iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 29篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟公布Intelligent Data Platform整合資料庫、分析、治理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在Build 2022開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/introducing-the-microsoft-intelligent-data-platform/" target="_blank">微軟宣布智慧資料平臺</a>，將其資料庫、分析及資料治理工具整合為單一雲端平臺上。</p> <p>微軟Azure Data企業副總裁Rohan Kumar指出，這個平臺旨在解決不同資料庫、分析和資料治理工具分散，使用者得在不同工具間來回的問題。</p> <p>微軟智慧資料平臺乃是將微軟雲端資料庫、分析工具及治理產品完全整合，免去用戶整合和管理資料的麻煩，這項新平臺涵括資料倉儲Azure Synapse Analytics、NoSQL資料庫Cosmos DB、分析工具Power BI、資料治理工具Azure Purview等。微軟公布顧問公司KPMG已經利用智慧資料平臺服務來管理客戶稅務、法律及財務部門資料。</p> <p>同時微軟也針對這些類別產品公布新增功能或新版本。首先在資料庫方面，資料倉儲及大型分析平臺Azure Synapse Analytics下將提供將資料從關聯式資料庫搬到data store的Azure Synapse Link for SQL，<a href="https://docs.microsoft.com/en-us/azure/synapse-analytics/synapse-link/sql-synapse-link-overview" target="_blank">目前為預覽版</a>。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/azure/synapse-analytics/media/sql-synapse-link-overview/synapse-link-sql-architecture.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>微軟也公布可為SQL Server 2022資料備份到雲端的Azure SQL Managed Instance，後者於本周正式版推出高可用性版本Business Critical tier。Azure SQL Database則推出簡化應用開發管理、及支援區塊應用必要的總帳功能。</p> <p>雲端NoSQL資料庫Azure Cosmos DB提供30天試用版，並新增突增容量及彈性擴充功能，目前以預覽版推出。微軟也將拗口的「Azure Database for MySQL -Flexible Server Memory-Optimized service」改名為Business Critical tier。</p> <p>分析工具方面，<a href="https://devblogs.microsoft.com/microsoft365dev/combining-microsoft-graph-data-connect-data-sets-in-azure-synapse-analytics/" target="_blank">微軟強調Azure上才有的Microsoft Graph Data Connect可將Microsoft 365資料安全匯出</a>，並利用Azure Synapse pipeline將2種資料集合併在一起。此外。Power BI新增資料超市（datamart）付費自助服務，現以預覽版提供。</p> <p>資料治理服務產品線Purview則推出Dynamic Lineage for Azure SQL Databases，可協助Purview Data Map，強化混合雲或多雲環境中資料治理，現為預覽版，微軟表示未來幾個月內還會推出Purview Data Estate Insights。最後，Azure Machine Learning也預覽了負責任式AI（Responsible AI）儀表板，協助機器學習模型的debug工作。</p> </div></div></div>
2022/5/25 13:15作者林妍溱https://www.ithome.com.tw/news/151112
微軟開放規格達要求的PC下載Windows 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">微軟宣布進一步開放更多使用者下載Windows 11</a>，只要PC達到規格要求就可以下載安裝。</p> <p>微軟Windows網站指出，Windows 11現已「被指定進行廣泛部署」，暗示將開放更多用戶透過Windows Update下載安裝。微軟告知，Windows 10用戶現在可利用PC Health Check App或是檢查Windows 11的電腦規格要求，判斷自己的裝置是否可下載安裝。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/147075" target="_blank">Windows 11已經釋出將近7個月</a>，微軟今年下半就將釋出Windows 11的功能更新。Home、Pro、Pro for Workstation、Pro Education版本將提供24個月技術支援，Enterprise和Education版則提供36個月支援。</p> <p>但除了硬體規格外，用戶PC上的作業系統必須是Windows 10 2004版以後，且裝置未被微軟實施Security Holds。所謂Security Holds是指微軟透過診斷資料來判斷PC狀態是否已準備好安裝功能更新。經微軟判斷還不及格並實施Security Holds時就會延後更新，並導致Windows更新失敗。</p> <p>不過在擴大部署的同時，微軟仍持續忙著解決Windows 11大小問題。微軟說明，已解決的問題包括<a href="https://www.ithome.com.tw/news/151025" target="_blank">本月Patch Tuesday引發多種服務驗證失敗</a>、未連網Windows PC進入安全模式後出現螢幕閃爍，影響使用檔案管理員、開始選單及工作列的元件、以及在搭載某些GPU的PC上，使用Direct3D的App會運作不穩等狀況。但其他狀況，如使用某些.NET Framework 3.5，如 WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟的問題目前只獲得緩解。</p> </div></div></div>
2022/5/25 09:58作者林妍溱https://www.ithome.com.tw/news/151110
波函式塌縮與函數式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有一張圖片作為範本，我們想基於其中的結構，使之擴展、成為更大張的圖片，這個過程稱為<a href="https://bit.ly/3K57bRq" target="_blank">Texture synthesis</a>，此時，可以將這類演算擴展用於遊戲或3D建模，創造隨機的世界或模型，就像先前專欄〈<a href="https://www.ithome.com.tw/voice/138571" target="_blank">理解波函數塌縮演算</a>〉談過的波函數塌縮，就是一個可行的方案，而我就曾經在OpenSCAD實現了波函數塌縮。</p> <p>不過，最初的實現版本只是堪用而己，效能頗為不彰，只是算個20乘20大小的拼接，就必須花上40幾秒，我不禁一直執著於尋找更好的實現方式。而執著的原因在於，OpenSCAD具有函數式典範，波函式塌縮需要持續地塌縮盤面，在不可變動特性與需要頻繁變動之間，若我們以命令式角度來看，兩者存在著很大的衝突。</p> <p><span style="font-size:28px;"><strong>變動與不變的衝突？</strong></span></p> <p>最基本的衝突情境就是，20乘20就有400個位置，每個位置又有多個候選的拼接磚，成立三維的立體資料結構；塌縮改變了某位置的狀態，也改變了整個盤面的狀態；接著，傳播又要改變多個位置的狀態，也就要多次改變盤面的狀態。</p> <p>就命令式而言，這不成問題，指定索引更新資料就好，然而，就函數式而言，狀態改變意謂著重組相關資料，這可是大問題！</p> <p>改變思考的方式是必要的，現今開發者應該對一些從命令式轉換為函數式的思維有點認識，先前專欄〈<a href="https://www.ithome.com.tw/voice/116153" target="_blank">在不變中求變</a>〉談過一些，我近來又整理了一些<a href="https://bit.ly/3v1Dfl5" target="_blank">函數式模式</a>，從這些角度來切入，確實是有些幫助，大致上少了10秒左右的時間吧！</p> <p>然而，算個20乘20拼接還要花上30幾秒，我仍然覺得不滿意，表面看來，這是效能的問題，不過，後來發現我想探究的問題有兩個：效能瓶頸真的是來自於函數式典範的不可變動特性嗎？演算法本身真的就要頻繁地變動狀態嗎？</p> <p>我需要畫清界線，但這個界線不是指函數式中純粹與不純粹的界線，而是要釐清哪些問題來自於演算法，哪些問題來自函數式！</p> <p>想畫出這道界線的第一步，就是讓程式碼更為清晰，在進入效能最佳化階段之前，先持續進行重構，關於這部分的做法與效益，我在先前專欄〈<a href="https://www.ithome.com.tw/voice/150903" target="_blank">重構與效能</a>〉曾經提過。</p> <p><span style="font-size:28px;"><strong>演算法的調整</strong></span></p> <p>確實地，在重構過程中，我找到了很多不合理或重複的運算。在命令式典範中，因為可以直接改變資料的狀態，所以，在資料量不大的情況下，這類運算的成本或許能夠忽略；不過，在函數式的實作時會被放大，在重複使用一些運算成果後，執行的時間確實有少一些。</p> <p>這是屬於演算法（實作時）的問題，就波函式塌縮而言，確實有不少狀態、權重或熵值的重複計算；不過，還有個關鍵的地方，那就是：如何尋找「塌縮」與「傳播」的位置。在重構之前的程式碼裡，我並沒有發現一件事：自己每次都是在400格的盤面上，尋找這些位置。</p> <p>對於「塌縮」，其實，在每一代的塌縮前，都會確認是否整個盤面都完成塌縮，反過來想，這就是在尋找哪些位置沒有完成塌縮，所以，在下一代塌縮時，我們只要針對這些位置去搜尋就可以了，如此一來，每代塌縮位置的搜尋集合就會越來越小；對於「傳播」，只要鄰居的候選磚數量只有一個，根本就不用進行傳播處理。</p> <p>說穿了，這就是分支修剪的概念，而且，確實又成功地減少了執行的時間，同時表示在命令式的世界裡，如果採取類似的方式，應該也能對效能有很大的改進。</p> <p>下一個待調整目標是搜尋，因為波函式塌縮有許多情境（狀態、權重或熵值）都要進行搜尋，搜尋牽涉到資料結構，我嘗試過使用陣列，並在排序後二元搜尋，效能沒有明顯改進，後來嘗試使用字典進行雜湊搜尋，以空間換時間的方式確實奏效，執行需要的時間縮減到20幾秒左右。</p> <p>然而，在一次偶發的奇想裡，我試著使用原生的search函式取代雜湊搜尋，執行時間降至10幾秒！這點令我訝異，仔細想想，建立字典或雜湊碼計算需要成本，二元搜尋的比較與事先的排序也需要成本，然而我的實作中，每次要搜尋的資料量不多，以至於這些成本掩蓋了效益，search函式搜尋雖然是線性，然而在資料量不大又是原生函式的情況下，反而有更好的表現。</p> <p><span style="font-size:28px;"><strong>函數式的策略</strong></span></p> <p>不可否認地，函數式有些計算，確實會造成負擔，遞迴就是其中之一，遞迴堆疊需要成本，而且有遞迴上限的問題。</p> <p>在OpenSCAD如果想要避免這類問題，方式之一，是<a href="https://bit.ly/3v2DvAm" target="_blank">實現尾遞迴（tail recursion）</a>，因為OpenSCAD支援可以將簡單的尾遞迴形式展開為迭代的作法。</p> <p>不過尾遞迴的實現，不會是天下掉下來直接有的，這意謂著要將函式拆分為更小的任務，才能看出哪邊構成了尾遞迴的模式，也就是說，需要先退出效能最佳化階段，對每個遞迴函式進行更細部的重構。</p> <p>在這個過程中，會發現到一件事實，有些任務根本就不必使用遞迴，使用list comprehension就可以了！在重構之前，只是因為摻雜過多任務而看不出來，在具有list comprehension的其他語言（例如Python），應該也可以善用這種方式來改進程式的可讀性與效能。</p> <p>在某位置的狀態塌縮處理上，原本是要收集某些不相容的狀態，然後從該位置刪除那些狀態；現在可以轉變為另一個角度思考，只收集相容的拼接磚，作為該位置的拼接磚集合就可以了。</p> <p>當然，最終盤面狀態還是需要進行更新，然而，函數式不可變動特性的另一面就是：未變動的資料可以重用，這就涉及了資料結構，以及狀態的切分與重組。</p> <p>以二維陣列來說，我們可以將資料切分為逐列（row），如果更新的是x行（column）、y列的資料，實際上，只要針對y列更新，其他未變動的列可以直接參考重用。</p> <p>這其實是函數式的優點之一，可共用資料結構，例如樹狀結構，在比對狀態之後，若某個子樹並沒有變動，整個子樹拿來用就可以了，在前端有些函數式典範框架中虛擬DOM的方案，就是以類似概念作為出發點。</p> <p><span style="font-size:28px;"><strong>用一年縮短40秒</strong></span></p> <p>經過了一番調整，實際上效果如何呢？最初原本40幾秒才能完成的運算，降至8秒左右！還能不能再降呢？確實還存在著可調整的地方，只是這與波函式塌縮作者提倡的塌縮位置選擇策略有關了，作者是基於最小熵，經過實測，最小熵位置的運算有其成本，就我的建模需求而言，只要找尋最少候選拼接數量的位置就可以了，現在只要2秒多，就可以完成運算了。</p> <p>從初次實作到目前的版本，我花費了一年多，將運算時間縮短了40幾秒！不過，這一年多持續調整實作、在函數式不變特性中，去尋找求變的過程，我們可以思考許多策略，無論是在演算法，或者是在函數式，不管行得通或行不通，都讓我得到了許多的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%B3%A2%E5%87%BD%E6%95%B8%E5%A1%8C%E7%B8%AE">波函數塌縮</a></div><div class="field-item even"><a href="/tags/openscad">OpenSCAD</a></div></div></div>
2022/5/25 07:00作者林信良https://www.ithome.com.tw/voice/151016
GitLab 15.0來了！向所有使用者提供容器掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab發布了主要版本更新<a href="https://about.gitlab.com/releases/2022/05/22/gitlab-15-0-released/">GitLab 15.0</a>，該開發團隊在該平臺持續加入更多的DevOps功能，強化了可觀察性和持續安全性功能，協助用戶程式碼開發和協作，並且安全地交付軟體。</p> <p>官方預計在後續<a href="https://about.gitlab.com/press/releases/2022-05-23-gitlab-15-the-one-devops-platform.html">GitLab 15</a>次要版本更新中，陸續加入一系列新功能，使得企業可以縮短從程式碼到生產階段的交付周期，降低錯誤頻率和嚴重性，讓開發團隊更頻繁地部署，減少意外事件後的恢復時間，並對企業工作流程自動化和資料科學工作負載，有更全面的支援。</p> <p>GitLab 15.0重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>用戶在WYSIWYG Markdown編輯器，能夠更方便地處理連結和媒體，過去用戶需要於編輯工具欄中選擇工具，才能更改Wiki頁面上選定的連結和圖像，而現在編輯操作更加容易，當選取連結或附圖時，下方便會出現選單，供用戶編輯連結，或是複製圖像到剪貼簿，甚至在頁面中刪除連結和圖像。</p> <p>在GitLab 15.0中，進階搜尋現在與OpenSearch相容，在之前的版本，進階搜尋功能不相容於開源的Elasticsearch分叉OpenSearch，因此當用戶使用AWS託管服務，必須使用舊版的Elasticsearch，但在更新之後，Advanced Search已經完全可搭配OpenSearch使用。</p> <p>另外，在GitLab 14.10或是更早之前的版本，團隊僅支援一組迭代，而這使得同一團隊中的不同組別，難以自主計畫和追蹤迭代之間的問題，而GitLab 15.0改進了這個問題，官方增加團隊管理並行迭代的能力，不同組別在其迭代節奏中，皆可控制每次迭代的起始和持續時間。</p> <p>GitLab也持續向下開放更多功能給各層級使用者，在GitLab 15.0中，現在每一層級的使用者，都能用到基本容器掃描功能。容器掃描可協助開發人員，更簡單地發現所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p>官方也提到，GitLab 15也將支援ModelOps使用案例，允許資料科學和相關團隊緊密合作。ModelOps相關功能包括資料操作，使用戶能夠擷取、載入和轉換資料，並且簡單地將資料連接到GitLab工作管線。機器學習操作方面，簡化了機器學習模型的開發和部署，使用戶能夠試驗、訓練、測試，並將模型部署到生產中。</p> <p>GitLab 15會讓用戶能夠監控生產中的機器學習模型，了解其運作狀況，並且對資料、程式碼和模型版本，提供可追溯性功能，包括整合資料保護、機器學習程式碼安全性與模型版本控制，增加用戶在機器學習上的法遵、存取控制和協作能力。</p> </div></div></div>
2022/5/25 00:41作者李建興https://www.ithome.com.tw/news/151102
AWS正式推出採用Graviton3處理器的C7g執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在去年re:Invent大會中，公開<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c7g-instances-powered-by-aws-graviton3-processors/">C7g執行個體</a>的消息，現在已經結束預覽階段，正式推出供用戶選用。C7g執行個體的C代表其用途針對計算（Compute）密集工作負載，7是第7代的意思，g則是指該執行個體使用AWS Graviton處理器。</p> <p>C7g執行個體使用AWS自家設計，最新的Graviton3處理器，該處理器使用更先進的DDR5記憶體技術，比起上一代多了25％的運算效能，浮點數計算效能也提高，將近是前一代的2倍，Graviton3的機器學習運算能力也受到強化，支援bfloat16浮點數格式，為Graviton2效能的3倍。</p> <p>Graviton3處理器的安全性也更高，除了總是啟用記憶體加密外，每個vCPU也有專用的快取，並且也支援指標身份驗證功能，防止惡意程式竄改記憶體堆疊內容。而且在與相同效能的EC2執行個體相比，Graviton3可減少60％的能源，使得企業用戶能夠進一步減少碳足跡。</p> <p>C7g執行個體底層採用AWS Nitro系統，擁有8種規格可供選擇，最高可擁有64個vCPU，支援高達128 GiB的記憶體，30 Gbps的網路效能和20 Gbps的Amazon EBS效能配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201234%20-%20New%20%E2%80%93%20Amazon%20EC2%20C7g%20Instances%2C%20Powered%20by%20AWS%20Graviton3%20Processors%20_%20-%20aws_amazon_com(1).jpg" style="width: 580px; height: 411px;" /></p> <p>C7g執行個體能夠被廣泛地用於計算密集的工作負載，包括應用程式伺服器、高效能運算、電子設計自動化、媒體編碼，或是以CPU為基礎的機器學習推理。同時也非常適合用於執行基於Linux的工作負載，包括以EKS、ECS、Kubernetes和Docker所建構的微服務應用程式，並且執行主流程式語言像是C/C++、Rust、Go、Java、Python、.NET Core、Node.js和PHP。</p> <p>目前C7g先在美東N. Virginia和美西Oregon兩AWS地區提供，之後會逐漸在各地區上線。</p> </div></div></div>
2022/5/25 00:49作者李建興https://www.ithome.com.tw/news/151103
【資安日報】2022年5月24日，駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上資安人員的攻擊行動，去年有不少是利用相關職缺為誘餌，讓受害者上當，而使得電腦被植入惡意軟體，但近期出現了新的手法──有人假借提供概念性驗證程式的名義，實際上卻是在散布意程式。</p> <p>在烏克蘭戰爭中，俄羅斯駭客Sandworm屢次攻擊烏克蘭的關鍵基礎設施，從初期使用資料破壞軟體（Wiper）從事破壞行動，到後來企圖控制變電所開關，影響該國的電力供應。最近研究人員指出，在攻擊的過程裡，這些駭客同時利用了惡意軟體投放器（Malware Dropper），使得行蹤不易被發現。</p> <p>思科對於旗下路由器作業系統軟體IOS XR，在5月20日修補漏洞CVE-2022-20821，雖然這項漏洞嚴重程度為中等，但由於5月已經出現攻擊行動，一旦駭客加以利用，還是很有可能對企業網路造成危害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/"><span style="color: rgb(0, 0, 0);">別以為概念性驗證程式不會對電腦造成危害！有駭客用來散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png" style="width: 300px; float: right;" /></a>駭客針對資安人員出手的情況，在去年已有數起事故，而最近有人假借漏洞利用展示來發動攻擊。資安業者Cyble指出，有人針對微軟今年4月修補的重大漏洞CVE-2022-26809（CVSS風險層級9.8分）、CVE-2022-24500（CVSS風險層級8.8分），在GitHub上發布假的概念性驗證程式（PoC），這些軟體並未含有惡意程式碼，而可能得以逃過防毒軟體的偵測。</p> <p>一旦研究人員執行這些「概念性驗證程式」，電腦上就會出現假的訊息，宣稱正在利用漏洞並執行Shell Code，但實際上該軟體卻是在背景執行PowerShell命令，並傳送惡意酬載，下載Cobalt Strike的Beacon，展開進一步的攻擊行動。GitHub獲報後已將上述的惡意軟體下架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/05/20/sandworm-ukraine-new-version-arguepatch-malware-loader/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用惡意軟體Arguepatch變種，投放作案工具</span></a></strong></h3> <p>日前俄羅斯駭客Sandworm曾利用資料破壞軟體CaddyWiper、操弄工控系統的惡意軟體Industroyer2，對烏克蘭的關鍵基礎設施（CI）下手，但這些駭客在投放上述攻擊工具的過程中，也透過惡意軟體投放器（Malware Dropper）來減少被察覺的機會。資安業者ESET指出，他們與烏克蘭電臘緊急應變小組（CERT-UA）聯手，發現新的惡意軟體ArguePatch變種，駭客透過ESET的可執行檔案來隱匿ArguePatch的行蹤，將這個變種惡意軟體用來投放上述的CaddyWiper、Industroyer2等作案工具，研究人員指出，有別於過往出現的ArguePatch，新的變種不再使用Windows工作排程器安排下一階段的攻擊行動，而使得相關蹤跡更難被察覺。 </p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/turla-new-phishing-campaign-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla對愛沙尼亞、奧地利進行偵察</span></a></strong></h3> <p>先前Google的威脅情報小組（TAG）於3月下旬提出警告，俄羅斯駭客開始鎖定烏克蘭週邊的東歐與北約國家下手，進行網路釣魚與惡意軟體攻擊，這樣的情況延續到5月，有資安業者提出進一步分析。資安業者Sekoia於5月23日指出，他們根據TAG提及的俄羅斯駭客攻擊行動裡，所使用駭客組織Turla的基礎設施進行調查，結果發現，這些駭客鎖定的對象，是位於波羅的海的軍校Baltic Defence College（BALTDEFCOL），以及奧地利聯邦經濟商會Wirtschaftskammer Österreich（WKO）。</p> <p>前者是位於愛沙尼亞的軍事學院，由愛沙尼亞、拉脫維亞，以及立陶宛共同經營，是波羅的海的戰略研究中心，且經常舉辦北約與歐洲官員的會議；後者是在烏克蘭戰爭中保持中立的奧地利組織。研究人員認為，駭客攻擊軍校的目的，很可能是為了要打聽這些歐洲國家接下來打算採取的行動；而針對奧地利聯邦經濟商會的部分，則疑似是探聽奧地利組織對於俄羅斯的看法。</p> <p>再者，前述提及Turla用於攻擊行動的網域裡，存在名為War Bulletin 19.00 CET 27.04.docx的惡意Word檔案，該檔案內嵌了PNG圖檔，但沒有網釣攻擊裡會出現的惡意程式碼或是巨集，研究人員認為，攻擊者主要的工作很可能在於偵察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/anonymous-declares-war-on-killnet/"><span style="color: rgb(0, 0, 0);">駭客組織匿名者攻陷俄羅斯組織Killnet</span></a></strong></h3> <p>俄羅斯駭客組織Killnet自5月初開始，針對義大利多次發動網路攻擊，癱瘓該國政府機關的網站，現在有聲援烏克蘭的駭客開始對該組織出手。根據資安新聞網站Infosecurity Magazine的報導，駭客組織匿名者（Anonymous）於22日宣稱，他們將對Killnet發起網路攻擊，接下來就讓對方的網站Killnet.ru離線。這是該組織在3月上旬聲稱竊得俄羅斯聯邦機構逾36份機密檔案後，他們再度公布攻擊俄羅斯的相關行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/linux-mirai-malware-double-on-stronger-chips/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路病毒Mirai變種顯著增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png" style="width: 300px; float: right;" /></a>駭客在Log4Shell漏洞細節被公布後，針對Linux主機的攻擊行動也顯著增加。資安業者CrowdStrike指出，他們觀察到殭屍網路病毒Mirai的變種，在2022年第1季較去年同期顯著增加，而且是對於不同處理器架構的裝置都是如此。值得一提的是，研究人員指出，雖然針對Linux作業系統的Mirai殭屍網路病毒變種，多半仍是Arm架構設備而來，但論及變種數量增加的幅度，能在x86架構運作的病毒成長幅度最多，較同期增加101%，其中，又以針對32位元x86設備的變種病毒多了120%，而64位元版本x86病毒也增加57％。</p> <p>研究人員認為，有越來越多駭客偏好針對x86處理器架構的設備，原因很可能是製作與維護惡意軟體所需的心力較少，而且攻擊範圍還能從物聯網設備擴及x86伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK"><span style="color: rgb(0, 0, 0);">思科修補的IOS XR路由器作業系統軟體零時差漏洞，已出現攻擊行動</span></a></strong></h3> <p id="Zyxel">思科於5月20日發布資安通告，指出他們修補了已遭利用的路由器作業系統軟體IOS XR漏洞CVE-2022-20821，攻擊者一旦利用這項漏洞，就可能在未經身分驗證的情況下，遠端存取NOSi Docker容器裡執行的Redis實例。該公司指出，這項漏洞與軟體運作狀態的健康監控機制裡，預設會開放TCP的6379埠有關，從而讓攻擊者能用來連線Redis實例，甚至將任意檔案寫入容器檔案系統，並瀏覽Redis資料庫的內容。</p> <p>針對上述漏洞的影響範圍，該廠牌8000系列的路由器，並部署及啟用上述提及的軟體狀態監控機制，就有可能曝露於這項漏洞的風險當中。由於該公司的產品資安事件應變小組（PSIRT）在本月發現相關攻擊行動，他們呼籲用戶要儘速安裝新版軟體，或是採取緩解措施因應。</p> <h3><strong style="font-size: 22px;"><a href="https://news.softpedia.com/news/mozilla-releases-firefox-100-0-2-with-critical-security-fixes-535426.shtml"><span style="color: rgb(0, 0, 0);">Mozilla修補瀏覽器與收信軟體重大漏洞</span></a></strong></h3> <p id="Zyxel">Mozilla於5月20日發布資安通報，該公司近期修補了電腦版、行動裝置版Firefox瀏覽器，以及收信軟體Thunderbird的兩個重大漏洞CVE-2022-1802、CVE-2022-1529，與Top-Level Await實作的原型鏈污染（Prototype Pollution）有關，一旦攻擊者利用這些漏洞，就有可能藉由上述軟體執行惡意JavaScript指令碼。</p> <p>雖然該公司僅指出這些漏洞為重大層級，並未列出CVSS評分，但根據IT業者紅帽的資安通告，兩個漏洞的危險程度都達到8.8分。Mozilla發布電腦版瀏覽器Firefox 100.0.2、ESR 91.9.1、收信軟體Thunderbird 91.9.1，以及安卓版本Firefox 100.3，並呼籲用戶應儘速安裝新版軟體。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/24 18:03作者周峻佑https://www.ithome.com.tw/news/151105
駭客釋出惡意Windows概念性驗證攻擊程式，企圖感染資安社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/?utm_ss=szQyNDAzMTE1BAA&utm_ss_social=1" target="_blank">資安業者Cyble近日警告</a>，他們在網路上發現針對微軟安全漏洞的概念性驗證攻擊程式，但實則為惡意程式網路，資安社群一旦不慎安裝，就會被植入後門程式。</p> <p>遭到駭客利用的兩個安全漏洞都是微軟於今年4月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24500" target="_blank">CVE-2022-24500</a>與<a href="https://www.ithome.com.tw/news/150440" target="_blank">CVE-2022-26809</a>，前者為Windows SMB的遠端執行漏洞，後者則是遠端程序呼叫（Remote Procedure Call，RPC）Runtime漏洞，亦允許駭客自遠端執行任意程式。</p> <p>然而，有一名代號為rkxxz的開發者，將針對這兩個漏洞的概念性驗證攻擊程式上傳到GitHub上，資安工程師Tuan Anh Nguyen在安裝了其中的CVE-2022-26809攻擊程式之後，<a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank">發現他在自己的系統上引進了後門</a>。</p> <p class="rtecenter"><a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Malware%20Campaign%20Targets%20InfoSec%20Community-600.png" style="width: 574px;" /></a></p> <p>Cyble指出，偽造的CVE-2022-24500攻擊程式並未含有任何攻擊程式碼，只是出現一個假訊息顯示它企圖開採並執行Shellcode，卻背地裡執行PowerShell指令以遞送真正的酬載，接著下載了Cobalt-Strike Beacon，以用來展開其它的惡意行為。</p> <p>總之，不管是假冒的CVE-2022-24500或CVE-2022-26809攻擊程式，都是用來吸引資安社群的誘餌，因為資安人員經常使用這類的概念性驗證程式來檢查漏洞，使得Cyble呼籲該社群的使用者最好在下載任何概念性驗證程式之前，先確認來源的可信度。</p> <p>目前不管是rkxxz的帳號或相關概念性驗證攻擊程式都已被GitHub下架。</p> </div></div></div>
2022/5/24 14:24作者陳曉莉https://www.ithome.com.tw/news/151093
英特爾設立伺服器浸沒式冷卻實驗室、將在臺灣提出首個參考架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動資料中心浸沒式冷卻技術開發，<a href="https://www.intel.com/content/www/us/en/newsroom/news/key-investments-advance-data-center-sustainability.html" target="_blank">英特爾近日宣布投資7億美元設立Mega Lab</a>，同時將推動浸沒式冷卻方案的參考架構開源計畫，從臺灣開始推向全球。</p> <p>這座Mega Lab位於美國奧勒岡州Hillsboro市的英特爾Jones Farm園區，佔地20萬平方英呎（約5620坪），預計2023年下半開幕運作，旨在研發浸沒式冷卻、用水效率及熱氣回收及再利用。這座實驗室也將用於測試英特爾資料中心產品，包括Xeon、Optane、網路介面卡和交換器設備、Agilex FPGA、Xe架構、Habana加速器及正在研發中的產品。此外，該實驗室也會設立進階技術展示供客戶和合作夥伴參觀，或在實驗室內的資料中心環境測試英特爾產品。</p> <p><a href="https://www.ithome.com.tw/news/148907" target="_blank">英特爾今年初宣布與GRC（Green Revolution Cooling）合作開發採用Xeon Scalable處理器的浸沒式冷卻技術</a>，2018年則是和Submer合作。</p> <p>除了推進浸沒式冷卻技術的研發，英特爾也宣布號稱首個開放智財（Open IP）浸沒式液冷解決方案和參考架構。該公司說，open IP的參考設計將會是容易部署、擴充簡單的開放整合式冷卻方案，可協助夥伴回應資料中心功率愈來愈密集時代下，企業對能源效率需求。</p> <p>英特爾表示，第一個概念驗證設計將會由英特爾臺灣，以及臺灣合作夥伴推出，之後這個open IP計畫再階段性推向全球。</p> <p>至於何時會見到首個參考架構，英特爾並沒有說明。對於開發中的浸沒式冷卻方案，<a href="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-05/newsroom-immersion-cooling.jpg.rendition.intel.web.1072.603.jpg" target="_blank">英特爾也只提供了一張浸沒槽的照片</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Intel%20Data%20Center%20Cooling-600.jpg" style="width: 296px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾預定的參考架構和開放運算專案（Open Compute Project，OCP）或許會有重疊之處。成員包括ARM、IBM、Google、微軟、Dell和HP、緯穎的OCP下也有一專注液式冷卻技術的工作小組。事實上英特爾自己也是OCP成員之一。</p> </div></div></div>
2022/5/24 14:43作者林妍溱https://www.ithome.com.tw/news/151094
美國上訴法院阻止了佛州對社交媒體的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144612" target="_blank">美國佛羅里達州州長Ron DeSantis在去年的5月簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，同時禁止相關平臺封鎖政治候選人，不過，美國聯邦第十一巡迴上訴法院在本周宣判，包括社交平臺在內的大型科技業者同樣受到《美國憲法第一修正案》的保護，不應受到Senate Bill 7072的限制。</p> <p>根據Senate Bill 7072的規定，大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；此外，相關平臺不得封鎖佛州的任何政治候選人，也不得移除新聞媒體的內容。</p> <p>這使得網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）告上法院，指責Senate Bill 7072違反《美國憲法第一修正案》，美國地方法院先釋出了初步禁令，禁止佛州實施Senate Bill 7072，接著上訴法院也支持地方法院的立場。</p> <p>上訴法院認為，縱使在制定憲法之際沒人能想像Facebook、Twitter或YouTube等社交平臺的存在，但有關言論與新聞自由的原則不應在新媒體出現時而有所不同。</p> <p>不過，同樣是企圖限制社交媒體，同樣是由NetChoice與CCIA提出抗議，但德州迄今的所得到的結果卻不太一樣。</p> <p>德州州長Greg Abbott是在2021年9月簽署了Bill 20法案，打算禁止大型社交網站過度審核用戶的言論；NetChoice與CCIA一樣向法院提出告訴，結果<a href="https://www.ithome.com.tw/news/150894" target="_blank">美國上訴法院今年5月卻裁決德州可合法實施Bill 20</a>。</p> <p>在上訴法院針對Bill 20的裁決結果出爐之後，<a href="https://www.ithome.com.tw/news/150933" target="_blank">代表Google、Meta及Twitter等大型科技公司的遊說團體即向最高法院大法官Samuel Alito聲請緊急動議（Emergency Stay）</a>，希望由最高法院推翻上訴法院的決定。</p> <p><a href="https://www.protocol.com/bulletins/florida-social-media-law-block" target="_blank">美國科技媒體《Protocol》分析</a>，德州與佛州各自針對社交平臺所祭出的法令是類似的，卻於上訴法院得到分歧的結果，而這可能促使最高法院扮演最終的裁決角色，決定社交平臺能否適用於《第一修正案》。</p> </div></div></div>
2022/5/24 14:58作者陳曉莉https://www.ithome.com.tw/news/151096
Nvidia發表Grace伺服器參考設計，明年上半年產品問世；液冷式A100 GPU亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia去年揭露旗下首款資料中心CPU，採用Arm架構的Grace CPU後，在今年Computex上發表了Grace伺服器參考設計，將聯合多家伺服器品牌及代工業者，在明年上半年推出採用Grace的運算系統。此外，還推出液冷式A100 GPU，將液冷技術推向主流GPU市場。</p> <p>去年GTC，Nvidia擴大資料中心布局，揭露將發展CPU、GPU、DPU三種運算技術的戰略，以擴大對支援愈來愈多人工智慧應用的新型態資料中心布局，除了GPU與DPU之外，在CPU方面受外界注目的是，Nvidia首款資料中心CPU，採用Arm架構設計的Grace，強調專為超大規模AI及高效能運算所設計，可帶來TB級的資料處理量。</p> <p>Grace支援第4代NVLink互連技術，讓CPU與GPU間可以每秒900GB的速度互連，並支援LPDDR5X記憶體，帶來更高的容量、頻寬及能源效率。官方稱，配備Grace CPU的DGX，和現今的DGX相比提升5倍效能。</p> <p>今年Computex電腦展，Nvidia揭露更多Grace CPU資訊。Grace將包括兩種產品規格，兩種規格設計均支援Nvidia的軟體堆疊及平臺，包括Nvidia AI和Omniverse。一種是專為大規模人工智慧及高效能運算設計的Grace-Hopper的CPU與GPU規格，以NVLink-C2C作為CPU與GPU間的快速互連，每秒可達900GB的速度；另一種規格是Grace CPU Superchip，以NVLink-C2C互連兩顆Grace CPU，提供144個Arm v9核心與每秒1TB的記憶體頻寬，鎖定高效能及雲端運算。</p> <p>同時，該公司也公布4種伺服器系統的參考設計，CGX、OVX、HGX(Grace)及全新的HGX，針對單路、兩路、4路不同的系統設計，分別對應雲端繪圖及遊戲、Digital Twins及Omniverse、高效能運算、AI訓練推論及高效能運算。</p> <p>前三種參考設計採用Grace CPU Superchip，搭配A16或Nvidia GPU，以及Bluefield-3，第四種的HGX參考設計則採用Grace-Hopper Superchip規格，搭配Bluefield-3，以及OEM自定的I/O或是第4代NVLink互連技術。</p> <p>Nvidia表示，目前已有多家伺服器業者計畫推出產品，包括華碩、富士康工業互連網、技嘉、雲達、緯穎、Supermicro，準在2023年上半年推出數十款伺服器。 Nvidia將繼續在伺服器投入X86與Arm架構伺服器，提供企業不同的選擇。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>推出液冷式GPU</strong></span></span></p> <p>趕上全球節能減碳的趨勢，資料中心節能成為企業的減碳淨零的目標之一，Nvidia也發表液體冷卻的Nvidia A100 PCIe GPU，為主流GPU中首款液冷產品。Nvidia表示，液冷將是Nvidia GPU加速運算發展的下一步，其AI推論和高效能運算效能比CPU提升20 倍。Nvidia目前已開始提供樣品給客戶，預計在今年夏天上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_NVIDIA%20%E6%8E%A8%E5%87%BA%E6%B6%B2%E9%AB%94%E5%86%B7%E5%8D%BB%E5%BC%8F%20GPU.jpg" style="width: 600px; height: 338px;" /></p> <p>Nvidia已和資料中心業者Equinix合作測試液冷GPU產品，並表示和傳統氣冷技術相比，使用液冷技術可減少約3成的能源消耗，進而降低資料中心的PUE值，預估可達到1.15，低於採用氣冷技術資料中心的平均1.6。另外，由於液冷式的Nvidia A100只使用1個PCIe插槽，代表能提供更高的密度。</p> <p>包括華碩、永擎電子、富士康工業互聯網、技嘉、英業達、雲達、Supermicro等業者，計畫推出Nvidia液冷式GPU。</p> <p>A100之後，Nvidia透露明年液冷技術將擴大至採用Hopper架構的H100 Tensor核心GPU。未來也會擴展至高效能運算資料中心的GPU及HGX平臺。</p> <p> </p> </div></div></div>
2022/5/24 15:00作者蘇文彬https://www.ithome.com.tw/news/151095
eBay踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ebay-launches-first-collection-of-nfts-in-partnership-with-green-web3-company-oneof-301551975.html" target="_blank">全球線上拍賣市集eBay在23日宣布</a>，將與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品。</p> <p>Genesis系列將針對美國體育雜誌《運動畫刊》（Sports Illustrated）最近這幾年躍上封面的風雲人物推出各種NFT產品，包括3D或動畫作品，<a href="https://www.ebay.com/e/sports-fan-shop/wayne-gretzky-oneof-nft" target="_blank">首位即為加拿大冰上曲棍球傳奇人物Wayne Gretzky</a>。每個NFT的價格為10美元，皆含有Gretzky冰上英姿的3D渲染或動畫畫面，而且直至今年底，OneOf都會在eBay上銷售運動明星的NFT。</p> <p>OneOf標榜是個基於多個節能區塊鏈的NFT平臺，宣稱在該平臺上鑄造一個NFT所使用的電力，是工作量證明區塊鏈網路的兩百萬分之一，而且購買NFT完全不需要支付礦工費，目標是吸引全球1億名使用者進入Web3的世界，並允許使用者以加密貨幣、簽帳卡或信用卡付帳。</p> </div></div></div>
2022/5/24 15:05作者陳曉莉https://www.ithome.com.tw/news/151097
微軟Bing Autofill會過濾政治敏感詞彙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2022/05/bada-bing-bada-boom-microsoft-bings-chinese-political-censorship-autosuggestions-north-america/" target="_blank">研究人員分析微軟Bing Autofill功能設定</a>，發現不論是中、英文搜尋或在哪個地區時，都會跳過包括習近平、劉曉波等政治敏感詞彙。</p> <p>設於加拿大多倫多的公民實驗室（Citizen Lab）分析Bing對特定人名關鍵字的言論審查，發現Autofill會依據Bing的語言版本、地區不同，封鎖特定類別的名字，其中和政治活動有關的名字，像是政黨領導人物、異議人士等，和情色類名字同列為被Autofill過濾的兩大類關鍵字。</p> <p>研究人員從英、中版Wikipedia中挑選查詢次數超過1,000次的人名，包括近10萬個英文名及7,000多個中文名，輸入Bing搜尋服務檢視是否會顯示在Autofill建議關鍵字中，地區分別設定為中國、美國及加拿大。</p> <p>研究發現，不論地區設定，被過濾的英語人名最大宗是和情色有關的，例如情色產業工作者（桃乃木香奈 Kana Momonogi）、或本身是私密照片曝光事件的受害者。中文人名則以不意外地過濾了政治人物（習近平、溫家寶）、共產黨歷史人物（李大釗，中國共產黨創黨者之一）、或政治醜聞主角（周永康、張高麗）名字。</p> <p>但是研究人員指出，一些政治敏感詞，如「習近平Xi Jinpin」、「坦克人 Tank Man」、「劉曉波Liu XiaoBo」等高度敏感的政治人物名字，不論英文或中文、或是區域設定，都不會出現在Autofill建議選單中。</p> <p>研究人員也發現，Bing的中文自動建議（autosuggestion），不但出現在公開網頁搜尋，也會反映在Windows內建的Bing搜尋，以及使用Bing自動建議資料的DuckDuckGo。有趣的是由於Bing 對一些身體部位名稱的過濾，害得一些人物如美國46任副總統錢尼（Dick Cheney）和其他叫做「Dick」的人名也遭殃了。</p> <p><a href="https://www.theregister.com/2022/05/20/citizen_lab_microsoft_bing_report/" target="_blank">微軟對The Register 指出</a>，並無所謂「審查」，自動建議的關鍵詞是依據用戶過去查詢使用而產出的建議，沒在自動建議名稱並不表示被封鎖，至於小部份人經歷到某些關鍵詞未出現，該公司已經修正了組態相關的技術疏失，也感謝公民實驗室發現這問題。</p> </div></div></div>
2022/5/24 13:03作者林妍溱https://www.ithome.com.tw/news/151092
博通將以逾500億美元買下VMware，最快本周宣布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/broadcom-discussing-paying-around-140-a-share-for-vmware-people-say-11653334946?mod=djemalertNEWS" target="_blank">華爾街日報</a>》（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/b0978baf-cb16-4603-8019-a2a802c8e7e6" target="_blank">金融時報</a>（Financial Times，FT）本周相繼引述消息來源報導，晶片製造商博通（Broadcom）即將買下軟體業者VMware，FT宣稱此一交易超過500億美元，WSJ則說價格落在600億美元左右，雙方最快將於本周宣布。</p> <p>博通習於透過併購來擴大該公司的業務規模，而且近年將收購目標轉向軟體企業，<a href="https://www.ithome.com.tw/news/132339" target="_blank">2019年時以107億美元買下了賽門鐵克（Symantec）的企業安全部門</a>，現在又對雲端運算暨虛擬化技術業者VMware產生興趣。消息傳出後，VMware周一（5/23）股價大漲24.78%，以119.43美元作收，也讓VMware的市值直接衝上500億美元。</p> <p>根據WSJ的報導，博通所提出的收購價格落在600億美元左右，將以股票及現金來支付，每股價格約為140美元。不過，WSJ也說最終收購價格可能仍有變動。</p> <p>報導指出雙方可能會在本周四（5/26）公布此事，而這也是VMware準備公布首季財報的日子。</p> </div></div></div>
2022/5/24 12:18作者陳曉莉https://www.ithome.com.tw/news/151091
美、南韓合作對抗北韓網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/21/united-states-republic-of-korea-leaders-joint-statement/" target="_blank">美國與南韓上周發表合作經濟與安全同盟</a>，包含將合作對抗北韓的網路攻擊。</p> <p>美國總統拜登（Joe Biden）近日在亞洲之行中抵達南韓，並和南韓新上任總統尹錫悅展開會談，會後則連袂發表經濟與安全同盟，強化合作以對抗北韓威脅。除了擴大軍事訓練及操演外，也將提升對北韓威脅活動的辨識及因應措施，以對抗各種來自北韓的各種網路威脅，包括國家支持的網路攻擊。</p> <p>拜登和尹錫悅表示會深化美、韓區域及國際網路安全政策合作，包括擊退網路攻擊者、確保關鍵基礎架構的網路安全、打擊網路犯罪及相關的洗錢、強化加密貨幣及區塊鏈應用、擴增容量、網路操演、資訊共享、網路安全的軍事協同及其他網路國際安全事務合作。</p> <p>北韓駭客組織，包括Lazarus、Hidden Cobra、Stonefly等長期攻擊其他國家政府、政府外包商、能源及基礎架構網路、研究機構，是美國政府的眼中釘，一般相信獲得北韓政府支持。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">2019年美國財政部</a>針對北韓的三大駭客組織：Lazarus Group、Bluenoroff與Andariel展開制裁，指稱它們鎖定重大的基礎架構發動網路攻擊。<a href="https://www.ithome.com.tw/news/141880" target="_blank">去年又控告</a>該共產國家駭入疫苗研發及運送供應鏈，還有3名北韓駭客被控是「全球頭號銀行搶劫犯」。<a href="https://www.ithome.com.tw/news/150497" target="_blank">今年美國政府相信</a>北韓駭客將矛頭轉向加密貨幣平臺及區塊鏈，包括Lazarus竊走Ronin Network超過6億美元，或是<a href="https://www.ithome.com.tw/news/150980" target="_blank">派有IT技能的間諜滲透進全球企業以竊取機密</a>。</p> <p>除了軍事安全合作外，美韓也將強化「科技供應鏈」合作，計畫運用三星電子為主的半導體產業能量，確保晶片及電池等科技元件的供應。雙方也承諾AI、5G/6G及量子運算技術的研發共同投資。</p> </div></div></div>
2022/5/24 10:53作者林妍溱https://www.ithome.com.tw/news/151087
英國對Clearview AI開罰750萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資料保護組織Information Commissioner's Office（ICO）在2020年針對人臉辨識業者Clearview AI擅自蒐集該國民眾人臉資料展開調查，去年底認定Clearview AI違反英國資料及隱私法令，打算判罰1,700萬英鎊（2,300萬美元），<a href="https://ico-newsroom.prgloo.com/news/ico-fines-facial-recognition-database-company-clearview-ai-inc-more-than-gbp-7-5m-and-orders-uk-data-to-be-deleted" target="_blank">本周作出最終判決，將罰款降至750萬英鎊</a>。</p> <p>此外，ICO也已發布執行通知，要求Clearview AI不得再自公開網路取得英國民眾的個資，也不得使用這些個資，同時必須從系統上刪除所有英國民眾的資料。</p> <p>ICO指出，Clearview AI迄今已自公開網路或社交媒體平臺上，蒐集超過200億張的全球人臉資料與個人資訊，而且從未知會這些被蒐集資料的民眾，接著還提供服務以讓客戶能夠上傳人們的照片以與資料庫進行比對，此外，就算Clearview AI已經退出英國市場，但其含有英國民眾個資的資料庫仍持續供其它國家的客戶使用。</p> <p>Clearview AI的多項行為都違反了英國的資料保護法令，包括未取得民眾同意且缺乏合法理由即蒐集個資，沒有適當的程序來避免資料永久被留存，以及沒能符合生物辨識資料的較高資料保護標準。</p> <p>不僅是英國，Clearview AI也在今年5月與美國伊利諾州和解，<a href="https://www.ithome.com.tw/news/150846" target="_blank">同意不再提供服務予美國的私人企業或個人</a>。</p> </div></div></div>
2022/5/24 11:07作者陳曉莉https://www.ithome.com.tw/news/151088
Firefox桌機、手機版更新修補2個可致惡意JavaScript執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/" target="_blank">Mozilla上周釋出安全更新公告</a>，以修補桌機、手機版瀏覽器及郵件軟體Thunderbird中2個可執行惡意JavaScript重大風險漏洞。</p> <p>兩個漏洞中，CVE-2022-1802為Top-Level Await實作中的原型鏈污染（prototype pollution）漏洞。如果攻擊者可透過原型鏈污染破壞JavaScript中Array物件的方法（methods），就能取得權限執行程式碼。CVE-2022-1529則允許攻擊者傳送方法訊息到主行程查詢JavaScript物件索引，導到原型鏈污染，結果是攻擊者控制的JavaScript可以在具權限的主行程中執行。</p> <p>2項漏洞都是由趨勢科技的Zero Day Initiative研究人員發現。Mozilla將之列為「重大」風險，並未提供詳細的風險值，但Red Hat安全公司將<a href="https://access.redhat.com/security/cve/cve-2022-1802" target="_blank">CVE-2022-1802</a> 及<a href="https://access.redhat.com/security/cve/cve-2022-1529" target="_blank">CVE-2022-1529</a> 皆列為8.8。</p> <p>2項漏洞影響產品包括Firefox桌機、Android版及ESR版瀏覽器，以及Thunderbird郵件軟體。Mozilla已釋出Firefox 100.0.2、Firefox ESR 91.9.1、Firefox for Android 100.3及Thunderbird 91.9.1修補，並呼籲用戶儘速安裝。</p> </div></div></div>
2022/5/24 10:08作者林妍溱https://www.ithome.com.tw/news/151086
【資安日報】2022年5月23日，臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymaf…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有一則消息，引起了我們的注意，臺灣資安業者在5月10日至13日舉行的黑帽大會上，揭露中國駭客組織開發的木馬程式Pangolin8RAT。依據中國駭客組織之間會互通有無，再加上該木馬程式背景相當複雜，開發過程疑似有APT41參與，研究人員推測很有可能成為日後中國駭客組織大肆利用的攻擊工具。</p> <p>軟體供應鏈攻擊的事故，現在也從NPM蔓延到其他平臺。資安業者近期發現有人上架名為pymafka的惡意PyPI套件，開發人員若是不慎安裝，電腦將會被植入滲透測試工具Cobalt Strike的Beacon。</p> <p>隨著烏克蘭戰爭的進行，俄羅斯駭客發動網路攻擊的對象，已經從烏克蘭擴散到全球。近期最新的攻擊事故，是義大利傳出50個政府機關網站遭到了俄羅斯駭客Killnet發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.blackhat.com/asia-22/briefings/schedule/#the-next-gen-plugxshadowpad-a-dive-into-the-emerging-china-nexus-modular-trojan-pangolinrat-25950"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5於黑帽大會上揭露新的中國木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png" style="width: 300px; float: right;" /></a>中國國家級駭客經常會使用PlugX、ShadowPad等惡意軟體，進行各式網路攻擊，但最近兩年這些駭客疑似製作新的攻擊工具，而有可能使得組織難以透過現有的威脅情資來察覺遭到攻擊。杜浦數位安全（TeamT5）於今年的黑帽大會亞洲場（Black Hat Asia）上，揭露他們從2020年發現的模組化木馬程式Pangolin8RAT，這個木馬程式的特性之一，在於早期版本就支援8種網路通訊協定，駭客亦可藉由C2指令下載DLL程式庫來擴充其功能，很有可能接續PlugX、ShadowPad，成為未來多個中國駭客組織運用的下一代作案工具。</p> <p>研究人員將使用此木馬程式的駭客組織稱為天吳（Tianwu），該組織於2020至2021年行動，鎖定臺灣、菲律賓、哈薩克等國，針對網路賭博業、電信業、政府機關、交通運輸行業出手。根據Pangolin8RAT的程式碼，以及攻擊者所採用的戰術、技巧，以及步驟（TTP），還有偏好鎖定博奕產業的特性，研究人員認為，該組織很有可能與惡名昭彰的APT41（該公司稱為Amoeba）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/pro-russian-hackers-italy/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet攻擊義大利政府多個機關的網站</span></a></strong></h3> <p>多個國家於4月下旬提出警告，俄羅斯駭客不再完全集中火力攻擊烏克蘭，而是<a href="https://www.ithome.com.tw/news/150572#CI">打算報復曾經援助烏克蘭的國家，攻擊他們的關鍵基礎設施（CI）</a>，這樣的情況如今真實上演。根據資安新聞網站Infosecurity Magazine的報導指出，義大利警方於5月20日表示，俄羅斯駭客組織Killnet約於當地時間19日晚間8時發動攻擊，導致約50個政府機關的網站無法運作，這些受害的單位包含了義大利最高司法委員會、外交部、教育部等，且攻擊行動到20日下午仍在進行。</p> <p>但此起網路攻擊事故已非Killnet第一次對該國下手──<a href="https://www.reuters.com/world/europe/pro-russian-hackers-target-italy-defence-ministry-senate-websites-ansa-news-2022-05-11/">該組織曾於11日宣稱</a>對義大利參議院、上議院、國家健康研究所（ISS）等政府機關的網站發動攻擊，癱瘓這些網站運作；<a href="https://www.reuters.com/world/europe/italian-police-prevents-pro-russian-hacker-attacks-during-eurovision-contest-2022-05-15/">義大利警方於5月15日宣布</a>，他們於10日成功攔截該組織對歐洲歌唱大賽的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/new-pymafka-malicious-package-drops-cobalt-strike-on-macos-windows-linux"><span style="color: rgb(0, 0, 0);">惡意PyPI套件pymafka對Windows、macOS、Linux電腦下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png" style="width: 300px; float: right;" /></a>駭客上架惡意開發套件的情況，過往大多針對NPM而來，但現在也有人開始對於PyPI套件庫下手。資安業者Sonatye於5月17日發現，PyPI套件庫裡出現了名為pymafka的惡意Python套件，疑似假冒知名的Apache Kafka用戶端Python套件「PyKafka」來讓受害者上當。上述兩個套件的名稱拼字幾乎相同，開發者若是不慎下載及部署惡意套件，Python指令碼setup.py會先偵測受害電腦的作業系統，並下載Windows、macOS、Linux等作業系統對應的木馬程式，其功能是滲透測試工具Cobalt Strike的Beacon。</p> <p>其中，研究人員在受害的Windows電腦上，看到駭客將Cobalt Strike的Beacon投放於電腦使用者共用的資料夾（C:\Users\Public\），並將檔案名稱命名為iexplorer.exe（註：較IE的執行檔檔名多一個r），然後藉此檔案下載了win.exe並與位於中國的IP位址連線。</p> <p>該公司亦將檔案上傳至惡意軟體分析平臺VirusTotal，結果在61款防毒引擎裡僅有20個視為無害。研究人員認為，開發人員要留意下達安裝的指令是否正確，並搭配相關檢測工具來防堵這類威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape"><span style="color: rgb(0, 0, 0);">勒索軟體Conti停止營運，駭客成立多個組織，另起爐灶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png" style="width: 300px; float: right;" /></a>先前有資安人員發現，勒索軟體Black Besta可能就是Conti東山再起，現在有資安業者揭露更多跡象。威脅情報業者Advanced Intelligence（AdvIntel）指出，駭客於5月19日終止使用勒索軟體Conti的品牌，僅留下羞辱受害者的部落格Conti News，但該組織提供駭客上傳要脅受害者資料，以及讓受害者付款的相關功能皆以失效。</p> <p>研究人員發現，有別於先前其他駭客組織直接淡出網路犯罪生態圈，Conti背後的駭客已是早有預謀──這些駭客因烏克蘭戰爭開打時表態聲援俄羅斯，導致歐美國家封殺他們收取贓款的管道，該組織領導者就已經策畫要分散成多個較小的組織，包含KaraKurt、BlackByte、Black Basta等，來掩人耳目，但這些駭客在移轉的同時，也試圖讓外界認為Conti仍在運作。</p> <p>首先，是該組織以排程的方式，持續公布從受害組織竊得的資料，再者，這些駭客策畫了一場大型攻擊行動來引起外界關注，那就是針對哥斯大黎加於4月中旬的事故──外傳駭客向該國政府索討1千萬美元贖金，一個月後更提高價碼到2千萬美元。但根據研究人員的追蹤後發現，該組織高層的目的並非贖金，而是要讓外界眾所周知Conti的存在，且根據成員的對話記錄，駭客向對方提出的贖金遠低於百萬美元；此外，該組織亦相當罕見地在對外聲明裡加入政治論點（例如，在提高贖金時指控美國是地球的癌症）。而他們這麼做的目的，就是讓關鍵成員轉換到其他組織之後，不致直接遭到執法單位圍剿。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/"><span style="color: rgb(0, 0, 0);">攻擊者利用PDF檔案散布惡意程式Snake Keylogger</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png" style="width: 200px; float: right;" /></a>駭客濫用PDF檔案發動攻擊的情況，雖沒有Office巨集檔案氾濫，但使用者仍不能掉以輕心，因為有人同時結合PDF檔案和Office巨集文件檔案出手。HP旗下的威脅情報團隊發現散布竊密軟體的攻擊行動，駭客近期利用名為匯款發票的名義，透過釣魚郵件挾帶有問題的PDF檔案，一旦收信人開啟，Adobe Reader就會要求載入一個DOCX檔案，駭客刻意將該文件檔名命名為「已經通過驗證」開頭，而使得對話框內容看起來像是「這個檔案已經通過驗證」，讓對方降低戒心依照指示開啟檔案並啟用巨集。</p> <p>一旦巨集啟用後，DOCX檔案就會下載RTF檔案，進而利用方程式編輯器已知漏洞CVE-2017-11882，在受害電腦部署Shell Code，最終下載竊密軟體Snake Keylogger。研究人員指出，駭客在攻擊行動中利用了4年前被公布的漏洞，代表上述漏洞仍能有效發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/"><span style="color: rgb(0, 0, 0);">網路間諜公司在2021年利用5個零時差漏洞對安卓手機植入惡意軟體</span></a></strong></h3> <p>間諜軟體Pegasus被植入iPhone手機，用於跟蹤政要、記者、民運人士的情況不時有消息傳出，但也有其他間諜軟體鎖定安卓手機下手的情況。根據Google的威脅情報小組（TAG）的統計，網路間諜公司Cytrox於2021年至少運用了5個安卓作業系統的零時差漏洞，其中有4個與Chrome有關（CVE-2021-37973、CVE-2021-37976、CVE-2021-38000、CVE-2021-38003），目的就是為了在受害人的手機植入間諜程式Predator。</p> <p>研究人員指出，這家網路間諜公司的客戶很可能在埃及、亞美尼亞、希臘、馬達加斯加、西班牙等國家。值得留意的是，該公司在零時差漏洞之外，也看上安卓生態圈部署更新檔案的時間落差，運用了尚待手機廠商推送修補程式的已知漏洞（N day）。研究人員正積極跟蹤逾30家專門向政府出售相關漏洞的供應商。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own溫哥華賽事落幕，參賽者找出Windows 11、Ubuntu、特斯拉汽車漏洞</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own 2022 Vancouver於5月18日至20日，在加拿大溫哥華舉行，此賽事正逢Pwn2Own邁入第15週年。本次共有17個隊伍參賽，總共有21個攻擊目標，Zero Day Initiative（ZDI）總共發出了115.5萬美元的獎金，並由Star Labs團隊以27點的成績得到最高分，抱走抓漏大師（Master of Pwn）的殊榮。</p> <p>在這3天的賽程裡，最引起關注的是每一天都有參賽者成功攻陷Windows 11作業系統，總共找出6個漏洞。其次，則是微軟的Teams、Ubuntu桌面版本、特斯拉Model 3，以及Firefox與Safari瀏覽器都遭到破解。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/147240"><span style="color: rgb(0, 0, 0);">美國允諾不會控告從事資安研究的白帽駭客</span></a></strong></h3> <p id="Zyxel">資安威脅加劇，政府與企業往往需要藉由白帽駭客協助，找出軟體的資安漏洞，但這些人士遭到相關廠商或單位控告的情況屢見不鮮，例如，有記者在去年10月，<a href="https://www.ithome.com.tw/news/148740#DESE">通報密蘇里州中小學教育網站DESE曝露教職員個資</a>，卻傳出該州州長認為記者入侵網站而打算起訴。<a href="https://www.ithome.com.tw/news/147240">自去年零時差立法專案（Zero Day Legislative Project）提出呼籲，政府應修改過時法律保護白帽駭客</a>，最近美國政府終於釋出善意。<a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act">美國司法部於5月19日表示</a>，針對自1986年施行的電腦詐欺與濫用法（CFAA），他們將修改實施的政策，不會依據相關法令控告善意進行研究的資安人員。</p> <p>但這項消息一出，多個非營利組織與新聞媒體認為，新政策對相關研究人士的保護仍然不足。例如，電子前線基金會（EFF）指出，新政策很可能因明文列出無罪行為，造成更多不在範圍的資安研究、揭露遭到起訴；ZDNet分析新政策內容認為，美國司法部列出的範圍與時下電腦安全研究相差甚遠；TechCrunch表示，該單位沒有將相關做法納入法律而是只有調整政策，很可能日後生變。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/23 16:51作者周峻佑https://www.ithome.com.tw/news/151068
研究人員警告小心夾帶惡意Word檔的PDF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HP旗下專門提供端點安全防護解決方案的HP Wolf Security，<a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/#" target="_blank">在本周揭露了一個罕見的攻擊行動</a>，駭客以電子郵件寄送一個PDF文件，於文件中嵌入惡意的Word檔案，並開採<a href="https://www.ithome.com.tw/news/118298" target="_blank">微軟已於2017年修補的Office漏洞CVE-2017-11882</a>，以於受害者系統上安裝鍵盤側錄工具Snake Keylogger。</p> <p>HP Wolf Security惡意程式分析師Patrick Schläpfer指出，在過去的10年來，駭客一向偏愛以微軟Office檔案格式來包裝惡意程式，特別是Word與Excel，在今年第一季時，該團隊所攔截的惡意程式中，就有接近一半採用Office格式。這不僅是因為使用者熟悉相關檔案格式，也因為用來開啟這些檔案的程式很普及，再加上它們很適合作為社交工程的誘餌。</p> <p>不過，該團隊卻在今年初發現一個不尋常的感染鏈，以PDF文件作為感染途徑，再透過嵌入惡意檔案、自遠方載入攻擊程式，以及加密的Shellcode等方式來躲避偵測。</p> <p>當使用者開啟此一名為Remmitance Invoice的PDF文件時，Adobe Reader會提醒使用者開啟一個.docx的Word檔，同時宣稱該檔案已經驗證，引誘使用者開啟，倘若使用者啟用了巨集功能，它即會自遠端下載一個富文本（Rich Text Format，RTF）檔案，內含特製的物件連結與嵌入（Object Linking and Embedding，OLE）物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HP Wolf Security</span></span></p> <p>研究人員分析了OLE物件之後，發現它含有企圖開採CVE-2017-11882漏洞且加密的Shellcode。</p> <p>微軟於2017年修補的CVE-2017-11882位於Equation Editor工具中，它是Office的預設工具，可於文件中插入及編輯方程式，在微軟修補的當下，該漏洞存在的時間即已長達17年。</p> <p>總之，駭客開採CVE-2017-11882的目的是為了植入鍵盤側錄工具Snake Keylogger。Schläpfer則說，微軟於4年前修補的漏洞現在還持續遭到開採，代表它仍然是個有利用價值的漏洞。</p> </div></div></div>
2022/5/23 16:56作者陳曉莉https://www.ithome.com.tw/news/151069
聯發科推首款5G毫米波產品，第三季終端產品亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發科持續擴大5G產品布局，推出該公司首款5G mmWave毫米波平臺天璣1050，可支援毫米波與Sub-6GHz頻段，第三季將會有採用該晶片的終端裝置上市。</p> <p>今年Computex電腦展第一天，不畏國內疫情的影響，聯發科今天舉辦大型活動，展示該公司旗下多項產品，在5G產品布局上，聯發科去年底推出天璣9000旗艦級，以及定位在次旗艦的8100與8000晶片，搶攻高階5G手機市場，聯發科指出，其中天璣9000從今年第一季開始，陸續有業者推出採用該晶片的高階手機，未來將看到更多搭載該晶片的手機上市。至於今年第一季推出的8000系列，採用該晶片的機型將會於中國、歐洲、印度、東南亞等地區銷售。</p> <p>其中較受注目的是，聯發科首款毫米波產品天璣1050終於亮相，為首款支援5G毫米波頻段平臺，將聯發科5G產品擴大至毫米波頻段市場，還也支援市場上較主流的Sub-6GHz頻段，使其可支援目前5G的全頻段。</p> <p>新平臺採用台積電6奈米製程，內建8核心CPU，包含兩個達2.5GHz的Cortex-A78大核心，以及Arm GPU Mali-G610。5G數據機功能部分，支援5G毫米波與Sub-6GHz的雙連接及無縫切換，其中毫米波頻段支援4載波聚合，以提高5G網速。</p> <p>目前全球5G毫米波頻段服務市場，主要以北美為主，因此聯發科預期，天璣1050將會在下半年量產，並獲得北美地區的客戶採用。</p> <p>儘管目前5G毫米波市場發展較早的是北美市場，但其他地區，例如臺灣也釋出毫米波頻段作為5G使用，作為5G垂直場域應用的頻段，因此未來不只是北美，尚有其他國家地區市場發展潛力。</p> <p>除了5G產品布局，聯發科也發表Wi-Fi 7產品，Filogic 880及Filogic 380，其中Filogic 880用於無線路由器或閘道器，支援4x4 MIMO，速度可達36Gbps，而Filogic 380則用於終端裝置，如手機、平板電腦、筆電、電視、機上盒等，網速可達6.5Gbps。</p> <p>聯發科表示，該公司自Wi-Fi 7標準推出以來積極參與研發，Wi-Fi 7象徵Wi-Fi發展史首次有可取代寬頻有線、乙太網路技術，未來能作為家用、商用、工業網路的核心網路能力，刺激多人AR/VR、雲端遊戲、4K視訊或8K串流播放等應用。</p> <div> </div> </div></div></div>
2022/5/23 17:12作者蘇文彬https://www.ithome.com.tw/news/151070
Google：Cytrox開採5個零時差漏洞以植入Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/" target="_blank">Google安全分析小組（Threat Analysis Group，TAG）本周公布了5個遭到以色列資安業者Cytrox開採的安全漏洞</a>，用以植入Predator間諜程式，並藉此展開3波的攻擊行動。</p> <p>TAG隸屬於Google Zero專案（Project Zero），負責追蹤涉及不實資訊活動、政府支撐的駭客行動，以及基於財務動機的威脅組織，在2021年時總計發現了9個零時差漏洞，<a href="https://www.ithome.com.tw/news/145701" target="_blank">去年公布了其中4個的細節</a>，本周再接再厲公布了另外5個，而它們全都遭到Cytrox利用。</p> <p>Cytrox所開發的5個零時差漏洞分別是位於Chrome瀏覽器中的CVE-2021-37973、CVE-2021-37976、CVE-2021-38000與CVE-2021-38003，以及出現在Android的CVE-2021-1048，Cytrox創造了開採上述漏洞的攻擊程式，並鎖定Android用戶展開攻擊以植入Predator間諜程式。</p> <p>根據CitizenLab的評估，向Cytrox購買相關攻擊程式的國家包括埃及、亞美尼亞、希臘、馬達加斯加、象牙海岸、塞爾維亞、西班牙與印尼等。且為了讓Predator進駐受害者手機，除了利用零時差漏洞之外，Cytrox也藉由修補空窗期，輔以已知漏洞的攻擊程式來提高成功率，讓更多缺乏先進技術的各國政府得以擴大其監控能力。</p> <p>值得注意的是，在TAG去年發現的9個零時差漏洞中，就有7個是由Cytrox這類所謂的資安傭兵所開採，而且光是TAG目前正在追蹤的資安傭兵就超過30家。</p> <p>其中，第一次攻擊發生在去年8月，只利用了CVE-2021-38000漏洞，隔月的攻擊串連了CVE-2021-37973與CVE-2021-37976漏洞，第三次攻擊出現在10月，串連CVE-2021-38003及CVE-2021-1048漏洞。</p> <p>在利用這5個零時差漏洞所發動的3次攻擊中，其手法是雷同的，都是透過電子郵件遞送模仿短網址的一次性連結予Android用戶，且3次攻擊所針對的目標用戶都只有數十位，一旦使用者點選了連結，在連至合法網站之前，就會先被導至駭客所擁有的網域以植入開採程式。</p> <p>這3次的攻擊行動都是先遞送Android惡意程式Alien，再由Alien載入間諜程式Predator，後者可用來錄製裝置上的聲音、添加CA憑證及藏匿程式等。</p> </div></div></div>
2022/5/23 13:46作者陳曉莉https://www.ithome.com.tw/news/151066
南韓對UST與Luna展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p>Kwon與Daniel Shin是在2019年於南韓創立Terraform Labs，打造Terra演算法穩定幣生態體系，主要透過其姐妹幣Luna來維持與各種法幣的錨定，迄今已發行支援18種法幣的Terra，最普及的是與美元掛鉤的UST。Terraform Labs還在今年1月於新加坡成立非營利的Luna Foundation Guard，以中立的角色維護Terra生態體系。</p> <p>然而，<a href="https://www.ithome.com.tw/news/150911" target="_blank">UST與Luna在5月中旬大崩盤</a>，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，現在則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。</p> <p><a href="https://www.donga.com/news/article/all/20220520/113504879/2" target="_blank">南韓《東亞日報》報導</a>，促使當地檢察官辦公室展開調查的是5名提出訴訟的加密貨幣投資人，他們在這波崩盤中損失了14.3億韓元（約113萬美元）。此外，有鑑於Terraform Labs創立於南韓，因此當地大約有28萬名Luna投資人，所投入的資金總計為700億韓元（約5,510萬美元）。</p> <p><a href="https://www.yna.co.kr/view/AKR20220520065500004" target="_blank">《韓國聯合通訊社》</a>則引用控方律師LKB & Partners的說法指出，Terraform Labs在設計與發行UST時，已經知道它含有設計漏洞與演算法缺陷，但不僅未於專案白皮書中呈現，還無限擴大Luna的發行量，無疑是詐欺行為。</p> </div></div></div>
2022/5/23 12:38作者陳曉莉https://www.ithome.com.tw/news/151063
Windows 11測試新版Windows Subsystem for Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/05/20/update-to-windows-subsystem-for-android-on-windows-11/" target="_blank">微軟周末釋出Windows Subsystem for Android 12.1版測試版</a>，預設關閉遙感資料（telemetry）的蒐集，強化Android App和連網攝影機或喇叭的互動、Windows將可顯示Android App存取電腦麥克風或相機，以及新增其他功能。</p> <p>最新Windows Subsystem for Android 12.1包含在Windows預覽版version 2204.40000.15.0，透過Dev頻道釋出給Insider用戶。Windows Subsystem for Android 12.1最大特色是預設關閉的遙感資料，後者主要是用於偵測Android App使用狀況的診斷設定。欲啟用者，應透過設定App開啟該功能</p> <p>最新Windows Subsystem for Android也全新設計了設定App，更清楚的設定群組、導覽功能分群顯示、加入子系統診斷資料的viewer、相容設定有新的組態功能如關閉App調整大小等。</p> <p>此外，Windows Subsystem for Android 也強化Android Apps和Windows的整合。Windows工作列會顯示哪些Android App存取麥克風、位置和其他系統服務，而Android App執行時工具列會自動隱藏／顯示。此外，Android Toast將會以Windows通知顯示，Android App的Windows title也會顯示Android activity title。當系統從待機模式醒來時，Android App不會重新執行，而會接續之前狀態執行。</p> <p>其他功能包括進階網路功能，強化Android App和Windows PC同一網路內的裝置的網路連線，以便連結連網喇叭或網路攝影機；改善Android App的相機功能，例如以相機指向固定為自然指向（natural orientation）、修正相機畫面黑邊及壓扁（letterboxing/squishing）和相機預覽不正確的問題；以及提升Android App對滑鼠滾輪、螢幕鍵盤的支援。</p> <p>Windows 11 的Insider用戶需具備OS Build 22621以上版本，才能安裝測試最新Windows Subsystem for Android。</p> </div></div></div>
2022/5/23 12:56作者林妍溱https://www.ithome.com.tw/news/151064
歐洲央行總裁呼籲應監管加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲央行總裁Christine Lagarde在上周接受荷蘭訪談節目《College Tour》專訪時，毫不客氣地指出，加密貨幣缺乏任何安全支撐，一文不值，因此需要被監管。</p> <p><a href="https://en.ethereumworldnews.com/crypto-is-worth-nothing-and-based-on-nothing-says-ecb-president-lagarde/" target="_blank">根據《以太坊全球新聞》（Ethereum World News）的報導</a>，Lagarde說自己擔心那些不了解加密貨幣風險的人，也擔心那些可能會因此喪失所有加密貨幣資產或對加密貨幣失望的人，因此相信加密貨幣應該被監管。</p> <p>Lagarde毫不遮掩自己對加密貨幣的看法，指出它就是個缺乏任何基礎且一文不值的產品，沒有資產得以作為它的安全支撐。</p> <p>另一方面，Lagarde則對歐洲央行打算發行的數位貨幣充滿信心，她說，當央行發行數位貨幣時，任何數位歐元都會有央行作為後盾，而這與加密貨幣是截然不同的。</p> <p><a href="https://www.ithome.com.tw/news/145661" target="_blank">歐洲央行已於去年7月正式啟動數位歐元專案（Digital Euro Project）</a>，目前正在經歷長達24個月的調查階段，該行預期數位歐元將可降低交易成本，也能促進普惠金融，從Lagarde的發言來看，她對於歐洲央行是否會發行數位貨幣抱持樂觀的看法。</p> </div></div></div>
2022/5/23 13:15作者陳曉莉https://www.ithome.com.tw/news/151065
網路流傳冒名馬斯克推銷加密貨幣詐騙網站的Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日網路上流傳冒用馬斯克（Elon Musk）等科技界名人身份的Deepfake影片，以推銷一個加密貨幣交易平臺。</p> <p><a href="https://www.youtube.com/watch?v=0Pf4hrnDjss" target="_blank">這則影片</a>包含一段馬斯克接受訪問宣揚BitVex好處的談話，最後並宣稱每周可為投資人賺進回報率11%的獲利。</p> <p><a href="https://www.bleepingcomputer.com/news/security/elon-musk-deep-fakes-promote-new-cryptocurrency-scam/" target="_blank">但Bleeping Computer報導</a>，這個名為BitVex的加密貨幣交易平臺其實是一個詐騙網站，用戶會需要先註冊才能瀏覽網站內容。除了和其他詐騙網站一樣顯示各種加密貨幣，如Cardano、以太幣、比特幣、瑞波幣（Ripple）、幣安幣（Binance Coin）的提領金額外，還宣稱馬斯克是這個網站的執行長，並且有加密貨幣或投資界名人如幣安執行長趙長鵬、<a href="https://www.youtube.com/watch?v=fJJYyCnutSo" target="_blank">Cathie Wood</a>的影片證言。</p> <p class="rtecenter"><a href="https://vimeo.com/712602130?embedded=true&source=vimeo_logo&owner=52361365" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Deep%20fake%20video%20of%20Elon%20Musk%20promoting%20crypto%20scam%20by%20bleeping%20computer.jpg" style="width: 600px;" /></a></p> <p>事實上，除了馬斯克外，被冒名製作Deepfake YouTube或YouTube Shorts格式影片宣傳BitVex[.]org網站的投資名人，還包括Brad Garlinghouse、Michael Saylor、Charles Hoskinson等。這些影片製作水準不一，以馬斯克的影片而言，影片中人物說話動作相當不自然，連聲音也剪接得不太好，但是其他影片有的就頗為流暢。</p> <p>報導指出，有不少合法YouTube頻道，包括遊戲類別的網站被駭入上傳這些宣傳影片。所幸這些影片沒有太成功，但是該詐騙網站仍然獲得不知情投資人近2,000美元的存款。</p> <p>馬斯克的光環使其成為加密貨幣詐騙的最好工具。2020年包括比爾蓋茲、馬斯克（Elon Musk）、巴菲特等名人的推特（Twitter）帳號也被人駭入張貼加密貨幣的詐騙訊息，讓歹徒成功騙到價值近11萬美元的用戶匯款。比特幣和Dogecoin的身價爆漲也都和馬斯克的加持有關，包括<a href="https://www.ithome.com.tw/news/143447" target="_blank">特斯拉接受比特幣付款</a>，以及<a href="https://www.space.com/spacex-dogecoin-moon-mission" target="_blank">Space X升空任務接受Dogecoin</a>。</p> </div></div></div>
2022/5/23 10:54作者林妍溱https://www.ithome.com.tw/news/151061
Conti關門大吉、化身成數個新勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在肆虐2年後，惡名昭彰的勒索軟體Conti上周悄悄關閉了官網和收贖金的伺服器，宣告關門大吉，只是研究人員發現，操作Conti的駭客又以新身分繼續活動。</p> <p><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape" target="_blank">資安廠商Advintel上周指出 </a>，Conti勒索軟體背後運作組織在5月19日關閉了官網的管理控制臺，而且歹徒用以上傳新資料、恫嚇受害者付款的主要功能已經失效，此外和受害者交涉、及代管偷來資料的基礎架構也都關掉了。Conti基礎架構的其他部份，像是聊天室、通訊軟體、伺服器及代理主機多半已經過重設。</p> <p>事實上，AdvIntel研究人員發現，Conti組織早從今年4月底就開始顯露撤收的跡象，他們已不太支援勒索行動和收贖金，只留了個網站公佈竊來的資料，直到5月19日把網站公佈資料的功能也關閉，才正式宣告了Conti官網結束運作。</p> <p>目前Conti網站宣傳的功能還是在，實則大大不同。例如雖然在5月20日，「Conti News」網站還上傳了反美的仇恨言論，宣稱美國是「地球之癌」，但是和之前使用的文雅英文不同，現在的文字品質低落，顯示組織首腦已經不再在乎這網站。</p> <p>Conti首先於2020年6月開始活動，受害者遍及美國政府機構、醫療、警消單位，也曾駭入<a href="https://www.ithome.com.tw/news/144469" target="_blank">愛爾蘭健康服務管理署及衛生部</a>、以及宏碁的網路系統。<a href="https://asia.nikkei.com/Spotlight/Society/Russia-based-ransomware-group-behind-attacks-raking-in-77m" target="_blank">日經報導</a>，21個月以來Conti發動的攻擊賺到的贖金高達7,700萬美元。4月Conti還駭入了中美洲小國哥斯大黎加，<a href="https://www.ithome.com.tw/news/150993" target="_blank">2周下來加密該國海關及財政部等27個系統</a>，並威脅再收不到贖金要鼓動示威推翻該國政府。</p> <p>不過研究人員強調，這次關閉的是Conti勒索軟體的「品牌」，並非Conti背後的組織。也就是說，惡意組織並非退出江湖，而是要以新的品牌繼續活動。他們發現，2月到4月之間，Conti已為關閉做準備，悄悄設立了「分部」，並以KaraKurt、BlackByte、BlackBasta等新名稱活動以接收Conti的既有「會員」（affiliates）。這些新勒索軟體可能繼承Conti的加密惡意程式，也可能使用新建的惡意程式。</p> <p>至於何以要關閉Conti網站，研究人員指出，2月底俄羅斯入侵烏克蘭，Conti公開支持俄國以來，歐美國家的封鎖已讓Conti無法收到任何贖金，觸發背後首腦之一reshaev另立品牌的決定。</p> <p>至於哥斯大黎加的勒索行動，研究人員相信是Conti告別江湖前幹的最後一票。</p> </div></div></div>
2022/5/23 09:32作者林妍溱https://www.ithome.com.tw/news/151058
FTC發布政策以避免教學科技侵犯兒童隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19疫情迫使許多學生只能在家上課，為了避免應運而生的教學科技侵犯兒童隱私，<a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-crack-down-companies-illegally-surveil-children-learning-online" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）在19日指出</a>，教學平臺或科技為了讓兒童於網路上完成作業或進行遠端上課，而迫使學校或家長交出兒童的隱私權是違反《兒童線上隱私保護法案》（Children’s Online Privacy Protection Act，COPPA），宣布將致力於保障兒童隱私。</p> <p>FTC表示，在現代的數位經濟趨勢下，兒童必須學會透過科技來學習，也必須使用科技學習，然而，家長與學校卻被迫由商業監控業務模式主導的行業來引導，這類的服務有能力蒐集大量的個人資訊，更令人擔心的是，這些資料可能被用來建立兒童的檔案。</p> <p>FTC坦承，許多數位經濟業者都積極蒐集人們的資料並藉此營利，但教學科技供應商卻必須受到COPPA的規範，該組織將確保這些供應商完全符合規定。</p> <p>相關規定包括不得要求兒童提供參與活動必要資訊以外的個人資訊；就算取得學校授權以蒐集兒童資訊，也不得將相關資訊應用在任何其它商業目的，包括行銷及廣告；存放兒童資訊的時間不得超出該活動的所需時間；業者必須制定程序來保護兒童個資的機密、安全與完整性。</p> <p>FTC也警告，舉凡違反COPPA的業者不僅可能面臨民事處罰，也可能迎來新的要求與限制以阻止它們的非法行為。</p> </div></div></div>
2022/5/23 10:18作者陳曉莉https://www.ithome.com.tw/news/151060
加密貨幣交易平臺度小月：Coinbase撙節支出，FTX US將提供美股交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著加密貨幣的市值持續蒸發，使用者的交易量變少，美國兩大加密貨幣交易平臺Coinbase與FTX US都祭出了相應的措施，其中，Coinbase宣布將放緩招募的腳步，至於FTX US則宣布要新增股票交易平臺FTX Stocks。</p> <p>全球的加密貨幣市值在今年1月大幅縮減了30%，雖然之後有所起色，但3月底時還是創下了自2020年第四季以來的新低。加密貨幣市值的下滑也影響了交易平臺的業務，美國最大加密貨幣交易平臺Coinbase今年第一季虧損了4.3億美元，遠不如去年同期的7.7億美元獲利。</p> <p>於是，Coinbase原本要在今年將公司規模擴大3倍的計畫喊停了。<a href="http://blog.coinbase.com/employee-note-an-update-on-hiring-plans-507ea4e2b6cf" target="_blank">Coinbase營運長Emilie Choi日前（5/17）表示</a>，有鑑於當前的市場狀況，放慢招聘速度，以及根據該公司最優先的業務目標來評估員工的需求，才是謹慎的作法。</p> <p>此外，根據<a href="https://www.theinformation.com/articles/coinbase-memos-detail-cost-cuts-employee-stock-grant-boost" target="_blank">《The Information》</a>的報導，Coinbase也已計畫要削減於AWS與Datadog的支出。</p> <p>另一方面，<a href="https://www.prnewswire.com/news-releases/ftx-us-launches-ftx-stocks-offering-trading-on-us-listed-equities--etfs-301550852.html" target="_blank">美國第二大加密貨幣交易平臺FTX US在19日宣布</a>，將推出免手續費的FTX Stocks美股交易服務，提供數百種美國上市股票與ETF的交易功能，不過初期將僅開放少數美國用戶進行測試。</p> <p>FTX US並未提及加密貨幣的交易現況，其總裁Brett Harrison則說，該平臺的目標是替所有資產類別的客戶提供全面的投資服務，未來客戶將能透過單一的整合且具備直覺介面的平臺交易加密貨幣、NFT及傳統的股票。</p> </div></div></div>
2022/5/23 08:35作者陳曉莉https://www.ithome.com.tw/news/151056
回應用戶呼籲，蘋果承諾擴大支援Final Cut Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應電視、影片製作及YouTuber產業的要求，蘋果上周承諾將改善影片編輯軟體Final Cut Pro的支援及認證、銷售管道。</p> <p>4月底100多名全球電視、影片製作界人士，包括福斯電視製作人、ABC影集《公路殺機Big Sky》及Netflix知名影集《柏捷頓家族：名門韻事Bridgerton》編輯專業人士<a href="https://www.gopetition.com/petitions/support-open-letter-to-tim-cook-about-final-cut-pro.html" target="_blank">連署向蘋果執行長Tim Cook發出公開信</a>，要求蘋果提供Final Cut Pro相關的支援及認證計畫，以便用戶能更容易買到，及獲得支援服務。</p> <p>Final Cut Pro（FCP）是蘋果的影片剪輯軟體，用戶涵括許多YouTuber、教育單位及小型內容製作公司，和Adobe Premiere Pro、訊連科技威力導演（PowerDirector）、Pinnacle Studio、Filmora、Corel VideoStudio等並列最佳的專業影片剪輯軟體。</p> <p>這份公開信指出，FCP有效率也很好用，但是在專業影片及電視製作產業，FCP用戶是少數族群，以致於知名度不足，他們希望蘋果在功能或銷售支援體系有更多投資。</p> <p>這群影片製作人要求蘋果公開推廣FCP及新增影片製作需要的功能。此外他們希望蘋果提供影片產業常用的第三方產品或服務支援及認證計畫。其中，他們希望藉由FCP認證考試以培養具FCP技能的人才。此外，他們也要求更容易取得FCP支援，以及可從現有經銷管道買到FCP，因為唯有如此，大型影片製作公司才會接受FCP為主流工具。</p> <p><a href="https://fcp.co/final-cut-pro/articles/2591-apple-response-to-final-cut-pro-in-tv-and-film-open-letter" target="_blank">蘋果上周透過FCP網站做出回應</a>。因應用戶要求，蘋果承諾將針對專業影片剪輯提供新的訓練產品及授權認證，夏天起由專家團隊提供經常性的諮詢服務，並將針對主要影片及電視製作公司擴大提供Final Cut Pro工作坊。</p> <p>針對新功能的要求，蘋果表示該公司有個10年藍圖，目前已在這個藍圖的收尾階段。該公司說6月的WWDC開發者大會將會公布新增的FCP功能。</p> </div></div></div>
2022/5/23 08:48作者林妍溱https://www.ithome.com.tw/news/151057
【微服務架構弱點，遇上超完整DR計畫盲點，連6年SRE老手都失守】SaaS業界近年最大當機事件追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你用來管理所有開發專案的平臺，企業內部文件的共享知識庫，還有業務、行銷和行政部門合作的專案平臺，突然都當機了，甚至廠商告訴你，要2周後才能修復，這段期間，所有資料都無法存取，也沒有備份版本可用，你會怎麼辦？這正是775家企業在Atlassian四月大當機事件，所遭遇的處境。</p> <p>Atlassian是20歲的澳洲老牌軟體開發商，旗下擁有知名的企業專案管理平臺Jira，企業文件協作平臺Confluence，還有看板協作工具Trello。許多大型企業都採用Jira來管理自家的敏捷開發專案，甚至Atllassian還推出給非技術團隊用的敏捷專案平臺，不少企業用於業務、行銷、商業分析團隊的敏捷管理。</p> <p>根據Atlassian今年3月財報資料，超過75%的財星五百大企業都是他們的企業用戶，全球更有23萬家企業採用，光是用Jira Service Management服務來進行企業內部大型系統開發專案生命周期管理的企業，就超過了4萬家，不少是大型企業，更有178家企業每年授權訂閱費用超過百萬美元，相當於有數千人訂閱授權數的規模，甚至訂閱數最多的一家超大型企業，訂閱了5萬個授權。Atlassian一年光是訂閱費用的營收就超過了13億美元（約臺幣390億元）。</p> <p>國外有不少大型銀行愛用Jira專案管理平臺，臺灣也有多家金控、不少大型製造業、資服業者，採用Jira來管理敏捷開發專案。Atlassian不是企業軟體開發和維運的新手，而是支援數萬家企業各式各樣敏捷專案開發的關鍵廠商。</p> <p>雖然Atlassian沒有公開這次事故受影響的企業名單，只揭露受影響企業家數是775家，但其中有400家是活躍使用的企業。根據國外媒體個別採訪受影響企業的結果，小則有150個授權，大則有訂閱多達4千個授權的企業。根據非官方估算，775家受影響企業下，累積受到衝擊的個人使用者超過了5萬人。這起事件也大大重挫了Atlassian市值，從當機事件到完全復原這2周期間，Atlassian股價足足下滑了近2成，後續到5月下旬仍持續下滑中。</p> <p>因為Jira這一系列產品，Atlassian是企業級SaaS服務的指標業者之一，很早就採用SaaS模式來提供服務，也全面採用AWS公有雲，支援5千多款各式應用服務，早在2015年，Atlassian就開始擁抱SRE，建立了SRE團隊，也發展出一套完整的網站可用性工程和實務做法，甚至作為SRE範本提供給多家企業顧客採用。全面擁抱公有雲同時，Atlassian也搭配建立了一套詳細的災難備援和事故復原計畫，尤其隨時保存了30天的完整顧客資料和異動過程，可以復原到30天內任何一個時刻的資料版本。</p> <p>但是，就算Atlassian擁有十多年SaaS服務的維運經驗，6年SRE經驗，以及雲端業界標準常見的災備和復原計畫，都無法事前發現，及時阻止4月大當機，無法在99.9%服務水準承諾（SLA）承諾的8.76小時內復原，甚至有不少企業遲遲等到14天後，才能打開自己的敏捷專案資料。</p> <p>為何這家雲端服務指標廠商，SRE維運老手，無法避免這次大當機的發生？</p> <p><span style="font-size:28px;"><strong>大當機事件發生過程追追追，一隻刪除程式的誤用而釀災</strong></span></p> <p>回到事件發生當天，4月5日早上（編按：統一採用UTC時間），這一天是Atlassian年度大會Team22的前一天，Atlassian要淘汰一些舊版Ap，在4月5日這一天刪除這些舊版應用的程式。正是這支刪除舊版AP的腳本程式造成了這起當機事故。早在實際執行刪除之前，Atlassian測試過這隻腳本程式沒有問題，甚至在正式環境中試刪除了30個顧客所用的舊版Ap，也沒有發生問題。</p> <p>提出刪除申請的業務團隊，提供了一份目前還在使用這些舊版AP的企業顧客名單，作為腳本程式自動執行刪除的目標清單。但是，關鍵的出錯環節是，他們提供的ID清單，不是直接提供要刪除AP的ID，而是給了這些待刪除AP ID所在的網站ID清單，再告訴執行刪除指令的工程團隊，要刪除這些網站ID中的老舊AP。但是，雙方發生了溝通落差，工程團隊誤以為，這批網站ID就是要刪除的清單，直接套用到刪除腳本程式來執行。到了4月5日，這隻腳本程式刪除的不是舊版AP，而是刪除了那些還在使用舊版AP的企業的全部網站資料。</p> <p><span style="font-size:28px;"><strong>釀災起因：想刪除老舊Ap，為何反而刪除顧客全站資料？</strong></span></p> <p>要了解誤刪的影響，得先知道用AP ID來刪除，和使用網站ID來刪除，有何差別？這得從Atlassiant技術架構說起。</p> <p>Atlassiant所有服務都部署在AWS上，在資料儲存上和服務架構上，都採取了高度分散式架構，以及容易組合再利用的微服務架構，並在雲端基礎架構上來設計了資料管理層和共用的平臺服務層，也透過API串連到許多第三方廠商的應用。所有微服務都布建在AWS的容器化服務上，更搭配了一套PaaS服務，稱為Micros，來提供內部微服務的自動化布建。從共用服務部署、基礎架構資源調度、資料儲存管理、合規性管制都靠這個平臺自動完成。</p> <p>另外在管理架構上，Atlassian採取了多租戶架構，並以網域作為單一用戶的最基本管理單位，這就是網站ID。企業要指定一個網址作為登入Atlassian服務的主要入口網站，也把他們所訂閱的所有Atlassian服務，都登記到這個網址下。Atlassian也稱這個網址是一個網站容器，用來容納屬於這個企業顧客的所有資料、配置和所用的AP。網站ID就是用來識別一家企業的網站容器的代號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的技術架構採取了分散式架構，不只在雲端基礎架構採取分散架構來提高可用性，在應用系統層次，也採取了多租戶微服架構設計來兼顧彈性和可用性。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Atlassian</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E4%BF%AE%E8%A3%9C%E6%8C%91%E6%88%B0--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 599px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的網站ID（企業顧客網站URL網址）也是一個網站容器，將一家企業的所有資料、配置和所用的AP，都登記到這個網站ID來管理。</strong><span style="font-size: 14px;">圖片來源／Atlassian</span></span></p> <p>Atlassian也用這個網站ID來作為識別一個企業用戶帳號的代號，所有與這家企業有關的資料、表單、帳單，也都用這個網站ID來作為識別客戶的索引，例如企業顧客提出支援工單時，這張工單就會用網站ID作為所屬客戶的代號。</p> <p>當Atlassian業務單位提出了一份要刪除老舊AP的網站ID，希望刪除他們所用的老舊AP。但是負責執行的團隊，誤以為要刪除這一批AP ID所在的網站ID。這就不只是刪除了AP，而是刪除了採用這些AP的企業所擁有的全部AP和資料。</p> <p>4月5日7:38，開始執行舊版AP刪除腳本程式，工程團隊也沒有接到任何通知，警告有企業顧客的網站遭刪除，因為這是一隻獲得合法授權的刪除程式。但是，不到10分鐘，就有企業發現自己所用的Jira網站失聯，提出第一張當機支援工單。刪除腳本程式在8點多執行完畢，事後調查，一口氣刪除了775家企業所擁有的883個網站。受影響的產品包括了Jira 產品系列、Confluence文件協作平臺、Atlassian Access登入機制、Opsgenie 事件應變服務，甚至是網站狀態查詢頁Statuspage。這些受影響企業，不只無法連線登入，甚至連要檢視所用服務的運作狀態頁都打不開。</p> <p>接連有不少顧客提出當機工單，Atlassian決定在8:17啟動重大事件管理流程，也組織了跨部門事件管理團隊，找來工程部門、客戶支援團隊、專案管理團隊和對外溝通部門，聯手展開事故調查，每3小時開會一次，並在8:24將事件狀態提升到「危急」狀態。不到20分鐘，工程團隊就發現了事故的根本原因，是腳本程式誤刪資料而非駭客攻擊，9:03時首度在服務狀態網頁中揭露發生當機事故。</p> <p>找出事故原因之後，下一步就是要盡快解決問題，恢復顧客所訂閱的服務。Atlassian開始嘗試建立一套標準化的復原方法，但卻發現，要復原一個遭到刪除的網站，得建立新網站、復原每個下游產品、服務及還原資料所需的資料，還須與各網站所用第三方生態系廠商重建連結，相關復原步驟高達70個。他們才發現，要復原這些網站的複雜性遠超過他們的想像，所以在12:38時將這起事件的嚴重等級提升到「最高等級」，這時距離事故發生，已經超過了5小時。</p> <p>Atlassian當機後不久，越來越多顧客在Twitter上抱怨，因為Jira是許多企業用來管理敏捷開發專案的主要平臺，無法使用，就等於無法進行敏捷專案的開發，連要打開專案工單來知道該處理哪些工作都沒有辦法。這股抱怨聲浪越來越大，越來越多人發現，這起當機事件持續時間越來越久，超過了8、9個小時，Atlassian所承諾的99.9%可用性承諾已經失守。</p> <p>不少受影響的企業用戶在Twitter上抱怨，他們連要向Atlassian通報當機問題，或是申請支援工單都做不到，也有人是發出申請後，遲遲沒有得到官方回應，彷彿Atlassian的服務窗口失聯一樣，無法透過原本的線上管道來接觸。</p> <p>直到事故發生後17個小時，Atlassian才發電子郵件通知受影響顧客，並開始打電話聯繫，對他們說明，而這時已經引起不少媒體的關注，開始大舉報導這起大當機事件。</p> <p>直到事件發生後快2天，Atlassian才發布第一份當機事件的官方公開聲明。而Atlassian的合作夥伴，則還等到事故後第2天快結束時，才開始接到通知。因為當機事故遲遲無法解決，Atlassian共同創辦人也以個人名義發信，親自向顧客說明復原進度緩慢的原因。</p> <p>4月8日，也就是事件發生後的第四天，Atlassian終於成功復原了第一家受影響顧客的網站。可是，復原團隊這才發現，採用第一版復原方法，需要48小時才能恢復一批網站，因為需要大量人工作業，只能分批復原，若要全面復原剩下的網站，還需要3周時間，所以，也開始改良復原程序。同一天，Atlassian也對所有工程部門實施程式碼凍結，禁止任何異動，來降低顧客資料不一致的變更風險</p> <p>過了一天，4月9日開始啟用第二套復原方法，將原本70道程序，大幅減少到只剩下30道程序。第二套做法重建顧客網站時，不是建立新的網站ID，而是直接沿用了顧客的舊網站ID，因此，大幅減少新舊ID比對的步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。這時有771個誤刪網站，可以改用第二套方法來復原。</p> <p>不過，第二套方法還是需要大量手動操作，直到4月11日，Atlassian工程團隊打造出自動化復原工具，來加速第二套方法的時間，才將復原時間縮短到12小時，這時候，Atlassian才在工單中向顧客承諾，可以在事故後2周內復原，隨後也在自家技術長部落格說明事件和復原進展。</p> <p>到了4月14日，採用第一版復原方法復原的網站達到112個網站，不再繼續使用。Atlassian也打造出復原網站的完整驗證腳本程式，不再需要人工驗證，更加快了其他網站的復原速度，到了4月16日10:05 ，就完成所有網站的復原和自動驗證，但還沒經過顧客確認。隔天21:48，最後一位受影響顧客完成復原確認。Atlassian就在4月18日1:00宣布，受影響網站100%復原。這時，距離事故發生已經近14天，不過，宣布當時，仍有57個網站，因為復原資料的時間點過早，比原訂「當機前5分鐘」的復原時間點，還要更早，還需要追補後來異動的資料。</p> <p>到了4月底，Atlassian發布了四月大當機事件的完整事後分析報告，對外說明這起事故發生的原因，和為何遲遲無法復原網站的關鍵。</p> <p><a href="https://www.ithome.com.tw/news/151036" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Atlassia四月大當機為何14天才復原？工程思維DR計畫，缺乏關鍵的顧客視角</span></strong></span></a></p> <p> </p> <p class="rtecenter"><span style="font-size:36px;"><strong><span style="color:#000000;"><span style="background-color:#FFFF00;"> Atlassian四月大當機時間表 </span></span></strong></span></p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong><span style="font-family:arial,helvetica,sans-serif;">2022/4/5 UTC</span></strong></span> </span><span style="font-size:14px;"><strong style="font-size: 20px;">（以下皆採用世界協調時間）</strong></span></p> <p><span style="color:#000000;"><span style="font-size:20px;"><strong>刪除腳本程式執行前測試正常，沒有發現輸入了錯誤ID</strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-family:arial,helvetica,sans-serif;"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 07:38 </span> </strong></span></span></span><strong style="font-size: 20px;">開始執行舊版AP刪除腳本程式，誤用網站ID而刪除了企業顧客全站資料</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 07:46 </span> </strong><strong style="font-size: 20px;">顧客提出第一張當機支援工單</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:01 </span> </strong><strong style="font-size: 20px;">刪除執行完成（事後調查刪了883個網站）</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:17 </span> </strong><strong style="font-size: 20px;">觸發重大事件管理流程，建立跨職務事件管理團隊（工程、客戶支援、專案管理、溝通），展開事故調查，每3小時開會一次。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:24 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">事件狀態提升到「危急」狀態</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:31 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">Atlassian支援團隊首度回應顧客，承認發生事故</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:53 </span></strong><strong style="font-family: "Times New Roman"; color: rgb(255, 255, 255); font-size: 20px;"> </strong><strong style="font-size: 20px;"> 確認根本原因，是腳本程式誤刪資料而非駭客攻擊</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:03 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在服務狀態網頁中，揭露事件正在調查中</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:37 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">展開第一套復原方法（70道程序），為每個遭刪除網站建立新網站，以及每個下游產品、服務及還原資料所需的資料，也須向各網站所用第三方生態系廠商重建連結。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 12:38 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">發現網站復原的複雜性，將事件嚴重等級提升到「最高等級」</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/6</span></strong><span style="font-family:arial,helvetica,sans-serif;"><strong style="color: rgb(178, 34, 34); font-size: 20px;"> </strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後17個小時，才發電子郵件通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">開始打電話通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">媒體開始報導大當機事件</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/7</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 00:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生後近2天，發布第一份當機事件的官方公開聲明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:15 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後近3天，才開始通知合作夥伴</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/8</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:50 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生3天後，共同創辦人以個人名義發信向顧客說明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">對所有工程部門實施程式碼凍結，禁止異動，來降低顧客資料不一致的變更風險</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:58 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成第一家顧客網站成功復原（顧客也確認），但復原團隊發現，採用第一版復原方法，需要48小時才能恢復一批網站，全面復原需要3周，開始改良復原程序。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/9</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>啟用第二套復原方法（簡化為30道程序，仍有大量手動操作），採用舊網站識別碼，大幅減少新舊ID比對步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。771個誤刪網站改用第二套方法來復原。</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/11</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>打造出自動化復原工具，來加速第二套方法的時間，縮短為12小時就可復原。也於08:29 在工單中向顧客承諾會在2周內復原</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/13</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 02:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在技術長部落格說明事件和復原進展</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/14</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>用第一版復原方法，復原112個網站（占12.6%)</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 22:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">打造出復原網站的完整驗證腳本程式，不再需要人工驗證</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/16</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 10:05 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成所有網站復原和自動驗證，但還需顧客確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/17</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 21:48 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">所有受影響顧客完成復原確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/18</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">公開宣布受影響網站100%復原，但當時仍有57個網站復原資料的時間點過早（比原訂當機前5分鐘的復原時間點，還要更早），需追補後來異動的資料。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">將服務狀態網頁改為正常運作的綠色燈號。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/29</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>發布四月大當機事件完整事後分析報告</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="color:#696969;"><strong>資料來源：Atlassian，iThome整理，2022年5月</strong></span></p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/news/151027
Atlassia四月大當機為何14天才復原？問題出在工程思維DR計畫，缺乏關鍵的顧客視角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151027" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">SaaS業界近年最大當機事件追追追</span></strong></span></a></p> <p>在今年4月5日，Atlassian發生大當機事件，波及旗下Jira 產品系列、Confluence文件協作平臺、Atlassian Access登入機制、Opsgenie 事件應變服務，甚至是網站狀態查詢頁Statuspage，受影響企業家數達775家。造成四月大當機事故的起因不複雜，Atlassian也的確在事故發生後1個多小時，就釐清了根本原因，但是資料復原成了他們最大的考驗。</p> <p>為了提供99.9%的可用性服務水準，這是雲端供應商常見的標準SLA承諾，Atlassian原本就有一套災難復原做法。但是，Atlassian坦言，過去的DR計畫主要聚焦在基礎架構失敗的復原，或是從備份資料中復原企業所用服務儲存空間的做法，而少了一個關鍵環境，就是以顧客專屬入口網站（網站ID）視角的復原計畫。換句話說，Atlassian的DR計畫是以自己工程維運角度來思考，而少了從顧客視角，從企業所用專屬網站的角度來設計復原機制。</p> <p>舊有DR計畫有能力來因應基礎架構層級的失效情況，如整個資料庫失效、AP服務或AWS 可用區域遺失的復原，也可以因應勒索軟體事件、惡意程式、軟體缺失，甚至是因人為操作錯誤而導致的服務儲存資料損毀，都可以單獨將資料復原到30天內的任何時間點。換句話說，Atlassian的DR計畫涵蓋了基礎架構出錯、資料損毀、單一服務活動或單一網站的刪除。但是，在這起事故中，Atlassian遭遇到多網站、多產品的自動復原挑戰。在Atlassian的網站等級維運手冊中，沒有建立快速自動執行的腳本程式和程序，就得人工處理和協調跨所有產品和服務的復原工作。</p> <p>可是，Atlassian的技術架構採取了分散式架構，不只在雲端基礎架構採取分散架構來提高可用性，在應用系統層次，也採取了多租戶微服架構設計來兼顧彈性和可用性。一位企業客戶的網站，不只會部署到單一資料庫或儲存空間，也會部署到分散式基礎架構中，可能涵蓋了多個實體位置與邏輯位置，來儲存中繼資料、配置資料、產品資料、平臺料或是其他有關相的網站資訊。這是為何需要一套高度自動化的PaaS部署和建置平臺的緣故。不過，要復原一整個網站，就得重建這個的高度自動化作業的過程，Atlassian因為因為沒有事先考慮到這個情況，就帶來了龐大的人工驗證的確認程序。</p> <p>這正是為何在第一個復原方法中，需要高達70個步驟，因為建立新的網站、授權、雲端ID來啟用正確的產品清單後，還得將網站資料轉移到正確的AWS區域中，並且要復原和重新對應網站的核心中繼資料和配置、網站的身分識別資料，然後才能復復原網站的主要產品資料庫，還要重新對應網站的相關媒體關聯、附件，也要重新對應網站所有服務的資料。甚至要復原和重新對應一個企業用戶網站所用到的每一個第三方應用程式，告訴第三方應用的供應商，新的網站ID與舊有網站ID之間的關聯，來取得合法串接授權。這中間有不少是因為新舊ID轉換而需要的確認和驗證，而這些都沒有事先完成的自動化腳本工具可用，得邊做邊人工處理。這正是為何第一個復原方法花上48小時的緣故。</p> <p>後來改良後的第二個復原方法，放棄使用新網站ID，而直接沿用企業用戶遭刪除的舊網站ID，就少了許多需要驗證的動作，尤其，第三方應用的串接，不需要再次確認就能繼續使用，再加上後來完成了自動化復原工具和驗證工具，才把復原時間縮短到12小時以內。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-coverP3-600.png" style="width: 600px;" /></p> <p><span style="font-size: 20px;"><strong><span style="color: rgb(105, 105, 105);">Atlassian第一個復原方法中，需要高達70個步驟，而且沒有事先完成的自動化腳本工具可用，得邊做邊人工處理。這正是為何第一個復原方法花上48小時的緣故。後來改良後的第二個復原方法，放棄使用新網站ID，而直接沿用企業用戶遭刪除的舊網站ID，就少了許多需要驗證的動作，來簡化了一半驗證程序，再加上後來完成了自動化復原工具和驗證工具，才把復原時間縮短到12小時以內。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Atlassian</span></p> <p><span style="font-size:28px;"><strong>為何顧客遲遲無法取得支援，從失敗的顧客溝通學到教訓</strong></span></p> <p>不只資料復原時間延宕，在這次當機事件中，Atlassian還遭遇了另一個問題，就是顧客抱怨無法取得官方的聯繫和說明。導致顧客溝通失利的關鍵，也是因為企業網站全站資料遭到刪除的緣故。因為Atlassian的核心系統（負責支援、授權和計費）下達了客戶網站刪除指令後，不只刪除了企業網站ID資訊，也會刪除聯絡資訊，例如網站系統管理員的聯絡方式。因為，Atlassian是利用網站ID（網站URL網址）和系統管理員聯絡清單，作為安全驗證、優先順序等用途的識別清單，因此，刪除指令會一併刪除這些資料，也讓Atlassian無法系統性的識別受到影響的企業顧客和顧客直接互動的能力。</p> <p>再者，Atlassian的線上聯絡表單或是工單申請，都要求要提供有效的網站URL網址，但是受影響企業的網站ID已經失效，就無法送出表單或申請工單，除非該企業有另一個可正常使用的網站ID。當Atlassian要開始聯繫顧客時，只能透過業務團隊手上的聯絡名單，但其中不少聯絡資料已經異動失聯，Atlassian只能從其他可用資料，例如帳單，歷史工單等來源，重建完整的聯絡人清單，這就大大拖慢了Atlassian對顧客的回應速度，也難怪有企業用戶抱怨，好幾天都沒有得到任何聯繫或事故說明。</p> <p>再加上，因為架構的複雜性，帶來了這次事故復原的挑戰，Atlassian遲遲無法確定影響範圍和準確估算解決時間，Atlassian採取了錯誤的做法，決定等到了解事故全貌後，才要告知顧客，這就讓顧客長時間處於資訊不明的不確定狀態，而引發的大量抱怨。</p> <p>Atlassian坦言，失去聯絡清單而無法聯繫顧客，再加上採取了解全貌才說明的策略，讓他們沒有更早採取公開回應的做法。一直到事故發生一周後，才在技術長部落格上公開復原進度，而在這個過程中，失去聯絡資料的企業顧客，遲遲無法獲得來自官方的私下說明。</p> <p><span style="font-size:28px;"><strong>Atlassian從四月大當機學到的4個教訓</strong></span></p> <p>在這起事件事後，Atlassian在報告中歸納出4個教訓，第一項就是要在所有系統中普遍採用「軟刪除」的做法，也就是避免直接刪除資料，而是先停用資料，經過一段保留期才真正刪除。這起事件是來自合法的刪除指令，因此工程團隊沒有收到任何事前警告，而在刪除程式的事前測試中，也因為用對了正確的AP ID而非後來實際提供的錯誤網站ID，而沒有發現刪除目標的改變。</p> <p>Atlassian決定，必須徹底採取軟刪除，也要設計多層保護機制來避免錯誤或誤刪，並建立一套標準化的驗證審查流程。</p> <p>而第二個教訓則來自這次辛苦復原的過程，日後必須在災難復原計畫中，建立一個大宗客戶發生多網站、多產品刪除事件的自動化修復機制。而他們也發現，過去靠多年累積的事件管理計畫中，只會針對較小規模、短期影響的事件進行模擬演練，但這次事件中，動員了數百名工程師和客服支援人員，而且動員超過2周。日後需要在產品層級事件教戰守則中，建立一個可讓數百人協作的大規模事件流程來演練。最後一項教訓是與顧客溝通管道的改良，一方面既有事件溝通教戰守則，沒有透過多種管道，尤其是社交媒體這種更公開、廣泛的做法，來承認事件的發生，也與顧客溝通說明後續進展，另一方面，也要改進現有關鍵聯絡人的維護方式和顧客通報流程的盲點。Atlassian也公開了這次大規模事件管理流程的運作示意圖。</p> <p>在SRE實務中，事後分析報告（Postmortem）是精進網站可用性的關鍵，現在也有越來越多雲端供應商，願意公開自家大當機事件的事後分析報告，來向外界說明。不只Atlassian，過去也有多起重大當機事件，業者都也揭露事後分析報告。</p> <p>儘管Atlassian這份報告仍遭到批評，沒有更完整地揭露這次事件所影響的實際使用者人數，而只公布了受影響的企業家數，但在報告中，Atlassian對於事故發生原因，到如何因應複雜資料復原的過程，都提供了種種細節和詳細說明，仍是值得臺灣企業參考的一次經典SRE事後分析報告，也是SaaS服務維運團隊必須了解的一起重大當機事件。</p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/news/151036
6年SRE老手為何仍大當機14天
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1078-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1.jpg?itok=GJscKXJe" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的企業級敏捷專案管理平臺Jira，突然在今年4月5日一早出現大災難，數百家企業所用的內部協作平臺、敏捷管理平臺、甚至是業務團隊協作平臺都大斷線，大大衝擊這些企業的運作。但多數遭殃企業沒有料到，竟要等到14天後，才能完全復原。這是近年SaaS業界最嚴重的一起當機事故</p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/article/151037
解決開源軟體安全將從10大問題面著手，美政府、業者與社群協力提對策，並宣布投入預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對開源軟體安全的議題，全球都在關注，如今美國政府與科技巨擘正積極採取行動，盼能改善相關風險。今年1月，美國白宮便曾舉行開源軟體安全高峰會，當時邀集多家科技業者，商討這個獨特的安全挑戰，近期，5月中旬二度舉辦開源軟體安全高峰會，這場會議，由Linux基金會與開源安全基金會（OpenSSF）召開，集結37家科技業者的高階主管，以及美國白宮等多個聯邦機關官員，共90人與會，這次會議不僅達成更多的共識，並具體指出將解決開源軟體的十大挑戰，同時科技業者也承諾，在未來兩年內，將投入1.5億元經費解決相關問題。</p> <p>特別的是，這次會議的召開時間可說是別具意義，去年同一時間，美國總統拜登簽署了一份改善國家網路安全的行政命令EO 14028中，當中亦涵蓋提高開源軟體供應鏈的安全。</p> <p>而參與這次會議的成員，來自多個重量級業者，包括Amazon、Google、微軟、VMware、Dell、GitHub、Intel、摩根大通等，同時也有多個美國政府機關的官員出席，包括來自美國白宮、美國國家安全委員會（NSC）、美國網路安全及基礎設施安全局（CISA）、美國國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）與美國行銷管理和預算局（OMB）的官員。這樣的組合，其實也顯現出開源社群、科技巨擘，以及美國聯邦政府之間加強合作的態勢與重要性。</p> <h2><strong>面對開源軟體安全議題，聚焦解決10大問題</strong></h2> <p>該如何改善開源軟體安全？Linux基金會與開源安全基金會在接納多方意見後，<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">現已發布首個廣泛解決開源軟體安全的計畫項目，名為「開源軟體安全動員計畫」（The Open Source Software Security Mobilization Plan）</a>，當中最受關注的焦點就是，不僅詳細說明解決開源軟體3大議題與10大問題，也公布解決各項問題將投入的經費。</p> <p>基本上，在首次開源軟體安全高峰會上，當時討論了3個主要目標，包括：首先，<strong>確保開源軟體生產的安全</strong>，重點放在防止程式碼與開放原始碼套件（Open Source package）的缺陷與漏洞；其次，<strong>改善漏洞發現與修補</strong>；最後，<strong>縮短整個生態體系的修補應變時間</strong>。</p> <p>如今，隨著第二次開源軟體安全高峰會的召開，現已進一步訂出開源軟體十大問題，分別是：（一）安全教育、（二）風險評估、（三）數位簽章、（四）記憶體安全、（五）資安應變、（六）強化掃描能力、（七）程式碼稽核、（八）資料分享、（九）軟體物料清單SBOM，以及（十）供應鏈改善。</p> <p>具體而言，以確保開源軟體生產安全的目標而言，在<strong>安全教育</strong>面向，透過教育與認證讓所有人提升安全軟體開發的水準；在<strong>風險評估</strong>面向上，為最熱門的1萬個或更多開源軟體元件建立一個公開、中立且基於客觀指標的風險評估儀表板；在<strong>數位簽章</strong>方面，加速軟體發布採用數位簽章；在<strong>記憶體安全</strong>方面，透過替換「不具記憶體安全（non-memory-safe）」的程式語言，來消除許多漏洞的根源。</p> <p>以改善漏洞發現與修補的目標而言，在<strong>資安應變</strong>方面，強調建立OpenSSF開源安全事件回應小組，資安專家可在應對漏洞了關鍵時刻介入協助開源項目；在<strong>強化掃描能力</strong>面向，透過進階的安全工具與專家指引，加速開源項目維護者與專家對新漏洞的發現；在<strong>程式碼稽核</strong>方面，每年將針對兩百多個關鍵的開源軟體元件，進行一次第三方程式碼審查以及必要的修補工作；在<strong>資料分享</strong>方面，將協調所有產業共享相關資料，幫助確定出最關鍵的開源軟體元件並改善研究。</p> <p>以縮短整個生態體系的修補應變時間的目標而言，在<strong>軟體物料清單</strong>方面，將改善SBOM工具，並且推動這類工具的培訓與採用；在<strong>供應鏈改善</strong>方面，將運用更好的供應鏈安全工具與最佳實踐，來強化10個最關鍵的開源軟體開發系統、套件管理器與布署系統。</p> <p>特別的是，這次計畫已確定改善這十大問題的投入經費，其中，對於「強化掃描能力」一項的首年投入金費最高，達1,500萬美元，之後每年投入1,100萬美元，「程式碼稽核」的首年投入金額也達1,100萬美元，之後每年將投入更多，達4,200萬美元。</p> <p>整體而言，為解決這十大問題，這項計畫的首年投入經費將達到6,840萬美元，次年將為7,950萬美元。</p> <p>目前，在這1.5億美元的經費中，已由Amazon、Ericsson、Google、微軟、VMWare共同認捐超過3,000萬美元，作為此一計畫的前期資金。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB(1).jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB.jpg.jpg" style="width: 295px;" /></p> <blockquote><p><em>自今年一月白宮召開開源軟體安全高峰會後，近日Linux基金會與開源安全基金會（OpenSSF）二度召開此會議，同時發布了<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">開源軟體安全動員計畫白皮書</a>，具體商討出強化開源軟體安全需解決10大問題。</em></p> </blockquote> <h3><strong>美國解決開源軟體安全十大問題的經費配置</strong></h3> <table border="0" cellpadding="0" cellspacing="0" style="width:611px;" width="610"><tbody><tr height="22"><td height="22" style="height:22px;width:45px;">項目</td> <td style="width:380px;">內容</td> <td style="width:89px;">第一年經費</td> <td style="width:96px;">第二年經費</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">1</td> <td>推動安全軟體開發水準教育</td> <td>450萬美元</td> <td>350萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">2</td> <td>建立開源軟體風險評估儀表板</td> <td>350萬美元</td> <td>390萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">3</td> <td>推動數位簽章增強信任</td> <td>1,300萬美元</td> <td>400萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">4</td> <td>替換不具記憶體安全的程式語言</td> <td>550萬美元</td> <td>200萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">5</td> <td>成立OpenSSF開源安全事件應變小組</td> <td>275萬美元</td> <td>300萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">6</td> <td>加快新漏洞的挖掘與修復</td> <td>1,500萬美元</td> <td>1,100萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">7</td> <td>實施第三方稽核，以及程式碼審核與修復</td> <td>1,100萬美元</td> <td>4,200萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">8</td> <td>資料共享以確定關鍵項目</td> <td>185萬美元</td> <td>205萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">9</td> <td>軟體物料清單無所不在，提供安全範例與工具</td> <td>320萬美元</td> <td>待公布</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">10</td> <td>強化開源軟體開發系統、套件管理器與布署系統</td> <td>810萬美元</td> <td>810萬美元</td> </tr><tr height="22"><td height="22" style="height:22px;">　</td> <td>總投入經費</td> <td>6,840萬美元</td> <td>7,950萬美元</td> </tr></tbody></table><p>Linux基金會，iThome整理，2022年5月</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB.jpg" style="width: 600px;" /></p> <blockquote><p>在開源軟體安全動員計畫白皮書中，針對解決開源軟體安全的10大問題，都提供了詳細的說明。以第一項安全教育而言，當中指出，從歷史上看，傳統的軟體工程課程很少關注、強調，或是教授良好的網路安全衛生與安全Coding技術的重要性。因此，OpenSSF提出了以下多管齊下的方法來解決這個問題，包括：收集與策劃內容、擴大培訓，以及並獎勵與激勵開發者。同時，白皮書中也具體擬定出各項問題所需花費的預算。這十項內容均值得國內思考。</p> </blockquote> </div></div></div>
2022/5/22 12:33作者羅正漢https://www.ithome.com.tw/news/151045
歐洲第二版資安指令NIS 2即將發布，更多重要中大型產業納入規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為歐盟網路安全管理規定法律化首要部分的《網路與資訊系統安全指令》，在2016年正式公布實施，其全名為Security of Network and Information Systems，簡稱NIS Directive，到了2020年底，為因應日益嚴重的網路威脅，歐盟執行委員會（European Commission，EC）提出修正提案NIS 2 Directive，目的是增修NIS指令以適應當前與未來需求，符合後Covid 19時代與5G時代的網路安全局勢，同時對外公開徵求意見。</p> <p>如今，這項提案已有共識。今年<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985">5月13日</a>，歐洲議會與歐盟會員國就NIS 2 Directive達成共識，將擴大現有NIS Directive的範圍，提高網路安全風險管理措施，以及報告義務的標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%AD%90%E6%B4%B2NIS%202%20Directive_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Europe2022FR.jpg" style="width: 600px;" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在2022年5月13日，歐盟成員國與歐盟執委會在<a href="https://twitter.com/Europe2022FR/status/1524888169338003482/photo/2">臨時議會</a>中，針對修訂網路與資訊系統安全指令NIS 2 Directive進行研議。(圖片來源／Europe2022FR)</span></p> <h2><strong>因應威脅加劇，新版修訂將擴大法令涵蓋範圍</strong></h2> <p>基本上，NIS Directive對歐盟而言，是網路與資訊安全的第一部立法，目標是加強整個歐盟的網路安全，當中除了成員國建立電腦安全事件因應小組（CSIRT），以及建立成員國合作交流合作小組，同時，歐盟成員國必須要求監管各國關鍵基礎建設與服務，重視資安問題，當中包括：能源、運輸、水力、金融、健康醫療與數位基礎建設等領域，要求這些業者必須採取適當的安全措施，並在發生重大資安事件時通報有關單位。</p> <p>根據歐盟執委會的說明，儘管NIS Directive的實施多年來已有成果，為許多成員國在網路安全的思維、制度與監管方法上，帶來了重大的轉變，然而，實施至今也顯現出它的局限性。這是因為，隨著COVID-19危機及加速數位轉型，同時也擴大了網路威脅風險，並帶來新的挑戰，因此需要新的應對措施。畢竟，任何服務中斷事件，即使最初影響僅限於單一實體，或是單一部門，都可能衍生更廣泛的連鎖效應，對整個歐盟內部市場的服務交付，產生深遠且持久的負面影響。</p> <p>因此，為了應對日益嚴峻的網路威脅，現在將推出的NIS 2 Directive，涵蓋更多對經濟與社會至關重要的中大型產業，具體而言，不論是中央或地方政府機關的電子通訊服務供應商、數位服務業者，以及廢水或廢棄物管理業者、重要產品的製造商、郵政及快遞服務，或是公共行政單位，都必須遵循該指令。而且，在Covid-19影響下，網路威脅程度日益強烈，對於醫療健康領域的業者，現在也更廣泛納入醫療裝置製造商。</p> <p>整體而言，新規則涵蓋範圍更擴大，可迫使更多實體與部門採取網路安全風險管理措施，將有助於提高歐洲的中長期網路安全水準。</p> <h2><strong>將導入更嚴格的監督措施，並強化供應鏈、5G網路安全</strong></h2> <p>在擴大整體覆蓋範圍之外，NIS 2 Directive亦提高對企業資安的要求。例如，解決供應鏈及與供應商之間的安全問題。</p> <p>同時，歐盟成員國將與委員會及ENISA合作，將在歐盟委員會對於5G網路安全的方法基礎上，對關鍵供應鏈進行協調的風險評估。</p> <p>不僅如此，對於那些未遵守網路安全義務的行為，將向高階管理人員究責，而且，在這次的修訂中，除簡化報告義務，並導入更嚴格的監督措施與執法要求，以協調歐盟會員國之間的制裁制度，有助於強化各國與歐盟於網路危機管理上的資訊共享與合作。</p> <p>至於新版修訂的實施時程，歐盟委員會也已經公布接下來的行動，簡單而言，預計將在歐盟高峰會（European Council）及歐洲議會達成政治上的共識，得到兩位聯合立法者的批准後，就會正式通過NIS 2 Directive這項指令，並公布於歐盟官方公報（Official Journal），而在新版指令公布的20天後即為生效日，屆時，成員國必須在21個月內，將該指令轉化為國家法令。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%AD%90%E6%B4%B2NIS%202%20Directive.jpg" style="width: 600px;" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">NIS 2 Directive自2020年12月提出，到了</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985">5月13日</a>，歐洲執行委員會發布達成共識即將批准的消息。</span></p> </div></div></div>
2022/5/22 09:31作者羅正漢https://www.ithome.com.tw/news/151044
Cloud周報第144期：紅帽揭未來產業邊緣運算新布局，要將雲端RHEL轉為汽車平臺也能用的車用OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/12～05/18）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新戰略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">汽車產業 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>紅帽揭未來產業邊緣運算新布局，不只搶進電信市場，更要將雲端RHEL帶進汽車平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-05-22%20%E4%B8%8A%E5%8D%888_19_06.png" style="width: 600px; height: 268px;" /></p> <p>在今年紅帽高峰會上，紅帽不只推出強化邊緣運算支援的RHEL雲端產品，更揭露未來在產業邊緣運算布局，除了搶進電信市場，紅帽下一個目標將鎖定汽車產業，將RHEL帶進汽車平臺。</p> <p>在會後亞太一場媒體活動上，紅帽執行長Paul Cormier也透露，邊緣本身即是混合雲延伸的一環，以產業來看，電信業是紅帽第一個聚焦的市場，再來會是汽車產業。</p> <p>因應軟體定義汽車的趨勢，紅帽更宣布與<a href="https://media.gm.com/media/us/en/gm/company_info/facilities/assembly/ftw.detail.html/content/Pages/news/us/en/2022/may/0510-redhat.html">美國汽車大廠通用汽車（GM）的合作</a>，將為其Ultifi汽車軟體平臺打造以RHEL為基礎的車用Red Hat In-Vehicle Operating System，能夠符合功能性安全認證，可支援各種車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等。搭載紅帽車載Linux的Ultifi汽車軟體平臺，最快2023年推出。</p> <p>通用汽車也表示，希望透過採用紅帽Linux和標準化雲原生技術，減少跨平臺整合和軟體成本，並改善開發周期、加速產品上市時間，以及能夠提供創新的服務、商業模式。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0UcPpz1X7tE" title="YouTube video player" width="560px"></iframe></div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習叢集 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud推出新的機器學習叢集用TPU v4，運算效能最高達9 exaFLOPS</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 345px;" /></p> <p>在今年Google I/O大會上，Google Cloud也順勢推出預覽版Cloud TPU v4機器學習叢集，能以多個Cloud TPU v4建立運算叢集，提供更高運算力，用於大規模自然語言處理、推薦系統和電腦視覺演算法。</p> <p>這款叢集產品使用了去年發表Cloud TPU v4，每個Pod由4,096個晶片構成，透過超高速互聯網路連接，每一臺機器的頻寬，相當於每秒6 TB，可用來快速訓練目前最大的模型。</p> <p>從運算效能來看，Cloud TPU v4叢集的峰值運算效能，最高可達9exaFLOPS ，HBM2記憶體容量也從16 GiB提升到32 GiB，讓嵌入式系統加速翻倍，可提高訓練大規模推薦模型效能。Google Cloud在大會裡也提到，這代雲端TPU v4晶片擁有高度節能特性，每瓦最大功率峰值的FLOP是TPUv3的3倍。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RHEL9 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">邊緣運算 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>紅帽發布新版企業級RHEL 9，強化邊緣端部署及管理，也提高安全性</strong></span></p> <p>紅帽在Red Hat年度高峰會上推出最新的企業版RHEL 9作業系統，強調專為邊緣運算及多雲環境所設計，可以跨本地資料中心、雲端到Edge端來執行，來提供一致性創新及管理。</p> <p>根據紅帽的說明，新版RHEL 9是第一個以CentOS Stream為基礎的RHEL產品，CentOS Stream是RHEL釋出前的發行版，提供持續交付的RHEL預覽功能，通過社群反饋、程式和功能更新來幫助紅帽擴大其Linux生態系統。</p> <p>相較於前一版，RHEL 9一大特色，就是強化了邊緣運算的支援，包括加強單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解等。另外為了解決邊緣裝置上容器更新失敗的情況，也新增Podman的自動化容器回撤（rollback）機制，一旦偵測容器更新失敗時，便會回復到之前最後的良好組態，避免影響其服務。</p> <p>新版RHEL還加入一個部署邊緣系統的安裝器，並強化安全防護。未來除了可支援FIDO Device Onboarding，提供用戶更安全的IoT或邊緣裝置的自動加密驗證和新增機制，來縮短部署時間，還支援Gnome Kiosk Mode模式，可提供簡易圖形化桌面環境，用於付款用終端機的使用。</p> <p>另一方面，RHEL 9加入了可解決Spectre、Meltdown等硬體層漏洞，以及讓使用者空間（user-space）建立無法為惡意程式存取的記憶體等功能。另外它還加入IMA數位雜湊和簽章技術，可驗證裝置，防止裝置遭到惡意修改。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續經營 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SaaS </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟正式推出永續經營雲端服務，可提供碳排放記錄、報告製作及減量建議</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(2).png" style="width: 600px; height: 337px;" /></p> <p>歷經半年多的公開預覽測試，微軟於17日宣布永續經營雲端服務Cloud for Sustainability將於6月1日於全球正式推出。</p> <p>微軟Cloud for Sustainability是一個SaaS解決方案，可提供企業碳排放記錄、報告製作，以及碳排減量建議。</p> <p>隨著該方案的推出，微軟表示，將可以整合Microsoft和合作夥伴的功能，來協助企業打造一個更好地永續經營管理方式。像是提供智慧化統一數據連接功能，可透過Microsoft Sustainability Manager自動化管理工具，將以往從設備感測器蒐集和連接物聯網分散數據，集中到通用數據格式中來記錄、製作報告，並提供進一步洞察分析。</p> <p>另外，透過使用碳排放監測工具，也能讓Microso 企業用戶更容易追蹤因雲端服務使用所產生的排放量數據，進行管理。並也將透過與夥伴合作，引進各種數位化技術，提供企業涵蓋從原料、產品、分銷的價值鏈建立透明與問責。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端成本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FinOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>調查：高達半數企業2022年聚焦雲成本控管，超過9成開始重視FinOps財務管理</strong></span></p> <p>雲端儲存廠商NetApp日前公布年度雲端基礎設施報告，該報告訪查300多名負責公雲業務及企業IT決策者所製作而成。該報告指出，隨著企業採用雲端服務越來越頻繁，有半數以上的企業今年將聚焦雲端成本的管理，甚至其中超過9成（96%）表示，開始重視雲端維運財務管理FinOps（Cloud FinancialOperations），但目前已經有完整FinOps實踐的企業，僅占1成比例。NetApp表示，FinOps將是未來大型企業管控雲端成本的關鍵。</p> <p>從營運管理角度來看，導入更多雲端技術（63%）、服務上雲（52%）和雲端成本優化（50%），是企業今年IT轉型主要目標。另外有高達9成表示，他們已經或計畫建立CCoE卓越雲端中心，負責制定雲端策略、雲供應商採用及架構解決方案等。另外有7成表示透過託管服務供應商（MSP）協助雲端維運。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國政府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路安全 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud專為美國政府推出自主安全營運解決方案</strong></span></p> <p>由於美國白宮大力推行零信任的國家網路安全政策，Google Cloud近日也專為美國聯邦政府推出一套自主安全營運解決方案（Autonomic Security Operations,ASO），它是一個用於實現政府部門網路安全分析和管理現代化的解決方案框架，符合美國總統拜登去年頒布14028號行政命令和OMB辦公室的M-21-31備忘錄的目標。</p> <p>ASO將由Google的雲端安全分析平臺Chronicle和Siemplify技術組成，協助美國政府部門現代化其安全營運，包括建立SIEM、安全協調、自動化及回應（SOAR）及UEBA使用者行為分析等。</p> <p><strong>圖片來源／Google Cloud、通用汽車、微軟</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.Google Cloud推出相容PostreSQL的雲端資料庫AlloyDB，號稱比AWS快2倍</strong></strong></p> <p><strong><strong>2.愛立信與英特爾共同成立全球Cloud RAN技術中心，加速發展雲端RAN解決方案</strong></strong></p> <p><strong><strong>3.Google強化Workspace的AI功能，將Google文件、試算表深度整合至SAP S/4HANA Cloud</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年5月</strong></strong></p> </div></div></div>
2022/5/22 08:04作者余至浩https://www.ithome.com.tw/news/151043
MedTech醫療科技月報第8期：憲法法庭展開健保資料庫釋憲辯論，健保署強調應兼顧健保資料二次利用的公共利益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0416～0515)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健保資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 釋憲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料二次利用 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>憲法法庭展開健保資料庫釋憲辯論，健保署強調應兼顧健保資料二次利用的公共利益</strong></span></p> <p>4月26日，憲法法庭展開歷時3個小時的<a href="https://youtu.be/1SEXPT9EKLw">健保資料庫個資隱私釋憲辯論</a>，衛福部、健保署、國發會以及提出釋憲的聲請人臺灣人權促進會在場辯論。臺灣人權促進會認為，健保資料庫加值研究侵害個人資料隱私、違反比例原則，面對這個質疑，衛福部表示，健保資料庫由多元資料組成，若允許個人無條件任意退出，健保資料庫會因為資料偏差，造成精準醫療和公衛研究失準，進而影響治療方式研究、疾病預防等公共利益。</p> <p>在場，健保署署長李伯璋強調健保資料庫二次利用價值，因為健保資料庫收錄完整的國人醫療實證資料，而且自2006年至2021年，透過健保資料庫產出了7,000多篇研究論文，涵蓋各種疾病探討，是全球醫療重要指標。舉例來說，透過健保資料庫研究，健保署在2020年發現，癌症患者採用免疫療法的存活率，並未比傳統標靶治療要好，因此調整免疫療法價格和國家醫療給付措施。這個結論，比美國食藥署還要早1年證實，臺灣的研究成果，也快速被國際知名期刊接受。李伯璋總結，健保資料庫並非只是個人資料隱私議題，而是更長遠的國家發展和民眾健康維護，應於民眾個人隱私和最大公共利益間取得平衡。事實上，健保署也早已聘請中研院設計問卷，告知民眾健保資料會進行學術利用，其中，「91.3%的民眾支持健保資料做學術利用，」他說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2011_25_54%20PM.png" /></p> <p>另一方面，國發會副主委高仙桂表示，國發會作為國家重要戰略規畫和個資法管理機關，個人資料合理使用，攸關國民健康、社會福祉、產業轉型和國家競爭力。比如，健保資料庫學術研究，可協助打造更符合個人的健康照護方式，而運用資料庫，也可協助政府制定前瞻新政策。資料加值運用，還能推動國家六大核心戰略產業轉型，其中的精準醫療產業，更是政府繼半導體產業後，極欲打造的下一座護國神山。她也提到，這些新經濟模式仰賴個人資料保護，行政院在2017年也成立個資保護專案辦公室，也啟動院層級的個資保護執行會議。在這期間，國發會也觀察其他國家的法制變化，發現各國會視發展目標和國情不同，採取因地制宜的個資保護手段，臺灣也可評估參考。這次會議後，憲法法庭將於三個月內宣示判決結果，如有必要，則會再延長2個月。<a href="https://cons.judicial.gov.tw/docdata.aspx?fid=75&id=340720">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2010_26_27%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHDS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>歐盟提出4.5億人健康數據共享法案，要推進研究和創新</strong></span></p> <p>5月初，歐盟委員會提出了歐盟數據空間（EHDS）法案，要打破資料分享障礙，讓歐盟公民在任一歐盟會員國內存取自己的健康資料，也能分享資料來協助研究、創新和政策制定，就像是歐盟版的健保資料庫。透過安全的資料互通，該提案也能讓歐盟探索健康資料的潛力。</p> <p>歐盟委員會表示，EHDS是一個健康生態系，由一系列規則、通用標準、實踐方式、基礎建設和治理架構組成，它不只能讓公民在歐盟境內帶著資料自由移動，也能形成一個電子健康紀錄、醫療裝置和高風險AI的單一市場。歐盟委員會表示，信任是該法案能成功上路的關鍵，因此，為提供一個安全交換資料的環境，EHDS將遵從歐洲最嚴個資法GDPR、資料治理法案、資料草案，以及網路資訊系統指令。</p> <p>歐盟委員會進一步解釋，為達到資料互通，成員國醫療機構和廠商所提供的病人摘要、電子處方、醫學影像、實驗室和檢驗報告等資料，都得遵照歐盟互通格式。為成功推廣，該提案也要求，所有會員國必須指派數位健康部門，來參與跨境的數位健康基礎建設。最後，歐盟委員會也強調，研究人員、企業或機關若想使用這些數據，必須先獲得成員國的健康數據機構許可，並且，只有在用於特定目的、在封閉安全環境且不透露個人身份的情況下，才能獲得存取權限。這個提案將影響歐洲4.5億人。<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2711">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2010_50_01%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自主回報系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 唐鳳 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>唐鳳出手，助衛福部推出確診個案管理系統縮短居隔單時間</strong></span></p> <p>行政院政務委員唐鳳聯手衛福部，在5月20日推出自主回報系統的確診個案管理系統（MBBS），讓地方衛生局處更快獲得個案資料，來縮短開立居隔單的時間，預計可在5到10小時完成。這是因為，近日本土病例迅速飆增，地方政府難以在第一時間開出居隔單，造成塞車。後來，行政院長蘇貞昌點名唐鳳解決問題，於當周開發出自主回報系統的管理系統（即MBBS），希望用來取代速度較慢的法傳通報系統。</p> <p>她解釋，原本的法定傳染病系統目的在於傳染病通報，設計較精密、過程繁瑣，並非為居家照護個案管理所設計，因此她另外開發MBBS，來符合目前COVID-19確診者的通報需求，減少資料收發的時間差。衛福部資訊處處長龐一鳴表示，該系統可望將原本需要24小時才能開出居隔單的時間，縮短為10小時以內，最佳目標是5小時完成開立。此外，數位證明平臺也將於25日，新增接觸者隔離證明。<a href="https://www.youtube.com/watch?v=ffNIIs1SU44&ab_channel=%E8%A1%9B%E7%94%9F%E7%A6%8F%E5%88%A9%E9%83%A8%E7%96%BE%E7%97%85%E7%AE%A1%E5%88%B6%E7%BD%B2">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退輔會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>退輔會聯手臺中榮總，要導入Azure建FHIR長照平臺</strong></span></p> <p>行政院退輔會聯手臺中榮總，要藉微軟Azure Healthcare API服務和Azure Stack HCI混合雲解決方案，來建置國內規模最大的FHIR長照平臺，提供全臺榮總分院共20所護理之家使用。</p> <p>這是繼退輔會委由臺中榮總改造全臺榮總分院HIS後的另一延伸專案，要將智慧醫療成果進一步擴展到榮總分院的20所護理之家。在這次的各榮總分院附設長照機構管理資訊系統更新建置案中，退輔會和中榮找來臺灣微軟和奇唯科技，要導入微軟FHIR相關服務，打造長照資訊整合平臺，並採用相關AI分析應用。</p> <p>該平臺有幾個特點，首先，透過Azure IoT雲端服務，可自動將3,000多床的生理量測裝置資料去識別化、傳送至Azure雲平臺，進行即時住民生理資訊監測和異常回報。另一方面，Azure API for FHIR通過美國HIMSS醫療資安法規驗證，除了安全，還具備快速部署、高效能與自動化調整機制、混合雲彈性部署的能力，降低醫療機構導入FHIR的成本。<a href="https://news.microsoft.com/zh-tw/fhir-azure-healthcare-apis/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2022/05/%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87%E4%B8%80-scaled.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保快易通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬健保卡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保快易通App推出無照片虛擬健保卡，縮短等待時間</strong></span></p> <p>僅僅在指揮中心5月14日開放居家隔離/檢疫及自主防疫民眾快篩陽性、經視訊診療確認可通報確診的後2天，健保署就推出無照片虛擬健保卡功能，來加速民眾視訊診療流程。進一步來說，居家隔離/檢疫及自主防疫民眾快篩陽性時，可透過虛擬健保卡來進行視訊診療、由醫師評估確認，但以健保快易通App（健康存摺）申辦虛擬健保卡，得上傳照片和身份證明文件，並等待審核時間。為縮短等待時間，健保署可先提供無照片虛擬健保卡供民眾使用，審核通過後，系統再更新有照片的虛擬健保卡。</p> <p>不只如此，日前，為解決民眾等不到隔離通知書或染疫證明的困境，健保署也在健保快易通App納入COVID-19確診個案自主回報系統連結，可開放給居家檢疫、居家隔離和自主防疫者使用，一旦居家快篩陽性，與醫師視訊診療確認後，可透過連結至自主回報系統填寫。健保署表示，該功能將配合指揮中心決策，可隨時上線。這也是繼5月4日，健保快易通App開放給PCR檢驗確診者使用外的另一波放寬措施。</p> <p><img alt="" src="https://ws.nhi.gov.tw/Download.ashx?u=LzAwMS9VcGxvYWQvMjkyL2NrZmlsZS9kMTA1NjFjOS0wZjgxLTRkNDItYTdhNy1mNWYxY2I5MjVlYjNAMTAyNHg3NjguanBn&n=MTExMDUxNumZhOS7tjIuanBn&icon=.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HPE </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 群體學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></p> <p><span style="font-size:22px;"><strong>HPE推群體學習解決方案，瞄準醫療、金融和製造業</strong></span></p> <p>HPE近日推出群體學習解決方案（HPE Swarm Learning），概念類似聯合學習，可以分散式機器學習模式，集眾人之力來訓練AI模型，但又不必共享資料，保護資料隱私。特別的是，有別於聯合學習，群體學習納入區塊鏈機制，確保使用者們只共用前端學習內容，而非資料本身。該機制可安全加入成員、在成員中動態選擇領導者，並匯集模型參數，讓群體學習網路具備彈性復原力與安全性。</p> <p>該解決方案提供群體學習API，讓使用者輕易整合AI模型，也可與內外部組織共用模型的學習內容，來提高訓練成效。HPE指出，在醫療方面，醫院可從影像紀錄、CT與MRI掃描和基因表現等資料，來改善疾病診斷結果、保護病患資料。德國亞琛工業大學附屬醫院更用來進行大腸癌辨識AI研究。在金融方面，不同金融機構可共享詐欺偵測的AI模型。在製造業，則可用來強化設備故障預警AI，及早維護。<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/04/hewlett-packard-enterprise-ushers-in-next-era-in-ai-innovation-with-swarm-learning-solution-built-for-the-edge-and-distributed-sites.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高雄 </span></strong></span></p> <p><span style="font-size:22px;"><strong>高雄4家醫院成立聯合學習醫療聯盟</strong></span></p> <p>在臺灣人工智慧實驗室（Taiwan AI Labs）的推動下，<a href="https://www.kmuh.org.tw/KMUHInterWeb/News/BrdactDetail/1001124108?actid=411275">高醫附醫</a>、高雄長庚、高雄榮總、義大醫院等4家醫院聯手成立高雄聯合學習智慧醫療聯盟，要針對在地臨床需求，發展腦心重症、就醫、智慧照護和健康關懷等領域的聯合學習專案。</p> <p>臺灣人工智慧實驗室透露，該聯盟將建立跨院聯合驗證確效平臺，來評估軟體醫材成效，加速智慧醫材SaMD發展與落地。高雄聯合學習智慧醫療聯盟是自去年臺灣聯合學習產業大聯盟成立以來，首個落地的產業聚落案例，與此同時，臺灣人工智慧實驗室也在高雄成立研發總部籌備處，預計擴編百人研發團隊，要與當地學界如中山大學、成功大學，來聚焦動態分潤演算、聯合學習資訊安全、智慧醫療聯網、前瞻醫療器材研發等領域發展。<a href="https://www.kcg.gov.tw/CityNews_Detail1.aspx?n=3A379BB94CA5F12D&ss=22CFD49BA03FB8FA">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 北醫大 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 肺癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策共享 </span></strong></span></p> <p><span style="font-size:22px;"><strong>北醫大打造肺癌醫病決策共享平臺，包辦診斷、用藥和預後評估</strong></span></p> <p>北醫大以影像辨識和自然語言處理（NLP）技術打造肺癌臨床智能決策輔助系統，根據臨床實際流程，提供醫師與病患診斷、用藥、預後評估，是首個肺癌醫病共享決策平臺。該平臺包含3大模型，首先是電腦斷層肺癌基因突變預測模型，可自動從300多張電腦斷層影像自動偵測腫瘤並標示，也能判斷腫塊類型和可能的基因突變，提供肺結節處理建議。</p> <p>團隊也將電腦斷層預測結果整合臨床大數據，透過肺腺癌病患醫療大數據和AutoML方法建立腦轉移、預後與藥物反應預測模組，當電腦斷層影像發現新發個案時，可立即預測腦轉移風險和選藥建議。</p> <p>再來，北醫大將與雲象科技研發的全玻片數位病理判讀技術，延伸開發出肺腺癌病理基因突變預測選藥模型，來快速自動標註病灶，並預測最常見基因的突變狀態，來提早精準用藥。最後，團隊也利用NLP開發出病理報告自動判讀選藥檢疫系統和肺腺癌全基因用藥建議模型，只要輸入一份病人病理報告，就能得到存活率較高的健保與自費用藥推薦，且整合治療效果和存活期資訊，篩選出與病患相似且預後最佳的選藥治療建議。對於晚期肺癌無法開刀或已轉移復發的病人，系統還會自動將病人狀況媒和全球新藥試驗場域。<a href="https://www.most.gov.tw/folksonomy/detail/03350e10-7c91-4f6f-9028-dd5c3120425e?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-04-28%20at%2011_45_32%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大同醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Health365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 緯創醫學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健康促進遊戲化！大同醫院用任務競賽來吸引員工運動，更發點數結合商家行銷打造健康生態圈</strong></span></p> <p>高雄大同醫院將健康促進變成一個任務競賽，來鼓勵員工健康生活，更以這個工具串聯社區商家，優惠回饋給達到健康目標的員工，打造健康生活圈。進一步來說，大同醫院採用緯創醫學Health365平臺，舉辦為期3個月的健康促進競賽，包括3種比賽，包括行走步數、生理量測數據記錄，以及組隊改善體重、體脂。這些任務除了有常見的排行榜顯示競賽動態，還結合點數，只要完成任務，就能獲得健康點數，而大同醫院也找來社區店家來提供點數兌換，來讓競賽員工使用點數，獲得商品或服務優惠。</p> <p>這種點數消費模式形成一種生態圈，活動期間員工可藉由健康點數累積，兌換合作商家之產品或服務，平臺也能提供商家行銷曝光。</p> <p>圖片來源／司法院、歐盟委員會、微軟、健保署、北醫大</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 澳洲政府展開老人照護第一階段數位轉型，號召業界人士設計API來分享資料給聯邦政府</strong></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 23:24作者王若樸https://www.ithome.com.tw/news/151038
【資安週報】2022年5月16日至20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧本週的資安新聞，勒索軟體攻擊事故占據了相當高比例。其中，又以日經新聞證實一週前分公司的伺服器遭到勒索軟體攻擊引起關注，再者，勒索軟體Conti攻擊哥斯大黎加後續事故的發展也值得留意，因為駭客不只提高贖金，更宣稱要推翻新總統的政權。</p> <p>另一個也相當值得留意的勒索軟體攻擊，是勒索軟體Chaos加入了烏克蘭戰爭選邊站的行列，這次他們加密完受害電腦檔案後，透過副檔名和勒索訊息表達政治訴求，沒有打算索討贖金，也不打算恢復受害電腦的檔案。</p> <p>除了勒索軟體攻擊事故之外，來自北韓的威脅也值得留意。因為，該國藉由IT人士埋伏全球的企業，一旦組織錄用這些人士，就有可能面臨資料外洩、資金遭竊的風險，而且他們還有可能成為北韓駭客的內應。</p> <p>而在鎖定應用系統的攻擊行動，駭客針對遠距工作平臺VMware Horizon的Log4Shell漏洞進行攻擊，以及透過SQL Server的內建公用程式下手的隱密手法，使得IT人員可能難以防範。</p> <p>針對應用系統重大漏洞的部分，則有VMware身分驗證系統的重大漏洞CVE-2022-22972，以及微軟SharePoint的反序列化漏洞CVE-2022-29108等。前者美國更要求公部門限期修補。</p> <p>iPhone自iOS 15推出的Find My定位功能，能讓手機即使在關機之後仍有機會找回，背後與蘋果採用的低耗電模式（LPM）有關，當時就有人認為這種機制可能會有資安風險，如今有研究人員證實LPM存在可被濫用的弱點，而有可能成為攻擊者入侵的管道。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware"><span style="color: rgb(0, 0, 0);">日經新聞遭到勒索軟體攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊的對象，近期也盯上了東亞新聞媒體。日經新聞於5月19日公布，他們新加坡辦公室的一臺伺服器主機，於5月13日遭到勒索軟體攻擊，該公司當日察覺異狀後已關關此伺服器，並採取相關回應措施。該公司表示他們正在了解攻擊的情況與受害範圍，並指出遇害的伺服器有可能存放客戶的資料，但目前尚未發現資料外洩的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/ransomware-gang-threatens-to-overthrow-new-costa-rica-government-raises-demand-to-20-million/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti提高對哥斯大黎加的贖金，煽動推翻政府</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg" style="width: 300px; float: right;" /></a>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，使得該國新任總統於5月8日上任隨即宣布全國進入緊急狀態，而這起事件最近又有了新的進展。根據資安新聞網站Recorded Future的報導，勒索軟體駭客約於5月15日，將贖金從原先的1千萬美元加倍為2千萬美元，並煽動該國民眾叫政府趕快支付贖金，揚言若不給錢，將於7天內刪除解密金鑰，這可能意味著連駭客自己也沒辦法解開遭加密的檔案。</p> <p>此外，這些駭客也宣稱，他們這麼做的目的是要透過網路攻擊，來推翻新總統的政權。自先前遭到勒索軟體攻擊後，哥斯大黎加政府目前仍尚未恢復正常運作，該國財政府於5月13日表示，報稅需人工計算，且民眾必須透過銀行繳納。</p> <h3><strong style="font-size: 22px;"><a href="https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf"><span style="color: rgb(0, 0, 0);">北韓IT人士埋伏全球企業，協助駭客進行網路攻擊</span></a></strong></h3> <p>出身北韓的IT人士遭他國政府懷疑可能會與母國的國家駭客聯手，以利網路攻擊。美國國務院、美國財政部，以及美國聯邦調查局（FBI）聯手，於5月16日發布資安通告，警告全球組織要小心北韓政府派出的IT人才，這些人士會透過自由工作者招募平臺、社群網站等管道謀職，一旦組織不慎錄用這些人士，就有可能面臨資料外洩或是資金遭竊的風險，甚至有可能因此變成美國與聯合國制裁的對象，除此之外，這些人士也可能與北韓駭客裡應外合。</p> <p>美國政府也提供這類人士的識別方法，要組織提高警覺。例如，會要求使用支付平臺轉帳薪資，或是以加密貨幣領取薪資，還有面試者很可能會在短時間內，從不同地區多次登入相同的帳號，很有可能就是上述可能會造成組織危害的北韓IT人員。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/34461/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定南韓組織的VMware遠距工作平臺Log4Shell漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png" style="width: 300px; float: right;" /></a>又是針對VMware遠距工作平臺的Log4Shell漏洞下手的攻擊行動。資安業者AhnLab指出，北韓駭客Lazarus於今年4月，鎖定南韓組織的遠距工作平臺VMware Horizon下手，針對尚未修補Log4Shell漏洞的Tomcat元件入侵，植入後門程式NukeSped，並在受害組織裡進行間諜工作，如截取螢幕畫面、側錄輸入內容、存取敏感檔案等，與過往NukeSped不同之處在於，研究人員看到2個新模組，可用於轉存USB儲存裝置的資料，以及提供存取視訊鏡頭的能力。</p> <p>駭客透過上述後門程式在受害組織站穩腳跟後，便進一步投放竊密軟體，偷取瀏覽器（Chrome、Firefox、IE、Naver Whale）與收信軟體（Outlook、Outlook Express、Windows Live Mail）的帳號資料，以及辦公室軟體（微軟Office、Hancom 2010）近期使用的檔案名稱。研究人員呼籲VMware Horizon用戶應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-brute-force-attacks-targeting-mssql-servers/"><span style="color: rgb(0, 0, 0);">駭客鎖定SQL Server進行寄生攻擊，透過公用程式執行PowerShell指令碼，可躲避系統事件記錄而不會留下足跡</span></a></strong></h3> <p>針對SQL Server伺服器下手的攻擊行動近期再度出現，而且是利用公用程式來進行。微軟於5月18日提出警告，他們近期發現到鎖定SQL Server的攻擊行動，駭客藉由暴力破解的方式入侵這些資料庫系統，然後透過內建的PowerShell命令列公用程式SQLPS.EXE來執行PowerShell命令，以進行寄生攻擊（LOLBin），而不會在受害的伺服器上留下事件記錄。</p> <p>研究人員指出，透過這樣的攻擊手法，駭客不只能夠長期滲透SQL Server，還能建立新的使用者帳號，並配置管理員權限，進而接管整個SQL Server系統。研究人員認為，上述攻擊行動的發現，突顯管理者需要掌握指令碼執行動態的重要性。資安新聞網站Bleeping Computer則認為，管理者也應從強化密碼管理著手，來防範SQL Server遭到入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/interactive-phishing-using-chatbot-like-web-applications-to-harvest-information/"><span style="color: rgb(0, 0, 0);">駭客利用客服機器人進行網路釣魚，竊取信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png" style="width: 300px; float: right;" /></a>利用釣魚郵件發動網路釣魚攻擊的情況算是相當常見，但現在有人結合了線上客服的手法，讓受害人放下戒心。資安業者Trustwave指出，他們看到駭客假冒物流業者DHL的名義，寄送包裹無法送達的通知訊息，並要求受害者依照指示處理。一旦收信人照辦就會下載PDF檔案，該文件內含指向釣魚網站的連結，受害者點選後便會被引導到與客服聊天機器人（Chatbot）的對話框。這個機器人會表明包裹上的標籤已經遭到破壞，而無法寄送，要求重新提供公司或住家地址、姓名、電話號碼，並告知對方要刷卡支付額外的運費。收信人若是照做，信用卡的資料就有可能遭側錄。</p> <p>為了取信對方，這個客服機器人的對話內容還會包含無法寄送的包裹圖片，以及在刷卡的過程裡，還會要求輸入手機簡訊的驗證碼，讓受害者以為真有其事。由於駭客納入許多實際網站運用的機制，而很難分辨真假，研究人員提出警告，使用者若是收到相關的寄送通知，應另外開啟物流公司的網頁查詢，而非直接透過信件提供的連結回覆。</p> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans"><span style="color: rgb(0, 0, 0);">駭客利用線上遊戲開發平臺Roblox散布木馬程式</span></a></strong></h3> <p>熱門線上遊戲平臺機器磚塊（Roblox），允許玩家創作與開發遊戲，而廣受許多青少年喜愛，美國更有逾半數兒童遊玩，但這樣的普及程度，也成為駭客用來發動攻擊的管道。資安業者Avanan於3月底，發現專門鎖定Roblox的惡意檔案，駭客疑似將原本的Roblox注入惡意程式，再上傳到該公司客戶的OneDrive帳號，並濫用Roblox的程式碼引擎Synapse X，在受害電腦上部署木馬程式。一旦使用者下載、執行惡意檔案，就會於Windows系統資料夾部署惡意DLL檔案，進而有可能導致應用程式無法運作、資料造成毀損、回傳用戶資訊等。研究人員警告，儘管Roblox用戶多半是兒童，但他們很可能使用父母的電腦上網，而使得當中存放的資料曝露於危險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/millions-of-attacks-target-tatsu-builder-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Tatsu Builder漏洞遭到鎖定，出現近6百萬次攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png" style="width: 300px; float: right;" /></a>研究人員於3月底揭露WordPress外掛程式Tatsu Builder的漏洞CVE-2021-25094，開發者亦發布3.3.13版修補，並於4月7日寄送電子郵件通知用戶升級，但在一個月後出現了大規模的攻擊行動。資安業者Wordfence指出，他們約自5月9日開始，發現針對上述漏洞的攻擊行動顯著增加，並於14日達到高峰──約有590萬次攻擊，鎖定140萬個網站而來。</p> <p>而對於攻擊來源的部分，研究人員指出，大部分攻擊行動來自3個IP位址，它們各攻擊超過百萬個網站；再者，也有15個IP位址攻擊超過10萬個網站。研究人員呼籲用戶，儘速將Tatsu Builder升級到3.3.13版來防堵相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zdnet.com/article/fbi-hackers-used-malicious-php-code-to-grab-credit-card-data/"><span style="color: rgb(0, 0, 0);">駭客利用惡意PHP程式碼截取網站的信用卡資料</span></a></strong></h3> <p>最近3年，全球針對電商網站側錄信用卡資料的攻擊行動不時有事故發生，且攻擊者目標從針對前端的JavaScript程式碼，轉換到後端PHP程式碼上，這也使得美國政府提出警告。</p> <p>美國聯邦調查局（FBI）近日針對當地電商網站發布警訊，指出有人自2020年9月開始，針對美國電商網站下手，將惡意PHP程式碼植入結帳網頁，截取相關資料並傳送到攻擊者控制的伺服器，並成功欺騙了本來處理信用卡交易的伺服器；而到了今年初，駭客藉由除錯功能在網站伺服器下載2個Web Shell，然後建立後門，以便攻擊者能進一步對受害組織下手。</p> <p>而這樣的情況，也有資安業者提出相關的觀察──資安業者Sucuri發現，在2021年的電商網站側錄攻擊中，有41％是針對PHP程式碼而來，而有可能使得攻擊者進一步存取電商網站的檔案系統，而使得該公司呼籲網站管理者，必須加強相關的網站防護措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/19/rise-in-xorddos-a-deeper-look-at-the-stealthy-ddos-malware-targeting-linux-devices/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路XorDDoS近半年攻擊次數增2.5倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png" style="width: 300px; float: right;" /></a>殭屍網路鎖定Linux主機而來的情況，最近逐漸增加。微軟在5月19日提出警告，他們在最近半年裡，發現XorDDoS的攻擊行動次數較先前增加了254%。這個殭屍網路病毒主要透過SSH連線暴力破解的方式，入侵執行Linux作業系統的設備，攻擊者利用Shell指令碼來嘗試各種可能的帳密組合，一旦成功存取，就有可能將XorDDoS的ELF檔案投放到設備上執行。</p> <p>這個殭屍網路除了被用於發動DDoS攻擊，駭客還會拿來部署蠕蟲程式，以便維持受害設備的存取權限，而且還有可能投放其他惡意軟體──研究人員看到部分受感染的裝置，隨後被植入了Tsunami後門程式，以及挖礦軟體XMRig。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-sysrv-botnet-targets-windows-linux-servers-with-new-exploits/"><span style="color: rgb(0, 0, 0);">殭屍網路Sysrv變種鎖定Spring框架和WordPress漏洞，入侵Windows與Linux伺服器</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/143776">殭屍網路病毒Sysrv自2021年4月被發現後</a>，最近又有新的一波攻擊行動。微軟的研究人員指出，擅長透過多種網站應用程式系統漏洞入侵的Sysrv，最近出現新的變種Sysrv-K，該殭屍網路病毒大肆在網路上進行掃描，找尋存在Spring Cloud Gateway漏洞CVE-2022-22947，以及WordPress外掛程式已知漏洞的網站應用程式，針對Spring框架和WordPress發動攻擊，入侵後在執行Windows或Linux作業系統的應用程式伺服器裡，部署挖礦軟體。研究人員指出，該殭屍網路病毒還會掃描WordPress主機，找出與組態有關的檔案，並竊取資料庫的帳密，進而接管伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-space-pirates-are-hacking-russian-aerospace-firms/"><span style="color: rgb(0, 0, 0);">中國駭客鎖定俄羅斯航太產業下手，植入多種惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png" style="width: 300px; float: right;" /></a>中國與俄羅斯之間的關係匪淺，被認為彼此交好，而在烏克蘭戰爭尚未落幕的此刻，中國駭客鎖定俄羅斯攻擊行動，近期竟時有所聞，而最近更鎖定該國的航太產業下手。</p> <p>資安業者Positive Technologies指出，他們從去年夏天開始，發現名為Space Pirates的中國APT駭客組織從事的間諜行動，該組織自2019年對於俄羅斯4個實體下手，並使用了相同的惡意軟體與基礎設施，其中兩起行動涉及該國政府參與的俄羅斯企業。</p> <p>研究人員指出，其中一起攻擊行動裡，駭客在10個月內接連存取20臺伺服器，竊取逾1,500份文件，以及員工個資等敏感資料；而在另一起攻擊事件中，駭客停留在受害組織的網路超過一年，並進行竊密的工作，同時將惡意軟體安裝到3個分公司、12個網路節點。</p> <p>而這些駭客所使用的惡意軟體，包含了多個中國駭客組織採用的PlugX、ShadowPad等，以及3個過往未曾出現過的Deed RAT、BH_A006，以及MyKLoadClient，它們分別被用於竊密、繞過資安防護系統，以及透過DLL側載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/chaos-ransomware-variant-sides-with-russia"><span style="color: rgb(0, 0, 0);">勒索軟體Chaos破壞受害電腦檔案，並表達力挺俄羅斯的訴求</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，許多駭客組織表態支持的對象，而最近又有勒索軟體組織藉由攻擊行動表達政治訴求。資安業者Fortinet指出，他們近期發現勒索軟體Chaos的攻擊行動，該勒索軟體在執行後會先盤點所有磁碟機上的檔案，估算檔案大小、進行分類，對於大部分的檔案，會產生20字元長度的密碼，並使用AES-256-CBC加鹽的演算法進行加密，而對於大於2,117,152位元的檔案，則是寫入隨機資料破壞，但另一部分引起研究人員注意的是，這些檔案加密後的副檔名變成了f**kazov，azov很可能指的是烏克蘭國民警衛隊的特種作戰部隊「亞速營」。</p> <p>而在加密檔案後，駭客也透過名為stop_propaganda.txt的檔案留下勒索訊息，但這個訊息與過往的攻擊事故相當不同：他們呼籲停止烏克蘭戰爭，大家不值得為像小丑一樣的烏克蘭總統澤倫斯基而死，並要求受害者閱讀特定網站了解真相。內容完全沒有提及贖金，也沒有聯絡攻擊者的管道。受害者難以復原電腦上的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/engineering-firm-parker-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">航空液壓設備製造商傳出遭勒索軟體Conti攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parker-files.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parker-files.png" style="width: 300px; float: right;" /></a>勒索軟體Conti攻擊航空產業的事故再添一樁。根據資安新聞網站Bleeping Computer的報導，專精航空液壓設備的派克漢尼汾（Parker Hannifin）於5月16日證實，他們在3月11日至14日，遭到未經授權存取內部資訊系統的攻擊行動，經過調查後於5月12日向資料可能遭到外洩的人士發出電子郵件通知，並承諾提供兩年的身分竊盜保險。</p> <p>關於攻擊者的身分來歷，駭客組織Conti於4月1日表明是他們所為，並於4月20日公布竊得的419 GB資料，該新聞網站認為，駭客有可能取得機密程度極高的設計圖，有可能讓取得相關資料的競爭對手能夠應用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E7%AB%8B%E5%8D%B3%E6%8E%A1%E5%8F%96%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E8%A1%8C%E5%8B%95%E6%9B%B4%E6%96%B0-qts-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">威聯通針對近期出現的勒索軟體DeadBolt攻擊行動提出警告</span></a></strong></h3> <p>勒索軟體針對NAS設備下手的情況，最近又有攻擊行動出現。臺廠威聯通（QNAP）於5月19日發出警告，他們的產品資安事件應變團隊（QNAP PSIRT）偵測到勒索軟體DeadBolt的攻擊行動，鎖定執行QTS作業系統4.3.6版與4.4.1版的NAS設備，根據他們的調查，主要受到影響的設備為TS-x51、TS-x53產品線的機種。他們呼籲用戶要儘可能使用最新版本的QTS作業系統，並避免將NAS曝露於網際網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-edny/pr/hacker-and-ransomware-designer-charged-use-and-sale-ransomware-and-profit-sharing"><span style="color: rgb(0, 0, 0);">製作勒索軟體Jigsaw、Thanos的駭客被起底</span></a></strong></h3> <p>網路罪犯年齡層有逐漸下降的情形，但也有高齡駭客製造出破壞力驚人的勒索軟體。美國司法部（DOJ）於5月16日指出，開發及銷售Jigsaw、Thanos等勒索軟體的駭客身分，是居住於委內瑞拉的55歲心臟科醫生Moises Luis Zagala Gonzalez。</p> <p>美國司法部提到，這名醫生打造的Jigsaw，在加密受害電腦檔案之餘，還會記錄使用者試圖刪除勒索軟體的次數，以供判斷受害人會支付贖金的意願；再者，若是受害者企圖重開機防堵檔案被加密，該勒索軟體就會刪除1千個檔案，要受害者就範。而另一款勒索軟體Thanos，則是該名醫生提供他人建置自訂版本勒索軟體的工具，以便進一步用於攻擊行動，或是發展成租賃服務分享利潤。假如該名醫生被定罪，將可能會被判處最高10年的徒刑。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/Shadowserver/status/1525561213115158529"><span style="color: rgb(0, 0, 0);">Zyxel防火牆重大漏洞已被駭客用於攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg" style="width: 300px; float: right;" /></a>資安業者Rapid7於5月12日，<a href="http://www.ithome.com.tw/news/150914#Zyxel">公布Zyxel防火牆產品的遠端命令注入漏洞CVE-2022-30525</a>，影響USG Flex、ATP產品線，CVSS風險層級達9.8分。這樣的重大漏洞很快就有駭客加以利用。資安研究團隊Shadowserver Foundation於5月15日提出警告，他們在13日開始看到嘗試利用CVE-2022-30525的攻擊行動，呼籲用戶要儘速修補。</p> <p>根據研究人員的調查，全球總共約有20,800臺Zyxel設備可能曝險，其中又有近半數（1萬臺）是USG20-VPN，其次是USG20W-VPN有5,700臺。從這些防火牆所在的區域來看，大部分位於歐洲，其中以法國4,500臺、義大利4,400臺最多，美國有2,400臺次之。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/a-new-secret-stash-for-fileless-malware/106393/"><span style="color: rgb(0, 0, 0);">駭客利用Windows事件記錄機制埋藏惡意軟體行蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png" style="width: 300px; float: right;" /></a>駭客為隱藏惡意軟體的行蹤，他們最近也濫用作業系統的事件記錄工具，而引起研究人員的注意。卡巴斯基最近揭露他們在今年2月，發現將Shell Code存放於Windows事件記錄的惡意軟體攻擊行動SilentBreak，駭客藉此隱匿無檔案（Fileless）的木馬程式。</p> <p>駭客透過惡意軟體投放器（Dropper），將Shell Code的酬載注入到Windows大量授權金鑰管理服務（KMS）的事件記錄日誌，並複製及濫用作業系統元件WerFault.exe、wer.dll，藉由DLL搜尋順序挾持（DLL Search Order Hijacking）載入惡意程式碼。而上述的投放器也會在Windows的事件記錄尋找特定內容，再組合成下一個階段的攻擊程式碼。研究人員指出，這樣的手法過往幾乎沒有出現過，他們推測很可能是APT駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/05/12/sidewinder_apt_attack_spree/"><span style="color: rgb(0, 0, 0);">駭客組織SideWinder橫行歐亞，2年發動近千次攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基於5月10日到13日，在新加坡舉行的Black Hat Asia 2022大會上，揭露APT駭客組織SideWinder（亦稱RattleSnake、T-APT-04）近期的攻擊行動，指出該組織於2020年4月至今，兩年內發動接近一千次攻擊行動，是全球攻擊行動最為頻繁的駭客。這個駭客組織主要目標是中亞國家的警察、軍隊、海軍部隊，近年範圍則擴及歐洲、中東、亞洲、非洲等區域，並針對外交、國防、航空、IT產業而來。根據該組織近期註冊的新網域，研究人員認為他們打算將攻擊範圍擴及更多國家。</p> <p>這些駭客約從2021年底開始，使用RTF、LNK，以及OpenOffice文件檔案OOXML，挾帶含有混淆的JavaScript程式碼，進而在受害電腦植入後門程式，然後與C2伺服器建立連線。研究人員認為，辦公室應用程式的已知漏洞很可能是該組織主要的入侵管道，呼籲用戶要保持相關軟體為最新狀態。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/phishing-campaign-delivering-fileless-malware"><span style="color: rgb(0, 0, 0);">駭客一口氣散布3種無檔案惡意軟體，意圖竊取受害電腦資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1652300758381.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1652300758381.png" style="width: 300px; float: right;" /></a>攻擊者在4月、5月，透過釣魚郵件散布竊密軟體的情況不時傳出，但如今有人一口氣利用三種惡意軟體來偷取電腦裡的機密。資安業者Fortinet指出，他們近期發現有人透過付款結果的通知信件，發動釣魚郵件攻擊，一旦收信人開啟附件的Excel附加元件檔案（XLAM），並依照指示啟用VBA巨集時，此巨集就會呼叫作業系統的WMI元件，竄改MSHTA.EXE執行檔檔名並下載惡意HTML檔案，然後觸發PowerShell程式碼下載AveMariaRAT、BitRAT、PandoraHVNC等無檔案式（Fileless）的惡意軟體，進行竊取電腦各式機密的工作。</p> <p>為何駭客要同時部署這麼多個惡意軟體？研究人員沒有進一步說明，但很有可能是駭客想要藉此收集更為完整的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.jamf.com/blog/updateagent-adapts-again/"><span style="color: rgb(0, 0, 0);">鎖定macOS的惡意軟體UpdateAgent出現變種，被用來投放更多惡意程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg" style="width: 300px; float: right;" /></a>專門針對Mac電腦出手的惡意程式UpdateAgent，最近出現新的變種，而可能使駭客能夠透過程式碼批次進行攻擊。資安業者Jamf近期看到新的UpdateAgent變種，駭客使用程式語言Swift重新改寫，並命名成PDFCreator，以及ActiveDirectory的可執行檔案散布，研究人員分析後發現，這兩個版本的變種會連往AWS S3儲存桶的網址，下載並執行一段bash指令碼，再到S3下載並執行第二階段的DMG映像檔。而關於這些檔案，目前能識別為有害的防毒軟體可能不多，因為研究人員在5月13日，將這些可疑的檔案上傳到惡意軟體分析平臺VirusTotal進行檢測之後，當中尚未有防毒軟體引擎能將其識別為有害。</p> <p>該公司指出，雖然先前在2月的版本被駭客用於投放廣告軟體，但用戶仍不能掉以輕心，因為，攻擊者可利用這款惡意軟體，在受害電腦植入其他的惡意程式，以進行第二階段的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://trendmicro.com/en_us/research/22/e/fake-mobile-apps-steal-facebook-credentials--crypto-related-keys.html"><span style="color: rgb(0, 0, 0);">變種Facestealer竊密程式鎖定手機用戶，截取臉書帳密或假藉挖礦服務洗劫加密貨幣錢包</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png" style="width: 200px; float: right;" /></a>駭客透過應用程式市集提供手機App為由，來散布惡意軟體的情況近期時有所聞，且用戶可能難以分辨。趨勢科技最近偵測到逾200款安卓竊密軟體Facestealer變種，攻擊者企圖用來竊取受害者的臉書帳密，或是宣稱提供挖礦服務，來騙取受害者的錢包私鑰或是通關密語（Seed Words）。</p> <p>針對竊取臉書帳密的惡意軟體，駭客將其偽裝成VPN軟體、相機應用程式，或是健身軟體等，其共通點是在受害者首度啟動App時，便會要求他們登錄臉書帳號才能使用，進而透過JavaScript程式碼側錄用戶輸入的資料，此外，這些應用程式也會藉由收集Cookie，拼湊個人身分資料並加密，再傳送到攻擊者的伺服器。</p> <p>而研究人員也發現了超過40款宣稱提供雲端挖礦服務的App，一旦受害者啟動了App，駭客就會要求輸入私鑰來連接錢包，以便將挖取的加密貨幣匯入，但他們同時要求受害者收款的錢包至少要有100美元的加密貨幣，並佯稱提供新用戶0.1個以太幣獎勵，以吸引受害者連結多個錢包。值得留意的是，這些App大多成功上架到Google Play市集，且有部分被安裝超過十萬次，受害者可能相當廣泛。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-critical-auth-bypass-flaw-in-multiple-products/"><span style="color: rgb(0, 0, 0);">VMware修補旗下產品的身分驗證繞過漏洞，美國要求公部門限期完成修補</span></a></strong></h3> <p id="Zyxel">自4月初VMware修補旗下身分驗證平臺重大漏洞CVE-2022-22954，不久後陸續出現數起漏洞攻擊事件，使得美國政府繃緊神經，對於相關系統的重大漏洞緊急要求修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）於5月18日發布緊急指令22-03，要求該國各行政機關必須在5月23日前，修補VMware同日發布修補程式的漏洞CVE-2022-22972、CVE-2022-22973。其中，比較值得注意的是CVE-2022-22972，該漏洞屬於身分驗證繞過漏洞，攻擊者可用於取得受害系統的管理者權限，CVSS風險層級達9.8分，該公司旗下的Workspace ONE Access、Identity Manager，以及vRealize Automation都存在上述漏洞。</p> <p>CISA表示，有鑑於CVE-2022-22954遭到利用的經驗，他們才會以緊急指令的方式，要求聯邦機關在5天內進行處理，若無法修補，機關也應暫時將該系統移除組織的網路環境。</p> <h3><strong style="font-size: 22px;"><a href="https://starlabs.sg/blog/2022/05/new-wine-in-old-bottle-microsoft-sharepoint-post-auth-deserialization-rce-cve-2022-29108/"><span style="color: rgb(0, 0, 0);">三個月前修補的SharePoint漏洞被研究人員繞過，微軟再度進行修補</span></a></strong></h3> <p id="Zyxel">微軟於今年2月，修補SharePoint的反序列化漏洞CVE-2022-22005，但有研究人員發現，還有其他的方式能夠觸發上述漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png" style="width: 300px; float: right;" /></a>資安業者Security Technologies and Advanced Research Labs（STAR Labs）指出，他們在微軟修補CVE-2022-22005不久之後，就發現另一種能輕易繞過修補程式觸發漏洞的手法，攻擊者可透過在伺服器上建立SharePoint的清單，並上傳惡意PNG圖片檔案的附件，來進一步利用漏洞發動攻擊。一旦成功，將使得攻擊者執行網頁應用程式的IIS排程工作權限，進而在受害伺服器主機上執行任意程式碼。微軟獲報後於5月份例行修補（Patch Tuesday）予以修補，並將該漏洞登記為CVE-2022-29108進行列管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sonicwall.com/support/knowledge-base/security-notice-sma-1000-series-unauthenticated-access-control-bypass/220510172939820/"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備的高風險漏洞</span></a></strong></h3> <p id="Zyxel">資安業者SonicWall於5月10日發布資安通告，指出他們修補了SMA 1000系列（6200、6210、7200、7210、8200v）SSL VPN設備的3個漏洞，這些漏洞可讓攻擊者用於在未經身分驗證的情況下，繞過存取控制措施，CVSS風險層級從5.7分至8.2分不等，影響執行12.4.0與12.4.1版韌體的SMA 1000系列設備，該廠商推出12.4.1-02994版修補上述漏洞，並指出這些漏洞目前尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://homes.esat.kuleuven.be/~asenol/leaky-forms/"><span style="color: rgb(0, 0, 0);">網站追蹤器元件可能會在用戶送出前截取輸入表單的資料</span></a></strong></h3> <p id="Zyxel">網站為分析用戶的喜好，往往會透過外部追蹤器來解析，但研究人員發現，這些追蹤器可能會在網站收到相關資料之前，先行截取用戶輸入表單的內容。</p> <p>來自荷蘭Radboud大學、瑞士洛桑大學與比利時魯汶大學的研究人員，針對全球前10萬個網站、280萬個網頁展開調查，從歐盟與美國執行爬蟲程式，並透過電腦版與行動裝置的網頁瀏覽器，搭配3種Cookie配置來進行分析。結果發現，從歐盟執行的爬蟲程式共找到1,844個網站，在使用者填寫表單但尚未送出之前，就允許追蹤器收集使用者提供的電子郵件信箱；從美國執行的爬蟲程式，則找到2,950個有上述情況的網站。其中，有不少是新聞網站，研究人員通報後，於今年2月修補相關漏洞。而對於收集這類未送出表單資料的追蹤器，主要來自Adobe、Oracle、Saleforce、Meta、TikTok等。</p> <p>此外，俄羅斯大型搜尋引擎Yandex等52個網站，不慎允許連線重放供應商（Session Replay Provider）收集用戶填入的密碼，研究人員亦進行相關通報。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/critical-privilege-escalation-vulnerability-in-jupiter-and-jupiterx-premium-themes/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式JupiterX、Junipter存在重大漏洞，恐被駭客用來接管網站</span></a></strong></h3> <p id="Zyxel">WordPress佈景主題外掛程式存在的重大漏洞，很可能讓駭客得以控制整個網站。資安業者Wordfence指出，WordPress外掛程式JupiterX、Junipter，存在CVSS風險層級達9.9分的重大漏洞，攻擊者一旦利用這項漏洞，可在經過身分驗證的情況下，獲得管理者的權限，進而可能竄改網站內容、注入惡意指令碼等攻擊行為。</p> <p>這項漏洞與名為uninstallTemplate的函式有關，用途是在管理者移除佈景主題後重設相關版面配置，但這個函式會把使用者的權限提升為管理員，如果有登入網站的使用者發送含有action參數的AJAX請求，就有可能在沒有通過其他檢查情況下，成功提升權限。開發商ArtBees獲報後，於5月10日發布JupiterX 2.0.8、Junipter 6.10.2修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2205.06114.pdf"><span style="color: rgb(0, 0, 0);">研究人員發現可濫用iPhone低耗電模式的漏洞</span></a></strong></h3> <p id="Zyxel">遺失的iPhone手機即使電源遭到關閉，還是能透過Find My功能定位，這與蘋果導入了名為低耗電模式（Low Power Mode，LPM）的機制有關，但有研究人員發現當中存在可被濫用的弱點，甚至有可能讓攻擊者在即將斷電的設備上執行惡意軟體。</p> <p>德國達姆施塔特工業大學（Technical University of Darmstadt）的研究人員在針對iOS 15作業系統進行研究後發現，近期iPhone手機的藍牙、NFC、超寬頻（UWB）無線通訊，即使在關機的狀態下仍然能夠運作24小時，研究人員指出，這是因為LPM是透過硬體的元件來運作，例如，Find My功能要透過Always-on Processor（AOP）晶片執行，因此，LPM很有可能遭到攻擊者濫用。</p> <p>他們透過逆向工程的方式發現，這類晶片沒有透過數位簽章的機制保護，而有可能讓惡意軟體入侵iPhone後，在LPM模式下持續運作，或是讓攻擊者察覺LPM模式相關晶片的弱點後入侵手機。研究人員認為，蘋果應該加入新的開關元件來切斷電源，來防範相關的弱點被用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/05/15/technical-advisory-tesla-ble-phone-as-a-key-passive-entry-vulnerable-to-relay-attacks/"><span style="color: rgb(0, 0, 0);">研究人員揭露可以透過藍牙進行中間人攻擊的手法，能遠端偷走特斯拉汽車或打開智慧門鎖</span></a></strong></h3> <p id="Zyxel">電動汽車提供能以手機App作為遙控器，透過藍牙解鎖車門，可說是相當普遍，但也有可能成為駭客進行中間人攻擊（MitM）的對象。</p> <p>資安業者NCC Group於5月16日指出，他們發現了能夠解鎖特斯拉Model 3、Model Y的藍牙漏洞，研究人員利用iPhone手機與Model 3汽車進行實驗，結果發現，他們藉由自行打造的延遲訊號中繼設備，使得手機超出藍牙通訊的距離，仍能成功解鎖車輛。而這樣的藍牙通訊弱點也存在於智慧門鎖，該公司也成功在Kevo系列智慧鎖上，利用類似的方法在遠端開啟門鎖。此外，這種弱點亦可能存在於透過手機App解鎖的門禁系統、筆電等設備。</p> <p>研究人員認為這不完全是藍牙規格上的缺陷，而是藍牙身分驗證機制原本並非為重要系統規畫。他們為設備製造商、系統業者，以及使用者提出緩解建議，可透過調整相關的配置來防範這類遠端中間人攻擊手法，並通報特斯拉，以及智慧門鎖製造商Kwikset與Weiser。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html"><span style="color: rgb(0, 0, 0);">Linux基金會、開源安全基金會將投入1.5億美元，用於改善開源程式碼安全</span></a></strong></h3> <p id="Zyxel">為了改善開源軟體安全，美國於5月12日二度召開開源軟體高峰會，由Linux基金會（Linux Foundation）與開源安全基金會（OpenSSF）主持，總共集結37家IT業者、逾90名高階主管，以及美國國家安全委員會（NSC）、網路安全及基礎設施安全局（CISA）、國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）、行銷管理和預算局（OMB）官員。</p> <p>本屆會議的焦點，就是他們要在未來兩年運用1.5億美元經費，改善開源軟體十大主要問題，並立下3個工作目標，分別是健全開源安全生產流程、促進漏洞發現與修補，以及縮短修補回應的時間。上述計畫的經費來源中，Amazon、Ericsson、Google、微軟、VMware承諾捐款逾3千萬美元，來做為此計畫前期資金。</p> <h3><strong style="font-size: 22px;"><a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service"><span style="color: rgb(0, 0, 0);">Google推出經過安全驗證的開源軟體套件</span></a></strong></h3> <p id="Zyxel">為了提供更為安全的開源軟體，大型IT業者打算推出套件驗證服務。Google於5月18日宣布，他們將透過Google Cloud推出Assured Open Source Software（Assured OSS）服務，來提供該公司已經檢查過的開源軟體。這些軟體Google的掃描、分析、模糊測試，並能通過軟體供應鏈安全框架（SLSA）合規驗證，由Google簽章，並透過Google Cloud的容器映像檔及語言套件代管平臺Artifact Registry代管，預計於今年第三季推出預覽版本。</p> <p>該公司亦宣布與開源軟體安全供應商Snyk合作，Assured OSS將整合到Snyk的服務，而Snyk漏洞資料庫則會整合到Google Cloud安全與開發生命周期管理工具。</p> <h3><strong style="font-size: 22px;"><a href="https://digital-strategy.ec.europa.eu/en/library/proposal-directive-measures-high-common-level-cybersecurity-across-union"><span style="color: rgb(0, 0, 0);">歐洲推出第二版網路暨資訊系統安全指令，將擴大適用範圍</span></a></strong></h3> <p id="Zyxel">歐洲議會與歐盟會員國於5月13日，正式對於2020年歐盟委員會（EC）提出的網路暨資訊系統安全（Security of Network and Information Systems）修訂指令「NIS 2 Directive」達成共識，主要修訂內容將擴大此指令的適用範圍，延伸到電子通訊服務供應商、數位服務業者、廢水或廢棄物處理業者、產品製造商、郵政與物流業者、公共行政單位等，同時，新版指令也將提升歐洲組織的資安要求，例如，要著手解決供應鏈與供應商之間的資安問題，並對於組織沒有遵守相關義務的行為，向高階管理人員究責。歐盟成員國與歐洲議會將公布新版指令，並於20日後正式生效，歐盟會員國需在21個月內納入國家法令。</p> </div></div></div>
2022/5/21 10:37作者周峻佑https://www.ithome.com.tw/news/151040
領導者意志力決定企業變革底氣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資誠企管在「2021台灣企業領袖調查報告」中，用了邱吉爾在第二次世界大戰演講中的這句話做開場「千萬不要浪費一場好危機」，而開啟這份針對234份量化問卷與13位企業領袖及業界菁英訪談的報告書。內文中不斷提醒，危機的出現代表重整的需要，只是報告中形而上學的建議，讓更多經理人對於市場變動，雖抱了一堆心法，卻少有立即可用的方法，使得疫情後的市場，缺乏過去經驗的支撐，讓人顯得無助。這樣的無助甚至因為疫情的攪亂而來得更為突兀。</p> <p>2020年一位美國紐約的專案經理，她在FB上分享著：</p> <p>「離開辦公室前，我記得我還有半杯咖啡留在桌上，椅子下也放了一雙我剛買的運動鞋，我還記得我心裡想，過幾天再來拿。但，這『過幾天』卻相隔好遠……」</p> <p>疫情所造成的變動出現在你我身邊時，那種眼見為憑的震撼力，搭配上曾經聽聞的不安，人深陷其中，如同不同樂器卻同時奏著同一首悲鳴曲，這種無預警的變動任誰都難以消受。這時邱吉爾的話如同醒鐘，提醒自己用勇氣、毅力，去思考如何能在變動中讓自己往更好的方向走。</p> <p><span style="font-size:28px;"><strong>老店的崩塌</strong></span></p> <p>變革，已經不是媒體報導裡，遙遠的紐約金融市場變動或是中東能源及供應鏈的重整；變革，已經慢慢透到通路產業，尤其在B2C的範疇中，影響更甚。許多百年老店見證變革的破壞力，由緩而鉅，它的崩塌讓人最為心碎。</p> <p>到美國一定會去逛逛走走的大型連鎖百貨公司傑西潘尼（JC Penny），成立於1902年，它是第一個具有倉儲功能的一站式購物中心，早期是為了協助郊區居民或農民生活型態，以一次購足生活所需而成立的商場。傑西潘尼在1928年即有1,000家店，但在一百多年後的今天，卻僅維持800家店鋪數量，規模比老祖宗當年打下的基礎還單薄，它還計畫每年以關閉200家的速度維持基本生存。但還是在2020年5月因不堪新冠疫情的重擊，宣布破產。</p> <p>另外，重訓愛好者很熟悉的保健食品零售商健安喜（GNC），於1935年成立，總部位於美國賓夕法尼亞州匹茲堡（Pittsburgh），銷售包括能量產品、維生素、補充品等。這家招牌老字號挺過了第二次世界大戰，但挺不過疫情和電商的鯨吞蠶食，在2020年6月申請破產，同年9月，破產法院法官批准以7.7億美元出售給哈爾濱製藥集團。90耆壽的光彩，終究無法入袋。</p> <p><span style="font-size:28px;"><strong>拖延的變革</strong></span></p> <p>每個企業家，誰不想讓自己的公司更好，提前準備，超前部署。只是看著別人的變動，遠觀的我們稱讚為「優化」。等臨到自己得變革時，總少不了抗拒和不經意的拖延。</p> <p>隨手舉個例子，數位化的潮流已經是個趨勢，實體通路與電子商務的混商結構也是個必然。但是引進數位需要資金投入，需要改變現有作業流程，得和內部人員溝通，甚至需要組織重整。在變革推動的過程裡，由於缺少對變革的理念和熱情，也缺少變革管理所需的溝通和工具，缺乏上下同仁的共同語言後，變革一詞讓同仁間雜音變多。無奈當下事務緊急且麻煩，同時眼皮子下救火問題又不斷湧起。這裡有良率問題，那裡有貨樣品質差異。這裡有問題這裡解決，那裡有問題那裡處理，俗事纏身後，公司最高領導因此把變革這件事，交給特助去做，然後神情嚴肅的交代：「這是最重要的事」。接著，像義人一般，自己投身在救業績，搶市場的烈焰中。好不容易交出上半年數字，對股東有個交代後，回頭問特助查進度，想了解變革這件事辦得如何了，想當然爾，缺少最高領導的跟催，缺少最高領導的溝通，變革這事辦得無力，且零碎。</p> <p>最高領導生氣了，把變革這事又領回來做，帶了兩個月，想說上軌道，應該同仁可以自己執行了，這一解封，舊習慣又立刻就位。結果，在變革的路上，空有想法，沒有執行的節奏，也缺乏持續推進的執行力，更遑論溝通的共同平台和執行工具。這個結局就是我們所稱，變革成功機率僅5%的狀況。很多人都知道要變革，也同意變革可能帶來的好處。但真正走到底，以意志力和執行力完成的領導者，少之又少。</p> <p>放棄本身並不可怕，可怕的是，領導者看到新的變革管理方法，又開始想要採納。可能因為看了某本書，可能聽了某個演講，或者到了某家企業參訪。領導者被啟發，深深覺得應該要改變公司作業方式和體質，如同輪迴般，新的變革管理方式又被導入公司，同樣的故事再度發生，底下的員工承受如地震般的組織重整，積極的同仁試圖再產生新的SOP謀合新的流程，一些老的，則以靜制動等待這波浪潮再過，全體上下，都在變革，都在看這次變革可以玩多久。</p> <p>以上的描述是我在企業輔導過程中的側面觀察，這也成為我出書的動機：變革要成功，除了簡單、上手、易用的工具，OGSM的一頁表格在施行到每個企業後，由於每家公司的狀況互異，變革土壤不同，因此在真正推行時可能產生的問題，某些過不去的轉折點，甚至，使用者需要的底氣，需要一次講清楚。</p> <p>但，工具就是工具，就像一台再好的車，都需要有個偉大的駕駛員；OGSM工具，它也需要一個偉大的掌舵者。我們發現，手上的成功案例，都是來自領導者持續、不斷的推行。路絕對不只走一半，有問題就溝通，有狀況就調整，而不是亟欲跳上另一變革的列車，又讓員工急速前行，但心中惶惶不安。</p> <p><span style="font-size:28px;"><strong>變革需要底氣</strong></span></p> <p>2020年9月，有一場讓我印象十分深刻的會議。台灣某國際級科技公司總經理透過秘書和我聯繫，希望我到內湖公司跟他談一談「如何在企業中導入OGSM？」。說真的，我半信半疑，甚至一度懷疑這是詐騙電話。</p> <p>9月那天，我們團隊三個人被神情嚴肅的人員帶到一個特殊電梯，進到這外人難得一窺的總經理辦公室。我一進到大樓最高樓層後，一眼望去，看到所有灰色的文件櫃上面，滿滿擺著都是書，書的數量應該至少有200多本。其實擺放巨量書籍倒也沒什麼，只是這些書看起來……都是被翻看過的。</p> <p>經過5分鐘揣揣等待，終於見到總經理本人。袖口捲起的藍色襯衫襯著略帶風霜的面孔。</p> <p>總經理看到我後，劈頭說了一句話：「我們公司員工每個人都做到KPI了，但卻做不到我想要的績效。」</p> <p>總經理悠悠地說：「我想要一個簡單到不會讓人排斥，而且我的廠線、研發、業務都可以用的工具。我們公司KPI執行很久了，員工的KPI都達標，每年大家都領得很高興，但是，我自己從業務主管一路做上來，我很清楚，KPI的設定讓大家都領頭獎，但是對於公司的績效，貢獻實在有限。市場不等人，我需要執行力！」</p> <p>總經理從一開始即賦予信任，接著帶頭參加課程，他也配合要求寫OGSM作業，並要求各單位主管把這套方法往下展延。決心改變、耐心推動、知識學習，成為這家企業推動變革的底氣。其實我或這位總經理心裡都清楚，重點並不是推動OGSM，重點是，當老闆想要改變公司，不論那是什麼觀念或工具，代表他推得動，而且做得成，才是最重要的事。（本文摘錄整理自《OGSM變革領導》，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-OGSM-300.png" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span>OGSM變革領導：打造企業創新力，建立靈活、隨時擴充的全公司溝通系統工具</strong></p> <p>張敏敏／著</p> <p>商業周刊出版</p> <p>售價：380元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>張敏敏 </strong></p> <p>CEO高階經理人御用顧問</p> <p>現為JW智緯管理顧問有限公司總經理、商周CEO學院領導學程「變革管理」總顧問、佳音廣播電台「職場輕鬆學」主持人兼節目製作，以及臺灣大學商學研究所博士候選人。</p> <p>曾任職於多家知名外商集團，包括法商歐萊雅集團、美商雅詩蘭黛集團、日商資生堂集團等，曾任行銷主任、行銷經理、業務經理、教育訓練協理、品牌總經理等職。</p> </div></div></div>
2022/5/21 02:09未署名https://www.ithome.com.tw/article/151019
英特爾多款資料中心新產品亮相，首度公開展示最新款伺服器級CPU、GPU廬山真面目
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/xeon_2022-05-13_002713_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2月中舉行投資者大會宣布多款中央處理器與加速運算晶片的發展藍圖，英特爾在5月召開的2022年度首場全球用戶大會期間，宣布更多後續消息，並且公開展示今年即將發表的多款最新產品。</p> <p>首先是眾人引頸期盼、代號為Sapphire Rapids的下一代Xeon處理器，終於開始出貨，並且定名為第4代Xeon Scalable。第二個亮相的產品是代號為Arctic Sound-M（ATS-M）、該公司第一款資料中心等級的GPU加速卡，主打多媒體轉碼、視覺特效圖形處理、AI推論等應用。</p> <p>第三個登場的產品，是本次大會期間唯一正式發表的資料中心解決方案，那就是英特爾在2019年底併購Habana Labs之後，最新推出的第二代深度學習加速處理器，分別是用於AI訓練加速的Habana Gaudi2，以及AI推論加速的Habana Greco。最後則是去年在英特爾架構日首度揭露、代號為Ponte Vecchio的另一款資料中心GPU，他們在這次大會特別秀出搭配此晶片的OEM模組外觀，並預告將在6月初舉行的歐洲國際超級電腦大會期間，公布更多細節。</p> <h3><span style="color:#0000CD;"><strong>下一代伺服器處理器名稱確定，晶圓與產品外形首度公開</strong></span></h3> <p>在2021年4月，英特爾發表代號為Ice Lake的第三代Xeon Scalable系列處理器不過，在更前一年，外界就已經知道下一個接班的伺服器處理器平臺，其代號為Sapphire Rapids，而且屆時將引入更多新一代技術規格，像是DDR5記憶體、PCIe 5.0介面、CXL 1.1互連介面，並且實作進階矩陣延伸指令集（AMX）、資料流加速器（DSA）、加速器接合架構指令集（AIA）、類神經壓縮器（INC），此外，他們預告將推出內建HBM記憶體的Sapphire Rapids。</p> <p>到了2021年，英特爾在多場公布公司重大策略最新進展的活動當中，提及Sapphire Rapids將導入Intel 7節點製程，以及EMIB封裝，並且能透過多個運算晶磚（Compute Tiles）實現模組化設計。</p> <p>在10月底舉行的Innovation 2021大會期間，英特爾預告Sapphire Rapids在AI效能會有很大的提升，將達到第三代Xeon Scalable的30倍，受益於可延伸的軟體最佳化機制，以及內建的AMX引擎，他們希望能夠啟用更多的AI應用案例，而不需要搭配獨立GPU。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/38wrDHEQZuM" title="YouTube video player" width="560px"></iframe></div> <p>到了2022年2月的英特爾投資者大會，對於Sapphire Rapids並未揭露更多新的資訊，英特爾僅提到會在第一季推出產品，搭配Intel 7節點製程的高效能核心（P-core），而在AI各個工作流程當中，相較於Nvidia A100資料中心GPU，可提供將近2倍的效能。</p> <p>而對於內建HBM記憶體的Sapphire Rapids，英特爾也展示其運算效能成效。若以計算流體動力學這類型高效能運算的工作負載而言，相較於第三代Xeon Scalable處理器，搭配此種組態的Sapphire Rapids的系統可提供2.8倍的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Investor%20Sapphire%20Rapids-Perfrom-2022-02.jpg" style="width: 600px;" /></p> <p>此次新消息宣布的重點，在於<a href="https://www.ithome.com.tw/news/149504">公布Xeon處理器未來3年的發展藍圖</a>，像是2023年推出的Xeon處理器，代號是Emerald Rapids，2024年發表的Xeon處理器，將區分為基於P-core，以及基於高效率核心（E-core）的產品，代號分別是：Granite Rapids、Sierra Forest。</p> <p>同時，內建HBM記憶體的Sapphire Rapids，則與Ponte Vecchio並列，納入英特爾專攻高效能運算、人工智慧的超級電腦領域，在2023年各自推出下一代產品之後，英特爾預告2024將推出融合x86 CPU與Xe GPU的異質運算架構，成為單顆插槽型態的Xeon處理器。</p> <p>而在本月舉行的2022年度用戶大會Intel Vision，英特爾宣布下一代伺服器處理器平臺Sapphire Rapids，正式定名為第四代Xeon Scalable，而且進入初步出貨狀態，而其主要特色與不同應用的效能提升幅度，先前都已陸續揭露，他們這次仍繼續強調，但額外提到用於虛擬無線存取網路（vRAN）的部署，能因此獲得2倍容量的增長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision2022-Xeon%20SKU.jpg" style="width: 600px;" /></p> <p>關於這款處理器晶片的樣貌，在Intel Vision大會期間，英特爾有多位主管親自拿出實際產品，例如，執行副總裁暨資料中心與AI事業群總經理Sandra Rivera，在大會第一天的主題演講公開展出晶圓；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Web-newsroom-vision-rivera-saphire-rapids-1.jpg" style="width: 600px;" /></p> <p>企業副總裁暨雲端與企業解決方案事業群總經理Janet George，在Data Center and AI Business Insight這場演講，秀出標示第四代Xeon Scalable字樣的晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Web-2-Xeon%202022-05-13_002713%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p>關於這款新處理器的效能改善成效，英特爾在本次用戶大會期間，也公布新的比較數據，包含AI機器學習、儲存I/O、微服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%204th%20Perform-AI.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%204th%20Perform-AI2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%204th%20Perform-Storage%20io.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%204th%20Perform-Microservices.png" style="width: 300px;" /></p> <p>加速運算系統繪圖處理副總裁暨超級電腦事業群總經理Jeff McVeigh，在Intel Vision 大會第二天的Accelerated Computing & Graphics Business Insight演講，亮出內建HBM記憶體的第四代Xeon Scalable。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Web-3-Xeon-2022-05-17_102433%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%8B%B1%E7%89%B9%E7%88%BE.jpg" style="width: 600px;" /></p> <p>針對高頻寬記憶體的搭配使用方式，英特爾也在這場大會期間的其他演講，揭露屆時這款內建HBM的Xeon處理器會有3種模式，分別是：純HBM模式、快取模式、扁平模式（Flat Mode），</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%20with%20HBM-1.jpg" style="width: 195px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%20with%20HBM-2.jpg" style="width: 195px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%20with%20HBM-3.jpg" style="width: 195px;" /></p> <p>同時，他們也公布新的效能比較數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Xeon%20with%20HBM-5.png" style="width: 600px;" /></p> <h3><strong><span style="color:#0000CD;">揭露首款資料中心GPU用途，鎖定多媒體視訊、圖形處理、推論運算，跨入雲端遊戲與VDI支援</span></strong></h3> <p>在2021年8月的英特爾架構日期間，他們公布Xe GPU的多種架構，以及獨立GPU品牌Intel ARC系列，而在2022年2月的英特爾投資者大會上，他們突然宣布將推出一款資料中心等級的多媒體超級電腦GPU，代號為Arctic Sound-M，當時已開始提供樣品給客戶，預計年中出貨。英特爾表示，這將會是第一個以硬體實作AV1編碼器整合至GPU的產品，頻寬可提升30％，並強調這是目前唯一開放原始碼的多媒體解決方案。</p> <p>當時，他們公開了一段40秒動畫影片，展現產品樣貌，並且初步揭露用於4大領域的性能。以多媒體AI分析為例，可提供150 TOPS運算能力；在視訊轉碼的部分，可同時支援8個4K視訊串流，或是30個以上的1080P畫質視訊串流；對於虛擬桌面基礎架構（VDI）的承載，能執行超過60個虛擬功能（Virtualized Functions）；而在雲端遊戲（Cloud Gaming）的應用上，可支援30個以上的遊戲串流處理。</p> <p>在產品定位上，Arctic Sound-M鎖定多媒體與資料分析用途的超級電腦系統，可大幅提升多媒體轉碼品質、串流處理密度，以及雲端遊戲應用，而在未來發展藍圖規畫上，英特爾預計在2023年底、2024年初推出Arctic Sound下一代產品。</p> <p>到了5月的英特爾Vision大會，他們公開展示了Arctic Sound-M實際產品，在第一天的主題演講，英特爾執行副總裁暨加速運算系統與繪圖處理事業群總經理Raja Koduri拿出了一張標示「Intel Data Center GPU」的PCIe介面卡，而這就是Arctic Sound-M。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision 2022-ATS-M-2022-05-10_225946.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-2022-05-10_225946.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Web-4-Data%20Center%20GPU%202022-05-10_225942.jpg" style="width: 600px;" /></p> <p>為何英特爾近期積極發展資料中心GPU？在本次Vision大會上，另一位高層主管Jeff McVeigh提出更進一步說明。該公司預估超級運算營收在2026年將達到450億美元，而智慧型視覺處理雲（Intelligent Visual Cloud）相關業務將達到150億美元的規模，這當中就包含了上述Arctic Sound-M主打的四大應用：AI推論／多媒體AI分析、視訊轉碼／多媒體處理與傳遞、虛擬桌面基礎架構、雲端遊戲，他們認為，長期以來，Xeon處理器平臺已成為業界黃金標準，不過，從2020年起，這些工作負載的即時處理需求大增，像是視訊會議、線上影音與社群網站的網路串流多媒體播放，資料中心面臨了高密度、大量數位內容的快速進出，於是，多種加速運算技術開始進駐資料中心，例如建置大量GPU來處理圖形內容的傳遞、視訊的編碼、專屬的AI推論工作，為了解決這種日益複雜的異質運算軟硬體架構，打破各自為政的專屬環境隔閡，英特爾針對資料中心推出了Arctic Sound-M處理器。</p> <p>Jeff McVeigh強調這是一款伺服器級GPU產品，採用Xe-HPG的GPU架構，可廣泛處理各種工作負載，性能大致如同2月所揭露的那樣，不過，有些部分有更具體的展示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision2022-ATS-M-1.jpg" style="width: 600px;" /></p> <h4><span style="color:#B22222;"><strong>雲端遊戲</strong></span></h4> <p>在影像渲染處理上，Arctic Sound-M可同時承載40個以上的遊戲HD畫質處理（40個以上的Android執行個體運行賽車遊戲Riptide GP，再以720P解析度進行編碼，再以視訊串流方式傳送至個人端設備進行解碼與顯示）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Cloud%20Gaming-1.jpg" style="width: 600px;" /></p> <p>關於軟體支援的部分，Jeff McVeigh表示，在最底層的圖形渲染處理層當中，會透過DirectX、OpenGL、Vulkan等底層的圖形處理標準API來進行，接著，其上層會用到英特爾oneAPI中的影片處理程式庫oneVPL，負責所有已完成渲染的電腦遊戲畫面的視訊編碼工作，然後更上層的FFmpeg、WebRTC會用於網路串流服務的處理，同時，這裡也將運用Intel Bridge技術，而該技術原本是讓基於Arm架構Android平臺編譯而成的遊戲程式二進位碼，也能在Xeon處理器平臺裡面執行，如今英特爾運用上述形式將，將整個雲端遊戲堆疊與Unreal、Utility這兩家廠商的引擎，提供給服務供應商進行完整部署。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Cloud%20Gaming-2-1.jpg" style="width: 600px;" /></p> <h4><span style="color:#B22222;"><strong>多媒體內容處理與傳遞</strong></span></h4> <p>面對英特爾看好的另一個GPU商用領域：多媒體內容處理與傳遞，他們希望達到的幾個目標。</p> <p>首先，在提供最佳視覺品質的狀態下，能做到最高密度的部署，同時，還要在傳輸這些數位內容之際，能減少整體網路頻寬的耗用，降低這些資料進出資料中心的成本；第二，存取這些內容的各種端點設備，所支援的視訊壓縮格式可能不盡相同，因此，伺服器端需為此轉碼，以因應不同解析度的呈現需求，而且要降低所需的整體頻寬。</p> <p>對此，Arctic Sound-M內建了基於AI的技術，可改善畫面品質、降低使用頻寬，並能傳遞最大量的視訊串流。Jeff McVeigh表示，單張GPU加速卡可支援30個1080P畫質視訊內容的同時串流，影格率可達到每秒為60楨；若是一整臺伺服器搭配4張Arctic Sound-M，可支援120個視訊串流；再以此擴展至一整櫃、耗電量1萬瓦的組態，此時可支援1,300個視訊串流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Cloud%20Media-1.jpg" style="width: 600px;" /></p> <p>而在頻寬耗用量的抑制技術上，Arctic Sound-M所憑藉的是內建AV1壓縮格式的硬體編解碼支援，在呈現同樣的高品質畫面時，比起目前常見的H.264，能以較低的影像傳送位元率來進行；若以相同的影像傳送位元率來呈現畫面時，Arctic Sound-M搭配AV1編解碼時，可呈現相對較佳的畫質。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/nRfelgy3NsY" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>根據英特爾的估計，基於這樣的搭配，相較於使用H.264，影像散布成本可節省30％，因此，他們推論，若有一個多媒體串流服務的使用者規模為10萬人，單就低位元率帶來的效益而言，相較於採用其他廠商的GPU產品與常用的多媒體編解碼規格，若大量採用Arctic Sound-M搭配AV1，每年節省的營運費用可達到2千3百萬美元。</p> <p>而在這類應用的軟體堆疊架構當中，上述的oneVPL程式庫仍將在此扮演重要角色，負責所有影片格式的編碼與解碼，而且能夠橫跨CPU與GPU進行處理，並且整合FFmpeg、開放原始碼的多媒體資料流處理框架GStreamer，同時，也能運用英特爾主導的開放原始碼軟體堆疊Open Visual Cloud，加速用戶發展多種雲端服務，舉凡多媒體處理與傳遞、多媒體分析、沉浸式多媒體、雲端圖形處理、雲端遊戲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Cloud%20Media-3-1.jpg" style="width: 600px;" /></p> <h4><span style="color:#B22222;"><strong>虛擬化桌面基礎架構</strong></span></h4> <p>全球疫情促使企業推動遠端辦公，而各種IT應用系統的前端使用者操作，大多涉及圖形介面的呈現，為了加速遠端桌面系統與服務的部署</p> <p>而在這樣的應用場景之下，Arctic Sound-M本身可支援SR-IOV技術，而能提供硬體隔離虛擬化功能，可支援62個遠端（虛擬）桌面同時運作。關於軟體解決方案的搭配，它也支援多種虛擬桌面基礎架構，可適用於開放原始碼的KVM、VMware ESXi等兩大類型的Hypervisor，以及對應的產品，像是Citrix XenApp、VMware Horizon。</p> <p>為了加大對企業與雲服務業者VDI應用市場的推廣力道，英特爾在此釋出利多，他們宣布在虛擬化功能的使用上，用戶不需為此支付額外的軟體授權費用。Jeff McVeigh表示，這麼做可大幅縮減整體部署成本，若面對數量越多的VDI使用者、更大量的虛擬GPU執行個體，可以節省更多費用。</p> <p>英特爾提出的優惠，顯然是衝著Nvidia而來，因為該公司的GPU虛擬化應用軟體，就是如此。根據目前公告的授權計費資訊來看，有些根據同時上線人數來收取授權費，例如vPC、 RTX vWS、vApps，有些根據GPU數量來計費，像是vCS的1個授權，可允許用戶同時執行10臺虛擬機器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-VDI-1.jpg" style="width: 600px;" /></p> <p><span style="color:#B22222;"><strong>推論處理</strong></span></p> <p>關於部署在各種室內外環境、廠區的攝影機所擷取的視訊影像處理，舉凡瑕疵檢測、人流管制、電子圍籬，都可能會需要用到視訊與AI推論的運算──需進行視訊解碼、畫面尺寸調整，接下來才會進行物件分類等推論處理，此時，可使用GPU加速卡來加速執行。</p> <p>以上述應用情境而言，英特爾表示，在視訊推論上，若採用其他廠商熱設計功耗為150瓦的GPU，可同時支援100個視訊串流的解碼、調整大小、物件分類，如果是英特爾相同功耗的Arctic Sound-M能同時處理114個串流，若再搭配Xeon處理器，可支援到139個，而在AI推論的部分，Arctic Sound-M可提供150 TOPS的運算效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Inference-1.jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-Inference-2.jpg" style="width: 295px;" /></p> <p>在軟體堆疊的部分，推論處理仍基於英特爾oneAPI，底層除了oneVPL，還有深度神經網路程式庫oneDNN，而這已經整合到TensorFlow、PyTorch、OpenVINO等常用AI框架，Jeff McVeigh說，只需更動兩行程式碼，就能從CPU與GPU獲得加速執行的支援，他批評其他專屬的解決方案，總是環繞著GPU來處理，就算這麼做無法帶來最理想的可能結果，並強調英特爾著重的是整個平臺，關心的是如何達到最佳平衡、如何利用平臺上的所有資源以獲得最好的成效。</p> <p>綜合這4種用途對應的軟體生態系統，Jeff McVeigh宣布英特爾將會提供這些軟體堆疊，而且會是經過完整驗證、優先處理的容器，能在裸機環境中透過Kubernetes平臺進行調度，或是在虛擬機器裡面執行，也能運用SR-IOV虛擬化I/O處理，同時，還會提供工具，讓大家可以在單一節點當中或對整個資料中心進行相關的管理。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision2022-ATS-M-2-large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision2022-ATS-M-2-large.jpg" style="width: 600px;" /></a></p> <h4><span style="color:#B22222;"><strong>硬體架構</strong></span></h4> <p>關於Arctic Sound-M這項產品的技術，他不諱言是源於英特爾個人端獨立GPU產品ARC系列（Xe HPG架構），但已針對雲端環境的建置需求進行最佳化，可支援高密度部署與總體持有成本的考量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision 2022-Client GPU-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-Client%20GPU-1.jpg" style="width: 600px;" /></a></p> <p>在產品外形上，Arctic Sound-M將會提供兩種選擇，一種是熱設計功耗為150瓦的版本，特色在提供最大的尖峰狀態執行效能（當中嵌入1顆GPU），另一種是熱設計功耗為75瓦的版本（當中嵌入2顆GPU），鎖定最高密度的部署應用。它們都採用PCIe 4.0介面、搭配GDDR6記憶體，並透過SR-IOV的支援而內建這類硬體隔離虛擬功能；在圖形內容的運算處理元件配置上，它們內建Xe核心、Xe多媒體引擎、Xe光線追蹤引擎、Xe矩陣延伸引擎（XMX）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision 2022-ATS-M-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision%202022-ATS-M-overview.jpg" style="width: 600px;" /></a></p> <p>除了透露更多產品規格，若要將這款資料中心GPU廣泛供應到市場，系統廠商的搭配意願將是另一個關鍵。對此，英特爾也宣布Dell Technologies、 Supermicro、Cisco、HPE、浪潮、新華三（H3C）等廠商，將推出15種以上的系統設計，預計在今年第三季就能開始提供這樣的產品組合。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%8B%B1%E7%89%B9%E7%88%BE%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E7%94%A2%E5%93%81">英特爾資料中心產品</a></div><div class="field-item odd"><a href="/tags/intel%E7%AC%AC4%E4%BB%A3xeon-scalable">Intel第4代Xeon Scalable</a></div><div class="field-item even"><a href="/tags/intel-data-center-gpu">Intel Data Center GPU</a></div></div></div>
2022/5/21 00:49作者李宗翰https://www.ithome.com.tw/tech/151020
B計畫與R計畫
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在中國電視劇《如懿傳》裡面，解釋戲主角名字、也是劇名關鍵的時候，曾提到緣由，賜名之人說：「你還年輕，不懂世間完滿的美好太難得。若能如懿，便很不錯。」並說：「這世間一動不如一靜，也只有靜才會好。」但所謂的靜是靜觀其變，再採取合適的行動，而非默默承受、忍耐，公司與組織在每天營運的過程，不會總是一帆風順，如何抓住機會、妥善因應各種挑戰，轉危為安，更是家常便飯。</p> <p>在佛教的觀點當中，更是把「變」納入三大根本之苦當中，甚至有時將「變苦」稱為「壞苦」，而對於企業與組織而言，應變永遠是上上下下所有成員都會面臨的課題，於是我們總需要去思考有沒有B計畫（Plan B），小時候在電視電影看到這個詞，總納悶為何不是A計畫，但還是知道這是指備用的計畫或策略，但也沒有細究這個B到底是什麼，隔了很久之後，甚至可能是接觸IT之後，才隱隱約約知道B應該是Backup。</p> <p>當時對這概念的直接理解，會認為是做好備份，以防不時之需，後來復原（Recovery）的方式與速度逐漸受到重視，於是，為了預防資料或系統層級出差錯，Backup and Recovery成為IT應變常見的策略，許多公司與組織也會著手進行所謂的企業持續營運計畫（Business Continuity，BC），以及災難復原（Disaster Recovery，DR），當中可能會運用各種資料與系統層級的備援機制，因應各種可能的意外狀況所帶來的各種衝擊。</p> <p>以資料儲存的保護而言，我們可以運用遠端複製（Replication）、Site Recovery Manager（SRM）等方式，進行備援；若是系統層級的保護，市面上的許多企業級軟硬體產品，或多或少提供了高可用性（HA），當中提供的模式，可能是：雙主動備援（Active-Active），主動－待命（Active-Standby），或稱為主動－被動（Active-Passive），透過這些做法來避免出現單點故障（SPOF）的狀況。</p> <p>然而，企業面臨的各種資安威脅，態勢瞬息萬變。我們不只是要因應對外網路、應用系統服務可能因為人為或各種意外而導致停擺的狀況，從過往的電腦病毒大規模散播，網路釣魚、進階持續性威脅（APT），以至眾所熟知的勒索軟體攻擊，一再改寫我們看待資安風險的方式，滲透手法五花八門，後續要脅公司與組織就範的憑藉也越來越多，像是：機密資料、客戶個資、公司內部大量資料，都需要更嚴格的保護，而且，不只是要有副本可供還原，還需要做到「滴水不漏」，否則一旦出事，信譽勢必會受損，公司與組織無法祕而不宣，因為攻擊者現在也懂得透過對外放出消息來對受害者進行施壓，或是拉抬聲勢。</p> <p>基於上述服務確保與安全性的惡化，許多IT大廠與顧問公司也提出韌性（Resilience）的概念，希望能夠在原有已知的多種保護與處理方式之餘，也能在這種時時刻刻無法美好安靜的狀態之下，找出並使用相對有效的策略來因應，思考與執行這樣的「R計畫」，而非盲目追求零等待、零摩擦的復原。</p> <p>就如同現在我們真正面對的COVID-19疫情大爆發，快篩、PCR檢測，以及居家隔離的原先做法與處理流程，都已不敷所需，我們如今須把資源放在中重症的處理，要與疫情共存，有賴於更普遍的疫苗施打，以及更有效率的確診狀態認定，然而，許多防疫手段不只是從公部門來推動，每個人自身的處理方式也很重要，多數民眾必須要更了解各種自主應變的手段，這些也都在在考驗我們過往對於這類危機的各種認知，包括用藥方式、衛生習慣、應變心態，這些最好還是由我們個人自動自發做起，而非由政府強迫。</p> <p>企業韌性的培養與具備亦是如此，必須具有一定的自我應變能力，「雖不求戰，但也不懼戰」，不要害怕摸索、嘗試錯誤與取捨，也別等到外在法規遵循提出具體約束，或大量災情出現，才慌張應對，若能及早具備處理經驗，務實地體認與接受變局勢必會發生，採取各種必要的自保手段，才能減低所有人在這過程中的痛苦。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item even"><a href="/tags/%E7%81%BD%E9%9B%A3%E5%BE%A9%E5%8E%9F">災難復原</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2022/5/21 02:06作者李宗翰https://www.ithome.com.tw/voice/151017
【資安日報】2022年5月20日，日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有不少與勒索軟體攻擊有關。其中，最引起各界關注的消息，應該就屬日本大型媒體日經新聞公布遭到勒索軟體的事故。</p> <p>而在去年底揭露的Log4Shell漏洞，這幾個月陸續有駭客鎖定了存在相關漏洞的VMware遠距工作平臺發起攻擊行動，而最近北韓駭客Lazarus也利用這樣的管道攻擊南韓組織。</p> <p>駭客發動網路釣魚攻擊的手法現在可說是越來越細膩了，最近研究人員發現，有人結合了線上客服聊天機器人（Chatbot）的手法，讓受害人更難察覺異狀。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware"><span style="color: rgb(0, 0, 0);">日經新聞遭到勒索軟體攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊的對象，近期也盯上了東亞新聞媒體。日經新聞於5月19日公布，他們新加坡辦公室的一臺伺服器主機，於5月13日遭到勒索軟體攻擊，該公司當日察覺異狀後已關關此伺服器，並採取相關回應措施。該公司表示他們正在了解攻擊的情況與受害範圍，並指出遇害的伺服器有可能存放客戶的資料，但目前尚未發現資料外洩的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/34461/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定南韓組織的VMware遠距工作平臺Log4Shell漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png" style="width: 300px; float: right;" /></a>又是針對VMware遠距工作平臺的Log4Shell漏洞下手的攻擊行動。資安業者AhnLab指出，北韓駭客Lazarus於今年4月，鎖定南韓組織的遠距工作平臺VMware Horizon下手，針對尚未修補Log4Shell漏洞的Tomcat元件入侵，植入後門程式NukeSped，並在受害組織裡進行間諜工作，如截取螢幕畫面、側錄輸入內容、存取敏感檔案等，與過往NukeSped不同之處在於，研究人員看到2個新模組，可用於轉存USB儲存裝置的資料，以及提供存取視訊鏡頭的能力。</p> <p>駭客透過上述後門程式在受害組織站穩腳跟後，便進一步投放竊密軟體，偷取瀏覽器（Chrome、Firefox、IE、Naver Whale）與收信軟體（Outlook、Outlook Express、Windows Live Mail）的帳號資料，以及辦公室軟體（微軟Office、Hancom 2010）近期使用的檔案名稱。研究人員呼籲VMware Horizon用戶應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/interactive-phishing-using-chatbot-like-web-applications-to-harvest-information/"><span style="color: rgb(0, 0, 0);">駭客利用客服機器人進行網路釣魚，竊取信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png" style="width: 300px; float: right;" /></a>利用釣魚郵件發動網路釣魚攻擊的情況算是相當常見，但現在有人結合了線上客服的手法，讓受害人放下戒心。資安業者Trustwave指出，他們看到駭客假冒物流業者DHL的名義，寄送包裹無法送達的通知訊息，並要求受害者依照指示處理。一旦收信人照辦就會下載PDF檔案，該文件內含指向釣魚網站的連結，受害者點選後便會被引導到與客服聊天機器人（Chatbot）的對話框。這個機器人會表明包裹上的標籤已經遭到破壞，而無法寄送，要求重新提供公司或住家地址、姓名、電話號碼，並告知對方要刷卡支付額外的運費。收信人若是照做，信用卡的資料就有可能遭側錄。</p> <p>為了取信對方，這個客服機器人的對話內容還會包含無法寄送的包裹圖片，以及在刷卡的過程裡，還會要求輸入手機簡訊的驗證碼，讓受害者以為真有其事。由於駭客納入許多實際網站運用的機制，而很難分辨真假，研究人員提出警告，使用者若是收到相關的寄送通知，應另外開啟物流公司的網頁查詢，而非直接透過信件提供的連結回覆。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/19/rise-in-xorddos-a-deeper-look-at-the-stealthy-ddos-malware-targeting-linux-devices/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路XorDDoS近半年攻擊次數增2.5倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png" style="width: 300px; float: right;" /></a>殭屍網路鎖定Linux主機而來的情況，最近逐漸增加。微軟在5月19日提出警告，他們在最近半年裡，發現XorDDoS的攻擊行動次數較先前增加了254%。這個殭屍網路病毒主要透過SSH連線暴力破解的方式，入侵執行Linux作業系統的設備，攻擊者利用Shell指令碼來嘗試各種可能的帳密組合，一旦成功存取，就有可能將XorDDoS的ELF檔案投放到設備上執行。</p> <p>這個殭屍網路除了被用於發動DDoS攻擊，駭客還會拿來部署蠕蟲程式，以便維持受害設備的存取權限，而且還有可能投放其他惡意軟體──研究人員看到部分受感染的裝置，隨後被植入了Tsunami後門程式，以及挖礦軟體XMRig。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/chaos-ransomware-variant-sides-with-russia"><span style="color: rgb(0, 0, 0);">勒索軟體Chaos破壞受害電腦檔案，並表達力挺俄羅斯的訴求</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，許多駭客組織表態支持的對象，而最近又有勒索軟體組織藉由攻擊行動表達政治訴求。資安業者Fortinet指出，他們近期發現勒索軟體Chaos的攻擊行動，該勒索軟體在執行後會先盤點所有磁碟機上的檔案，估算檔案大小、進行分類，對於大部分的檔案，會產生20字元長度的密碼，並使用AES-256-CBC加鹽的演算法進行加密，而對於大於2,117,152位元的檔案，則是寫入隨機資料破壞，但另一部分引起研究人員注意的是，這些檔案加密後的副檔名變成了f**kazov，azov很可能指的是烏克蘭國民警衛隊的特種作戰部隊「亞速營」。</p> <p>而在加密檔案後，駭客也透過名為stop_propaganda.txt的檔案留下勒索訊息，但這個訊息與過往的攻擊事故相當不同：他們呼籲停止烏克蘭戰爭，大家不值得為像小丑一樣的烏克蘭總統澤倫斯基而死，並要求受害者閱讀特定網站了解真相。內容完全沒有提及贖金，也沒有聯絡攻擊者的管道。受害者難以復原電腦上的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/engineering-firm-parker-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">航空液壓設備製造商傳出遭勒索軟體Conti攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parker-files.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parker-files.png" style="width: 300px; float: right;" /></a>勒索軟體Conti攻擊航空產業的事故再添一樁。根據資安新聞網站Bleeping Computer的報導，專精航空液壓設備的派克漢尼汾（Parker Hannifin）於5月16日證實，他們在3月11日至14日，遭到未經授權存取內部資訊系統的攻擊行動，經過調查後於5月12日向資料可能遭到外洩的人士發出電子郵件通知，並承諾提供兩年的身分竊盜保險。</p> <p>關於攻擊者的身分來歷，駭客組織Conti於4月1日表明是他們所為，並於4月20日公布竊得的419 GB資料，該新聞網站認為，駭客有可能取得機密程度極高的設計圖，有可能讓取得相關資料的競爭對手能夠應用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E7%AB%8B%E5%8D%B3%E6%8E%A1%E5%8F%96%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E8%A1%8C%E5%8B%95%E6%9B%B4%E6%96%B0-qts-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">威聯通針對近期出現的勒索軟體DeadBolt攻擊行動提出警告</span></a></strong></h3> <p>勒索軟體針對NAS設備下手的情況，最近又有攻擊行動出現。臺廠威聯通（QNAP）於5月19日發出警告，他們的產品資安事件應變團隊（QNAP PSIRT）偵測到勒索軟體DeadBolt的攻擊行動，鎖定執行QTS作業系統4.3.6版與4.4.1版的NAS設備，根據他們的調查，主要受到影響的設備為TS-x51、TS-x53產品線的機種。他們呼籲用戶要儘可能使用最新版本的QTS作業系統，並避免將NAS曝露於網際網路。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2205.06114.pdf"><span style="color: rgb(0, 0, 0);">研究人員發現可濫用iPhone低耗電模式的漏洞</span></a></strong></h3> <p id="Zyxel">遺失的iPhone手機即使電源遭到關閉，還是能透過Find My功能定位，這與蘋果導入了名為低耗電模式（Low Power Mode，LPM）的機制有關，但有研究人員發現當中存在可被濫用的弱點，甚至有可能讓攻擊者在即將斷電的設備上執行惡意軟體。</p> <p>德國達姆施塔特工業大學（Technical University of Darmstadt）的研究人員在針對iOS 15作業系統進行研究後發現，近期iPhone手機的藍牙、NFC、超寬頻（UWB）無線通訊，即使在關機的狀態下仍然能夠運作24小時，研究人員指出，這是因為LPM是透過硬體的元件來運作，例如，Find My功能要透過Always-on Processor（AOP）晶片執行，因此，LPM很有可能遭到攻擊者濫用。</p> <p>他們透過逆向工程的方式發現，這類晶片沒有透過數位簽章的機制保護，而有可能讓惡意軟體入侵iPhone後，在LPM模式下持續運作，或是讓攻擊者察覺LPM模式相關晶片的弱點後入侵手機。研究人員認為，蘋果應該加入新的開關元件來切斷電源，來防範相關的弱點被用於攻擊行動。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/20 17:52作者周峻佑https://www.ithome.com.tw/news/151035
擴充用戶資料再出招！Amazon要用禮券換取民眾線下購物資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子商務巨頭Amazon推出一項蒐集線下用戶資料的新做法，消費者可上傳線下購物時的收據，來兌換Amazon禮券。Amazon不只自己用，還會將這些購物資料提供其他廠商。</p> <p>此方案的運作模式，是由第三方廠商提供購買指定商品的回饋金，當消費者到線下商店購買該商品，再上傳完整收據，就會以Amazon禮券的形式收到回饋金。Amazon要求的數據相當詳細，收據中必須包括商店名稱、地點、購物時間、當次購買的所有商品種類及數量，跟回饋商品有關的資訊，要包含相關商品數量、實付價格、產品名稱及描述。</p> <p>根據這項方案的使用條款，消費者提供的所有資料、從中分析出的資料以及消費者選擇的回饋商品，都歸Amazon所有。這些購物資料，也會提供給Amazon及其他「服務提供者」，但並沒有闡明這些資料是否會去識別化、具體提供的對象，或具體用途。</p> </div></div></div>
2022/5/20 15:46作者郭又華https://www.ithome.com.tw/news/151031
Fastly買下程式設計平臺Glitch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fastly.com/blog/fastly-announces-acquisition-of-glitch-a-future-of-yes-code-at-the-edge" target="_blank">美國雲端運算平臺Fastly周四（5/19）宣布已買下網路應用程式開發平臺Glitch</a>，目標是讓Glitch的各種應用可就近使用Fastly的雲端服務。</p> <p>成立於2011年的Fastly為美國紐約股市的上市公司，定位為邊緣雲端平臺，以協助開發者將其核心的雲端架構延伸到網路邊緣，以更接近使用者。Glitch的前身為Fog Creek Software，成立於2000年，為一專門打造專案管理工具的軟體公司，提供專案管理、內容管理及程式碼審核等工具，標榜開發人員只要透過瀏覽器就能打造快速的全棧網路應用程式。</p> <p>Fastly表示，該公司喜愛Glitch的原因是它具備強大且靈活的環境，讓開發者不必配置與管理伺服器，也無需管理DNS或安裝資料庫，就能夠打造全棧網路應用程式，儘管坊間也有其它方便部署網路應用程式的平臺，但都不如Glitch方便。</p> <p>事實上，Fastly今年2月便與Glitch展開合作，推出yes code環境，以讓Glitch的180萬名開發者可把於Glitch上撰寫的程式碼，直接部署在Fastly的<a href="https://www.fastly.com/products/edge-compute" target="_blank">Compute@Edge</a>無伺服器雲端運算環境中，此一合作也打開了雙方合併的契機。</p> <p>Fastly說明，在Glitch加入該公司之後，Glitch上的開發人員將能受惠於Fastly全球遞送平臺所支援的192 Tbps速度，亦能存取新一代網路應用程式防火牆（Next-Gen WAF）或圖像最佳化（Image Optimization）等功能，或是基於<a href="https://www.fastly.com/products/edge-compute" target="_blank">Compute@Edge</a>的亞毫秒冷啟動時間。未來Glitch開發者只要專注於打造優秀的程式碼，即可由Fastly接手其它的需求。</p> </div></div></div>
2022/5/20 16:21作者陳曉莉https://www.ithome.com.tw/news/151033
加拿大準備禁止境內電信業者使用華為與ZTE設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.canada.ca/en/innovation-science-economic-development/news/2022/05/policy-statement--securing-canadas-telecommunications-system.html" target="_blank">加拿大創新、科學暨經濟發展部（Innovation, Science and Economic Development Canada）19日宣布</a>，由於擔心華為與中興等供應商可能會被迫以違反加拿大法令或危害加拿大利益的方式遵守外國政府的指示，因而準備禁止該國電信服務供應商部署來自這兩家業者的4G與5G設備。</p> <p>根據該禁令，加拿大的電信服務供應商不僅不得購買來自華為與中興的5G設備與服務，也必須在2024年6月28日以前移除其既有5G網路中的相關設備或服務；不僅是5G，境內電信業者也不得向這兩家業者購買新的4G設備及服務，舊有的相關設備及服務也必須於2027年12月31日以前移除。</p> <p>其實加拿大早就在機密的3G、4G及LTE網路上移除華為與中興的產品。</p> <p>在美國率先出手封鎖華為與中興，並指控這些來自中國的品牌可能危及國家安全之後，美國也持續遊說其它的盟友祭出同樣的禁令，儘管期間相繼有不同的國家審核這兩家業者的產品，但並未有確切的證據表明業者故意於產品中植入後門的企圖，迄今它們主要擔心的是華為與中興可能在受到中國政府的要求或脅迫下，藉由所部署的設備或服務進行滲透。</p> <p>在五眼聯盟（Five Eyes）中，美國、澳洲、英國與加拿大皆已正式宣布封鎖華為與中興，至於紐西蘭雖未明文規定，但其電信業者Spark曾因打算在5G網路中採用華為設備，<a href="https://www.ithome.com.tw/news/127349" target="_blank">而受到該國安全部門的關切</a>。</p> </div></div></div>
2022/5/20 16:50作者陳曉莉https://www.ithome.com.tw/news/151034
臺灣積極發展資安職務地圖，促進產官學溝通對焦，新興資安產業版首登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為培育國內資安人才，政府持續推動相關計畫，在「教育部先進資通安全人才培育計畫」（110年－113年）中，已推動資安暑期課程（AIS3）與資安競賽，以及推動「臺灣好厲駭」等多項計畫，為了更進一步促進人才職涯與培訓，近期還有一項子計畫，是聚焦於「資安產業媒合與校友追蹤服務」，當中正發展一個名為「臺灣資安職務地圖」的項目，目的是協助此領域的求職與求才。</p> <p>過去在資安領域的職能發展上，從學校到產業存在著落差，這或許是國內資安人才規畫或培訓長期以來欠缺的部分，若能讓雙方能有更好的共識，將有利於投入資安的學子瞭解未來職涯發展，而業界也能與學術界合作一起培養人才。</p> <p>目前臺灣資安職務地圖才剛剛起步，負責這項子計畫的計畫主持人，是先前擔任輔仁大學理工學院院長，現為該校特聘教授的許見章，他表示，現階段這份資安職務地圖，首先聚焦於軟體與服務的新興資安產業。</p> <p>之所以進行這項人才規畫，主要是資安領域非常廣泛，不只是資安產業需要人才，各種產業也需要資安人才，再加上有不同性質的資安產業，以及存在各種產業的公司，使得資安人才供需呈現多元的形態。</p> <p>因此，在教育部資安人才培育計畫的脈絡之下，許見章所帶領的團隊，先聚焦新興資安公司，以此為起點，再逐步納入更多產業及政府等機構的完整人才職能地圖，以及培訓課程藍圖。</p> <h2><strong>建立產官學通用語言，盼加速資安職能的學習</strong></h2> <p>關於臺灣資安職務地圖的建立與必要性，許見章表示，目前存在著許多好機會。</p> <p>例如，現在許多政府補助業界的計畫，均要求至少編列7%資安經費，以強化資安作為，這也造就了國內許多新興資安公司應運而生，同時也讓很多資安工作職務浮現，促成新的工作機會。</p> <p>不過，該如何適才適用？在執行「資安產業媒合與校友追蹤服務」子計畫時，他們發現，市場上提出的資安職缺可說是五花八門，有很多不同樣態，例如，有些小型資安公司多未設置人力資源（HR）職務，加上許多公司是根據營運目標，或是業務需求，來列出需要的職缺及工作內容，因此，基本上，許多資安人才職缺，都是基於專案或客戶需求而設立。</p> <p>然而，這也造就了職務名稱與工作內容相當多元的現象，使得有心從事資安工作的在校生或轉職者，不易了解所要投入的工作內容，最後導致產生學非所用或大材小用的衝突。</p> <p>儘管勞動部有「標準職業分類」及「通俗職業分類」，但可能無法對應到資安職務。相較之下，我們需要參考的具體標準，可能會是美國NIST提出的SP 800-181，亦即國家網路安全教育計畫（NICE），當中已定義出完整的職務角色、任務、知識、技術及能力描述。臺灣目前雖有許多機構能研讀相關文件，但這需要內化，將其轉換，形成國內資安產業可用的完整資安人才培育地圖。</p> <p>因此，建立臺灣本地適用的資安職務地圖就很重要。許見章表示，這麼做的好處有三點：第一，定義出共通的語言、工作內容及技術能力，可利於產官學界使用相同語言，彼此溝通能夠更聚焦；第二，對於求才方及求職方而言，在工作內容與技術能力，能有一致共識；第三，學界培養人才時，也能因此更符合實務需求。</p> <p>綜觀國內資安人才需求現況，單就人力銀行列出的資安相關所有職缺，每個月都有多達1,000個以上，因此，如何定義出共通語言、工作內容，以及技術能力等，是現今資訊及資安等不同產業領域都需要的，才能加速人才媒合。</p> <h2><strong>畫分12大職務、4大基本職能，以及13大專業職能</strong></h2> <p>關於這個資安職務地圖的設計，許見章表示，主要參考的資訊，包括：美國NIST的NICE人才框架，NICE之下的Cyberseek研究專案，以及國內勞動部標準職業分類及通俗職業分類、行政院技服中心資安職能訓練發展藍圖等諸多內容，透過反向推導的方式，亦即由企業求才職缺內容，對照至上述資料而發展出來。</p> <p>以新興資安產業版的臺灣資安職務地圖而言，目前如何畫分？當中總共有12項職務。</p> <p>最基礎的層級，是5大初階職務，包含：資安檢測工程師、資安產品工程師、事件反應工程師、資安鑑識工程師、資安稽核工程師。</p> <p>更上一層是4大中階職務，包含：滲透及漏洞測試工程師、資安分析師、資安顧問師、資安產品開發工程師。</p> <p>最頂級共有3大高階職務，包含：資安工程師、資安架構師，以及資安專案經理。</p> <p>同時，每個職務都提供對應的基本職能、專業職能、管理職能、證照、工作態度與起薪。</p> <p>此外，上述這12大職務中的10項，其實與Cyberseek綜整出的10大職務相當。</p> <p>簡單來說，現階段許見章及其團隊已歸納出4大基本職能，以及13大專業職能。以基本職能而言，包括：程式開發及偵測，作業系統操作及管理，資通安全概論，以及領域知識；以專業職能而言，分成資安產品布署及管理，資安檢測，資安事件應變處理及分析，資安鑑識與處理，以及弱點掃描、入侵偵測及滲透測試，弱點分析及修補，惡意程式檢測及分析，威脅情資收集、探勘與分析，駭客攻防，通訊網路安全，網路架構安全，風險評估，以及安全系統開發。</p> <p>而在每項專業職能上，許見章也列出具體能力描述。舉例來說，以資安產品布署及管理而言，內含5項知識能力，包括：資安設備規畫建置、部署與維護，規畫設計資安整體架構，設備優化及調整，整合資安產品，雲端安全方案規畫與部署。</p> <p>因此，基於這份臺灣資安職務地圖的指引，能讓不同角度的人了解資安人才需求；對於求職者而言，可依其興趣，由職務地圖規畫學涯及生涯學習路徑；對於產業界而言，將可依其需求，由職務職能地圖來檢視對求才職位的適合性；對於學校及資安訓練機構而言，則能夠依照教育目標與核心能力養成，開設對應的職能訓練課程。</p> <p>關於目前各公司公開招募的資安人才需求，從國內外求職網站可得知熱門類型。若交叉比對臺灣資安職務地圖，會呈現何種面貌？他表示，在國內，資安工程師、資安分析師需求最高，其次是滲透及漏洞測試工程師、資安顧問師、資安檢測工程師、資安產品開發工程師，若以Cyberseek的10大職務來看，國際需求以資安工程師最強，其次為資安分析師、滲透及漏洞測試工程師。概略而言，國內與國際的需求相當。</p> <h2><strong>產業資安將是下一重點，建立各領域資安人才發展藍圖</strong></h2> <p>資安人才需求的涵蓋範圍泛，新興資安產業只是其中一環。但若論及「產業資安」，這層面的人才需求是什麼？</p> <p>許見章表示，新興資安產業與產業資安的人才需求，有很大不同，前者如前所述的12大職務，後者是以傳統資訊人才加入特定領域需求的資安技能。例如，金融產業資安人才就偏重「資安治理」、「資安防禦」及「資安監控」為主，該產業的資安人才職能，則以防護監控、事件分析、系統網路、軟體安全、數位鑑識、資安法規等為主。換言之，不同領域的資安人才需求，彼此之間會有很大的差異，未來他也會逐步發展出不同版本。</p> <p>至於產業資安領域中，臺灣對於人才的需求與培育，近期也日益熱絡。例如，金管會去年發布了金融機構資安職能地圖，這是以金融資安產業需求為出發，內容也已相當完善、具體。隨著未來更多這類型計畫的進行，將有利於在學者的準備，有志從事資安工作者的求職，以及公司的求才，許多學校及資安訓練機構在開設資安訓練課程時，也能更妥善地依據核心能力養成來設計課程。</p> <h3><strong>臺灣資安職務地圖－新興資安產業版</strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-20_142901.jpg" style="width: 600px;" /></p> <p><strong>●基本職能：</strong>BC1程式開發及偵錯，BC2作業系統操作及管理，BC3資通安全概論，BC4領域知識，BC5產品知識。</p> <p><strong>●專業職能：</strong>PC1資安產品部署及管理，PC2資安檢測，PC3資安事件應變處理（通報、追蹤）及分析，PC4資安鑑識與處理，PC5弱點掃描、入侵偵測及滲透測試，PC6弱點分析及修補，PC7惡意程式檢測及分析（含反向工程），PC8威脅情資收集探勘與分析，PC9駭客攻防，PC10通訊網路安全（含監控與分析），PC11網路架構安全（含部署），PC12風險評估，PC13安全系統開發。</p> <p><strong>●管理職能：</strong>MC1專案管理</p> <p><strong>●工作態度：</strong>AT1獨立思考與研究能力，AT2具備良好溝通協調，AT3自我學系能力，AT4團隊合作精神。</p> <p><span style="color:#696969;">資料來源：資安產業媒合與校友追蹤服務計畫主持人許見章，iThome整理，2022年5月</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961S%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96%E8%A8%B1%E8%A6%8B%E7%AB%A0_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 450px;" /></p> <blockquote><p>在教育部先進資通安全實務人才培育計畫之下，負責子計畫4「資安產學媒合與校友追蹤服務計畫」的計畫主持人許見章表示，目前臺灣資安職務地圖現在正發展新興資安產業版，以此為起點，未來還將繼續開發不同版本。這項計畫的團隊成員還有兩位計畫協同主持人，分別是來自臺灣科技大學資訊工程系的教授鮑興國、來自元智大學資訊工程學系的助理教授林家瑜，以及計畫專任助理詹雅婷。（資料照片/洪政偉攝）</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96_Cyberseek.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96_Cyberseek.jpg.jpg" style="width: 600px;" /></p> <blockquote><p>在2016年，美國國家標準暨技術研究院（NIST）領導的國家網路安全教育標準協會（NICE），推出一款名為「CyberSeek」的互動式線上工具，目的在幫助資安領域求職者提供更多就業機會，同時幫助企業們識別員工所需的技能，當中並畫分出10個核心資安職位。<br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><span style="color:#0000FF;">ENTRY-LEVEL：</span>Cybersecurity Specialist、Cyber Crime Analyst、Incident & Intrusion Analyst、IT Auditor<br /><span style="color:#0000FF;">MID-LEVEL：</span>Cybersecurity Analyst、Cybersecurity Consultant、</span>Penetration & Vulnerability Tester<br /><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;"><span style="color:#0000FF;">ADVANCED-LEVEL：</span>Cybersecurity Manager、Cybersecurity Engineer、Cybersecurity Architect</span></p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)%E9%87%91%E8%9E%8D%E6%A9%9F%E6%A7%8B%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96H.jpg" style="width: 600px;" /></p> <blockquote><p> 不同產業資安人才需求有別，近期臺灣金融產業在此方面也進行相關人才地圖的規畫。例如。在2021年6月時，金融監督管理會發布金<a href="https://www.fsc.gov.tw/websitedowndoc?file=chfsc/202107081856200.pdf&filedisplay=%E6%AA%94%E6%A1%887_%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E8%81%B7%E8%83%BD%E5%9C%B0%E5%9C%96(110%E5%B9%B47%E6%9C%88%E7%89%88).pdf">融資安人才職能地圖</a>，當中將架構類別分為監督治理、安全開發及資安維運等三項，並設計出學習地圖，供金融業者、周邊單位、培訓機構、資安人員及有意願投入金融資安領域之民眾參考。</p> </blockquote> </div></div></div>
2022/5/20 15:06作者羅正漢https://www.ithome.com.tw/news/151029
Martech雙周報第22期：Tiktok推出新分潤模式，讓品牌「外包」廣告製作及投放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞(0508~0521)</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Tiktok</span></strong></span></strong> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>創作者分潤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>精準行銷</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場分析平臺</b></span></font></p> <p><strong>Tiktok又推出新創作者分潤模式，並開放免費使用市場分析平臺</strong><br /> 因為難以植入廣告，找出短影片商業模式一直以來都是影音網站的挑戰。不過影音社群媒體Tiktok近期嘗試多種新商業模式，<a href="https://www.tiktok.com/business/en-US/blog/branded-mission-topview-cpm-top-feed">近日也推出了新創作者分潤模式「品牌任務」</a>。此模式下，由想打廣告的品牌推出「賞金任務」，要求具一定規模的創作者完成指定內容，通常跟創意行銷該品牌產品有關。創作者投稿後，可以領取一定現金報酬。接著，演算法會將表現最佳的幾部影片，作為贊助商廣告推薦給更多使用者。</p> <p>也就是說，與其自行製作廣告並投放到Tiktok平臺上，現在品牌可以出錢讓眾多創作者製作類似於原生廣告的內容，並由演算法挑出已知表現最佳的投稿，作為廣告推播。對品牌而言，等於只要想好剛開始的指定內容，之後從廣告製作、精準分眾分析到廣告投放，都外包給Tiktok平臺及創作者。對Tiktok創作者而言，這也是找業配廠商或自行發行周邊商品以外，在平臺上的另一種賺錢管道。<br /> 目前品牌任務獎金是由品牌制定固定價格，還沒有引入更複雜的計算機制，例如根據投稿影片表現（如點擊數、轉換率等指標）來分潤。</p> <p><a href="https://www.tiktok.com/business/en-AU/insights?tt4b_lang_redirect=1">Tiktok也推出市場分析平臺Tiktok Insights</a>，可以根據觀眾年齡層、分析目的（行銷目的、創作參考、人口調查）、產業、特殊節日及年份，交叉搜尋Tiktok上的相關市場資料。不過，目前搜尋結果並不是根據篩選條件即時分析生成的報告，而是從1,182筆分析報告中搜尋出與篩選條件相符的項目呈現，因此常常會出現沒有符合篩選條件結果的情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tiktok%20insights(1).png" style="width: 600px;" /></p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>RTB</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者追蹤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者隱私</b></span></font></p> <p><strong>愛爾蘭研究：即時競價廣告機制每天暴露歐美使用者個資近5千億次</strong></p> <p>愛爾蘭人權委員會（ICCL）<a href="https://techcrunch.com/2022/05/16/iccl-rtb-report-google-gdpr/">一份報告</a>指出，即時競價廣告（RTB）系統追蹤並散布歐美用戶個資每天暴露近5千億次，其中美國占2,940億次，歐洲1,970億次，每年則高達178兆次。報告分析，因為美國網路隱私權政策不如歐洲嚴格，所以一名美國用戶的網路活動及實體位置等個資，暴露次數比歐洲用戶高出57%。RTB 2021年在歐美產值超過1,117億美金。</p> <p>報告直接點名Google和Microsoft兩家RTB巨頭，並指出Google除了將個資發送給美國4,698家和歐洲1,058家數據商之外，更會給俄羅斯和中國的數據商，且「無法得知這些個資用途」。報告中寫道，「RTB數據被散播後，就沒辦法限制它們的用途，從數據商用來辨認Black Lives Matter社運人士，到美國政府用來進行無令狀電話追蹤，都發生過。」</p> <p>ICCL表示，研究資料還不包括Facebook和Amazon的RTB數據，因此實際數字可能遠高於報告中數字，並稱RTB為「有史以來最大的數據侵害」。</p> <p><a href="https://www.iccl.ie/wp-content/uploads/2022/05/Mass-data-breach-of-Europe-and-US-data-1.pdf">Google發出聲明</a>，表示自家RTB並不會分享任何可以辨認出個人身分的資訊，也不會透過分析敏感個資來投放廣告。Microsoft則拒絕做出相關評論。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>iOS ATT</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Google Ads</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>使用者追蹤</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>廣告轉換追蹤</b></span></font></p> <p><strong>Google Ads在iOS裝置導入去識別化使用者行為紀錄技術，提供廣告成效追蹤</strong></p> <p>在iOS 14.5的App追蹤透明度（ATT）隱私政策啟用後，廣告商必須經過使用者明確同意才能蒐集他們在App上行為及其他個資，讓廣告轉換率難以評估。</p> <p>為了提供廣告商更準確的廣告轉換率追蹤，<a href="https://support.google.com/google-ads/answer/12119136?hl=en&ref_topic=3121765">Google Ads推出了「On-device conversion measurement」方案</a>，在去識別化個別使用者身分後，將使用者安裝App的管道、與廣告互動情形以及App上行為提供給廣告商。如此，廣告商就會有更多資料能分析廣告成效，且使用者個資也受到保護。</p> <p>此方案是透過App自身的使用者登入資料來記錄個人行為，而非蘋果帳戶或iOS上的IDFA，某種程度上繞過了ATT政策的限制。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CTV</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Youtube</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>廣告頻率上限</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>購物直播</b></span></font></p> <p><strong>Youtube推出廣告頻率管理功能及購物直播新功能</strong></p> <p>當使用者看同一個廣告太多次，容易產生反感。因此，Youtube為聯網電視（CTV）廣告加入頻率管理功能，廣告商能以一周為單位，限制單一使用者看到同一個廣告的次數。Youtube表示，這不僅能讓廣告成效更好，也能替廣告商省下一筆廣告預算。</p> <p>Youtube也出購物直播的兩個新功能。今年稍晚，兩個頻道將可以共同主持購物直播，讓兩方頻道的觀眾匯流。另外，購物直播主也將能重新導向觀眾，將他們送到特定品牌的頻道。如此一來，品牌不僅能間接接觸直播主的受眾，還能直接呈現自己頻道的內容給他們看。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong></p> <p>1. <a href="https://www.socialmediatoday.com/news/instagrams-testing-a-new-stories-ui-which-could-have-big-implications-for/624034/">Instagram在測試隱藏限時動態功能，現在只會看到最近期的前三個限動，這樣恐怕會讓品牌行銷內容的能見度大幅下降</a></p> <p>2. <a href="https://www.youtube.com/watch?v=NOXK4EVFmJY">蘋果推出一個針對數據交易商的宣傳廣告</a>，控訴他們如何追蹤、販售並利用使用者數據營利。這是他們<a href="https://www.youtube.com/watch?v=8w4qPUSG17Y&t=1s">Privacy on iPhone系列廣告的第二作</a>。</p> <p>3. <a href="https://www.klaviyo.com/blog/cookie-consent">為了引起大家對第一手資料行銷的注意，一家簡訊及Email行銷公司發起付錢讓人拒絕網站Cookie活動，最高獎金1,000美元</a>。</p> <p> </p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 15:07作者郭又華https://www.ithome.com.tw/news/151030
美國兩黨議員提出數位廣告競爭法令，阻止大型科技業者的廣告壟斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國共和黨議員Mike Lee與Ted Cruz ，以及美國民主黨議員Amy Klobuchar與Richard Blumenthal，<a href="https://www.lee.senate.gov/services/files/7384B096-04C3-4A3A-9796-80D22483026F" target="_blank">本周共同提出了《數位廣告競爭與透明法案》（Competition and Transparency in Digital Advertising Act，CTDA）</a>，企圖消除大型平臺於廣告市場上操弄廣告競價並壟斷市場的行為，以恢復及保護數位廣告市場的競爭，可望直接衝擊Google與Meta，也被視為是美國對於控制大型科技業者權力所提出的法案中，最具侵略性的其中一個。</p> <p>當使用者造訪一個網站或開啟一個程式時，便是由即時競價（Real-Time Auction）來決定使用者所能看到的廣告，此一競價行為大概是在幾分之一秒內就會完成，每天可能會發生數十億次，出版平臺使用的是供應端的代理人，廣告主則是透過需求端的代理人來媒合雙方的需求。參議員引用了Google員工的形容，指出這就如同高盛或花旗銀行擁有了紐約證券交易所。</p> <p>這是因為Google和臉書在廣告科技領域中的每一個角色上，幾乎都占了主導地位，不管是購買、銷售或是媒合，例如有9成的出版平臺使用了Google Ad Manager，且Google Ad Manager在2018年第三季時占所有陳列式廣告市場規模的75%，且在利益衝突下採取對自己有利的手段。</p> <p>因此，CTDA將禁止處理逾200億美元數位廣告交易的大型業者於數位廣告生態體系中擁有超過一個角色，例如廣告交易平臺便不能擁有供應端的平臺或需求端平臺；供應端平臺就不能同時擁有需求端平臺，反之亦然；數位廣告上的買家與賣家不能擁有需求端平臺與供應端平臺。</p> <p>另也規定處理逾50億美元數位廣告交易的中大型業者，必須遵守多項義務來維持市場競爭，包括必須以客戶的最大利益作為出發點，必須向客戶提供可驗證上述的透明化流程與報告，若同時操作兩端平臺則必須確實隔離以避免遭到濫用或產生利益衝突，以及公平對待所有客戶。</p> <p>倘若此一法案成真，那麼便有可能迫使Google及臉書拆分其廣告業務，也可能會影響Amazon及蘋果投資第三方廣告平臺業務的能力。</p> </div></div></div>
2022/5/20 16:05作者陳曉莉https://www.ithome.com.tw/news/151032
以英特爾Habana Gaudi為基礎的超級電腦上線測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以英特爾Habana Gaudi處理器為基礎的超級電腦Voyager，<a href="https://ucsdnews.ucsd.edu/pressrelease/voyager-supercomputer-enters-testbed-phase" target="_blank">本周在美國加州大學聖地牙哥分校啟用測試</a>。</p> <p><a href="https://habana.ai/press/habana-ai-accelerators-chosen-by-the-san-diego-supercomputer-center-to-power-voyager-research-program/" target="_blank">英特爾旗下開發深度學習加速器的子公司Habana Labs去年4月宣布</a>其人工智慧（AI）訓練及推論加速器，獲加州大學聖地牙哥分校（UC San Diego）超級電腦中心選用於其名為Voyager的超級電腦。在比原預定日期晚半年後於近日進入測試階段。</p> <p class="rtecenter"><img alt="" src="https://habana.ai/wp-content/uploads/2021/04/Server-Rack-Abstract-optimized-hp2.jpg" style="width: 570px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Habana Labs</span></span></p> <p>Voyager是獲得美國科學基金會（National Science Foundation，NSF）資金設於UC San Diego的超級電腦。Voyager將用於高能物理、生物、基因、材料科學、大氣及天文學領域相關的AI模型開發、訓練和測試。</p> <p>在規格上它由42節點的Supermicro X12 Gaudi AI訓練系統組成，內含336個Intel Gaudi加速晶片，提升AI訓練處理的規模，並搭配16顆Goya加速晶片來強化AI推論模型的處理效能。每個Gaudi處理器內建10個支援RoCE v2的100Gigabit Ethernet傳輸埠，而42座訓練系統由4道400Gpbs網路連線串聯到Arista交換器。</p> <p>UC San Diego研究人員並表示，在Voyager上目前已經透過Jupyter Notebook on Gaudi執行應用程式，以及TensorFlow和PyTorch框架。</p> <p><a href="https://www.ithome.com.tw/voice/150901" target="_blank">英特爾也在上周的Intel Vision 2022大會上宣布</a>AI訓練處理器Habana Gaudi2，以及AI推論處理器Habana Greco。Habana Gaudi 2為7奈米製程，提供24核 Tensor處理器核心，內建96GB頻寬高達2.45TB/s的HBM2E高頻寬記憶體。Greco則為Goya的繼任產品，提供LPDDR5記憶體和128 MB on-chip記憶體。</p> </div></div></div>
2022/5/20 14:19作者林妍溱https://www.ithome.com.tw/news/151028
微軟緊急修補5月Patch Tuesday所造成的認證失敗問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟於5月10日的Patch Tuesday釋出安全更新以修補74個安全漏洞之後，相繼有用戶抱怨在部署該更新之後，許多服務的認證機制都故障了，不過，<a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-10-20H2" target="_blank">微軟已在本周四（5/19）釋出了緊急修補程式</a>，只是需要IT管理人員手動安裝。</p> <p>根據微軟的調查，只要是部署在組織網域控制站（Domain Controller）上的安全更新，就可能在許多服務的伺服器或客戶端遭遇認證失敗的問題，主要是網域控制站在比對憑證與機器帳號時出了差錯，受影響的服務涵蓋網路原則伺服器（Network Policy Server）、路由及遠端存取服務（Routing and Remote access Service，RRAS）、Radius、可延伸的驗證通訊協定（Extensible Authentication Protocol，EAP）及受保護的延伸認證協定（Protected Extensible Authentication Protocol，PEAP）等。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/en-us/windows/release-health/status-windows-10-20H2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Patch%20Tuesday-bug.png" style="width: 600px;" /></a></p> <p>上述問題只影響將5月更新部署於作為網域控制站的伺服器上，而未波及客戶端的Windows裝置或非網域控制站的Windows Server。</p> <p>當時微軟所建議的緩解措施是手動於Active Directory上比對憑證與機器帳號，而周四則直接修補了這個臭蟲。</p> <p>微軟鼓勵於組織環境中安裝網域控制站的IT管理人員移除之前的緩解措施並部署此一更新，但相關更新並不會自動部署，而是必須手動將更新植入Windows Server Update Services（WSUS）與Endpoint Configuration Manager。</p> </div></div></div>
2022/5/20 12:43作者陳曉莉https://www.ithome.com.tw/news/151025
美司法部正式承諾不控告從事安全研究的白帽駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act" target="_blank">美國司法部昨日（19）宣布修改政策</a>，將不會依據美國電腦犯罪相關法令控告進行「善意」安全研究的研究人員。但倡議團體則認為遠遠不夠。</p> <p>這是司法部首次明確表達善意安全研究不應及不會被控告。1986年實施的《電腦詐欺與濫用法案》（Computer Fraud and Abuse Act，CFAA）是《綜合犯罪控制法》（Comprehensive Crime Control Act, 1984）修正法案，1986年實施，禁止未經授權或逾越授權存取美國政府、各類企業及個人的電腦，也是美國司法機關定罪的主要法源之一。</p> <p>隨著資訊產業網路犯罪及漏洞攻擊頻仍，白帽駭客成為促進軟體安全的重要推手。許多軟體大廠透過免責保護傘計畫，使安全研究人員免於被控告，但是因漏洞研究而被廠商告上法院的例子屢見不鮮。<a href="https://www.ithome.com.tw/news/147240" target="_blank">一群代表22國網路安全專家的團體去年聯合倡議修改過時法令</a>，呼籲讓安全研究人員免於官司威脅。</p> <p><a href="https://techcrunch.com/2021/06/03/supreme-court-hacking-cfaa-ruling/" target="_blank">去年美國最高法院首次介入</a>審查法律上所謂「非授權」存取電腦的行為，並大幅對一些行為除罪，像是違反約會網站的服務條款美化個人資料、在招聘／租賃及房仲網站建假帳號、在社交平臺使用假名以繞過封鎖、在工作時查詢運動賽事得分、在工作時付個人帳單、或是違反服務條款規定的存取限制等。</p> <p>司法部副部長Lisa Monaco指出，司法部從來都沒有意思要將善意的電腦安全當作提出刑事起訴，「今日的宣布將可對排除漏洞、創造公益的善意電腦研究人員說明司法部的立場。」</p> <p>新政策將明白確認，一些法院及大眾擔心可能觸犯CFAA的行為將不會被起訴。新政策著重在「完全無存取授權」或「僅有部分存取授權」卻存取授權以外資訊的行為。司法部指出上面列舉的「非授權存取」行為不構成聯邦刑事起訴的行為。但司法部仍然強調，宣稱從事安全研究並非免死金牌，例如找到裝置漏洞卻向裝置持有者勒索的「研究」就無法稱為善意。</p> <p>長期爭取漏洞安全研究法律保障的組織則認為稍嫌不足。<a href="https://www.eff.org/deeplinks/2022/05/dojs-new-cfaa-policy-good-start-does-not-go-far-enough-protect-security" target="_blank">電子疆域基金會指出</a>，司法部透過這次新政策肯定安全研究對強化社會媒體應用程式、金融系統及其他大眾日常使用的眾多數位系統的重要性，但是這次的新政策並未觸及一些重要議題，像是說明「逾越權限的存取」包括突破技術限制，而這是電腦安全研究或記者等工作的必須。因此新政策只限制了控告範圍，但是並不能保障決心追殺到底的法律威脅，以及CFAA超過比例原則的刑責。</p> <p>EFF甚至認為，新政策不但未提供釐清，反而因為明文列出無罪的行為，而造成更多不在範圍內的行為遭到司法控訴。</p> <p><a href="https://www.zdnet.com/article/us-justice-department-says-it-wont-prosecute-white-hat-hackers-under-the-cfaa/" target="_blank">ZDNet分析</a>，司法部所列的免控告行為僅僅屬於逾越服務條款的行為，和電腦安全研究相去甚遠。<a href="https://techcrunch.com/2022/05/19/justice-department-good-fatih-hackers-cfaa/" target="_blank">Techcrunch則說</a>，這新政策並非法律修訂，只代表司法部今天的看法，未來也可能改變。</p> </div></div></div>
2022/5/20 12:52作者林妍溱https://www.ithome.com.tw/news/151026
AI趨勢周報第190期：600多項任務全都會！DeepMind發表AI通才工具Gato
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0512～0518)</span></h3> <p>DeepMind發表首個AI通才工具Gato，從玩Atari遊戲、用機械手臂堆積木、聊天，再到3D環境導航等600多項任務都難不倒。在最近落幕的I/O大會中，Google大秀AI肌肉，不只Google搜尋、語言應用由AI驅動，就連AR體驗也是。比如語言部分，Google用新一代Transformer模型打造3個NLG小應用，翻譯部分更首次新增了24種零樣本學習語言。至於AR，Google還在地圖提供更逼真的城市導覽。這段期間，Google還發布不少AI服務，像是智慧工廠解決方案、最高效能可達9 exaflops的雲端ML叢集。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gato </span></strong></span></p> <p><span style="font-size: 22px;"><strong>600多項任務全都會！DeepMind發表AI通才工具Gato</strong></span></p> <p>DeepMind揭露一套AI通才代理Gato，可執行超過600種任務，從玩雅達利遊戲、為圖片加圖說、聊天，再到在3D環境中導航、用真實機械手臂堆積木，都包括在內。</p> <p>Gato是一個多模態、多任務且多形體（Multi-embodiment）的代理，也是一套單一類神經序列Transformer模型。這麼做的好處是，開發者不必為不同領域的任務模型，特別手動打造一套對應的政策模型，只靠一套Transformer即可。這是因為，序列模型可處理任何平面序列型資料，進而加強訓練資料的多元性和數量。Gato參數量達12億個，訓練資料類型非常廣泛，包括影像、文字資料、按鈕點擊、關節動作和一系列情境動作。<a href="https://www.deepmind.com/publications/a-generalist-agent">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/627d13d743dc353a184da8d4_data_sequences.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">搜尋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>盤點Google I/O三大AI亮點，更多AI搜尋、新語言模型和AR服務</strong></span></p> <p>Google日前展開I/O開發者大會，揭開今年科技巨頭技術大會的序幕。在這次大會上，Google執行長Sundar Pichai一口氣宣布多項AI服務更新，首先是搜尋，上個月Google搜尋App推出多重搜尋功能，使用者能透過影像辨識和文字輸入，來查找物件資訊，這次則新添了Near Me功能，使用者能用來查找附近是否也有搜尋中的產品或店家。Google表示，接下來他們將以多模態模型MUM來優化該搜尋服務。</p> <p>同時，Sundar Pichai也揭露NLP模型LaMDA新進展，首次展示了以LaMDA 2為基礎的新應用，包括「想像」、「列清單」、「聊聊」，其中，想像能根據使用者提出的關鍵字或短語，產出有邏輯且具體的敘述，列清單則讓使用者提出一個目標，LaMDA 2再將這個目標拆解為幾個小任務，聊聊則是更自然地與使用者進行開放式對話。為蒐集更多AI訓練資料，Google也推出一款AI系統回饋工具<a href="https://aitestkitchen.withgoogle.com/">AI Test Kitchen</a>，釋出給特定少數人來試用LaMDA 2模型的AI能力，並給予回饋。</p> <p>I/O大會另一亮點是AR進展。首先，Google釋出AR開發套件ARCore的地理空間API，讓開發者更容易打造AR引導的3D街景應用，像是場所指引和類似寶可夢的應用。這個AR引導採用了Google的世界模型，運用不少ML技術從街景影響抽取數兆個3D點，再於1秒內計算出手機裝置的位置和方向。此外，Google還展示了場景探索AR購物體驗新功能，使用者將手機對準商品，螢幕會就顯示虛擬說明。於此同時，Google地圖也新增了3D沉浸式導覽，猶如更逼真的虛擬城市導覽。<a href="https://io.google/2022/">（詳全文）</a></p> <p><img alt="" src="https://aitestkitchen.withgoogle.com/assets/videos/talk-about-it.mp4" /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-05-20%20112747.png" /><img alt="" src="https://aitestkitchen.withgoogle.com/assets/videos/talk-about-it.mp4" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML叢集 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <p><span style="font-size:22px;"><strong>單一叢集可提供9百億億次浮點運算！新一代Cloud TPU v4晶片ML叢集問世</strong></span></p> <p>Google推出Cloud TPU v4機器學習叢集預覽版，該叢集採用去年I/O大會上發表的ML晶片Cloud TPU v4，可大幅縮短模型運算時間，減少用戶支出。Cloud TPU v4 Pods提供的高運算力，可讓ML叢集支援複雜模型，像是大規模自然語言處理、推薦系統和電腦視覺演算法。</p> <p>該叢集擁有高達9 exaflops最大累積效能，Google認為，Cloud TPU v4 Pods叢集的累積運算能力來算，是目前已公開的單一機器學習叢集中最高者。另外，Cloud TPU v4晶片非常節能，每一瓦可運算的最大運算峰值是TPU v3的3倍，藉由使用節能的專用硬體、高效能資料中心和乾淨能源，可減少能源使用和碳排放。<a href="https://cloud.google.com/blog/products/compute/google-unveils-worlds-largest-publicly-available-ml-cluster">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SAS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床試驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>SAS推出3大垂直產業解決方案，鎖定醫療、能源和廣告業</strong></span></p> <p>數據分析大廠SAS日前宣布推出3大解決方案，包括臨床試驗招募模擬雲、電網守護AI、廣告服務平臺360 Match，延續雲端優先策略。其中，臨床試驗招募模擬雲可讓藥廠和研究單位用來模擬臨床試驗的試驗者招募狀況，進而調整招募策略，縮短醫藥上市時間。</p> <p>電網守護（Grid Guardian）AI則是一款利用IoT裝置、架空配電設備無線電頻率和機器學習的解決方案。比如，透過在垃圾車上安裝IoT感測器，隨著垃圾車定點移動，感測器可收集定點電線竿上架空配電設備無線電頻率，利用AI邊緣運算來預測是否會發生故障。360 Match是一套建於雲端、針對第一方廣告商的服務平臺，整合行銷界常見的顧客數據平臺（CDP）、行銷策略計畫和顧客旅程最佳化等技術，來串起整體顧客參與流程。<a href="https://www.sas.com/en_us/news/press-releases/2022/may/cloud-first-portfolio-soars-customer-industry-solutions-and-stategic-partners.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧工廠 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開箱即用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>進攻製造業！Google智慧工廠解決方案強化資料應用</strong></span></p> <p>Google日前推出智慧工廠解決方案，要讓工廠生產更數位化。該方案有2大元件，包括收集資料的製造資料引擎、製造連結，其中，製造資料引擎內建資料規範和上下文功能，提供通用資料模型，以及針對工廠最佳化的資料湖。而製造連結是一個工廠邊緣平臺，可連接超過250種機器協定，用戶可快速連接大多數設備。</p> <p>在製造資料引擎上，還有一系列資料分析和AI用例，用戶可開箱即用存取儀表板和資料應用，根據KPI或其他需求進行分析，以探索工廠可改進的部分。製造資料引擎中的資料，也能夠用於預測性維護上，系統內建的AI模型還能在數周內完成部署，提供高預測準確性，並且在之後不斷改進和完善模型。<a href="https://cloud.google.com/blog/topics/manufacturing/new-google-cloud-manufacturing-solutions">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_manufacturing_solutions.max-1100x1100.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零樣本學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google翻譯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器翻譯 </span></strong></span></p> <p><span style="font-size:22px;"><strong>首波零樣本學習語言上線！Google翻譯新增24種語言</strong></span></p> <p>Google預告自家翻譯服務將新增24種語言支援，總支援語言將來到133種。特別的是，這24種語言是首批採用零樣本機器翻譯的成品。採用零樣本學習的原因是，這次新增的語言相對冷門，凸顯了不少挑戰，因為它們缺乏資料，只能從有限的單語文本學習。</p> <p>為解決問題，Google先以Transformer架構，訓練一套1,000種語言的半監督LangID模型，接著將這個模型，應用在由CLD3語言辨識模型過濾的資料集，再訓練它來辨識類似的語言叢集。同時，Google以權衡文字重要性的開源TF-IIF專案來過濾該資料集，刪除高資源語言句子、移除異常，最後得到支援上千種語言的單語文本資料集。之後，Google搭配所有豐富資源語言的平行翻譯文本，來訓練零樣本學習模型，最終得到一個支援1,138種語言的大型翻譯模型。該模型沒看過任何樣本就能翻譯成其它語言，不過，團隊將繼續優化。<a href="https://blog.google/products/translate/24-new-languages/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Workspace </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google強化Workspace的AI功能，更要整合到SAP雲端產品</strong></span></p> <p>Google在今年I/O大會上宣布擴大Workspace的AI功能，還要擴大SAP合作關係，將Google Workspace整合至SAP S/4HANA Cloud，讓Google文件、試算表帶到SAP的雲端服務。</p> <p>Workspace新增的AI功能包括改善Google Meet人像明亮度和打光，以及會議自動紀錄、摘要功能等。同時，Google也將Workspace原生整合至SAP S/4HANA Cloud，改善企業的工作體驗。雙方計畫在今年底，將初步功能以標準功能的形式，在SAP S/4HANA Cloud提供，這項功能將建置在SAP Business Technology Platform上，以提供從端到端建立緊密的整合及一致的使用體驗。<a href="https://news.sap.com/2022/05/google-cloud-and-sap-native-integration-google-workspace-sap-s4hana-cloud/">（詳全文）</a></p> <p>圖片來源／DeepMind、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google用6個ML模型分析100個訊號，讓你不必再發聲喚醒助理</strong></p> <p><strong>2. 南機夜市出現免費麵包機，用AI認臉每人可領2次</strong></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 00:19作者王若樸https://www.ithome.com.tw/news/151002
【結合讀取排序最佳化技術，改善磁帶離散存取的先天弱點】磁帶存取加速技術的擴展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1078-ji_shu_zhuan_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM、Spectra Logic</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不同於刻版印象，磁帶的速度其實並不慢，單論持續循序傳輸速率來說，磁帶其實還勝過機械式硬碟一籌。問題在於，一旦遇上隨機、離散的存取應用，磁帶的存取速度便會大幅降低，大量時間將耗費在反覆的讀寫頭重新定位上。</p> <p>而從IBM 3592系列磁帶應用的「建議存取順序（RAO）」技術，正是為了解決磁帶離散存取效能的問題而誕生，透過重新排列分散資料的存取順序，可以大幅減少讀寫頭重新定位的時間，進而顯著改善磁帶存取分散資料的效率。</p> <p>現在，這項技術也被應用到使用最普遍的LTO磁帶上，最新一代的LTO-9磁帶，引進了建議存取順序（RAO）技術的開放版本：開放建議存取順序（oRAO）技術，讓當前兩大主流磁帶規格——LTO與IBM 3592，都具備同樣的離散檔案存取順序最佳化功能，對於大量依靠磁帶的備份與歸檔應用來說，都能帶來相當大的助益，可有效提高資料還原或歸檔檢索作業速度。</p> <p><span style="font-size:28px;"><strong>磁帶存取效能的優勢與劣勢</strong></span></p> <p>磁帶存取離散資料效能低落的問題，源自磁帶的先天架構。</p> <p>磁帶是以條捲型式，收納在卡匣內轉軸上的帶狀磁性儲存媒體，透過轉軸帶動磁帶，來與讀寫頭的磁頭接觸，利用磁頭以線性或螺旋的方式掃描磁帶，在磁帶的磁軌上記錄與讀取資料。</p> <p>由於磁帶是一條連續的帶狀磁性物質，因然也讓磁帶的存取作業具備循序的特性——隨著磁帶的捲動，讓磁頭依序地在磁帶上讀取與寫入資料，而這樣的特性，也給磁帶存取效能帶來制約。</p> <p><span style="color:#B22222;"><strong>磁帶的優勢</strong></span></p> <p>由於磁帶的存取機制，先天上便是循序性的，因此最適合磁帶發揮的場合，便是連續資料的循序寫入與讀取，也就是每一筆資料的存取順序與存取位置，是依序且連續的，磁帶機只需簡單地順向捲動磁帶，就能讓磁頭持續地存取資料。在這種連續循序存取情境下，當前的主流磁帶規格，效能並不遜於機械式硬碟，甚至更勝一籌。</p> <p>舉例來說，當前機械式硬碟的循序持續傳輸速率，最高大約在250MB/s～300MB/s之間，大部分機械式硬碟產品的持續傳輸速率都在200MB/s上下，而兩大主流磁帶規格——LTO與IBM 3592，早在7、8年以前便已超過了這個速度。</p> <p>以LTO來說，LTO-7未壓縮傳輸率為300MB/s，LTO-8提高到360MB/s，到了LTO-9，更達到400MB/s。</p> <p>在IBM 3592系列方面，2014年推出的第5代機型TS1150，達到360MB/s，最新第6代機型TS1160，達到400MB/s。</p> <p>雖然說前述磁帶傳輸速率，都是官方規格數字，與實際表現存在一些落差。以磁帶匣供應商Fujifilm簡報中提供的數據為例，以寫入1GB檔案為基準時，LTO-8的實際寫入速率只達到216MB/s，IBM 3592的實際寫入速率則為280MB/s，相當於官方規格數字（360MB/s與400MB/s）的6、7成。</p> <p>但另一方面，機械式硬碟的實際傳輸速度，其實也達不到規格數字（只有在存取碟片最外圈資料時，才能達到接近規格數字的最大傳輸率），前面同一份Fujifilm的簡報也指出，以寫入1GB檔案為基準時，最大傳輸速率規格216 MB/s的硬碟，實際寫入速率只有84MB/s，只達到規格數字的4成。</p> <p>所以，無論就規格數字還是實際表現來說，較新款的磁帶機的連續循序存取速度，都已超過多數機械式硬碟產品。</p> <p><span style="color:#B22222;"><strong>磁帶的劣勢</strong></span></p> <p>當磁帶的循序存取架構，遇上了離散或隨機存取情境時，便會出現大麻煩。</p> <p>在這種情境下，所要存取的每一筆資料，是分散位於磁帶上不同位置，且存取順序也不是依序的，因而磁帶機必須不斷將磁帶捲動到不同位置，重新定位磁頭，才能分別存取不同位置上的資料，因而必須在捲動磁帶、重新定位磁頭等作業上，耗費大量機械動作的時間，也造成存取效率的大幅降低。</p> <p><span style="color:#B22222;"><strong>利於寫入、不利於讀取</strong></span></p> <p>在當前的企業IT環境中，磁帶最主要的應用場合，是資料備份與長期歸檔。而磁帶長於循序、連續存取，短於離散、隨機存取的特性，反映到實際應用環境時，便會形成有利於備份、歸檔寫入作業，不利於還原與檢索讀取作業。</p> <p>備份或歸檔資料的寫入，大都是將連續的資料區塊，有序、持續的寫入磁帶，正好對應磁帶的循序記錄特性，可以發揮較高的傳輸效能。</p> <p>然而當要從備份或歸檔的磁帶中，還原或檢索資料時，很少會有需要把整卷磁帶資料倒出來的連續區塊讀取情境，更常見的，是對於特定歸檔資料的檢索，或是還原某些個別的備份檔案，這類讀取作業，往往就不是循序的，而是隨機、離散性的。</p> <p>當要從磁帶中還原與檢索特定的個別資料時，這些資料往往是分散存放在磁帶上不同位置，將會導致磁帶機必須不斷地來回捲動磁帶，以便讓磁頭讀取不同的磁帶位置，更進一步，這些資料可能位於彼此相距很遠的磁帶區段，當磁頭讀取上一筆資料後，接著磁帶必須捲動很長的距離，才能讓磁頭讀取下一個檔案，如此一來，也導致磁帶讀取效率的嚴重低落，大量時間都耗費在搜尋資料與磁帶頭重新定位上。</p> <p><span style="font-size:28px;"><strong>解決離散讀取效率低落的老問題</strong></span></p> <p>建議存取順序（RAO）問世，正是為了解決磁帶離散讀取效率低落老問題。</p> <p>RAO這項技術，最初是由IBM 3592磁帶家族的第4代產品TS1140率先引進，目的是透過讀取排序的最佳化，來改善磁帶讀取離散分布檔案的效率。</p> <p>如同前面提到的，磁帶機同時讀取磁帶上多個離散分布的檔案時，將耗費大量時間重新定位磁頭，導致整體效率的嚴重低落，所以要改善離散讀取多個檔案的效率，著眼點便在於如何減少磁頭重新定位的時間。</p> <p>而RAO技術的基本概念，便是藉由重新排列多個檔案的讀取順序，藉此將移動磁頭重新定位所需的時間，降到最小，進而達到縮短讀取時間的目的。</p> <p><span style="font-size:28px;"><strong>建議存取順序（RAO）技術原理</strong></span></p> <p>RAO技術的原理，是在磁帶讀取多個檔案的時後，藉由讀取順序的最佳化，來縮短磁頭重新定位的時間。</p> <p>而為實現縮短磁頭重新定位時間的目的，RAO採取這3項機制：</p> <p>（1）透過用戶資料區段（UDS）格式，記錄個別檔案在磁帶的區塊實體位置。</p> <p>（2）基於UDS位置，透過演算法估算磁頭定位每個檔案移動時間。</p> <p>（3）針對用戶端所要讀取的多個檔案，藉由加權計算，重新排列讀取每一個檔案時的先後次序，計算出可以在最短時間內，移動磁頭讀取所有檔案的「建議存取順序」。</p> <p>而在實際運作上，RAO的運作是透過GRAO指令（Generate RAO），以及RRAO指令（Receive RAO）來運作。</p> <p>當用戶端應用程式要讀取同一卷磁帶上多個離散分布的檔案時，可以透過GRAO指令，向磁帶機發送所要存取檔案的UDS列表，接著，磁帶機便會估計磁頭移動定位每個檔案所在區段所需的時間，藉由調整檔案間的讀取順序，算出一個可以在最短時間內讀取所有檔案的「建議存取順序」。</p> <p>RAO計算檔案存取順序時，考量的因素包括檔案的大小、在磁帶上的位置（位於磁帶的哪個線帶（Wrap）、哪個條帶（Band）等），以及磁帶機的特性（傳輸速率等），給予這些因素不同加權，計算出個別檔案存取順序優先度。</p> <p>隨後用戶端應用程式再透過RRAO指令（Receive RAO），接收磁帶機計算出的「建議存取順序」（RAO）結果，只要依據RAO的指示執行，便能在最短時間內完成多個檔案的讀取。</p> <p>在RAO的實際成效方面，一些文件給出了可減少40～60%搜尋時間的數據。從RAO的運作概念來說，要從磁帶上讀取的檔案數量越多時，需要移動磁頭、重新定位的次數也越多，此時透過RAO的最佳化讀取排序，所能得到的存取加速效果，理應也會更為顯著。</p> <p>LTO磁帶匣供應商Fujifilm提供的測試結果，也證實了這樣的趨勢。以開啟小量資料（2或3個檔案）為基準時，相較於傳統的循序存取，RAO技術可以加快20%的速度；而在開啟平均大小為10GB的15個檔案時，RAO技術則可以加快30%的速度。Fujifilm引用的測試資料還指出，在極為密集、頻繁的存取環境下，RAO技術還能讓磁帶機節省多達50%的磁頭定位時間。所以說，若要讀取的檔案數量越多，則RAO技術能發揮的加速效益也越大。</p> <p>不過在另一方面，RAO技術中所需要的檔案位置紀錄、讀取順序排列計算等功能，都是由磁帶機的嵌入式微處理器與記憶體來承擔，所以只有特定款式、型號的磁帶機，才能支援這項功能。</p> <p><span style="font-size:28px;"><strong>RAO技術的擴散應用</strong></span></p> <p>繼IBM 3592磁帶，Oracle的T10000磁帶也含相似的「建議存取順序」功能，接著磁帶設備大廠Spectra Logic在自身自動化磁帶設備提供類似功能。</p> <p>Spectra Logic的存取排序功能稱作「基於時間的存取順序系統（TAOS）」，Spectra Logic旗下包括T950與TFinity ExaScale系列磁帶櫃都支援這項功能，基本原理與運作方式都與IBM的RAO相同，但TAOS技術提供了更深度的磁頭定位時間估算，與讀取順序計算能力。</p> <p>對於RAO這類技術來說，要實現將磁頭搜尋資料時間縮到最短目的，關鍵在於須盡可能精確估算磁頭在讀取多個檔案時，重新定位每一個檔案所需時間，如此才能得出正確的讀取順序排列。</p> <p>Spectra Logic特別針對該公司磁帶櫃搭配使用的3種磁帶機；LTO-7、LTO-8與IBM TS1155，收集了超過10萬個磁頭讀取移動作業的資料點，每個資料點都包括11個參數（包括磁頭移動的起始條帶（Band）位置、目的地條帶位置、移動所需的線性距離、操作時間、磁帶機是否需要倒轉等），然後透過機器學習模型的幫助，建立一個模型，可以預測磁頭在磁帶上任意2點移動所需的時間。</p> <p>Spectra Logic宣稱，他們透過機器學習所產生的模型，所估算出的磁頭移動定位時間，與實際定位時間之間的平均誤差只有44.54毫秒（ms）。以此為基礎，TAOS技術再結合最鄰近搜索演算法（Nearest Neighbor algorithm），計算出磁頭移動讀取每個檔案的最短路線，得出讀取多個檔案時，最佳的讀取順序。</p> <p>Spectra Logic提供的實測結果顯示（100MB檔案隨機讀取，最多500個檔案），TAOS可以縮短4倍的讀取時間，並縮短13倍的磁帶移動距離。</p> <p>不過Spectra Logic的TAOS技術，須配合磁帶機內整合的專屬磁帶櫃處理器來運作，所以也只適用於該公司的磁帶櫃產品，而不適用於一般的LTO磁帶機。</p> <p>至於使用最普遍的LTO磁帶方面，一直沒有RAO之類的功能，直到新近推出的LTO-9，才正式引進開放建議存取順序（oRAO）功能，讓一般LTO磁帶機也具備離散資料存取排序最佳化技術。</p> <p>依據IBM的LTO磁帶機操作文件（IBM除了自身專屬的3592磁帶以外，也是LTO磁帶機的主要供應商之一），oRAO基本上可視為IBM 3592系列磁帶的RAO功能，移植到LTO上的「開放」版本，運作原理與操作指令都相同，IBM宣稱藉由oRAO技術，可讓存取時間減少73%之多。</p> <p>當LTO-9引進oRAO功能，也讓LTO與IBM 3592兩大主流磁帶規格，都具備了同樣的離散資料存取最佳化功能。</p> <p>但要注意的是，若RAO、oRAO或TAOS這類技術需發揮效用，主機端應用程式（備份或歸檔管理軟體）須支援GRAO、RRAO等指令，才能啟用磁帶機上的RAO或oRAO功能。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 磁帶的基本構造 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2022年5月</span></p> <p><strong>磁帶離散存取效能低落源自磁帶先天架構，所以若要理解RAO技術如何解決這問題，須先認識磁帶基本構造。</strong></p> <p><strong>以LTO-8磁帶為例，磁帶上下兩端邊緣被用於磁頭定位的伺服帶（servo band）占用，在伺服帶中間共含用於記錄資料的6,656條資料磁軌（track），這些磁軌分為208條線帶（Wrap），其中104條是由前往後正向記錄資料，其餘是由後往前反向記錄資料。而磁帶讀寫磁頭一次只能覆蓋讀取1/4寬度的磁帶，也就是52條線帶（Wrap），這樣一個讀取單位被稱為條帶（Band），整個磁帶一共分為4個條帶，讀寫頭必須上下移動覆蓋寬度，才能讀取到整個磁帶寬度。</strong></p> <p><strong>由於磁帶是以線性方式，捲動磁帶到讀寫頭的位置上存取，所以，當讀寫頭從一條線帶（Wrap）移動到相同方向的另一線帶時，由於不需要倒轉捲動磁帶，因而要比移動到另一方向的線帶更快。而在同一條帶（Band）內的線帶（Wrap）之間移動時，由於都在讀寫頭覆蓋範圍內，不需要移動讀寫頭覆蓋的範圍，因而也比移動到另一條帶時更快。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 磁帶離散存取效能低落的問題 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2022年5月</span></span></p> <p><strong>當應用程式要讀取離散磁帶中的多個檔案時，若用傳統的線性循序存取方式，將會遭遇嚴重的效率低落問題。</strong></p> <p><strong>以上圖為例子，依序讀取A到F這6個分散檔案，首先須耗費時間T1捲動幾乎整個磁帶的長度（960公尺），才能讀取到檔案A，接著又要耗費T2時間，倒轉幾乎整個磁帶的長度來讀取檔案B，然後又須倒帶捲動大半個磁帶長度來讀取檔案C，依此類推。若讀取6個檔案在搜尋與定位耗費的總體時間，約等於捲動5千公尺長度磁帶的時間。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> </span><img alt="" src="file:///I:/%E6%88%91%E7%9A%84%E9%9B%B2%E7%AB%AF%E7%A1%AC%E7%A2%9F/iThome%E7%B7%A8%E8%BC%AF%E9%83%A8%E5%B7%A5%E4%BD%9C%E5%8D%80/%E7%A8%BF%E8%B2%BB%E8%A8%88%E7%AE%97%E7%94%A8%EF%BC%9A5%E6%9C%88%E5%91%A8%E5%88%8A%E6%96%87%E5%AD%97%E6%AA%94/1078%E6%9C%9F-0520%E5%87%BA%E5%88%8A/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-%E5%AE%97%E7%BF%B0V7_OK-web-resources/image/Dot-W3.png" /><span style="background-color:#3399ff;">透過最佳化排序來存取離散檔案 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-BOX3.jpg" style="width: 598px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2022年5月</span></span></p> <p><strong>透過RAO、oRAO、TAOS這些技術，可以算出存取離散檔案的最佳順序，從而大幅縮短資料搜尋與重新定位的時間。</strong></p> <p><strong>以上圖為例，耗時最短的存取順序，應先讀取檔案F、然後是檔案B，再來依序是D、C、E、A，總計只要耗費略多於捲動1000公尺磁帶的時間。比起從A到F的線性順序讀取方式，改用這個調整後的存取順序，同樣能讀取全部檔案，但總體時間至少節省70%以上。</strong></p> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-IBM%203592.png" style="width: 600px;" /></div> <p><span style="color:#696969;"><strong>率先引進RAO技術的IBM 3592家族<br /> IBM 3592磁帶機家族的第4代產品TS1140，率先引進「建議存取順序（RAO）」技術，可以顯著改善讀取多個離散分布檔案的效率，這個磁帶機家族接下來的TS1150、TS1155與TS1160等產品，也都支援這個功能。</strong><span style="font-size:14px;">圖片來源／IBM</span></span></p> <div class="rtecenter"><span style="color:#696969;"><strong> <img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-Spectra%20Logic.png" style="width: 331px;" /></strong></span></div> <p><span style="color:#696969;"><strong>提供專屬TAOS技術的Spectra Logic磁帶設備<br /> Spectra Logic的磁帶櫃產品T950，以及TFinity ExaScale系列，內含「基於時間的存取順序系統（TAOS）」技術，可以提供與RAO技術相同的多重檔案存取排序最佳化功能。</strong><span style="font-size:14px;">圖片來源／Spectra Logic</span></span></p> <div class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-LTO-9%E7%A3%81%E5%B8%B6.png" style="width: 600px;" /></strong></span></div> <p><span style="color:#696969;"><strong>導入oRAO技術的LTO-9磁帶<br /> 在使用最普遍的LTO磁帶方面，到了最新一代的LTO-9，也終於引進「開放建議存取順序（oRAO）」技術，與IBM 3592系列具備同樣的多重檔案存取加速能力。</strong></span><span style="font-size:14px;">圖片來源／IBM</span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%BB%BA%E8%AD%B0%E5%AD%98%E5%8F%96%E9%A0%86%E5%BA%8F">建議存取順序</a></div><div class="field-item odd"><a href="/tags/rao">RAO</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6%E5%AD%98%E5%8F%96%E5%8A%A0%E9%80%9F%E6%8A%80%E8%A1%93">磁帶存取加速技術</a></div></div></div>
2022/5/20 11:14作者張明德https://www.ithome.com.tw/tech/150943
Firefox開始Manifest v3開發者預覽計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox對瀏覽器擴充套件規格Manifest v3的支援做出調整，並從即日起開始Manifest v3<a href="https://blog.mozilla.org/addons/2022/05/18/manifest-v3-in-firefox-recap-next-steps/">開發者預覽計畫</a>，以收集Firefox使用者對Manifest v3實作的意見。</p> <p>Manifest v3的發展，在過去一年發生許多變化，W3C下成立了社群小組已推動跨瀏覽器網頁擴充套件WebExtensions（WECG），因此Firefox如果依照過去對Manifest v3的實作，亦即支援Manifest v3，並且以Service Worker作為Background Page的替代品，這將會使許多使用案例面臨風險。因此Mozilla便在WECG中提案Event Pages，作為Background Page的替代，而這項作法受到社群的歡迎，也在Safari中獲得Apple的支持。</p> <p>在2018年的時候，Chrome發布了Manifest v3，隨後微軟更採用Chromium作為新瀏覽器Edge的基礎，而以Chromium為基礎的瀏覽器市占突然大幅提升，Mozilla提到，Manifest v3勢必會成為瀏覽器擴充套件的標準。</p> <p>Manifest v3適用於基於Chromium的Chrome、Edge與Opera，以及非Chromium陣營Safari和Firefox等瀏覽器。Mozilla表示，雖然他們的目標是想維持Firefox、Safari和Chromium瀏覽器擴充套件間的相容性，但是在Manifest v3的實作上，價值觀與其他供應商存在分歧，因此在實作上會與Chrome和Safari不同。</p> <p>在Firefox中，Manifest v3將成為WebExtensions的下一代更新，官方提到，因為Manifest v2架構的限制，使得目前有一些問題難以解決，而引入Manifest v3則剛好是做出改變的機會。擴充套件中的核心是Background Page，該元件必須在執行時持續存在，但因為記憶體和部份平臺（如Android）的限制，難以保證Background Page的狀態，有時不可避免地被終止。</p> <p>在Manifest v3中，Mozilla採用了一種新架構，使得後臺腳本能夠被重新啟動，而為了支援這項新設計，Mozilla也重新設計現有API，使擴充套件能夠不需要後臺腳本，直接宣告瀏覽器的行為。擴充套件的另一個核心部分是內容腳本，該腳本直接與網頁互動，Mozilla設計了一個能夠阻擋不安全行為的新方法，在擴充套件API中，取消基於字串的程式碼執行。</p> <p>Chrome採用Manifest v3中最具爭議的變化是取消阻擋WebRequest，Mozilla提到，雖然這作法提供一定程度的功能和靈活性，但是對於隱私和內容阻擋應用也造成衝擊。對此，Mozilla會在Manifest v3中繼續支援阻擋WebRequest，並且最大程度相容於其他瀏覽器，也確保內容攔截器和其他該API能夠執行無礙，畢竟內容阻擋是當前瀏覽器擴充套件的重要應用。</p> <p>Chrome的Manifest v3版本，加入了Background Service Worker作為Background Page的替代，出於相容性原因，Mozilla也在Firefox中擴充Service Workers，但因為Service Workers無法完全支援Firefox的重要用例，尤其是在DOM相關的特性和API方面。</p> <p>因此在Firefox將會支援Event Pages，並且在Firefox現在的開發者預覽版中，先不加入Service Workers，目的是要讓開發人員可以先移植Background Page支援Manifest v3，並且保留Manifest v2中所有DOM相關功能的存取權限。</p> <p>Mozilla現在釋出Manifest v3開發者預覽版本，以收集開發者對Manifest v3實作的意見，並預計將會在2022年底之前，向所有用戶提供Manifest v3的支援。</p> </div></div></div>
2022/5/20 10:29作者李建興https://www.ithome.com.tw/news/150995
深度學習框架PyTorch在Mac上也可使用GPU加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>深度學習框架PyTorch與Apple的Metal繪圖API團隊合作，開始<a href="https://pytorch.org/blog/introducing-accelerated-pytorch-training-on-mac/">在Mac上的PyTorch訓練支援GPU加速</a>，使得PyTorch訓練速度比原本僅使用CPU快上數倍，而這改進Mac執行機器學習工作流程的能力，使得開發者能夠在本地端更順暢地進行模型原型設計和微調。</p> <p>過去Mac上的PyTorch訓練僅能利用CPU進行運算，但在即將發布的PyTorch v1.12版本中，開發者可以使用Apple Silicon GPU來顯著加速模型訓練。PyTorch團隊解釋，加速GPU訓練使用Apple的渲染器Metal Performance Shaders（MPS）作為後端實作，MPS後端擴充了PyTorch框架，在Mac上提供腳本和功能以配置和執行運算。</p> <p>由於每臺Apple Silicon裝置都有統一的記憶體架構，GPU能夠直接存取完整的記憶體儲存，官方提到，這使得Mac更適合用於機器學習開發，開發者能夠在本地端訓練更大的網路，降低雲端開發成本，以及對額外本地端GPU的需求，而且統一記憶體架構也減少了資料檢索延遲，提高端到端效能。</p> <p>根據PyTorch團隊的測試，在GPU上進行模型訓練和評估的速度，都比CPU基準高上不少。</p> <p class="rtecenter"><img alt="" src="https://pytorch.org/assets/images/METAPT-002-BarGraph-02.gif" style="width: 580px;" /></p> <p>PyTorch開發者想要在Mac上用到GPU加速的功能，需要執行macOS 12.3或更高版本，且安裝arm64原生版本Python的Apple Silicon Mac，PyTorch則需要即將發布的PyTorch v1.12，該版本目前正在預覽階段。</p> </div></div></div>
2022/5/20 10:31作者李建興https://www.ithome.com.tw/news/150998
日經亞洲分公司遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware" target="_blank">日本媒體日經本周表示</a>，日經集團（Nikkei Group）位於新加坡的亞洲分公司於近日遭到勒索軟體攻擊。</p> <p>日經集團亞洲分公司表示，該公司一臺伺服器上周五（5/13）遭到未授權存取，引發IT部門調查而發現是勒索軟體。日經亞洲表示他們已立即關閉該臺伺服器防止感染擴大，也已向集團及公司人事資料保護主管提出報告。</p> <p>日經表示，遭到存取的伺服器可能包含客戶資料，該公司正在評估事件影響範疇。初步調查證實沒有資料外洩。</p> <p><a href="https://www.nikkei.co.jp/nikkeiinfo/en/news/announcements/954.html" target="_blank">這家日本媒體巨擘除了表示</a>將配合和有關單位合作啟動調查，也承諾將致力解決此次事件。</p> </div></div></div>
2022/5/20 11:06作者林妍溱https://www.ithome.com.tw/news/151018
國泰金控打造數據平臺基礎建設，要擴散應用至3大生態圈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日（5/19）分享自家數據平臺基礎建設發展歷程，從最早期用資料倉儲收集內部資料、採用BI工具分析，一步步導入開源大數據分析平臺Hadoop、自建機器學習平臺和數據中臺，來打造前端業務新工具。這些平臺產出的前端應用，可分為客戶新經營模式、客戶體驗升級，以及數據共享平臺3大類別，這些類別各有其應用，比如，客戶新經營就包含智能商險平臺、客戶智能全視圖，客戶體驗則有智能數據應用平臺與BeSafe電商式投保平臺，而數據共享平臺則涵蓋地理資訊分析平臺、開放資料雲等。</p> <p><span style="font-size:22px;"><strong>從資料倉儲擴展到Hadoop，再自建ML平臺、數據中臺</strong></span></p> <p>國泰金控旗下數位數據暨科技發展中心（數數發），是專門推動集團數據基礎建設和數據應用的團隊，數數發數據科技發展部專案經理洪采襄表示，5、6年前，國泰金控和大多數企業相同，都只有資料倉儲來處理內部資料，如客戶資料、客戶行為軌跡、集團往來資料，而業務人員和分析人員主要透過BI工具來分析、產出報表，或是以此進行資料探勘。</p> <p>後來，國泰金控為進行數位轉型，開始從使用者角度思考，重新設計數據平臺。首先，他們導入了開源大數據分析工具Hadoop，來儲存更大量、結構化和加值數據，像是外部爬蟲資料、外購資料、異業交換資料等，並建置機器學習平臺，讓資料科學家運用這些資料，來訓練模型、進行預測，或是根據自身需要，來開發小工具和服務。這些機器學習平臺產出的AI模型和分析成果，都可用來解決前端業務需求。</p> <p>與此同時，為進一步運用Hadoop上的加值資料和機器學習平臺模型，數數發打造了數據中臺，來提供前端即時預測服務，並維持後端數據平臺的穩定。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B04.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例1：智能商險平臺</strong></span></p> <p>有了這些關鍵平臺，數數發也打造不少前端應用，其中最有代表性的有智能商險平臺、智能數據應用平臺和地理資訊分析平臺。</p> <p>智能商險平臺屬於客戶新經營模式類別，它的用意是，簡化商業保險作業流程、降低銷售門檻，提高核保作業效率。進一步來說，原本商業險投保的結構複雜，需要紙本作業和大量人工審查，對人才而言，保險公司也得花大量時間才能訓練出合格的業務人員。</p> <p>為解決這個痛點，國泰金控從IT面和業務流程面下手。在IT面部分，這個商險平臺可分為3大部分，包括產品後臺、服務中臺、通路前臺，其中，在產品後臺部分，數數發利用爬蟲技術和開源流程管理工具Airflow，來納入財政部稅籍登記資料，方便在顧客填寫資料的同時，由系統自動帶入法人基本資訊，降低人工誤判風險，也能降低業務人員的詢問時間。</p> <p>特別的是，他們特別建置服務中臺，將不同功能的微服務模組置於其中，像是公開資料智能帶入、風險評分模型、地理資訊模組等，來快速因應市場變化需求、彈性擴充。</p> <p>而通路平臺則是智能商險平臺網站，包含保險銷售和風險審核2大功能。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B03.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例2：智能數據應用平臺</strong></span></p> <p>再來是屬於客戶體驗升級類別的智能數據應用平臺，這是國泰金控正在打造的跨子公司一站式行銷平臺，專門給內部行銷人員使用。這是因為，過去，行銷人員在整合行銷流程中，遇到不少斷點，比如行銷名單產製、成效追蹤等，都是獨立運作的流程，資料不互通。</p> <p>為解決問題，數數發先是整合了多種數據，如用戶屬性、產品持有和數位足跡等，來降低分析門檻。接著，數數發也預先在客戶資料貼標、進行數位辨識，完成基本的數據處理後，行銷人員就能透過團隊打造的視覺化平臺，來探究顧客樣貌、了解偏好，並比對不同客群的樣態差異。</p> <p>有了特定的客群名單，行銷人員就能透過系統自動化串接，來進行名單廣告投放，而投放成效，也會整合至內部資料庫，讓行銷人員在同一平臺上追蹤，並調整行銷策略。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B02.png" /></p> <p><span style="font-size:22px;"><strong>轉型平臺經典案例3：地理資訊分析平臺</strong></span></p> <p>第3個是屬於數據共享平臺類別的地理資訊分析平臺，該平臺由金控數據團隊打造，目的是要將地理資訊、空間思維、平臺記錄導入集團各子公司，讓平臺使用者根據地理空間的變化，來制定商業決策。</p> <p>洪采襄表示，金融機構擁有大量地理資訊，比如客戶地址、消費地點、營業據點等，但這些資料，在過去並未妥善利用，而現在，正好出現許多有價值的地理資訊，像是捷運站、公車站、消防據點等公開資料，又或是第三方業者整理的外購資料，如興趣點位、人流、車流資料。</p> <p>國泰金控第一步，就是整合這些內外部地理資料，來計算綜合性價值指標，像是交通便利度指標、商業繁榮度指標，接著，開發團隊建置一款互動式視覺化平臺，來讓決策人員探索，降低地理資料使用門檻。最後，這些應用產出，就可用於國泰集團內的商業情境，比如營業據點規畫、保險風險評估、房屋建價等。這就有助於國泰挖掘潛在顧客，或改善既有顧客黏著度、顧客經營。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B0.png" /></p> <p>最後，國泰金控也希望，將數據平臺支撐的客戶新經營模式、客戶體驗升級、數據共享平臺3大類別應用，向外擴大到生態圈，特別是出行旅遊生態圈、購物電商生態圈，以及健康醫療生態圈，要打造未來金融服務新標杆。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%8B%E6%B3%B05.png" /></p> </div></div></div>
2022/5/19 18:42作者王若樸https://www.ithome.com.tw/news/151001
【資安日報】2022年5月19日，駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前不少駭客針對非關連式資料庫下手，但鎖定SQL Server的攻擊行動並未就此消聲匿跡。微軟最近提出警告，指出他們偵測到利用SQL Server內建的公用程式SQLPS.EXE的攻擊行動，駭客這麼做的原因，就是為了避免在受害伺服器上留下事件記錄。</p> <p>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，但這起事件似乎變得更加嚴重。駭客近期大幅提高贖金要求，並恐嚇再不付錢就會刪除解密金鑰。</p> <p>WordPress外掛程式的重大漏洞也相當值得留意。昨天我們報導了網頁圖像化建置套件Tatsu Builder的重大漏洞，今天則是佈景主題外掛程式JupiterX、Junipter的漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-brute-force-attacks-targeting-mssql-servers/"><span style="color: rgb(0, 0, 0);">駭客鎖定SQL Server進行寄生攻擊，透過公用程式執行PowerShell指令碼，可躲避系統事件記錄而不會留下足跡</span></a></strong></h3> <p>針對SQL Server伺服器下手的攻擊行動近期再度出現，而且是利用公用程式來進行。微軟於5月18日提出警告，他們近期發現到鎖定SQL Server的攻擊行動，駭客藉由暴力破解的方式入侵這些資料庫系統，然後透過內建的PowerShell命令列公用程式SQLPS.EXE來執行PowerShell命令，以進行寄生攻擊（LOLBin），而不會在受害的伺服器上留下事件記錄。</p> <p>研究人員指出，透過這樣的攻擊手法，駭客不只能夠長期滲透SQL Server，還能建立新的使用者帳號，並配置管理員權限，進而接管整個SQL Server系統。研究人員認為，上述攻擊行動的發現，突顯管理者需要掌握指令碼執行動態的重要性。資安新聞網站Bleeping Computer則認為，管理者也應從強化密碼管理著手，來防範SQL Server遭到入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/ransomware-gang-threatens-to-overthrow-new-costa-rica-government-raises-demand-to-20-million/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti提高對哥斯大黎加的贖金，煽動推翻政府</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg" style="width: 300px; float: right;" /></a>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，使得該國新任總統於5月8日上任隨即宣布全國進入緊急狀態，而這起事件最近又有了新的進展。根據資安新聞網站Recorded Future的報導，勒索軟體駭客約於5月15日，將贖金從原先的1千萬美元加倍為2千萬美元，並煽動該國民眾叫政府趕快支付贖金，揚言若不給錢，將於7天內刪除解密金鑰，這可能意味著連駭客自己也沒辦法解開遭加密的檔案。</p> <p>此外，這些駭客也宣稱，他們這麼做的目的是要透過網路攻擊，來推翻新總統的政權。自先前遭到勒索軟體攻擊後，哥斯大黎加政府目前仍尚未恢復正常運作，該國財政府於5月13日表示，報稅需人工計算，且民眾必須透過銀行繳納。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-space-pirates-are-hacking-russian-aerospace-firms/"><span style="color: rgb(0, 0, 0);">中國駭客鎖定俄羅斯航太產業下手，植入多種惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png" style="width: 300px; float: right;" /></a>中國與俄羅斯之間的關係匪淺，被認為彼此交好，而在烏克蘭戰爭尚未落幕的此刻，中國駭客鎖定俄羅斯攻擊行動，近期竟時有所聞，而最近更鎖定該國的航太產業下手。</p> <p>資安業者Positive Technologies指出，他們從去年夏天開始，發現名為Space Pirates的中國APT駭客組織從事的間諜行動，該組織自2019年對於俄羅斯4個實體下手，並使用了相同的惡意軟體與基礎設施，其中兩起行動涉及該國政府參與的俄羅斯企業。</p> <p>研究人員指出，其中一起攻擊行動裡，駭客在10個月內接連存取20臺伺服器，竊取逾1,500份文件，以及員工個資等敏感資料；而在另一起攻擊事件中，駭客停留在受害組織的網路超過一年，並進行竊密的工作，同時將惡意軟體安裝到3個分公司、12個網路節點。</p> <p>而這些駭客所使用的惡意軟體，包含了多個中國駭客組織採用的PlugX、ShadowPad等，以及3個過往未曾出現過的Deed RAT、BH_A006，以及MyKLoadClient，它們分別被用於竊密、繞過資安防護系統，以及透過DLL側載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf"><span style="color: rgb(0, 0, 0);">北韓IT人士埋伏全球企業，協助駭客進行網路攻擊</span></a></strong></h3> <p>出身北韓的IT人士遭他國政府懷疑可能會與母國的國家駭客聯手，以利網路攻擊。美國國務院、美國財政部，以及美國聯邦調查局（FBI）聯手，於5月16日發布資安通告，警告全球組織要小心北韓政府派出的IT人才，這些人士會透過自由工作者招募平臺、社群網站等管道謀職，一旦組織不慎錄用這些人士，就有可能面臨資料外洩或是資金遭竊的風險，甚至有可能因此變成美國與聯合國制裁的對象，除此之外，這些人士也可能與北韓駭裡應外合。</p> <p>美國政府也提供這類人士的識別方法，要組織提高警覺。例如，會要求使用支付平臺轉帳薪資，或是以加密貨幣領取薪資，還有面試者很可能會在短時間內，從不同地區多次登入相同的帳號，很有可能就是上述可能會造成組織危害的北韓IT人員。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/critical-privilege-escalation-vulnerability-in-jupiter-and-jupiterx-premium-themes/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式JupiterX、Junipter存在重大漏洞，恐被駭客用來接管網站</span></a></strong></h3> <p id="Zyxel">WordPress佈景主題外掛程式存在的重大漏洞，很可能讓駭客得以控制整個網站。資安業者Wordfence指出，WordPress外掛程式JupiterX、Junipter，存在CVSS風險層級達9.9分的重大漏洞，攻擊者一旦利用這項漏洞，可在經過身分驗證的情況下，獲得管理者的權限，進而可能竄改網站內容、注入惡意指令碼等攻擊行為。</p> <p>這項漏洞與名為uninstallTemplate的函式有關，用途是在管理者移除佈景主題後重設相關版面配置，但這個函式會把使用者的權限提升為管理員，如果有登入網站的使用者發送含有action參數的AJAX請求，就有可能在沒有通過其他檢查情況下，成功提升權限。開發商ArtBees獲報後，於5月10日發布JupiterX 2.0.8、Junipter 6.10.2修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-critical-auth-bypass-flaw-in-multiple-products/"><span style="color: rgb(0, 0, 0);">VMware修補旗下產品的身分驗證繞過漏洞，美國要求公部門限期完成修補</span></a></strong></h3> <p id="Zyxel">自4月初VMware修補旗下身分驗證平臺重大漏洞CVE-2022-22954，不久後陸續出現數起漏洞攻擊事件，使得美國政府繃緊神經，對於相關系統的重大漏洞緊急要求修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）於5月18日發布緊急指令22-03，要求該國各行政機關必須在5月23日前，修補VMware同日發布修補程式的漏洞CVE-2022-22972、CVE-2022-22973。其中，比較值得注意的是CVE-2022-22972，該漏洞屬於身分驗證繞過漏洞，攻擊者可用於取得受害系統的管理者權限，CVSS風險層級達9.8分，該公司旗下的Workspace ONE Access、Identity Manager，以及vRealize Automation都存在上述漏洞。</p> <p>CISA表示，有鑑於CVE-2022-22954遭到利用的經驗，他們才會以緊急指令的方式，要求聯邦機關在5天內進行處理，若無法修補，機關也應暫時將該系統移除組織的網路環境。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/05/15/technical-advisory-tesla-ble-phone-as-a-key-passive-entry-vulnerable-to-relay-attacks/"><span style="color: rgb(0, 0, 0);">研究人員揭露可以透過藍牙進行中間人攻擊的手法，能遠端偷走特斯拉汽車或打開智慧門鎖</span></a></strong></h3> <p id="Zyxel">電動汽車提供能以手機App作為遙控器，透過藍牙解鎖車門，可說是相當普遍，但也有可能成為駭客進行中間人攻擊（MitM）的對象。</p> <p>資安業者NCC Group於5月16日指出，他們發現了能夠解鎖特斯拉Model 3、Model Y的藍牙漏洞，研究人員利用iPhone手機與Model 3汽車進行實驗，結果發現，他們藉由自行打造的延遲訊號中繼設備，使得手機超出藍牙通訊的距離，仍能成功解鎖車輛。而這樣的藍牙通訊弱點也存在於智慧門鎖，該公司也成功在Kevo系列智慧鎖上，利用類似的方法在遠端開啟門鎖。此外，這種弱點亦可能存在於透過手機App解鎖的門禁系統、筆電等設備。</p> <p>研究人員認為這不完全是藍牙規格上的缺陷，而是藍牙身分驗證機制原本並非為重要系統規畫。他們為設備製造商、系統業者，以及使用者提出緩解建議，可透過調整相關的配置來防範這類遠端中間人攻擊手法，並通報特斯拉，以及智慧門鎖製造商Kwikset與Weiser。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/19 18:24作者周峻佑https://www.ithome.com.tw/news/151000
Google揭露最新入門手機Pixel 6a，如何結合自家Tensor晶片將高階手機的相機、節能功能讓更多人體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出Pixel 6與6 Pro手機之後，Google在上周I/O大會再推出入門手機Pixel 6a，同樣採用Google自行設計的Tensor晶片，但6a在售價更為親民，定位為Pixel入門手機，包括臺灣在內將在7月底開始銷售。參與手機設計的Google臺灣團隊解密Pixel 6a的設計理念，揭露Google的理念，以及如何將高階手機功能體驗帶到入門手機，讓更多人得以使用。</p> <p>去年Google推出Pixel 6與Pixel 6 Pro，為突顯自家高階Pixel手機與其他旗艦手機的不同，Google首次在這兩款手機上採用自研設計的Tensor SoC晶片，結合演算法、AI、ML等技術，提升相機拍照、自然語言及語音辨識能力，彰顯Google最新的手機應用體驗。不過，首波搭載Tensor晶片的兩款Pixel手機價位偏高，Pixel 6定價約1.9萬起，而更高階的Pixel 6 Pro則是2.7萬元以上，可能讓許多人望而卻步。</p> <p>今年Google I/O大會，Google一如既往展示最新技術發展，也發表了售價約1.4萬元更為親民，定位在入門級手機的Pixel 6a，這款入門級最新Pixel手機降低硬體規格，包括採用較小的6.1吋螢幕，後置主相機也從5,000萬畫素降至1,220萬池，並省略了超廣角鏡頭的設計。內電池容量降至4,410mAh，內部記憶體也降為6GB，搭配128GB儲存容量，但是和高階Pixel 6、Pixel 6 Pro同樣搭載Tensor晶片，承襲Google高階手機才有的功能。</p> <p>今天Google臺灣團隊對外解密Pixel 6a的設計理念，Google手機硬體專案經理劉兆洋表示，臺灣目前已是Google在美國以外最大的硬體研發基地，臺灣團隊在Google Pixel手機研發扮演重要角色，也是Pixel 6a研發背後的重要推手。臺灣團隊從Pixel 6a最前端的產品設計開發，到後端的生產營運，包含中間的硬體設計、可靠性測試、軟體性能調校測試都有參與，Pixel 6a主打的功能，例如相機、聲音、效能、安全性及軟體功能，臺灣的團隊都有很多貢獻。</p> <p>劉兆洋指出，Google硬體部門的願景是結合AI、軟體與硬體，提供最實用的使用者體驗，Pixel a系列定位在入門豪華級手機，其設計理念是以實惠的價格，盡可能提供結合Google人工智慧、軟體加硬體的Pixel使用體驗給廣大的使用者，以實現普惠運算的願景。</p> <p>他表示，入門手機Pixel 6a的設計也圍繞著Tensor晶片開發，這顆晶片可視為專門用於影像運算、自然語言處理，以及運算與安全性設計的手機大腦。透過這個大腦，實現Pixel手機更好的相機、即時翻譯功能、即時字幕等功能，相較於先前a系列也有更好的電池續航力。雖然手機的硬體規格降階，但Pixel 6a的效能測試，跑分表現與Pixel 6相近。</p> <p>Pixel 6a採用Google自家研發的Tensor晶片，使用和高階的Pixel手機相同的智慧中樞，劉兆洋指出，將旗艦級手機才有的功能，近乎100%帶到入門級Pixel手機上，例如拍照的人臉清晰功能，或是魔術橡皮擦功能，能偵測照片中可以抹除的物品，例如路人或是電線桿，以及在夜晚或昏暗環境使用的夜視拍照模式，還有不需連網的手機即時翻譯。其他還有自然調節電池用量、超級省電模式等等。Pixel 6a也與其他Pixel手機一樣，擁有3年的系統更新，5年安全更新。</p> <p>去年，Google首次在Pixel 6、Pixel 6 Pro中高階手機上，搭載自家研發的Tensor晶片，目的便是強化Pixel手機的AI與ML應用。去年臺灣的工程團隊曾對外說明，這顆Google自研的Tensor晶片如何被用來改善Pixel手機的使用體驗，例如手機拍照時，能根據物品的不同，例如人物的膚色或是拍攝場景自動調整，以產生清晰明亮的影像。除了加快AI、ML處理速度，透過這個智慧中樞取代一般CPU，以更省電的方式執行語音辨識、影像處理。</p> <p>在語音辨識應用上，可辨識、理解每個語句的意思，更快喚醒Google語音助理；而以往線上翻譯需要連網，將內容送到雲端處理，再將翻譯後的內容送回到手機，過程可能導致延遲等待，Tensor晶片可處理自然語言模型，手機不需連網就能即時翻譯。</p> <p>Google去年推出Pixel 6與Pixel 6 Pro，以高階硬體規格結合Google自研Tensor晶片，展示Google最新旗艦手機軟硬體效能與智慧應用體驗；今年Google推出入門手機Pixel 6a，降低手機硬體規格，以更親民價格推出，同樣採用Tensor晶片，透過軟體調校縮小硬體差異的方式，將Google最新的智慧手機功能體驗帶給更多人。</p> <p> </p> </div></div></div>
2022/5/19 18:47作者蘇文彬https://www.ithome.com.tw/news/150999
美國要求聯邦機構要在5天內修補VMware的兩個新漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.vmware.com/security/advisories/VMSA-2022-0014.html" target="_blank">VMware在5月18日發布安全公告</a>，修補了CVE-2022-22972與CVE-2022-22973兩個安全漏洞。有鑑於VMware於今年4月修補的兩個安全漏洞在發布48小時內就遭到開採，美國國土安全部旗下的網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.cisa.gov/emergency-directive-22-03" target="_blank">在5月18日同步釋出了緊急指令22-03（Emergency Directive 22-03）</a>，要求美國聯邦各行政機構必須在5月23日以前修補這兩個新漏洞。</p> <p>其中，CVE-2022-22972屬於認證繞過漏洞，允許未經身分認證的駭客取得管理存取權限，其CVSS風險評分高達9.8，波及VMware Workspace ONE Access、Identity Manager與vRealize Automation等產品；CVE-2022-22973則為本地端權限擴張漏洞，允許具備本地端存取權限的駭客將權限擴大至根權限，CVSS風險評分為7.8，影響VMware Workspace ONE Access與 Identity Manager。</p> <p>一般而言，CISA通常會把已經遭到開採的安全漏洞納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄，再要求聯邦組織限期改善，而期限多落在21天，然而，這次CISA卻透過緊急指令，要求聯邦組織要在5天內修補這兩個尚未出現攻擊行動的安全漏洞。</p> <p>CISA說明，VMware曾於4月6日修補遠端程式攻擊漏洞CVE-2022-22954及權限擴張漏洞CVE-2022-22960，但在修補程式出爐之後，駭客便透過反向工程打造了這兩個漏洞的攻擊程式，旋即於48小時內展開攻擊，但CISA一直到一周後才得知攻擊行動，分別在4月14日與15日將它們列入「已知遭開採漏洞」目錄，要求聯邦組織於5月5日及6日之前進行修補。</p> <p>CISA依據CVE-2022-22954與CVE-2022-22960的發展經驗，再加上這次所修補的CVE-2022-22972與CVE-2022-22973兩個漏洞所波及的軟體廣泛存在於聯邦組織中，非常可能被用來危害聯邦組織的資訊系統，認為這是無法接受的風險，因而發出緊急指令。</p> <p>總之，美國聯邦組織必須在5月23日以前部署這兩個漏洞的安全更新，或者是暫時將受到影響的軟體移出組織網路，一直到修復為止。</p> </div></div></div>
2022/5/19 16:31作者陳曉莉https://www.ithome.com.tw/news/150996
美國身分認證服務ID.me的人臉辨識遭參議員質疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得美國國稅局（IRS）今年1月<a href="https://www.ithome.com.tw/news/149003" target="_blank">宣布要與ID.me合作</a>，以人臉辨識作為使用者登入國稅局服務的身分認證機制，<a href="https://www.ithome.com.tw/news/149246" target="_blank">最後卻夭折</a>嗎？當初反對國稅局作法的美國參議院財政委員會主席<a href="https://www.wyden.senate.gov/news/press-releases/wyden-colleagues-urge-ftc-to-investigate-idme-for-deceptive-statements-about-facial-recognition" target="_blank">Ron Wyden本周去信要求聯邦交易委員會（FTC）針對ID.me展開調查</a>，認為ID.me提供了有關人臉辨識的不實陳述，才讓該公司贏得了許多美國政府的合約。</p> <p>ID.me為美國的安全數位身分認證網路供應商，迄今已與美國27州、多個美國聯邦組織，以及超過500個品牌合作，提供存取各式服務的身分認證服務，不管是美國的社會安全局、國稅局、退伍軍人事務部或是美國專利暨商標局都是ID.me的客戶。</p> <p>ID.me其中一項認證使用者身分的方式為人臉辨識，但標榜採用一對一的人臉辨識，亦即將使用者所自拍的照片與政府所頒發的身分證進行比對，而不採行一對多（以使用者照片比對含有大量照片的資料庫）的辨識方式，並曾公開批評一對多的手法可能危害使用者隱私。</p> <p>然而，Wyden卻發現，ID.me執行長Blake Hall曾在LinkedIn上透露，該公司在執行身分認證程序時，也會利用一對多的人臉辨識技術，而且該公司之前的部落格文章，也曾提及使用一對多人臉辨識技術，後來才加以修改。</p> <p>這都讓Wyden認為ID.me是故意誤導使用者，也可能造成美國官員的誤信，而讓ID.me成為美國多個政府服務的身分認證供應商，屬於欺騙與不公平的商業行為，因而要求FTC展開調查。</p> <p>除了Wyden之外，另外3名美國參議員Cory Booker、Edward Markey與Alex Padilla也都在信件上簽名，支持FTC展開調查。</p> </div></div></div>
2022/5/19 16:50作者陳曉莉https://www.ithome.com.tw/news/150997
中國再度成為全球第二大比特幣挖礦中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府於去年6月以斷電的方式，大刀闊斧地<a href="https://www.ithome.com.tw/news/145150" target="_blank">關閉境內及全球最大的四川比特幣礦場</a>，宣誓其極力掃盪境內挖礦活動的決心，使得中國占全球比特幣挖礦比例從5月的53%，<a href="https://www.ithome.com.tw/news/147262" target="_blank">到7月直接降至零</a>，然而，<a href="https://ccaf.io/cbeci/mining_map" target="_blank">劍橋大學賈吉商學院新興金融研究中心（Cambridge Centre for Alternative Finance，CCAF）最新的資料顯示</a>，中國比特幣挖礦能力快速復甦，今年1月又回到21.11%，成為全球第二大比特幣挖礦中心，僅次於美國的37.84%。</p> <p>根據CCAF的比特幣電力消耗指數（Cambridge Bitcoin Electricity Consumption Index，CBECI），去年全球的比特幣網路仍在努力應對中國禁止境內挖礦的後果，顯示全球比特幣的挖礦效能（Hash Rate）在6月27日觸底，為每秒57.47 Exahashes（EH/s），然而，隨著礦工開始將業務轉移至海外，去年底時全球的比特幣挖礦效能即幾乎恢復到禁令前193.64 EH/s的水平，且此一上升軌跡持續至今年，更於今年2月達到248.11 EH/s的歷史新高，意謂著比特幣的挖礦業務具有相當大的彈性與靈活性。</p> <p>在今年1月的調查中，美國的挖礦效能達71EH/s，有過半集中在喬治亞州（30.76%）、德州（11.22%）與肯德基州（10.93%），原因是這些州別具備相關低成本的電力，可用的代管容量，以及相對友善的法令，紐約州與加州也分別占了9.77%與7.9%。</p> <p>至於中國的挖礦效能則在去年9月便飆升至30.47 EH/s，並持續成長至今年1月的39.6 EH/s。</p> <p>CCAF分析，這代表中國的比特幣挖礦活動已大幅度地轉至地下，藉由離網電力及分散式的小規模作業來規避中國政府的禁令。</p> <p>不過，CCAF也認為中國的挖礦活動似乎不太可能在一個月內有如此大幅度的復甦，由於CCAF的資料來自於所合作的採礦池提供自己的地理位置，因此，比較有可能的解釋是在禁令實施後，當地的礦工透過VPN或其它代理服務來隱藏自己的蹤跡，以轉移中國政府的注意力並規避審查，躲過了風頭之後再重現江湖。</p> <p>至於除了中國及美國之外，全球第三大比特幣挖礦中心為哈薩克，占全球挖礦效能的13.2%。</p> </div></div></div>
2022/5/19 15:01作者陳曉莉https://www.ithome.com.tw/news/150994