iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Cloud周報第145期：北醫大因應遠距教學改採混合新架構，不只打造更便利的數位教育環境，更要發展教育雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/26～06/01）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 教育雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">北醫大 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>北醫大擬定上雲三階段目標，混合新架構、教育雲以及打造數位教育環境</strong></span></p> <p>近兩年，國內上雲的趨勢越來越明顯，不只企業、政府部門，更有不少學校或教育機構開始積極上雲，如臺北醫學大學就是其中之一。尤其，受疫情影響使得遠距教學成為常態，為了要打造更便利的數位教育環境，北醫大已經導入不少公雲服務，甚至還進一步發展到混合雲新架構。</p> <p>經過一段時間導入後，北醫大近來則是把這些公有雲服務搬遷到了Google Cloud公雲上，支援教務行政系統，以因應師生授課與學習及行政工作需求，還擬定北醫大上雲的三階段計畫，分別為重新設計混合雲架構、推出教育雲服務，以及打造數位教育環境。</p> <p>透過採用混合雲新架構，也為北醫大教學或行政相關系統運作獲得不少改善，以人資系統為例，過去系統需30微秒才能反應，現在縮短為原本的三分之一，又如招生報名系統與加退選系統等，從而提高系統運作效率，也提高流量尖峰時期的服務品質及減少後臺管理人員負荷。</p> <p>在遠距教學的情境下，北醫大也使用不少雲端服務來提高教學品質，如採用Google的升級教育版Workspace ，提供視訊教學、線上發放發批改功課等功能，另外，北醫大未來還將進一步結合Chromebook筆電打造智慧教室，實現多校區線上、線下混合學習模式，以及滿足單日多達600場線上會議（含小組討論、課程等）的需求。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端應用開發服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>微軟推出雲端開發箱新服務，讓開發團隊能使用遠端桌面連接到虛擬機來共同開發</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 338px;" /></p> <p>微軟今年在Build 2022大會上還推出一個雲端開發環境新服務Microsoft Dev Box，透過該服務，開發者可以預先配置必要的開發環境、程式碼等作為虛擬機，讓開發團隊成員可以使用遠端桌面，或Web瀏覽器連接到虛擬機，來進行開發。</p> <p>取名為開發箱的Dev Box，就像一臺雲端上的PC，透過桌面虛擬化的虛擬機，來提供開發者所需的獨立開發環境，包括提供Windows上常見的IDE工具、SDK及各種內部開發工具等，並可用於開發桌面、行動、物聯網和遊戲等相關應用，也能適用於Linux的Windows子系統，構建跨平臺應用。</p> <p>由於Dev Box本身託管於公雲上，使用者可以在任何裝置上遠端操作它，包含Windows、MacOS、Android及iOS裝置，或是從Web瀏覽器來操作。</p> <p>在管理上，Dev Box也與雲端PC管理相近，利用Windows 365來與Intune和Endpoint Manager端點管理工具整合，確保統一管理、安全性和合規性。此外，IT管理者也能在Azure Active Directory中設定管理、登錄權限，建立自己用戶存取策略。</p> <p>Dev Box服務現階段已推出私人預覽版，幾個月後作為公開預覽版發布。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">轉型上雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>美國航空全面擁抱公雲，要將內部航空關鍵應用搬上Azure加速轉型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 397px;" /></p> <p>美國主要航公司這兩年都積極上雲來實現轉型，除了達美航空、聯合航空，美國航空（American Airlines）也成為最新一家全面擁抱公雲的航空公司，該公司近日也宣布將擴大其公有雲的採用，希望透過上雲改善營運、提高效率及邁向永續發展目標。</p> <p>每天經手超過6千架次航班的美國航空，是美國規模最大航空公司，每天要載送旅客前往全球56個國家及地區一共350個目的地，疫情期間，美國航空也展開數位轉型之旅，將雲端作為轉型的主要關鍵技術。</p> <p>經過一段時間採用後，美國航空更決定將把內部應用程式和航空關鍵應用搬上雲，並以Azure作為主要公雲平臺。美國航空與微軟兩家公司原本就有長期合作，過去雙方曾合作開發名為ConnectMe的應用，通過Teams中支援Power Apps的應用，讓上千名第一線執勤人員可以使用行動裝置來進行協作。或是在德州DFW機場登機口門控決策上，也有結合其AI相關應用。</p> <p>在這個合作基礎上，雙方現在更進一步合作，美國航空計畫在未來幾年內將大量工作負載遷移到Azure，例如機場滑行決策等，改為在公雲環境中來提供，未來也要透過數據分析、數位化技術來優化客戶體驗和改善公司營運，如行李定位追蹤，或是能根據天氣自動調整航班路線，以及透過數位分身來模擬機場的營運，來提高效率等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據統一管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟公布全新雲端智慧數據平臺，將資料庫、分析、治理服務整合至單一平臺來管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964_Cloud%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 352px;" /></p> <p>在年度Build 2022開發者大會上，微軟宣布推出全新雲端智慧數據平臺Microsoft Intelligent Data Platform，它是一個完全整合資料庫、分析、治理的雲端數據平臺，可協助企業用於整合和管理所有的數據資產，用以解決資料整合和管理的麻煩。</p> <p>這個雲端數據平臺，主要整合了Azure現有雲端資料庫、分析工具及治理產品，其中數據方面就涵蓋了多產品，包含Azure雲端ETL服務、Azure資料總管、SQL Server 2022資料庫、Azure SQL、NoSQL資料庫Cosmos DB等，分析方面也整合如資料倉儲Synapse Analytics及分析工具Power BI產品，以及還整合了資料治理工具Purview，來提供統一資料控管、合規性功能。</p> <p>目前採用該平臺的企業，如KPMG，利用它來統一管理客戶稅務、法律及財務部門資料。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>調查：8成企業已採用混合雲，近半數有2到3個IaaS公雲</strong></span></p> <p>網通大廠思科近日<a href="https://www.cisco.com/c/en/us/solutions/hybrid-cloud/2022-trends.html">發布了2022年全球混合雲趨勢報告</a>，該報告委託451Research機構進行的調查，訪查13個國家及地區一共2,500名企業IT決策者部署混合雲的經驗。</p> <p>根據調查指出，82%受訪者已採用混合雲，而且47%的企業組織平均使用2∼3個IaaS公雲。該報告表示，混合雲和多雲已經成為企業採用雲端新常態，為了實現更安全、業務敏捷性和雲端服務存取需求，越來越多企業開始朝向多雲部署來發展。</p> <p>但多雲發展也帶來新挑戰，根據調查顯示，近4成（37%）認為安全問題是多雲部署一大挑戰，另有 35%的受訪者視增加營運複雜性為主要挑戰。多雲環境下的成本控管，也是企業另一個重要考量。該調查還發現，過去一年來，企業雲原生採用也加速，91%受訪者表示其組織計畫或已經使用雲原生重構應用程式技術。</p> <p>另外在雲端新興熱門技術採用上，前4項分別為AIOps (45%)、基礎設施自動化 (41%)、可組合基礎設施 (37%) 和邊緣運算 (41%)。</p> <p><strong>圖片來源／微軟Build 2022、Azure</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.IDC最新調查預測臺灣公雲市場規模，從2020年約263億元，到2025年將成長翻3倍，突破800億元</strong></strong></p> <p><strong><strong>2.回應歐洲雲端業者控訴，微軟變更歐洲產品授權政策以避開反托拉斯指控</strong></strong></p> <p><strong><strong>3.AWS展示採用Arm架構的新型Graviton3處理器實例，提供更強大且更省電的雲端實例</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/6/2 10:20作者余至浩https://www.ithome.com.tw/news/151235
【從彰化醫院趕工夜，看防疫政策頻頻變動的醫院IT考驗】科技抗疫背後的醫院IT新常態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不好意思，我還在加班，我們可以晚點訪談嗎？」負責健保申報業務的部立彰化醫院醫務行政室主任黃冠凱在電話那頭說。晚上7點，彰化醫院的臨床醫護團隊、IT人員和申報人員等，忙著討論防疫流程圖與代碼分類的調整，才能盡快修改HIS系統，來因應最新一版的防疫就醫作業要求。</p> <p>這一晚忙碌趕工的景象，不是彰化醫院的特例，而是全臺大小醫院IT，新疫情局勢緊張後，經常面對的處境。防疫政策不斷更新，光是4、5月，部頒醫院作業指引就改了6版，醫院和IT團隊如臨大敵，每次調整都得盡快修改HIS系統，最短一次甚至只有2天因應時間。</p> <p>直到2小時後，黃冠凱才有時間，談起兩月來，疫情非常時期下的IT挑戰。</p> <p>健保卡和背後的健保雲端藥歷，是這波抗疫的重要資訊系統。舉凡檢驗、通報，或是視訊診療、兒童就醫綠色通道、開立口服抗病毒藥物、快篩陽性即確診等，都離不開它。這些指揮中心推陳出新的政策，盡其所能守住人民，但對醫院和IT團隊而言，頻繁更新的政策，卻是極大的考驗。</p> <p><span style="font-size:28px;"><strong>政策更新的IT作為：開發新程式、設定代碼套餐</strong></span></p> <p>因為，每項政策出臺，醫院不只要重新設計或調整就醫流程，還得根據新政策頒布的醫療代碼和健保上傳格式，來修改系統、開發新程式。如此，醫院才能合規申報，健保雲端藥歷效益也才能發揮效益，讓醫院用最新資訊提供病人照護。但對規模較大的醫院來說，有足夠IT人力來開發程式，對規模較小的醫院來說，不只要應付流程調整，還得花更多時間與委外廠商溝通，彰化醫院就是其中之一。</p> <p>黃冠凱回憶，4月底以來，國內疫情越來越緊張，醫院收到「健保署為因應COVID-19之調整作為（醫事機構版本）」指引和其他公文的次數，也越來越頻繁。比如，4月26日收到第11版指引，4月29日第12版，3天後又是另一個版本。而目前最新的第15版，與上一版只間隔2天，「我們的反應時間必須越來越快，」他說。</p> <p>這份30多頁的「健保署為因應COVID-19之調整作為（醫事機構版本）」指引，是健保署發布的重要政策，也是健保署受疾管署代辦代付之託，用來與醫療院所溝通的橋樑。該指引每一個版本，都根據指揮中心的最新疫情策略，來調整醫事機構防疫作為，像是視訊診療就醫流程、適用對象，以及更細緻的費用申報、資料上傳格式等。</p> <p>比如，5月13日發布的第15版，就針對指揮中心當天的新政策，提供新代碼和流程說明，像是符合口服抗病毒藥物的確診者親友，可持健保卡代為看診評估，醫師若判斷適合、開立處方箋，就得輸入支付代碼「E5208C」來記錄。</p> <p>另一個例子是，PCR核酸檢驗類的上傳資料格式。醫院上傳檢驗資料時，得按以下格式，在24小時內上傳才行：</p> <p><strong>1. 資料格式（A01）</strong>：2. 異常上傳</p> <p><strong>2. 就診日期時間（A17）</strong>：檢驗報告結果日期</p> <p><strong>3. 就醫序號（A18）</strong>：CV19；無健保身分：FORE</p> <p><strong>4. 補卡註記（A19）</strong>：2</p> <p><strong>5. 就醫類別（A23）</strong>：CA</p> <p><strong>6. 實際就醫日期（A54）</strong>：篩檢日期</p> <p><strong>7. 醫令類別（A72）</strong>：G</p> <p><strong>8. 診療項目代號（A73）</strong>：核酸檢測陽性：PCRP-COVID19、核酸檢測陰性：PCRN-COVID19</p> <p>這些格式對醫院系統非常重要，上傳的格式一但出錯，申報遭健保署退件，醫院就無法申請點數，得自行負擔費用。為了避免錯誤，許多醫院會加派更多人手，來檢查上傳資料是否正確。</p> <p>但在這波疫情下，甚至連這類上傳資料格式，也會隨時變動。比如，為配合指揮中心的新政策，也就是「自5月26日起，民眾居家快篩陽性，經醫事人員確認即確診」，疾管署在5月24日修訂「醫療院所通報COVID-19 個案作業方式」，新增居家快篩陽性代號：HSTP-COVID19，來區分醫院原本的抗原快篩檢驗代碼。</p> <p>這些代碼，是用來記錄一系列醫療行為的代號，從患者身分、看診方式、各種病症，再到醫療處置、申報類型和藥品開立等，都有各自的代碼。</p> <p>因為代碼種類繁多，醫師看診時，得根據病人狀況一一輸入。就診人數一多，醫師更容易因忙碌而輸入錯誤，導致後續申報出問題。</p> <p>為解決這個問題，醫院中負責健保申報的醫務行政室與資訊室，就會根據特定族群、病症和藥品，設計專屬套餐代碼，讓醫師一鍵就能帶入醫令碼、診斷碼、藥品碼等代碼，省下查找時間，或是人為輸入錯誤的風險。</p> <p>在這次一系列的防疫診療中，多數醫院採取代碼套餐來加速看診流程。但隨著這些代碼新增和變動，意味著醫院得隨時修改系統、撰寫新程式、設計新代碼套餐來因應，黃冠凱透露，醫院團隊與委外廠商，幾乎每天都密集討論。</p> <p><span style="font-size:28px;"><strong>根據指引公文規畫遠距診療流程，整合專用代碼</strong></span></p> <p>而防疫遠距診療流程，可說是集流程規畫、代碼套餐設計與快速因應中央政策變化的典型例子。黃冠凱指出，彰化醫院臨床醫護團隊、IT人員和申報人員，就根據「健保署為因應COVID-19之調整作為（醫事機構版本）」和其他公文，把關於遠距診療、防疫門診等硬邦邦的說明文字，先轉為簡單易懂的流程圖，並配上相對應的代碼。</p> <p>比如，在5月20日版本的遠距診療流程圖中，他們將患者先分為3大類，也就是隔離中確診病患、居家快篩陽性視訊確診患者，以及解隔離確診病患或其他非確診病患。面對這3類患者，醫師就得先輸入相對應的診斷碼和醫令碼，像是以「NND000」醫令碼來代表前2類病患。</p> <p>接下來是更詳細的分類。首先是隔離中的確診病患，去年，健保署放寬視訊診療適用範圍，讓居家隔離的確診患者，也能透過視訊或電話方式看診。在這個指令下，醫院將視訊診療途徑分為兩種，一是接收當地衛生所派案，另一則是民眾自行掛號看診。</p> <p>就彰化醫院所在地來說，彰化縣衛生局會以Excel表格來分派視訊診療案件，接到案件後，彰化醫院會先請看診患者加入醫院Line官方帳號，並由個案管理師關懷、詢問概況，再由醫師視訊診療。此時又可分為兩種情況，一種是首次接受彰化醫院視訊診療關懷的民眾，另一種則是非首次。</p> <p>若民眾首次接受關懷，醫師看診時，會根據患者健保資料，將患者分為一般風險與高風險（如癌症、糖尿病、心血管疾病、65歲以上與12歲以下等民眾）。醫師診療視情況，可能開立健保藥物或不開藥。針對高風險患者，則開立口服抗病毒藥物。</p> <p>對於非首次關懷的民眾，醫師則可開立健保藥物或口服抗病毒藥物。若是自行到醫院網站掛視訊診療門診的民眾，醫師也採取相同處置方式。</p> <p>雖然上述醫療行為的結果，都可歸類為開立健保藥物、開立口服抗病毒藥物，以及無開立藥物這3種，但對於不同身份、不同就診方式的民眾，還得用專屬代碼來表示。</p> <p>比如，接受首次關懷、一般風險且開立健保藥物的居家隔離確診民眾，就得以NND000+E5200C+E5201C+ E5204C的代碼組合來表示。而非首次關懷、開立健保藥物或抗病毒藥物的隔離中確診民眾，就適用NND000+E5204C的代碼組合。這類組合，也是醫院發展出的代碼套餐，讓醫師一鍵帶入正確的代碼。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>COVID-19遠距診療流程</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1080-%E5%B0%88%E9%A1%8C-2P-600-1-BIG.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1139,height=600'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1080-%E5%B0%88%E9%A1%8C-2P-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>醫院依指揮中心政策及健保署醫事機構防疫指引，動態規畫相對應的就醫流程。但國內疫情快速變化，政策與指引頻繁更新，醫院也得快速修正、調整，這個指引在5月13日已發布到第15個版本，後續也有其他公文告知流程變更。每次改版，醫院都需要HIS系統搭配修改才行，但光是4、5月，已經有6次改版，頻繁改版，更讓醫院IT部門必須不斷更新HIS系統來配合。圖為5月20日的版本，仍持續改版中。</strong>資料來源：健保署，iThome整理，2022年5月</span></p> <p><span style="font-size:28px;"><strong>5月連日新增居家快篩陽性診療流程</strong></span></p> <p>再來，第2大類居家快篩陽性民眾視訊診療，則是配合今年5月12日和5月18日上路的防疫政策，醫院得在短時間內規畫就醫流程、修改HIS程式，特別是5月16日宣布的65歲以上居家快篩陽性政策，醫院只有1天準備，隔日（18日）就得上路。</p> <p>這2個政策的用意是，不只讓居家隔離中的密切接觸者、自主防疫與居家檢疫者，在居家期間使用家用快篩陽性時，可透過遠距診療來確認、領藥外，也讓65歲以上居家快篩陽性的民眾，能透過視訊診療來確認或領藥。</p> <p>於是，彰化醫院依規定，將患者進一步分為2類，一類是65歲以上非居家隔離、非居家檢疫、非自主防疫的民眾，另一類則是單純的居家隔離、居家檢疫和自主防疫民眾。</p> <p>就65歲以上民眾來說，居家快篩陽性時，可透過視訊診療，由醫師判定。若取得共識、視為確診，會視情況開立健保藥物或口服抗病毒藥物。若無共識，民眾得至篩檢站做PCR檢驗。</p> <p>一般居家隔離、居家檢疫、自主防疫民眾的診療流程，也與65歲以上民眾相仿。彰化醫院會先透過健保雲端藥歷，輸入患者身份證字號，來查詢相關就醫資料，以及藥物交互作用等資訊，來輔助了解病況。</p> <p>接著，醫病若取得共識，醫師有可能因病況輕微、不開藥，也可能針對症狀顯著者，開立健保藥物或口服抗病毒藥物。對於無共識的民眾，一樣得至篩檢站進行PCR檢驗。</p> <p>以上就是居家快篩陽性的遠距診療處置方式，一樣有開立健保藥物或口服抗病毒藥物、至篩檢站做PCR、未開藥等3種結果，但不同身份的民眾，仍有各自的代碼組合。比如，65歲以上快篩陽性確診、經醫師診斷且開立藥物的民眾，就會以U07.1+NND000（確診日期）+E5209C（篩檢日期）+E5204C的代碼組合來表示，若是一般居家隔離、檢疫、自主防疫民眾，經由醫師開藥者，則需要NND000+E5204C+E5207C代碼來表示。</p> <p>至於其他解隔離確診病患或非確診病患，可以視訊診療或電話診療來問診，兩者相對應的主要醫令代碼，就會是COVI991和COVI992。</p> <p><strong><span style="color:#3399ff;"><span style="font-size:36px;">COVID-19遠距診療流程主要醫令碼</span></span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1080-%E5%B0%88%E9%A1%8C-2P-600-2-BIG(1).png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=832,height=613'); return false;"><strong><span style="color:#3399ff;"><span style="font-size:36px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1080-%E5%B0%88%E9%A1%8C-2P-600-2.png" style="width: 600px;" /></span></span></strong></a></p> <p><span style="color:#696969;"><strong>醫生看診時要在醫令系統上輸入，一系列醫令代碼，作為這次看診處置的依據，有些甚至與申報健保費用相關。醫院規畫診療流程圖時，也會將每個醫療行為所對應的醫令代碼，整合至圖中，方便醫師理解、選填，避免填錯代碼而遭到健保署退件。每次調整遠距診療規定，健保署也會修訂相關的代碼，但也代表醫院必須盡快更新到系統中，才能協助醫生正確選填。此圖為5月20日更新後的遠距診療主要醫令碼版本，但後續仍持續更新中。</strong>資料來源：健保署，iThome整理，2022年5月</span></p> <p><span style="font-size:28px;"><strong>動員全院因應疫情政策變化</strong></span></p> <p>不過，「這些流程和醫令代碼是到今天（5月20日）為止的最新版本，」黃冠凱受訪時說。一如他所預期，在受訪後幾天，光是遠距診療流程，又面臨了多次修改需求，像是5月26日實施居家快篩陽性即確診，就診規則與代碼套餐得手動更新，他們將原本「65歲以上」的條件移除，直接歸類為非居家隔離、非居家檢疫和非自主防疫的民眾，並將代碼組合更正為NND000（確診日期）+E5209C（自身篩檢日期）+E5204C+COVI991。</p> <p>這段期間內，還有許多更細緻的條件更改。比如，原本5月初公布的遠距診療藥品開立以10日內為限，後來於5月31日修正為7日內。這些細微的變動，也牽動整體醫療流程的運作。</p> <p>而醫院實體防疫門診流程與代碼組合，也是如此，比如，「指揮中心宣布兒童就醫綠色通道政策，醫院當天就得規畫動線、環境布置，安排就醫流程、開發相關程式，」黃冠凱表示，實體門急診流程涉及的調整範圍，還包括動線規畫、人流指引，更為廣泛。</p> <p>也因此，疫情間，彰化醫院動員全院，設置3個小組來因應各種變化。這些小組包括掌握疫情動態的疫調小組，負責環境清潔、資源備援、IT與行政支援的後勤小組，以及整合臨床流程（如抗病毒藥物流程設計）的整合小組，除了在每周例行的防疫會議中協作支援，平時也依據政策變化，來進行分工調整。</p> <p>黃冠凱總結：「指揮中心一公布新政策，醫院行政面與IT面就得動起來，一是動線規畫、人流引導，讓就醫流程更順暢，另一是設計代碼套餐、開發程式，讓資料都能符合規定上傳通報。」</p> <p><span style="font-size:28px;"><strong>醫院IT共同心聲：防疫政策與健保配套措施同步</strong></span></p> <p>然而，真正讓醫院IT和申報團隊感到棘手的，並不全是頻繁更新的政策，而是政策出臺的時間，與相關配套措施的推出存在時間差。</p> <p>比如，指揮中心宣布新醫療政策時，負責代辦代付的健保署能同步發布相關配套措施，如資料上傳格式，醫療機構就更能快速依循，立即開發新程式來上傳資料。這也是眾多醫院想對政府許的願，期盼中央政策與配套措施，能同步出爐，一起抗疫。</p> </div></div></div>
2022/6/2 10:47作者王若樸https://www.ithome.com.tw/news/151259
Meta營運長Sheryl Sandberg將下臺並離開公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta營運長及第二把交椅<a href="https://www.facebook.com/sheryl/posts/10166258399565177" target="_blank">Sheryl Sandberg昨（1）日宣布</a>她將在今年秋天下臺並離開公司。</p> <p>而Meta執行長祖克柏（Mark Zuckerberg）<a href="https://www.facebook.com/zuck/posts/10114502961535621" target="_blank">證實這項消息</a>。Sandberg的職位將由現任跨公司產品及基礎架構部門副總裁Javier Olivan繼任。</p> <p>Sandberg是在2008年加入公司。她說，14年後，現在是她開啟人生下一篇章的時候了。未來她將把重心放在以她和已故丈夫Dave Goldberg為名的基金會以及慈善事業，也將和前柯林頓幕僚及前NBC新聞製作人Tom Bernthal結婚。</p> <p>祖克柏除了對Sandberg表達謝意外，也表示Meta是時候需要所有產品和業務事業群更緊密合作，不應讓組織功能和產品分別運行。</p> <p>Sandberg在加入Meta前身臉書之前是希拉蕊團隊的幕僚。2008年當時23歲的祖克柏延攬大她15歲的Sandberg，擔任公司公共事務及廣告主管，實際主導許多公司重要策略。口才便給及形象清新、能力出眾的她不但輔助年輕的臉書成為數十億美元的超大型網路公司，也成為臉書對外的頭號發言人。2013年的《挺身而進Lean-in》將Sandberg人氣推向高峰。</p> <p>但是2017年後多起重大疏失也讓她在公司內地位大跌，而漸漸退居幕後。包括2016年俄羅斯以臉書廣告介入總統選舉、<a href="https://www.ithome.com.tw/news/121879" target="_blank">2018年春天的劍橋分析</a>（Cambridge Analytica）8,700萬用戶個資外洩、以及2021年春天華盛頓國會山莊暴動事件，Sandberg被指監督嚴重失職。</p> <p>此外，媒體報導她也涉入聘請數家公關公司，對包括Google、<a href="https://www.cnbc.com/2018/11/16/facebooks-sheryl-sandberg-responds-to-new-york-times-investigation.html" target="_blank">蘋果</a>，以及<a href="https://www.nytimes.com/2018/11/29/technology/george-soros-facebook-sheryl-sandberg.html" target="_blank">投資家索羅斯</a>（George Soros）發動負面新聞攻擊。</p> <p>最近一次則是<a href="https://www.wsj.com/articles/sandberg-facebook-kotick-activision-blizzard-daily-mail-11650549074" target="_blank">今年華爾街日報一則</a>她曾試圖向《每日郵報》施壓以撤下前男友動視暴雪（Activision Blizzard）Bobby Kotick在公司助長性騷擾及性別歧視文化的報導。</p> <p>在Sandberg離職之前，臉書管理階層已經準備就緒。Javier Olivan接任營運長一職後將主管整合廣告及業務產品，管理基礎架構、分析、行銷及公司發展及成長團隊。祖克柏表示他的角色為更傾向「傳統」營運長的角色。</p> <p>其他新的管理人事包括全球事務總裁Nick Clegg、法務長Jennifer Newstead。業務長Marne Levine將向Olivan報告使廣告及業務平臺產品事業群和Meta事業群合作更密切。而產品長Chris Cox下的Justin Osofsky則負責打造一個訓練AI推薦系統，以便為臉書和Instagram用戶推薦個人化內容。</p> </div></div></div>
2022/6/2 11:00作者林妍溱https://www.ithome.com.tw/news/151262
OpenSea前主管因涉及內線交易及洗錢被起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/former-employee-nft-marketplace-charged-first-ever-digital-asset-insider-trading-scheme" target="_blank">美國紐約州南區檢察官本周起訴了</a>曾擔任OpenSea產品經理的Nathaniel Chastain，指控他在OpenSea任職時，利用職務存取機密資訊之便，事先購買了之後會被推廣的非同質化代幣（NFT），涉及電信詐欺及洗錢。Chastain也在本周三（6/1）遭到逮捕。</p> <p>根據檢察官辦公室與聯邦調查局（FBI）的調查，現年31歲的Chastain在去年6月至9月間，因職務而得知OpenSea即將於首頁推廣的NFT產品，因此在NFT上線前就私下購買了數十個，以便於正式上線時進行銷售，售價至少是其原先購買價格的2到5倍，以替自己牟利。</p> <p>為了隱藏自己的行為，Chastain是以匿名的OpenSea帳號，以及匿名的加密貨幣錢包進行交易。不管是電信詐欺或洗錢，最高刑罰都是20年的牢獄。</p> <p>OpenSea現為全球最大的NFT市集，現階段該平臺所陳列的NFT產品已超過4,000萬個，今年1月該公司的市值達到133億美元。其實去年OpenSea內部有人內線交易的傳聞便甚囂塵上，<a href="https://opensea.io/blog/announcements/employee-information-use-at-opensea/" target="_blank">促使OpenSea展開調查並於9月公布結果</a>，當時OpenSea表示已要求這名涉嫌內部交易的員工自行請辭，雖未指明道姓，但應該就是Chastain。</p> <p>此事發生後，OpenSea亦明文規定員工都不得購買或出售於首頁上推廣的NFT產品，也禁止利用機密資訊於OpenSea或其它NFT市集進行NFT產品的交易，堪稱是Chastain條款。</p> </div></div></div>
2022/6/2 11:14作者陳曉莉https://www.ithome.com.tw/news/151264
馬斯克揭露Starlink 2.0衛星細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX執行長馬斯克（Elon Musk）周二（5/31）藉由YouTube節目《Everyday Astronaut》<a href="https://www.youtube.com/watch?v=XP5k3ZzPf_0&t=568s" target="_blank">公開了Starlink 2.0衛星細節</a>，指出雖然Starlink 2.0比起前一代重了5倍，但其效能幾乎比Starlink 1.0多了一個數量級。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0601-elon%20musk%20photo%20by%20Everyday%20Astronaut%20on%20YouTube.png" style="width: 500px;" /></p> <p><a href="http://www.youtube.com/watch?v=XP5k3ZzPf_0&t=568s" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Everyday Astronaut on YouTube</span></span></a></p> <p>SpaceX去年8月就向美國聯邦通訊委員會（FCC）<a href="https://fcc.report/IBFS/SAT-AMD-20210818-00105/12943361" target="_blank">提出Starlink 2.0計畫</a>，指出雖然最初的Starlink 1.0已對衛星系統提供了前所未有的容量，但市場對頻寬的需求有增無減，使得SpaceX投入了大量的資源來研發更有效的方法來最佳化，並以Starlink 2.0來彌補Starlink 1.0衛星星座。</p> <p>此外，SpaceX也計畫利用新的運載火箭Starship更快速有效地將衛星送至軌道，加上上節的再利用能力，可增加發射頻率；Starship亦允許SpaceX傳送新一代能力更強的衛星，並以既有的Falcon 9運載火箭作為輔助。未來Starship可望全面取代Falcon 9。</p> <p>Starlink 2.0長7米，重約1,250公斤，是Starlink 1.0（250公斤）的5倍重，馬斯克說，增加的重量也代表每個衛星的處理能力提高了，有效的傳輸容量比前一代多了一個數量級。此外，當初SpaceX提交給FCC的文件雖說要以Falcon 9來補充其發射能力，但本周馬斯克表示，用來發射Starlink 1.0的Falcon 9並不足以承載Starlink 2.0，就算縮小Starlink 2.0設計也不行，因此將仰賴正在研發的Starship。</p> <p>迄今SpaceX已發射約2,400顆Starlink衛星，而FCC所核准的Starlink衛星數量為1.2萬顆，但SpaceX的目標是在低軌上部署4.2萬顆衛星。</p> <p>不過，<a href="https://www.scribd.com/document/557924666/NTIA-NASA-NSF-letter-to-FCC-regarding-Starlink-Gen-2" target="_blank">美國太空總署（NASA）今年2月曾上書FCC</a>，指出Starlink 2.0與過多的衛星可能會引發更多的碰撞事件，同時影響NASA的科學與航太任務，提醒FCC應謹慎考慮Starlink 2.0的部署。</p> <p>此外，中國最近有一份名為《星鏈計畫發展現狀與對抗思考》的<a href="https://www.ithome.com.tw/news/151158" target="_blank">論文指出</a>，衛星數量龐大的Starlink星座若被用來支援美國的軍事用途，可能會對中國的國家安全帶來威脅，文中除了建議強化中國的衛星資源以外，還說應發展各種反制手法，包括破壞特定衛星以讓衛星失去能力。</p> </div></div></div>
2022/6/1 22:54作者陳曉莉https://www.ithome.com.tw/news/151258
【資安日報】2022年6月1日，逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Foll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們才在昨天的資安新聞裡，報導<a href="https://www.ithome.com.tw/news/151224#CVE-2022-30190">引起許多資安人員關注的Office漏洞CVE-2022-30190</a>。今天就傳出攻擊行動，其中一起很可能是中國駭客鎖定西藏使用者而來。</p> <p>駭客組織攻擊社會福利組織的情況，也值得留意。英國近期傳出有食物銀行因為遭到網路釣魚攻擊，銀行帳戶的金錢險些遭到洗劫。使得資安業者特別提出警告，呼籲要留意這種假借疫情的網路釣魚手法。</p> <p>大量MySQL伺服器曝露於網際網路的現象相當值得關注。有研究人員發現全球至少有360萬臺伺服器直接連接網際網路，並能透過預設連接埠存取。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/1 18:36作者周峻佑https://www.ithome.com.tw/news/151257
壽險公會保險存摺正式上線，讓保戶可一站查詢所有人身投保資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在保險科技運用共享平臺的基礎下，壽險公會今天（6/1）正式推出保險存摺，保戶只要完成註冊，登入保險存摺就能一站式瀏覽所有人身投保資料，申請投保紀錄，擺脫紙本保單保存不易的問題。此外，今年11月還可透過保險存摺進行線上理賠申請。</p> <p>金管會推動保險科技，2019年推動壽險公會建置保險科技運用共享平臺，以共享平臺為基礎，以發展各種保險科技運用，例如2020年推動的保全／理賠聯盟鏈一站式服務，同一年12月再推電子保單認證與存證機制，由壽險公會擔任第三方認證機構，運用區塊鏈、數位簽章、時戳等技術，建置電子保單認證與存證平臺，當日後發生爭議，民眾可向第三方機構取得電子保單資料。</p> <p>此次壽險公會與產險公會，聯合22家壽險與14家產險，以及中華電信、台灣網路認證公司，在保險科技運用共享平臺上推出保險存摺服務，強調民眾可以隨時隨地的一站式查詢保險資料。</p> <p>民眾可到壽險公會官網的保險存摺專區，免費註冊會員，並選擇以三種方式完成身分驗證：自然人憑證、強化版MID行動身分識別、金融卡，如果民眾是以手機進入保險存摺專區，則可使用強化版行動身分識別進行線上身分驗證。需注意的是，使用行動身分識別，需使用民眾本人申請的手機門號，一個身分證字號只能註冊一個保險存摺帳號。</p> <p>保戶只要完成註冊，登入保險存摺之後，便可總覽以本人為要保人或被保險人的所有人身保險投保狀況，包括各家壽險公司上傳，或提供人身保險相關產品的產險公司上傳的投保資料。</p> <p><strong>登入保險存摺後，可以總覽個人所有投保資料，包括以本人為要保人與被保人的投保情形，包括保單總數、有效及兩年內失效的保單，不同險種的比例，點選下方的商品名稱，可進一步進入不同產品的主附約頁面：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_50_43.jpg" style="width: 600px; height: 308px;" /></p> <p><strong>我的保單中的詳細保單資料：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_56_14.jpg" style="width: 600px; height: 326px;" /></p> <p><strong>如該筆保單已完成電子保單認證與存證，點選標籤可進一步查看詳細的存證資訊：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_59_09.jpg" style="width: 600px; height: 313px;" /></p> <p>民眾還可選擇每年100元年費升級為白金會員，在1年內不限次數查看所有保單資訊（包含保險公司名稱、險種分類、保單險種、商品名稱、保單號碼、契約生效日期、保額以及保單是否有效、要/被保險人資料），並且可下載投保紀錄PDF檔，還有即將在11月推出的保險理賠線上申請，查詢保險理賠聯盟鏈／保險理賠醫起通案件進度等等。目前保險存摺為Web版，壽險公會將在11月推出App，搭配保險業身分驗證中心串接，讓白金會員可以Face ID或指紋辨識登入。</p> <p>一般會員若不想成為白金會員，但想要下載電子保單PDF檔，也可選擇每次付費350元下載檔案。</p> <p>在金管會推動金融科技的政策藍圖中，保險科技主要推動純網保公司，以及保險存摺服務，除了壽險公會扮演電子保單驗證與存證的第三方機構，整合各業者保戶的壽險投保資料推出保險存摺，財產保險則交由財團法人保險事業發展中心（保發中心）推出保險存摺服務，可一站式總覽各種產險投保情形。</p> </div></div></div>
2022/6/1 18:56作者蘇文彬https://www.ithome.com.tw/news/151256
研究發現有360萬臺MySQL伺服器曝露於公開網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/" target="_blank">非營利的安全組織Shadowserver Foundation近日送出連結請求</a>，以掃描網路上基於3306/TCP傳輸埠的MySQL伺服器，發現有360萬臺MySQL伺服器以伺服器問候語（Server Greeting）回應，代表它們曝露於潛在的攻擊風險中。</p> <p>MySQL為一開源的關聯性資料庫管理系統，雖然經常連結遠端的網路服務或應用，但通常僅限特定裝置的連結，就算有時會曝露於公開網路上，也應變更其預設的3306傳輸埠，同時密切監控所有的查詢並執行加密。</p> <p>然而，當Shadowserver送出MySQL連結查詢時，卻有230萬臺採用IPv4位址，以及130萬臺基於IPv6位址的MySQL伺服器回傳了伺服器問候語，包含了加密（TLS）與未加密的回應。</p> <p>這些曝露於公開網路上並允許存取的IPv4 MySQL伺服器中，有74萬臺位於美國，近30萬臺位於中國，21萬臺位於波蘭，以及17.5萬臺位於德國（如下圖所示）。公開的IPv6 MySQL則有46萬臺位於美國、近30萬臺位於荷蘭、22萬臺位於新加坡，以及德國的17萬臺。</p> <p class="rtecenter"><a href="https://www.shadowserver.org/wp-content/uploads/2022/05/2022-05-26-mysql-accessible-worldmap-IPv4.png" target="_blank"><img alt="" src="https://www.shadowserver.org/wp-content/uploads/2022/05/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 600px;" /></a></p> <p><a href="http://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Shadowserver</span></span></a></p> <p>Shadowserver並未執行任何侵入性的檢查，因此並不了解這些資料庫可被存取的程度，只是提醒MySQL伺服器所有人應更加謹慎。</p> </div></div></div>
2022/6/1 16:27作者陳曉莉https://www.ithome.com.tw/news/151245
中國可能計畫2025年以前打造10座Exascale超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的Frontier成為全球最快、以及第1座效能真正達到Exascale的系統，暫時在超級電腦競賽上領先。不過美國大概不能掉以輕心。因為<a href="https://www.ft.com/content/9ec4c04c-d71d-4d54-87fe-eef4ff92ddc9" target="_blank">英國《金融時報》報導</a>，中國可能計畫在2025年打造10座Exascale等級的超級電腦。</p> <p>美中相繼推進在超級電腦的競爭，目前的目標是發展運算效能超越每秒1 Exaflops，即Exascale等級系統。<a href="https://www.ithome.com.tw/news/151216" target="_blank">周一公布的2022年上半世界五百大超級電腦名單</a>中，美國橡樹嶺國家實驗室領先運算機構（OLCF）採用HPE Cray架構、搭載AMD EPYC處理器的超級電腦Frontier，以每秒1.102 Exaflops的運算效能擠下日本理化學研究所（RIKEN）的Fugaku，成為第一座展現出Exascale能力的超級電腦，也讓美國再度奪回超級電腦龍頭。</p> <p>Frontier目前還在開發中，預計今年底進行測試，2023年初才會開放學界及產業研究人員使用。</p> <p>但《金融時報》引述一份由亞洲科技資訊計畫（Asian Technology Information Program）主任David Kahaner的研究報告，顯示中國不但已經有Exascale超級電腦，中國還計畫2025年之前研發10座此類超級運算系統。</p> <p><a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">去年The Next Platform首先報導</a>，中國已經有2臺Exascale超級電腦，但<a href="https://www.datacenterdynamics.com/en/news/china-may-be-planning-10-exascale-supercomputers-by-2025/" target="_blank">Kahaner提供進一步資訊</a>。它們分別是超級電腦神威太湖之光及天河2號的新一代。前者神威海洋之光（Sunway OceanLight）運算峰值1.3 exaflops，持續運算效能1.05 exaflops，天河三號（Tianhe-3）運算峰值1.7 exaflops，持續運算效能1.3 exaflops。</p> <p>美國除了Frontier外，還有2座Exascale超級電腦正在開發中。一座為<a href="https://en.wikipedia.org/wiki/Aurora_(supercomputer)" target="_blank">阿貢國家實驗室的Aurora</a>，運算速度最高達每秒2 exaflops，採用HPE Cray系統及Intel Xeon處理器與GPU，預計2022年問世。另一是<a href="https://www.amd.com/zh-hant/press-releases/2020-03-04-next-generation-amd-epyc-cpus-and-radeon-instinct-gpus-enable-el-capitan" target="_blank">採用HPE Cray系統配合AMD 處理器的El Capitan</a>，安裝於勞倫斯利佛摩國家實驗室，運算峰值同為每秒2 exaflops，預計2023年正式上線。</p> </div></div></div>
2022/6/1 15:57作者林妍溱https://www.ithome.com.tw/news/151244
美國最高法院封鎖德州社交法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院在本周批准了來自科技產業的緊急請求，阻止德州實施於去年通過的Bill 20法案，此一法案將限制社交網站審核內容的能力。</p> <p>Bill 20法案主要用來避免德州居民受到社交媒體過度的言論審查，倘若居民認為自己的權益被侵犯，還可控告社交媒體，德州州長Greg Abbott在去年9月簽署了該法案，原本預計於去年12月2日上線。</p> <p>但代表眾多科技業者的網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）很快就提出了告訴，宣稱Bill 20違反《美國憲法第一修正案》，地方法院在去年11月支持NetChoice與CCIA的說法，上訴法院在今年5月則決定放行Bill 20，使得NetChoice及CCIA向最高法院聲請了緊急動議（Emergency Stay），以推翻上訴法院的決定，結果最高法院在周二（5/31）以5比4的票數阻止了該法案。</p> <p>最高法院的9名法官並沒有為自己的投票作太多的說明，但其癥結點在於社交媒體應否受到《美國憲法第一修正案》的保護，擁有編輯自由裁量權。</p> <p>在遭到最高法院駁回之後，此案將發還下級法院重新審理。</p> <p>佛州在去年5月所通過的Senate Bill 7072法案不僅內容與Bill 20相近，同樣也受到NetChoice及CCIA的控訴，但不管是地方法院或上訴法院都認為社交媒體應受到《美國憲法第一修正案》的保護，<a href="https://www.ithome.com.tw/news/151096" target="_blank">已阻止了Senate Bill 7072的實施</a>。</p> </div></div></div>
2022/6/1 14:41作者陳曉莉https://www.ithome.com.tw/news/151243
微軟說明在AWS、Google Cloud上執行Windows、Office會比較貴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日調整合約以便在第三方雲端上執行Windows、Office等產品的價格可以便宜一點，但是僅限Amazon Web Service（AWS）和Google Cloud以外的業者。</p> <p><a href="https://www.techtarget.com/searchenterprisedesktop/news/252520735/Microsoft-wont-lower-software-costs-on-AWS-Google-clouds" target="_blank">Techtarget報導</a>，因應歐盟對Azure的反壟斷調查，微軟上周表示將放鬆對第三方雲端業者的合約，以便這些雲端業者提供的微軟產品如Windows、Office、Windows Server和SQL Server，不會比在Azure貴到令企業客戶卻步。</p> <p><a href="https://www.ithome.com.tw/news/150265" target="_blank">路透社4月報導</a>，3月中歐洲雲端服務業者包括德國的NextCloud、法國的OVH，及另二家雲端業者向歐盟執委會控告微軟Azure雲端業務排擠競爭者，其中手段之一是迫使其同意以較高價格販售微軟產品。這也讓歐盟啟動調查，調查重點包括微軟和雲端服務供應商的授權合約，能否允許對手有效競爭、以及微軟對雲端服務業者的商業合約條件，和Azure自己經銷微軟雲端服務的條件及授權費用是否有差別待遇。</p> <p>微軟上周表示願意放鬆某些和雲端業者的合約條款，以免於歐盟制裁。但是本周稍早微軟對媒體澄清，政策調整並不適用於微軟最大競爭對手，因為新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」。</p> <p>報導指出，微軟並未說明調整細節，也不願透露調整後的政策何時生效。</p> <p>不過要微軟調降雲端產品價格恐怕不容易。根據微軟最近一季財報，Azure與其它雲端服務營收比去年同期成長了46%，是所有業務中成長最快的。</p> <p>另一方面微軟也想擴大Azure的市占率。透過壓低自家雲端平臺上必要產品的價格，將可強化Azure在企業市場的競爭力。<a href="https://www.canalys.com/newsroom/global-cloud-services-Q1-2022" target="_blank">根據市場研究機構Canalys Group的數據</a>，第1季AWS 市占33%，遠高於Azure的21%，Google Cloud則為8%。</p> </div></div></div>
2022/6/1 13:57作者林妍溱https://www.ithome.com.tw/news/151242
說服共同客戶改安裝自家軟體，IBM判賠16億美元予BMC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專替IBM等主機系統打造商用軟體的BMC Software，在2017年控告IBM不遵守彼此的約定，說服共同客戶AT&T從BMC軟體改用IBM軟體，<a href="https://storage.courtlistener.com/recap/gov.uscourts.txsd.1444305/gov.uscourts.txsd.1444305.757.0_1.pdf" target="_blank">美國地方法院法官Gray Miller在本周裁決BMC勝訴</a>，要求IBM必須賠償16億美元。而IBM則對外透露將提出上訴。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.txsd.1444305/gov.uscourts.txsd.1444305.1.0.pdf" target="_blank">根據BMC Software當初的訴狀</a>，AT&T在這幾十年來都使用IBM的大型主機，以及BMC替主機所開發的軟體，但AT&T於2007年將大型主機的經營外包給IBM，意謂著IBM必須取得存取BMC軟體的授權，為了避免IBM因此而了解BMC軟體於主機上的執行機密並提升其競爭優勢，IBM與BMC簽署了一紙合約，同意不用自己的產品來替換BMC的軟體。</p> <p>然而，BMC在2017年發現IBM建議AT&T改用IBM軟體，包括提供低於市價的支援服務，而且承諾將承擔從BMC轉換成IBM軟體所產生的成本，促使BMC提出訴訟，控告IBM違反雙方合約、詐欺與誘導、盜用商業機密，以及採用不正當的競爭手法。</p> <p>法官Miller採納了BMC的說法，因此要求IBM要賠償16億美元以彌補BMC的損失。不過，IBM認為這是缺乏事實根據的判決，強調是AT&T是因自己的理由才改用IBM軟體的，已經決定要提出上訴。</p> </div></div></div>
2022/6/1 12:39作者陳曉莉https://www.ithome.com.tw/news/151241
中國駭客已著手開採微軟Follina零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周一（5/30）公布了一個位於Microsoft Support Diagnostic Tool （MSDT）的Windows漏洞CVE-2022-30190，接著相繼有研究人員揭露此一被命名為Follina的漏洞已遭中國駭客開採。</p> <p>MSDT為Windows中的微軟支援診斷工具，它的預設值是開啟的，可蒐集裝置上的診斷資料並傳送給技術支援工程師以解決問題，也可用來提醒使用者下載其它工具。</p> <p>根據微軟的解釋，當例如Word等應用程式透過URL協定呼叫MSDT時，就會出現遠端程式攻擊漏洞，成功開採該漏洞的駭客即可基於Word權限來執行任意程式碼，包括安裝程式，檢視、變更或刪除資料，還能建立新帳號。</p> <p>代號為CrazymanArmy的研究人員早在今年4月21日便發現了此一漏洞並通報微軟，當時微軟雖發現MSDT執行了，但無法重製CrazymanArmy所提交的樣本，最後宣稱它並非安全問題，<a href="https://twitter.com/CrazymanArmy/status/1531184830171742209/photo/1" target="_blank">而直接將問題關閉</a>。</p> <p>當微軟於本周正式賦予該漏洞CVE-2022-30190編號時，<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190" target="_blank">已明白表示該漏洞已遭到開採</a>，接著即有資安業者揭露來自中國駭客的攻擊行動，<a href="https://twitter.com/threatinsight/status/1531688214993555457" target="_blank">一是Proofpoint指出</a>中國駭客集團TA413利用惡意的URL遞送了一個含有Word文件的Zip檔，該文件偽裝成來自藏人行政中央組織的婦女賦權臺（Women Empowerments Desk），謊稱要替藏人婦女爭取權益。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FUGmUF5WUAQVtFf?format=jpg&name=medium" style="width: 600px;" /></p> <p><a href="http://twitter.com/threatinsight/status/1531688214993555457" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Proofpoint</span></span></a></p> <p>其次則是<a href="https://twitter.com/malwrhunterteam/status/1531640128048975872" target="_blank">MalwareHunterTeam發現了一個開採CVE-2022-30190漏洞的Word檔案</a>，名稱為「手发机房接单-渠道报价单-全网最低价.docx」，透過惡意的URL於受害者系統上安裝專門竊取密碼的木馬程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0601-CVE-2022-30190%E9%96%8B%E6%8E%A1-by%20MalwareHunterTeam.png" style="width: 546px;" /></p> <p><a href="http://twitter.com/malwrhunterteam/status/1531640128048975872" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／</span></span>MalwareHunterTeam</a></p> <p>雖然微軟只公布了Follina漏洞的編號，尚未進行修補，但微軟提供了暫時性補救措施，建議使用者暫時關閉MSDT的URL協定，以避免Windows的疑難排解員以URL連結啟動。</p> <p>值得一提的是，通報Follina漏洞的CrazymanArmy來自GcowSec團隊的Shadow Chaser Group小組，此一小組是由仍在學的學生所組成，專門查找與分析持續式進階威脅（APT），CrazymanArmy則是該小組的負責人，至於GcowSec則為中國的資安研究團隊。</p> </div></div></div>
2022/6/1 11:33作者陳曉莉https://www.ithome.com.tw/news/151238
Martech雙周報第23期：短影音熱潮不減，Google將推出Shorts廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>短影音</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Youtube Shorts</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>搜尋廣告</b></span></font></p> <p><strong>Google Ads搶進短影音廣告，Youtube Shorts將開放廣告功能</strong></p> <p>Google Ads近日大幅更新前後臺功能，最大亮點是，搶攻短影音熱潮的Youtube產品Shorts，終於要推出廣告了。儘管Shorts每天累計300億觀看次數，但播放時間過短，Google一直未能找到滿意的商業模式。Google將嘗試將現有影音廣告自動縮減至適合Shorts的時間長度，插入Shorts影片中播放。Google表示，這些廣告暫時不會支援按廣告表現計算的創作者分潤方案，而是繼續透過先前撥出的1億美元Youtube Shorts基金，依據Shorts表現來獎勵創作者。</p> <p>此外，Google表示，Shorts今年稍晚將支援購物廣告功能，能直接瀏覽並購賣產品。這是Tiktok實施已久的重要收入來源之一。</p> <p>除了Youtube影音廣告，Google也宣布未來行動裝置內容探索功能Google Discover上將支援影音廣告。Google Discover是自動蒐集使用者喜好，不須搜尋就會提供內容的一個探索頁面，且已經會呈現影音內容，因此影音廣告能輕易融入其他非廣告內容。</p> <p>搜尋廣告也將迎來多項更新。其中，服飾廣告樣板可以提供更多詳細資訊及圖片，且可左右滑動瀏覽更多產品。廣告產品展示圖也將支援3D模型，可以拖曳廣告中的圖片檢視產品不同角度，也可直接從廣告連結到商家結帳頁面。另外，Google也宣布，未來Ads將串接回饋點數等商家會員忠誠度機制，不過尚未提供更多細節。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Performance Max</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Google Ads</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>CTV</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OMO</b></span></font></p> <p><strong>力推跨接觸點成效轉換，Google Performance Max及Google Ads推出多項功能</strong></p> <p>今年的Google Marketing Live中，Google繼續主打Google Performance Max（PMax）廣告，推出不少新功能。PMax是一種廣告類型，可以一次投放廣告到所有Google的接觸點，包括Youtube、搜尋頁面、Discover、Gmail，甚至是Maps。PMax會根據行銷人員設定的目標，例如銷售情形、觸及潛在客戶情形等，利用Google內部數據及分析技術，自動執行系統判斷的最適廣告投放策略。這次更新，新增了不少使用情境及多種成效分析報告，反映出Google力推此服務的企圖。</p> <p>PMax原本設計以帶動線上行銷成效為主，因此商家可以設定的執行目標也都是點擊率、觸及率等指標。這次更新，也新增了更多線下目標選項，例如帶動線下商店造訪人數或增加線下商店業績等，來吸引更多不諳數位行銷的實體店家，或者以實體銷售為主的線下店家。相對於一般沒有明確結束時間的PMax廣告，PMax也推出了「Burst」功能，針對節日等特別時段設置短期線下目標。另一項針對線下商務的更新是，2022後半年將推出飯店廣告功能。</p> <p>嘗試吸引線下商家使用PMax的同時，Google也沒忘記增加線上使用情境，現在商家也可以用Google Ads App跟Search Ads 360工具，管理PMax的行銷專案。</p> <p>除了增加使用情境，PMax也追加了一系列分析功能，呈現自動優化投放策略的成效。首先是優化分數功能，提供商家可以更好使用PMax功能的建議，例如新增輔助目標、更新商品資料、提高行銷預算等。另一項是行銷洞察報告頁，有市場趨勢和商家廣告成效對比、紀錄商家操作等資訊。然而，由於PMax廣告是全自動化黑箱執行，洞察報告只是單純告知商家影響廣告成效的潛在因素，沒有更多可操作選項。</p> <p>還推出了一項測試PMax廣告成效的實驗工具，可以比較「現有方案」與「現有方案加上PMax方案」的成效，而非「直接轉移到PMax的方案」，不過，Google沒有詳細說明實驗方法，供商家近一步評估比較結果。</p> <p>其他Google Ads更新包括了洞察報告、新版轉換追蹤報告、建立新專案能重複使用過去專案的分眾設定，也開放讓商家上傳廣告素材的內容資料庫，並自動從素材庫中生成影音廣告的功能等。Google也預告，數個月後，Google Ads的分眾行銷功能將擴展到Youtube CTV及其他幾家CTV平臺廣告。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Tiktok</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>直播</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>創作者分潤</b></span></font></p> <p><strong>Tiktok推出直播訂閱功能，創作者收益管道又多一項</strong></p> <p>Tiktok延續近期拓展商業模式的勢頭，又推出一種創作者收益管道，效仿Twitch和Youtube等直播平臺的模式，開放付費訂閱的直播頻道，也提供了徽章、專用表情符號以及限定聊天室等訂閱者限定的機制。</p> <p>除了推出專屬Brands等自家特有的短影音商業模式以外，最近Tiktok也開始模仿其他社群平臺上的行銷手法。除了直播訂閱模式外，前陣子也跨足第三方Cookie追蹤，強化跨網站使用者行為追蹤和行銷規因分析，以吸引廣告商青睞。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Tiktok</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Woocommerce</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>跨平臺行銷</b></span></font></p> <p><strong>Tiktok結盟電商及社群媒體管理解決方案，開放外部工具管理Tiktok行銷專案 </strong></p> <p>Tiktok宣布與Wordpress電商解決方案Woocommerce合作，推出Tiktok擴充功能，讓商家可以用Woocommerce工具，一站式連結商品目錄，套用Tiktok pixel精準行銷技術，再製作並投放廣告到Tiktok。除了可以從商品目錄中自動生成影片廣告，還可以用類似於原生廣告的Spark Ads，以及導流潛在顧客的Lead Generation Ads等。</p> <p>除了電商平臺以外，Tiktok也跟Later、Brandwatch等8個第三方社群媒體管理平臺串接。串接後，行銷人員除了單獨管理Tiktok行銷專案，還可以通過外部平臺，統一管理Tiktok和其他社群媒體的行銷專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tt2.png" style="width: 600px;" /></p> <p>Tiktok說明，行銷人員可以使用這些外部平臺投放、管理及追蹤投放於Tiktok行銷內容和受眾反應，並跟其他社群媒體上的行銷活動一起比較、分析。開放Tiktok行銷專案和其他社群媒體的行銷專案一同在外部平臺管理，也意味著，Tiktok試圖，成為其他主流社群媒體的比較對象，來爭取更多行銷人員的重視。 </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Whatsapp</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Digilocker</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Meta</b></span></font></p> <p><strong>印度政府數位證件服務開始支援Whatsapp</strong></p> <p>印度政府近日宣布與Whatsapp合作，串接政府的數位證件存取服務Digilocker。使用者將可以透過Whatsapp，直接在App中帶出駕照、保險文件、學歷證明等官方文件資料。</p> <p>過去，Meta也曾嘗試擴展自家通訊軟體的使用情境，例如Messenger機器人、Messenger遊戲及Facebook Pay等，但是Messenger對大部分人來說，還是傳訊息時才會打開的軟體，並沒有讓自家通訊軟體如微信在中國或Line在臺灣一樣，以熱門通訊軟體之姿，透過推出行動支付等功能，讓該軟體跟使用者生活情境更密切。不過這次，印度已經有近5億Whatsapp使用者，Whatsapp在有主導地位的市場中，又跟政府一起推出新使用情境，可能更有機會打進使用者通訊以外的日常生活中。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Instagram</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>短影音</b></span></font></p> <p><strong>研究人員發現Instagram正在測試Reels影音反應功能</strong></p> <p>國外著名應用程式研究者Alessandro Paluzzi逆向工程發現，Instagram正在測試Reels影音反應功能。他貼出的圖片顯示，Reels分享頁面多了一個「點擊製作影音反應」按鈕，推測是類似於Tiktok的反應影片功能，可讓使用者錄製感想或反應，並將此反應影片與原先的Reels合成後，分享到自己社群媒體。</p> <p>影音反應是國外相當流行的一種影音創作形式，如Tiktok提供了反應影片錄製，讓創作者能更簡單的製作熱門迷因或「挑戰」類題材，進而使許多題材病毒式擴散，引起社群迴響。</p> <p>根據Meta在Q1法說會資料，Instagram使用者看Reels的時間，已經占他們在App上超過五分之一的時間。Meta為了分食短影音大餅，推出自家短影音功能Reels後，更陸續開發了一些仿Tiktok功能，例如以Tiktok Duet為參考，推出「模擬同臺演出」的Reels Remix。這次逆向工程更發現，短影音功能是IG近來發展策略的焦點之一，可能是短影音系列中即將推出的又一服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多Martech動態</span></strong></span></strong><br /> 1. <a href="https://twitter.com/googlesearchc/status/1529488907502505984?s=20&t=lGfGFwlJJ5H2rUHZctYrgA">Google公布搜尋結果的演算法調整</a><br /> 2. <a href="https://www.cnbc.com/2022/05/26/google-hit-by-second-uk-antitrust-probe-into-online-ad-dominance.html">英國開啟對Google廣告業務展開第二次的反壟斷偵查</a></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/6/1 12:00作者郭又華https://www.ithome.com.tw/news/151239
微軟新增身分及存取管理產品線Microsoft Entra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/05/31/secure-access-for-a-connected-worldmeet-microsoft-entra/" target="_blank">微軟昨（5/31）日宣布</a>擴充身分及存取管理產品，新的產品線定名為Microsoft Entra。</p> <p>這是微軟繼4月宣布資料治理服務產品線<a href="https://www.ithome.com.tw/news/150514" target="_blank">Microsoft Purview</a>後，最新增加的產品線。</p> <p>Entra產品線包含三大部份，一是既有的Azure Active Directory（Azure AD），並新增2產品類別。包括雲端基礎架構權限管理（Cloud Infrastructure Entitlement Management，CIEM）及去中心化身分管理。這些產品將分別提供身分和存取管理、雲端基礎架構的權限管理、以及身分驗證。</p> <p>微軟指出，Entra統轄混合雲及多雲環境，可驗證存取任何App或資源的所有人的身分，也將管理環境中的權限許可，以及簡化對用戶的即時存取驗證。</p> <p>新的產品線將有助於微軟打造零信任安全（zero-trust）的企業安全架構。其中Azure AD提供條件式存取（Conditional Access）及無密碼驗證，Azure AD External Identities則提供客戶和合作夥伴存取公司網路的身分管理。CIEM則來自去年收購的基礎架構權限管理供應商<a href="https://ithome.com.tw/news/145828" target="_blank">CloudKnox Security</a>。它的權限管理可偵測Azure、Amazon Web Services及Google Cloud Platform上沒有使用或過度的許可權。</p> <p>Entra 許可權管理（Permissions Management）將在今年7月正式推出，可以獨立使用，也可整合到Microsoft Defender for Cloud儀表板，連結Defender for Cloud產品。微軟今天也以預覽版推出Azure AD工作負載識別管理（workload identity management）服務，可根據位置和風險層級，將條件式存取原則指派到應用程式、服務、指令碼或容器，並偵測被入侵的應用程式和服務身分。</p> <p class="rtecenter"><a href="https://img-prod-cms-rt-microsoft-com.akamaized.net/cms/api/am/imageFileData/RE4Y64N?ver=3e84&q=0&m=6&h=540&w=960&b=%23FFFFFFFF&u=t&l=f&f=jpg&o=t&aim=true" target="_blank"><img alt="" src="https://img-prod-cms-rt-microsoft-com.akamaized.net/cms/api/am/imageFileData/RE4Y64N?ver=3e84&q=0&m=6&h=540&w=960&b=%23FFFFFFFF&u=t&l=f&f=jpg&o=t&aim=true" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>在去中心身分類別下，微軟宣布Entra Verified ID，這可為用戶提供可攜式的線上身分，而無需為了使用各種服務而同意許多App和服務獲取其身分，造成身分資料散布在眾多供應商手上。這項服務預計今年8月初正式推出。</p> <p class="rtecenter"><img alt="" src="https://img-prod-cms-rt-microsoft-com.akamaized.net/cms/api/am/imageFileData/RE4S9hS?ver=59c7&q=0&m=6&h=630&w=1640&b=%23FFFFFFFF&u=t&l=f&f=jpg&o=t&x=1639&y=518&aim=true" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>最後，身分治理服務（Identity Governance）提供員工（或使用者）從就職到離職身分的生命周期管理，可減少離職員工再存取公司資料的風險。身分治理服務的生命周期工作流程將在7月提供公開預覽。</p> </div></div></div>
2022/6/1 12:03作者林妍溱https://www.ithome.com.tw/news/151240
街口電子支付新董座人選敲定，前將來銀行資深副總梅驊接任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>街口電子支付董事長人選定案，本周街口電子支付董事會通過決議，由新任董事，也是前將來銀行資深副總經理梅驊擔任。</p> <p>梅驊本身具有豐富的金融、科技及行銷的背景，曾是露天拍賣行銷處負責人、在eBay擔任市場行銷管理，也曾在永豐銀行金融處擔任處長，2019年加入國內三家純網銀之一的將來銀行，在籌備期間預定擔任將來銀行總經理，負責所有對外業務，後來擔任將來銀行資深執行副總經理。</p> <p>在接任街口電子支付董座後，梅驊表示，將繼續推動臺灣金融科技發展，在創新與法規之間找到最佳平衡，促進普惠金融商品的創新，並憑藉過去金融、科技的背景，培養金融科技人才。</p> <p>除了董事長人選之外，街口電子支付董事會也通過4位新董事，包括該公司產品長范庭甄、樂端國際執行長陳志睿，還有過去推動金融科技及區塊鏈的前立委許毓仁，以及專精於金融科技、區塊鏈相關法規的律師劉立恩。</p> <p>街口電子支付創辦人暨前董事長胡亦嘉先前涉及背信官司，並因資金運用遭金管會認定有缺失，要求停止董事職務，並為此槓上金管會，使得街口和主管機關間的關係變得緊張，如今董事會決議新董座人選，梅驊也宣示上任後，將在法規與創新間尋找平衡點，可望為此解套。</p> <p>根據金管會統計，截至今年3月止，國內共有11家專營電子支付機構、20家兼營電子支付機構，電子支付帳戶總使用人數約1,674萬人。電子支付與電票合一後，原生電子支付業者一方面需應付來自原電票業者的競爭，也需面對新成立的電子支付業者，包括來自全家、全聯等通路的全盈支付、全支付競爭。</p> </div></div></div>
2022/6/1 11:15作者蘇文彬https://www.ithome.com.tw/news/151237
微軟本月15日將正式停止支援IE11
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入6月，企業用戶請注意，微軟將在本月15日起正式終止支援IE11。</p> <p><a href="https://www.ithome.com.tw/news/139451" target="_blank">微軟在2020年8月公告</a>IE11的生命周期終點，多次提醒將在2022年6月15日起不再支援IE 11，呼籲用戶儘速轉換到Chromium-based Microsoft Edge。微軟也陸續終止旗下服務支援這個舊式瀏覽器。2021年3月Chrome瀏覽器已不支援舊IE App，8月17日開始，Microsoft 365應用程式無法使用。</p> <p>今年3月，<a href="https://www.ithome.com.tw/news/150013" target="_blank">微軟再次提醒</a>，Windows平臺上未來將以Edge為主，在大部分版本Windows 10上，使用舊引擎的IE11桌機版本將在6月15日除役。微軟不再支援的是Windows 10半年更新通道（semi-annual channel），但Windows 10 LTSC以及Server上的IE11桌機應用程式仍然可以使用。</p> <p>對多數用戶而言，兩個星期後，微軟不再支援IE11、不提供更新，用戶試圖使用時會被導向Edge。</p> <p>微軟呼籲企業儘速規畫轉移方案以解決和Edge不相容的問題。微軟也提供App Assure支援服務。不過在一些基於IE11開發的企業App或網站，用戶仍可利用Microsoft Edge提供IE Mode開啟或執行。</p> <p>根據市場調查機構<a href="https://gs.statcounter.com/browser-market-share/desktop/worldwide" target="_blank">Globalstats的數據</a>，截至今年5月份，桌機瀏覽器仍有1.68%的機器使用IE11。相較之下，Chrome-based Edge使用比例為10.11%。</p> </div></div></div>
2022/6/1 10:16作者林妍溱https://www.ithome.com.tw/news/151234
中國官宣力量大，影響Google與微軟的人權及COVID-19搜尋結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.brookings.edu/research/winning-the-web-how-beijing-exploits-search-results-to-shape-views-of-xinjiang-and-covid-19/" target="_blank">美國知名智庫Brookings Institution與美國國家安全倡導組織Alliance for Securing Democracy（ADS）近日公布一研究報告</a>，指出中國政府為了實現中國主席習近平於2013年提出的「講好中國故事」口號，動用了大量的官方媒體並付費給網紅，而讓中國的官方言論經常躍上Google、Bing與YouTube的搜尋結果。</p> <p>此次的調查對象包括Google搜尋、Google News、Bing搜尋、Bing News，以及YouTube，其中，Google搜尋、Google News與YouTube皆遭中國政府封鎖，因此其調查目的在於了解中國政府如何運用其全球的媒體影響力，以遞送官方訊息至全球各地。</p> <p>調查顯示，為了實現習近平的「講好中國故事」，中國在過去10年大力投資其全球媒體、網站、新聞機構及廣播網路，例如國營的中央電視臺《CCTV》除了負責中國境內的新聞播報外，還成立了CGTN國際分部，以英文、西班牙文、阿拉伯文等7種語言製作新聞；其國家通訊社《新華社》與全球的媒體簽署了內容代管協議；官方的《中國日報》與《環球時報》都有英文版；中國國際廣播電臺（CRI）則透過全球的電臺提供44種語言的內容，有些電臺選擇掩蓋它們與中國政府的關係。</p> <p>除了官媒外，推動「講好中國故事」的還有收費的網紅、作風強硬的中國外交官，以及親中國政府的言論煽動者。</p> <p>Brookings與ADS在120天時間內在Google搜尋、Google News、Bing搜尋、Bing News，以及YouTube上，以12個與新疆及COVID-19有關的詞彙進行搜尋，發現不管是在Google或是Bing搜尋上，88%搜尋結果中，都至少會有一個中國官方媒體出現在前十名的搜尋結果中。在YouTube上中國官媒則有98%會出現在前十筆的搜尋結果。</p> <p>Google News與Bing News替中國官媒的散布能力則更強，相關主題的搜尋在這些新聞服務所出現的可見搜尋結果約有22%來自中國官媒。</p> <p>Brookings表示，他們所計算的僅限於中國檯面上的官方媒體，並未納入內容代管或所安排的網紅，例如至少有19個媒體表面上與中國政府無關，卻定期逐字轉載中國官媒內容，代表中國官媒的影響力可能超越此一調查。</p> <p>此外，在俄烏戰爭開打之後，許多西方國家都封鎖了俄羅斯的官方媒體，但Brookings卻發現與俄羅斯友好的中國政府，也利用其官方媒體替俄羅斯發聲，企圖替俄羅斯總統普丁（Vladimir Putin）合法化其入侵行為。</p> </div></div></div>
2022/6/1 00:20作者陳曉莉https://www.ithome.com.tw/news/151233
【資安日報】2022年5月31日，駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本日的資安新聞中，我們認為研究人員發現的Office零時差漏洞最值得注意，但這項漏洞與過往大部分的漏洞不同，使用者無法透過關閉巨集的功能來防範相關攻擊行動，因為，駭客可透過Windows檔案總管支援內容預覽的檔案格式，就能利用這項漏洞。</p> <p>微軟發布的功能更新預覽版程式，有可能造成防毒軟體部分功能無法作用！趨勢科技最近發布資安通告，指出KB5014019更新套件會影響旗下的端點防護軟體運作，呼籲用戶暫時先移除該更新軟體。</p> <p>而國際資安競賽的部分，近期臺灣團隊也有所成果。臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>在DEF CON CTF（駭客搶旗攻防賽）的預賽取得好成績，並將於8月前往賭城與15個隊伍較勁。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/"><span style="color: rgb(0, 0, 0);">研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發</span></a></strong></h3> <p>去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。</p> <p>資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。</p> <p>Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291066"><span style="color: rgb(0, 0, 0);">Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png" style="width: 300px; float: right;" /></a>微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。</p> <p>受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://palant.info/2022/05/23/hijacking-webcams-with-screencastify/"><span style="color: rgb(0, 0, 0);">逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私</span></a></strong></h3> <p id="Zyxel">隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。</p> <p>研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151209"><span style="color: rgb(0, 0, 0);">臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁</span></a></strong></h3> <p id="Zyxel">隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。</p> <h3><strong style="font-size: 22px;"><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock"><span style="color: rgb(0, 0, 0);">博通宣布將以610億美元買下VMware</span></a></strong></h3> <p id="Zyxel">美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。</p> <p>根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/31 19:12作者周峻佑https://www.ithome.com.tw/news/151224
中國Gitee著手審核開發者所上傳的開源程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有中國GitHub之稱、由中國官方扶植的開源程式碼代管與協作開發平臺Gitee於5月18日開始審核開發者所上傳的公開儲存庫，且在通過審核之前，所有公開儲存庫都暫時被轉為私有儲存庫而不見天日。</p> <p>Gitee的中文名稱為碼雲，是開源中國（奧思網絡科技）於2013年推出的Git程式碼代管與協作開發平臺，<a href="https://www.ithome.com.tw/news/139570" target="_blank">並在2020年雀屏中選成為中國政府所贊助的開源代管平臺專案</a>，由Gitee擔任中國獨立的開源代管平臺，以避免中國的開源碼資源流向境外平臺，目前該平臺吸引了逾800萬名開發者，建置超過2,000萬個程式碼儲存庫。</p> <p>目前Gitee最初針對此事所發表的網頁已不復見，<a href="https://web.archive.org/web/20220524190532/https://www.zhihu.com/question/533388365/answer/2491172345" target="_blank">但依然可從Internet Archive（網際網路檔案館）取得</a>，根據該聲明，自5月18日起，所有新上傳的開源儲存庫都必須經過人工審核之後才能夠公開，已是公開狀態的儲存庫則暫時被轉為私有儲存庫以進行審核。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-gitee-600.png" style="width: 600px;" /></p> <p>Gitee亦於聲明中表示：「此舉也是迫於無奈。」使得外界紛紛猜測Gitee是遭到來自中國政府的施壓而被迫展開審查行動，但Gitee迄今並未公布執行該措施的原因。令人玩味的是，當Gitee成為中國專案之際，<a href="https://blog.gitee.com/2020/08/17/gitee-gxb/" target="_blank">Gitee還曾稱讚</a>中國政府展現開放心態，沒有以政府身分自建開源平臺，而是選擇充分信任Gitee。</p> <p>其實中國的開發者早就是開源碼社群主要的貢獻者之一，以開發者超過8,300萬、全球最大的Git開源程式碼分享平臺GitHub為例，中國以750萬名開發者占據該平臺第二大的開發社群，第一名為美國的1,350萬名開發者，緊追中國之後的則是印度的720萬名開發者。</p> <p><a href="https://gitee.com/oschina/git-osc/issues" target="_blank">已有不少中國開發者於Gitee上抱怨此事</a>，有些更詢問如何刪除Gitee帳號以示抗議。</p> </div></div></div>
2022/5/31 14:38作者陳曉莉https://www.ithome.com.tw/news/151218
Google AI服務悄悄禁止訓練Deepfake影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體發現Google一項提供訓練AI模型的服務Colab，禁止使用者用它來製作Deepfake影片。</p> <p><a href="https://colab.research.google.com/notebooks/welcome.ipynb?hl=zh-tw#scrollTo=5fCEDCU_qrC0" target="_blank">Colab全名為Colaboratory</a>，可供學生、資料學家或是AI 研究人員在瀏覽器中編寫及執行Python程式碼，具有不必進行任何設定、輕鬆共用、免費使用 GPU的優點。對於無法負擔動輒數千美元的學生和研究人員來說，這是一項相當好用的服務。</p> <p><a href="https://www.unite.ai/google-has-banned-the-training-of-deepfakes-in-colab/" target="_blank">媒體報導</a>，知名的Deepfake影片製作網站DeepFaceLab用戶本周發現，在Colab上執行DeepFaceLab的程式時會觸發警告，表示用戶已執行不被允許的程式碼，這行為可能限縮用戶未來使用Colab的權限。不過同類型較小的網站用戶則尚未接獲類似警告。</p> <p>Deepfake是利用AI技術改造特定個人頭像、說話動作或聲音，以便冒充他人，主要目的是誹謗、散布不實消息或詐騙。例如<a href="https://www.ithome.com.tw/news/149955" target="_blank">3月間烏克蘭媒體網站及電視臺遭駭</a>，以散布deepfake影片，冒充烏克蘭總統要求烏國軍隊棄械投降。<a href="https://www.ithome.com.tw/news/151061" target="_blank">本月網路上也流傳</a>冒用馬斯克（Elon Musk）等科技界名人身分的Deepfake影片，以推銷一個加密貨幣交易的詐騙平臺。</p> <p>不過不確定Google是為了道德理由、或防範濫用資源考量才禁止deepfake影片製作。Google Collab另外禁止的行為包括：使用遠端桌面或連結遠端代理伺服器、採礦、執行DDoS攻擊、破解密碼、或下載Torrent影片或點對點（P2P）檔案分享等。</p> </div></div></div>
2022/5/31 13:53作者林妍溱https://www.ithome.com.tw/news/151217
商標文件顯示蘋果AR/VR頭戴裝置可能在WWDC 2022問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在蘋果開發者大會WWDC 2022展開前夕，一些商標申請文件顯示，蘋果傳說中的虛擬實境及擴充實境（VR/AR）裝置可能即將公布。</p> <p>多家媒體引述<a href="https://twitter.com/ParkerOrtolani/status/1530731346716409864" target="_blank">Vox Media記者Parker Ortolani發現到的2份美國專利及商標局（USPTO）的商標申請文件</a>。2份文件都是由一家名為Realityo Systems的公司，於去年12月8日提出「RealityOS」的商標申請。2份文件的國際申請最後期限為 2022年6月8日。</p> <p>兩份文件指涉的產品都是電腦軟、硬體，<a href="https://trademark.trademarkia.com/realityos-97163139.html" target="_blank">但其中一份還列入周邊及電玩類</a>，另一份則為穿戴電腦及可提供連網服務的手持數位電子裝置。</p> <p>但媒體注意到，文件中的Realityo Systems，和一家空殼公司Yosemite Research註冊的是同一地址。Yosemite Research則是數年前分別申請過Yosemite和Big Sur、去年申請過Monterey等商標，而且申請日期都和WWDC舉行日期相去不遠。事後證明Yosemite、Big Sur、Monterey都是當年macOS版本名稱，而Yosemite Research則是蘋果的空殼公司。</p> <p>最後，兩份美國USPTO文件都屬「意圖使用商標（intent to use），而非「已使用商標（use in commerce）」，表示這些產品尚未上市。</p> <p>Ortolani指出，一家顯然不存在的公司擁有的RealityOS商標，而且該商標要用於穿戴式電腦，申請日期還和WWDC 2022（6/6-6/10）差不多，這絕非巧合。他判斷蘋果可能將在今年開發者大會上公布其AR或VR產品。</p> <p>而其他人則發現其他證據。<a href="https://9to5mac.com/2022/05/29/realityos-trademark-related-to-apple-ar-vr-headset/" target="_blank">9to5mac發現</a>Realityo Systems去年也在巴西提出RealityOS的商標申請，而其他人則發現烏干達、烏拉圭也有其申請案。而有些申請案的Logo更採用了蘋果專用的San Francisco字體。</p> <p>RealityOS可能是蘋果即將推出的AR/VR裝置的新作業系統。<a href="https://www.bloomberg.com/opinion/articles/2022-05-24/why-apple-will-beat-meta-in-the-mixed-reality-headset-battle" target="_blank">業界傳言</a>，蘋果的VR/AR裝置具備如Mac電腦的先進處理器及超高解析度顯示器。<a href="https://www.bloomberg.com/opinion/articles/2022-05-24/why-apple-will-beat-meta-in-the-mixed-reality-headset-battle" target="_blank">彭博並報導</a>蘋果主管已經在董事會中展示了這款裝置。</p> </div></div></div>
2022/5/31 12:26作者林妍溱https://www.ithome.com.tw/news/151214
專家呼籲國際社會應該創立AI專利制度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲新南威爾斯大學（University of New South Wales，UNSW）法學院副教授<a href="https://www.unsw.edu.au/staff/alexandra-george" target="_blank">Alexandra George</a>，以及同所大學計算機與工程學院的AI教授<a href="https://www.unsw.edu.au/staff/toby-walsh" target="_blank">Toby Walsh</a>近日聯名<a href="https://www.nature.com/articles/d41586-022-01391-x" target="_blank">於《自然》（Nature）科學期刊上發表一篇文章</a>，指出人工智慧（AI）正在破壞現有的專利法，由機器或AI產生的發明需要自己的知識財產權法令以及國際公約。</p> <p>科學家們建立了模擬人腦運作的AI系統，涉及了各種不同的學科與應用，企圖以AI系統取代或強化人們的理解及運算能力，不過，最近幾年開始有人企圖申請由AI系統所發明的技術，卻屢屢帶來了爭議，最有名的例子之一是2020年英國薩里大學教授Ryan Abbott替由AI系統DABUS所發明的器材申請專利，並由DABUS擔任發明人，先後遭到<a href="https://www.ithome.com.tw/news/135191" target="_blank">歐盟</a>及<a href="https://www.ithome.com.tw/news/137356" target="_blank">美國專利局</a>的拒絕，理由都是發明人必須是人類，不得是AI系統。另一方面，<a href="https://www.ithome.com.tw/news/145997" target="_blank">南非專利局卻在去年8月</a>接受了Abbott所提出的專利申請，承認DABUS作為專利發明人的角色。</p> <p>一般而言，申請專利的條件包括它是由一個或多個人的發明，屬於先前未曾存在的創新發明，擁有開創新的步驟或並非顯而易見的，具備應用與實用性等。</p> <p>而以AI系統作為發明人主要牴觸了兩件事，一是發明人並非人類，二則是倘若AI可以取得某些領域的所有資訊與知識，對AI而言就沒有什麼是不明顯的。此外，就算各國專利法接受了以AI作為發明人，那麼AI系統創造與申請專利的能力及數量，可能會摧毀現有的專利系統。</p> <p>因此，George與Walsh認為，修補現有的專利法也許會留下灰色地帶，更好的方式是全面性的改革，制定一個AI專用的專利法，且不納入現有專利法所保護的著作權、工業設計、商標與專利等，以免危及對既有專利的投資，同時讓AI可以在其它領域發揮所長。</p> <p>此外，全球也必須制定國際公約，透過統一的原則，在不同的市場保護AI的發明，包括爭端解決機制。這兩名學者呼籲，人工智慧正在改變科學及發明的路徑，應有一個合適的智慧財產權法令來確保它符合公共利益。</p> </div></div></div>
2022/5/31 12:48作者陳曉莉https://www.ithome.com.tw/news/151215
美國Frontier系統運算速度超越1 Exaflops/s，登上全球超級電腦寶座
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://top500.org/news/ornls-frontier-first-to-break-the-exaflop-ceiling/" target="_blank">2022年上半世界五百大超級電腦名單周一公布</a>。美國超級電腦Frontier以每秒1.102 Exaflop/s的運算速度擊敗群雄，讓美國再度登上超級電腦寶座。</p> <p>Frontier隷屬於橡樹嶺國家實驗室領先運算機構（OLCF），採用HPE Cray EX235a架構，搭載AMD EPYC 64C 2GHz處理器，擁有8,730,112核心，同時具有極高能源效率，能源功耗比達52.23 gigaflops/watt，使用Gigabit乙太網路傳輸資料。</p> <p>但Frontier最大成就在於其浮點運算在HPL標竿測試分數達1.102 Exaflop/s，不但是全球最快，也是唯一真正超越1 Exaflop/s障礙的exascale超級電腦。Frontier預計2022年底問世。</p> <p>從2020年6月起，全球超級電腦寶座一直由日本的理化學研究所（RIKEN）和富士通共同合作打造的新世代超級電腦富岳（Fugaku）蟬連至今。Fugaku座落於日本理研（RIKEN）電腦科學中心，運算速度為442 PetaFLOP/s。雖然Fugaku理論峰值可超過1 Exaflop/s，但是只有Frontier是唯一在HPL標竿測試中展現出exascale能力的超級電腦。</p> <p>前10名新進榜者之一是芬蘭的歐洲高效能運算中心（EUROHPC/CSC）的LUMI系統，具備1,110,144核心，HPL標竿測試分數為152 PetaFLOP/s，居全球第3，也是全歐洲最大的系統。此外，法國高等教育運算中心（GENCI-CINES）的Adastra系統，則以HPL標竿測試分數46.1 PetaFLOP/s，居全球第10。</p> <p>五百大超級電腦名單中，173座位於中國，美國則由去年的150座衰退到126座。美、中兩國的超級電腦數量合計占將近2/3。</p> <p>OLCF今年3月公布（<a href="https://www.ithome.com.tw/news/150159">https://www.ithome.com.tw/news/150159</a>）Frontier的縮小版Crusher，已經提供多家機構的早期測試機器並用來開發日後在Frontier上的實驗開發程式。媒體估計Crusher浮點運算峰值速度達40 PetaFLOP/s，大約等於超級電腦第8位。</p> <p>超級電腦龍頭寶座也可能很快會換人坐。<a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">媒體報導</a>，中國也正在研發2座下一代超級電腦，分別為「神威．太湖之光」及「天河二號」的新一代，據傳速度可能達1.3 Exaflop/s。</p> </div></div></div>
2022/5/31 13:19作者林妍溱https://www.ithome.com.tw/news/151216
Office零時差漏洞讓駭客執行惡意指令，關閉巨集也不見得擋得了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現微軟Office軟體一項漏洞，能讓攻擊者傳送惡意Word檔案以執行惡意PowerShell指令。而且只要改成RTF格式，關閉巨集也擋不了攻擊。多款Office產品受到影響，微軟則說是Windows工具的RCE漏洞，表示正在製作修補程式。</p> <p>新發現的漏洞能在用戶開啟Word文件時觸發。文件下載的外部程式碼透過微軟支援診斷工具（MS Support Diagnostic Tool）執行PowerShell指令，這就給了攻擊者執行攻擊開了大門。</p> <p>這漏洞是由<a href="https://twitter.com/nao_sec/status/1530196847679401984" target="_blank">研究人員Nao_sec</a>首先發現。<a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/" target="_blank">他指出</a>，自己是研究微軟Windows遠端程式碼執行（RCE）漏洞<a href="https://www.ithome.com.tw/news/146584" target="_blank">CVE-2021-40444</a>時，在VirusTotal上發現一個惡意Word檔案，該檔案包含的外部連結會載入一個HTML檔案，再使用「ms-msdt」MSProtocol URI scheme以載入一段不明程式碼，觸發PowerShell執行。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FTxZpn_akAIKdfz?format=png&name=large" style="width: 500px;" /></p> <p><a href="https://twitter.com/nao_sec/status/1530196847679401984/photo/1" target="_blank"><span style="color:#696969;">圖片來源／Nao_sec</span></a></p> <p>目前這個文件已不在線上，但<a href="https://doublepulsar.com/follina-a-microsoft-office-code-execution-vulnerability-1a47fce5629e?gi=33b6b7e3dd0e" target="_blank">安全專家Kevin Beaumont認為</a>重點在於這揭露了之前未知的Office漏洞，他將這漏洞命名為Follina。</p> <p>研究人員說明，Office的確有「受保護的檢視Protected View」功能，可防止檔案開啟時執行巨集。但如果攻擊者將Word檔改為RTF，則文件即可由檔案總管預覽，甚至不需用戶開啟文件即可發動攻擊。</p> <p>Beaumont另外設計了一項概念驗證，用這個方法在一臺使用半年期通道（semi-annual channel）Office 365、關閉巨集，安裝Microsoft Defender防毒軟體的Windows 10上，成功於遠端執行了計算機程式。</p> <p>Beaumont發現這個問題到5月左右就未發生在Insider及Current 頻道Office，他猜測微軟可能已經做了強化，或是試圖悄悄修補該漏洞。</p> <p>但是他相信許多企業仍然用的是舊通道的Office 365或是Office ProPlus版本而曝險。根據他的測試，Office 2013及2016版本還有漏洞。他並引述其他人的測試，顯示這項漏洞仍存在於Office Pro Plus及Office 2021、以及Office 2019。</p> <p>雖然研究人員4月通報微軟時，微軟一開始認為這不是一項漏洞。不過微軟昨日還是將之列為RCE漏洞，但是是出在MSDT的漏洞，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190" target="_blank">編號CVE-2022-30190</a>，風險值7.8。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-MSDT-RCE-Vulnerability-600.png" style="width: 600px;" /></a></p> <p>安全專家Will Dormann指出，這漏洞和Windows的CVE-2021-40444類似之處在於，兩者都是操弄URI scheme，而且都載入4096 bytes的HTML文件。</p> <p>微軟將通報功勞歸給<a href="https://twitter.com/crazymanarmy" target="_blank">Shadow Chaser Group代號crazyman的研究人員</a>。微軟提醒，這項漏洞尚未修補，表示正在製作正式修補程式。</p> <p><a href="https://github.com/GossiTheDog/ThreatHunting/blob/master/AdvancedHuntingQueries/Follina-Office.ahq" target="_blank">Beaumont寫了個Defender for Endpoint查詢規則</a>，使用Office 365 E5的大型企業可以將之加在自訂偵測規則。</p> <p>針對使用舊版Office的用戶，<a href="https://www.theregister.com/2022/05/30/follina_microsoft_office_vulnerability/" target="_blank">The Register引述安全專家提供的緩解建議包</a>括利用Defender受攻擊面縮小規則（Attack Surface Reduction），將「封鎖Office應用程式執行子行程」的選項改為「封鎖」模式。或是移除ms-msdt的檔案類型關聯，以防止Office啟動ms-msdt。</p> <p><a href="https://twitter.com/wdormann/status/1531258175915180033" target="_blank">Will Dormann</a>及<a href="https://dshield.org/forums/diary/New+Microsoft+Office+Attack+Vector+via+msmsdt+Protocol+Scheme+CVE202230190/28694" target="_blank">SANS ISC</a>安全專家則說，由於尚未有修補程式，刪除ms-msdt或許是更好的辦法。</p> </div></div></div>
2022/5/31 11:04作者林妍溱https://www.ithome.com.tw/news/151211
DEF CON CTF資格賽，臺灣聯隊攜手獲得第二名，八月進軍賭城實體較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日～14日於美國拉斯維加斯舉辦DEF CON CTF（駭客搶旗攻防賽）也即將舉辦實體比賽。因此，於5月28日～5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊順利取得預賽第二名的資格，也確認可以於八月和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>今年的DEF CON也將屆滿30週年，DEF CON CTF的主辦單位從2018年起，由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年則改由新團隊Nautilus Institute負責出題。</p> <h2><strong>政府資源挹注，跨世代跨團隊聯手取勝</strong></h2> <p>臺灣科技大學資工系教授鄭欣明也長期負責教育部AIS3（新型態資安暑期課程）專案，並多次帶隊臺灣入圍DEF CON CTF資格賽隊伍出國比賽。他表示，往年參賽選手在打DEF CON CTF的資格賽時，經常都是克難找尋場地，參賽選手熬夜解題，但今年政府預計成立的資安卓越中心（CCoE）所屬的規畫建置計畫中，因為可以同時補助在學和就業人士，所以從預賽時候就提供參賽選手可以住宿和有公共空間討論的比賽場地，「讓參賽選手能夠在預賽時候就見面、培養默契，也有助於取得更好的比賽成績。」鄭欣明說。</p> <p>今年參賽選手總計有53名，其中在職的有21名，在學學生則有32名。鄭欣明表示，此次參賽的團隊名稱就包含四個世代的選手，217是第一代HITCON CTF戰隊的參賽選手，第二代則是指臺大學生組成的BALSN戰隊，其中則有2018年首度出國參加DEF CON CTF決賽便贏得第12名的團隊成員，第三代則是新一代的由10sec × BambooFox × Goburin' × NCtfU × Ret2NOP 五個小隊伍所合體的聯隊成員組成的TSJ戰隊，第四代則是臺大大一、大二學生中，對資安有興趣的BALSN新生代戰隊。</p> <p>他在現場觀察這些跨世代、跨團隊的參賽選手，雖然中間有一些成員彼此並不認識，但相處起來都很自然、專注度也不輸老大哥；其中，有些曾有打CTF比賽經驗的選手有默契，會依照專長分配題目，新生代選手剛開始默契還沒培養起來，但看著其他團隊的互動模式，也有所成長和學習。</p> <h2><strong>參賽選手從比賽中獲得成長</strong></h2> <p>此次參加資格賽的TSJ戰隊成員林宇翔表示，這次跨世代跨團隊的互還不錯，大部分題目都是由不同團隊的成員們一起討論解題。面對這次的比賽，他也認為當中也有不少學習，舉例而言，光是出題的內容，就可以學到一些像是C++的type confusion或是python的bytecode 等等。</p> <p>再者，他也坦言，此次比賽也讓他可以透過參賽者的角度，學習到許多出題技巧，了解到主辦方出什麼的題目可能只是在浪費時間，未來如果有機會舉辦CTF比賽時，針對出題內容就可以避免出這樣會浪費時間的題目。</p> </div></div></div>
2022/5/30 20:25作者黃彥棻https://www.ithome.com.tw/news/151209
【資安日報】2022年5月30日，惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對上週末到今天的資安新聞，我們認為殭屍網路EnemyBot的攻擊行動相當值得留意，因為，該殭屍網路的攻擊者的目標大幅轉變，從一個月前主要針對多個廠牌的路由器下手，如今轉向企業的應用系統而來，並利用重大漏洞入侵伺服器。</p> <p>鎖定Linux伺服器的惡意軟體攻擊近期傳出多起事故，但包含Linux子系統WSL的Windows作業系統也可能成為駭客的目標。有資安業者對於有越來越多駭客開發針對WSL的Linux惡意軟體提出警告，並表示多數防毒軟體可能無法察覺這些軟體有害。</p> <p>行動應用程式框架的漏洞很可能因受到電信業者採用，使得他們用戶的手機用戶曝險。研究人員揭露mce Systems提供的應用程式框架漏洞，並指出採用該框架製作的App若是沒有修補，攻擊者有機會用來控制受害手機。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/rapidly-evolving-iot-malware-enemybot-now-targeting-content-management-system-servers"><span style="color: rgb(0, 0, 0);">惡意軟體EnemyBot針對VMware、F5 BIG-IP重大漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg" style="width: 300px; float: right;" /></a>殭屍網路EnemyBot在3月被發現，<a href="https://www.ithome.com.tw/news/150450#EnemyBot">當時該殭屍網路機器人（Bot）主要鎖定路由器設備而來</a>，如今駭客更進一步針對應用系統的重大漏洞下手。</p> <p>電信業者AT&T的資安團隊近期找到EnemyBot變種，該殭屍網路病毒共針對24種漏洞下手，但與過往EnmeyBot不同的之處，在於駭客利用的漏洞裡，多半為應用系統的重大漏洞，包含了VMware Workspace ONE漏洞CVE-2022-22954（CVSS風險評分9.8分）、F5 BIG-IP漏洞CVE-2022-1388（CVSS風險評分9.8分）、Java框架Spring漏洞SpringShell，除此之外還有部分是沒有CVE編號的漏洞，這使得IT人員更難防範EnemyBot的威脅。</p> <p>而對於部署該殭屍網路的攻擊者身分，研究人員指出是Keksec，該組織過往曾散布Tsunami、Gafgyt、DarkHTTP、DarkIRC、Necro等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/"><span style="color: rgb(0, 0, 0);">駭客鎖定視窗作業系統的WSL元件，散布Linux惡意軟體</span></a></strong></h3> <p>最近針對Linux主機而來的攻擊行動不時傳出，但也有人鎖定Windows作業系統提供的Linux子系統（Windows Subsystem for Linux，WSL）而來。資安業者Lumen於去年秋季開始，發現駭客針對WSL下手，迄今已散布逾100種惡意程式。</p> <p>在這些惡意程式當中，有些特別引起研究人員注意。例如，他們發現以程式語言Python開發的鍵盤側錄工具Keyjeek，攻擊者透過Windows的機碼使其常駐受害電腦，並將收集到的帳密資料回傳到特定的Gmail信箱，研究人員將其上傳到惡意軟體分析平臺VirusTotal，結果60個防毒引擎僅有1個識別有害。</p> <p>另一個該公司特別提到的惡意程式，則是會從遠端下載Shell Code，並在受害電腦注入與執行，研究人員指出，這種能夠下載惡意程式並完全在記憶體內（In-Memory）執行的工具，很有可能日後駭客會用於投放更為複雜的軟體，如Cobalt Strike或是其他滲透測試框架。再者，研究人員也看到能同時於Windows與Linux作業系統執行的代理程式Lee，攻擊者不只能透過該代理程式上傳或下載檔案，還能執行任意命令。</p> <p>除此之外，研究人員也發現多個會利用即時通訊軟體Discord的惡意軟體，像是木馬程式DiscordRAT、竊密程式Discord Token Grabber、Discord-Keylogger等，再者，也有濫用加密通訊軟體Telegram木馬程式Telegram-RAT。該公司建議採用WSL的使用者，應透過Sysmon等系統監控工具進行監控，來找出WSL環境是否出現異常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-ermac-20-android-malware-steals-accounts-wallets-from-467-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Ermac 2.0假冒餐點外送平臺App，竊取467個軟體帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg" style="width: 200px; float: right;" /></a>隨著武漢肺炎疫情延燒，許多人必須居家隔離，必須透過餐點外送平臺取得三餐所需，有駭客假借這樣的名義來散布惡意軟體。<a href="https://blog.cyble.com/2022/05/25/ermac-back-in-action/">資安業者Cyble</a>、<a href="https://twitter.com/ESETresearch/status/1526897310231322630">ESET</a>指出，他們看到有人佯稱是Blot Food的餐點外送業者，製作冒牌網站來散布安卓竊密軟體Ermac 2.0，一旦使用者從該網站下載檔案並進行安裝，該冒牌App將會要用戶開放43項權限，進而竊取467種應用程式的帳密，當中包含全球各地的銀行機構、加密貨幣錢包，以及資產管理應用程式。研究人員呼籲用戶，應從從Google Play市集下載App。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/revil-resurgence-or-copycat"><span style="color: rgb(0, 0, 0);">勒索軟體駭客REvil疑發動DDoS攻擊</span></a></strong></h3> <p>勒索軟體駭客REvil似乎再度發動攻擊，但並非透過加密檔案的方式進行，而是以DDoS攻擊來癱瘓受害組織網路。雲端服務業者Akamai於5月12日接獲客戶通報，他們發現聲稱是REvil的駭客進行DDoS攻擊，駭客要脅受害組織必須移轉指定數量的比特幣（BTC），並暫停特定國家的業務，來換取駭客停止發動DDoS攻擊，駭客揚言若是不從，他們將會讓該組織的全球業務受到衝擊。</p> <p>研究人員指出，這起DDoS攻擊背後似乎存在政治動機，與REvil的行事風格完全不同，他們認為很有可能是他人假借REvil的名號對受害組織進行勒索。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500"><span style="color: rgb(0, 0, 0);">勒索軟體Clop疑捲土重來，1個月出現21個受害組織</span></a></strong></h3> <p>過往惡名昭彰的勒索軟體駭客組織，在沉寂一段時間幾乎沒有活動後，再度大舉發動攻擊的情況，近期時有所聞。例如，資安業者NCC Group揭露他們針對2022年4月勒索軟體攻擊的態勢，當中特別提及勒索軟體Clop（亦稱Cl0p）的攻擊行動，在整個月出現了21個受害組織，主要目標是工業，占45%，其次是IT產業，占27%。</p> <p>但為何突然出現這麼多攻擊行動？資安新聞網站Bleeping Computer認為，這些駭客很有可能像Conti，目的是避免關閉Clop基礎設施的時候，成員後續受到執行單位追捕，因此，刻意發動這些攻擊來掩人耳目。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/"><span style="color: rgb(0, 0, 0);">行動應用程式框架存在嚴重漏洞，兩大平臺手機恐曝險</span></a></strong></h3> <p id="Zyxel">電信業者為了在手機上提供專屬服務，很可能會運用廠商提供的軟體框架，對旗下品牌手機進行客製化，一旦這種框架系統出現漏洞，很可能影響相當廣泛。微軟於5月27日公布在去年9月發現的數個漏洞──CVE-2021-42598、CVE-2021-42599、CVE-2021-42600，以及CVE-2021-42601，這些漏洞存在於mce Systems推出的行動裝置應用程式框架，CVSS風險評分從7.0分至8.9分，一旦攻擊者加以利用，就有可能從這些透過上述行動裝置應用程式框架製作的App，藉由其提供可瀏覽功能（Browsable）的服務，進而在受害裝置植入後門程式並取得控制權，安卓與iOS版應用程式都有可能受到影響。研究人員通報後，mce Systems與相關電信業者已著手修補漏洞，目前尚未出現利用相關漏洞的攻擊行動。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/30 16:30作者周峻佑https://www.ithome.com.tw/news/151208
Google提供ChromeOS、Chrome企業終端安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/extending-chrome-enterprise-through-new-security-partner-integration" target="_blank">Google上周公布</a>最新一波針對企業設計的Chrome、ChromeOS終端安全功能。</p> <p>針對終端用戶，Google已經提供安全上網（Safe Browsing）確保Chrome用戶免遭釣魚網站及惡意程式之害，Google也宣稱ChromeOS裝置從未遭成功的勒索軟體或是病毒攻擊。不過ChromeOS部門副總裁John Solomon指出，確保端點安全需要從晶片到雲端，更完整的堆疊。因此Google宣布新一波安全終端功能，涵括三個層面，包括整合第三方廠商提供安全產品實現零信任安全模型、ChromeOS新的資料安全控制、以及結合Intel vPro Enterprise平臺的硬體安全功能。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/CE_Marchitecture_Version_1.gif" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Google</span></p> <p>首先，Google推出Chrome企業安全連接器框架（Chrome Enterprise Connector Framework），以介接第三方廠商的安全防護。這又分成3組，包括身分與存取安全、終端裝置管理及安全分析及報表功能。身分存取安全合作廠商有雲端身分驗證方案Netskope及Okta，後者的Identity Engine政策已支援ChromeOS，提供IT控管員工裝置登入驗證。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Blog_Body_012x.max-2200x2200.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>在終端裝置管理方面，Blackberry與三星的桌機及行動管理可支援ChromeOS，使IT從單一介面管理企業裝置。而VMware端點管理服務Workspace ONE很快將可整合新的Chrome Policy API，會透過信賴測試方案（Trusted Tester Program）提供企業測試。</p> <p>安全分析及報表方面，目前<a href="https://chromeenterprise.google/browser/management/#get-started" target="_blank">Splunk Cloud Platform可整合Chrome瀏覽器</a>，以便IT掌握Chrome用戶造訪不安全網站、下載惡意程式、重用密碼等行為。很快也會再透過Chrome企業信賴測試方案（<a href="https://support.google.com/chrome/a/answer/9036081?hl=en" target="_blank">Chrome Enterprise Trusted Program</a>）提供Palo Alto及Crowdstrike的類似功能。</p> <p>而在ChromeOS資料安全方面，Google推出新的Chrome OS資料控制，讓IT部門可定義Chrome OS裝置的資料存取規則，包括複製和貼上、螢幕擷取、列印及其他行為以防止資料外洩。目前還未提供<a href="https://support.google.com/chrome/a/answer/9036081?hl=en" target="_blank">，用戶可以在信賴測試方案登記將來加入測試</a>。</p> <p>最後，Google的硬體安全功能則是結合Intel vPro Enterprise晶片，提供ChromeOS電腦磁碟加密Key Locker及全記憶體加密（Total Memory Encryption），防止資料外洩。</p> <p>HP Elite Dragonfly Chromebook是第一款使用ChromeOS/Inter vPro Enterprise安全的Chromebook機種，提供HP隱私相機、指紋辨識感測及選配的HP Sure View防偷窺螢幕。HP Proactive Insights則提供裝置安全及效能診斷功能，<a href="https://app.smartsheet.com/b/form/92eccac2a2304849af6a85df7dec308c" target="_blank">這項功能可先註冊試用</a>。</p> </div></div></div>
2022/5/30 13:31作者林妍溱https://www.ithome.com.tw/news/151206
四月最張狂的勒索軟體是Lockbit 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500" target="_blank">英國資安業者NCC Group日前公布了今年4月的勒索軟體威脅報告</a>，顯示該月全球出現288次的勒索軟體攻擊，其中有46%發生在北美，33%出現在歐洲，而最囂張的勒索軟體為Lockbit 2.0，總計有103名受害者，居次的是Conti的45名受害者，另也發現捲土重來的Clop。</p> <p>在4月的288次勒索軟體攻擊中，有35%鎖定工業，19%鎖定非必需消費品產業，另有10%鎖定科技產業，比例與今年3月差不多，此外，4月的攻擊數量也僅略高於3月的283次。NCC Group分析，雖然今年每月的攻擊數量都高於去年，但今年以來每月的攻擊行動相當，很可能意味著勒索軟體集團已在今年達到它們的最佳攻擊活動水平。</p> <p>4月最活躍的勒索軟體為Lockbit 2.0，有103名受害者，居次的是Conti的45名受害者，令研究人員感到訝異的是，Clop的受害者從3月的1名大幅增加到4月的21名。</p> <p>Clop現身於2019年2月，是由講俄文的駭客集團所操縱，提供勒索軟體即服務（Ransomware as a Service，RaaS），最著名的攻擊行動之一是在2020年開採了Accellion的File Transfer Appliance（FTA）檔案分享服務的安全漏洞，並植入勒索軟體，波及眾多受害者。</p> <p>不過，<a href="https://www.ithome.com.tw/news/145133" target="_blank">烏克蘭在去年6月與國際刑警組織（Interpol）、南韓及美國的執法機關聯手破獲了Clop</a>，當時估計該集團成立兩年多以來的不法所得高達5億美元。</p> <p>雖然NCC Group觀察到Clop的受害者激增，但另一資安業者<a href="https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-clop" target="_blank">趨勢科技卻說Clop的攻擊行動似乎從沒停過</a>，因為外傳執法機關去年只扣押了Clop聯盟用來散布惡意程式的伺服器，以及破壞該集團用來洗錢的管道而已。</p> <p>不論如何，Clop在今年4月又成為全球第四大勒索軟體，有21名受害者遭殃，其中，工業領域的受害者占了45%，科技產業占了27%。</p> </div></div></div>
2022/5/30 13:57作者陳曉莉https://www.ithome.com.tw/news/151207
微軟揭露mce Systems框架漏洞，波及眾多Android程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/" target="_blank">微軟上周揭露了</a>涉及mce Systems行動框架的多個嚴重安全漏洞，相關漏洞將允許駭客存取系統配置與機密資訊，有鑑於許多行動服務供應商於手機上內建的程式都採用了該框架，估計影響眾多Android用戶。不過，包括mce Systems與程式開發者都已修補了漏洞。</p> <p>mce Systems主要提供裝置生命周期管理解決方案，可透過自我診斷機制來辨識及解決影響Android裝置的問題，也具備廣泛的權限，例如它能存取系統資源並執行與系統相關的任務，包括調整裝置的聲音、攝影機、電源或儲存控制等，亦允許行動服務供應商客製化其應用程式與框架。</p> <p>微軟則發現，許多採用mce Systems的行動程式被嵌入裝置的系統映像檔，意謂著它們是手機製造商或行動服務供應商所開發的內建程式，雖然這些程式同樣也出現在Google Play上，必須經歷Google Play Protect的安全檢查，但先前Google Play Protect並未掃描微軟所發現的問題。</p> <p>微軟在去年9月發現的漏洞包括CVE-2021-42598、CVE-2021-42599、CVE-2021-42600與CVE-2021-42601，它們的CVSS風險評分介於7.0至8.9之間，其中，CVE-2021-42599為一存在於裝置服務中的命令注射漏洞，可讓駭客干預裝置服務，CVE-2021-42601則是本地端權限擴張漏洞。成功開採這些漏洞將允許駭客於裝置上植入後門，或是取得裝置的控制權。</p> <p>上述漏洞波及了由 AT&T、TELUS、Rogers Communications、Bell Canada與Freedom Mobile等電信業者以mce Systems框架所開發的程式，而這些程式多半為工具程式，例如TELUS的Mobile Klinik Device Checkup主要是用來檢查與修復裝置問題，Bell Canada的Device Content Transfer則是專為Bell零售店設計，可無線傳輸通訊錄、行事曆或照片/影片到另一裝置，AT&T的Device Help也是屬於裝置管理工具。</p> <p>不僅是行動服務商所打造的程式，相關漏洞也影響了其它採用mce Systems框架的程式，涵蓋Android與iOS程式。</p> <p>目前mce Systems與電信業者都修補了漏洞，Google Play Protect亦已可偵測這類型的安全漏洞，且迄今微軟並未發現駭客開採相關漏洞的跡象。</p> </div></div></div>
2022/5/30 12:28作者陳曉莉https://www.ithome.com.tw/news/151204
Windows 11功能更新使趨勢科技部分安全軟體功能失常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://success.trendmicro.com/dcx/s/solution/000291066?language=en_US" target="_blank">趨勢科技上周公告</a>，微軟上周針對Windows 11和Windows Server 2022發布的功能更新KB5014019和該公司多項安全軟體不相容，造成勒索軟體掃瞄等功能失常。</p> <p class="rtecenter"><a href="http://success.trendmicro.com/dcx/s/solution/000291066?language=en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend%20Micro%20Endpoint%20Issue%20with%20Microsoft%20KB5014019-600.png" style="width: 595px;" /></a></p> <p>上周發布的<a href="https://support.microsoft.com/en-us/topic/may-24-2022-kb5014019-os-build-22000-708-preview-442dbde4-ce28-4345-aecf-2d4744376418" target="_blank">累積更新KB5014019 </a>為非強制安裝的預覽更新，增加了一些新功能如要求兒童帳號增加使用時間時的Family Safety帳號驗證、新增Windows聚光燈（Spotlight）可自動將新照片當成桌面背景等、並改善眾多使用體驗上的問題。不過也造成趨勢科技多項產品無法正常運作。</p> <p>趨勢科技指出，這個功能更新和旗下多款端點安全產品的User Mode Hooking（UMH）元件有不相容的情形。UMH是支援該公司端點及伺服器產品的進階功能，如勒索軟體防護的支援引擎。趨勢發現安裝KB5014019再重開機後，UMH驅動程式即停止運作。</p> <p>受影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0、Deep Security 12.0及Deep Security 20.0。</p> <p>該公司表示正在調查，以便在這個更新變成強制更新之前解決該問題。而已發生問題的用戶，趨勢科技建議用戶先移除KB5014019，或是聯絡其技術支援。</p> <p>不過微軟網頁並未提及這次更新的問題。目前官方承認的問題是，安裝更新後，部分使用.NET Framework 3.5 特定元件的App無法開啟，這些App使用的元件包括WCF（Windows Communication Foundation）及WWF（Windows Workflow）。暫時緩解方法是從Windows Features開啟.NET Framework 3.5和WCF。</p> </div></div></div>
2022/5/30 12:54作者林妍溱https://www.ithome.com.tw/news/151205
美議員提案禁止美國App Store提供使用數位人民幣的App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以國家安全為由，<a href="https://www.cotton.senate.gov/news/press-releases/cotton-braun-rubio-introduce-bill-to-limit-use-of-chinese-digital-currency-in-the-us" target="_blank">美國國會議員上周提案</a>，擬立法禁止美國App應用程式商店提供以中國官方發行的數位貨幣交易的App。</p> <p>來自阿肯色、印地安那州及佛州的共和黨參議員上周提案《保護美國人民免於威權數位貨幣法案》（Defending Americans from Authoritarian Digital Currencies Act），欲禁止美國App Store上架提供以中國數位人民幣（e-Digital Yuan，e-CNY）交易的App，以阻斷對美國人的間諜行為。</p> <p class="rtecenter"><a href="https://apps.apple.com/cn/app/-/id1571652872" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-%E6%95%B8%E4%BD%8D%E4%BA%BA%E6%B0%91%E5%B9%A3-E-CNY-600-1.png" style="width: 600px;" /></a></p> <p>阿肯色州參議員Tom Cotton說，中國當局可能利用數位貨幣控制或監聽使用該貨幣的人。印第安那州參議員Mike Braun則指出，數位人民幣可允許直接控制和存取個人的財務生活，不能讓中國政府把國家控制的數位貨幣當成滲透美國人經濟及私人資訊的工具。</p> <p><a href="https://www.rubio.senate.gov/public/index.cfm/2022/5/rubio-colleagues-introduce-bill-to-ban-app-stores-from-using-chinese-digital-currency-in-the-u-s" target="_blank">佛州參議員Marco Rubio提出的理由則是</a>，和中國數位貨幣產生關係將使美國帶來財務和監控的風險，這是美國無法承擔的風險。</p> <p>數位人民幣價值等同人民幣，中國自2020年8月開始小規模試點發行，並在今年1月釋出iOS及Android版App測試版，而且也獲得中國2大支付工具，<a href="https://www.ithome.com.tw/news/148774" target="_blank">包括支付寶及微信的支持</a>。數位人民幣由中國人民銀行發行，但無正式推行的時間表。</p> <p><a href="https://zh.wikipedia.org/zh-tw/%E6%95%B0%E5%AD%97%E4%BA%BA%E6%B0%91%E5%B8%81" target="_blank">中國官方說明</a>數位人民幣並非完全仰賴區塊鏈架構，為「可控匿名機制」，人民銀行可掌握全量資訊，可以利用巨量資料分析、人工智慧等技術分析交易資料和資金流向，防止洗錢、恐怖融資和逃稅等非法活動。</p> <p><a href="http://www.gov.cn/xinwen/2022-01/19/content_5669217.htm" target="_blank">中國官方統計</a>截至 2021年底，累計開立的個人數位人民幣錢包達2.61 億個，交易金額 876 億人民幣，目前測試地點涵括深圳、蘇州、雄安新區、成都、上海、海南、長沙、西安、青島、大連等地和2022年北京冬奧。</p> <p>不過美國很早就對數位人民幣心懷抗拒，像是今年北京冬奧中國要求參加選手必須安裝冬奧通（MY2022）程式以參與數位人民幣的測試，因此<a href="https://www.ithome.com.tw/news/149187" target="_blank">FBI建議</a><a href="http://www.ithome.com.tw/news/149187" target="_blank">美國運動員在中國最好不要使用私人手機</a>，警告可能被中國央行追蹤。</p> </div></div></div>
2022/5/30 11:27作者林妍溱https://www.ithome.com.tw/news/151202
研究人員發現最新WSL惡意程式能竊取密碼、瀏覽器cookies
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著Windows Subsystem for Linux的使用增加，WSL也成為惡意程式作者的新目標。<a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/" target="_blank">安全廠商偵測到最新的WSL惡意程式</a>，可從鍵盤側錄或螢幕擷圖竊取密碼、或是Chrome、Opera等瀏覽器cookies的敏感資訊。</p> <p>安全廠商Lumen旗下的<a href="https://blog.lumen.com/no-longer-just-theory-black-lotus-labs-uncovers-linux-executables-deployed-as-stealth-windows-loaders/" target="_blank">Black Lotus實驗室去年9月首度發現針對WSL的威脅</a>，證明Linux binary被用於在WSL載入惡意程式。而在今年3月又發現2隻以WSL為目標的新惡意程式。</p> <p>研究人員指出，2隻新發現的WSL惡意程式樣本為遠端存取木馬（Remote Access Trojan, RAT），都結合從GitHub取得的開源專案以增進其攻擊，而且也都使用第三方合法服務對木馬下達攻擊指令，目的在躲避偵測。</p> <p>其中一隻惡意程式內結合GitHub上的Discord Token Grabber專案，這類專案可用於竊取Discord、Chrome、Opera等瀏覽器驗證令牌或密碼，並傳到駭客的Discord帳號。以功能而言，這隻惡意程式還會鍵盤側錄、存取攝影機、取得螢幕擷圖、複製剪貼簿功能及執行任意指令等。</p> <p>第二隻RAT則似乎利用GitHub上的Telegram-RAT專案。Telegram-RAT專案賦予它執行指令、上傳/下載檔案及取得儲存於磁碟的憑證資料的能力，並將RAT竊得的用戶電腦資訊傳回給攻擊者。<a href="https://www.bleepingcomputer.com/news/security/new-windows-subsystem-for-linux-malware-steals-browser-auth-cookies/" target="_blank">研究人員指出</a>，從它還有活動中的Telegram bot token和chat ID判斷，攻擊者的C&C伺服器控制機制也仍在使用中。</p> <p>最新樣本的分析顯示，駭客藉由開源工具客製化，已為此類威脅增進多種能力，值得注意的是，兩者在VirusTotal的偵測率極低，前者在61項防毒引擎中只有3個偵測到，後者的偵測率則為9/62。</p> <p>研究人員指出，由於執行WSL的用戶通常具有更高的網路權限，因此企業必須在日常運作中更加強防範。</p> </div></div></div>
2022/5/30 12:11作者林妍溱https://www.ithome.com.tw/news/151203
人權觀察：有89%的遠端學習技術危及兒童隱私，臺灣榜上有名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研究與倡議人權的<a href="http://www.hrw.org/sites/default/files/media_2022/05/HRW_20220526_Students%20Not%20Products%20Report%20Final-IV-v3.pdf" target="_blank">國際非政府組織Human Rights Watch（人權觀察）近日公布了一份研究報告</a>，該報告調查了全球49個國家的學校因COVID-19疫情而停課時，兒童線上學習所使用的164款教學科技（EdTech）產品是否危及兒童隱私，發現其中有146款（89%）可能危及兒童隱私，而臺灣常用的Line、Microsoft Teams、Cisco Webex、PaGamO或Facebook，或是由政府建置的教育雲（Education Cloud）、臺北酷課雲（Taipei CooC Cloud）與Kaohsiung Daxuetang亦名列其中。</p> <p class="rtecenter"><a href="https://www.hrw.org/sites/default/files/media_2022/05/HRW_20220526_Students%20Not%20Products%20Report%20Final-IV-v3.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Human%20Rights%20Watch-600-2.png" style="width: 600px;" /></a></p> <p>人權觀察在2021年3月至2021年8月調查了164款教學科技產品，其中有39款僅有行動程式，91款只有網站，另有34款同時支援兩種形式。</p> <p>在73款行動程式中，有41款會蒐集使用者的廣告ID，此一廣告ID將允許程式追蹤並標記使用者，亦可辨識裝置以遞送關聯性廣告；在125個教學網站中，則有113個在使用者的裝置與瀏覽器上置放了第三方的廣告追蹤器，當中有8個甚至能夠識別使用者並追蹤這些使用者在網路上所有的活動。</p> <p>更有甚者，在73款行動程式中，有22款賦予自己蒐集使用者精確地理位置及當地時間的能力，包括Microsoft Teams、Zoom、Cisco Webex、Line、Telegram及Facebook等，其中，Telegram、Cisco Webex或Zoom並未於隱私政策中揭露此事。</p> <p>另有18款程式會存取使用者的通訊錄，並與第三方分享，包括Microsoft Teams、Cisco Webex、Zoom、Line、Google Meet及Facebook等。</p> <p>在人權觀察所調查的教學科技中，絕大多數都不是為了兒童教學所設計，在疫情時期被學校或老師採用而曝露兒童的隱私風險或許無可厚非，然而，調查卻發現，就算是由各國政府所贊助或建置的65款EdTech產品中，也有高達56款將兒童的資料傳送給第三方廣告公司，當中，臺灣就占了3款，分別是教育雲（Education Cloud）、臺北酷課雲（Taipei CooC Cloud）與Kaohsiung Daxuetang。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Human%20Rights%20Watch-600-1(1).png" style="width: 600px;" /></p> <p><a href="https://www.hrw.org/sites/default/files/media_2022/05/HRW_20220526_Students%20Not%20Products%20Report%20Final-IV-v3.pdf" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">上圖擷取自《How Dare They Peep into My Private Life?》,Human Rights Watch</span></span></a></p> <p>換句話說，只有9款由政府贊助或建置的教學科技產品，在一開始就奠定保護兒童資料的基礎，而未植入任何的追蹤技術。</p> <p>人權觀察認為，各國政府應該對於未能保護兒童的受教育權利負有最終責任，在學校停課期間，大多數的EdTech產品都是無償提供給政府的，然而，政府卻將提供線上教育的真實成本轉嫁給兒童，讓這些兒童在不知情的狀況下被迫以隱私、資訊存取能力，以及潛在的思想自由替學習付費。</p> <p>事實上，在人權觀察所調查的49個國家中，有42個政府提供了自己的EdTech產品，當中就有39個政府所建置的產品在處理兒童個資的方式上，冒著侵犯兒童權利的風險。倘若政府強制要求學生或老師使用這些平臺，就算使用者的資料面臨被濫用的風險，似乎也無從選擇。</p> <p>由此可見，不管是市場上既有的EdTech產品，或是由各國政府自行建置的EdTech平臺，在保護使用者或兒童隱私的議題上仍有很大的改善空間。</p> </div></div></div>
2022/5/30 10:26作者陳曉莉https://www.ithome.com.tw/news/151201
老牌鋼鐵廠的敏捷舞
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1079-feng_mian_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=bfCPY2wB" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">一聯想到鋼鐵廠，多數人還停留在傳統重工業、操作笨重機具的印象，殊不知，早在2年前，新光鋼鐵已經開始改變，朝邁向工業4.0的數位智慧化轉變，從旗下子公司APEX開始，展開這家老牌鋼鐵廠變革的第一步</p> </div></div></div>
2022/5/30 09:25未署名https://www.ithome.com.tw/article/151176
【從工廠流程數位化，展開老牌鋼鐵廠變革的第一步】不只產線流程e化更要敏捷化，新光鋼最重要的一場IT轉型實驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年，一場電光火石般的IT數位轉型，正在新光鋼鐵集團悄悄地展開中。</p> <p>就在地處偏遠的彰濱工業區附近，一座15,000坪大的鋼鐵廠中，有一間專門生產風電設備的新型廠房，新光鋼IT轉型先從這裡開始展開。</p> <p>由新光鋼APEX團隊打頭陣，僅用不到半年時間，就完成產線關鍵流程數位化。老字號鋼廠開始改變，甚至還擁抱IT現代化的敏捷思維，加速流程優化，連20公尺超大單圓長管的生產過程，都要數位化、行動化，邁向工業4.0的數位智慧化轉變。</p> <p>走進廠房，轟隆隆的機械運轉聲和熱風馬上迎面而來，入口處堆滿一片片大型鋼板，正要準備送到裡面進行焊接加工，一旁老師傅加緊趕工，製程一站接一站，把一支支長達20公尺的鋼製長管組裝起來，準備送交客戶手上。這些長管是離岸風電水下基礎設施很重要的關鍵基座。這些生產流程、關鍵製程，正一步步改變，要更敏捷，更有彈性。</p> <p>這不僅僅是傳統重工業的IT轉型，更是新光鋼一次很重要IT實驗，希望把這次成功的IT轉型經驗，快速複製到全集團，為這家已經快一甲子的老牌鋼鐵製造商，敲響IT轉型的關鍵一步，讓這頭傳產大象也能跳舞。</p> <p><span style="font-size:28px;"><strong>老牌鋼鐵廠跨出變革的第一步</strong></span></p> <p>這一場變革，從約莫2年多前開始推展，「我們從數據蒐集開始，踏出集團數位轉型第一步，而APEX就是新光鋼IT轉型第一個重要實驗場。」新光鋼鐵財會副總經理暨資訊長劉百慧表示。</p> <p>身為臺灣老字號鋼鐵製造商，每年有超過40萬噸的鋼製品銷售，都是出自這家公司之手，小到家具、機械零件、汽機車板金，大到高樓建築、橋樑工程鋼材都一手包辦。它的工廠更遍及北中南，服務超過2千家客戶。</p> <p>多年下來，不只橫跨多產業，新光鋼近幾年的經營策略出現轉變，從過去鋼鐵買賣轉型朝價值鏈來整合，更在2017~18年大力布局太陽能、離岸風電等綠能商機，從原先熟悉的鋼鐵業，切入到截然不同的製造新領域來發展。這是新光鋼以前所沒有的新嘗試，不只重砸10多億元建新廠，還因此成立一家前端離岸風電設備製造公司，也就是APEX，投入離岸風電設備製造。</p> <p>為了要應付全新的產線和新機臺設備，APEX也經過一段時間摸索，APEX總經理黃俊傑回憶，光是前期討論和分析及找到對應製程機臺，就花了數個月，之後更花了一年多完成廠房、設備進註。這段期間，他們也派人到國外學習歐洲焊接工藝、新工法、新設備操作模式並帶回臺灣，「我們用了一年多時間練功，一直到2019年準備好了。」</p> <p>工廠剛啟用時，除了要一邊接新訂單，還要不斷改生產方法，縮短學習曲線，黃俊傑也帶領APEX團隊一邊學習持續累積經驗，應對新工廠和設備全新的生產流程和作業模式。一段時間後，先從冷鋼板加工生產開始，接下來焊接製程也跟著上線。</p> <p>在生產過程中，這間鋼鐵廠對生產數據記錄和管理有很高要求，因為他們所要面對終端顧客，大多是如歐洲等國際客戶，和過去以內銷市場為主的新光鋼很不一樣，這些顧客更重視製程數據呈現，尤其這家公司的產品又是離岸風電水下關鍵基礎一環，對於成品品質的要求更高，甚至得做到百分百的品質。像是在焊接製程中，就要求要做到百分百的全檢，把所有中間可能產生的一些瑕疵問題、原因，逐一抓出來，加以解決，來確保百分百的產品品質。</p> <p>為了要符合離岸風電相關歐盟與客戶要求，產品生產過程必須保留完整的可追溯性，所以他們一開始就建立一套完整的生產表單，詳細記錄每個生產的環節，從板材編號、焊材批號、焊工編號、量規儀器編號、加工及檢驗日期等，皆有留下完整且詳細的記錄，可供作日後稽核的參考。</p> <p>就像其他新光鋼工廠一樣，APEX成立初期並沒有在工廠導入IT數位化，而是大量依賴傳統紙本作業，來記錄每個生產的環節，從進料、加工到出貨都是如此，需要使用大量紙張來記錄，平均生產一個產品，可能就會用掉170多張的A4紙，所以常常看見現場作業人員，手提著一本本厚重的生產履歷、量測履歷，在工廠內穿梭。</p> <p>一開始數據蒐集方式、記錄方式，仍然維持紙本的原因，黃俊傑解釋，若是IT太早進場，導入無紙化系統同時，還要一邊設計表單，每個顧客的表單或ISO文件的表單製程的完整性都是問題，很難在系統導入過程中一次就能把所有表單轉換成無紙化文件，一旦表單不完整，現場人員填寫準確度不夠，把這個習慣帶進作業現場，這個無紙化環境就可能會失敗。</p> <p>所以APEX採取的策略是，先用原本紙本所熟悉的作業方式，等到整套作業流程、完整的紙本記錄都確定完，每個工站都有各自表單文件後，才開始準備e化，將紙張環境轉成無紙化環境，也把以前使用的產品履歷文件轉成電子化的產品履歷文件，「當產品有達到一定品質，客戶認為你的產品是可靠，之後對系統化產生的數據，就會產生信任，這樣就不會失敗。」黃俊傑說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-(1).png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>新光鋼轉型第一站，從離岸風電製造的工廠數位化流程做起</strong></span></p> <p>經過一段時間發展，直到2020年左右，APEX才開始展開轉型，也因為過去這段很紮實的紙本流程的建立，之後在建立工廠數位化流程時，就能很快把紙本表單，全部轉成無紙化表單。</p> <p>劉百慧表示，從APEX開始推動轉型的原因，一來是團隊成員相對年輕，對新科技的接受度較高，也較能發揮團隊凝聚力；二來因為是新啟用的廠房和新機臺，更能支援資訊化作業，加上所面對的終端顧客，很重視製程數據呈現，「長遠來看，電子化的推行成功，可以幫助這家公司做好生產接單，更能取信於客戶。」</p> <p>成軍短短幾年的APEX，更肩負了新光鋼一個重要的數位轉型實驗計畫，他們的第一個改造計畫，就是從離岸風電製造的工廠數位化流程，展開這家老牌鋼鐵廠變革的第一步。</p> <p>一開始數位化轉型規畫階段，APEX也找來了顧問公司LeadBest協助他們做轉型規畫，更擬定未來5～10年的數位化轉型策略。根據他們的規畫，2021～2022年是轉型第一階段，要發展數位資訊化，在工廠導入數位資訊系統，將紙本數位化後，利用數位工具來管理、儲存，累積工廠數據及資產，接下來，將用另外2年時間，也就是從2023~2024年進一步結合數位工具與既有的流程控管、工作模式、商品服務等，達成數位最佳化，這是第二階段。</p> <p>最後第三階段，則要從2025年開始打造一座數位智慧化的工廠，導入生產品質管理、生產履歷管理、出入庫追蹤智慧管理、人員管理智慧排程、瑕疵與故障報告智慧化等。</p> <p>在流程數位化的過程中，APEX不是一次做完所有流程數位化的改造，而是先從關鍵的產線流程改造做起，先挑了其中的焊接流程來進行數位化。這是因為對鋼鐵業來說，焊接是所有生產過程中最需要資料蒐集，而且是最難的製程環節，所以先從這段流程的數位化改造開始做起。</p> <p>一般來說，鋼鐵加工有很多製程，以APEX生產的風電水下基樁來說，因為要把鋼板製作成長管，其中切割就是一個製程，捲起來是另一個製程，鋼板捲成圓要做焊接，焊接又有三道製程，每道製程都是1～2臺的機臺，捲出一個柱子的圓柱後，還要把多個圓柱串起來，變成一支長管，這又是另一個製程。目前APEX在工廠的焊接、鋼板驗收的環節，已經完成流程數位化，還搭配行動平板一起來使用。其它製程流程數位化也正進行中。</p> <p>流程數位化的目的，是要取得更完整、更即時生產數據，有了這些數據之後，後續就可以做更好地的運用，讓數據可以發揮更大價值。黃俊傑就表示，這些數據本身，除了可以維持生產參數的穩定，以後也能用來改善工廠生產效率，或優化製程，長期累積下來，這些數據也將變成APEX自己的資料庫，可以作為訓練資料供員工學習。不僅如此，對於生產流程、製造過程中產生的數據，未來還能夠用於行銷，例如透過數據分析，幫助公司找出適合產品的市場定位或定價。</p> <p>從數據管理角度來說，劉百慧提到說，過去紙本作業會大大影響到後來用數據管理的方式，因為早期沒有記錄數字，完全由人工來決定數字要不要揭露，現在許多工廠機器後臺都是由電腦管控，所以，她的期待是：「讓數據直接說話，讓機器說自己的故事，員工就可引用有故事的數據，而不是停留在數據蒐集處理，這是新光鋼導入電腦化、系統化的重要原因。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-(2).png" style="width: 600px;" /></p> <p><span style="font-size: 20px;"><span style="color: rgb(105, 105, 105);"><strong><span style="text-align: center;">新光鋼鐵財會副總經理暨資訊長劉百慧表示，新光鋼鐵集團從數據蒐集開始，踏出集團數位轉型第一步，而旗下子公司APEX就是新光鋼IT轉型第一個重要實驗場。</span></strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／iThome）</span></p> <p><strong><span style="font-size:28px;">2年Scrum實踐經驗，加快工廠往全數位化流程來推進</span></strong></p> <p>在這一段新系統開發之旅，團隊的敏捷力，成了新光鋼數位轉型的另一股重要推力。</p> <p>從2020年底，進到系統開發階段，APEX的開發作法開始跟新光鋼母公司的做法不同，除了原本委外一組開發團隊，也讓所有現場執行單位、營運單位，都同時來參與開發。</p> <p>APEX從一開始更導入Scrum敏捷開發作法，來進行數位化系統的開發，還建立自己的Scrum開發團隊，成員由委外開發團隊和APEX團隊組成，以每兩周一次產品或功能交付的方式快速迭代，「時間這個速度是我最重視的」劉百慧指出，透過引導和持續不斷回饋，讓現場執行單位可以用說故事方式，表達自己的需求，再交由開發團隊來開發，透過每一次快速產品功能交付和意見回饋，讓開發出來的系統或功能，也能夠更貼近現場使用單位的需求。這個混合的Scrum團隊到現在已經有2年實踐經驗。</p> <p>以Scrum開發方式進行半年後，APEX已經在工廠完成不少重要流程的數位化改造，以及新系統建置，如生產管理系統等，加速整個e化的進程，並也獲得了初步成果，包括降低70％的紙本作業成本，提升了50％的行政流程效率，生產流程e化比例達到9成，接下來，將持續優化生產管理平臺，累積生產數據，還要打造數位化的戰情中心，以及結合數據分析工具，來打造更數位化、更即時、智慧化工廠營運模式。</p> <p><span style="font-size:28px;"><strong>這場IT轉型實驗，成了未來新光鋼集團人才的孵育場</strong></span></p> <p>除了技術導入以外，全員參與或透過敏捷方式，另外一個很重要的意義是，讓所有人可以共同學習，不只學習自家的專業，還可以跨到不同領域或環節來學習，可以訓練一個更通才或跨領域、跨流程的團隊，這些可以透過敏捷實現，這些參與的成員，最後都會變成種子人員，一旦要建新廠，就可以將這些經驗複製過去，劉百慧明白表示：「這場IT轉型實驗，對於人才培訓、能力養成也是一個新光鋼集團嶄新的實驗，更是未來集團人才的孵育場。」</p> <p>有了這次轉型成功經驗，劉百慧也說，以後要導進到新光鋼集團，先前這些成功案例的IT改造經驗，就會起到一個很好的示範作用，除了讓老員工比較有信心，不怕轉變，也更有故事的張力和說服力，讓集團其他工廠願意配合來轉型，「當我們跨出這一步，集團才有可能改變。」</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>為何焊接流程e化，會這麼關鍵？</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-(3).png" style="width: 600px;" /></strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／iThome）</span></span></p> <p><strong>新光鋼APEX展開工廠數位化第一步，先從焊接流程數位化開始做起。為何焊接流程e化，對於鋼鐵業來說，會如此關鍵？前端離岸風電設備製造（APEX）總經理黃俊傑直言：「因為數據對於焊接品質很重要。」</strong></p> <p><strong>尤其，APEX工廠主要加工生產的是風力發電在海底下的基座，對於焊接品質的要求，遠比一般鋼鐵製品更高，例如，焊接條件必須能夠承受負40度的超低溫測試，來確保長管焊道沒有脆裂，甚至焊接過程中只要有一點瑕疵都不行，如氣孔或出現雜質，就有可能在彎曲測試時造成破裂情形。又如海上打樁作業時也要預防焊道或對接處的地方是沒有任何瑕疵，一旦出現瑕疵，日後也很難修補，不然就得耗費很高的成本。</strong></p> <p><strong>所以如何從前面製程一開始，就把所有焊接品質做到很完整，來減少日後海上基礎維護次數，數據取得就很關鍵。</strong></p> <p><strong>黃俊傑表示，焊接條件最重要的還是科學根據，就是電壓、電流、速度及入熱量，當入熱量太高，鋼鐵很有可能產生脆裂，入熱量太低又可能熔合不了，所以所謂的焊接條件是有它的科學依據，多少溫度、電流，以及使用多高預熱溫度，產生出來的焊道品質，就是一個範圍內的科學根據。</strong></p> <p><strong>以歐洲為例，在做這些焊接時，一開始都會先進行焊接測試，來讀取設備上的電壓、電流和速度，來確保入熱量，以及最後的機械性質是在合理範圍而且是合格的成品，這就是一個標準的焊接參數。</strong></p> <p><strong>所以在還沒有生產產品前，工廠就要對自己產線的焊接設備進行測試，來驗證這個產線組裝完之後種種條件產生的性質。一開始就要先蒐集一套預先產線的設備標準數據。</strong></p> <p><strong>即使如此，工廠用的每套設備，會因為使用的設備種類不同，輸出功率又不一樣，所以需要的焊接條件、焊接程序規範（WPS）也有所差異，只可運用在這個工廠，到另一個工廠，遇到新的環境，還是必須重設不同焊接條件，甚至很多環境因素，都會影響到焊接條件，所以才說，焊接是鋼鐵加工過程中，最需要依賴數據的一個環節。</strong></p> <p><strong>當把焊接流程產出的資料加以數位化，對於數據取得和分析也將更容易，進一步找到最佳的焊接組合配方。</strong></p> <p><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/151176" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></strong><span style="background-color: rgb(51, 153, 255);"> </span></span></a></span><a href="https://www.ithome.com.tw/article/151176" target="_blank"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1079-feng_mian_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=bfCPY2wB" style="width: 550px;" /></span></strong></a></p> </div></div></div>
2022/5/30 09:40作者余至浩https://www.ithome.com.tw/news/151173
【新光鋼鐵APEX工廠流程數位化2】焊接製程全面數位化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%84%8A%E6%8E%A5e%E5%8C%96-600-(1).png" style="width: 500px;" /></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>OT與IT整合自動蒐集焊接資訊</strong></span></span></p> <p><span style="color:#696969;"><strong>過去，焊接OT設備並沒有整合IT，如果想要取得焊接機臺上的焊接參數，就只能以人工方式從這臺機器上來取得，在導入e化後，完成了與IT系統的串接，現在操作員使用焊槍的同時，焊機就會同步記錄這些焊接參數，每3秒就記錄一次，並自動轉成系統可以儲存的數位化格式（如Excel檔）做儲存，接著批次上傳到APEX自己的生產管理系統。每個焊機都有各自的編號，操作人員只要從平板上，選到自己對應的機臺編號，就能把剛剛焊接完的數據匯入到平板上。目前系統端都已經能串接到工廠所有焊機的資訊。</strong></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>用系統化管理焊接製程</strong></span></span></p> <p><span style="color:#696969;"><strong>針對焊接流程，有打造一套生產管理系統，透過這套系統，現在已經可以管理包括內焊、外焊和清根三種焊接工序的製程數據，可以用系統化方式來管理焊接製程的數據，有別過去採用紙本記錄，光是蒐集焊接資訊就花費不少時間，現在透過系統化，可以直接把焊接資訊自動轉拋到系統上，變成數位資訊，來做進一步管理與運用。例如透過數據分析，找到改善工廠生產效率，或優化製程更好作法。長期累積下來，這些數據也能變成APEX自己的資料庫，作為訓練資料供員工學習等。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／iThome）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%84%8A%E6%8E%A5e%E5%8C%96-600-(2).png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>焊接資訊蒐集平板化</strong></span></span></p> <p><span style="color:#696969;"><strong>過去採用紙本記錄，操作人員需要手動將焊接參數填寫到紙本表格上，現在則是可以使用平板輸入，甚至連在平板上手動輸入都不用，只要在平板觸控螢幕點個幾下，焊接資訊就能自動匯入，馬上就能完成數據的蒐集，全程免等待。若是遇到網路不穩，需要離線作業時，也可以平板來手動記錄。不過目前實際運作上，仍採用紙本和平板的雙軌併行方式作業。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%84%8A%E6%8E%A5e%E5%8C%96-600-(3).png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>傳統紙本資料蒐集的流程</strong></span></span></p> <p><span style="color:#696969;"><strong>過往要蒐集焊接過程的參數時，現場操作人員必須要走到焊接機臺面前，才能夠完成抄寫的動作，然後填寫到紙本上做紀錄，接著在進行下一道焊接程序。因為所有的原始參數資料只會記錄在焊機裡，其他地方拿不到，所以想要取得這些數據的話，必須停下手中的焊槍，然後走到焊機機臺前面，這些數據會顯示在機臺上的人機介面上，需要邊看螢幕畫面邊把數值抄寫下來，不僅很花費時間，也容易影響到焊接作業的進行，甚至有時一忙就可能忘了填，變成要從機臺輸出所有原始資料，事後再回去整理，從裡面找到所需資訊，再填到紙本。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／iThome）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%84%8A%E6%8E%A5e%E5%8C%96-600-(4).png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>新版數位化資料蒐集的流程</strong></span></span></p> <p><span style="color:#696969;"><strong>現在焊接過程中，操作人員只要從平板上，就能快速取得剛剛焊接的參數，包括焊接電壓、電流等，全程不需要透過焊接機臺上的人機介面，就能取得這些資料，直接從系統上就能把剛剛焊接完的數據匯入到平板上，不需要手動填寫，除了減少人為出錯，也讓焊接資訊蒐集變得即更時，不需要自己從機臺上撈資料。不僅如此，過去需要在紙本上繪製的焊道圖，現在也能透過平板輸入來完成，只要依照系統上輸入的焊道方向就能自動繪製出來，不用另外自行繪製。</strong><span style="font-size:14px;">（攝影／iThome）</span></span></p> <p><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/151176" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></strong><span style="background-color: rgb(51, 153, 255);"> </span></span></a></span><a href="https://www.ithome.com.tw/article/151176" target="_blank"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1079-feng_mian_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=bfCPY2wB" style="width: 550px;" /></span></strong></a></p> </div></div></div>
2022/5/30 09:41作者余至浩https://www.ithome.com.tw/news/151171
【從廠務、產線到現場人員，靠做中學體驗敏捷開發】APEX新工廠全員擁抱敏捷文化，培訓新光鋼集團未來轉型必備新人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對新光鋼鐵而言，APEX這一場轉型實驗，不只是生產流程和IT系統的技術轉型，更是組織力改造的轉型火種。從一開始，APEX就走向另一條，與母公司截然不同的IT開發模式，就是擁抱Scrum敏捷開發。</p> <p>新光鋼過去熟悉的是鋼材買賣，注重成品的各種紀錄，但新跨入離岸風力發電水下基樁的生產，需要提供更詳細也更完整的生產過程紀錄，這是一個與過去截然不同的生產模式和商業模式，因此，也讓新光鋼鐵在APEX設廠時，就決定要打造一套數位化系統，更即時也更完整的搜集生產過程的紀錄。</p> <p><span style="font-size:28px;"><strong>兩階段打造數位化系統，一開始就導入敏捷開發</strong></span></p> <p>為了開發這套數位化系統，APEX在2020年第四季，發起了一項數位賦能計畫。這個計畫分為兩個階段，第一階段以打造一套全廠協作紀錄平臺為目標，逐漸來將原本靠紙本運作的流程數位化，希望能用4個月的時間，打造出第一個版本。第二階段則是更進一步，發展成一套APEX全廠數位整合平臺，涵蓋了從製程、客戶管理、原物料管理、儀器和機臺管理，到管控總表等各類報表功能，甚至，要發展出即時數據戰情中心，協助公司策略布局和優化營運。</p> <p>APEX組成團隊後，先展開全廠需求訪談，於2020年11月時產出了第一版的產品Backlog（開發待辦清單），也決定先從焊接流程開始著手數位化。</p> <p>2020年11月，進入系統開發階段，一開始就採取Scrum敏捷開發的做法，以每2周一次衝刺方式來進行開發迭代。APEX動員了全公司各部門，和委外的開發廠商組成了敏捷團隊，營業部擔任溝通窗口，負責彙敏捷團隊與各部門溝通的橋樑。委外廠商提供了專案顧問，也負責提供開發團隊，如系統架構師、開發工程師、設計師、產品負責人（Product Owen）等。</p> <p>對參與開發的APEX員工而言，這是第一次接觸敏捷開發流程，先透過一整天的工作坊方式，讓不熟悉開發的他們，體驗敏捷開發的做法和精神，接著就透過一邊實作一邊學習的方式，開始展開了敏捷開發專案。APEX從各部門找出關鍵人物，例如找來廠務、生產或是現場人員組成團隊，討論出更理想的改善流程，再由開發團隊中的產品負責人，轉換成開發團隊熟悉的用戶故事（User Story），並回饋給APEX窗口或各部門負責員工，確認各部門的需求是否涵蓋。</p> <p>但是，到了每兩周一次的開發進度Demo時，APEX會找來與這次展示功能有關的所有人，都來參與Demo會議。一開始幾次，新光鋼鐵財會副總經理暨資訊長劉百慧甚至要求全員參加，後來才改為輪流參加，會議結束再分享給其他沒有出席的同部門組員。</p> <p>在這個過程中，APEX員工逐漸學會透過User Stroy的方式來描述需求，到現在，人人都能夠以User Story的方式，來與開發團隊溝通，不需要PO來協助轉換。</p> <p>很快的，APEX在2020年12月先完成了客戶專案數位紀錄管理機制，隔年陸續完成了鋼板物料進料紀錄管理、單圓長管派工生產管理、焊接工藝數位紀錄管理等。</p> <p>花了4個月，APEX先將產線中的兩個關鍵流程數位化，入庫檢驗流程可以改用一臺平板完成所有量測的資訊紀錄，而焊接流程則能透過PLC程式整合，將焊接設備產生的生產資訊，持續自動拋轉到後端資訊系統上。</p> <p><span style="font-size:28px;"><strong>為何要求全員參與系統建置，體驗敏捷文化？</strong></span></p> <p>APEX是新光鋼集團中的新公司，也沒有自己的IT人力，每一個參與敏捷開發專案的員工，都來自不同鋼鐵廠部門，在負責原本各自工作之餘，額外投入時間，來參與敏捷專案的各項系統建置。但是，劉百慧很堅持，必須每一個人都參與這個敏捷專案的過程，至少要參加Demo會議的回饋。</p> <p>雖然劉百慧一手推動了新光鋼集團十多年的e化，但她也是在APEX專案中，才第一次接觸到敏捷開發的做法。她不只感受到這個不同於瀑布式開發模式，可以帶來的「時間速度」，劉百慧更察覺到，這個可以讓使用者單位參與迭代開發的敏捷開發模式，對日後全集團數位轉型帶來的重要價值。</p> <p>劉百慧表示，這些系統最終的使用者是每一個員工，要確保資料正確，需要正確的使用，參與可以讓這群人看到數據帶來的幫助，甚至，可以了解個人經驗透過資料，可以快速複製。這正是新光鋼在APEX展開IT轉型實驗最初的目標，日後要將這次在APEX轉型成功的經驗，大規模複製到新光鋼全集團。</p> <p>「參與可以讓這一群人，成為種子。」劉百慧明白表示：「這場IT轉型實驗，對於人才培訓、能力養成也是一個新光鋼集團嶄新的實驗，更是未來集團人才的孵育場。」</p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>新光鋼APEX敏捷專案導入過程</strong></span></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 專案名稱：APEX數位賦能計畫敏捷種子團隊組成 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#B22222;">APEX 端：</span></strong></span></p> <p>●<strong> 營業部：溝通窗口、主導各部門資訊彙整，如開發參考文件、需求訪談</strong></p> <p><strong>● 生產／品管／環安衛部：各單位派2至3位參與，擔任賦能團隊與部門溝通橋樑</strong></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>導入顧問（LeadBest）端：</strong></span></span></p> <p><strong>● 專案顧問與開發團隊 (系統架構師、開發工程師、設計師、PO)</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#B22222;"> 第一階段（2020年11月～2021年4月）</span></strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>目標：APEX 全廠協作紀錄平臺（全廠初步需求訪談、四個月打造初版 MVP）</strong></span></span></p> <p><strong>● 團隊組建、需求訪談、產出第一版Product Backlog（2020年11月）</strong></p> <p><strong>● 開始正式進行Scrum（雙周產出持續迭代）</strong></p> <p><strong>● 客戶專案數位紀錄管理（2020年12月）</strong></p> <p><strong>● 鋼板物料進料紀錄管理（2021年1月）</strong></p> <p><strong>● 單圓長管派工生產管理（2021年2月）</strong></p> <p><strong>● 焊接工藝數位紀錄管理（2021年4月）</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#B22222;"> 第二階段（2021年6月～至今）</span></strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>目標1：APEX全廠數位整合平臺（持續迭代、功能優化）</strong></span></span></p> <p><strong>● 管控總表：全廠派工／生產／檢驗／出貨進度彙報</strong></p> <p><strong>● 全廠製程協作平臺：開發鋼材火切／銑邊工序，完成100%全廠生產紀錄數位化</strong></p> <p><strong>● 儀錶板：登入部門與權限即時顯示專屬工作待辦項目</strong></p> <p><strong>● 客戶／專案管理：深度開發轉為客戶關係紀錄與專案合作進度管理</strong></p> <p><strong>● 進料／庫存管理：各類鋼板進料、加工成品分類紀錄管理</strong></p> <p><strong>● 量規儀器管理：各部門檢驗儀器使用與保養歷程紀錄管理</strong></p> <p><strong>● 生產機臺管理：各工序加工機臺使用與保養歷程紀錄管理</strong></p> <p><strong>● 各類匯出報表：即時匯出報表逐步淘汰例行紙本紀錄表單</strong></p> <p><strong><span style="color:#B22222;"><span style="font-size:20px;">目標2：APEX即時數據戰情中心（策略布局、營運優化）</span></span></strong></p> <p><strong>● 決策層級：營運策略與產能運用（APEX 營運總表）</strong></p> <p><strong>● 部門主管：生管安排與出貨狀況（週期業績與客戶貢獻、產能趨勢加工時長分析）</strong></p> <p><strong>● 執行人員：生產品質與產能回報（各工站產能周報表、檢驗缺陷率報表）</strong></p> <p>資料來源：LeadBest，iThome整理， 2022年5月</p> <p><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/151176" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導</span></span></strong><span style="background-color: rgb(51, 153, 255);"> </span></span></a></span><a href="https://www.ithome.com.tw/article/151176" target="_blank"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1079-feng_mian_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=bfCPY2wB" style="width: 550px;" /></span></strong></a></p> </div></div></div>
2022/5/30 09:42作者王宏仁https://www.ithome.com.tw/news/151174
【從紙本生產履歷到關鍵製程e化，如何生產一支離岸風場水下基樁】新光鋼如何顛覆20噸重鋼鐵製品的關鍵製程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(1).png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 1 </span></span></strong> <strong><span style="color:#B22222;">鋼板入庫查驗（完全平板化作業)</span></strong></span></p> <p><span style="color:#696969;"><strong>鋼板入庫後，會先堆放置鋼板存放區，等待現場人員逐一檢驗，包括長寬高及厚度量測等，每次量完後都需要做記錄，目前採用雙軌併行方式，除了將測量結果填寫於紙本表單，因為導入系統化作業，現在也能使用行動平板來檢視和記錄每片鋼板的入庫資訊。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(2).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 2 </span></span> <span style="color:#B22222;">正90度邊角裁切（無紙化導入中）</span></strong></span></p> <p><span style="color:#696969;"><strong>完成檢驗進到第一個生產工站，操作人員會使用CNC火燄切割機，對鋼板材料進行切割，透過火焰切割的方式，將板邊不平處的地方切平，並切成正90度角的形狀，之後進到下一個工站，機臺才能根據板邊形狀更精準定位，來進行加工的動作。現階段記錄方式仍採用紙本，正在導入無紙化作業。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(3).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#B22222;"><strong> 流程 3</strong> </span></span> <strong><span style="color:#B22222;">開槽出對接用的焊道（紙本圖面完全平板化）</span></strong></span></p> <p><span style="color:#696969;"><strong>主要加工第一站。操作員會根據業主給的加工平面圖，來控制機臺上的刀具，以旋轉方式削切鋼板兩側邊緣，將它變成業主要求的開槽形式的指定角度，目的是組合出後面單圓要焊接的焊道。也因此切角是個關鍵，切的坡度好不好會影響後面的焊接工序。目前在這一站，師傅除了可依據紙本圖面進行設定和切削，在加工圖數位化之後，現在可以用平板來看。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(4).png" style="width: 600px;" /></strong></span></p> <p><strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 4 </span></span> <span style="color:#B22222;">捲成單圓的形狀</span></span></strong></p> <p><span style="color:#696969;"><strong>切角後的鋼板，會經由天車和永磁吊具，將吸附上來的鋼板，放置跨棟臺車，再直接運送到下一站，也就是捲圓工站。每片鋼板進到紅色的捲圓機後，就會被滾輪施壓捲成單圓的形式，完成捲圓後，會長成一顆直徑約4米寬的單圓管，接著焊接人員會以焊槍對其接合處做初步固定，再送往下一個焊接工站。目前該站還沒完全電子化作業。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(5).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 5 </span></span></strong> <strong><span style="color:#B22222;">單圓管內焊（IT整合OT自動蒐集焊接資訊）</span></strong></span></p> <p><strong><span style="color:#696969;">焊接製程有三道工序，依序是內焊、清根、外焊。焊接第一站先從內部焊接做起，也就是進行內焊的動作，操作人員會使用一隻大型焊槍，從這顆單圓內的開槽處的焊道進行焊接的動作，焊粉和焊線被熔填後，就會在焊道裡面形成一道道的鐵水，冷卻凝固後便可使其接合。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(6).png" style="width: 600px;" /></span></strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 6 </span></span> <span style="color:#B22222;">外焊前清根</span></strong></span></p> <p><strong><span style="color:#696969;">單圓管完成內焊後，接下來進到焊接第二站，也就是清根，每次內焊完都需要做清根的動作，以清除焊接母材的根部。焊接人員會使用機臺從單圓開槽外側挖出一條空的焊道，如此一來，之後就可使用該焊道從單圓外部焊接進行熔填的動作。（上圖為長管環焊的清根作業）</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(7).png" style="width: 600px;" /></span></strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 7 </span></span><span style="color:#696969;"> </span><span style="color:#B22222;">單圓管外部焊接（IT整合OT自動蒐集焊接資訊）</span></strong></span></p> <p><strong><span style="color:#696969;">焊接製程最後一站，也就是外焊。完成清根後，人員接著就會從單圓管外部進行焊接，外焊完成後，整支單圓的焊接即完成。在焊接過程中，不論是內焊、清根、外焊作業，所有焊接過程中的生產資訊，目前已可透過系統化方式全程記錄於平板上，不一定要靠人工記錄。不過現階段仍採用平板和紙本併行方式作業。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(8).png" style="width: 600px;" /></span></strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 8 </span></span></strong> <strong><span style="color:#B22222;">焊接後整圓作業</span></strong></span></p> <p><span style="color:#696969;"><strong>完成焊接後的單圓，進到下一個工站前，還有個關鍵動作必須完成，就是要送回到前一站進行整圓，這是因為焊接產生的熱度可能使得單圓本身形狀有些變形，已經沒有原先那麼圓，因此需回到前一站，使用捲圓機進行回圓的動作，重新修整成一個真正的圓形，讓每顆單圓大小、形狀都一致，後面才能組裝起來。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(9).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 9 </span></span></strong> <strong><span style="color:#B22222;">組合20米長管成品（IT整合OT自動蒐集焊接資訊）</span></strong></span></p> <p><span style="color:#696969;"><strong>完成焊接的單圓管會送到這棟最後面的工站，組合成一支長管。組合長管時，同樣需要做焊接的動作，長管加工製程也和前一站單圓的作法相同，一樣需經過內焊、清根、外焊三道工序，來完成每顆單圓跟單圓對接與焊接，最後組合成一支20米長的完整的長管。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(10).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 流程 10 </span></span> <span style="color:#B22222;">最後品管檢驗（出貨報表系統化）</span></strong></span></p> <p><strong><span style="color:#696969;">組裝完成的一支完整長管，會先暫時卸到出口處通道旁，等待48小時做NDT（非破壞檢驗）的檢驗，檢驗通過後，同時業主也確認完品質狀態沒有問題，接著才會送到戶外的存放區做存放，等待貨車來運送。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(11)(1).png" style="width: 600px;" /></span></strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新光鋼集團數位轉型的先頭部隊</strong></span></span></p> <p><strong><span style="color:#696969;">2018年中成立的APEX公司，是新光鋼鐵旗下的子公司，肩負了新光鋼集團一個重要的數位流程實驗計畫，他們的第一個改造計畫，就是從離岸風電製造的工廠數位化流程，展開這家老牌鋼鐵廠變革的第一步。從2020年底，APEX開始展開了IT轉型，從工廠紙本生產履歷，發展到關鍵製程流程e化，希望透過更即時的數位資訊蒐集，來提高生產效率與優化製程，更可作為未來大數據分析使用。未來更要把這次成功改造經驗帶進集團內。圖上這群人就是新光鋼轉型的先頭部隊。這群人的關鍵推手，就是站在後排中間的新光鋼鐵財會副總經理暨資訊長劉百慧。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E7%94%9F%E7%94%A2%E6%B5%81%E7%A8%8B-600-(12).png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>水下離岸風電基礎設施示意圖</strong></span></span></p> <p><strong><span style="color:#696969;">在水上建設的離岸風力發電場（如上圖左）有很多部件，有頂端的塔架、葉片和機艙，還有如風力機雙腳的水下基礎。APEX在工廠最後做出來的鋼製成品，就是水下基礎底座其中一個主要部件，可以用來組裝成離岸風電的水下基樁，作為插入海床下的支柱。離岸風電一支長管總長度約86~100米，約為3～4支20米長單圓長管組合而成。</span></strong><span style="color:#696969;"><span style="font-size:14px;">（攝影／余至浩）</span></span></p> </div></div></div>
2022/5/28 00:42作者余至浩https://www.ithome.com.tw/news/151166
【新光鋼鐵APEX工廠流程數位化1】入庫檢驗流程完全平板化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%85%A5%E5%BA%ABe%E5%8C%96-600-(1).png" style="width: 600px;" /></p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">量測平板化</span></span></strong></p> <p><span style="color:#696969;"><strong>進料工站鋼板檢驗已經完全平板化，只靠一臺平板就能完成所有量測的記錄，有別於過去紙本作業，不只讓數據蒐集更有效率，也能減少紙張的浪費。目前實際運作上，採雙軌併行方式進行，量測時，會有一人以紙本填寫，另一人記錄在平板，或是由現場人員直接使用平板來做記錄，於當天結束後，再複製到指定的紙本上。待之後完成ISO規範進版，將電子表單也納入後，就能全面實現無紙化。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%85%A5%E5%BA%ABe%E5%8C%96-600-(2).png" style="width: 600px;" /></strong></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>紙本表格視覺化不怕填錯</strong></span></span></p> <p><strong><span style="color:#696969;">平板量測作業流程也經過優化，對使用者操作更友善。比如過去量測都是填寫在紙本表格中，但表格內的格子之間彼此沒有對應的關係，很難回推每個量測點的實際相對位置，所以填寫時就必須很小心，避免填錯欄位。但現在使用平板就沒有這個問題，改用圖形化輸入介面，從平板上的鋼板平面圖，哪個量測數值對應到實際鋼板的相對位置在哪，都能一目了然。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／iThome）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%85%A5%E5%BA%ABe%E5%8C%96-600-(3).png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>系統自動生成鋼板編號追蹤更容易</strong></span></span></p> <p><span style="color:#696969;"><strong>每片鋼板上都有各自的編號，用來識別和追蹤生產過程履歷。過去還沒導入平板時，只有業主給的一串客戶編號，因為不同業主自訂編號和形式都不一樣，生產過程中不容易追蹤，後來引進系統化的平板時，替鋼板建立一套標準化的編號命名方式，作為主要生產編號。現在每片鋼板進來，除了有客戶編號，系統會自動生成APEX自己的編號，再由人員將這個編號從平板抄寫到鋼板上，方便追蹤。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／余至浩）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%85%A5%E5%BA%ABe%E5%8C%96-600-(4).png" style="width: 600px;" /></strong></span></p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>舊版紙本量測流程</strong></span></span></p> <p><span style="color:#696969;"><strong>過去要量測鋼板，廠務人員需拿紙本的表單來填寫，之後回到辦公室，再把這些資料手動輸入到電腦才完成。單片鋼板要檢驗項目有很多，例如需記錄6個點量測的厚度分別是多少、對角線跟長寬的尺寸又是多少，不只是量測數值，連依循相關規範、使用設備方法和標準都要記錄。也因為要檢查項目很多且很細，一整天下來，累積厚厚一疊的表單，現場人員有時一忙就可能出現遺漏或欠缺，需要事後補正。過程中還有許多量測程序，沒辦法靠一個人全部做完，需要多人協力完成，如量測的人和記錄的人是不同人，訊息傳遞就可能發生錯誤。（右圖為厚度量測的檢驗）</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／iThome）</span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1079-%E5%85%A5%E5%BA%ABe%E5%8C%96-600-(5).png" style="width: 600px;" /></strong></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新版數位化量測流程</strong></span></span></p> <p><span style="color:#696969;"><strong>為了要取代紙本，後來導入一套無紙化的量測流程，把以前紙本填寫、事後輸入電腦的人工作業方式，轉為直接在系統上就能全部填寫完，紙本表單也變成電子表單，還結合行動平板一起使用。量測完後，人員可以直接輸入到平板，管理者從系統上就能看到馬上量測結果的數位資訊，不需要人工輸入到電腦才看到，也可以讓鋼板資訊呈現更即時。人員在平板上新增鋼板的基本資訊時，需要填入電子化的表單，且對於公差依循規範、測量規範，還有使用量測的設備，也都跟紙本要求相同。</strong><span style="font-size:14px;">（攝影／iThome）</span></span></p> </div></div></div>
2022/5/28 00:52作者余至浩https://www.ithome.com.tw/news/151168
【資安週報】2022年5月23日至27日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月第4個星期的資安新聞裡，我們首先想要提到臺灣研究人員於黑帽大會亞洲場上，公布中國駭客新的木馬程式的調查成果。因為，這些發現代表了中國駭客的攻擊手法與特徵，可能會出現顯著變化，企業與組織需密切這方面的發展，調整相關的威脅情資，才能識別其入侵的跡象。</p> <p>另一個相當值得留意的調查，是針對在烏克蘭戰爭表態力挺俄羅斯的勒索軟體Conti，在4月中旬攻陷哥斯大黎加政府機關，而使得該國總統剛上任即宣布國家進入緊急狀態。但研究人員進行深入追蹤後發現，這起攻擊事件背後的目的並不單純，駭客這麼做的動機似乎不是為了錢，很可能是要讓Conti成員能轉移到其他較小組織，以便繼續從事網路犯罪行動。</p> <p>鎖定資安人員、開發人員的攻擊行動也相當值得留意。前者本週有人在GitHub上架假的概念性驗證攻擊（PoC）程式，意圖在資安人員的電腦上植入惡意軟體。後者則是有駭客在PyPI套件庫上，上傳、竄改知名套件的內容，再者，也有人提供名稱與知名套件相似的惡意程式，來散布惡意程式。</p> <p>針對Linux主機下手的攻擊行動在本週也有數起，其中最值得留意的應該就屬鎖定虛擬化平臺VMware ESXi的勒索軟體攻擊，再者，上週已有多名研究人員公布調查結果的後門程式BPFDoor，本週也有資安業者揭露更多發現。另外，雖然殭屍網路病毒Mirai主要的目標系統架構多為Arm與MIPS，但針對x86架構Linux主機下手的情況比例卻增加最多。</p> <p>與烏克蘭戰爭有關的網路攻擊，同樣出現不少攻擊事故，當中又以俄羅斯駭客組織Killnet針對義大利政府機關的行動引起高度關注。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.blackhat.com/asia-22/briefings/schedule/#the-next-gen-plugxshadowpad-a-dive-into-the-emerging-china-nexus-modular-trojan-pangolinrat-25950"><span style="color: rgb(0, 0, 0);">臺灣資安業者TeamT5於黑帽大會上揭露新的中國木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tianwu-Pangolin8RAT_timeline.png" style="width: 300px; float: right;" /></a>中國國家級駭客經常會使用PlugX、ShadowPad等惡意軟體，進行各式網路攻擊，但最近兩年這些駭客疑似製作新的攻擊工具，而有可能使得組織難以透過現有的威脅情資來察覺遭到攻擊。杜浦數位安全（TeamT5）於今年的黑帽大會亞洲場（Black Hat Asia）上，揭露他們從2020年發現的模組化木馬程式Pangolin8RAT，這個木馬程式的特性之一，在於早期版本就支援8種網路通訊協定，駭客亦可藉由C2指令下載DLL程式庫來擴充其功能，很有可能接續PlugX、ShadowPad，成為未來多個中國駭客組織運用的下一代作案工具。</p> <p>研究人員將使用此木馬程式的駭客組織稱為天吳（Tianwu），該組織於2020至2021年行動，鎖定臺灣、菲律賓、哈薩克等國，針對網路賭博業、電信業、政府機關、交通運輸行業出手。根據Pangolin8RAT的程式碼，以及攻擊者所採用的戰術、技巧，以及步驟（TTP），還有偏好鎖定博奕產業的特性，研究人員認為，該組織很有可能與惡名昭彰的APT41（該公司稱為Amoeba）有關。</p> <h3><strong style="font-size: 22px;"><a href="https://www.advintel.io/post/discontinued-the-end-of-conti-s-brand-marks-new-chapter-for-cybercrime-landscape"><span style="color: rgb(0, 0, 0);">勒索軟體Conti停止營運，駭客成立多個組織，另起爐灶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_7789556213e94e73811760a9d4d61d17_mv2.png" style="width: 300px; float: right;" /></a>先前有資安人員發現，勒索軟體Black Besta可能就是Conti東山再起，現在有資安業者揭露更多跡象。威脅情報業者Advanced Intelligence（AdvIntel）指出，駭客於5月19日終止使用勒索軟體Conti的品牌，僅留下羞辱受害者的部落格Conti News，但該組織提供駭客上傳要脅受害者資料，以及讓受害者付款的相關功能皆已失效。</p> <p>研究人員發現，有別於先前其他駭客組織直接淡出網路犯罪生態圈，Conti背後的駭客已是早有預謀──這些駭客因烏克蘭戰爭開打時表態聲援俄羅斯，導致歐美國家封殺他們收取贓款的管道，該組織領導者就已經策畫要分散成多個較小的組織，包含KaraKurt、BlackByte、Black Basta等，來掩人耳目，但這些駭客在移轉的同時，也試圖讓外界認為Conti仍在運作。</p> <p>首先，是該組織以排程的方式，持續公布從受害組織竊得的資料，再者，這些駭客策畫了一場大型攻擊行動來引起外界關注，那就是針對哥斯大黎加於4月中旬的事故──外傳駭客向該國政府索討1千萬美元贖金，一個月後更提高價碼到2千萬美元。但根據研究人員的追蹤後發現，該組織高層的目的並非贖金，而是要讓外界眾所周知Conti的存在，且根據成員的對話記錄，駭客向對方提出的贖金遠低於百萬美元；此外，該組織亦相當罕見地在對外聲明裡加入政治論點（例如，在提高贖金時指控美國是地球的癌症）。而他們這麼做的目的，就是讓關鍵成員轉換到其他組織之後，不致直接遭到執法單位圍剿。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/05/20/malware-campaign-targets-infosec-community-threat-actor-uses-fake-proof-of-concept-to-deliver-cobalt-strike-beacon/"><span style="color: rgb(0, 0, 0);">別以為概念性驗證程式不會對電腦造成危害！有駭客用來散布惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Post-on-cybercrime-forum.png" style="width: 300px; float: right;" /></a>駭客針對資安人員出手的情況，在去年已有數起事故，而最近有人假借漏洞利用展示來發動攻擊。資安業者Cyble指出，有人針對微軟今年4月修補的重大漏洞CVE-2022-26809（CVSS風險層級9.8分）、CVE-2022-24500（CVSS風險層級8.8分），在GitHub上發布假的概念性驗證程式（PoC），這些軟體並未含有惡意程式碼，而可能得以逃過防毒軟體的偵測。</p> <p>一旦研究人員執行這些「概念性驗證程式」，電腦上就會出現假的訊息，宣稱正在利用漏洞並執行Shell Code，但實際上該軟體卻是在背景執行PowerShell命令，並傳送惡意酬載，下載Cobalt Strike的Beacon，展開進一步的攻擊行動。GitHub獲報後已將上述的惡意軟體下架。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-package-ctx-compromised-are-you-at-risk"><span style="color: rgb(0, 0, 0);">駭客竄改知名PyPI套件與PHP程式庫，意圖竊取開發者的AWS帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ctx022-May-24-2022-09-04-35-99-AM.png" style="width: 300px; float: right;" /></a>駭客針對開發者下手的資安事故，有不少是針對NPM套件而來，但近期有人同時對於兩種不同的套件庫出手。資安業者Sonatype於5月15日發現，近期名為ctx的PyPI套件出現新的版本0.2.2，但在該公司進一步分析後，確認此版本帶有惡意程式碼，開發者安裝後將會在受害電腦收集相關環境變數，並回傳到特定的網域。</p> <p>值得留意的是，研究人員在21日，看到攻擊者再度出手，針對原本於2014年發布的0.1.2版進行竄改，加入上述的惡意程式碼。對此，研究人員對開發人員提出警告，即使使用這些套件的先前版本，還是有可能遭到波及，因此，使用者下載套件後還是要進行檢查，來確保取得的是沒有遭到竄改的版本。</p> <p>無獨有偶，駭客也對於ctx程式庫的PHP版本PHPass出手，提交有問題的程式碼，功能同樣是收集受害電腦的相關變數並進行回傳。而駭客發動攻擊的意圖，研究人員Somdev Sangwan推測，很有可能是為了竊取開發人員的AWS帳密與相關參數。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/new-pymafka-malicious-package-drops-cobalt-strike-on-macos-windows-linux"><span style="color: rgb(0, 0, 0);">惡意PyPI套件pymafka對Windows、macOS、Linux電腦下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pymafka-1-0-May-18-2022-01-18-04-63-PM.png" style="width: 300px; float: right;" /></a>駭客上架惡意開發套件的情況，過往大多針對NPM而來，但現在也有人開始對於PyPI套件庫下手。資安業者Sonatye於5月17日發現，PyPI套件庫裡出現了名為pymafka的惡意Python套件，疑似假冒知名的Apache Kafka用戶端Python套件「PyKafka」來讓受害者上當。上述兩個套件的名稱拼字幾乎相同，開發者若是不慎下載及部署惡意套件，Python指令碼setup.py會先偵測受害電腦的作業系統，並下載Windows、macOS、Linux等作業系統對應的木馬程式，其功能是滲透測試工具Cobalt Strike的Beacon。</p> <p>其中，研究人員在受害的Windows電腦上，看到駭客將Cobalt Strike的Beacon投放於電腦使用者共用的資料夾（C:\Users\Public\），並將檔案名稱命名為iexplorer.exe（註：較IE的執行檔檔名多一個r），然後藉此檔案下載了win.exe並與位於中國的IP位址連線。</p> <p>該公司亦將檔案上傳至惡意軟體分析平臺VirusTotal，結果在61款防毒引擎裡僅有20個視為無害。研究人員認為，開發人員要留意下達安裝的指令是否正確，並搭配相關檢測工具來防堵這類威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/e/new-linux-based-ransomware-cheerscrypt-targets-exsi-devices.html"><span style="color: rgb(0, 0, 0);">Linux勒索軟體Cheerscrypt鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cheerscrypt05REV3.png" style="width: 200px; float: right;" /></a>勒索軟體駭客組織LockBit、Hive、RansomEXX等，這兩年紛紛投入Linux版勒索軟體開發，且主要目標就是鎖定組織的虛擬化平臺VMware ESXi，最近有新的勒索軟體也加入行列，同時攻擊手法出現了變化。</p> <p>趨勢科技揭露名為Cheerscrypt的勒索軟體，駭客在成功入侵VMware ESXi伺服器後，下達要加密檔案的資料夾路徑，該勒索軟體便會先執行ESXCLI命令來終止所有正在運作的虛擬機器（VM），並在加密檔案之前，先為這些檔案加入.cheer的副檔名，這種先更動檔案名稱再加密的做法算是相當少見，但為何駭客要這麼做？研究人員認為，駭客的目的是為了確認能夠擁有足夠的權限，存取即將要加密的檔案。再者，該勒索軟體也在加密所有檔案後，找出事件記錄（Log）檔案與ESXi相關的檔案（VMDK、VMEM、VSWP、VMSN），並留下勒索訊息，向受害組織索討贖金。</p> <p>值得留意的是，在檔案加密的過程裡，駭客透過一組公鑰與私錀，來產生私鑰，並透過Sosemanuk串流加密法製造密鑰（Secret Key），並在遭到加密的檔案嵌入公鑰，然後刪除受害系統上的私鑰，一旦受害者想要恢復檔案，就要向駭客取得前述的私鑰才有機會進行解鎖。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/how-to-hunt-for-decisivearchitect-and-justforfun-implant/"><span style="color: rgb(0, 0, 0);">後門程式BPFDoor利用Solaris漏洞取得root權限</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BPFDoor-Picture1-14.png" style="width: 300px; float: right;" /></a>數名資安人員在5月上旬，揭露專門鎖定Linux、Solaris主機的後門程式BPFDoor，駭客運用此後門程式長達5年未被發現，最近有資安業者公布更多細節。資安業者CrowdStrike表示，他們從2019年開始針對電信業者的攻擊行動進行追蹤，也發現駭客組織Red Menshen（亦稱DecisiveArchitect）利用BPFDoor（亦稱JustForFun）的攻擊行動，並指出駭客如何掌控執行Solaris作業系統的主機。</p> <p>研究人員指出，駭客在成功入侵Solaris作業系統後，就會利用存在於XScreenSaver元件的漏洞CVE-2019-3010，來取得root權限，這項漏洞存在於Solaris 11版作業系統，CVSS風險層級為8.8分，駭客很有可能連續使用了長達3年之久，且會在投放BPFDoor後利用此漏洞，然後透過LD_PRELOAD環境變數，在受害主機上進行命令列欺騙攻擊。</p> <p>到了今年4月，這些駭客調整了攻擊手法，也在Linux主機上濫用相同的變數，同時透過處理程序/sbin/agetty將BPFDoor載入。除上述發現之外，研究人員也指出，駭客在初期的入侵階段也會攻擊Windows電腦，但他們沒有發現駭客對這些電腦植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.crowdstrike.com/blog/linux-mirai-malware-double-on-stronger-chips/"><span style="color: rgb(0, 0, 0);">鎖定Linux主機的殭屍網路病毒Mirai變種顯著增加</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mirai-by-arch-Picture1-12.png" style="width: 300px; float: right;" /></a>駭客在Log4Shell漏洞細節被公布後，針對Linux主機的攻擊行動也顯著增加。資安業者CrowdStrike指出，他們觀察到殭屍網路病毒Mirai的變種，在2022年第1季較去年同期顯著增加，而且是對於不同處理器架構的裝置都是如此。值得一提的是，研究人員指出，雖然針對Linux作業系統的Mirai殭屍網路病毒變種，多半仍是Arm架構設備而來，但論及變種數量增加的幅度，能在x86架構運作的病毒成長幅度最多，較同期增加101%，其中，又以針對32位元x86設備的變種病毒多了120%，而64位元版本x86病毒也增加57％。</p> <p>研究人員認為，有越來越多駭客偏好針對x86處理器架構的設備，原因很可能是製作與維護惡意軟體所需的心力較少，而且攻擊範圍還能從物聯網設備擴及x86伺服器。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/goodwill-ransomware-forces-victims-to-donate-to-the-poor-and-provides-financial-assistance-to-patients-in-need/"><span style="color: rgb(0, 0, 0);">劫富濟貧？以慈善之名道德勒索被攻擊者？勒索軟體GoodWill要求受害者向貧民捐輸，以換取解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoodWill-ransom-note-42.png" style="width: 300px; float: right;" /></a>勒索軟體駭客往往要求受害者支付贖金，以換取解密金鑰，但也有駭客要求對方從事公益活動來換取。資安業者CloudSEK指出，他們在今年3月發現名為GoodWill的勒索軟體攻擊行動，而這些駭客最引起研究人員注意的地方，在於提供受害者解密金錀的條件，他們要求對方必須依照指示幫助窮人，然後在臉書、Instagram、WhatsApp等社群網站上公開發布相關訊息。</p> <p>這3件事分別是為無家可歸的人士提供新衣服、帶5個貧窮的兒童到速食店（達美樂、必勝客、肯德基擇一）飽餐一頓，以及為需要緊急醫療的窮人支付相關費用。受害者完成上述要求後，還必須在社群網站上發布訊息，表明自己因為遭到勒索軟體GoodWill攻擊後，依照駭客的要求成為願意幫忙他人的人士。如此一來，駭客就有可能會提供給他們可復原檔案的解密金錀。</p> <p>根據研究人員的調查，駭客很可能來自印度，GoodWill疑似修改自土耳其開發者的勒索軟體HiddenTear，入侵受害電腦後會休眠722.45秒來干擾端點防護系統的分析，並使用AES演算法加密檔案，此外，該勒索軟體還會檢查受害電腦的地理位置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/pro-russian-hackers-italy/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Killnet攻擊義大利政府多個機關的網站</span></a></strong></h3> <p>多個國家於4月下旬提出警告，俄羅斯駭客不再完全集中火力攻擊烏克蘭，而是<a href="https://www.ithome.com.tw/news/150572#CI">打算報復曾經援助烏克蘭的國家，攻擊他們的關鍵基礎設施（CI）</a>，這樣的情況如今真實上演。根據資安新聞網站Infosecurity Magazine的報導指出，義大利警方於5月20日表示，俄羅斯駭客組織Killnet約於當地時間19日晚間8時發動攻擊，導致約50個政府機關的網站無法運作，這些受害的單位包含了義大利最高司法委員會、外交部、教育部等，且攻擊行動到20日下午仍在進行。</p> <p>但此起網路攻擊事故已非Killnet第一次對該國下手──<a href="https://www.reuters.com/world/europe/pro-russian-hackers-target-italy-defence-ministry-senate-websites-ansa-news-2022-05-11/">該組織曾於11日宣稱</a>對義大利參議院、上議院、國家健康研究所（ISS）等政府機關的網站發動攻擊，癱瘓這些網站運作；<a href="https://www.reuters.com/world/europe/italian-police-prevents-pro-russian-hacker-attacks-during-eurovision-contest-2022-05-15/">義大利警方於5月15日宣布</a>，他們於10日成功攔截該組織對歐洲歌唱大賽的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/05/20/sandworm-ukraine-new-version-arguepatch-malware-loader/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用惡意軟體Arguepatch變種，投放作案工具</span></a></strong></h3> <p>日前俄羅斯駭客Sandworm曾利用資料破壞軟體CaddyWiper、操弄工控系統的惡意軟體Industroyer2，對烏克蘭的關鍵基礎設施（CI）下手，但這些駭客在投放上述攻擊工具的過程中，也透過惡意軟體投放器（Malware Dropper）來減少被察覺的機會。資安業者ESET指出，他們與烏克蘭電臘緊急應變小組（CERT-UA）聯手，發現新的惡意軟體ArguePatch變種，駭客透過ESET的可執行檔案來隱匿ArguePatch的行蹤，將這個變種惡意軟體用來投放上述的CaddyWiper、Industroyer2等作案工具，研究人員指出，有別於過往出現的ArguePatch，新的變種不再使用Windows工作排程器安排下一階段的攻擊行動，而使得相關蹤跡更難被察覺。 </p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/turla-new-phishing-campaign-eastern-europe/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla對愛沙尼亞、奧地利進行偵察</span></a></strong></h3> <p>先前Google的威脅情報小組（TAG）於3月下旬提出警告，俄羅斯駭客開始鎖定烏克蘭週邊的東歐與北約國家下手，進行網路釣魚與惡意軟體攻擊，這樣的情況延續到5月，有資安業者提出進一步分析。資安業者Sekoia於5月23日指出，他們根據TAG提及的俄羅斯駭客攻擊行動裡，所使用駭客組織Turla的基礎設施進行調查，結果發現，這些駭客鎖定的對象，是位於波羅的海的軍校Baltic Defence College（BALTDEFCOL），以及奧地利聯邦經濟商會Wirtschaftskammer Österreich（WKO）。</p> <p>前者是位於愛沙尼亞的軍事學院，由愛沙尼亞、拉脫維亞，以及立陶宛共同經營，是波羅的海的戰略研究中心，且經常舉辦北約與歐洲官員的會議；後者是在烏克蘭戰爭中保持中立的奧地利組織。研究人員認為，駭客攻擊軍校的目的，很可能是為了要打聽這些歐洲國家接下來打算採取的行動；而針對奧地利聯邦經濟商會的部分，則疑似是探聽奧地利組織對於俄羅斯的看法。</p> <p>再者，前述提及Turla用於攻擊行動的網域裡，存在名為War Bulletin 19.00 CET 27.04.docx的惡意Word檔案，該檔案內嵌了PNG圖檔，但沒有網釣攻擊裡會出現的惡意程式碼或是巨集，研究人員認為，攻擊者主要的工作很可能在於偵察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.infosecurity-magazine.com/news/anonymous-declares-war-on-killnet/"><span style="color: rgb(0, 0, 0);">駭客組織匿名者攻陷俄羅斯組織Killnet</span></a></strong></h3> <p>俄羅斯駭客組織Killnet自5月初開始，針對義大利多次發動網路攻擊，癱瘓該國政府機關的網站，現在有聲援烏克蘭的駭客開始對該組織出手。根據資安新聞網站Infosecurity Magazine的報導，駭客組織匿名者（Anonymous）於22日宣稱，他們將對Killnet發起網路攻擊，接下來就讓對方的網站Killnet.ru離線。這是該組織在3月上旬聲稱竊得俄羅斯聯邦機構逾36份機密檔案後，他們再度公布攻擊俄羅斯的相關行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/twisted-panda-chinese-apt-espionage-operation-against-russians-state-owned-defense-institutes/"><span style="color: rgb(0, 0, 0);">中國駭客假冒俄羅斯聯邦衛生部，攻擊國防研究機構</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dropper_campaign-1.png" style="width: 300px; float: right;" /></a>中國與俄羅斯關係匪淺，但在中國政府遲遲沒有具體表明烏克蘭戰爭的立場下，近期卻不斷傳出該國駭客攻擊俄羅斯的情況。例如，資安業者Check Point揭露他們在上個月發現的Twisted Panda攻擊行動，中國駭客組織APT10（亦稱Cicada、Stone Panda）與Mustang Panda（亦稱HoneyMyte、RedDelta）聯手，針對俄羅斯國防公司Rostec旗下的兩個研究機構，以及位於白俄羅斯明斯克的實體下手，這些駭客假冒俄羅斯聯邦衛生部（Russian Ministry of Health），並以美國對當地企業進行制裁的名義，發動釣魚郵件攻擊，挾帶含有惡意內容的Word檔案。</p> <p>一旦收信人開啟，該文件就會從外部下載DOTM範本檔案，而這個Word範本內含的巨集程式碼則會從作業系統核心導入API函數並使用，進而載入名為cmpbk32.dll或cmpbk64.dll的程式庫，並在受害電腦植入後門程式Spinner。</p> <p>研究人員指出，根據他們進一步調查的結果，這些攻擊工具約從2021年3月開始開發，並採用進階的規避偵測手法，像是透過記憶體內多層載入，或是編譯器層級的混淆手法等，很可能約自2021年6月就用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/malwarebytes-news/2022/05/unknown-apt-group-has-targeted-russia-repeatedly-since-ukraine-invasion/"><span style="color: rgb(0, 0, 0);">中國駭客發起多次釣魚郵件攻擊，意圖對俄羅斯散布木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/process-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/process-1.jpg" style="width: 300px; float: right;" /></a>隨著烏克蘭戰爭的進行，有中國駭客暗中向俄羅斯政府發動攻擊，散布惡意軟體。資安業者Malwarebytes指出，他們從2022年2月至4月，發現疑似中國駭客發動了至少4次的網路釣魚攻擊，目的是向對方散布RAT木馬程式。</p> <p>第一起攻擊行動出現在俄羅斯入侵烏克蘭數日後，駭客以提供互動式的烏克蘭地圖為誘餌，想要引誘收信人上當；第二波攻擊行動中，駭客針對俄羅斯聯邦數位發展局、電信業者、聯邦大眾通訊部，宣稱提供Log4Shell漏洞修補程式，其中大部分釣魚郵件寄到了當地國有電視臺RT。</p> <p>而在第三起攻擊行動裡，這些駭客針對該國國防企業Rostec出手，並設置Rostec.digital網站、Instagram與臉書帳號，想要讓開啟信件的人認為真有這家公司；最後一起則是假冒沙烏地阿拉伯國家石油公司（Saudi Aramco）發出徵才訊息，並引誘收信人打開Word附件檔案後啟用巨集。</p> <p>研究人員指出，駭客透過控制流程扁平化（Control Flow Flattening）的手法，來混淆木馬程式的惡意內容，而使得這些駭客的意圖不易被察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://oag.ca.gov/system/files/2022-05-16%20-%20version%20A%20notice%20to%20individuals.pdf"><span style="color: rgb(0, 0, 0);">美國汽車製造商通用遭到帳號填充攻擊，導致車主資料外洩</span></a></strong></h3> <p>先前有駭客針對航空公司的里程點數下手，入侵旅客的帳號，但最近汽車產業走向數位轉型，有些車廠藉由提供車主保養記錄，並搭配消費贈送紅利點數的制度，長期經營客戶，有人鎖定上述汽車製造商提供車主的系統發動攻擊。</p> <p>美國汽車製造商通用（General Motors，GM）自5月16日開始，開始發送電子郵件通知部分車主，他們的GM帳號可能在4月11日至29日之間，出現異常登入的情形，而且，這些車主的紅利點數疑似遭到盜用。</p> <p>經過調查後發現，車主外洩的資料包含了姓名、電子郵件帳號、照片、搜尋記錄、累積點數的記錄等，不包括生日、社會安全碼、駕照、金融資訊。該公司察覺此事後已停用這些帳號的點數功能，並要求用戶重設密碼。</p> <p>而對於此事造成的原因，GM指出駭客是透過帳號填充（Credential Stuffing，亦稱撞庫）攻擊而得手，藉由車主已遭外洩的其他網站應用程式帳密，嘗試存取GM網站，他們呼籲用戶，不要在多個服務使用相同的帳號和密碼，讓攻擊者有機可乘。根據資安新聞網站Bleeping Computer的報導指出，GM的車主網站未提供雙因素驗證機制，也是這起事件之所以發生的另一項原因。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vpnmentor.com/blog/mgm-leaked-on-telegram/"><span style="color: rgb(0, 0, 0);">美高梅度假村外洩1.4億筆資料出現在Telegram頻道供人下載</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MGM-Telegram.png" style="width: 200px; float: right;" /></a>駭客透過加密通訊軟體Telegram的頻道，來洩露竊得資料的情況，有可能讓許多人能夠進行濫用。例如，美高梅度假村（MGM Resorts）於2020年上半傳出資料外洩，駭客在地下市集以2,900美元的價格，出售逾1.42億筆住宿資料，但最近這些資料傳出有人透過即時通訊軟體免費散布。</p> <p>VPN服務介紹網站vpnMentor的資安研究人員於5月22日表示，他們看到駭客在Telegram的頻道裡，免費提供上述外洩的資料，這些資料的檔案大小約8.7 GB，共有142,479,938筆住房記錄，至少有3千萬房客受到波及。這些資料的內容，包含了2017年以前的資料，內有房客全名、生日、地址、電子郵件信箱、電話號碼等。</p> <p>不過，上述事故並非駭客首度透過Telegram公布竊得的資料，在今年5月上旬，有人透過Telegram頻道散布2,100萬名VPN用戶的個資，這些服務包含了SuperVPN、GeckoVPN，以及ChatVPN。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/pdf-malware-is-not-yet-dead/"><span style="color: rgb(0, 0, 0);">攻擊者利用PDF檔案散布惡意程式Snake Keylogger</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pdf_malware_02.png" style="width: 200px; float: right;" /></a>駭客濫用PDF檔案發動攻擊的情況，雖沒有Office巨集檔案氾濫，但使用者仍不能掉以輕心，因為有人同時結合PDF檔案和Office巨集文件檔案出手。HP旗下的威脅情報團隊發現散布竊密軟體的攻擊行動，駭客近期利用名為匯款發票的名義，透過釣魚郵件挾帶有問題的PDF檔案，一旦收信人開啟，Adobe Reader就會要求載入一個DOCX檔案，駭客刻意將該文件檔名命名為「已經通過驗證」開頭，而使得對話框內容看起來像是「這個檔案已經通過驗證」，讓對方降低戒心依照指示開啟檔案並啟用巨集。</p> <p>一旦巨集啟用後，DOCX檔案就會下載RTF檔案，進而利用方程式編輯器已知漏洞CVE-2017-11882，在受害電腦部署Shell Code，最終下載竊密軟體Snake Keylogger。研究人員指出，駭客在攻擊行動中利用了4年前被公布的漏洞，代表上述漏洞仍能有效發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/vidar-distributed-through-backdoored-windows-11-downloads-and-abusing"><span style="color: rgb(0, 0, 0);">攻擊者以提供Windows 11更新的名義散布竊密軟體Vidar</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure%202.png" style="width: 300px; float: right;" /></a>微軟自去年底推出Windows 11後，有攻擊者以免費提供相關的安裝工具來發動攻擊。例如，資安業者Zscaler最近發現，有人架設假的Windows 11網站，來散布名為Vidar的竊密軟體，駭客使用了與此作業系統名稱相關的網域（如：ms-win11[.]com）讓受害者難以察覺有異。</p> <p>這些網站提供ISO映像檔下載，且檔案相當大，超過300 MB，研究人員指出駭客這麼做的目的，是為了規避防毒軟體偵測，而該映像檔內容含有EXE可執行檔，並冒用防毒業者Avast的過期簽章，來源疑似是2019年系統清理軟體CCleaner遭駭所洩露的簽章。研究人員分析後發現，實際的檔案大小只有3.3 MB，其餘為駭客填充的內容。</p> <p>一旦受害者執行該EXE檔案，電腦就會被植入Vidar，該竊密程式會從建置於加密即時通訊軟體Telegram、社群網站Mastodon伺服器的C2中繼站下載程式庫，進而竊取上網應用程式與網頁瀏覽器的資料。研究人員發現，這些駭客也以免費提供Adobe Photoshop的名義散布Vidar，他們呼籲使用者要從開發者的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/spicejet-airline-passengers-stranded-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">印度廉價航空SpiceJet遭勒索軟體攻擊，導致航班延誤起飛</span></a></strong></h3> <p>勒索軟體攻擊航空業者的事故，有可能導致航班受到波及。印度廉價航空業者SpiceJet於5月25日上午，證實前一天晚間部分系統遭到勒索軟體攻擊，而使得當天航班起降受到延遲，但表示IT團隊成功阻止攻擊行動，該公司運作將恢復正常。但在此同時，有許多該公司的客戶在推特、臉書上指出，他們不只遇到誤點，打電話給客服也不通，網路訂票系統亦無法使用。</p> <p>根據資安新聞網站Bleeping Computer進一步了解，只有SpiceJet的首頁、航班狀態頁面正常運作，該公司發言人表示，25日出現的航班誤點，是前一天的事故產生的連鎖效應，部分航班也被取消。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/protecting-android-users-from-0-day-attacks/"><span style="color: rgb(0, 0, 0);">網路間諜公司在2021年利用5個零時差漏洞對安卓手機植入惡意軟體</span></a></strong></h3> <p>間諜軟體Pegasus被植入iPhone手機，用於跟蹤政要、記者、民運人士的情況不時有消息傳出，但也有其他間諜軟體鎖定安卓手機下手的情況。根據Google的威脅情報小組（TAG）的統計，網路間諜公司Cytrox於2021年至少運用了5個安卓作業系統的零時差漏洞，其中有4個與Chrome有關（CVE-2021-37973、CVE-2021-37976、CVE-2021-38000、CVE-2021-38003），目的就是為了在受害人的手機植入間諜程式Predator。</p> <p>研究人員指出，這家網路間諜公司的客戶很可能在埃及、亞美尼亞、希臘、馬達加斯加、西班牙等國家。值得留意的是，該公司在零時差漏洞之外，也看上安卓生態圈部署更新檔案的時間落差，運用了尚待手機廠商推送修補程式的已知漏洞（N day）。研究人員正積極跟蹤逾30家專門向政府出售相關漏洞的供應商。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/"><span style="color: rgb(0, 0, 0);">雲達修補存在3年的伺服器BMC韌體漏洞Pantsdown</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png" style="width: 300px; float: right;" /></a>伺服器的基板管理控制器（BMC）元件，可供管理者進行遠端管理，一旦出現漏洞，很有可能被攻擊者用於掌控主機，但最近有研究人員發現，先前揭露的漏洞，影響的範圍可能還會更廣泛。資安業者Eclypsium指出，他們在2021年10月向雲達（QCT）通報，該廠牌有多款伺服器型號，受到BMC重大漏洞Pantsdown（CVE-2019-6260）影響，CVSS風險層級達9.8分。</p> <p>這項漏洞最早在2019年1月揭露，與臺廠信驊科技（Aspeed）生產特定版本的BMC元件有關，當時揭露的研究人員指出，該BMC的SoC硬體功能存在共用組態的情況，導致攻擊者可在未經授權就能執行惡意程式，並在BMC實體位址空間讀寫，而有可能藉接管伺服器，植入勒索軟體、竊密，或是關閉BMC，甚至有機會攻擊其他伺服器。雲達獲報後已著手修補，但表示這些新版韌體將私下提供客戶，不會公開發布。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆、無線基地臺、AP控制器漏洞</span></a></strong></h3> <p id="Zyxel">臺廠兆勤科技於5月24日，發布資安通告，修補旗下防火牆、無線基地臺、AP控制器等多項產品的漏洞，這些漏洞包含了CVE-2022-0734、CVE-2022-26531、CVE-2022-26532、CVE-2022-0910。其中最嚴重的是CVE-2022-26532，這是追蹤流量封包的CLI命令漏洞，波及該廠牌的防火牆、無線基地臺、AP控制器等設備，攻擊者可在取得本機權限的情況下，利用此漏洞於CLI命令注入惡意參數，進而執行作業系統的命令，CVSS風險評分為7.8分。</p> <p>另一個需要注意的部分，有些漏洞只影響特定類型的產品。CVE-2022-0734、CVE-2022-0910會影響防火牆產品，前者為跨網站指令碼（XSS）漏洞，後者為CGI程式存取權限控制不當漏洞，恐讓雙因素驗證降級，使得攻擊者可繞過第2層驗證。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291042"><span style="color: rgb(0, 0, 0);">趨勢科技修補已遭中國駭客濫用的DLL挾持漏洞</span></a></strong></h3> <p id="Zyxel">資安業者於5月初，揭露<a href="https://www.ithome.com.tw/news/150742#Moshen-Dragon">中國駭客組織Moshen Dragon在攻擊行動中，濫用多個廠牌的防毒軟體元件執行惡意程式</a>，最近有防毒業者針對旗下產品修補相關弱點。根據資安新聞網站Bleeping Computer的報導，趨勢科技於5月20日發布資安通告，表示他們針對Moshen Dragon駭客組織利用的漏洞著手修補，並已透過主動式更新機制（ActiveUpdate）派送到用戶電腦。該公司指出，這項漏洞波及的範圍，主要是個人版的端點防護產品，企業版解決方案不受影響，但沒有明確列出受影響的產品名單。</p> <p>但對於其他遭到駭客濫用的防毒軟體元件，相關業者是否會跟進予以修補？<a href="https://www.bleepingcomputer.com/news/security/trend-micro-fixes-bug-chinese-hackers-exploited-for-espionage/">資安新聞網站Bleeping Computer指出</a>，目前僅有Bitdefender向他們提出說明，表示旗下防毒產品用戶不會受到DLL搜尋順序挾持（DLL Search Order Hijacking）攻擊影響，該公司也不會發布資安通告。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/05/vuln-spotlight-open-automation-platform.html"><span style="color: rgb(0, 0, 0);">物聯網與工控設備資料自動化處理平臺OAS重大漏洞恐造成資訊洩露、服務停擺</span></a></strong></h3> <p id="Zyxel">資料自動化排程及處理系統的資安威脅，有可能洩露組織的機敏資料，甚至讓攻擊者遠端執行任意命令。思科威脅情報團隊Talos指出，他們在自動化系統Open Automation Software Platform（OAS Platform）上，找到8個漏洞，當中包含了重大漏洞CVE-2022-26833與CVE-2022-26082，這兩個漏洞的CVSS風險評分達到9.4分、9.1分。攻擊者一旦利用這些漏洞，就有可能在未經身分驗證的情況下使用REST API，或是能執行任意程式碼。</p> <p>其餘的6個漏洞，部分可讓攻擊者透過偽造的網路請求，發動阻斷服務（DoS）攻擊，有的則能讓攻擊者取得資料夾清單，甚至能截取使用者帳密列表，而也有漏洞可被攻擊者用於從外部竄改組態，建立新的群組與使用者帳號。</p> <p>上述漏洞OAS獲報後，已發布OAS Platform 16.00.0112版予以修補，研究人員呼籲用戶應儘速安裝新版程式。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@h4x0r_dz/vulnerability-in-paypal-worth-200000-bounty-attacker-can-steal-your-balance-by-one-click-2b358c1607cc"><span style="color: rgb(0, 0, 0);">PayPal漏洞可被駭客用於點擊劫持攻擊，挾持用戶帳號與金錢</span></a></strong></h3> <p id="Zyxel">研究人員揭露去年通報的漏洞，有可能被用於點選挾持攻擊（Clickjacking）而引起外界關注。資安人員h4x0r_dz最近公布他在去年10月向PayPal通報的漏洞，並指出攻擊者一旦利用這項漏洞，有可能藉著劫持網頁上可點選的內容，引誘使用者點選另一個網頁上的按鈕或是連結。</p> <p>該名研究人員指出，攻擊者可透過這樣的管道，從他人的PayPal帳號偷取金錢，或是利用受害者的PayPal帳號，為自己的Netflix、Steam等線上服務儲值。研究人員也提供概念性驗證攻擊影片驗證上述漏洞。PayPal獲報後已修補相關漏洞，並提供20萬美元獎勵。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-exploit-for-new-vmware-auth-bypass-patch-now/"><span style="color: rgb(0, 0, 0);">針對VMware修補的身分驗證重大漏洞，研究人員預告將發布概念性驗證攻擊程式</span></a></strong></h3> <p id="Zyxel">VMware於5月18日修補CVE-2022-22972、CVE-2022-22973（CVSS風險層級為9.8分與7.8分），<a href="https://www.ithome.com.tw/news/151000#CVE-2022-22972">美國更要求聯邦機構要在5天內著手處理</a>，現在有資安業者拆解漏洞後提出警告。資安業者Horizon3.ai近日表示，他們已經成功重現存在於Workspace ONE等產品的漏洞CVE-2022-22972，該公司也預告將會發布概念性驗證攻擊程式（PoC），以及對於該漏洞詳細的技術細節。研究人員亦呼籲用戶要儘速採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-redis-ABJyE5xK"><span style="color: rgb(0, 0, 0);">思科修補的IOS XR路由器作業系統軟體零時差漏洞，已出現攻擊行動</span></a></strong></h3> <p id="Zyxel">思科於5月20日發布資安通告，指出他們修補了已遭利用的路由器作業系統軟體IOS XR漏洞CVE-2022-20821，攻擊者一旦利用這項漏洞，就可能在未經身分驗證的情況下，遠端存取NOSi Docker容器裡執行的Redis實例。該公司指出，這項漏洞與軟體運作狀態的健康監控機制裡，預設會開放TCP的6379埠有關，從而讓攻擊者能用來連線Redis實例，甚至將任意檔案寫入容器檔案系統，並瀏覽Redis資料庫的內容。</p> <p>針對上述漏洞的影響範圍，該廠牌8000系列的路由器，並部署及啟用上述提及的軟體狀態監控機制，就有可能曝露於這項漏洞的風險當中。由於該公司的產品資安事件應變小組（PSIRT）在本月發現相關攻擊行動，他們呼籲用戶要儘速安裝新版軟體，或是採取緩解措施因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151131"><span style="color: rgb(0, 0, 0);">Zoom修補可讓攻擊者任意傳送訊息的漏洞</span></a></strong></h3> <p id="Zyxel">隨著遠距工作成為常態，視訊會議系統一旦出現漏洞，有可能讓他人可以隨意向用戶發送訊息。Zoom於5月17日發布用戶端軟體5.10.0版，這個版本修補了Google研究人員通報的4項漏洞，影響電腦版（Windows、macOS、Linux）與行動裝置（Android、iOS）用戶。</p> <p>這些漏洞個別的CVSS風險層級為5.9分至8.1分，但研究人員指出，駭客一旦串連上述4個漏洞，就有可能發動XMPP Stanza Smuggling的攻擊行動，進而以發送XMPP訊息的方式，從遠端伺服器下載並部署惡意程式到對方裝置上，而且過程中無須受害者執行任何操作。Zoom呼籲用戶儘速更新軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://news.softpedia.com/news/mozilla-releases-firefox-100-0-2-with-critical-security-fixes-535426.shtml"><span style="color: rgb(0, 0, 0);">Mozilla修補瀏覽器與收信軟體重大漏洞</span></a></strong></h3> <p id="Zyxel">Mozilla於5月20日發布資安通報，該公司近期修補了電腦版、行動裝置版Firefox瀏覽器，以及收信軟體Thunderbird的兩個重大漏洞CVE-2022-1802、CVE-2022-1529，與Top-Level Await實作的原型鏈污染（Prototype Pollution）有關，一旦攻擊者利用這些漏洞，就有可能藉由上述軟體執行惡意JavaScript指令碼。</p> <p>雖然該公司僅指出這些漏洞為重大層級，並未列出CVSS評分，但根據IT業者紅帽的資安通告，兩個漏洞的危險程度都達到8.8分。Mozilla發布電腦版瀏覽器Firefox 100.0.2、ESR 91.9.1、收信軟體Thunderbird 91.9.1，以及安卓版本Firefox 100.3，並呼籲用戶應儘速安裝新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/5/18/pwn2own-vancouver-2022-the-results"><span style="color: rgb(0, 0, 0);">漏洞挖掘競賽Pwn2Own溫哥華賽事落幕，參賽者找出Windows 11、Ubuntu、特斯拉汽車漏洞</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MOP%2BLeaderboard.png" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own 2022 Vancouver於5月18日至20日，在加拿大溫哥華舉行，此賽事正逢Pwn2Own邁入第15週年。本次共有17個隊伍參賽，總共有21個攻擊目標，Zero Day Initiative（ZDI）總共發出了115.5萬美元的獎金，並由Star Labs團隊以27點的成績得到最高分，抱走抓漏大師（Master of Pwn）的殊榮。</p> <p>在這3天的賽程裡，最引起關注的是每一天都有參賽者成功攻陷Windows 11作業系統，總共找出6個漏洞。其次，則是微軟的Teams、Ubuntu桌面版本、特斯拉Model 3，以及Firefox與Safari瀏覽器都遭到破解。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/147240"><span style="color: rgb(0, 0, 0);">美國允諾不會控告從事資安研究的白帽駭客</span></a></strong></h3> <p id="Zyxel">資安威脅加劇，政府與企業往往需要藉由白帽駭客協助，找出軟體的資安漏洞，但這些人士遭到相關廠商或單位控告的情況屢見不鮮，例如，有記者在去年10月，<a href="https://www.ithome.com.tw/news/148740#DESE">通報密蘇里州中小學教育網站DESE曝露教職員個資</a>，卻傳出該州州長認為記者入侵網站而打算起訴。<a href="https://www.ithome.com.tw/news/147240">自去年零時差立法專案（Zero Day Legislative Project）提出呼籲，政府應修改過時法律保護白帽駭客</a>，最近美國政府終於釋出善意。<a href="https://www.justice.gov/opa/pr/department-justice-announces-new-policy-charging-cases-under-computer-fraud-and-abuse-act">美國司法部於5月19日表示</a>，針對自1986年施行的電腦詐欺與濫用法（CFAA），他們將修改實施的政策，不會依據相關法令控告善意進行研究的資安人員。</p> <p>但這項消息一出，多個非營利組織與新聞媒體認為，新政策對相關研究人士的保護仍然不足。例如，電子前線基金會（EFF）指出，新政策很可能因明文列出無罪行為，造成更多不在範圍的資安研究、揭露遭到起訴；ZDNet分析新政策內容認為，美國司法部列出的範圍與時下電腦安全研究相差甚遠；TechCrunch表示，該單位沒有將相關做法納入法律而是只有調整政策，很可能日後生變。</p> </div></div></div>
2022/5/28 11:29作者周峻佑https://www.ithome.com.tw/news/151190
知名AI研究機構AI2發布通用電腦視覺模型基準測試GRIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基準測試（Benchmark）對於人工智慧發展至關重要，因為其提供了量化結果，比較不同模型的效能，使得研究人員得以掌握研究的方向，而現在知名人工智慧研究機構艾倫研究所（AI2）發表了更加強健的電腦視覺基準測試<a href="https://allenai.org/project/grit/home">GRIT</a>，能夠以7項任務，全面評估電腦視覺模型的能力。</p> <p>官方提到，當測試分布與訓練分布相似時，電腦視覺模型很擅長作出預測，但是這類模型未能如同生物視覺一樣，無法從多個來源學習之後，獲得解決新資料源和新任務的能力。因此為了促進通用視覺系統的開發和評估，AI2發布了GRIT（General Robust Image Task）基準測試。</p> <p>GRIT涵蓋各種圖像預測任務、概念和資料來源，可有效評估視覺系統的效能、強健性和校凖。GRIT中總共有7項任務，能夠評估模型一系列視覺技能，包括物件分類、物件定位、參考表達基礎、視覺問答、分割、人體關鍵點偵測和表面法向量估算。</p> <p>GRIT可用於3個研究方向，通用視覺模型、強健專業模型以及高效學習。GRIT有助於評估具有一系列廣泛技能的通用視覺模型，同時GRIT也簡化並統一了錯誤資訊的量化、校準和泛化，使研究人員更容易發現錯誤，藉此讓模型更加強健。</p> <p>另外，GRIT基準測試包含了受限制與不受限制的類別，受限制的測試中，GRIT將訓練資料限制在一組特定但豐富的資料源中，使模型研究聚焦在更科學和有意義的比較上，官方提到，這樣的限制是為了鼓勵研究人員開發有效的學習方法，而不是專注在當前追求大量訓練資料的大型模型所主導的範式。當然，不受限制的類別，在訓練資料方面則提供更大的靈活性，來測試經大量資料和訓練的模型。</p> </div></div></div>
2022/5/27 23:20作者李建興https://www.ithome.com.tw/news/151182
預見資料中心2025新風貌
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月下半適逢台北國際電腦展舉行，因為臺灣COVID-19疫情大暴發，仍處於居高不下的狀態，僅有部分廠商在南港展覽館秀出旗下最新解決方案，然而，網路無國界，仍有多家IT大廠按往年慣例，透過線上論壇的主題演講發布重要消息。</p> <p>而在資料中心領域，尤其是伺服器硬體的部分，隨著近幾年來廠商運算平臺的推陳出新，不僅面臨核心架構、記憶體、I/O、網路、儲存等層面的技術規格世代交替變革，連帶也帶來更大的電力消耗與散熱需求。</p> <p>關於這股趨勢，我們可從近期處理器的相關規格看出端倪。就伺服器CPU的最高熱設計功耗而言，去年上半問世的AMD第三代EPYC為280瓦，英特爾第三代Xeon Scalable為270瓦。若是資料中心GPU，今年最新發表的Nvidia H100為700瓦，AMD Instinct MI200系列最高為500瓦，尖峰可至560瓦。</p> <p>基本上，每一臺伺服器大多會搭配1、2顆CPU，有些甚至會搭配4、8顆CPU，而資料中心GPU若產品形式是SXM或OAM，每一臺GPU伺服器會搭配4或8個資料中心GPU，有些則會搭配到16個之多，因此，每當廠商推出伺服器來搭配這些新出的CPU與GPU，我們也會去注意它們可能採用新的設計，因應持續增長的供電與散熱需求。</p> <p>對此，我們看到Supermicro創辦人暨執行長梁見後在今年Computex主題演講當中，特別提到：350瓦的CPU與700瓦的GPU是未來資料中心即將要面對的運算規格。GPU目前這方面的態勢最顯著，但我們目前僅看到Nvidia展現這樣的支援──今年3月GTC大會期間，宣布推出新AI整合應用伺服器DGX H100，搭配8個熱設計功耗為700瓦的H100 GPU（CPU僅知將搭配2顆x86架構處理器）。</p> <p>而在Nvidia提供伺服器廠商、用來建構GPU伺服器的整合基板HGX，我們也可以從該公司公布的規格，理解到單臺GPU伺服器面臨的功耗有多大。以HGX A100而言，有4-GPU、8-GPU、16-GPU等選擇，而今年最新發布的HGX H100，則有4-GPU、8-GPU、256-GPU（應是1座Pod，而非1臺伺服器），因此，若是採用HGX H100 4-GPU的伺服器，電源需求與散發的熱量很可觀。</p> <p>想要在兼顧效能提升的狀況下，減少或抑制這些高性能處理器與加速晶片的耗電量，往往需要許多硬體工程層級的技術突破，不只是製程改良，也可能要從固態電路著手，因此，除了在HotChips這樣聚焦在晶片的活動中，能看到處理器與加速運算技術的持續演進，廠商也積極參與國際固態電路研討會（ISCC），向全球工程人員發表技術創新。</p> <p>克服電量需求之餘，冷卻、散熱方式的多樣又是另一個資料中心須關注的議題。不少伺服器廠商正積極拓展這個領域的應用，紛紛提供液態冷卻、水冷的搭配選項，不過，先前我們總是以為這只是為了支援高效能運算（HPC）類型應用的產品，才需要相關配備，然而，眼見三大運算平臺廠商新一代伺服器級CPU與GPU的熱設計功耗逐漸攀升，採用液態冷卻與水冷設計的主流伺服器將日益常見，有可能會更大量出現在一般的企業資料中心，而不只是在學界的超級電腦或雲端服務業者的機房，因此，現有的資料中心設施能否充分支援這樣的設備，以及是否影響新機房的建置方式，都是需注意的部分。</p> <p>關於液態冷卻技術的展現，我們在2019年台北國際電腦展期間，曾看到緯穎（Wiwynn）展出兩相浸沒式液冷系統，當中採用支援OCP規格的伺服器、48V技術，以及3M公司的Fluorinert電子氟化液設計。</p> <p>後續也有多家廠商發出這方面的消息，例如，技嘉（Gigabyte）今年上半宣布協助用戶建置兩相浸沒式液冷機房，以及單相浸沒式冷卻方案。</p> <p>去年台北國際電腦展前夕，Supermicro宣布推出液冷解決方案，其GPU伺服器、刀鋒伺服器、多節點伺服器、機架式伺服器，均可搭配液冷技術，他們也設計出多種方案，包含晶片導向（D2C）、浸沒式、節能背板冷卻器（RDHx）來因應不同需求，而在今年，他們強調，將不只供應氣冷、液冷裝置，還提供可熱抽換的水泵（water pump）。</p> <p>面對不同廠商的研發與供給，這類散熱技術勢必日趨成熟，接下來的挑戰，應該在於用戶接受度，這將涉及設備的建置成本，以及IT人能否具備足夠能力來進行日常維護。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E6%B6%B2%E6%85%8B%E5%86%B7%E5%8D%BB">液態冷卻</a></div><div class="field-item even"><a href="/tags/%E6%B0%B4%E5%86%B7%E8%A8%AD%E8%A8%88">水冷設計</a></div><div class="field-item odd"><a href="/tags/%E4%BC%BA%E6%9C%8D%E5%99%A8-0">伺服器</a></div><div class="field-item even"><a href="/tags/%E6%95%A3%E7%86%B1">散熱</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/%E6%A9%9F%E6%88%BF">機房</a></div></div></div>
2022/5/27 23:30作者李宗翰https://www.ithome.com.tw/voice/151165
從四種科技應用理解元宇宙意涵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yuan_yu_zhou_-zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">大塊文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在於智慧型手機、電腦、網路等數位媒介的嶄新世界──數位化的地球──被稱為元宇宙。元宇宙（metaverse）是合成語，由代表超越與虛擬的meta和代表世界及宇宙的universe組成，意指超越現實的虛擬世界。直到當下這一瞬間，元宇宙的型態仍在持續進化，所以很難用固定的單一概念來定義。將日常生活上傳至Facebook、Instagram和KakaoStory；加入網路論壇的會員，在社群中活動；享受線上遊戲的樂趣──這些全都是在元宇宙中生活的方式。</p> <p><span style="font-size:28px;"><strong>嶄新的世界，數位地球：逐漸移動到元宇宙的生活</strong></span></p> <p>技術研究團體ASF（Acceleration Studies Foundation）將元宇宙分成四個種類：擴增實境（augmented reality）世界、生活日誌化（lifelogging）世界、鏡像世界（mirror worlds）以及虛擬世界（virtual worlds）。</p> <p>你曾用智慧型手機的應用程式抓精靈寶可夢嗎？你曾用抬頭顯示器（HUD: Head Up Display）將導航地圖投影在汽車擋風玻璃上嗎？又或者是使用手機相機掃描書上的QR-Code時，看到書頁上跑出會移動的動物嗎？如果有上述經驗，就代表你體驗了擴增實境的世界。</p> <p>你曾將某天的美食照上傳到Instagram嗎？曾經拍下最近讀過的書籍封面上傳到Facebook 嗎？曾把讀書或工作的模樣拍成Vlog上傳嗎？如果有，那你就是享受了生活日誌化世界的樂趣。</p> <p>加入過偶像歌手的官咖嗎？用過視訊會議軟體上遠距課程或進行遠距會議嗎？曾在外送民族的應用程式點餐過嗎？或透過Airbnb 預約住宿？如果你這麼做過，就等於是體驗了鏡像世界。玩過線上遊戲嗎？看過史蒂芬．史匹柏（Steven Spielberg）製作的電影《一級玩家（Ready Player One）》嗎？這些就是所謂的虛擬世界。</p> <p>外星環境地球化（terraforming）又名地球化、行星改造。意思是將宇宙中其他非地球的行星，改造成與人類居住的地球相似的環境。觀察元宇宙、數位地球的形成過程，會發現那和地球化的過程很類似。目前人們正在觸碰不到的空間──數位空間──裡，打造適合人生活的環境。以下將從人類學的觀點，大略地瀏覽這個過程。</p> <p>現在的人類，也就是目前生活在21世紀的人，其最具代表性的稱呼就是「智人（Homo Sapiens）」，意指思考的人。雖然出現在地球上的智人有很長一段時間都待在非洲大陸上，並未有太大的演化成長，但大約在3萬年前，他們於末次冰期開始拿石頭製作各種工具、大量群居，因而有飛躍性的成長。智人飛躍性成長的基礎來自人類思考的能力。</p> <p>以19世紀初的工業革命為起點，出現了一個新的詞彙來稱呼人類。那就是製作工具來運用的人類──「工匠人（Homo Faber）」。若說智人專注於構想不存在的事物，並將思考結果傳達給同類，那麼工匠人就是專注在將構想的結果製作成肉眼可見的工具，然後再活用那些工具，更快速、廉價且大量地製做出各式各樣的貨品。若用1公尺長的圖表來呈現智人出現的20萬年前到現今人類歷史的發展，我們現在所使用的大部分的工具和技術，等於都是在最後的1毫米內才畫出來的。</p> <p>2018年主計處發表了一個有趣的報告，研究主題為「人們最喜歡哪一項近代發明？」雖然可能會讓人有些意外，但根據調查結果顯示，第一名是冰箱。第二到五名依序是網路、電腦、洗衣機和電視。在這裡我要問大家一個問題：「位居第二、三、五名的東西如果合成一個，會變成什麼？」</p> <p>而且如果稍微以更廣義的角度來看待這個答案，它甚至能讓人放棄第一名的冰箱和第四名的洗衣機。應該已經有很多人猜到答案是什麼了。</p> <p>那就是現代人最喜愛的物品，一個絕對不會放在遠處的物品，而且還是在你外出時，除了名牌之外，身上最昂貴的東西──智慧型手機。在21世紀初發明的智慧型手機，如今已不再是單純的電器，而是逐漸成為現代人身體的一部分。認知自己的身體屬於自己，而且能由自己來控制，這種感受被稱為「身體覺知」。智慧型手機已經被納入現代人身體覺知的範圍中了。</p> <p>不過，現代人都用這個既昂貴又猶如自己部分身體的智慧型手機來做些什麼呢？以下會稍微介紹位居智慧型手機世界中心的企業──蘋果（Apple）。以2020年9月為基準，蘋果的市值超過1兆9千億美元，在全世界眾多企業中位居第一名。蘋果App Store每年的銷售額都上看天文數字。以2019年為例，該年銷售額約達470億美元，利潤約有14億美元。那麼人們在蘋果App Store主要都下載什麼樣的應用程式呢？各別確認韓國、美國、歐洲等市場的統計結果會發現，不論是哪個國家還是地區，都沒有太大的差異。在下載數前1到20名的應用程式中，遊戲占了70％，其餘的30％主要是社群媒體和影音串流應用程式。當然，下載數的排名和App Store的銷售額並不成正比，因為有很多附加程式都要在應用程式內購買。不過可以確定的是，世人主要都把智慧型手機用來玩遊戲和社群媒體，以及在影音串流平台上收看影片。不覺得有點奇怪嗎？那麼昂貴的智慧型手機，為什麼主要都用在遊戲、社群媒體和影音串流平台上呢？這類活動對人類而言具有什麼樣的意義？</p> <p><span style="font-size:28px;"><strong>數位行星改造：在元宇宙裡打造遊樂場</strong></span></p> <p>為了了解這點，接下來要說明稱呼現代人類的第三個關鍵字「遊戲人（Homo Ludens）」。遊戲人是荷蘭的史學家惠欽格（Johan Huizinga）為了稱呼現代人而發明的詞彙。這意味著人類的歷史以及一切活動和互動的基礎，都是建立在遊戲和樂趣之上。在沒有現在這種智慧型手機、電腦和遊戲機的時期，甚至是原始人時期，人類除了狩獵和生計之外，就已經在享受遊戲的樂趣了。原始時代的洞窟壁畫上，畫有人們跳舞或披著獸皮玩耍的模樣。人類為了充分享受遊戲的樂趣，也為了避免在遊戲過程中發生爭執，還制定了遊戲規則。因為他們體會到玩遊戲要遵守規則，才不會有人吃虧，大家也才都能玩得盡興。為了玩樂而制定規則、享受遊戲的行為，演變成在群體中制定所需規則和法律的基礎。為了玩樂而制定、遵守規則的行為，則成為了一種文化。自此人們開始遵守共同的約定，例如：狩獵時該遵守什麼規則，而獵捕到的肉類和採集到的東西又該遵行什麼樣的規則來分享。另外，何時何地該由誰來做什麼，要用什麼方法來玩耍，每個群體都不盡相同，隨著時間流逝，這類差異成了各個群體形成不同文化的背景。總之，人類天生就喜歡玩樂，而且為了玩得更盡興還制定了規則，於是這些規則就成為群體擬定規範和法律、形成文化的基礎。</p> <p>元宇宙形成的過程中也出現了與此相似的脈絡。在擴增實境世界、生活日誌化世界、鏡像世界和虛擬世界這四個元宇宙中，最先登場且在種類及規模方面成長速度最快的元宇宙，就是虛擬世界。其中線上遊戲為虛擬世界元宇宙的開端，同時也是最具代表性的內容。喜歡遊戲的人類，也就是遊戲人，開始用人類最愛的工具──電腦、網路、智慧型手機──玩線上遊戲，而線上遊戲的文化促使涵蓋虛擬世界的元宇宙向外擴張。（本文摘錄整理自《登入元宇宙》，大塊文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%83%E5%AE%87%E5%AE%99-300(2).jpg" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">登入元宇宙：解放自己，擴增夢想的次元</span></strong></p> <p>金相均／著；張雅眉、彭翊鈞／譯</p> <p>大塊文化出版</p> <p>售價：450元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>金相均</strong></p> <p>金相均教授是韓國首屈一指的「元宇宙」專家，現任職韓國慶熙大學。大體上就是在研究如何讓使用者移動至元宇宙並沉浸在其中。金相均教授以此主題為中心，並憑藉著獨特的跨域經驗參與了三星、LG、GS、現代汽車等集團、國家公務員人才開發院、中央教育研修院、食品醫藥品安全處、韓國科學創意財團、韓國文化產業振興院等公家機關，以及國外教育和製造業的企劃，並在廣播、講座等各領域積極推廣介紹元宇宙。</p> </div></div></div>
2022/5/27 23:44未署名https://www.ithome.com.tw/article/151134
Martin Fowler談企業級軟體架構模式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1999年春天，我飛抵芝加哥為ThoughtWorks公司正在開發的一個專案擔任顧問。ThoughtWorks是一個規模雖小但正在快速成長的應用程式開發公司。這個專案是一個後端租賃系統，屬於那種極具挑戰性的企業級應用程式。簡單來說，它處理的是客戶簽字承租之後所有與租賃相關的商業行為，像是寄送帳單、處理某些租客對租賃資產的改造、追蹤那些遲繳帳單的租客，以及處理某位租客提前歸還資產等情形。在你意識到租賃合約是高度複雜且總是在不斷變化之前，上述情況聽起來好像不會太難處理。但它的商業「邏輯」幾乎不能套用任何現有的邏輯模式，畢竟這些合約內容是商人們為了獲取生意所制定的，合約條款中一些古怪的調整變動，都可能成為贏得某筆交易的關鍵。因此，每次交易的小勝利也都意味著增加系統的複雜性。</p> <p>這類事情總讓我興奮不已：如何設計一個可以追蹤並處理高度複雜問題的物件導向系統。事實上，物件導向最大的優點在於它能使複雜的邏輯易於管理。為複雜的商業邏輯開發一個好的Domain Model（領域模型），其過程是非常困難的，但結果會是非常令人滿足。</p> <p>當然，事情並非僅僅是開發領域模型這麼簡單。我們的領域模型必須要能持續保留到資料庫中，而像過去許多專案一樣，我們使用的是關聯式資料庫。我們必須將這個模型連結到使用者介面，還要支援遠端應用程式使用我們的軟體，以及整合我們的軟體與第三方軟體。上述工作都基於一種叫做J2EE的新技術，在當時，這是全世界尚未有人實戰應用過的技術。</p> <p>雖然J2EE是一項嶄新的技術，我們仍然能夠從以往的經驗中得到幫助。我曾經使用C++、Smalltalk和CORBA來開發系統。ThoughtWorks公司中則有許多人有Forte方面的經驗。當時我們已經有了關鍵基礎架構，只需要搞清楚如何將它應用在J2EE上。現在回過頭來看三年前的設計，雖然不盡完善，但已經可以說是通過時間的考驗了。</p> <p>上述情況正是我撰寫這本書的出發點。多年來我看過許多企業級專案，這些專案通常都包含相似的設計思路，也已經被證明可以有效地處理企業級應用程式中不可避免的複雜性。這本書的目的，就是將這些設計思路轉化為模式的一個起點。</p> <p>這是一本有關企業級應用程式設計的書籍。企業級應用程式涉及大量複雜資料的顯示、操作和儲存，以及對這些資料進行商業流程自動化。典型的範例有預約系統、財務系統、供應鏈系統及其他驅動現代商業運作的系統。企業級應用系統不同於嵌入式系統、控制系統、電信系統及桌面應用軟體，它們有自己特有的挑戰及解決方案。</p> <p>在建置企業級應用程式時會遇到許多架構問題。本書很難一一詳細列舉。本書討論的主要議題為：</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 企業級應用程式的分層</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 建構領域（商業）邏輯</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 建構Web使用者介面</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 將記憶體模組（特別是物件）連結到關聯式資料庫</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 在無狀態環境下處理工作階段（session）狀態</strong></span></span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>● 分散式原則</strong></span></span></p> <p>這本書並不打算針對任何特定的軟體平台。我在20世紀的80年代末期和90年代初期使用Smalltalk、C++和CORBA的時候第一次遇到這些模式。在90年代後期，我開始使用Java進行大量的工作，發現這些模式很好地適用於早期的Java/CORBA系統和後來基於J2EE的工作。最近，我一直在使用Microsoft的.NET平台進行一些初步工作，發現這些模式再次適用。我的ThoughtWorks同事也分享了他們的經驗，尤其是在Forte方面。我不能聲稱這些模式在所有（曾經或即將）被用於開發「企業級應用程式」的平台上都是通用的，但目前為止，這些模式已顯示出足夠的可重覆使用性。</p> <p>我為大多數的模式提供了範例程式碼。我選擇的程式語言是我認為大多數讀者都可以閱讀和理解的語言。Java在這裡是一個不錯的選擇。任何能閱讀C或C++的人都可以閱讀Java，但Java遠不如C++複雜。基本上，大多數的C++程式設計人員都可以閱讀Java，但反之則不然。我是一位物件信徒，所以我不可避免地傾向於物件導向語言（OO language）。因此，大多數的程式碼範例都是用Java撰寫的。在我寫書當下，Microsoft的.NET環境逐漸成熟，對於作者來說，它的C#語言與Java擁有許多相同的屬性。因此，我也用C#做了一些程式碼範例，儘管這會帶來一些風險，因為開發人員在.NET方面經驗尚且不足，它使用的術語可能還未形成慣例。它們兩者都是基於C語言，因此，如果你可以閱讀其中一種語言，你應該能同時讀懂這兩種語言，即使你並不熟悉另一種語言或平台。我的目標是使用一種讓最多軟體開發人員能夠閱讀的語言，即使它不是他們主要或首選的語言。（我要向喜歡Smalltalk、Delphi、Visual Basic、Perl、Python、Ruby、COBOL或其他語言的讀者道歉。我知道你們認為有一種比Java或C#更好的語言，我也認為如此！）</p> <p>這些範例是為了啟發和解釋模式中的想法。它們並不是能直接使用的解決方案；任何情況下，你都需要做大量的工作才能將它們融入你的應用程式之中。模式只是一個好的開始，但它們並不是終點。</p> <p><span style="font-size:28px;"><strong>目標讀者</strong></span></p> <p>我的目標讀者是那些正在建置企業級應用程式，並希望加強對架構問題的理解和溝通的程式開發人員、設計人員與架構師。</p> <p>我假設我的大多數讀者歸為兩類：一些人有適度的需求並希望建置自己的軟體，另一些人則有大規模的需求，並且將使用某個工具。對於那些有適度需求的人，我的意圖是，這些模式應該讓你有一個好的起點。在許多領域，你需要的不僅僅是模式所能提供的，我將在本書提供一個比我當初進入此領域時更高的起點。對於工具的使用者，我希望這本書能讓你瞭解幕後發生的事情，也幫助你選擇哪一種工具適合哪一種模式使用。例如，使用O/R Mapping工具同時意味著你必須決定如何對應（map）某些情境。閱讀這些模式應該可以為你提供一些做出選擇的指引。</p> <p>由於模式是將反覆出現的問題，淬鍊成通用的解決方案，因此，你很有可能已經遇過其中的一些情境。如果你已經在企業級應用程式中工作了一段時間，那麼你可能對其中的大部分模式瞭若指掌。我不是要聲稱本書中有任何新的內容；事實上，我想聲稱的恰恰相反，這是一本（關於我們軟體產業）舊調重彈的書籍。</p> <p>如果你是這一領域的新手，我希望本書能幫助你瞭解這些技術。如果你熟悉這些技術，我希望本書能幫助你與他人交流和傳授它們。模式的一個重要作用是嘗試建置一個共通的詞彙，例如，你可以說這個類別是一個Remote Facade（遠端外觀），其他的設計人員會懂你想表達的意思。（本文摘錄整理自《Martin Fowler的企業級軟體架構模式》作者序，博碩文化提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-300(1).jpg" style="width: 300px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span><span style="background-color:#FFFFFF;"> </span></span><span style="color:#3399ff;">Martin Fowler的企業級軟體架構模式：軟體重構教父傳授51個模式，活用設計思考與架構決策</span></strong></p> <p>Martin Fowler／著；陳傳興、張立顗／譯</p> <p>博碩文化出版</p> <p>售價：800元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>Martin Fowler</strong></p> <p>Martin Fowler是ThoughtWorks公司的首席科學家（ThoughtWorks是專業的企業級軟體開發與系統整合公司）。早在1980年代，他就是率先使用物件技術建置多分層企業級應用程式的領航者。他也是多本經典名著的作者，包括《Analysis Patterns》、《UML Distilled》、《Planning Extreme Programming》和《Refactoring》等等，以上書籍由Addison-Wesley出版。他的個人網站：<a href="http://www.martinfowler.com">www.martinfowler.com</a>。</p> </div></div></div>
2022/5/27 23:49未署名https://www.ithome.com.tw/article/151135
函式？類別？可呼叫物件！
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python中，我們可以使用def定義函式，或者透過lambda建立匿名函式，還有哪些場合會建立函式呢？類別的方法？若單純在類別上定義方法，透過類別「名稱.方法」確實可取得函式，也就是function類別的實例。</p> <p>不過，如果是@classmethod標註的方法，就不是了，透過「類別實例.方法」取得的綁定方法（bound method）也不是，事實上，它們都會是method類別的實例。</p> <p>嗯？它們不是可以像函式一樣地呼叫嗎？是的！不過，這類在Python中具有函式呼叫行為的物件，其實是可呼叫（callable）物件，具體而言，就是實現了__call__方法的物件。</p> <p><span style="font-size:28px;"><strong>是函式還是類別？</strong></span></p> <p>Python中有許多長得像函式的物件，如果命名上又特意以小寫名稱開頭，使用上，就真的跟函式沒有兩樣了。</p> <p>例如，我們在迭代物件時，最常使用的range、enumerate、zip等，並不是函式，只需透過type來查詢一下，就能夠知道這些其實都是類別。</p> <p>我曾想過：Python中要建立類別實例，為什麼不需要使用new之類的關鍵字來進行嗎？當然，單純認為語法就是如此的規範，這也沒錯，不過，其實類別在行為上，本來就可以像函式進行呼叫，因為類別是type的實例，而type定義了__call__方法。</p> <p>如果定義了Some類別，以Some(arg)建立實例的話，實際上，相當於Some.__call__(arg)，由於類別是type的實例，type定義的__call__方法第一個參數，接受的就是類別Some，其中的流程預設會依序呼叫Some的__new__與__init__方法，這就是開發者可以藉由定義__new__與__init__方法，來實現類別實例建構與初始化的原因。</p> <p>進一步地，Python實現meta程式設計的方式之一，是在使用class語法定義類別時指定metaclass，被指定的對象可以是個類別，這讓用來介入類別定義的metaclass可以獨立地設計__new__、__init__等方法，便於維護或重複使用，像是abc模組就提供了可重用的ABCMeta等類別。</p> <p>事實上，metaclass能夠去指定的對象，只要是可呼叫物件就可以了，Python會呼叫它的__call__方法，傳入類別名稱、父類別資訊與屬性，在簡單的情況下，傳個函式也行，因為函式也是個可呼叫物件（或許比metaclass更貼切的名稱，應該是meta_callable）。</p> <p><span style="font-size:28px;"><strong>有狀態的函式或可呼叫物件？</strong></span></p> <p>看來可呼叫物件是個高級玩意兒，適用於meta程式設計之類的場合？不！可呼叫物件可應用的場合可多了，例如，當需求是比「有狀態的函式」再多一些的時候，所謂有狀態的函式，就是一個構成了閉包（closure）的函式，例如：</p> <pre> def add(n): return lambda a: n + a</pre><p>傳回的lambda捕捉了參數n，也就是包含了呼叫add時引數的狀態，有時候這類函式攜帶的狀態可變動，例如捕捉了外包函式的區域變數，每次呼叫時都會變動該變數，這種包含著內部可變動狀態的函式，也常用來模擬一些私有性，例如，在JavaScript中，可藉由傳回一個形成閉包的函式，來模擬物件的私有屬性。</p> <p>當事情變得更為複雜之時，例如，也許需要能直接存取函式捕捉的狀態，像是透過add函式傳回的函式，來取得呼叫add函式時的n值，單純使用函式去完成這項任務並非做不到，只是有時實現上麻煩，不見得容易閱讀與理解；然而，若定義一個add類別，具有以下兩個方法，問題就可以解決了，不僅容易實現與理解，客戶端的呼叫方式也不用改變：</p> <pre> def __init__(self, n): self.n = n def __call__(self, a): return self.n + a</pre><p>這就是Python中許多看來像函式的東西，其實是以類別定義的原因之一：必須能像函式一樣地呼叫，需要攜帶狀態，而且可以存取狀態。</p> <p>方才談到的綁定方法是個具體的例子，雖然不鼓勵，但確實可以透過綁定方法的__self__屬性來取得綁定的實例。</p> <p><span style="font-size:28px;"><strong>接受／傳回可呼叫物件</strong></span></p> <p>用可呼叫物件來攜帶狀態？看來還是個高階需求啊？不！可呼叫物件可應用的場合，根本就是平易近人。在函式為一級公民的語言中，函式可以作為值傳遞給變數、參數，或作為函式、方法的傳回值，因此，Python生態圈中無論是標準或第三方程式庫，才會有那麼多的API可以接受函式、傳回函式，或者接受函式並傳回函式。</p> <p>然而，別忘了，Python是個動態定型語言，那些API在定義之際，或許只是要求一隻具有可呼叫行為的鴨子，傳回一隻具有可呼叫行為的鴨子，也就是採用鴨子定型罷了，有些看來是高階函式，其實，可以更廣義地視為接受、傳回可呼叫物件的高階可呼叫物件。</p> <p>Python中有許多裝飾器（decorator）就是這類物件，例如@property、@classmethod；有些API確實可能真的會檢查傳入的是不是函式，functools模組有個 @wraps裝飾器，可以將可呼叫物件偽裝為函式，其實@wraps也是個高階可呼叫物件。</p> <p>高階物件聽來並不平易近人？來讓需求更普遍化一些，看看sorted函式，如果想自訂排序，我們可以指定其搭配的key或cmp參數，它們接受函式嗎？其實只要可呼叫物件就可以了！</p> <p>應用的場景之一是，若有個資料類別Point，具有x、y屬性代表座標，定義了dist方法，我們可以指定另一個Point實例，計算兩者之間的距離，如果有一組Point實例points，有個Point實例pt，此時我們若想依points中各點與pt的距離排序，透過sorted函式來處理時，該怎麼寫呢？</p> <p>sorted(points,key=pt.dist)就可以了，因為pt.dist傳回綁定方法，方才談到綁定方法是method類別的實例，行為上可以像函式進行呼叫，也就是可呼叫物件，作為sorted的key引數，就可以簡單地完成基於與pt點的距離進行排序。</p> <p><span style="font-size:28px;"><strong>萬物皆可呼叫</strong></span></p> <p>知道類別是個可呼叫物件，range、enumerate等其實是類別之後，如果此時有人說range是函式，別去糾正他們！</p> <p>這是因為，Python並不是要開發者去區分len是函式、range是類別等這種事情，而是要開發者不要去區分函式或類別。Python可以定義可呼叫物件，本意就是要讓函式與行為上可呼叫的物件之間，界線變得模糊。</p> <p>當這當中的界線變得模糊之後，一級函式的應用就能夠有了更大的擴展能力，只要開發者願意，可以讓任何物件實現__call__方法，而不用局限在一定要傳遞函式，這麼一來，從簡單的sorted之類應用，到複雜的meta程式設計，就都能有更大的實現彈性。</p> <p>如果你想要知道更多可呼叫物件的應用，〈<a href="https://bit.ly/3voHibt" target="_blank">It's a callable!</a>〉有著更多實際的案例；當然，具有可呼叫物件概念的語言不只有Python，而在這些語言中，如果實作時需要一個函式，我們也可以進一步思考：會不會此時其實所需要的，就是一個可呼叫物件！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/%E5%87%BD%E5%BC%8F">函式</a></div><div class="field-item odd"><a href="/tags/%E9%A1%9E%E5%88%A5">類別</a></div><div class="field-item even"><a href="/tags/%E5%8F%AF%E5%91%BC%E5%8F%AB%E7%89%A9%E4%BB%B6">可呼叫物件</a></div></div></div>
2022/5/27 23:58作者林信良https://www.ithome.com.tw/voice/151132
經濟不確定性讓微軟放緩招募腳步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2022-05-26/microsoft-to-slow-hiring-in-windows-office-teams-chat-groups" target="_blank">彭博社</a>》與《<a href="https://www.wsj.com/articles/microsoft-slows-some-hiring-amid-economic-uncertainty-11653600838?mod=djemalertNEWS" target="_blank">華爾街日報</a>》周四（5/26）報導，微軟已對內宣布將放緩Windows、Office、Teams及會議軟體團隊的招聘速度，未來相關團隊要聘人必須經過負責軟體部門的微軟執行副總裁Rajesh Jha的許可，而微軟已對外證實了此事。</p> <p><a href="https://www.ithome.com.tw/news/150958" target="_blank">微軟甫於日前宣布</a>將在此一通膨時代調高薪酬以留住人才，現在則宣布放緩招募腳步。微軟發言人向這兩大媒體表示，有鑑於經濟不確定性，再加上微軟即將進入新的財年（微軟的財年是從7月算起），必須確保資源與機會是正確且一致的，未來一年微軟將會持續新增人手，只是會更關注資源的流向。</p> <p>換句話說，只有特定團隊的招募才會受到更嚴格的規範。</p> <p>其實不只是微軟，Meta也在本月凍結了特定團隊的人力招募，如Facebook Dating、Gaming、Shopping、Messenger Kids與Remote Presence等，但強調仍舊積極招攬機器學習與AI技術人才，此外，目前Meta並未有裁員計畫。<a href="https://www.ithome.com.tw/news/150913" target="_blank">Twitter亦於本月要求兩名高層離職並宣布凍結人事</a>。</p> </div></div></div>
2022/5/27 22:42作者陳曉莉https://www.ithome.com.tw/news/151187
雲端資安業者Lacework裁撤20%員工，FinTech業者Bolt裁員1/3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於2015年的雲端安全服務供應商Lacework周三（5/25）宣布業務重整，並已裁撤20%的員工。而金融科技業者Bolt Financial也在同一天裁撤1/3，估計兩家業者的裁員人數都超過200名。</p> <p>Lacework表示，在過去幾個月與幾周以來，不論是公共或私有市場都發生了重大的變化，雖然Lacework無法控制周遭的環境，卻有責任控制經營方式並作出必要改變，以讓公司能夠持續並取得長期的成功；在變更該公司的計畫之際，不得不向部分員工道再見。</p> <p>Lacework僅向媒體證實裁撤20%的員工，並未公布明確裁員數字，不過外電引用該公司在今年第一季所公布的員工總數，估算大約有200名員工被裁。</p> <p>另一家美國支付業者<a href="https://www.bloomberg.com/news/articles/2022-05-25/bolt-layoffs-hit-fintech-startup?sref=UBkQzfj0" target="_blank">Bolt Financial也在周三（5/25）裁撤逾200名員工</a>，約占該公司總人數的1/3。</p> <p><a href="https://www.bolt.com/blog/message-from-bolt-ceo" target="_blank">Bolt執行長Maju Kuruvilla表示</a>，金融科技與科技產業正面臨動盪，為了對抗此一宏觀的挑戰，心須確保公司的財務狀況，拓展業務能力，並以既有的資金獲利，因此將進行結構性的改變以專注於核心業務及產品，而這也包括必須減少該公司的人力。</p> <p>2014年成立的Bolt Financial為FinTech領域的獨角獸公司，甫於今年1月完成3.55億美元的E輪增資，當時該公司的估值高達110億美元。</p> </div></div></div>
2022/5/27 22:58作者陳曉莉https://www.ithome.com.tw/news/151188
蘋果宣布調薪，最低時薪提高為22美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據《<a href="https://www.wsj.com/articles/apple-boosting-pay-budget-for-workers-amid-tight-labor-market-11653527996?mod=djemalertNEWS" target="_blank">華爾街日報</a>》與《<a href="https://www.cnbc.com/2022/05/26/apple-says-it-will-raise-pay-for-corporate-and-retail-employees-in-tight-labor-market.html" target="_blank">CNBC</a>》的報導，蘋果周三（5/25）對內宣布將調高企業員工與門市員工的薪資，其中，門市員工的最低時薪將從20美元增加到22美元。</p> <p>蘋果調薪的原因一方面是因為通貨膨脹，另一方面來自於蘋果今年以來的股價下跌了21%，代表員工的股票獎勵也跟著縮水。</p> <p>蘋果則向這兩家媒體表示，支持與保留全球最佳人才，才能讓蘋果提供最好也最創新的產品及服務，為此蘋果已增加整體的薪酬預算。《華爾街日報》則說，此波調薪規畫將在今年7月初生效。</p> <p>今年以來已有許多科技巨頭替員工加薪，最早的是<a href="https://www.ithome.com.tw/news/149254" target="_blank">Amazon在今年2月</a>將企業及科技員工的基本年薪上限，從16萬美元增加到35萬美元，接著Google在5月初宣布將變更其績效審核程序，新程序預計會使得大多數的Google員工獲得更高的報酬，<a href="https://www.ithome.com.tw/news/150958" target="_blank">微軟也在5月宣布</a>將提高薪酬以留住人才。</p> </div></div></div>
2022/5/27 23:15作者陳曉莉https://www.ithome.com.tw/news/151189
【資安日報】2022年5月27日，雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天我們想要特別提出的資安新聞，是與臺廠設備的漏洞修補有關的消息。首先，是有關伺服器的基板管理控制器（BMC）元件漏洞。最近幾年，有研究人員揭露Supermicro伺服器BMC元件漏洞。而在本週，有另一家臺灣雲達（QCT）的伺服器BMC模組，也被發現有重大漏洞。</p> <p>第二個是網路設備廠商兆勤科技，他們公布多項產品線的修補消息。以CVSS風險評分來看，這些漏洞的危險程度多半為中等。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/malwarebytes-news/2022/05/unknown-apt-group-has-targeted-russia-repeatedly-since-ukraine-invasion/"><span style="color: rgb(0, 0, 0);">中國駭客發起多次釣魚郵件攻擊，意圖對俄羅斯散布木馬程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/process-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/process-1.jpg" style="width: 300px; float: right;" /></a>隨著烏克蘭戰爭的進行，有中國駭客暗中向俄羅斯政府發動攻擊，散布惡意軟體。資安業者Malwarebytes指出，他們從2022年2月至4月，發現疑似中國駭客發動了至少4次的網路釣魚攻擊，目的是向對方散布RAT木馬程式。</p> <p>第一起攻擊行動出現在俄羅斯入侵烏克蘭數日後，駭客以提供互動式的烏克蘭地圖為誘餌，想要引誘收信人上當；第二波攻擊行動中，駭客針對俄羅斯聯邦數位發展局、電信業者、聯邦大眾通訊部，宣稱提供Log4Shell漏洞修補程式，其中大部分釣魚郵件寄到了當地國有電視臺RT。</p> <p>而在第三起攻擊行動裡，這些駭客針對該國國防企業Rostec出手，並設置Rostec.digital網站、Instagram與臉書帳號，想要讓開啟信件的人認為真有這家公司；最後一起則是假冒沙烏地阿拉伯國家石油公司（Saudi Aramco）發出徵才訊息，並引誘收信人打開Word附件檔案後啟用巨集。</p> <p>研究人員指出，駭客透過控制流程扁平化（Control Flow Flattening）的手法，來混淆木馬程式的惡意內容，而使得這些駭客的意圖不易被察覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/vidar-distributed-through-backdoored-windows-11-downloads-and-abusing"><span style="color: rgb(0, 0, 0);">攻擊者以提供Windows 11更新的名義散布竊密軟體Vidar</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vidar-Win11-Figure%202.png" style="width: 300px; float: right;" /></a>微軟自去年底推出Windows 11後，有攻擊者以免費提供相關的安裝工具來發動攻擊。例如，資安業者Zscaler最近發現，有人架設假的Windows 11網站，來散布名為Vidar的竊密軟體，駭客使用了與此作業系統名稱相關的網域（如：ms-win11[.]com）讓受害者難以察覺有異。</p> <p>這些網站提供ISO映像檔下載，且檔案相當大，超過300 MB，研究人員指出駭客這麼做的目的，是為了規避防毒軟體偵測，而該映像檔內容含有EXE可執行檔，並冒用防毒業者Avast的過期簽章，來源疑似是2019年系統清理軟體CCleaner遭駭所洩露的簽章。研究人員分析後發現，實際的檔案大小只有3.3 MB，其餘為駭客填充的內容。</p> <p>一旦受害者執行該EXE檔案，電腦就會被植入Vidar，該竊密程式會從建置於加密即時通訊軟體Telegram、社群網站Mastodon伺服器的C2中繼站下載程式庫，進而竊取上網應用程式與網頁瀏覽器的資料。研究人員發現，這些駭客也以免費提供Adobe Photoshop的名義散布Vidar，他們呼籲使用者要從開發者的網站下載軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/spicejet-airline-passengers-stranded-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">印度廉價航空SpiceJet遭勒索軟體攻擊，導致航班延誤起飛</span></a></strong></h3> <p>勒索軟體攻擊航空業者的事故，有可能導致航班受到波及。印度廉價航空業者SpiceJet於5月25日上午，證實前一天晚間部分系統遭到勒索軟體攻擊，而使得當天航班起降受到延遲，但表示IT團隊成功阻止攻擊行動，該公司運作將恢復正常。但在此同時，有許多該公司的客戶在推特、臉書上指出，他們不只遇到誤點，打電話給客服也不通，網路訂票系統亦無法使用。</p> <p>根據資安新聞網站Bleeping Computer進一步了解，只有SpiceJet的首頁、航班狀態頁面正常運作，該公司發言人表示，25日出現的航班誤點，是前一天的事故產生的連鎖效應，部分航班也被取消。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/"><span style="color: rgb(0, 0, 0);">雲達修補存在3年的伺服器BMC韌體漏洞Pantsdown</span></a></strong></h3> <p id="Zyxel"><a href="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QCT-BMC-20220527-1535-18975.png" style="width: 300px; float: right;" /></a>伺服器的基板管理控制器（BMC）元件，可供管理者進行遠端管理，一旦出現漏洞，很有可能被攻擊者用於掌控主機，但最近有研究人員發現，先前揭露的漏洞，影響的範圍可能還會更廣泛。資安業者Eclypsium指出，他們在2021年10月向雲達（QCT）通報，該廠牌有多款伺服器型號，受到BMC重大漏洞Pantsdown（CVE-2019-6260）影響，CVSS風險層級達9.8分。</p> <p>這項漏洞最早在2019年1月揭露，與臺廠信驊科技（Aspeed）生產特定版本的BMC元件有關，當時揭露的研究人員指出，該BMC的SoC硬體功能存在共用組態的情況，導致攻擊者可在未經授權就能執行惡意程式，並在BMC實體位址空間讀寫，而有可能藉接管伺服器，植入勒索軟體、竊密，或是關閉BMC，甚至有機會攻擊其他伺服器。雲達獲報後已著手修補，但表示這些新版韌體將私下提供客戶，不會公開發布。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆、無線基地臺、AP控制器漏洞</span></a></strong></h3> <p id="Zyxel">臺廠兆勤科技於5月24日，發布資安通告，修補旗下防火牆、無線基地臺、AP控制器等多項產品的漏洞，這些漏洞包含了CVE-2022-0734、CVE-2022-26531、CVE-2022-26532、CVE-2022-0910。其中最嚴重的是CVE-2022-26532，這是追蹤流量封包的CLI命令漏洞，波及該廠牌的防火牆、無線基地臺、AP控制器等設備，攻擊者可在取得本機權限的情況下，利用此漏洞於CLI命令注入惡意參數，進而執行作業系統的命令，CVSS風險評分為7.8分。</p> <p>另一個需要注意的部分，有些漏洞只影響特定類型的產品。CVE-2022-0734、CVE-2022-0910會影響防火牆產品，前者為跨網站指令碼（XSS）漏洞，後者為CGI程式存取權限控制不當漏洞，恐讓雙因素驗證降級，使得攻擊者可繞過第2層驗證。</p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/5/27 16:50作者周峻佑https://www.ithome.com.tw/news/151184
Tether進入拉丁美洲市場，發表錨定墨西哥披索的穩定幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tether.to/en/tether-launches-mxntugrik-tether-tokens-pegged-to-the-mexican-peso/" target="_blank">Tether Operations Limited在周四（5/26）推出</a>了錨定墨西哥披索（Mexican Peso）的Tether穩定幣MXNT，正式進軍拉丁美洲市場，而這也是該公司繼與美元錨定的USDT、與歐元錨定的EURT，以及與人民幣錨定的CNHT之後，所推出的第四款穩定幣。</p> <p>USDT現階段為全球第三大的加密貨幣，僅次於比特幣與以太幣，也是全球最熱門的穩定幣，現有流通貨幣的市值高達732億美元，相較於USDT，其它Tether穩定幣的表現則失色許多，例如EURT目前的市值為4,280萬美元，CNHT市值更只有300萬美元。</p> <p>不過，光是USDT的成功便足以替Tether帶來極大的信心，Tether引用加密貨幣支付業者Triple A的調查，指出在墨西哥的企業中，有40%有意採用區塊鏈與加密貨幣，以讓墨西哥成為拉丁美洲的加密貨幣中心，而且墨西哥的匯款難度也替穩定幣創造了獨特的機會，MXNT把墨西哥披索加入區塊鏈的作法將提供更快且成本更低的資產轉移選擇。</p> <p>既然是穩定幣，每個的MXNT價格便等同於每個墨西哥披索，且將支援Ethereum、Tron及Polygon等區塊鏈。MXNT的發行亦被Tether視為對拉丁美洲市場的測試，可望替未來進入拉丁美洲的其它與法幣掛鉤的穩定幣舖路。</p> </div></div></div>
2022/5/27 16:30作者陳曉莉https://www.ithome.com.tw/news/151183
AWS開始預覽大型機器學習訓練用GPU執行個體EC2 P4de
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS發布了最新的EC2 GPU執行個體<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/05/amazon-ec2-p4de-gpu-instances-ml-training-hpc/">P4de</a>，擁有8個80 GB高效能HBM2e GPU記憶體的Nvidia A100 GPU，適用於機器學習訓練和高效能運算應用程式，諸如物件偵測、語義分割、推薦系統和流體力學計算等。</p> <p>P4de執行個體與當前的P4d執行個體相比，GPU數量多了一倍，並且總共擁有640 GB的GPU記憶體，因此以相同的運算量來說，P4de能夠提供多出60％的機器學習訓練效能，成本降低20％。由於效能上的改進，使得P4de執行個體用戶可以減少模型訓練時間，並且加速產品上市時間，官方強調，P4de上所增加的GPU記憶體，也有利於模型在高解析度資料集的訓練。</p> <p>用戶現在可以先在AWS美東N. Virginia，以及美西Oregon地區，用到P4de執行個體，規格大小會以p4de.24xl為主，提供96 vCPU、8個A100-80GB GPU、1.1 TB系統記憶體、8 TB本地端 NVMe SSD、19 Gbps EBS頻寬以及400 Gbps網路頻寬。</p> </div></div></div>
2022/5/27 16:39作者李建興https://www.ithome.com.tw/news/151178
美國科技業者派出大量說客，企圖影響各州隱私及反壟斷法令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院司法委員會（Senate Judiciary Committee）<a href="https://www.ithome.com.tw/news/149018" target="_blank">在今年1月通過了</a>由參議員Amy Klobuchar主導的反壟斷提案《美國創新及選擇網路法案》（American Innovation and Choice Online Act），原本預計此一由兩黨議員支持的法案將會順利通過參議院的整體表決，然而，Klobuchar周三（5/25）因故修訂了該法案，促使<a href="https://themarkup.org/privacy/2022/05/26/tech-industry-groups-are-watering-down-attempts-at-privacy-regulation-one-state-at-a-time" target="_blank">美國非營利組織The Markup</a>揭開了美國科技業者派出大量說客以影響美國及各州立法的內幕。</p> <p>《美國創新及選擇網路法案》主要用來限制市場上的主要平臺濫用其守門人的勢力，偏好自家的產品或服務，使其競爭對手處於不利的地位，或者是歧視那些使用其平臺的企業，而危及它們在相關平臺上的競爭力。而The Markup的目標則是透過資料新聞學，來討論社會上的道德及科技對社會所造成的影響。</p> <p>說客在美國是個合法的職業，通常是企業延攬說客以企圖影響政治決定或法案內容，但當遊說達到一定規模時，就必須登記，只不過各州法令不一，使得遊說活動的透明度也不一。</p> <p>根據The Markup的調查，包括Amazon、蘋果、Meta、Google與微軟等科技巨頭，在這幾年就於美國31個州聘請了445名說客或遊說公司，以在各州正準備擬定有關使用者隱私的法案時加以干預。當中有75名說客來自同一公司Politicom Law，而Politicom Law則同時替蘋果、Meta、Google與微軟的利益進行遊說。</p> <p>例如猶他州在2021年與2022年的立法期間，這五大科技業者就在該州註冊了23名說客，且當中有13名說客未曾於該州出現。</p> <p>The Markup分析，代表這些大型科技業者的大量說客出現的時間點，是在加州通過並於2020年實施了<a href="https://www.ithome.com.tw/news/135154" target="_blank">《加州消費者隱私法案》</a>（California Consumer Privacy Act，CCPA）之後，科技業者發現太難遵循此一規定，企圖制止其它州的效法。</p> <p>CCPA被視為全美最嚴厲的隱私法，有輕量版GDPR之稱，最關鍵的規定在於要求企業必須向加州居民揭露他們如何使用這些資料，居民不但能夠要求企業不得銷售資料，也能要求企業刪除自己的個資。</p> <p>遭到遊說的議員開始對原本所支持的法案趨於保守，消費者保護組織Consumer Reports的前政策分析師Maureen Mahoney曾在針對各州隱私法案作證時表示，這就是一個數字遊戲，也許會有一兩個組織擁護那些打擊科技巨頭的法案，卻有20個說客要求議員修改法案，否則就要動用影響力來阻撓其它法案。</p> <p>而<a href="https://www.politico.com/news/2022/05/26/vulnerable-senate-democrats-back-off-big-tech-bill-00035307" target="_blank">《Politico》</a>則報導，Klobuchar即是在得知兩黨議員對《美國創新及選擇網路法案》的某些疑慮之後才修改了該法案，這些議員也許是接納了說客的說法，指稱該法案可能會損害Amazon Prime或Google Docs等熱門產品，且現在的立法應該要著重於協助消費者因應通膨問題才是。</p> <p>當民意調查傾向於支持監管科技業者，《美國創新及選擇網路法案》也被認為將順利通過之際，議員的搖擺則替該法案帶了不確定性，Klobuchar向《Politico》表示，這就如同打地鼠遊戲，每次當她認為事情已底定的時候，總是會出現其他的說客。</p> </div></div></div>
2022/5/27 16:09作者陳曉莉https://www.ithome.com.tw/news/151181
英國政府針對多項廣告技術對Google啟動壟斷調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年3月聯合歐盟對Google及Meta啟動網路廣告壟斷調查，<a href="https://www.gov.uk/cma-cases/investigation-into-suspected-anti-competitive-conduct-by-google-in-ad-tech?cachebust=1653555770" target="_blank">本周英國政府再針對出版商廣告平臺等多項廣告技術堆疊，對Google啟動調查</a>。</p> <p>英國競爭主管機關競爭與市場管理委員會（Competition and Markets Authority，CMA）指出，新一波調查是鎖定Google使用的「廣告技術堆疊」（ad tech stack）。CMA所謂的廣告技術堆疊指的是在廣告主及出版商之間，和開放式展示廣告的自動銷售、購買及推送的中介技術。<a href="https://www.ithome.com.tw/news/149884" target="_blank">兩個月前英國和歐盟啟動</a>針對Google及Meta的「Jedi Blue」協議的調查，是針對兩公司的標頭競價服務（header bidding），也是屬於Google使用的廣告技術堆疊中的一環。</p> <p><a href="https://www.gov.uk/government/news/google-probed-over-potential-abuse-of-dominance-in-ad-tech" target="_blank">CMA指出</a>，Google 在廣告技術堆疊的好幾個層次都據有強勢地位。最新調查則是鎖定其他廣告技術的Google行為。CMA將從3個Google獨霸的市場進行調查，包括出版商銷售廣告版位的平臺、出版商（透過即時競價出售廣告版位的）廣告交易平臺、（管理及選擇展示哪些廣告的）出版商廣告伺服器。</p> <p>英國政府想知道Google是否利用其獨占地位，圖利自家服務及平臺。這些行為包括Google是否限制廣告交易平臺和第三方出版商交易平臺的相容性、或是以合約強制綑綁這些服務，誘使客戶只購買其服務，而讓其他同類業者難以競爭。</p> <p>CMA主席Andrea Coscelli指出，在這些市場削弱競爭將導致出版商營收減少，迫使其削減成本造成服務品質下降、或對內容收費，也導致廣告主為了支付更高廣告費用而調升其產品及服務價格。</p> <p>過去幾年來，Google已經因廣告服務壟斷行為遭主管機關判罰，包括2017年搜尋結果偏私自家購物比價服務，<a href="https://www.ithome.com.tw/news/115162" target="_blank">被歐盟罰24億歐元</a>、2019年歐盟又針對第三方網站的AdSense廣告合約中採行限制性條款，阻撓Google競爭者在這些網站上投放搜尋廣告一案，<a href="https://www.ithome.com.tw/news/129489" target="_blank">開罰15億歐元</a>。</p> </div></div></div>
2022/5/27 15:08作者林妍溱https://www.ithome.com.tw/news/151179
Windows Server 2022終於支援WSL 2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對Windows Server用戶而言，不能使用WSL 2（Windows Subsystem for Linux 2）頗令人失望。不過<a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank">微軟本周宣布現在Windows Server已經支援WSL 2</a>。</p> <p>WSL 2於2019年釋出，但僅包含於2020年上半釋出的Windows 10 2004版，以及使用半年通道更新的Windows Server。重大更新如Windows Server 2019則無福享受。去年微軟中止了Server半年通道更新，改回以重大更新為主要更新形式。這使得Server 2019和最新版Server 2022用戶迄今仍拿不到WSL 2。</p> <p>新消息對只能使用WSL的Windows Server用戶來說是一大福音。<a href="https://docs.microsoft.com/zh-tw/windows/wsl/compare-versions" target="_blank">根據微軟說明</a>，與第1版WSL相比，WSL 2提供受控VM內的完整Linux核心、效能更佳、且具備完整的系統呼叫相容性。</p> <p>微軟產品經理Craig Loewen說明，現在想主動下載的用戶可以安裝<a href="https://support.microsoft.com/en-us/topic/may-24-2022-kb5014021-os-build-20348-740-preview-2b180bd4-dceb-4c49-b8cf-402b342ebc84" target="_blank">軟體更新KB5014021（OS Build 20348.740）取得WLS 2</a>，很快微軟將會透過定期更新釋出給用戶。</p> <p class="rtecenter"><a href="https://twitter.com/craigaloewen/status/1529488221691953154" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-WSL2-600.png" style="width: 561px;" /></a></p> <p><a href="https://www.xda-developers.com/windows-server-2022-wsl2-distros/" target="_blank">媒體估計</a>定期更新應該是6月分的Patch Tuesday，預定6月14日（臺灣時間6月15日）釋出。</p> </div></div></div>
2022/5/27 11:38作者林妍溱https://www.ithome.com.tw/news/151175
Fintech周報第211期：摩根大通科技預算加碼20%，更要打造雲端原生資料平臺整合第三方資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/4/29~2022/5/27 精選金融科技新聞</strong></p> <p><strong>＃雲端原生、＃資料平臺<br /> 摩根大通2022年科技投資將加碼20%，近半數基礎架構投資都是雲端費用</strong></p> <p>摩根大通銀行在5月底的2022投資日報告時，揭露了今年科技預算將大幅成長20%，其中引起高度關注的是，在基礎架構預算中，將會近半數預算用於雲端投資。摩根大通現有4萬名工程師，每個月發布3萬次服務更新，未來1年，CIB將會增加33億美元的科技投資。科技發展重點之一是打造雲端原生資料平臺，來整合內部與第三方的資料，來發展可以跨投資生命周期的解決方案。</p> <p><strong>#NFT、#電子錢包<br /> 卡位NFT生態圈，Line先推NFT交易專用錢包服務，也預告企業贊助貼圖將支援NFT</strong></p> <p>Line將在今年上半年推出NFT平臺Dosi，日前先推出Dosi平臺上的錢包服務Dosi Wallet，可支援用信用卡、電子支付如Line Pay與加密貨幣來進行NFT交易。可用Line帳號或其他社群帳號申請，臺灣也可以申請。目前Line先在4月初先推出日本市場專屬NFT交易平臺，年中才會正式推出支援8種語言和180國的Dosi平臺。Line的NFT戰略要提供一整套NFT產品的基礎架構，不只與自家產品生態圈結合，目前也正在上百個合作夥伴討論數位資產應用方式。在5月日本一場線上活動（Biz Day）中，Line更透露了與自家產品整合的其中一項做法，Line企業贊助貼圖將支援NFT，企業可用限量專屬的NFT，來進行貼圖促銷活動，預計夏天就會開始測試。</p> <p><strong>#信用卡交易、#Google<br /> Google推出虛擬信用卡，線上刷卡自動帶出虛擬卡號避免遭業者濫用或外洩</strong></p> <p>Google在Chrome瀏覽器及Android推出了虛擬信用卡號（Virtual Card Numbers）的功能，可降低線上購物時信用卡號外洩風險。運行方式如同瀏覽器的autofill功能。它會在線上交易結帳階段使用者於網頁上填入信用卡資訊，包括驗證碼時自動填入，可取代真實信用卡資訊傳送給交易平臺或店家，不必擔心信用卡或驗證碼遭業者濫用或因平臺遭駭外洩，為線上交易多加一層安全防護。今年夏天先在美國推出。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E8%99%9B%E6%93%AC%E5%8D%A10-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.jpeg" /></p> <p> </p> <p><strong>#信用卡交易、#刷臉支付<br /> 要讓社區雜貨店都能用，MasterCard正式發表人臉、掌紋付款功能</strong></p> <p>發卡組織萬士達卡宣布生物辨識結帳方案（Biometric Checkout Program），讓使用者可在店內或線上購物時免卡、免手機結帳。透過綁定臉部影像或手部特徵和信用卡帳戶，讓消費者在購物結帳時不需要再刷信用卡。MasterCard表示，希望建立適合從大型商店到社區雜貨店等所有規模商店適用的數位支付標準，目前已和NEC、富士通、以及巴西臉部辨識支付軟體商PayByFace、支付處理後臺業者Aurus、身份驗證閘道供應商PopID合作臉部支付方案。目前也打算在巴西聖保羅的5間超市測試。</p> <p><strong>#電子錢包、#Android<br /> Google Wallet回歸將在臺等40多國推出，不只整合信用卡，還能支援票卡、證件和鑰匙</strong></p> <p>Google在I/O大會中發表了全新的Google Wallet，可支援交通運輸、活動票券、登機證、會員卡、學生證或是汽車鑰匙，今年稍晚將數位身分證件、駕照也能放進Google Wallet中，甚至使用手機取代房卡或門禁卡，進入旅館或辦公大樓。Google Wallet將在包括臺灣在內40多個國家地區推出。Google已與數百家的運輸公司、零售商、票券商、衛生機構、航空公司合作，開發適用於 Google Wallet的數位卡片或票券。</p> <p><strong>#碳足跡、#奧蘭指數<br /> 繼王道銀行，渣打銀行也跟進在臺推出信用卡消費碳足跡</strong></p> <p>淨零碳排開始成為消費金融商品的主打特色，繼3月底，王道銀行在App中提供信用卡消費碳排明細之後，渣打銀行也在5月中推出可提供碳足跡的信用卡。王道銀行採用了萬事達卡的碳足跡計算器功能，來使用由瑞典科技公司Doconomy提供的奧蘭指數服務，來估算每一筆消費紀錄所產生的碳排放量。而渣打銀行則直接與Doconomy合作，採用同樣的奧蘭指數來估算。奧蘭指數可針對47種消費者購買商品常見產業，來計算不同生活消費活動的碳足跡和水資源消耗。</p> <p><strong>#加密貨幣崩盤、#Luna、#UST<br /> UST與Luna加密貨幣5月中大崩盤市值跌破1%，南韓檢察官展開調查</strong></p> <p>UST與Luna在5月中旬大崩盤，市值下滑超過99%，原本應與美元掛鉤的UST目前的價格只有0.0685美元，用來平衡UST、崩盤之前還有60美元的Luna，到5月底則只剩0.000199美元。區塊鏈分析業者 Elliptic曾估計，UST與Luna幣用戶在5月中旬的一周內就損失了420億美元。根據南韓媒體的報導，首爾檢察官辦公室的金融證券犯罪聯合調查組已開始針對Terra USD（UST）及Luna等加密貨幣的崩盤展開調查，調查對象包括打造Terra區塊鏈專案的Terraform Labs，以及Terraform Labs的共同創辦人暨執行長Do Kwon。</p> <p><strong>#NFT交易、#IG<br /> IG開始在測試NFT收藏品展示功能，未來臉書也將支援</strong></p> <p>Meta創辦人祖克柏宣布開始於Instagram測試數位收藏品功能，允許創作者及收藏家可透過自己的個人檔案來展示他們的NFT數位物件，不過，目前只開放特定人測試，還沒全面開放。Instagram負責人Adam Mosseri則說明，在該平臺不管是張貼或分享數位收藏品都是免費的。不只是Instagram，類似的功能很快也將進駐臉書，未來也能透過Spark AR平臺於Instagram Stories上展示擴充實境的NFT作品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IG-NFT%E6%94%B6%E8%97%8F%E5%B1%95%E7%A4%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IG.jpeg" /></p> <p><strong>#數據基礎架構、#跨子公司行銷<br /> 國泰金控正在打造跨子公司一站式行銷平臺，來發展數位行銷流程自動化</strong></p> <p>國泰金控在自家技術研討會上分享了數據平臺基礎建設發展歷程，從資料倉儲，一路到開源大數據分析平臺Hadoop、自建機器學習平臺和數據中臺，來打造前端業務新工具，其中一項正在開發的是跨子公司一站式行銷平臺，來解決過去整合行銷流程中的大量斷點挑戰，專供內部行銷人員使用。國泰金控旗下數位數據暨科技發展中心整合了多種數據，如用戶屬性、產品持有和數位足跡等，來降低分析門檻，也預先在客戶資料貼標、進行數位辨識，完成基本的數據處理。還提供了一套視覺化平臺來比對不同客群的樣態差異。也能透過系統自動化串接，對特定客群名單進行名單廣告投放，並將投放成效結果，整合至內部資料庫，方便行銷人員在單一平臺上追蹤來調整行銷策略。</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> <p>更多Fintech新聞</p> <ul><li>歐洲央行總裁呼籲應監管加密貨幣</li> <li>a16z設立第四個加密貨幣基金，規模達45億美元</li> <li>Google Cloud成立新部門，將開發企業級NFT區塊鏈平臺</li> </ul></div></div></div>
2022/5/27 10:43作者王宏仁https://www.ithome.com.tw/news/151169
合勤修補防火牆、無線基地臺、AP控制器等產品漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank">網路設備大廠合勤本周發布安全更新</a>，修補影響防火牆、無線基地臺（AP）及AP控制器等產品，能讓攻擊者執行任意指令、引發緩衝溢位、資訊外洩及繞過2FA驗證的數項漏洞。</p> <p>合勤近日接到外部研究人員通報4項安全漏洞並予以修補。這4項漏洞分別為CVE-2022-0734（5.8）、CVE-2022-26531、CVE-2022-26532、及CVE-2022-0910（6.5）。其中最嚴重的是CVE-2022-26532，為防火牆、AP、AP控制器的packet-trace CLI指令中的指令注入漏洞，可讓具本地權限的攻擊者在CLI指令注入惡意引數，以執行任意OS指令。本漏洞為風險值7.8，屬高風險漏洞。</p> <p class="rtecenter"><a href="https://www.zyxel.com/tw/zh/support/multiple-vulnerabilities-of-firewalls-AP-controllers-and-APs.shtml" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-Zyxel%20%E5%90%88%E5%8B%A4%200524%20%E5%AE%89%E5%85%A8%E5%85%AC%E5%91%8A.png" style="width: 600px;" /></a></p> <p>CVE-2022-26531則為CLI指令中的輸入驗證不當漏洞，風險值6.1，也是影響防火牆、AP、AP控制器。這項漏洞可讓具本地權限的攻擊者傳送惡意負載（payload）引發緩衝溢位或系統癱瘓。</p> <p>另二項則只影響合勤防火牆產品。其中CVE-2022-0734為影響CGI程式的跨網站指令碼（cross-site scripting）漏洞，讓攻擊者可透過注入惡意script指令，獲取儲存在裝置瀏覽器中的資訊，如cookies或連線令牌（session tokens）等。CVE-2022-0910則是CGI程式的訪問控制不當漏洞，可使雙因素驗證（2FA）降級為單因素驗證，這讓具有授權的攻擊者可繞過第2層驗證，連到IPsecVPN伺服器，即使防火牆已啟動2FA。2項漏洞風險值5.8及6.5，皆屬中度風險。</p> <p>受4項漏洞影響的防火牆產品涵括USG/ZyWALL及USG FLEX、ATP系列、VPN系列。NSG系列則只受CVE-2022-26532及CVE-2022-26531影響。受CVE-2022-26532及CVE-2022-26531影響的無線基地臺產品有近30項。上述產品合勤已釋出更新版軟體修補。</p> <p>至於受CVE-2022-26532及CVE-2022-26531影響的AP控制器包括NXC2500及NXC5500，合勤表示用戶應主動聯絡服務窗口提供修補程式。</p> </div></div></div>
2022/5/27 10:44作者林妍溱https://www.ithome.com.tw/news/151170
伺服器韌體爆3年重大漏洞，影響雲達伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">研究人員發現</a>，雲達（Quanta Cloud Technology，QCT）旗下數款產品存在一BMC韌體安全漏洞可使伺服器遭遇遠端程式碼執行攻擊。所幸雲達已經修補完成。</p> <p><a href="https://eclypsium.com/2022/05/26/quanta-servers-still-vulnerable-to-pantsdown/" target="_blank">Eclypsium研究人員近日發現</a>，多款雲達伺服器受到編號CVE-2019-6260的漏洞影響。研究人員並開發出一項概念驗證攻擊程式，展示能遠端存取系統的非授權攻擊者可在雲達伺服器的BMC內執行程式碼。</p> <p>CVE-2019-6260漏洞外號為Pantsdown，根源在臺灣信驊科技（ASPEED）生產的基頻管理控制器（Baseband Management Controller，BMC）ASPEED ast2400及ast2500硬體與韌體。<a href="https://www.flamingspork.com/blog/2019/01/23/cve-2019-6260-gaining-control-of-bmc-from-the-host-processor/" target="_blank">根據最早發現的研究人員指出</a>，ASPEED BMC SoC硬體功能的共用組態問題，讓惡意程式可從主機（少部份情況下可從BMC控制臺）非授權存取，而在BMC實體位址空間任意讀寫。<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-6260" target="_blank">Pantsdown漏洞風險值高達9.8</a>，屬重大漏洞。</p> <p>而基於供應鏈關係，3年前漏洞公布時，許多BMC韌體堆疊受到Pantsdown漏洞影響，包括OpenBPC、AIMI的BMC、及SuperMicro。</p> <p>Eclypsium指出，Pantsdown可讓攻擊者接管伺服器，可以在伺服器內植入勒索軟體、竊取機密或關閉BMC甚至整臺系統。若在BMC內執行程式碼，攻擊者還能竊取BMC登入憑證，而使其攻擊同一IPMI群組內的其他伺服器，是一重大風險漏洞。由於去年初還爆出網路上流傳以名為<a href="https://www.ithome.com.tw/news/148702" target="_blank">iLOBleed的BMC惡意程式</a>攻擊伺服器，因此研究人員呼籲QCT客戶要小心驗證其伺服器的元件安全性。</p> <p>研究人員於去年10月通知雲達。雲達表示已經解決這項漏洞，並將更新後的韌體提供給客戶，但這些韌體將不會公開。</p> </div></div></div>
2022/5/27 11:14作者林妍溱https://www.ithome.com.tw/news/151172
博通宣布將以610億美元買下VMware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock" target="_blank">美國晶片製造商博通（Broadcom）周四（5/26）宣布</a>將以610億美元買下軟體業者VMware，此一交易已獲得雙方董事會的同意，將同時以現金及股票支付，預計在2023年10月31日以前完成交易。未來博通的軟體部門（Broadcom Software Group）將直接更名為VMware，並納入博通既有的基礎設施與安全軟體解決方案。</p> <p>成立於1998年的VMware為一雲端運算暨虛擬技術軟體業者，它在2003年以6.25億美元賣給了EMC，隨著Dell在2015年以670億美元買下EMC而進入Dell的麾下，Dell則在2021年拆分了VMware。現在的VMware主打多雲解決方案，涵蓋應用程式現代化、雲端管理、雲端基礎設施、網路服務、安全及Anywhere Workspace等。</p> <p>博通執行長Hock Tan表示，此一交易結合了博通的半導體與基礎設施軟體業務，以及VMware的企業軟體，將讓博通成為領先的基礎設施技術公司。博通的軟體部門總裁Tom Krause則說，VMware平臺與博通的基礎設施軟體解決了企業的不同需求，合併後將能替企業帶來更有效益與安全的服務。</p> <p>根據雙方的協議，此一交易的現金及股票將各占一半，VMware股東可以選擇接受每股142.5美元的現金，或是0.252股的博通股票，以博通於25日及VMware在20日的收盤價來計算，博通是以44%的溢價買下了VMware，此外，博通也將承擔VMware的80億美元負債。</p> <p>VMware在20日的收盤價為95.71美元，當天之後此一收購傳聞即甚囂塵上，也讓VMware股價一路上漲，周四（5/26）收盤價已達120.54美元。</p> <p>博通與VMware也都在同一天公布了最近一季的財報。其中，<a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-inc-announces-second-quarter-fiscal-year-2022-financial" target="_blank">博通在截至今年5月1日的2022財年第二季創下了810億美元的營收</a>，比去年同期成長23%，在博通的營收中有77%來自半導體解決方案，23%為基礎設施軟體。</p> <p>至於<a href="https://ir.vmware.com/download/companies/vmware/Quarterly%20Reports/VMware%20Reports%20Fiscal%20Year%202023%20First%20Quarter%20Results.pdf" target="_blank">VMware所公布的則是截至4月30日的2023財年第一季營收</a>，該季VMware創下30.9億美元的營收，僅比去年同期成長3%，其中，訂閱與SaaS業務營收為8.99億美元，約占總營收的29%，授權營收則是5.71億美元。</p> <p>Dearjasmine</p> </div></div></div>
2022/5/27 09:56作者陳曉莉https://www.ithome.com.tw/news/151167
Google雲端N2D、C2D VM現支援高效能機密運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布在其Compute Engine運算服務<a href="https://cloud.google.com/blog/products/identity-security/introducing-confidential-computing-with-n2d-and-c2d-vms">N2D與C2D虛擬機器上，推出機密運算</a>，這將使得資料不只在傳輸與靜止狀態加密，同時在運算時也能維持資料的私密性，用戶將可確保資料不會暴露給雲端供應商，甚至是內部人員。</p> <p>機密虛擬機器是Google第一個機密運算產品，虛擬機器為一種Compute Engine虛擬機器，可以確保客戶的資料和應用程式，即便是在使用階段，也都能維持加密狀態。</p> <p>Google分別在2021年底與今年初，發布採用第三代AMD EPYC處理器的兩款虛擬機器N2D與C2D，N2D設計為通用運算機器類型，適合用於處理一般的工作負載，但同時又提供較大的虛擬機器規格與記憶體，滿足諸如網頁應用程式和資料庫等，對運算與記憶體的需求。</p> <p>C2D則是針對運算進行最佳化的機器類型，該執行個體是目前Compute Engine中，最佳化運算系列中尺寸最大的虛擬機器，可符合高效能資料庫與高效能運算的需求。目前N2D與C2D上都開始機密運算預覽。</p> <p>Google藉由使用第三代AMD EPYC處理器的AMD安全加密虛擬化功能（Secure Encrypted Virtualization，SEV）來提供機密運算功能。AMD SEV功能可讓機密虛擬機器，在執行高效能運算下，同時以處理器生成和管理每個虛擬機器的專用金鑰，並對虛擬機器記憶體進行加密，這些金鑰在虛擬機器創建期間，由處理器產生，並單獨存留在該虛擬機器中，Google或是主機上其他虛擬機器皆無法存取。</p> <p>目前支援機密運算的N2D與C2D虛擬機器已在全球各地推出，包括北美、新加坡、臺灣和荷蘭。</p> </div></div></div>
2022/5/27 10:15作者李建興https://www.ithome.com.tw/news/151160