文件同步服務，可將不同應用程式資料或文件自動同步，並供iPhone、iPad、iPod touch、Mac電腦或 PC多種裝置存取。去年5月蘋果宣布，將在一年後把這項服務整合到iCloud雲碟（iCloud Drive）。如今蘋果已完成2項服務的整併。</p> <p>根據蘋果網頁，iCloud文件和資料服務已經終止，由iCloud Drive取代。iCloud文件和資料的用戶帳號也已轉移到iCloud Drive上。iCloud文件和資料服務的用戶需開啟iCloud Drive才能看到檔案。整併後，用戶原本的儲存空間也不會變。</p> <p>除了2014年以前已使用iCloud，卻未開啟文件與資料服務的用戶外，大部分iCloud用戶應不會受這次整併影響。</p> </div></div></div>
2022/5/9 09:57作者林妍溱https://www.ithome.com.tw/news/150825
不只解放政府行動力關鍵，自然人憑證行動化將拓展更多第三方應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">作為電子化政府的重要基礎，自然人憑證從2004年開始發行，18年來發了836萬張，現在仍有332萬張有效，光是去年就有3億次使用。</p> <p>今年2月，自然人憑證迎來新的改變，內政部迎合行動化的趨勢，推出行動自然人憑證（後面簡稱行動憑證）App，將實體憑證行動化，與手機結合，還支援FIDO，不需輸入密碼，通過指紋或臉部辨識，就能使用行動憑證線上身分識別、電子簽章。但目前並非所有手機都能使用，基於安全設計需要，Android 7以上、iOS 14以上版本手機才能使用。</p> <p><span style="font-size:28px;"><strong>打破實體憑證限制</strong></span></p> <p>負責憑證行動化的內政部資訊中心主任黃國裕坦言，過去自然人憑證使用仍有許多瓶頸，民眾需到各地戶所本人臨櫃申辦需支付250元，這張實體卡需使用電腦、讀卡機，並輸入密碼。卡片長期插拔使用也容易造成耗損。</p> <p>行動自然人憑證App（英文名稱仍是TW FidO），用以取代2019年推出的TW FidO，差別是，舊的TW FidO只有憑證的身分識別功能，而行動憑證App具備完整的自然人憑證功能，包括身分識別、電子簽章，將自然人憑證行動化，結合手機帶著走。內政部的目標是讓現有332萬有效自然人憑證用戶，未來都能註冊使用行動自然人憑證。</p> <p><span style="font-size:28px;"><strong>釋放政府行動力</strong></span></p> <p>實體自然人憑證行動化後，不再需要電腦與讀卡機，應用上更有彈性。例如目前公務員使用自然人憑證簽核公文，必需在定點使用電腦設備讀取卡片，改用手機的行動憑證不需讀卡就能簽核公文，更彈性、更有效率，已吸引一些地方政府，包括臺北市、新北市、嘉義市準備介接行動自然人憑證系統。</p> <p>甚至在疫情期間，公務機關基於防疫需要，緊急實施異地上班或居家上班，也能使用行動憑證登入公務系統。不只是公關機關，一般民眾如果因為居家隔離，或因為確診被送到防疫旅館、醫院，無法外出到政府機關臨櫃辦理服務，身邊如沒攜帶實體憑證，可透過行動憑證使用政府服務，例如手機報稅、申請COVID-19數位健康證明等等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%85%A7%E6%94%BF%E9%83%A8-%E5%9C%961-%E4%BE%86%E6%BA%90-%E5%85%A7%E6%94%BF%E9%83%A8.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／內政部</span></span><br /><strong style="color: rgb(105, 105, 105);">民眾登入線上應用服務，透過任何裝置發送行動自然人憑證的認證請求，該應用服務系統介接內政部MOICA的行動憑證系統，透過Open ID與用戶的行動憑證App進行身分驗證，並將驗證結果回傳給應用服務系統。</strong></p> <p><span style="font-size:28px;"><strong>已開放電信業和金融業介接</strong></span></p> <p>不只政府機關使用，內政部未來計畫擴大行動憑證的應用情境，讓更多人願意使用行動自然人憑證。</p> <p>首先，內政部在行動自然人憑證的介接管理辦法中，先開放電信、金融業者介接行動憑證系統，主要的考量是，這兩個行業受到主管機關的高度監管，電信業主管機關NCC原本就沒有排除業者使用自然人憑證，而金管會已排除金融業適用自然人憑證依循的電子簽章法，內政部將和金管會溝通希望鬆綁政策，讓金融業也能使用自然人憑證。</p> <p>黃國裕表示，目前已有3家銀行提出介接測試行動憑證系統的申請，銀行業者希望結合自然人憑證發展創新的金融服務，由於金管會今年正推動主題式沙盒，鼓勵業者發展數位身分認證及授權的創新應用，未來完成測試介接，可望向金管會提出沙盒實驗申請。不只是電信、金融業，未來也希望和其他領域介接，與民間單位合作催生更多應用。</p> <p>黃國裕表示，內政部有意願扮演憑證驗證的角色，介接更多的應用系統，並發揮行動憑證的簽章授權功能。企業可將身分驗證交給第三方執行，企業只要保留Log就好，誰使用自然人憑證與企業作身分驗證，何時使用什麼樣的身分，進行何種交易，都能由內政部資訊中心驗證，企業自行保留Log，日後發生糾紛時可向內政部調閱紀錄。</p> <p><span style="font-size:28px;"><strong>支援5種身分識別模式</strong></span></p> <p>為了擴大行動自然人憑證的應用，行動憑證目前提供5種身分識別模式，包括QR Code、推播、Mobile Web2App、網頁轉導模式、App2App，以支援網頁、App不同形式的身分識別需求。</p> <p>根據設計，當用戶從各種裝置向應用服務發出身分認證請求，應用服務會向內政部行動自然人憑證系統發出認證請求，接下來行動自然人憑證系統和用戶手機的行動憑證App之間，以Open ID伺服器與用戶端方式進行金鑰驗證，確認驗證通過或未通過，認證結果最後由行動自然人憑證系統回報給應用服務，認證的過程需經過6道步驟，內政部規畫，服務SLA要求在5秒內，在一般網路下測試，約需2到3秒，為加快回應時間，行動憑證與實體憑證同樣採用CDN，讓行動憑證回應時間體驗儘量一致或接近。</p> <p><span style="font-size:28px;"><strong>實體機關、商家未來也可以使用</strong></span></p> <p>雖然依據電子簽章法，自然人憑證或行動自然人憑證主要的應用以網路世界為主，但行動憑證在技術上，也可能被應用在實體機關或商家。內政部內部曾經構想這樣的情境，未來警察臨檢查驗民眾的身分證，民眾可出示行動自然人憑證取代身分證，警員透過攜帶的裝置掃描QR Code，獲得行動憑證的簽章授權，從戶政系統取得民眾的資料，達到臨檢的目的。</p> <p>如此一來，只要實體機關願意接受行動自然人憑證，以後民眾到機關臨櫃辦理服務，也可使用行動憑證App授權該機關，從其他系統取得民眾的資料，取代傳統提供身分證件的做法。或者，民眾先以行動憑證至國發會MyData下載資料到手機內，到機關櫃檯辦理服務時，只要提供手機內的資料，不需紙本的文件資料。</p> <p>黃國裕認為，這樣的情境在技術上可行，但主為還是要視實體機關、商家採用行動自然人憑證的意願而定。</p> <p><span style="font-size:28px;"><strong>僅1成政府服務介接，仍不夠多</strong></span></p> <p>目前約有700個政府機關的系統介接了自然人憑證來驗證，而甫推出不到3個月的行動自然人憑證，僅有超過60個政府系統介接，支援的政府服務數量還不夠多。這是因為自然人憑證與行動自然人憑證是不同的系統，因此，政府單位需要重新進行介接與測試。</p> <p>實體自然人憑證的兩大功能，身分驗證（authentication）及簽章的授權（authorization），當應用服務使用自然人憑證的身分驗證功能時，會定時從伺服器下載憑證廢止清冊（CRL），在應用服務的本機端比對使用者的憑證是否為有效的憑證，完成身分的驗證，由於是下載清冊在本機端比對，不需連回內政部系統，但使用簽章授權功能時，則需連回內政部的系統來驗證簽章。</p> <p>由於自然人憑證內的金鑰無法匯出，因此需使用自然人憑證線上註冊行動自然人憑證，在手機內的trust zone，產生一個行動憑證的私鑰，這個trust zone以白箱（White box）加密，透過Pin碼或生物特徵與裝置綁定，為確保App的安全，以源碼混淆、動態自我保護機制。每次使用行動憑證進行身分驗證或是簽章授權，都會回到內政部資訊中心的伺服器，確認是否為當初的實體憑證授權所產生的金鑰。</p> <p><span style="font-size:28px;"><strong>明年可至戶所直接註冊行動憑證</strong></span></p> <p>黃國裕表示，原本TW FidO用戶批評，需要重新以自然人憑證在電腦註冊行動自然人憑證，這是基於安全設計的考量，因此需以本人當初在戶所申請的自然人憑證註冊行動憑證，在手機內的安全元件產生新的金鑰，符合ISO 29115數位身分驗證第3級LoA3，等同實體自然人憑證。</p> <p>內政部今年底簡化步驟，新式自然人憑證可以NFC和手機輕觸，以讀取實體憑證註冊行動憑證。而明年底，民眾到戶所還可直接註冊行動自然人憑證。</p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/news/150787
行動自然人憑證應用四大情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 行動自然人憑證應用情境1 </span></span> <span style="color: rgb(51, 153, 255);">公文行動簽核更即時</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-4%E6%83%85%E5%A2%83-%E5%9C%961-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-600.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">【</strong><strong><span style="color:#696969;">手機免讀卡就能簽核公文</span></strong><strong style="color: rgb(105, 105, 105);">】透過手機上的行動自然人憑證App，擺脫電腦與讀卡機的使用限制，公務人員隨時隨地都能簽核公文。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><strong>目前政府內部公文簽核，需使用自然人憑證完成簽核，但實體的自然人憑證使用有限制，除了需要搭配公務電腦或筆電，以及讀卡機，電腦環境的設定也比較複雜，且需要在辦公室等定點場所才能使用，即使外出攜帶公務筆電，也需要帶著讀卡機、自然人憑證，然而在外要審閱公文、簽核公文，需要一個比較安定的場所才能進行，但是在實務上，可能因為乘車、步行移動，很難有足夠的時間、合適的場所處理公文。</strong></p> <p><strong>由於在外使用自然人憑證需要攜帶電腦設備及自然人憑證，實務上並不是那麼方便，因此部分的公務機關，等到單位主管回到辦公室，才能使用自然人憑證簽核公文，但這麼一來，就會延長整個公文處理的時間。基於行政效率，政府機關公文處理規定有處理的時效性，一般的公文處理，時效性為6天，時效性較高的公文為3天或1天，逾期就可能導致疏失，承辦人員需要追蹤公文處理的狀態，確認主管是否回到機關，抽出時間處理公文。</strong></p> <p><strong>部分的政府機關則採取替代做法，將批核和簽核分開，讓主管在外可以手機或平板電腦先批核公文，讓公文依批示先處理，待主管回到機關後，再以自然人憑證補簽已批核的公文，但這麼做最終還是要回到機關內，使用自然人憑證補簽公文。</strong></p> <p><strong>行動自然人憑證可望解決實體憑證的限制，讓主管在外可以手機或平板電腦直接簽核公文，克服替代做法拆分批核、簽章兩道程序，當人員在外距離太遠或時間太晚，不再需要回到辦公室補簽公文，避免延後公文處理時效。</strong></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 行動自然人憑證應用情境2 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>在外稽核簽章更快更有效</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-4%E6%83%85%E5%A2%83-%E5%9C%961-%E4%BE%86%E6%BA%90-%E5%85%A7%E6%94%BF%E9%83%A8-600.jpg" style="text-align: center; width: 498px;" /></p> <p><strong style="color: rgb(105, 105, 105);">【</strong><strong><span style="color:#696969;">用手機掃碼取代手寫簽名</span></strong><strong style="color: rgb(105, 105, 105);">】</strong><strong><span style="color: rgb(105, 105, 105);">以手機上的行動自然人憑證App，掃描QR Code，快速完成身分驗證登入系統，或以電子簽章取代手寫簽名。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／內政部</span></span></p> <p><strong>相較於公務機關的內部公文作業，有一些公務必需外出執行，這些執勤人員可能經常不在辦公室，例如道路養護、衛生單位對餐廳環境清潔的稽查、消防單位對特定場所消防規定的查驗等等，如果在外需編輯製作公文，通常會攜帶公務筆電及讀卡機，再使用自然人憑證簽核公文，而導入行動自然人憑證後，使用筆電製作完公文後，不需讀卡機及自然人憑證，直接就能以手機上的行動自然人憑證完成簽章。</strong></p> <p><strong>而有一些公務，因為作業性質的關係，例如主管機關執行稽核查驗，機關已推動電子化作業，這類公務執行就不需帶筆電在外製作公文，因此外出時使用平板電腦，搭配制式的電子表單，就檢查事項逐一勾稽確認完畢後，稽核人員與受稽核的商家，雙方於平板電腦的電子表單上手寫簽名。這種做法看似方便，但輪流手寫耗費時間，且手寫簽名效力，但各個機關對手寫簽名的效力認定上不一致，將來若發生爭執，其中一方可能否認簽名，進入法律訴訟程序之後，需要專家鑑定字跡真偽。</strong></p> <p><strong>未來行動自然人憑證普及，電子稽核表單就不需要再預留簽字的空格，以後在表單上嵌入QR Code，稽核方與受稽核方都能使用行動自然人憑證，只要以手機掃描QR Code，就能以憑證完成簽核，而且具有電子簽章法的效力，具有數位簽章的不可否認性。另方面，以手機掃描QR Code取代輪流手寫簽名，也比較符合現代人手機使用習慣，例如在生活中掃描QR Code取代手寫簽到，掃碼取代輸入帳號密碼登入即時通訊軟體，或是在防疫下，以掃碼取代手寫的簡訊實聯制等等。</strong></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 行動自然人憑證應用情境3 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>居家辦公打卡等同進公司</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-4%E6%83%85%E5%A2%83-%E5%9C%963-%E4%BE%86%E6%BA%90-%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C-600.jpg" style="width: 597px;" /></p> <p><strong style="color: rgb(105, 105, 105);">【</strong><strong><span style="color:#696969;">遠距上班或突然隔離也不怕</span></strong><strong style="color: rgb(105, 105, 105);">】行動自然人憑證，擺脫過去實體憑證的使用限制，即使公務人員臨時居家上班或隔家隔離，也能隨時隨地簽核公文。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／臺北市政府</span></p> <p><strong>隨著國內疫情出現愈來愈多確診者，儘管中央疫情並未升級疫情警戒，但已有企業為避免風險，採取居家上班或異地上班的做法，目前公務機關雖未跟進，但在去年疫情警戒三級期間，雙北地區的公務機關有一半的人被要求在家上班，緊急啟動居家辦公，改變公務現有的作業方式，例如最基本的上下班打卡、在家上班簽核公文，不再像先前在機關內辦公那麼容易做到，疫情擾亂上課或上班方式，被迫改為遠距學習或異地工作。</strong></p> <p><strong>過去，公務員在機關內使用實體憑證，以公務電腦、讀卡機及實體IC卡，登入系統、簽公文，這些以前在辦公室每天習以為常的作業方式，一下子改為居家上班後，需要新的作業方式，實體自然人憑證使用的種種限制，如需要公務電腦、讀卡機、完成電腦環境設定、輸入密碼等，這些限制可望靠行動自然人憑證打破。</strong></p> <p><strong>行動憑證將手機與自然人憑證結合在一起，因此公務員居家上班，不需使用電腦、讀卡機，加上支援FIDO標準，通過手機指紋、臉部辨識之後，手機掃描公文上的QR Code，就能迅速完成身分識別、公文簽核的簽驗章。除了掃碼，行動自然人憑證還支援推播、網頁轉導、Web2App、App2App等，支援不同的使用情境需求。</strong></p> <p><strong>不只是公務員在工作使用，一般民眾只要擁有自然人憑證，也能註冊綁定行動自然人憑證，當居家上班或是因為疫情被迫居家隔離，同樣能使用手機上的行動憑證在家辦公，或是線上使用政府為民服務。</strong></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 行動自然人憑證應用情境4 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>更多政府服務隨時隨地能用手機申辦</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-4%E6%83%85%E5%A2%83-%E5%9C%964-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89-600(1).jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">【</strong><strong><span style="color:#696969;">搭高鐵也能申請</span></strong><strong style="color: rgb(105, 105, 105);">】</strong><strong><span style="color: rgb(105, 105, 105);">以申請COVID-19數位健康證明為例，除了以一般方式登入，自然人憑證登入之外，現在民眾還可選擇使用TW FIDO（行動自然人憑證App之英文名稱）登入，使用手機的行動憑證登入系統。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><strong>自然人憑證一直以來是政府推動電子化政府的重要基礎建設，發行至今十多年，國內已累積超過800萬張，現在已有700個政府的資訊系統支援，是政府推動智慧政府，以網路取代馬路，讓民眾不需親臨櫃臺，透過網路辦理各項業務的重要身分識別、電子簽章工具。但是，長久以來使用實體憑證有諸如不便，需使用電腦、讀卡機，並完成讀卡設定，使用憑證還需輸入PIN碼，使得自然人憑證在使用上相當受限，而且只能在固定場所，例如家中或辦公室使用，外出如果要使用實體憑證，就需要攜帶筆電、讀卡機，還有實體憑證卡片。</strong></p> <p><strong>為了打破實體憑證的種種限制，實體憑證行動化，將每個人隨身都會攜帶的手機和自然人憑證整合，不再需要電腦及相關讀卡設備，由於採用FIDO標準，不再需要輸入密碼，通過生物特徵識別機制，以手機掃碼就能通過身分識別、完成電子簽章。結合手機與行動憑證，不只可線上申請政府服務，而且不受時間、地點限制，即使外出旅遊或出差，不便回到家中使用實體憑證，只要可連接無線網路或是4G、5G行動網路，在搭乘交通工具、步行移動，或是工作空檔都能以手機申請政府服務，例如使用手機申報綜合所得稅，在疫情期間申請新冠病毒健康資訊數位證明，或是使用MyData平臺，將個人的政府保管資料授權其他單位使用。</strong></p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/news/150792
【行動自然人憑證應用：臺北市政府】憑證行動化實現行動公文簽核，改善一年354萬件公文處理效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對中央或地方政府公務人員而言，經常需要使用自然人憑證，例如登入內部資訊系統、簽到簽退、公文簽核等等，而使用自然人憑證，卻受限於電腦及讀卡機，還需完成終端電腦讀卡環境設定方能使用，每臺電腦軟硬體規格不同，甚至還可能遇到無法順利讀卡的狀況。</p> <p>實體憑證的種種限制，將因憑證行動化而改變，過去在電腦才能使用的自然人憑證行動化後，手機化身自然人憑證，打破實體憑證的限制。公務機關看到憑證行動化後的可能性，尤其是站在服務民眾第一線的地方政府，公務人員常常需要外出執行公務，過去為了使用自然人憑證簽核公文，他們得在外勤與辦公室間來來去去，或是外出攜帶筆電、讀卡機及實體憑證，現在只要一支手機就能簽核公文，憑證行動化後的應用可能性，吸引臺北市、新北市等地方政府，計畫導入行動自然人憑證。</p> <p>去年一年臺北市共處理354萬件公文，市府將在今年中，先在公文系統導入行動自然人憑證，以解決長久以來實體憑證的限制，實現行動公文簽核，加速公文處理效率。</p> <p><span style="font-size:28px;"><strong>公文由紙本到線上化</strong></span></p> <p>臺北市早期的公文處理做法，承辦人到各層級的主管蓋墨水章或簽名，代表個人意見的表示，部分案件因較為複雜，需同時參照多個文件，單位主管仍習慣紙本對照。</p> <p>市府逐步推動電子化的公文作業環境，先將公文製作電子化，再列印公文以人工方式簽呈公文，但紙本公文處理方式，仍不易追蹤案管。在柯文哲市長上任後，重視市政效率下，加速推動公文作業的線上簽核，目前從公文製作、流程、案件管理做到完全無紙化。</p> <p>資訊局先將公文系統改為Web網頁介面，使用更便利，以吸引同仁及主管接受，在市長要求之下，市府也從技術、政策多方推動，成立一支專門團隊，協助各機關排除使用上的問題，或依各機關使用情境客製調整，後來隨著網頁技術愈成熟，開發門檻降低，不斷調整線上公文處理。現在，從承辦人一路到市長，可以全程線上簽核公文。</p> <p><span style="font-size:28px;"><strong>發展行動簽核公文</strong></span></p> <p>儘管公文簽核從紙本推到電子化、線上化，始終無法克服一個根本問題，還是要用自然人憑證簽核公文。</p> <p>臺北市資訊局系統研發中心主任林郁傑表示，實體憑證在使用上有許多限制，例如採購電腦要注意是否有讀卡機，資訊部門需安裝簽章元件，但由於每臺電腦環境不同，軟硬體的安裝有許多環節，有時即便完成軟硬體設定，仍會發生無法使用實體憑證的情形。</p> <p>另外，因職務工作的性質，人員或主管若經常需要外出，不在辦公室，得等到回辦公室才能使用自然人憑證簽公文，導致公文處理可能因此卡住，承辦人需時常追蹤公文處理進度，確認相關人員或主管是否完成公文簽核，難以提升公文處理效率。</p> <p>後來，臺北市政府找到一個折衷方法，在一般公文簽核流程裡，新增批核的流程，讓負責人員或主管在外先以平板電腦或手機批核公文，承辦人員依批核指示處理公文，等人員回到辦公室再補簽公文。這是在行動自然人憑證出現之前的改良做法。</p> <p>林郁傑表示，過去要等到主管回到機關內，承辦人員才能拿到被簽核的公文，後來找到的採折衷辦法，將公文分為批核與簽核，主管在外面就能先批核公文，讓公文照流程往下跑，等回到辦公室後，再使用實體自然人憑證補簽已批核的公文。</p> <p>但是，這項折衷辦法還是沒有解決根本的問題，最後還是要使用實體自然人憑證來補簽公文，雖然主管在外可以行動批核公文，但最終還是要回到辦公室補簽。公文處理仍得面臨時效內簽核的問題，超過時效就無法結案，而超時公文也會標示「逾期」，承辦人員可能遭追究行政疏失。</p> <p>直到內政部推出行動自然人憑證，這個根本的問題才看到解法。不需電腦、讀卡機，一支手機就能以行動憑證隨時隨地簽核公文，臺北市政府計畫在今年中先在內部的公文系統導入，徹底實現公文的行動簽核。</p> <p>林郁傑表示，市府公文系統導入行動憑證後，人員或主管在外就能一次完成公文簽核，不需要再回到辦公室使用實體憑證補簽公文，公文簽核效率將得以獲得提升。未來承辦人員外出執行公務，如需製作公文，也只需攜帶筆電，再使用手機的行動憑證簽核公文，不需攜帶讀卡機、實體自然人憑證。</p> <p><span style="font-size:28px;"><strong>不只公文簽核，憑證行動化帶來更多元的應用情境</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%87%BA%E5%8C%97%E5%B8%82-%E5%9C%962-%E4%BE%86%E6%BA%90-%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C-600.jpg" style="width: 600px;" /></p> <p><img alt="" src="file:///D:/iThome/%E7%B7%9A%E4%B8%8A%E5%AE%8C%E7%A8%BFPDF/1076-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C-%E6%96%87%E5%BD%ACv2-OK-web-resources/image/%E6%96%87%E5%BD%AC-%E8%87%BA%E5%8C%97%E5%B8%82-%E5%9C%962-%E4%BE%86%E6%BA%90-%E8%87%BA%E5%8C%97%E5%B8%82%E6%94%BF%E5%BA%9C.png" /><strong><span style="color: rgb(105, 105, 105);">目前北市消防局人員外出稽核，多在平板電腦上使用電子報表，稽核結果再以手機簽名，未來若導入行動自然人憑證，稽核與受稽核方以手機掃碼就能完成電子簽章。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p>林郁傑認為，自然人憑證從實體卡片到行動化，最直接的好處是省下電腦、讀卡機，以及安裝簽核元件的環境準備，手機行動憑證讓使用門檻降低，未來應用情境有機會更多元。</p> <p>例如市府部分的公務人員，因為執行公務的需要，經常外出到餐廳、道路、公園、學校、工地等現場執行稽核，由於不需製作公文，大多使用電子化表單，因此只要攜帶平板電腦，針對表單上的項目逐一稽核，最後由稽核人員與受稽方，輪流在稽核表單上手寫簽名，如果需要簽名的人較多，表單往往需要預留較大的空白，每個人輪流手寫簽名也相當花費時間</p> <p>林郁傑指出，未來如果稽核人員與受稽核方都使用行動自然人憑證，只要手機掃描電子表單上的QR Code就完成簽核，比輪流手寫簽名效率更高，稽核結果若發生爭議，需要比對手寫簽名筆跡，而使用憑證簽章，由內政部憑證中心驗證身分、簽章，市府可以擴大應用情境範圍。</p> <p>資訊局正梳理不同的公文應用情境，針對不同的公文情境導入行動憑證應如何調整進行規畫。臺北市的策略是先由公而私、由內而外，即先從公部門內部的公文系統先導入，未來再慢慢擴展至私部門對外服務。</p> <p>林郁傑認為，現代人的生活，工作、購物、娛樂都和手機有關，過去很少人會隨身攜帶自然人憑證，而憑證行動化後與手機結合，等於隨身攜帶行動憑證，憑證的應用將更為多元。例如過去信用卡沒有虛擬化，出門購物一定得攜帶卡片，但有了Apple Pay、Google Pay等行動支付工具，通過生物辨識、掃碼就能線上付款，讓支付更方便、應用情境更多元。他期許「行動自然人憑證未來應用多元，會是很好的工具」。</p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/news/150799
【行動自然人憑證應用：財政部】手機報稅身分驗證新選擇，刷臉或指紋驗證免拿實體卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年進入5月報稅季節，不少人都會使用網路報稅，避免臨櫃報稅大排長龍的辛苦，這兩年在疫情影響之下，網路報稅成為民眾降低面對面接觸風險的最好對策，去年報稅約640多萬戶，網路報稅就有約420萬戶。</p> <p><span style="font-size:28px;"><strong>使用自然人憑證報稅已降至第3名</strong></span></p> <p>網路報稅現在支援多種身分識別方式，民眾可選擇使用健保卡、行動電話認證、自然人憑證、戶口名簿戶號、電子憑證等方式作身分認證，其中自然人憑證在4年前，因競爭者較少的關係，當時自然人憑證為報稅使用最多的方式。</p> <p>不過，根據財政部的統計，近幾年民眾偏好的網路報稅身分識別方式已發生變化，使用自然人憑證網路報稅，從前年120萬戶降到去年94萬戶，滑落至第3，健保卡從前年的175萬戶降到117萬戶，位居第2位，去年採用的行動電話認證約132萬戶，三成的報稅者使用。</p> <p>行動電話認證之所以獲得青睞，可能和其身分識別簡單方便有關，使用行動電話門號進行身分認證，報稅人需使用本人申請的行動電話門號，輸入行動電話門號、健保卡號，就能透過電信業者系統確認報稅人的身分。相對地，使用健保卡或自然人憑證進行身分識別，都需要使用讀卡機，認證相對比較複雜。</p> <p><span style="font-size:28px;"><strong>網路報稅、手機報稅均支援行動自然人憑證</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%B2%A1%E6%94%BF%E9%83%A8-%E5%9C%962-%E4%BE%86%E6%BA%90-%E8%B2%A1%E6%94%BF%E9%83%A8-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">今年手機報稅可選擇行動自然人憑證，輸入身分證號碼後，行動憑證App自動推播訊息，確認是否驗證身分，民眾通過指紋、刷臉便可完成驗證登入。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／財政部</span></span></p> <p>去年財政部首次推出手機報稅，讓民眾報稅不再只能用電腦，使用隨身攜帶的手機，通過簡易身分驗證機制，就能以手機完成申報。去年手機報稅剛推出時，支援三種身分識別方式，其中之一為TW FidO。</p> <p>今年2月推出的行動自然人憑證，手機免讀卡，通過指紋或刷臉辨識，就能以行動憑證通過身分識別、電子簽章。內政部期望行動自然人憑證能提高自然人憑證在報稅的應用。</p> <p>4月財政部推出手機報稅2.0，除了可編輯資料、使用行動支付繳稅，在多元身分識別方面，也支援行動自然人憑證，取代原本的TW FidO。民眾選擇以行動自然人憑證驗證身分，同樣不需讀卡，在網頁上輸入身分證號碼，行動憑證App就會推播訊息，確認使用者是否要登入所得稅結算申報系統，稍後完成指紋辨識，通過身分驗證登入系統。</p> <p>不只是手機報稅，現在網路報稅也能使用行動自然人憑證，過去民眾使用自然人憑證報稅，需要搭配讀卡機，使用並不簡便，現在可選擇行動自然人憑證驗證身分，以手機的行動憑證App就能完成身分認證。</p> <p>除了綜合所得稅之外，地方稅的牌照使用稅、地價稅、土地稅，也都可使用行動自然人憑證。</p> <p>財政部財政資訊中心主任張文熙表示，身分識別對應用服務而言是重要的環節，除了本身應用服務的認證方式外，採用第三方提供的身分識別服務的技術門檻並不高，對政府機關而言，更需要注意有哪些新興的身分識別方式，將其納入應用服務的多元身分識別之一，讓民眾能夠選擇他們偏好的身分認證方式。因此，網路或手機報稅支援行動自然人憑證，提供民眾身分識別新選擇。</p> <p>他認為，民眾報稅使用自然人憑證，早期因為沒有其他網路身分認證的方式，因此除了公務人員工作上使用自然人憑證外，民眾使用網路報稅，自然人憑證在當時很好的身分識別方式，但在多元身分識別趨勢下，例如健保卡、去年開始的行動電話認證，更簡便的認證方式吸引民眾使用，自然人憑證的報稅使用次數一直下滑。</p> <p>而行動自然人憑證推出之後，可能因為接近5月報稅季，內政部公開資料顯示，行動自然人憑證在綜合所得稅申報的使用，累積次數已衝高至行動自然人憑證使用次數排名的第1名，顯示憑證行動化，擺脫實體憑證的限制，確實提高民眾報稅使用的意願。</p> <p>對於行動自然人憑證的推出，張文熙表示，雖然網路報稅或是手機報稅只使用行動自然人憑證的身分認證功能，但未來行動憑證有更大的發展潛力，行動憑證與其他身分識別不同，更大的價值為電子簽章功能，要有更多的應用發揮行動簽章的功能，例如公文簽核。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E8%B2%A1%E6%94%BF%E9%83%A8-%E5%9C%961-%E4%BE%86%E6%BA%90-%E8%B2%A1%E6%94%BF%E9%83%A8-450.jpg" style="width: 479px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">財政部財政資訊中心主任張文熙認為，相較於其他身分識別方式，行動自然人憑證更大價值在於電子簽章，要有更多的應用發揮行動簽章的功能。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／財政部</span></span></p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/news/150801
【行動自然人憑證應用：內政部】靠行動憑證打破辦公場所限制，內政部要釋放員工的行動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內政部不只力推行動自然人憑證，看好憑證行動化，擺脫實體憑證限制，帶來更彈性的作業方式，花了1個半月的時間開發測試，目前已在內政部行政入口網（EIP）導入行動自然人憑證，在此之前，員工只能以電腦使用自然人憑證登入行政入口網，如果因公外出，就需要回到機關內才能使用自然人憑證登入，現在有了行動自然人憑證，打破過去實體憑證的使用限制。</p> <p><span style="font-size:28px;"><strong>導入行動憑證提升行政效率</strong></span></p> <p>行政入口網主要供內政部員工使用，包括內政部及所屬機關，內政部、役政署、營建署、空勤總隊、建築研究所、國土測繪中心、土地重劃工程處，但不包括警政署、消防署、移民署等3機關。導入行動自然人憑證後，員工在外執行公務，或是居家辦公、居家隔離，現在可使用行動憑證登入內部系統，簽到簽退、報經費、報加班、請假等，強化遠距作業的能力，提升行政作業的彈性。</p> <p>不過，為了控管安全，內政部對外部連接到行政入口網的裝置鎖定IP，因此員工如要從外部連到入口網，需要先告知裝置的IP，方能以行動憑證登入。</p> <p>內政部也加緊趕工，5月底要讓公文系統也能支援行動憑證，其他系統也在規畫測試中。換言之，未來員工在外工作，不需攜帶電腦相備、實體憑證，隨時隨地使用手機來簽核公文。</p> <p>內政部資訊中心主任黃國裕表示，自然人憑證行動化後，對公務機關而言，特別是需要經常在外執行公務者，如道路養護、土地測量，就不需要再回到辦公室，只要透過行動憑證就能簽到退、報加班，甚至使用簽驗章處理公文，來提升工作效率。</p> <p><span style="font-size:28px;"><strong>實現智慧政府行動化</strong></span></p> <p>目前自然人憑證介接約700個系統，包含G2G機關對機關，以及G2C政府對民眾的服務，儘管目前行動自然人憑證介接系統只有60多個，但內政部長遠的目標是讓700個系統以後也能支援行動憑證。換言之，以後使用手機上的行動憑證，隨時隨地可以線上使用政府服務。</p> <p>「行動自然人憑證是智慧政府的行動化具體實現」，黃國裕說。儘管過去智慧政府7x24小時可受理申請服務，但是需使用自然人憑證，使用PC、讀卡機才能做到，現在憑證行動化，民眾或公務員不再受到場所、時間限制，透過手機或平板電腦，加上更高速度的5G，只要頻寬、訊號足夠就能隨時隨地辦公或使用政府服務。</p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/news/150809
解放政府行動力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1076-feng_mian_gu_shi_-1_open-wen_bin_-960x420_kao_bei_.jpg?itok=hn0aBI8R" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去自然人憑證因實體卡使用的種種限制，公務員或民眾只能在電腦前使用，而憑證行動化後，手機就是自然人憑證，釋放政府機關作業及服務行動潛力，未來拓展更多政府以外的第三方應用，如電信、金融服務、網路電商，更貼近民眾生活</p> </div></div></div>
2022/5/9 07:00作者蘇文彬https://www.ithome.com.tw/article/150810
Emotet駭客正另尋感染途徑，改用雲端空間及惡意Excel外掛元件XLL檔散播
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_ji_shu_-proofpoint-emotet960j.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日資安業者揭露Emotet惡意程式出現新的散布手法，值得關注的是，這反映出先前微軟預設關閉Office文件的VBA巨集的作法，可能已使Emotet不易利用此管道來突破入侵，因此Emotet駭客正嘗試改變擴散策略與攻擊手法。</p> <p>近年來，已經有多家資安業者紛紛指出，曾在2021年初被掃蕩、蟄伏近10個月的殭屍網路Emotet，去年11月開始復出，並頻頻出現新的活動，Check Point指出，2022年第一季全球最流行的惡意程式，又是Emotet。到了4月中旬，Proofpoint發現Emotet特殊的活動跡象。</p> <h2><strong>新手法！利用雲端空間夾帶惡意Excel外掛元件XLL檔</strong></h2> <p>在4月4日到19日，Proofpoint發現Emotet出現小型攻擊活動，而在這段期間的之前與之後，Eomtet都是採典型的大規模攻擊。Proofpoint表示，這代表Emotet可能正在測試新的戰術流程（TTP），等到日後，再用於更大規模的攻擊活動。</p> <p>在這波攻擊活動寄出的網路釣魚郵件，其主旨僅有如「Salary」這樣簡單的關鍵字，內文則包含吸引用戶點選的OneDrive雲端硬碟服務檔案下載連結，若點選，會下載Salary_new.zip的壓縮檔，該檔包含數個Excel外掛元件檔案（XLL檔），也以「salary」或「bonus」等為檔名。一旦收件者執行這些檔案，此時就會在受害電腦下載並執行Emotet。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_110401_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Proofpoint.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Emotet%E6%83%A1%E6%84%8F%E7%A8%8B%E5%BC%8F%E6%B8%AC%E8%A9%A6%E6%96%B0%E7%9A%84%E6%95%A3%E5%B8%83%E6%89%8B%E6%B3%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Proofpoint.png" style="width: 600px;" /></p> <blockquote><p>根據資安業者Proofpoint的觀察，Emotet駭客在4月4日到19日，突然不再發送大規模釣魚郵件，而是採取小規模的活動，當中利用OneDrive連結引誘用戶下載ZIP壓縮檔，並包含數個具惡意的Excel外掛元件檔案（XLL檔）。圖片來源／Proofpoint</p> </blockquote> <p>與過去散布Emotet的型態相比，Proofpoint指出有3個主要差異。</p> <p>例如，之前TA542駭客組織都是一次散布數萬封，甚至上百萬封釣魚郵件，同時攻擊眾多使用者，然而這波攻擊活動卻只寄出少量的釣魚郵件，攻擊的使用者數量較少。</p> <p>而以OneDrive連結誘使用戶下載的手法來看，也不同於過去，先前駭客大多以郵件附檔包含Office文件（Word或Excel）的方式，來進行散播。</p> <p>在檔案類型上，過去駭客常以包含VBA或XL4巨集的Office檔案，來散布Emotet，現在卻改用XLL檔案格式。而所謂的XLL檔，其實是Excel的動態連結函式檔（DLL）的一種，旨在強化Excel的功能。</p> <p>儘管現在Emotet攻擊活動出現很大的轉變，但Proofpoint也明確指出，這並非其他駭客團體所為，這是因為，TA542駭客組織自2014年後，就控制Emotet使用的網路基礎架構，也未曾租給其他駭客組織。</p> <p>而目前之所以出現這樣最新的轉變，研究人員表示，這也反映微軟防止駭客用來散布惡意程式的作法，包括於今年1月關閉XL4/XLM巨集，以及在2月預設關閉5款Office應用程式的VBA巨集，讓駭客不再使用巨集的散布手法，並迫使駭客轉向利用其他手法。換言之，微軟強化安全而關閉VBA、XL4/XLM巨集，確實帶來一定效果，但同時間也促使駭客在攻擊手法及策略上的演進。</p> </div></div></div>
2022/5/8 11:13作者羅正漢https://www.ithome.com.tw/tech/150815
臺灣下載到舊版Log4j的比例持續高達8成，遠高於全球多國
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_ji_shu_-sonatype-log4960j.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底揭露Log4j漏洞，由於於該漏洞幾乎無處不在、影響廣泛而備受關注，但有一情況值得關注，那就是Log4j的下載狀況，根據資安業者Sonatype公布的下載追蹤資料，當中顯示最近4個月來，臺灣下載舊版Log4j的比例持續高達8成，遠高於澳洲、中國、印度、美國、日本與俄羅斯。</p> <p>Log4Shell漏洞在去年底揭露及修補後，當時我們就看到Sonatype提供的Log4j下載狀態儀表板上，指出臺灣是全球下載有漏洞Log4j版本比例最高的地區，一度高達85.06％。隨著該漏洞揭露及修補已經過了4個月，我們再來檢視相關變化，但狀況仍然沒有顯著改善。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-08_083354.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_083354.jpg" style="width: 600px;" /></a></p> <p>根據Sonatype公司公布的Log4j下載追蹤資料，自去年12月10日以來，Log4j已被下載了超過5,000萬次，其次有38%下載到了有漏洞的舊版本。以5月7日來看，過去24小時內從Maven Central套件庫下載Log4j版本將近15萬次，其中有37%仍然存在Log4Shell漏洞。</p> <p>值得關注的是，在Sonatype提供的Log4j下載狀態儀表板，當中特別提供下載國別的分析，但臺灣下載舊版Log4j的比例，從2021年底至今以來，竟然仍都持續超過80%，而其他國家的舊版下載率，例如澳洲、中國、印度、美國、日本、與俄羅斯等，大約在30%到50%左右，顯然臺灣下載到舊版Log4j的比例，遠遠高出這些國家。在此當中，以澳洲改善最為顯著，由去年底的40%減少到20%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-08_083420.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_083420.jpg" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/log4shell">Log4Shell</a></div><div class="field-item odd"><a href="/tags/sonatype">Sonatype</a></div><div class="field-item even"><a href="/tags/log4j-download-dashboard">Log4j Download Dashboard</a></div></div></div>
2022/5/8 08:46作者羅正漢https://www.ithome.com.tw/tech/150814
Log4j漏洞揭露數月後仍有隱憂，全球有9萬應用程式曝險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_ji_shu_-rezilion-log4960j.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自<a href="https://www.ithome.com.tw/news/148332">去年底揭露Log4j漏洞</a>以來，至今已經過了4個月，但漏洞處理狀況仍不理想，最近有一項研究值得注意，是<a href="https://www.rezilion.com/wp-content/uploads/2022/04/Log4Shell-4-Months-Later.pdf">資安廠商Rezilion的發現</a>，根據他們的觀察，以整個網際網路而言，仍有上萬應用程式仍包含舊版Log4j，因此依然曝險。</p> <p>由於該漏洞幾乎無處不在、影響廣泛，但從修補情況來看，相隔數月後，似乎仍不理想，這也使得威脅分析人員持續發出提醒，呼籲各界注意。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-08_075209.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_075209.jpg" style="width: 600px;" /></a><br /> （圖片來源：Rezilion）</p> <h2><strong>容器有新版但用戶未更新，或容器未更新是主因</strong></h2> <p>根據資安廠商Rezilion研究人員的說明，他們透過物聯網搜尋引擎Shodan.io，掃描網際網路取向（internet-facing）的應用程式，以及這些應用程式使用的容器，分析當中是否仍使用舊版Log4j，結果發現有多達9萬多個應用程式仍然暴露在漏洞風險之下。</p> <p>關於這些應用程式曝險的原因，Rezilion認為從結果中可區分出三大類型：首先，容器內的元件皆更新到最新版，但仍有證據顯示使用舊版本，像是Apache Storm、Elasticsearch、Apache skywalking-oap等；第二，容器即使是最新版本，但還是有舊版Log4j，包括Apache druid Solr、Ozone。連同Log4j和其他漏洞，這些容器內的漏洞有55%是2020年以前就存在。</p> <p>最後，則是網際網路取向的Minecraft伺服器，研究人員指出，這其實突顯了老舊專屬軟體的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-08_075302.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_075302.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-08_075325.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-08_075325.jpg" style="width: 600px;" /></a></p> <blockquote><p>以第二類型而言，容器即使最新版本但卻還是舊版Log4j，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Apache Solr是</span>典型的例子，透過Shodan掃描發現網路上共有1657個結果，仍在使用 Log4j-core-2.16.0-jar。</p> </blockquote> <p>同時，研究人員還分享了其他統計資料。例如，根據Google掃描全球開源碼套件的服務Open Source Insights，在4月20日的調查結果中，存在Log4j漏洞（即Log4Shell）的套件有17,840個，其中已經修補的只有7,140個，意謂著將近60%還曝險。</p> <p>同時，Rezilion的這份研究報告中也引用了Sonatype公司公布的Log4j下載追蹤資料，指出自去年12月10日以來，Log4j已被下載了超過4500萬次，其次有39%下載到了有漏洞的舊版本。以4月20日來看，過去24小時內從Maven Central套件庫下載Log4j版本將近41.3萬次，其中有36%仍然存在Log4Shell漏洞。而且，舊版Log4j版本的下載比例，自2022年2月以後即長期維持高檔</p> <p>Rezilion推測，之所以下載舊版Log4j的原因，除了這些地區的安全研究人員下載來分析漏洞外；第2個原因，可能是這些Log4j部署在無法連上網際網路的應用程式或網路環境，用戶認為不必急著修補；第3項原因，可能是使用者並不知道自己使用軟體內含有漏洞的Log4j元件，由於許多企業缺乏成熟的漏洞管理流程，這也導致無法完全掌握軟體元件組成（Software Bill of Materials，SBOM）、在生產環境下很難偵測到Log4j、以及用戶採用漏洞的第三方軟體。</p> <p>另一值得關注的是，近日<a href="https://www.ithome.com.tw/news/150749">賽門鐵克研究人員揭露一起事件，是今年2月時，北韓駭客組織Stonefly駭入美國國防及能源的合作工程公司</a>的行動中，就是利用了Log4j漏洞。儘管Log4j漏洞已經不是最新焦點，但這件攻擊事件也顯示了未修補Log4j的後果，以及嚴重性。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/rezilion">Rezilion</a></div><div class="field-item odd"><a href="/tags/log4j">Log4j</a></div><div class="field-item even"><a href="/tags/cve-2021-44228">CVE-2021-44228</a></div></div></div>
2022/5/8 08:07作者羅正漢https://www.ithome.com.tw/tech/150813
明日起密切接觸者改為同住親友、不再匡列職場同事，企業可依3原則調整辦公方式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日本土確診人數暴增，中央流行疫情指揮中心今日（5/7）宣布調整密切接觸者定義，改以同住親友為原則，職場和學校則自主應變。由於工作場所密切接觸同事自8日起不再匡列，指揮中心也公布職場建議，根據確診者狀態等3原則來評估風險，再依據不同風險給予相應措施，企業得依據風險狀態和持續營運原則，調整辦公方式。</p> <p><span style="font-size:22px;"><strong>密切接觸者以同住親友為原則，取消居家隔離電子圍籬</strong></span></p> <p>今日本土確診人數突破4萬6千人，在連日確診人數驟升的情況下，為顧及防疫量能，指揮中心調整密切接觸者定義，改以同住親友為原則，並取消居家隔離者的電子圍籬措施。至於確診者所在的職場和學校，指揮中心則呼籲依暴露風險高低，來實施防疫假或停課等措施。</p> <p>由於密切接觸者定義修改，居家隔離單的開立規則也有調整，只對確診者同住家人和大學同住室友開立，若有特殊情況，則可另外申請。與此同時，指揮中心也開發一套系統，來讓地方政府開立居隔通知書和確診者隔離治療通知書。</p> <p>雖然取消密切接觸者的電子圍籬措施，但確診者進行隔離治療、居家照護和居家檢疫期間，仍維持電子圍籬措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E9%87%8D%E7%97%87%E8%AA%BF%E6%95%B4_%E5%B7%A5%E4%BD%9C%E5%8D%80%E5%9F%9F%201.png" /></p> <p><span style="font-size:22px;"><strong>職場同事不再列為密切接觸者，企業得依風險調整辦公方式</strong></span></p> <p>另一方面，由於自5月8日開始，職場密切接觸同事不再被匡列為密切接觸者，企業與機構需依暴露風險高低，來調整辦公方式。</p> <p>在指揮中心給出的返回職場工作建議方案中，當企業或機關內部出現確診者，可先依3項原則來評估風險，再啟動相關措施。這些原則包括先確認內部同事是否為高感染風險者，也就是在沒有防護的狀況下，24小時內累積15分鐘以上的面對面接觸，再來是是否出現症狀，以及是否打過第三劑疫苗且超過14天。</p> <p>針對高感染風險者，指揮中心建議，有症狀就進行抗原快篩，無症狀但接種第3劑滿14天，可持續工作，進行健康監測直到最後接觸日滿7天，期間若出現症狀，則再快篩。若是無症狀且未完整接種疫苗，則得自我隔離或居家辦公3天，有症狀再快篩。</p> <p>至於低風險者，也就是未位於確診同事九宮格內且未有密切接觸者，無症狀可持續工作，有症狀再進行快篩。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506%E8%BF%94%E5%9B%9E%E8%81%B7%E5%A0%B4%E5%BB%BA%E8%AD%B0.jpeg" /></p> <p>最後，指揮中心也宣布新版確診者解隔離規定，居家照護的確診者距發病日或採檢日滿7天後，不必採檢可直接解隔離，再進行7天自主健康管理。至於輕症確診者，兩次快篩陰性或距離發病日、採檢日滿5天快篩一次陰性，或是距發病日、採檢日滿7天，就可直接解隔離，並進行7天自主健康管理。若是重症患者，一次PCR陰性就可解除隔離，轉出專責病房。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507%20%E7%A2%BA%E8%A8%BA%E5%80%8B%E6%A1%88%E8%A7%A3%E9%9A%94%E6%A2%9D%E4%BB%B6%E4%BF%AE%E8%A8%82%E6%91%98%E8%A6%81.png" /></p> </div></div></div>
2022/5/7 15:44作者王若樸https://www.ithome.com.tw/news/150812
【資安週報】2022年5月3日至6日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧整個星期的資安新聞，我們可以發現不少與網路攻擊行動有關，而且，這些駭客又運用了各種過往較為少見的招式或是工具發動攻擊。例如，駭客組織UNC3524在入侵受害組織後，不只從Exchange伺服器挖掘與公司併購有關的資料，更特別針對IP攝影機、視訊會議系統等網路視訊設備下手，將其納入殭屍網路。但這些視訊設備的影像和畫面，也很有可能成為駭客獲取公司營業資訊的另一種管道。</p> <p>在許多攻擊行動透過網路發起的同時，也有利用儲存裝置來進行的滲透，例如，駭客在Raspberry Robin攻擊行動裡，使用了近期較少聽聞的USB儲存裝置來散播蠕蟲程式。更值得留意的是，駭客的基礎設施，有一部分竟是挾持特定廠牌的儲存設備來建置而成。</p> <p>而在釣魚郵件的攻擊行動裡，也有濫用Google的SMTP中繼服務來埋藏寄信來源的方式，在4月份顯著增加。再者，也有攻擊者疑似利用組織將郵件系統從內部環境遷移到雲端的時候，因安全政策出現變化，而趁機挾持上百名使用者的電子信箱帳號，然後將其用於網釣攻擊。</p> <p>有些由APT駭客發起的網路間諜攻擊行動，也出現了較為不尋常的手段。例如，中國駭客Winnti在攻擊行動Operation CuckooBees裡，運用了NTFS、CLFS檔案系統的特性，而能夠規避資安系統偵測；再者，他們的惡意程式彼此之間存在高度相依性，若是研究人員只針對單一惡意軟體進行分析，很有可能難以識破攻擊意圖。</p> <p>在上述過往較為少見的攻擊手法之外，本週也出現數起鎖定防毒軟體下手的攻擊事件，不只是有人利用其中部分元件的漏洞來關閉資安防護系統，有部分駭客甚至藉由受害電腦的防毒軟體來側載惡意程式。由於防毒軟體往往掌握了系統層級的權限，日後這種針對防毒軟體元件弱點而來的攻擊行動可能也會越來越多。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc3524-eye-spy-email"><span style="color: rgb(0, 0, 0);">網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png" style="width: 300px; float: right;" /></a>研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。</p> <p>值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。</p> <h3><strong style="font-size: 22px;"><a href="https://redcanary.com/blog/raspberry-robin/"><span style="color: rgb(0, 0, 0);">駭客藉由USB隨身碟散播蠕蟲程式，並濫用威聯通網路設備回傳受害電腦資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RRGraphicV3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RRGraphicV3.jpg" style="width: 300px; float: right;" /></a>近年來駭客多半透過網路釣魚來投放惡意程式，但濫用USB儲存裝置的攻擊手法仍有事故發生。資安業者Red Canary揭露自2021年9月出現的Raspberry Robin攻擊行動，駭客利用USB儲存裝置散布蠕蟲程式，然後濫用受害電腦的Windows Installer處理程序（msiexec.exe）來存取駭客的基礎設施，這些設施多半由威聯通（QNAP）的設備組成，並在發出的HTTP請求裡包含了受害者的使用者名稱與電腦名稱。除此之外，駭客也運用洋蔥網路（TOR）的節點來增加C2中繼站的數量。</p> <p>研究人員指出，他們已經在高科技與製造相關產業看到相關攻擊行動，但尚未確認受害組織之間是否存在關連，也無法判斷攻擊者的目的，不過，很可能是為了在受害電腦持續監控，駭客成功入侵後會部署惡意DLL程式庫，並透過Windows內建的應用程式來側載執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/the-gmail-smtp-relay-service-exploit"><span style="color: rgb(0, 0, 0);">駭客濫用Google的SMTP中繼服務發送釣魚郵件</span></a></strong></h3> <p>駭客發動釣魚郵件攻擊的手法，也出現濫用電子郵件服務的現象。資安業者Avanan提出警告，他們在4月看到攻擊者濫用Google的SMTP中繼（SMTP Relay）服務情況大幅增加，研究人員在2個星期的時間收到2.7萬封釣魚郵件，這種郵件透過上述服務寄送，從而隱藏信件的真實來源。</p> <p>研究人員指出，只要這些採用Gmail的組織沒有適當的DMARC郵件驗證協定配置，攻擊者就能藉由這種方式，把釣魚郵件送到受害者的信箱。研究人員於4月23日向Google通報駭客的攻擊行動，但Google對於此事尚未做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/fresh-phish-britains-national-health-service-infected-by-massive-phishing-campaign"><span style="color: rgb(0, 0, 0);">駭客濫用英國健保局電子郵件帳號發動網釣攻擊</span></a></strong></h3> <p>組織將電子郵件系統移轉至雲端服務，可能導致安全政策改變，而成為駭客用來攻擊的管道。資安業者Inky近日指出，駭客自去年秋天開始，盜用英國健保局（NHS）員工的電子郵件帳號寄送釣魚郵件，截至今年3月已有139名員工的帳號被冒用。研究人員在今年3月共偵測到1,157封以英國健保局員工名義寄送的釣魚郵件，這些郵件以傳送傳真檔案的名義引誘對方上當，一旦收信人依照指示開啟連結，就有可能被竊取微軟帳號的資料。</p> <p>但為何駭客能大肆濫用該單位的員工電子郵件帳號？研究人員認為，可能與英國健保局去年將內部建置的郵件伺服器遷移至Exchange Online，使得相關安全配置產生變動，而出現能讓駭客挾持員工電子郵件信箱帳號的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/operation-cuckoobees-cybereason-uncovers-massive-chinese-intellectual-property-theft-operation"><span style="color: rgb(0, 0, 0);">中國駭客Winnti竊取歐美組織的內部機密資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Winnti-Kill-Chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Winnti-Kill-Chain.png" style="width: 300px; float: right;" /></a>駭客埋藏在受害組織的網路間諜行動，很可能長達3年才被發現。資安業者Cybereason近日指出，他們於去年調查多起針對北美、歐洲、亞洲地區科技業與製造業的入侵事件時，發現至少從2019年就開始進行的網路間諜行動Operation CuckooBees。這起攻擊行動疑似由中國駭客組織Winnti（亦稱APT41、Barium）發起，駭客主要針對受害組織的智慧財產下手，竊取有關的資料，除此之外，該組織亦偵察網路架構，並收集使用者帳號資料、員工電子郵件、客戶資料等，以利日後再度對受害組織下手，迄今已洩露數百GB的資料。</p> <p>而對於駭客的攻擊手段，研究人員指出，攻擊者使用了未曾出現過的惡意軟體Deploylog，以及新版本的Spyder Loader、Privatelog、Winnkit等，並相當罕見地濫用作業系統的通用事件記錄檔案系統（CLFS）、NTFS檔案系統的機制，來規避資安系統的檢測。再者，比較特別的是，駭客所使用的惡意軟體皆相依其他元件，也就是必須具備相關元件的狀態下才能執行，使得研究人員難以各別分析就察覺攻擊意圖。</p> <h3><strong style="font-size: 22px;"><a href="https://cluster25.io/2022/04/29/lotus-panda-awake-last-strike/"><span style="color: rgb(0, 0, 0);">中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/naikon_schema.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/naikon_schema.png" style="width: 300px; float: right;" /></a>資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/"><span style="color: rgb(0, 0, 0);">中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式</span></a></strong></h3> <p>駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。</p> <p>在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/avoslocker-ransomware-variant-abuses-driver-file-to-disable-anti-Virus-scans-log4shell.html" id="AvosLocker-Avast-Log4Shell" name="AvosLocker-Avast-Log4Shell" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">Avast防蠕蟲元件遭到勒索軟體AvosLocker濫用，用於停用防毒軟體，並掃描Log4Shell漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg" style="width: 300px; height: 79px; float: right;" /></a>勒索軟體駭客不只是會加密電腦的檔案，還會探測受害組織是否存在Log4Shell漏洞。趨勢科技最近偵測到勒索軟體AvosLocker的攻擊行動，駭客疑似先利用Zoho ManageEngine ADSelfService Plus的漏洞CVE-2021-40539，入侵受害組織，然後從C2伺服器下載HTML應用程式檔案（HTA）並執行，這個HTA檔案將會觸發含有Shell Code的PowerShell程式碼，並連線到C2中繼站接收指令。接著，駭客透過PowerShell的處理程序，下載ASPX檔案格式的Web Shell，並收集伺服器上的系統資訊，然後下載遠端桌面軟體AnyDesk，藉此讓駭客通過防火牆進行控制，並下載作案工具。</p> <p>值得留意的是，他們濫用Nmap掃描受害組織的Log4Shell漏洞，並藉由Avast Anti-Rootkit的驅動程式檔案（asWarPot.sys）來關閉受害主機上的防毒軟體，然後執行勒索軟體。而對於上述防蠕蟲工具遭到濫用的情形，Avast表示，相關漏洞已於2021年6月修補，他們也與微軟合作，微軟已在Windows 10與11封鎖Avast的舊版驅動程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/revil-ransomware-returns-new-malware-sample-confirms-gang-is-back/"><span style="color: rgb(0, 0, 0);">勒索軟體REvil重出江湖，研究人員發現新的惡意軟體檔案</span></a></strong></h3> <p>之前已有研究人員發現勒索軟體REvil疑似東山再起的跡象，駭客重新恢復其公告受害者的網站運作，如今又有了新的進展。根據資安新聞網站Bleeping Computer的報導，資安研究員R3mrum、Advanced Intelligence執行長Vitali Kremez、Avast研究員Jakub Kroustek等多名資安研究人員，不約而同發現新的REvil勒索軟體檔案。</p> <p>R3mrum指出，使用新版勒索軟體的駭客擁有原始碼，但目前的檔案不會執行加密；Vitali Kremez則表示，這個勒索軟體在4月26日編譯完成，並具備針對特定受害者的驗證機制；Jakub Kroustek則是指出，他們偵測到疑似是REvil變種的勒索軟體，組態配置與受害者ID都有所不同，目前並不會加密檔案，但會向受害者索討42個比特幣（BTC）的贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.minerva-labs.com/new-black-basta-ransomware-hijacks-windows-fax-service"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta竄改傳真服務並在安全模式執行</span></a></strong></h3> <p>在上個月首度出現的勒索軟體Black Besta，傳出很可能是駭客組織Conti成員另起爐灶，有資安業者揭露其攻擊手法的獨特之處。資安業者Minerva指出，攻擊者想要利用Black Besta加密檔案，必須要使用管理員的身分執行，若是透過一般的使用者權限，則不會發動攻擊。</p> <p>研究人員發現，該勒索軟體開始執行後，不只會刪除磁碟區陰影複製（Volume Shadow Copy）的備份檔案，還會企圖竄改受害電腦已經存在的傳真服務（先刪除再建立相同名稱的服務），然後透過安全模式重新開機，並啟用上述的服務再度執行勒索軟體──先枚舉所有的磁碟機並逐一加入勒索訊息，然後占用大部分處理器的資源來加密所有檔案。研究人員指出，因為勒索訊息與公鑰都是針對特定組織而來，使得每個受害組織出現的Black Basta都不盡相同。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/compromised-docker-honeypots-used-for-pro-ukrainian-dos-attack/"><span style="color: rgb(0, 0, 0);">CrowdStrike的Docker蜜罐發現兩個可能引發阻斷服務的映像檔，疑似鎖定俄羅斯、白俄羅斯政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png" style="width: 300px; float: right;" /></a>烏克蘭戰爭開打至今，雙方的網路攻擊行動也不斷出現，但最近駭客的攻擊手法發生了變化。資安業者CrowdStrike近日指出，他們在2月27日至3月1日之間，看到疑似是烏克蘭政府發起的IT軍隊（UIA），利用曝露於網路的Docker引擎API，向俄羅斯與白俄羅斯24個政府機關、新聞網站，發動分散式阻斷服務（DDoS）攻擊。</p> <p>這些駭客了上傳兩個Docker映像檔到Docker Hub，若有人去下載、部署這些映像檔，可能會啟動相關的攻擊，上述兩個檔案目前已被下載超過15萬次。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/tracking-apt29-phishing-campaigns"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用工作行程安排平臺Trello發動攻擊</span></a></strong></h3> <p>俄羅斯駭客鎖定外交單位發動攻擊的情況，也開始採用更為隱密的手段進行。資安業者Mandiant自1月中旬，發現俄羅斯駭客APT29的釣魚郵件攻擊，鎖定數個外交單位與政府機關而來。攻擊者假借大使官行政通知的名義，並冒用合法的電子郵件信箱寄信，挾帶名為Rootsaw的HTML投放器，以HTML挾帶（HTML Smuggling）的方式，投放IMG或ISO光碟映像檔到受害電腦，而這個映像檔的內容是Windows連結（LNK）檔案與惡意DLL程式庫。一旦受害者點選LNK檔案，便會觸發Beatdrop、Boommic下載器來攻擊受害電腦。</p> <p>研究人員指出，他們觀察這些駭客在初始入侵不久後，12小時之內取得網域管理員的權限，最終投放了Cobalt Strike的Beacon。研究人員指出，這些駭客為了規避資安系統的偵測，他們利用工作管理平臺Trello架設C2中繼站，而在去年攻擊行動中，這些駭客曾濫用應用程式開發平臺Firebase、檔案共用服務Dropbox。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sri.ro/articole/atacuri-cibernetice-asupra-site-urilor-unor-institutii-publice-si-financiar-bancare.html"><span style="color: rgb(0, 0, 0);">俄羅斯駭客針對羅馬尼亞政府發動DDoS攻擊</span></a></strong></h3> <p>俄羅斯駭客不只針對烏克蘭發動網路攻擊，也鎖定援助烏克蘭的其他國家下手。羅馬尼亞情報局（SRI）於4月29日發出公告指出，從當地時間凌晨4時開始，該國與金融機構的一系列網站遭到分散式阻斷服務（DDoS）攻擊，駭客利用羅馬尼亞境外的網路設備發動攻擊，攻擊者的身分是俄羅斯駭客Killnet。該駭客組織坦承是他們發起的攻擊行動，並指出原因是羅馬尼亞眾議院主席馬塞爾·喬拉庫（Marcel Ciolacu）近期發表的聲明提及，該國將盡其所能，提供烏克蘭包含武器在內的各式援助。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/the-hermit-kingdoms-ransomware-play.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用多種勒索軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png" style="width: 300px; float: right;" /></a>因攻擊銀行而惡名昭彰的北韓駭客組織Lazarus（亦稱APT38、Hidden Cobra），有研究人員發現，這些駭客最近2年疑似也透過勒索軟體來牟利。資安業者Trellix指出，他們發現Lazarus的成員運用勒索軟體VHD的跡象，進一步分析與比對後，發現該組織還有利用Beaf、PXJ、ZZZZ、ChiChi等多款勒索軟體，這些勒索軟體共用部分程式碼，其中又以Beaf和ZZZZ的相似程度最高。</p> <p>這些駭客鎖定的目標，很可能是亞太地區的實體，不過，研究人員提及，其中發生在2020年的一起攻擊行動中，駭客只收到2.2個比特幣（時價約2萬美元），獲利並不高，研究人員認為，上述的勒索軟體攻擊事故，很可能是大型攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/stonefly-north-korea-espionage"><span style="color: rgb(0, 0, 0);">北韓駭客DarkSeoul利用Log4Shell漏洞入侵VMware遠距工作平臺</span></a></strong></h3> <p>國家級駭客運用Log4Shell漏洞發動攻擊的情況，已有數起，且有不少是針對VMware遠距工作平臺而來。資安業者賽門鐵克於今年2月發現，北韓駭客DarkSeoul（亦稱Stonefly、BlackMine）攻擊美國工程公司，該公司與美國國防與能源領域具有合作關係。而駭客入侵該公司的管道，就是針對該公司的遠距工作平臺VMware View（舊版的VMware Horizon）伺服器下手，利用Log4Shell漏洞入侵。</p> <p>在成功進入受害組織後，駭客部署後門程式Preft（亦稱Dtrack、Valefor），並利用Mimikatz收集帳密，之後於該公司內部網路進行橫向移動，進行竊密的工作。研究人員指出，這些駭客透過寄生攻擊（LoL）的手法，大量採用開源工具WinSCP、3proxy 等，並專注於竊取機密資訊的工作。他們呼籲組織應儘速修補相關系統的Log4Shell漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/netdooka-framework-distributed-via-privateloader-ppi.html"><span style="color: rgb(0, 0, 0);">駭客透過惡意軟體PrivateLoader散布NetDooka惡意框架</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/netdooka-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/netdooka-1-1.jpg" style="width: 300px; float: right;" /></a>駭客的惡意軟體分工中，<a href="https://www.ithome.com.tw/news/149297#PrivateLoader">先前有資安業者揭露專門投放惡意軟體的業者，他們以感染電腦數量來向駭客收費（Pay-per-install，PPI）</a>，最近又有駭客利用這種方式散布作案工具。趨勢科技發現，近期有駭客尋求PPI業者，藉由惡意軟體PrivateLoader投放名為NetDooka的惡意軟體框架，該框架由Dropper、Loader，以及RAT木馬程式等元組成。PPI業者會先投放NetDooka的Dropper元件，該元件會解密並執行Loader。</p> <p>而Loader會先確認受害電腦環境，並清除受害電腦的上的防毒軟體、封鎖防毒業者的網域，再藉由作業系統的BITS系統元件下載、以驅動程式的型式植入木馬程式，為了避免木馬程式遭到刪除或停止運作，駭客也藉由登錄檔的機碼設置了復原機制。</p> <p>這個RAT程式可接受攻擊者遠端下達的命令，如執行Shell程式碼、發動DDoS攻擊、側錄鍵盤輸入的內容，以及進行遠端桌面存取等。研究人員認為，駭客透過植入惡意驅動程式的管道站穩腳跟，這樣的做法使得攻擊者能透過NetDooka惡意軟體框架，對受害電腦傳遞更多惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.whitesourcesoftware.com/resources/blog/aws-targeted-by-a-package-backfill-attack/"><span style="color: rgb(0, 0, 0);">駭客以AWS的名義上傳2個惡意NPM套件</span></a></strong></h3> <p>攻擊者假冒知名開發者的名義上傳惡意NPM套件，大型的雲端服務業者也成為受害者。資安業者WhiteSource於4月28日、30日，發現有人發動名為Package Backfill的攻擊行動，駭客假冒AWS的名義，找尋該公司曾經發布（但已下架）的NPM套件，然後以這些套件的名稱上架惡意軟體。</p> <p>研究人員指出，第一個上架的套件名為hl7.fhir.r3.core，但套件內容僅有package.json檔案，很可能是實際攻擊之前的測試；而第二個名為@aws-cdk-example-dynamic-web-config/shared的套件，一旦受害者不慎安裝，攻擊者將藉此收集受害主機上的系統資訊，例如處理器架構、可用的記憶體、IP位址、MAC位址，使用的網路連接埠等資訊。研究人員指出，駭客藉由不再使用的NPM套件名稱來發動攻擊，並成功通過NPM的上架檢測機制，開發人員應透過套件的校驗機制來防範受騙。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/fake-cyberpunk-ape-executives-target-artists-with-malware-laden-job-offer/"><span style="color: rgb(0, 0, 0);">駭客以無聊猿的名義向圖像創作者散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）的創作當紅，駭客也看上這波熱潮，以徵求NFT作品所需的圖像為由，向創作者發動攻擊。資安業者Malwarebytes指出，近期有人鎖定DeviantArt、Pixiv等圖像作品分享網站的用戶，發送釣魚郵件，他們宣稱是NFT專案Cyberpunk Ape Executives，尋求與平面圖像的創作者合作，一旦對方被錄取，每天將會有200至350美元的報酬。</p> <p>一旦收信人照作，就會從檔案共享網站Mega下載RAR壓縮檔，內含了許多GIF圖檔，但其中混入了可執行檔，一旦收信人不慎當作圖片開啟，電腦就有可能被植入竊密程式。對此Cyberpunk Ape Executives也提出警告，他們沒有相關的合作計畫，呼籲收到相關郵件的人不要回覆，也不要點選信件裡的連結。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware"><span style="color: rgb(0, 0, 0);">西班牙總理、國防部長手機感染間諜軟體Pegasus</span></a></strong></h3> <p>又有歐洲國家透露高層遭到間諜軟體Pegasus監控，但外界認為公布相關消息可能別有用意。西班牙政府於5月2日指出，該國總理Pedro Sanchez、國防部長Margarita Robles，兩人的手機先後於2021年5月、6月，感染了Pegasus間諜程式。</p> <p>但外界認為，西班牙公布此事的動機並不單純，原因是加拿大公民實驗室於今年4月指出，63隻加泰羅尼亞人士的手機遭到Pegasus監控，這些手機的所有者包含該國總統、立法委員、公民組織成員等，背後疑似是西班牙所為，這次西班牙公布總理和國防部長遭到監控的事件，很有可能是要淡化針對加泰羅尼亞的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/heroku-admits-to-customer-database-hack-after-oauth-token-theft/"><span style="color: rgb(0, 0, 0);">雲端應用程式服務業者Heroku坦承因客戶資料庫遭駭，引發GitHub的OAuth憑證外洩事件</span></a></strong></h3> <p>自<a href="https://www.ithome.com.tw/news/150480#oauth">GitHub於4月中旬發出公告</a>，指出駭客濫用他們授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證，導致數十個組織GitHub儲存庫可能會遭到異常存取，這起事件最近有了新的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，Heroku於5月4日陸續向用戶寄送資安事故通知的電子郵件，表明為了對上個月的資安事故做出回應，他們將會強制重設用戶的密碼，但除此之外沒有進一步做出說明，而引發用戶不滿，認為該公司的資安事故處理不夠透明，且這樣的做法代表了當時Heroku應該遭到了攻擊。</p> <p>這起風波發生的隔日，Heroku終於坦承他們於4月7日遭到入侵，駭客存取該公司資料庫並下載了客戶GitHub的憑證，並於4月8日下載這些客戶GitHub儲存庫的中繼資料，9日進一步存取含有原始碼的Heroku私有GitHub儲存庫資料。該公司於13日母公司Salesforce接獲通報後著手進行調查，遂於16日註銷所有與GitHub整合的OAuth憑證，且於5月4日決定進一步重設Heroku用戶的密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/f5-warns-of-critical-big-ip-rce-bug-allowing-device-takeover/"><span style="color: rgb(0, 0, 0);">F5公布BIG-IP系統出現重大漏洞，恐被攻擊者用於RCE攻擊</span></a></strong></h3> <p>網路安全業者F5於5月4日發布資安通告，指出他們修補了BIG-IP系統的漏洞CVE-2022-1388，這項漏洞存在於iControl REST元件裡，影響從11.6.1至16.1.2的多個版本BIG-IP。一旦攻擊者加以利用，就藉由發送特定的請求來繞過iControl REST的身分驗證流程，進而有可能接管整個系統，CVSS風險層級達到9.8分。這項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）同日發出資安警示。</p> <p>F5發布了新版軟體修補上述漏洞，而對於無法升級的用戶，該公司也提供了緩解措施，但指出用戶採用前，應留意部分的措施有可能會影響該系統運作。</p> <p>關於曝露在資安風險當中的BIG-IP系統數量，資安人員Nate Warfield提出警告與預估，根據他透過物聯網裝置搜尋引擎Shodan兩年來的追蹤，可能有1.6萬套BIG-IP系統曝露在網際網路上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-discovers-unpatched-dns-bug-in-popular-c-standard-library-putting-iot-at-risk/"><span style="color: rgb(0, 0, 0);">用於嵌入式系統的程式庫存在DNS漏洞，恐波及數百萬物聯網設備</span></a></strong></h3> <p>廣泛受到物聯網設備運用的程式庫，一旦出現漏洞，影響層面將相當廣泛。資安業者Nozomi Networks指出，他們發現uClibc、uClibc-ng程式庫所提供的DNS功能存在漏洞，攻擊者可用來發動DNS中毒，或是DNS欺騙攻擊，重新將受害者導向攻擊者控制的IP位址。</p> <p>由於上述兩款程式庫受到Netgear、Axis、Linksys等網路設備廠商，以及供嵌入式應用的Linux發行版採用，可能超過200家廠牌的產品恐面臨上述風險。這項漏洞研究人員在2021年9月發現，並於2022年1月通報前述廠商，但目前尚無修補程式可用，這些廠商正試圖協助開發修補軟體中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armis.com/blog/tlstorm-2-nanossl-tls-library-misuse-leads-to-vulnerabilities-in-common-switches/"><span style="color: rgb(0, 0, 0);">TLStorm 2.0漏洞波及Aruba、Avaya交換器</span></a></strong></h3> <p>繼資安業者Armis於3月底發現存在於APC不斷電系統（UPS）的重大漏洞TLStorm，他們也在其他廠牌的網路設備找到相關漏洞。Armis近日指出，Aruba與Avaya多個型號的交換器裡，發現TLS通訊實作存在5個漏洞，這些漏洞存在於TLS程式庫NanoSSL，一旦攻擊者利用這些漏洞，將能打破受害組織的網段，並藉由交換器橫向移動，或是竊取受害組織的機密資料。研究人員將上述交換器的漏洞命名為TLStorm 2.0。Aruba、Avaya獲報後，已針對受影響的交換器發布修補韌體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/vulnerabilities-in-avast-and-avg-put-millions-at-risk/"><span style="color: rgb(0, 0, 0);">Avast、AVG防毒軟體存在近10年的高風險漏洞</span></a></strong></h3> <p>日前研究人員發現駭客在攻擊行動裡，<a href="https://ithome.com.tw/news/150755#AvosLocker-Avast-Log4Shell">利用Avast防蠕蟲程式（Anti Rootkit）的元件停用防毒軟體</a>，而最近研究人員揭露了更多可被濫用的漏洞。資安業者SentinelOne於2021年12月向防毒業者Avast通報，他們在該公司旗下Avast、AVG防毒軟體的防蠕蟲程式裡，發現了兩個相當嚴重的漏洞CVE-2022-26522、CVE-2022-26523，這些漏洞自2012年Avast防毒軟體12.1版存在至今，很可能影響數百萬用戶。</p> <p>這些漏洞一旦遭到利用，攻擊者就有可能關閉資安產品、覆蓋系統元件，或是導致電腦出現藍白畫面（BSOD）。研究人員指出，這些漏洞可能會被攻擊者用於第二階段的瀏覽器攻擊，或是執行沙箱逃逸。Avast、AVG獲報後已於22.1版防毒軟體修補上述漏洞，並將陸續派送給用戶。</p> <h3><strong style="font-size: 22px;"><a href="https://www.prefetchers.info/"><span style="color: rgb(0, 0, 0);">蘋果Apple Silicon處理器存在Augury漏洞，恐洩露準備要執行的命令</span></a></strong></h3> <p>蘋果自行設計的Apple Silicon處理器晶片中，可能也存在類似推測執行（Speculative Execution）的漏洞。美國伊利諾大學香檳分校（UIUC）、華盛頓大學（UW），以及以色列特拉維夫大學的數名研究員聯手，在蘋果的A14、M1、M1 Max處理器上發現名為Augury的漏洞，這項漏洞與該廠牌處理器所採用的記憶體資料預先讀取機制（Data Memory-Dependent Prefetcher，DMP）有關，一旦攻擊者利用這項漏洞，就有可能洩露處理器核心或指令集尚未讀取的資料。再者，該漏洞也會讓這些蘋果處理器對於Spectre漏洞的防禦措施失效。</p> <p>研究人員指出，雖然這個漏洞目前尚未遭到利用，但此漏洞可能會被攻擊者用於破壞作業系統，使得記憶體使用位址空間隨機載入（ASLR）的機制失效。研究人員已經通報相關分析結果，不過目前蘋果沒有進一步回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/"><span style="color: rgb(0, 0, 0);">微軟修補Azure PostgreSQL租戶隔離漏洞</span></a></strong></h3> <p>雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.com/ossf/package-analysis/blob/main/docs/case_studies.md"><span style="color: rgb(0, 0, 0);">OpenSSF推出能檢測惡意NPM與PyPI套件的工具</span></a></strong></h3> <p>惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.malvuln.com/"><span style="color: rgb(0, 0, 0);">研究人員發起Malvuln專案，找尋勒索軟體的漏洞來阻止攻擊行動</span></a></strong></h3> <p>為了防堵勒索軟體加密電腦檔案，有研究人員試圖找出漏洞來阻止運作。資安研究員John Page（Hyp3rlinx）於2021年1月發起名為Malvuln的專案，該專案的目標是找出並公布惡意軟體與勒索軟體的漏洞，該專案上線至今此專案已揭露數百個惡意程式漏洞，並提概念性驗證（PoC）攻擊程式，到了5月3日，Malvuln進一步公布多款惡名昭彰的勒索軟體漏洞細節，這些勒索軟體包含了WannaCry、REvil、Conti，以及LokiLocker等。</p> <p>研究人員本次揭露的漏洞，主要與勒索軟體的運作方式有關，因為駭客都會搜尋現有資料夾裡的DLL檔案，並用來側載惡意程式，一旦研究人員利用勒索軟體的漏洞，就能透過DLL挾持（DLL Injection）來置換駭客的檔案，進而終止加密資料的攻擊行為。雖然該專案立意良善，但也有資安專家認為，駭客會修補Malvuln公布的軟體漏洞，而讓資安人員無法用來反制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/public-facing-db/"><span style="color: rgb(0, 0, 0);">曝露於網際網路的資料庫於自2021年開始不斷增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png" style="width: 300px; float: right;" /></a>隨著這幾年疫情的蔓延，遠距工作成為常態，使得企業的網路環境變得更加複雜，而可能使得曝露在網際網路上的資料庫大幅增加。資安業者Group-IB指出，他們在2021年共發現了30.8萬個曝露的資料庫，且自2021年第1季開始幾乎不斷增加，而這樣的情況到了今年第1季更加惡化，新增了9.1萬個資料庫。而對於這些資料庫的類型，研究人員發現，近4成是Redis，其次是MongoDB和Elastic，而根據這些資料庫位於的國家來看，主要是美國，中國次之。</p> <h3><strong style="font-size: 22px;"><a href="https://cymetrics.io/zh-tw/latest/all/YnCOHBIAACUAMxgO"><span style="color: rgb(0, 0, 0);">臺灣百貨業者的網站、帳密保護、郵件安全尚待加強</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png" style="width: 300px; float: right;" /></a>在最近3年受到疫情的衝擊，百貨業者紛紛進行數位轉型，推出電子支付工具與電商網站，但在此同時資訊安全也相形變得更加重要，有資安業者針對臺灣百貨業者進行調查。資安業者Cymetrics近日針對臺灣前十大百貨業者檢測資安曝險的情況，結果發現，這些百貨公司的網站普遍出現配置不當，或是元件沒有即時更新的情況，攻擊者很可能藉由跨網站攻擊繞過相關安全驗證機制，或是利用舊版軟體的已知漏洞入侵。</p> <p>再者，電子郵件安全與帳號保護的部分，也出現仍需加強的情況。研究人員指出，有半數業者疏於電子郵件安全防護，亦有高達4家業者曾出現帳號資料外洩的事故，而可能成為攻擊者下手的目標。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.vicone.com/zh"><span style="color: rgb(0, 0, 0);">趨勢科技宣布成立車用資安新公司VicOne，布局電動車資安防護領域</span></a></strong></h3> <p>趨勢科技5月4日宣布成立車用資安新公司VicOne，這是該公司繼2019年與四零四科技共同成立TXOne Networks，擴展工控資安領域後，加強布局電動車產業資安防護領域。此舉將致力於解決電動車日益升高的資安需求，同時將推動「策略合作夥伴計畫」，目標是協助國內的汽車系統整合及零組件製造商，做到汽車品牌廠的資安合規要求。同時，鴻海推動的MIH開放電動車聯盟，也將參加VicOne策略合作夥伴計畫，而SOAFEE、AUTOSAR等產業聯盟，亦與VicOne進行合作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/synopsys-to-acquire-whitehat-security-from-ntt-301534684.html"><span style="color: rgb(0, 0, 0);">Synopsys併購DAST服務業者WhiteHat Security</span></a></strong></h3> <p>美國電子設計自動化（EDA）業者新思科技（Synopsys）於4月27日宣布，他們將以3.3億美元的價格，買下NTT Security旗下的應用程式安全服務公司WhiteHat Security，併購後將為新思科技帶來動態應用程式安全測試（DAST）的相關技術，這起併購案預計在該公司的今年第3財季完成。</p> </div></div></div>
2022/5/7 00:18作者周峻佑https://www.ithome.com.tw/news/150811
美國國家標準局更新《網路安全供應鏈風險管理》指南
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161r1.pdf" target="_blank">美國國家標準暨技術研究院（NIST）周四（5/5）更新了長達326頁的《網路安全供應鏈風險管理》（Cybersecurity Supply Chain Risk Management，C-SCRM）指南</a>，以協助那些採購與使用其它技術產品及服務的組織來保護其自身的安全。</p> <p>該指南詳述了供應鏈可能產生的風險，企業與供應鏈之間的關係，在採購或操作第三方技術時如何確保安全，以及如何將C-SCRM整合到企業風險管理中，還能協助企業辨識、評估與應對供應鏈所帶來的網路風險。</p> <p>NIST指出，現代化的產品與服務多半必須仰賴連結了全球製造商、軟體與服務供應商的供應鏈，由於供應鏈的來源眾多，使得它不僅促進了全球經濟，也將企業及消費者置於風險中，不僅是產品含有惡意程式或安全漏洞，供應鏈本身的安全漏洞還可能危及企業的底線。</p> <p>身為該指南的作者之一，<a href="https://www.nist.gov/news-events/news/2022/05/nist-updates-cybersecurity-guidance-supply-chain-risk-management" target="_blank">NIST電腦安全處副處長 Jon Boyens解釋</a>，當供應鏈遭到勒索軟體攻擊時，製造商可能因缺乏重要元件而停擺，連鎖商店也可能只是因為維護其空調系統的公司得以存取其共享資料而爆發資料外洩事件，此一指南的主要讀者群將是產品、軟體及服務的採購商與終端用戶，倘若政府機關或組織尚未著手管理供應鏈的風險問題，那麼這就是一個從零到有的完整工具。</p> <p>《網路安全供應鏈風險管理》指南鼓勵各組織不僅應考慮它們所使用的最終產品的安全漏洞，也應該檢視該產品的元件與其足跡，因為這些元件可能來自其它來源。</p> <p>此外，NIST也歡迎資安專家、風險管理人員、系統工程師及採購官員參考此一指南來進行網路安全的控制。</p> </div></div></div>
2022/5/6 21:35作者陳曉莉https://www.ithome.com.tw/news/150807
基礎設施即程式碼工具Pulumi強化互通性，添加格式通用翻譯功能CrossCode
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門基礎設施即程式碼工具Pulumi，宣布添加通用翻譯功能<a href="https://www.businesswire.com/news/home/20220504005408/en/Pulumi-Infrastructure-as-Code-Goes-Universal">CrossCode</a>，支援Pulumi基礎設施即程式碼，賦予用戶利用任何語言配置任一雲端平臺的能力。同時，Pulumi也開始支援JVM語言以及YAML，擴大覆蓋的生態系範圍。</p> <p>官方提到，Pulumi CrossCode是Pulumi基礎設施即程式碼引擎的通用翻譯層，可使用主流程式語言實作基礎設施即程式碼，並將其翻譯為Terraform、CloudFormation、Azure資源管理器和 Kubernetes等配置，且支援所有現有的基礎設施即程式碼生態系。這些新功能與Pulumi雲端工程平臺整合，能與多語言元件、機密管理、CI/CD以及Pulumi註冊表等結合使用。</p> <p>另外，Pulumi還開始支援Java，而Java是目前雲端主流語言之一。透過支援Java，Pulumi將能涵蓋大量的Java用例，使得Java開發人員也可以使用Pulumi來管理雲端複雜性。現在Java、Scala、Clojure、Groovy和Kotlin等JVM語言，都可以使用Pulumi來編寫基礎設施即程式碼，建置、部署和管理雲端基礎設施。</p> <p>而Pulumi也加入對產業標準格式YAML的支援，來切入更廣泛的語言生態系，供用戶利用YAML編寫基礎設施即程式碼。官方提到YAML的3項優勢，第一是YAML可讓用戶簡單地開始基礎設施即程式碼，當雲端架構逐漸變得複雜，便能夠從YAML無縫切換使用其他Pulumi支援的程式語言。</p> <p>第二是YAML提供豐富的功能，使得用戶能夠方便地定義基礎設施最佳實踐，最後則是YAML為一種簡單的資料格式，可以被生成或解析為程式碼定義，透過支援YAML這種產業標準格式，Pulumi用戶將不會被工具生態系鎖定，擁有更多的選擇自由。</p> <p>Pulumi還添加了更多雲端平臺和SaaS元件，新增Oracle Cloud、Databricks和EventStore支援，新元件也包含對容器應用程式、Kubernetes叢集和無伺服器應用程式的開箱即用支援，另外，Pulumi上新的AWS CDK，也讓用戶可以使用所有的CDK套件，支援包括Java和YAML在內的各種語言。</p> </div></div></div>
2022/5/6 21:38作者李建興https://www.ithome.com.tw/news/150802
Heroku機器帳號權杖遭盜用，波及GitHub OAuth權杖與客戶憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/150462" target="_blank">上個月GitHub發現</a>有駭客濫用了授予Heroku及Travis-CI的OAuth使用者權杖，以於GitHub存取及下載屬於數十個組織的資料，<a href="https://status.heroku.com/incidents/2413" target="_blank">本周四（5/5）Heroku公布了調查結果</a>，指出駭客盜用了一個Heroku機器帳號的權杖，取得了進入Heroku資料庫的權限，不僅盜走整合GitHub的OAuth權杖，也存取了存放客戶憑證的資料庫。</p> <p>Salesforce在2010年收購的Heroku為一平臺即服務（Platform as a Service，PaaS）供應商，它集結了各種資料服務與生態體系，以讓客戶得以部署與執行現代化程式，標榜是一個以程式為中心的軟體遞送服務，並整合許多熱門的開發者工具及流程，包括Git、GitHub或各種Continuous Integration（CI）系統。</p> <p>GitHub是在4月12日發現駭客的非法行為，並於隔天通知Salesforce，旋即展開調查的Heroku發現，駭客盜用了一個Heroku機器帳號的權杖，因而得以存取Heroku資料庫，並下載了存放於該資料庫、整合了GitHub與OAuth的客戶權杖，除了客戶置放於GitHub儲存庫遭到存取以外，Heroku的GitHub私有儲存庫也遭殃，內含某些Heroku的原始碼。</p> <p>Heroku已於4月16日撤銷所有整合GitHub的OAuth權杖，以阻止客戶透過自動化或Heroku控制臺自GitHub部署程式，將在確認安全無虞之後才會重新啟用該功能。</p> <p>除此之外，Heroku的調查亦發現駭客也利用同樣的Heroku權杖，存取了存放客戶帳號資訊的資料庫，內含客戶的加鹽雜湊密碼。</p> <p>其實Heroku在發表此一完整報告的前一天，便去信要求客戶變更它們Heroku帳號的密碼，還說若客戶未主動變更，Heroku將會執行密碼自動重設功能，但當時Heroku並沒有作出任何解釋，而引起客戶的騷動。</p> <p>現在則真相大白，原來只是簡單的Heroku機器帳號遭到盜用，就外洩了客戶機密。</p> </div></div></div>
2022/5/6 22:02作者陳曉莉https://www.ithome.com.tw/news/150808
【資安日報】2022年5月6日, Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以免費防毒著稱的Avast與AVG旗下的端點防護系統元件，被研究人員發現2個漏洞，攻擊者可用來關閉資安產品、覆蓋系統元件，或是中斷電腦運作。而值得留意的是，這樣的漏洞已存在近10年，且<a href="http://ithome.com.tw/news/150755#AvosLocker-Avast-Log4Shell">Avast防毒軟體日前也傳出有類似的元件漏洞被用於攻擊行動</a>。</p> <p>另外一與資安漏洞有關的新聞也相當值得留意。F5旗下的BIG-IP系統重大漏洞CVE-2022-1388，其嚴重程度也使得美國網路安全暨基礎設施安全局（CISA）提出警告，要用戶儘速採取行動。</p> <p>利用USB儲存裝置來散布惡意軟體的手法，前5至10年可說是相當常見，但這類手法並未因此消聲匿跡。有研究人員發現從去年9月出現的攻擊行動Raspberry Robin，駭客就運用這種管道來傳送蠕蟲程式。而這起攻擊行動相當神秘，研究人員表示，仍有許多疑點有待進一步釐清。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://redcanary.com/blog/raspberry-robin/"><span style="color: rgb(0, 0, 0);">駭客藉由USB隨身碟散播蠕蟲程式，並濫用威聯通網路設備回傳受害電腦資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RRGraphicV3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RRGraphicV3.jpg" style="width: 300px; float: right;" /></a>近年來駭客多半透過網路釣魚來投放惡意程式，但濫用USB儲存裝置的攻擊手法仍有事故發生。資安業者Red Canary揭露自2021年9月出現的Raspberry Robin攻擊行動，駭客利用USB儲存裝置散布蠕蟲程式，然後濫用受害電腦的Windows Installer處理程序（msiexec.exe）來存取駭客的基礎設施，這些設施多半由威聯通（QNAP）的設備組成，並在發出的HTTP請求裡包含了受害者的使用者名稱與電腦名稱。除此之外，駭客也運用洋蔥網路（TOR）的節點來增加C2中繼站的數量。</p> <p>研究人員指出，他們已經在高科技與製造相關產業看到相關攻擊行動，但尚未確認受害組織之間是否存在關連，也無法判斷攻擊者的目的，不過，很可能是為了在受害電腦持續監控，駭客成功入侵後會部署惡意DLL程式庫，並透過Windows內建的應用程式來側載執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybereason.com/blog/operation-cuckoobees-cybereason-uncovers-massive-chinese-intellectual-property-theft-operation"><span style="color: rgb(0, 0, 0);">中國駭客Winnti竊取歐美組織的內部機密資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Winnti-Kill-Chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Winnti-Kill-Chain.png" style="width: 300px; float: right;" /></a>駭客埋藏在受害組織的網路間諜行動，很可能長達3年才被發現。資安業者Cybereason近日指出，他們於去年調查多起針對北美、歐洲、亞洲地區科技業與製造業的入侵事件時，發現至少從2019年就開始進行的網路間諜行動Operation CuckooBees。這起攻擊行動疑似由中國駭客組織Winnti（亦稱APT41、Barium）發起，駭客主要針對受害組織的智慧財產下手，竊取有關的資料，除此之外，該組織亦偵察網路架構，並收集使用者帳號資料、員工電子郵件、客戶資料等，以利日後再度對受害組織下手，迄今已洩露數百GB的資料。</p> <p>而對於駭客的攻擊手段，研究人員指出，攻擊者使用了未曾出現過的惡意軟體Deploylog，以及新版本的Spyder Loader、Privatelog、Winnkit等，並相當罕見地濫用作業系統的通用事件記錄檔案系統（CLFS）、NTFS檔案系統的機制，來規避資安系統的檢測。再者，比較特別的是，駭客所使用的惡意軟體皆相依其他元件，也就是必須具備相關元件的狀態下才能執行，使得研究人員難以各別分析就察覺攻擊意圖。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/fresh-phish-britains-national-health-service-infected-by-massive-phishing-campaign"><span style="color: rgb(0, 0, 0);">駭客濫用英國健保局電子郵件帳號發動網釣攻擊</span></a></strong></h3> <p>組織將電子郵件系統移轉至雲端服務，可能導致安全政策改變，而成為駭客用來攻擊的管道。資安業者Inky近日指出，駭客自去年秋天開始，盜用英國健保局（NHS）員工的電子郵件帳號寄送釣魚郵件，截至今年3月已有139名員工的帳號被冒用。研究人員在今年3月共偵測到1,157封以英國健保局員工名義寄送的釣魚郵件，這些郵件以傳送傳真檔案的名義引誘對方上當，一旦收信人依照指示開啟連結，就有可能被竊取微軟帳號的資料。</p> <p>但為何駭客能大肆濫用該單位的員工電子郵件帳號？研究人員認為，可能與英國健保局去年將內部建置的郵件伺服器遷移至Exchange Online，使得相關安全配置產生變動，而出現能讓駭客挾持員工電子郵件信箱帳號的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/netdooka-framework-distributed-via-privateloader-ppi.html"><span style="color: rgb(0, 0, 0);">駭客透過惡意軟體PrivateLoader散布NetDooka惡意框架</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/netdooka-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/netdooka-1-1.jpg" style="width: 300px; float: right;" /></a>駭客的惡意軟體分工中，<a href="https://www.ithome.com.tw/news/149297#PrivateLoader">先前有資安業者揭露專門投放惡意軟體的業者，他們以感染電腦數量來向駭客收費（Pay-per-install，PPI）</a>，最近又有駭客利用這種方式散布作案工具。趨勢科技發現，近期有駭客尋求PPI業者，藉由惡意軟體PrivateLoader投放名為NetDooka的惡意軟體框架，該框架由Dropper、Loader，以及RAT木馬程式等元組成。PPI業者會先投放NetDooka的Dropper元件，該元件會解密並執行Loader。</p> <p>而Loader會先確認受害電腦環境，並清除受害電腦的上的防毒軟體、封鎖防毒業者的網域，再藉由作業系統的BITS系統元件下載、以驅動程式的型式植入木馬程式，為了避免木馬程式遭到刪除或停止運作，駭客也藉由登錄檔的機碼設置了復原機制。</p> <p>這個RAT程式可接受攻擊者遠端下達的命令，如執行Shell程式碼、發動DDoS攻擊、側錄鍵盤輸入的內容，以及進行遠端桌面存取等。研究人員認為，駭客透過植入惡意驅動程式的管道站穩腳跟，這樣的做法使得攻擊者能透過NetDooka惡意軟體框架，對受害電腦傳遞更多惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/heroku-admits-to-customer-database-hack-after-oauth-token-theft/"><span style="color: rgb(0, 0, 0);">雲端應用程式服務業者Heroku坦承因客戶資料庫遭駭，引發GitHub的OAuth憑證外洩事件</span></a></strong></h3> <p>自<a href="https://www.ithome.com.tw/news/150480#oauth">GitHub於4月中旬發出公告</a>，指出駭客濫用他們授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證，導致數十個組織GitHub儲存庫可能會遭到異常存取，這起事件最近有了新的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，Heroku於5月4日陸續向用戶寄送資安事故通知的電子郵件，表明為了對上個月的資安事故做出回應，他們將會強制重設用戶的密碼，但除此之外沒有進一步做出說明，而引發用戶不滿，認為該公司的資安事故處理不夠透明，且這樣的做法代表了當時Heroku應該遭到了攻擊。</p> <p>這起風波發生的隔日，Heroku終於坦承他們於4月7日遭到入侵，駭客存取該公司資料庫並下載了客戶GitHub的憑證，並於4月8日下載這些客戶GitHub儲存庫的中繼資料，9日進一步存取含有原始碼的Heroku私有GitHub儲存庫資料。該公司於13日母公司Salesforce接獲通報後著手進行調查，遂於16日註銷所有與GitHub整合的OAuth憑證，且於5月4日決定進一步重設Heroku用戶的密碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/f5-warns-of-critical-big-ip-rce-bug-allowing-device-takeover/"><span style="color: rgb(0, 0, 0);">F5公布BIG-IP系統出現重大漏洞，恐被攻擊者用於RCE攻擊</span></a></strong></h3> <p>網路安全業者F5於5月4日發布資安通告，指出他們修補了BIG-IP系統的漏洞CVE-2022-1388，這項漏洞存在於iControl REST元件裡，影響從11.6.1至16.1.2的多個版本BIG-IP。一旦攻擊者加以利用，就藉由發送特定的請求來繞過iControl REST的身分驗證流程，進而有可能接管整個系統，CVSS風險層級達到9.8分。這項漏洞的嚴重程度，也使得美國網路安全暨基礎設施安全局（CISA）同日發出資安警示。</p> <p>F5發布了新版軟體修補上述漏洞，而對於無法升級的用戶，該公司也提供了緩解措施，但指出用戶採用前，應留意部分的措施有可能會影響該系統運作。</p> <p>關於曝露在資安風險當中的BIG-IP系統數量，資安人員Nate Warfield提出警告與預估，根據他透過物聯網裝置搜尋引擎Shodan兩年來的追蹤，可能有1.6萬套BIG-IP系統曝露在網際網路上。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/vulnerabilities-in-avast-and-avg-put-millions-at-risk/"><span style="color: rgb(0, 0, 0);">Avast、AVG防毒軟體存在近10年的高風險漏洞</span></a></strong></h3> <p>日前研究人員發現駭客在攻擊行動裡，<a href="https://ithome.com.tw/news/150755#AvosLocker-Avast-Log4Shell">利用Avast防蠕蟲程式（Anti Rootkit）的元件停用防毒軟體</a>，而最近研究人員揭露了更多可被濫用的漏洞。資安業者SentinelOne於2021年12月向防毒業者Avast通報，他們在該公司旗下Avast、AVG防毒軟體的防蠕蟲程式裡，發現了兩個相當嚴重的漏洞CVE-2022-26522、CVE-2022-26523，這些漏洞自2012年Avast防毒軟體12.1版存在至今，很可能影響數百萬用戶。</p> <p>這些漏洞一旦遭到利用，攻擊者就有可能關閉資安產品、覆蓋系統元件，或是導致電腦出現藍白畫面（BSOD）。研究人員指出，這些漏洞可能會被攻擊者用於第二階段的瀏覽器攻擊，或是執行沙箱逃逸。Avast、AVG獲報後已於22.1版防毒軟體修補上述漏洞，並將陸續派送給用戶。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/synopsys-to-acquire-whitehat-security-from-ntt-301534684.html"><span style="color: rgb(0, 0, 0);">Synopsys併購DAST服務業者WhiteHat Security</span></a></strong></h3> <p>美國電子設計自動化（EDA）業者新思科技（Synopsys）於4月27日宣布，他們將以3.3億美元的價格，買下NTT Security旗下的應用程式安全服務公司WhiteHat Security，併購後將為新思科技帶來動態應用程式安全測試（DAST）的相關技術，這起併購案預計在該公司的今年第3財季完成。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/6 17:44作者周峻佑https://www.ithome.com.tw/news/150805
強化上市櫃資安措施政策大公開，提供資通安全管控指引，推動加入情資分享平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化國內上市櫃公司治理能力，政府近年推動永續、ESG之餘，還有一個重要議題，那就是資安，而這也是全球趨勢。例如，在2018年，美國證券交易委員會（SEC）公布上市公司的資訊安全揭露指引，當時這只是原則性的規範，但在2022年3月，SEC已經提案要求上市公司，在遭網路攻擊後的4天需提出報告，這將讓法令更具規範性。</p> <p>在臺灣，隨著這幾年上市櫃公司不斷傳出發生資安事件，金管會在2021年開始修正相關法令，加入多項資安強化措施，例如，近期最為大眾所熟知的行動，包括：（1）推動企業揭露資安事件重大訊息，（2）要求公司年報記載資安管理作為，（3）逐年規定符合條件公司配置相應資安人力，不過，相關的強化措施不只上述3項，近日適逢台灣資安主管聯盟成立之際，臺灣證券交易所也在這個場合揭露整體通盤規畫。</p> <p>這幾年持續發生的許多資安事件，突顯這已是常態發生的情況，加上政府近年持續推動資安即國安的政策，因此，行政院與金管會都相當重視這方面的議題，而且，不只是政府需要資安，產業也需要資安，於是，基於這樣的背景之下，政府要求臺灣證券交易所（證交所），以及證券櫃檯買賣中心（櫃買中心），成立「強化上市櫃資安措施任務小組」。</p> <p>以近期的新增強化措施而言，臺灣證券交易所副總經理趙龍提到幾個重點，例如，在2021年12月底，他們公布了「上市上櫃公司資通安全管控指引」，協助這些公司強化資安防護與管理機制，以符合新版內控制度處理準則。</p> <p>證交所會依上市櫃公司風險程度，分階段要求或鼓勵公司設置資安單位及人員，同時，也將逐步推動上市櫃公司加入台灣電腦網路危機處理暨協調中心（TWCERT/CC），建立更完整的資安情資分享環境，未來還會持續成立這類任務性的跨部門專案小組。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E6%94%BF%E7%AD%96.jpg" style="width: 600px;" /></p> <blockquote><p>針對提升上市櫃公司對資訊安全的重視，臺灣證券交易所副經理汪厚燊表示，主要從3大面向來促進與協助，透過資訊公開、公司治理與監理協助這些層面，推動不同產業公司強化資通安全防護。</p> </blockquote> <h2><strong>強化上市櫃資安從3大面向著手</strong></h2> <p>現階段針對上市櫃公司資安管控有多少措施？主管機關是從那些角度來考量？證交所另一位副經理汪厚燊提出進一步的說明。</p> <p>他表示，主要從三大面向著手：包括資訊公開、公司治理，以及監理協助。</p> <h3><span style="color:#0000FF;"><strong>資訊公開</strong></span></h3> <p>首先，是重大訊息即時說明重大資安事件，去年4月證交所與櫃買中心已修訂相關法令，明確將資通安全表示屬於重大訊息。</p> <p>其次，是年報及公開說明書需揭露重大資安風險，除了規定風險評估應分析事項、記載重大資安事件，並要敘明資通安全風險管理架構、政策、具體理管方案，以及投入資源，而在今年1月26日的法令修正中，再規範上述資安通安全管理的內容，應記載於營運概況的位置，讓資訊登載位置更明確。</p> <p>在近期修正法令的施行中，汪厚燊提醒，重大資安事件若預估損失超過公司股本2成，或是三億元，應即時發布重大訊息說明記者會。</p> <p>而且，自今年開始，依照主管機關要求，證交所與櫃買中心都會針對查核重大訊息資訊揭露內容的妥適性。換言之，過去新推動這樣的政策，一開始要求可能不高，現在將進一步查核內容是否恰當，避免揭露內容只是流於形式。</p> <h3><span style="color:#0000FF;"><strong>公司治理</strong></span></h3> <p>此處有兩項主要措施，分別是資安納入內部控制，以及資安納入公司治理評鑑。</p> <p>以資安納入內部控制而言，這部分在原有內控處理準則中，就包括檔案及設備之安全控制等10項要求，目前則在人員層面新增多項規範。</p> <p>例如，將上市櫃公司畫分第一、二、三級，分階段要求或鼓勵公司設置資安長、資安專責單位及資安人員，像是要求2022年底，符合資本額100億、臺灣50成本股公司，以及主要是電子方式媒介商品服務者，需設置資安專責單位、資安長、資安主管，以及至少兩名專責人員。</p> <p>同時，2021年的相關法令修正中，也要求公司應將資通安全檢查，納入年度稽核計畫的項目，並特別要求公司內部的稽核人員，應持續進修，包括專業課程、電腦稽核與法律常識。</p> <p>以資安納入公司治理評鑑而言，在110年度而言，臺灣證券交易所已開始將資安列入評鑑指標，內容是：「公司是否建置資訊安全風險管理架構，訂定資訊安全政策及具體管理方案，並揭露於公司網站或年報」。因此，在法令要求公開這方面資訊之前，已訂於公司治理自評項目。</p> <p>特別的是，今年度適用的111年度公司治理評鑑，再新增相關內容，是公司導入ISO 27001等資訊安全系統標準並取得第三方驗證，可作為給予加分的項目。</p> <h3><span style="color:#0000FF;"><strong>監理協助</strong></span></h3> <p>證交所已發起多項協助上市櫃公司的行動，例如，今年起，將資安納入內部控制制度查核作業的選定稽核項目，不定期查核；將在上市櫃公司董事進修課程中，加入資安課程。</p> <p>不定期成立的任務型專案小組，從去年開始進行，包括研議各種上市櫃資安強化措施的可行性，適時提出與資安監管有關的市場規章修改，辦理教育宣導。</p> <p>還有兩件企業可以特別注意的事項。首先，由於上市櫃公司產業特性不一，規模大小也不同，因此，證交所2021年底訂定上市櫃公司資通安全管控指引，讓企業能夠在資安管理的規畫上，有步驟與項目可作為依循，當中亦包含許多注意事項，像是委外須注意哪些事情，而在資安通報應變、情資評估，以及如何持續精進，也都有提供相關建議。</p> <p>其次，將推動上市櫃公司加入所屬領域ISAC，或是TWCERT/CC，促進資安情資分享。汪厚燊表示，目前國內的資安情資分享平臺，包括金融領域的F-ISAC、科技領域的SP-ISAC、醫療領域的H-ISAC、能源領域的E-ISAC、通訊領域的C-ISAC、交通領域的T-ISAC。由於上市櫃公司產業不同，還有其他沒辦法加入上述專屬領域，他們將鼓勵公司加入所有產業均可加入的TWCERT/CC。</p> <p>事實上，這方面也已有明確的推動計畫，例如，第一級公司在今年2022上半年就加入，第二級公司在2022下半年到2023年底前加入，第三級公司則在2024年底前加入。</p> <p>這樣的時程，看起來也是與要求設置資安人力的規範相呼應。</p> <h2 class="rtecenter"><span style="color: rgb(178, 34, 34);"><strong>上市上櫃公司資通安全管控指引</strong></span></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 431px;" width="431"><tbody><tr height="22"><td height="22" style="height: 22px; width: 62px;">章節</td> <td style="width: 292px;">章節名稱</td> <td style="width: 78px;">條文數量</td> </tr><tr height="22"><td height="22" style="height: 22px;">第一章</td> <td>總則</td> <td>2條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第二章</td> <td>資通安全政策及推動組織</td> <td>4條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第三章</td> <td>核心業務及其重要性</td> <td>4條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第四章</td> <td>資通系統盤點及風險評估</td> <td>2條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第五章</td> <td>資通系統發展及維護安全</td> <td>4條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第六章</td> <td>資通安全防護及控制措施</td> <td>12條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第七章</td> <td>資通系統或資通服務委外辦理之管理措施</td> <td>3條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第八章</td> <td>資通安全事件通報應變及情資評估因應</td> <td>3條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第九章</td> <td>資通安全之持續精進及績效管理機制</td> <td>2條</td> </tr><tr height="22"><td height="22" style="height: 22px;">第十章</td> <td>附則</td> <td>1條</td> </tr><tr height="22"><td colspan="2" height="22" style="height: 22px;"> 資料來源：臺灣證券交易所，2022年5月</td> <td> </td> </tr></tbody></table><h2 class="rtecenter"><span style="color: rgb(178, 34, 34);"><strong>推動上市櫃公司加入資通安全情資分享平臺</strong></span></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 579px;" width="578"><tbody><tr height="22"><td height="22" style="height: 22px; width: 171px;">領域資安情資分享平臺</td> <td style="width: 74px;">主管機關</td> <td style="width: 335px;">可能參與的上市櫃產業</td> </tr><tr height="22"><td height="22" style="height: 22px;">金融領域（F-ISAC）</td> <td>金管會</td> <td style="width: 335px;">金融保險業</td> </tr><tr height="65"><td height="65" style="height: 65px;">科技領域（SP-ISAC）</td> <td>科技部</td> <td style="width: 335px;">電機機械、電器電纜、半導體業、電腦及週邊設備業、光電業、電子零組件業、電子通路業、資訊服務業、其他電子業</td> </tr><tr height="22"><td height="22" style="height: 22px;">醫療領域（H-ISAC）</td> <td>衛服部</td> <td style="width: 335px;">生技醫療業（需為醫院）</td> </tr><tr height="22"><td height="22" style="height: 22px;">能源領域（E-ISAC）</td> <td>經濟部</td> <td style="width: 335px;">油電燃氣業</td> </tr><tr height="22"><td height="22" style="height: 22px;">通訊領域（C-ISAC）</td> <td>NCC</td> <td style="width: 335px;">通信網路業</td> </tr><tr height="22"><td height="22" style="height: 22px;">交通領域（T-ISAC）</td> <td>交通部</td> <td style="width: 335px;">航運業</td> </tr><tr height="86"><td height="86" style="height: 86px;">TWCERT</td> <td>NCC</td> <td style="width: 335px;">未設參加限制，所有產業均得加入<br /> 第一級公司：2022上半年加入<br /> 第二級公司：2022下半年到2023年底加入<br /> 第三級公司：2024年底加入</td> </tr><tr height="22"><td colspan="3" height="22" style="height: 22px;"> 資料來源：臺灣證券交易所，iThome整理，2022年5月</td> </tr></tbody></table><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E6%94%BF%E7%AD%96.jpg" style="width: 600px;" /></p> <blockquote><p>最近半年來，金管會對於「公開發行公司年報應行記載事項準則」的修正中，開始將資安風險評估、資安管理作為、資安重大事件，明確列入年報登載事項，並在今年1月明訂「資通安全管理」的作為，應登載於「營運概況」的項目之中。（圖片來源：臺灣證券交易所）</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E6%94%BF%E7%AD%96.jpg" style="width: 600px;" /></p> <blockquote><p>去年臺灣證券交易所與證券櫃檯買賣中心完成「對上市公司重大訊息之查證暨公開處理程序」、「對上櫃公司重大訊息之查證暨公開處理程序」的修正中，將資通安全事件明確列入重大情事。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">（圖片來源：臺灣證券交易所）</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E5%BC%B7%E5%8C%96%E4%B8%8A%E5%B8%82%E6%AB%83%E8%B3%87%E5%AE%89%E6%8E%AA%E6%96%BD%E6%94%BF%E7%AD%96.jpg" style="width: 600px;" /></p> <blockquote><p>去年底金管會已完成「公開發行公司建立內部控制制度處理準則」第九條之一、第四十七條的修正中，規範上市櫃公司應配置適當資訊安全人力，並<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">將以循序漸進方式推動辦理。（圖片來源：臺灣證券交易所）</span></p> </blockquote> </div></div></div>
2022/5/6 16:59作者羅正漢https://www.ithome.com.tw/news/150803
Martech雙周報第21期：2022全球Martech版圖出爐，廠商總數增至近萬家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞(0424~0508)</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Martech版圖</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Martech之父</b></span></font></p> <p><strong>Martech之父Scott Brinker推出2022全球Martech 版圖，廠商總數增至快9932家漲幅24%。</strong></p> <p>Martech之父Scott Brinker睽違兩年，再次<a href="https://chiefmartec.com/2022/05/marketing-technology-landscape-2022-search-9932-solutions-on-martechmap-com/">發布全球Martech版圖</a>。自2020以來，有972家Martech廠商已經消失在版圖中，但又新增了2904家廠商，總數從8000家，增加到了9932家，漲幅約24%。其中，又以流程與管理分類漲幅最大（67%），內容與體驗（34%）其次，商業與銷售第三（24%）。</p> <p>Martech廠商併購案頻傳，平均一個月約3個超過1億美元的併購案，看似市場漸趨整併，但大大小小的併購案，只占版圖廠商總數2%，而小型新創公司還是如雨後春筍般不斷冒出。Scott Brinker分析，當市場出現穩固的大型平臺或系統，不但不會讓市場變得單一，反而會吸引更多開發商，圍繞著這些平臺或系統開發新工具。他認為，就如iOS和Android吸引了無數App開發商一樣，Martech市場不會整併到只剩少數廠商，而是由數個大平臺「聚合」起大量功能，也會不斷出現新廠商。 </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TikTok</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Cookie</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">廣告分潤</span></strong></span></strong></p> <p><strong>TikTok逆時勢推出Cookie追蹤功能，並新增可以讓創作者分潤廣告服務</strong></p> <p>Tiktok表示，隨著使用者網路身分逐漸破碎化，Cookie汰除時限又不斷推遲，<a href="https://ads.tiktok.com/help/article?aid=10007540">他們將推出第一方和第三方Cookie追蹤功能</a>，以強化跨網站使用者行為追蹤和行銷規因分析。過去，Tiktok只能針對單次造訪期間的使用者數據進行分析，因此行銷轉換分析十分困難，成為行銷商投資Tiktok廣告的阻力。</p> <p>同時，Tiktok也推出了新廣告功能，讓廣告可以出現在推薦頁面的前4%熱門推薦影片之間。這些熱門推薦影片的創作者，可以獲得廣告分潤。（<a href="https://www.ithome.com.tw/news/150771">詳全文</a>）</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>HubSpot</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CRM</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>SLA</b></span></font></p> <p><strong>HubSpot客服軟體Service Hub重新改版，優化客服首頁也強化客服服務水準管理</strong></p> <p>CRM軟體商HubSpo<a href="https://www.hubspot.com/company-news/hubspot-relaunches-service-hub">t重新改版了2018年推出的客服軟體Service Hub</a>，不只支援進線電話管理，還優化了客服首頁，也強化對客服服務水準（SLA）的機制。</p> <p>過去，客服人員只能透過Service Hub專用電話號碼進行外撥，Service Hub現在也支援進線功能。打進Service Hub號碼的電話，會導向個別客服人員分機，並進行錄音。</p> <p>除此之外，Pro版以上的使用者還有SLA管理工具及入口網站功能更新。</p> <p>新增的客服SLA管理工具中，提供了「首次回覆時限」跟「關單時限」兩種提醒設定，用來安排客服單的處理順序，可依顧客類型套用不同設定，或依急迫性和重要性進一步區分優先度。</p> <p>顧客入口網站功能也升級了，可以支援團體顧客的集中管理。舊版的顧客入口網站，同一群組織的不同使用者帳號，只能看到各自提出的客服單。在新版，可以提供多人客服單統一管理機制，屬於同一群團體的使用者，可以看到所有人提出的客服單，以避免重複提出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google Play</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">隱私權政策</span></strong></span></strong> </p> <p><strong>Google Play新增App隱私頁面，要求開發商公開更多數據用途和政策 </strong></p> <p><a href="https://blog.google/products/google-play/data-safety/">Google Play Store將推出App資料隱私頁</a>面，開發商須揭露隱私權政策，包含是否收集使用者數據、如何使用、是否有提供數據給第三方公司、採用什麼數據保護技術、隱私政策是否通過國際標準（尤其是MASVS）、是否有收集兒童資料，以及使用者是否能要求開發商刪除自己數據。不配合揭露隱私權政策的App，將無法更新，甚至被官方下架。</p> <p>但Google作法與蘋果App Store略有不同，蘋果要求開發商揭露收集的數據類型及是否涉及個人隱私，而Google是以數據用途和隱私權政策為主。此外，蘋果提供使用者不被追蹤資料的選項，而Google沒有提供此選項。</p> <p>Google要求開發商在7月底前提供隱私權資訊。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">三星Ads</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DSP</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">CTV</span></strong></span></strong></p> <p><strong>三星Ads推出BYOM廣告整合方案，能統一分析跨不同電視頻道的廣告數據</strong></p> <p>三星Ads推出新的Bring your own media（BYOM）<a href="https://www.samsung.com/us/es/business/samsungads/resources/total-media-solution/">廣告數據整合解決方案</a>，行銷業者可以將各個當初與電視臺（而非三星）簽約的廣告數據，集中到三星DSP平臺進行分析，以整合眾多頻道分別的廣告數據。這些頻道數據來源，包括行銷公司在傳統線性頻道及聯網電視投放的廣告數據。</p> <p>在過去，行銷商只能自行對個別CTV頻道投放廣告。新解決方案中，三星也提供代理服務，根據統一分析跨頻道數據結果，投放廣告到眾多三星生態圈中的CTV頻道。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Facebook</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Instagram</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Messenger</span></strong></span></strong> <strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">WhatsApp</span></strong></span></strong> </p> <p><strong>Meta優化WhatsApp廣告製作流程及商業訊息回覆功能、新增Messenger行銷功能、更新IG報價及分眾行銷功能</strong></p> <p><a href="https://www.facebook.com/business/news/introducing-new-ads-and-messaging-tools-for-small-businesses">Meta將優化WhatsApp廣告製作流程</a>，讓商家能在WhatsApp商務App上，一站式製作可導回WhatsApp聊天室的Facebook跟Instagram廣告。過去要製作這種功能的廣告，必須在不同平臺的商務App間來回切換。</p> <p>過去，只有Messenger跟Instagram Direct的商務訊息會出現在Meta商務套件中，現在WhatsApp商務訊息也將整合進套件。WhatsApp綁定單一手機號碼，因此通常只能由單一裝置處理商務訊息。整合完成後，就能由多個客服人員，透過商務套件同時處理這些訊息。</p> <p>此外，商家現在也能透過Meta商務套件，發布Messenger行銷訊息給訂閱者，類似於Line官方帳號的行銷訊息模式。</p> <p>Meta也推出Instagram報價功能，商家可在商家資訊跟限時動態中貼上報價連結，將客戶導向簡單的需求問卷，以利後續商談。同時，Instagram也更新了多項名單型問答廣告功能，包括更彈性的問答形式、分析工具及分眾內容等。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong></p> <p><a href="https://www.adweek.com/convergent-tv/amazon-freevee-virtual-product-placement-newfronts-debut/">Amazon宣布，將在自家串流平臺Freevee（前IMDb TV）跟Prime Video的原創內容中，提供虛擬廣告版位。</a></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/6 16:06作者郭又華https://www.ithome.com.tw/news/150800
微軟續拆解Python擴充套件，釋出3款獨立新套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-may-2022-release/">微軟</a>依循簡化Python擴充套件功能的政策方針，逐漸分解Python擴充套件的功能成獨立擴充套件，以提高效能以及穩定性，而現在又有3個新的擴充套件釋出，分別是Black、isort以及Jupyter Powertoys。</p> <p>新的Black擴充套件為Python格式化工具，和pylint擴充套件類似，Black也使用語言伺服器協定來提供格式支援，開發者現在就可以從VS Code市集中下載進行試用。另一個isort擴充套件，則可以對匯入進行排序，當開發者打開檔案，而isort偵測到匯入的檔案未按照isort的標準時，便會顯示錯誤並且提供修復程式碼，來修復匯入的順序。</p> <p>微軟也宣布推出Jupyter Powertoys擴充套件，該擴充套件針對Jupyter筆記本提供包括核心管理面板、上下文幫助、執行分組等實驗性功能。而現在Jupyter擴充套件也可以被安裝成網頁擴充套件，在vscode.dev中使用，不過目前擴充套件的功能仍受到限制，僅支援不需要HTTPS的Jupyter伺服器上的筆記本。</p> </div></div></div>
2022/5/6 15:25作者李建興https://www.ithome.com.tw/news/150798
Outlook Web Access臭蟲使Safari用戶遭0byte檔案轟炸式下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周微軟郵件服務Outlook Web Access（OWA）傳有臭蟲，讓Mac用戶以Safari存取OWA時不停收到0byte的不明檔案，昨日微軟表示已經解決了這個臭蟲。</p> <p>本周有多名Mac用戶在<a href="https://answers.microsoft.com/en-us/outlook_com/forum/all/token-factory-iframe/f554b805-a05a-42cb-8821-2d7630143128" target="_blank">微軟</a>和<a href="https://discussions.apple.com/thread/253870656" target="_blank">蘋果</a>討論區指出，他們以Safari登入OWA收信後，即不停收到Token Factory iFrame的檔案而造成無法正常收發信件。</p> <p>除了Safari外，似乎也影響使用Safari WebKit引擎的iOS瀏覽器，如iPad上的Microsoft Edge。另外<a href="https://www.reddit.com/r/Outlook/comments/uh927i/i_download_a_file_every_time_i_open_outlook_on/" target="_blank">Reddit </a>用戶則反映，Chrome及Firefox也發生同樣問題，但似乎不是所有人。</p> <p>一些使用者分析發現，下載的檔案全是0 byte長度，並未包含惡意程式。但<a href="https://borncity.com/win/2022/05/04/apple-safari-haben-ein-outlook-tokenfactoryiframe-problem-mai-2022/" target="_blank">資安部落格Borncity</a>指出，許多下載Token Factory iFrame的網站會跳出擾人廣告視窗，試圖誘使用戶下載「免費」的惡意程式移除工具，但這類工具通常不是知名安全廠商的產品，會導致瀏覽器劫持及被修改設定。如果macOS用戶透過「選單」>「偏好」>「擴充程式」搜尋到Token Factory iFrame的話，表示瀏覽器已經中了這個劫持軟體。</p> <p><a href="https://techcommunity.microsoft.com/t5/outlook/tokenfactory-iframe-issue/m-p/3314666" target="_blank">有用戶</a>在Safari的「偏好」>「網站」>「下載」中，將Outlook及Office.com設定為「拒絕」來阻擋下載。</p> <p><a href="https://www.theregister.com/2022/05/04/outlook_safari_bug/?td=rt-3a" target="_blank">The Register報導</a>，微軟周四說明是伺服器端的臭蟲問題。微軟內部bug thread顯示已經修復，且微軟也向用戶說明OWA問題已經解決。</p> </div></div></div>
2022/5/6 14:32作者林妍溱https://www.ithome.com.tw/news/150795
Google推智慧工廠解決方案，簡化生產機器資料分析和AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對製造業數位轉型，推出<a href="https://cloud.google.com/blog/topics/manufacturing/new-google-cloud-manufacturing-solutions">智慧工廠解決方案</a>，要讓數位化工作擴展到工廠生產上。這項新的智慧工廠解決方案，可供製造工程師和工廠經理，存取工廠中不同資產和流程的資料，進而做出更好的決策。</p> <p>智慧工廠解決方案有幾個重要的元件，包含收集資料的製造資料引擎、製造連結（Manufacturing Connect），而收集來的資料，能夠被用於由Google和第三方所提供的製造分析、預測性維護和機器異常偵測等服務，獲得資料所隱含的額外資訊。</p> <p>製造資料引擎能夠用來處理和儲存工廠資料，並且將這些資料依語意上下文化，提供製造背景資訊，雲端平臺可以透過邊緣和雲端間的私有連接，從任何類型的機器，獲取遙測或是圖像資料。製造資料引擎內建的資料規範和上下文功能，提供了一個通用資料模型，以及針對工廠最佳化的資料湖。</p> <p>而Google與Litmus Automation共同開發的製造連結，是一個工廠邊緣平臺，可連接超過250種機器協定，讓用戶可以快速地連接多數的製造資產，並將這些機器資料轉換成可使用的資料集，進而發送到製造資料引擎進行處理和儲存。製造連結支援容器化工作負載，可讓用戶直接在邊緣執行低延遲資料視覺化、分析甚至是機器學習功能。</p> <p>而建構在製造資料引擎之上的，是一系列資料分析和人工智慧用例，透過與Looker模板緊密整合，用戶可開箱即用存取儀表板和資料應用，根據KPI或是其他需求進行分析，以探索工廠可改進的部分。製造資料引擎中的資料，也能夠用於預測性維護上，其預建置的機器學習模型，能夠在數周內完成部署，提供高預測準確性，並且在之後不斷改進和完善模型。</p> <p>Google提到，該智慧工廠解決方案在設計時，考慮到工廠人力以及日常營運的限制，因此講求快速實作以及簡易性，其重要部分配置皆為低程式碼或是無程式碼，在規模部署上，也是基於模板，並且以標準化鼓勵重複使用。</p> <p>Google智慧工廠解決方案讓工廠中的每個資料點，都能夠被存取與操作。製造資料引擎能夠結構化儲存資料，並且提供語義上的上下文資訊，透過抽象製造資料的複雜性，整個企業都可以存取工廠中的資料，將其用於開發高價值的分析和人工智慧用例。</p> </div></div></div>
2022/5/6 14:36作者李建興https://www.ithome.com.tw/news/150794
拜登簽署安全備忘錄，維繫美國於量子運算上的領導地位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/" target="_blank">美國總統拜登（Joe Biden）周三（5/4）簽署一國家安全備忘錄（National Security Memorandum，NSM）</a>，指示美國必須維繫於量子資訊科學上的主導地位，同時要求各政府機構必須將易受攻擊的密碼系統遷移到抗量子的密碼學系統上。</p> <p>根據該備忘錄，白宮認為量子電腦具備推動全美經濟創新的潛力，從材料科學、金融到能源等各領域都有可能受惠，而美國在技術與科學上的領導地位，至少有部分取決於國家在量子運算與量子資訊科學上保持競爭優勢。</p> <p>然而，伴隨量子運算優點而來的還有對美國經濟與國家安全所帶來的風險，因為可用來執行密碼分析的複雜量子電腦（Cryptanalytically Relevant Quantum Computer，CRQC），將得以用來破解美國與全球數位系統所使用的公鑰密碼，一旦CRQC誕生，就可能危及民用與軍用的通訊，破壞重大基礎設施的監控與控制系統，並摧毀絕大多數基於網路之金融交易的安全協定。</p> <p>為了平衡美國在量子運算上的競爭機會與潛在風險，拜登指示美國要持續投資量子運算，同時逐步將國家的密碼系統遷移到可對抗量子運算的密碼學系統上。</p> <p><a href="https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3020175/president-biden-signs-memo-to-combat-quantum-computing-threat/" target="_blank">同一天美國國家安全局（NSA）也發出了公告</a>，表示將由局長負責監控此一遷移過程，特別是那些使用內含機密資訊與情報的國家安全系統（National Security Systems，NSS）的逾50個美國政府部門與機關。</p> <p>NSA表示，該局將領導此一備忘錄中的許多任務，以確保NSS系統可對抗量子攻擊，而包括美國國家標準暨技術研究院（NIST）與網路安全及基礎設施安全局（CISA），則將負責讓美國的重大基礎設施及其它政府系統都遷移到抗量子的密碼學系統上。</p> </div></div></div>
2022/5/6 15:10作者陳曉莉https://www.ithome.com.tw/news/150797
蘋果、Google與微軟擴大對FIDO的支援以加速無密碼時代的到來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fidoalliance.org/apple-google-and-microsoft-commit-to-expanded-support-for-fido-standard-to-accelerate-availability-of-passwordless-sign-ins/" target="_blank">Google、微軟與蘋果選在5月5日的「世界密碼日」（World Password Day）宣布</a>，將擴大對專門推動無密碼的FIDO（Fast IDentity Online）聯盟的支持，以加速無密碼時代的到來。</p> <p>2013年由資安專家所建立「世界密碼日」是為了呼籲全球的網路用戶培養良好的密碼習慣，包括使用強密碼或是避免於不同的網站使用同樣的密碼，然而，隨著各式服務愈來愈多，使用者對密碼的記憶有限，再加上駭客透過網釣、詐騙與暴力破解等各種方式展開攻擊，讓密碼愈發成為高風險的資安缺口，事實上，在「世界密碼日」現身的同一年，專門推動無密碼的產業組織FIDO聯盟也同時誕生。</p> <p>FIDO聯盟與全球資訊網協會（World Wide Web Consortium，W3C）共同制定了無密碼登入標準，支援使用者透過生物辨識或硬體金鑰等技術的登入服務，Google、微軟與蘋果原本就是該聯盟的董事級會員，但於本周攜手宣布將擴大對通用無密碼登入標準的支援，將讓使用者不管是在任何裝置或平臺上都能不需密碼便登入網站服務及程式。</p> <p>FIDO聯盟說明，過去聯盟成員的作法是要求使用者要執行無密碼功能時，必須先在每個裝置上登入網站或程式，但本周則新增了兩個免密碼登入的管道，一是允許使用者於各種裝置上自動存取其FIDO登入憑證，不必於每個帳號上重新註冊，二是可利用行動裝置上的FIDO認證以於鄰近的裝置上登入網站或行動程式，不管這些裝置使用什麼瀏覽器或作業系統。</p> <p class="rtecenter"><a href="https://lh4.googleusercontent.com/6DnQPryaurUNO3z_9NRD2S5csRS73P1ClVqQg4OrBbOSI7QKCr2tD1sFjuK94yU8g8Ithvzinj7YIDF0nYCRm-os3q7djAaMGye0WZZBg6pVjQnwWEdCTz2Iu1EqR4X_-BiWh1kMk29tE4jwwg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://lh4.googleusercontent.com/6DnQPryaurUNO3z_9NRD2S5csRS73P1ClVqQg4OrBbOSI7QKCr2tD1sFjuK94yU8g8Ithvzinj7YIDF0nYCRm-os3q7djAaMGye0WZZBg6pVjQnwWEdCTz2Iu1EqR4X_-BiWh1kMk29tE4jwwg" style="width: 339px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／FIDO</span></span></p> <p><a href="https://blog.google/technology/safety-security/one-step-closer-to-a-passwordless-future/" target="_blank">Google則說</a>，該公司打算在Android平臺及Chrome瀏覽器上導入對FIDO登入標準的支援。若使用者已於手機上存放稱為Passkey的FIDO憑證，當要於電腦上登入Google帳號時，只要把手機放在電腦旁邊，就能收到提示以將它解鎖，未來就算手機遺失，相關的Passkey也會自動從雲端備份同步到新手機上。</p> <p><a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟帳號則早在去年就全面支援無密碼登入</a>，<a href="https://www.microsoft.com/security/blog/2022/05/05/this-world-password-day-consider-ditching-passwords-altogether/" target="_blank">根據微軟的說法</a>，密碼不僅很難記，也是最常見的駭客攻擊點之一，目前平均每秒就有921次的密碼攻擊，頻率是過去一年的兩倍。</p> <p>微軟已經允許使用者透過Microsoft Authenticator程式、Windows Hello、安全金鑰，以及傳送至手機或電子郵件信箱的驗證碼來登入微軟帳號，而不再需要密碼。微軟還進一步讓使用者可移除密碼登入功能，以避免密碼遭到濫用，本周微軟亦表示，該公司已有接近100%的員工採用無密碼的選項登入公司帳號。</p> <p>其實一般使用者不僅還不習慣無密碼登入，更經常於不同網站採用同樣的密碼，近日的調查顯示，高達68%的使用者在不同的服務中使用同一密碼，有鑑於早有眾多服務的憑證資料庫外洩，也讓資安專家苦笑，駭客根本不需要「闖入」使用者帳號，因為他們只是「登入」。</p> <p>就算微軟持續推崇無密碼登入，但同時也建議仍堅持密碼的使用者應該要建立強大的密碼，包括至少要有12個字元，且應內含大小寫、數字或符號，不要使用字典可以查得到的單字作為密碼，不要使用重覆的密碼，且在懷疑遭到入侵時應儘快變更密碼。</p> <p>在微軟、Google及蘋果等三大科技業者的支持與推動下，「世界密碼日」有朝一日將成為僅作為懷念之用的紀念日，並迎接無密碼時代的到來。</p> </div></div></div>
2022/5/6 13:43作者陳曉莉https://www.ithome.com.tw/news/150793
甲骨文創辦人出資10億美元資助馬斯克收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2022/05/05/elon-musk-expected-to-serve-as-temporary-twitter-ceo-after-deal-closes.html" target="_blank">CNBC報導</a>，馬斯克（Elon Musk）已取得包括甲骨文創辦人Larry Ellison在內的近714億美元資金以收購推特，而完成收購後他也將擔任這個社交平臺臨時CEO（temporary CEO）一職。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/0001494730/000110465922056055/tm2214608-1_sc13da.htm" target="_blank">根據馬斯克周四申報的證管會文件</a>，他獲得股權投資人將近713.9億美元的挹注，其中最大筆是來自甲骨文執行長Larry Ellison名下的資金10億美元。其他新加入的出資者還包括加密貨幣發行平臺Biance、卡達主權基金、紅杉資本（Sequoia Capital）、Andreessen Horowitz、富達（Fidelity Management）等近20家法人。</p> <p>Ellison曾說他和馬斯克是很好的朋友。Ellison也是世界上最有錢的人之一，淨資產約1,030億美元，在<a href="https://www.forbes.com/real-time-billionaires/#7b14c0623d78" target="_blank">富比世千億富翁排行榜</a>居全球第7，10億美元只是零頭而已。Ellsion也是特斯拉股東之一。</p> <p>在獲得穩定資金挹注，之前說馬斯克不一定有錢買得下推特的傳言或許將可不攻自破。另一方面，CNBC引述消息人士報導，預定在年底收購推特後，馬斯克將擔任暫時CEO。<a href="https://www.reuters.com/business/musk-told-banks-he-will-rein-twitter-pay-make-money-tweets-sources-2022-04-29/" target="_blank">路透社上星期報導</a>，馬斯克已經有新任CEO的人選。</p> <p>這是馬斯克以440億美元收購推特一事4月中明朗以來，第一項可能的人事變動。之前執行長Parag Agrawal只願說明在收購完成前他會持續擔任現職，但不願說明之後的發展。</p> <p>馬斯克也可能為推特建立新的營收來源。除了現有的廣告及付費服務外，<a href="https://www.ithome.com.tw/news/150768" target="_blank">本周稍早他也暗示希望</a>推特對一般用戶免費，但對企業或政府用戶收取費用。</p> </div></div></div>
2022/5/6 13:00作者林妍溱https://www.ithome.com.tw/news/150791
如何實踐永續發展目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">聯合國全球盟約組織（The United Nations Global Compact，UNGC）是科菲．安南在一九九九年的世界經濟論壇（World Economic Forum，又稱達沃斯論壇）上提倡，於二○○○年設立。超過一萬五千個團體連署、自發性地加入，致力於打造實現永續成長的全球性架構。</p> <p dir="ltr">聯合國全球盟約組織與全球報告倡議組織（Global Reporting Initiative，GRI）和世界企業永續發展委員會（World Business Council for Sustainable Development，WBCSD）共同製作了一份企業行動指南《SDG公司治理》於二○一五年發表。這份《SDG公司治理》說明了企業導入SDGs時（Sustainable Development Goals），比起以現在的事業為基礎「由內而外」的思考法，不如以社會的需求為基礎「由外而內」的思考法更為重要。確實如這份指南所說，由外而內的思考方式很重要，但能確實理解這種思考法並不容易。為什麼？因為許多公司成功「透過本業解決社會困難」的案例，大多混合了由內而外與由外而內這兩種思考法。</p> <p dir="ltr"><span style="font-size:28px;"><strong>《SDG公司治理》指南建議企業以社會的需求為基礎，進行「由外而內」的創新思考法</strong></span></p> <p dir="ltr">以黑貓宅急便聞名的大和運輸為例，大和運輸的強項之一是送到「最後一哩路」的能力。這表示他們擁有「無論客戶住在日本哪裡，我們都能掌握並提供宅配服務」的能力。近年，大和運輸把這種「最後一哩路」的能力運用在探望高齡者的服務之中。</p> <p dir="ltr">那麼，探望高齡者的服務究竟是透過由內而外，還是由外而內的路徑想出來的呢？如果把原本具備的「最後一哩路」能力應用在探望高齡者，就是由內而外。但若是觀察到配送區域有高齡者需要照顧，檢討自家公司可以做些什麼，最後想出探望高齡者服務的點子，那就屬於由外而內。</p> <p dir="ltr">許多歷史悠久的日本企業，一開始就是為了因應社會的需求而創業。在這種情況下，經營者很容易以為自己公司的歷史和活動本身就是在實踐SDGs。從結果來看雖然沒錯，但這無法孕育出新的經營理論或事業。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:20px;"><strong>找出有差異性的附加價值</strong></span></span></p> <p dir="ltr">說到導入SDGs，大部分的日本企業都這麼做：分解事業的供應鏈，找出哪些過程可以對應到SDGs的目標（或是圖示），也就是所謂的「映射」（mapping），然後再設定各自的目標值並執行。雖然這是了解自家公司事業與社會之間的關係時不可或缺的步驟，但遺憾地，想要實現事業策略和獲利，光靠映射法並不夠。</p> <p dir="ltr">因為不管是女性的活躍（SDG目標五：性別平等）或是紙張的節約（SDG目標一五：保育及維護生態領地），在SDGs還沒出現前日本企業老早就做了，更重要的是，就算把目標設成KPI（關鍵績效指標）都達成了，還是無法為公司創造利益。</p> <p dir="ltr">想要「產出利益與為社會帶來良善」二者兼顧，經營與管理必須在SDGs架構上，想出真正獨特的附加價值才行。</p> <p dir="ltr"><span style="font-size:28px;"><strong>企業組織應導入SDGs的「小義」</strong></span></p> <p dir="ltr">我們從更具體的生存策略來說明企業應導入SDGs的理由。這些理由可歸納為三個層面，我將以「小義」為題，各舉實例來說明。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:20px;"><strong>小義：SDGs是領先世界變化的創新與新市場的泉源</strong></span></span></p> <p dir="ltr">SDGs揭示的是二○三○年世界前進的方向，也是未來十年的趨勢。在一百六十九項指標中，有些指標以現存的技術仍無法達成，但可以刺激創新的產生，進而開拓新的市場。二○一六年，在世界經濟論壇成立「商業暨永續發展委員會」（Business and Sustainable Development Commission，BSDC），並於二○一七年一月發布報告書《更好的企業，更美好的世界》（Better Business, Better World Business），預估在食物與農業、都市、能源與原料、健康與福祉這四大經濟系統中，SDGs將可以創造約十二兆美元的市場（約新台幣三百四十二兆元）。</p> <p dir="ltr">下面我將舉例說明，在追求SDGs的過程中可能產生哪些商機。</p> <p dir="ltr">SDGs在指標一二之三中明示「到二○三○年，全世界人均食品廢棄物在零售、消費面減半；減少生產、供應鏈等食品的產後損失」。要達成這項指標需要什麼樣的解決方法呢？比如說，我們可以從幾個方面來減少供給與需求之間的落差：</p> <p dir="ltr">● 建構可以運用AI調整食物需求與生產量的供應鏈系統</p> <p dir="ltr">● 開發可以延長消費期限的包裝技術</p> <p dir="ltr">● 在飲食業和飯店業，建構可以減少廢料的消費系統</p> <p dir="ltr">藉由這些創新，就可以提供市場上其他競爭對手無法實現的價值。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:20px;"><strong>小義實例：從食品耗損中誕生的新市場</strong></span></span></p> <p dir="ltr">位於神奈川縣的日本食物環保中心（J．FEC）利用食品廢料，實現「廢料處理×飼料製造」的新商業模式就是一種很優秀做法。對國內的畜產經營者來說，穀物價格高漲造成飼料費大增，一直以來都是很頭痛的經營課題。而且為了回應市場對於安全、安心的畜產品需求，高品質飼料的需求與日俱增。另一方面，據統計，日本一年的食品耗損（food loss）量約為六百四十三萬公噸，伴隨廢棄處理產生的CO2排出、稅金的投入、最終處置場的不足等，接連形成重大的問題。</p> <p dir="ltr">於是，日本食物環保中心（J．FEC）基於「幫食品耗損創造新價值」的理念，開始試著把廢棄處理業與飼料業整合到食物的課題中。他們用食品廢料開發出液體發酵飼料（liquid eco-feed），並製造了代替進口飼料的高品質飼料，為日本的飼料自給率提升作出很大的貢獻。如此一來，飼料將不再受穀物市場行情的變動影響，可以穩定支持畜產經營。再加上，該公司把用這種飼料養的豬肉品牌化，成功地讓養豬業者、消費者等利害關係人共同獲利。他們的努力也獲得了肯定，在二○一八年第二屆的日本SDGs獎中，榮獲內閣總理大臣獎。像這樣，只要朝著SDGs的目標邁進，就有可能想出創新的方法，開拓新市場。</p> <p dir="ltr">根據《更好的企業，更美好的世界》的報告內容，與SDGs目標相關，規模在二○三○年達到最高峰的產業就是移動系統（mobility system）。像最近汽車業最火紅的幾個關鍵字CASE〔連結（Connected）、自動駕駛（Autonomous）、共享服務（Shared and Services）、電動化（Electric）〕，以及MaaS（Mobility as a Service），「交通行動服務」是一種架構在雲端的資訊與交通應用服務的表現，汽車產業正迎來百年一度的大變革時代。比如說，由於都市人口增加、大氣汙染以及自駕車上路的法規限制，電動（EV）巴士在全球市場的需求急速增加，預估到了二○三○年，其市場規模將成長超過十六兆日圓。</p> <p dir="ltr">在這個新市場中快速成長的例子，就是中國的電動車大廠比亞迪。比亞迪是一九九五年成立的電池製造商，鋰電池市占率世界第三，為手機用電池的世界第一大企業。</p> <p dir="ltr">在日本，引進比亞迪產品的電動巴士還不多，二○一五年京都府、二○一八年沖繩縣各別引進，福島縣的會津巴士與岩守交通也已經於二○一九年開始運作，目前看來日本有擴大使用的趨勢。只要你可以先掌握SDGs提出的社會趨勢，並在市場取得先機的話，就能抓到商機，上面的案例就做了很好的示範。（本文摘錄整理自《2030永續企業革命》，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98%E5%9C%961_SDGs_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E6%A5%AD%E5%91%A8%E5%88%8A(1).jpg" style="width: 300px; height: 410px;" /></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span>2030永續企業革命：全方位ESG永續實戰攻略</strong></p> <p dir="ltr">田瀨和夫、永續發展夥伴有限公司／著；鄭舜瓏／譯</p> <p dir="ltr">商業周刊出版</p> <p dir="ltr">售價：450元</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p dir="ltr"><strong>田瀨和夫（Kazuo Tase）</strong></p> <p dir="ltr">1992年加入外交部，2005年11月起任聯合國秘書處和人類安全主任等職務。2014年5月從聯合國退休，同年6月成為德勤顧問。2017年9月獨立，成立新公司永續發展夥伴有限公司（SDG Partners），現任公司CEO。</p> </div></div></div>
2022/5/6 11:13未署名https://www.ithome.com.tw/article/150789
人人握有多重身分的資安防護需求
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">回顧過去市面上盛行的各種資安防護應用，大多集中在端點與網路層面，關於身分與存取管理（Identity and access management，IAM）的需求，並未受到廣泛而強烈的重視。然而，隨著數位化程度提高，一般消費型與商用IT技術的不斷演進，每個人在日常生活與工作的場合當中，可能都需要存取多個應用系統與網路服務，因而衍生了大量的身分（帳號、數位憑證），以及各式各樣的存取權限設定。</p> <p dir="ltr">這樣的現象，我們看到資安廠商CyberArk的2022身分安全威脅情勢報告有相關證據，根據他們的調查，平均每個員工擁有30個以上數位身分，換言之，一個人平均需存取的應用程式與帳號數量超過30個。但這還只是「人」的身分，若是「機器」的身分（Machine identities），整體數量是人類身分的45倍，而且，單就非人類或機器人程式（bot）的實體而言，有多達68％的比例可存取敏感資料與資產，如此數量與規模的身分與存取管理需求相當龐大。</p> <p dir="ltr">這份調查結果也提到，目前全球正面臨人類身分與機器身分數量暴增的狀況，每個組織平時可能就有數十萬個身分正在活動。此種現象，主要是下列幾個因素所致：遠端辦公或混合辦公、針對客戶與民眾的新設數位服務，以及日漸增加的委外廠商或供應商。</p> <p dir="ltr">面對這樣近乎失控的局面，企業需正視在資安防護不足的狀態下，貿然推動數位加速的種種後果，像是：暴露在勒索軟體攻擊的風險將會增高，以及整個軟體供應鏈的漏洞相關問題，CyberArk認為會促使身分相關的「資安債」處於持續增長的態勢。</p> <p dir="ltr">之所以得出這樣的觀察，則是源於這份調查提出的另一個問題：若以MITRE ATT&CK Matrix for Enterprise的攻擊手法與伎倆而言，企業目前認為風險最高的領域？從調查結果來看，排名第一的滲透手段是身分存取（credential access），有多達4成的IT資安決策者認可；其次是迴避資安防禦（defense evasion）、執行（execution），均占31％；接著是初期存取（initial access）為29％，提高權限（privilege escalation）為27%，這些大多屬於攻擊前期的滲透手法。至於大家比較熟悉的外滲（Exfiltration）、橫向移動（Lateral Movement）則為22％。</p> <p dir="ltr">由此可知，身分與存取保護確實是提升整體資安的當務之急，也呼應這幾年來許多公部門、企業、資安廠商疾呼的零信任（Zero Trust）概念。</p> <p dir="ltr">接下來，讓我們看看另一家資安廠商Keyfactor的機器身分管理現況報告。首先是關於機器身分相關的事故嚴重性，有61％的全球IT人員表示，金鑰與憑證的遭竊或受到誤用已成為嚴重的議題，相較之下，該公司2021年調查顯示，只有34％的人如此認為，意味著機器身分的保護與管理日益重要。</p> <p dir="ltr">不過，比這更嚴重的狀況，則是機器身分冒用與中斷服務事故。今年與去年有超過7成的IT人員表示，因為實務作為不足，導致無法稽核這類事件或難以達成法規遵循要求，而因為上述狀況而導致財務面受到衝擊的比例，也從去年的53％升高到61％。至於因金鑰與憑證遭竊或被誤用導致財務損失，比例則從38％增至40％。</p> <p dir="ltr">事實上，無法順利稽核機器身分，以及金鑰與憑證遭竊或被誤用的頻率很高，回顧過去兩年以來，平均各自發生4.4次與4.52次。</p> <p dir="ltr">而在IT人員遠端存取系統的方式上，Keyfactor今年的調查結果顯示，有59％的企業或組織在使用SSH進行操作時，仍選擇帳號、密碼類型的認證方式（2021年是50％），若這些人員執意採用弱密碼或與其他服務相同的密碼，可能都會提升遭冒用的風險；而使用金鑰認證的比例，這兩年來都是52％，使用數位憑證的比例則是44％（2021年是46％）。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E8%88%87%E5%AD%98%E5%8F%96%E7%AE%A1%E7%90%86">身分與存取管理</a></div><div class="field-item even"><a href="/tags/iam">IAM</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/zero-trust">Zero Trust</a></div></div></div>
2022/5/6 10:18作者李宗翰https://www.ithome.com.tw/voice/150785
【資安日報】2022年5月5日, 研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在烏克蘭戰爭中，許多的DDoS攻擊都是針對俄羅斯或烏克蘭政府機關而來，但在攻擊的手法上，從先前傳出利用瀏覽網站用戶的電腦，最近傳出烏克蘭的IT軍隊疑似利用雲端服務來出手，他們藉由Docker映像檔，讓建置Docker雲端服務的組織來發動DDoS攻擊。</p> <p>而在今日的新聞裡，北韓駭客的攻擊行動也有2起，一則是針對駭客組織Lazarus運用的多種勒索軟體進行調查的結果，第二則是駭客組織DarkSeoul針對美國企業的攻擊行動。值得留意的是，後者入侵受害組織的管道，就是存在Log4Shell漏洞的VMware遠距工作平臺。</p> <p>最近幾年，研究人員揭露了Intel、AMD、Arm處理器的推測執行漏洞，而自去年出現的Apple Silicon處理器，現在有研究人員發現類似的弱點Augury，而可能導致相關資料還沒傳送到處理器核心與執行緒就被洩露。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/compromised-docker-honeypots-used-for-pro-ukrainian-dos-attack/"><span style="color: rgb(0, 0, 0);">CrowdStrike的Docker蜜罐發現兩個可能引發阻斷服務的映像檔，疑似鎖定俄羅斯、白俄羅斯政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StopPropaganda-Picture1-7.png" style="width: 300px; float: right;" /></a>烏克蘭戰爭開打至今，雙方的網路攻擊行動也不斷出現，但最近駭客的攻擊手法發生了變化。資安業者CrowdStrike近日指出，他們在2月27日至3月1日之間，看到疑似是烏克蘭政府發起的IT軍隊（UIA），利用曝露於網路的Docker引擎API，向俄羅斯與白俄羅斯24個政府機關、新聞網站，發動分散式阻斷服務（DDoS）攻擊。</p> <p>這些駭客了上傳兩個Docker映像檔到Docker Hub，若有人去下載、部署這些映像檔，可能會啟動相關的攻擊，上述兩個檔案目前已被下載超過15萬次。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/the-hermit-kingdoms-ransomware-play.html"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus利用多種勒索軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/the-hermit-kingdom-2.png" style="width: 300px; float: right;" /></a>因攻擊銀行而惡名昭彰的北韓駭客組織Lazarus（亦稱APT38、Hidden Cobra），有研究人員發現，這些駭客最近2年疑似也透過勒索軟體來牟利。資安業者Trellix指出，他們發現Lazarus的成員運用勒索軟體VHD的跡象，進一步分析與比對後，發現該組織還有利用Beaf、PXJ、ZZZZ、ChiChi等多款勒索軟體，這些勒索軟體共用部分程式碼，其中又以Beaf和ZZZZ的相似程度最高。</p> <p>這些駭客鎖定的目標，很可能是亞太地區的實體，不過，研究人員提及，其中發生在2020年的一起攻擊行動中，駭客只收到2.2個比特幣（時價約2萬美元），獲利並不高，研究人員認為，上述的勒索軟體攻擊事故，很可能是大型攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/stonefly-north-korea-espionage"><span style="color: rgb(0, 0, 0);">北韓駭客DarkSeoul利用Log4Shell漏洞入侵VMware遠距工作平臺</span></a></strong></h3> <p>國家級駭客運用Log4Shell漏洞發動攻擊的情況，已有數起，且有不少是針對VMware遠距工作平臺而來。資安業者賽門鐵克於今年2月發現，北韓駭客DarkSeoul（亦稱Stonefly、BlackMine）攻擊美國工程公司，該公司與美國國防與能源領域具有合作關係。而駭客入侵該公司的管道，就是針對該公司的遠距工作平臺VMware View（舊版的VMware Horizon）伺服器下手，利用Log4Shell漏洞入侵。</p> <p>在成功進入受害組織後，駭客部署後門程式Preft（亦稱Dtrack、Valefor），並利用Mimikatz收集帳密，之後於該公司內部網路進行橫向移動，進行竊密的工作。研究人員指出，這些駭客透過寄生攻擊（LoL）的手法，大量採用開源工具WinSCP、3proxy 等，並專注於竊取機密資訊的工作。他們呼籲組織應儘速修補相關系統的Log4Shell漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/online-library-app-onleihe-faces-issues-after-cyberattack-on-provider/"><span style="color: rgb(0, 0, 0);">網路圖書館應用程式Onleihe供應商遭到勒索軟體LockBit攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-ekz.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-ekz.png" style="width: 200px; float: right;" /></a>歐洲國家的圖書館資料走向數位化，而能透過線上系統存取，但相關資料也成為攻擊者下手的目標。根據資安新聞網站的報導，圖書借閱應用程式Onleihe的服務供應商EKZ，於4月18日遭到網路攻擊，導致Onleihe部分系統無法運作，該公司直到約28日恢復了大部分的系統，但與設備販售相關的網站服務仍未恢復運作。</p> <p>而在EKZ宣布復原大部分系統的運作後，同日勒索軟體LockBit宣稱此起攻擊事件是他們所為，並公布全部他們竊得的資料。但這些資料公布後究竟會帶來那些影響？有待後續觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/fake-cyberpunk-ape-executives-target-artists-with-malware-laden-job-offer/"><span style="color: rgb(0, 0, 0);">駭客以無聊猿的名義向圖像創作者散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cyberpunk-apes-executives.png" style="width: 300px; float: right;" /></a>非同質化代幣（NFT）的創作當紅，駭客也看上這波熱潮，以徵求NFT作品所需的圖像為由，向創作者發動攻擊。資安業者Malwarebytes指出，近期有人鎖定DeviantArt、Pixiv等圖像作品分享網站的用戶，發送釣魚郵件，他們宣稱是NFT專案Cyberpunk Ape Executives，尋求與平面圖像的創作者合作，一旦對方被錄取，每天將會有200至350美元的報酬。</p> <p>一旦收信人照作，就會從檔案共享網站Mega下載RAR壓縮檔，內含了許多GIF圖檔，但其中混入了可執行檔，一旦收信人不慎當作圖片開啟，電腦就有可能被植入竊密程式。對此Cyberpunk Ape Executives也提出警告，他們沒有相關的合作計畫，呼籲收到相關郵件的人不要回覆，也不要點選信件裡的連結。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware"><span style="color: rgb(0, 0, 0);">西班牙總理、國防部長手機感染間諜軟體Pegasus</span></a></strong></h3> <p>又有歐洲國家透露高層遭到間諜軟體Pegasus監控，但外界認為公布相關消息可能別有用意。西班牙政府於5月2日指出，該國總理Pedro Sanchez、國防部長Margarita Robles，兩人的手機先後於2021年5月、6月，感染了Pegasus間諜程式。</p> <p>但外界認為，西班牙公布此事的動機並不單純，原因是加拿大公民實驗室於今年4月指出，63隻加泰羅尼亞人士的手機遭到Pegasus監控，這些手機的所有者包含該國總統、立法委員、公民組織成員等，背後疑似是西班牙所為，這次西班牙公布總理和國防部長遭到監控的事件，很有可能是要淡化針對加泰羅尼亞的攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prefetchers.info/"><span style="color: rgb(0, 0, 0);">蘋果Apple Silicon處理器存在Augury漏洞，恐洩露準備要執行的命令</span></a></strong></h3> <p>蘋果自行設計的Apple Silicon處理器晶片中，可能也存在類似推測執行（Speculative Execution）的漏洞。美國伊利諾大學香檳分校（UIUC）、華盛頓大學（UW），以及以色列特拉維夫大學的數名研究員聯手，在蘋果的A14、M1、M1 Max處理器上發現名為Augury的漏洞，這項漏洞與該廠牌處理器所採用的記憶體資料預先讀取機制（Data Memory-Dependent Prefetcher，DMP）有關，一旦攻擊者利用這項漏洞，就有可能洩露處理器核心或指令集尚未讀取的資料。再者，該漏洞也會讓這些蘋果處理器對於Spectre漏洞的防禦措施失效。</p> <p>研究人員指出，雖然這個漏洞目前尚未遭到利用，但此漏洞可能會被攻擊者用於破壞作業系統，使得記憶體使用位址空間隨機載入（ASLR）的機制失效。研究人員已經通報相關分析結果，不過目前蘋果沒有進一步回應。</p> <p> </p> <h3><strong>【資安防護措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.malvuln.com/"><span style="color: rgb(0, 0, 0);">研究人員發起Malvuln專案，找尋勒索軟體的漏洞來阻止攻擊行動</span></a></strong></h3> <p>為了防堵勒索軟體加密電腦檔案，有研究人員試圖找出漏洞來阻止運作。資安研究員John Page（Hyp3rlinx）於2021年1月發起名為Malvuln的專案，該專案的目標是找出並公布惡意軟體與勒索軟體的漏洞，該專案上線至今此專案已揭露數百個惡意程式漏洞，並提概念性驗證（PoC）攻擊程式，到了5月3日，Malvuln進一步公布多款惡名昭彰的勒索軟體漏洞細節，這些勒索軟體包含了WannaCry、REvil、Conti，以及LokiLocker等。</p> <p>研究人員本次揭露的漏洞，主要與勒索軟體的運作方式有關，因為駭客都會搜尋現有資料夾裡的DLL檔案，並用來側載惡意程式，一旦研究人員利用勒索軟體的漏洞，就能透過DLL挾持（DLL Injection）來置換駭客的檔案，進而終止加密資料的攻擊行為。雖然該專案立意良善，但也有資安專家認為，駭客會修補Malvuln公布的軟體漏洞，而讓資安人員無法用來反制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.group-ib.com/media/public-facing-db/"><span style="color: rgb(0, 0, 0);">曝露於網際網路的資料庫於自2021年開始不斷增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DBMS-info-1%402x.png" style="width: 300px; float: right;" /></a>隨著這幾年疫情的蔓延，遠距工作成為常態，使得企業的網路環境變得更加複雜，而可能使得曝露在網際網路上的資料庫大幅增加。資安業者Group-IB指出，他們在2021年共發現了30.8萬個曝露的資料庫，且自2021年第1季開始幾乎不斷增加，而這樣的情況到了今年第1季更加惡化，新增了9.1萬個資料庫。而對於這些資料庫的類型，研究人員發現，近4成是Redis，其次是MongoDB和Elastic，而根據這些資料庫位於的國家來看，主要是美國，中國次之。</p> <h3><strong style="font-size: 22px;"><a href="https://cymetrics.io/zh-tw/latest/all/YnCOHBIAACUAMxgO"><span style="color: rgb(0, 0, 0);">臺灣百貨業者的網站、帳密保護、郵件安全尚待加強</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/taiwan-department-store-top10-cybersecurity.png" style="width: 300px; float: right;" /></a>在最近3年受到疫情的衝擊，百貨業者紛紛進行數位轉型，推出電子支付工具與電商網站，但在此同時資訊安全也相形變得更加重要，有資安業者針對臺灣百貨業者進行調查。資安業者Cymetrics近日針對臺灣前十大百貨業者檢測資安曝險的情況，結果發現，這些百貨公司的網站普遍出現配置不當，或是元件沒有即時更新的情況，攻擊者很可能藉由跨網站攻擊繞過相關安全驗證機制，或是利用舊版軟體的已知漏洞入侵。</p> <p>再者，電子郵件安全與帳號保護的部分，也出現仍需加強的情況。研究人員指出，有半數業者疏於電子郵件安全防護，亦有高達4家業者曾出現帳號資料外洩的事故，而可能成為攻擊者下手的目標。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/5 17:58作者周峻佑https://www.ithome.com.tw/news/150776
商業電子郵件詐騙大行其道，相關損失居網路詐騙首位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ic3.gov/Media/PDF/AnnualReport/2021_IC3Report.pdf" target="_blank">美國聯邦調查局（FBI）網路犯罪投訴中心（Internet Crime Complaint Center，IC3）本周公布了2021年的網路犯罪調查報告</a>，顯示去年收到了84.7萬筆的投訴，比前一年增加7%，受害者的損失金額為69億美元。其中，商業電子郵件詐騙（Business Email Compromise，BEC）雖然在投訴數量排行榜上只位居第九，但損失金額卻高居首位，達24億美元，占所有去年網路犯罪損失金額的35%。</p> <p>去年最多人投訴的網路犯罪行為為各種釣魚活動，總計收到32.4萬筆投訴；居次的則是沒收到貨款或沒收到商品的交易詐騙，收到逾8.2萬筆投訴；有5.2萬筆投訴與個資外洩有關。至於BEC詐騙則收到近2萬筆投訴，排名第九。</p> <p>然而，在損失金額的排行榜上，前三名依序是BEC詐騙、投資詐騙及愛情詐騙，這三大類別分別損失了24億美元、15億美元及9.6億美元，光是它們就占了所有損失的7成。</p> <p><a href="https://www.ic3.gov/Media/Y2022/PSA220504" target="_blank">FBI則特別針對BEC提出了警告</a>，指出此類的詐騙活動專門鎖定負責合法轉帳的企業或個人，駭客會先透過社交工程或入侵行為來取得企業或個人的電子郵件憑證，特別是企業執行長或財務長，再要求員工匯款。</p> <p>而這些款項主要匯至位於泰國、香港、中國、墨西哥及新加坡的銀行，也有愈來愈多的投訴被騙的是加密貨幣。</p> <p>由於BEC詐騙的第一步就是假冒為可發號施令的對象並以其名義寄出詐騙電子郵件，使得FBI對此所提出的建議大多圍繞在保護自己的帳號，包括採用雙因素認證或小心郵件中的連結等。</p> </div></div></div>
2022/5/5 16:02作者陳曉莉https://www.ithome.com.tw/news/150775
TikTok準備推出可與創作者分享廣告營收的Pulse服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-pulse-is-bringing-brands-closer-to-community-and-entertainment" target="_blank">全球短影片分享龍頭TikTok本周發表了新的廣告服務TikTok Pulse</a>，該服務允許廣告主把廣告置放在For You Feed內容旁，同時也將讓建立該內容的創作者分享廣告營收。而這也是TikTok首個廣告營收分享計畫。</p> <p>For You Feed為TikTok替使用者量身打造的影片推薦排行榜，所展示的影片通常是該平臺上前4%的熱門內容，TikTok Pulse即讓廣告主得以登上For You Feed，還可選擇符合品牌特性的影片類別，從美妝、流行、汽車、遊戲到烹飪等12種。</p> <p>而這些熱門影片的創作者則可因受到廣告主的青睞，而取得廣告營收的分潤。</p> <p>TikTok為中國業者字節跳動（ByteDance）所推出的服務，它在國際市場稱為TikTok，中國市場則名為抖音，迄今其全球用戶數已超過20億，<a href="https://www.ithome.com.tw/news/148520" target="_blank">TikTok.com更在去年12月超越Google.com</a>，成為全球最熱門的網域名稱。</p> <p>其實創作者於TikTok上已經有許多營利工具，粉絲可購買平臺上的虛擬錢幣來贊助創作者，或者是藉由聯盟行銷（Affiliate Marketing），於影片中推薦商品或服務來抽佣，而擁有大批粉絲的網紅則多半透過業配來獲利。</p> <p>不過，創作者不管是使用上述工具或是TikTok Pulse都有粉絲數量門檻，影片的創作者或出版商必須擁有至少10萬名粉絲才能分享TikTok Pulse的廣告營收。</p> </div></div></div>
2022/5/5 14:42作者陳曉莉https://www.ithome.com.tw/news/150771
英國健保局有上百名員工的帳號遭駭，被用來發送網釣郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inky.com/en/blog/fresh-phish-britains-national-health-service-infected-by-massive-phishing-campaign" target="_blank">雲端電子郵件資安業者Inky本周指出</a>，英國健保局（National Health Service，NHS）已淪為大型網釣活動的受害者，自去年秋天開始，駭客即利用盜來的該局員工電子郵件帳號來寄送網釣郵件，截至今年3月，已有139名員工的電子郵件遭到盜用。</p> <p>Inky表示，該公司光是在今年3月便偵測到了來自NHSMail的1,157封網釣郵件，NHSMail為NHS替英國與蘇格蘭員工所建置的電子郵件系統。Inky猜測數量大幅增加的原因之一，為NHS於去年底將電子郵件系統從就地部署搬遷到Microsoft Exchange Online，變更了安全環境。</p> <p>這些網釣郵件主要是假冒為新的文件通知，並嵌入惡意連結以將使用者導至偽造的網站，目的是為了竊取使用者的微軟憑證。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-NHS-600-1.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Inky</span></span></p> <p>NHS在今年4月中旬接獲Inky的通知後，即著手解決相關問題，也讓Inky所偵測到來自NHS的網釣郵件明顯減少。</p> <p>根據Inky的推測，駭客取得NHS員工電子郵件憑證的管道，並非是駭進了NHS的電子郵件伺服器，而是個別挾持了這些帳號。</p> </div></div></div>
2022/5/5 14:56作者陳曉莉https://www.ithome.com.tw/news/150772
美國報稅軟體TurboTax誘導納稅人使用付費服務，以1.4億美元與美國50州和解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發美國報稅軟體TurboTax的Intuit在本周，<a href="https://ag.ny.gov/press-release/2022/attorney-general-james-secures-141-million-millions-americans-deceived-turbotax" target="_blank">以1.4億美元與美國50個州及哥倫比亞特區和解</a>，原因是TurboTax不僅避免納稅人使用真正免費的報稅服務，還不斷強調自家商業報稅軟體可免費使用，卻欺騙納稅人使用付費報稅服務，而遭到美國各州政府的撻伐。</p> <p>Intuit提供兩種TurboTax免費版本，一是它參與了美國國稅局的免費報稅計畫（IRS Free File Program），國稅局同意不開發自己的報稅軟體，由各家商業軟體業者負責，但參與該計畫的前提是允許軍人及年收入落在3.4萬美元左右的納稅人免費報稅。二是TurboTax Free Edition，雖然名為免費版，但它其實是個免費增值（Freemium）產品，免費的部份只適用於最簡單的報稅內容，倘若報稅內容過於複雜，就必須升級到付費服務才能報稅。</p> <p>在這兩個免費報稅產品中，IRS Free File Program相關產品約可讓7成的美國納稅人免費報稅，而TurboTax Free Edition只能讓3成的納稅人免費報稅。</p> <p>美國政府的調查發現，Intuit在2019年的報稅季中，於搜尋引擎的結果頁面上刻意隱藏了IRS Free File服務的頁面，於TurboTax官網上也從未推薦或顯示IRS Free File服務，此外，Intuit在推銷TurboTax Free Edition的30秒廣告影片中，強調了數十次的免費，導致許多原本可免費報稅的納稅人誤信該廣告，最後卻支付了費用。</p> <p>Intuit已於2021年的7月退出了IRS Free File Program。</p> <p>在1.4億美元的和解金額中，除了250萬美元屬於行政成本之外，其它的都將用來補償從2016年至2018年間，可免費報稅卻使用TurboTax進行報稅的近440萬名美國納稅人，同時Intuit也承諾不再於廣告中作出虛假的陳述，並將在納稅人符合免費報稅資格時提醒他們。</p> </div></div></div>
2022/5/5 12:50作者陳曉莉https://www.ithome.com.tw/news/150769
加州州長簽署行政命令以推動Web3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.ca.gov/2022/05/04/governor-newsom-signs-blockchain-executive-order-to-spur-responsible-web3-innovation-grow-jobs-and-protect-consumers/" target="_blank">加州州長Gavin Newsom於5月4日簽署了一行政命令</a>，著眼於替該州的Web3公司建立一個透明的監管與商業環境，以推動創新，並將兼顧消費者福利與風險，同時融入平等、兼容與環境保護等加州價值。雖然說是Web3，但該行政命令所提及的內容，主要圍繞在區塊鏈技術與加密貨幣。</p> <p>區塊鏈與加密貨幣被加州視為是一個正蓬勃發展的產業，該產業的市值從5年前的140億美元激增到去年11月的3兆美元，大約有16%的使用者已投資或使用加密貨幣。</p> <p>Newsom說，加州為全球創新中心，並將替新興的區塊鏈技術奠定成功的基礎，包括刺激負責任的創新、保護消費者，以及利用新技術替大眾謀福利，政府經常落後於科技的進步，而加州卻想要奪得先機。</p> <p>在此一行政命令下，加州將著手建立與加密貨幣及區塊鏈技術有關的法令，替企業打造一個透明的經營環境，也會蒐集各方意見，探索如何部署區塊鏈技術以解決公共服務與新興需求，並兼顧消費者的福利與風險，也會考量公平、兼容與環境保護。</p> <p>該行政命令是基於<a href="https://www.ithome.com.tw/news/149824" target="_blank">美國總統拜登（Joe Biden）在今年3月著手制定數位資產相關的國家政策</a>，此一宣布將讓加州成為美國第一個替Web3建造一個全面框架以刺激其發展的州政府。</p> </div></div></div>
2022/5/5 13:05作者陳曉莉https://www.ithome.com.tw/news/150770
馬斯克提議推特向企業、政府收費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">預定收購社群平臺推特（Twitter）的馬斯克（Elon Musk）本周暗示，推特可能會對企業及政府用戶收費作為維持營運之所需。</p> <p dir="ltr"><a href="https://twitter.com/elonmusk/status/1521630589710872576" target="_blank">他在推特上抛出新想法</a>，表示推特仍將提供一般用戶免費服務，但是對商業或政府用戶可能會收取「一點費用」（slight cost）。<a href="https://twitter.com/elonmusk/status/1521580576297398274" target="_blank">他並指出</a>，歷史上（扮演早期採石工人工會角色的）共濟會（Freemasons）就是因為提供採石工人所需的服務未收取回報最後瓦解。</p> <p dir="ltr">一如馬斯克一向的作風，他對此並未進一步說明。推特是否會實施也還言之過早。不過馬斯克顯然在謀畫推特未來在他治理下，除了廣告之外的營收來源。<a href="https://www.ithome.com.tw/news/150620" target="_blank">推特上個月宣佈接收這位全球最有錢的人以440億美元收購並且預計今年內下市</a>。他當天就表示將打擊有政治操作及行銷廣告利益在後面的垃圾機器人（spambot）訊息。</p> <p dir="ltr">上個月<a href="https://www.reuters.com/business/musk-told-banks-he-will-rein-twitter-pay-make-money-tweets-sources-2022-04-29/" target="_blank">路透社報導</a>，馬斯克在向挹注收購資金的銀行團提案時指出，考慮對引述或嵌入推特推文的媒體收取費用。</p> <p dir="ltr">推特和企業的關係在收購消息傳出後變得微妙。有鑒於馬斯克聲稱要減少對內容的管制，引發企業及一些團體擔心可能讓暴力、仇恨內容重返這個平臺，本周26個組織包括投資家索羅斯（George Soros）、歐巴馬及柯林頓政府時代閣員成立的組織、民主黨支持團體、勞工聯盟、加拿大政府及歐盟等<a href="https://accountabletech.org/wp-content/uploads/Letter-to-Twitter-Advertisers.pdf" target="_blank">發表公開信</a>要求如果馬斯克治理的推特取消內容管制，廣告主包括可口可樂、食品大廠卡夫（Kraft）及迪士尼等應對其發動杯葛。</p> <p dir="ltr"><a href="https://twitter.com/elonmusk/status/1521574041814978562" target="_blank">馬斯克則反擊回應</a>，這些組織尋求限制人民存取資訊，應調查在背後資助者。</p> </div></div></div>
2022/5/5 11:21作者林妍溱https://www.ithome.com.tw/news/150768
GitHub要求開發人員在2023年底前啟用2FA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">5月5日是世界密碼日，不過GitHub認為密碼已經不夠了。<a href="https://github.blog/2022-05-04-software-security-starts-with-the-developer-securing-developer-accounts-with-2fa/" target="_blank">開發資源平臺GitHub昨（4）日宣布一項新政策</a>，要求所有在GitHub.com上貢獻程式碼的使用者於2023年底啟用雙因素驗證（2 factor authentication，2FA）。</p> <p dir="ltr">GitHub安全長Mike Hanley指出，密碼驗證已不足以提供防禦，過去兩年，GitHub陸續要求所有Git操作及API都需要權杖身份驗證，以及<a href="https://github.blog/changelog/2019-07-01-verified-devices/" target="_blank">在陌生裝置存取GitHub需另外提供電子郵件驗證</a>，也自2019年提供2FA的選項。此外，<a href="https://www.ithome.com.tw/news/147697" target="_blank">由於2021年11月發生開發人員帳號被駭客劫持</a>，導致npm套件遭劫持並改造成惡意版本，GitHub進一步要求npm套件開發人員啟用2FA 。但今天GitHub上的活躍用戶，僅16.5%使用2FA，npm用戶使用一種以上2FA的比例更只有6.44%。</p> <p dir="ltr">為此，GitHub展開一波強制實行2FA的行動作業。今年2月這個開發平臺將100 大npm套件的所有維護人員強制啟用2FA。5月起，500大npm套件所有維護人員也將被強制啟用。GitHub預計在第3季讓高影響力的套件，像是相依模組超過500個或每周下載次數超過100萬的套件維護人員完成強制啟用。GitHub計畫之後將npm套件實施2FA的經驗推廣到整個GitHub.com上。</p> <p dir="ltr"><a href="https://docs.github.com/en/authentication/securing-your-account-with-two-factor-authentication-2fa" target="_blank">GitHub呼籲開發人員儘速啟用2FA驗證</a>。 GitHub說未來幾個月內會公佈更多細節及時程，也會設法改善用戶的使用體驗。</p> <p dir="ltr">GitHub上的組織或企業用戶也可以透過設定，要求成員或員工使用2FA。一旦組織或企業啟用這設定後，不啟用 2FA的成員甚至主持人會被踢出其組織。</p> <p>使用雙因素驗證或兩步驟驗證（2-step verification）已成主要網路平臺的規範。<a href="https://www.ithome.com.tw/news/148156" target="_blank">臉書去年初強制要求</a>記者、民權倡議人士或政治人物等高風險人士啟用2FA。<a href="https://www.ithome.com.tw/news/144240" target="_blank">Google也於去年初起</a>強制Google帳號用戶啟用兩步驟驗證（2-step verification），<a href="https://www.ithome.com.tw/news/149272" target="_blank">今年該公司表示推行一年後</a>，用戶帳號被竊的情形減少了50%。</p> </div></div></div>
2022/5/5 11:08作者林妍溱https://www.ithome.com.tw/news/150767
Clean Code：童子軍規則
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>評估開放原始碼程式庫的要素之一，是專案的活躍度，而活躍度的參考指標之一在於，作者是否經常對程式庫進行維護，更具體地說，程式庫提交（commit）的頻率。就我而言，找到一個程式庫時，總是會看一下它最近一次受到提交是什麼時候。</p> <p>如果開發者手邊有個開放原始碼專案，想讓使用者知道他關心這個專案，該怎麼維持這種活躍度呢？由於手邊也有著dotSCAD/cqMore等開放原始碼專案，我經常在思考這個問題！</p> <p>臭蟲修正？這不是想找就找得到！持續加點新特性？為了加新特性而加，只會令程式庫失焦，硬寫出來的功能也不見得好用，可能只是增加日後維護的麻煩！</p> <p><span style="font-size:28px;"><strong>童子軍規則／無情重構</strong></span></p> <p>維護程式庫終究要有目標，然而，其實不需要什麼太遠大的目標，我們只要遵循《Clean Code》第一章所提到的童子軍規則（The Boy Scout Rule）：「離開營地前，讓營地比使用前更加乾淨。（Always leave the campground cleaner than you found it.）」每次打開專案，我們就試著找個地方整理一下，讓程式碼的品質好上那麼一點點，就可以了。</p> <p>Bob大叔認為，童子軍規則是個專業主義的象徵，在《The Clean Coder》第一章再度提到這個規則，並且進一步地闡釋「想要證明軟體易於修改，唯一的辦法就是『做些實際的修改』」，這種策略有時被稱為Merciless refactoring。</p> <p>Merciless有殘酷無情之意，Merciless refactoring也就常翻譯為「無情重構」，這聽來有點嚇人，不過，這裡的merciless比較像是無心、無意，不用有太多情懷，做這類重構不需要設想太多的意思，單純就是離開前讓原始碼乾淨一些。</p> <p>這是因為重構常給予人需要特定目標、手法，如果沒有足夠的經驗，沒能嗅出程式碼的餿味、沒對專案架構有一定認識，就別輕易動手的感覺；然而所謂的無情重構，希望的是沒經驗的開發者，也能輕易實現，持續、點滴地改進程式碼的品質，從而讓後續的程式碼修改變得簡單。</p> <p><span style="font-size:28px;"><strong>面對原始碼的童子軍</strong></span></p> <p>身為開發者，或多或少可能都學習過一些關於重構訊號、目標與手法的知識，應該知道一些整潔程式碼該有的樣子，但是，我們實行童子軍原則時，不見得每次都是以消除程式碼餿味、增加程式碼整潔為目標。</p> <p>別的不說，就算是重新命名變數或函式，來增加程式碼的可讀性，其實，也是滿難的一件事不是嗎？畢竟它是<a href="https://bit.ly/35paMM6" target="_blank">程式設計師九大難題之首</a>呢！</p> <p>開發者只要找一段感興趣的原始碼，看懂它，然後有個修改的簡單理由，就可以了。最好是腦袋中一閃而過的想法，就算只是簡單地調整排版，也無所謂，就算排版只是做一點縮排，或按個換行，也沒問題。只要那些修改動作，是開發者看懂程式碼之後的想法、第一時間想做出的調整，就可以了，而在我們提交程式碼的訊息當中，寫明僅是做個排版，也就可以了。</p> <p>可別小看縮排！這其實意謂著開發者理解到程式碼中，有個不同或相同的層次。</p> <p>也別小看換行！這可能意謂著理解到這邊是一個子任務的結束、另一個子任務的開始。</p> <p>就我個人的經驗而言，往往是在累積了一些程式碼排版的提交之後，而逐漸發現到有些可以抽取或合併的程式碼，或者進行資料結構封裝、架構調整之類重構的可能性。</p> <p>簡而言之，「童子軍規則」的重點在於，為了在離開前，讓原始碼比使用前更加乾淨，開發者必須先讀通程式碼，就算只是一小段，也有了重新檢視、修改原始碼的機會。</p> <p>修改的動機也可以是除舊佈新，像是知道了專案環境可以使用某個新語法、新特性、原生函式，可以在閱讀原始碼時，順手更新，移除一些過時的實作或被廢棄的特性等。</p> <p>當然，如果對重構的訊號、整潔程式碼的樣貌擁有相當的經驗與心得，儘管去運用相關手法，在離開前清理原始碼，也是沒問題的！</p> <p><span style="font-size:28px;"><strong>面對專案的童子軍</strong></span></p> <p>有時讀完一些原始碼後，開發者可能還是沒有想法，這時該怎麼辦？雖然Bob大叔提及的童子軍原則，基本上，是針對程式碼的整潔，不過，施行對象其實可以不限於原始碼本身，也可以是對整個專案品質有助益的整理，例如文件、範例程式碼或測試等。</p> <p>這令我想到許多開發者不愛寫文件，確實地，寫文件有時枯燥乏味，特別是撰寫API文件，而避免乏味的方式之一是，為API文件加入一些範例程式碼，這是強制從開發者的角度脫離，改從使用者的角度來看待API的方式，以便從實際文件撰寫、範例設計中，察覺API的設計是否合理、易於使用、有無彈性等，如果在設計範例程式碼時覺得麻煩，改進API設計就會是下次促進專案品質的目標之一。</p> <p>另一方面，撰寫文件、設計範例程式碼，其實就是實行測試的另一種形式，因為在撰寫文件或範例的過程中，我們往往可以發現臭蟲或者效能等問題，這實就有了檢視、修改程式碼的機會。</p> <p>因為有了文件、範例程式碼，下次在實現童子軍原則時，若真的沒想法，那就補點測試吧！我們可以將先前撰寫的文件、範例作為測試案例的來源，令其成為自動化測試的一部份。</p> <p>有了文件、範例程式碼與更多的測試作為基礎，開發者面對專案本身的原始碼時，就更有信心去實現童子軍原則，而不用怕修改之後，破壞了什麼！</p> <p>童子軍原則也可以套用在文件與範例，畢竟它們也是需要維護的對象，因為過時的文件與範例比沒有這些資訊還糟糕，所以，我們如果面對專案本身的原始碼真的沒什麼想法，那就去整理文件與範例，修正一些過時的東西、改幾個字詞、增減一些描述或純潤飾等都好。別忘了！童子軍原則也常被稱為Merciless refactoring，實行時不要設想太多。</p> <p><span style="font-size:28px;"><strong>童子軍規則的效益</strong></span></p> <p>Bob大叔說大多數人對軟體的理解是「修改是危險的」，其實正好相反，為了證明軟體易於修改，就要避免讓程式碼保持不變，只有修改才能發覺不易修改的設計，從而改進設計，讓修改變得容易，這是時時實行童子軍規則的效益之一。</p> <p>開發者越是不改程式碼，就越來越不敢改，然後新功能只基於這些不想改的程式碼，持續地堆疊上去，有一天就會像Bob大叔說的：「不得不重構時，就會發現程式碼已經僵化了」。</p> <p>就我的經驗而言，另一個效益是，實現童子軍規則，其實是在時刻閱讀、修改原始碼過程中，維持對專案的熟悉度，而且，效益會在持續累積熟悉度後逐漸呈現並擴大，當專案的品質與自身的熟悉度都到達一定程度，有些過去難以解決的難題，解決的方案可能會突然變得清晰，這時對專案往往會產生全新的目標與想法。</p> <p>總體而言，我們在維護開放原始碼上若能實行童子軍規則，就可以讓專案維持著一定的提交頻率，而且並非灌水。這表示除了臭蟲修正、新增特性等之外，開發者也關心專案的其他品質，這些都會反映在提交記錄上，顯示出童子軍每次離開營地前的整理提交，都是具有意義的！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%AB%A5%E5%AD%90%E8%BB%8D%E8%A6%8F%E5%89%87">童子軍規則</a></div><div class="field-item even"><a href="/tags/boy-scout-rule">The Boy Scout Rule</a></div><div class="field-item odd"><a href="/tags/%E7%84%A1%E6%83%85%E9%87%8D%E6%A7%8B">無情重構</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E6%94%BE%E5%8E%9F%E5%A7%8B%E7%A2%BC">開放原始碼</a></div></div></div>
2022/5/5 07:00作者林信良https://www.ithome.com.tw/voice/150680
Malvuln專案公布WannaCry、REvil、Conti及LokiLocker等勒索軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.malvuln.com/" target="_blank">一名代號為Hyp3rlinx的獨立安全研究人員John Page於去年1月發起了Malvuln專案</a>，專門查找惡意程式與勒索軟體的安全漏洞，並將它們公諸於世，上線一年多以來，該專案已公布了數百個惡意程式的安全漏洞，以及相關漏洞的攻擊程式，並於本周二（5/3）揭露惡名昭彰的WannaCry、REvil、Conti及LokiLocker等勒索軟體的漏洞細節。</p> <p>根據Malvuln專案官網上的說明，這是全球第一個專門研究惡意程式安全漏洞的網站，雖然有許多網站都提供了惡意程式的資訊，卻沒有人致力於分析這些惡意程式樣本的安全漏洞，直至該專案的現身。</p> <p>Page透過Malvuln所公布的內容包括惡意程式的名稱、漏洞型態、漏洞描述、所植入的檔案、概念性驗證程式，還賦予它們以MVID開頭的漏洞編號。</p> <p><a href="https://www.securityweek.com/malvuln-project-catalogues-vulnerabilities-found-malware" target="_blank">Page曾向《SecurityWeek》表示</a>，資安研究人員也許可以利用Malvuln專案的資料庫，找到特定惡意程式的遠端攻擊漏洞，在不需要接觸機器的狀態下就把它消滅。</p> <p>本周Page所公布的多個勒索軟體漏洞皆屬程式執行漏洞，而且漏洞型態非常類似，皆是因為這些勒索軟體會尋找及執行現有目錄的DLL檔案，而相關漏洞則允許安全研究人員透過DLL劫持來取代駭客所使用的檔案，即可終止它們的預先加密行為。</p> <p>儘管Page立意良善，但也有威脅情報專家認為這不僅造福資安社群，或者也會協助駭客改善其惡意程式。</p> </div></div></div>
2022/5/4 23:22作者陳曉莉https://www.ithome.com.tw/news/150757
SEC加派近一倍人力以調查加密貨幣詐騙案件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/news/press-release/2022-78" target="_blank">美國證券交易委員會（Securities and Exchange Commission，SEC）本周宣布</a>，將把執法部門中的網路單位（Cyber Unit）擴大成加密貨幣資產及網路單位（Crypto Assets and Cyber Unit），同時加派20名人力，讓該單位的人員編制達到50名，以負責保護加密貨幣市場的投資人，同時防範與網路有關的威脅。</p> <p>SEC主席Gary Gensler表示，美國擁有全球最大的資本市場是因為投資人對它們充滿信心，隨著愈來愈多投資人進入加密貨幣市場，投入更多資源來保護他們也變得愈發重要。加密貨幣資產及網路單位過去已經成功地針對那些企圖剝削投資人的對象提出了數十起訴訟，擴大編制將能更適當地監管加密市場中的不當行為，同時找出及控制與資安相關的問題。</p> <p>SEC最初的網路單位成立於2017年，當時便鎖定調查與詐騙及加密貨幣相關的不當行為，迄今已採取逾80個執法行動，擴編之後它將持續追蹤及調查加密貨幣資產的提供、加密貨幣資產的交易、加密貨幣資產的借貸與質押產品、分散式金融平臺、NFT及穩定幣等類別的非法行為。</p> <p>此外，倘若有上市公司或是於SEC註冊的公司未能適當地披露與網路相關的風險與事件，也會受到該單位的究責。</p> </div></div></div>
2022/5/4 23:05作者陳曉莉https://www.ithome.com.tw/news/150756
【資安日報】2022年5月4日, 駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客運用釣魚郵件發動攻擊的情況，不時有攻擊行動傳出，但最近有資安業者發現，駭客於4月大肆運用Google的SMTP中繼（SMTP Relay）服務，來隱藏釣魚郵件寄送的來源，而能對部分使用Gmail組織下手，若是組織沒有啟動DMARC郵件驗證協定配置，就有可能將釣魚郵件傳送到收信人手上。</p> <p>而在今天的資安新聞中，與物聯網裝置有關的漏洞也相當值得留意。其中一個與廣受嵌入式系統採用的程式庫uClibc、uClibc-ng有關，該程式庫存在的DNS實作漏洞，很可能影響Netgear、Axis、Linksys等超過200個廠牌的設備，數百萬設備都可能受到波及。另一個則是與Aruba、Avaya交換器TLS連線實作有關的漏洞TLStorm 2.0。</p> <p>在物聯網裝置會使用的元件漏洞之外，勒索軟體的動態也是今日的另一個焦點。其中最引起研究人員關注的事件，就是勒索軟體REvil確實已重出江湖。本日兩起資安事件的攻擊手法也非常罕見，一項是在進行檔案加密攻擊時還探測受害組織的Log4Shell漏洞；另一個勒索軟體則是竄改受害電腦的服務，來確保能檔案加密完成而不致受到中斷。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/the-gmail-smtp-relay-service-exploit"><span style="color: rgb(0, 0, 0);">駭客濫用Google的SMTP中繼服務發送釣魚郵件</span></a></strong></h3> <p>駭客發動釣魚郵件攻擊的手法，也出現濫用電子郵件服務的現象。資安業者Avanan提出警告，他們在4月看到攻擊者濫用Google的SMTP中繼（SMTP Relay）服務情況大幅增加，研究人員在2個星期的時間收到2.7萬封釣魚郵件，這種郵件透過上述服務寄送，從而隱藏信件的真實來源。</p> <p>研究人員指出，只要這些採用Gmail的組織沒有適當的DMARC郵件驗證協定配置，攻擊者就能藉由這種方式，把釣魚郵件送到受害者的信箱。研究人員於4月23日向Google通報駭客的攻擊行動，但Google對於此事尚未做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/revil-ransomware-returns-new-malware-sample-confirms-gang-is-back/"><span style="color: rgb(0, 0, 0);">勒索軟體REvil重出江湖，研究人員發現新的惡意軟體檔案</span></a></strong></h3> <p>之前已有研究人員發現勒索軟體REvil疑似東山再起的跡象，駭客重新恢復其公告受害者的網站運作，如今又有了新的進展。根據資安新聞網站Bleeping Computer的報導，資安研究員R3mrum、Advanced Intelligence執行長Vitali Kremez、Avast研究員Jakub Kroustek等多名資安研究人員，不約而同發現新的REvil勒索軟體檔案。</p> <p>R3mrum指出，使用新版勒索軟體的駭客擁有原始碼，但目前的檔案不會執行加密；Vitali Kremez則表示，這個勒索軟體在4月26日編譯完成，並具備針對特定受害者的驗證機制；Jakub Kroustek則是指出，他們偵測到疑似是REvil變種的勒索軟體，組態配置與受害者ID都有所不同，目前並不會加密檔案，但會向受害者索討42個比特幣（BTC）的贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/avoslocker-ransomware-variant-abuses-driver-file-to-disable-anti-Virus-scans-log4shell.html"><span style="color: rgb(0, 0, 0);">Avast防蠕蟲元件遭到勒索軟體AvosLocker濫用，用於停用防毒軟體，並掃描Log4Shell漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-avoslocker-disables-defense-solutions-scans-for-log4shell.jpg" style="width: 300px; height: 79px; float: right;" /></a>勒索軟體駭客不只是會加密電腦的檔案，還會探測受害組織是否存在Log4Shell漏洞。趨勢科技最近偵測到勒索軟體AvosLocker的攻擊行動，駭客疑似先利用Zoho ManageEngine ADSelfService Plus的漏洞CVE-2021-40539，入侵受害組織，然後從C2伺服器下載HTML應用程式檔案（HTA）並執行，這個HTA檔案將會觸發含有Shell Code的PowerShell程式碼，並連線到C2中繼站接收指令。接著，駭客透過PowerShell的處理程序，下載ASPX檔案格式的Web Shell，並收集伺服器上的系統資訊，然後下載遠端桌面軟體AnyDesk，藉此讓駭客通過防火牆進行控制，並下載作案工具。</p> <p>值得留意的是，他們濫用Nmap掃描受害組織的Log4Shell漏洞，並藉由Avast Anti-Rootkit的驅動程式檔案（asWarPot.sys）來關閉受害主機上的防毒軟體，然後執行勒索軟體。而對於上述防蠕蟲工具遭到濫用的情形，Avast表示，相關漏洞已於2021年6月修補，他們也與微軟合作，微軟已在Windows 10與11封鎖Avast的舊版驅動程式。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.minerva-labs.com/new-black-basta-ransomware-hijacks-windows-fax-service"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta竄改傳真服務並在安全模式執行</span></a></strong></h3> <p>在上個月首度出現的勒索軟體Black Besta，傳出很可能是駭客組織Conti成員另起爐灶，有資安業者揭露其攻擊手法的獨特之處。資安業者Minerva指出，攻擊者想要利用Black Besta加密檔案，必須要使用管理員的身分執行，若是透過一般的使用者權限，則不會發動攻擊。</p> <p>研究人員發現，該勒索軟體開始執行後，不只會刪除磁碟區陰影複製（Volume Shadow Copy）的備份檔案，還會企圖竄改受害電腦已經存在的傳真服務（先刪除再建立相同名稱的服務），然後透過安全模式重新開機，並啟用上述的服務再度執行勒索軟體──先枚舉所有的磁碟機並遂一加入勒索訊息，然後占用大部分處理器的資源來加密所有檔案。研究人員指出，因為勒索訊息與公鑰都是針對特定組織而來，使得每個受害組織出現的Black Basta都不盡相同。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/tracking-apt29-phishing-campaigns"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用工作行程安排平臺Trello發動攻擊</span></a></strong></h3> <p>俄羅斯駭客鎖定外交單位發動攻擊的情況，也開始採用更為隱密的手段進行。資安業者Mandiant自1月中旬，發現俄羅斯駭客APT29的釣魚郵件攻擊，鎖定數個外交單位與政府機關而來。攻擊者假借大使官行政通知的名義，並冒用合法的電子郵件信箱寄信，挾帶名為Rootsaw的HTML投放器，以HTML挾帶（HTML Smuggling）的方式，投放IMG或ISO光碟映像檔到受害電腦，而這個映像檔的內容是Windows連結（LNK）檔案與惡意DLL程式庫。一旦受害者點選LNK檔案，便會觸發Beatdrop、Boommic下載器來攻擊受害電腦。</p> <p>研究人員指出，他們觀察這些駭客在初始入侵不久後，12小時之內取得網域管理員的權限，最終投放了Cobalt Strike的Beacon。研究人員指出，這些駭客為了規避資安系統的偵測，他們利用工作管理平臺Trello架設C2中繼站，而在去年攻擊行動中，這些駭客曾濫用應用程式開發平臺Firebase、檔案共用服務Dropbox。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sri.ro/articole/atacuri-cibernetice-asupra-site-urilor-unor-institutii-publice-si-financiar-bancare.html"><span style="color: rgb(0, 0, 0);">俄羅斯駭客針對羅馬尼亞政府發動DDoS攻擊</span></a></strong></h3> <p>俄羅斯駭客不只針對烏克蘭發動網路攻擊，也鎖定援助烏克蘭的其他國家下手。羅馬尼亞情報局（SRI）於4月29日發出公告指出，從當地時間凌晨4時開始，該國與金融機構的一系列網站遭到分散式阻斷服務（DDoS）攻擊，駭客利用羅馬尼亞境外的網路設備發動攻擊，攻擊者的身分是俄羅斯駭客Killnet。該駭客組織坦承是他們發起的攻擊行動，並指出原因是羅馬尼亞眾議院主席<span class="notion-enable-hover" data-reactroot="" data-token-index="1" style="font-weight:600">馬塞爾·喬拉庫（Marcel Ciolacu）近期發表的聲明提及，該國將盡其所能，提供烏克蘭包含武器在內的各式援助。</span></p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/au/blog/threat-insight/emotet-tests-new-delivery-techniques"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet改用Excel外掛發動攻擊</span></a></strong></h3> <p>駭客發動網釣攻擊經常利用內含VBA巨集的惡意文件檔案，但隨著今年初微軟透過修補程式停用部分巨集啟用的管道，也使得駭客調整做法來進行突破。資安業者Proofpoint發現，惡名昭彰的殭屍網路Emotet，背後的駭客組織TA542自4月4日至19日消聲匿跡一段時日之後，開始嘗試透過新的手法來散布病毒。</p> <p>這些駭客利用以薪資為名義的釣魚郵件，引誘對方點選信件裡的OneDrive連結，下載ZIP壓縮檔案，該壓縮檔內含數個Excel外掛元件檔案（XLL），一旦收信人執行檔案，就會在受害電腦下載並執行Emotet。研究人員認為，這些駭客目前很可能正在測試新的攻擊手法，攻擊的規模並不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.whitesourcesoftware.com/resources/blog/aws-targeted-by-a-package-backfill-attack/"><span style="color: rgb(0, 0, 0);">駭客以AWS的名義上傳2個惡意NPM套件</span></a></strong></h3> <p>攻擊者假冒知名開發者的名義上傳惡意NPM套件，大型的雲端服務業者也成為受害者。資安業者WhiteSource於4月28日、30日，發現有人發動名為Package Backfill的攻擊行動，駭客假冒AWS的名義，找尋該公司曾經發布（但已下架）的NPM套件，然後以這些套件的名稱上架惡意軟體。</p> <p>研究人員指出，第一個上架的套件名為hl7.fhir.r3.core，但套件內容僅有package.json檔案，很可能是實際攻擊之前的測試；而第二個名為@aws-cdk-example-dynamic-web-config/shared的套件，一旦受害者不慎安裝，攻擊者將藉此收集受害主機上的系統資訊，例如處理器架構、可用的記憶體、IP位址、MAC位址，使用的網路連接埠等資訊。研究人員指出，駭客藉由不再使用的NPM套件名稱來發動攻擊，並成功通過NPM的上架檢測機制，開發人員應透過套件的校驗機制來防範受騙。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/nozomi-networks-discovers-unpatched-dns-bug-in-popular-c-standard-library-putting-iot-at-risk/"><span style="color: rgb(0, 0, 0);">用於嵌入式系統的程式庫存在DNS漏洞，恐波及數百萬物聯網設備</span></a></strong></h3> <p>廣泛受到物聯網設備運用的程式庫，一旦出現漏洞，影響層面將相當廣泛。資安業者Nozomi Networks指出，他們發現uClibc、uClibc-ng程式庫所提供的DNS功能存在漏洞，攻擊者可用來發動DNS中毒，或是DNS欺騙攻擊，重新將受害者導向攻擊者控制的IP位址。</p> <p>由於上述兩款程式庫受到Netgear、Axis、Linksys等網路設備廠商，以及供嵌入式應用的Linux發行版採用，可能超過200家廠牌的產品恐面臨上述風險。這項漏洞研究人員在2021年9月發現，並於2022年1月通報前述廠商，但目前尚無修補程式可用，這些廠商正試圖協助開發修補軟體中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.armis.com/blog/tlstorm-2-nanossl-tls-library-misuse-leads-to-vulnerabilities-in-common-switches/"><span style="color: rgb(0, 0, 0);">TLStorm 2.0漏洞波及Aruba、Avaya交換器</span></a></strong></h3> <p>繼資安業者Armis於3月底發現存在於APC不斷電系統（UPS）的重大漏洞TLStorm，他們也在其他廠牌的網路設備找到相關漏洞。Armis近日指出，Aruba與Avaya多個型號的交換器裡，發現TLS通訊實作存在5個漏洞，這些漏洞存在於TLS程式庫NanoSSL，一旦攻擊者利用這些漏洞，將能打破受害組織的網段，並藉由交換器橫向移動，或是竊取受害組織的機密資料。研究人員將上述交換器的漏洞命名為TLStorm 2.0。Aruba、Avaya獲報後，已針對受影響的交換器發布修補韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.vicone.com/zh"><span style="color: rgb(0, 0, 0);">趨勢科技宣布成立車用資安新公司VicOne，布局電動車資安防護領域</span></a></strong></h3> <p>趨勢科技5月4日宣布成立車用資安新公司VicOne，這是該公司繼2019年與四零四科技共同成立TXOne Networks，擴展工控資安領域後，加強布局電動車產業資安防護領域。此舉將致力於解決電動車日益升高的資安需求，同時將推動「策略合作夥伴計畫」，目標是協助國內的汽車系統整合及零組件製造商，做到汽車品牌廠的資安合規要求。同時，鴻海推動的MIH開放電動車聯盟，也將參加VicOne策略合作夥伴計畫，而SOAFEE、AUTOSAR等產業聯盟，亦與VicOne進行合作。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/4 18:43作者周峻佑https://www.ithome.com.tw/news/150755
NFT熱潮消退了？今年第一季的NFT交易下滑近50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門追蹤非同質化代幣（NFT）生態體系的NonFungible，<a href="https://nonfungible.com/news/corporate/nft-market-report-q1-2022" target="_blank">上周公布了今年第一季的NFT市場調查報告</a>，顯示該季的NFT交易規模達78.8億美元，比上一季減少了4.6%，交易次數為745萬次，比上一季下滑了46.96%，在Google上的搜尋次數也明顯下滑，透露了NFT熱潮的退燒，不過NonFungible認為，該市場仍處穩定狀態，完全稱不上崩盤。</p> <p>根據該報告，除了交易規模與交易次數皆呈現下滑之外，今年第一季全球的NFT買家人數為117萬人，減少了30.91%；賣家人數為81.6萬人，減少了15.61%；而活躍錢包則是146萬個，亦縮水25.34%。</p> <p>NonFungible分析，NFT市場在今年第一季主要受到俄烏戰爭的衝擊，再加上收藏品類別的NFT供應減緩，而使得該季表現相對平淡。</p> <p>然而，買家人數仍舊多於賣家，而且該季的智慧合約增加了10.46%至1,404個，NFT的平均單價也從589美元提高到1,057美元，都顯示NFT仍是一個穩定的市場。</p> <p>在整個NFT的生態體系中，二級市場占了近9成的交易規模，其它才是參與首波空投的一級市場，由於NFT市場的生產放緩，才讓多數的交易都在二級市場進行。此外，今年第一季的NFT活動中，以收藏品類別最熱門，占了整體交易規模的75%，遊戲及藝術品則各占8%，元宇宙占了5%，工具占了3%。</p> </div></div></div>
2022/5/4 16:20作者陳曉莉https://www.ithome.com.tw/news/150754
Meta釋出具備1,750億個參數的Open Pretrained Transformer語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/democratizing-access-to-large-scale-language-models-with-opt-175b/" target="_blank">Meta的AI實驗室於本周二（5/3）釋出了具備1,750億個參數的Open Pretrained Transformer（OPT-175B）的語言模型</a>，此一模型採用非商業式授權，免費開放給學術研究人員，政府與公民社會相關單位，以及全球的產業研究實驗室使用，目的是為了讓缺乏經費的研究人員能夠一窺大型語言模型的奧妙，並協助改善它可能產生的偏見或危害。</p> <p>這類超過1,000億參數的大型語言模型能夠產生文字段落，還能模仿人類的對話，已經成為近年來最熱門的人工智慧主題，不過它們也有缺陷，可能從藉以訓練的公開資料集中學到不實資訊、偏見或是有害的語言。</p> <p>不過，外界或研究人員若要與這些大型語言模型互動，必須使用付費API才能進行，要完整研究一個大型語言模型通常只侷限於少數擁有豐富資源的實驗室，使得研究人員無法深入了解相關語言模型的運作模式，而無從改善語言模型的健全性，或減少對人類社會可能帶來的危害。</p> <p>為了讓更多的研究社群得以參與最新的AI技術，Meta AI實驗室不僅釋出了OPT-175B，也公布用來訓練及使用模型的程式碼，並針對與規模相關的研究，提供採用同樣設定但不同規模的語言模型，這些語言模型所使用的參數數量從1.25億、3.5億、27億、67億、130億、300億到660億不等。</p> <p>OPT-175B語言模型所使用的參數數量，與號稱全球最強大語言模型的OpenAI GPT-3一樣多，不過，Meta強調它們只使用了16個Nvidia的V100 GPU就完成該模型的訓練與部署，結合了該公司所開源的Fully Sharded Data Parallel（FSDP）API與Nvidia Megatron-LM中的張量並行提取，所產生的碳足跡只有GPT-3的1/7。</p> </div></div></div>
2022/5/4 13:28作者陳曉莉https://www.ithome.com.tw/news/150753
北韓駭客利用VMware Log4j漏洞，駭入美國防、能源業的工程合作廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>貴公司修補Log4j漏洞了嗎？小心可能會引來國家駭客。<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/stonefly-north-korea-espionage)" target="_blank">賽門鐵克研究人員2月間發現</a>，名為Stonefly的北韓駭客組織駭入美國國防及能源有合作關係的工程公司，利用的正是去年12月間揭露的Apache Log4j漏洞（CVE-2021-44228）。</p> <p>Stonefly又名DarkSeoul、BlackMine、Operation Troy 及Silent Chollima，最初是2009年現蹤，對多家南韓、美國政府單位及金融業網站發動分散DDoS攻擊，不過近年逐漸轉向對少數目標以複雜的木馬及後門程式發動竊密。一般相信Stonefly是北韓政府網路間諜活動的打手，以竊取機密及智財為主要活動，也和其他北韓駭客組織如Pompilus聯手。它攻擊的目標集中在高科技技術密集的特定目標，像是輔助能源、航太或軍事設備研發的單位。</p> <p>在Stonefly 2月的攻擊中，受害者是美國一家和國防、能源業有關的工程業者。駭客可能是利用Log4j漏洞存取面向網際網路的VMware View伺服器的Log4j漏洞。在駭入大門後，Stonefly植入了Preft（或稱Dtrack、Valefor）的後門，並以Mimitatz在網路內蒐集存取憑證資料，並以多種工具在該業者網路上橫向移動，最後入侵了另外18臺系統。同時它利用自行開發的資訊竊取工具破解加密保護，並以SSH連線將受害者檔案傳送到外部。</p> <p>研究人員分析Stonefly的手法多所進化，但有幾個穩定特徵，包括持續使用Preft後門及大量仰賴開源工具，如WinSCP及3proxy tiny proxy server等，而它只專注在敏感資訊的攻擊策略使其成為能力最高的北韓駭客之一。賽門鐵克也公布了Stonefly攻擊行動的入侵指標。</p> <p>這次攻擊顯示未修補Log4j的後果嚴重性。<a href="https://www.ithome.com.tw/news/150656" target="_blank">上周安全廠商Rezilion公布一項研究指出</a>，迄今9萬多個應用程式仍然曝險。而且臺灣下載舊版、有漏洞Log4j的比例是所有資訊應用發達的國家中最高的，從去年底以來都超過80%。</p> </div></div></div>
2022/5/4 12:38作者林妍溱https://www.ithome.com.tw/news/150749
Twitter測試新的Twitter Circle社交圈服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.twitter.com/en/using-twitter/twitter-circle#twittercircleguidelines" target="_blank">Twitter本周宣布</a>，已開始於全球市場小幅測試新的<a href="https://twitter.com/TwitterSafety/status/1521540727557218309?cxt=HHwWioCzld7OzJ0qAAAA" target="_blank">Twitter Circle社交圈服務</a>，讓使用者自行選擇想要分享的對象，每名Twitter用戶只能建立一個Circle，人數上限為150人，只有在Twitter Circle中的成員才能看見使用者所發布的訊息並與之互動。</p> <p>相較於Twitter Communities是個主題式的社群，Twitter Circle比較像是朋友圈的概念，使用者發布訊息時，可以選擇公開發表或是僅於朋友圈發表，臉書平臺亦有類似的設計。</p> <p>只有建立Twitter Circle的使用者可以看到完整的成員名單，而且只有Twitter Circle中的成員才能看見彼此的回應，它屬於封閉的社群，無法使用轉推（Retweet）功能來分享圈內的推文，不過成員還是能透過下載或螢幕截圖等方式來分享圈內的內容。</p> <p>被列入Twitter Circle的使用者無法自行離開該社群，但可以藉由Mute功能以忽略來自該圈的推文。</p> <p>目前只有受邀的使用者才能啟用或建立Twitter Circle，但現已支援Android、iOS及網頁版的Twitter。</p> </div></div></div>
2022/5/4 12:59作者陳曉莉https://www.ithome.com.tw/news/150750
歹徒設計網釣郵件騙走美國國防部2,400萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-nj/pr/california-man-found-guilty-conspiracy-steal-payments-us-department-defense-bank-fraud" target="_blank">一名美國人夥同其他5人以網釣郵件手法騙走美國國防部2,400萬美元</a>，本周遭美國法院判決詐欺、身份竊取及駭入電腦等6項罪名成立。</p> <p>現年40歲的加州男子Sercan Oyuntur夥同位於德國、土耳其及美國的同夥，以網釣郵件及美國政府單位假網站騙取到一家國防部外包商人員帳密，最終騙得美國國防部用以購買軍機燃油的2,350萬美元的匯款。</p> <p><a href="https://www.justice.gov/usao-nj/pr/california-man-found-guilty-conspiracy-steal-payments-us-department-defense-bank-fraud" target="_blank">根據美國司法部的文件</a>，Oyuntur及同夥從2018年6月到9月設立假的特勤局（General Services Administration, GSA）網頁，並向多家國防部廠商發送釣魚信件，包括一家供應美國東南亞駐軍軍機的燃油供應商。該廠商擔任聯絡人的紐澤西州男子在收到信件後，不疑有他在假的特勤局網頁上輸入了自己的帳密，歹徒取得該帳密後得以修改了該公司在美國政府系統內的公司聯絡資料及銀行帳號。這個銀行帳號實際是Oyuntur經營的美國同夥Hurriyet Arslan設立的空殼公司所擁有。</p> <p>2018年10月美國防部為採購軍機用油，而將2,350萬美元匯入了這人頭帳戶。原本還遭到銀行阻撓，但Arslan又找了同夥發了一封假美國政府信件，宣稱這公司獲得美國政府2,350萬美元的合約，藉此取信銀行，並且成功取得所有匯款。</p> <p>Oyuntur 6項罪名將讓他面臨徒刑及罰金的代價。其中包括刑期最長30年的串謀郵件與匯款詐欺及銀行詐欺案，以及最長10年的非授權存取裝置詐欺、以及資訊不實、加重身份竊盜等。串謀與銀行詐欺最高可罰款100萬美元，其他罪名最高也可罰25萬美元。Arslan也被判決串謀、銀行詐欺及洗錢等罪名成立。</p> </div></div></div>
2022/5/4 13:07作者林妍溱https://www.ithome.com.tw/news/150751
Google Workspace推出監看用戶儲存用量的管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google企業免費服務都逐漸轉成付費同時，管理員得更小心控管用戶用量。<a href="https://workspaceupdates.googleblog.com/2022/04/updated-storage-management-admin-console.html" target="_blank">Google近日公布了雲端生產力應用Workspace的儲存管理功能</a>，可監看用戶或群組的儲存用量及活動，必要時限制或刪除特定用戶的雲端硬碟。</p> <p>這項功能讓Workspace管理員可從管理中控臺，一覽全組織內多個用戶、群組的儲存使用狀況。其主要功能包括顯示特定產品（如Drive或Gmail）、主要使用者的儲存使用狀況、產出整個組織儲存使用概況彙報、提供詳細的儲存空間上限警告報告，並允許總覽、分類顯示及刪除儲存量最多的共享磁碟。最後，它還讓管理員對不同用戶或群組，設定客製化儲存政策及用量限額。</p> <p>最新儲存管理功能可在管理控制臺主頁的「儲存」卡，或從帳號>設定>儲存啟動，預設為關閉。</p> <p>目前，僅超級管理員（super admin）得以使用這儲存管理功能。Google表示未來幾個月後會逐漸將存取權推向代理者、使用者或經銷商管理員。屆時管理員就可以建立、客製及執行管理政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0504-google%20workspace%20%20storage%20management%20tools-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>這功能在Google逐漸將企業免費服務轉成付費此時有其意義。<a href="https://www.ithome.com.tw/news/150722" target="_blank">今年初Google宣布</a>，自6月1日起Google將自動把企業免費版G-Suite升級為付費版Workspace，而從今年8月1日將會正式開始收費。</p> </div></div></div>
2022/5/4 13:14作者林妍溱https://www.ithome.com.tw/news/150752
百年行庫從ATM案重生，一銀跨域挖角救火力挽狂瀾
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「ATM盜領案對一銀雖然是危機，卻也是轉機，」第一銀行執行副總兼資安長劉培文強調。</p> <p dir="ltr">臺灣成立超過120年的本土老行庫第一銀行，在2016年遭遇臺灣金融史上第一起ATM盜領案後，當時身為資策會資安所副所長、兼任國家資通安全技術服務中心主任的劉培文，則被第一銀行公司高層找來救火，希望能夠在ATM盜領案的危機過後，趁機挽回頹勢，補強第一銀行的資安防護。</p> <p dir="ltr">而劉培文在第一銀行的職務調整也是該行的資安發展史，最早擔任資訊管理中心副總經理，兼管資訊、資安兩大業務範圍；早在金管會規定兆元行庫要設立資安專責機構時，第一銀行便已經成立資安專責單位「數位安全處」，也同時將負責數位應用和數位創新的「數位銀行處」，以及負責系統開發的「資訊處」，整合為「資訊管理中心」，成為統整資訊、資安和數位金融等業務範圍的部門。</p> <p dir="ltr">此外，第一銀行也在2021年6月公告，由執行副總劉培文兼任第一銀行資安長，該公司又在今年4月公告，劉培文再度擴張工作守備範圍，同時兼任第一金控資安長。</p> <p dir="ltr">劉培文在加入一銀以前，有超過二十年的資訊產業工作經驗，跨界到金融產業，主要在需要補強產業的專業知識，但其他像是資訊或是資安的專業，不同產業的差異並不大。</p> <p dir="ltr">轉進金融業工作後，劉培文同時兼管一銀的資訊和資安業務，到後來擴大到與業務掛勾的數位金融業務，他便透過參加各種會議，就有機會了解其他部門在做什麼，了解之後才會思考，他所管理的部門要參與哪些部分、可以做哪些改變，透過內化各種資訊，轉換成部門工作需要的發展方向</p> <p dir="ltr">劉培文進入一銀工作後，他觀察，大家對資安有高度共識，反而全公司更願意群策群力落實資安，對他而言，在ATM盜領案後，反而可以建立各部門對資安的信心和SOP。這個經歷，更成為後來一銀轉型的重要助力。</p> <p dir="ltr">「金融業要存活，數位轉型是必然之路，但隨著營運模式改變、產品提供走向線上生態圈、行銷數位化的發展趨勢，為了支援業務變革，資訊系統勢必要改變，資安也要跟著改變。」劉培文表示。</p> <p dir="ltr">像是一銀的信用卡業務系統到核心系統的開發，以往是業務部門主導，資訊部門配合，但現在，相關專案從啟動之初，掌管資安的數安處就是當然成員，「資安已經是一銀所有業務發展、系統開發時的必要核心。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">ATM盜領案是一銀的危機，卻也是轉機</span></strong></p> <p dir="ltr">對第一銀行而言，2016年的ATM盜領案不僅震驚全臺灣，更是東歐金融駭客入侵臺灣的首例。</p> <p dir="ltr">ATM盜領案的由來，主要是東歐的金融駭客透過第一銀行英國分行的語音系統作為攻擊跳板，在進到臺灣總公司的內網後，變透過橫向移動的方式，取得關鍵使用者帳號密碼後，再植入金融木馬程式。</p> <p dir="ltr">金融駭客則透過遠端遙控方式，並由車手在第一銀行分行ATM陸續盜領八千多萬元。所幸，有民眾察覺這起盜領行為而報警，第一銀行也先後向刑事局以及調查局報案。</p> <p dir="ltr">透過各種鑑識分析的方式，追查到植入第一銀行內部系統的金融木馬程式，該駭客為了滅證，植入的惡意程式甚至會自動清除軌跡，也大幅提升警調單位調查和鑑識的難度。</p> <p dir="ltr">後來，警方逮捕了盜領車手，也順利追回大部分的款項。但第一銀行內部系統的漏洞，導致銀行商譽的損失，才是整起事件的重中之重。</p> <p dir="ltr">直視危機的第一銀行，便透過獵人頭公司積極挖角劉培文。他表示，獵人頭公司從2016年7月開始跟他接觸，歷經幾次面試後，他的工作內容也從原本只負責資安，到後來同時管理資訊和資安；其他的，除了要求他必須在10月前，通過金融業對從業人員內稽內控的考試外，就沒有其他要求。</p> <p dir="ltr">劉培文在11月30日正式上任後，過往豐富的工作經驗，讓他在尚無資安長職稱時，便直接接任資訊管理中心副總經理，同時管理資訊和資安兩大領域。</p> <p dir="ltr">爾後，劉培文更因資訊、資安雙專業，在高度依賴資訊系統提供服務的金融業中，逐步拓展業務掌管範圍，包括數位金融以及金融科技的推動，也成了他負責的核心業務範圍。</p> <p dir="ltr">事實上，早在金管會要求兆元資產銀行成立資安專責部門之前，該公司就已經先成立「數位安全處」，也把原本掛在法人金融事業群的「數位銀行處」，和「數位安全處」以及「資訊處」整合，成立資訊管理中心，並在劉培文的帶領下，以推動公司的數位轉型。</p> <p dir="ltr"><span style="font-size:28px;"><strong>職務調整，見證一銀資安架構發展</strong></span></p> <p dir="ltr">第一銀行這種跨域挖角補不足的作法，也讓第一銀行在ATM的盜領危機後，找到新的因應之道。</p> <p dir="ltr">剛開始，劉培文雖然取得主管機關要求的金融從業人員證照，但他仍是金融業務的門外漢，不過，資安專業讓他相信：「沒有內建資安所提供的金融服務，無法贏得顧客的信任。」</p> <p dir="ltr">所以，劉培文上任後，先花三個月時間了解金融業的資訊運作，也因應ATM盜領事件，來調整銀行的資安架構。</p> <p dir="ltr">他說，因為ATM盜領案的導因來自海外分行的資安問題，當時對資安的長期規畫傾向於集中式的資安，像是銀行要有區域中心，相關的資訊要集中連回臺灣；至於海外分行的資安發展需求，則考慮設置區域資安中心。但關鍵是，一旦要把資安架構移出總行，資訊架構就必須改，妥善的切割海外分行的內外網架構。</p> <p dir="ltr">不過，目前這個資安架構調整規畫，迄今還沒有實現。他表示，光是網路架構調整就花兩年；之後，配合數位安全處的成立，海外分行都必須架設內、外兩道防火牆以確保安全，「相關資安設備都是從臺灣先完成相關設定後，再協同一銀資安人員以及相關的資訊服務業者，一同遠赴海外分行架設。」他說。</p> <p dir="ltr">不僅如此，這段期間，也忙著進行總行伺服器的盤點和資安分級、分類，其中還得處理許多軟體授權到期後的續訂或更換，也針對不再提供更新服務（EOL）的軟體進行調整或升級，最終目的是：不能讓業務中斷。</p> <p dir="ltr">他表示，金融業經常談三道防線，資訊是資安第一道防線，數安處則是第二道防線，稽核就是第三道防線。對第一銀行而言，跟資安有關的事，就找資安處，「資訊、資安和數安的分工沒有標準答案，端看組織的成熟度，以及團隊是否能夠互信。」他說。</p> <p dir="ltr"><strong><span style="font-size:28px;">數位金融改造將引領銀行業務發展</span></strong></p> <p dir="ltr">劉培文職務的異動過程，也反映一銀資安發展的進化。第一階段，他剛到一銀擔任資訊管理中心副總經理的時候，同時兼管資訊和資安兩大業務範圍，</p> <p dir="ltr">需要調整資安架構時，可以找來資訊同仁了解運作狀況。</p> <p dir="ltr">到了第二階段，劉培文雖然不用兼任資訊處長，但開始接觸數位銀行處的業務，當時的數位銀行處屬於法金業務，後來才移到資訊管理中心統籌。</p> <p dir="ltr">他說，這一年花最多的時間都在數位金融改造上，包括數安處成立。</p> <p dir="ltr">對他而言，數位金融的改造就是銀行業務改造的火車頭，因為直接和營運掛勾，也影響了銀行未來的商業發展模式，對此，他曾經撰寫數位金融轉型的萬言書，寫下他對數位金融的完整規畫。</p> <p dir="ltr">他表示，根據統計，該行在2021年數位通路的交易量，已經超過臨櫃服務的黃金交叉，「未來數位金融將成為第一銀行營運發展的關鍵。」</p> <p dir="ltr">接下來，他可以想像的未來，核心系統在兩三年後就得調整，資訊架構可能必須大改。他評估，光是銀行的數位轉型至少要花七年時間，其他像是核心系統改造，至少也要五到七年，劉培文坦言，資訊、資安和數位金融的業務推動與改造，是一條漫漫長路。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/20_(%E6%8A%BD)%E5%8A%89%E5%9F%B9%E6%96%87_%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C_%E8%B3%87%E5%AE%89%E9%95%B7_20220318_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-shadow.jpg" style="width: 500px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span><br /><span style="color:#696969;"><span style="font-size:20px;"><strong>資安不會真空存在，每一個改變都跟未來的業務發展有關，資安要連結到業務資訊系統才有意義。──第一銀行執行副總兼資安長劉培文</strong></span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>資訊、資安和數金也要數位轉型</strong></span></p> <p dir="ltr">身為第一銀行資安最高主管，劉培文如何界定「資安長」的管理範疇呢？如何讓資訊、資安和數金部門，彼此緊密合作？</p> <p dir="ltr">他表示，各種日常維運作業，必須要清楚界定部門的角色和職掌，每一個部門做什麼事情、掌管哪些業務和系統，都必須一清二楚。</p> <p dir="ltr">目前最大困難在於，所有銀行都在談數位轉型，從資訊、資安到數位金融部門都必須推動數位轉型。他說，可以將這三個部門想像成三家不同的公司來思考，若要緊密合作，就得互相知道彼此的業務部門主管和高階主管，正在做什麼，甚至是想什麼，才可能實現。</p> <p dir="ltr">因此，他認為，資安長必須知道企業未來業務發展方向，了解科技如何隨之改變，資訊系統又該如何跟著改變，甚至連資安實務也須有對應的調整「每一個改變和調整都環環相扣，絕對不可能關著門憑空改變。」他解釋：「資安不會真空存在，每一個改變都跟未來的業務發展方向有關，資安要連結到業務資訊系統才有意義。」</p> <p dir="ltr"><span style="font-size:28px;"><strong>稱職資安長具備的三種特質</strong></span></p> <p dir="ltr">劉培文認為，成為稱職資安長需要三種特質，首先，要主動積極發掘問題，杜絕「多一事不如少一事」的心態，資安從很多小地方開始，為了防微杜漸，資安長得主動找問題，像是主動訂閱各種資安新聞、掌握國際法規標準趨勢，不要被動等同仁提供資訊。</p> <p dir="ltr">其次，要能落實開放、積極溝通。他表示，資安面向太廣，至少要達到，所有業務可以順暢進行、將企業風險降到可接受的水準。劉培文舉例，資安要跟各業務單位合作並了解其想法，像是密碼長度不足，從八碼增加為十碼，對每次交易都要先輸入密碼的分行行員而言，是一件痛苦的改變，怎麼讓行員接受安全度更強的密碼長度，資安單位得將資安意識推廣到業務單位才行。</p> <p dir="ltr">第三，虛心學習、持續成長。劉培文帶領資訊、資安和數位金融部門，未來不只要發展數位上雲，資訊開發又要朝敏捷迭代模式發展，數位和業務單位組成的產品小組更必須快速反應市場，光是如何進行資安檢測、同時滿足業務和資安需求等，都必須要掌握新技術、新方法才能做到，不能憑過去經驗來解決未來的問題。</p> <p dir="ltr">但他認為，未來在開放銀行架構下，很多典範隨之改變，對資安長而言，重點仍在管理，須決定大方向和設定中長期願景目標，後面的策略、戰術、資源配置調整，才能跟得上。</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p dir="ltr"><strong>劉培文　第一銀行執行副總兼資安長</strong></p> <p dir="ltr">學經歷：成功大學電機工程研究所博士，擁有20年資訊產業工作經驗，先前曾擔任資策會資安科技研究所副所長，並兼任國家資通安全會報技術服務中心主任。2016年底，接任第一銀行資訊管理中心副總經理，帶領數位銀行處、資訊處、數位安全處共逾450人；2021年6月，兼任第一銀行資安長一職；到2022年4月，又兼任第一金控資安長一職</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p dir="ltr"><strong>第一銀行</strong></p> <p dir="ltr">地址：臺北市松山區民生東路三段成立時間：1899年11月12日（日本明治32年）</p> <p dir="ltr">業務類型：提供個人金融、企業金融和數位金融等各種金融服務</p> <p dir="ltr">資本額：980.8億元</p> <p dir="ltr">董事長：邱月琴</p> <p dir="ltr">總經理：鄭美玲</p> <p dir="ltr">員工人數：8千多人</p> <p dir="ltr">分行數量：總行營業部外，尚有187家分行；另有30家國外分支行、3家辦事處、1家子銀行及8家子分行</p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資安大事記 </span></span></strong></p> <p dir="ltr">2016年11月30日：劉培文擔任資訊管理中心副總經理，兼管資訊和資安</p> <p dir="ltr">2017年6月1日：一銀向臺灣產物保險公司投保「資訊系統不法行為保險」（俗稱電腦犯罪保險），保額1.5億元</p> <p dir="ltr">2018年：行動App上線</p> <p dir="ltr">2019年：正式推出全新「iLEO」數位副品牌</p> <p dir="ltr">2020年9月：導入虛擬桌面服務</p> <p dir="ltr">2021年：正式啟動核心資訊系統的轉換工作</p> <p dir="ltr">2021年6月17日：接任第一銀行資安長</p> <p dir="ltr">2022年1月：成立資安諮詢小組，諮詢外部專業資安專家，範圍包括銀行資安治理與管理架構、資安計畫投資、整體資安執行情況</p> <p dir="ltr">2022年2月：召開第一次資安諮詢小組會議</p> <p dir="ltr">2022年4月21日：兼任第一金控資安長</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1075-ciso-960-v2.jpg" width="960" height="420" alt="" title="第一銀行執行副總兼資安長劉培文　（攝影／洪政偉）" /></div></div></div>
2022/5/4 07:00作者黃彥棻https://www.ithome.com.tw/people/150681
中國駭客Moshen Dragon濫用防毒軟體並鎖定中亞電信產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/" target="_blank">美國資安業者SentinelLabs本周揭露了中國駭客集團Moshen Dragon最近的攻擊行動</a>，指稱Moshen Dragon企圖將惡意的DLL檔案側載至各大防毒軟體，並竊取憑證以於受害組織中橫向移動，攻擊目標為中亞的電信業者，目的則是常駐以展開間諜活動。</p> <p>SentinelLabs迄今並不知道Moshen Dragon如何入侵這些受害組織，因而以駭客於組織內的行為進行探討，發現Moshen Dragon會濫用系統上的防毒軟體以執行DLL搜尋順序挾持，藉以於系統上側載惡意程式，並利用Impacket進行橫向移動，有些惡意程式可竊取憑證，有些則能建立預定任務或服務以維持常駐狀態。</p> <p>根據分析，遭到Moshen Dragon濫用的防毒軟體產品包括Symantec SNAC、TrendMicro Platinum Watch Dog、BitDefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher，研究人員指出，與其追究這些遭到濫用的防毒軟體，不如說是相關攻擊反映了Windows作業系統允許DLL搜尋順序劫持的古老設計漏洞。</p> <p><a href="https://attack.mitre.org/techniques/T1574/001/" target="_blank">執行DLL搜尋順序劫持有許多方法</a>，諸如將惡意DLL置放在優先目錄中，以在程式呼叫程式庫時率先被載入，或是把同名的惡意DLL置放在程式正在執行的目錄中，以利被優先取用。Moshen Dragon透過DLL挾持側載了ShadowPad與PlugX等惡意程式。</p> <p>不管是ShadowPad或PlugX都是中國駭客常用的工具，它們具備彈性及模組化功能，而且可輕易繞過傳統的端點保護產品，專供間諜活動使用，一旦駭客於組織內建立了據點，就會開始透過Impacket進行橫向移動，於組織中植入後門程式，竊取大量憑證與資料。</p> </div></div></div>
2022/5/3 22:49作者陳曉莉https://www.ithome.com.tw/news/150745
Anaconda新專案PyScript，讓Python程式碼也能在瀏覽器執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python資料科學平臺Anaconda釋出了一項名為<a href="https://anaconda.cloud/pyscript-python-in-the-browser">PyScript</a>的新專案，要讓Python程式也能在瀏覽器中執行。PyScript是由Anaconda所開發，讓開發者可以在HTML中，編寫和執行Python，同時也透過Python呼叫Javascript函式庫，在Python中進行所有的網頁應用程式開發工作。</p> <p>PyScript建構在Pyodide之上，而Pyodide則是CPython到WebAssembly/Emscripten間的連接埠，透過以WebAssembly為基礎的技術，使得Python甚至是其他程式語言，也能在瀏覽器上運作。</p> <p>WebAssembly在2017年發表，在2019年成為W3C標準，提供人類可讀的.wat文字格式語言，能夠轉換成可執行的二進位格式.wasm，而這種方式讓任何語言的程式碼，都能被編譯成WebAssembly，並且在網頁瀏覽器中執行。</p> <p>PyScript供Python開發者，能夠在HTML中編寫Python程式語言來建置網頁應用程式，PyScript的重要性在於，前端開發人員也能夠使用Python來開發應用程式，而這使得原本就很強大的Python，能夠在更多的地方發揮作用。</p> <p>Anaconda執行長Peter Wang提到，網頁瀏覽器是目前世界上最普遍，最可攜的電腦環境。幾乎所有人都可以在電腦或是手機上使用網頁瀏覽器，以沒有基礎設施障礙的方式存取程式。</p> <p>官方表示，透過使用PyScript，Python開發者便不需要擔心程式部署問題，因為PyScript讓程式直接在網頁瀏覽器中運作，也就是說，資料科學家可以在HTML檔案中，分享儀表板和模型，只要其他人在網頁瀏覽器中開啟檔案，該檔案中的程式碼就會開始運作。</p> <p>PyScript目前仍在alpha測試階段，開發者可以從pyscript.net下載先嚐鮮。</p> </div></div></div>
2022/5/3 22:52作者李建興https://www.ithome.com.tw/news/150725
Mozilla分析32款心理健康程式，8成的安全及隱私有缺陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.mozilla.org/en/blog/top-mental-health-and-prayer-apps-fail-spectacularly-at-privacy-security/" target="_blank">Mozilla周一（5/1）公布了心理健康暨禱告程式類別的隱私安全清單</a>，顯示在所調查的32款程式中，有28款取得了「缺乏隱私」（Privacy Not Included）的警告標籤，同時這也是Mozilla自2017年所調查的產品類別中，最不具隱私與安全性的類別。</p> <p>心理健康及禱告程式由於涉及許多敏感資料，像是沮喪、焦慮、自殺、家庭暴力或是創傷後壓力症候群等，理應受到更多的隱私保護，然而，Mozilla的調查卻發現，這些程式定期地分享資料，允許使用脆弱的密碼，還會針對這些已有心理健康問題的使用者遞送目標式廣告，使得Mozilla的研究人員Says Misha Rykov直呼這些程式簡直是披著羊皮的狼。</p> <p>此次所調查的32款行動程式皆與心理治療師有關，它們具備聊天機器人、社群支援頁面與禱告功能，提供情緒日記與幸福感評估機制，每款程式平均都經過8小時以上的研究。</p> <p>整體而言，32款程式中有28款收到了「缺乏隱私」警告標籤，有25款未符合Mozilla所制定的最低安全標準。</p> <p>研究顯示，這些心理健康程式都蒐集了豐富的使用者資料，但其隱私政策多半都很模糊，在隱私上表現最差的6款程式分別是Better Help、Youper、Woebot、Better Stop Suicide、Pray.com與Talkspace，有的直接與第三方分享個人資訊，Talkspace甚至蒐集使用者的聊天紀錄。</p> <p>而其安全設計也不足以保護這些含有敏感資料的程式，例如至少有8款程式允許連續數字組合的密碼，Moodfit甚至允許使用者設立僅含一個字母或一個數字的密碼，此外，研究人員也無法確定這些程式是否定期進行安全更新，或是有無能力管理程式中的安全漏洞。</p> <p>令研究人員更擔心的是，有些心理健康程式鎖定青少年，倘若資料外流，日後可能造成更大的影響。</p> <p>不過，Mozilla也選出了兩款值得信賴的心理健康程式，分別是由美國退伍軍人事務部所打造的PTSD Coach，以及AI聊天機器人Wysa，這兩款程式都達到了基本的隱私與安全標準。</p> <p><a href="https://foundation.mozilla.org/en/privacynotincluded/" target="_blank">自2017年迄今</a>，Mozilla已調查過智慧家庭、連網玩具、娛樂裝置、穿戴裝置、連網寵物裝置及視訊通訊程式等產品的隱私與安全性，令人驚訝的是，更應具備隱私保護的心理健康類別竟然在這些分類中敬陪末座。</p> </div></div></div>
2022/5/3 23:03作者陳曉莉https://www.ithome.com.tw/news/150746
蘋果控告晶片新創Rivos藉由挖角工程師危害商業機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docketalarm.com/cases/California_Northern_District_Court/5--22-cv-02637/Apple_Inc._a_California_Corporation_v._Rivos_Inc._et_al/1/" target="_blank">蘋果於上周狀告美國一家名為Rivos的新創企業</a>，指稱Rivos大量挖角蘋果的工程師，以竊取蘋果的商業機密，包括新的M1晶片及A15手機晶片。</p> <p>Rivos是一家基於隱形模式（Stealth Mode）的新創企業，代表該公司暫時保持機密狀態，以避免曝露即將推出的產品或業務計畫，因此，<a href="https://www.rivosinc.com/" target="_blank">雖然Rivos設立了官方網站</a>，但並未公布其業務內容，<a href="https://jobs.lever.co/rivosinc" target="_blank">只有招聘資訊</a>，顯示該公司正在招募封裝技術人員、PCB設計師、SI/PI工程師、系統硬體工程師，以及各種有關矽技術的設計或架構師等。</p> <p>蘋果則於訴狀中指出，2021年5月才成立的Rivos，自同年6月起就開始挖角蘋果員工，著眼於取得有關蘋果SoC設計的私有資訊與商業機密，準備推出系統單晶片（SoC），迄今已有超過40名蘋果員工跳槽至Rivos。該公司曾發文給Rivos，警告這些前員工都負有保密責任，但Rivos從未回應。</p> <p>此外，有些蘋果員工在接受Rivos所提出的條件後，利用尚在蘋果任職的最後幾天，帶走了數GB的SoC規格與設計檔案，有的是利用多個隨身碟將蘋果文件轉移到個人裝置上，並利用AirDrop將存放於協作程式中的蘋果私有規格傳送到個人裝置上；也有人把蘋果現有或尚未發表的SoC的簡報資料存放至個人雲端；其中一人甚至把工作用蘋果裝置上的整個Time Machine備份到個人硬碟上。</p> <p>蘋果指出，為了掩蓋他們的行徑，該公司相信Rivos指使某些員工下載與安裝加密通訊程式，有些員工還清除了工作用的蘋果裝置。</p> <p>蘋果說，他們歡迎開放的競爭與創新，但競爭不應建立在竊取商業行為上，倘若該公司不採取行動來保護機密資訊，蘋果很可能會完全失去這些機密，提出訴訟的目的是為了取回這些商業機密，避免它們進一步被揭露，釐清已被使用的範圍，減輕已經、或未來可能造成的傷害。</p> </div></div></div>
2022/5/3 23:12作者陳曉莉https://www.ithome.com.tw/news/150747
西班牙總理及國防部長的手機都感染了間諜程式Pegasus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙政府本周一（5/2）緊急召開了記者會，指出該國總理Pedro Sanchez與國防部長Margarita Robles的手機，都感染了由以色列資安公司NSO Group所打造的Pegasus間諜程式。</p> <p>根據該國政府的說法，總理Sanchez的手機是在2021年5月被感染，國防部長Robles的手機則是在同年6月淪陷，駭客成功自兩支手機汲取了資訊。</p> <p><a href="https://www.theguardian.com/world/2022/may/02/spain-prime-minister-pedro-sanchez-phone-pegasus-spyware" target="_blank">《衛報》引用西班牙總統府部長Félix Bolaños的說法</a>，西班牙最高刑事法院將會調查此一非法的目標式攻擊事件，而且這應該是來自國外的，因為在西班牙進行相關監控必須取得司法機關的授權。</p> <p>然而，外界則揣測西班牙公布此事，也許是為了淡化<a href="https://www.ithome.com.tw/news/150494" target="_blank">今年4月公民實驗室所揭露的Pegasus新一波攻擊行動</a>。當時相關攻擊瞄準了加泰隆尼亞政要，總計有63支隸屬於加泰羅尼亞總統、立法委員、法界人士，以及公民組織成員感染了Pegasus，且相信是西班牙所為。加泰隆尼亞為西班牙的自治區，因追求獨立而與西班牙關係緊張。</p> <p>或許是其它國家於西班牙總理及國防部長的手機上植入Pegasus，幕後的首腦也可能是加泰隆尼亞。</p> <p>雖然NSO Group宣稱只出售Pegasus服務予各國政府，來打擊恐怖分子或犯罪行動，但除了加泰隆尼亞總統及西班牙總理之外，葉門總統及英國首相辦公室亦傳出曾感染Pegasus。</p> <p>Pegasus的氾濫已讓<a href="https://www.europarl.europa.eu/news/en/press-room/20220304IPR24801/three-new-committees-on-pegasus-spyware-foreign-interference-and-covid-19" target="_blank">歐盟議會於今年3月以635票對36票的壓倒性票數</a>，通過成立一編制38名成員的調查委員會，負責調查Pegasus與相關間諜軟體的使用，檢視它們是否違反歐盟法令，特別是已明目張膽使用Pegasus來監控反對者的波蘭與匈牙利。</p> </div></div></div>
2022/5/3 23:17作者陳曉莉https://www.ithome.com.tw/news/150748
Amazon的Kindle電子書閱讀裝置即將於年底支援熱門的EPUB格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.com/gp/help/customer/display.html?nodeId=G5WYD9SAF7PGXRNA&linkCode=sl2&tag=gooderead-20&linkId=061560a0ff3c1811a62ad5e5d59dc3c1&language=en_US&ref_=as_li_ss_tl" target="_blank">Amazon於近日更新了Kindle的個人檔案服務（Kindle Personal Documents Service）</a>，指出從今年底開始，Kindle用戶將可藉由Send to Kindle傳送EPUB格式的電子書，且屆時也將無法再透過該服務傳送.MOBI及.AZW檔，代表Amazon終於決定擁抱更普及的EPUB電子書格式。</p> <p>MOBI是由法國業者Mobipocket在2000年所建立的電子書格式，Amazon在2005年買下了Mobipocket，接著在之後以MOBI作為Kindle電子書閱讀裝置主要的格式，以MOBI為基礎開發了AZW、AZW3及KFX等Kindle專用的電子書格式，Kindle除了支援圍繞著MOBI的格式之外，也支援PDF、TXT或HTML等格式，但並不支援絕大多數電子書閱讀裝置所採用的EPUB格式。</p> <p>至於Send to Kindle則是Amazon的電子書傳送服務，Kindle用戶可將電子書以電子郵件附件的方式傳送到Kindle裝置的電子郵件帳號，即可讓電子書出現在Kindle上的藏書（Library）中，過去該服務支援使用者傳送許多檔案格式，但同樣不支援EPUB，這使得許多Kindle用戶都必須利用軟體或網路服務將EPUB檔案轉成MOBI格式再傳送至Kindle閱讀。</p> <p>不過，從今年底開始，Send to Kindle即將支援使用者傳送EPUB檔案，而且無法再傳送AZW及MOBI檔案。根據Amazon的說法，這是因為MOBI是個老舊的檔案格式，無法執行Kindle替文件所設計的許多新功能。</p> <p>Amazon並未明確指出未來的Kindle裝置是否能直接讀取EPUB檔案，但《<a href="https://www.techradar.com/news/amazon-kindle-will-finally-support-epub-books-but-theres-a-catch" target="_blank">TechRadar</a>》及《<a href="https://gizmodo.com/amazon-kindle-e-readers-will-now-convert-epub-to-kindle-1848867278?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Gizmodo</a>》則指出，Kindle對EPUB尚無原生支援，當使用者傳送EPUB檔至Kindle的電子郵件時，系統會自動將它轉換成Kindle裝置可閱讀的格式。</p> </div></div></div>
2022/5/3 20:34作者陳曉莉https://www.ithome.com.tw/news/150744
【資安日報】2022年5月3日，駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從上週末到今天的資安新聞中，資安業者揭露的網路間諜攻擊行動相當值得留意，而在其中一起事故當中，駭客的手法相當特別，他們鎖定受害組織的Exchange伺服器下手，竊取公司併購相關的往來郵件，但除此之外，駭客還利用後門程式針對有網路視訊設備下手，將這些系統變成殭屍網路的機器人（Bot）。但攻擊者是否也針對鏡頭錄下的內容進行監聽？研究人員沒有進一步說明。</p> <p>另一起中國駭客Moshen Dragon的網路間諜行動也相當值得留意。在攻擊過程中，駭客竟是經由防毒軟體的元件來側載（Sideloading）惡意程式，來躲過各式資安系統的偵測。不過，研究人員認為，駭客利用的是作業系統本身的設計缺陷，而非防毒軟體出現瑕疵。</p> <p>而在上述的網路間諜攻擊事故之外，還有一起中國駭客的網路間諜行動引起資安業者的關注，原因是駭客運用了較為少見的滲透測試工具Viper，並透過開源的資產盤點工具進行監控。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc3524-eye-spy-email"><span style="color: rgb(0, 0, 0);">網路間諜藉由Exchange伺服器竊密，並攻擊網路視訊設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3524-fig1.png" style="width: 300px; float: right;" /></a>研究人員發現手法極為神秘的攻擊行動，駭客不只竊取往來郵件，還針對視訊會議系統下手。資安業者Mandiant揭露駭客組織UNC3524的攻擊行動，駭客在成功入侵受害組織後，透過Exchange伺服器（包含內部建置的伺服器與雲端服務），竊取含有公司合併資訊的電子郵件，並在沒有受到資安系統監控的網路設備上部署Quietexit後門程式，而在部分攻擊行動裡，他們也在受害組織的DMZ網路伺服器上，植入了名為reGeorg的Web Shell，來建立SOCKS隧道，可能暗中埋伏在受害組織超過18個月。</p> <p>值得留意的是，這些駭客也利用Quietexit後門程式，針對曝露於網際網路的網路視訊設備下手，包含D-Link視訊監控鏡頭、LifeSize視訊會議系統來下手，疑似透過預設的管理者帳密入侵設備，來將這些設備納入殭屍網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/moshen-dragons-triad-and-error-approach-abusing-security-software-to-sideload-plugx-and-shadowpad/"><span style="color: rgb(0, 0, 0);">中國駭客Moshen Dragon操弄防毒軟體元件，利用DLL側載的方式執行後門程式</span></a></strong></h3> <p>駭客為了避免攻擊行動被發現，往往會透過關閉防毒軟體，或是將惡意軟體加入白名單等方式來進行，但最近有駭客竟是運用防毒軟體來側載惡意程式。資安業者SentinelOne指出，他們發現中國駭客Moshen Dragon在鎖定中亞電信業者的間諜攻擊行動裡，會濫用防毒軟體的部分元件，如Symantec SNAC、TrendMicro Platinum Watch Dog、Bitdefender SSL Proxy Tool、McAfee Agent，以及Kaspersky Anti-Virus Launcher等，以DLL搜尋順序挾持（DLL Search Order Hijacking）的方式，來側載惡意程式PlugX與ShadowPad。</p> <p>在受害電腦站穩腳跟後，駭客就會進一步濫用網路流量監聽工具Impacket進行橫向移動，最終在受害組織植入後門程式竊密。研究人員認為，駭客挾持防毒軟體的做法，主要還是與Windows作業系統維持DLL呼叫的相容性有關，而能讓攻擊者運用DLL搜尋順序挾持的手法對防毒軟體下手。</p> <h3><strong style="font-size: 22px;"><a href="https://cluster25.io/2022/04/29/lotus-panda-awake-last-strike/"><span style="color: rgb(0, 0, 0);">中國駭客Naikon攻擊南亞軍事單位，植入滲透測試工具Viper</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/naikon_schema.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/naikon_schema.png" style="width: 300px; float: right;" /></a>資安業者Cluster25揭露中國駭客組織Naikon的網路間諜攻擊行動，目標疑似鎖定南亞國家的政府機構。這些駭客藉由釣魚郵件發動攻擊，並以網頁應用程式防火牆WAF設備的招標文件當作誘餌，一旦對方開啟這份文件，電腦就會被植入滲透測試框架Viper，駭客也在C2伺服器上部署資產探索工具Asset Reconnaissance Lighthouse（ARL）進行監控。研究人員指出，根據Naikon的武器庫分析結果，該組織長期暗中進行間諜行動，為了避免被受害者發現，也不時調整其攻擊的策略、技術、程序（TTP）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-windows-10-updates-infect-you-with-magniber-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Magniber以Windows 10更新名義散布</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/magniber-tor-site.jpg" style="width: 300px; float: right;" /></a>雖然微軟推出了Windows 11，但仍有不少使用Windows 10的用戶，也成為駭客鎖定的對象。資安新聞網站Bleeping Computer指出，他們討論區的用戶疑似遭到勒索軟體Magniber攻擊，而駭客散布的手法，是假借Windows 10系統更新檔案的名義散布，檔案名稱如Win10.0_System_Upgrade_Software.msi、System.Upgrade.Win10.0-KB47287134.msi等，使用者很可能因為有系統升級、臭蟲知識庫編號（KB）而不疑有他。</p> <p>這波勒索軟體攻擊行動很可能自4月8日開始出現，鎖定一般個人用戶或是學生，駭客向多數電腦遭到加密的受害者索討2.500美元或0.068個比特幣。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://chromereleases.googleblog.com/2022/04/stable-channel-update-for-desktop_26.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome逾30個漏洞，當中7個存在重大風險</span></a></strong></h3> <p>Google於4月26日發布新的Chrome電腦版101.0.4951.41，當中總共修補超過30漏洞，其中總共有7項屬重大漏洞。這些重大漏洞有5項與記憶體釋放後的濫用（UAF）有關，存在於Vulkan圖形API、Swiftshader 3D渲染器、ANGLE圖形引擎抽象層、Device API，以及Sharing元件，當中又以存在於Vulkan的漏洞CVE-2022-1477最為嚴重，研究人員獲頒1萬美元獎金。其餘2項重大漏洞分別與WebGL實作不當、WebGPU記憶體堆疊緩衝溢位有關。該公司建議用戶安裝新版Chrome來緩解上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wiz.io/blog/wiz-research-discovers-extrareplica-cross-account-database-vulnerability-in-azure-postgresql/"><span style="color: rgb(0, 0, 0);">微軟修補Azure PostgreSQL租戶隔離漏洞</span></a></strong></h3> <p>雲端資料庫的漏洞，很有可能讓駭客能用於存取其他租戶的資料庫內容。資安業者Wiz Research發現在微軟Azure Database for PostgreSQL的服務裡，存在名為ExtraReplica的漏洞，這項漏洞包含兩項缺陷，其中之一是微軟為強化PostgreSQL Flexible Server功能所做的修改，而能被攻擊者用於提升權限，另一項則是允許攻擊者使用正向表達式，發布含有萬用符號結尾的憑證，而運用於跨租戶攻擊的弱點。攻擊者一旦串連上述漏洞，就有可能藉讚此取得其他Azure PostgreSQL Flexible Server用戶資料庫的讀取權限，微軟獲報後已於4月28日完成修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.com/ossf/package-analysis/blob/main/docs/case_studies.md"><span style="color: rgb(0, 0, 0);">OpenSSF推出能檢測惡意NPM與PyPI套件的工具</span></a></strong></h3> <p>惡意NPM套件的攻擊事故近期已有數起，有鑑於這種現象，研究人員開發了相關的分析工具。開源安全基金會（OpenSSF）於4月28日，公布了軟體套件分析（Package Analysis）專案的系統原型，研究人員藉此系統來解析開源市集NPM、PyPI裡的惡意套件，經過一個月測試，他們找到超過200個惡意套件。研究人員指出，目前該系統所識別出的惡意套件，多數與程式碼的混淆與偽造網址有關，有些僅有簡單的程式碼，很有可能是資安人員為了漏洞懸賞而上架的概念性驗證程式（PoC）。OpenSSF呼籲社群要協助強化此系統的能力，以便此專案能早日實際應用於開發社群，以便更快找到有問題的開發套件。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/3 18:35作者周峻佑https://www.ithome.com.tw/news/150742
Microsoft Defender for Business獨立版問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2022/05/02/microsoft-announces-general-availability-of-microsoft-defender-for-business-designed-to-boost-small-and-medium-business-smb-security/" target="_blank">微軟周一（5/2）正式推出</a>鎖定中小企業的獨立版安全解決方案Microsoft Defender for Business，<a href="https://www.ithome.com.tw/news/149641" target="_blank">整合於Microsoft 365商務進階版（Microsoft 365 Business Premium）的Defender for Business已先行於3月問世</a>，獨立版意謂著使用者可個別訂閱，每名使用者每月的訂閱費用為3美元，也預計在今年新增對伺服器的支援。</p> <p>Defender for Business是微軟專門針對300人以下的中小企業所設計的安全解決方案，主要功能包括威脅與漏洞管理、減少攻擊表面、提供新一代的保護機制、端點偵測與回應，以及自動化的調查與補救等，它並支援Windows、macOS、iOS 和 Android等跨平臺裝置，也能阻擋危險網域及垃圾內容。</p> <p>微軟表示，中小企業其實面臨了與大型企業類似的網路威脅，但它們卻經常無法取得正確的資源與工具，包括缺乏專業的安全人員，許多中小企業依舊仰賴傳統的防毒解決方案來維護安全，但就算有8成的中小企業安裝了防毒解決方案，當中卻有9成仍舊擔心日益進化的網路攻擊。</p> <p>根據微軟於今年4月針對逾150家中小企業所進行的調查，有7成的受訪者認為網路威脅愈來愈成為商業風險，而在過去一年來，這些受訪的中小企業中，就有接近1/4曾遭遇安全危機。</p> <p>甫上線的Microsoft Defender for Business獨立版目前提供30天的免費試用期。</p> </div></div></div>
2022/5/3 20:09作者陳曉莉https://www.ithome.com.tw/news/150743
歐盟說蘋果Apple Pay妨礙市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2764" target="_blank">歐盟執委會（European Commission，EC）近日已寄出異議聲明（Statement of Objection）予蘋果</a>，初步評估認為蘋果濫用其iOS的獨占地位，限制開發者存取手機上的NFC技術，而使得第三方開發者無從打造行動錢包以與蘋果的Apple Pay競爭。</p> <p>EC指出，Apple Pay為蘋果在iPhone與iPad上的行動錢包解決方案，以讓使用者於網路或實體商店中進行行動支付，蘋果裝置與軟體形成一個封閉的生態體系，並由蘋果控制該生態體系使用者經驗的每一個環節，包括行動錢包在內。</p> <p>然而，初步的評估顯示，蘋果不僅於行動裝置市場擁有重大的市占率，也於行動錢包市場占據主導地位，特別是iOS中唯一能存取近場通訊（NFC）協定的行動錢包解決方案就是Apple Pay，而且蘋果並未允許第三方行動錢包開發者存取NFC。</p> <p>EC解釋，蘋果裝置所內建的NFC感應支付（Tap and Go）技術可應用於商店支付，此一技術允許手機及商店中的支付終端進行通訊，NFC是個標準化技術，幾乎所有商店中的支付終端機都可透過它來執行行動支付，它不僅提供更無縫也更安全的支付經驗，在歐洲也有高度的接受度。</p> <p>但目前看來蘋果卻保留裝置上的NFT技術予Apple Pay，妨礙了第三方的競爭，也限制了消費者的選擇，倘若進一步的調查發現此一看法屬實，意謂著蘋果違反了歐盟的反壟斷法令。</p> <p>異議聲明只是指控蘋果違反反壟斷法令的前奏，允許蘋果對此作出說明，<a href="https://www.ft.com/content/de7a0c50-e087-4db3-9cb3-ed1d3c1a4b8b" target="_blank">《金融時報》引用了蘋果的回應</a>，表示Apple Pay的設計是為了提供既簡單又安全的方式讓使用者可以出示現有的支付卡，也讓銀行與金融機構能夠提供非接觸式的支付管道；Apple Pay只是歐盟消費者執行支付的眾多選擇之一，已確保可平等存取NFC的同時訂定隱私與安全標準，蘋果亦將持續與EC合作，以讓歐盟的消費者都能在安全的環境中存取想要的支付方式。</p> </div></div></div>
2022/5/3 14:52作者陳曉莉https://www.ithome.com.tw/news/150723
百度於北京推出真正自駕計程車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/%E5%8C%97%E4%BA%AC%E6%AD%A3%E5%BC%8F%E5%BC%80%E6%94%BE%E5%9B%BD%E5%86%85%E9%A6%96%E4%B8%AA%E8%87%AA%E5%8A%A8%E9%A9%BE%E9%A9%B6%E5%87%BA%E8%A1%8C%E6%9C%8D%E5%8A%A1%E5%95%86%E4%B8%9A%E5%8C%96%E8%AF%95%E7%82%B9%EF%BC%8C%E7%99%BE%E5%BA%A6-%E5%B0%8F%E9%A9%AC%E6%99%BA%E8%A1%8C%E8%8E%B7%E8%AE%B8%E5%8F%AF-idCNL4S2SG1MR" target="_blank">中國網路巨擘百度於上周取得北京當局的許可</a>，啟動真正無人駕駛的自駕計程車商業營運前的測試。</p> <p>取得北京官方許可後，以百度Apollo AI軟體平臺開發的自駕叫車服務「蘿蔔快跑」將結合百度和日本豐田汽車合資的自駕車小馬智行（Pony.ai）在北京高級別自動駕駛示範區約60平方公里的區域內，常態化運行PonyPilot+將從免費體驗逐步過渡為收費服務。</p> <p>在北京的測試中，百度首批投入了10輛自駕車，後續計畫再增加30輛。雖然這輛方向盤後沒有坐人，不過車內仍然有一名百度的隨車人員。</p> <p>去年8月百度宣布「蘿蔔快跑」服務，於北京、廣州、深圳、長沙等城市啟動載人測試，預計三年內要在30個城市部署，去年，百度先後在北京、重慶及山西啟動商轉前的測試許可。百度並宣稱擁有中國最大無人駕駛車隊，去年第4季蘿蔔快跑的載人訂單已經達21.3萬張訂單。</p> </div></div></div>
2022/5/3 10:56作者林妍溱https://www.ithome.com.tw/news/150718
遠端鎖定功能讓俄軍竊用的烏克蘭農用車成廢鐵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edition.cnn.com/2022/05/01/europe/russia-farm-vehicles-ukraine-disabled-melitopol-intl/index.html" target="_blank">CNN報導</a>，烏克蘭農業機具遭到遠端鎖定而無法為占領的俄軍所用。</p> <p>俄羅斯入侵烏克蘭自3月起占領烏國各城，包括東南部的梅利托波爾（Melitopol），同時開始劫掠當地居民財物、穀物、機械、建築設備，甚至透過組織化行動使用俄軍的運輸工具搬運當地大型農業機具以占為己有。報導指出，幾周下來，俄方已經拖走單價30萬美元的聯合收割機、拖曳機、播種機等27件大型農機。有些運到車臣，有則留在鄰近村落。</p> <p>其中俄軍在當地竊走John Deere價值近500萬美元的農業機具，在拖到1,100公里以外的車臣後發現無法啟動，因為這些具有物聯網功能的農用車已經被遠端鎖定。</p> <p><a href="https://www.deere.com/en/technology-products/precision-ag-technology/data-management/operations-center/" target="_blank">John Deere的遠端資料管理功能</a>是結合內建GPS及物聯網功能，原義是用以遠端監控並提供「主動支援」。但是這項功能也引起爭議，因為John Deere可藉由這軟體防範車主繞過他們自行維修車輛，甚至可任意遠端關閉車輛，不過<a href="https://www.bloomberg.com/news/features/2020-03-05/farmers-fight-john-deere-over-who-gets-to-fix-an-800-000-tractor" target="_blank">John Deere宣稱</a>他們絕對不會這麼做。</p> <p>不過最後俄軍還是從俄國境內找來高手繞過了這個軟體鎖，而啟動農業機具。</p> <p>物聯網科技意外在這場戰爭中扮演了重要角色。除了可利用Google Maps追蹤俄國軍隊動向外，<a href="https://www.thetimes.co.uk/article/stolen-airpods-give-away-russian-retreat-positions-c60j88nvv" target="_blank">英國媒體報導</a>，一名烏克蘭人在俄軍偷走他的AirPods後，利用蘋果的Find My功能而追蹤到俄軍從基輔撤離的行動。</p> </div></div></div>
2022/5/3 12:29作者林妍溱https://www.ithome.com.tw/news/150721
免費G-Suite企業版6月1日自動改成付費Workspace，新增免費使用方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/a/answer/60217#nocost" target="_blank">Google公告</a>，G-Suite免費企業版將從6月1日自動轉為付費版Workspace服務。但同時間Google提供了持續使用的選項。</p> <p>最早名為Google Apps免費版G-Suite，是2006年Google針對企業、政府、教育及個人提供的生產力應用。雖然Google 2020年就將雲端服務品牌改成Workspace，且要開始收費，不過仍持續支援免費企業版G-Suite，直到<a href="https://www.ithome.com.tw/news/148976" target="_blank">今年1月Google宣布</a>，2022年5月1日這個服務要轉成付費Workspace服務，要求用戶需設定訂閱帳號包括提供信用卡、帳單地址等資訊，並在2個月後開始收費。</p> <p><a href="https://support.google.com/a/answer/2855120?hl=zh-Hant" target="_blank">不過本周Google宣布</a> ，為了給客戶更多時間轉換，將原訂時程延後一個月，將從2022年6月1日把免費服務升級為付費訂閱制，而在2022年8月1日起開始收費。</p> <p>但同時Google也新增使用免付費方案的候補名單選項。除了不能使用自訂網域的Gmail服務及無法管理多名使用者外，其實可以用的還不少，包括Google Workspace 服務（如Google Drive、Meet）免付費版本、及Google搜尋、Google Maps和YouTube。此外，用戶還可以繼續使用付費內容，如透過Google Play 商店購買電影。</p> <p>企業用戶必須從<a href="https://accounts.google.com/ServiceLogin?continue=https://admin.google.com/?pli%3D1&authuser=0&passive=3600&osid=1" target="_blank">Google管理控制臺</a>申請加入候補名單。Google說在未來幾週內，Google管理控制臺會顯示候補名單訊息。</p> <p>不在這候補名單的大部份企業6月1日會需要提供帳號資料。8月1日起，不願提供者的Google Workspace服務會被停權直到設定收費帳戶。而在停權60天後，核心服務包括Gmail、Calendar、Meet等就無法再使用。</p> <p>教育機構或非營利機構用戶，目前已經免費使用Google Workspace for Education Fundamentals、Google Workspace for Nonprofits兩種版本者，則尚不會受到影響。</p> </div></div></div>
2022/5/3 13:08作者林妍溱https://www.ithome.com.tw/news/150722