iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年5月26日，勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年有不少勒索軟體駭客開始打造可攻擊VMware ESXi虛擬化平臺的工具，這陣子又有新的勒索軟體投入攻擊這類系統的行列。但有所不同的是，這次駭客加密檔案的手法似乎較為複雜，且會特別檢查檔案的存取權限再下手。</p> <p>駭客在竊得大筆企業客戶資料後，過了一段時間開始有人透過加密通訊軟體Telegram的頻道，散布給其他人士。最近有研究人員發現，駭客透過Telegram頻道來散布美高梅度假村（MGM Resorts）在2年前遭竊的住房資料，估計可能至少有3千萬房客受到影響。</p> <p>在資安漏洞的消息中，物聯網與工控設備的資料自動化處理平臺存在的資安風險，很可能會導致用戶資訊外洩，或是相關系統面臨服務阻斷的情況。研究人員在自動化系統Open Automation Software Platform上發現8個漏洞，而值得相關產業的組織特別留意，並儘速更新軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/new-linux-based-ransomware-cheerscrypt-targets-exsi-devices.html"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png" style="width: 200px; float: right;" /></a>勒索軟體駭客組織LockBit、Hive、RansomEXX等，這兩年紛紛投入Linux版勒索軟體開發，且主要目標就是鎖定組織的虛擬化平臺VMware ESXi，最近有新的勒索軟體也加入行列，同時攻擊手法出現了變化。</p> <p>趨勢科技揭露名為Cheerscrypt的勒索軟體，駭客在成功入侵VMware ESXi伺服器後，下達要加密檔案的資料夾路徑，該勒索軟體便會先執行ESXCLI命令來終止所有正在運作的虛擬機器（VM），並在加密檔案之前，先為這些檔案加入.cheer的副檔名，這種先更動檔案名稱再加密的做法算是相當少見，但為何駭客要這麼做？研究人員認為，駭客的目的是為了確認能夠擁有足夠的權限，存取即將要加密的檔案。再者，該勒索軟體也在加密所有檔案後，找出事件記錄（Log）檔案與ESXi相關的檔案（VMDK、VMEM、VSWP、VMSN），並留下勒索訊息，向受害組織索討贖金。</p> <p>值得留意的是，在檔案加密的過程裡，駭客透過一組公鑰與私錀，來產生私鑰，並透過Sosemanuk串流加密法製造密鑰（Secret Key），並在遭到加密的檔案嵌入公鑰，然後刪除受害系統上的私鑰，一旦受害者想要恢復檔案，就要向駭客取得前述的私鑰才有機會進行解鎖。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/how-to-hunt-for-decisivearchitect-and-justforfun-implant/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor利用Solaris漏洞取得root權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png" style="width: 300px; float: right;" /></a>數名資安人員在5月上旬，揭露專門鎖定Linux、Solaris主機的後門程式BPFDoor，駭客運用此後門程式長達5年未被發現，最近有資安業者公布更多細節。資安業者CrowdStrike表示，他們從2019年開始針對電信業者的攻擊行動進行追蹤，也發現駭客組織Red Menshen（亦稱DecisiveArchitect）利用BPFDoor（亦稱JustForFun）的攻擊行動，並指出駭客如何掌控執行Solaris作業系統的主機。</p> <p>研究人員指出，駭客在成功入侵Solaris作業系統後，就會利用存在於XScreenSaver元件的漏洞CVE-2019-3010，來取得root權限，這項漏洞存在於Solaris 11版作業系統，CVSS風險層級為8.8分，駭客很有可能連續使用了長達3年之久，且會在投放BPFDoor後利用此漏洞，然後透過LD_PRELOAD環境變數，在受害主機上進行命令列欺騙攻擊。</p> <p>到了今年4月，這些駭客調整了攻擊手法，也在Linux主機上濫用相同的變數，同時透過處理程序/sbin/agetty將BPFDoor載入。除上述發現之外，研究人員也指出，駭客在初期的入侵階段也會攻擊Windows電腦，但他們沒有發現駭客對這些電腦植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vpnmentor.com/blog/mgm-leaked-on-telegram/"><span style="color: rgb(0, 0, 0);">美高梅度假村外洩1.4億筆資料出現在Telegram頻道供人下載</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png" style="width: 200px; float: right;" /></a>駭客透過加密通訊軟體Telegram的頻道，來洩露竊得資料的情況，有可能讓許多人能夠進行濫用。例如，美高梅度假村（MGM Resorts）於2020年上半傳出資料外洩，駭客在地下市集以2,900美元的價格，出售逾1.42億筆住宿資料，但最近這些資料傳出有人透過即時通訊軟體免費散布。</p> <p>VPN服務介紹網站vpnMentor的資安研究人員於5月22日表示，他們看到駭客在Telegram的頻道裡，免費提供上述外洩的資料，這些資料的檔案大小約8.7 GB，共有142,479,938筆住房記錄，至少有3千萬房客受到波及。這些資料的內容，包含了2017年以前的資料，內有房客全名、生日、地址、電子郵件信箱、電話號碼等。</p> <p>不過，上述事故並非駭客首度透過Telegram公布竊得的資料，在今年5月上旬，有人透過Telegram頻道散布2,100萬名VPN用戶的個資，這些服務包含了SuperVPN、GeckoVPN，以及ChatVPN。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/goodwill-ransomware-forces-victims-to-donate-to-the-poor-and-provides-financial-assistance-to-patients-in-need/"><span style="color: rgb(0, 0, 0);">劫富濟貧？以慈善之名道德勒索被攻擊者？勒索軟體GoodWill要求受害者向貧民捐輸，以換取解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png" style="width: 300px; float: right;" /></a>勒索軟體駭客往往要求受害者支付贖金，以換取解密金鑰，但也有駭客要求對方從事公益活動來換取。資安業者CloudSEK指出，他們在今年3月發現名為GoodWill的勒索軟體攻擊行動，而這些駭客最引起研究人員注意的地方，在於提供受害者解密金錀的條件，他們要求對方必須依照指示幫助窮人，然後在臉書、Instagram、WhatsApp等社群網站上公開發布相關訊息。</p> <p>這3件事分別是為無家可歸的人士提供新衣服、帶5個貧窮的兒童到速食店（達美樂、必勝客、肯德基擇一）飽餐一頓，以及為需要緊急醫療的窮人支付相關費用。受害者完成上述要求後，還必須在社群網站上發布訊息，表明自己因為遭到勒索軟體GoodWill攻擊後，依照駭客的要求成為願意幫忙他人的人士。如此一來，駭客就有可能會提供給他們可復原檔案的解密金錀。</p> <p>根據研究人員的調查，駭客很可能來自印度，GoodWill疑似修改自土耳其開發者的勒索軟體HiddenTear，入侵受害電腦後會休眠722.45秒來干擾端點防護系統的分析，並使用AES演算法加密檔案，此外，該勒索軟體還會檢查受害電腦的地理位置。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/vuln-spotlight-open-automation-platform.html"><span style="color: rgb(0, 0, 0);">物聯網與工控設備資料自動化處理平臺OAS重大漏洞恐造成資訊洩露、服務停擺</span></a></strong></h3> <p id="Zyxel">資料自動化排程及處理系統的資安威脅，有可能洩露組織的機敏資料，甚至讓攻擊者遠端執行任意命令。思科威脅情報團隊Talos指出，他們在自動化系統Open Automation Software Platform（OAS Platform）上，找到8個漏洞，當中包含了重大漏洞CVE-2022-26833與CVE-2022-26082，這兩個漏洞的CVSS風險評分達到9.4分、9.1分。攻擊者一旦利用這些漏洞，就有可能在未經身分驗證的情況下使用REST API，或是能執行任意程式碼。</p> <p>其餘的6個漏洞，部分可讓攻擊者透過偽造的網路請求，發動阻斷服務（DoS）攻擊，有的則能讓攻擊者取得資料夾清單，甚至能截取使用者帳密列表，而也有漏洞可被攻擊者用於從外部竄改組態，建立新的群組與使用者帳號。</p> <p>上述漏洞OAS獲報後，已發布OAS Platform 16.00.0112版予以修補，研究人員呼籲用戶應儘速安裝新版程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151131"><span style="color: rgb(0, 0, 0);">Zoom修補可讓攻擊者任意傳送訊息的漏洞</span></a></strong></h3> <p id="Zyxel">隨著遠距工作成為常態，視訊會議系統一旦出現漏洞，有可能讓他人可以隨意向用戶發送訊息。Zoom於5月17日發布用戶端軟體5.10.0版，這個版本修補了Google研究人員通報的4項漏洞，影響電腦版（Windows、macOS、Linux）與行動裝置（Android、iOS）用戶。</p> <p>這些漏洞個別的CVSS風險層級為5.9分至8.1分，但研究人員指出，駭客一旦串連上述4個漏洞，就有可能發動XMPP Stanza Smuggling的攻擊行動，進而以發送XMPP訊息的方式，從遠端伺服器下載並部署惡意程式到對方裝置上，而且過程中無須受害者執行任何操作。Zoom呼籲用戶儘速更新軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc"><span style="color: rgb(0, 0, 0);">PayPal漏洞可被駭客用於點擊劫持攻擊，挾持用戶帳號與金錢</span></a></strong></h3> <p id="Zyxel">研究人員揭露去年通報的漏洞，有可能被用於點選挾持攻擊（Clickjacking）而引起外界關注。資安人員h4x0r_dz最近公布他在去年10月向PayPal通報的漏洞，並指出攻擊者一旦利用這項漏洞，有可能藉著劫持網頁上可點選的內容，引誘使用者點選另一個網頁上的按鈕或是連結。</p> <p>該名研究人員指出，攻擊者可透過這樣的管道，從他人的PayPal帳號偷取金錢，或是利用受害者的PayPal帳號，為自己的Netflix、Steam等線上服務儲值。研究人員也提供概念性驗證攻擊影片驗證上述漏洞。PayPal獲報後已修補相關漏洞，並提供20萬美元獎勵。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/26 16:41作者周峻佑https://www.ithome.com.tw/news/151159
ProtonMail將公司名稱更名為Proton
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於瑞士、專門提供端對端加密電子郵件的<a href="https://proton.me/news/updated-proton" target="_blank">ProtonMail於周三（5/25）宣布</a>，已把公司名稱從ProtonMail變更為Proton，網址也從Protonmail.com改為Proton.me，且使用者只要透過單一帳號就能同時存取Proton Mail、Proton VPN、Proton Calendar與Proton Drive服務。</p> <p>ProtonMail更名的原因與Facebook相仿，它們都是以同名的服務起家，但隨著業務不斷地擴大，只好變更企業品牌以作因應。</p> <p><a href="https://proton.me/pricing" target="_blank">Proton目前提供3種方案</a>，包括免費的Proton Free、強調電子郵件服務的Mail Plus，以及可以無限使用所有Proton服務的Proton Unlimited，後兩者的每月訂閱費用分別是3.99歐元與9.99歐元。不管是使用哪一種方案，都能夠存取電子郵件、VPN、行事曆與硬碟服務，只是規格不同。</p> <p>免費方案僅供應一個電子郵件位址，每日訊息上限為150則，附加檔案最大可達25MB，可建立3個文件匣與3個標籤，容量上限為1GB，另支援1個行事曆，1個來自3個國家的VPN連線，中等VPN速度，1GB的雲端硬碟空間。</p> <p>Mail Plus可有10個電子郵件帳號，以及1個客製化的電子郵件網域，不限訊息數量與文件匣，附加檔案限制同樣是25MB，容量上限為15GB，另支援20個個人行事曆，以及具中等速度的1個VPN連線，15GB的雲端硬碟空間。</p> <p>Proton Unlimited可有15個電子郵件帳號，3個客製化電子郵件網域、25MB的附加檔案，無限的訊息數量與文件匣，容量上限為500GB，另支援20人行事曆，10個來自逾60個國家的快速VPN連線，500GB的雲端硬碟空間。</p> <p>目前不管哪個方案的Proton Drive雲端硬碟服務都仍在測試中，且Proton行動程式的能力依據平臺而有所不同，例如iOS版僅支援電子郵件與VPN服務，Android版則可支援郵件、VPN與行事曆服務，雲端硬碟則尚未出現在行動程式中。</p> </div></div></div>
2022/5/26 18:45作者陳曉莉https://www.ithome.com.tw/news/151163
Luminar挖角蘋果自駕車系統總監CJ Moore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.luminartech.com/attracts-former-nvidia-tesla-apple-and-tier-1-executives/" target="_blank">專門開發自駕車所需之視覺光達與機器感測技術的Luminar在25日宣布</a>，已延攬多名自駕車人才，包括協助成立Nvidia汽車部門的Taner Ozcelik，以及蘋果自駕車系統總監CJ Moore。</p> <p>Ozcelik在2004年至2014年間協助Nvidia創立了汽車部門，離職時擔任Nvidia汽車暨嵌入式業務的總經理，也是Nvidia的副總裁，接著在2014年至2021年間為美國半導體業者ON Semiconductor智慧感測部門的總經理。</p> <p>加入Luminar之後，Ozcelik同樣擁有副總裁及總經理的頭銜，掌管產品開發、研發、專案管理，以及Luminar的半導體業務。</p> <p>至於CJ Moore則有6年的特斯拉（Tesla）工作經歷，為特斯拉自動輔助駕駛軟體Autopilot的總監，並在2021年8月轉至蘋果任職，也是蘋果自駕車系統的總監，不到一年就被挖角至Luminar，將主導Luminar的軟體開發團隊，職稱為軟體副總裁。</p> <p>除了這兩名分別屬於硬、軟體的大將之外，近期Luminar還延攬了多位各路好手，包括協助Luminar擴張中國市場的Jackie Chen，他曾任Harman International中國總裁；現為Luminar的專案管理總經理的Rimjhim Dasgupta則曾於蘋果、AMD與Intel任職；負責生產業務的Jared Jacobs曾是ZF Group全球電子產品總經理；負責Luminar先進開發的Anders Grunnet-Jepsen曾為Intel RealSense技術長；負責Luminar專利的Chris Lubeck曾擔任特斯拉的專利長。</p> <p>Luminar的聲明清楚地描繪了自駕車市場的人才流動，外界則將目光集中在蘋果，因為根據<a href="https://www.bloomberg.com/news/articles/2022-05-25/apple-car-director-moore-heads-to-luminar-after-less-than-a-year" target="_blank">《彭博社》（Bloomberg）的</a>報導，這兩年來蘋果自駕車專案的主管幾乎全都離職了，不過，蘋果同樣也向Ford與Rivian等其它競爭對手挖來新人才。</p> <p>可能是因為有了Ozcelik與Moore助陣，Luminar當天的股價上漲了8.5%，以9.19美元作收。</p> </div></div></div>
2022/5/26 19:12作者陳曉莉https://www.ithome.com.tw/news/151164
微軟正式推出跨平臺開發框架.NET MAUI，可單一專案處理多平臺開發，還支援Blazor框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2022 Build開發者大會上宣布，.NET 6正式內建了.NET多平臺UI開發框架.NET MAUI，可以用C#跟XAML語言開發Android、iOS、Windows、MacOS及Tizen的跨平臺應用程式。.NET MAUI正式版將從新版Visual Studio 2022 17.3開始支援。</p> <p>過去，要在Visual Studio中開發跨行動平臺的App，必須借助Xamarin開發工具。隨著.NET MAUI進入正式版本，意味著微軟開發生態系，更進一步支援iOS和Android兩大行動平臺。 </p> <p>.NET MAUI一大亮點，就是可以在單一專案中進行多種平臺的開發，不再需要為不同平臺的版本分別開專案，省下不少管理和統一各平臺專案的時間。開發人員可以統一管理字體、圖片、圖示等格式，由.NET MAUI將這些設定套用到個別平臺版本中。若有需要，開發人員還是可以針對個別平臺需要調整處寫專門的程式碼，甚至可以像過去一樣，用多個專案來處理個別平臺的版本。</p> <p>除了整合多平臺開發流程，新的.NET MAUI，也與.NET Web開發框架Blazor進行了整合，上面的Web UI元件，可以直接拿來在MAUI上作為多平臺開發用。微軟表示，Blazor元件可以跟其他平臺原生功能互動，例如推播通知、藍芽、定位資訊等，開發人員也可以將各平臺的原生UI控制項和Blazor Web UI混用。</p> <p>其他新功能，包括支援XAML及C#熱重載以及支援多視窗App等。另外，微軟表示，從Xamarin App遷移到.NET MAUI的工作，不只不用大改原始碼，甚至不需要將所有專案合併到單一專案，還是能使用單一專案開發模式的功能。</p> </div></div></div>
2022/5/26 17:52作者郭又華https://www.ithome.com.tw/news/151161
擔心威脅國安，中國學者倡議研發摧毁SpaceX旗下Starlink衛星服務的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然在俄烏戰爭中，馬斯克（Elon Musk）旗下SpaceX的低軌衛星網路服務Starlink助烏克蘭戰區通訊一臂之力，但是中國最近發布的一份報告，倡議中國應研發技術，必要時可摧毁或破壞Starlink衛星。</p> <p>多家歐美媒體引述<a href="https://www.scmp.com/news/china/science/article/3178939/china-military-needs-defence-against-potential-starlink-threat" target="_blank">南華早報周三報導</a>，中國一項期刊《現代防禦技術》2月的一份論文談及，因應Starlink（星鏈）帶來的風險及危機，並對中國提供防衛建議。</p> <p>根據這份名為《<a href="https://www.xdfyjs.cn/article/2022/1009-086X/1009-086X-2022-50-2-11.shtml" target="_blank">星鏈計畫發展現狀與對抗思考</a>》的論文，Starlink是規模最大，發射衛星最多，最具代表性的低軌互聯網星群，但也為中國帶來潛在威脅及挑戰，中國應因應Starlink帶來的風險和危機，以維護中國主權及國家安全。</p> <p>目前Starlink已經發射至少2,400顆衛星。但SpaceX已獲准發射近1.2萬顆衛星，還計畫再發射3萬顆，總數將達4.2萬顆，是迄今為止提出的規模最大的衛星星系通訊連網服務。</p> <p>報告指出，Starlink衛星數量龐大，部分衛星將會作為美國軍事用途。而這類數量多、體積較小、功能單一的衛星，若結合更多無人、自主系統，可構成自主靈活的殺傷網路。<a href="https://www.theregister.com/2022/05/25/beijing_starlink_takedown/" target="_blank">The Register</a>引述南華早報報導，在Starlink協助下，美國隱形轟炸機及軍事無人機資料傳輸率可再提升1%。</p> <p>因此該論文建議中國應發展監測及識別技術，像是以多平臺多類型感測器，監控衛星的形狀、動態、信號等資訊，並以多來源資訊整合處理提高目標及酬載識別能力，並提供威脅評估。</p> <p>該論文並提及，針對狀態異常的部分衛星，則採取「軟殺傷」與「硬殺傷」相結合的方式，使部分Starlink衛星喪失功能，破壞星系運行。一般而言，「硬殺傷」方式像是以機械手臂攫取衛星或將之移位並墜落到大氣中燒毁，「軟殺傷」方式則包括無線電干擾（Jamming）或欺騙干擾（Spoofing）。</p> <p>不過這項論文的觀點並不新。美國及其他國家已發現俄國及中國都積極發展反衛星技術，包括<a href="https://indsr.org.tw/tw/News_detail/3401/%E4%B8%AD%E5%9C%8B%E6%A9%9F%E6%A2%B0%E8%87%82%E5%AF%A6%E8%B8%9017%E8%99%9F%E8%A1%9B%E6%98%9F" target="_blank">機械臂</a>、讓<a href="https://www.chinatimes.com/realtimenews/20211022002670-260417?chdtv" target="_blank">衛星故障的小型爆炸</a>及反衛星導彈等。</p> </div></div></div>
2022/5/26 16:14作者林妍溱https://www.ithome.com.tw/news/151158
a16z設立第四個加密貨幣基金，規模達45億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://a16zcrypto.com/crypto-fund-four/" target="_blank">知名美國創投業者Andreessen Horowitz（a16z）在25日宣布</a>設立第四個加密貨幣基金，此一最新基金集資了45億美元，其中的15億美元將為種子投資專用基金，另外的30億美元則為風險投資，而這也是a16z迄今規模最大的加密貨幣基金。</p> <p>a16z深信現在是Web3的黃金時代，可程式化的區塊鏈已足夠先進，其多元化的應用也已吸引了數千萬名使用者，更重要的是全球有大量的頂尖人才投入了Web3領域，這些充滿熱情的人才企圖要建立一個更好的網路。</p> <p>在2018年設立了3億美元的第一個加密貨幣基金之後，之後由a16z所設立的基金規模都愈來愈大，2020年的Crypto Fund II集資了5.15億美元，2021年的Crypto Fund III集資了22億美元，今年誕生的Crypto Fund IV則是45億美元，使得由a16z所主導的加密貨幣基金總規模已超過76億美元。</p> <p>a16z指出，這些基金將用來在每一個階段投資有前景的Web3新創，包括Web3遊戲、分散式金融、分散式社交媒體、身分自主權、第一層與第二層的基礎設施、橋接架構、分散式自治組織、NFT社群、隱私、創作者經濟、再生金融及零知識證明（ZK proofs）的新應用等。</p> <p>相較於a16z在Web3領域的積極，Twitter共同創辦人Jack Dorsey及特斯拉創辦人馬斯克（Elon Musk）並不看好Web3。Musk不僅說他找不到Web3，也曾毫不客氣地說「Web3聽起來像bs」，而Dorsey則認為標榜分散式、去中心化的Web3，最終還是會成為權力集中的平臺。</p> </div></div></div>
2022/5/26 13:36作者陳曉莉https://www.ithome.com.tw/news/151141
Meta擴大在微軟Azure推動AI專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在微軟Azure上進行PyTorch等AI研發。在Build 2022大會上，<a href="http://news.microsoft.com/wp-content/uploads/prod/sites/636/2022/05/Meta-MSFT-announcement-FINAL.pdf" target="_blank">微軟和Meta聯合宣布</a>，Meta將以Azure雲端部署AI應用，包括擴大執行機器學習框架PyTorch。</p> <p>首先Meta AI部門將利用專屬的Azure 叢集執行大規模AI研究任務。<a href="https://docs.microsoft.com/en-us/azure/virtual-machines/ndm-a100-v4-series" target="_blank">這個叢集使用NDm A100 v4 系列虛擬機器</a>，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每VM互聯interconnect頻寬達1.6TB/s，將在去年後展現成果後，再次負擔Meta部分大型AI研究任務。</p> <p>2021年Meta首度將部分大型AI研究放上使用A100 Tensor Core 80GB GPU的Azure VM。微軟聲稱，這個環境下，每個VM之間GPU對GPU頻寬是其他公有雲業者的4倍，可用於分散式AI訓練。例如Meta就用它來訓練OPT-175B語言模型。微軟也強調NDm A100v4 VM具設定彈性，可自動適合任何規模的叢集，還能動態由數顆GPU擴充為數千顆，並能在實驗中暫停及再續。而在今年，Meta AI團隊又將以Azure執行更多機器學習訓練任務。</p> <p>此外，Meta也計畫擴大使用微軟的<a href="https://azure.microsoft.com/zh-tw/develop/pytorch/#what-is-pytorch" target="_blank">PyTorch on Azure服務</a>。PyTorch是開源Python機器學習框架。Azure將為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟計畫打造新的PyTorch開發加速器，以便更容易在Azure上部署PyTorch框架。</p> <p>此外微軟也表示會提供PyTorch的支援，協助Meta或其他客戶及合作夥伴在公有雲及邊緣裝置上部署PyTorch模型。</p> </div></div></div>
2022/5/26 12:32作者林妍溱https://www.ithome.com.tw/news/151133
Amazon智慧服飾店在洛杉磯開幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=c67K8JO1WJE" target="_blank">Amazon今年初宣布的智慧服飾店Amazon Style</a>，本周在洛杉磯開幕。</p> <p>Amazon Style占地3萬平方英呎（約870坪），販售男女服飾、鞋子與配件，商品涵括知名及新興品牌以滿足各階層消費者。Amazon表示，該公司第一家服飾店旨在結合進階科技及零售運作和人員，提供使用者個人化的便利購物體驗。店內集結AI、觸控螢幕及自動化科技，消費者看中展示架上的商品後，利用手機App掃一下旁邊的QR code可看到有現貨的顏色、尺寸或消費者評價等資訊。Amazon的AI演算法也會提供穿搭推薦。</p> <p>選定後按一下App，App會告知消費者前往哪家試衣間。消費者不必抱著衣服過去，人到試衣間後就能直接試穿已準備好的商品。若是在試衣間想換商品，也可以透過App叫貨，不需再跑出來選購，商品會直接送進試衣間。</p> <p class="rtecenter"><img alt="" src="https://m.media-amazon.com/images/G/01/ksm/S1_ComingSoon/LandingPage/AS_FR-Screen_WomensHero_Spring22_051322_1000x1000.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>試裝完畢，消費者即可帶著想要的商品前往結帳臺結帳。除了傳統的信用卡結帳外，Amazon Style也設有Amazon One掌紋辨識支付系統。</p> <p>雖然強調高科技，但不像Amazon Go、Amazon Fresh等超市強調無人、自助服務，Amazon Style特別強調店內服務人員提供的銷售協助。</p> <p>此外，消費者也可以先在線上訂貨，並在這家實體店面試穿，不滿意也可以直接在店面退貨。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/c67K8JO1WJE" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2022/5/26 12:45作者林妍溱https://www.ithome.com.tw/news/151139
Twitter以帳號安全資訊執行目標式廣告，遭FTC判罰1.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-charges-twitter-deceptively-using-account-security-data-sell-targeted-ads" target="_blank">美國司法部與美國聯邦交易委員會（FTC）25日宣布</a>，已就Twitter侵犯用戶隱私一案與Twitter達成和解，將要求Twitter支付1.5億美元的罰款，並採用更強固的隱私保護政策，只待聯邦法院同意。</p> <p>此案最早可追溯到2009年，該年駭客兩度入侵了Twitter的管理員帳號，進而控制了Twitter少數用戶的帳號，存取受害用戶的私人訊息，還發送偽造的推文，其中一名受害者是當年剛就任美國總統的歐巴馬（Barack Obama）。</p> <p>後來FTC與Twitter在2011年達成和解，條件是Twitter同意在未來的20年都不得於用戶資訊的安全及隱私等描述上誤導使用者，也必須採取措施避免有人未經授權存取用戶的非公開資訊，以及尊重用戶的隱私選擇。</p> <p>然而，FTC卻發現Twitter在2014年至2019年間，以改善用戶帳號安全為名，要求用戶提供電話號碼或電子郵件位址，卻利用這些個人資訊讓廣告主執行目標式廣告。</p> <p>調查顯示，Twitter向使用者表示這些個人資訊可用來協助重設使用者密碼，或是解鎖帳號，也可作為雙因素認證使用，以簡訊或電子郵件傳遞一次性的登入代碼。不過，Twitter卻允許廣告主以來自資料掮客的資料比對Twitter用戶的個人資訊，以傳送目標式廣告。</p> <p>FTC指出，這不僅違反了雙方在2011年達成的協議，也侵犯了《FTC Act》，同時觸犯美國與歐盟之間，以及美國與瑞士之間的《隱私盾》（Privacy Shield）資料傳輸保護協議。</p> <p>這讓FTC決定判罰Twitter 1.5億美元，同時禁止Twitter再自這些透過欺騙而蒐集的資料獲利，允許用戶採用手機及電子郵件以外的雙因素認證機制，通知那些個資被用來進行目標式廣告的用戶，以及限制員工對用戶個資的存取能力。</p> <p>Twitter已與FTC達成此一新的和解協議，只待法官批准。</p> <p><a href="https://www.ithome.com.tw/news/150620" target="_blank">Twitter在4月25日同意接受</a>馬斯克（Elon Musk）提出的每股54.2美元、總價440億美元的收購提議，但<a href="https://www.ithome.com.tw/news/150920" target="_blank">馬斯克於5月13日公開質疑</a>Twitter的假帳號比例可能高於財報中所揭露的5%，決定暫緩收購，使得Twitter的股價隨著馬斯克的舉動與發言大坐雲霄飛車，</p> <p>不過，<a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922064655/tm2216931d1_sc13da.htm" target="_blank">Twitter周三（5/25）提交的SEC文件顯示</a>，馬斯克已取得了欲收購該公司的更多融資，從原本的272.5億美元增加到335億美元，此外，Twitter也在周三向股東表示該交易正在進行中，透露出此一併購案並未停擺。</p> <p>同一天Twitter共同創辦人暨前任執行長Jack Dorsey亦宣布退出Twitter董事會，且即日起生效。</p> </div></div></div>
2022/5/26 13:17作者陳曉莉https://www.ithome.com.tw/news/151140
Zoom修補可讓攻擊者傳送訊息攻擊用戶的零點擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://explore.zoom.us/en/trust/security/security-bulletin/" target="_blank">Zoom上周發出安全公告</a>，修補4項漏洞，這些漏洞串聯起來讓攻擊者傳送訊息給用戶，不需用戶互動，即可導致惡意程式在PC或手機上執行的漏洞。</p> <p>這4項漏洞為Google Project Zero研究人員Ivan Fratric揭露，影響手機（Android、iOS）及桌機（Linux、macOS、Windows）版本Zoom Meetings用戶端軟體5.10.0以前版本。Zoom已釋出最新版本5.10.0，呼籲用戶儘速安裝更新版本。</p> <p>4項漏洞中，最嚴重的是CVE-2022-22784，它是這個軟體對XMPP訊息的XML Stanza解析不當，其次是CVE-2022-22786，屬於更新套件降級（Update package downgrade），兩者風險值分別為8.1及7.5。另2項風險值5.9的漏洞中，CVE-2022-22787屬於對伺服器交換呼叫的主機名稱驗證不當， CVE-2022-22785則是未能將用戶端連線cookies限制在Zoom網域。</p> <p>雖然僅一個重大風險漏洞，但是<a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=2254" target="_blank">研究人員Fratric指出</a>，4項漏洞串聯起來則可發動名為「XMPP Stanza 偷運」（XMPP Stanza Smuggling）的攻擊。攻擊者可在聊天對話中傳送XMPP訊息即可在用戶裝置上，從惡意伺服器安裝惡意程式，而且成功的攻擊不需對方做任何動作。</p> <p>研究人員說明，XMPP Stanza偷運可讓攻擊者置換用戶接到的訊息，可用於多種目的，像是冒充是來自另一個用戶的訊息，到冒充某臺遠端伺服器（如Dropbox、Sharepoint、Google Drive等）傳送控制指令。</p> <p>研究人員也展示概念驗證，設立伺服器進行中間人攻擊（man-in-the-middle），之後則可執行任意程式碼。</p> </div></div></div>
2022/5/26 12:11作者林妍溱https://www.ithome.com.tw/news/151131
Google公開最新圖像生成AI，輸出結果比OpenAI DALL-E 2更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Brain發表了最新圖像生成人工智慧研究，提出一種稱為Imagen的人工智慧系統，可透過解析使用者的文字輸入，創建出寫實的圖像，與當前其他先進的圖像生成演算法，諸如VQ-GAN、LDM和DALL-E 2比較，人類皆傾向覺得Imagen所產生的圖像更真實，也更符合輸入的文字敘述。</p> <p>Imagen為文字生成圖像擴散模型（Diffusion Model），能夠深度理解文字的意義，並且輸出如照片寫實的圖像。Imagen建立在大型Transformer語言模型之上，因此擁有強大的文字理解能力，並且仰賴擴散模型生成高傳真圖像。</p> <p>研究人員提到，他們發現像是T5這類，經過純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上非常有效。藉由增加Imagen中語言模型的大小，就可以提高樣本真實度，以及圖像與文字描述的一致性，比起增加擴散模型大小還有效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201238%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Imagen雖然沒有在COCO（Microsoft Common Objects in Context）資料集中訓練過，但可獲得目前最低的7.27 FID分數（越低越好），而且人類評估者也發現，在圖像和文字一致性上，Imagen樣本與COCO資料集相當。</p> <p>Google還利用DrawBench基準測試，來進一步評估Imagen文字生成圖像的能力，DrawBench是一個在文字生成圖像領域，更全面也更具挑戰性的基準測試。藉由將Imagen與VQ-GAN、LDM和DALL-E 2演算法一起，進行空間關係、長篇文字和罕用字等系統性測試，並由人工評估演算法的圖像與文字一致性，還有圖像的真實性。</p> <p>由下圖可見，無論是在圖像與文字的一致性（Alignment），還是圖像真實性（Fidelity），人類普遍認為Imagen表現的比VQ-GAN、LDM與DALL-E 2更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201241%20-%20Imagen_%20Text-to-Image%20Diffusion%20Models%20-%20imagen_research_google.jpg" style="width: 580px;" /></p> <p>Google暫不對外開放Imagen，並把未來工作放在解決開放的挑戰與限制上，研究人員提到，雖然他們已經過濾了訓練資料集，並且採用不當內容LAION-400M資料集，來避免模型產生有害的內容，但是因為Imagen仰賴使用未經過濾的網路資料，所訓練出來的文字編碼器，因此Imagen仍可能存在一些有害刻板印象。</p> <p>另外，當前人們對於圖像生成文字，以及圖像標記模型做了大量的審查工作，以避免產生社會偏見，但是文字到圖像模型的社會偏見評估工作相對較少，Google研究人員經過內部評估，已發現Imagen存在一些社會和文化偏見，像是整體來說，圖像人物的膚色偏淺，對職業的描繪，也更傾向西方性別刻板印象。</p> <p>因此即便Imagen的能力強大，但目前Google仍不打算開源Imagen的程式碼，也不提供公開展示，原因在於文字生成圖像模型的下游應用非常多樣，且可能以複雜的形式影響社會，考慮到潛在的風險，Google暫不對外開放Imagen，直到開發人員建立起負責任的外部框架，來平衡無限制開放所帶來的風險。</p> </div></div></div>
2022/5/26 09:21作者李建興https://www.ithome.com.tw/news/151126
【資安日報】2022年5月25日，駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員的攻擊行動，本週我們在23日報導有人假冒知名的Apache Kafka用戶端Python套件，在PyPI套件庫上架名為pymafka的惡意軟體，但這種鎖定PyPI套件庫而來的攻擊行動今天再度發生，而且，攻擊者也同時針對PHP版本的套件出手。</p> <p>使用者在不同網站服務共用相同帳密的情況，也相當嚴重，這也使得駭客可能得以透過帳號填充攻擊（Credential Stuffing），取得他們多個系統的帳號控制權。美國汽車製造商通用（GM）近期指出，有部分車主的帳號遭人利用上述手法存取，並盜用當中的紅利點數。</p> <p>日前VMware針對旗下的多項產品修補身分驗證漏洞CVE-2022-22972，近期有資安業者表示他們已能觸發漏洞，並提出警告。因為，這樣的情況表示也可能有人可能也破解漏洞，並打算加以用於攻擊行動。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-ctx-compromised-are-you-at-risk"><span style="color: rgb(0, 0, 0);">駭客竄改知名PyPi套件與PHP程式庫，意圖竊取開發者的AWS帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png" style="width: 300px; float: right;" /></a>駭客針對開發者下手的資安事故，有不少是針對NPM套件而來，但近期有人同時對於兩種不同的套件庫出手。資安業者Sonatype於5月15日發現，近期名為ctx的PyPI套件出現新的版本0.2.2，但在該公司進一步分析後，確認此版本帶有惡意程式碼，開發者安裝後將會在受害電腦收集相關環境變數，並回傳到特定的網域。</p> <p>值得留意的是，研究人員在21日，看到攻擊者再度出手，針對原本於2014年發布的0.1.2版進行竄改，加入上述的惡意程式碼。對此，研究人員對開發人員提出警告，即使使用這些套件的先前版本，還是有可能遭到波及，因此，使用者下載套件後還是要進行檢查，來確保取得的是沒有遭到竄改的版本。</p> <p>無獨有偶，駭客也對於ctx程式庫的PHP版本PHPPass出手，提交有問題的程式碼，功能同樣是收集受害電腦的相關變數並進行回傳。而駭客發動攻擊的意圖，研究人員Somdev Sangwan推測，很有可能是為了竊取開發人員的AWS帳密與相關參數。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf"><span style="color: rgb(0, 0, 0);">美國汽車製造商通用遭到帳號填充攻擊，導致車主資料外洩</span></a></strong></h3> <p>先前有駭客針對航空公司的里程點數下手，入侵旅客的帳號，但最近有人鎖定汽車製造商提供車主紅利的系統發動攻擊。美國汽車製造商通用（General Motors，GM）自5月16日開始，開始發送電子郵件通知部分車主，他們的GM帳號可能在4月11日至29日之間，出現異常登入的情形，而且，這些車主的紅利點數疑似遭到盜用。</p> <p>經過調查後發現，車主外洩的資料包含了姓名、電子郵件帳號、照片、搜尋記錄、累積點數的記錄等，不包括生日、社會安全碼、駕照、金融資訊。該公司察覺此事後已停用這些帳號的點數功能，並要求用戶重設密碼。</p> <p>而對於此事造成的原因，GM指出駭客是透過帳號填充（Credential Stuffing，亦稱撞庫）攻擊而得手，藉由車主已遭外洩的其他網站應用程式帳密，嘗試存取GM網站，他們呼籲用戶，不要在多個服務使用相同的帳號和密碼，讓攻擊者有機可乘。根據資安新聞網站Bleeping Computer的報導指出，GM的車主網站未提供雙因素驗證機制，也是這起事件之所以發生的另一項原因。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/twisted-panda-chinese-apt-espionage-operation-against-russians-state-owned-defense-institutes/"><span style="color: rgb(0, 0, 0);">中國駭客假冒俄羅斯聯邦衛生部，攻擊國防研究機構</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png" style="width: 300px; float: right;" /></a>中國與俄羅斯關係匪淺，但在中國政府遲遲沒有具體表明烏克蘭戰爭的立場下，近期卻不斷傳出該國駭客攻擊俄羅斯的情況。例如，資安業者Check Point揭露他們在上個月發現的Twisted Panda攻擊行動，中國駭客組織APT10（亦稱Cicada、Stone Panda）與Mustang Panda（亦稱HoneyMyte、RedDelta）聯手，針對俄羅斯國防公司Rostec旗下的兩個研究機構，以及位於白俄羅斯明斯克的實體下手，這些駭客假冒俄羅斯聯邦衛生部（Russian Ministry of Health），並以美國對當地企業進行制裁的名義，發動釣魚郵件攻擊，挾帶含有惡意內容的Word檔案。</p> <p>一旦收信人開啟，該文件就會從外部下載DOTM範本檔案，而這個Word範本內含的巨集程式碼則會從作業系統核心導入API函數並使用，進而載入名為cmpbk32.dll或cmpbk64.dll的程式庫，並在受害電腦植入後門程式Spinner。</p> <p>研究人員指出，根據他們進一步調查的結果，這些攻擊工具約從2021年3月開始開發，並採用進階的規避偵測手法，像是透過記憶體內多層載入，或是編譯器層級的混淆手法等，很可能約自2021年6月就用於攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-exploit-for-new-vmware-auth-bypass-patch-now/"><span style="color: rgb(0, 0, 0);">針對VMware修補的身分驗證重大漏洞，研究人員預告將發布概念性驗證攻擊程式</span></a></strong></h3> <p id="Zyxel">VMware於5月18日修補CVE-2022-22972、CVE-2022-22973（CVSS風險層級為9.8分與7.8分），<a href="https://www.ithome.com.tw/news/151000#CVE-2022-22972">美國更要求聯邦機構要在5天內著手處理</a>，現在有資安業者拆解漏洞後提出警告。資安業者Horizon3.ai近日表示，他們已經成功重現存在於Workspace ONE等產品的漏洞CVE-2022-22972，該公司也預告將會發布概念性驗證攻擊程式（PoC），以及對於該漏洞詳細的技術細節。研究人員亦呼籲用戶要儘速採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291042"><span style="color: rgb(0, 0, 0);">趨勢科技修補已遭中國駭客濫用的DLL挾持漏洞</span></a></strong></h3> <p id="Zyxel">資安業者於5月初，揭露<a href="https://www.ithome.com.tw/news/150742#Moshen-Dragon">中國駭客組織Moshen Dragon在攻擊行動中，濫用多個廠牌的防毒軟體元件執行惡意程式</a>，最近有防毒業者針對旗下產品修補相關弱點。根據資安新聞網站Bleeping Computer的報導，趨勢科技於5月20日發布資安通告，表示他們針對Moshen Dragon駭客組織利用的漏洞著手修補，並已透過主動式更新機制（ActiveUpdate）派送到用戶電腦。該公司指出，這項漏洞波及的範圍，主要是個人版的端點防護產品，企業版解決方案不受影響，但沒有明確列出受影響的產品名單。</p> <p>但對於其他遭到駭客濫用的防毒軟體元件，相關業者是否會跟進予以修補？<a href="https://www.bleepingcomputer.com/news/security/trend-micro-fixes-bug-chinese-hackers-exploited-for-espionage/">資安新聞網站Bleeping Computer指出</a>，目前僅有Bitdefender向他們提出說明，表示旗下防毒產品用戶不會受到DLL搜尋順序挾持（DLL Search Order Hijacking）攻擊影響，該公司也不會發布資安通告。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/25 18:46作者周峻佑https://www.ithome.com.tw/news/151130
【幕後推手揭3關鍵：動線、診斷碼套餐及大規模防疫經驗】北榮車來速為什麼成功？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月17日，臺北榮總「車來速」防疫急門診正式在中正紀念堂上路。這個將看診、領藥、PCR採檢3大流程集於一身的一站式醫療服務，至5月22日下午、短短不到一周，就累計1萬多人來採檢，平均一天檢驗近1,800人，動線流暢更獲好評。臺北榮總是怎麼做到的？</p> <p><strong><span style="font-size:24px;">關鍵1：設計4條動線分流處置</span></strong></p> <p>臺北榮總副院長李偉強是車來速急門診的一大推手，他親自揭露了車來速的成功關鍵。第一是分流的動線規畫。他指出，團隊設計流程時，畫分出4線道，先分流乘坐不同交通工具的民眾。比如，1號線道專收徒步行人，2號則供騎單車、摩托車的民眾看診，3號、4號線道則針對汽車乘客。後兩者的不同之處在於，第3線道專門服務2人（含）以下的駕車民眾看診，4號線則鎖定3人以上的高乘載汽車，或有12歲以下孩童的駕車民眾看診，這也是親子友善的車道。</p> <p>臺北榮總特別將高乘載汽車獨立出來，來自對他人經驗的觀察，「這類高乘載車流速較慢、容易卡住，因此獨立成單一線道，來服務特定族群，」李偉強說，如此就能保持動線流暢。除此之外，臺北榮總還特別加派人力，原本每一線道各由1組醫護服務，但4號線道例外，2組人馬在兩側車窗待命，民眾駛入線道時，只要搖下車窗，醫護人員即可在兩側同時問診、採檢，縮短作業時間。</p> <p>不管是哪一條分流，臺北榮總在每一個線道上，都規畫了3個關卡。首先是報到、問診，民眾先繳交健保卡給現場人員過卡、確認身份，並提供快篩陽性證明。接著由醫師問診，發送檢驗試管和4聯條碼貼紙給民眾。</p> <p>完成後，民眾前行2公尺進入下一站，來繳費和領藥。此時，民眾繳交條碼貼紙給藥劑人員，可用悠遊卡、信用卡或現金繳費，之後取得藥品和收據。接受悠遊卡和信用卡的多元支付方式，也是縮短流程的巧思之一。</p> <p>從第2站再向前2公尺，就到達最後一站，也就是採檢。這一站的步驟也很簡單，乘車民眾不必下車，繳交條碼貼紙後，透過車窗露出鼻子即可讓醫護人員採檢。至此，車來速防疫急門診的所有關卡就全數完成。民眾返家後，可等待簡訊通知PCR檢驗結果，或自行上健保快易通App查詢資料。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BB%8A%E4%BE%86%E9%80%9F.jpg" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">臺北榮總將車來速急門診分為4線道、3關卡，線道部分包括行人專用線道、單車與機車線道、2人以下汽車道，以及3人（含）以上或有12歲以下孩童的高乘載線道，每線道都由1組醫護人員服務，第4線道則有2組，在車窗兩側待命。（圖片來源：臺北榮總）</span></p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-25%20at%202_23_35%20PM.png" /></p> <p>臺北榮總將車來速急門診分為4線道、3關卡，3關卡則包含問診、領藥和採檢，主要採預約制，讓民眾先行填寫基本資料和症狀勾選，加速現場作業。這些事項也於預約系統中說明。（圖片來源：臺北榮總車來速預約系統截圖）</p> </blockquote> <p><strong><span style="font-size:24px;">關鍵2：系統資料同步、診斷代碼套餐</span></strong></p> <p>除了動線分流設計之外，臺北榮總車來速順暢的另一關鍵是，看診資料預填和診斷代碼套餐組合，這兩者所帶來的加速效益。</p> <p>車來速急門診服務採線上預約制，每日開放1,200人預約，民眾可從3個時段擇一來看診、領藥和採檢。線上預約的基本資料輸入表單，採取了特別的設計。李偉強點出，這個預約系統，事先列出了後續看診和上傳健保署所需的資料欄位，像是民眾基本資料（如姓名、性別、電話、出生年月日等），快篩狀況，以及症狀，並提供了發燒、咳嗽、腹瀉、關節痠痛等近30個選項，讓民眾勾選。預約系統還針對小朋友，多了一個體重欄位，「這非常重要，它攸關後續看診、開藥的流程加速，」李偉強說。</p> <p>這些預約資料會上傳到臺北榮總雲端系統，再透過北榮API下載至醫院HIS系統。當民眾依預約時間進入第一關，透過健保卡插卡、核對身份後，醫院HIS系統，會自動將事先填寫的資料，帶入到車來速專屬醫療系統，讓車來速系統的資料與醫院系統同步，來節省現場手動輸入的時間。李偉強指出，這個比對過程非常快，不到1秒就能下載資料、秀在螢幕上，讓醫護一目了然。</p> <p>除了預約，臺北榮總也開放民眾現場排隊，並當場準備3臺平板電腦，讓民眾在等待時，可先掃描QR Code，登入系統來填寫資料。</p> <p>這些事先填寫的資料，大大提高醫師現場問診的效率。關鍵是，預約系統上已要求民眾勾選症狀，醫師可直接就這些症狀進行確認，來決定該開何種藥品。</p> <p>接著就是診斷代碼套餐大顯身手之處。</p> <p>進一步來說，一般就醫看診、開藥，不僅涉及許多資料要填寫，比如初診病患、首次採檢民眾，得先填寫基本資料，醫師看診、開藥等這一系列醫療行為，還得化為一個個代碼，與基本資料一同紀錄在醫令系統中，作為後續健保申報的依據。</p> <p>這些代碼包括醫令碼、處置碼、診斷碼、藥品碼等，比如，收取門診掛號費會有一個處置代碼來表示，而根據患者身分和就診方式，也有各自的身分代碼來分類。針對患者的不同症狀，還有專屬的診斷代碼來描述，以及最後，還有針對症狀開立的藥品代碼。</p> <p>這些代碼五花八門、數量之多，醫院常見的加速做法是，根據特定族群、病症和藥品，比如罕見疾病，設計出專屬診斷代碼套餐，一鍵帶入醫令碼、診斷碼、藥品碼等代碼，省下醫師查找代碼的時間，以及因急忙或勞累造成的人為輸入錯誤風險。</p> <p>臺北榮總也將這個做法，應用於這次的車來速急門診中。他們先將診斷代碼打包為6種套餐，大人2種、小孩4種，其中，大人套餐還分為A套餐的「呼吸道症狀」和B套餐的「呼吸道症狀加腸胃道症狀」，並根據這些代碼，配置相對應的5日份藥品。而小孩的4種搭配，先以體重20公斤以上和以下來分類，再按照大人的A、B套餐搭配邏輯和做法，而20公斤以下的孩童，藥劑量則減半，因此共有4類（20以上A，20以上B和20以下A、20以下B）。這正是北榮預約系統中，必須事先詢問孩童體重的原因，用來搭配特定一組診斷代碼，以加速配藥和選藥的流程。</p> <p>臺北榮總根據這些代碼套餐，事先備妥相對應藥品，當醫師問診確認後，就能快速處理醫療代碼，並給予正確藥品。</p> <p>儘管這些系統上的設計不像車道動線那般顯而易見，卻正是臺北榮總車來速快速、流暢的隱形關鍵。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AA%AA%E6%98%8E(1).jpg" /></p> <p>臺北榮總副院長李偉強不分假日至現場指揮、討論，他表示，這次車來速能兼顧速度的原因之一是診斷碼套餐，也就是先將一系列醫令碼、診斷碼、藥品碼等分類，打包成一組組套餐，縮短醫師輸入時間與開藥時間。（圖片來源：臺北榮總）</p> </blockquote> <p><span style="font-size:24px;"><strong>關鍵3：大規模抗疫經驗累積</strong></span></p> <p>話鋒一轉，「這些系統、動線設計，都不是一蹴可幾、憑空冒出的！」李偉強表示，車來速能順利上路，是臺北榮總從過去一次次的大規模抗疫經驗，累積而來的成果。例如，車來速醫療系統，就是以先前開發的系統為基礎，不斷改版、優化而成。</p> <p>李偉強回憶，去年，臺北榮總進駐苗栗京元電子，對5,000多人進行PCR採檢，當時開發了一套醫療系統處理採檢相關資料，這也是車來速系統的前身。</p> <p>後來，去年7月，臺北榮總團隊進駐臺北市3大果菜市場，執行大規模採檢，他們分別在萬大市場、濱江市場、環南市場，當天就完成上千人採檢作業、發出報告。在那幾次採檢經驗中，團隊發現，有些民眾並未預約，而是現場排隊採檢。因此，臺北榮總調整系統，改為可執行預約和現場採檢的新版本。</p> <p>緊接著，去年下半年，臺北榮總承接大規模疫苗接種作業，在中正紀念堂接種了上萬人次的疫苗，也同時修正系統、繼續優化。今年，這些難得的第一線實務經驗進一步擴大，納入了開藥功能，才發展出了車來速系統。「這套系統不是突然冒出一支程式，也不是安裝一支商用程式就可以用，而是累積過去經驗、一路發展過來，」李偉強強調。</p> <p>這套串起車來速流程的IT系統背後，還有一組默契無間的團隊，在系統上線前後，不斷滾動式更新、維運。這一群人不只是資訊人員，還包括了醫藥護檢人員、行政人員，發揮彼此的專業角度，每天開會討論、調整作法。身為帶頭跑的關鍵人物，所有成員的辛勞，李偉強都看在眼裡。他指出，為了讓民眾採檢更順利，工程師們甚至會趕在半夜修改程式、進行測試。</p> <p>5月16日，團隊帶著這些知識和經驗，進駐中正紀念堂試營運。他們從無到有安裝電腦、安裝程式，再到實際插卡測試、預跑流程，順利完成部署。隔日正式啟動服務，至5月22日下午短短幾天，累計採檢人數破萬，其中8成都有領藥。這個成功模式，不只是許多醫院的參考典範，也將繼續營運下去，直到疫情趨緩。文⊙王若樸</p> </div></div></div>
2022/5/25 14:51作者王若樸https://www.ithome.com.tw/news/151118
NCC公布新版網際網路視聽管理法草案架構，加強納管OTT TV業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC今天通過新版網際網路視聽管理法草案架構，採用數通法（數位通訊傳播服務法草案）精神，對不同大小規模的OTT TV業者設計層級化的應盡義務，主管機關公告的OTT業者需辦理登記。至於提供侵權視聽內容者，嚴重者可要求電信業者拒絕提供違法OTT業者必要之通訊服務。</p> <p>首先在該草案管理對象上，新版草案架構比照數通法及歐盟的規範，在臺灣設有商業據點，或雖然沒設商業據點，但和我國有實質關聯，從事網際網路視聽服務，且具有一定規模者，例如Netflix、Line TV、myVideo等。至於分享使用者原創內容UGC服務的平臺，如YouTube、Facebook、Instagram等，並非OTT TV法管理的對象。另外，因先前經濟部根據兩岸關係條例，公告禁止中國OTT業者在臺經營，因此此次新版OTT TV法草案管理對象不包括中國OTT業者。</p> <p>對於如何認定和我國有實質關聯，NCC參照歐盟法規，判斷的標準包括該OTT業者在我國境內有顯著的使用者數量，或是以我國為其商業活動的主要目標等等。</p> <p>相較於前一版草案要求業者自願登記，新版本草案考慮到該產業變動較大，改採行為管理的方式，原則上業者不需登記，但業者符合規定，沒有享有豁免條件者，必需遵守OTT TV法所定的一般義務。但對於較大規模的業者，根據其使用者數量、重大公共利益，由NCC公告應辦理登記的業者，除了遵守一般義務之外，還需遵守特別義務。</p> <p>依據OTT業者的規模大小負有不同的義務，除了微型業者因規模太小得以豁免之外，所有OTT業者需負一般義務，包括揭露基本資料、遵守服務內容規範、資料調取、提供內容需取得合法授權，境外業者需指定代理人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-05-25%20%E4%B8%8B%E5%8D%885_24_23.jpg" style="width: 600px; height: 447px;" /></p> <p>NCC將參考使用者數量，或認定具有重大公共利益，公告應辦理登記的業者，除了一般義務，還需遵守特別義務，例如依規定辦理登記、遵守變更登記規範、揭露及遵守服務使用條款、必需符合我國內容產製規範、加入自律組織、預定暫停或終止營業者應提前向使用者告知並提供補償。</p> <p>新版草案也加入處罰手段，若OTT業者對外提供侵害著作權的內容，經法院判定違反著作權法，因違法所產生營業行為不當，主管機關NCC處以罰鍰、限期改正，情重嚴重者，主管機關可勘酌情形採取必要、最終的手段，要求電信業者或ISP拒絕提供必要電信服務及通信傳遞，或為必要之處置。</p> <p>對於境外OTT業未指定代理人，或是經公告而未辦理登記的業者，主管機關限期改正、處以罰鍰之外，同樣也可採取最終手段，要求電信業者或ISP拒絕其必要電信服務及通信傳遞。</p> <p>至於罰鍰的部分，目前NCC僅先公告草案的架構，尚未訂定具體的罰鍰金額。</p> <p>NCC副主委暨發言人翁柏宗表示，新版草案主要根據2020年的版本，根據外界的意見調整的草案架構，相較於舊版，新版草案將自願登記改為行為管理，大型OTT業者要辦理登記，NCC將公告哪些大業者要登記，達到什麼程度的大業者需登記，負有一般義務及特別義務，小型業者豁免這些義務，第三點是最後必要手段，有的業者違反著作權規定，被法院判罰，但沒有遵循，依情形可能會請電信業者、ISP業者配合，讓違法的OTT業者無法提供服務。</p> <p>翁柏宗指出，OTT TV產業不同於傳統的傳播產業，以用戶規模而言，依據使用者或是訂閱用戶決定規模大小，未來詳細的法條規定還會和業者交流意見。</p> <p></p><p>目前僅先公布草案架構，詳細的草案條文內容後續由NCC審議通過，未來完成法制作業程序後對外公告。</p> </div></div></div>
2022/5/25 17:39作者蘇文彬https://www.ithome.com.tw/news/151125
隱私搜尋引擎DuckDuckGo遭爆允許微軟追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/thezedwards/status/1528808759027331072" target="_blank">一名資安研究人員Zach Edwards本周揭露</a>，自詡為隱私搜尋引擎暨瀏覽器的DuckDuckGo，竟然私下放過了微軟的追蹤器。</p> <p>DuckDuckGo為一強調保護使用者隱私的搜尋引擎，其預設值即禁止蒐集與分享使用者的個人資訊，由於它不會分析使用者所造訪的網站，因此所有用戶都會看到同樣的搜尋結果，也會自動封鎖網路追蹤器與各式Cookie。</p> <p>然而，Edwards卻發現不管是Android或iOS版的DuckDuckGo瀏覽器都沒有封鎖微軟追蹤器，例如當他造訪臉書的Workplace時，瀏覽器顯示出它已封鎖來自Google及臉書的追蹤器，卻未提及DuckDuckGo把資料傳送給Bing與Linkedin，而且除了微軟之外，他並不確定DuckDuckGo是不是還有其它「白名單」的存在。</p> <p>DuckDuckGo並未於官網上解釋該事件，<a href="https://twitter.com/yegg/status/1528838114558484480" target="_blank">但DuckDuckGo創辦人暨執行長Gabriel Weinberg在Edwards的推文中留言</a>，說明當使用者載入搜尋結果時，是完全匿名的，但與微軟在廣告上合作，亦於官網公開揭露此一訊息。</p> <p><a href="https://help.duckduckgo.com/duckduckgo-help-pages/company/ads-by-microsoft-on-duckduckgo-private-search/#:~:text=At%20that%20point%2C%20Microsoft%20Advertising%20will%20use%20your%20full%20IP%20address%20and%20user%2Dagent%20string%20so%20that%20it%20can%20properly%20process%20the%20ad%20click%20and%20charge%20the%20advertiser" target="_blank">根據DuckDuckGo官網上的說明</a>，DuckDuckGo與微軟的合作是在保障使用者的隱私下提供關聯性廣告，當使用者點擊由微軟提供的廣告時，將會透過Microsoft Advertising平臺將使用者導至廣告主網站，這使得Microsoft Advertising平臺得以存取使用者的完整IP位址與使用者代理字串，用以計算廣告效果並向廣告主收費。</p> <p>此外，網頁上也說明了其中的差異，指出其它的搜尋引擎連結了使用者的個人檔案與廣告點擊行為，以用來遞送關聯性廣告，但與微軟的合作並未將使用者的廣告點擊行為連至個人檔案，也未儲存或分享除了計算所需的其它資訊。</p> <p>不過，今年5月中旬，<a href="https://twitter.com/DuckDuckGo/status/1524342702552322049" target="_blank">DuckDuckGo才透過Twitter批評</a>，指出就算Google認為Topics更能保護隱私，但不管它叫什麼名字，「追蹤就是追蹤」。而今，這句話似乎也適用於DuckDuckGo自己。</p> </div></div></div>
2022/5/25 16:59作者陳曉莉https://www.ithome.com.tw/news/151124
微軟推出雲端開發箱，能預先配置不同工具和規格的獨立雲端開發環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟年度開發者大會於美西時間5月24日展開，針對開發流程優化、跨雲服務、跨平臺App、雲端原生App、數據統一管理、AI模型作為開發平臺、跨平臺AI模型訓練、Low code/no code開發、協作App以及元宇宙功能等十項領域，分別推出多項新產品及服務。微軟執行長Satya Nadella開場演講時表示，全球開發者社群已經達到3,100萬人，開發者社群已經成為面對現代挑戰的一股力量。今年第一項發表重點就是開發流程優化，也新推出了Microsoft Dev Box新服務。</p> <p>在去年發表的Windows 365雲端電腦上，微軟推出了新的雲端服務Microsoft Dev Box，可以提供預先配置的雲端開發環境，減少開發人員開發前連接資源和備妥硬體設備的麻煩。Dev Box託管在Microsoft Cloud上，可以從Windows、MacOS、Android、iOS甚至是瀏覽器上存取，也支援所有可以在Windows上執行的IDE、SDK及工具，甚至可以透過WSL開發跨平臺App。Microsoft Dev Box目前是不公開預覽版（<a href="http://http://aka.ms/devbox-signup">可在此申請試用</a>），微軟表示「幾個月後」會開放公開試用。</p> <p>開發人員可以為個別開發專案各自設置不同規格的獨立雲端開發環境，稱為Dev Box，預先放入開發所需工具和相關函式庫，並隨時快速啟動。獨立的開發環境，可避免因單一錯誤操作或安裝不相容的工具，而導致整個開發環境出事，甚至干擾到其他正在開發的專案。開發人員可依據常見開發需求，如概念驗證、平行開發、維護舊版本、嘗試除錯方法等目的，自由新增和刪除Dev Box。</p> <p>Dev Box也整合了Azure AD，可以透過角色存取控制（RBAC）功能來指定不同權限的團隊成員，如讓新進開發人員或外包團隊只能存取所需的Dev Box。還能透過Azure AD其他資安功能，如管控客戶資料和機密原始碼等機敏內容，限定可存取的指定裝置或要求多因素驗證。IT系統管理員也可以用Microsoft Endpoint Manager和Intune，如同管理雲端電腦一樣的管理Dev Box，例如隔離出異常Dev Box來除錯，或統一進行漏洞修復。</p> <p>為了控管費用，開發人員還可以利用計畫性休眠功能，在上下班時間自動啟用和停止Dev Box，也能查看各專案和不同團隊的費用支出。</p> <p>另一個優化開發流程的新功能是，正式推出了Github Copilot服務。Copilot是一個AI開發輔助服務，可以根據開發者的程式碼，給出一行，甚至一整個函式的自動完成建議。其他值得注意的新發布產品及功能，還有ARM架構AI開發硬體<a href="https://www.ithome.com.tw/news/151111">Project Volterra</a>、整合資料庫、分析、治理的三合一工具<a href="https://www.ithome.com.tw/news/151112">Intelligent Data Platform</a>、低程式碼網頁建置工具<a href="https://www.ithome.com.tw/news/151114">Power Pages</a>等。</p> </div></div></div>
2022/5/25 15:28作者郭又華https://www.ithome.com.tw/news/151119
明日起家用快篩陽性即確診，數位證明平臺可申請快篩陽確診、接觸者隔離證明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於COVID-19本土病例數每日大量新增，中央流行疫情指揮中心今日（5月25日）表示，全臺已進入大規模流行階段，為確保公衛防疫和PCR採檢量能，決定調整策略，自26日起，民眾使用家用快篩陽性經醫事人員確認，或由醫事人員執行抗原快篩且陽性者，可直接判定確診。與此同時，數位新冠病毒健康證明平臺今日早上8時起也新增「快篩陽性確診證明」和「接觸者隔離證明」申請功能，供民眾使用。</p> <p><span style="font-size:22px;"><strong>快篩陽性經醫事人員確認即確診</strong></span></p> <p>進一步來說，民眾快篩陽性後，可預約視訊診療或至社區篩檢站、醫療院所、衛生所等地請醫師評估。若採視訊診療，民眾得先備妥快篩卡匣或檢測片，寫上姓名和日期，與健保卡放在一起拍照，並在視訊診療間，出示給醫師評估。</p> <p>若是去醫療院所就診，可以夾鏈袋或塑膠袋密封包裝，帶至醫療院所供評估。</p> <p>經醫事人員確認、取得共識後，確診民眾可經由疾管署簡訊發送的連結，或透過健保快易通App填寫「COVID-19確診個案自填版疫調單」，自主回報症狀、風險因子、密切接觸者。要是未有共識，則可進行PCR檢驗來確認。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/12-0525%20%E4%BF%AE%E8%A8%82%E3%80%8C%E5%9A%B4%E9%87%8D%E7%89%B9%E6%AE%8A%E5%82%B3%E6%9F%93%E6%80%A7%E8%82%BA%E7%82%8E%E3%80%8D%E4%B9%8B%E7%97%85%E4%BE%8B%E5%AE%9A%E7%BE%A9.jpg" /></p> <p>另一方面，指揮中心說明快篩陽性確診的領藥流程，當民眾快篩經醫療院所確認、醫師通報後，再由醫師評估是否適合抗病毒藥物，或是其他相關藥物，再來開立。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/14-0525%20%E5%BF%AB%E7%AF%A9%E9%99%BD%E6%80%A7%E8%A8%BA%E6%96%B7%E7%A2%BA%E8%A8%BA%E6%9A%A8%E9%96%8B%E7%AB%8B%E8%97%A5%E7%89%A9%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>指揮中心建議，民眾在隔離期間觀察自身症狀變化，要是出現喘、呼吸困難、持續胸痛、胸悶、意識不清、皮膚或嘴唇或指甲床發青等症狀，必須馬上通知地方政府衛生局，或撥打119就醫，以119救護車為原則，防疫計程車、同住親友接送或自行前往（如步行、自行駕/騎車）等方式為輔。若出現其他症狀或醫療咨詢需求，可透過健康益友等App或電話方式聯絡遠距醫療或居家照護團隊評估。</p> <p><strong style="font-size: 22px;">數位證明平臺可申請快篩陽性確診和接觸者隔離證明了</strong></p> <p>另一方面，衛福部資訊處處長龐一鳴也公布數位新冠病毒健康證明平臺新功能，即日起新增快篩陽性確診證明和接觸者隔離證明申請。使用者可透過數位證明平臺或健保快易通App登入，並勾選需要開立證明的項目，填妥相關地址、點選申請後，就能下載或列印證明。龐一鳴也透露，該平臺上線以來，已有200多萬位民眾用來取得疫苗接種數位證明，而今日新增2項證明申請，截至今日中午12點，已有1萬5千位名字取得接觸者隔離證明，另有5千位民眾取得快篩陽性確診者證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-1%E8%AD%89%E6%98%8E%E7%94%B3%E8%AB%8B%E6%B5%81%E7%A8%8B.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/16-2%E5%BF%AB%E7%AF%A9%E9%9A%94%E9%9B%A2%E8%AD%89%E6%98%8E%E6%A8%A3%E5%BC%B5.jpeg" /></p> </div></div></div>
2022/5/25 15:31作者王若樸https://www.ithome.com.tw/news/151120
蘋果要求所有可建立帳號的程式提供帳號刪除功能，6月底上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愈來愈多程式要求使用者建立帳號，或是以社交網站的帳號登入，才能執行程式功能，然而，<a href="https://developer.apple.com/app-store/review/guidelines/#5.1.1v" target="_blank">蘋果去年修改了App Store審核指南</a>，指出若與核心功能無關，即不得要求使用者輸入個人資訊，倘若需要使用者建立帳號，那麼同時必須於程式中提供刪除帳號的功能，新規定將於今年的6月30日正式實施。</p> <p>根據該規定，若程式的重要功能與帳號無關，開發者必須讓使用者無需登入就能使用；倘若程式支援使用者建立帳號，那麼也必須在程式內提供刪除帳號的機制；除非程式的核心功能與使用者的個資息息相關，或者是源自於法令的要求，否則不得要求使用者輸入個人資訊。</p> <p>此外，倘若程式的核心功能與臉書、微信、Twitter等社交網路無關，那麼程式必須提供其它管道的存取機制。蘋果舉例，取得基本的個人檔案資訊、分享至社交網路，或是邀請朋友使用程式等功能都不算是程式的核心功能。此外，這類的程式也必須提供機制以允許使用者撤銷社交網路的憑證，或是讓使用者於程式中關閉程式與社交網路之間的資料存取能力。</p> <p>其實蘋果早在2021年的6月便宣布了此一變更，當時原本要求開發者必須在今年1月底以前遵循相關規定，但在1月時將該限制的期限延後到今年的6月30日。</p> </div></div></div>
2022/5/25 15:38作者陳曉莉https://www.ithome.com.tw/news/151121
Windows 11小工具今年將開始支援第三方程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟本周宣布</a>，Windows 11上原本僅適用於微軟程式的小工具（Widgets），將在今年支援第三方程式，<a href="https://arstechnica.com/gadgets/2022/05/third-party-widgets-are-coming-to-windows-11-which-might-actually-make-them-useful/" target="_blank">科技新聞網站《Ars Technica》則推測</a>它可能會伴隨著Windows 11 22H2出爐。</p> <p>小工具的外觀像是張小卡片，這些卡片出現在小工具面板（Widgets Board）上，可能是使用者最愛的應用程式，或者是諸如天氣等各種服務的動態內容，使用者可以自訂面板上的小工具，也能調整卡片尺寸，目的是為了快速存取或切換所需的程式/服務，並打造個人化的Windows體驗。</p> <p><a href="https://www.microsoft.com/en-us/windows/remote-resource-center/top-windows-widgets-to-know-about" target="_blank">迄今微軟已替Windows 11打造許多小工具</a>，包括行事曆（Calendar）、娛樂、電競、照片、運動、待辦事項（To Do）、交通、天氣或新聞等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Windows11_Widgets-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>負責Windows與裝置的微軟產品長Panos Panay表示，Windows 11上的小工具讓使用者可一目瞭然地看到自己常用的程式與服務，使用者的回饋顯示他們非常享受可在不中斷工作流程的狀態下快速存取喜愛的內容，因此，微軟已準備在今年允許於Windows 11上打造Win32及PWA程式的第三方開發者，藉由Adaptive Cards平臺來建置搭配其程式的小工具。</p> </div></div></div>
2022/5/25 14:25作者陳曉莉https://www.ithome.com.tw/news/151115
Paypal漏洞可引發點擊劫持攻擊，竊取用戶帳戶金錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名研究人員發現Paypal平臺有個漏洞，可能讓攻擊者發動點擊劫持（clickjacking），竊取用戶帳戶中的錢。</p> <p><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc" target="_blank">名為h4x0r_dz的研究人員去年10月向Paypal通報這項漏洞</a>。</p> <p>點擊劫持是一種攻擊手法，攻擊者在網頁中將惡意程式碼等隱藏在看似無害的網頁內容中，例如加一層或好幾層透明層，再誘使用戶點擊他們以為的合法功能如按鍵或連結，旨在將用戶導向惡意網站以洩露帳密敏感資訊或下載惡意程式。這種手法又被稱為使用者介面偽裝（UI redressing）。</p> <p>h4x0r_dz發現到Paypal網站有個端點www[.]paypal.com/agreements/approve，可被用來進行點擊劫持。它是允許用戶同意付費的計費協定，本來只應接受billingAgreementToken，但他發現也可以上傳其他token，使用戶被導向他持有的網頁，藉此獲取用戶資訊。</p> <p>研究人員表示，攻擊者可將這有問題的端點包在iFrame中，使受害者以瀏覽器登入，就能獲取用戶Paypal帳密，而將用戶Paypal財產轉到攻擊者持有的Paypal帳號，或是利用受害者的帳號支付任何服務費用。</p> <p>研究人員目的是通報漏洞賺取抓漏獎金，不過Paypal似乎並未回應研究人員的通報。<a href="https://thehackernews.com/2022/05/paypal-pays-hacker-200000-for.html" target="_blank">The Hacker News報導</a>，該漏洞迄今尚未修補。但是研究人員公布的端點已經無法使用，似乎已被關閉。</p> </div></div></div>
2022/5/25 14:48作者林妍溱https://www.ithome.com.tw/news/151117
通用汽車網路4月遭駭客存取，可能外洩車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>通用汽車（General Motors）4月間發生疑似帳號填充（credential stuffing）攻擊，致使為數不詳的車主的回饋點數、姓名、電子郵件等個資遭存取。</p> <p>旗下擁有別克（Buick）、雪佛蘭（Chevrolet）、凱迪拉克（Cadillac）等車系的GM<a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf" target="_blank">上周以信件通知客戶這樁資料外洩事件</a>。</p> <p>GM發現在4月11日到4月29日之間，某些客戶的GM線上帳號有可疑登入情形，他們的客戶禮物卡回饋點數已在未經車主同意下被動用。</p> <p>但GM解釋，這次事件起因並非GM網站被駭，而是一樁帳號填充攻擊事件。所謂帳號填充攻擊（Credential Stuffing）是指，駭客利用其他遭駭網站中所取得的帳號與密碼，在另一個網站上登入。根據調查，他們相信是攻擊者取得了非GM網站外洩的用戶帳號資料，才導致車主的GM帳號遭到存取。</p> <p>而在GM帳號的非經授權的存取中，車主可能外洩的資料包括姓名、電子郵件、帳號或家人電話號碼、最愛的地點、家人虛擬身分或相片、車主的資料照、搜尋紀錄、地點資訊、點數卡活動、以及被盜用的回饋點數。GM強調網上帳號不包含生日、社會安全碼、駕照、信用卡及銀行帳號資訊等。</p> <p>GM發現時已立即暫時停用帳號下的點數卡功能，除了通知執法機關外，GM已通知用戶在下次登入時重設密碼。</p> <p>這次事件突顯不得在不同網站重覆利用同一組帳密的重要性。<a href="https://www.bleepingcomputer.com/news/security/general-motors-credential-stuffing-attack-exposes-car-owners-info/" target="_blank">不過BleepingComputer報導</a>，GM網站並不支援雙因素驗證，而雙因素驗證應可避免啟用該功能的車主資料外洩。</p> </div></div></div>
2022/5/25 13:41作者林妍溱https://www.ithome.com.tw/news/151113
微軟推出低程式碼網站建置平臺Power Pages
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了協助客戶打造資料驅動的商業解決方案，微軟在2018年發表了Microsoft Power Platform，陸續推出Power BI、Power Apps、Power Automate與Power Virtual Agents，<a href="https://powerpages.microsoft.com/zh-tw/blog/announcing-microsoft-power-pages-build-secure-low-code-websites/" target="_blank">本周則藉著Microsoft Build 2022迎來了第五個新成員Power Pages</a>，協助客戶以低程式碼（low-code）的方式快速興建網站。</p> <p>事實上，Power Pages是由Power Apps的入口網站功能衍生而獨立出來的產品，因此已有橫跨不同產業的數百萬客戶使用。</p> <p>獨立的Power Pages讓使用者可透過Design Studio功能開啟一個全新的專案，它提供許多範本，得以用來設計具備文字、影片、圖像、商業資料格式與列表的網站頁面；或者是利用擁有完整網站配置與功能的Templates Hub，跳過網站設計的步驟，直接進入更細微的網站客製化服務；另外也有針對新手所提供的Learn Hub，以學習如何建置與配置網站，或將商業資料視覺化。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/getting-started/media/tour-maker-studio/launch-design-studio.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟指出，為了同時支援不熟程式碼的使用者與專業的開發者，Power Pages也無縫整合了Visual Studio Code、GitHub與Azure DevOps，以用來實現進階的商業需求。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/zh-tw/power-pages/configure/media/cli-tutorial/vs-code-pac-cli.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>Power Pages運作在Microsoft Azure上，可連向低程式碼資料平臺Microsoft Dataverse，以安全的收集訪客資料或與訪客分享資料，再輔以加密、角色存取控制、Azure Front Door雲端內容遞送服務或其它防火牆機制，還能藉由Microsoft Azure DDoS Protection來防範服務阻斷攻擊。</p> <p>微軟強調，不少人認為低程式碼的網頁開發只適用於諸如公司簡介等簡單的專案，但其實Power Pages可支援更強大的功能，包括自助服務許可、授權、事件報告或撥款申請等社群服務，或是作為各種產品與服務的FAQ網站，也能提供保固登記、退貨、支援查詢或預訂等客戶自助服務，以及建置合作夥伴支援網站等。</p> </div></div></div>
2022/5/25 14:12作者陳曉莉https://www.ithome.com.tw/news/151114
微軟發表首個基於Arm的AI開發者套件Project Volterra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/05/24/create-next-generation-experiences-at-scale-with-windows/" target="_blank">微軟在24日舉行的Microsoft Build 2022全球開發者大會上揭露了Project Volterra</a>，這是一個基於高通Snapdragon運算平臺的裝置，也是微軟首個基於Arm架構的Windows開發者套件。</p> <p><a href="https://www.youtube.com/watch?v=yICVNta8jMU" target="_blank">Project Volterra的長相如同Mac mini</a>，亦即一臺少了螢幕的迷你桌機，裝置上則印有微軟的視窗商標。<a href="https://developer.qualcomm.com/blog/microsoft-build-22-new-windows-developer-kit-powered-snapdragon-compute-platform" target="_blank">根據高通（Qualcomm）的解釋</a>，此一專案包含該公司AI引擎的核心處理器Hexagon，將允許開發者打造能於裝置上執行AI加速任務的Windows應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0525-Project%20Volterra%20microsoft-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Snapdragon運算平臺為高通所研發的系統晶片，它採用Arm架構，主要應用於行動裝置上，涵蓋手機、平板電腦、筆電、二合一裝置或智慧手錶等。</p> <p>此外，高通也將在Windows on Snapdragon平臺上供應Qualcomm Neural Processing SDK for Windows，提供程式執行硬體加速ML模型推測所需的各種工具，包括在Hexagon DSP處理器上把熱門ML框架轉換成ML模型或最佳化ML模型，以及用來於Hexagon上載入與執行ML模型的API，並支援TensorFlow與ONNX等熱門框架。</p> <p>至於微軟則說將把對神經處理單元（Neural Processing Units，NPU）的支援嵌入端對端的Windows平臺上，也將針對Arm原生程式推出端對端的Arm工具鏈，包括完整的Visual Studio 2022 & VSCode、Visual C++、現代化的 .NET 6與Java、.NET Framework、Windows Terminal，以及用來執行Linux與Android程式的Linux子系統（Windows Subsystem for Linux，WSL）及Android子系統（Windows Subsystem for Android，WSA），並準備在未來幾周開始預覽上述工具。</p> <p>微軟尚未公布Project Volterra的詳細規格、售價或出貨日期。</p> </div></div></div>
2022/5/25 12:37作者陳曉莉https://www.ithome.com.tw/news/151111
微軟公布Intelligent Data Platform整合資料庫、分析、治理工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在Build 2022開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/introducing-the-microsoft-intelligent-data-platform/" target="_blank">微軟宣布智慧資料平臺</a>，將其資料庫、分析及資料治理工具整合為單一雲端平臺上。</p> <p>微軟Azure Data企業副總裁Rohan Kumar指出，這個平臺旨在解決不同資料庫、分析和資料治理工具分散，使用者得在不同工具間來回的問題。</p> <p>微軟智慧資料平臺乃是將微軟雲端資料庫、分析工具及治理產品完全整合，免去用戶整合和管理資料的麻煩，這項新平臺涵括資料倉儲Azure Synapse Analytics、NoSQL資料庫Cosmos DB、分析工具Power BI、資料治理工具Azure Purview等。微軟公布顧問公司KPMG已經利用智慧資料平臺服務來管理客戶稅務、法律及財務部門資料。</p> <p>同時微軟也針對這些類別產品公布新增功能或新版本。首先在資料庫方面，資料倉儲及大型分析平臺Azure Synapse Analytics下將提供將資料從關聯式資料庫搬到data store的Azure Synapse Link for SQL，<a href="https://docs.microsoft.com/en-us/azure/synapse-analytics/synapse-link/sql-synapse-link-overview" target="_blank">目前為預覽版</a>。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-us/azure/synapse-analytics/media/sql-synapse-link-overview/synapse-link-sql-architecture.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>微軟也公布可為SQL Server 2022資料備份到雲端的Azure SQL Managed Instance，後者於本周正式版推出高可用性版本Business Critical tier。Azure SQL Database則推出簡化應用開發管理、及支援區塊應用必要的總帳功能。</p> <p>雲端NoSQL資料庫Azure Cosmos DB提供30天試用版，並新增突增容量及彈性擴充功能，目前以預覽版推出。微軟也將拗口的「Azure Database for MySQL -Flexible Server Memory-Optimized service」改名為Business Critical tier。</p> <p>分析工具方面，<a href="https://devblogs.microsoft.com/microsoft365dev/combining-microsoft-graph-data-connect-data-sets-in-azure-synapse-analytics/" target="_blank">微軟強調Azure上才有的Microsoft Graph Data Connect可將Microsoft 365資料安全匯出</a>，並利用Azure Synapse pipeline將2種資料集合併在一起。此外。Power BI新增資料超市（datamart）付費自助服務，現以預覽版提供。</p> <p>資料治理服務產品線Purview則推出Dynamic Lineage for Azure SQL Databases，可協助Purview Data Map，強化混合雲或多雲環境中資料治理，現為預覽版，微軟表示未來幾個月內還會推出Purview Data Estate Insights。最後，Azure Machine Learning也預覽了負責任式AI（Responsible AI）儀表板，協助機器學習模型的debug工作。</p> </div></div></div>
2022/5/25 13:15作者林妍溱https://www.ithome.com.tw/news/151112
微軟開放規格達要求的PC下載Windows 11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/status-windows-11-21h2" target="_blank">微軟宣布進一步開放更多使用者下載Windows 11</a>，只要PC達到規格要求就可以下載安裝。</p> <p>微軟Windows網站指出，Windows 11現已「被指定進行廣泛部署」，暗示將開放更多用戶透過Windows Update下載安裝。微軟告知，Windows 10用戶現在可利用PC Health Check App或是檢查Windows 11的電腦規格要求，判斷自己的裝置是否可下載安裝。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/147075" target="_blank">Windows 11已經釋出將近7個月</a>，微軟今年下半就將釋出Windows 11的功能更新。Home、Pro、Pro for Workstation、Pro Education版本將提供24個月技術支援，Enterprise和Education版則提供36個月支援。</p> <p>但除了硬體規格外，用戶PC上的作業系統必須是Windows 10 2004版以後，且裝置未被微軟實施Security Holds。所謂Security Holds是指微軟透過診斷資料來判斷PC狀態是否已準備好安裝功能更新。經微軟判斷還不及格並實施Security Holds時就會延後更新，並導致Windows更新失敗。</p> <p>不過在擴大部署的同時，微軟仍持續忙著解決Windows 11大小問題。微軟說明，已解決的問題包括<a href="https://www.ithome.com.tw/news/151025" target="_blank">本月Patch Tuesday引發多種服務驗證失敗</a>、未連網Windows PC進入安全模式後出現螢幕閃爍，影響使用檔案管理員、開始選單及工作列的元件、以及在搭載某些GPU的PC上，使用Direct3D的App會運作不穩等狀況。但其他狀況，如使用某些.NET Framework 3.5，如 WCF（Windows Communication Foundation）及WWF（Windows Workflow）的App無法開啟的問題目前只獲得緩解。</p> </div></div></div>
2022/5/25 09:58作者林妍溱https://www.ithome.com.tw/news/151110
波函式塌縮與函數式
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果有一張圖片作為範本，我們想基於其中的結構，使之擴展、成為更大張的圖片，這個過程稱為<a href="https://bit.ly/3K57bRq" target="_blank">Texture synthesis</a>，此時，可以將這類演算擴展用於遊戲或3D建模，創造隨機的世界或模型，就像先前專欄〈<a href="https://www.ithome.com.tw/voice/138571" target="_blank">理解波函數塌縮演算</a>〉談過的波函數塌縮，就是一個可行的方案，而我就曾經在OpenSCAD實現了波函數塌縮。</p> <p>不過，最初的實現版本只是堪用而己，效能頗為不彰，只是算個20乘20大小的拼接，就必須花上40幾秒，我不禁一直執著於尋找更好的實現方式。而執著的原因在於，OpenSCAD具有函數式典範，波函式塌縮需要持續地塌縮盤面，在不可變動特性與需要頻繁變動之間，若我們以命令式角度來看，兩者存在著很大的衝突。</p> <p><span style="font-size:28px;"><strong>變動與不變的衝突？</strong></span></p> <p>最基本的衝突情境就是，20乘20就有400個位置，每個位置又有多個候選的拼接磚，成立三維的立體資料結構；塌縮改變了某位置的狀態，也改變了整個盤面的狀態；接著，傳播又要改變多個位置的狀態，也就要多次改變盤面的狀態。</p> <p>就命令式而言，這不成問題，指定索引更新資料就好，然而，就函數式而言，狀態改變意謂著重組相關資料，這可是大問題！</p> <p>改變思考的方式是必要的，現今開發者應該對一些從命令式轉換為函數式的思維有點認識，先前專欄〈<a href="https://www.ithome.com.tw/voice/116153" target="_blank">在不變中求變</a>〉談過一些，我近來又整理了一些<a href="https://bit.ly/3v1Dfl5" target="_blank">函數式模式</a>，從這些角度來切入，確實是有些幫助，大致上少了10秒左右的時間吧！</p> <p>然而，算個20乘20拼接還要花上30幾秒，我仍然覺得不滿意，表面看來，這是效能的問題，不過，後來發現我想探究的問題有兩個：效能瓶頸真的是來自於函數式典範的不可變動特性嗎？演算法本身真的就要頻繁地變動狀態嗎？</p> <p>我需要畫清界線，但這個界線不是指函數式中純粹與不純粹的界線，而是要釐清哪些問題來自於演算法，哪些問題來自函數式！</p> <p>想畫出這道界線的第一步，就是讓程式碼更為清晰，在進入效能最佳化階段之前，先持續進行重構，關於這部分的做法與效益，我在先前專欄〈<a href="https://www.ithome.com.tw/voice/150903" target="_blank">重構與效能</a>〉曾經提過。</p> <p><span style="font-size:28px;"><strong>演算法的調整</strong></span></p> <p>確實地，在重構過程中，我找到了很多不合理或重複的運算。在命令式典範中，因為可以直接改變資料的狀態，所以，在資料量不大的情況下，這類運算的成本或許能夠忽略；不過，在函數式的實作時會被放大，在重複使用一些運算成果後，執行的時間確實有少一些。</p> <p>這是屬於演算法（實作時）的問題，就波函式塌縮而言，確實有不少狀態、權重或熵值的重複計算；不過，還有個關鍵的地方，那就是：如何尋找「塌縮」與「傳播」的位置。在重構之前的程式碼裡，我並沒有發現一件事：自己每次都是在400格的盤面上，尋找這些位置。</p> <p>對於「塌縮」，其實，在每一代的塌縮前，都會確認是否整個盤面都完成塌縮，反過來想，這就是在尋找哪些位置沒有完成塌縮，所以，在下一代塌縮時，我們只要針對這些位置去搜尋就可以了，如此一來，每代塌縮位置的搜尋集合就會越來越小；對於「傳播」，只要鄰居的候選磚數量只有一個，根本就不用進行傳播處理。</p> <p>說穿了，這就是分支修剪的概念，而且，確實又成功地減少了執行的時間，同時表示在命令式的世界裡，如果採取類似的方式，應該也能對效能有很大的改進。</p> <p>下一個待調整目標是搜尋，因為波函式塌縮有許多情境（狀態、權重或熵值）都要進行搜尋，搜尋牽涉到資料結構，我嘗試過使用陣列，並在排序後二元搜尋，效能沒有明顯改進，後來嘗試使用字典進行雜湊搜尋，以空間換時間的方式確實奏效，執行需要的時間縮減到20幾秒左右。</p> <p>然而，在一次偶發的奇想裡，我試著使用原生的search函式取代雜湊搜尋，執行時間降至10幾秒！這點令我訝異，仔細想想，建立字典或雜湊碼計算需要成本，二元搜尋的比較與事先的排序也需要成本，然而我的實作中，每次要搜尋的資料量不多，以至於這些成本掩蓋了效益，search函式搜尋雖然是線性，然而在資料量不大又是原生函式的情況下，反而有更好的表現。</p> <p><span style="font-size:28px;"><strong>函數式的策略</strong></span></p> <p>不可否認地，函數式有些計算，確實會造成負擔，遞迴就是其中之一，遞迴堆疊需要成本，而且有遞迴上限的問題。</p> <p>在OpenSCAD如果想要避免這類問題，方式之一，是<a href="https://bit.ly/3v2DvAm" target="_blank">實現尾遞迴（tail recursion）</a>，因為OpenSCAD支援可以將簡單的尾遞迴形式展開為迭代的作法。</p> <p>不過尾遞迴的實現，不會是天下掉下來直接有的，這意謂著要將函式拆分為更小的任務，才能看出哪邊構成了尾遞迴的模式，也就是說，需要先退出效能最佳化階段，對每個遞迴函式進行更細部的重構。</p> <p>在這個過程中，會發現到一件事實，有些任務根本就不必使用遞迴，使用list comprehension就可以了！在重構之前，只是因為摻雜過多任務而看不出來，在具有list comprehension的其他語言（例如Python），應該也可以善用這種方式來改進程式的可讀性與效能。</p> <p>在某位置的狀態塌縮處理上，原本是要收集某些不相容的狀態，然後從該位置刪除那些狀態；現在可以轉變為另一個角度思考，只收集相容的拼接磚，作為該位置的拼接磚集合就可以了。</p> <p>當然，最終盤面狀態還是需要進行更新，然而，函數式不可變動特性的另一面就是：未變動的資料可以重用，這就涉及了資料結構，以及狀態的切分與重組。</p> <p>以二維陣列來說，我們可以將資料切分為逐列（row），如果更新的是x行（column）、y列的資料，實際上，只要針對y列更新，其他未變動的列可以直接參考重用。</p> <p>這其實是函數式的優點之一，可共用資料結構，例如樹狀結構，在比對狀態之後，若某個子樹並沒有變動，整個子樹拿來用就可以了，在前端有些函數式典範框架中虛擬DOM的方案，就是以類似概念作為出發點。</p> <p><span style="font-size:28px;"><strong>用一年縮短40秒</strong></span></p> <p>經過了一番調整，實際上效果如何呢？最初原本40幾秒才能完成的運算，降至8秒左右！還能不能再降呢？確實還存在著可調整的地方，只是這與波函式塌縮作者提倡的塌縮位置選擇策略有關了，作者是基於最小熵，經過實測，最小熵位置的運算有其成本，就我的建模需求而言，只要找尋最少候選拼接數量的位置就可以了，現在只要2秒多，就可以完成運算了。</p> <p>從初次實作到目前的版本，我花費了一年多，將運算時間縮短了40幾秒！不過，這一年多持續調整實作、在函數式不變特性中，去尋找求變的過程，我們可以思考許多策略，無論是在演算法，或者是在函數式，不管行得通或行不通，都讓我得到了許多的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%B3%A2%E5%87%BD%E6%95%B8%E5%A1%8C%E7%B8%AE">波函數塌縮</a></div><div class="field-item even"><a href="/tags/openscad">OpenSCAD</a></div></div></div>
2022/5/25 07:00作者林信良https://www.ithome.com.tw/voice/151016
GitLab 15.0來了！向所有使用者提供容器掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺GitLab發布了主要版本更新<a href="https://about.gitlab.com/releases/2022/05/22/gitlab-15-0-released/">GitLab 15.0</a>，該開發團隊在該平臺持續加入更多的DevOps功能，強化了可觀察性和持續安全性功能，協助用戶程式碼開發和協作，並且安全地交付軟體。</p> <p>官方預計在後續<a href="https://about.gitlab.com/press/releases/2022-05-23-gitlab-15-the-one-devops-platform.html">GitLab 15</a>次要版本更新中，陸續加入一系列新功能，使得企業可以縮短從程式碼到生產階段的交付周期，降低錯誤頻率和嚴重性，讓開發團隊更頻繁地部署，減少意外事件後的恢復時間，並對企業工作流程自動化和資料科學工作負載，有更全面的支援。</p> <p>GitLab 15.0重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>用戶在WYSIWYG Markdown編輯器，能夠更方便地處理連結和媒體，過去用戶需要於編輯工具欄中選擇工具，才能更改Wiki頁面上選定的連結和圖像，而現在編輯操作更加容易，當選取連結或附圖時，下方便會出現選單，供用戶編輯連結，或是複製圖像到剪貼簿，甚至在頁面中刪除連結和圖像。</p> <p>在GitLab 15.0中，進階搜尋現在與OpenSearch相容，在之前的版本，進階搜尋功能不相容於開源的Elasticsearch分叉OpenSearch，因此當用戶使用AWS託管服務，必須使用舊版的Elasticsearch，但在更新之後，Advanced Search已經完全可搭配OpenSearch使用。</p> <p>另外，在GitLab 14.10或是更早之前的版本，團隊僅支援一組迭代，而這使得同一團隊中的不同組別，難以自主計畫和追蹤迭代之間的問題，而GitLab 15.0改進了這個問題，官方增加團隊管理並行迭代的能力，不同組別在其迭代節奏中，皆可控制每次迭代的起始和持續時間。</p> <p>GitLab也持續向下開放更多功能給各層級使用者，在GitLab 15.0中，現在每一層級的使用者，都能用到基本容器掃描功能。容器掃描可協助開發人員，更簡單地發現所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p>官方也提到，GitLab 15也將支援ModelOps使用案例，允許資料科學和相關團隊緊密合作。ModelOps相關功能包括資料操作，使用戶能夠擷取、載入和轉換資料，並且簡單地將資料連接到GitLab工作管線。機器學習操作方面，簡化了機器學習模型的開發和部署，使用戶能夠試驗、訓練、測試，並將模型部署到生產中。</p> <p>GitLab 15會讓用戶能夠監控生產中的機器學習模型，了解其運作狀況，並且對資料、程式碼和模型版本，提供可追溯性功能，包括整合資料保護、機器學習程式碼安全性與模型版本控制，增加用戶在機器學習上的法遵、存取控制和協作能力。</p> </div></div></div>
2022/5/25 00:41作者李建興https://www.ithome.com.tw/news/151102
AWS正式推出採用Graviton3處理器的C7g執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在去年re:Invent大會中，公開<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-c7g-instances-powered-by-aws-graviton3-processors/">C7g執行個體</a>的消息，現在已經結束預覽階段，正式推出供用戶選用。C7g執行個體的C代表其用途針對計算（Compute）密集工作負載，7是第7代的意思，g則是指該執行個體使用AWS Graviton處理器。</p> <p>C7g執行個體使用AWS自家設計，最新的Graviton3處理器，該處理器使用更先進的DDR5記憶體技術，比起上一代多了25％的運算效能，浮點數計算效能也提高，將近是前一代的2倍，Graviton3的機器學習運算能力也受到強化，支援bfloat16浮點數格式，為Graviton2效能的3倍。</p> <p>Graviton3處理器的安全性也更高，除了總是啟用記憶體加密外，每個vCPU也有專用的快取，並且也支援指標身份驗證功能，防止惡意程式竄改記憶體堆疊內容。而且在與相同效能的EC2執行個體相比，Graviton3可減少60％的能源，使得企業用戶能夠進一步減少碳足跡。</p> <p>C7g執行個體底層採用AWS Nitro系統，擁有8種規格可供選擇，最高可擁有64個vCPU，支援高達128 GiB的記憶體，30 Gbps的網路效能和20 Gbps的Amazon EBS效能配置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201234%20-%20New%20%E2%80%93%20Amazon%20EC2%20C7g%20Instances%2C%20Powered%20by%20AWS%20Graviton3%20Processors%20_%20-%20aws_amazon_com(1).jpg" style="width: 580px; height: 411px;" /></p> <p>C7g執行個體能夠被廣泛地用於計算密集的工作負載，包括應用程式伺服器、高效能運算、電子設計自動化、媒體編碼，或是以CPU為基礎的機器學習推理。同時也非常適合用於執行基於Linux的工作負載，包括以EKS、ECS、Kubernetes和Docker所建構的微服務應用程式，並且執行主流程式語言像是C/C++、Rust、Go、Java、Python、.NET Core、Node.js和PHP。</p> <p>目前C7g先在美東N. Virginia和美西Oregon兩AWS地區提供，之後會逐漸在各地區上線。</p> </div></div></div>
2022/5/25 00:49作者李建興https://www.ithome.com.tw/news/151103
【資安日報】2022年5月24日，駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上資安人員的攻擊行動，去年有不少是利用相關職缺為誘餌，讓受害者上當，而使得電腦被植入惡意軟體，但近期出現了新的手法──有人假借提供概念性驗證程式的名義，實際上卻是在散布意程式。</p> <p>在烏克蘭戰爭中，俄羅斯駭客Sandworm屢次攻擊烏克蘭的關鍵基礎設施，從初期使用資料破壞軟體（Wiper）從事破壞行動，到後來企圖控制變電所開關，影響該國的電力供應。最近研究人員指出，在攻擊的過程裡，這些駭客同時利用了惡意軟體投放器（Malware Dropper），使得行蹤不易被發現。</p> <p>思科對於旗下路由器作業系統軟體IOS XR，在5月20日修補漏洞CVE-2022-20821，雖然這項漏洞嚴重程度為中等，但由於5月已經出現攻擊行動，一旦駭客加以利用，還是很有可能對企業網路造成危害。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/"><span style="color: rgb(0, 0, 0);">別以為概念性驗證程式不會對電腦造成危害！有駭客用來散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png" style="width: 300px; float: right;" /></a>駭客針對資安人員出手的情況，在去年已有數起事故，而最近有人假借漏洞利用展示來發動攻擊。資安業者Cyble指出，有人針對微軟今年4月修補的重大漏洞CVE-2022-26809（CVSS風險層級9.8分）、CVE-2022-24500（CVSS風險層級8.8分），在GitHub上發布假的概念性驗證程式（PoC），這些軟體並未含有惡意程式碼，而可能得以逃過防毒軟體的偵測。</p> <p>一旦研究人員執行這些「概念性驗證程式」，電腦上就會出現假的訊息，宣稱正在利用漏洞並執行Shell Code，但實際上該軟體卻是在背景執行PowerShell命令，並傳送惡意酬載，下載Cobalt Strike的Beacon，展開進一步的攻擊行動。GitHub獲報後已將上述的惡意軟體下架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/05/20/sandworm-ukraine-new-version-arguepatch-malware-loader/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用惡意軟體Arguepatch變種，投放作案工具</span></a></strong></h3> <p>日前俄羅斯駭客Sandworm曾利用資料破壞軟體CaddyWiper、操弄工控系統的惡意軟體Industroyer2，對烏克蘭的關鍵基礎設施（CI）下手，但這些駭客在投放上述攻擊工具的過程中，也透過惡意軟體投放器（Malware Dropper）來減少被察覺的機會。資安業者ESET指出，他們與烏克蘭電臘緊急應變小組（CERT-UA）聯手，發現新的惡意軟體ArguePatch變種，駭客透過ESET的可執行檔案來隱匿ArguePatch的行蹤，將這個變種惡意軟體用來投放上述的CaddyWiper、Industroyer2等作案工具，研究人員指出，有別於過往出現的ArguePatch，新的變種不再使用Windows工作排程器安排下一階段的攻擊行動，而使得相關蹤跡更難被察覺。 </p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/turla-new-phishing-campaign-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla對愛沙尼亞、奧地利進行偵察</span></a></strong></h3> <p>先前Google的威脅情報小組（TAG）於3月下旬提出警告，俄羅斯駭客開始鎖定烏克蘭週邊的東歐與北約國家下手，進行網路釣魚與惡意軟體攻擊，這樣的情況延續到5月，有資安業者提出進一步分析。資安業者Sekoia於5月23日指出，他們根據TAG提及的俄羅斯駭客攻擊行動裡，所使用駭客組織Turla的基礎設施進行調查，結果發現，這些駭客鎖定的對象，是位於波羅的海的軍校Baltic Defence College（BALTDEFCOL），以及奧地利聯邦經濟商會Wirtschaftskammer Österreich（WKO）。</p> <p>前者是位於愛沙尼亞的軍事學院，由愛沙尼亞、拉脫維亞，以及立陶宛共同經營，是波羅的海的戰略研究中心，且經常舉辦北約與歐洲官員的會議；後者是在烏克蘭戰爭中保持中立的奧地利組織。研究人員認為，駭客攻擊軍校的目的，很可能是為了要打聽這些歐洲國家接下來打算採取的行動；而針對奧地利聯邦經濟商會的部分，則疑似是探聽奧地利組織對於俄羅斯的看法。</p> <p>再者，前述提及Turla用於攻擊行動的網域裡，存在名為War Bulletin 19.00 CET 27.04.docx的惡意Word檔案，該檔案內嵌了PNG圖檔，但沒有網釣攻擊裡會出現的惡意程式碼或是巨集，研究人員認為，攻擊者主要的工作很可能在於偵察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/anonymous-declares-war-on-killnet/"><span style="color: rgb(0, 0, 0);">駭客組織匿名者攻陷俄羅斯組織Killnet</span></a></strong></h3> <p>俄羅斯駭客組織Killnet自5月初開始，針對義大利多次發動網路攻擊，癱瘓該國政府機關的網站，現在有聲援烏克蘭的駭客開始對該組織出手。根據資安新聞網站Infosecurity Magazine的報導，駭客組織匿名者（Anonymous）於22日宣稱，他們將對Killnet發起網路攻擊，接下來就讓對方的網站Killnet.ru離線。這是該組織在3月上旬聲稱竊得俄羅斯聯邦機構逾36份機密檔案後，他們再度公布攻擊俄羅斯的相關行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/linux-mirai-malware-double-on-stronger-chips/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路病毒Mirai變種顯著增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png" style="width: 300px; float: right;" /></a>駭客在Log4Shell漏洞細節被公布後，針對Linux主機的攻擊行動也顯著增加。資安業者CrowdStrike指出，他們觀察到殭屍網路病毒Mirai的變種，在2022年第1季較去年同期顯著增加，而且是對於不同處理器架構的裝置都是如此。值得一提的是，研究人員指出，雖然針對Linux作業系統的Mirai殭屍網路病毒變種，多半仍是Arm架構設備而來，但論及變種數量增加的幅度，能在x86架構運作的病毒成長幅度最多，較同期增加101%，其中，又以針對32位元x86設備的變種病毒多了120%，而64位元版本x86病毒也增加57％。</p> <p>研究人員認為，有越來越多駭客偏好針對x86處理器架構的設備，原因很可能是製作與維護惡意軟體所需的心力較少，而且攻擊範圍還能從物聯網設備擴及x86伺服器。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK"><span style="color: rgb(0, 0, 0);">思科修補的IOS XR路由器作業系統軟體零時差漏洞，已出現攻擊行動</span></a></strong></h3> <p id="Zyxel">思科於5月20日發布資安通告，指出他們修補了已遭利用的路由器作業系統軟體IOS XR漏洞CVE-2022-20821，攻擊者一旦利用這項漏洞，就可能在未經身分驗證的情況下，遠端存取NOSi Docker容器裡執行的Redis實例。該公司指出，這項漏洞與軟體運作狀態的健康監控機制裡，預設會開放TCP的6379埠有關，從而讓攻擊者能用來連線Redis實例，甚至將任意檔案寫入容器檔案系統，並瀏覽Redis資料庫的內容。</p> <p>針對上述漏洞的影響範圍，該廠牌8000系列的路由器，並部署及啟用上述提及的軟體狀態監控機制，就有可能曝露於這項漏洞的風險當中。由於該公司的產品資安事件應變小組（PSIRT）在本月發現相關攻擊行動，他們呼籲用戶要儘速安裝新版軟體，或是採取緩解措施因應。</p> <h3><strong style="font-size: 22px;"><a href="https://news.softpedia.com/news/mozilla-releases-firefox-100-0-2-with-critical-security-fixes-535426.shtml"><span style="color: rgb(0, 0, 0);">Mozilla修補瀏覽器與收信軟體重大漏洞</span></a></strong></h3> <p id="Zyxel">Mozilla於5月20日發布資安通報，該公司近期修補了電腦版、行動裝置版Firefox瀏覽器，以及收信軟體Thunderbird的兩個重大漏洞CVE-2022-1802、CVE-2022-1529，與Top-Level Await實作的原型鏈污染（Prototype Pollution）有關，一旦攻擊者利用這些漏洞，就有可能藉由上述軟體執行惡意JavaScript指令碼。</p> <p>雖然該公司僅指出這些漏洞為重大層級，並未列出CVSS評分，但根據IT業者紅帽的資安通告，兩個漏洞的危險程度都達到8.8分。Mozilla發布電腦版瀏覽器Firefox 100.0.2、ESR 91.9.1、收信軟體Thunderbird 91.9.1，以及安卓版本Firefox 100.3，並呼籲用戶應儘速安裝新版軟體。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/24 18:03作者周峻佑https://www.ithome.com.tw/news/151105
駭客釋出惡意Windows概念性驗證攻擊程式，企圖感染資安社群
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/?utm_ss=szQyNDAzMTE1BAA&utm_ss_social=1" target="_blank">資安業者Cyble近日警告</a>，他們在網路上發現針對微軟安全漏洞的概念性驗證攻擊程式，但實則為惡意程式網路，資安社群一旦不慎安裝，就會被植入後門程式。</p> <p>遭到駭客利用的兩個安全漏洞都是微軟於今年4月修補的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24500" target="_blank">CVE-2022-24500</a>與<a href="https://www.ithome.com.tw/news/150440" target="_blank">CVE-2022-26809</a>，前者為Windows SMB的遠端執行漏洞，後者則是遠端程序呼叫（Remote Procedure Call，RPC）Runtime漏洞，亦允許駭客自遠端執行任意程式。</p> <p>然而，有一名代號為rkxxz的開發者，將針對這兩個漏洞的概念性驗證攻擊程式上傳到GitHub上，資安工程師Tuan Anh Nguyen在安裝了其中的CVE-2022-26809攻擊程式之後，<a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank">發現他在自己的系統上引進了後門</a>。</p> <p class="rtecenter"><a href="https://twitter.com/haxor31337/status/1527182890869530624?s=20&t=DXYztU2EQgqQlS9PRFMDzg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Malware%20Campaign%20Targets%20InfoSec%20Community-600.png" style="width: 574px;" /></a></p> <p>Cyble指出，偽造的CVE-2022-24500攻擊程式並未含有任何攻擊程式碼，只是出現一個假訊息顯示它企圖開採並執行Shellcode，卻背地裡執行PowerShell指令以遞送真正的酬載，接著下載了Cobalt-Strike Beacon，以用來展開其它的惡意行為。</p> <p>總之，不管是假冒的CVE-2022-24500或CVE-2022-26809攻擊程式，都是用來吸引資安社群的誘餌，因為資安人員經常使用這類的概念性驗證程式來檢查漏洞，使得Cyble呼籲該社群的使用者最好在下載任何概念性驗證程式之前，先確認來源的可信度。</p> <p>目前不管是rkxxz的帳號或相關概念性驗證攻擊程式都已被GitHub下架。</p> </div></div></div>
2022/5/24 14:24作者陳曉莉https://www.ithome.com.tw/news/151093
英特爾設立伺服器浸沒式冷卻實驗室、將在臺灣提出首個參考架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推動資料中心浸沒式冷卻技術開發，<a href="https://www.intel.com/content/www/us/en/newsroom/news/key-investments-advance-data-center-sustainability.html" target="_blank">英特爾近日宣布投資7億美元設立Mega Lab</a>，同時將推動浸沒式冷卻方案的參考架構開源計畫，從臺灣開始推向全球。</p> <p>這座Mega Lab位於美國奧勒岡州Hillsboro市的英特爾Jones Farm園區，佔地20萬平方英呎（約5620坪），預計2023年下半開幕運作，旨在研發浸沒式冷卻、用水效率及熱氣回收及再利用。這座實驗室也將用於測試英特爾資料中心產品，包括Xeon、Optane、網路介面卡和交換器設備、Agilex FPGA、Xe架構、Habana加速器及正在研發中的產品。此外，該實驗室也會設立進階技術展示供客戶和合作夥伴參觀，或在實驗室內的資料中心環境測試英特爾產品。</p> <p><a href="https://www.ithome.com.tw/news/148907" target="_blank">英特爾今年初宣布與GRC（Green Revolution Cooling）合作開發採用Xeon Scalable處理器的浸沒式冷卻技術</a>，2018年則是和Submer合作。</p> <p>除了推進浸沒式冷卻技術的研發，英特爾也宣布號稱首個開放智財（Open IP）浸沒式液冷解決方案和參考架構。該公司說，open IP的參考設計將會是容易部署、擴充簡單的開放整合式冷卻方案，可協助夥伴回應資料中心功率愈來愈密集時代下，企業對能源效率需求。</p> <p>英特爾表示，第一個概念驗證設計將會由英特爾臺灣，以及臺灣合作夥伴推出，之後這個open IP計畫再階段性推向全球。</p> <p>至於何時會見到首個參考架構，英特爾並沒有說明。對於開發中的浸沒式冷卻方案，<a href="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-05/newsroom-immersion-cooling.jpg.rendition.intel.web.1072.603.jpg" target="_blank">英特爾也只提供了一張浸沒槽的照片</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Intel%20Data%20Center%20Cooling-600.jpg" style="width: 296px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾預定的參考架構和開放運算專案（Open Compute Project，OCP）或許會有重疊之處。成員包括ARM、IBM、Google、微軟、Dell和HP、緯穎的OCP下也有一專注液式冷卻技術的工作小組。事實上英特爾自己也是OCP成員之一。</p> </div></div></div>
2022/5/24 14:43作者林妍溱https://www.ithome.com.tw/news/151094
美國上訴法院阻止了佛州對社交媒體的禁令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144612" target="_blank">美國佛羅里達州州長Ron DeSantis在去年的5月簽署了Senate Bill 7072法案</a>，要求大型科技業者必須維護當地民眾存取相關平臺的能力，同時禁止相關平臺封鎖政治候選人，不過，美國聯邦第十一巡迴上訴法院在本周宣判，包括社交平臺在內的大型科技業者同樣受到《美國憲法第一修正案》的保護，不應受到Senate Bill 7072的限制。</p> <p>根據Senate Bill 7072的規定，大型科技平臺必須平等對待所有的州民，在實行內容審核時必須基於一致的政策且透明化，否則人們有權可以控告它們，還能請求損害賠償；此外，相關平臺不得封鎖佛州的任何政治候選人，也不得移除新聞媒體的內容。</p> <p>這使得網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）告上法院，指責Senate Bill 7072違反《美國憲法第一修正案》，美國地方法院先釋出了初步禁令，禁止佛州實施Senate Bill 7072，接著上訴法院也支持地方法院的立場。</p> <p>上訴法院認為，縱使在制定憲法之際沒人能想像Facebook、Twitter或YouTube等社交平臺的存在，但有關言論與新聞自由的原則不應在新媒體出現時而有所不同。</p> <p>不過，同樣是企圖限制社交媒體，同樣是由NetChoice與CCIA提出抗議，但德州迄今的所得到的結果卻不太一樣。</p> <p>德州州長Greg Abbott是在2021年9月簽署了Bill 20法案，打算禁止大型社交網站過度審核用戶的言論；NetChoice與CCIA一樣向法院提出告訴，結果<a href="https://www.ithome.com.tw/news/150894" target="_blank">美國上訴法院今年5月卻裁決德州可合法實施Bill 20</a>。</p> <p>在上訴法院針對Bill 20的裁決結果出爐之後，<a href="https://www.ithome.com.tw/news/150933" target="_blank">代表Google、Meta及Twitter等大型科技公司的遊說團體即向最高法院大法官Samuel Alito聲請緊急動議（Emergency Stay）</a>，希望由最高法院推翻上訴法院的決定。</p> <p><a href="https://www.protocol.com/bulletins/florida-social-media-law-block" target="_blank">美國科技媒體《Protocol》分析</a>，德州與佛州各自針對社交平臺所祭出的法令是類似的，卻於上訴法院得到分歧的結果，而這可能促使最高法院扮演最終的裁決角色，決定社交平臺能否適用於《第一修正案》。</p> </div></div></div>
2022/5/24 14:58作者陳曉莉https://www.ithome.com.tw/news/151096
Nvidia發表Grace伺服器參考設計，明年上半年產品問世；液冷式A100 GPU亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia去年揭露旗下首款資料中心CPU，採用Arm架構的Grace CPU後，在今年Computex上發表了Grace伺服器參考設計，將聯合多家伺服器品牌及代工業者，在明年上半年推出採用Grace的運算系統。此外，還推出液冷式A100 GPU，將液冷技術推向主流GPU市場。</p> <p>去年GTC，Nvidia擴大資料中心布局，揭露將發展CPU、GPU、DPU三種運算技術的戰略，以擴大對支援愈來愈多人工智慧應用的新型態資料中心布局，除了GPU與DPU之外，在CPU方面受外界注目的是，Nvidia首款資料中心CPU，採用Arm架構設計的Grace，強調專為超大規模AI及高效能運算所設計，可帶來TB級的資料處理量。</p> <p>Grace支援第4代NVLink互連技術，讓CPU與GPU間可以每秒900GB的速度互連，並支援LPDDR5X記憶體，帶來更高的容量、頻寬及能源效率。官方稱，配備Grace CPU的DGX，和現今的DGX相比提升5倍效能。</p> <p>今年Computex電腦展，Nvidia揭露更多Grace CPU資訊。Grace將包括兩種產品規格，兩種規格設計均支援Nvidia的軟體堆疊及平臺，包括Nvidia AI和Omniverse。一種是專為大規模人工智慧及高效能運算設計的Grace-Hopper的CPU與GPU規格，以NVLink-C2C作為CPU與GPU間的快速互連，每秒可達900GB的速度；另一種規格是Grace CPU Superchip，以NVLink-C2C互連兩顆Grace CPU，提供144個Arm v9核心與每秒1TB的記憶體頻寬，鎖定高效能及雲端運算。</p> <p>同時，該公司也公布4種伺服器系統的參考設計，CGX、OVX、HGX(Grace)及全新的HGX，針對單路、兩路、4路不同的系統設計，分別對應雲端繪圖及遊戲、Digital Twins及Omniverse、高效能運算、AI訓練推論及高效能運算。</p> <p>前三種參考設計採用Grace CPU Superchip，搭配A16或Nvidia GPU，以及Bluefield-3，第四種的HGX參考設計則採用Grace-Hopper Superchip規格，搭配Bluefield-3，以及OEM自定的I/O或是第4代NVLink互連技術。</p> <p>Nvidia表示，目前已有多家伺服器業者計畫推出產品，包括華碩、富士康工業互連網、技嘉、雲達、緯穎、Supermicro，準在2023年上半年推出數十款伺服器。 Nvidia將繼續在伺服器投入X86與Arm架構伺服器，提供企業不同的選擇。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>推出液冷式GPU</strong></span></span></p> <p>趕上全球節能減碳的趨勢，資料中心節能成為企業的減碳淨零的目標之一，Nvidia也發表液體冷卻的Nvidia A100 PCIe GPU，為主流GPU中首款液冷產品。Nvidia表示，液冷將是Nvidia GPU加速運算發展的下一步，其AI推論和高效能運算效能比CPU提升20 倍。Nvidia目前已開始提供樣品給客戶，預計在今年夏天上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E4%B8%80_NVIDIA%20%E6%8E%A8%E5%87%BA%E6%B6%B2%E9%AB%94%E5%86%B7%E5%8D%BB%E5%BC%8F%20GPU.jpg" style="width: 600px; height: 338px;" /></p> <p>Nvidia已和資料中心業者Equinix合作測試液冷GPU產品，並表示和傳統氣冷技術相比，使用液冷技術可減少約3成的能源消耗，進而降低資料中心的PUE值，預估可達到1.15，低於採用氣冷技術資料中心的平均1.6。另外，由於液冷式的Nvidia A100只使用1個PCIe插槽，代表能提供更高的密度。</p> <p>包括華碩、永擎電子、富士康工業互聯網、技嘉、英業達、雲達、Supermicro等業者，計畫推出Nvidia液冷式GPU。</p> <p>A100之後，Nvidia透露明年液冷技術將擴大至採用Hopper架構的H100 Tensor核心GPU。未來也會擴展至高效能運算資料中心的GPU及HGX平臺。</p> <p> </p> </div></div></div>
2022/5/24 15:00作者蘇文彬https://www.ithome.com.tw/news/151095
eBay踩進NFT市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/ebay-launches-first-collection-of-nfts-in-partnership-with-green-web3-company-oneof-301551975.html" target="_blank">全球線上拍賣市集eBay在23日宣布</a>，將與標榜綠色NFT平臺的OneOf合作，推出Genesis系列的獨家NFT收藏品。</p> <p>Genesis系列將針對美國體育雜誌《運動畫刊》（Sports Illustrated）最近這幾年躍上封面的風雲人物推出各種NFT產品，包括3D或動畫作品，<a href="https://www.ebay.com/e/sports-fan-shop/wayne-gretzky-oneof-nft" target="_blank">首位即為加拿大冰上曲棍球傳奇人物Wayne Gretzky</a>。每個NFT的價格為10美元，皆含有Gretzky冰上英姿的3D渲染或動畫畫面，而且直至今年底，OneOf都會在eBay上銷售運動明星的NFT。</p> <p>OneOf標榜是個基於多個節能區塊鏈的NFT平臺，宣稱在該平臺上鑄造一個NFT所使用的電力，是工作量證明區塊鏈網路的兩百萬分之一，而且購買NFT完全不需要支付礦工費，目標是吸引全球1億名使用者進入Web3的世界，並允許使用者以加密貨幣、簽帳卡或信用卡付帳。</p> </div></div></div>
2022/5/24 15:05作者陳曉莉https://www.ithome.com.tw/news/151097
微軟Bing Autofill會過濾政治敏感詞彙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://citizenlab.ca/2022/05/bada-bing-bada-boom-microsoft-bings-chinese-political-censorship-autosuggestions-north-america/" target="_blank">研究人員分析微軟Bing Autofill功能設定</a>，發現不論是中、英文搜尋或在哪個地區時，都會跳過包括習近平、劉曉波等政治敏感詞彙。</p> <p>設於加拿大多倫多的公民實驗室（Citizen Lab）分析Bing對特定人名關鍵字的言論審查，發現Autofill會依據Bing的語言版本、地區不同，封鎖特定類別的名字，其中和政治活動有關的名字，像是政黨領導人物、異議人士等，和情色類名字同列為被Autofill過濾的兩大類關鍵字。</p> <p>研究人員從英、中版Wikipedia中挑選查詢次數超過1,000次的人名，包括近10萬個英文名及7,000多個中文名，輸入Bing搜尋服務檢視是否會顯示在Autofill建議關鍵字中，地區分別設定為中國、美國及加拿大。</p> <p>研究發現，不論地區設定，被過濾的英語人名最大宗是和情色有關的，例如情色產業工作者（桃乃木香奈 Kana Momonogi）、或本身是私密照片曝光事件的受害者。中文人名則以不意外地過濾了政治人物（習近平、溫家寶）、共產黨歷史人物（李大釗，中國共產黨創黨者之一）、或政治醜聞主角（周永康、張高麗）名字。</p> <p>但是研究人員指出，一些政治敏感詞，如「習近平Xi Jinpin」、「坦克人 Tank Man」、「劉曉波Liu XiaoBo」等高度敏感的政治人物名字，不論英文或中文、或是區域設定，都不會出現在Autofill建議選單中。</p> <p>研究人員也發現，Bing的中文自動建議（autosuggestion），不但出現在公開網頁搜尋，也會反映在Windows內建的Bing搜尋，以及使用Bing自動建議資料的DuckDuckGo。有趣的是由於Bing 對一些身體部位名稱的過濾，害得一些人物如美國46任副總統錢尼（Dick Cheney）和其他叫做「Dick」的人名也遭殃了。</p> <p><a href="https://www.theregister.com/2022/05/20/citizen_lab_microsoft_bing_report/" target="_blank">微軟對The Register 指出</a>，並無所謂「審查」，自動建議的關鍵詞是依據用戶過去查詢使用而產出的建議，沒在自動建議名稱並不表示被封鎖，至於小部份人經歷到某些關鍵詞未出現，該公司已經修正了組態相關的技術疏失，也感謝公民實驗室發現這問題。</p> </div></div></div>
2022/5/24 13:03作者林妍溱https://www.ithome.com.tw/news/151092
博通將以逾500億美元買下VMware，最快本周宣布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/broadcom-discussing-paying-around-140-a-share-for-vmware-people-say-11653334946?mod=djemalertNEWS" target="_blank">華爾街日報</a>》（The Wall Street Journal，WSJ）與<a href="https://www.ft.com/content/b0978baf-cb16-4603-8019-a2a802c8e7e6" target="_blank">金融時報</a>（Financial Times，FT）本周相繼引述消息來源報導，晶片製造商博通（Broadcom）即將買下軟體業者VMware，FT宣稱此一交易超過500億美元，WSJ則說價格落在600億美元左右，雙方最快將於本周宣布。</p> <p>博通習於透過併購來擴大該公司的業務規模，而且近年將收購目標轉向軟體企業，<a href="https://www.ithome.com.tw/news/132339" target="_blank">2019年時以107億美元買下了賽門鐵克（Symantec）的企業安全部門</a>，現在又對雲端運算暨虛擬化技術業者VMware產生興趣。消息傳出後，VMware周一（5/23）股價大漲24.78%，以119.43美元作收，也讓VMware的市值直接衝上500億美元。</p> <p>根據WSJ的報導，博通所提出的收購價格落在600億美元左右，將以股票及現金來支付，每股價格約為140美元。不過，WSJ也說最終收購價格可能仍有變動。</p> <p>報導指出雙方可能會在本周四（5/26）公布此事，而這也是VMware準備公布首季財報的日子。</p> </div></div></div>
2022/5/24 12:18作者陳曉莉https://www.ithome.com.tw/news/151091
美、南韓合作對抗北韓網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/21/united-states-republic-of-korea-leaders-joint-statement/" target="_blank">美國與南韓上周發表合作經濟與安全同盟</a>，包含將合作對抗北韓的網路攻擊。</p> <p>美國總統拜登（Joe Biden）近日在亞洲之行中抵達南韓，並和南韓新上任總統尹錫悅展開會談，會後則連袂發表經濟與安全同盟，強化合作以對抗北韓威脅。除了擴大軍事訓練及操演外，也將提升對北韓威脅活動的辨識及因應措施，以對抗各種來自北韓的各種網路威脅，包括國家支持的網路攻擊。</p> <p>拜登和尹錫悅表示會深化美、韓區域及國際網路安全政策合作，包括擊退網路攻擊者、確保關鍵基礎架構的網路安全、打擊網路犯罪及相關的洗錢、強化加密貨幣及區塊鏈應用、擴增容量、網路操演、資訊共享、網路安全的軍事協同及其他網路國際安全事務合作。</p> <p>北韓駭客組織，包括Lazarus、Hidden Cobra、Stonefly等長期攻擊其他國家政府、政府外包商、能源及基礎架構網路、研究機構，是美國政府的眼中釘，一般相信獲得北韓政府支持。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">2019年美國財政部</a>針對北韓的三大駭客組織：Lazarus Group、Bluenoroff與Andariel展開制裁，指稱它們鎖定重大的基礎架構發動網路攻擊。<a href="https://www.ithome.com.tw/news/141880" target="_blank">去年又控告</a>該共產國家駭入疫苗研發及運送供應鏈，還有3名北韓駭客被控是「全球頭號銀行搶劫犯」。<a href="https://www.ithome.com.tw/news/150497" target="_blank">今年美國政府相信</a>北韓駭客將矛頭轉向加密貨幣平臺及區塊鏈，包括Lazarus竊走Ronin Network超過6億美元，或是<a href="https://www.ithome.com.tw/news/150980" target="_blank">派有IT技能的間諜滲透進全球企業以竊取機密</a>。</p> <p>除了軍事安全合作外，美韓也將強化「科技供應鏈」合作，計畫運用三星電子為主的半導體產業能量，確保晶片及電池等科技元件的供應。雙方也承諾AI、5G/6G及量子運算技術的研發共同投資。</p> </div></div></div>
2022/5/24 10:53作者林妍溱https://www.ithome.com.tw/news/151087
英國對Clearview AI開罰750萬英鎊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資料保護組織Information Commissioner's Office（ICO）在2020年針對人臉辨識業者Clearview AI擅自蒐集該國民眾人臉資料展開調查，去年底認定Clearview AI違反英國資料及隱私法令，打算判罰1,700萬英鎊（2,300萬美元），<a href="https://ico-newsroom.prgloo.com/news/ico-fines-facial-recognition-database-company-clearview-ai-inc-more-than-gbp-7-5m-and-orders-uk-data-to-be-deleted" target="_blank">本周作出最終判決，將罰款降至750萬英鎊</a>。</p> <p>此外，ICO也已發布執行通知，要求Clearview AI不得再自公開網路取得英國民眾的個資，也不得使用這些個資，同時必須從系統上刪除所有英國民眾的資料。</p> <p>ICO指出，Clearview AI迄今已自公開網路或社交媒體平臺上，蒐集超過200億張的全球人臉資料與個人資訊，而且從未知會這些被蒐集資料的民眾，接著還提供服務以讓客戶能夠上傳人們的照片以與資料庫進行比對，此外，就算Clearview AI已經退出英國市場，但其含有英國民眾個資的資料庫仍持續供其它國家的客戶使用。</p> <p>Clearview AI的多項行為都違反了英國的資料保護法令，包括未取得民眾同意且缺乏合法理由即蒐集個資，沒有適當的程序來避免資料永久被留存，以及沒能符合生物辨識資料的較高資料保護標準。</p> <p>不僅是英國，Clearview AI也在今年5月與美國伊利諾州和解，<a href="https://www.ithome.com.tw/news/150846" target="_blank">同意不再提供服務予美國的私人企業或個人</a>。</p> </div></div></div>
2022/5/24 11:07作者陳曉莉https://www.ithome.com.tw/news/151088
Firefox桌機、手機版更新修補2個可致惡意JavaScript執行的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/" target="_blank">Mozilla上周釋出安全更新公告</a>，以修補桌機、手機版瀏覽器及郵件軟體Thunderbird中2個可執行惡意JavaScript重大風險漏洞。</p> <p>兩個漏洞中，CVE-2022-1802為Top-Level Await實作中的原型鏈污染（prototype pollution）漏洞。如果攻擊者可透過原型鏈污染破壞JavaScript中Array物件的方法（methods），就能取得權限執行程式碼。CVE-2022-1529則允許攻擊者傳送方法訊息到主行程查詢JavaScript物件索引，導到原型鏈污染，結果是攻擊者控制的JavaScript可以在具權限的主行程中執行。</p> <p>2項漏洞都是由趨勢科技的Zero Day Initiative研究人員發現。Mozilla將之列為「重大」風險，並未提供詳細的風險值，但Red Hat安全公司將<a href="https://access.redhat.com/security/cve/cve-2022-1802" target="_blank">CVE-2022-1802</a> 及<a href="https://access.redhat.com/security/cve/cve-2022-1529" target="_blank">CVE-2022-1529</a> 皆列為8.8。</p> <p>2項漏洞影響產品包括Firefox桌機、Android版及ESR版瀏覽器，以及Thunderbird郵件軟體。Mozilla已釋出Firefox 100.0.2、Firefox ESR 91.9.1、Firefox for Android 100.3及Thunderbird 91.9.1修補，並呼籲用戶儘速安裝。</p> </div></div></div>
2022/5/24 10:08作者林妍溱https://www.ithome.com.tw/news/151086
【資安日報】2022年5月23日，臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymaf…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，有一則消息，引起了我們的注意，臺灣資安業者在5月10日至13日舉行的黑帽大會上，揭露中國駭客組織開發的木馬程式Pangolin8RAT。依據中國駭客組織之間會互通有無，再加上該木馬程式背景相當複雜，開發過程疑似有APT41參與，研究人員推測很有可能成為日後中國駭客組織大肆利用的攻擊工具。</p> <p>軟體供應鏈攻擊的事故，現在也從NPM蔓延到其他平臺。資安業者近期發現有人上架名為pymafka的惡意PyPI套件，開發人員若是不慎安裝，電腦將會被植入滲透測試工具Cobalt Strike的Beacon。</p> <p>隨著烏克蘭戰爭的進行，俄羅斯駭客發動網路攻擊的對象，已經從烏克蘭擴散到全球。近期最新的攻擊事故，是義大利傳出50個政府機關網站遭到了俄羅斯駭客Killnet發動DDoS攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.blackhat.com/asia-22/briefings/schedule/#the-next-gen-plugxshadowpad-a-dive-into-the-emerging-china-nexus-modular-trojan-pangolinrat-25950"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5於黑帽大會上揭露新的中國木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png" style="width: 300px; float: right;" /></a>中國國家級駭客經常會使用PlugX、ShadowPad等惡意軟體，進行各式網路攻擊，但最近兩年這些駭客疑似製作新的攻擊工具，而有可能使得組織難以透過現有的威脅情資來察覺遭到攻擊。杜浦數位安全（TeamT5）於今年的黑帽大會亞洲場（Black Hat Asia）上，揭露他們從2020年發現的模組化木馬程式Pangolin8RAT，這個木馬程式的特性之一，在於早期版本就支援8種網路通訊協定，駭客亦可藉由C2指令下載DLL程式庫來擴充其功能，很有可能接續PlugX、ShadowPad，成為未來多個中國駭客組織運用的下一代作案工具。</p> <p>研究人員將使用此木馬程式的駭客組織稱為天吳（Tianwu），該組織於2020至2021年行動，鎖定臺灣、菲律賓、哈薩克等國，針對網路賭博業、電信業、政府機關、交通運輸行業出手。根據Pangolin8RAT的程式碼，以及攻擊者所採用的戰術、技巧，以及步驟（TTP），還有偏好鎖定博奕產業的特性，研究人員認為，該組織很有可能與惡名昭彰的APT41（該公司稱為Amoeba）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/pro-russian-hackers-italy/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet攻擊義大利政府多個機關的網站</span></a></strong></h3> <p>多個國家於4月下旬提出警告，俄羅斯駭客不再完全集中火力攻擊烏克蘭，而是<a href="https://www.ithome.com.tw/news/150572#CI">打算報復曾經援助烏克蘭的國家，攻擊他們的關鍵基礎設施（CI）</a>，這樣的情況如今真實上演。根據資安新聞網站Infosecurity Magazine的報導指出，義大利警方於5月20日表示，俄羅斯駭客組織Killnet約於當地時間19日晚間8時發動攻擊，導致約50個政府機關的網站無法運作，這些受害的單位包含了義大利最高司法委員會、外交部、教育部等，且攻擊行動到20日下午仍在進行。</p> <p>但此起網路攻擊事故已非Killnet第一次對該國下手──<a href="https://www.reuters.com/world/europe/pro-russian-hackers-target-italy-defence-ministry-senate-websites-ansa-news-2022-05-11/">該組織曾於11日宣稱</a>對義大利參議院、上議院、國家健康研究所（ISS）等政府機關的網站發動攻擊，癱瘓這些網站運作；<a href="https://www.reuters.com/world/europe/italian-police-prevents-pro-russian-hacker-attacks-during-eurovision-contest-2022-05-15/">義大利警方於5月15日宣布</a>，他們於10日成功攔截該組織對歐洲歌唱大賽的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/new-pymafka-malicious-package-drops-cobalt-strike-on-macos-windows-linux"><span style="color: rgb(0, 0, 0);">惡意PyPI套件pymafka對Windows、macOS、Linux電腦下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png" style="width: 300px; float: right;" /></a>駭客上架惡意開發套件的情況，過往大多針對NPM而來，但現在也有人開始對於PyPI套件庫下手。資安業者Sonatye於5月17日發現，PyPI套件庫裡出現了名為pymafka的惡意Python套件，疑似假冒知名的Apache Kafka用戶端Python套件「PyKafka」來讓受害者上當。上述兩個套件的名稱拼字幾乎相同，開發者若是不慎下載及部署惡意套件，Python指令碼setup.py會先偵測受害電腦的作業系統，並下載Windows、macOS、Linux等作業系統對應的木馬程式，其功能是滲透測試工具Cobalt Strike的Beacon。</p> <p>其中，研究人員在受害的Windows電腦上，看到駭客將Cobalt Strike的Beacon投放於電腦使用者共用的資料夾（C:\Users\Public\），並將檔案名稱命名為iexplorer.exe（註：較IE的執行檔檔名多一個r），然後藉此檔案下載了win.exe並與位於中國的IP位址連線。</p> <p>該公司亦將檔案上傳至惡意軟體分析平臺VirusTotal，結果在61款防毒引擎裡僅有20個視為無害。研究人員認為，開發人員要留意下達安裝的指令是否正確，並搭配相關檢測工具來防堵這類威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape"><span style="color: rgb(0, 0, 0);">勒索軟體Conti停止營運，駭客成立多個組織，另起爐灶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png" style="width: 300px; float: right;" /></a>先前有資安人員發現，勒索軟體Black Besta可能就是Conti東山再起，現在有資安業者揭露更多跡象。威脅情報業者Advanced Intelligence（AdvIntel）指出，駭客於5月19日終止使用勒索軟體Conti的品牌，僅留下羞辱受害者的部落格Conti News，但該組織提供駭客上傳要脅受害者資料，以及讓受害者付款的相關功能皆以失效。</p> <p>研究人員發現，有別於先前其他駭客組織直接淡出網路犯罪生態圈，Conti背後的駭客已是早有預謀──這些駭客因烏克蘭戰爭開打時表態聲援俄羅斯，導致歐美國家封殺他們收取贓款的管道，該組織領導者就已經策畫要分散成多個較小的組織，包含KaraKurt、BlackByte、Black Basta等，來掩人耳目，但這些駭客在移轉的同時，也試圖讓外界認為Conti仍在運作。</p> <p>首先，是該組織以排程的方式，持續公布從受害組織竊得的資料，再者，這些駭客策畫了一場大型攻擊行動來引起外界關注，那就是針對哥斯大黎加於4月中旬的事故──外傳駭客向該國政府索討1千萬美元贖金，一個月後更提高價碼到2千萬美元。但根據研究人員的追蹤後發現，該組織高層的目的並非贖金，而是要讓外界眾所周知Conti的存在，且根據成員的對話記錄，駭客向對方提出的贖金遠低於百萬美元；此外，該組織亦相當罕見地在對外聲明裡加入政治論點（例如，在提高贖金時指控美國是地球的癌症）。而他們這麼做的目的，就是讓關鍵成員轉換到其他組織之後，不致直接遭到執法單位圍剿。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/"><span style="color: rgb(0, 0, 0);">攻擊者利用PDF檔案散布惡意程式Snake Keylogger</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png" style="width: 200px; float: right;" /></a>駭客濫用PDF檔案發動攻擊的情況，雖沒有Office巨集檔案氾濫，但使用者仍不能掉以輕心，因為有人同時結合PDF檔案和Office巨集文件檔案出手。HP旗下的威脅情報團隊發現散布竊密軟體的攻擊行動，駭客近期利用名為匯款發票的名義，透過釣魚郵件挾帶有問題的PDF檔案，一旦收信人開啟，Adobe Reader就會要求載入一個DOCX檔案，駭客刻意將該文件檔名命名為「已經通過驗證」開頭，而使得對話框內容看起來像是「這個檔案已經通過驗證」，讓對方降低戒心依照指示開啟檔案並啟用巨集。</p> <p>一旦巨集啟用後，DOCX檔案就會下載RTF檔案，進而利用方程式編輯器已知漏洞CVE-2017-11882，在受害電腦部署Shell Code，最終下載竊密軟體Snake Keylogger。研究人員指出，駭客在攻擊行動中利用了4年前被公布的漏洞，代表上述漏洞仍能有效發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/"><span style="color: rgb(0, 0, 0);">網路間諜公司在2021年利用5個零時差漏洞對安卓手機植入惡意軟體</span></a></strong></h3> <p>間諜軟體Pegasus被植入iPhone手機，用於跟蹤政要、記者、民運人士的情況不時有消息傳出，但也有其他間諜軟體鎖定安卓手機下手的情況。根據Google的威脅情報小組（TAG）的統計，網路間諜公司Cytrox於2021年至少運用了5個安卓作業系統的零時差漏洞，其中有4個與Chrome有關（CVE-2021-37973、CVE-2021-37976、CVE-2021-38000、CVE-2021-38003），目的就是為了在受害人的手機植入間諜程式Predator。</p> <p>研究人員指出，這家網路間諜公司的客戶很可能在埃及、亞美尼亞、希臘、馬達加斯加、西班牙等國家。值得留意的是，該公司在零時差漏洞之外，也看上安卓生態圈部署更新檔案的時間落差，運用了尚待手機廠商推送修補程式的已知漏洞（N day）。研究人員正積極跟蹤逾30家專門向政府出售相關漏洞的供應商。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own溫哥華賽事落幕，參賽者找出Windows 11、Ubuntu、特斯拉汽車漏洞</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own 2022 Vancouver於5月18日至20日，在加拿大溫哥華舉行，此賽事正逢Pwn2Own邁入第15週年。本次共有17個隊伍參賽，總共有21個攻擊目標，Zero Day Initiative（ZDI）總共發出了115.5萬美元的獎金，並由Star Labs團隊以27點的成績得到最高分，抱走抓漏大師（Master of Pwn）的殊榮。</p> <p>在這3天的賽程裡，最引起關注的是每一天都有參賽者成功攻陷Windows 11作業系統，總共找出6個漏洞。其次，則是微軟的Teams、Ubuntu桌面版本、特斯拉Model 3，以及Firefox與Safari瀏覽器都遭到破解。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/147240"><span style="color: rgb(0, 0, 0);">美國允諾不會控告從事資安研究的白帽駭客</span></a></strong></h3> <p id="Zyxel">資安威脅加劇，政府與企業往往需要藉由白帽駭客協助，找出軟體的資安漏洞，但這些人士遭到相關廠商或單位控告的情況屢見不鮮，例如，有記者在去年10月，<a href="https://www.ithome.com.tw/news/148740#DESE">通報密蘇里州中小學教育網站DESE曝露教職員個資</a>，卻傳出該州州長認為記者入侵網站而打算起訴。<a href="https://www.ithome.com.tw/news/147240">自去年零時差立法專案（Zero Day Legislative Project）提出呼籲，政府應修改過時法律保護白帽駭客</a>，最近美國政府終於釋出善意。<a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act">美國司法部於5月19日表示</a>，針對自1986年施行的電腦詐欺與濫用法（CFAA），他們將修改實施的政策，不會依據相關法令控告善意進行研究的資安人員。</p> <p>但這項消息一出，多個非營利組織與新聞媒體認為，新政策對相關研究人士的保護仍然不足。例如，電子前線基金會（EFF）指出，新政策很可能因明文列出無罪行為，造成更多不在範圍的資安研究、揭露遭到起訴；ZDNet分析新政策內容認為，美國司法部列出的範圍與時下電腦安全研究相差甚遠；TechCrunch表示，該單位沒有將相關做法納入法律而是只有調整政策，很可能日後生變。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/23 16:51作者周峻佑https://www.ithome.com.tw/news/151068
研究人員警告小心夾帶惡意Word檔的PDF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HP旗下專門提供端點安全防護解決方案的HP Wolf Security，<a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/#" target="_blank">在本周揭露了一個罕見的攻擊行動</a>，駭客以電子郵件寄送一個PDF文件，於文件中嵌入惡意的Word檔案，並開採<a href="https://www.ithome.com.tw/news/118298" target="_blank">微軟已於2017年修補的Office漏洞CVE-2017-11882</a>，以於受害者系統上安裝鍵盤側錄工具Snake Keylogger。</p> <p>HP Wolf Security惡意程式分析師Patrick Schläpfer指出，在過去的10年來，駭客一向偏愛以微軟Office檔案格式來包裝惡意程式，特別是Word與Excel，在今年第一季時，該團隊所攔截的惡意程式中，就有接近一半採用Office格式。這不僅是因為使用者熟悉相關檔案格式，也因為用來開啟這些檔案的程式很普及，再加上它們很適合作為社交工程的誘餌。</p> <p>不過，該團隊卻在今年初發現一個不尋常的感染鏈，以PDF文件作為感染途徑，再透過嵌入惡意檔案、自遠方載入攻擊程式，以及加密的Shellcode等方式來躲避偵測。</p> <p>當使用者開啟此一名為Remmitance Invoice的PDF文件時，Adobe Reader會提醒使用者開啟一個.docx的Word檔，同時宣稱該檔案已經驗證，引誘使用者開啟，倘若使用者啟用了巨集功能，它即會自遠端下載一個富文本（Rich Text Format，RTF）檔案，內含特製的物件連結與嵌入（Object Linking and Embedding，OLE）物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-HP%20Wolf%20Security-%E2%80%A2%20PDF%20Malware-CVE-2017-11882-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／HP Wolf Security</span></span></p> <p>研究人員分析了OLE物件之後，發現它含有企圖開採CVE-2017-11882漏洞且加密的Shellcode。</p> <p>微軟於2017年修補的CVE-2017-11882位於Equation Editor工具中，它是Office的預設工具，可於文件中插入及編輯方程式，在微軟修補的當下，該漏洞存在的時間即已長達17年。</p> <p>總之，駭客開採CVE-2017-11882的目的是為了植入鍵盤側錄工具Snake Keylogger。Schläpfer則說，微軟於4年前修補的漏洞現在還持續遭到開採，代表它仍然是個有利用價值的漏洞。</p> </div></div></div>
2022/5/23 16:56作者陳曉莉https://www.ithome.com.tw/news/151069
聯發科推首款5G毫米波產品，第三季終端產品亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發科持續擴大5G產品布局，推出該公司首款5G mmWave毫米波平臺天璣1050，可支援毫米波與Sub-6GHz頻段，第三季將會有採用該晶片的終端裝置上市。</p> <p>今年Computex電腦展第一天，不畏國內疫情的影響，聯發科今天舉辦大型活動，展示該公司旗下多項產品，在5G產品布局上，聯發科去年底推出天璣9000旗艦級，以及定位在次旗艦的8100與8000晶片，搶攻高階5G手機市場，聯發科指出，其中天璣9000從今年第一季開始，陸續有業者推出採用該晶片的高階手機，未來將看到更多搭載該晶片的手機上市。至於今年第一季推出的8000系列，採用該晶片的機型將會於中國、歐洲、印度、東南亞等地區銷售。</p> <p>其中較受注目的是，聯發科首款毫米波產品天璣1050終於亮相，為首款支援5G毫米波頻段平臺，將聯發科5G產品擴大至毫米波頻段市場，還也支援市場上較主流的Sub-6GHz頻段，使其可支援目前5G的全頻段。</p> <p>新平臺採用台積電6奈米製程，內建8核心CPU，包含兩個達2.5GHz的Cortex-A78大核心，以及Arm GPU Mali-G610。5G數據機功能部分，支援5G毫米波與Sub-6GHz的雙連接及無縫切換，其中毫米波頻段支援4載波聚合，以提高5G網速。</p> <p>目前全球5G毫米波頻段服務市場，主要以北美為主，因此聯發科預期，天璣1050將會在下半年量產，並獲得北美地區的客戶採用。</p> <p>儘管目前5G毫米波市場發展較早的是北美市場，但其他地區，例如臺灣也釋出毫米波頻段作為5G使用，作為5G垂直場域應用的頻段，因此未來不只是北美，尚有其他國家地區市場發展潛力。</p> <p>除了5G產品布局，聯發科也發表Wi-Fi 7產品，Filogic 880及Filogic 380，其中Filogic 880用於無線路由器或閘道器，支援4x4 MIMO，速度可達36Gbps，而Filogic 380則用於終端裝置，如手機、平板電腦、筆電、電視、機上盒等，網速可達6.5Gbps。</p> <p>聯發科表示，該公司自Wi-Fi 7標準推出以來積極參與研發，Wi-Fi 7象徵Wi-Fi發展史首次有可取代寬頻有線、乙太網路技術，未來能作為家用、商用、工業網路的核心網路能力，刺激多人AR/VR、雲端遊戲、4K視訊或8K串流播放等應用。</p> <div> </div> </div></div></div>
2022/5/23 17:12作者蘇文彬https://www.ithome.com.tw/news/151070
Google：Cytrox開採5個零時差漏洞以植入Predator間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/" target="_blank">Google安全分析小組（Threat Analysis Group，TAG）本周公布了5個遭到以色列資安業者Cytrox開採的安全漏洞</a>，用以植入Predator間諜程式，並藉此展開3波的攻擊行動。</p> <p>TAG隸屬於Google Zero專案（Project Zero），負責追蹤涉及不實資訊活動、政府支撐的駭客行動，以及基於財務動機的威脅組織，在2021年時總計發現了9個零時差漏洞，<a href="https://www.ithome.com.tw/news/145701" target="_blank">去年公布了其中4個的細節</a>，本周再接再厲公布了另外5個，而它們全都遭到Cytrox利用。</p> <p>Cytrox所開發的5個零時差漏洞分別是位於Chrome瀏覽器中的CVE-2021-37973、CVE-2021-37976、CVE-2021-38000與CVE-2021-38003，以及出現在Android的CVE-2021-1048，Cytrox創造了開採上述漏洞的攻擊程式，並鎖定Android用戶展開攻擊以植入Predator間諜程式。</p> <p>根據CitizenLab的評估，向Cytrox購買相關攻擊程式的國家包括埃及、亞美尼亞、希臘、馬達加斯加、象牙海岸、塞爾維亞、西班牙與印尼等。且為了讓Predator進駐受害者手機，除了利用零時差漏洞之外，Cytrox也藉由修補空窗期，輔以已知漏洞的攻擊程式來提高成功率，讓更多缺乏先進技術的各國政府得以擴大其監控能力。</p> <p>值得注意的是，在TAG去年發現的9個零時差漏洞中，就有7個是由Cytrox這類所謂的資安傭兵所開採，而且光是TAG目前正在追蹤的資安傭兵就超過30家。</p> <p>其中，第一次攻擊發生在去年8月，只利用了CVE-2021-38000漏洞，隔月的攻擊串連了CVE-2021-37973與CVE-2021-37976漏洞，第三次攻擊出現在10月，串連CVE-2021-38003及CVE-2021-1048漏洞。</p> <p>在利用這5個零時差漏洞所發動的3次攻擊中，其手法是雷同的，都是透過電子郵件遞送模仿短網址的一次性連結予Android用戶，且3次攻擊所針對的目標用戶都只有數十位，一旦使用者點選了連結，在連至合法網站之前，就會先被導至駭客所擁有的網域以植入開採程式。</p> <p>這3次的攻擊行動都是先遞送Android惡意程式Alien，再由Alien載入間諜程式Predator，後者可用來錄製裝置上的聲音、添加CA憑證及藏匿程式等。</p> </div></div></div>
2022/5/23 13:46作者陳曉莉https://www.ithome.com.tw/news/151066
南韓對UST與Luna展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p>Kwon與Daniel Shin是在2019年於南韓創立Terraform Labs，打造Terra演算法穩定幣生態體系，主要透過其姐妹幣Luna來維持與各種法幣的錨定，迄今已發行支援18種法幣的Terra，最普及的是與美元掛鉤的UST。Terraform Labs還在今年1月於新加坡成立非營利的Luna Foundation Guard，以中立的角色維護Terra生態體系。</p> <p>然而，<a href="https://www.ithome.com.tw/news/150911" target="_blank">UST與Luna在5月中旬大崩盤</a>，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，現在則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。</p> <p><a href="https://www.donga.com/news/article/all/20220520/113504879/2" target="_blank">南韓《東亞日報》報導</a>，促使當地檢察官辦公室展開調查的是5名提出訴訟的加密貨幣投資人，他們在這波崩盤中損失了14.3億韓元（約113萬美元）。此外，有鑑於Terraform Labs創立於南韓，因此當地大約有28萬名Luna投資人，所投入的資金總計為700億韓元（約5,510萬美元）。</p> <p><a href="https://www.yna.co.kr/view/AKR20220520065500004" target="_blank">《韓國聯合通訊社》</a>則引用控方律師LKB & Partners的說法指出，Terraform Labs在設計與發行UST時，已經知道它含有設計漏洞與演算法缺陷，但不僅未於專案白皮書中呈現，還無限擴大Luna的發行量，無疑是詐欺行為。</p> </div></div></div>
2022/5/23 12:38作者陳曉莉https://www.ithome.com.tw/news/151063
Windows 11測試新版Windows Subsystem for Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/05/20/update-to-windows-subsystem-for-android-on-windows-11/" target="_blank">微軟周末釋出Windows Subsystem for Android 12.1版測試版</a>，預設關閉遙感資料（telemetry）的蒐集，強化Android App和連網攝影機或喇叭的互動、Windows將可顯示Android App存取電腦麥克風或相機，以及新增其他功能。</p> <p>最新Windows Subsystem for Android 12.1包含在Windows預覽版version 2204.40000.15.0，透過Dev頻道釋出給Insider用戶。Windows Subsystem for Android 12.1最大特色是預設關閉的遙感資料，後者主要是用於偵測Android App使用狀況的診斷設定。欲啟用者，應透過設定App開啟該功能</p> <p>最新Windows Subsystem for Android也全新設計了設定App，更清楚的設定群組、導覽功能分群顯示、加入子系統診斷資料的viewer、相容設定有新的組態功能如關閉App調整大小等。</p> <p>此外，Windows Subsystem for Android 也強化Android Apps和Windows的整合。Windows工作列會顯示哪些Android App存取麥克風、位置和其他系統服務，而Android App執行時工具列會自動隱藏／顯示。此外，Android Toast將會以Windows通知顯示，Android App的Windows title也會顯示Android activity title。當系統從待機模式醒來時，Android App不會重新執行，而會接續之前狀態執行。</p> <p>其他功能包括進階網路功能，強化Android App和Windows PC同一網路內的裝置的網路連線，以便連結連網喇叭或網路攝影機；改善Android App的相機功能，例如以相機指向固定為自然指向（natural orientation）、修正相機畫面黑邊及壓扁（letterboxing/squishing）和相機預覽不正確的問題；以及提升Android App對滑鼠滾輪、螢幕鍵盤的支援。</p> <p>Windows 11 的Insider用戶需具備OS Build 22621以上版本，才能安裝測試最新Windows Subsystem for Android。</p> </div></div></div>
2022/5/23 12:56作者林妍溱https://www.ithome.com.tw/news/151064
歐洲央行總裁呼籲應監管加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲央行總裁Christine Lagarde在上周接受荷蘭訪談節目《College Tour》專訪時，毫不客氣地指出，加密貨幣缺乏任何安全支撐，一文不值，因此需要被監管。</p> <p><a href="https://en.ethereumworldnews.com/crypto-is-worth-nothing-and-based-on-nothing-says-ecb-president-lagarde/" target="_blank">根據《以太坊全球新聞》（Ethereum World News）的報導</a>，Lagarde說自己擔心那些不了解加密貨幣風險的人，也擔心那些可能會因此喪失所有加密貨幣資產或對加密貨幣失望的人，因此相信加密貨幣應該被監管。</p> <p>Lagarde毫不遮掩自己對加密貨幣的看法，指出它就是個缺乏任何基礎且一文不值的產品，沒有資產得以作為它的安全支撐。</p> <p>另一方面，Lagarde則對歐洲央行打算發行的數位貨幣充滿信心，她說，當央行發行數位貨幣時，任何數位歐元都會有央行作為後盾，而這與加密貨幣是截然不同的。</p> <p><a href="https://www.ithome.com.tw/news/145661" target="_blank">歐洲央行已於去年7月正式啟動數位歐元專案（Digital Euro Project）</a>，目前正在經歷長達24個月的調查階段，該行預期數位歐元將可降低交易成本，也能促進普惠金融，從Lagarde的發言來看，她對於歐洲央行是否會發行數位貨幣抱持樂觀的看法。</p> </div></div></div>
2022/5/23 13:15作者陳曉莉https://www.ithome.com.tw/news/151065
網路流傳冒名馬斯克推銷加密貨幣詐騙網站的Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日網路上流傳冒用馬斯克（Elon Musk）等科技界名人身份的Deepfake影片，以推銷一個加密貨幣交易平臺。</p> <p><a href="https://www.youtube.com/watch?v=0Pf4hrnDjss" target="_blank">這則影片</a>包含一段馬斯克接受訪問宣揚BitVex好處的談話，最後並宣稱每周可為投資人賺進回報率11%的獲利。</p> <p><a href="https://www.bleepingcomputer.com/news/security/elon-musk-deep-fakes-promote-new-cryptocurrency-scam/" target="_blank">但Bleeping Computer報導</a>，這個名為BitVex的加密貨幣交易平臺其實是一個詐騙網站，用戶會需要先註冊才能瀏覽網站內容。除了和其他詐騙網站一樣顯示各種加密貨幣，如Cardano、以太幣、比特幣、瑞波幣（Ripple）、幣安幣（Binance Coin）的提領金額外，還宣稱馬斯克是這個網站的執行長，並且有加密貨幣或投資界名人如幣安執行長趙長鵬、<a href="https://www.youtube.com/watch?v=fJJYyCnutSo" target="_blank">Cathie Wood</a>的影片證言。</p> <p class="rtecenter"><a href="https://vimeo.com/712602130?embedded=true&source=vimeo_logo&owner=52361365" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Deep%20fake%20video%20of%20Elon%20Musk%20promoting%20crypto%20scam%20by%20bleeping%20computer.jpg" style="width: 600px;" /></a></p> <p>事實上，除了馬斯克外，被冒名製作Deepfake YouTube或YouTube Shorts格式影片宣傳BitVex[.]org網站的投資名人，還包括Brad Garlinghouse、Michael Saylor、Charles Hoskinson等。這些影片製作水準不一，以馬斯克的影片而言，影片中人物說話動作相當不自然，連聲音也剪接得不太好，但是其他影片有的就頗為流暢。</p> <p>報導指出，有不少合法YouTube頻道，包括遊戲類別的網站被駭入上傳這些宣傳影片。所幸這些影片沒有太成功，但是該詐騙網站仍然獲得不知情投資人近2,000美元的存款。</p> <p>馬斯克的光環使其成為加密貨幣詐騙的最好工具。2020年包括比爾蓋茲、馬斯克（Elon Musk）、巴菲特等名人的推特（Twitter）帳號也被人駭入張貼加密貨幣的詐騙訊息，讓歹徒成功騙到價值近11萬美元的用戶匯款。比特幣和Dogecoin的身價爆漲也都和馬斯克的加持有關，包括<a href="https://www.ithome.com.tw/news/143447" target="_blank">特斯拉接受比特幣付款</a>，以及<a href="https://www.space.com/spacex-dogecoin-moon-mission" target="_blank">Space X升空任務接受Dogecoin</a>。</p> </div></div></div>
2022/5/23 10:54作者林妍溱https://www.ithome.com.tw/news/151061
Conti關門大吉、化身成數個新勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在肆虐2年後，惡名昭彰的勒索軟體Conti上周悄悄關閉了官網和收贖金的伺服器，宣告關門大吉，只是研究人員發現，操作Conti的駭客又以新身分繼續活動。</p> <p><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape" target="_blank">資安廠商Advintel上周指出 </a>，Conti勒索軟體背後運作組織在5月19日關閉了官網的管理控制臺，而且歹徒用以上傳新資料、恫嚇受害者付款的主要功能已經失效，此外和受害者交涉、及代管偷來資料的基礎架構也都關掉了。Conti基礎架構的其他部份，像是聊天室、通訊軟體、伺服器及代理主機多半已經過重設。</p> <p>事實上，AdvIntel研究人員發現，Conti組織早從今年4月底就開始顯露撤收的跡象，他們已不太支援勒索行動和收贖金，只留了個網站公佈竊來的資料，直到5月19日把網站公佈資料的功能也關閉，才正式宣告了Conti官網結束運作。</p> <p>目前Conti網站宣傳的功能還是在，實則大大不同。例如雖然在5月20日，「Conti News」網站還上傳了反美的仇恨言論，宣稱美國是「地球之癌」，但是和之前使用的文雅英文不同，現在的文字品質低落，顯示組織首腦已經不再在乎這網站。</p> <p>Conti首先於2020年6月開始活動，受害者遍及美國政府機構、醫療、警消單位，也曾駭入<a href="https://www.ithome.com.tw/news/144469" target="_blank">愛爾蘭健康服務管理署及衛生部</a>、以及宏碁的網路系統。<a href="https://asia.nikkei.com/Spotlight/Society/Russia-based-ransomware-group-behind-attacks-raking-in-77m" target="_blank">日經報導</a>，21個月以來Conti發動的攻擊賺到的贖金高達7,700萬美元。4月Conti還駭入了中美洲小國哥斯大黎加，<a href="https://www.ithome.com.tw/news/150993" target="_blank">2周下來加密該國海關及財政部等27個系統</a>，並威脅再收不到贖金要鼓動示威推翻該國政府。</p> <p>不過研究人員強調，這次關閉的是Conti勒索軟體的「品牌」，並非Conti背後的組織。也就是說，惡意組織並非退出江湖，而是要以新的品牌繼續活動。他們發現，2月到4月之間，Conti已為關閉做準備，悄悄設立了「分部」，並以KaraKurt、BlackByte、BlackBasta等新名稱活動以接收Conti的既有「會員」（affiliates）。這些新勒索軟體可能繼承Conti的加密惡意程式，也可能使用新建的惡意程式。</p> <p>至於何以要關閉Conti網站，研究人員指出，2月底俄羅斯入侵烏克蘭，Conti公開支持俄國以來，歐美國家的封鎖已讓Conti無法收到任何贖金，觸發背後首腦之一reshaev另立品牌的決定。</p> <p>至於哥斯大黎加的勒索行動，研究人員相信是Conti告別江湖前幹的最後一票。</p> </div></div></div>
2022/5/23 09:32作者林妍溱https://www.ithome.com.tw/news/151058
FTC發布政策以避免教學科技侵犯兒童隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19疫情迫使許多學生只能在家上課，為了避免應運而生的教學科技侵犯兒童隱私，<a href="https://www.ftc.gov/news-events/news/press-releases/2022/05/ftc-crack-down-companies-illegally-surveil-children-learning-online" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）在19日指出</a>，教學平臺或科技為了讓兒童於網路上完成作業或進行遠端上課，而迫使學校或家長交出兒童的隱私權是違反《兒童線上隱私保護法案》（Children’s Online Privacy Protection Act，COPPA），宣布將致力於保障兒童隱私。</p> <p>FTC表示，在現代的數位經濟趨勢下，兒童必須學會透過科技來學習，也必須使用科技學習，然而，家長與學校卻被迫由商業監控業務模式主導的行業來引導，這類的服務有能力蒐集大量的個人資訊，更令人擔心的是，這些資料可能被用來建立兒童的檔案。</p> <p>FTC坦承，許多數位經濟業者都積極蒐集人們的資料並藉此營利，但教學科技供應商卻必須受到COPPA的規範，該組織將確保這些供應商完全符合規定。</p> <p>相關規定包括不得要求兒童提供參與活動必要資訊以外的個人資訊；就算取得學校授權以蒐集兒童資訊，也不得將相關資訊應用在任何其它商業目的，包括行銷及廣告；存放兒童資訊的時間不得超出該活動的所需時間；業者必須制定程序來保護兒童個資的機密、安全與完整性。</p> <p>FTC也警告，舉凡違反COPPA的業者不僅可能面臨民事處罰，也可能迎來新的要求與限制以阻止它們的非法行為。</p> </div></div></div>
2022/5/23 10:18作者陳曉莉https://www.ithome.com.tw/news/151060
加密貨幣交易平臺度小月：Coinbase撙節支出，FTX US將提供美股交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著加密貨幣的市值持續蒸發，使用者的交易量變少，美國兩大加密貨幣交易平臺Coinbase與FTX US都祭出了相應的措施，其中，Coinbase宣布將放緩招募的腳步，至於FTX US則宣布要新增股票交易平臺FTX Stocks。</p> <p>全球的加密貨幣市值在今年1月大幅縮減了30%，雖然之後有所起色，但3月底時還是創下了自2020年第四季以來的新低。加密貨幣市值的下滑也影響了交易平臺的業務，美國最大加密貨幣交易平臺Coinbase今年第一季虧損了4.3億美元，遠不如去年同期的7.7億美元獲利。</p> <p>於是，Coinbase原本要在今年將公司規模擴大3倍的計畫喊停了。<a href="http://blog.coinbase.com/employee-note-an-update-on-hiring-plans-507ea4e2b6cf" target="_blank">Coinbase營運長Emilie Choi日前（5/17）表示</a>，有鑑於當前的市場狀況，放慢招聘速度，以及根據該公司最優先的業務目標來評估員工的需求，才是謹慎的作法。</p> <p>此外，根據<a href="https://www.theinformation.com/articles/coinbase-memos-detail-cost-cuts-employee-stock-grant-boost" target="_blank">《The Information》</a>的報導，Coinbase也已計畫要削減於AWS與Datadog的支出。</p> <p>另一方面，<a href="https://www.prnewswire.com/news-releases/ftx-us-launches-ftx-stocks-offering-trading-on-us-listed-equities--etfs-301550852.html" target="_blank">美國第二大加密貨幣交易平臺FTX US在19日宣布</a>，將推出免手續費的FTX Stocks美股交易服務，提供數百種美國上市股票與ETF的交易功能，不過初期將僅開放少數美國用戶進行測試。</p> <p>FTX US並未提及加密貨幣的交易現況，其總裁Brett Harrison則說，該平臺的目標是替所有資產類別的客戶提供全面的投資服務，未來客戶將能透過單一的整合且具備直覺介面的平臺交易加密貨幣、NFT及傳統的股票。</p> </div></div></div>
2022/5/23 08:35作者陳曉莉https://www.ithome.com.tw/news/151056
回應用戶呼籲，蘋果承諾擴大支援Final Cut Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應電視、影片製作及YouTuber產業的要求，蘋果上周承諾將改善影片編輯軟體Final Cut Pro的支援及認證、銷售管道。</p> <p>4月底100多名全球電視、影片製作界人士，包括福斯電視製作人、ABC影集《公路殺機Big Sky》及Netflix知名影集《柏捷頓家族：名門韻事Bridgerton》編輯專業人士<a href="https://www.gopetition.com/petitions/support-open-letter-to-tim-cook-about-final-cut-pro.html" target="_blank">連署向蘋果執行長Tim Cook發出公開信</a>，要求蘋果提供Final Cut Pro相關的支援及認證計畫，以便用戶能更容易買到，及獲得支援服務。</p> <p>Final Cut Pro（FCP）是蘋果的影片剪輯軟體，用戶涵括許多YouTuber、教育單位及小型內容製作公司，和Adobe Premiere Pro、訊連科技威力導演（PowerDirector）、Pinnacle Studio、Filmora、Corel VideoStudio等並列最佳的專業影片剪輯軟體。</p> <p>這份公開信指出，FCP有效率也很好用，但是在專業影片及電視製作產業，FCP用戶是少數族群，以致於知名度不足，他們希望蘋果在功能或銷售支援體系有更多投資。</p> <p>這群影片製作人要求蘋果公開推廣FCP及新增影片製作需要的功能。此外他們希望蘋果提供影片產業常用的第三方產品或服務支援及認證計畫。其中，他們希望藉由FCP認證考試以培養具FCP技能的人才。此外，他們也要求更容易取得FCP支援，以及可從現有經銷管道買到FCP，因為唯有如此，大型影片製作公司才會接受FCP為主流工具。</p> <p><a href="https://fcp.co/final-cut-pro/articles/2591-apple-response-to-final-cut-pro-in-tv-and-film-open-letter" target="_blank">蘋果上周透過FCP網站做出回應</a>。因應用戶要求，蘋果承諾將針對專業影片剪輯提供新的訓練產品及授權認證，夏天起由專家團隊提供經常性的諮詢服務，並將針對主要影片及電視製作公司擴大提供Final Cut Pro工作坊。</p> <p>針對新功能的要求，蘋果表示該公司有個10年藍圖，目前已在這個藍圖的收尾階段。該公司說6月的WWDC開發者大會將會公布新增的FCP功能。</p> </div></div></div>
2022/5/23 08:48作者林妍溱https://www.ithome.com.tw/news/151057
【微服務架構弱點，遇上超完整DR計畫盲點，連6年SRE老手都失守】SaaS業界近年最大當機事件追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你用來管理所有開發專案的平臺，企業內部文件的共享知識庫，還有業務、行銷和行政部門合作的專案平臺，突然都當機了，甚至廠商告訴你，要2周後才能修復，這段期間，所有資料都無法存取，也沒有備份版本可用，你會怎麼辦？這正是775家企業在Atlassian四月大當機事件，所遭遇的處境。</p> <p>Atlassian是20歲的澳洲老牌軟體開發商，旗下擁有知名的企業專案管理平臺Jira，企業文件協作平臺Confluence，還有看板協作工具Trello。許多大型企業都採用Jira來管理自家的敏捷開發專案，甚至Atllassian還推出給非技術團隊用的敏捷專案平臺，不少企業用於業務、行銷、商業分析團隊的敏捷管理。</p> <p>根據Atlassian今年3月財報資料，超過75%的財星五百大企業都是他們的企業用戶，全球更有23萬家企業採用，光是用Jira Service Management服務來進行企業內部大型系統開發專案生命周期管理的企業，就超過了4萬家，不少是大型企業，更有178家企業每年授權訂閱費用超過百萬美元，相當於有數千人訂閱授權數的規模，甚至訂閱數最多的一家超大型企業，訂閱了5萬個授權。Atlassian一年光是訂閱費用的營收就超過了13億美元（約臺幣390億元）。</p> <p>國外有不少大型銀行愛用Jira專案管理平臺，臺灣也有多家金控、不少大型製造業、資服業者，採用Jira來管理敏捷開發專案。Atlassian不是企業軟體開發和維運的新手，而是支援數萬家企業各式各樣敏捷專案開發的關鍵廠商。</p> <p>雖然Atlassian沒有公開這次事故受影響的企業名單，只揭露受影響企業家數是775家，但其中有400家是活躍使用的企業。根據國外媒體個別採訪受影響企業的結果，小則有150個授權，大則有訂閱多達4千個授權的企業。根據非官方估算，775家受影響企業下，累積受到衝擊的個人使用者超過了5萬人。這起事件也大大重挫了Atlassian市值，從當機事件到完全復原這2周期間，Atlassian股價足足下滑了近2成，後續到5月下旬仍持續下滑中。</p> <p>因為Jira這一系列產品，Atlassian是企業級SaaS服務的指標業者之一，很早就採用SaaS模式來提供服務，也全面採用AWS公有雲，支援5千多款各式應用服務，早在2015年，Atlassian就開始擁抱SRE，建立了SRE團隊，也發展出一套完整的網站可用性工程和實務做法，甚至作為SRE範本提供給多家企業顧客採用。全面擁抱公有雲同時，Atlassian也搭配建立了一套詳細的災難備援和事故復原計畫，尤其隨時保存了30天的完整顧客資料和異動過程，可以復原到30天內任何一個時刻的資料版本。</p> <p>但是，就算Atlassian擁有十多年SaaS服務的維運經驗，6年SRE經驗，以及雲端業界標準常見的災備和復原計畫，都無法事前發現，及時阻止4月大當機，無法在99.9%服務水準承諾（SLA）承諾的8.76小時內復原，甚至有不少企業遲遲等到14天後，才能打開自己的敏捷專案資料。</p> <p>為何這家雲端服務指標廠商，SRE維運老手，無法避免這次大當機的發生？</p> <p><span style="font-size:28px;"><strong>大當機事件發生過程追追追，一隻刪除程式的誤用而釀災</strong></span></p> <p>回到事件發生當天，4月5日早上（編按：統一採用UTC時間），這一天是Atlassian年度大會Team22的前一天，Atlassian要淘汰一些舊版Ap，在4月5日這一天刪除這些舊版應用的程式。正是這支刪除舊版AP的腳本程式造成了這起當機事故。早在實際執行刪除之前，Atlassian測試過這隻腳本程式沒有問題，甚至在正式環境中試刪除了30個顧客所用的舊版Ap，也沒有發生問題。</p> <p>提出刪除申請的業務團隊，提供了一份目前還在使用這些舊版AP的企業顧客名單，作為腳本程式自動執行刪除的目標清單。但是，關鍵的出錯環節是，他們提供的ID清單，不是直接提供要刪除AP的ID，而是給了這些待刪除AP ID所在的網站ID清單，再告訴執行刪除指令的工程團隊，要刪除這些網站ID中的老舊AP。但是，雙方發生了溝通落差，工程團隊誤以為，這批網站ID就是要刪除的清單，直接套用到刪除腳本程式來執行。到了4月5日，這隻腳本程式刪除的不是舊版AP，而是刪除了那些還在使用舊版AP的企業的全部網站資料。</p> <p><span style="font-size:28px;"><strong>釀災起因：想刪除老舊Ap，為何反而刪除顧客全站資料？</strong></span></p> <p>要了解誤刪的影響，得先知道用AP ID來刪除，和使用網站ID來刪除，有何差別？這得從Atlassiant技術架構說起。</p> <p>Atlassiant所有服務都部署在AWS上，在資料儲存上和服務架構上，都採取了高度分散式架構，以及容易組合再利用的微服務架構，並在雲端基礎架構上來設計了資料管理層和共用的平臺服務層，也透過API串連到許多第三方廠商的應用。所有微服務都布建在AWS的容器化服務上，更搭配了一套PaaS服務，稱為Micros，來提供內部微服務的自動化布建。從共用服務部署、基礎架構資源調度、資料儲存管理、合規性管制都靠這個平臺自動完成。</p> <p>另外在管理架構上，Atlassian採取了多租戶架構，並以網域作為單一用戶的最基本管理單位，這就是網站ID。企業要指定一個網址作為登入Atlassian服務的主要入口網站，也把他們所訂閱的所有Atlassian服務，都登記到這個網址下。Atlassian也稱這個網址是一個網站容器，用來容納屬於這個企業顧客的所有資料、配置和所用的AP。網站ID就是用來識別一家企業的網站容器的代號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的技術架構採取了分散式架構，不只在雲端基礎架構採取分散架構來提高可用性，在應用系統層次，也採取了多租戶微服架構設計來兼顧彈性和可用性。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Atlassian</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E4%BF%AE%E8%A3%9C%E6%8C%91%E6%88%B0--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Atlassian-600.png" style="width: 599px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>Atlassian的網站ID（企業顧客網站URL網址）也是一個網站容器，將一家企業的所有資料、配置和所用的AP，都登記到這個網站ID來管理。</strong><span style="font-size: 14px;">圖片來源／Atlassian</span></span></p> <p>Atlassian也用這個網站ID來作為識別一個企業用戶帳號的代號，所有與這家企業有關的資料、表單、帳單，也都用這個網站ID來作為識別客戶的索引，例如企業顧客提出支援工單時，這張工單就會用網站ID作為所屬客戶的代號。</p> <p>當Atlassian業務單位提出了一份要刪除老舊AP的網站ID，希望刪除他們所用的老舊AP。但是負責執行的團隊，誤以為要刪除這一批AP ID所在的網站ID。這就不只是刪除了AP，而是刪除了採用這些AP的企業所擁有的全部AP和資料。</p> <p>4月5日7:38，開始執行舊版AP刪除腳本程式，工程團隊也沒有接到任何通知，警告有企業顧客的網站遭刪除，因為這是一隻獲得合法授權的刪除程式。但是，不到10分鐘，就有企業發現自己所用的Jira網站失聯，提出第一張當機支援工單。刪除腳本程式在8點多執行完畢，事後調查，一口氣刪除了775家企業所擁有的883個網站。受影響的產品包括了Jira 產品系列、Confluence文件協作平臺、Atlassian Access登入機制、Opsgenie 事件應變服務，甚至是網站狀態查詢頁Statuspage。這些受影響企業，不只無法連線登入，甚至連要檢視所用服務的運作狀態頁都打不開。</p> <p>接連有不少顧客提出當機工單，Atlassian決定在8:17啟動重大事件管理流程，也組織了跨部門事件管理團隊，找來工程部門、客戶支援團隊、專案管理團隊和對外溝通部門，聯手展開事故調查，每3小時開會一次，並在8:24將事件狀態提升到「危急」狀態。不到20分鐘，工程團隊就發現了事故的根本原因，是腳本程式誤刪資料而非駭客攻擊，9:03時首度在服務狀態網頁中揭露發生當機事故。</p> <p>找出事故原因之後，下一步就是要盡快解決問題，恢復顧客所訂閱的服務。Atlassian開始嘗試建立一套標準化的復原方法，但卻發現，要復原一個遭到刪除的網站，得建立新網站、復原每個下游產品、服務及還原資料所需的資料，還須與各網站所用第三方生態系廠商重建連結，相關復原步驟高達70個。他們才發現，要復原這些網站的複雜性遠超過他們的想像，所以在12:38時將這起事件的嚴重等級提升到「最高等級」，這時距離事故發生，已經超過了5小時。</p> <p>Atlassian當機後不久，越來越多顧客在Twitter上抱怨，因為Jira是許多企業用來管理敏捷開發專案的主要平臺，無法使用，就等於無法進行敏捷專案的開發，連要打開專案工單來知道該處理哪些工作都沒有辦法。這股抱怨聲浪越來越大，越來越多人發現，這起當機事件持續時間越來越久，超過了8、9個小時，Atlassian所承諾的99.9%可用性承諾已經失守。</p> <p>不少受影響的企業用戶在Twitter上抱怨，他們連要向Atlassian通報當機問題，或是申請支援工單都做不到，也有人是發出申請後，遲遲沒有得到官方回應，彷彿Atlassian的服務窗口失聯一樣，無法透過原本的線上管道來接觸。</p> <p>直到事故發生後17個小時，Atlassian才發電子郵件通知受影響顧客，並開始打電話聯繫，對他們說明，而這時已經引起不少媒體的關注，開始大舉報導這起大當機事件。</p> <p>直到事件發生後快2天，Atlassian才發布第一份當機事件的官方公開聲明。而Atlassian的合作夥伴，則還等到事故後第2天快結束時，才開始接到通知。因為當機事故遲遲無法解決，Atlassian共同創辦人也以個人名義發信，親自向顧客說明復原進度緩慢的原因。</p> <p>4月8日，也就是事件發生後的第四天，Atlassian終於成功復原了第一家受影響顧客的網站。可是，復原團隊這才發現，採用第一版復原方法，需要48小時才能恢復一批網站，因為需要大量人工作業，只能分批復原，若要全面復原剩下的網站，還需要3周時間，所以，也開始改良復原程序。同一天，Atlassian也對所有工程部門實施程式碼凍結，禁止任何異動，來降低顧客資料不一致的變更風險</p> <p>過了一天，4月9日開始啟用第二套復原方法，將原本70道程序，大幅減少到只剩下30道程序。第二套做法重建顧客網站時，不是建立新的網站ID，而是直接沿用了顧客的舊網站ID，因此，大幅減少新舊ID比對的步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。這時有771個誤刪網站，可以改用第二套方法來復原。</p> <p>不過，第二套方法還是需要大量手動操作，直到4月11日，Atlassian工程團隊打造出自動化復原工具，來加速第二套方法的時間，才將復原時間縮短到12小時，這時候，Atlassian才在工單中向顧客承諾，可以在事故後2周內復原，隨後也在自家技術長部落格說明事件和復原進展。</p> <p>到了4月14日，採用第一版復原方法復原的網站達到112個網站，不再繼續使用。Atlassian也打造出復原網站的完整驗證腳本程式，不再需要人工驗證，更加快了其他網站的復原速度，到了4月16日10:05 ，就完成所有網站的復原和自動驗證，但還沒經過顧客確認。隔天21:48，最後一位受影響顧客完成復原確認。Atlassian就在4月18日1:00宣布，受影響網站100%復原。這時，距離事故發生已經近14天，不過，宣布當時，仍有57個網站，因為復原資料的時間點過早，比原訂「當機前5分鐘」的復原時間點，還要更早，還需要追補後來異動的資料。</p> <p>到了4月底，Atlassian發布了四月大當機事件的完整事後分析報告，對外說明這起事故發生的原因，和為何遲遲無法復原網站的關鍵。</p> <p><a href="https://www.ithome.com.tw/news/151036" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">Atlassia四月大當機為何14天才復原？工程思維DR計畫，缺乏關鍵的顧客視角</span></strong></span></a></p> <p> </p> <p class="rtecenter"><span style="font-size:36px;"><strong><span style="color:#000000;"><span style="background-color:#FFFF00;"> Atlassian四月大當機時間表 </span></span></strong></span></p> <p><span style="font-size:24px;"><span style="color:#B22222;"><strong><span style="font-family:arial,helvetica,sans-serif;">2022/4/5 UTC</span></strong></span> </span><span style="font-size:14px;"><strong style="font-size: 20px;">（以下皆採用世界協調時間）</strong></span></p> <p><span style="color:#000000;"><span style="font-size:20px;"><strong>刪除腳本程式執行前測試正常，沒有發現輸入了錯誤ID</strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-family:arial,helvetica,sans-serif;"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 07:38 </span> </strong></span></span></span><strong style="font-size: 20px;">開始執行舊版AP刪除腳本程式，誤用網站ID而刪除了企業顧客全站資料</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 07:46 </span> </strong><strong style="font-size: 20px;">顧客提出第一張當機支援工單</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:01 </span> </strong><strong style="font-size: 20px;">刪除執行完成（事後調查刪了883個網站）</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:17 </span> </strong><strong style="font-size: 20px;">觸發重大事件管理流程，建立跨職務事件管理團隊（工程、客戶支援、專案管理、溝通），展開事故調查，每3小時開會一次。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:24 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">事件狀態提升到「危急」狀態</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:31 </span> </strong><strong style="color: rgb(255, 255, 255); font-family: "Times New Roman"; font-size: 20px;"> </strong><strong style="font-size: 20px;">Atlassian支援團隊首度回應顧客，承認發生事故</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 08:53 </span></strong><strong style="font-family: "Times New Roman"; color: rgb(255, 255, 255); font-size: 20px;"> </strong><strong style="font-size: 20px;"> 確認根本原因，是腳本程式誤刪資料而非駭客攻擊</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:03 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在服務狀態網頁中，揭露事件正在調查中</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 09:37 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">展開第一套復原方法（70道程序），為每個遭刪除網站建立新網站，以及每個下游產品、服務及還原資料所需的資料，也須向各網站所用第三方生態系廠商重建連結。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 12:38 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">發現網站復原的複雜性，將事件嚴重等級提升到「最高等級」</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/6</span></strong><span style="font-family:arial,helvetica,sans-serif;"><strong style="color: rgb(178, 34, 34); font-size: 20px;"> </strong></span></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後17個小時，才發電子郵件通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">開始打電話通知受影響顧客</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 17:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">媒體開始報導大當機事件</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/7</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 00:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生後近2天，發布第一份當機事件的官方公開聲明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:15 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事故發生後近3天，才開始通知合作夥伴</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/8</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:50 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">事件發生3天後，共同創辦人以個人名義發信向顧客說明</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:30 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">對所有工程部門實施程式碼凍結，禁止異動，來降低顧客資料不一致的變更風險</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 03:58 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成第一家顧客網站成功復原（顧客也確認），但復原團隊發現，採用第一版復原方法，需要48小時才能恢復一批網站，全面復原需要3周，開始改良復原程序。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/9</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>啟用第二套復原方法（簡化為30道程序，仍有大量手動操作），採用舊網站識別碼，大幅減少新舊ID比對步驟，也不用再逐一與第三方程式供應商溝通，節省大量時間。771個誤刪網站改用第二套方法來復原。</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/11</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>打造出自動化復原工具，來加速第二套方法的時間，縮短為12小時就可復原。也於08:29 在工單中向顧客承諾會在2周內復原</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/13</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 02:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">首度在技術長部落格說明事件和復原進展</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/14</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>用第一版復原方法，復原112個網站（占12.6%)</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 22:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">打造出復原網站的完整驗證腳本程式，不再需要人工驗證</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/16</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 10:05 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">完成所有網站復原和自動驗證，但還需顧客確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/17</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 21:48 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">所有受影響顧客完成復原確認</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/18</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 01:00 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">公開宣布受影響網站100%復原，但當時仍有57個網站復原資料的時間點過早（比原訂當機前5分鐘的復原時間點，還要更早），需追補後來異動的資料。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><strong style="color: rgb(255, 255, 255); font-family: arial, helvetica, sans-serif; font-size: 20px;"><span style="background-color: rgb(178, 34, 34);"> 23:56 </span></strong><span style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"> </span><strong style="font-size: 20px;">將服務狀態網頁改為正常運作的綠色燈號。</strong></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:24px;"><strong style="color: rgb(178, 34, 34);"><span style="font-family: arial, helvetica, sans-serif;">2022/4/29</span></strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="font-size:20px;"><strong>發布四月大當機事件完整事後分析報告</strong></span></p> <p style="color: rgb(0, 0, 0); font-family: "Times New Roman"; font-size: medium;"><span style="color:#696969;"><strong>資料來源：Atlassian，iThome整理，2022年5月</strong></span></p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/news/151027
Atlassia四月大當機為何14天才復原？問題出在工程思維DR計畫，缺乏關鍵的顧客視角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151027" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span> <span style="color:#3399ff;">SaaS業界近年最大當機事件追追追</span></strong></span></a></p> <p>在今年4月5日，Atlassian發生大當機事件，波及旗下Jira 產品系列、Confluence文件協作平臺、Atlassian Access登入機制、Opsgenie 事件應變服務，甚至是網站狀態查詢頁Statuspage，受影響企業家數達775家。造成四月大當機事故的起因不複雜，Atlassian也的確在事故發生後1個多小時，就釐清了根本原因，但是資料復原成了他們最大的考驗。</p> <p>為了提供99.9%的可用性服務水準，這是雲端供應商常見的標準SLA承諾，Atlassian原本就有一套災難復原做法。但是，Atlassian坦言，過去的DR計畫主要聚焦在基礎架構失敗的復原，或是從備份資料中復原企業所用服務儲存空間的做法，而少了一個關鍵環境，就是以顧客專屬入口網站（網站ID）視角的復原計畫。換句話說，Atlassian的DR計畫是以自己工程維運角度來思考，而少了從顧客視角，從企業所用專屬網站的角度來設計復原機制。</p> <p>舊有DR計畫有能力來因應基礎架構層級的失效情況，如整個資料庫失效、AP服務或AWS 可用區域遺失的復原，也可以因應勒索軟體事件、惡意程式、軟體缺失，甚至是因人為操作錯誤而導致的服務儲存資料損毀，都可以單獨將資料復原到30天內的任何時間點。換句話說，Atlassian的DR計畫涵蓋了基礎架構出錯、資料損毀、單一服務活動或單一網站的刪除。但是，在這起事故中，Atlassian遭遇到多網站、多產品的自動復原挑戰。在Atlassian的網站等級維運手冊中，沒有建立快速自動執行的腳本程式和程序，就得人工處理和協調跨所有產品和服務的復原工作。</p> <p>可是，Atlassian的技術架構採取了分散式架構，不只在雲端基礎架構採取分散架構來提高可用性，在應用系統層次，也採取了多租戶微服架構設計來兼顧彈性和可用性。一位企業客戶的網站，不只會部署到單一資料庫或儲存空間，也會部署到分散式基礎架構中，可能涵蓋了多個實體位置與邏輯位置，來儲存中繼資料、配置資料、產品資料、平臺料或是其他有關相的網站資訊。這是為何需要一套高度自動化的PaaS部署和建置平臺的緣故。不過，要復原一整個網站，就得重建這個的高度自動化作業的過程，Atlassian因為因為沒有事先考慮到這個情況，就帶來了龐大的人工驗證的確認程序。</p> <p>這正是為何在第一個復原方法中，需要高達70個步驟，因為建立新的網站、授權、雲端ID來啟用正確的產品清單後，還得將網站資料轉移到正確的AWS區域中，並且要復原和重新對應網站的核心中繼資料和配置、網站的身分識別資料，然後才能復復原網站的主要產品資料庫，還要重新對應網站的相關媒體關聯、附件，也要重新對應網站所有服務的資料。甚至要復原和重新對應一個企業用戶網站所用到的每一個第三方應用程式，告訴第三方應用的供應商，新的網站ID與舊有網站ID之間的關聯，來取得合法串接授權。這中間有不少是因為新舊ID轉換而需要的確認和驗證，而這些都沒有事先完成的自動化腳本工具可用，得邊做邊人工處理。這正是為何第一個復原方法花上48小時的緣故。</p> <p>後來改良後的第二個復原方法，放棄使用新網站ID，而直接沿用企業用戶遭刪除的舊網站ID，就少了許多需要驗證的動作，尤其，第三方應用的串接，不需要再次確認就能繼續使用，再加上後來完成了自動化復原工具和驗證工具，才把復原時間縮短到12小時以內。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1078-coverP3-600.png" style="width: 600px;" /></p> <p><span style="font-size: 20px;"><strong><span style="color: rgb(105, 105, 105);">Atlassian第一個復原方法中，需要高達70個步驟，而且沒有事先完成的自動化腳本工具可用，得邊做邊人工處理。這正是為何第一個復原方法花上48小時的緣故。後來改良後的第二個復原方法，放棄使用新網站ID，而直接沿用企業用戶遭刪除的舊網站ID，就少了許多需要驗證的動作，來簡化了一半驗證程序，再加上後來完成了自動化復原工具和驗證工具，才把復原時間縮短到12小時以內。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Atlassian</span></p> <p><span style="font-size:28px;"><strong>為何顧客遲遲無法取得支援，從失敗的顧客溝通學到教訓</strong></span></p> <p>不只資料復原時間延宕，在這次當機事件中，Atlassian還遭遇了另一個問題，就是顧客抱怨無法取得官方的聯繫和說明。導致顧客溝通失利的關鍵，也是因為企業網站全站資料遭到刪除的緣故。因為Atlassian的核心系統（負責支援、授權和計費）下達了客戶網站刪除指令後，不只刪除了企業網站ID資訊，也會刪除聯絡資訊，例如網站系統管理員的聯絡方式。因為，Atlassian是利用網站ID（網站URL網址）和系統管理員聯絡清單，作為安全驗證、優先順序等用途的識別清單，因此，刪除指令會一併刪除這些資料，也讓Atlassian無法系統性的識別受到影響的企業顧客和顧客直接互動的能力。</p> <p>再者，Atlassian的線上聯絡表單或是工單申請，都要求要提供有效的網站URL網址，但是受影響企業的網站ID已經失效，就無法送出表單或申請工單，除非該企業有另一個可正常使用的網站ID。當Atlassian要開始聯繫顧客時，只能透過業務團隊手上的聯絡名單，但其中不少聯絡資料已經異動失聯，Atlassian只能從其他可用資料，例如帳單，歷史工單等來源，重建完整的聯絡人清單，這就大大拖慢了Atlassian對顧客的回應速度，也難怪有企業用戶抱怨，好幾天都沒有得到任何聯繫或事故說明。</p> <p>再加上，因為架構的複雜性，帶來了這次事故復原的挑戰，Atlassian遲遲無法確定影響範圍和準確估算解決時間，Atlassian採取了錯誤的做法，決定等到了解事故全貌後，才要告知顧客，這就讓顧客長時間處於資訊不明的不確定狀態，而引發的大量抱怨。</p> <p>Atlassian坦言，失去聯絡清單而無法聯繫顧客，再加上採取了解全貌才說明的策略，讓他們沒有更早採取公開回應的做法。一直到事故發生一周後，才在技術長部落格上公開復原進度，而在這個過程中，失去聯絡資料的企業顧客，遲遲無法獲得來自官方的私下說明。</p> <p><span style="font-size:28px;"><strong>Atlassian從四月大當機學到的4個教訓</strong></span></p> <p>在這起事件事後，Atlassian在報告中歸納出4個教訓，第一項就是要在所有系統中普遍採用「軟刪除」的做法，也就是避免直接刪除資料，而是先停用資料，經過一段保留期才真正刪除。這起事件是來自合法的刪除指令，因此工程團隊沒有收到任何事前警告，而在刪除程式的事前測試中，也因為用對了正確的AP ID而非後來實際提供的錯誤網站ID，而沒有發現刪除目標的改變。</p> <p>Atlassian決定，必須徹底採取軟刪除，也要設計多層保護機制來避免錯誤或誤刪，並建立一套標準化的驗證審查流程。</p> <p>而第二個教訓則來自這次辛苦復原的過程，日後必須在災難復原計畫中，建立一個大宗客戶發生多網站、多產品刪除事件的自動化修復機制。而他們也發現，過去靠多年累積的事件管理計畫中，只會針對較小規模、短期影響的事件進行模擬演練，但這次事件中，動員了數百名工程師和客服支援人員，而且動員超過2周。日後需要在產品層級事件教戰守則中，建立一個可讓數百人協作的大規模事件流程來演練。最後一項教訓是與顧客溝通管道的改良，一方面既有事件溝通教戰守則，沒有透過多種管道，尤其是社交媒體這種更公開、廣泛的做法，來承認事件的發生，也與顧客溝通說明後續進展，另一方面，也要改進現有關鍵聯絡人的維護方式和顧客通報流程的盲點。Atlassian也公開了這次大規模事件管理流程的運作示意圖。</p> <p>在SRE實務中，事後分析報告（Postmortem）是精進網站可用性的關鍵，現在也有越來越多雲端供應商，願意公開自家大當機事件的事後分析報告，來向外界說明。不只Atlassian，過去也有多起重大當機事件，業者都也揭露事後分析報告。</p> <p>儘管Atlassian這份報告仍遭到批評，沒有更完整地揭露這次事件所影響的實際使用者人數，而只公布了受影響的企業家數，但在報告中，Atlassian對於事故發生原因，到如何因應複雜資料復原的過程，都提供了種種細節和詳細說明，仍是值得臺灣企業參考的一次經典SRE事後分析報告，也是SaaS服務維運團隊必須了解的一起重大當機事件。</p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/news/151036
6年SRE老手為何仍大當機14天
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1078-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1.jpg?itok=GJscKXJe" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的企業級敏捷專案管理平臺Jira，突然在今年4月5日一早出現大災難，數百家企業所用的內部協作平臺、敏捷管理平臺、甚至是業務團隊協作平臺都大斷線，大大衝擊這些企業的運作。但多數遭殃企業沒有料到，竟要等到14天後，才能完全復原。這是近年SaaS業界最嚴重的一起當機事故</p> </div></div></div>
2022/5/23 07:00作者王宏仁https://www.ithome.com.tw/article/151037
解決開源軟體安全將從10大問題面著手，美政府、業者與社群協力提對策，並宣布投入預算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對開源軟體安全的議題，全球都在關注，如今美國政府與科技巨擘正積極採取行動，盼能改善相關風險。今年1月，美國白宮便曾舉行開源軟體安全高峰會，當時邀集多家科技業者，商討這個獨特的安全挑戰，近期，5月中旬二度舉辦開源軟體安全高峰會，這場會議，由Linux基金會與開源安全基金會（OpenSSF）召開，集結37家科技業者的高階主管，以及美國白宮等多個聯邦機關官員，共90人與會，這次會議不僅達成更多的共識，並具體指出將解決開源軟體的十大挑戰，同時科技業者也承諾，在未來兩年內，將投入1.5億元經費解決相關問題。</p> <p>特別的是，這次會議的召開時間可說是別具意義，去年同一時間，美國總統拜登簽署了一份改善國家網路安全的行政命令EO 14028中，當中亦涵蓋提高開源軟體供應鏈的安全。</p> <p>而參與這次會議的成員，來自多個重量級業者，包括Amazon、Google、微軟、VMware、Dell、GitHub、Intel、摩根大通等，同時也有多個美國政府機關的官員出席，包括來自美國白宮、美國國家安全委員會（NSC）、美國網路安全及基礎設施安全局（CISA）、美國國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）與美國行銷管理和預算局（OMB）的官員。這樣的組合，其實也顯現出開源社群、科技巨擘，以及美國聯邦政府之間加強合作的態勢與重要性。</p> <h2><strong>面對開源軟體安全議題，聚焦解決10大問題</strong></h2> <p>該如何改善開源軟體安全？Linux基金會與開源安全基金會在接納多方意見後，<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">現已發布首個廣泛解決開源軟體安全的計畫項目，名為「開源軟體安全動員計畫」（The Open Source Software Security Mobilization Plan）</a>，當中最受關注的焦點就是，不僅詳細說明解決開源軟體3大議題與10大問題，也公布解決各項問題將投入的經費。</p> <p>基本上，在首次開源軟體安全高峰會上，當時討論了3個主要目標，包括：首先，<strong>確保開源軟體生產的安全</strong>，重點放在防止程式碼與開放原始碼套件（Open Source package）的缺陷與漏洞；其次，<strong>改善漏洞發現與修補</strong>；最後，<strong>縮短整個生態體系的修補應變時間</strong>。</p> <p>如今，隨著第二次開源軟體安全高峰會的召開，現已進一步訂出開源軟體十大問題，分別是：（一）安全教育、（二）風險評估、（三）數位簽章、（四）記憶體安全、（五）資安應變、（六）強化掃描能力、（七）程式碼稽核、（八）資料分享、（九）軟體物料清單SBOM，以及（十）供應鏈改善。</p> <p>具體而言，以確保開源軟體生產安全的目標而言，在<strong>安全教育</strong>面向，透過教育與認證讓所有人提升安全軟體開發的水準；在<strong>風險評估</strong>面向上，為最熱門的1萬個或更多開源軟體元件建立一個公開、中立且基於客觀指標的風險評估儀表板；在<strong>數位簽章</strong>方面，加速軟體發布採用數位簽章；在<strong>記憶體安全</strong>方面，透過替換「不具記憶體安全（non-memory-safe）」的程式語言，來消除許多漏洞的根源。</p> <p>以改善漏洞發現與修補的目標而言，在<strong>資安應變</strong>方面，強調建立OpenSSF開源安全事件回應小組，資安專家可在應對漏洞了關鍵時刻介入協助開源項目；在<strong>強化掃描能力</strong>面向，透過進階的安全工具與專家指引，加速開源項目維護者與專家對新漏洞的發現；在<strong>程式碼稽核</strong>方面，每年將針對兩百多個關鍵的開源軟體元件，進行一次第三方程式碼審查以及必要的修補工作；在<strong>資料分享</strong>方面，將協調所有產業共享相關資料，幫助確定出最關鍵的開源軟體元件並改善研究。</p> <p>以縮短整個生態體系的修補應變時間的目標而言，在<strong>軟體物料清單</strong>方面，將改善SBOM工具，並且推動這類工具的培訓與採用；在<strong>供應鏈改善</strong>方面，將運用更好的供應鏈安全工具與最佳實踐，來強化10個最關鍵的開源軟體開發系統、套件管理器與布署系統。</p> <p>特別的是，這次計畫已確定改善這十大問題的投入經費，其中，對於「強化掃描能力」一項的首年投入金費最高，達1,500萬美元，之後每年投入1,100萬美元，「程式碼稽核」的首年投入金額也達1,100萬美元，之後每年將投入更多，達4,200萬美元。</p> <p>整體而言，為解決這十大問題，這項計畫的首年投入經費將達到6,840萬美元，次年將為7,950萬美元。</p> <p>目前，在這1.5億美元的經費中，已由Amazon、Ericsson、Google、微軟、VMWare共同認捐超過3,000萬美元，作為此一計畫的前期資金。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB(1).jpg" style="width: 295px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB.jpg.jpg" style="width: 295px;" /></p> <blockquote><p><em>自今年一月白宮召開開源軟體安全高峰會後，近日Linux基金會與開源安全基金會（OpenSSF）二度召開此會議，同時發布了<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">開源軟體安全動員計畫白皮書</a>，具體商討出強化開源軟體安全需解決10大問題。</em></p> </blockquote> <h3><strong>美國解決開源軟體安全十大問題的經費配置</strong></h3> <table border="0" cellpadding="0" cellspacing="0" style="width:611px;" width="610"><tbody><tr height="22"><td height="22" style="height:22px;width:45px;">項目</td> <td style="width:380px;">內容</td> <td style="width:89px;">第一年經費</td> <td style="width:96px;">第二年經費</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">1</td> <td>推動安全軟體開發水準教育</td> <td>450萬美元</td> <td>350萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">2</td> <td>建立開源軟體風險評估儀表板</td> <td>350萬美元</td> <td>390萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">3</td> <td>推動數位簽章增強信任</td> <td>1,300萬美元</td> <td>400萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">4</td> <td>替換不具記憶體安全的程式語言</td> <td>550萬美元</td> <td>200萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">5</td> <td>成立OpenSSF開源安全事件應變小組</td> <td>275萬美元</td> <td>300萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">6</td> <td>加快新漏洞的挖掘與修復</td> <td>1,500萬美元</td> <td>1,100萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">7</td> <td>實施第三方稽核，以及程式碼審核與修復</td> <td>1,100萬美元</td> <td>4,200萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">8</td> <td>資料共享以確定關鍵項目</td> <td>185萬美元</td> <td>205萬美元</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">9</td> <td>軟體物料清單無所不在，提供安全範例與工具</td> <td>320萬美元</td> <td>待公布</td> </tr><tr height="22"><td align="right" height="22" style="height:22px;">10</td> <td>強化開源軟體開發系統、套件管理器與布署系統</td> <td>810萬美元</td> <td>810萬美元</td> </tr><tr height="22"><td height="22" style="height:22px;">　</td> <td>總投入經費</td> <td>6,840萬美元</td> <td>7,950萬美元</td> </tr></tbody></table><p>Linux基金會，iThome整理，2022年5月</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%96%8B%E6%BA%90%E8%BB%9F%E9%AB%94%E5%AE%89%E5%85%A8%E5%8B%95%E5%93%A1%E8%A8%88%E7%95%AB.jpg" style="width: 600px;" /></p> <blockquote><p>在開源軟體安全動員計畫白皮書中，針對解決開源軟體安全的10大問題，都提供了詳細的說明。以第一項安全教育而言，當中指出，從歷史上看，傳統的軟體工程課程很少關注、強調，或是教授良好的網路安全衛生與安全Coding技術的重要性。因此，OpenSSF提出了以下多管齊下的方法來解決這個問題，包括：收集與策劃內容、擴大培訓，以及並獎勵與激勵開發者。同時，白皮書中也具體擬定出各項問題所需花費的預算。這十項內容均值得國內思考。</p> </blockquote> </div></div></div>
2022/5/22 12:33作者羅正漢https://www.ithome.com.tw/news/151045
歐洲第二版資安指令NIS 2即將發布，更多重要中大型產業納入規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為歐盟網路安全管理規定法律化首要部分的《網路與資訊系統安全指令》，在2016年正式公布實施，其全名為Security of Network and Information Systems，簡稱NIS Directive，到了2020年底，為因應日益嚴重的網路威脅，歐盟執行委員會（European Commission，EC）提出修正提案NIS 2 Directive，目的是增修NIS指令以適應當前與未來需求，符合後Covid 19時代與5G時代的網路安全局勢，同時對外公開徵求意見。</p> <p>如今，這項提案已有共識。今年<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985">5月13日</a>，歐洲議會與歐盟會員國就NIS 2 Directive達成共識，將擴大現有NIS Directive的範圍，提高網路安全風險管理措施，以及報告義務的標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E6%AD%90%E6%B4%B2NIS%202%20Directive_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Europe2022FR.jpg" style="width: 600px;" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">在2022年5月13日，歐盟成員國與歐盟執委會在<a href="https://twitter.com/Europe2022FR/status/1524888169338003482/photo/2">臨時議會</a>中，針對修訂網路與資訊系統安全指令NIS 2 Directive進行研議。(圖片來源／Europe2022FR)</span></p> <h2><strong>因應威脅加劇，新版修訂將擴大法令涵蓋範圍</strong></h2> <p>基本上，NIS Directive對歐盟而言，是網路與資訊安全的第一部立法，目標是加強整個歐盟的網路安全，當中除了成員國建立電腦安全事件因應小組（CSIRT），以及建立成員國合作交流合作小組，同時，歐盟成員國必須要求監管各國關鍵基礎建設與服務，重視資安問題，當中包括：能源、運輸、水力、金融、健康醫療與數位基礎建設等領域，要求這些業者必須採取適當的安全措施，並在發生重大資安事件時通報有關單位。</p> <p>根據歐盟執委會的說明，儘管NIS Directive的實施多年來已有成果，為許多成員國在網路安全的思維、制度與監管方法上，帶來了重大的轉變，然而，實施至今也顯現出它的局限性。這是因為，隨著COVID-19危機及加速數位轉型，同時也擴大了網路威脅風險，並帶來新的挑戰，因此需要新的應對措施。畢竟，任何服務中斷事件，即使最初影響僅限於單一實體，或是單一部門，都可能衍生更廣泛的連鎖效應，對整個歐盟內部市場的服務交付，產生深遠且持久的負面影響。</p> <p>因此，為了應對日益嚴峻的網路威脅，現在將推出的NIS 2 Directive，涵蓋更多對經濟與社會至關重要的中大型產業，具體而言，不論是中央或地方政府機關的電子通訊服務供應商、數位服務業者，以及廢水或廢棄物管理業者、重要產品的製造商、郵政及快遞服務，或是公共行政單位，都必須遵循該指令。而且，在Covid-19影響下，網路威脅程度日益強烈，對於醫療健康領域的業者，現在也更廣泛納入醫療裝置製造商。</p> <p>整體而言，新規則涵蓋範圍更擴大，可迫使更多實體與部門採取網路安全風險管理措施，將有助於提高歐洲的中長期網路安全水準。</p> <h2><strong>將導入更嚴格的監督措施，並強化供應鏈、5G網路安全</strong></h2> <p>在擴大整體覆蓋範圍之外，NIS 2 Directive亦提高對企業資安的要求。例如，解決供應鏈及與供應商之間的安全問題。</p> <p>同時，歐盟成員國將與委員會及ENISA合作，將在歐盟委員會對於5G網路安全的方法基礎上，對關鍵供應鏈進行協調的風險評估。</p> <p>不僅如此，對於那些未遵守網路安全義務的行為，將向高階管理人員究責，而且，在這次的修訂中，除簡化報告義務，並導入更嚴格的監督措施與執法要求，以協調歐盟會員國之間的制裁制度，有助於強化各國與歐盟於網路危機管理上的資訊共享與合作。</p> <p>至於新版修訂的實施時程，歐盟委員會也已經公布接下來的行動，簡單而言，預計將在歐盟高峰會（European Council）及歐洲議會達成政治上的共識，得到兩位聯合立法者的批准後，就會正式通過NIS 2 Directive這項指令，並公布於歐盟官方公報（Official Journal），而在新版指令公布的20天後即為生效日，屆時，成員國必須在21個月內，將該指令轉化為國家法令。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%AD%90%E6%B4%B2NIS%202%20Directive.jpg" style="width: 600px;" /></p> <p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">NIS 2 Directive自2020年12月提出，到了</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">今年<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2985">5月13日</a>，歐洲執行委員會發布達成共識即將批准的消息。</span></p> </div></div></div>
2022/5/22 09:31作者羅正漢https://www.ithome.com.tw/news/151044
Cloud周報第144期：紅帽揭未來產業邊緣運算新布局，要將雲端RHEL轉為汽車平臺也能用的車用OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/12～05/18）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新戰略 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">汽車產業 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>紅帽揭未來產業邊緣運算新布局，不只搶進電信市場，更要將雲端RHEL帶進汽車平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202022-05-22%20%E4%B8%8A%E5%8D%888_19_06.png" style="width: 600px; height: 268px;" /></p> <p>在今年紅帽高峰會上，紅帽不只推出強化邊緣運算支援的RHEL雲端產品，更揭露未來在產業邊緣運算布局，除了搶進電信市場，紅帽下一個目標將鎖定汽車產業，將RHEL帶進汽車平臺。</p> <p>在會後亞太一場媒體活動上，紅帽執行長Paul Cormier也透露，邊緣本身即是混合雲延伸的一環，以產業來看，電信業是紅帽第一個聚焦的市場，再來會是汽車產業。</p> <p>因應軟體定義汽車的趨勢，紅帽更宣布與<a href="https://media.gm.com/media/us/en/gm/company_info/facilities/assembly/ftw.detail.html/content/Pages/news/us/en/2022/may/0510-redhat.html">美國汽車大廠通用汽車（GM）的合作</a>，將為其Ultifi汽車軟體平臺打造以RHEL為基礎的車用Red Hat In-Vehicle Operating System，能夠符合功能性安全認證，可支援各種車上關鍵應用，包括資訊娛樂、ADAS、車輛控制和連接服務等。搭載紅帽車載Linux的Ultifi汽車軟體平臺，最快2023年推出。</p> <p>通用汽車也表示，希望透過採用紅帽Linux和標準化雲原生技術，減少跨平臺整合和軟體成本，並改善開發周期、加速產品上市時間，以及能夠提供創新的服務、商業模式。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0UcPpz1X7tE" title="YouTube video player" width="560px"></iframe></div> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習叢集 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud推出新的機器學習叢集用TPU v4，運算效能最高達9 exaFLOPS</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 345px;" /></p> <p>在今年Google I/O大會上，Google Cloud也順勢推出預覽版Cloud TPU v4機器學習叢集，能以多個Cloud TPU v4建立運算叢集，提供更高運算力，用於大規模自然語言處理、推薦系統和電腦視覺演算法。</p> <p>這款叢集產品使用了去年發表Cloud TPU v4，每個Pod由4,096個晶片構成，透過超高速互聯網路連接，每一臺機器的頻寬，相當於每秒6 TB，可用來快速訓練目前最大的模型。</p> <p>從運算效能來看，Cloud TPU v4叢集的峰值運算效能，最高可達9exaFLOPS ，HBM2記憶體容量也從16 GiB提升到32 GiB，讓嵌入式系統加速翻倍，可提高訓練大規模推薦模型效能。Google Cloud在大會裡也提到，這代雲端TPU v4晶片擁有高度節能特性，每瓦最大功率峰值的FLOP是TPUv3的3倍。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> RHEL9 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">邊緣運算 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>紅帽發布新版企業級RHEL 9，強化邊緣端部署及管理，也提高安全性</strong></span></p> <p>紅帽在Red Hat年度高峰會上推出最新的企業版RHEL 9作業系統，強調專為邊緣運算及多雲環境所設計，可以跨本地資料中心、雲端到Edge端來執行，來提供一致性創新及管理。</p> <p>根據紅帽的說明，新版RHEL 9是第一個以CentOS Stream為基礎的RHEL產品，CentOS Stream是RHEL釋出前的發行版，提供持續交付的RHEL預覽功能，通過社群反饋、程式和功能更新來幫助紅帽擴大其Linux生態系統。</p> <p>相較於前一版，RHEL 9一大特色，就是強化了邊緣運算的支援，包括加強單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解等。另外為了解決邊緣裝置上容器更新失敗的情況，也新增Podman的自動化容器回撤（rollback）機制，一旦偵測容器更新失敗時，便會回復到之前最後的良好組態，避免影響其服務。</p> <p>新版RHEL還加入一個部署邊緣系統的安裝器，並強化安全防護。未來除了可支援FIDO Device Onboarding，提供用戶更安全的IoT或邊緣裝置的自動加密驗證和新增機制，來縮短部署時間，還支援Gnome Kiosk Mode模式，可提供簡易圖形化桌面環境，用於付款用終端機的使用。</p> <p>另一方面，RHEL 9加入了可解決Spectre、Meltdown等硬體層漏洞，以及讓使用者空間（user-space）建立無法為惡意程式存取的記憶體等功能。另外它還加入IMA數位雜湊和簽章技術，可驗證裝置，防止裝置遭到惡意修改。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續經營 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SaaS </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟正式推出永續經營雲端服務，可提供碳排放記錄、報告製作及減量建議</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(2).png" style="width: 600px; height: 337px;" /></p> <p>歷經半年多的公開預覽測試，微軟於17日宣布永續經營雲端服務Cloud for Sustainability將於6月1日於全球正式推出。</p> <p>微軟Cloud for Sustainability是一個SaaS解決方案，可提供企業碳排放記錄、報告製作，以及碳排減量建議。</p> <p>隨著該方案的推出，微軟表示，將可以整合Microsoft和合作夥伴的功能，來協助企業打造一個更好地永續經營管理方式。像是提供智慧化統一數據連接功能，可透過Microsoft Sustainability Manager自動化管理工具，將以往從設備感測器蒐集和連接物聯網分散數據，集中到通用數據格式中來記錄、製作報告，並提供進一步洞察分析。</p> <p>另外，透過使用碳排放監測工具，也能讓Microso 企業用戶更容易追蹤因雲端服務使用所產生的排放量數據，進行管理。並也將透過與夥伴合作，引進各種數位化技術，提供企業涵蓋從原料、產品、分銷的價值鏈建立透明與問責。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端成本 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FinOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>調查：高達半數企業2022年聚焦雲成本控管，超過9成開始重視FinOps財務管理</strong></span></p> <p>雲端儲存廠商NetApp日前公布年度雲端基礎設施報告，該報告訪查300多名負責公雲業務及企業IT決策者所製作而成。該報告指出，隨著企業採用雲端服務越來越頻繁，有半數以上的企業今年將聚焦雲端成本的管理，甚至其中超過9成（96%）表示，開始重視雲端維運財務管理FinOps（Cloud FinancialOperations），但目前已經有完整FinOps實踐的企業，僅占1成比例。NetApp表示，FinOps將是未來大型企業管控雲端成本的關鍵。</p> <p>從營運管理角度來看，導入更多雲端技術（63%）、服務上雲（52%）和雲端成本優化（50%），是企業今年IT轉型主要目標。另外有高達9成表示，他們已經或計畫建立CCoE卓越雲端中心，負責制定雲端策略、雲供應商採用及架構解決方案等。另外有7成表示透過託管服務供應商（MSP）協助雲端維運。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國政府 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路安全 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud專為美國政府推出自主安全營運解決方案</strong></span></p> <p>由於美國白宮大力推行零信任的國家網路安全政策，Google Cloud近日也專為美國聯邦政府推出一套自主安全營運解決方案（Autonomic Security Operations,ASO），它是一個用於實現政府部門網路安全分析和管理現代化的解決方案框架，符合美國總統拜登去年頒布14028號行政命令和OMB辦公室的M-21-31備忘錄的目標。</p> <p>ASO將由Google的雲端安全分析平臺Chronicle和Siemplify技術組成，協助美國政府部門現代化其安全營運，包括建立SIEM、安全協調、自動化及回應（SOAR）及UEBA使用者行為分析等。</p> <p><strong>圖片來源／Google Cloud、通用汽車、微軟</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.Google Cloud推出相容PostreSQL的雲端資料庫AlloyDB，號稱比AWS快2倍</strong></strong></p> <p><strong><strong>2.愛立信與英特爾共同成立全球Cloud RAN技術中心，加速發展雲端RAN解決方案</strong></strong></p> <p><strong><strong>3.Google強化Workspace的AI功能，將Google文件、試算表深度整合至SAP S/4HANA Cloud</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年5月</strong></strong></p> </div></div></div>
2022/5/22 08:04作者余至浩https://www.ithome.com.tw/news/151043
MedTech醫療科技月報第8期：憲法法庭展開健保資料庫釋憲辯論，健保署強調應兼顧健保資料二次利用的公共利益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0416～0515)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">健保資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 釋憲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料二次利用 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>憲法法庭展開健保資料庫釋憲辯論，健保署強調應兼顧健保資料二次利用的公共利益</strong></span></p> <p>4月26日，憲法法庭展開歷時3個小時的<a href="https://youtu.be/1SEXPT9EKLw">健保資料庫個資隱私釋憲辯論</a>，衛福部、健保署、國發會以及提出釋憲的聲請人臺灣人權促進會在場辯論。臺灣人權促進會認為，健保資料庫加值研究侵害個人資料隱私、違反比例原則，面對這個質疑，衛福部表示，健保資料庫由多元資料組成，若允許個人無條件任意退出，健保資料庫會因為資料偏差，造成精準醫療和公衛研究失準，進而影響治療方式研究、疾病預防等公共利益。</p> <p>在場，健保署署長李伯璋強調健保資料庫二次利用價值，因為健保資料庫收錄完整的國人醫療實證資料，而且自2006年至2021年，透過健保資料庫產出了7,000多篇研究論文，涵蓋各種疾病探討，是全球醫療重要指標。舉例來說，透過健保資料庫研究，健保署在2020年發現，癌症患者採用免疫療法的存活率，並未比傳統標靶治療要好，因此調整免疫療法價格和國家醫療給付措施。這個結論，比美國食藥署還要早1年證實，臺灣的研究成果，也快速被國際知名期刊接受。李伯璋總結，健保資料庫並非只是個人資料隱私議題，而是更長遠的國家發展和民眾健康維護，應於民眾個人隱私和最大公共利益間取得平衡。事實上，健保署也早已聘請中研院設計問卷，告知民眾健保資料會進行學術利用，其中，「91.3%的民眾支持健保資料做學術利用，」他說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2011_25_54%20PM.png" /></p> <p>另一方面，國發會副主委高仙桂表示，國發會作為國家重要戰略規畫和個資法管理機關，個人資料合理使用，攸關國民健康、社會福祉、產業轉型和國家競爭力。比如，健保資料庫學術研究，可協助打造更符合個人的健康照護方式，而運用資料庫，也可協助政府制定前瞻新政策。資料加值運用，還能推動國家六大核心戰略產業轉型，其中的精準醫療產業，更是政府繼半導體產業後，極欲打造的下一座護國神山。她也提到，這些新經濟模式仰賴個人資料保護，行政院在2017年也成立個資保護專案辦公室，也啟動院層級的個資保護執行會議。在這期間，國發會也觀察其他國家的法制變化，發現各國會視發展目標和國情不同，採取因地制宜的個資保護手段，臺灣也可評估參考。這次會議後，憲法法庭將於三個月內宣示判決結果，如有必要，則會再延長2個月。<a href="https://cons.judicial.gov.tw/docdata.aspx?fid=75&id=340720">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2010_26_27%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHDS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>歐盟提出4.5億人健康數據共享法案，要推進研究和創新</strong></span></p> <p>5月初，歐盟委員會提出了歐盟數據空間（EHDS）法案，要打破資料分享障礙，讓歐盟公民在任一歐盟會員國內存取自己的健康資料，也能分享資料來協助研究、創新和政策制定，就像是歐盟版的健保資料庫。透過安全的資料互通，該提案也能讓歐盟探索健康資料的潛力。</p> <p>歐盟委員會表示，EHDS是一個健康生態系，由一系列規則、通用標準、實踐方式、基礎建設和治理架構組成，它不只能讓公民在歐盟境內帶著資料自由移動，也能形成一個電子健康紀錄、醫療裝置和高風險AI的單一市場。歐盟委員會表示，信任是該法案能成功上路的關鍵，因此，為提供一個安全交換資料的環境，EHDS將遵從歐洲最嚴個資法GDPR、資料治理法案、資料草案，以及網路資訊系統指令。</p> <p>歐盟委員會進一步解釋，為達到資料互通，成員國醫療機構和廠商所提供的病人摘要、電子處方、醫學影像、實驗室和檢驗報告等資料，都得遵照歐盟互通格式。為成功推廣，該提案也要求，所有會員國必須指派數位健康部門，來參與跨境的數位健康基礎建設。最後，歐盟委員會也強調，研究人員、企業或機關若想使用這些數據，必須先獲得成員國的健康數據機構許可，並且，只有在用於特定目的、在封閉安全環境且不透露個人身份的情況下，才能獲得存取權限。這個提案將影響歐洲4.5億人。<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2711">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-05-20%20at%2010_50_01%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疫情 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自主回報系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 唐鳳 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>唐鳳出手，助衛福部推出確診個案管理系統縮短居隔單時間</strong></span></p> <p>行政院政務委員唐鳳聯手衛福部，在5月20日推出自主回報系統的確診個案管理系統（MBBS），讓地方衛生局處更快獲得個案資料，來縮短開立居隔單的時間，預計可在5到10小時完成。這是因為，近日本土病例迅速飆增，地方政府難以在第一時間開出居隔單，造成塞車。後來，行政院長蘇貞昌點名唐鳳解決問題，於當周開發出自主回報系統的管理系統（即MBBS），希望用來取代速度較慢的法傳通報系統。</p> <p>她解釋，原本的法定傳染病系統目的在於傳染病通報，設計較精密、過程繁瑣，並非為居家照護個案管理所設計，因此她另外開發MBBS，來符合目前COVID-19確診者的通報需求，減少資料收發的時間差。衛福部資訊處處長龐一鳴表示，該系統可望將原本需要24小時才能開出居隔單的時間，縮短為10小時以內，最佳目標是5小時完成開立。此外，數位證明平臺也將於25日，新增接觸者隔離證明。<a href="https://www.youtube.com/watch?v=ffNIIs1SU44&ab_channel=%E8%A1%9B%E7%94%9F%E7%A6%8F%E5%88%A9%E9%83%A8%E7%96%BE%E7%97%85%E7%AE%A1%E5%88%B6%E7%BD%B2">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退輔會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span></p> <p><span style="font-size: 22px;"><strong>退輔會聯手臺中榮總，要導入Azure建FHIR長照平臺</strong></span></p> <p>行政院退輔會聯手臺中榮總，要藉微軟Azure Healthcare API服務和Azure Stack HCI混合雲解決方案，來建置國內規模最大的FHIR長照平臺，提供全臺榮總分院共20所護理之家使用。</p> <p>這是繼退輔會委由臺中榮總改造全臺榮總分院HIS後的另一延伸專案，要將智慧醫療成果進一步擴展到榮總分院的20所護理之家。在這次的各榮總分院附設長照機構管理資訊系統更新建置案中，退輔會和中榮找來臺灣微軟和奇唯科技，要導入微軟FHIR相關服務，打造長照資訊整合平臺，並採用相關AI分析應用。</p> <p>該平臺有幾個特點，首先，透過Azure IoT雲端服務，可自動將3,000多床的生理量測裝置資料去識別化、傳送至Azure雲平臺，進行即時住民生理資訊監測和異常回報。另一方面，Azure API for FHIR通過美國HIMSS醫療資安法規驗證，除了安全，還具備快速部署、高效能與自動化調整機制、混合雲彈性部署的能力，降低醫療機構導入FHIR的成本。<a href="https://news.microsoft.com/zh-tw/fhir-azure-healthcare-apis/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2022/05/%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87%E4%B8%80-scaled.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保快易通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬健保卡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保快易通App推出無照片虛擬健保卡，縮短等待時間</strong></span></p> <p>僅僅在指揮中心5月14日開放居家隔離/檢疫及自主防疫民眾快篩陽性、經視訊診療確認可通報確診的後2天，健保署就推出無照片虛擬健保卡功能，來加速民眾視訊診療流程。進一步來說，居家隔離/檢疫及自主防疫民眾快篩陽性時，可透過虛擬健保卡來進行視訊診療、由醫師評估確認，但以健保快易通App（健康存摺）申辦虛擬健保卡，得上傳照片和身份證明文件，並等待審核時間。為縮短等待時間，健保署可先提供無照片虛擬健保卡供民眾使用，審核通過後，系統再更新有照片的虛擬健保卡。</p> <p>不只如此，日前，為解決民眾等不到隔離通知書或染疫證明的困境，健保署也在健保快易通App納入COVID-19確診個案自主回報系統連結，可開放給居家檢疫、居家隔離和自主防疫者使用，一旦居家快篩陽性，與醫師視訊診療確認後，可透過連結至自主回報系統填寫。健保署表示，該功能將配合指揮中心決策，可隨時上線。這也是繼5月4日，健保快易通App開放給PCR檢驗確診者使用外的另一波放寬措施。</p> <p><img alt="" src="https://ws.nhi.gov.tw/Download.ashx?u=LzAwMS9VcGxvYWQvMjkyL2NrZmlsZS9kMTA1NjFjOS0wZjgxLTRkNDItYTdhNy1mNWYxY2I5MjVlYjNAMTAyNHg3NjguanBn&n=MTExMDUxNumZhOS7tjIuanBn&icon=.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HPE </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 群體學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></p> <p><span style="font-size:22px;"><strong>HPE推群體學習解決方案，瞄準醫療、金融和製造業</strong></span></p> <p>HPE近日推出群體學習解決方案（HPE Swarm Learning），概念類似聯合學習，可以分散式機器學習模式，集眾人之力來訓練AI模型，但又不必共享資料，保護資料隱私。特別的是，有別於聯合學習，群體學習納入區塊鏈機制，確保使用者們只共用前端學習內容，而非資料本身。該機制可安全加入成員、在成員中動態選擇領導者，並匯集模型參數，讓群體學習網路具備彈性復原力與安全性。</p> <p>該解決方案提供群體學習API，讓使用者輕易整合AI模型，也可與內外部組織共用模型的學習內容，來提高訓練成效。HPE指出，在醫療方面，醫院可從影像紀錄、CT與MRI掃描和基因表現等資料，來改善疾病診斷結果、保護病患資料。德國亞琛工業大學附屬醫院更用來進行大腸癌辨識AI研究。在金融方面，不同金融機構可共享詐欺偵測的AI模型。在製造業，則可用來強化設備故障預警AI，及早維護。<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/04/hewlett-packard-enterprise-ushers-in-next-era-in-ai-innovation-with-swarm-learning-solution-built-for-the-edge-and-distributed-sites.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高雄 </span></strong></span></p> <p><span style="font-size:22px;"><strong>高雄4家醫院成立聯合學習醫療聯盟</strong></span></p> <p>在臺灣人工智慧實驗室（Taiwan AI Labs）的推動下，<a href="https://www.kmuh.org.tw/KMUHInterWeb/News/BrdactDetail/1001124108?actid=411275">高醫附醫</a>、高雄長庚、高雄榮總、義大醫院等4家醫院聯手成立高雄聯合學習智慧醫療聯盟，要針對在地臨床需求，發展腦心重症、就醫、智慧照護和健康關懷等領域的聯合學習專案。</p> <p>臺灣人工智慧實驗室透露，該聯盟將建立跨院聯合驗證確效平臺，來評估軟體醫材成效，加速智慧醫材SaMD發展與落地。高雄聯合學習智慧醫療聯盟是自去年臺灣聯合學習產業大聯盟成立以來，首個落地的產業聚落案例，與此同時，臺灣人工智慧實驗室也在高雄成立研發總部籌備處，預計擴編百人研發團隊，要與當地學界如中山大學、成功大學，來聚焦動態分潤演算、聯合學習資訊安全、智慧醫療聯網、前瞻醫療器材研發等領域發展。<a href="https://www.kcg.gov.tw/CityNews_Detail1.aspx?n=3A379BB94CA5F12D&ss=22CFD49BA03FB8FA">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 北醫大 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 肺癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 決策共享 </span></strong></span></p> <p><span style="font-size:22px;"><strong>北醫大打造肺癌醫病決策共享平臺，包辦診斷、用藥和預後評估</strong></span></p> <p>北醫大以影像辨識和自然語言處理（NLP）技術打造肺癌臨床智能決策輔助系統，根據臨床實際流程，提供醫師與病患診斷、用藥、預後評估，是首個肺癌醫病共享決策平臺。該平臺包含3大模型，首先是電腦斷層肺癌基因突變預測模型，可自動從300多張電腦斷層影像自動偵測腫瘤並標示，也能判斷腫塊類型和可能的基因突變，提供肺結節處理建議。</p> <p>團隊也將電腦斷層預測結果整合臨床大數據，透過肺腺癌病患醫療大數據和AutoML方法建立腦轉移、預後與藥物反應預測模組，當電腦斷層影像發現新發個案時，可立即預測腦轉移風險和選藥建議。</p> <p>再來，北醫大將與雲象科技研發的全玻片數位病理判讀技術，延伸開發出肺腺癌病理基因突變預測選藥模型，來快速自動標註病灶，並預測最常見基因的突變狀態，來提早精準用藥。最後，團隊也利用NLP開發出病理報告自動判讀選藥檢疫系統和肺腺癌全基因用藥建議模型，只要輸入一份病人病理報告，就能得到存活率較高的健保與自費用藥推薦，且整合治療效果和存活期資訊，篩選出與病患相似且預後最佳的選藥治療建議。對於晚期肺癌無法開刀或已轉移復發的病人，系統還會自動將病人狀況媒和全球新藥試驗場域。<a href="https://www.most.gov.tw/folksonomy/detail/03350e10-7c91-4f6f-9028-dd5c3120425e?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-04-28%20at%2011_45_32%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大同醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Health365 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 緯創醫學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>健康促進遊戲化！大同醫院用任務競賽來吸引員工運動，更發點數結合商家行銷打造健康生態圈</strong></span></p> <p>高雄大同醫院將健康促進變成一個任務競賽，來鼓勵員工健康生活，更以這個工具串聯社區商家，優惠回饋給達到健康目標的員工，打造健康生活圈。進一步來說，大同醫院採用緯創醫學Health365平臺，舉辦為期3個月的健康促進競賽，包括3種比賽，包括行走步數、生理量測數據記錄，以及組隊改善體重、體脂。這些任務除了有常見的排行榜顯示競賽動態，還結合點數，只要完成任務，就能獲得健康點數，而大同醫院也找來社區店家來提供點數兌換，來讓競賽員工使用點數，獲得商品或服務優惠。</p> <p>這種點數消費模式形成一種生態圈，活動期間員工可藉由健康點數累積，兌換合作商家之產品或服務，平臺也能提供商家行銷曝光。</p> <p>圖片來源／司法院、歐盟委員會、微軟、健保署、北醫大</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 澳洲政府展開老人照護第一階段數位轉型，號召業界人士設計API來分享資料給聯邦政府</strong></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/5/20 23:24作者王若樸https://www.ithome.com.tw/news/151038
【資安週報】2022年5月16日至20日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧本週的資安新聞，勒索軟體攻擊事故占據了相當高比例。其中，又以日經新聞證實一週前分公司的伺服器遭到勒索軟體攻擊引起關注，再者，勒索軟體Conti攻擊哥斯大黎加後續事故的發展也值得留意，因為駭客不只提高贖金，更宣稱要推翻新總統的政權。</p> <p>另一個也相當值得留意的勒索軟體攻擊，是勒索軟體Chaos加入了烏克蘭戰爭選邊站的行列，這次他們加密完受害電腦檔案後，透過副檔名和勒索訊息表達政治訴求，沒有打算索討贖金，也不打算恢復受害電腦的檔案。</p> <p>除了勒索軟體攻擊事故之外，來自北韓的威脅也值得留意。因為，該國藉由IT人士埋伏全球的企業，一旦組織錄用這些人士，就有可能面臨資料外洩、資金遭竊的風險，而且他們還有可能成為北韓駭客的內應。</p> <p>而在鎖定應用系統的攻擊行動，駭客針對遠距工作平臺VMware Horizon的Log4Shell漏洞進行攻擊，以及透過SQL Server的內建公用程式下手的隱密手法，使得IT人員可能難以防範。</p> <p>針對應用系統重大漏洞的部分，則有VMware身分驗證系統的重大漏洞CVE-2022-22972，以及微軟SharePoint的反序列化漏洞CVE-2022-29108等。前者美國更要求公部門限期修補。</p> <p>iPhone自iOS 15推出的Find My定位功能，能讓手機即使在關機之後仍有機會找回，背後與蘋果採用的低耗電模式（LPM）有關，當時就有人認為這種機制可能會有資安風險，如今有研究人員證實LPM存在可被濫用的弱點，而有可能成為攻擊者入侵的管道。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asia.nikkei.com/Announcements/Nikkei-unit-in-Singapore-hit-by-ransomware"><span style="color: rgb(0, 0, 0);">日經新聞遭到勒索軟體攻擊</span></a></strong></h3> <p>勒索軟體駭客攻擊的對象，近期也盯上了東亞新聞媒體。日經新聞於5月19日公布，他們新加坡辦公室的一臺伺服器主機，於5月13日遭到勒索軟體攻擊，該公司當日察覺異狀後已關關此伺服器，並採取相關回應措施。該公司表示他們正在了解攻擊的情況與受害範圍，並指出遇害的伺服器有可能存放客戶的資料，但目前尚未發現資料外洩的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/ransomware-gang-threatens-to-overthrow-new-costa-rica-government-raises-demand-to-20-million/"><span style="color: rgb(0, 0, 0);">勒索軟體Conti提高對哥斯大黎加的贖金，煽動推翻政府</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Conti-to-Costa-Rica-FSu1x8wVsAANNan.jpg" style="width: 300px; float: right;" /></a>勒索軟體Conti於4月下旬攻擊哥斯大黎加政府，使得該國新任總統於5月8日上任隨即宣布全國進入緊急狀態，而這起事件最近又有了新的進展。根據資安新聞網站Recorded Future的報導，勒索軟體駭客約於5月15日，將贖金從原先的1千萬美元加倍為2千萬美元，並煽動該國民眾叫政府趕快支付贖金，揚言若不給錢，將於7天內刪除解密金鑰，這可能意味著連駭客自己也沒辦法解開遭加密的檔案。</p> <p>此外，這些駭客也宣稱，他們這麼做的目的是要透過網路攻擊，來推翻新總統的政權。自先前遭到勒索軟體攻擊後，哥斯大黎加政府目前仍尚未恢復正常運作，該國財政府於5月13日表示，報稅需人工計算，且民眾必須透過銀行繳納。</p> <h3><strong style="font-size: 22px;"><a href="https://home.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf"><span style="color: rgb(0, 0, 0);">北韓IT人士埋伏全球企業，協助駭客進行網路攻擊</span></a></strong></h3> <p>出身北韓的IT人士遭他國政府懷疑可能會與母國的國家駭客聯手，以利網路攻擊。美國國務院、美國財政部，以及美國聯邦調查局（FBI）聯手，於5月16日發布資安通告，警告全球組織要小心北韓政府派出的IT人才，這些人士會透過自由工作者招募平臺、社群網站等管道謀職，一旦組織不慎錄用這些人士，就有可能面臨資料外洩或是資金遭竊的風險，甚至有可能因此變成美國與聯合國制裁的對象，除此之外，這些人士也可能與北韓駭客裡應外合。</p> <p>美國政府也提供這類人士的識別方法，要組織提高警覺。例如，會要求使用支付平臺轉帳薪資，或是以加密貨幣領取薪資，還有面試者很可能會在短時間內，從不同地區多次登入相同的帳號，很有可能就是上述可能會造成組織危害的北韓IT人員。</p> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/34461/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定南韓組織的VMware遠距工作平臺Log4Shell漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lazarus-horizon-log4shell-image-16.png" style="width: 300px; float: right;" /></a>又是針對VMware遠距工作平臺的Log4Shell漏洞下手的攻擊行動。資安業者AhnLab指出，北韓駭客Lazarus於今年4月，鎖定南韓組織的遠距工作平臺VMware Horizon下手，針對尚未修補Log4Shell漏洞的Tomcat元件入侵，植入後門程式NukeSped，並在受害組織裡進行間諜工作，如截取螢幕畫面、側錄輸入內容、存取敏感檔案等，與過往NukeSped不同之處在於，研究人員看到2個新模組，可用於轉存USB儲存裝置的資料，以及提供存取視訊鏡頭的能力。</p> <p>駭客透過上述後門程式在受害組織站穩腳跟後，便進一步投放竊密軟體，偷取瀏覽器（Chrome、Firefox、IE、Naver Whale）與收信軟體（Outlook、Outlook Express、Windows Live Mail）的帳號資料，以及辦公室軟體（微軟Office、Hancom 2010）近期使用的檔案名稱。研究人員呼籲VMware Horizon用戶應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-warns-of-brute-force-attacks-targeting-mssql-servers/"><span style="color: rgb(0, 0, 0);">駭客鎖定SQL Server進行寄生攻擊，透過公用程式執行PowerShell指令碼，可躲避系統事件記錄而不會留下足跡</span></a></strong></h3> <p>針對SQL Server伺服器下手的攻擊行動近期再度出現，而且是利用公用程式來進行。微軟於5月18日提出警告，他們近期發現到鎖定SQL Server的攻擊行動，駭客藉由暴力破解的方式入侵這些資料庫系統，然後透過內建的PowerShell命令列公用程式SQLPS.EXE來執行PowerShell命令，以進行寄生攻擊（LOLBin），而不會在受害的伺服器上留下事件記錄。</p> <p>研究人員指出，透過這樣的攻擊手法，駭客不只能夠長期滲透SQL Server，還能建立新的使用者帳號，並配置管理員權限，進而接管整個SQL Server系統。研究人員認為，上述攻擊行動的發現，突顯管理者需要掌握指令碼執行動態的重要性。資安新聞網站Bleeping Computer則認為，管理者也應從強化密碼管理著手，來防範SQL Server遭到入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/interactive-phishing-using-chatbot-like-web-applications-to-harvest-information/"><span style="color: rgb(0, 0, 0);">駭客利用客服機器人進行網路釣魚，竊取信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-DHL-Bot-b0cbc9707c94fcc0b98fd5e2641061d220c185e3.png" style="width: 300px; float: right;" /></a>利用釣魚郵件發動網路釣魚攻擊的情況算是相當常見，但現在有人結合了線上客服的手法，讓受害人放下戒心。資安業者Trustwave指出，他們看到駭客假冒物流業者DHL的名義，寄送包裹無法送達的通知訊息，並要求受害者依照指示處理。一旦收信人照辦就會下載PDF檔案，該文件內含指向釣魚網站的連結，受害者點選後便會被引導到與客服聊天機器人（Chatbot）的對話框。這個機器人會表明包裹上的標籤已經遭到破壞，而無法寄送，要求重新提供公司或住家地址、姓名、電話號碼，並告知對方要刷卡支付額外的運費。收信人若是照做，信用卡的資料就有可能遭側錄。</p> <p>為了取信對方，這個客服機器人的對話內容還會包含無法寄送的包裹圖片，以及在刷卡的過程裡，還會要求輸入手機簡訊的驗證碼，讓受害者以為真有其事。由於駭客納入許多實際網站運用的機制，而很難分辨真假，研究人員提出警告，使用者若是收到相關的寄送通知，應另外開啟物流公司的網頁查詢，而非直接透過信件提供的連結回覆。</p> <h3><strong style="font-size: 22px;"><a href="https://www.avanan.com/blog/roblox-exploited-with-trojans"><span style="color: rgb(0, 0, 0);">駭客利用線上遊戲開發平臺Roblox散布木馬程式</span></a></strong></h3> <p>熱門線上遊戲平臺機器磚塊（Roblox），允許玩家創作與開發遊戲，而廣受許多青少年喜愛，美國更有逾半數兒童遊玩，但這樣的普及程度，也成為駭客用來發動攻擊的管道。資安業者Avanan於3月底，發現專門鎖定Roblox的惡意檔案，駭客疑似將原本的Roblox注入惡意程式，再上傳到該公司客戶的OneDrive帳號，並濫用Roblox的程式碼引擎Synapse X，在受害電腦上部署木馬程式。一旦使用者下載、執行惡意檔案，就會於Windows系統資料夾部署惡意DLL檔案，進而有可能導致應用程式無法運作、資料造成毀損、回傳用戶資訊等。研究人員警告，儘管Roblox用戶多半是兒童，但他們很可能使用父母的電腦上網，而使得當中存放的資料曝露於危險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/millions-of-attacks-target-tatsu-builder-plugin/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Tatsu Builder漏洞遭到鎖定，出現近6百萬次攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tatsu_Builder-2022-05-16-at-7_44_43-PM.png" style="width: 300px; float: right;" /></a>研究人員於3月底揭露WordPress外掛程式Tatsu Builder的漏洞CVE-2021-25094，開發者亦發布3.3.13版修補，並於4月7日寄送電子郵件通知用戶升級，但在一個月後出現了大規模的攻擊行動。資安業者Wordfence指出，他們約自5月9日開始，發現針對上述漏洞的攻擊行動顯著增加，並於14日達到高峰──約有590萬次攻擊，鎖定140萬個網站而來。</p> <p>而對於攻擊來源的部分，研究人員指出，大部分攻擊行動來自3個IP位址，它們各攻擊超過百萬個網站；再者，也有15個IP位址攻擊超過10萬個網站。研究人員呼籲用戶，儘速將Tatsu Builder升級到3.3.13版來防堵相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zdnet.com/article/fbi-hackers-used-malicious-php-code-to-grab-credit-card-data/"><span style="color: rgb(0, 0, 0);">駭客利用惡意PHP程式碼截取網站的信用卡資料</span></a></strong></h3> <p>最近3年，全球針對電商網站側錄信用卡資料的攻擊行動不時有事故發生，且攻擊者目標從針對前端的JavaScript程式碼，轉換到後端PHP程式碼上，這也使得美國政府提出警告。</p> <p>美國聯邦調查局（FBI）近日針對當地電商網站發布警訊，指出有人自2020年9月開始，針對美國電商網站下手，將惡意PHP程式碼植入結帳網頁，截取相關資料並傳送到攻擊者控制的伺服器，並成功欺騙了本來處理信用卡交易的伺服器；而到了今年初，駭客藉由除錯功能在網站伺服器下載2個Web Shell，然後建立後門，以便攻擊者能進一步對受害組織下手。</p> <p>而這樣的情況，也有資安業者提出相關的觀察──資安業者Sucuri發現，在2021年的電商網站側錄攻擊中，有41％是針對PHP程式碼而來，而有可能使得攻擊者進一步存取電商網站的檔案系統，而使得該公司呼籲網站管理者，必須加強相關的網站防護措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/19/rise-in-xorddos-a-deeper-look-at-the-stealthy-ddos-malware-targeting-linux-devices/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路XorDDoS近半年攻擊次數增2.5倍</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Typical-attack-vector-for-XorDdos-malware_ccexpress.png" style="width: 300px; float: right;" /></a>殭屍網路鎖定Linux主機而來的情況，最近逐漸增加。微軟在5月19日提出警告，他們在最近半年裡，發現XorDDoS的攻擊行動次數較先前增加了254%。這個殭屍網路病毒主要透過SSH連線暴力破解的方式，入侵執行Linux作業系統的設備，攻擊者利用Shell指令碼來嘗試各種可能的帳密組合，一旦成功存取，就有可能將XorDDoS的ELF檔案投放到設備上執行。</p> <p>這個殭屍網路除了被用於發動DDoS攻擊，駭客還會拿來部署蠕蟲程式，以便維持受害設備的存取權限，而且還有可能投放其他惡意軟體──研究人員看到部分受感染的裝置，隨後被植入了Tsunami後門程式，以及挖礦軟體XMRig。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-sysrv-botnet-targets-windows-linux-servers-with-new-exploits/"><span style="color: rgb(0, 0, 0);">殭屍網路Sysrv變種鎖定Spring框架和WordPress漏洞，入侵Windows與Linux伺服器</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/143776">殭屍網路病毒Sysrv自2021年4月被發現後</a>，最近又有新的一波攻擊行動。微軟的研究人員指出，擅長透過多種網站應用程式系統漏洞入侵的Sysrv，最近出現新的變種Sysrv-K，該殭屍網路病毒大肆在網路上進行掃描，找尋存在Spring Cloud Gateway漏洞CVE-2022-22947，以及WordPress外掛程式已知漏洞的網站應用程式，針對Spring框架和WordPress發動攻擊，入侵後在執行Windows或Linux作業系統的應用程式伺服器裡，部署挖礦軟體。研究人員指出，該殭屍網路病毒還會掃描WordPress主機，找出與組態有關的檔案，並竊取資料庫的帳密，進而接管伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-space-pirates-are-hacking-russian-aerospace-firms/"><span style="color: rgb(0, 0, 0);">中國駭客鎖定俄羅斯航太產業下手，植入多種惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese-apt-connections.png" style="width: 300px; float: right;" /></a>中國與俄羅斯之間的關係匪淺，被認為彼此交好，而在烏克蘭戰爭尚未落幕的此刻，中國駭客鎖定俄羅斯攻擊行動，近期竟時有所聞，而最近更鎖定該國的航太產業下手。</p> <p>資安業者Positive Technologies指出，他們從去年夏天開始，發現名為Space Pirates的中國APT駭客組織從事的間諜行動，該組織自2019年對於俄羅斯4個實體下手，並使用了相同的惡意軟體與基礎設施，其中兩起行動涉及該國政府參與的俄羅斯企業。</p> <p>研究人員指出，其中一起攻擊行動裡，駭客在10個月內接連存取20臺伺服器，竊取逾1,500份文件，以及員工個資等敏感資料；而在另一起攻擊事件中，駭客停留在受害組織的網路超過一年，並進行竊密的工作，同時將惡意軟體安裝到3個分公司、12個網路節點。</p> <p>而這些駭客所使用的惡意軟體，包含了多個中國駭客組織採用的PlugX、ShadowPad等，以及3個過往未曾出現過的Deed RAT、BH_A006，以及MyKLoadClient，它們分別被用於竊密、繞過資安防護系統，以及透過DLL側載惡意程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/chaos-ransomware-variant-sides-with-russia"><span style="color: rgb(0, 0, 0);">勒索軟體Chaos破壞受害電腦檔案，並表達力挺俄羅斯的訴求</span></a></strong></h3> <p>自烏克蘭戰爭開打以來，許多駭客組織表態支持的對象，而最近又有勒索軟體組織藉由攻擊行動表達政治訴求。資安業者Fortinet指出，他們近期發現勒索軟體Chaos的攻擊行動，該勒索軟體在執行後會先盤點所有磁碟機上的檔案，估算檔案大小、進行分類，對於大部分的檔案，會產生20字元長度的密碼，並使用AES-256-CBC加鹽的演算法進行加密，而對於大於2,117,152位元的檔案，則是寫入隨機資料破壞，但另一部分引起研究人員注意的是，這些檔案加密後的副檔名變成了f**kazov，azov很可能指的是烏克蘭國民警衛隊的特種作戰部隊「亞速營」。</p> <p>而在加密檔案後，駭客也透過名為stop_propaganda.txt的檔案留下勒索訊息，但這個訊息與過往的攻擊事故相當不同：他們呼籲停止烏克蘭戰爭，大家不值得為像小丑一樣的烏克蘭總統澤倫斯基而死，並要求受害者閱讀特定網站了解真相。內容完全沒有提及贖金，也沒有聯絡攻擊者的管道。受害者難以復原電腦上的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/engineering-firm-parker-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">航空液壓設備製造商傳出遭勒索軟體Conti攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/parker-files.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/parker-files.png" style="width: 300px; float: right;" /></a>勒索軟體Conti攻擊航空產業的事故再添一樁。根據資安新聞網站Bleeping Computer的報導，專精航空液壓設備的派克漢尼汾（Parker Hannifin）於5月16日證實，他們在3月11日至14日，遭到未經授權存取內部資訊系統的攻擊行動，經過調查後於5月12日向資料可能遭到外洩的人士發出電子郵件通知，並承諾提供兩年的身分竊盜保險。</p> <p>關於攻擊者的身分來歷，駭客組織Conti於4月1日表明是他們所為，並於4月20日公布竊得的419 GB資料，該新聞網站認為，駭客有可能取得機密程度極高的設計圖，有可能讓取得相關資料的競爭對手能夠應用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-news/2022/%E7%AB%8B%E5%8D%B3%E6%8E%A1%E5%8F%96%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E8%A1%8C%E5%8B%95%E6%9B%B4%E6%96%B0-qts-%E8%87%B3%E6%9C%80%E6%96%B0%E7%89%88%E6%9C%AC"><span style="color: rgb(0, 0, 0);">威聯通針對近期出現的勒索軟體DeadBolt攻擊行動提出警告</span></a></strong></h3> <p>勒索軟體針對NAS設備下手的情況，最近又有攻擊行動出現。臺廠威聯通（QNAP）於5月19日發出警告，他們的產品資安事件應變團隊（QNAP PSIRT）偵測到勒索軟體DeadBolt的攻擊行動，鎖定執行QTS作業系統4.3.6版與4.4.1版的NAS設備，根據他們的調查，主要受到影響的設備為TS-x51、TS-x53產品線的機種。他們呼籲用戶要儘可能使用最新版本的QTS作業系統，並避免將NAS曝露於網際網路。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-edny/pr/hacker-and-ransomware-designer-charged-use-and-sale-ransomware-and-profit-sharing"><span style="color: rgb(0, 0, 0);">製作勒索軟體Jigsaw、Thanos的駭客被起底</span></a></strong></h3> <p>網路罪犯年齡層有逐漸下降的情形，但也有高齡駭客製造出破壞力驚人的勒索軟體。美國司法部（DOJ）於5月16日指出，開發及銷售Jigsaw、Thanos等勒索軟體的駭客身分，是居住於委內瑞拉的55歲心臟科醫生Moises Luis Zagala Gonzalez。</p> <p>美國司法部提到，這名醫生打造的Jigsaw，在加密受害電腦檔案之餘，還會記錄使用者試圖刪除勒索軟體的次數，以供判斷受害人會支付贖金的意願；再者，若是受害者企圖重開機防堵檔案被加密，該勒索軟體就會刪除1千個檔案，要受害者就範。而另一款勒索軟體Thanos，則是該名醫生提供他人建置自訂版本勒索軟體的工具，以便進一步用於攻擊行動，或是發展成租賃服務分享利潤。假如該名醫生被定罪，將可能會被判處最高10年的徒刑。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/Shadowserver/status/1525561213115158529"><span style="color: rgb(0, 0, 0);">Zyxel防火牆重大漏洞已被駭客用於攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVS-2022-30525_FSygypUXsAUwkou.jpg" style="width: 300px; float: right;" /></a>資安業者Rapid7於5月12日，<a href="http://www.ithome.com.tw/news/150914#Zyxel">公布Zyxel防火牆產品的遠端命令注入漏洞CVE-2022-30525</a>，影響USG Flex、ATP產品線，CVSS風險層級達9.8分。這樣的重大漏洞很快就有駭客加以利用。資安研究團隊Shadowserver Foundation於5月15日提出警告，他們在13日開始看到嘗試利用CVE-2022-30525的攻擊行動，呼籲用戶要儘速修補。</p> <p>根據研究人員的調查，全球總共約有20,800臺Zyxel設備可能曝險，其中又有近半數（1萬臺）是USG20-VPN，其次是USG20W-VPN有5,700臺。從這些防火牆所在的區域來看，大部分位於歐洲，其中以法國4,500臺、義大利4,400臺最多，美國有2,400臺次之。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/a-new-secret-stash-for-fileless-malware/106393/"><span style="color: rgb(0, 0, 0);">駭客利用Windows事件記錄機制埋藏惡意軟體行蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SilentBreak_APT_toolset_01.png" style="width: 300px; float: right;" /></a>駭客為隱藏惡意軟體的行蹤，他們最近也濫用作業系統的事件記錄工具，而引起研究人員的注意。卡巴斯基最近揭露他們在今年2月，發現將Shell Code存放於Windows事件記錄的惡意軟體攻擊行動SilentBreak，駭客藉此隱匿無檔案（Fileless）的木馬程式。</p> <p>駭客透過惡意軟體投放器（Dropper），將Shell Code的酬載注入到Windows大量授權金鑰管理服務（KMS）的事件記錄日誌，並複製及濫用作業系統元件WerFault.exe、wer.dll，藉由DLL搜尋順序挾持（DLL Search Order Hijacking）載入惡意程式碼。而上述的投放器也會在Windows的事件記錄尋找特定內容，再組合成下一個階段的攻擊程式碼。研究人員指出，這樣的手法過往幾乎沒有出現過，他們推測很可能是APT駭客所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/05/12/sidewinder_apt_attack_spree/"><span style="color: rgb(0, 0, 0);">駭客組織SideWinder橫行歐亞，2年發動近千次攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-attack-chain_20220512.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基於5月10日到13日，在新加坡舉行的Black Hat Asia 2022大會上，揭露APT駭客組織SideWinder（亦稱RattleSnake、T-APT-04）近期的攻擊行動，指出該組織於2020年4月至今，兩年內發動接近一千次攻擊行動，是全球攻擊行動最為頻繁的駭客。這個駭客組織主要目標是中亞國家的警察、軍隊、海軍部隊，近年範圍則擴及歐洲、中東、亞洲、非洲等區域，並針對外交、國防、航空、IT產業而來。根據該組織近期註冊的新網域，研究人員認為他們打算將攻擊範圍擴及更多國家。</p> <p>這些駭客約從2021年底開始，使用RTF、LNK，以及OpenOffice文件檔案OOXML，挾帶含有混淆的JavaScript程式碼，進而在受害電腦植入後門程式，然後與C2伺服器建立連線。研究人員認為，辦公室應用程式的已知漏洞很可能是該組織主要的入侵管道，呼籲用戶要保持相關軟體為最新狀態。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/phishing-campaign-delivering-fileless-malware"><span style="color: rgb(0, 0, 0);">駭客一口氣散布3種無檔案惡意軟體，意圖竊取受害電腦資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1652300758381.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1652300758381.png" style="width: 300px; float: right;" /></a>攻擊者在4月、5月，透過釣魚郵件散布竊密軟體的情況不時傳出，但如今有人一口氣利用三種惡意軟體來偷取電腦裡的機密。資安業者Fortinet指出，他們近期發現有人透過付款結果的通知信件，發動釣魚郵件攻擊，一旦收信人開啟附件的Excel附加元件檔案（XLAM），並依照指示啟用VBA巨集時，此巨集就會呼叫作業系統的WMI元件，竄改MSHTA.EXE執行檔檔名並下載惡意HTML檔案，然後觸發PowerShell程式碼下載AveMariaRAT、BitRAT、PandoraHVNC等無檔案式（Fileless）的惡意軟體，進行竊取電腦各式機密的工作。</p> <p>為何駭客要同時部署這麼多個惡意軟體？研究人員沒有進一步說明，但很有可能是駭客想要藉此收集更為完整的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.jamf.com/blog/updateagent-adapts-again/"><span style="color: rgb(0, 0, 0);">鎖定macOS的惡意軟體UpdateAgent出現變種，被用來投放更多惡意程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/updateagent-adapts-again-01_1.jpg" style="width: 300px; float: right;" /></a>專門針對Mac電腦出手的惡意程式UpdateAgent，最近出現新的變種，而可能使駭客能夠透過程式碼批次進行攻擊。資安業者Jamf近期看到新的UpdateAgent變種，駭客使用程式語言Swift重新改寫，並命名成PDFCreator，以及ActiveDirectory的可執行檔案散布，研究人員分析後發現，這兩個版本的變種會連往AWS S3儲存桶的網址，下載並執行一段bash指令碼，再到S3下載並執行第二階段的DMG映像檔。而關於這些檔案，目前能識別為有害的防毒軟體可能不多，因為研究人員在5月13日，將這些可疑的檔案上傳到惡意軟體分析平臺VirusTotal進行檢測之後，當中尚未有防毒軟體引擎能將其識別為有害。</p> <p>該公司指出，雖然先前在2月的版本被駭客用於投放廣告軟體，但用戶仍不能掉以輕心，因為，攻擊者可利用這款惡意軟體，在受害電腦植入其他的惡意程式，以進行第二階段的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://trendmicro.com/en_us/research/22/e/fake-mobile-apps-steal-facebook-credentials--crypto-related-keys.html"><span style="color: rgb(0, 0, 0);">變種Facestealer竊密程式鎖定手機用戶，截取臉書帳密或假藉挖礦服務洗劫加密貨幣錢包</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/facestealer-2-1.png" style="width: 200px; float: right;" /></a>駭客透過應用程式市集提供手機App為由，來散布惡意軟體的情況近期時有所聞，且用戶可能難以分辨。趨勢科技最近偵測到逾200款安卓竊密軟體Facestealer變種，攻擊者企圖用來竊取受害者的臉書帳密，或是宣稱提供挖礦服務，來騙取受害者的錢包私鑰或是通關密語（Seed Words）。</p> <p>針對竊取臉書帳密的惡意軟體，駭客將其偽裝成VPN軟體、相機應用程式，或是健身軟體等，其共通點是在受害者首度啟動App時，便會要求他們登錄臉書帳號才能使用，進而透過JavaScript程式碼側錄用戶輸入的資料，此外，這些應用程式也會藉由收集Cookie，拼湊個人身分資料並加密，再傳送到攻擊者的伺服器。</p> <p>而研究人員也發現了超過40款宣稱提供雲端挖礦服務的App，一旦受害者啟動了App，駭客就會要求輸入私鑰來連接錢包，以便將挖取的加密貨幣匯入，但他們同時要求受害者收款的錢包至少要有100美元的加密貨幣，並佯稱提供新用戶0.1個以太幣獎勵，以吸引受害者連結多個錢包。值得留意的是，這些App大多成功上架到Google Play市集，且有部分被安裝超過十萬次，受害者可能相當廣泛。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-critical-auth-bypass-flaw-in-multiple-products/"><span style="color: rgb(0, 0, 0);">VMware修補旗下產品的身分驗證繞過漏洞，美國要求公部門限期完成修補</span></a></strong></h3> <p id="Zyxel">自4月初VMware修補旗下身分驗證平臺重大漏洞CVE-2022-22954，不久後陸續出現數起漏洞攻擊事件，使得美國政府繃緊神經，對於相關系統的重大漏洞緊急要求修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）於5月18日發布緊急指令22-03，要求該國各行政機關必須在5月23日前，修補VMware同日發布修補程式的漏洞CVE-2022-22972、CVE-2022-22973。其中，比較值得注意的是CVE-2022-22972，該漏洞屬於身分驗證繞過漏洞，攻擊者可用於取得受害系統的管理者權限，CVSS風險層級達9.8分，該公司旗下的Workspace ONE Access、Identity Manager，以及vRealize Automation都存在上述漏洞。</p> <p>CISA表示，有鑑於CVE-2022-22954遭到利用的經驗，他們才會以緊急指令的方式，要求聯邦機關在5天內進行處理，若無法修補，機關也應暫時將該系統移除組織的網路環境。</p> <h3><strong style="font-size: 22px;"><a href="https://starlabs.sg/blog/2022/05/new-wine-in-old-bottle-microsoft-sharepoint-post-auth-deserialization-rce-cve-2022-29108/"><span style="color: rgb(0, 0, 0);">三個月前修補的SharePoint漏洞被研究人員繞過，微軟再度進行修補</span></a></strong></h3> <p id="Zyxel">微軟於今年2月，修補SharePoint的反序列化漏洞CVE-2022-22005，但有研究人員發現，還有其他的方式能夠觸發上述漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-29108_0x0024.png" style="width: 300px; float: right;" /></a>資安業者Security Technologies and Advanced Research Labs（STAR Labs）指出，他們在微軟修補CVE-2022-22005不久之後，就發現另一種能輕易繞過修補程式觸發漏洞的手法，攻擊者可透過在伺服器上建立SharePoint的清單，並上傳惡意PNG圖片檔案的附件，來進一步利用漏洞發動攻擊。一旦成功，將使得攻擊者執行網頁應用程式的IIS排程工作權限，進而在受害伺服器主機上執行任意程式碼。微軟獲報後於5月份例行修補（Patch Tuesday）予以修補，並將該漏洞登記為CVE-2022-29108進行列管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sonicwall.com/support/knowledge-base/security-notice-sma-1000-series-unauthenticated-access-control-bypass/220510172939820/"><span style="color: rgb(0, 0, 0);">SonicWall修補SSL VPN設備的高風險漏洞</span></a></strong></h3> <p id="Zyxel">資安業者SonicWall於5月10日發布資安通告，指出他們修補了SMA 1000系列（6200、6210、7200、7210、8200v）SSL VPN設備的3個漏洞，這些漏洞可讓攻擊者用於在未經身分驗證的情況下，繞過存取控制措施，CVSS風險層級從5.7分至8.2分不等，影響執行12.4.0與12.4.1版韌體的SMA 1000系列設備，該廠商推出12.4.1-02994版修補上述漏洞，並指出這些漏洞目前尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://homes.esat.kuleuven.be/~asenol/leaky-forms/"><span style="color: rgb(0, 0, 0);">網站追蹤器元件可能會在用戶送出前截取輸入表單的資料</span></a></strong></h3> <p id="Zyxel">網站為分析用戶的喜好，往往會透過外部追蹤器來解析，但研究人員發現，這些追蹤器可能會在網站收到相關資料之前，先行截取用戶輸入表單的內容。</p> <p>來自荷蘭Radboud大學、瑞士洛桑大學與比利時魯汶大學的研究人員，針對全球前10萬個網站、280萬個網頁展開調查，從歐盟與美國執行爬蟲程式，並透過電腦版與行動裝置的網頁瀏覽器，搭配3種Cookie配置來進行分析。結果發現，從歐盟執行的爬蟲程式共找到1,844個網站，在使用者填寫表單但尚未送出之前，就允許追蹤器收集使用者提供的電子郵件信箱；從美國執行的爬蟲程式，則找到2,950個有上述情況的網站。其中，有不少是新聞網站，研究人員通報後，於今年2月修補相關漏洞。而對於收集這類未送出表單資料的追蹤器，主要來自Adobe、Oracle、Saleforce、Meta、TikTok等。</p> <p>此外，俄羅斯大型搜尋引擎Yandex等52個網站，不慎允許連線重放供應商（Session Replay Provider）收集用戶填入的密碼，研究人員亦進行相關通報。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/05/critical-privilege-escalation-vulnerability-in-jupiter-and-jupiterx-premium-themes/"><span style="color: rgb(0, 0, 0);">WordPress外掛程式JupiterX、Junipter存在重大漏洞，恐被駭客用來接管網站</span></a></strong></h3> <p id="Zyxel">WordPress佈景主題外掛程式存在的重大漏洞，很可能讓駭客得以控制整個網站。資安業者Wordfence指出，WordPress外掛程式JupiterX、Junipter，存在CVSS風險層級達9.9分的重大漏洞，攻擊者一旦利用這項漏洞，可在經過身分驗證的情況下，獲得管理者的權限，進而可能竄改網站內容、注入惡意指令碼等攻擊行為。</p> <p>這項漏洞與名為uninstallTemplate的函式有關，用途是在管理者移除佈景主題後重設相關版面配置，但這個函式會把使用者的權限提升為管理員，如果有登入網站的使用者發送含有action參數的AJAX請求，就有可能在沒有通過其他檢查情況下，成功提升權限。開發商ArtBees獲報後，於5月10日發布JupiterX 2.0.8、Junipter 6.10.2修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2205.06114.pdf"><span style="color: rgb(0, 0, 0);">研究人員發現可濫用iPhone低耗電模式的漏洞</span></a></strong></h3> <p id="Zyxel">遺失的iPhone手機即使電源遭到關閉，還是能透過Find My功能定位，這與蘋果導入了名為低耗電模式（Low Power Mode，LPM）的機制有關，但有研究人員發現當中存在可被濫用的弱點，甚至有可能讓攻擊者在即將斷電的設備上執行惡意軟體。</p> <p>德國達姆施塔特工業大學（Technical University of Darmstadt）的研究人員在針對iOS 15作業系統進行研究後發現，近期iPhone手機的藍牙、NFC、超寬頻（UWB）無線通訊，即使在關機的狀態下仍然能夠運作24小時，研究人員指出，這是因為LPM是透過硬體的元件來運作，例如，Find My功能要透過Always-on Processor（AOP）晶片執行，因此，LPM很有可能遭到攻擊者濫用。</p> <p>他們透過逆向工程的方式發現，這類晶片沒有透過數位簽章的機制保護，而有可能讓惡意軟體入侵iPhone後，在LPM模式下持續運作，或是讓攻擊者察覺LPM模式相關晶片的弱點後入侵手機。研究人員認為，蘋果應該加入新的開關元件來切斷電源，來防範相關的弱點被用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/05/15/technical-advisory-tesla-ble-phone-as-a-key-passive-entry-vulnerable-to-relay-attacks/"><span style="color: rgb(0, 0, 0);">研究人員揭露可以透過藍牙進行中間人攻擊的手法，能遠端偷走特斯拉汽車或打開智慧門鎖</span></a></strong></h3> <p id="Zyxel">電動汽車提供能以手機App作為遙控器，透過藍牙解鎖車門，可說是相當普遍，但也有可能成為駭客進行中間人攻擊（MitM）的對象。</p> <p>資安業者NCC Group於5月16日指出，他們發現了能夠解鎖特斯拉Model 3、Model Y的藍牙漏洞，研究人員利用iPhone手機與Model 3汽車進行實驗，結果發現，他們藉由自行打造的延遲訊號中繼設備，使得手機超出藍牙通訊的距離，仍能成功解鎖車輛。而這樣的藍牙通訊弱點也存在於智慧門鎖，該公司也成功在Kevo系列智慧鎖上，利用類似的方法在遠端開啟門鎖。此外，這種弱點亦可能存在於透過手機App解鎖的門禁系統、筆電等設備。</p> <p>研究人員認為這不完全是藍牙規格上的缺陷，而是藍牙身分驗證機制原本並非為重要系統規畫。他們為設備製造商、系統業者，以及使用者提出緩解建議，可透過調整相關的配置來防範這類遠端中間人攻擊手法，並通報特斯拉，以及智慧門鎖製造商Kwikset與Weiser。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.prnewswire.com/news-releases/the-linux-foundation-and-open-source-software-security-foundation-openssf-gather-industry-and-government-leaders-for-open-source-software-security-summit-ii-301546671.html"><span style="color: rgb(0, 0, 0);">Linux基金會、開源安全基金會將投入1.5億美元，用於改善開源程式碼安全</span></a></strong></h3> <p id="Zyxel">為了改善開源軟體安全，美國於5月12日二度召開開源軟體高峰會，由Linux基金會（Linux Foundation）與開源安全基金會（OpenSSF）主持，總共集結37家IT業者、逾90名高階主管，以及美國國家安全委員會（NSC）、網路安全及基礎設施安全局（CISA）、國家標準暨技術研究院（NIST）、白宮網路主任辦公室（ONCD）、能源部（DOE）、行銷管理和預算局（OMB）官員。</p> <p>本屆會議的焦點，就是他們要在未來兩年運用1.5億美元經費，改善開源軟體十大主要問題，並立下3個工作目標，分別是健全開源安全生產流程、促進漏洞發現與修補，以及縮短修補回應的時間。上述計畫的經費來源中，Amazon、Ericsson、Google、微軟、VMware承諾捐款逾3千萬美元，來做為此計畫前期資金。</p> <h3><strong style="font-size: 22px;"><a href="https://cloud.google.com/blog/products/identity-security/introducing-assured-open-source-software-service"><span style="color: rgb(0, 0, 0);">Google推出經過安全驗證的開源軟體套件</span></a></strong></h3> <p id="Zyxel">為了提供更為安全的開源軟體，大型IT業者打算推出套件驗證服務。Google於5月18日宣布，他們將透過Google Cloud推出Assured Open Source Software（Assured OSS）服務，來提供該公司已經檢查過的開源軟體。這些軟體Google的掃描、分析、模糊測試，並能通過軟體供應鏈安全框架（SLSA）合規驗證，由Google簽章，並透過Google Cloud的容器映像檔及語言套件代管平臺Artifact Registry代管，預計於今年第三季推出預覽版本。</p> <p>該公司亦宣布與開源軟體安全供應商Snyk合作，Assured OSS將整合到Snyk的服務，而Snyk漏洞資料庫則會整合到Google Cloud安全與開發生命周期管理工具。</p> <h3><strong style="font-size: 22px;"><a href="https://digital-strategy.ec.europa.eu/en/library/proposal-directive-measures-high-common-level-cybersecurity-across-union"><span style="color: rgb(0, 0, 0);">歐洲推出第二版網路暨資訊系統安全指令，將擴大適用範圍</span></a></strong></h3> <p id="Zyxel">歐洲議會與歐盟會員國於5月13日，正式對於2020年歐盟委員會（EC）提出的網路暨資訊系統安全（Security of Network and Information Systems）修訂指令「NIS 2 Directive」達成共識，主要修訂內容將擴大此指令的適用範圍，延伸到電子通訊服務供應商、數位服務業者、廢水或廢棄物處理業者、產品製造商、郵政與物流業者、公共行政單位等，同時，新版指令也將提升歐洲組織的資安要求，例如，要著手解決供應鏈與供應商之間的資安問題，並對於組織沒有遵守相關義務的行為，向高階管理人員究責。歐盟成員國與歐洲議會將公布新版指令，並於20日後正式生效，歐盟會員國需在21個月內納入國家法令。</p> </div></div></div>
2022/5/21 10:37作者周峻佑https://www.ithome.com.tw/news/151040
領導者意志力決定企業變革底氣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資誠企管在「2021台灣企業領袖調查報告」中，用了邱吉爾在第二次世界大戰演講中的這句話做開場「千萬不要浪費一場好危機」，而開啟這份針對234份量化問卷與13位企業領袖及業界菁英訪談的報告書。內文中不斷提醒，危機的出現代表重整的需要，只是報告中形而上學的建議，讓更多經理人對於市場變動，雖抱了一堆心法，卻少有立即可用的方法，使得疫情後的市場，缺乏過去經驗的支撐，讓人顯得無助。這樣的無助甚至因為疫情的攪亂而來得更為突兀。</p> <p>2020年一位美國紐約的專案經理，她在FB上分享著：</p> <p>「離開辦公室前，我記得我還有半杯咖啡留在桌上，椅子下也放了一雙我剛買的運動鞋，我還記得我心裡想，過幾天再來拿。但，這『過幾天』卻相隔好遠……」</p> <p>疫情所造成的變動出現在你我身邊時，那種眼見為憑的震撼力，搭配上曾經聽聞的不安，人深陷其中，如同不同樂器卻同時奏著同一首悲鳴曲，這種無預警的變動任誰都難以消受。這時邱吉爾的話如同醒鐘，提醒自己用勇氣、毅力，去思考如何能在變動中讓自己往更好的方向走。</p> <p><span style="font-size:28px;"><strong>老店的崩塌</strong></span></p> <p>變革，已經不是媒體報導裡，遙遠的紐約金融市場變動或是中東能源及供應鏈的重整；變革，已經慢慢透到通路產業，尤其在B2C的範疇中，影響更甚。許多百年老店見證變革的破壞力，由緩而鉅，它的崩塌讓人最為心碎。</p> <p>到美國一定會去逛逛走走的大型連鎖百貨公司傑西潘尼（JC Penny），成立於1902年，它是第一個具有倉儲功能的一站式購物中心，早期是為了協助郊區居民或農民生活型態，以一次購足生活所需而成立的商場。傑西潘尼在1928年即有1,000家店，但在一百多年後的今天，卻僅維持800家店鋪數量，規模比老祖宗當年打下的基礎還單薄，它還計畫每年以關閉200家的速度維持基本生存。但還是在2020年5月因不堪新冠疫情的重擊，宣布破產。</p> <p>另外，重訓愛好者很熟悉的保健食品零售商健安喜（GNC），於1935年成立，總部位於美國賓夕法尼亞州匹茲堡（Pittsburgh），銷售包括能量產品、維生素、補充品等。這家招牌老字號挺過了第二次世界大戰，但挺不過疫情和電商的鯨吞蠶食，在2020年6月申請破產，同年9月，破產法院法官批准以7.7億美元出售給哈爾濱製藥集團。90耆壽的光彩，終究無法入袋。</p> <p><span style="font-size:28px;"><strong>拖延的變革</strong></span></p> <p>每個企業家，誰不想讓自己的公司更好，提前準備，超前部署。只是看著別人的變動，遠觀的我們稱讚為「優化」。等臨到自己得變革時，總少不了抗拒和不經意的拖延。</p> <p>隨手舉個例子，數位化的潮流已經是個趨勢，實體通路與電子商務的混商結構也是個必然。但是引進數位需要資金投入，需要改變現有作業流程，得和內部人員溝通，甚至需要組織重整。在變革推動的過程裡，由於缺少對變革的理念和熱情，也缺少變革管理所需的溝通和工具，缺乏上下同仁的共同語言後，變革一詞讓同仁間雜音變多。無奈當下事務緊急且麻煩，同時眼皮子下救火問題又不斷湧起。這裡有良率問題，那裡有貨樣品質差異。這裡有問題這裡解決，那裡有問題那裡處理，俗事纏身後，公司最高領導因此把變革這件事，交給特助去做，然後神情嚴肅的交代：「這是最重要的事」。接著，像義人一般，自己投身在救業績，搶市場的烈焰中。好不容易交出上半年數字，對股東有個交代後，回頭問特助查進度，想了解變革這件事辦得如何了，想當然爾，缺少最高領導的跟催，缺少最高領導的溝通，變革這事辦得無力，且零碎。</p> <p>最高領導生氣了，把變革這事又領回來做，帶了兩個月，想說上軌道，應該同仁可以自己執行了，這一解封，舊習慣又立刻就位。結果，在變革的路上，空有想法，沒有執行的節奏，也缺乏持續推進的執行力，更遑論溝通的共同平台和執行工具。這個結局就是我們所稱，變革成功機率僅5%的狀況。很多人都知道要變革，也同意變革可能帶來的好處。但真正走到底，以意志力和執行力完成的領導者，少之又少。</p> <p>放棄本身並不可怕，可怕的是，領導者看到新的變革管理方法，又開始想要採納。可能因為看了某本書，可能聽了某個演講，或者到了某家企業參訪。領導者被啟發，深深覺得應該要改變公司作業方式和體質，如同輪迴般，新的變革管理方式又被導入公司，同樣的故事再度發生，底下的員工承受如地震般的組織重整，積極的同仁試圖再產生新的SOP謀合新的流程，一些老的，則以靜制動等待這波浪潮再過，全體上下，都在變革，都在看這次變革可以玩多久。</p> <p>以上的描述是我在企業輔導過程中的側面觀察，這也成為我出書的動機：變革要成功，除了簡單、上手、易用的工具，OGSM的一頁表格在施行到每個企業後，由於每家公司的狀況互異，變革土壤不同，因此在真正推行時可能產生的問題，某些過不去的轉折點，甚至，使用者需要的底氣，需要一次講清楚。</p> <p>但，工具就是工具，就像一台再好的車，都需要有個偉大的駕駛員；OGSM工具，它也需要一個偉大的掌舵者。我們發現，手上的成功案例，都是來自領導者持續、不斷的推行。路絕對不只走一半，有問題就溝通，有狀況就調整，而不是亟欲跳上另一變革的列車，又讓員工急速前行，但心中惶惶不安。</p> <p><span style="font-size:28px;"><strong>變革需要底氣</strong></span></p> <p>2020年9月，有一場讓我印象十分深刻的會議。台灣某國際級科技公司總經理透過秘書和我聯繫，希望我到內湖公司跟他談一談「如何在企業中導入OGSM？」。說真的，我半信半疑，甚至一度懷疑這是詐騙電話。</p> <p>9月那天，我們團隊三個人被神情嚴肅的人員帶到一個特殊電梯，進到這外人難得一窺的總經理辦公室。我一進到大樓最高樓層後，一眼望去，看到所有灰色的文件櫃上面，滿滿擺著都是書，書的數量應該至少有200多本。其實擺放巨量書籍倒也沒什麼，只是這些書看起來……都是被翻看過的。</p> <p>經過5分鐘揣揣等待，終於見到總經理本人。袖口捲起的藍色襯衫襯著略帶風霜的面孔。</p> <p>總經理看到我後，劈頭說了一句話：「我們公司員工每個人都做到KPI了，但卻做不到我想要的績效。」</p> <p>總經理悠悠地說：「我想要一個簡單到不會讓人排斥，而且我的廠線、研發、業務都可以用的工具。我們公司KPI執行很久了，員工的KPI都達標，每年大家都領得很高興，但是，我自己從業務主管一路做上來，我很清楚，KPI的設定讓大家都領頭獎，但是對於公司的績效，貢獻實在有限。市場不等人，我需要執行力！」</p> <p>總經理從一開始即賦予信任，接著帶頭參加課程，他也配合要求寫OGSM作業，並要求各單位主管把這套方法往下展延。決心改變、耐心推動、知識學習，成為這家企業推動變革的底氣。其實我或這位總經理心裡都清楚，重點並不是推動OGSM，重點是，當老闆想要改變公司，不論那是什麼觀念或工具，代表他推得動，而且做得成，才是最重要的事。（本文摘錄整理自《OGSM變革領導》，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-OGSM-300.png" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span>OGSM變革領導：打造企業創新力，建立靈活、隨時擴充的全公司溝通系統工具</strong></p> <p>張敏敏／著</p> <p>商業周刊出版</p> <p>售價：380元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>張敏敏 </strong></p> <p>CEO高階經理人御用顧問</p> <p>現為JW智緯管理顧問有限公司總經理、商周CEO學院領導學程「變革管理」總顧問、佳音廣播電台「職場輕鬆學」主持人兼節目製作，以及臺灣大學商學研究所博士候選人。</p> <p>曾任職於多家知名外商集團，包括法商歐萊雅集團、美商雅詩蘭黛集團、日商資生堂集團等，曾任行銷主任、行銷經理、業務經理、教育訓練協理、品牌總經理等職。</p> </div></div></div>
2022/5/21 02:09未署名https://www.ithome.com.tw/article/151019