iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 01:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年5月20日，日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有不少與勒索軟體攻擊有關。其中，最引起各界關注的消息，應該就屬日本大型媒體日經新聞公布遭到勒索軟體的事故。</p> <p>而在去年底揭露的Log4Shell漏洞，這幾個月陸續有駭客鎖定了存在相關漏洞的VMware遠距工作平臺發起攻擊行動，而最近北韓駭客Lazarus也利用這樣的管道攻擊南韓組織。</p> <p>駭客發動網路釣魚攻擊的手法現在可說是越來越細膩了，最近研究人員發現，有人結合了線上客服聊天機器人（Chatbot）的手法，讓受害人更難察覺異狀。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware"><span style="color: rgb(0, 0, 0);">日經新聞遭到勒索軟體攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊的對象，近期也盯上了東亞新聞媒體。日經新聞於5月19日公布，他們新加坡辦公室的一臺伺服器主機，於5月13日遭到勒索軟體攻擊，該公司當日察覺異狀後已關關此伺服器，並採取相關回應措施。該公司表示他們正在了解攻擊的情況與受害範圍，並指出遇害的伺服器有可能存放客戶的資料，但目前尚未發現資料外洩的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/34461/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定南韓組織的VMware遠距工作平臺Log4Shell漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png" style="width: 300px; float: right;" /></a>又是針對VMware遠距工作平臺的Log4Shell漏洞下手的攻擊行動。資安業者AhnLab指出，北韓駭客Lazarus於今年4月，鎖定南韓組織的遠距工作平臺VMware Horizon下手，針對尚未修補Log4Shell漏洞的Tomcat元件入侵，植入後門程式NukeSped，並在受害組織裡進行間諜工作，如截取螢幕畫面、側錄輸入內容、存取敏感檔案等，與過往NukeSped不同之處在於，研究人員看到2個新模組，可用於轉存USB儲存裝置的資料，以及提供存取視訊鏡頭的能力。</p> <p>駭客透過上述後門程式在受害組織站穩腳跟後，便進一步投放竊密軟體，偷取瀏覽器（Chrome、Firefox、IE、Naver Whale）與收信軟體（Outlook、Outlook Express、Windows Live Mail）的帳號資料，以及辦公室軟體（微軟Office、Hancom 2010）近期使用的檔案名稱。研究人員呼籲VMware Horizon用戶應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/interactive-phishing-using-chatbot-like-web-applications-to-harvest-information/"><span style="color: rgb(0, 0, 0);">駭客利用客服機器人進行網路釣魚，竊取信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png" style="width: 300px; float: right;" /></a>利用釣魚郵件發動網路釣魚攻擊的情況算是相當常見，但現在有人結合了線上客服的手法，讓受害人放下戒心。資安業者Trustwave指出，他們看到駭客假冒物流業者DHL的名義，寄送包裹無法送達的通知訊息，並要求受害者依照指示處理。一旦收信人照辦就會下載PDF檔案，該文件內含指向釣魚網站的連結，受害者點選後便會被引導到與客服聊天機器人（Chatbot）的對話框。這個機器人會表明包裹上的標籤已經遭到破壞，而無法寄送，要求重新提供公司或住家地址、姓名、電話號碼，並告知對方要刷卡支付額外的運費。收信人若是照做，信用卡的資料就有可能遭側錄。</p> <p>為了取信對方，這個客服機器人的對話內容還會包含無法寄送的包裹圖片，以及在刷卡的過程裡，還會要求輸入手機簡訊的驗證碼，讓受害者以為真有其事。由於駭客納入許多實際網站運用的機制，而很難分辨真假，研究人員提出警告，使用者若是收到相關的寄送通知，應另外開啟物流公司的網頁查詢，而非直接透過信件提供的連結回覆。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/19/rise-in-xorddos-a-deeper-look-at-the-stealthy-ddos-malware-targeting-linux-devices/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路XorDDoS近半年攻擊次數增2.5倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png" style="width: 300px; float: right;" /></a>殭屍網路鎖定Linux主機而來的情況，最近逐漸增加。微軟在5月19日提出警告，他們在最近半年裡，發現XorDDoS的攻擊行動次數較先前增加了254%。這個殭屍網路病毒主要透過SSH連線暴力破解的方式，入侵執行Linux作業系統的設備，攻擊者利用Shell指令碼來嘗試各種可能的帳密組合，一旦成功存取，就有可能將XorDDoS的ELF檔案投放到設備上執行。</p> <p>這個殭屍網路除了被用於發動DDoS攻擊，駭客還會拿來部署蠕蟲程式，以便維持受害設備的存取權限，而且還有可能投放其他惡意軟體──研究人員看到部分受感染的裝置，隨後被植入了Tsunami後門程式，以及挖礦軟體XMRig。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/chaos-ransomware-variant-sides-with-russia"><span style="color: rgb(0, 0, 0);">勒索軟體Chaos破壞受害電腦檔案，並表達力挺俄羅斯的訴求</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，許多駭客組織表態支持的對象，而最近又有勒索軟體組織藉由攻擊行動表達政治訴求。資安業者Fortinet指出，他們近期發現勒索軟體Chaos的攻擊行動，該勒索軟體在執行後會先盤點所有磁碟機上的檔案，估算檔案大小、進行分類，對於大部分的檔案，會產生20字元長度的密碼，並使用AES-256-CBC加鹽的演算法進行加密，而對於大於2,117,152位元的檔案，則是寫入隨機資料破壞，但另一部分引起研究人員注意的是，這些檔案加密後的副檔名變成了f**kazov，azov很可能指的是烏克蘭國民警衛隊的特種作戰部隊「亞速營」。</p> <p>而在加密檔案後，駭客也透過名為stop_propaganda.txt的檔案留下勒索訊息，但這個訊息與過往的攻擊事故相當不同：他們呼籲停止烏克蘭戰爭，大家不值得為像小丑一樣的烏克蘭總統澤倫斯基而死，並要求受害者閱讀特定網站了解真相。內容完全沒有提及贖金，也沒有聯絡攻擊者的管道。受害者難以復原電腦上的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/engineering-firm-parker-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">航空液壓設備製造商傳出遭勒索軟體Conti攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parker-files.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parker-files.png" style="width: 300px; float: right;" /></a>勒索軟體Conti攻擊航空產業的事故再添一樁。根據資安新聞網站Bleeping Computer的報導，專精航空液壓設備的派克漢尼汾（Parker Hannifin）於5月16日證實，他們在3月11日至14日，遭到未經授權存取內部資訊系統的攻擊行動，經過調查後於5月12日向資料可能遭到外洩的人士發出電子郵件通知，並承諾提供兩年的身分竊盜保險。</p> <p>關於攻擊者的身分來歷，駭客組織Conti於4月1日表明是他們所為，並於4月20日公布竊得的419 GB資料，該新聞網站認為，駭客有可能取得機密程度極高的設計圖，有可能讓取得相關資料的競爭對手能夠應用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E7%AB%8B%E5%8D%B3%E6%8E%A1%E5%8F%96%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E8%A1%8C%E5%8B%95%E6%9B%B4%E6%96%B0-qts-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">威聯通針對近期出現的勒索軟體DeadBolt攻擊行動提出警告</span></a></strong></h3> <p>勒索軟體針對NAS設備下手的情況，最近又有攻擊行動出現。臺廠威聯通（QNAP）於5月19日發出警告，他們的產品資安事件應變團隊（QNAP PSIRT）偵測到勒索軟體DeadBolt的攻擊行動，鎖定執行QTS作業系統4.3.6版與4.4.1版的NAS設備，根據他們的調查，主要受到影響的設備為TS-x51、TS-x53產品線的機種。他們呼籲用戶要儘可能使用最新版本的QTS作業系統，並避免將NAS曝露於網際網路。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2205.06114.pdf"><span style="color: rgb(0, 0, 0);">研究人員發現可濫用iPhone低耗電模式的漏洞</span></a></strong></h3> <p id="Zyxel">遺失的iPhone手機即使電源遭到關閉，還是能透過Find My功能定位，這與蘋果導入了名為低耗電模式（Low Power Mode，LPM）的機制有關，但有研究人員發現當中存在可被濫用的弱點，甚至有可能讓攻擊者在即將斷電的設備上執行惡意軟體。</p> <p>德國達姆施塔特工業大學（Technical University of Darmstadt）的研究人員在針對iOS 15作業系統進行研究後發現，近期iPhone手機的藍牙、NFC、超寬頻（UWB）無線通訊，即使在關機的狀態下仍然能夠運作24小時，研究人員指出，這是因為LPM是透過硬體的元件來運作，例如，Find My功能要透過Always-on Processor（AOP）晶片執行，因此，LPM很有可能遭到攻擊者濫用。</p> <p>他們透過逆向工程的方式發現，這類晶片沒有透過數位簽章的機制保護，而有可能讓惡意軟體入侵iPhone後，在LPM模式下持續運作，或是讓攻擊者察覺LPM模式相關晶片的弱點後入侵手機。研究人員認為，蘋果應該加入新的開關元件來切斷電源，來防範相關的弱點被用於攻擊行動。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/20 17:52作者周峻佑https://www.ithome.com.tw/news/151035
擴充用戶資料再出招！Amazon要用禮券換取民眾線下購物資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子商務巨頭Amazon推出一項蒐集線下用戶資料的新做法，消費者可上傳線下購物時的收據，來兌換Amazon禮券。Amazon不只自己用，還會將這些購物資料提供其他廠商。</p> <p>此方案的運作模式，是由第三方廠商提供購買指定商品的回饋金，當消費者到線下商店購買該商品，再上傳完整收據，就會以Amazon禮券的形式收到回饋金。Amazon要求的數據相當詳細，收據中必須包括商店名稱、地點、購物時間、當次購買的所有商品種類及數量，跟回饋商品有關的資訊，要包含相關商品數量、實付價格、產品名稱及描述。</p> <p>根據這項方案的使用條款，消費者提供的所有資料、從中分析出的資料以及消費者選擇的回饋商品，都歸Amazon所有。這些購物資料，也會提供給Amazon及其他「服務提供者」，但並沒有闡明這些資料是否會去識別化、具體提供的對象，或具體用途。</p> </div></div></div>
2022/5/20 15:46作者郭又華https://www.ithome.com.tw/news/151031
Fastly買下程式設計平臺Glitch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fastly.com/blog/fastly-announces-acquisition-of-glitch-a-future-of-yes-code-at-the-edge" target="_blank">美國雲端運算平臺Fastly周四（5/19）宣布已買下網路應用程式開發平臺Glitch</a>，目標是讓Glitch的各種應用可就近使用Fastly的雲端服務。</p> <p>成立於2011年的Fastly為美國紐約股市的上市公司，定位為邊緣雲端平臺，以協助開發者將其核心的雲端架構延伸到網路邊緣，以更接近使用者。Glitch的前身為Fog Creek Software，成立於2000年，為一專門打造專案管理工具的軟體公司，提供專案管理、內容管理及程式碼審核等工具，標榜開發人員只要透過瀏覽器就能打造快速的全棧網路應用程式。</p> <p>Fastly表示，該公司喜愛Glitch的原因是它具備強大且靈活的環境，讓開發者不必配置與管理伺服器，也無需管理DNS或安裝資料庫，就能夠打造全棧網路應用程式，儘管坊間也有其它方便部署網路應用程式的平臺，但都不如Glitch方便。</p> <p>事實上，Fastly今年2月便與Glitch展開合作，推出yes code環境，以讓Glitch的180萬名開發者可把於Glitch上撰寫的程式碼，直接部署在Fastly的<a href="https://www.fastly.com/products/edge-compute" target="_blank">Compute@Edge</a>無伺服器雲端運算環境中，此一合作也打開了雙方合併的契機。</p> <p>Fastly說明，在Glitch加入該公司之後，Glitch上的開發人員將能受惠於Fastly全球遞送平臺所支援的192 Tbps速度，亦能存取新一代網路應用程式防火牆（Next-Gen WAF）或圖像最佳化（Image Optimization）等功能，或是基於<a href="https://www.fastly.com/products/edge-compute" target="_blank">Compute@Edge</a>的亞毫秒冷啟動時間。未來Glitch開發者只要專注於打造優秀的程式碼，即可由Fastly接手其它的需求。</p> </div></div></div>
2022/5/20 16:21作者陳曉莉https://www.ithome.com.tw/news/151033
加拿大準備禁止境內電信業者使用華為與ZTE設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.canada.ca/en/innovation-science-economic-development/news/2022/05/policy-statement--securing-canadas-telecommunications-system.html" target="_blank">加拿大創新、科學暨經濟發展部（Innovation, Science and Economic Development Canada）19日宣布</a>，由於擔心華為與中興等供應商可能會被迫以違反加拿大法令或危害加拿大利益的方式遵守外國政府的指示，因而準備禁止該國電信服務供應商部署來自這兩家業者的4G與5G設備。</p> <p>根據該禁令，加拿大的電信服務供應商不僅不得購買來自華為與中興的5G設備與服務，也必須在2024年6月28日以前移除其既有5G網路中的相關設備或服務；不僅是5G，境內電信業者也不得向這兩家業者購買新的4G設備及服務，舊有的相關設備及服務也必須於2027年12月31日以前移除。</p> <p>其實加拿大早就在機密的3G、4G及LTE網路上移除華為與中興的產品。</p> <p>在美國率先出手封鎖華為與中興，並指控這些來自中國的品牌可能危及國家安全之後，美國也持續遊說其它的盟友祭出同樣的禁令，儘管期間相繼有不同的國家審核這兩家業者的產品，但並未有確切的證據表明業者故意於產品中植入後門的企圖，迄今它們主要擔心的是華為與中興可能在受到中國政府的要求或脅迫下，藉由所部署的設備或服務進行滲透。</p> <p>在五眼聯盟（Five Eyes）中，美國、澳洲、英國與加拿大皆已正式宣布封鎖華為與中興，至於紐西蘭雖未明文規定，但其電信業者Spark曾因打算在5G網路中採用華為設備，<a href="https://www.ithome.com.tw/news/127349" target="_blank">而受到該國安全部門的關切</a>。</p> </div></div></div>
2022/5/20 16:50作者陳曉莉https://www.ithome.com.tw/news/151034
臺灣積極發展資安職務地圖，促進產官學溝通對焦，新興資安產業版首登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為培育國內資安人才，政府持續推動相關計畫，在「教育部先進資通安全人才培育計畫」（110年－113年）中，已推動資安暑期課程（AIS3）與資安競賽，以及推動「臺灣好厲駭」等多項計畫，為了更進一步促進人才職涯與培訓，近期還有一項子計畫，是聚焦於「資安產業媒合與校友追蹤服務」，當中正發展一個名為「臺灣資安職務地圖」的項目，目的是協助此領域的求職與求才。</p> <p>過去在資安領域的職能發展上，從學校到產業存在著落差，這或許是國內資安人才規畫或培訓長期以來欠缺的部分，若能讓雙方能有更好的共識，將有利於投入資安的學子瞭解未來職涯發展，而業界也能與學術界合作一起培養人才。</p> <p>目前臺灣資安職務地圖才剛剛起步，負責這項子計畫的計畫主持人，是先前擔任輔仁大學理工學院院長，現為該校特聘教授的許見章，他表示，現階段這份資安職務地圖，首先聚焦於軟體與服務的新興資安產業。</p> <p>之所以進行這項人才規畫，主要是資安領域非常廣泛，不只是資安產業需要人才，各種產業也需要資安人才，再加上有不同性質的資安產業，以及存在各種產業的公司，使得資安人才供需呈現多元的形態。</p> <p>因此，在教育部資安人才培育計畫的脈絡之下，許見章所帶領的團隊，先聚焦新興資安公司，以此為起點，再逐步納入更多產業及政府等機構的完整人才職能地圖，以及培訓課程藍圖。</p> <h2><strong>建立產官學通用語言，盼加速資安職能的學習</strong></h2> <p>關於臺灣資安職務地圖的建立與必要性，許見章表示，目前存在著許多好機會。</p> <p>例如，現在許多政府補助業界的計畫，均要求至少編列7%資安經費，以強化資安作為，這也造就了國內許多新興資安公司應運而生，同時也讓很多資安工作職務浮現，促成新的工作機會。</p> <p>不過，該如何適才適用？在執行「資安產業媒合與校友追蹤服務」子計畫時，他們發現，市場上提出的資安職缺可說是五花八門，有很多不同樣態，例如，有些小型資安公司多未設置人力資源（HR）職務，加上許多公司是根據營運目標，或是業務需求，來列出需要的職缺及工作內容，因此，基本上，許多資安人才職缺，都是基於專案或客戶需求而設立。</p> <p>然而，這也造就了職務名稱與工作內容相當多元的現象，使得有心從事資安工作的在校生或轉職者，不易了解所要投入的工作內容，最後導致產生學非所用或大材小用的衝突。</p> <p>儘管勞動部有「標準職業分類」及「通俗職業分類」，但可能無法對應到資安職務。相較之下，我們需要參考的具體標準，可能會是美國NIST提出的SP 800-181，亦即國家網路安全教育計畫（NICE），當中已定義出完整的職務角色、任務、知識、技術及能力描述。臺灣目前雖有許多機構能研讀相關文件，但這需要內化，將其轉換，形成國內資安產業可用的完整資安人才培育地圖。</p> <p>因此，建立臺灣本地適用的資安職務地圖就很重要。許見章表示，這麼做的好處有三點：第一，定義出共通的語言、工作內容及技術能力，可利於產官學界使用相同語言，彼此溝通能夠更聚焦；第二，對於求才方及求職方而言，在工作內容與技術能力，能有一致共識；第三，學界培養人才時，也能因此更符合實務需求。</p> <p>綜觀國內資安人才需求現況，單就人力銀行列出的資安相關所有職缺，每個月都有多達1,000個以上，因此，如何定義出共通語言、工作內容，以及技術能力等，是現今資訊及資安等不同產業領域都需要的，才能加速人才媒合。</p> <h2><strong>畫分12大職務、4大基本職能，以及13大專業職能</strong></h2> <p>關於這個資安職務地圖的設計，許見章表示，主要參考的資訊，包括：美國NIST的NICE人才框架，NICE之下的Cyberseek研究專案，以及國內勞動部標準職業分類及通俗職業分類、行政院技服中心資安職能訓練發展藍圖等諸多內容，透過反向推導的方式，亦即由企業求才職缺內容，對照至上述資料而發展出來。</p> <p>以新興資安產業版的臺灣資安職務地圖而言，目前如何畫分？當中總共有12項職務。</p> <p>最基礎的層級，是5大初階職務，包含：資安檢測工程師、資安產品工程師、事件反應工程師、資安鑑識工程師、資安稽核工程師。</p> <p>更上一層是4大中階職務，包含：滲透及漏洞測試工程師、資安分析師、資安顧問師、資安產品開發工程師。</p> <p>最頂級共有3大高階職務，包含：資安工程師、資安架構師，以及資安專案經理。</p> <p>同時，每個職務都提供對應的基本職能、專業職能、管理職能、證照、工作態度與起薪。</p> <p>此外，上述這12大職務中的10項，其實與Cyberseek綜整出的10大職務相當。</p> <p>簡單來說，現階段許見章及其團隊已歸納出4大基本職能，以及13大專業職能。以基本職能而言，包括：程式開發及偵測，作業系統操作及管理，資通安全概論，以及領域知識；以專業職能而言，分成資安產品布署及管理，資安檢測，資安事件應變處理及分析，資安鑑識與處理，以及弱點掃描、入侵偵測及滲透測試，弱點分析及修補，惡意程式檢測及分析，威脅情資收集、探勘與分析，駭客攻防，通訊網路安全，網路架構安全，風險評估，以及安全系統開發。</p> <p>而在每項專業職能上，許見章也列出具體能力描述。舉例來說，以資安產品布署及管理而言，內含5項知識能力，包括：資安設備規畫建置、部署與維護，規畫設計資安整體架構，設備優化及調整，整合資安產品，雲端安全方案規畫與部署。</p> <p>因此，基於這份臺灣資安職務地圖的指引，能讓不同角度的人了解資安人才需求；對於求職者而言，可依其興趣，由職務地圖規畫學涯及生涯學習路徑；對於產業界而言，將可依其需求，由職務職能地圖來檢視對求才職位的適合性；對於學校及資安訓練機構而言，則能夠依照教育目標與核心能力養成，開設對應的職能訓練課程。</p> <p>關於目前各公司公開招募的資安人才需求，從國內外求職網站可得知熱門類型。若交叉比對臺灣資安職務地圖，會呈現何種面貌？他表示，在國內，資安工程師、資安分析師需求最高，其次是滲透及漏洞測試工程師、資安顧問師、資安檢測工程師、資安產品開發工程師，若以Cyberseek的10大職務來看，國際需求以資安工程師最強，其次為資安分析師、滲透及漏洞測試工程師。概略而言，國內與國際的需求相當。</p> <h2><strong>產業資安將是下一重點，建立各領域資安人才發展藍圖</strong></h2> <p>資安人才需求的涵蓋範圍泛，新興資安產業只是其中一環。但若論及「產業資安」，這層面的人才需求是什麼？</p> <p>許見章表示，新興資安產業與產業資安的人才需求，有很大不同，前者如前所述的12大職務，後者是以傳統資訊人才加入特定領域需求的資安技能。例如，金融產業資安人才就偏重「資安治理」、「資安防禦」及「資安監控」為主，該產業的資安人才職能，則以防護監控、事件分析、系統網路、軟體安全、數位鑑識、資安法規等為主。換言之，不同領域的資安人才需求，彼此之間會有很大的差異，未來他也會逐步發展出不同版本。</p> <p>至於產業資安領域中，臺灣對於人才的需求與培育，近期也日益熱絡。例如，金管會去年發布了金融機構資安職能地圖，這是以金融資安產業需求為出發，內容也已相當完善、具體。隨著未來更多這類型計畫的進行，將有利於在學者的準備，有志從事資安工作者的求職，以及公司的求才，許多學校及資安訓練機構在開設資安訓練課程時，也能更妥善地依據核心能力養成來設計課程。</p> <h3><strong>臺灣資安職務地圖－新興資安產業版</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-20_142901.jpg" style="width: 600px;" /></p> <p><strong>●基本職能：</strong>BC1程式開發及偵錯，BC2作業系統操作及管理，BC3資通安全概論，BC4領域知識，BC5產品知識。</p> <p><strong>●專業職能：</strong>PC1資安產品部署及管理，PC2資安檢測，PC3資安事件應變處理（通報、追蹤）及分析，PC4資安鑑識與處理，PC5弱點掃描、入侵偵測及滲透測試，PC6弱點分析及修補，PC7惡意程式檢測及分析（含反向工程），PC8威脅情資收集探勘與分析，PC9駭客攻防，PC10通訊網路安全（含監控與分析），PC11網路架構安全（含部署），PC12風險評估，PC13安全系統開發。</p> <p><strong>●管理職能：</strong>MC1專案管理</p> <p><strong>●工作態度：</strong>AT1獨立思考與研究能力，AT2具備良好溝通協調，AT3自我學系能力，AT4團隊合作精神。</p> <p><span style="color:#696969;">資料來源：資安產業媒合與校友追蹤服務計畫主持人許見章，iThome整理，2022年5月</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961S%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96%E8%A8%B1%E8%A6%8B%E7%AB%A0_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 450px;" /></p> <blockquote><p>在教育部先進資通安全實務人才培育計畫之下，負責子計畫4「資安產學媒合與校友追蹤服務計畫」的計畫主持人許見章表示，目前臺灣資安職務地圖現在正發展新興資安產業版，以此為起點，未來還將繼續開發不同版本。這項計畫的團隊成員還有兩位計畫協同主持人，分別是來自臺灣科技大學資訊工程系的教授鮑興國、來自元智大學資訊工程學系的助理教授林家瑜，以及計畫專任助理詹雅婷。（資料照片/洪政偉攝）</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96_Cyberseek.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96_Cyberseek.jpg.jpg" style="width: 600px;" /></p> <blockquote><p>在2016年，美國國家標準暨技術研究院（NIST）領導的國家網路安全教育標準協會（NICE），推出一款名為「CyberSeek」的互動式線上工具，目的在幫助資安領域求職者提供更多就業機會，同時幫助企業們識別員工所需的技能，當中並畫分出10個核心資安職位。<br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><span style="color:#0000FF;">ENTRY-LEVEL：</span>Cybersecurity Specialist、Cyber Crime Analyst、Incident & Intrusion Analyst、IT Auditor<br /><span style="color:#0000FF;">MID-LEVEL：</span>Cybersecurity Analyst、Cybersecurity Consultant、</span>Penetration & Vulnerability Tester<br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><span style="color:#0000FF;">ADVANCED-LEVEL：</span>Cybersecurity Manager、Cybersecurity Engineer、Cybersecurity Architect</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E9%87%91%E8%9E%8D%E6%A9%9F%E6%A7%8B%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96H.jpg" style="width: 600px;" /></p> <blockquote><p> 不同產業資安人才需求有別，近期臺灣金融產業在此方面也進行相關人才地圖的規畫。例如。在2021年6月時，金融監督管理會發布金<a href="https://www.fsc.gov.tw/websitedowndoc?file=chfsc/202107081856200.pdf&filedisplay=%E6%AA%94%E6%A1%887_%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96(110%E5%B9%B47%E6%9C%88%E7%89%88).pdf">融資安人才職能地圖</a>，當中將架構類別分為監督治理、安全開發及資安維運等三項，並設計出學習地圖，供金融業者、周邊單位、培訓機構、資安人員及有意願投入金融資安領域之民眾參考。</p> </blockquote> </div></div></div>
2022/5/20 15:06作者羅正漢https://www.ithome.com.tw/news/151029
Martech雙周報第22期：Tiktok推出新分潤模式，讓品牌「外包」廣告製作及投放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞(0508~0521)</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Tiktok</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>創作者分潤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>精準行銷</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場分析平臺</b></span></font></p> <p><strong>Tiktok又推出新創作者分潤模式，並開放免費使用市場分析平臺</strong><br /> 因為難以植入廣告，找出短影片商業模式一直以來都是影音網站的挑戰。不過影音社群媒體Tiktok近期嘗試多種新商業模式，<a href="https://www.tiktok.com/business/en-US/blog/branded-mission-topview-cpm-top-feed">近日也推出了新創作者分潤模式「品牌任務」</a>。此模式下，由想打廣告的品牌推出「賞金任務」，要求具一定規模的創作者完成指定內容，通常跟創意行銷該品牌產品有關。創作者投稿後，可以領取一定現金報酬。接著，演算法會將表現最佳的幾部影片，作為贊助商廣告推薦給更多使用者。</p> <p>也就是說，與其自行製作廣告並投放到Tiktok平臺上，現在品牌可以出錢讓眾多創作者製作類似於原生廣告的內容，並由演算法挑出已知表現最佳的投稿，作為廣告推播。對品牌而言，等於只要想好剛開始的指定內容，之後從廣告製作、精準分眾分析到廣告投放，都外包給Tiktok平臺及創作者。對Tiktok創作者而言，這也是找業配廠商或自行發行周邊商品以外，在平臺上的另一種賺錢管道。<br /> 目前品牌任務獎金是由品牌制定固定價格，還沒有引入更複雜的計算機制，例如根據投稿影片表現（如點擊數、轉換率等指標）來分潤。</p> <p><a href="https://www.tiktok.com/business/en-AU/insights?tt4b_lang_redirect=1">Tiktok也推出市場分析平臺Tiktok Insights</a>，可以根據觀眾年齡層、分析目的（行銷目的、創作參考、人口調查）、產業、特殊節日及年份，交叉搜尋Tiktok上的相關市場資料。不過，目前搜尋結果並不是根據篩選條件即時分析生成的報告，而是從1,182筆分析報告中搜尋出與篩選條件相符的項目呈現，因此常常會出現沒有符合篩選條件結果的情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok%20insights(1).png" style="width: 600px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>RTB</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者追蹤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者隱私</b></span></font></p> <p><strong>愛爾蘭研究：即時競價廣告機制每天暴露歐美使用者個資近5千億次</strong></p> <p>愛爾蘭人權委員會（ICCL）<a href="https://techcrunch.com/2022/05/16/iccl-rtb-report-google-gdpr/">一份報告</a>指出，即時競價廣告（RTB）系統追蹤並散布歐美用戶個資每天暴露近5千億次，其中美國占2,940億次，歐洲1,970億次，每年則高達178兆次。報告分析，因為美國網路隱私權政策不如歐洲嚴格，所以一名美國用戶的網路活動及實體位置等個資，暴露次數比歐洲用戶高出57%。RTB 2021年在歐美產值超過1,117億美金。</p> <p>報告直接點名Google和Microsoft兩家RTB巨頭，並指出Google除了將個資發送給美國4,698家和歐洲1,058家數據商之外，更會給俄羅斯和中國的數據商，且「無法得知這些個資用途」。報告中寫道，「RTB數據被散播後，就沒辦法限制它們的用途，從數據商用來辨認Black Lives Matter社運人士，到美國政府用來進行無令狀電話追蹤，都發生過。」</p> <p>ICCL表示，研究資料還不包括Facebook和Amazon的RTB數據，因此實際數字可能遠高於報告中數字，並稱RTB為「有史以來最大的數據侵害」。</p> <p><a href="https://www.iccl.ie/wp-content/uploads/2022/05/Mass-data-breach-of-Europe-and-US-data-1.pdf">Google發出聲明</a>，表示自家RTB並不會分享任何可以辨認出個人身分的資訊，也不會透過分析敏感個資來投放廣告。Microsoft則拒絕做出相關評論。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>iOS ATT</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Google Ads</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者追蹤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>廣告轉換追蹤</b></span></font></p> <p><strong>Google Ads在iOS裝置導入去識別化使用者行為紀錄技術，提供廣告成效追蹤</strong></p> <p>在iOS 14.5的App追蹤透明度（ATT）隱私政策啟用後，廣告商必須經過使用者明確同意才能蒐集他們在App上行為及其他個資，讓廣告轉換率難以評估。</p> <p>為了提供廣告商更準確的廣告轉換率追蹤，<a href="https://support.google.com/google-ads/answer/12119136?hl=en&ref_topic=3121765">Google Ads推出了「On-device conversion measurement」方案</a>，在去識別化個別使用者身分後，將使用者安裝App的管道、與廣告互動情形以及App上行為提供給廣告商。如此，廣告商就會有更多資料能分析廣告成效，且使用者個資也受到保護。</p> <p>此方案是透過App自身的使用者登入資料來記錄個人行為，而非蘋果帳戶或iOS上的IDFA，某種程度上繞過了ATT政策的限制。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CTV</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Youtube</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>廣告頻率上限</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>購物直播</b></span></font></p> <p><strong>Youtube推出廣告頻率管理功能及購物直播新功能</strong></p> <p>當使用者看同一個廣告太多次，容易產生反感。因此，Youtube為聯網電視（CTV）廣告加入頻率管理功能，廣告商能以一周為單位，限制單一使用者看到同一個廣告的次數。Youtube表示，這不僅能讓廣告成效更好，也能替廣告商省下一筆廣告預算。</p> <p>Youtube也出購物直播的兩個新功能。今年稍晚，兩個頻道將可以共同主持購物直播，讓兩方頻道的觀眾匯流。另外，購物直播主也將能重新導向觀眾，將他們送到特定品牌的頻道。如此一來，品牌不僅能間接接觸直播主的受眾，還能直接呈現自己頻道的內容給他們看。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong></p> <p>1. <a href="https://www.socialmediatoday.com/news/instagrams-testing-a-new-stories-ui-which-could-have-big-implications-for/624034/">Instagram在測試隱藏限時動態功能，現在只會看到最近期的前三個限動，這樣恐怕會讓品牌行銷內容的能見度大幅下降</a></p> <p>2. <a href="https://www.youtube.com/watch?v=NOXK4EVFmJY">蘋果推出一個針對數據交易商的宣傳廣告</a>，控訴他們如何追蹤、販售並利用使用者數據營利。這是他們<a href="https://www.youtube.com/watch?v=8w4qPUSG17Y&t=1s">Privacy on iPhone系列廣告的第二作</a>。</p> <p>3. <a href="https://www.klaviyo.com/blog/cookie-consent">為了引起大家對第一手資料行銷的注意，一家簡訊及Email行銷公司發起付錢讓人拒絕網站Cookie活動，最高獎金1,000美元</a>。</p> <p> </p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 15:07作者郭又華https://www.ithome.com.tw/news/151030
美國兩黨議員提出數位廣告競爭法令，阻止大型科技業者的廣告壟斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國共和黨議員Mike Lee與Ted Cruz ，以及美國民主黨議員Amy Klobuchar與Richard Blumenthal，<a href="https://www.lee.senate.gov/services/files/7384B096-04C3-4A3A-9796-80D22483026F" target="_blank">本周共同提出了《數位廣告競爭與透明法案》（Competition and Transparency in Digital Advertising Act，CTDA）</a>，企圖消除大型平臺於廣告市場上操弄廣告競價並壟斷市場的行為，以恢復及保護數位廣告市場的競爭，可望直接衝擊Google與Meta，也被視為是美國對於控制大型科技業者權力所提出的法案中，最具侵略性的其中一個。</p> <p>當使用者造訪一個網站或開啟一個程式時，便是由即時競價（Real-Time Auction）來決定使用者所能看到的廣告，此一競價行為大概是在幾分之一秒內就會完成，每天可能會發生數十億次，出版平臺使用的是供應端的代理人，廣告主則是透過需求端的代理人來媒合雙方的需求。參議員引用了Google員工的形容，指出這就如同高盛或花旗銀行擁有了紐約證券交易所。</p> <p>這是因為Google和臉書在廣告科技領域中的每一個角色上，幾乎都占了主導地位，不管是購買、銷售或是媒合，例如有9成的出版平臺使用了Google Ad Manager，且Google Ad Manager在2018年第三季時占所有陳列式廣告市場規模的75%，且在利益衝突下採取對自己有利的手段。</p> <p>因此，CTDA將禁止處理逾200億美元數位廣告交易的大型業者於數位廣告生態體系中擁有超過一個角色，例如廣告交易平臺便不能擁有供應端的平臺或需求端平臺；供應端平臺就不能同時擁有需求端平臺，反之亦然；數位廣告上的買家與賣家不能擁有需求端平臺與供應端平臺。</p> <p>另也規定處理逾50億美元數位廣告交易的中大型業者，必須遵守多項義務來維持市場競爭，包括必須以客戶的最大利益作為出發點，必須向客戶提供可驗證上述的透明化流程與報告，若同時操作兩端平臺則必須確實隔離以避免遭到濫用或產生利益衝突，以及公平對待所有客戶。</p> <p>倘若此一法案成真，那麼便有可能迫使Google及臉書拆分其廣告業務，也可能會影響Amazon及蘋果投資第三方廣告平臺業務的能力。</p> </div></div></div>
2022/5/20 16:05作者陳曉莉https://www.ithome.com.tw/news/151032
以英特爾Habana Gaudi為基礎的超級電腦上線測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以英特爾Habana Gaudi處理器為基礎的超級電腦Voyager，<a href="https://ucsdnews.ucsd.edu/pressrelease/voyager-supercomputer-enters-testbed-phase" target="_blank">本周在美國加州大學聖地牙哥分校啟用測試</a>。</p> <p><a href="https://habana.ai/press/habana-ai-accelerators-chosen-by-the-san-diego-supercomputer-center-to-power-voyager-research-program/" target="_blank">英特爾旗下開發深度學習加速器的子公司Habana Labs去年4月宣布</a>其人工智慧（AI）訓練及推論加速器，獲加州大學聖地牙哥分校（UC San Diego）超級電腦中心選用於其名為Voyager的超級電腦。在比原預定日期晚半年後於近日進入測試階段。</p> <p class="rtecenter"><img alt="" src="https://habana.ai/wp-content/uploads/2021/04/Server-Rack-Abstract-optimized-hp2.jpg" style="width: 570px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Habana Labs</span></span></p> <p>Voyager是獲得美國科學基金會（National Science Foundation，NSF）資金設於UC San Diego的超級電腦。Voyager將用於高能物理、生物、基因、材料科學、大氣及天文學領域相關的AI模型開發、訓練和測試。</p> <p>在規格上它由42節點的Supermicro X12 Gaudi AI訓練系統組成，內含336個Intel Gaudi加速晶片，提升AI訓練處理的規模，並搭配16顆Goya加速晶片來強化AI推論模型的處理效能。每個Gaudi處理器內建10個支援RoCE v2的100Gigabit Ethernet傳輸埠，而42座訓練系統由4道400Gpbs網路連線串聯到Arista交換器。</p> <p>UC San Diego研究人員並表示，在Voyager上目前已經透過Jupyter Notebook on Gaudi執行應用程式，以及TensorFlow和PyTorch框架。</p> <p><a href="https://www.ithome.com.tw/voice/150901" target="_blank">英特爾也在上周的Intel Vision 2022大會上宣布</a>AI訓練處理器Habana Gaudi2，以及AI推論處理器Habana Greco。Habana Gaudi 2為7奈米製程，提供24核 Tensor處理器核心，內建96GB頻寬高達2.45TB/s的HBM2E高頻寬記憶體。Greco則為Goya的繼任產品，提供LPDDR5記憶體和128 MB on-chip記憶體。</p> </div></div></div>
2022/5/20 14:19作者林妍溱https://www.ithome.com.tw/news/151028
微軟緊急修補5月Patch Tuesday所造成的認證失敗問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟於5月10日的Patch Tuesday釋出安全更新以修補74個安全漏洞之後，相繼有用戶抱怨在部署該更新之後，許多服務的認證機制都故障了，不過，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-10-20H2" target="_blank">微軟已在本周四（5/19）釋出了緊急修補程式</a>，只是需要IT管理人員手動安裝。</p> <p>根據微軟的調查，只要是部署在組織網域控制站（Domain Controller）上的安全更新，就可能在許多服務的伺服器或客戶端遭遇認證失敗的問題，主要是網域控制站在比對憑證與機器帳號時出了差錯，受影響的服務涵蓋網路原則伺服器（Network Policy Server）、路由及遠端存取服務（Routing and Remote access Service，RRAS）、Radius、可延伸的驗證通訊協定（Extensible Authentication Protocol，EAP）及受保護的延伸認證協定（Protected Extensible Authentication Protocol，PEAP）等。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/en-us/windows/release-health/status-windows-10-20H2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Patch%20Tuesday-bug.png" style="width: 600px;" /></a></p> <p>上述問題只影響將5月更新部署於作為網域控制站的伺服器上，而未波及客戶端的Windows裝置或非網域控制站的Windows Server。</p> <p>當時微軟所建議的緩解措施是手動於Active Directory上比對憑證與機器帳號，而周四則直接修補了這個臭蟲。</p> <p>微軟鼓勵於組織環境中安裝網域控制站的IT管理人員移除之前的緩解措施並部署此一更新，但相關更新並不會自動部署，而是必須手動將更新植入Windows Server Update Services（WSUS）與Endpoint Configuration Manager。</p> </div></div></div>
2022/5/20 12:43作者陳曉莉https://www.ithome.com.tw/news/151025
美司法部正式承諾不控告從事安全研究的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act" target="_blank">美國司法部昨日（19）宣布修改政策</a>，將不會依據美國電腦犯罪相關法令控告進行「善意」安全研究的研究人員。但倡議團體則認為遠遠不夠。</p> <p>這是司法部首次明確表達善意安全研究不應及不會被控告。1986年實施的《電腦詐欺與濫用法案》（Computer Fraud and Abuse Act，CFAA）是《綜合犯罪控制法》（Comprehensive Crime Control Act, 1984）修正法案，1986年實施，禁止未經授權或逾越授權存取美國政府、各類企業及個人的電腦，也是美國司法機關定罪的主要法源之一。</p> <p>隨著資訊產業網路犯罪及漏洞攻擊頻仍，白帽駭客成為促進軟體安全的重要推手。許多軟體大廠透過免責保護傘計畫，使安全研究人員免於被控告，但是因漏洞研究而被廠商告上法院的例子屢見不鮮。<a href="https://www.ithome.com.tw/news/147240" target="_blank">一群代表22國網路安全專家的團體去年聯合倡議修改過時法令</a>，呼籲讓安全研究人員免於官司威脅。</p> <p><a href="https://techcrunch.com/2021/06/03/supreme-court-hacking-cfaa-ruling/" target="_blank">去年美國最高法院首次介入</a>審查法律上所謂「非授權」存取電腦的行為，並大幅對一些行為除罪，像是違反約會網站的服務條款美化個人資料、在招聘／租賃及房仲網站建假帳號、在社交平臺使用假名以繞過封鎖、在工作時查詢運動賽事得分、在工作時付個人帳單、或是違反服務條款規定的存取限制等。</p> <p>司法部副部長Lisa Monaco指出，司法部從來都沒有意思要將善意的電腦安全當作提出刑事起訴，「今日的宣布將可對排除漏洞、創造公益的善意電腦研究人員說明司法部的立場。」</p> <p>新政策將明白確認，一些法院及大眾擔心可能觸犯CFAA的行為將不會被起訴。新政策著重在「完全無存取授權」或「僅有部分存取授權」卻存取授權以外資訊的行為。司法部指出上面列舉的「非授權存取」行為不構成聯邦刑事起訴的行為。但司法部仍然強調，宣稱從事安全研究並非免死金牌，例如找到裝置漏洞卻向裝置持有者勒索的「研究」就無法稱為善意。</p> <p>長期爭取漏洞安全研究法律保障的組織則認為稍嫌不足。<a href="https://www.eff.org/deeplinks/2022/05/dojs-new-cfaa-policy-good-start-does-not-go-far-enough-protect-security" target="_blank">電子疆域基金會指出</a>，司法部透過這次新政策肯定安全研究對強化社會媒體應用程式、金融系統及其他大眾日常使用的眾多數位系統的重要性，但是這次的新政策並未觸及一些重要議題，像是說明「逾越權限的存取」包括突破技術限制，而這是電腦安全研究或記者等工作的必須。因此新政策只限制了控告範圍，但是並不能保障決心追殺到底的法律威脅，以及CFAA超過比例原則的刑責。</p> <p>EFF甚至認為，新政策不但未提供釐清，反而因為明文列出無罪的行為，而造成更多不在範圍內的行為遭到司法控訴。</p> <p><a href="https://www.zdnet.com/article/us-justice-department-says-it-wont-prosecute-white-hat-hackers-under-the-cfaa/" target="_blank">ZDNet分析</a>，司法部所列的免控告行為僅僅屬於逾越服務條款的行為，和電腦安全研究相去甚遠。<a href="https://techcrunch.com/2022/05/19/justice-department-good-fatih-hackers-cfaa/" target="_blank">Techcrunch則說</a>，這新政策並非法律修訂，只代表司法部今天的看法，未來也可能改變。</p> </div></div></div>
2022/5/20 12:52作者林妍溱https://www.ithome.com.tw/news/151026
AI趨勢周報第190期：600多項任務全都會！DeepMind發表AI通才工具Gato
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0512～0518)</span></h3> <p>DeepMind發表首個AI通才工具Gato，從玩Atari遊戲、用機械手臂堆積木、聊天，再到3D環境導航等600多項任務都難不倒。在最近落幕的I/O大會中，Google大秀AI肌肉，不只Google搜尋、語言應用由AI驅動，就連AR體驗也是。比如語言部分，Google用新一代Transformer模型打造3個NLG小應用，翻譯部分更首次新增了24種零樣本學習語言。至於AR，Google還在地圖提供更逼真的城市導覽。這段期間，Google還發布不少AI服務，像是智慧工廠解決方案、最高效能可達9 exaflops的雲端ML叢集。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gato </span></strong></span></p> <p><span style="font-size: 22px;"><strong>600多項任務全都會！DeepMind發表AI通才工具Gato</strong></span></p> <p>DeepMind揭露一套AI通才代理Gato，可執行超過600種任務，從玩雅達利遊戲、為圖片加圖說、聊天，再到在3D環境中導航、用真實機械手臂堆積木，都包括在內。</p> <p>Gato是一個多模態、多任務且多形體（Multi-embodiment）的代理，也是一套單一類神經序列Transformer模型。這麼做的好處是，開發者不必為不同領域的任務模型，特別手動打造一套對應的政策模型，只靠一套Transformer即可。這是因為，序列模型可處理任何平面序列型資料，進而加強訓練資料的多元性和數量。Gato參數量達12億個，訓練資料類型非常廣泛，包括影像、文字資料、按鈕點擊、關節動作和一系列情境動作。<a href="https://www.deepmind.com/publications/a-generalist-agent">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/627d13d743dc353a184da8d4_data_sequences.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>盤點Google I/O三大AI亮點，更多AI搜尋、新語言模型和AR服務</strong></span></p> <p>Google日前展開I/O開發者大會，揭開今年科技巨頭技術大會的序幕。在這次大會上，Google執行長Sundar Pichai一口氣宣布多項AI服務更新，首先是搜尋，上個月Google搜尋App推出多重搜尋功能，使用者能透過影像辨識和文字輸入，來查找物件資訊，這次則新添了Near Me功能，使用者能用來查找附近是否也有搜尋中的產品或店家。Google表示，接下來他們將以多模態模型MUM來優化該搜尋服務。</p> <p>同時，Sundar Pichai也揭露NLP模型LaMDA新進展，首次展示了以LaMDA 2為基礎的新應用，包括「想像」、「列清單」、「聊聊」，其中，想像能根據使用者提出的關鍵字或短語，產出有邏輯且具體的敘述，列清單則讓使用者提出一個目標，LaMDA 2再將這個目標拆解為幾個小任務，聊聊則是更自然地與使用者進行開放式對話。為蒐集更多AI訓練資料，Google也推出一款AI系統回饋工具<a href="https://aitestkitchen.withgoogle.com/">AI Test Kitchen</a>，釋出給特定少數人來試用LaMDA 2模型的AI能力，並給予回饋。</p> <p>I/O大會另一亮點是AR進展。首先，Google釋出AR開發套件ARCore的地理空間API，讓開發者更容易打造AR引導的3D街景應用，像是場所指引和類似寶可夢的應用。這個AR引導採用了Google的世界模型，運用不少ML技術從街景影響抽取數兆個3D點，再於1秒內計算出手機裝置的位置和方向。此外，Google還展示了場景探索AR購物體驗新功能，使用者將手機對準商品，螢幕會就顯示虛擬說明。於此同時，Google地圖也新增了3D沉浸式導覽，猶如更逼真的虛擬城市導覽。<a href="https://io.google/2022/">（詳全文）</a></p> <p><img alt="" src="https://aitestkitchen.withgoogle.com/assets/videos/talk-about-it.mp4" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-05-20%20112747.png" /><img alt="" src="https://aitestkitchen.withgoogle.com/assets/videos/talk-about-it.mp4" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML叢集 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <p><span style="font-size:22px;"><strong>單一叢集可提供9百億億次浮點運算！新一代Cloud TPU v4晶片ML叢集問世</strong></span></p> <p>Google推出Cloud TPU v4機器學習叢集預覽版，該叢集採用去年I/O大會上發表的ML晶片Cloud TPU v4，可大幅縮短模型運算時間，減少用戶支出。Cloud TPU v4 Pods提供的高運算力，可讓ML叢集支援複雜模型，像是大規模自然語言處理、推薦系統和電腦視覺演算法。</p> <p>該叢集擁有高達9 exaflops最大累積效能，Google認為，Cloud TPU v4 Pods叢集的累積運算能力來算，是目前已公開的單一機器學習叢集中最高者。另外，Cloud TPU v4晶片非常節能，每一瓦可運算的最大運算峰值是TPU v3的3倍，藉由使用節能的專用硬體、高效能資料中心和乾淨能源，可減少能源使用和碳排放。<a href="https://cloud.google.com/blog/products/compute/google-unveils-worlds-largest-publicly-available-ml-cluster">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SAS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床試驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>SAS推出3大垂直產業解決方案，鎖定醫療、能源和廣告業</strong></span></p> <p>數據分析大廠SAS日前宣布推出3大解決方案，包括臨床試驗招募模擬雲、電網守護AI、廣告服務平臺360 Match，延續雲端優先策略。其中，臨床試驗招募模擬雲可讓藥廠和研究單位用來模擬臨床試驗的試驗者招募狀況，進而調整招募策略，縮短醫藥上市時間。</p> <p>電網守護（Grid Guardian）AI則是一款利用IoT裝置、架空配電設備無線電頻率和機器學習的解決方案。比如，透過在垃圾車上安裝IoT感測器，隨著垃圾車定點移動，感測器可收集定點電線竿上架空配電設備無線電頻率，利用AI邊緣運算來預測是否會發生故障。360 Match是一套建於雲端、針對第一方廣告商的服務平臺，整合行銷界常見的顧客數據平臺（CDP）、行銷策略計畫和顧客旅程最佳化等技術，來串起整體顧客參與流程。<a href="https://www.sas.com/en_us/news/press-releases/2022/may/cloud-first-portfolio-soars-customer-industry-solutions-and-stategic-partners.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧工廠 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開箱即用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>進攻製造業！Google智慧工廠解決方案強化資料應用</strong></span></p> <p>Google日前推出智慧工廠解決方案，要讓工廠生產更數位化。該方案有2大元件，包括收集資料的製造資料引擎、製造連結，其中，製造資料引擎內建資料規範和上下文功能，提供通用資料模型，以及針對工廠最佳化的資料湖。而製造連結是一個工廠邊緣平臺，可連接超過250種機器協定，用戶可快速連接大多數設備。</p> <p>在製造資料引擎上，還有一系列資料分析和AI用例，用戶可開箱即用存取儀表板和資料應用，根據KPI或其他需求進行分析，以探索工廠可改進的部分。製造資料引擎中的資料，也能夠用於預測性維護上，系統內建的AI模型還能在數周內完成部署，提供高預測準確性，並且在之後不斷改進和完善模型。<a href="https://cloud.google.com/blog/topics/manufacturing/new-google-cloud-manufacturing-solutions">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_manufacturing_solutions.max-1100x1100.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零樣本學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google翻譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器翻譯 </span></strong></span></p> <p><span style="font-size:22px;"><strong>首波零樣本學習語言上線！Google翻譯新增24種語言</strong></span></p> <p>Google預告自家翻譯服務將新增24種語言支援，總支援語言將來到133種。特別的是，這24種語言是首批採用零樣本機器翻譯的成品。採用零樣本學習的原因是，這次新增的語言相對冷門，凸顯了不少挑戰，因為它們缺乏資料，只能從有限的單語文本學習。</p> <p>為解決問題，Google先以Transformer架構，訓練一套1,000種語言的半監督LangID模型，接著將這個模型，應用在由CLD3語言辨識模型過濾的資料集，再訓練它來辨識類似的語言叢集。同時，Google以權衡文字重要性的開源TF-IIF專案來過濾該資料集，刪除高資源語言句子、移除異常，最後得到支援上千種語言的單語文本資料集。之後，Google搭配所有豐富資源語言的平行翻譯文本，來訓練零樣本學習模型，最終得到一個支援1,138種語言的大型翻譯模型。該模型沒看過任何樣本就能翻譯成其它語言，不過，團隊將繼續優化。<a href="https://blog.google/products/translate/24-new-languages/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Workspace </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google強化Workspace的AI功能，更要整合到SAP雲端產品</strong></span></p> <p>Google在今年I/O大會上宣布擴大Workspace的AI功能，還要擴大SAP合作關係，將Google Workspace整合至SAP S/4HANA Cloud，讓Google文件、試算表帶到SAP的雲端服務。</p> <p>Workspace新增的AI功能包括改善Google Meet人像明亮度和打光，以及會議自動紀錄、摘要功能等。同時，Google也將Workspace原生整合至SAP S/4HANA Cloud，改善企業的工作體驗。雙方計畫在今年底，將初步功能以標準功能的形式，在SAP S/4HANA Cloud提供，這項功能將建置在SAP Business Technology Platform上，以提供從端到端建立緊密的整合及一致的使用體驗。<a href="https://news.sap.com/2022/05/google-cloud-and-sap-native-integration-google-workspace-sap-s4hana-cloud/">（詳全文）</a></p> <p>圖片來源／DeepMind、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google用6個ML模型分析100個訊號，讓你不必再發聲喚醒助理</strong></p> <p><strong>2. 南機夜市出現免費麵包機，用AI認臉每人可領2次</strong></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 00:19作者王若樸https://www.ithome.com.tw/news/151002
【結合讀取排序最佳化技術，改善磁帶離散存取的先天弱點】磁帶存取加速技術的擴展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1078-ji_shu_zhuan_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM、Spectra Logic</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不同於刻版印象，磁帶的速度其實並不慢，單論持續循序傳輸速率來說，磁帶其實還勝過機械式硬碟一籌。問題在於，一旦遇上隨機、離散的存取應用，磁帶的存取速度便會大幅降低，大量時間將耗費在反覆的讀寫頭重新定位上。</p> <p>而從IBM 3592系列磁帶應用的「建議存取順序（RAO）」技術，正是為了解決磁帶離散存取效能的問題而誕生，透過重新排列分散資料的存取順序，可以大幅減少讀寫頭重新定位的時間，進而顯著改善磁帶存取分散資料的效率。</p> <p>現在，這項技術也被應用到使用最普遍的LTO磁帶上，最新一代的LTO-9磁帶，引進了建議存取順序（RAO）技術的開放版本：開放建議存取順序（oRAO）技術，讓當前兩大主流磁帶規格——LTO與IBM 3592，都具備同樣的離散檔案存取順序最佳化功能，對於大量依靠磁帶的備份與歸檔應用來說，都能帶來相當大的助益，可有效提高資料還原或歸檔檢索作業速度。</p> <p><span style="font-size:28px;"><strong>磁帶存取效能的優勢與劣勢</strong></span></p> <p>磁帶存取離散資料效能低落的問題，源自磁帶的先天架構。</p> <p>磁帶是以條捲型式，收納在卡匣內轉軸上的帶狀磁性儲存媒體，透過轉軸帶動磁帶，來與讀寫頭的磁頭接觸，利用磁頭以線性或螺旋的方式掃描磁帶，在磁帶的磁軌上記錄與讀取資料。</p> <p>由於磁帶是一條連續的帶狀磁性物質，因然也讓磁帶的存取作業具備循序的特性——隨著磁帶的捲動，讓磁頭依序地在磁帶上讀取與寫入資料，而這樣的特性，也給磁帶存取效能帶來制約。</p> <p><span style="color:#B22222;"><strong>磁帶的優勢</strong></span></p> <p>由於磁帶的存取機制，先天上便是循序性的，因此最適合磁帶發揮的場合，便是連續資料的循序寫入與讀取，也就是每一筆資料的存取順序與存取位置，是依序且連續的，磁帶機只需簡單地順向捲動磁帶，就能讓磁頭持續地存取資料。在這種連續循序存取情境下，當前的主流磁帶規格，效能並不遜於機械式硬碟，甚至更勝一籌。</p> <p>舉例來說，當前機械式硬碟的循序持續傳輸速率，最高大約在250MB/s～300MB/s之間，大部分機械式硬碟產品的持續傳輸速率都在200MB/s上下，而兩大主流磁帶規格——LTO與IBM 3592，早在7、8年以前便已超過了這個速度。</p> <p>以LTO來說，LTO-7未壓縮傳輸率為300MB/s，LTO-8提高到360MB/s，到了LTO-9，更達到400MB/s。</p> <p>在IBM 3592系列方面，2014年推出的第5代機型TS1150，達到360MB/s，最新第6代機型TS1160，達到400MB/s。</p> <p>雖然說前述磁帶傳輸速率，都是官方規格數字，與實際表現存在一些落差。以磁帶匣供應商Fujifilm簡報中提供的數據為例，以寫入1GB檔案為基準時，LTO-8的實際寫入速率只達到216MB/s，IBM 3592的實際寫入速率則為280MB/s，相當於官方規格數字（360MB/s與400MB/s）的6、7成。</p> <p>但另一方面，機械式硬碟的實際傳輸速度，其實也達不到規格數字（只有在存取碟片最外圈資料時，才能達到接近規格數字的最大傳輸率），前面同一份Fujifilm的簡報也指出，以寫入1GB檔案為基準時，最大傳輸速率規格216 MB/s的硬碟，實際寫入速率只有84MB/s，只達到規格數字的4成。</p> <p>所以，無論就規格數字還是實際表現來說，較新款的磁帶機的連續循序存取速度，都已超過多數機械式硬碟產品。</p> <p><span style="color:#B22222;"><strong>磁帶的劣勢</strong></span></p> <p>當磁帶的循序存取架構，遇上了離散或隨機存取情境時，便會出現大麻煩。</p> <p>在這種情境下，所要存取的每一筆資料，是分散位於磁帶上不同位置，且存取順序也不是依序的，因而磁帶機必須不斷將磁帶捲動到不同位置，重新定位磁頭，才能分別存取不同位置上的資料，因而必須在捲動磁帶、重新定位磁頭等作業上，耗費大量機械動作的時間，也造成存取效率的大幅降低。</p> <p><span style="color:#B22222;"><strong>利於寫入、不利於讀取</strong></span></p> <p>在當前的企業IT環境中，磁帶最主要的應用場合，是資料備份與長期歸檔。而磁帶長於循序、連續存取，短於離散、隨機存取的特性，反映到實際應用環境時，便會形成有利於備份、歸檔寫入作業，不利於還原與檢索讀取作業。</p> <p>備份或歸檔資料的寫入，大都是將連續的資料區塊，有序、持續的寫入磁帶，正好對應磁帶的循序記錄特性，可以發揮較高的傳輸效能。</p> <p>然而當要從備份或歸檔的磁帶中，還原或檢索資料時，很少會有需要把整卷磁帶資料倒出來的連續區塊讀取情境，更常見的，是對於特定歸檔資料的檢索，或是還原某些個別的備份檔案，這類讀取作業，往往就不是循序的，而是隨機、離散性的。</p> <p>當要從磁帶中還原與檢索特定的個別資料時，這些資料往往是分散存放在磁帶上不同位置，將會導致磁帶機必須不斷地來回捲動磁帶，以便讓磁頭讀取不同的磁帶位置，更進一步，這些資料可能位於彼此相距很遠的磁帶區段，當磁頭讀取上一筆資料後，接著磁帶必須捲動很長的距離，才能讓磁頭讀取下一個檔案，如此一來，也導致磁帶讀取效率的嚴重低落，大量時間都耗費在搜尋資料與磁帶頭重新定位上。</p> <p><span style="font-size:28px;"><strong>解決離散讀取效率低落的老問題</strong></span></p> <p>建議存取順序（RAO）問世，正是為了解決磁帶離散讀取效率低落老問題。</p> <p>RAO這項技術，最初是由IBM 3592磁帶家族的第4代產品TS1140率先引進，目的是透過讀取排序的最佳化，來改善磁帶讀取離散分布檔案的效率。</p> <p>如同前面提到的，磁帶機同時讀取磁帶上多個離散分布的檔案時，將耗費大量時間重新定位磁頭，導致整體效率的嚴重低落，所以要改善離散讀取多個檔案的效率，著眼點便在於如何減少磁頭重新定位的時間。</p> <p>而RAO技術的基本概念，便是藉由重新排列多個檔案的讀取順序，藉此將移動磁頭重新定位所需的時間，降到最小，進而達到縮短讀取時間的目的。</p> <p><span style="font-size:28px;"><strong>建議存取順序（RAO）技術原理</strong></span></p> <p>RAO技術的原理，是在磁帶讀取多個檔案的時後，藉由讀取順序的最佳化，來縮短磁頭重新定位的時間。</p> <p>而為實現縮短磁頭重新定位時間的目的，RAO採取這3項機制：</p> <p>（1）透過用戶資料區段（UDS）格式，記錄個別檔案在磁帶的區塊實體位置。</p> <p>（2）基於UDS位置，透過演算法估算磁頭定位每個檔案移動時間。</p> <p>（3）針對用戶端所要讀取的多個檔案，藉由加權計算，重新排列讀取每一個檔案時的先後次序，計算出可以在最短時間內，移動磁頭讀取所有檔案的「建議存取順序」。</p> <p>而在實際運作上，RAO的運作是透過GRAO指令（Generate RAO），以及RRAO指令（Receive RAO）來運作。</p> <p>當用戶端應用程式要讀取同一卷磁帶上多個離散分布的檔案時，可以透過GRAO指令，向磁帶機發送所要存取檔案的UDS列表，接著，磁帶機便會估計磁頭移動定位每個檔案所在區段所需的時間，藉由調整檔案間的讀取順序，算出一個可以在最短時間內讀取所有檔案的「建議存取順序」。</p> <p>RAO計算檔案存取順序時，考量的因素包括檔案的大小、在磁帶上的位置（位於磁帶的哪個線帶（Wrap）、哪個條帶（Band）等），以及磁帶機的特性（傳輸速率等），給予這些因素不同加權，計算出個別檔案存取順序優先度。</p> <p>隨後用戶端應用程式再透過RRAO指令（Receive RAO），接收磁帶機計算出的「建議存取順序」（RAO）結果，只要依據RAO的指示執行，便能在最短時間內完成多個檔案的讀取。</p> <p>在RAO的實際成效方面，一些文件給出了可減少40～60%搜尋時間的數據。從RAO的運作概念來說，要從磁帶上讀取的檔案數量越多時，需要移動磁頭、重新定位的次數也越多，此時透過RAO的最佳化讀取排序，所能得到的存取加速效果，理應也會更為顯著。</p> <p>LTO磁帶匣供應商Fujifilm提供的測試結果，也證實了這樣的趨勢。以開啟小量資料（2或3個檔案）為基準時，相較於傳統的循序存取，RAO技術可以加快20%的速度；而在開啟平均大小為10GB的15個檔案時，RAO技術則可以加快30%的速度。Fujifilm引用的測試資料還指出，在極為密集、頻繁的存取環境下，RAO技術還能讓磁帶機節省多達50%的磁頭定位時間。所以說，若要讀取的檔案數量越多，則RAO技術能發揮的加速效益也越大。</p> <p>不過在另一方面，RAO技術中所需要的檔案位置紀錄、讀取順序排列計算等功能，都是由磁帶機的嵌入式微處理器與記憶體來承擔，所以只有特定款式、型號的磁帶機，才能支援這項功能。</p> <p><span style="font-size:28px;"><strong>RAO技術的擴散應用</strong></span></p> <p>繼IBM 3592磁帶，Oracle的T10000磁帶也含相似的「建議存取順序」功能，接著磁帶設備大廠Spectra Logic在自身自動化磁帶設備提供類似功能。</p> <p>Spectra Logic的存取排序功能稱作「基於時間的存取順序系統（TAOS）」，Spectra Logic旗下包括T950與TFinity ExaScale系列磁帶櫃都支援這項功能，基本原理與運作方式都與IBM的RAO相同，但TAOS技術提供了更深度的磁頭定位時間估算，與讀取順序計算能力。</p> <p>對於RAO這類技術來說，要實現將磁頭搜尋資料時間縮到最短目的，關鍵在於須盡可能精確估算磁頭在讀取多個檔案時，重新定位每一個檔案所需時間，如此才能得出正確的讀取順序排列。</p> <p>Spectra Logic特別針對該公司磁帶櫃搭配使用的3種磁帶機；LTO-7、LTO-8與IBM TS1155，收集了超過10萬個磁頭讀取移動作業的資料點，每個資料點都包括11個參數（包括磁頭移動的起始條帶（Band）位置、目的地條帶位置、移動所需的線性距離、操作時間、磁帶機是否需要倒轉等），然後透過機器學習模型的幫助，建立一個模型，可以預測磁頭在磁帶上任意2點移動所需的時間。</p> <p>Spectra Logic宣稱，他們透過機器學習所產生的模型，所估算出的磁頭移動定位時間，與實際定位時間之間的平均誤差只有44.54毫秒（ms）。以此為基礎，TAOS技術再結合最鄰近搜索演算法（Nearest Neighbor algorithm），計算出磁頭移動讀取每個檔案的最短路線，得出讀取多個檔案時，最佳的讀取順序。</p> <p>Spectra Logic提供的實測結果顯示（100MB檔案隨機讀取，最多500個檔案），TAOS可以縮短4倍的讀取時間，並縮短13倍的磁帶移動距離。</p> <p>不過Spectra Logic的TAOS技術，須配合磁帶機內整合的專屬磁帶櫃處理器來運作，所以也只適用於該公司的磁帶櫃產品，而不適用於一般的LTO磁帶機。</p> <p>至於使用最普遍的LTO磁帶方面，一直沒有RAO之類的功能，直到新近推出的LTO-9，才正式引進開放建議存取順序（oRAO）功能，讓一般LTO磁帶機也具備離散資料存取排序最佳化技術。</p> <p>依據IBM的LTO磁帶機操作文件（IBM除了自身專屬的3592磁帶以外，也是LTO磁帶機的主要供應商之一），oRAO基本上可視為IBM 3592系列磁帶的RAO功能，移植到LTO上的「開放」版本，運作原理與操作指令都相同，IBM宣稱藉由oRAO技術，可讓存取時間減少73%之多。</p> <p>當LTO-9引進oRAO功能，也讓LTO與IBM 3592兩大主流磁帶規格，都具備了同樣的離散資料存取最佳化功能。</p> <p>但要注意的是，若RAO、oRAO或TAOS這類技術需發揮效用，主機端應用程式（備份或歸檔管理軟體）須支援GRAO、RRAO等指令，才能啟用磁帶機上的RAO或oRAO功能。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 磁帶的基本構造 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2022年5月</span></p> <p><strong>磁帶離散存取效能低落源自磁帶先天架構，所以若要理解RAO技術如何解決這問題，須先認識磁帶基本構造。</strong></p> <p><strong>以LTO-8磁帶為例，磁帶上下兩端邊緣被用於磁頭定位的伺服帶（servo band）占用，在伺服帶中間共含用於記錄資料的6,656條資料磁軌（track），這些磁軌分為208條線帶（Wrap），其中104條是由前往後正向記錄資料，其餘是由後往前反向記錄資料。而磁帶讀寫磁頭一次只能覆蓋讀取1/4寬度的磁帶，也就是52條線帶（Wrap），這樣一個讀取單位被稱為條帶（Band），整個磁帶一共分為4個條帶，讀寫頭必須上下移動覆蓋寬度，才能讀取到整個磁帶寬度。</strong></p> <p><strong>由於磁帶是以線性方式，捲動磁帶到讀寫頭的位置上存取，所以，當讀寫頭從一條線帶（Wrap）移動到相同方向的另一線帶時，由於不需要倒轉捲動磁帶，因而要比移動到另一方向的線帶更快。而在同一條帶（Band）內的線帶（Wrap）之間移動時，由於都在讀寫頭覆蓋範圍內，不需要移動讀寫頭覆蓋的範圍，因而也比移動到另一條帶時更快。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 磁帶離散存取效能低落的問題 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2022年5月</span></span></p> <p><strong>當應用程式要讀取離散磁帶中的多個檔案時，若用傳統的線性循序存取方式，將會遭遇嚴重的效率低落問題。</strong></p> <p><strong>以上圖為例子，依序讀取A到F這6個分散檔案，首先須耗費時間T1捲動幾乎整個磁帶的長度（960公尺），才能讀取到檔案A，接著又要耗費T2時間，倒轉幾乎整個磁帶的長度來讀取檔案B，然後又須倒帶捲動大半個磁帶長度來讀取檔案C，依此類推。若讀取6個檔案在搜尋與定位耗費的總體時間，約等於捲動5千公尺長度磁帶的時間。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> </span><img alt="" src="file:///I:/%E6%88%91%E7%9A%84%E9%9B%B2%E7%AB%AF%E7%A1%AC%E7%A2%9F/iThome%E7%B7%A8%E8%BC%AF%E9%83%A8%E5%B7%A5%E4%BD%9C%E5%8D%80/%E7%A8%BF%E8%B2%BB%E8%A8%88%E7%AE%97%E7%94%A8%EF%BC%9A5%E6%9C%88%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94/1078%E6%9C%9F-0520%E5%87%BA%E5%88%8A/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%AE%97%E7%BF%B0V7_OK-web-resources/image/Dot-W3.png" /><span style="background-color:#3399ff;">透過最佳化排序來存取離散檔案 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX3.jpg" style="width: 598px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2022年5月</span></span></p> <p><strong>透過RAO、oRAO、TAOS這些技術，可以算出存取離散檔案的最佳順序，從而大幅縮短資料搜尋與重新定位的時間。</strong></p> <p><strong>以上圖為例，耗時最短的存取順序，應先讀取檔案F、然後是檔案B，再來依序是D、C、E、A，總計只要耗費略多於捲動1000公尺磁帶的時間。比起從A到F的線性順序讀取方式，改用這個調整後的存取順序，同樣能讀取全部檔案，但總體時間至少節省70%以上。</strong></p> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-IBM%203592.png" style="width: 600px;" /></div> <p><span style="color:#696969;"><strong>率先引進RAO技術的IBM 3592家族<br /> IBM 3592磁帶機家族的第4代產品TS1140，率先引進「建議存取順序（RAO）」技術，可以顯著改善讀取多個離散分布檔案的效率，這個磁帶機家族接下來的TS1150、TS1155與TS1160等產品，也都支援這個功能。</strong><span style="font-size:14px;">圖片來源／IBM</span></span></p> <div class="rtecenter"><span style="color:#696969;"><strong> <img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-Spectra%20Logic.png" style="width: 331px;" /></strong></span></div> <p><span style="color:#696969;"><strong>提供專屬TAOS技術的Spectra Logic磁帶設備<br /> Spectra Logic的磁帶櫃產品T950，以及TFinity ExaScale系列，內含「基於時間的存取順序系統（TAOS）」技術，可以提供與RAO技術相同的多重檔案存取排序最佳化功能。</strong><span style="font-size:14px;">圖片來源／Spectra Logic</span></span></p> <div class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-LTO-9%E7%A3%81%E5%B8%B6.png" style="width: 600px;" /></strong></span></div> <p><span style="color:#696969;"><strong>導入oRAO技術的LTO-9磁帶<br /> 在使用最普遍的LTO磁帶方面，到了最新一代的LTO-9，也終於引進「開放建議存取順序（oRAO）」技術，與IBM 3592系列具備同樣的多重檔案存取加速能力。</strong></span><span style="font-size:14px;">圖片來源／IBM</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BB%BA%E8%AD%B0%E5%AD%98%E5%8F%96%E9%A0%86%E5%BA%8F">建議存取順序</a></div><div class="field-item odd"><a href="/tags/rao">RAO</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6%E5%AD%98%E5%8F%96%E5%8A%A0%E9%80%9F%E6%8A%80%E8%A1%93">磁帶存取加速技術</a></div></div></div>
2022/5/20 11:14作者張明德https://www.ithome.com.tw/tech/150943
Firefox開始Manifest v3開發者預覽計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox對瀏覽器擴充套件規格Manifest v3的支援做出調整，並從即日起開始Manifest v3<a href="https://blog.mozilla.org/addons/2022/05/18/manifest-v3-in-firefox-recap-next-steps/">開發者預覽計畫</a>，以收集Firefox使用者對Manifest v3實作的意見。</p> <p>Manifest v3的發展，在過去一年發生許多變化，W3C下成立了社群小組已推動跨瀏覽器網頁擴充套件WebExtensions（WECG），因此Firefox如果依照過去對Manifest v3的實作，亦即支援Manifest v3，並且以Service Worker作為Background Page的替代品，這將會使許多使用案例面臨風險。因此Mozilla便在WECG中提案Event Pages，作為Background Page的替代，而這項作法受到社群的歡迎，也在Safari中獲得Apple的支持。</p> <p>在2018年的時候，Chrome發布了Manifest v3，隨後微軟更採用Chromium作為新瀏覽器Edge的基礎，而以Chromium為基礎的瀏覽器市占突然大幅提升，Mozilla提到，Manifest v3勢必會成為瀏覽器擴充套件的標準。</p> <p>Manifest v3適用於基於Chromium的Chrome、Edge與Opera，以及非Chromium陣營Safari和Firefox等瀏覽器。Mozilla表示，雖然他們的目標是想維持Firefox、Safari和Chromium瀏覽器擴充套件間的相容性，但是在Manifest v3的實作上，價值觀與其他供應商存在分歧，因此在實作上會與Chrome和Safari不同。</p> <p>在Firefox中，Manifest v3將成為WebExtensions的下一代更新，官方提到，因為Manifest v2架構的限制，使得目前有一些問題難以解決，而引入Manifest v3則剛好是做出改變的機會。擴充套件中的核心是Background Page，該元件必須在執行時持續存在，但因為記憶體和部份平臺（如Android）的限制，難以保證Background Page的狀態，有時不可避免地被終止。</p> <p>在Manifest v3中，Mozilla採用了一種新架構，使得後臺腳本能夠被重新啟動，而為了支援這項新設計，Mozilla也重新設計現有API，使擴充套件能夠不需要後臺腳本，直接宣告瀏覽器的行為。擴充套件的另一個核心部分是內容腳本，該腳本直接與網頁互動，Mozilla設計了一個能夠阻擋不安全行為的新方法，在擴充套件API中，取消基於字串的程式碼執行。</p> <p>Chrome採用Manifest v3中最具爭議的變化是取消阻擋WebRequest，Mozilla提到，雖然這作法提供一定程度的功能和靈活性，但是對於隱私和內容阻擋應用也造成衝擊。對此，Mozilla會在Manifest v3中繼續支援阻擋WebRequest，並且最大程度相容於其他瀏覽器，也確保內容攔截器和其他該API能夠執行無礙，畢竟內容阻擋是當前瀏覽器擴充套件的重要應用。</p> <p>Chrome的Manifest v3版本，加入了Background Service Worker作為Background Page的替代，出於相容性原因，Mozilla也在Firefox中擴充Service Workers，但因為Service Workers無法完全支援Firefox的重要用例，尤其是在DOM相關的特性和API方面。</p> <p>因此在Firefox將會支援Event Pages，並且在Firefox現在的開發者預覽版中，先不加入Service Workers，目的是要讓開發人員可以先移植Background Page支援Manifest v3，並且保留Manifest v2中所有DOM相關功能的存取權限。</p> <p>Mozilla現在釋出Manifest v3開發者預覽版本，以收集開發者對Manifest v3實作的意見，並預計將會在2022年底之前，向所有用戶提供Manifest v3的支援。</p> </div></div></div>
2022/5/20 10:29作者李建興https://www.ithome.com.tw/news/150995
深度學習框架PyTorch在Mac上也可使用GPU加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>深度學習框架PyTorch與Apple的Metal繪圖API團隊合作，開始<a href="https://pytorch.org/blog/introducing-accelerated-pytorch-training-on-mac/">在Mac上的PyTorch訓練支援GPU加速</a>，使得PyTorch訓練速度比原本僅使用CPU快上數倍，而這改進Mac執行機器學習工作流程的能力，使得開發者能夠在本地端更順暢地進行模型原型設計和微調。</p> <p>過去Mac上的PyTorch訓練僅能利用CPU進行運算，但在即將發布的PyTorch v1.12版本中，開發者可以使用Apple Silicon GPU來顯著加速模型訓練。PyTorch團隊解釋，加速GPU訓練使用Apple的渲染器Metal Performance Shaders（MPS）作為後端實作，MPS後端擴充了PyTorch框架，在Mac上提供腳本和功能以配置和執行運算。</p> <p>由於每臺Apple Silicon裝置都有統一的記憶體架構，GPU能夠直接存取完整的記憶體儲存，官方提到，這使得Mac更適合用於機器學習開發，開發者能夠在本地端訓練更大的網路，降低雲端開發成本，以及對額外本地端GPU的需求，而且統一記憶體架構也減少了資料檢索延遲，提高端到端效能。</p> <p>根據PyTorch團隊的測試，在GPU上進行模型訓練和評估的速度，都比CPU基準高上不少。</p> <p class="rtecenter"><img alt="" src="https://pytorch.org/assets/images/METAPT-002-BarGraph-02.gif" style="width: 580px;" /></p> <p>PyTorch開發者想要在Mac上用到GPU加速的功能，需要執行macOS 12.3或更高版本，且安裝arm64原生版本Python的Apple Silicon Mac，PyTorch則需要即將發布的PyTorch v1.12，該版本目前正在預覽階段。</p> </div></div></div>
2022/5/20 10:31作者李建興https://www.ithome.com.tw/news/150998
日經亞洲分公司遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware" target="_blank">日本媒體日經本周表示</a>，日經集團（Nikkei Group）位於新加坡的亞洲分公司於近日遭到勒索軟體攻擊。</p> <p>日經集團亞洲分公司表示，該公司一臺伺服器上周五（5/13）遭到未授權存取，引發IT部門調查而發現是勒索軟體。日經亞洲表示他們已立即關閉該臺伺服器防止感染擴大，也已向集團及公司人事資料保護主管提出報告。</p> <p>日經表示，遭到存取的伺服器可能包含客戶資料，該公司正在評估事件影響範疇。初步調查證實沒有資料外洩。</p> <p><a href="https://www.nikkei.co.jp/nikkeiinfo/en/news/announcements/954.html" target="_blank">這家日本媒體巨擘除了表示</a>將配合和有關單位合作啟動調查，也承諾將致力解決此次事件。</p> </div></div></div>
2022/5/20 11:06作者林妍溱https://www.ithome.com.tw/news/151018
國泰金控打造數據平臺基礎建設，要擴散應用至3大生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日（5/19）分享自家數據平臺基礎建設發展歷程，從最早期用資料倉儲收集內部資料、採用BI工具分析，一步步導入開源大數據分析平臺Hadoop、自建機器學習平臺和數據中臺，來打造前端業務新工具。這些平臺產出的前端應用，可分為客戶新經營模式、客戶體驗升級，以及數據共享平臺3大類別，這些類別各有其應用，比如，客戶新經營就包含智能商險平臺、客戶智能全視圖，客戶體驗則有智能數據應用平臺與BeSafe電商式投保平臺，而數據共享平臺則涵蓋地理資訊分析平臺、開放資料雲等。</p> <p><span style="font-size:22px;"><strong>從資料倉儲擴展到Hadoop，再自建ML平臺、數據中臺</strong></span></p> <p>國泰金控旗下數位數據暨科技發展中心（數數發），是專門推動集團數據基礎建設和數據應用的團隊，數數發數據科技發展部專案經理洪采襄表示，5、6年前，國泰金控和大多數企業相同，都只有資料倉儲來處理內部資料，如客戶資料、客戶行為軌跡、集團往來資料，而業務人員和分析人員主要透過BI工具來分析、產出報表，或是以此進行資料探勘。</p> <p>後來，國泰金控為進行數位轉型，開始從使用者角度思考，重新設計數據平臺。首先，他們導入了開源大數據分析工具Hadoop，來儲存更大量、結構化和加值數據，像是外部爬蟲資料、外購資料、異業交換資料等，並建置機器學習平臺，讓資料科學家運用這些資料，來訓練模型、進行預測，或是根據自身需要，來開發小工具和服務。這些機器學習平臺產出的AI模型和分析成果，都可用來解決前端業務需求。</p> <p>與此同時，為進一步運用Hadoop上的加值資料和機器學習平臺模型，數數發打造了數據中臺，來提供前端即時預測服務，並維持後端數據平臺的穩定。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B04.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例1：智能商險平臺</strong></span></p> <p>有了這些關鍵平臺，數數發也打造不少前端應用，其中最有代表性的有智能商險平臺、智能數據應用平臺和地理資訊分析平臺。</p> <p>智能商險平臺屬於客戶新經營模式類別，它的用意是，簡化商業保險作業流程、降低銷售門檻，提高核保作業效率。進一步來說，原本商業險投保的結構複雜，需要紙本作業和大量人工審查，對人才而言，保險公司也得花大量時間才能訓練出合格的業務人員。</p> <p>為解決這個痛點，國泰金控從IT面和業務流程面下手。在IT面部分，這個商險平臺可分為3大部分，包括產品後臺、服務中臺、通路前臺，其中，在產品後臺部分，數數發利用爬蟲技術和開源流程管理工具Airflow，來納入財政部稅籍登記資料，方便在顧客填寫資料的同時，由系統自動帶入法人基本資訊，降低人工誤判風險，也能降低業務人員的詢問時間。</p> <p>特別的是，他們特別建置服務中臺，將不同功能的微服務模組置於其中，像是公開資料智能帶入、風險評分模型、地理資訊模組等，來快速因應市場變化需求、彈性擴充。</p> <p>而通路平臺則是智能商險平臺網站，包含保險銷售和風險審核2大功能。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B03.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例2：智能數據應用平臺</strong></span></p> <p>再來是屬於客戶體驗升級類別的智能數據應用平臺，這是國泰金控正在打造的跨子公司一站式行銷平臺，專門給內部行銷人員使用。這是因為，過去，行銷人員在整合行銷流程中，遇到不少斷點，比如行銷名單產製、成效追蹤等，都是獨立運作的流程，資料不互通。</p> <p>為解決問題，數數發先是整合了多種數據，如用戶屬性、產品持有和數位足跡等，來降低分析門檻。接著，數數發也預先在客戶資料貼標、進行數位辨識，完成基本的數據處理後，行銷人員就能透過團隊打造的視覺化平臺，來探究顧客樣貌、了解偏好，並比對不同客群的樣態差異。</p> <p>有了特定的客群名單，行銷人員就能透過系統自動化串接，來進行名單廣告投放，而投放成效，也會整合至內部資料庫，讓行銷人員在同一平臺上追蹤，並調整行銷策略。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B02.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例3：地理資訊分析平臺</strong></span></p> <p>第3個是屬於數據共享平臺類別的地理資訊分析平臺，該平臺由金控數據團隊打造，目的是要將地理資訊、空間思維、平臺記錄導入集團各子公司，讓平臺使用者根據地理空間的變化，來制定商業決策。</p> <p>洪采襄表示，金融機構擁有大量地理資訊，比如客戶地址、消費地點、營業據點等，但這些資料，在過去並未妥善利用，而現在，正好出現許多有價值的地理資訊，像是捷運站、公車站、消防據點等公開資料，又或是第三方業者整理的外購資料，如興趣點位、人流、車流資料。</p> <p>國泰金控第一步，就是整合這些內外部地理資料，來計算綜合性價值指標，像是交通便利度指標、商業繁榮度指標，接著，開發團隊建置一款互動式視覺化平臺，來讓決策人員探索，降低地理資料使用門檻。最後，這些應用產出，就可用於國泰集團內的商業情境，比如營業據點規畫、保險風險評估、房屋建價等。這就有助於國泰挖掘潛在顧客，或改善既有顧客黏著度、顧客經營。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0.png" /></p> <p>最後，國泰金控也希望，將數據平臺支撐的客戶新經營模式、客戶體驗升級、數據共享平臺3大類別應用，向外擴大到生態圈，特別是出行旅遊生態圈、購物電商生態圈，以及健康醫療生態圈，要打造未來金融服務新標杆。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B05.png" /></p> </div></div></div>
2022/5/19 18:42作者王若樸https://www.ithome.com.tw/news/151001
【資安日報】2022年5月19日，駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前不少駭客針對非關連式資料庫下手，但鎖定SQL Server的攻擊行動並未就此消聲匿跡。微軟最近提出警告，指出他們偵測到利用SQL Server內建的公用程式SQLPS.EXE的攻擊行動，駭客這麼做的原因，就是為了避免在受害伺服器上留下事件記錄。</p> <p>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，但這起事件似乎變得更加嚴重。駭客近期大幅提高贖金要求，並恐嚇再不付錢就會刪除解密金鑰。</p> <p>WordPress外掛程式的重大漏洞也相當值得留意。昨天我們報導了網頁圖像化建置套件Tatsu Builder的重大漏洞，今天則是佈景主題外掛程式JupiterX、Junipter的漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-brute-force-attacks-targeting-mssql-servers/"><span style="color: rgb(0, 0, 0);">駭客鎖定SQL Server進行寄生攻擊，透過公用程式執行PowerShell指令碼，可躲避系統事件記錄而不會留下足跡</span></a></strong></h3> <p>針對SQL Server伺服器下手的攻擊行動近期再度出現，而且是利用公用程式來進行。微軟於5月18日提出警告，他們近期發現到鎖定SQL Server的攻擊行動，駭客藉由暴力破解的方式入侵這些資料庫系統，然後透過內建的PowerShell命令列公用程式SQLPS.EXE來執行PowerShell命令，以進行寄生攻擊（LOLBin），而不會在受害的伺服器上留下事件記錄。</p> <p>研究人員指出，透過這樣的攻擊手法，駭客不只能夠長期滲透SQL Server，還能建立新的使用者帳號，並配置管理員權限，進而接管整個SQL Server系統。研究人員認為，上述攻擊行動的發現，突顯管理者需要掌握指令碼執行動態的重要性。資安新聞網站Bleeping Computer則認為，管理者也應從強化密碼管理著手，來防範SQL Server遭到入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/ransomware-gang-threatens-to-overthrow-new-costa-rica-government-raises-demand-to-20-million/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti提高對哥斯大黎加的贖金，煽動推翻政府</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg" style="width: 300px; float: right;" /></a>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，使得該國新任總統於5月8日上任隨即宣布全國進入緊急狀態，而這起事件最近又有了新的進展。根據資安新聞網站Recorded Future的報導，勒索軟體駭客約於5月15日，將贖金從原先的1千萬美元加倍為2千萬美元，並煽動該國民眾叫政府趕快支付贖金，揚言若不給錢，將於7天內刪除解密金鑰，這可能意味著連駭客自己也沒辦法解開遭加密的檔案。</p> <p>此外，這些駭客也宣稱，他們這麼做的目的是要透過網路攻擊，來推翻新總統的政權。自先前遭到勒索軟體攻擊後，哥斯大黎加政府目前仍尚未恢復正常運作，該國財政府於5月13日表示，報稅需人工計算，且民眾必須透過銀行繳納。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-space-pirates-are-hacking-russian-aerospace-firms/"><span style="color: rgb(0, 0, 0);">中國駭客鎖定俄羅斯航太產業下手，植入多種惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png" style="width: 300px; float: right;" /></a>中國與俄羅斯之間的關係匪淺，被認為彼此交好，而在烏克蘭戰爭尚未落幕的此刻，中國駭客鎖定俄羅斯攻擊行動，近期竟時有所聞，而最近更鎖定該國的航太產業下手。</p> <p>資安業者Positive Technologies指出，他們從去年夏天開始，發現名為Space Pirates的中國APT駭客組織從事的間諜行動，該組織自2019年對於俄羅斯4個實體下手，並使用了相同的惡意軟體與基礎設施，其中兩起行動涉及該國政府參與的俄羅斯企業。</p> <p>研究人員指出，其中一起攻擊行動裡，駭客在10個月內接連存取20臺伺服器，竊取逾1,500份文件，以及員工個資等敏感資料；而在另一起攻擊事件中，駭客停留在受害組織的網路超過一年，並進行竊密的工作，同時將惡意軟體安裝到3個分公司、12個網路節點。</p> <p>而這些駭客所使用的惡意軟體，包含了多個中國駭客組織採用的PlugX、ShadowPad等，以及3個過往未曾出現過的Deed RAT、BH_A006，以及MyKLoadClient，它們分別被用於竊密、繞過資安防護系統，以及透過DLL側載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf"><span style="color: rgb(0, 0, 0);">北韓IT人士埋伏全球企業，協助駭客進行網路攻擊</span></a></strong></h3> <p>出身北韓的IT人士遭他國政府懷疑可能會與母國的國家駭客聯手，以利網路攻擊。美國國務院、美國財政部，以及美國聯邦調查局（FBI）聯手，於5月16日發布資安通告，警告全球組織要小心北韓政府派出的IT人才，這些人士會透過自由工作者招募平臺、社群網站等管道謀職，一旦組織不慎錄用這些人士，就有可能面臨資料外洩或是資金遭竊的風險，甚至有可能因此變成美國與聯合國制裁的對象，除此之外，這些人士也可能與北韓駭裡應外合。</p> <p>美國政府也提供這類人士的識別方法，要組織提高警覺。例如，會要求使用支付平臺轉帳薪資，或是以加密貨幣領取薪資，還有面試者很可能會在短時間內，從不同地區多次登入相同的帳號，很有可能就是上述可能會造成組織危害的北韓IT人員。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/critical-privilege-escalation-vulnerability-in-jupiter-and-jupiterx-premium-themes/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式JupiterX、Junipter存在重大漏洞，恐被駭客用來接管網站</span></a></strong></h3> <p id="Zyxel">WordPress佈景主題外掛程式存在的重大漏洞，很可能讓駭客得以控制整個網站。資安業者Wordfence指出，WordPress外掛程式JupiterX、Junipter，存在CVSS風險層級達9.9分的重大漏洞，攻擊者一旦利用這項漏洞，可在經過身分驗證的情況下，獲得管理者的權限，進而可能竄改網站內容、注入惡意指令碼等攻擊行為。</p> <p>這項漏洞與名為uninstallTemplate的函式有關，用途是在管理者移除佈景主題後重設相關版面配置，但這個函式會把使用者的權限提升為管理員，如果有登入網站的使用者發送含有action參數的AJAX請求，就有可能在沒有通過其他檢查情況下，成功提升權限。開發商ArtBees獲報後，於5月10日發布JupiterX 2.0.8、Junipter 6.10.2修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-critical-auth-bypass-flaw-in-multiple-products/"><span style="color: rgb(0, 0, 0);">VMware修補旗下產品的身分驗證繞過漏洞，美國要求公部門限期完成修補</span></a></strong></h3> <p id="Zyxel">自4月初VMware修補旗下身分驗證平臺重大漏洞CVE-2022-22954，不久後陸續出現數起漏洞攻擊事件，使得美國政府繃緊神經，對於相關系統的重大漏洞緊急要求修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）於5月18日發布緊急指令22-03，要求該國各行政機關必須在5月23日前，修補VMware同日發布修補程式的漏洞CVE-2022-22972、CVE-2022-22973。其中，比較值得注意的是CVE-2022-22972，該漏洞屬於身分驗證繞過漏洞，攻擊者可用於取得受害系統的管理者權限，CVSS風險層級達9.8分，該公司旗下的Workspace ONE Access、Identity Manager，以及vRealize Automation都存在上述漏洞。</p> <p>CISA表示，有鑑於CVE-2022-22954遭到利用的經驗，他們才會以緊急指令的方式，要求聯邦機關在5天內進行處理，若無法修補，機關也應暫時將該系統移除組織的網路環境。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/05/15/technical-advisory-tesla-ble-phone-as-a-key-passive-entry-vulnerable-to-relay-attacks/"><span style="color: rgb(0, 0, 0);">研究人員揭露可以透過藍牙進行中間人攻擊的手法，能遠端偷走特斯拉汽車或打開智慧門鎖</span></a></strong></h3> <p id="Zyxel">電動汽車提供能以手機App作為遙控器，透過藍牙解鎖車門，可說是相當普遍，但也有可能成為駭客進行中間人攻擊（MitM）的對象。</p> <p>資安業者NCC Group於5月16日指出，他們發現了能夠解鎖特斯拉Model 3、Model Y的藍牙漏洞，研究人員利用iPhone手機與Model 3汽車進行實驗，結果發現，他們藉由自行打造的延遲訊號中繼設備，使得手機超出藍牙通訊的距離，仍能成功解鎖車輛。而這樣的藍牙通訊弱點也存在於智慧門鎖，該公司也成功在Kevo系列智慧鎖上，利用類似的方法在遠端開啟門鎖。此外，這種弱點亦可能存在於透過手機App解鎖的門禁系統、筆電等設備。</p> <p>研究人員認為這不完全是藍牙規格上的缺陷，而是藍牙身分驗證機制原本並非為重要系統規畫。他們為設備製造商、系統業者，以及使用者提出緩解建議，可透過調整相關的配置來防範這類遠端中間人攻擊手法，並通報特斯拉，以及智慧門鎖製造商Kwikset與Weiser。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/19 18:24作者周峻佑https://www.ithome.com.tw/news/151000
Google揭露最新入門手機Pixel 6a，如何結合自家Tensor晶片將高階手機的相機、節能功能讓更多人體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出Pixel 6與6 Pro手機之後，Google在上周I/O大會再推出入門手機Pixel 6a，同樣採用Google自行設計的Tensor晶片，但6a在售價更為親民，定位為Pixel入門手機，包括臺灣在內將在7月底開始銷售。參與手機設計的Google臺灣團隊解密Pixel 6a的設計理念，揭露Google的理念，以及如何將高階手機功能體驗帶到入門手機，讓更多人得以使用。</p> <p>去年Google推出Pixel 6與Pixel 6 Pro，為突顯自家高階Pixel手機與其他旗艦手機的不同，Google首次在這兩款手機上採用自研設計的Tensor SoC晶片，結合演算法、AI、ML等技術，提升相機拍照、自然語言及語音辨識能力，彰顯Google最新的手機應用體驗。不過，首波搭載Tensor晶片的兩款Pixel手機價位偏高，Pixel 6定價約1.9萬起，而更高階的Pixel 6 Pro則是2.7萬元以上，可能讓許多人望而卻步。</p> <p>今年Google I/O大會，Google一如既往展示最新技術發展，也發表了售價約1.4萬元更為親民，定位在入門級手機的Pixel 6a，這款入門級最新Pixel手機降低硬體規格，包括採用較小的6.1吋螢幕，後置主相機也從5,000萬畫素降至1,220萬池，並省略了超廣角鏡頭的設計。內電池容量降至4,410mAh，內部記憶體也降為6GB，搭配128GB儲存容量，但是和高階Pixel 6、Pixel 6 Pro同樣搭載Tensor晶片，承襲Google高階手機才有的功能。</p> <p>今天Google臺灣團隊對外解密Pixel 6a的設計理念，Google手機硬體專案經理劉兆洋表示，臺灣目前已是Google在美國以外最大的硬體研發基地，臺灣團隊在Google Pixel手機研發扮演重要角色，也是Pixel 6a研發背後的重要推手。臺灣團隊從Pixel 6a最前端的產品設計開發，到後端的生產營運，包含中間的硬體設計、可靠性測試、軟體性能調校測試都有參與，Pixel 6a主打的功能，例如相機、聲音、效能、安全性及軟體功能，臺灣的團隊都有很多貢獻。</p> <p>劉兆洋指出，Google硬體部門的願景是結合AI、軟體與硬體，提供最實用的使用者體驗，Pixel a系列定位在入門豪華級手機，其設計理念是以實惠的價格，盡可能提供結合Google人工智慧、軟體加硬體的Pixel使用體驗給廣大的使用者，以實現普惠運算的願景。</p> <p>他表示，入門手機Pixel 6a的設計也圍繞著Tensor晶片開發，這顆晶片可視為專門用於影像運算、自然語言處理，以及運算與安全性設計的手機大腦。透過這個大腦，實現Pixel手機更好的相機、即時翻譯功能、即時字幕等功能，相較於先前a系列也有更好的電池續航力。雖然手機的硬體規格降階，但Pixel 6a的效能測試，跑分表現與Pixel 6相近。</p> <p>Pixel 6a採用Google自家研發的Tensor晶片，使用和高階的Pixel手機相同的智慧中樞，劉兆洋指出，將旗艦級手機才有的功能，近乎100%帶到入門級Pixel手機上，例如拍照的人臉清晰功能，或是魔術橡皮擦功能，能偵測照片中可以抹除的物品，例如路人或是電線桿，以及在夜晚或昏暗環境使用的夜視拍照模式，還有不需連網的手機即時翻譯。其他還有自然調節電池用量、超級省電模式等等。Pixel 6a也與其他Pixel手機一樣，擁有3年的系統更新，5年安全更新。</p> <p>去年，Google首次在Pixel 6、Pixel 6 Pro中高階手機上，搭載自家研發的Tensor晶片，目的便是強化Pixel手機的AI與ML應用。去年臺灣的工程團隊曾對外說明，這顆Google自研的Tensor晶片如何被用來改善Pixel手機的使用體驗，例如手機拍照時，能根據物品的不同，例如人物的膚色或是拍攝場景自動調整，以產生清晰明亮的影像。除了加快AI、ML處理速度，透過這個智慧中樞取代一般CPU，以更省電的方式執行語音辨識、影像處理。</p> <p>在語音辨識應用上，可辨識、理解每個語句的意思，更快喚醒Google語音助理；而以往線上翻譯需要連網，將內容送到雲端處理，再將翻譯後的內容送回到手機，過程可能導致延遲等待，Tensor晶片可處理自然語言模型，手機不需連網就能即時翻譯。</p> <p>Google去年推出Pixel 6與Pixel 6 Pro，以高階硬體規格結合Google自研Tensor晶片，展示Google最新旗艦手機軟硬體效能與智慧應用體驗；今年Google推出入門手機Pixel 6a，降低手機硬體規格，以更親民價格推出，同樣採用Tensor晶片，透過軟體調校縮小硬體差異的方式，將Google最新的智慧手機功能體驗帶給更多人。</p> <p> </p> </div></div></div>
2022/5/19 18:47作者蘇文彬https://www.ithome.com.tw/news/150999
美國要求聯邦機構要在5天內修補VMware的兩個新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vmware.com/security/advisories/VMSA-2022-0014.html" target="_blank">VMware在5月18日發布安全公告</a>，修補了CVE-2022-22972與CVE-2022-22973兩個安全漏洞。有鑑於VMware於今年4月修補的兩個安全漏洞在發布48小時內就遭到開採，美國國土安全部旗下的網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.cisa.gov/emergency-directive-22-03" target="_blank">在5月18日同步釋出了緊急指令22-03（Emergency Directive 22-03）</a>，要求美國聯邦各行政機構必須在5月23日以前修補這兩個新漏洞。</p> <p>其中，CVE-2022-22972屬於認證繞過漏洞，允許未經身分認證的駭客取得管理存取權限，其CVSS風險評分高達9.8，波及VMware Workspace ONE Access、Identity Manager與vRealize Automation等產品；CVE-2022-22973則為本地端權限擴張漏洞，允許具備本地端存取權限的駭客將權限擴大至根權限，CVSS風險評分為7.8，影響VMware Workspace ONE Access與 Identity Manager。</p> <p>一般而言，CISA通常會把已經遭到開採的安全漏洞納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄，再要求聯邦組織限期改善，而期限多落在21天，然而，這次CISA卻透過緊急指令，要求聯邦組織要在5天內修補這兩個尚未出現攻擊行動的安全漏洞。</p> <p>CISA說明，VMware曾於4月6日修補遠端程式攻擊漏洞CVE-2022-22954及權限擴張漏洞CVE-2022-22960，但在修補程式出爐之後，駭客便透過反向工程打造了這兩個漏洞的攻擊程式，旋即於48小時內展開攻擊，但CISA一直到一周後才得知攻擊行動，分別在4月14日與15日將它們列入「已知遭開採漏洞」目錄，要求聯邦組織於5月5日及6日之前進行修補。</p> <p>CISA依據CVE-2022-22954與CVE-2022-22960的發展經驗，再加上這次所修補的CVE-2022-22972與CVE-2022-22973兩個漏洞所波及的軟體廣泛存在於聯邦組織中，非常可能被用來危害聯邦組織的資訊系統，認為這是無法接受的風險，因而發出緊急指令。</p> <p>總之，美國聯邦組織必須在5月23日以前部署這兩個漏洞的安全更新，或者是暫時將受到影響的軟體移出組織網路，一直到修復為止。</p> </div></div></div>
2022/5/19 16:31作者陳曉莉https://www.ithome.com.tw/news/150996
美國身分認證服務ID.me的人臉辨識遭參議員質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得美國國稅局（IRS）今年1月<a href="https://www.ithome.com.tw/news/149003" target="_blank">宣布要與ID.me合作</a>，以人臉辨識作為使用者登入國稅局服務的身分認證機制，<a href="https://www.ithome.com.tw/news/149246" target="_blank">最後卻夭折</a>嗎？當初反對國稅局作法的美國參議院財政委員會主席<a href="https://www.wyden.senate.gov/news/press-releases/wyden-colleagues-urge-ftc-to-investigate-idme-for-deceptive-statements-about-facial-recognition" target="_blank">Ron Wyden本周去信要求聯邦交易委員會（FTC）針對ID.me展開調查</a>，認為ID.me提供了有關人臉辨識的不實陳述，才讓該公司贏得了許多美國政府的合約。</p> <p>ID.me為美國的安全數位身分認證網路供應商，迄今已與美國27州、多個美國聯邦組織，以及超過500個品牌合作，提供存取各式服務的身分認證服務，不管是美國的社會安全局、國稅局、退伍軍人事務部或是美國專利暨商標局都是ID.me的客戶。</p> <p>ID.me其中一項認證使用者身分的方式為人臉辨識，但標榜採用一對一的人臉辨識，亦即將使用者所自拍的照片與政府所頒發的身分證進行比對，而不採行一對多（以使用者照片比對含有大量照片的資料庫）的辨識方式，並曾公開批評一對多的手法可能危害使用者隱私。</p> <p>然而，Wyden卻發現，ID.me執行長Blake Hall曾在LinkedIn上透露，該公司在執行身分認證程序時，也會利用一對多的人臉辨識技術，而且該公司之前的部落格文章，也曾提及使用一對多人臉辨識技術，後來才加以修改。</p> <p>這都讓Wyden認為ID.me是故意誤導使用者，也可能造成美國官員的誤信，而讓ID.me成為美國多個政府服務的身分認證供應商，屬於欺騙與不公平的商業行為，因而要求FTC展開調查。</p> <p>除了Wyden之外，另外3名美國參議員Cory Booker、Edward Markey與Alex Padilla也都在信件上簽名，支持FTC展開調查。</p> </div></div></div>
2022/5/19 16:50作者陳曉莉https://www.ithome.com.tw/news/150997
中國再度成為全球第二大比特幣挖礦中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府於去年6月以斷電的方式，大刀闊斧地<a href="https://www.ithome.com.tw/news/145150" target="_blank">關閉境內及全球最大的四川比特幣礦場</a>，宣誓其極力掃盪境內挖礦活動的決心，使得中國占全球比特幣挖礦比例從5月的53%，<a href="https://www.ithome.com.tw/news/147262" target="_blank">到7月直接降至零</a>，然而，<a href="https://ccaf.io/cbeci/mining_map" target="_blank">劍橋大學賈吉商學院新興金融研究中心（Cambridge Centre for Alternative Finance，CCAF）最新的資料顯示</a>，中國比特幣挖礦能力快速復甦，今年1月又回到21.11%，成為全球第二大比特幣挖礦中心，僅次於美國的37.84%。</p> <p>根據CCAF的比特幣電力消耗指數（Cambridge Bitcoin Electricity Consumption Index，CBECI），去年全球的比特幣網路仍在努力應對中國禁止境內挖礦的後果，顯示全球比特幣的挖礦效能（Hash Rate）在6月27日觸底，為每秒57.47 Exahashes（EH/s），然而，隨著礦工開始將業務轉移至海外，去年底時全球的比特幣挖礦效能即幾乎恢復到禁令前193.64 EH/s的水平，且此一上升軌跡持續至今年，更於今年2月達到248.11 EH/s的歷史新高，意謂著比特幣的挖礦業務具有相當大的彈性與靈活性。</p> <p>在今年1月的調查中，美國的挖礦效能達71EH/s，有過半集中在喬治亞州（30.76%）、德州（11.22%）與肯德基州（10.93%），原因是這些州別具備相關低成本的電力，可用的代管容量，以及相對友善的法令，紐約州與加州也分別占了9.77%與7.9%。</p> <p>至於中國的挖礦效能則在去年9月便飆升至30.47 EH/s，並持續成長至今年1月的39.6 EH/s。</p> <p>CCAF分析，這代表中國的比特幣挖礦活動已大幅度地轉至地下，藉由離網電力及分散式的小規模作業來規避中國政府的禁令。</p> <p>不過，CCAF也認為中國的挖礦活動似乎不太可能在一個月內有如此大幅度的復甦，由於CCAF的資料來自於所合作的採礦池提供自己的地理位置，因此，比較有可能的解釋是在禁令實施後，當地的礦工透過VPN或其它代理服務來隱藏自己的蹤跡，以轉移中國政府的注意力並規避審查，躲過了風頭之後再重現江湖。</p> <p>至於除了中國及美國之外，全球第三大比特幣挖礦中心為哈薩克，占全球挖礦效能的13.2%。</p> </div></div></div>
2022/5/19 15:01作者陳曉莉https://www.ithome.com.tw/news/150994
駭客使用sqlps公用程式鎖定攻擊SQL Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/MsftSecIntel/status/1526680337216114693" target="_blank">微軟警告</a>近日有一種新式攻擊手法，利用合法的sqlps公用程式在SQL Server資料庫系統中進行惡意活動，以避免安全防護軟體的偵測。</p> <p>微軟安全情報中心指出，和許多其他攻擊一樣，駭客一開始也是利用暴力破解（brute-force）存取系統，但是最新的攻擊很特別的是它首次利用了SQL Server內建的公用程式sqlps.exe，進行離地攻擊（living-off-the-land，LoL）攻擊。</p> <p>sqlps.exe是執行SQL cmdlet指令的PowerShell wrapper模組，是一種LOLBin 二進位檔，一般用於在LocalSystem中載入SQL 服務。而在這次攻擊中，攻擊者利用它來執行惡意PowerShell指令，而不需擔心被安全軟體偵測到。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1526680351858475008" target="_blank">微軟表示</a>，攻擊者利用這個合法程式達到無檔案長期滲透的目的，還用它建立新帳號、為其加入系統管理權角色，藉此接管整臺SQL Server系統，並且可從事其他活動，包括部署挖礦軟體等惡意程式。</p> <p>微軟指出，最新利用sqlps.exe進行的攻擊突顯掌握script runtime行為的重要性。一般情況下，安全軟體如微軟的Defender會監控PowerShell行為，但是sqlps.exe卻較少被注意到，事實上這個幾乎預設內建於所有SQL Server資料庫產品的公用程式和PowerShell有類似功能，也不得輕忽。</p> <p>但是以這次攻擊來看，受害者是因SQL Server系統的弱密碼防護而被攻入大門。因此，除了安全軟體監控合法程式的非法行為外，<a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-brute-force-attacks-targeting-mssql-servers/" target="_blank">資安新聞網站Bleeping Computer建議</a>系統管理員採用強密碼防護，並注意是否有可疑或經常性登入的意圖。</p> </div></div></div>
2022/5/19 12:29作者林妍溱https://www.ithome.com.tw/news/150991
微軟變更歐洲產品授權政策以避開反托拉斯指控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周三（5/18）發表了歐洲五大雲端原則，<a href="https://blogs.microsoft.com/eupolicy/2022/05/18/microsoft-responds-to-european-cloud-provider-feedback-with-new-programs-and-principles/" target="_blank">同時宣布將變更歐洲產品的授權政策</a>，以回應歐洲雲端服務供應商業者對於微軟反托拉斯行為的指控。</p> <p>此事應源起於微軟在2019年8月1日所<a href="https://www.microsoft.com/en-us/licensing/news/updated-licensing-rights-for-dedicated-cloud" target="_blank">更新的雲端服務授權政策</a>，有鑑於當時有許多微軟就地部署客戶，將Windows或Office等產品部署於雲端服務上，使得微軟決定區隔這些產品的授權，規定就地部署授權不得部署於主要的雲端平臺上，涵蓋微軟、阿里巴巴、Amazon與Google等，並於同年的10月生效。</p> <p>雖然上述更新並未適用於其它非主流雲端供應商，然而，法國的OVHcloud、德國的NextCloud、義大利的Aruba與丹麥雲端服務供應商協會卻在今年3月向歐盟投訴，指稱微軟的作法並不公平，因為諸如Windows或Office產品不僅在微軟Azure上比較便宜，功能性也更佳，認為微軟企圖利用Windows與Office等產品來推動Azure雲端服務，相關指控獲得了Amazon的支持，也<a href="https://www.ithome.com.tw/news/150265" target="_blank">促使歐盟展開調查</a>。</p> <p>本周微軟所發表的五大歐洲雲端原則分別是確保微軟公有雲符合歐洲需求，確保微軟雲端平臺可協助歐洲開發人員取得成功，將支援及與歐洲雲端解決方案供應商合作，確保雲端服務符合歐洲各國的主權需求，以及滿足歐洲各國的技術監管規定。</p> <p>此外，微軟還承諾將支持歐洲的雲端服務供應商，以讓它們能夠更方便地代管各種微軟產品，包括那些原本僅被授權於桌面或伺服器上的就地部署產品，等於是推翻了微軟於2019年的政策。</p> <p>根據微軟的解釋，未來歐洲的雲端供應商將可在自己的架構上直接供應Windows與Office，以作為其完整桌面解決方案的一環，而且就算客戶原本是向其它微軟夥伴購買的Windows與Office產品，也能在這些雲端平臺上使用，等於允許客戶將產品授權轉移到歐洲雲端平臺上。</p> <p>其實微軟的Azure正努力趕上仍處龍頭地位的Amazon Web Services（AWS），AWS在雲端服務市場上的占有率多半維持在33%左右，而微軟則從2017年的不到15%，成長至去年底已超過20%，第三名則是市占率接近10%的Google。</p> </div></div></div>
2022/5/19 12:33作者陳曉莉https://www.ithome.com.tw/news/150992
Conti勒索軟體威脅推翻哥斯大黎加政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Conti在勒索贖金不成後，<a href="https://twitter.com/vxunderground/status/1525463875872870400" target="_blank">本周稍早揚言</a>將推翻哥斯大黎加政府。</p> <p>據信來自俄羅斯的駭客4月對哥斯大黎加共和國發動Conti勒索軟體攻擊，導致包括財務部、稅務及海關等政府機關資訊系統停擺，索討千萬美元贖金，但遭到該國政府拒絕。哥國總統Rodrigo Chaves宣布全國將進入緊急狀態。而3周之後，沒有拿到贖金的駭客升高態勢，並且提高贖金到2千萬美元。</p> <p>駭客揚言決心利用網路攻擊推翻該國政府，並說哥國政府內有他們的內應，準備攻擊其他系統，他們將贖金由1千萬提高到2千萬美元，若在一周內拿不到贖金，將摧毁解密金鑰。</p> <p><a href="https://twitter.com/vxunderground/status/1525496746507481088" target="_blank">稍晚駭客表示</a>，他們願意停止攻擊哥國，因為攻擊這個（小）國家並不值得。他們說沒見過有國家因為網路攻擊就進入緊急狀態的，呼籲哥國政府快快付贖金消災了事。駭客也要求哥國民眾走上街頭示威遊行，向政府施壓，並揶揄哥國政府可能無法平息情勢。</p> <p><a href="https://www.bbc.com/news/technology-61323402" target="_blank">BBC報導，</a>Chaves周四表示該國將和Conti宣戰。哥國政府也擬定網路安全措施實施計畫。</p> <p>BBC報導，從4月Conti發動攻擊後，迄今哥國有27個政府機關受到影響，包括財政部的薪資支付系統本周三無法運作，公務員必須以紙本或電子郵件申請薪資。</p> <p>但根據Conti駭客訊息數度提及美國政府，似乎是在向美國發出挑釁。或許美國也感受到，<a href="https://www.ithome.com.tw/news/150845" target="_blank">美國國務院也在上周</a>祭出千萬美元，尋求緝拿Conti組織首腦的資訊。</p> </div></div></div>
2022/5/19 12:57作者林妍溱https://www.ithome.com.tw/news/150993
Android Studio下一代Electric Eel版亮相，特別強化大螢幕裝置App的開發，前一代Dolphin…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google照例在I/O開發者大會上揭露了Android開發工具Android Studio多項新功能，去年3月亮相的Dolphin版本進入了Beta版發布，強化對UI動畫開發的預覽，也更簡化了測試和除錯流程。Google也首度釋出了下一代Electric Eel版的金絲雀版，特別強化了對大螢幕裝置App的開發，為明年Google平板產品的登場，預作準備。</p> <h3><strong>Dolphin版新增動畫預覽器，也大幅翻新Logcat介面</strong></h3> <p>Dolphin版進入Beta階段，意味著主要功能大多定案，進入最後功能更新階段，這次發布亮點包括了Jetpack函式庫中的Compose函式庫增加了動畫預覽器不僅可以看到動畫中各個元件時長，還能做出凍結單一元件等操作。</p> <p><img alt="Gif showing inspection with All Animations UI" src="https://developer.android.com/studio/preview/features/images/compose-animation-coordination.gif" style="width: 600px;" /> </p> <p>此外，現在也能定義一個新的Annotation class，加入多個Preview參數，以一次呼叫出多重預覽畫面。可用於比較不同樣式的微調，或不同裝置大小的影響等，既可以在同一個畫面比較，也能省下反覆撰寫多個Preview配置的麻煩。另外，也用Layout Inspector檢查每個Composable元件重新組成的次數，以確保App執行時，需要不斷更新狀態的元件確實完成重組外，而不需重組的元件也沒有占用過多資源。</p> <p><a href="https://s4.itho.me/sites/default/files/images/multi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/multi.png" style="width: 600px;" /></a></p> <blockquote><p>定義一個包含不同Preview參數的新Annotation Class，可以一次呼叫出多個預覽畫面。圖中就是用@PreviewDevices，一次預覽App在不同裝置中的執行情況。</p> </blockquote> <p><strong>新版Logcat介面大更新：訊息顏色分類、支援分割視窗，還能自訂顯示資訊</strong></p> <p>除了函式庫更新之外，命令列工具Logcat也推出了第二版，介面有大翻新，可以更直覺瀏覽及搜尋系統紀錄檔。例如能用顏色區分訊息Log種類和嚴重性類型來增加可讀性。還提供標準和精簡兩種詳細度，甚至是自訂介面中顯示的訊息種類。另外也開始支援分割視窗，以利交叉搜尋或比對。記錄檔搜尋模式也從字串搜尋或多重條件篩選，改為鍵值對搜尋，也能回顧並釘選過去搜尋的鍵值對。Logcat也會自動記錄App當機跟重啟的時間點，方便區分每次session。</p> <p><a href="https://s4.itho.me/sites/default/files/images/logcatt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/logcatt.png" style="width: 600px;" /></a></p> <blockquote><p>新版Logcat用顏色分類訊息，並會記錄App當機及重啟時間點。搜尋模式也從字串搜尋改為鍵值對搜尋。</p> </blockquote> <p><strong>穿戴裝置測試環境再升級，優化配對功能，支援更多穿戴裝置操作</strong></p> <p>對開發裝置的管理上，Dolphin版也有兩項更新，一是強化了Wear OS的模擬器，其次也推出了Gradle虛擬裝置管理服務，可以支援多裝置平行測試。<br /> Wear OS模擬器新增了配對助理功能，讓一個手機能配對多個模擬穿戴裝置，也能紀錄配對過的裝置，來減少測試時，配對不同裝置的時間。另外，還新增了實體操作工具列，可以模擬按下穿戴裝置上的實體按鈕、用手覆蓋錶面及旋轉裝置等功能，以支援更多測試情境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/watch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watch.png" style="width: 512px;" /></a></p> <p>Beta版中，也支援快速執行和除錯Wear OS 錶面、Tiles跟其他錶面複雜功能（在錶面執行看時間等基礎操作以外的功能）。開發者可以在Run/Debug Configurations畫面中新增這些配置。</p> <p><strong>新增Gradle虛擬裝置管理服務，支援裝置群組平行測試和測試專用虛擬裝置</strong></p> <p>另一項新的裝置管理機制是Gradle虛擬裝置管理服務。開發者可以預先定義要測試的虛擬裝置規格，再透過Gradle自動完成所有設置。Gradle也能利用模擬器快照，快速重啟相同環境的測試環境。甚至可以建立測試裝置的群組，平行測試同一組內的不同裝置，還能用Test Sharding功能，平行測試同一個群組複數次。Gradle還提供了一種新的虛擬裝置Automated Testing Devices，透過移除掉虛擬裝置內與和測試無關的App跟服務，降低測試所需電腦效能。</p> <p>Dolphin其他更新還包括了支援Kotlin Coroutines的偵錯功能，也支援C/C++組建系統。</p> <h3><strong>支援明年平板新產品，Electric Eel新亮點是支援大螢幕App</strong></h3> <p><a href="https://www.ithome.com.tw/news/150909">Google已經預告明年將推出自家平板產品</a>，因此，在Electric Eel版本主要更新中，也包含了強化了大螢幕裝置App的開發支援。核心的Jetpack函式庫則增加了程式碼即時編輯的預覽功能，也能自動檢查SDK和函式庫版本是否更新、自動連結當機報告及關連原始碼，也可以用單一虛擬裝置測試App在不同螢幕大小裝置的執行情況。</p> <p><strong>新模擬器能調整顯示尺寸，更容易模擬在大小裝置上的執行</strong></p> <p>Electric Eel版推出了一款螢幕尺寸可調的模擬器，只需開啟一個模擬器，就可以測試App在不同尺寸螢幕上的執行情況，不用像過去得為不同大小的裝置建立多個模擬器。Google強調，這個功能不是單純縮放App排版，而是真正模擬App在平板電腦等不同裝置上執行的情況，也會顯示工作列和不同模式的App介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/resize.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/resize.png" style="width: 600px;" /></a></p> <p>另外，排版檢查器也能自動偵測App在不同螢幕大小時，是否有潛在排版問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/visual-linting.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/visual-linting.png" style="width: 600px;" /></a></p> <p><strong>多項模擬和測試工具的改善，新增虛擬藍芽和同步操作功能</strong></p> <p>新版模擬器還有一項強化，可以透過虛擬藍芽連接兩臺虛擬裝置。Google表示，未來還打算支援更多虛擬周邊裝置，例如虛擬心率監測器等。而在實體裝置測試的操作上，現在也可以在電腦上，同步操作那些連接到Android Studio的實體裝置，甚至可以執行旋轉螢幕、按音量按鈕及鎖定螢幕等硬體操作。如此一來，開發者就能專心在電腦上工作，而不用在行動裝置跟電腦間來回切換。</p> <p>Electric Eel版本也新增了不少測試輔助功能，<a href="https://www.ithome.com.tw/news/150952">例如強化了與Firebase Crashlytics服務整合的App Quality Insights介面</a>，讓除錯過程更流暢。另外，也可以自動對比Google Play的SDK Index版本資訊，提醒開發者要更新哪些老舊的SDK或函式庫版本。</p> <p>不過，Electric Eel版對Jetpack函式庫的更新不多，主要是視覺化輔助優化，透過Live Edit功能在Compose Preview、模擬器或實體連接的裝置上，即時預覽Composable區塊的UI/UX類程式碼修改的執行結果。</p> <p> </p> </div></div></div>
2022/5/19 10:22作者郭又華https://www.ithome.com.tw/news/150989
資產遭俄國沒收，Google俄羅斯聲請破產、員工撤離
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/google-subsidiary-in-russia-to-file-for-bankruptcy-11652876597?mod=latest_headlines" target="_blank">華爾街日報</a>、路透社報導，由於俄羅斯政府銀行接管帳戶等資產，Google計畫聲請破產，並將員工撤離俄羅斯。</p> <p><a href="https://www.reuters.com/markets/europe/googles-russian-subsidiary-files-bankruptcy-document-2022-05-18/" target="_blank">路透社報導</a>，Google在當地分公司的銀行帳戶遭俄羅斯政府接管，令其無法支付員工薪水和廠商費用。</p> <p>Google 也證實其資產及財產被沒收。Google發出聲明表示，俄羅斯官方接管其銀行帳戶後，Google俄羅斯分公司已無法營運，發不出薪資給員工、招聘員工、付款給供應商或廠商，以及滿足其他財務義務。Google俄羅斯分公司已經向當局發出破產聲請通知。</p> <p>另一方面，伴隨破產聲請，Google也已撤離俄羅斯分公司員工。華爾街日報引述消息人士報導，願意留任的Google員工將從俄羅斯遷到杜拜辦公室，不想離開的員工則必須離職。</p> <p>Google俄羅斯分公司去年營收1,343億盧布，約20億美元，約佔Google全球營收的1%，原有員工約100人。</p> <p>路透社報導，這不是Google第一次被俄羅斯政府剝奪財產。俄羅斯一家電視臺YouTube帳號遭到Google封鎖，因其持有人被美國列為制裁對象，促使俄羅斯官方沒收Google 約1,500萬美元。</p> <p>Google三月配合美國政府的制裁行動暫停在俄羅斯的營運活動，包括中止俄羅斯企業在YouTube的廣告收入、停止Google Pay、程式內購買等服務。但是Google去年就已遭到俄羅斯政府的壓力。Google因不願配合官方移除和藥物、製造彈藥槍械，及LGBT團體發起的「Gay Propaganda」活動的YouTube內容，遭莫斯科法院重罰72億（當時價值約為臺幣27億元）。</p> <p>而隨著人事搬遷，Google短期間在俄羅斯完全沒有任何員工及營利活動。但是Google Search 、Gmail、Google Maps、Android、Play Store及Youtube等免費服務仍會持續提供。</p> <p>俄羅斯政府宣稱沒有計畫封鎖YouTube服務，不過<a href="https://www.ithome.com.tw/news/150075" target="_blank">Google新聞已經被封</a>。</p> </div></div></div>
2022/5/19 11:00作者林妍溱https://www.ithome.com.tw/news/150988
北韓派出數千名IT開發者潛伏於全球企業以替北韓政府賺錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf" target="_blank">美國國務院、美國財政部，以及美國聯邦調查局在16日發出一份聯合公告</a>，警告全球社會及企業要小心北韓政府所派出的IT人才，這些IT開發者假冒來自其它國家，透過自由工作者招募平臺、社交網站與數位支付系統於全球市場求職，以替北韓政府賺錢，一旦組織不察聘用了北韓的IT開發者，也許會面臨資料外洩或資金遭竊的風險，或是因此而受到美國或聯合國的制裁，而這些IT開發者也可能與北韓駭客裡應外合。</p> <p>該報告指出，北韓的IT開發者是當地政府重要的資金來源，有數千名北韓IT人才被派往海外謀職，主要為中國與俄羅斯，並有少數位於非洲與東南亞，再把收入匯回北韓，以資助北韓政權、經濟及武器開發計畫。</p> <p>美國財政部表示，這些由北韓IT開發者所帶回的收入中，絕大多數都直接被用於大規模殺傷性武器、彈道導彈計畫及先進常規武器開發等，而這些即違反了美國與聯合國對北韓的制裁。</p> <p>因此，在此一公告中，美國政府即提供了北韓IT開發者的辨識指南，並建議全球組織不要聘雇他們。</p> <p>根據調查，這些來自北韓的IT開發者藉由自由工作者招募平臺於全球市場取得不同領域的開發合約，包括商業、加密貨幣、健康、健身、社交網路、娛樂或生活方式等應用程式與軟體；他們通常會隱瞞自己的國籍，透過VPN、VPS、第三國的IP位址、代理帳號或是偽造的身分證明文件來求職。</p> <p>這些北韓IT開發者有時還會利用約聘人員的特權權限進行非法行為，包括竊取資料或是協助北韓駭客入侵組織。</p> <p>而只要是在短時間內從不同國家的IP位址多次登入同一個帳號；經常要求透過支付平臺轉帳，特別是匯至中國帳號，或是要求以加密貨幣支付；開發者在招募平臺上、社交媒體或支付平臺上的姓名拼寫、工作經歷、聯絡資料或其它資訊不一致；或是無法在規定的時間內執行業務或無法即時溝通，這些求職人士就有可能來自北韓。</p> <p>因此，美國政府建議全球組織在招聘自由工作者時，最好仔細審查他們的身分證明文件，進行視訊面試，展開背景調查，並確認他們所列出的曾任職的公司或曾就讀的學校是否屬實，避免以加密貨幣付款，以及檢查他們在不同平臺上的個人資料是否一致等。</p> </div></div></div>
2022/5/18 23:00作者陳曉莉https://www.ithome.com.tw/news/150980
Google一手設計的Bay View園區啟用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/inside-google/life-at-google/bay-view-campus-grand-opening/" target="_blank">Google在17日啟用了該公司一手設計的新園區Bay View Campus</a>，該園區標榜以人為本，融合了自然環境，每個座位都能享受自然採光，園區內全面使用電力而無任何瓦斯，並由屋頂的太陽能面板與附近的風電場供電，具備雨水收集系統以達到水資源正效益（Water Positive）的目標，更擁有北美地區最大的地熱裝置。</p> <p>Bay View園區靠近舊金山灣，占地42英畝，當中有17.3英畝屬於高價值自然區域，內有溼地、林地與沼澤；Google在園區興建了兩座辦公室建築，一個可容納1,000人的活動中心，以及240個供員工短期居住的房間，該園區將成為Google廣告部門的大本營，估計有4,000名員工進駐。</p> <p>Google表示，Bay View辦公室是個先考慮使用者的經驗才設計的建築，除了自然採光與戶外的自然美景之外，相較於傳統通風系統僅使用30%以下的戶外空氣，它們採用了100%的戶外空氣，使用各種無毒的建材，在考慮工作的獨立性與協作之下，建築上層為團隊空間，下層則是聚會空間，團隊空間之間以庭院作為區隔。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-Bay%20View-Photo%EF%BC%9AIwan%20Baan.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Iwan Baan</span></span></p> <p>綠色建築也是Bay View辦公室的重點之一，它的屋頂雖是由太陽能面板組成，但面板的設計卻類似東方的瓦片，Google將它稱之為「龍鱗太陽能皮膚」（<a href="https://blog.google/outreach-initiatives/sustainability/dragonscale-solar/" target="_blank">Dragonscale Solar Skin</a>），部署了9萬片銀白色的太陽能面板，可製造7兆瓦的電力，約占辦公室一年所需電力的40%，不足之處則由附近的風電場補足。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-Dragonscale%20Solar%20Skin-Photo%EF%BC%9AIwan%20Baan.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Iwan Baan</span></p> <p>此外，Bay View園區以取得Water Petal省水認證為目標，因此它除了透過池塘來收集雨水之外，也建置了廢水處理廠，使得該園區除了飲用水之外的用水都能自給自足，包括冷卻、沖廁或灌溉等。</p> <p>Bay View園區有兩個廚房，負責供應園區內7家咖啡館的食物需求，而這兩個廚房完全使用電氣設備，而不用瓦斯，成為無碳廚房的範本。該園區還使用集成的地熱樁系統，以替辦公室提供冷氣及暖氣，由於它被整合至結構系統中，因而可減少90%的冷卻用水。</p> <p>嚴格說來，Bay View園區從發想、設計、動土到完工可能花了10年，也讓Google決定出書記錄Bay View園區從無到有的一切，<a href="https://services.google.com/fh/files/misc/google_pathways_book_bay_view_charleston_east.pdf?utm_source=website&utm_campaign=book" target="_blank">並開放外界存取</a>。</p> </div></div></div>
2022/5/18 22:31作者陳曉莉https://www.ithome.com.tw/news/150979
【資安日報】2022年5月18日，WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站攻擊可說是今天新聞的焦點。其中又以WordPress外掛程式Tatsu Builder的大規模攻擊相當值得注意。駭客在開發者通知用戶儘速修補的一個月後，發動大規模攻擊，並於本月14日規模達到最大，當日出現了近6百萬次攻擊。</p> <p>另一個與大多數人相關的資安警訊，與網站信用卡側錄攻擊（Web Skimming）有關。但這次美國聯邦調查局提出的警告與過往非常不同，他們提到有越來越多攻擊者針對電商網站的後臺下手，植入惡意PHP程式碼。</p> <p>蘋果電腦上的惡意軟體動態也值得用戶留意。研究人員發現駭客重新打造的惡意程式UpdateAgent，日後有可能用於在受害電腦植入更多惡意程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/millions-of-attacks-target-tatsu-builder-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Tatsu Builder漏洞遭到鎖定，出現近6百萬次攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png" style="width: 300px; float: right;" /></a>研究人員於3月底揭露WordPress外掛程式Tatsu Builder的漏洞CVE-2021-25094，開發者亦發布3.3.13版修補，並於4月7日寄送電子郵件通知用戶升級，但在一個月後出現了大規模的攻擊行動。資安業者Wordfence指出，他們約自5月9日開始，發現針對上述漏洞的攻擊行動顯著增加，並於14日達到高峰──約有590萬次攻擊，鎖定140萬個網站而來。</p> <p>而對於攻擊來源的部分，研究人員指出，大部分攻擊行動來自3個IP位址，它們各攻擊超過百萬個網站；再者，也有15個IP位址攻擊超過10萬個網站。研究人員呼籲用戶，儘速將Tatsu Builder升級到3.3.13版來防堵相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zdnet.com/article/fbi-hackers-used-malicious-php-code-to-grab-credit-card-data/"><span style="color: rgb(0, 0, 0);">駭客利用惡意PHP程式碼截取網站的信用卡資料</span></a></strong></h3> <p>最近3年，全球針對電商網站側錄信用卡資料的攻擊行動不時有事故發生，且攻擊者目標從針對前端的JavaScript程式碼，轉換到後端PHP程式碼上，這也使得美國政府提出警告。</p> <p>美國聯邦調查局（FBI）近日針對當地電商網站發布警訊，指出有人自2020年9月開始，針對美國電商網站下手，將惡意PHP程式碼植入結帳網頁，截取相關資料並傳送到攻擊者控制的伺服器，並成功欺騙了本來處理信用卡交易的伺服器；而到了今年初，駭客藉由除錯功能在網站伺服器下載2個Web Shell，然後建立後門，以便攻擊者能進一步對受害組織下手。</p> <p>而這樣的情況，也有資安業者提出相關的觀察──資安業者Sucuri發現，在2021年的電商網站側錄攻擊中，有41％是針對PHP程式碼而來，而有可能使得攻擊者進一步存取電商網站的檔案系統，而使得該公司呼籲網站管理者，必須加強相關的網站防護措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.jamf.com/blog/updateagent-adapts-again/"><span style="color: rgb(0, 0, 0);">鎖定macOS的惡意軟體UpdateAgent出現變種，被用來投放更多惡意程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg" style="width: 300px; float: right;" /></a>專門針對Mac電腦出手的惡意程式UpdateAgent，最近出現新的變種，而可能使駭客能夠透過程式碼批次進行攻擊。資安業者Jamf近期看到新的UpdateAgent變種，駭客使用程式語言Swift重新改寫，並命名成PDFCreator，以及ActiveDirectory的可執行檔案散布，研究人員分析後發現，這兩個版本的變種會連往AWS S3儲存桶的網址，下載並執行一段bash指令碼，再到S3下載並執行第二階段的DMG映像檔。而關於這些檔案，目前能識別為有害的防毒軟體可能不多，因為研究人員在5月13日，將這些可疑的檔案上傳到惡意軟體分析平臺VirusTotal進行檢測之後，當中尚未有防毒軟體引擎能將其識別為有害。</p> <p>該公司指出，雖然先前在2月的版本被駭客用於投放廣告軟體，但用戶仍不能掉以輕心，因為，攻擊者可利用這款惡意軟體，在受害電腦植入其他的惡意程式，以進行第二階段的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-edny/pr/hacker-and-ransomware-designer-charged-use-and-sale-ransomware-and-profit-sharing"><span style="color: rgb(0, 0, 0);">製作勒索軟體Jigsaw、Thanos的駭客被起底</span></a></strong></h3> <p>網路罪犯年齡層有逐漸下降的情形，但也有高齡駭客製造出破壞力驚人的勒索軟體。美國司法部（DOJ）於5月16日指出，開發及銷售Jigsaw、Thanos等勒索軟體的駭客身分，是居住於委內瑞拉的55歲心臟科醫生Moises Luis Zagala Gonzalez。</p> <p>美國司法部提到，這名醫生打造的Jigsaw，在加密受害電腦檔案之餘，還會記錄使用者試圖刪除勒索軟體的次數，以供判斷受害人會支付贖金的意願；再者，若是受害者企圖重開機防堵檔案被加密，該勒索軟體就會刪除1千個檔案，要受害者就範。而另一款勒索軟體Thanos，則是該名醫生提供他人建置自訂版本勒索軟體的工具，以便進一步用於攻擊行動，或是發展成租賃服務分享利潤。假如該名醫生被定罪，將可能會被判處最高10年的徒刑。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://homes.esat.kuleuven.be/~asenol/leaky-forms/"><span style="color: rgb(0, 0, 0);">網站追蹤器元件可能會在用戶送出前截取輸入表單的資料</span></a></strong></h3> <p id="Zyxel">網站為分析用戶的喜好，往往會透過外部追蹤器來解析，但研究人員發現，這些追蹤器可能會在網站收到相關資料之前，先行截取用戶輸入表單的內容。</p> <p>來自荷蘭Radboud大學、瑞士洛桑大學與比利時魯汶大學的研究人員，針對全球前10萬個網站、280萬個網頁展開調查，從歐盟與美國執行爬蟲程式，並透過電腦版與行動裝置的網頁瀏覽器，搭配3種Cookie配置來進行分析。結果發現，從歐盟執行的爬蟲程式共找到1,844個網站，在使用者填寫表單但尚未送出之前，就允許追蹤器收集使用者提供的電子郵件信箱；從美國執行的爬蟲程式，則找到2,950個有上述情況的網站。其中，有不少是新聞網站，研究人員通報後，於今年2月修補相關漏洞。而對於收集這類未送出表單資料的追蹤器，主要來自Adobe、Oracle、Saleforce、Meta、TikTok等。</p> <p>此外，俄羅斯大型搜尋引擎Yandex等52個網站，不慎允許連線重放供應商（Session Replay Provider）收集用戶填入的密碼，研究人員亦進行相關通報。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service"><span style="color: rgb(0, 0, 0);">Google推出經過安全驗證的開源軟體套件</span></a></strong></h3> <p id="Zyxel">為了提供更為安全的開源軟體，大型IT業者打算推出套件驗證服務。Google於5月18日宣布，他們將透過Google Cloud推出Assured Open Source Software（Assured OSS）服務，來提供該公司已經檢查過的開源軟體。這些軟體Google的掃描、分析、模糊測試，並能通過軟體供應鏈安全框架（SLSA）合規驗證，由Google簽章，並透過Google Cloud的容器映像檔及語言套件代管平臺Artifact Registry代管，預計於今年第三季推出預覽版本。</p> <p>該公司亦宣布與開源軟體安全供應商Snyk合作，Assured OSS將整合到Snyk的服務，而Snyk漏洞資料庫則會整合到Google Cloud安全與開發生命周期管理工具。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/18 18:19作者周峻佑https://www.ithome.com.tw/news/150978
Google延攬前FDA主管出掌數位健康部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Health近日延攬美國前聯邦食品及藥物管理署（FDA）主管Bakul Patel來統領推動數位健康業務。</p> <p>Bakul Patel是美國FDA負責數位健康的主管。<a href="https://www.linkedin.com/feed/update/urn:li:activity:6932012357942476800/" target="_blank">他近日透過LinkedIn公告已來到Google Health</a>，職銜是數位健康與法規策略資深總監。</p> <p>Patel說，Google提升數十億人健康和他推動數位健康和科技進步的目標一致，未來他的工作將建立在Google之前的成果上，包括提供COVID-19官方消息及利用AI和機器學習打造給照護者、及各種社區的解決方案，以解決最困難的健康難題。他表示，未來Google、Alphabet的健康團隊將合作開發「整合的數位健康及法規策略」。</p> <p><a href="https://www.fiercehealthcare.com/digital-health/google-health-hires-fdas-former-digital-health-chief-lead-global-strategy" target="_blank">FireceHealthcare報導</a>，Patel在FDA 13年期間建立了卓越中心來監管數位健康產品，像是智慧手機App、穿戴裝置及軟體治療方案，也發展了FDA審查AI及機器學習產品的框架。</p> <p>報導指出，Patel基於監管AI及軟體產品的經驗，也是被Google Health延攬的主因。</p> <p>Patel將如何引領Google推出成功的數位健康產品令人好奇。Google過去幾年砸下資金成立Google Health、挖來重量級人物，但是效果不佳，<a href="https://www.ithome.com.tw/news/146340" target="_blank">以致於Google Health去年8月被重新整合回Google</a>，旗下開發健康記錄搜尋、醫療影像標註及法規遵循的人力被切分整併到其他部門。而Google從Geisinger Healthcare醫療體系挖來的David Feinberg，則跳槽到電子病歷業者Cerner。</p> <p>Patel也是最新一宗Alphabet/Google和美醫療主管機關人事「交流」的案例。<a href="https://www.theverge.com/2022/5/16/23077337/google-fda-digital-health-leader-bakul-patel" target="_blank">The Verge報導</a>，現任FDA主席Robert Califf是Alphabet前任資深顧問。</p> </div></div></div>
2022/5/18 15:59作者林妍溱https://www.ithome.com.tw/news/150974
研究人員揭露重大的BLE漏洞，舉凡支援接近解鎖功能的汽車、門鎖或筆電都可能遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.nccgroup.com/news/ncc-group-uncovers-bluetooth-low-energy-ble-vulnerability-that-puts-millions-of-cars-mobile-devices-and-locking-systems-at-risk-447952" target="_blank">英國資安業者NCC Group周一（5/16）公布了一個有關低功耗藍牙（Bluetooth Low Energy，BLE）安全漏洞</a>，宣稱他們得以藉由連結層中繼攻擊（Link Layer Relay Attack），攻陷所有以BLE作為接近身分認證（Proximity Authentication）的裝置，並已成功自遠端解鎖Tesla Model 3，以及Kwikset/Weiser旗下Kevo系列的智慧門鎖。</p> <p>BLE為一無線個人區域網路技術，可於一定距離內提供低功耗的傳輸能力，許多裝置都利用BLE執行接近身分認證功能，像是透過手機程式來解鎖附近的汽車、智慧鎖、門禁控制系統、筆電或智慧手錶等。</p> <p>這並非是首個有關BLE中繼攻擊的研究，卻是首個透過連結層的中繼攻擊，而且只要藉由便宜的既有硬體就能發動攻擊，理論上可於地球的這一端駭進地球另一端的汽車。</p> <p><a href="https://microchipdeveloper.com/wireless:ble-link-layer-overview" target="_blank">連結層是BLE中與實體層相鄰的介面</a>，它負責宣傳、掃描、建立與維護與實體層的連結，研究人員藉由連結層上的基頻傳送資料，便能繞過藍牙堆棧上層用來對抗已知中繼攻擊的加密BLE傳輸保護。</p> <p>NCC Group已打造出一個可執行相關攻擊的工具，它僅帶來8毫秒的來回通訊延遲，落在藍牙通用屬性規範（GATT）所允許的回應時間內，還能中繼加密的連結層通訊，同時繞過本地端用來對抗放大訊號中斷攻擊的防護。</p> <p>研究人員直接在2020年出廠Tesla Model 3上進行實驗，安裝Tesla程式的是iPhone 13 mini，把iPhone 13擺某個屋子的頂樓，Tesla Model 3則停放在25米外的車庫裡，並在離iPhone 13大約7米處置放了一個中繼裝置，也在Tesla Model 3半徑範圍3米處置放另一個中繼裝置，然後就以iPhone把Tesla Model 3解鎖了。</p> <p>研究人員也在此一實驗中企圖辨識系統所能忍受的來回通訊延遲，發現最久可達80毫秒，足以利用Wi-Fi網路來發動攻擊，意謂著駭客有機會透過網路執行遠距離的攻擊行動。</p> <p>NCC Group僅測試了Tesla Model 3，但相信Tesla Model Y也難逃一劫，而且不僅是Tesla，任何以BLE作為無鑰匙解決方案的汽車都可能淪陷。</p> <p>除了汽車外，NCC Group也測試了Kwikset/Weiser品牌Kevo系列的智慧鎖，同樣是把一個中繼裝置放在門鎖附近，另一個中繼裝置放在手機或鑰匙圈附近，透過兩個中繼裝置傳遞彼此的訊號，而成功開啟了門鎖。</p> <p>NCC Group認為，這並非是一個只藉由軟體修補就能解決的傳統漏洞，也不是藍牙規格的缺陷，錯的是把技術用在並非相關技術開發目的的用途上，特別是涉及安全的應用，基於BLE的接近身分認證原本就不是要被應用在解鎖等重要系統上。</p> <p>研究人員也提出了緩解建議，包括製造商可在使用者手機或鑰匙靜止一段時間後關閉接近解鎖功能，系統製造商則應允許使用者選擇第二種身分認證機制，至於一般的使用者則應關閉無需使用者同意的被動解鎖功能，或者是在不需要時關閉行動裝置的藍牙。</p> <p>NCC Group自今年4月起就開始通知受影響的製造商，包括特斯拉（Tesla）在內，不過，特斯拉的產品安全團隊則說，中繼攻擊早就是被動進入系統（Passive Entry System）的已知限制。研究人員則建議Tesla車主可以設定程式，在手機靜止超過1秒後關閉被動進入功能，或是在認證時要求程式回報手機最後已知位置，以讓汽車能夠偵測與拒絕遠端的中繼攻擊。</p> </div></div></div>
2022/5/18 16:20作者陳曉莉https://www.ithome.com.tw/news/150975
蘋果預覽新的輔助功能，可替盲人偵測門的狀態，替失聰者提供即時字幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/05/apple-previews-innovative-accessibility-features/" target="_blank">蘋果17日開始預覽全新的輔助（Accessibility）功能</a>，包括可替盲人偵測門的狀態、替失聰者提供即時字幕、擴大螢幕閱讀所支援的語言，以及替身障人士打造的Apple Watch Mirroring等，新功能預計於今年內上線。</p> <p>其中，門偵測（Door Detection）將出現在放大鏡（Magnifier）中的偵測模式（Detection Mode），是專為視障人士所打造的導航功能，它會在使用者到達新目的地時，協助定位門的位置、掌握與門的距離，同時描述門的屬性，像是門是開啟或關閉的，關閉時能否以推、轉或拉來開啟，它還讀取門周邊的標誌及符號，例如號碼或無障礙入口的標誌，準備在今年支援iPhone與iPad裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-Apple-Accessibility-OS-features-2022-hero-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>同樣用來支援視障人士的旁白（VoiceOver）則屬螢幕閱讀功能，可以語音描述裝置所呈現影像中的人物、物件、文字或圖表，現已在蘋果各式裝置上支援超過30種語言，而且會在今年新增對其它逾20種語言的支援，包括孟加拉語、越南語、保加利亞語及烏克蘭語等。</p> <p>即時字幕（Live Captions）則是替聽障人士所設計，把使用者所接收的語音轉成文字，它支援電話、FaceTime、視訊會議程式、社交程式、串流媒體，甚至是與身邊的人交談，使用者要回應時則可透過鍵盤輸入，並由系統將文字轉成語音進行回覆，此一功能將支援iPhone、iPad與Mac。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-Apple-Accessibility-OS-features-2022-hero-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></span></p> <p>Apple Watch Mirroring主要是替身障人士所打造，可協助使用者透過已配對的iPhone自遠端控制Apple Watch。例如以iPhone的語音控制或切換控制來操作Apple Watch，以讓使用者得以透過語音命令、聲音控制、頭部追蹤或切換到第三方的Made for iPhone（MFi）裝置，來取代直接於Apple Watch螢幕上的點擊。</p> <p>Apple Watch Mirroring不僅整合了軟、硬體，也嵌入了蘋果的串流通訊技術AirPlay，以確保身障用戶得以受益於Apple Watch上的血氧或心率等應用。</p> <p>此外，蘋果也將允許使用者透過簡單的手勢來操作Apple Watch，新的快速動作（Quick Actions）功能讓身障用戶無需點擊螢幕，只要透過捏或握拳就能接聽或掛斷電話、關閉通知、拍照、播放或暫停播放，以及開始、暫停或繼續體能訓練等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-Quick%20Actions%20on%20Apple%20Watch.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105);">圖片來源／蘋果</span></p> </div></div></div>
2022/5/18 14:44作者陳曉莉https://www.ithome.com.tw/news/150972
MasterCard推出人臉、掌紋付款功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mastercard.com/news/press/2022/may/with-a-smile-or-a-wave-paying-in-store-just-got-personal" target="_blank">發卡組織萬士達卡（MasterCard）本周宣布生物辨識結帳方案（Biometric Checkout Program）</a>，讓使用者可在店內或線上購物時免卡、免手機結帳。</p> <p>這項方案其實就是利用臉部、或掌紋驗證身份的支付方案，透過綁定臉部影像或手部特徵和信用卡帳戶，讓消費者在購物結帳時不需要再刷信用卡。MasterCard的生物辨識結帳方案讓消費者在店家或家中完成註冊綁定，在家中則需透過數位身份業者提供的App完成，註冊成功後，消費者只需朝相機笑一下，或是在讀取器前揮一下手就可以完成支付，甚至不須拿出手機。</p> <p>MasterCard表示，希望建立適合從大型商店到社區雜貨店等所有規模商店適用的數位支付標準。除了省時、安全衛生，MasterCard表示，這類非接觸式支付也能整合到店家的顧客忠誠方案及個人化推薦。</p> <p>目前MasterCard已和NEC、富士通、以及巴西臉部辨識支付軟體商PayByFace、支付處理後臺業者Aurus、身份驗證閘道供應商PopID合作臉部支付方案。目前也打算在巴西聖保羅的5間超市測試。</p> <p>不過生物辨識支付具有相當隱私爭議，包括用戶相片或生物特徵是否會送到雲端或是留在店家機器內。美國劇場Red Rock今年因為數百個藝術表演組織抗議，<a href="https://www.denverpost.com/2022/03/28/denver-red-rocks-amazon-palm-scanning-technology-protest/" target="_blank">而停用類似的Amazon One掃瞄支付系統</a>。</p> <p><a href="https://www.engadget.com/mastrercard-biometric-checkout-pay-by-smiling-153808508.html" target="_blank">MasterCard則對媒體表示</a>，消費者生物辨識資料會轉換成數位範本加密儲存，且其相片只會存在他們的裝置上。</p> </div></div></div>
2022/5/18 14:53作者林妍溱https://www.ithome.com.tw/news/150973
微軟開始測試跨Windows、Web平臺的One Outlook用戶端軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://insider.office.com/en-us/blog/the-new-outlook-for-windows-helps-you-be-more-productive-and-in-control-of-your-inbox" target="_blank">微軟昨（17）日宣布</a>透過Beta頻道將One Outlook郵件用戶端軟體釋出給Office Insider測試方案的用戶，為整合Windows和雲端再推進一步。</p> <p>微軟在2020年Ignite開發商大會上公布整合式的Outlook郵件App計畫，並<a href="https://www.ithome.com.tw/news/142037" target="_blank">在去年初宣布</a>代號Project Monarch的One Outlook，藉此統一Windows、Mac及Web版郵件軟體，並取代內建在Windows的Mail及Calendar。</p> <p>微軟指出，One Outlook旨在強化Windows及Web版程式碼的一致性，以提升用戶生產力及管理郵件。這也是微軟繼<a href="https://www.ithome.com.tw/news/150269" target="_blank">推出Windows 365/Windows 11整合功能</a>後，最新提供無縫跨Windows及雲端平臺使用經驗之產品改革。</p> <p>功能方面，One Outlook加入多項信件及行事曆等智慧功能，但最大特色是將支援<a href="https://www.ithome.com.tw/news/150355" target="_blank">Loop技術</a>，這項技術可讓使用者將文字、圖片、表格等元件獨立貼到其他應用，例如線上文件、Teams、或電子郵件中，寄出的郵件附檔也可隨時更新版本。</p> <p class="rtecenter"><img alt="" src="https://office-insider-media.azurefd.net/media/2022/05/Loop-2048x1229.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Outlook 已經可以@mention將某位用戶加入郵件，現在則可以@功能把雲端上的檔案或文件加入信件，只要以「@+檔案名稱」，Outlook就可帶出選項方便用戶加入。</p> <p>新Outlook另一項重要功能是新的行事曆儀表板，可將郵件、行事曆、檔案及待辦事項等整合在同一介面中。</p> <p class="rtecenter"><img alt="" src="https://office-insider-media.azurefd.net/media/2022/05/Calendar_-Board-view-2048x1229.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>此外， One Outlook 加入了智慧化訊息提醒，如果用戶接到Outlook for Windows認為重要的郵件，就會主動提醒並詢問是否需要回覆。My Day則讓用戶將郵件拖放到待辦事項，或設定某個時間完成加入行事曆中。</p> <p>其他功能包括將可分享會議時間、地點的RSVP新功能、郵件釘選到信箱上方，新的Sweep功能可讓用戶批次移動大量文件，也可設定並套用規則到未來信件中。</p> <p>欲試用的Insider用戶必須先升級到Windows Build 15225.20000以後，且必須具備Microsoft 365/Office 365的商用或教育版帳號。目前還不支援Microsoft 帳號，即Outlook.com。</p> </div></div></div>
2022/5/18 13:07作者林妍溱https://www.ithome.com.tw/news/150971
確診人數再度攀升，蘋果再度延後回辦公室上班的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-05-17/apple-delays-plan-to-have-workers-in-office-three-days-a-week?sref=9hGJlFio" target="_blank">根據《彭博社》（Bloomberg）的報導</a>，蘋果本周二（5/17）發出內部信件，指出由於COVID-19確診人數再度攀升，將延後原本要求員工自5月23日起，必須每周進辦公室3天的計畫，而且蘋果並未提出新的日期。</p> <p>由於疫情的關係，自2020年3月起，蘋果已有兩年的時間允許員工在家工作，而隨著病毒的演化，蘋果也逐漸希望員工可以回到辦公室上班，今年4月11日起開始要求員工每周至少要進辦公室一天，自5月2日起則增加到每周兩天，接著在5月23日每周要進辦公室3天，以循序漸進的方式恢復於辦公室工作的文化。</p> <p>根據蘋果先前的規畫，該公司希望員工自下周起，每周一、二與四都必須進辦公室，不過現在則已無限期延後，暫時維持每周進辦公室兩天的方案。</p> <p>此外，蘋果在今年3月原本也已鬆綁口罩政策，包括允許辦公室內的員工選擇性地配戴口罩，蘋果門市員工在每周五也可選擇不戴口罩。但本周的通知再度要求員工於辦公室的公共區域必須配戴口罩，門市員工同樣也再度受到口罩規範。</p> <p>不過，蘋果也在信件中表示，即使要求員工每周都要進辦公室兩天，但任何覺得進辦公室不舒服的人都可以選擇遠端工作。</p> </div></div></div>
2022/5/18 12:11作者陳曉莉https://www.ithome.com.tw/news/150969
Google Cloud新服務將提供經安全驗證的開源套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Log4j漏洞問題引發應用程式開發的供應鏈安全問題，Google今（18）日宣布名為<a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service" target="_blank">保證開源軟體（Assured Open Source Software）的服務</a>，可協助企業或開發商取得經過Google漏洞檢查及簽章的開源套件，這項服務預計今年第3季開放測試。</p> <p>Google幾年來陸續推動過強化開源碼軟體安全的計畫，包括模糊測試專案<a href="https://www.ithome.com.tw/news/110052" target="_blank">OSS-Fuzz</a>、和Linux基金會成立<a href="https://www.ithome.com.tw/news/139191" target="_blank">開源安全基金會（OpenSSF）</a>、以及今年初因應Log4Shell引發的安全議題而<a href="https://www.ithome.com.tw/news/149179" target="_blank">參與修補開源軟體漏洞</a>。本周的保證開源軟體（Assured Open Source Software，Assured OSS）則是Google Cloud提供、旨在確保軟體專案所用的開源軟體安全的新服務。</p> <p>雖然開發商或企業可以自行下載開源套件，但Google 強調，Assured OSS則由Google選擇、安排過，讓他們取得Google內部開發都在用的相同OSS套件。</p> <p>這些開源套件定期經Google掃瞄、分析漏洞及模糊測試、以Google 無伺服器CI/CD平臺Cloud Build開發、經過Google簽章、並由Google Cloud（容器映像檔及語言套件代管平臺）Artifact Registry代管及管理，藉此省去開發人員使用開源套件的安全管理作業。Assured OS預計今年第3季以預覽版上線。</p> <p>Google Cloud補充，<a href="https://github.com/google/oss-fuzz/tree/master/projects" target="_blank">透過OSS Fuzz</a>，他們持續對最常用的550個開源專案進行模糊測試以尋找漏洞，到今年1月共發現了36,000多項漏洞。</p> <p><a href="https://www.theregister.com/2022/05/17/google_assured_open_source_software/" target="_blank">The Register報導</a>，這項服務初期重點放在Google內部較常用的Java及Python套件。Google說這兩類套件的安全風險也較高。</p> <p>除了Assured OSS外，Google Cloud今天也宣布和開源軟體雲端安全供應商Snyk合作。Snyk可以其開源軟體漏洞資料庫為開發專案的npm、Maven、NuGet、RubyGems等套件掃瞄並修正漏洞。在和Google Cloud的合作中，Assure OSS將原生整合到Snyk服務。而Snyk的漏洞資料庫、觸發的action及修正建議，也將整合到Google Cloud的安全和開發生命周期管理工具，為雙方共同客戶提供服務。</p> </div></div></div>
2022/5/18 12:18作者林妍溱https://www.ithome.com.tw/news/150970
網飛如何提高用戶黏著度
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_300.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大的網路串流服務平台：網飛．是典型的選擇引擎：它的目標就是幫你找到想看的影片。它不是被動呈現選項，而是嘗試客製化你看到的一組內容，讓你得以在某個程度上控制呈現的內容，甚至還能幫助你了解自己可能喜歡的新選項。</p> <p>事實上，網飛的存在靠的就是從它龐大的授權影音資料庫中，找出你想看的節目。讓你持續投入並支付每個月的訂閱費，就是它的主要收入來源。網飛需要將客戶與它的內容連結起來，因此你認為它應該能為自己找到想看的內容。</p> <p>你在串流裝置上啟動了網飛。出現了一個簡單的問題：觀看的是誰？是你、你的伴侶、你的孩子，還是其他人？你回答後就會出現一個網頁，上面有個正在播放的影音預告片，看起來可能很有趣。有些電影和節目你可能已經不記得了，或者根本不知道。預告片自動開始播放，這讓你有點生氣，但很快地這個節目引起了你的興趣。當預告片結束播放時，你會注意到螢幕上兩個明顯的按鈕，一個是「開始播放」，另一個則是「更多資訊」。當你向下滾動頁面時，會看到許多排電影和電視節目。第一排可能被標示為「最新發行」，下一排可能是「目前熱播」，接著可能是「廣受好評的電視節目」。繼續滾動，就會出現一行你以前看過的節目。當你的滑鼠在某個節目上停留超過一秒時，這個節目的預告片將開始播放，可是一旦你移開滑鼠，就會停止播放。幾分鐘之後，你發現自己正在觀看《諧星乘車買咖啡》（Comedians in Cars Getting Coffee），這是一個你根本不知道的節目，主角是你最喜歡的一名演員。</p> <p><strong><span style="font-size:28px;">網飛如何針對每位用戶喜好，客製專屬登入頁內容</span></strong></p> <p>網飛的登入頁使用了本書提到的所有選擇架構工具。讓我們來看看其中的一些工具：</p> <p><span style="font-size:20px;"><strong>● 合理路徑：</strong></span>網飛知道，「如何做出抉擇」的這個決定，也就是選擇一條合理路徑，發生得很快。網飛不會讓選擇者等待。它花了龐大的心力來防止等待，讓要觀看什麼節目的決定變得非常流暢。網飛工程師會吹噓用在快速加載客戶登入頁面的創新技術，以及防止等待對留住客戶的重要性。</p> <p><span style="font-size:20px;"><strong>● 預設選項：</strong></span>在預設選項情況下，當你進入網飛頁面時，一個帶有音訊的預告片將開始播放。直到二○二○年初，儘管社群媒體上有許多抱怨，仍然無法將這個預告片關閉。</p> <p><span style="font-size:20px;"><strong>● 選項數量：</strong></span>網飛擁有近六千部影視內容（約四千部電影和二千部電視劇）。他們以某種方法將這麼大量的內容降低到八十部左右，這是他們認為可能適合你觀看的選項。這牽涉到一些人工智慧魔法。</p> <p><span style="font-size:20px;"><strong>● 排序：</strong></span>網飛會設定每行出現的順序。第一個出現的該是「目前熱播」，還是「最新發行」？一旦確定了每行的順序，網飛接著需要為節目安排位置，決定它該出現在哪一行的開頭、中間或者結尾。如果你把自己的登入頁面和其他人的做比較，會發現這種排序是針對每個用戶客製出來的結果。位在初始螢幕左上角的影片，會比在其他位置的影片更容易被選出來看。</p> <p><span style="font-size:20px;"><strong>● 描述選項：</strong></span>每一行都有一個標題，比如「廣受好評的電視節目」「目前熱播」或「詼諧的電視節目」等。不僅每個客戶的推薦節目行順序不同，不同的人還會在每行看見不一樣的選項。每個節目都有一張靜態圖片。網飛選擇這些圖片的原則，是為了保證讓所有的節目都能夠吸引注意力，還是更有針對性，試圖增加特定節目的受歡迎程度？</p> <p>選項的敘述還包括挑選出當用戶將滑鼠停留在圖片上時，該播放預告片中的哪一個場景。網飛如何決定從六十二集《絕命毒師》影集中展示哪些片段？為了介紹美國版的《紙牌屋》，它根據對不同觀眾過去觀看情況的了解，為他們剪接了三個不同版本的預告片。一個是為英國版《紙牌屋》粉絲們準備的。另一個則是由羅蘋．萊特（Robin Wright，在劇中飾演克萊爾．安德伍德﹝Claire Underwood﹞）和其他女性角色剪接成的預告片，播放給點閱過電影《末路狂花》的觀眾觀看。第三個預告則是針對嚴肅的電影愛好者，因為該影集製片人大衛．芬奇（David Fincher）在這些圈子中由於《社群網戰》和《龍紋身的女孩》等電影而聞名。</p> <p>網飛使用了一個屬性，根據由零到一○○％的比例，預測你對每個影視標題的喜好程度。它還以「大拇指向上與向下」的評分方式，來蒐集你對影視內容的評分。為什麼網飛要讓這兩種評分方式不同？網飛曾經對兩者都使用五顆星評分方式，但認為人們對評分結果感到困惑。人們發現大拇指打分方式更容易使用，而換成大拇指打分方式也讓蒐集到的評分數量增加了一倍。網飛還發現，人們往往只會把高雅嚴肅的電影評為五星，卻很樂於把一部一口氣追完的情境喜劇評為大拇指向上。這種評分方式看起來讓評分者不那麼自命不凡，而且也許更誠實。</p> <p>這整組工具都經過A／B測試，針對每一項體驗的細節進行調整，而且每年多達一百次。由於每天都有數百萬名觀眾使用網飛的登入頁面，所以可以得知很多事。</p> <p>將這個網站與使用紙張開發的選擇架構來比較。首先，與網飛不同的是，每次你做一個條目時，一張紙無法讓你用來打電話到家裡核對，書面格式也很難調整。要了解這一點，請想像一下報稅表格。你可能還記得那些含有類似「如果C列的總數大於D列的總數，那麼請除以五，然後將得出的數字填入第八行」這種說明的表格。這至少也可以說是很麻煩的。</p> <p>那麼網飛是如何做到的呢？在我開發第一個關於選擇架構的大學課程時，我努力傾聽學生的意見。他們比我花更多時間上網。在課程結束時，我總是問他們最喜歡和最不喜歡的架構。在大多數的學年裡，最佳和最差架構獎項的得主都是網飛。當我詢問原因時，我聽到以下幾點：「我喜歡網飛，因為它會找到一些我愛看的東西。」、「我討厭網飛，因為我找不到想看的東西。」</p> <p>仔細聆聽這些對話就會發現，有些選擇者的目標與網飛的目標脫節了。網飛並沒有試圖優化客戶滿意度，或者他們說的「快樂感」。正如網飛的一位產品工程協理所說過的，網飛試圖追求效率最大化，也就是在內容上「將花的每塊錢所能得到的快樂感最大化」。有些節目，比如《王冠》，就能帶來極大的快樂感，但製作成本昂貴，每集成本超過一千萬美元。如果節目選單上都是這樣的節目，可能會讓人高興，但訂閱費用就會高得讓人望而卻步，讓網飛從此消失。相反的，它的選擇架構的目標是找到能以低廉價格讓你快樂的內容。</p> <p>根據網飛全球媒體公關主任珍妮．麥卡貝（Jenny McCabe）的說法：「我們尋找那些相對於授權成本而言，可以帶來最高收視率的作品。」</p> <p>正如評論所顯示的，網飛是否與你有相同的目標，取決於你想找什麼。如果你把網飛視為影片的國會圖書館，裡頭包含有史以來製作過的所有節目，那你會感到失望。</p> <p>但如果你要找的是一個可以輕鬆又高效率地娛樂你的通路，那你就找到了理想的影片服務平台。<strong>（摘錄整理自《選擇，不只是選擇》，先覺出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%96%E7%B6%B2%E9%A0%81%E8%83%8C%E6%99%AF%E9%A1%8F%E8%89%B2-300.jpg" style="width: 300px; height: 343px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_先覺出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span> </strong></span><strong>選擇，不只是選擇：全美決策領域最知名教授，告訴你選項背後的隱藏力量</strong></p> <p>艾瑞克．J．強森（Eric J. Johnson）／著；林麗雪／譯</p> <p>先覺出版</p> <p>售價：450元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>艾瑞克．J．強森（Eric J. Johnson）</strong></p> <p>哥倫比亞大學商學院教授、諾曼艾格商業中心主席（Norman Eig Chair of Business）。他於1997年創辦了華頓商學院電子商務中心，在2001年又共同創立了哥倫比亞大學商學院的決策科學中心，至今仍是中心的主任。</p> </div></div></div>
2022/5/18 07:00未署名https://www.ithome.com.tw/article/150902
重構與效能
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>重構是在不改變程式可觀察行為的情況下，對既有的程式碼進行調整，提高程式碼的可理解性；效能最佳化（optimization）也是在不改變程式可觀察行為的情況下，對既有的程式碼進行修改，然而，其目的卻是另外一個：讓程式的運行在時間或空間上更有效率。</p> <p><span style="font-size:28px;"><strong>背道而馳的兩個活動？</strong></span></p> <p>在〈<a href="https://bit.ly/3xnE5tP" target="_blank">IsOptimizationRefactoring</a>〉中，Martin Fowler就談到了，重構與效能最佳化是兩個不同的概念；甚至在許多情況下，兩個活動後的程式碼，結果會是背道而馳，效率與可讀性之間像是一種權衡，有一方增加，另一方就看似減少。</p> <p>例如，為了讓程式運行更有效率，程式碼往往會變得更為複雜，像是：在採用時間或空間的權衡上，有著更複雜考量的資料結構、實現有著更複雜數學或理論的演算法、撰寫更能發揮底層效率的特定語法等。</p> <p>相對地，為了讓程式碼更易於理解，常會做出讓（局部）程式碼變慢的修改，就像Martin Fowler的《重構》第1章的簡單示範，為了切分出獨立的子任務，必須將一個迴圈能做完的事，拆分使用數個迴圈來完成，為了避免函式過於冗長，必須將一個函式能做的事情，抽取為數個函式，為了讓物件不致於臃腫，必須將一個物件能擔負的職責，細分為數個不同職責的物件等。</p> <p>Donald Ervin Knuth也講過：「過早最佳化是萬惡根源」，比起效能，可讀性更為重要，對吧？不對！先前專欄〈<a href="https://www.ithome.com.tw/voice/80738" target="_blank">不只靠青春飯的程式人</a>〉就談過了，「過早最佳化是萬惡根源」這句話有被濫用的情況；另一方面，Martin Fowler在《重構》也談過，他並不贊成為了提高設計的純潔性而忽略了程式的效能。</p> <p><span style="font-size:28px;"><strong>尋找3%至10%效能關鍵？</strong></span></p> <p>Knuth談到的是「97%的情況下，過早最佳化是萬惡根源」，Martin Fowler談到的是「90%的最佳化工作都是白費工」，尋找那3%到10%的效能關鍵、加以調整，對於效能最佳化才有真正顯著的助益，而這不是憑空想像，必須有適當的評測工具，透過具體的資料分析，來找出那關鍵的3%至10%。</p> <p>然後呢？效能瓶頸若源自於程式面，終究還是必須回到程式上的修改，然而，粒度是個問題，如果程式碼一團混亂，我們有辦法看出造成瓶頸的這段程式碼，問題是出在資料結構、演算法、不合理的實現方式、無用冗餘的程式碼，或甚至只是臭蟲造成的嗎？</p> <p>更進一步地，如果真的在一團混亂的程式碼找出問題了，有信心修改嗎？是的！應該先建立測試，以確保修改後功能正常，不過，面對一團流程、狀態上下相依的邏輯泥塊，建立測試絕對是個大挑戰──別的不說，就算只是想建立一個大致的測試覆蓋率，都會是個問題。</p> <p>Martin Fowler曾經談到：「雖然重構可能使軟體運行更慢，但也使軟體的效能最佳化更容易」，這幾句話看似前後矛盾，然而，Martin Fowler談到箇中的祕密就在於，在進入效能最佳化的階段前，不對效能過於關注，先去建立易於理解、可以最佳化的程式。</p> <p>不過，正如〈<a href="https://www.ithome.com.tw/voice/80738" target="_blank">不只靠青春飯的程式人</a>〉談過的，這並非要開發者撰寫程式時，完全不考量效能，若經驗上已知某演算、資料結構或語言特性可有效率地解決問題，也不影響可讀性，就應該使用，所謂「不對效能過於關注」的意思是，在可讀性與效能無法兼得時，就以可讀性優先，等到進入效能最佳化階段後，再來遵循特定的流程進行調整，以取得足夠的效率。</p> <p><span style="font-size:28px;"><strong>進入效能最佳化階段</strong></span></p> <p>易於理解的程式碼，每個子任務的粒度會比較小，而透過評測工具進行解析時，往往也能找出更小範疇的效能瓶頸，在動手最佳化之前，建立測試也相對地容易，而真正要動手時，由於程式碼的粒度小，相對而言，在理解瓶頸部份的程式碼做了什麼事情時，也會比較容易。</p> <p>如果仍然不容易理解，要做的第一件事仍是動手重構，提高可讀性，往往在這個階段，我們就可以從事基本的最佳化，像是對程式中重複、冗餘或浪費資源的部份進行調整，或者找到能套用執行環境原生特性的地方，無論是使用特定語法、函式、惰性、非同步，或甚至平行化等方案。</p> <p>如果覺得有瓶頸的部分，或許可以透過某些演算法（或資料結構）來加以改善，要做的事情也是先重構，讓演算法的實現成為一個子任務，並讓子任務有個清楚協定，例如，基於某個函式簽署或物件行為，令套用演算法前、後的程式碼，就像是在這類介面底層的不同實作。</p> <p>這就是Martin Fowler說的，易於理解的程式就是可以最佳化的程式，他在《重構》也談到，在進入效能最佳化階段之後，每個修改也應該是小幅度的，並且通過測試、確認功能正確後，進一步透過評測工具，看看效能有無增益，如果沒有就必須撤回修改，嘗試其他的改進，這種小幅度的修改、測試、評測，必須持續不斷，直到達到效能符合需求為止。</p> <p>另一方面，開發者在涉及採用其他演算法來改進效能時，往往認為程式就會複雜化，不過，這應該進一步地去思考，複雜化的來源是什麼。</p> <p>有些時候，演算法本質上的複雜，例如，演算法追求特定效率時必須採用的原理，必須理解特定領域知識或者數學模型等；有時來源與特定語言實現演算法的難易度有關；然而，有時某個演算法看來複雜，純粹就只是開發者在表示或實作演算法時，沒有給予良好的可讀性！</p> <p>舉例來說，經常我在面對一些演算法的虛擬碼或特定語言實現時，都會倒吸一口氣「天啊！這虛擬碼（程式碼）也太冗長了吧！」這時，我會做的，就是對它進行重構，逐段去找出演算法中的子任務，再將這些部分抽取出來，逐步令演算法變得可讀，這麼一來，在採用自身想使用的語言實現時，也能逐個子任務去實現、建立測試，確認每個子任務的功能符合需求。</p> <p>這麼一來，在這些子任務都實現、完成之後，往往整個演算法的實現就自然成形了；進一步地，我們在評測效能的時候，演算法的可讀性就能派上用場，也就能依自身的需求，來調整演算法，以便改善效能。</p> <p><span style="font-size:28px;"><strong>想調整效能？先增加可讀性！</strong></span></p> <p>實施重構、令程式碼變得可讀性時，乍看之下，我們可能會覺得（局部）程式碼變慢了，然而現代軟體在開發時，影響效能的原因太多了，採用的語言、執行的環境等都有可能，為了在真正面對效能瓶頸時，能有效地評估、理解、修改，程式碼必須具備可讀性！</p> <p>事實上，重構與效能最佳化並非背道而馳的兩個活動，雖然重構不一定會直接增加效能，但是，重構改善了程式碼的可讀性，而可讀性高的程式碼，能為效能的調整增加更多可行性！</p> <p>因此，開發者應時時讓程式碼保持在易於理解的狀態，如果未來想調整效能時，就會易於實施。如果我們手邊的程式碼並不是這麼一回事，先動手重構，設法增加可讀性，這會是效能最佳化前的必行之路！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E9%87%8D%E6%A7%8B">重構</a></div><div class="field-item even"><a href="/tags/%E6%95%88%E8%83%BD%E6%9C%80%E4%BD%B3%E5%8C%96">效能最佳化</a></div></div></div>
2022/5/18 07:00作者林信良https://www.ithome.com.tw/voice/150903
不滿推特配合度低，馬斯克揚言收購恐無法進行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周因不滿推特估算假帳號方法的解釋，馬斯克（Elon Musk）說，在推特（Twitter）確實說明估算方法之前，收購交易無法進行。</p> <p><a href="https://twitter.com/elonmusk/status/1526465624326782976" target="_blank">馬斯克指出</a>，他的收購提議前提是推特提交的SEC文件要精確，而由於推特執行長Parag Agrawal公開拒絕證明平臺假帳號小於5%是怎麼估出來的，因此這樁交易在他提出證明之前無法往前邁進。</p> <p><a href="http://twitter.com/elonmusk/status/1526465624326782976" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-elonmusk-1.png" style="width: 560px;" /></a></p> <p>此事出在馬斯克上周五懷疑推特假帳號比例可能名實不一。他認為平臺上假帳號比例大於財報宣稱的小於5%，在與推特確認計算方法同時，將暫緩收購案的進行。</p> <p><a href="https://twitter.com/elonmusk/status/1525291586669531137" target="_blank">周日馬斯克提出</a>將對其粉絲的帳號隨機抽樣100名研究，並邀請其他人進行同樣的測試方式。</p> <p><a href="https://twitter.com/paraga/status/1526237583843287040" target="_blank">推特CEO Parag Agrawal周二回應</a>判斷是否為垃圾及假帳號不像馬斯克說得那麼簡單，有許多帳號表面上是假帳號，但實際是真人操作，必須結合公開及一些推特內部的資訊才算得出來。基於此他們不認為可由外部進行。外人不可能知道哪些帳號被列入可獲利的每日經常用戶（Monetized daily active users，mDAU）。</p> <p><a href="http://twitter.com/paraga/status/1526237583843287040" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0518-twitter%20ceo%20Parag%20Agrawal%20at%200517.png" style="width: 576px;" /></a></p> <p>Agrawal說推特利用captcha、電話驗證及人力驗證等方法，每天停權50萬個垃圾帳號，每周封鎖數百萬個，大部份在使用者看到前就已夭折。<a href="https://twitter.com/paraga/status/1526237589534953472" target="_blank">為此他堅稱</a>，推特內部統計，過去4季平臺上的假帳號率遠低於5%，且計算的誤差區間使他們對自己每一季的公開財報有信心。</p> <p>不過馬斯克顯然並不滿意推特方面的說詞。<a href="https://twitter.com/elonmusk/status/1526250477456965634" target="_blank">他認為</a>外人必然有方法可以驗證假帳號，否則廣告主無法評估投入廣告預算的效果。</p> <p>此外，馬斯克也認為，推特假帳號比例約為20%，是推特宣稱的4倍。</p> <p>第三方個人研究人員或廠商推測推特假帳號比例在10%到20%之間。例如<a href="https://sparktoro.com/blog/sparktoro-followerwonk-joint-twitter-analysis-19-42-of-active-accounts-are-fake-or-spam/" target="_blank">有公司估計為19.42%</a>、市調廠商<a href="https://www.reuters.com/technology/do-spam-bots-really-comprise-under-5-twitter-users-elon-musk-wants-know-2022-05-13/" target="_blank">Cyabra估計為13.7%</a>。<a href="https://twitter.com/ismailfahmi/status/1525312723235778560" target="_blank">另一人則認為</a>還有分真的機器人和人機合一的機器人。</p> <p>馬斯克念茲在茲要追查假帳號比例，他宣稱帳號數是推特穩健財務的關鍵，而他也以消除假帳號作為其收購計畫的重點。但外界認為馬斯克可能是想藉題發揮，以此砍低推特的收購價，或是想退出收購，但以此為由不付「悔婚」的10億美元。</p> <p>受到馬斯克表達收購案打住之後，推特股價由上周最高的47.69美元，周二一早已跌到37.22美元。</p> </div></div></div>
2022/5/18 07:55作者林妍溱https://www.ithome.com.tw/news/150968
研究指稱許多網站在使用者還沒提交前，就已外洩所輸入的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一群來自荷蘭Radboud大學、瑞士洛桑大學與比利時魯汶大學的研究人員，<a href="https://homes.esat.kuleuven.be/~asenol/leaky-forms/leaky-forms-usenix-sec22.pdf" target="_blank">在本周公布了一份研究報告</a>，指出有些網站在使用者輸入表單但並未提交之前，追蹤器就得以取得相關內容，諸如電子郵件帳號與密碼。</p> <p>此一研究報告名為《Leaky Forms : A Study of Email and Password Exfiltration Before Form Submission》，研究人員針對全球前10萬個網站展開調查，從歐盟及美國執行爬蟲程式，透過桌面與行動瀏覽器，並使用3種不同的Cookie同意設定來調查使用者同意與否，總計爬梳了全球前10萬個網站的280萬個網頁。</p> <p>相關的爬蟲程式能夠偵測網頁上的電子郵件欄位，還能填入電子郵件與密碼，同時攔截存取這些欄位的腳本程式。</p> <p><a href="https://homes.esat.kuleuven.be/~asenol/leaky-forms/#advanced_matching" target="_blank">調查顯示</a>，從歐盟執行的爬蟲程式發現有1,844個網站在使用者填入表單，但尚未提交之前，就讓追蹤器蒐集使用者所填入的電子郵件，自美國執行的爬蟲程式則發現了2,950個網站擁有同樣的行為，當中有60%的網站是一樣的。</p> <p>此外，研究人員還發現有41個追蹤器的網域是未知的。</p> <p>除了電子郵件之外，還有52個網站意外地讓行為重播供應商（Session Replay Provider）蒐集了使用者所填入的密碼。</p> <p>上述的電子郵件或密碼的蒐集行為，都是在使用者填入資料，但尚未提交之前就發生的。</p> <p>值得注意的是，不管是自歐洲或美國造訪，在使用者尚未提交電子郵件就外洩的前十大網站中，有不少為新聞網站，包括USA Today、英國的Independent、News Week、Business Insider、Time、Fox News與The Verge等，不過它們都已在接到通知後，於今年2月修補了此一臭蟲。</p> <p>而蒐集這些網站未提交表單的第三方追蹤器則來自於不少知名業者，包括Adobe、Oracle、Salesforce、Meta與TikTok等。</p> <p>當中比較特別的是Meta與TikTok，因為它們的追蹤器都具備自動進階比對（Automatic Advanced Matching）功能，可自動自網路上的表單中蒐集雜湊的使用者標識符，以用來遞送目標式廣告，而且它們並無法辨識「提交」鍵，而是在使用者執行任何點擊時，也許是其它按鍵或連結，就會自動蒐集使用者已輸入的雜湊個人資訊。</p> <p>在發現此事之後，研究人員再針對這10萬個網站執行了額外的爬蟲程式，以檢查哪些外洩是因為無關的按鍵而造成，結果分別有8,438個（美國）及7,379個（歐盟）網站會將使用者資料傳送給Meta，也分別有154個（美國）及147個（歐盟）網站會將使用者資料傳送給TikTok。</p> <p>至於外洩密碼的52個網站中，最知名的莫過於俄羅斯最大搜尋引擎Yandex，研究人員相信這類的蒐集行為都是意外，而且已通知相關業者。</p> </div></div></div>
2022/5/17 22:09作者陳曉莉https://www.ithome.com.tw/news/150962
【資安日報】2022年5月17日，駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩個月駭客透過釣魚郵件散布竊密軟體，進而在受害電腦上偷取各式上網應用程式的帳密、加密貨幣錢包資料的情況，可說是不時傳出。但最近出現有人一口氣在受害電腦投放3種工具的攻擊手法，而且，這些軟體都是用於竊密的工作。但為何駭客要這麼做？很有可能是藉由不同的工具截長補短，進而得到更詳細的資料。</p> <p>近期資安漏洞的修補也相當值得留意。研究人員揭露微軟在5月的例行修補（Patch Tuesday）裡，當中有一項SharePoint漏洞CVE-2022-29108，是之前二月修補不完整所造成。</p> <p>另一項漏洞則是出現於SonicWall的SSL VPN設備SMA 1000系列，其中最嚴重的漏洞CVSS風險層級達到8.2分，攻擊者一旦利用這項漏洞，可在不需身分驗證的情況下，繞過存取控制機制。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/phishing-campaign-delivering-fileless-malware"><span style="color: rgb(0, 0, 0);">駭客一口氣散布3種無檔案惡意軟體，意圖竊取受害電腦資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1652300758381.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1652300758381.png" style="width: 300px; float: right;" /></a>攻擊者在4月、5月，透過釣魚郵件散布竊密軟體的情況不時傳出，但如今有人一口氣利用三種惡意軟體來偷取電腦裡的機密。資安業者Fortinet指出，他們近期發現有人透過付款結果的通知信件，發動釣魚郵件攻擊，一旦收信人開啟附件的Excel附加元件檔案（XLAM），並依照指示啟用VBA巨集時，此巨集就會呼叫作業系統的WMI元件，竄改MSHTA.EXE執行檔檔名並下載惡意HTML檔案，然後觸發PowerShell程式碼下載AveMariaRAT、BitRAT、PandoraHVNC等無檔案式（Fileless）的惡意軟體，進行竊取電腦各式機密的工作。</p> <p>為何駭客要同時部署這麼多個惡意軟體？研究人員沒有進一部說明，但很有可能是駭客想要藉此收集更為完整的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://trendmicro.com/en_us/research/22/e/fake-mobile-apps-steal-facebook-credentials--crypto-related-keys.html"><span style="color: rgb(0, 0, 0);">變種Facestealer竊密程式鎖定手機用戶，截取臉書帳密或假藉挖礦服務洗劫加密貨幣錢包</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png" style="width: 200px; float: right;" /></a>駭客透過應用程式市集提供手機App為由，來散布惡意軟體的情況近期時有所聞，且用戶可能難以分辨。趨勢科技最近偵測到逾200款安卓竊密軟體Facestealer變種，攻擊者企圖用來竊取受害者的臉書帳密，或是宣稱提供挖礦服務，來騙取受害者的錢包私鑰或是通關密語（Seed Words）。</p> <p>針對竊取臉書帳密的惡意軟體，駭客將其偽裝成VPN軟體、相機應用程式，或是健身軟體等，其共通點是在受害者首度啟動App時，便會要求他們登錄臉書帳號才能使用，進而透過JavaScript程式碼側錄用戶輸入的資料，此外，這些應用程式也會藉由收集Cookie，拼湊個人身分資料並加密，再傳送到攻擊者的伺服器。</p> <p>而研究人員也發現了超過40款宣稱提供雲端挖礦服務的App，一旦受害者啟動了App，駭客就會要求輸入私鑰來連接錢包，以便將挖取的加密貨幣匯入，但他們同時要求受害者收款的錢包至少要有100美元的加密貨幣，並佯稱提供新用戶0.1個以太幣獎勵，以吸引受害者連結多個錢包。值得留意的是，這些App大多成功上架到Google Play市集，且有部分被安裝超過十萬次，受害者可能相當廣泛。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/a-new-secret-stash-for-fileless-malware/106393/"><span style="color: rgb(0, 0, 0);">駭客利用Windows事件記錄機制埋藏惡意軟體行蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png" style="width: 300px; float: right;" /></a>駭客為隱藏惡意軟體的行蹤，他們最近也濫用作業系統的事件記錄工具，而引起研究人員的注意。卡巴斯基最近揭露他們在今年2月，發現將Shell Code存放於Windows事件記錄的惡意軟體攻擊行動SilentBreak，駭客藉此隱匿無檔案（Fileless）的木馬程式。</p> <p>駭客透過惡意軟體投放器（Dropper），將Shell Code的酬載注入到Windows大量授權金鑰管理服務（KMS）的事件記錄日誌，並複製及濫用作業系統元件WerFault.exe、wer.dll，藉由DLL搜尋順序挾持（DLL Search Order Hijacking）載入惡意程式碼。而上述的投放器也會在Windows的事件記錄尋找特定內容，再組合成下一個階段的攻擊程式碼。研究人員指出，這樣的手法過往幾乎沒有出現過，他們推測很可能是APT駭客所為。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://starlabs.sg/blog/2022/05/new-wine-in-old-bottle-microsoft-sharepoint-post-auth-deserialization-rce-cve-2022-29108/"><span style="color: rgb(0, 0, 0);">三個月前修補的SharePoint漏洞被研究人員繞過，微軟再度進行修補</span></a></strong></h3> <p id="Zyxel">微軟於今年2月，修補SharePoint的反序列化漏洞CVE-2022-22005，但有研究人員發現，還有其他的方式能夠觸發上述漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png" style="width: 300px; float: right;" /></a>資安業者Security Technologies and Advanced Research Labs（STAR Labs）指出，他們在微軟修補CVE-2022-22005不久之後，就發現另一種能輕易繞過修補程式觸發漏洞的手法，攻擊者可透過在伺服器上建立SharePoint的清單，並上傳惡意PNG圖片檔案的附件，來進一步利用漏洞發動攻擊。一旦成功，將使得攻擊者執行網頁應用程式的IIS排程工作權限，進而在受害伺服器主機上執行任意程式碼。微軟獲報後於5月份例行修補（Patch Tuesday）予以修補，並將該漏洞登記為CVE-2022-29108進行列管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sonicwall.com/support/knowledge-base/security-notice-sma-1000-series-unauthenticated-access-control-bypass/220510172939820/"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備的高風險漏洞</span></a></strong></h3> <p id="Zyxel">資安業者SonicWall於5月10日發布資安通告，指出他們修補了SMA 1000系列（6200、6210、7200、7210、8200v）SSL VPN設備的3個漏洞，這些漏洞可讓攻擊者用於在未經身分驗證的情況下，繞過存取控制措施，CVSS風險層級從5.7分至8.2分不等，影響執行12.4.0與12.4.1版韌體的SMA 1000系列設備，該廠商推出12.4.1-02994版修補上述漏洞，並指出這些漏洞目前尚未出現遭到利用的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://digital-strategy.ec.europa.eu/en/library/proposal-directive-measures-high-common-level-cybersecurity-across-union"><span style="color: rgb(0, 0, 0);">歐洲推出第二版網路暨資訊系統安全指令，將擴大適用範圍</span></a></strong></h3> <p id="Zyxel">歐洲議會與歐盟會員國於5月13日，正式對於2020年歐盟委員會（EC）提出的網路暨資訊系統安全（Security of Network and Information Systems）修訂指令「NIS 2 Directive」達成共識，主要修訂內容將擴大此指令的適用範圍，延伸到電子通訊服務供應商、數位服務業者、廢水或廢棄物處理業者、產品製造商、郵政與物流業者、公共行政單位等，同時，新版指令也將提升歐洲組織的資安要求，例如，要著手解決供應鏈與供應商之間的資安問題，並對於組織沒有遵守相關義務的行為，向高階管理人員究責。歐盟成員國與歐洲議會將公布新版指令，並於20日後正式生效，歐盟會員國需在21個月內納入國家法令。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/17 18:12作者周峻佑https://www.ithome.com.tw/news/150959
NCC說明我國開放衛星無線電頻率政策，三大電信盼明確處理衛星與5G特定頻率干擾問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC在今年3月通過「電信事業申請衛星固定通信用無線電頻率核配有關事項草案」，以及審查作業要點，今天舉辦線上說明會，對外說明開放衛星頻率開放政策，中華電信、遠傳、台灣大哥大三家電信業者均關心，開放衛星使用特定頻率和現有5G頻率部分重疊，希望未來開放申請，釐清頻率干擾問題。</p> <p>根據行政院開放衛星頻率政策，規畫開放10.7到12.7GHz、13.75到14.5GHz、17.7到20.2GHz，以及27.5到30.0GHz等頻率，供同步與非同步衛星固定通信使用，核配衛星頻率涵蓋全國，使用期限為2年。</p> <p>NCC表示，開放衛星頻率依電信管理法選擇定期受理申請及審查辦理，申請者依規定需登記為電信事業，實收最低資本額為5億元，外國人直接持股不得超過49%，直接與間接持股不得超過60%，申請需提供申請書、無線電頻率使用規畫書、資格證明文件，經審查後取得頻率核配資格。</p> <p>電信事業申請衛星固定通信用無線電頻率核配，包括新設衛星通信網路或系統，既有衛星系統申請新增或變更使用頻率，以及頻率使用期滿申請再核配。</p> <p>此次釋出的衛星無線電頻率，其中27.9到29.5GHz因為和現有行動寬頻(5G)服務28GHz毫米波頻段使用頻率重疊，NCC要求需與行動寬頻業者達成協議，才能申請核配。此外，核配草案也根據ITU衛星干擾處理原則，不得對既設電臺造成干擾，非同步衛星不得干擾同步衛星，非同步衛星間頻率和諧共用。</p> <p>今天的說明會，NCC希望蒐集各界意見，作為未來政策調整參考。有業者提出實收資本額5億元過高的問題，希望能降低資本額限制至3億元；台灣資通產業標準協會代表則點出，建議頻率使用期限與國外接軌、國內核配頻率與國外不同，可能造成業者受國內與國外兩套規範、國外衛星業者發射信號難以規管等問題。</p> <p><strong>三大電信關切頻率干擾問題</strong></p> <p>另外，雖然NCC公告要求衛星使用頻率27.9到29.5GHz需和現有行動寬頻業者達成協議，方能向NCC申請核配，但三大電信仍對可能造成5G頻率干擾問題表達關切。</p> <p>台灣大哥大表示，除了核配草案中已規定，衛星業者應和行動寬頻業者達成協議，針對頻率干擾提出處理程序，建議也要明確釐清同頻、連頻等干擾處理的機制。另外，政府除了基於開放市場的政策，開放低軌衛星使用頻率外，考慮到國土安全、消費者權益、市場公平競爭，且基於戰爭、緊急災防的需要，低軌衛星通信服務可提升我國通訊網路韌性，國內業者與國外衛星業者合作時，建議規定不能簽署獨家合作協議，在無正當理由之下，不能拒絕其他電信業者向其批發採購服務。</p> <p>由於開放電信業者申請衛星無線頻率，可望吸引國外電信業者來臺申請，遠傳電信認為，主管機關可訂定獎勵等配套措施，鼓勵國外業者與本地業者合作，並在申請資料中檢附說明和本地業者的合作，甚至提供合作協議範本；其次是基於電信管理法，在維護國家安全、緊急利益之下，對電信業者應負的義務，建議同樣在公告中賦予低軌衛星業者提供緊急救難、國家安全時的網路援助義務。至於頻率干擾的問題，衛星的地面接收站設置位置和鄰近頻段所產生干擾，應有更明確的規範。</p> <p>中華電信也關心頻率干擾議題，該公司代表指出，Wi-Fi、衛星、5G、微波等無線通訊技術發展，擴大使用的無線頻率，因此重疊共用的情形愈來愈多，在頻率有限之下，能否和諧使用是關鍵，在電波的和諧使用上並非難題，例如5G使用28GHz毫米波頻段多為垂直場域應用，而衛星接收多設立在空曠地點，兩者在地理區域上並不衝突，在國際間將該頻段給衛星、5G使用也是必要的趨勢。</p> <p>但，在衛星使用頻率核配的公告裡，要求特定頻率核配需與行動寬頻業者達成協議，在實務上是否仍可調整做法，例如是否可比照現行行動通訊網路業務基地臺管理辦法第5條，為防止3.5GHz基地臺設置與衛星的地面接收站干擾，以無干擾之虞的相關說明文件，代替衛星地面接收站所有人同意架設說明文件，此次衛星頻率核配，在28GHz部分是否可能也採用此方式。</p> <p>NCC今天舉行公開說明會後，聽取各方的意見，後續完成法制作業，再公告受理申請。預計可能在6、7月間開始受理申請。</p> </div></div></div>
2022/5/17 18:52作者蘇文彬https://www.ithome.com.tw/news/150960
打造及銷售Jigsaw與Thanos勒索軟體的竟是一名55歲的心臟科醫生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-edny/pr/hacker-and-ransomware-designer-charged-use-and-sale-ransomware-and-profit-sharing" target="_blank">美國司法部本周揭露了一樁訴訟案</a>，被起訴的對象是一名居住在委內瑞拉的55歲醫生Moises Luis Zagala Gonzalez（Zagala），他不僅是一名心臟專科醫生，也是打造及銷售Jigsaw與Thanos勒索軟體的駭客，還會訓練客戶如何發動攻擊。</p> <p>根據美國聯邦調查局（FBI）的調查，Jigsaw是這名斜槓醫生早期的勒索軟體作品，它不僅能加密受害者的系統，還得以計算受害者企圖刪除勒索軟體的次數，Zagala還提醒客戶，倘若受害者所嘗試的次數太多，代表對方不會支付贖金，最好把對方的整個硬碟都刪除。</p> <p>Jigsaw還設有處罰機制，只要受害者重新開機一次，Jigsaw就可刪除1,000個檔案以示懲處，並標榜不僅能躲過防毒軟體，一旦完成加密，還可啟動自毀機制，讓受害者幾乎無從偵測或自行恢復檔案。</p> <p>2019年時Zagala打造了另一個名為Thanos的作品，這是一個勒索軟體建置工具，允許客戶建置自己的勒索軟體，以用來進行攻擊或租給其它駭客。Thanos有兩種商業模式，一是租賃，二是聯盟方案，讓客戶免費存取Thanos但必須與Zagala分享攻擊利潤。</p> <p>不僅如此，Zagala還會訓練客戶，包括教導他們如何部署勒索軟體，如何設計勒索信，如何自受害者系統上竊取密碼，或是如何設定接收贖金的比特幣位址等。深富教學熱忱Zagala更讓他的產品獲得不少好評。</p> <p>為了閃避追蹤，Zagala在網路上使用Nosophoros、Aesculapius與Nebuchadnezzar等別名，FBI至少派出兩名線民與Zagala接洽，最終在今年5月找到了一名將自己PayPal帳號借給Zagala使用、且居住在美國佛羅里達州的Zagala親戚，才確定了Zagala的身分，並得知他同時是法國與委內瑞拉的公民，現定居於委內瑞拉。</p> <p>倘若Zagala被定罪，那麼將因企圖入侵電腦與共謀入侵電腦被判處最高10年的刑期。</p> </div></div></div>
2022/5/17 19:10作者陳曉莉https://www.ithome.com.tw/news/150961
謀殺犯透過社交網站直播槍擊過程，再度掀起管控社交平臺的聲浪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名18歲的嫌犯Payton Gendron在5月14日至紐約州水牛城的一家超市開槍掃射，造成至少10名黑人中彈身亡，而他不僅透過Twitch直播攻擊過程，也坦承他的動機來自於4chan所張貼的仇恨言論，讓美國再度掀起管控社交平臺的聲浪。</p> <p>Gendron之前曾在4chan與Discord分享他的計畫，也引用了4chan上的某些仇恨言論，表達自己的種族主義與反猶太主義的觀點。攻擊時則透過Amazon旗下的Twitch直播，雖然Twitch宣稱在影片上架的兩分鐘內便將它移除，但影片很快就散播到其它社交平臺。</p> <p>根據<a href="https://www.washingtonpost.com/technology/2022/05/16/buffalo-shooting-live-stream/" target="_blank">《華盛頓郵報》（The Washington Post）</a>的報導，槍手直播時大約只有22名使用者看到，然而，有許多人將該影片轉傳到其它平臺，使得它被觀看的總次數超過300萬，其中一個置放在臉書上的連結吸引了500則評論與4.6萬次的分享，而且它留在臉書上長達10小時。</p> <p>不管是從匿名圖片分享網站4chan所學來的仇恨言論、於Discord分享計畫，或者是透過Twitch直播並被快速複製到其它社交網站，都再度引來美國呼籲嚴格管控社交平臺的聲浪。</p> <p>擁有律師身分的<a href="https://twitter.com/timkaine/status/1526165061529743367" target="_blank">美國維吉尼亞州參議員Tim Kaine表示</a>，Gendron居住在一個黑人人口不到1%的社區，卻開了幾個小時的車到水牛城去槍殺黑人，因為他相信黑人正逐漸取代白人，到底是誰在他的腦袋瓜植入了這些毒藥？我們必須制止大型科技業者繼續散布這些導致大屠殺的各種謊言。</p> <p><a href="https://www.governor.ny.gov/news/video-audio-photo-rush-transcript-governor-hochul-addresses-shooting-buffalo" target="_blank">紐約州長Kathy Hochul也在此案發生後發表了談話</a>，指出應該要停止在社交媒體上加劇仇恨的行為，業者必須更警覺地審查平臺上的內容，且平臺未能在第一時間刪除直播內容也應該負起責任。</p> <p>Hochul表示，紐約州將繼續與美國聯邦政府及各州討論社交媒體所呈現的問題，再加上法律制度及起訴，才是預防類似事件再度發生的最好防備。</p> <p>此外，此次的事件也讓部分媒體把矛頭指向德州的Bill 20社交法，以及標榜要讓Twitter言論自由的馬斯克（Elon Musk），<a href="https://edition.cnn.com/2022/05/16/tech/tech-buffalo-shooting-video-hb20/" target="_blank">《CNN Business》指出</a>，德州社交法限制了社交媒體審查內容的能力，並允許民眾控告擅自刪除言論的社交媒體，更有機會讓不實言論或影片存留於平臺上；至於<a href="https://www.theverge.com/2022/5/16/23076428/buffalo-shooting-video-elon-musk-twitter-content-moderation?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《The Verge》</a>則說，馬斯克認為封鎖所有超出法律規範的言論都叫審查，倘若從此一觀點來看，槍擊影片應該會被保留在平臺上，因為暴力影片不算非法「言論」。</p> <p>然而，<a href="https://www.protocol.com/policy/buffalo-shooting-social-media-policy" target="_blank">《Protocol》</a>則分析，規範社交平臺哪些言論是非法的在立法上一直是個難題，在針對社交平臺的規範上，美國的立法著多半鎖定反壟斷及隱私，而避免碰觸網路上的仇恨言論，因為這不僅是個相對棘手的問題，還必須非常謹慎以免踐踏言論自由。</p> </div></div></div>
2022/5/17 15:44作者陳曉莉https://www.ithome.com.tw/news/150955
舊金山警方測試以自駕車巡邏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vice.com/en/article/v7dw8x/san-francisco-police-are-using-driverless-cars-as-mobile-surveillance-cameras" target="_blank">《The Motherboard》報導</a>舊金山警察局已開始測試把自駕車用於警務上，包括監看環境，必要時協助調查。</p> <p><a href="https://s3.documentcloud.org/documents/21970950/av-interaction-guidelines-sfpd.pdf" target="_blank">媒體取得舊金山警方的一項文件</a>，告知警察人員在路上碰到警用自駕車時該如何應對。文件指出，自駕車會對持續對周圍環境錄影，具有協助調查的潛力。文件也說明如何存取這些錄到的證據，並說基於調查，這類行為已經做了許多次。</p> <p>舊金山警方未說明使用哪家自駕車作為調查用，但其文件提及Alphabet子公司Waymo及通用汽車（GM）的Cruise的自駕車。不過包括2家公司在內，加州現有9家廠商的自駕車正在道路測試中。</p> <p><a href="https://car.inotgo.com/2022/132/202205121912151382.html" target="_blank">這事引發電子疆域基金會（EFF）及隱私倡議者人士批評</a>，美國警方已經可以存取車牌辨識紀錄器、電子圍籬、智慧門鈴紀錄等，現在還能以自駕車作為監視輔助工具，使已經很密集的監控網更無所不在。</p> <p>為免引發隱私爭議，Waymo強調它的自駕車不會以蒐集的資料來辨識個人身份，而且警方必須循合法程序提出要求才能從Waymo取得影像資料。</p> <p>撇開隱私爭議，目前還未普及的自駕車對警方來說，或許都是很少有的經驗。文件中還要求警方除非在執法期間，不要叫自駕車靠邊停，非緊急狀況不要開車門。如果自駕車涉入造成碰撞事件，需要報告記錄。若警官看到行動中的自駕車違規，可以介入處理，但此時還不用對沒有駕駛的車子開單。但停車違規就得開單了。</p> </div></div></div>
2022/5/17 16:07作者林妍溱https://www.ithome.com.tw/news/150957
微軟宣布提高薪酬以留住人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟執行長Satya Nadella周一（5/16）以電子郵件通知員工，有鑑於通貨膨脹日益嚴重，再加上為了感謝員工的貢獻，將加倍提供基於績效的加薪預算，同時擴大至少25%的股票補償幅度，只要是副總經理（Senior Director）及以下的早中期員工都有可能受惠。</p> <p>《<a href="https://www.geekwire.com/2022/satya-nadella-details-microsoft-plan-for-significant-additional-investment-in-employee-compensation/" target="_blank">GeekWire</a>》與《<a href="https://www.businessinsider.com/microsoft-pay-raises-merit-increases-stock-grants-2022-5?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">Insider</a>》都取得了這份電子郵件，《Insider》也已獲得微軟的證實，表示此一行動除了考量通膨與生活成本增加等問題，也是用來感謝支持微軟任務、文化與客戶的員工。</p> <p>Nadella說明，每個國家的績效預算不同，主要根據當地的市場資料，在市場需求最大，以及處於早期至中期職業生涯的員工將可看到最大的漲幅；此外，針對所有67級與之下員工的股票補償幅度將增加至少25%。</p> <p>看起來微軟這波加薪活動並未針對階級更高的總經理或副總裁等職位，而此一加薪政策將於今年的9月1日生效。</p> <p><a href="https://www.ithome.com.tw/news/149254" target="_blank">今年2月Amazon也曾提高員工的薪資以留住人才</a>，當時該公司把企業及科技員工的基本年薪上限從原本的16萬美元（約450萬元新臺幣），提高到35萬美元（約980萬元新臺幣）。</p> </div></div></div>
2022/5/17 16:13作者陳曉莉https://www.ithome.com.tw/news/150958
Firebase大改版，正式支援開發框架Flutter和iOS原生語言Swift，當機分析也有大更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在I/O開發者大會也推出多項行動應用後臺Firebase的<a href="https://firebase.blog/posts/2022/05/whats-new-at-google-io">多項更新</a>。除了正式支援Google自家跨平臺行動開發框架Flutter之外，也支援更多Swift語言功能，這也意味著Firebase可以對iOS應用有更好的支援。眾多新功能中，Firebase當機分析服務Crashlytics更是大更新，大幅強化對Flutter應用追蹤和監控。</p> <p><strong>正式支援Flutter，並簡化套用Crashlytics步驟</strong></p> <p>據SlashData開發者基準測試研究，高達62%的Flutter開發者使用Firebase，但直到現在，Firebase才正式支援Flutter，現有Flutter上的Firebase plugin也都Beta版本狀態，轉為正式支援，Firebase也擴充了Flutter官方使用說明、相關專案程式碼及正式的客服支援。</p> <p>Firebase當機分析服務Crashlytics也特別強化了對Flutter的支援。過去，在Flutter中啟用Crashlytics的步驟十分繁複，還得在Firebase和Flutter介面中來回切換。現在，Flutter可以中匯入Crashtlytics plugin，執行一行Dart程式碼就能完成啟用，大幅簡化了安裝流程。</p> <p>此外，Crashlytics部分功能只支援原生開發的iOS或Android App，但現在用Flutter開發的App也能獲得完整支援，當機數據能送到Crashlytics分析。甚至，特別為了Flutter 開發的App增加了當機報告分類，以利開發者掌握當機細節。</p> <p><strong>Crashlytics與Android Studio和Google Play整合，簡化當機和除錯管理</strong></p> <p>從當機報告中找出問題後要到原始碼中找到對應的程式碼，往往讓人感到麻煩。Android Studio安裝Crashlytics分析後可以新增App Quality Insights機制，能直接下載當機報告，自動配對當機報告與相應的程式碼，開發者只需要點擊報告中的連結，就會直接打開對應程式碼。</p> <p>這個新機制，也能產生一份App版本、出現次數及執行環境等訊息的精簡報告，讓開發者更容易了解App運作情況，也方便重現當機情形。同時，在IDE介面中，如果某一段程式碼與當機報告有關聯，也會特別標註在程式碼中，可以直接從程式碼連結到相關的當機報告。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/crash.png" style="width: 600px;" /></p> <blockquote><p><span id="docs-internal-guid-6f3d9b9b-7fff-311f-aac8-e3ee7d6f1dde"><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">Android Studio的App Quality Insights介面中，開發者可以從出錯程式碼中打開對應的當機報告，也可以從當機報告中連結到對應的程式碼。</span></span></p> </blockquote> <p>Crashlytics也整合了Google Play發布流程功能（Release Tracks），可以按照發布流程來篩選當機的事件。Tracks功能是Google Play上的版本發布流程機制，用來自訂不同的發布流程，如「內部測試Track」、「公開測試Track」、「正式版本Track」使用不同的APK版本。開發者瀏覽當機報告時，現在不用特別記得哪些版本的當機事件訊息，屬於內部測試或是公開測試的事件，只需要勾選對應Track，就能直接選取同一個發布流程的所有當機報告。這對於頻繁小幅更新App的開發者來說，尤其好用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/track.png" style="width: 600px;" /></p> <blockquote><p><span id="docs-internal-guid-b2671139-7fff-d35f-4d45-a2d7f9813ed5"><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">只要在</span><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">Crashlytics</span><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">介面中選取對應的發布</span><span style="font-size: 11pt; font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">Tracks</span><span style="font-size: 11pt; font-family: "Times New Roman"; color: rgb(0, 0, 0); background-color: transparent; font-style: italic; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">，就能直接選取該分類的所有版本。</span></span></p> </blockquote> <p><strong>原生iOS應用支援更進一步，終於完整支援Swift語言</strong></p> <p>這次改版對原生iOS應用的支援也更進一步。Swift語言雖然早在2014年就推出，在iOS開發者社群逐漸占有一席之地。然而，Firebase的Apple SDK基於相容性原因，幾乎都是以Objective-c語言撰寫，再透過Binding方式支援Swift，因此無法支援部分Swift語言功能，如Codable協議。</p> <p>這次改版，Firebase也宣布完全支援Swift語言，蘋果開發者可以直接使用最新的Swift功能，像是可以在SwiftUI中用Firebase的Custom View Modifier，直接將View與Firebase資料庫中的資料即時連結。</p> <p><strong>其他更新，強化擴充管理、流量管理、效能管理及發布管理新功能</strong></p> <p>除了新框架與新語言的支援，Firebase另有不少有用的小更新，例如擴充管理功能增加了「Events」功能，開發者可以在擴充功能上，針對更多使用情境來設計觸發事件。例如，在收費擴充功能中增加觸發事件，當客戶取消訂閱時自動寄送Email慰留。Firebase本地模擬器套件，也可以提供完整的擴充管理功能支援，開發者可以先在本地環境測試，調整後再上線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/events(2).png" style="width: 600px;" /></p> <p>驗證造訪流量的功能Firebase App Check、App表現監控／管理功能Firebase Performance Monitoring Alerts以及App發布管理功能App Distribution，也都從Beta版升級為正式版，並有少數新功能。</p> <p>Web App部署流程也更精簡，可以一行指令自動完成。過去，部署Web App需要相當繁複的設定，得在客戶端及伺服器端分別設定。現在，由Next.js和Angular Universal發開的Web App，只要在Firebase CLI中用一行「firebase deploy」指令，Firebase就會自動完成其他步驟，將Web App部署完畢。Firebase表示，此功能未來將支援更多常見開發框架。</p> <p> </p> <p> </p> </div></div></div>
2022/5/17 14:40作者郭又華https://www.ithome.com.tw/news/150952
英特爾修補10多項晶片韌體高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/security-center/default.html" target="_blank">英特爾上周釋出10多項安全更新</a>，以修補多項存在從資料中心到工作站、行動裝置等多種平臺的晶片韌體漏洞。</p> <p>在所有受影響的產品中，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00601.html" target="_blank">IPU-BIOS存在11項漏洞</a>，包括輸入驗證不當（CVE-2021-0154）、越界寫入（CVE-2021-0153）、存取控制（CVE-2021-33123）及未捕捉例外CVE-2021-0190（Uncaught exception）等4項風險等級8.2的漏洞，後果為造成攻擊者擴張權限或資訊洩露。另5個漏洞則涉及本機權限升級（LPE），風險值在7.4到7.9之間，分別為CVE-2021-33122、CVE-2021-0189、CVE-2021-33124、CVE-2021-33103、CVE-2021-0159。</p> <p>影響產品涵括7-10代用戶端、Rocket Lake及Xeon Scalable伺服器端、Core Processor with Hybrid Technology行動處理器、桌機、工作站等產品。</p> <p><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00613.html" target="_blank">一項更新則修補</a>Boot Guard及TXT（Trusted Execution Technology）中的硬體debug模式、及處理器INIT設定中的高風險（風險值7.3）權限擴張（EOP）漏洞CVE-2022-0004，影響Celeron、Atom、Pentium、Xeon、以及8到12代Core處理器多項產品。</p> <p><a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00563.html" target="_blank">另一項安全更新則修補Optane SSD、SSD韌體中的3項高風險漏</a>洞，包括DoS競爭條件（Race condition）漏洞CVE-2021-33078、本地權限升級漏洞CVE-2021-33077、及資訊洩露漏洞CVE-2021-33080。</p> <p>其他高風險漏洞涵括<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00654.html" target="_blank">NUC韌體3個風險值為7.5的本地權限提升（LPE）漏洞</a> ，起因分別為輸入驗證不當（CVE-2022-24382）、緩衝限制不當（CVE-2022-24297）、緩衝存取不當（CVE-2022-21237）。以及影響In-Band Manageability軟體的權限擴張漏洞。</p> <p>除了高風險漏洞外，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00648.html" target="_blank">英特爾還修補一個推測式跨儲存繞過（speculative cross-store bypass）漏洞</a>，意為軟體使用的資料意外洩露給同一臺電腦上的惡意程式，造成敏感資料洩露，影響所有英特爾處理器。這個漏洞名為CVE-2021-33149，屬於Spectre和Meltdown家族的同一類。但英特爾將該漏洞列為低風險。</p> <p>針對所有漏洞，英特爾說未發現有被用來攻擊用戶的情形。</p> </div></div></div>
2022/5/17 15:07作者林妍溱https://www.ithome.com.tw/news/150953
LFG打算補償UST用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/LFG_org/status/1526126703046582272" target="_blank">負責維護Terra區塊鏈生態體系的Luna Foundation Guard（LFG）周一（5/16）公布</a>了自穩定幣TerraUSD（UST）從5月8日與美元脫鉤以來，該基金會所執行的補救措施，並宣布計畫補償UST用戶。</p> <p>自5月8日到5月13日，短短幾天內，理應與美元掛鉤的UST價格就從1美元滑落到0.13美元，<a href="https://www.ithome.com.tw/news/150911" target="_blank">用來平衡UST價格的姐妹幣Luna更從60美元崩盤到0.01美元</a>。</p> <p>LFG表示，7日時該基金會還握有龐大的儲備資產，它們皆為加密貨幣，涵蓋比特幣（BTC）、幣安幣（BNB）、泰達幣（USDT）、USDC、AVAX、UST及Luna等，其中，價值最高的是80,394個比特幣。</p> <p>在UST於5月8日開始與美元脫鉤之際，LFG即開始將儲備資產轉換成UST，直接於鏈上將比特幣移轉給某個交易對象，以於短時間內進行大規模的交易。</p> <p>截至5月16日止，LFG手上的儲備資產只剩下313個比特幣、同樣數量（39,914個）的BNB、同樣數量的AVAS（1,973,554個），2,600倍的UST，以及130倍的Luna幣，並售罄了USDT與USDC，意謂著LFG已以儲備資產購入大量的UST與Luna幣，但依然無法扼止這兩個加密貨幣的下滑。</p> <p>5月17日時，UST的價格為0.1美元，Luna幣更僅剩0.000189美元。</p> <p>不過，LFG表示，剩下的儲備資產將用來補償現有的UST用戶，而且將從小型用戶開始，並正在研究各種遞送的方法。</p> <p><a href="https://www.coindesk.com/business/2022/05/16/luna-foundation-guard-left-with-313-bitcoin-after-ust-crash/" target="_blank">《CoinDesk》指出</a>，LFG儲備資產在5月初時還有100億美元的價值，而現在若扣除UST與Luna幣，則僅剩8,000萬美元。<a href="https://www.elliptic.co/blog/what-happened-to-the-3.5-billion-terra-reserve-elliptic-follows-the-bitcoins" target="_blank">至於區塊鏈分析業者 Elliptic則估計</a>，UST與Luna幣用戶在過去這一周大概就損失了420億美元。</p> <p>LFG現有的儲存資產已毫無可能完全彌補用戶的損失，同時使用者也質疑在LFG處分比特幣時，是否涉及內線交易，圖利特定業者，<a href="https://twitter.com/LFG_org/status/1526215438685720576" target="_blank">LFG很快就反駁這項說法</a>，澄清所做的一切都只是為了要維繫UST與美元的掛鉤。</p> </div></div></div>
2022/5/17 12:04作者陳曉莉https://www.ithome.com.tw/news/150950
內建VPN的微軟Edge瀏覽器正式釋出測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/articles/introducing-microsoft-edge-secure-network/m-p/3367243#M6471" target="_blank">上周五微軟宣布</a>將包含VPN的Edge版本釋出給測試人員。</p> <p><a href="https://www.ithome.com.tw/news/150689" target="_blank">微軟4月底預告</a>Edge瀏覽器將新增名為Secure Network 的VPN功能，先是將預覽版提供給一小群用戶取得初步回饋和建議，現在正式將包含Secure Network的版本，釋出給Edge的Canary頻道。微軟邀請用戶利用內建的控制開、關Secure Network試用。</p> <p>Secure Network可在傳送連線資料時，遮蔽用戶裝置的IP位址、加密並經由合作廠商Cloudflare提供的安全網路，把資料送到一臺代管在不同地區的伺服器，最後再送到目的地，如此一來歹徒、ISP、或任何想知道用戶個資的組織，就無法得知用戶真實IP位址、造訪了什麼網站、輸入什麼資料、或是透過蒐集用戶側寫（profile）傳送精準廣告。</p> <p>根據早期實驗的結果，某些活動，像是串流影片，分配VPN連線資源的速度，比線上購物及上網等其他活動快上許多。</p> <p>此外，微軟和Cloudflare合作，以後者分布全球的資料中心作為中介站點，這是為了保護用戶IP不曝光的同時，依然能享受到本地化的效果（例如搜尋），因而能兼顧隱私及本地化的好處。</p> <p>最後，要使用Microsoft Edge Secure Network，用戶必須具備並登入Microsoft帳號，以利微軟蒐集每月Edge Secure Network服務頻寬用量，並在限額用罄前發出提醒。每個帳戶每月可用免費頻寬上限為1GB。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/77f7114f-9652-4d26-9b03-5bb138093a73.png" style="width: 462px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟強調，登入只是為了驗證用戶身分，Secure Network不會傳送用戶身分或帳號資料。而Cloudflare也會蒐集一小部份關於HTTP/HTTPS呼叫的診斷和支援資訊，以辨識來源、目的地IP、傳輸埠、時間戳記及Edge提供的存取令牌，但不包含用戶個資。Cloudflare會在每25小時後永久刪除這些資料。</p> </div></div></div>
2022/5/17 10:35作者林妍溱https://www.ithome.com.tw/news/150949
【資安日報】2022年5月16日，駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和Wor…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自上週末到星期一重要的資安新聞裡，研究人員揭露駭客組織SideWinder的攻擊行動相當值得注意。該組織於最近2年就發動近千次的攻擊行動，頻率極高，範圍也從一開始針對中亞，已經擴及歐洲、亞洲等區域。</p> <p>殭屍網路Sysrv變種病毒的攻擊行動，也引起資安業者的注意，因為，駭客鎖定了Java框架Spring和內容管理系統WordPress下手，並能入侵Windows與Linux主機來進行挖礦。</p> <p>兒童使用的軟體也可能成為駭客攻擊家中電腦管道。資安業者發現鎖定熱門線上遊戲平臺機器磚塊（Roblox）的攻擊行動，一旦受害電腦是父母與小孩共用，就有可能導致攻擊成功後，駭客也有機會從中竊得父母所屬企業的內部資料。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/05/12/sidewinder_apt_attack_spree/"><span style="color: rgb(0, 0, 0);">駭客組織SideWinder橫行歐亞，2年發動近千次攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基於5月10日到13日，在新加坡舉行的Black Hat Asia 2022大會上，揭露APT駭客組織SideWinder（亦稱RattleSnake、T-APT-04）近期的攻擊行動，指出該組織於2020年4月至今，兩年內發動接近一千次攻擊行動，是全球攻擊行動最為頻繁的駭客。這個駭客組織主要目標是中亞國家的警察、軍隊、海軍部隊，近年範圍則擴及歐洲、中東、亞洲、非洲等區域，並針對外交、國防、航空、IT產業而來。根據該組織近期註冊的新網域，研究人員認為他們打算將攻擊範圍擴及更多國家。</p> <p>這些駭客約從2021年底開始，使用RTF、LNK，以及OpenOffice文件檔案OOXML，挾帶含有混淆的JavaScript程式碼，進而在受害電腦植入後門程式，然後與C2伺服器建立連線。研究人員認為，辦公室應用程式的已知漏洞很可能是該組織主要的入侵管道，呼籲用戶要保持相關軟體為最新狀態。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-sysrv-botnet-targets-windows-linux-servers-with-new-exploits/"><span style="color: rgb(0, 0, 0);">殭屍網路Sysrv變種鎖定Spring框架和WordPress漏洞，入侵Windows與Linux伺服器</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/143776">殭屍網路病毒Sysrv自2021年4月被發現後</a>，最近又有新的一波攻擊行動。微軟的研究人員指出，擅長透過多種網站應用程式系統漏洞入侵的Sysrv，最近出現新的變種Sysrv-K，該殭屍網路病毒大肆在網路上進行掃描，找尋存在Spring Cloud Gateway漏洞CVE-2022-22947，以及WordPress外掛程式已知漏洞的網站應用程式，針對Spring框架和WordPress發動攻擊，入侵後在執行Windows或Linux作業系統的應用程式伺服器裡，部署挖礦軟體。研究人員指出，該殭屍網路病毒還會掃描WordPress主機，找出與組態有關的檔案，並竊取資料庫的帳密，進而接管伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/Shadowserver/status/1525561213115158529"><span style="color: rgb(0, 0, 0);">Zyxel防火牆重大漏洞已被駭客用於攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg" style="width: 300px; float: right;" /></a>資安業者Rapid7於5月12日，<a href="http://www.ithome.com.tw/news/150914#Zyxel">公布Zyxel防火牆產品的遠端命令注入漏洞CVE-2022-30525</a>，影響USG Flex、ATP產品線，CVSS風險層級達9.8分。這樣的重大漏洞很快就有駭客加以利用。資安研究團隊Shadowserver Foundation於5月15日提出警告，他們在13日開始看到嘗試利用CVE-2022-30525的攻擊行動，呼籲用戶要儘速修補。</p> <p>根據研究人員的調查，全球總共約有20,800臺Zyxel設備可能曝險，其中又有近半數（1萬臺）是USG20-VPN，其次是USG20W-VPN有5,700臺。從這些防火牆所在的區域來看，大部分位於歐洲，其中以法國4,500臺、義大利4,400臺最多，美國有2,400臺次之。</p> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans"><span style="color: rgb(0, 0, 0);">駭客利用線上遊戲開發平臺Roblox散布木馬程式</span></a></strong></h3> <p>熱門線上遊戲平臺機器磚塊（Roblox），允許玩家創作與開發遊戲，而廣受許多青少年喜愛，美國更有逾半數兒童遊玩，但這樣的普及程度，也成為駭客用來發動攻擊的管道。資安業者Avanan於3月底，發現專門鎖定Roblox的惡意檔案，駭客疑似將原本的Roblox注入惡意程式，再上傳到該公司客戶的OneDrive帳號，並濫用Roblox的程式碼引擎Synapse X，在受害電腦上部署木馬程式。一旦使用者下載、執行惡意檔案，就會於Windows系統資料夾部署惡意DLL檔案，進而有可能導致應用程式無法運作、資料造成毀損、回傳用戶資訊等。研究人員警告，儘管Roblox用戶多半是兒童，但他們很可能使用父母的電腦上網，而使得當中存放的資料曝露於危險。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html"><span style="color: rgb(0, 0, 0);">Linux基金會、開源安全基金會將投入1.5億美元，用於改善開源程式碼安全</span></a></strong></h3> <p id="Zyxel">為了改善開源軟體安全，美國於5月12日二度召開開源軟體高峰會，由Linux基金會（Linux Foundation）與開源安全基金會（OpenSSF）主持，總共集結37家IT業者、逾90名高階主管，以及美國國家安全委員會（NSC）、網路安全及基礎設施安全局（CISA）、國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）、行銷管理和預算局（OMB）官員。</p> <p>本屆會議的焦點，就是他們要在未來兩年運用1.5億美元經費，改善開源軟體十大主要問題，並立下3個工作目標，分別是健全開源安全生產流程、促進漏洞發現與修補，以及縮短修補回應的時間。上述計畫的經費來源中，Amazon、Ericsson、Google、微軟、VMware承諾捐款逾3千萬美元，來做為此計畫前期資金。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/16 18:04作者周峻佑https://www.ithome.com.tw/news/150941
推特CEO對收購案有信心，但說必須為各種情況做好準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交平臺推特（Twitter）執行長Parag Agrawal周末對預定的收購案表達信心，但仍表示他們必須為各種情況做好準備。</p> <p>馬斯克（Elon Musk）周五以推特公司估計假帳號比例不到5%為由，<a href="https://www.ithome.com.tw/news/150920" target="_blank">表示在等待進一步資料前</a>，將暫緩收購。消息一出，推特股價頓時大跌超過10%。同一天，<a href="https://twitter.com/paraga/status/1525191760615329792" target="_blank">Agrawal 透過推特表示</a>，他預期交易會完成，但是公司還是必須為各種狀況做好準備，並做對推特最好的決定。</p> <p>這番話是為了支持他近日的人事命令。這位去年11月才接手Jack Dorsey的執行長，雖然在馬斯克上個月宣佈收購推特後表示公司暫時不會有裁員計畫，上周卻傳出已請走2位高層，並凍結公司招聘。</p> <p>面對有人質疑他何以選在此時管理人事成本，而非等收購完再行動，Agrawal解釋，不論公司未來所有權為何，都必須時時精進推特為一項產品及一家公司，他不會以收購為藉口而放爛什麼決定都不做。</p> <p>此舉招來爭議，批評Agrawal理由冠冕堂皇，實則是為了剷除異己、鎮壓不同意見，或是獨攬公司龐大資金控制權而為。</p> <p>不過一旦收購完成，推特管理高層將有所變動。報導指出，馬斯克心中已有新任CEO人選，但在此之前他會先擔任臨時CEO。</p> <p>馬斯克周五表示仍然有心收購推特，而<a href="https://twitter.com/btaylor/status/1525256510313402368" target="_blank">推特董事長Bret Taylor也表示</a>，公司有意願朝同一目標努力。</p> </div></div></div>
2022/5/16 14:30作者林妍溱https://www.ithome.com.tw/news/150937
駭客已著手開採合勤防火牆的CVE-2022-30525漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Shadowserver/status/1525561213115158529" target="_blank">非營利資安組織Shadowserver Foundation周日（5/15）警告</a>，已於13日看到駭客試圖開採位於合勤防火牆中的CVE-2022-30525安全漏洞，呼籲使用者儘快修補。</p> <p>CVE-2022-30525是由美國資安業者Rapid7所發現，允許未經授權的駭客以無權限的Nobody用戶身分自遠端執行任意程式，只要使用一個普通的Bash GTFOBin，就能建立一個反向Shell。</p> <p>其實合勤已在4月28日時，趁著防火牆的定期更新順手修補了該漏洞，<a href="https://www.zyxel.com/us/en/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml" target="_blank">但一直到5月12日才公告</a>，並賦予漏洞編號。</p> <p>CVE-2022-30525影響USG FLIX系列、ATP系列與VPN系列的防火牆裝置，而根據Shadowserver的調查，網路上大約有超過2萬臺合勤的防火牆可能含有該漏洞，包括1萬臺的USG20-VPN，以及5,700萬臺的USG20W-VPN，而這些防火牆主要位於歐洲，包括法國的4,500臺與義大利的4,400臺，美國也有2,400臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-16_150646.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-16_150646.jpg" style="width: 600px;" /></a></p> <p>5月12日合勤發布資安公告：<a href="https://www.zyxel.com/tw/zh/support/Zyxel-security-advisory-for-OS-command-injection-vulnerability-of-firewalls.shtml">Zyxel資安公告：針對防火牆系統命令注入漏洞 (Command Injection)</a></p> </div></div></div>
2022/5/16 14:36作者陳曉莉https://www.ithome.com.tw/news/150938
未來兩年將有1.5億資金投入開源碼安全問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）與開源安全基金會（Open Source Software Security Foundation，OpenSSF）<a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html" target="_blank">上周召開了開源軟體安全高峰會 II</a>，集結來自37家業者的逾90名高階主管，以及來自美國國家安全委員會（NSC）、美國網路安全及基礎設施安全局（CISA）、美國國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）與美國行銷管理和預算局（OMB）的官員，宣布彼此已達到如何改善開源軟體安全的重要共識，並將在未來兩年內投入1.5億美元以解決十大主要問題。</p> <p>在這1.5億美元的經費中，已由Amazon、Ericsson、Google、微軟及VMWare共同認捐了超過3,000萬美元，作為此一計畫的前期資金。</p> <p>在此一高峰會上達到共識的開源軟體十大問題則分別是安全教育、風險評估、數位簽章、記憶體安全、資安應變、強化掃描能力、程式碼稽核、資料分享、軟體物料清單（SBOM），以及供應鏈改善。</p> <p>解決上述問題的三大目標為確保開源軟體的安全生產，改善漏洞的發現及整治，以及縮短整個生態體系的修補應變時間。</p> <p>這兩大開源基金會指出，它們希望可讓安全軟體開發教育及認證成為開源碼開發者的新常態，替最熱門的1萬個開源碼元件建立一個公開且中立的風險評估儀表板，推動開源軟體的數位簽章，藉由安全的記憶體語言來減少記憶體漏洞；改善漏洞掃描技術，招攬資安專家成立自願軍以於重要時刻協助開源專案，每年針對200個熱門開源元件由第三方執行程式碼審查，分享資訊以確認最關鍵的開源軟體；推動軟體物料清單的採用並改善相關工具，以更好的安全供應鏈安全工具及最佳實踐來加強10個最關鍵的開源安全建置系統、套件管理系統以及軟體散布系統。</p> </div></div></div>
2022/5/16 14:16作者陳曉莉https://www.ithome.com.tw/news/150936
歐洲議會與歐盟會員國就第二版資安指令NIS 2 Directive達成共識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會與歐盟會員國上周五（5/13）就歐盟執委會（European Commission，EC）於2020年提出的<a href="https://digital-strategy.ec.europa.eu/en/library/proposal-directive-measures-high-common-level-cybersecurity-across-union" target="_blank">《網路暨資訊系統安全》（Security of Network and Information Systems）修訂指令</a>（NIS 2 Directive）<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985" target="_blank">達成共識</a>，將擴大現有NIS Directive的範圍，提高網路安全風險管理措施與報告義務的標準。</p> <p>歐盟於2016年實施的NIS Directive要求仰賴資訊與通訊技術的基礎服務重視資安問題，包括能源、運輸、水力、金融、健康醫療與數位基礎建設等領域，業者必須採取適當的安全措施，並在發生重大資安事件時通報有關單位。</p> <p>而NIS 2 Directive則是擴大了該指令的所適用的類別與規模，不管是中央或地方的電子通訊服務供應商、數位服務業者、廢水或廢棄物管理業者、重要產品的製造商、郵政及快遞服務，或是公共行政單位，都必須遵循該指令。此外，有鑑於COVID-19疫情來襲時，健康醫療領域成為駭客的攻擊目標，使得NIS 2 Directive更廣泛地納入該領域，包括醫療裝置製造商在內。</p> <p>EC表示，新規定擴大了覆蓋的範圍，相信將能更有效地推動更多實體與部門採取安全風險管理措施。</p> <p>除了擴大覆蓋範圍之外，NIS 2 Directive亦提高對資安的要求，包括解決供應鏈及與供應商之間的安全問題，同時對於那些未遵守網路安全義務的行為，向高階管理人員究責。</p> <p>相較於NIS Directive，修訂版簡化了報告義務，導入更嚴格的監督措施與執法要求，以協調歐盟會員國之間的制裁制度，有助於強化各國與歐盟於網路危機管理上的資訊共享與合作。</p> <p>在由歐盟成員國組成的歐盟高峰會（European Council）及歐洲議會達成政治上的共識之後，雙方將會正式通過該指令並公布於歐盟官方公報（Official Journal）上，在公布的20天後生效，會員國則必須在21個月內將該指令轉為國家法令。</p> </div></div></div>
2022/5/16 12:49作者陳曉莉https://www.ithome.com.tw/news/150934
蘋果已開始測試採用USB-C傳輸埠的iPhone與其它裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-05-13/apple-plans-to-change-iphone-charging-port-to-meet-new-eu-law" target="_blank">《彭博社》（Bloomberg）近日引述消息來源報導</a>，蘋果內部已開始測試採用USB-C傳輸埠的iPhone，而且也在開發轉接器，以讓未來基於USB-C的iPhone能夠繼續使用專替現有Lightning傳輸埠所設計的各種配件。</p> <p><a href="https://twitter.com/mingchikuo/status/1524329801045409794" target="_blank">上周知名的蘋果分析師郭明錤便已指出</a>，蘋果明年下半年推出的新款iPhone即會捨棄Lightning而改採USB-C。</p> <p>歐洲議會的國內市場暨消費者保護委員會（Internal Market and Consumer Protection Committee）在今年4月以43比2票通過了《無線電設備指令》（Radio Equipment Directive）修正草案，將要求所有的可攜式電子裝置都必須具備USB Type-C充電埠，以避免消費者必須購買不同規格充電器而帶來的大量電子垃圾。</p> <p>外界預期歐洲議會將於今年5月通過該法案，繼之與歐盟各國展開協商以確定該法案的最終形式，最快可能會在兩年內實施。</p> <p>這迫使蘋果不得不作出改變。事實上，蘋果自家產品所使用的傳輸埠並不一致，除了iPhone採用Lightning之外，Mac筆電已採用USB Type-C，11/12.9吋的iPad Pro、10.9吋的iPad Air，以及8.3吋的iPad mini也都採用USB Type-C，但10.2吋的iPad依舊使用Lightning。</p> <p>而大多數的蘋果配件都是透過Lightning充電，包括AirPods、Apple TV遙控器、MagSafe電池、與MagSafe Duo充電器等。蘋果選擇Lightning主要原因應是它的接口小於USB Type-C，否則USB Type-C不管是在充電或傳輸速度上都快過Lightning。</p> <p>不只是iPhone，郭明錤也說，蘋果的其它Lightning產品，像是AirPods、鍵盤、觸控板、滑鼠或MagSafe電池等在未來都可能採用USB Type-C。</p> <p>其實《無線電設備指令》也有例外，包括尺寸太小而無法嵌入USB Type-C傳輸埠的智慧手錶、健康追蹤器或其它運動設備將可被豁免。</p> </div></div></div>
2022/5/16 13:05作者陳曉莉https://www.ithome.com.tw/news/150935
Google、三星合作健康資訊互通API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/05/introducing-health-connect.html" target="_blank">Google、三星宣布名為Health Connect的健康資訊平臺及API</a>，讓不同App的健康與健身資訊可以跨Android裝置互通。</p> <p>過去健康、飲食、運動紀錄都是綁在各種硬體及自有App上，除了廠商之間有特別合作外，多數情況下不容易整合提供完整的健康管理，而且也沒有統一的隱私控制。為利資料統一及隱私管理，Google和三星合作Health Connect，涵括由整合平臺及一組API，在使用者同意下，Android版App開發商可用以安全存取和分享Android 裝置上的健康與運動資訊。</p> <p>Health Connects支援50多種健康與活動資料型態，包括運動、營養、身體數值及健康量測，包括心率及血壓等，也提供用戶隱私管理介面，允許檢視App存取的資料及必要時關閉權限。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi3qBbxPEITrf4OxIUtRHUqiD91La-o6EbnbysxOp6wYrbIy1I2FT7D2yKi7z-kiPxB5im8zixBJkUm8b0Rt620mEWmhIRujsvnefepznmWmtBQR-ohAGmWo8J4MaM1RuH5k5e5E0gi50fou4XXWd9nq4r5Q5ORfK0dKxmQaOC9Fc5xuNxyoOsDUsEo/s1600/image1.png" style="width: 244px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>在獲得使用者同意後，App可透過標準化的schema和API行為，將健康資訊寫入Health Connect並從中讀取。使用者可利用細部控制檢視哪App在何時要求存取什麼資料。Health Connect 資料以加密儲存在裝置內，用戶也可以刪除資料及關閉App的存取，或是在使用多個App時排定App之間的優先順序。</p> <p>目前支援這項技術的包括Google Fit、Fitbit、三星的Samsung Health、Wearable App及旗下健康裝置包括<a href="https://news.samsung.com/global/editorial-breakthrough-innovation-for-health-and-wellness-enthusiasts" target="_blank">Galaxy Watch 系列</a>。另外參加早期計畫的第三方App軟、硬體開發商還有MyFitnessPal、Leap Fitness及Withings。Google也將Health Connect API for Android透過函式庫套件Android Jetpack釋出給所有開發人員。</p> </div></div></div>
2022/5/16 11:56作者林妍溱https://www.ithome.com.tw/news/150932
美法院禁止社交平臺限制言論，引發業者聯合反制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國上訴法院上周三判定一項確保社交平臺上用戶政治言論自由的法令，周末遭到社交平臺訴諸最高法院，力圖阻止法令上路。</p> <p>這項爭議的法令是去年9月通過、名為House Bill 20（HB20）的法案。HB20背景源自前美國總統川普言論屢次遭臉書、推特（Twitter）等社交平臺以煽動暴力、散布假訊息為由刪除留言或封鎖帳號。<a href="https://gov.texas.gov/news/post/governor-abbott-signs-law-protecting-texans-from-wrongful-social-media-censorship" target="_blank">去年9月德州通過該法</a>，禁止線上論壇以用戶的政治觀點禁止用戶。但<a href="https://www.statesman.com/story/news/2021/12/02/judge-blocks-tx-social-media-law-would-ban-content-moderation/8833124002/" target="_blank">德州奧斯法地方院於12月簽署禁制令</a>，禁止HB20上路。但這項禁制令<a href="https://s3.documentcloud.org/documents/21993779/21_51178_documents.pdf" target="_blank">上周三（5/11）遭美國第五上訴巡迴法院推翻</a>，允許HB20法案生效。這項僅有一行文字的判決震撼了長期以來主張以內容管制政策維護平臺上言論秩序、防範暴力、仇恨及色情的科技公司。</p> <p>而在周五（5/13），<a href="https://www.cnet.com/news/social-media/tech-groups-urge-supreme-court-to-block-texas-social-media-law/" target="_blank">CNET</a>、<a href="https://www.washingtonpost.com/technology/2022/05/13/texas-social-media-supreme-court/" target="_blank">華盛頓郵報</a>等媒體報導，代表Google、Meta、推特及Yahoo等其他科技公司的遊說團體向最高法院大法官Samuel Alito聲請緊急動議（emergency stay），<a href="http://6yMj9AvlR_NetChoice_v_Paxton_Emergency_Application_to_Vacate_Stay_of_Preliminary_Injunction" target="_blank">尋求最高法院介入</a>，希望再推翻上訴巡迴法院的決定。</p> <p>名為NetChoice及電腦與通訊產業協會（Computer & Communication Industry Association, CCIA）的組織<a href="https://netchoice.org/media-press/netchoice-announces-request-for-emergency-stay-from-the-u-s-supreme-court/" target="_blank">隨後透過聲明中指出</a>，德州HB20剝奪民間線上公司的言論權利，禁止其受憲法保障的編輯決策，迫使其出版和宣傳值得異議的內容。根據美國憲法第一修正案，德州不得強迫線上平臺代管和宣傳外國政治宣傳、色情、納粹言論與垃圾內容。</p> <p>該組織指出，若允許德州HB20法令實行，該州政府宣稱保護自由言論，實則顛覆第一修正案，違反自由言論精神。</p> <p>言論自由和社交平臺內容管制爭議也可見於美國社會對馬斯克（Elon Musk）收購推特一案。一些主張管制的團隊擔心自稱絕對言論自由主義者的馬斯克收購推特會導致推特被假新聞、仇恨訊息淹沒，<a href="https://www.ithome.com.tw/news/150768" target="_blank">5月初發表公開信</a>要求如果馬斯克治理的推特取消內容管制，廣告主包括可口可樂、食品大廠卡夫（Kraft）及迪士尼等應對其發動杯葛。</p> </div></div></div>
2022/5/16 12:06作者林妍溱https://www.ithome.com.tw/news/150933
駭客利用熱門Roblox程式工具散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans" target="_blank">安全廠商發現一個Roblox的程式檔案遭惡意變造</a>，以便在用戶Windows PC感染木馬程式。</p> <p>Roblox是近年熱門的元宇宙概念多人線上遊戲開發平臺，允許玩家可以在這個空間內創作自己或他人開發的遊戲，遊戲內的物件、玩法及外觀都可以自行設計。2021年這個平臺的每日活動用戶數由3,260萬成長到5,000萬，用戶遍及180多國，超過一半的美國兒童都在玩Roblox。然其普及性也使其成為駭客下手目標。<a href="https://www.checkpoint.com/press/2022/dhl-replaces-microsoft-as-most-imitated-brand-in-phishing-attempts-in-q4-2021/" target="_blank">安全廠商Checkpoint指出</a>，今年第1季Roblox名列第8大被歹徒冒名的品牌，超過蘋果和Paypal。</p> <p>安全廠商Avanan今年3月底發現一個鎖定Roblox用戶的惡意檔案，他們在某家客戶的OneDrive帳號掃瞄到該檔並及時封鎖。這波攻擊應是Roblox的合法軟體被駭客注入惡意檔案，包括一個木馬程式，欲藉下載過程進入Windows 用戶電腦。</p> <p>遭到利用的合法軟體是Roblox腳本引擎，名為Synapse X。當不知情的用戶下載Synapse X後，它會自動執行，在用戶電腦安裝一個執行檔，後者再下載3個檔案，其中一個檔案是DLL。這個惡意DLL安裝在Windows系統資料夾內，可以永久為Windows參照及執行。研究人員指出，這類木馬程式可能造成的後果包括使應用程式當掉、移除資料或造成毁損，或是將用戶資訊回傳給駭客。</p> <p>研究人員指出，雖然Roblox用戶主要是兒童，但兒童可能在父母電腦上網，導致父母公司資料曝險。此類風險也顯示零信任安全性的重要。</p> <p>安全廠商也呼籲用戶除了電腦安裝防毒軟體外，不要在公司電腦安裝來路不明的軟體，並應安裝安全防護，掃瞄OneDrive或Google Drive等檔案分享服務下載的檔案。</p> </div></div></div>
2022/5/16 11:03作者林妍溱https://www.ithome.com.tw/news/150929
【從產品數位化、端到端數位化，要邁向全面性的數位體驗戰略】玉山金融生態圈戰略再升級，要靠顧客數位體驗新戰略決勝負
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金融生態圈戰略的布局，在今年邁向了新的階段，尤其是核心的銀行即服務模式（Banking-as-a-Service，BaaS）發展，玉山過去以點、線等局部數位化的策略，從2022年開始，轉而採取更具整體思維的全面性戰略。</p> <p>金融業過去十年來面臨了非常激烈的變革，從過去網路銀行、行動銀行，到現在的金融生態圈型態，都促使銀行比其他產業更積極推動數位轉型。</p> <p>但要怎麼轉型，最終目標是什麼？最常見的新金融模式，包括了銀行即服務（Banking-as-a-Service）、銀行即平臺（Banking-as-a-Platform）和開放銀行（Open Banking）三種。</p> <p><span style="font-size:28px;"><strong>目標5年打造全新銀行即服務商業模式</strong></span></p> <p>2020年8月，玉山銀行董事長黃男州首度公開了玉山未來5年的發展戰略目標，「採取銀行即服務模式瞄準場景金融，銀行本身就是服務，可以嵌入任何場景中。」玉山要走的正是第一種發展模式。</p> <p>今年剛滿30歲的玉山銀行，很早就在第三個十年時，開始大力擁抱科技，設立了科技聯隊的跨部門組織策略，來推動玉山的數位轉型和各項金融產品數位化的發展。</p> <p>而在第四個十年，黃男州指出，科技領航依舊是重要的策略主軸，但必須再精進。銀行即服務正是玉山科技領航策略的下一個發展目標。</p> <p>BaaS是一個完全打破傳統銀行思維的新金融商業模式，不在是以實體銀行機構為產品提供管道，而是以各式各樣的數位化通路來提供金融服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E9%BB%83%E7%94%B7%E5%B7%9E_%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7_%E7%B8%BD%E7%B6%93%E7%90%86.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／玉山銀行</span><br /><strong>玉山銀行董事長黃男州指出，實體世界，媒介是人與人的接觸，以產品導向思維就足以運作，但在數位世界，一定要轉為以顧客導向的思維。</strong></span></p> <p><span style="font-size:28px;"><strong>展開科技聯隊與業務聯隊融合的組織大改造</strong></span></p> <p>為了支援這個新BaaS商業模式的發展，玉山銀行也在去年展開了30年來最大一次的組織改造。將玉山的科技聯隊與業務聯隊的關係，從「互相整合」的關係，進一步做到「融合」，「以你中有我，我中有你的概念，來建立個人金融事業總處，將整個數位融入到個金中。」黃男州這樣形容。</p> <p>在組織改造之前，玉山更完成了兩大科技基礎工程，來支援新組織架構和新商業模式的發展。</p> <p><span style="font-size:28px;"><strong>建立兩大科技基礎工程支援BaaS新商模</strong></span></p> <p>第一個科技基礎工程就是2016年展開的新核心計畫，玉山自行打造了新一代的銀行核心系統，採用了雲端原生技術、容器技術和微服務架構來開發，更採用參數化、模組化設計，來支援未來業務發展的彈性，並導入DevOps機制，從開發、測試到上線都能實現自動化的快速部署。</p> <p>另一個科技基礎工程，則是AI技術力。玉山在2019年正式成立智能金融處，全力發展AI能力，不只善用AI技術來優化和簡化多項內部流程，提高作業速度和減少人為錯誤的風險，也建立了2個關鍵平臺，一個是方便資料科學團隊嘗試各種AI創新的AI研發雲，另一個則是能將成熟AI模型轉化為API服務，方便支援各種AI應用的MLaaS （Machine learning as a Service）平臺。</p> <p>AI研發平臺是一朵利用K8s和Docker容器技術打造的私雲，可以讓資料科學家在安全環境中研發AI模型，等到模型完成後，再打包成服務，上架到另一個MLaaS平臺，並將這個服務打包成API，以輕量快速的形式，與銀行既有系統串接。例如，玉山信用卡盜刷偵測系統，就改用AI模型來取代過去上百條的規則判斷系統，透過MLaaS的API，只要0.1秒，就能將是否遭冒用的判斷結果，回傳給刷卡業務系統，來展開後續行動。這也是玉山擴大AI應用的關鍵平臺和做法。</p> <p>去年7月，MLaaS更推出了2.0，不只擁抱Kubernetes、容器等雲端原生技術，來打造能彈性調度和擴充的新架構，還引進多項自動化機制，來提供99.9%高可用性的機器學習API服務，可以更快速地支援各種新AI應用的維運和規模化，此後新加入的AI專案，都部署在MLaaS 2.0。</p> <p>也因此，2021年，玉山AI應用開始起飛，在賦能AI、風控AI、流程AI、行銷AI和服務AI等5大領域遍地開花。</p> <p>除了上述的信用卡盜刷偵測應用，一天可以用上數十萬次，一年能幫玉山省下上億元的損失，他們也自行開發理財認知偏好推薦AI 模型，能根據客戶承受風險等級和交易紀錄，在7秒內推薦最合適的5檔基金。</p> <p>另外，運用機器學習來打造出免人工作業的線上貸款流程，最快58秒就可以撥出款項。在風控領域，則利用AI來加速黑名單掃描、風險評估，甚至是辨識詐騙帳戶，玉山透露，精準度還比傳統人工方法高出40倍。</p> <p>黃男州在去年中一場記者會中這樣比喻，他說：「資訊處是玉山的神經系統，負責串起各種業務流程，而智金處就是「玉山的大腦系統。」</p> <p>這個AI大腦專門解析大量資料，用機器學習將資料轉化為有益業務的AI系統，優化服務。而2020年上線的新核心系統，主打交易、會計分離，能處理更大量的交易，上線一年後，可以處理的交易量成長了50%，尖峰時段甚至更高。更多的交易量，意味著，擁有更多的資料後，「大腦也就更聰明。」黃男州指出。</p> <p>而科技聯隊中的資安處，則扮演「煞車角色」，負責檢核IT應用安全性，成為創新的煞車。「因為有它，科技聯隊才敢加速，才敢創新，甚至是嘗試AI新技術。」黃男州點出了玉山科技聯隊中，資訊處、智金處和資安處之間密切合作的關係。</p> <p>到了今年2月的媒體法說會上，玉山科技聯隊四大主管首度聯袂出席，除了玉山金控暨玉山銀行資訊長謝萬禮，玉山金控科技長張智星、玉山金控暨玉山銀行資安長劉懷聰，還有2021年中新加入的玉山銀行數位長唐枬。</p> <p>黃男州更用新的比喻，來形容科技聯隊中四大團隊的關係，資訊依舊是核心的神經系統，串連起所有流程，讓所有銀行服務變成一個整體服務，而AI不只是大腦系統，也是5官系統，AI技術可以做到能說、能看、能聽、能寫。而資安是玉山的免疫系統，提供整體防衛的安全機制，而數位，就是玉山跟顧客接觸最重要的通路。這個新比喻更清楚的點出了數位團隊和顧客經營對玉山的重要性，以及與其他團隊之間的合作關係。</p> <p>玉山早在2015年就設立了臺灣第一個數位金融事業處，也設立了臺灣銀行界的第一位數位長職務，到了2021年，玉山進一步將數位金融處，更名為數位暨客群處，唐枬正是數位客群處的最高主管。這預告了玉山數位戰略要更加重視客群的經營。</p> <p>果然，在2022新春這場記者會中，玉山首度安排了科技聯隊的簡報，這是玉山近年在媒體法說會中，第一次如此慎重地且正式的發表2022年的科技新戰略，揭露了全新戰略高度的規畫。</p> <p>一方面，玉山科技聯隊要對大環境的新挑戰和趨勢展開多項因應策略。玉山觀察到金融產業今年面臨3大領域的挑戰，第一項是，後疫情時代帶來的工作型態改變，帶來了許多金融日常運作的資安風險，包括了雲端、API、相關漏洞威脅、員工在外使用電腦的風險比過去更高。這都會成為玉山今年的資安強化目標。</p> <p>在科技趨勢上，也出現了組裝式架構和AI治理浪潮，玉山引述國際調研機構Gartner報告，2023年，採用組裝式技術打造新功能的速度，可比競爭對手快上80%。2024年更會有75%企業從導入AI，開始邁向AI營運的階段。</p> <p>玉山在開發模式上，將朝參數化、模組化的彈性架構發展，也要瞄準在AI為人詬病的黑盒子問題，朝向可解釋性AI（Responsible AI）並兼顧資安風險的情況，來降低業務部門疑慮，擴大內部業務的AI運用。</p> <p>另外，因為去年底金管會開放了金融機構間的資料共享，讓金融服務未來在跨通路、跨場景下變得可能，玉山也計畫發展一套全行適用的設計框架（Design system），希望能在跨通路下提供顧客一致的使用體驗，例如按鈕、顏色等都能各通路維持一致。另外，也會因應電支新法的開放，玉山今年還要槓桿外部力量，借助外部合作夥伴的力量，來建立生態圈。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E7%8E%89%E5%B1%B1_%E5%94%90%E6%9E%AC_%E6%95%B8%E4%BD%8D%E9%95%B7.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／玉山銀行</span><br /><strong>2021年，玉山進一步將數位金融處，更名為數位暨客群處，玉山銀行數位長唐枬正是數位客群處的最高主管。這預告了玉山數位戰略要更加重視客群的經營。</strong></span></p> <p><span style="font-size:28px;"><strong>揭露5A4D3S新科技執行策略</strong></span></p> <p>面對2022年新局勢而鎖定的科技新戰略方向下，玉山提出了3項新的執行策略，新的5A顧客數位經營策略、資訊系統4大業務再造設計原則（簡稱4D），以及和3S服務體驗策略。</p> <p>5A顧客經營策略的是指，要透過數位科技來實現導客（Access）、獲客（Acquire）、活客（Activate）、留客（Adhere）、悅客（Advocate）等顧客經營5階段。這是唐枬從業界常見的AAARR顧客成長模型，改造而來的玉山自己的顧客經營策略。</p> <p>導客階段的重點是建立數位生態圈，再進一步優化各項金融服務的申請體驗來獲客，並要開發更多數位解決方案來活客，運用更多提升顧客黏著度的做法來留客，最後的悅客階段則是希望能夠提高顧客滿意度，成為顧客的最愛。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2p2p3-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／玉山銀行</span></span><br /><strong style="color: rgb(105, 105, 105);">玉山參考業界常見AAARR顧客成長模型，改造自己的5A顧客經營策略。要透過數位科技來實現導客、獲客、活客、留客以及悅客等顧客經營5階段。</strong></p> <p>唐枬指出，過去玉山在每個階段都做得很好，尤其在活客、獲客、留客都有不少成果，「新重點是如何串聯5個A，例如利用一項好的顧客解決方案讓顧客更活躍，也能持續留在玉山，成為最好的粉絲。」</p> <p>唐枬更透露，玉山正在導入淨推薦值（NPS）指標，作為衡量顧客忠誠度的指標，要來改善自家數位金融服務。</p> <p>不只顧客經營有了一套新個完整框架，在改善金融服務的體驗上，玉山也訂出了3S原則，就是簡易的（Simple）、流暢的（Smooth）、貼心的（Sweet）服務體驗。在簡易的體驗原則上，將會建立線上統一入口，重新整合現有的顧客接觸窗口，也會打造更多一站式申辦服務，讓顧客在一個入口就能完成銀行、證券帳戶申辦，甚至是信用卡或更複雜的金融商品申辦。</p> <p>而在流暢的服務體驗上，玉山要發展跨子公司的多元驗證機制，切換不同服務不必重複輸入帳號密碼。也要透過全行通用的設計系統，來建立一致性的介面體驗，甚至也會考慮統一海外分行的風格。</p> <p>除了這兩個與顧客相關的新執行策略之外，玉山還訂出了一項用來推動業務再造的資訊系統4大設計原則。包括了行動化，數位化，無紙化，智能化，玉山未來所有資訊系統都會依照這4大設計原則來開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2p2p3-%E4%B8%BB%E6%96%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／玉山銀行</span></span><br /><strong><span style="color:#696969;">玉山訂出了用來推動業務再造的資訊系統4大設計原則。包括了行動化，數位化，無紙化，智能化，玉山未來所有資訊系統都會依照這4大設計原則來開發。</span></strong></p> <p>行動化原則例如會支援跨裝置服務或透過行動裝置授權，無紙化原則則要套用到各種業務和流程優化上，數位化原則會注重多元認證、電子簽名並搭配各種客製化表單，而在智能化原則上則會運用AI來預測風險、精進流程和優化營運等做法。謝萬禮指出，核心系統上線後，玉山全行資訊系統已經做到全面API化，因此具備了高彈性、快組裝、易上手和好掌握的基礎，可以快速整合出想要的應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E8%AC%9D%E8%90%AC%E7%A6%AE_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span><br /><strong>玉山金控暨玉山銀行資訊長謝萬禮謝萬禮指出，新一代核心系統上線後，玉山全行資訊系統已經做到全面API化，因此具備了高彈性、快組裝、易上手和好掌握的基礎，可以快速整合出想要的應用。</strong></span></p> <p><span style="font-size:28px;"><strong>從產品數位化、端到端數位化，開始邁向數位體驗階段</strong></span></p> <p>黃男州回顧玉山過去10年來科技領航的轉型脈絡，從點、線的局部數位化發展，到現在邁向了更全面性的戰略。</p> <p>第一步將產品數位化，讓顧客可以透過數位方式來體驗，再進一步發展出端到端數位化，不只是顧客端的數位化，還要推動銀行端的數位化。當獲取到大量數位化的顧客後，顧客透過數位通路或實體方式往來，虛實整合成了新挑戰，甚至如何在數位通路獲取顧客，讓客戶持續往來，還要能衡量顧客對整體獲利的貢獻，這會逐漸進入「數位體驗」階段的發展，這正是玉山今年新科技戰略的重點。</p> <p>黃男州強調：「實體世界，媒介是人與人的接觸，以產品導向思維就足以運作，但在數位世界，一定要以顧客導向的思維。」如何做到，正是玉山今年新戰略轉型以顧客導向為核心要實現的目標。</p> </div></div></div>
2022/5/16 07:00作者王宏仁https://www.ithome.com.tw/news/150904