iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 4篇
近 24 小時: 30篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

零售IT雙周報第1期：Mastercard推出生物辨識結帳，揮手或微笑就能刷卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>面部辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手紋辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無接觸結帳</b></span></font></p> <p><strong>Mastercard將針對零售商推出無接觸生物辨識結帳系統</strong></p> <p>Mastercard宣布，<a href="https://www.mastercard.com/news/press/2022/may/with-a-smile-or-a-wave-paying-in-store-just-got-personal/">將推出生物辨識結帳系統</a>，透過手紋或面部辨識，就能在結帳時刷卡。此功能將於本周從巴西開始試營運，之後將於亞洲和中東地區推出。Mastercard表示，目前已跟富士通、NEC、Payface、Aurus、PaybyFace及PopID等全球廠商展開合作，以保證在全球推出此服務時，生物認證精確度、隱私權保護跟資訊安全，都符合統一最低規範。</p> <p>Mastercard數據顯示，2021 Q4約一半線下交易都轉為無接觸，並引用Juniper研究，預測2026全球信用卡無接觸交易金額將來到6.7兆美元。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧倉儲</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上開店</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>雜貨店</b></span></font></p> <p><strong>Amazon在印度推出當地雜貨店的零售數位化服務</strong></p> <p>Amazon India宣布針對當地雜貨店推出<a href="https://smbhav.amazon.in/grow-with-amazon/smart-commerce">智慧商務服務Smart Commerce</a>，提供雜貨店線下數位化及線上開店功能。這些服務包括協助雜貨店建立數位倉儲管理系統、數位支付、廣告服務及打造線上商城頁面。</p> <p>地方雜貨店為印度消費者採購民生必需品的主要去處，占約9成快速消費品（FMCG）銷售量，且全國超過1,280萬家地方雜貨店，店數／人口比是臺灣便利商店的18倍。由於地方雜貨店密度高、價格低，Amazon India看到商機，兩年前推出Local Shops服務，讓地方雜貨店在Amazon上架商品，並由店家自行外送到消費者家中。Amazon表示，目前已經有150,000家商家使用Local Shops上架商品，商家接受度出乎意料，也使他們有信心進一步推出Smart Commerce，將服務項目從單純上架商品，拓充到線上下智慧零售。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>元宇宙</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>虛擬店家</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OMO</b></span></font></p> <p><strong>Gucci將在元宇宙遊戲Roblox中設立虛擬商店及展覽空間</strong></p> <p>時裝品牌Gucci於元宇宙遊戲Roblox內設立常駐<a href="https://www.roblox.com/games/7830918930/Gucci-Town">虛擬店面暨展覽空間Gucci Town</a>，除了販售遊戲中的Gucci商品外，還會展出Gucci新產品，玩家甚至可以創作藝術品，並遊玩小遊戲。</p> <p>這不是Gucci首次涉足元宇宙。過去Gucci也結合實體Gucci Garden Archetypes展覽，同步在Roblox<a href="https://blog.roblox.com/zh-hant/2021/05/roblox-%E6%AD%A3%E6%98%AF%E8%BF%8E%E6%8E%A5-gucci-garden-%E9%AB%94%E9%A9%97/">推出限時Gucci Garden</a>活動，讓玩家蒐集遊戲內的Gucci服飾。這次，Gucci Town不僅是常駐空間，還會隨著商家動態定期更新，意味著Gucci將認真於元宇宙經營品牌形象。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機送貨</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧物流</b></span></font></p> <p><strong>Walmart將擴大無人機物流量能，號稱一年能送出100萬份貨</strong></p> <p>美國零售巨頭Walmart<a href="https://corporate.walmart.com/newsroom/2022/05/24/were-bringing-the-convenience-of-drone-delivery-to-4-million-u-s-households-in-partnership-with-droneup">宣布2022將增設34座無人機基地</a>，並提升無人機送貨量能到每年100萬次，服務6個州的400萬戶家庭。</p> <p>Walmart表示，無人機數月來已經測試過數百次商用飛行，且消費者反應正面，因此決定大幅提升試營運規模。這與Amazon 2013年宣布無人機送貨至今仍處測試階段，且遲遲沒有大規模測試的情況，呈現明顯對比。</p> <p>目前，Walmart無人機營運模式是，當接到消費者無人機送貨訂單，鄰近實體店面會揀貨、包貨、裝載到無人機上，並送到消費者後院上空，再由纜繩緩降貨物到地上。目前，無人機可以裝載最多10磅（約4.5公斤）的貨物。Walmart尚未提供規模化後的管理方針及技術細節。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NFT</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Discord社群</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>奢侈品牌</b></span></font></p> <p><strong>Prada推出附贈NFT的限定服飾商品 </strong></p> <p>Prada推出<a href="https://www.prada.com/us/en/pradasphere/special-projects/2022/prada-timecapsule.html">新產品系列Timecapsule NFT Collection</a>，每個月特定日期時販售限量的實體服飾，並附贈NFT。持有Prada NFT的客戶，將會有特別優惠和新產品提前看等會員福利。這些NFT，將由Prada、LVMH、Mercedez-Benz等奢侈品牌共同成立的奢侈品區塊鏈聯盟Aura Blockchain Consortium發行在以太鏈上。同時，也推出Discord社群頻道，以促進Prada客戶討論流行、藝術、影視、音樂及Web3等話題。</p> <p>這已經不是第一次Prada涉足NFT，今年一月時，Prada也跟Adidas合作發行兩家品牌社群的藝術創作NFT。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上購物</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上客服</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>模擬實體購物</b></span></font></p> <p><strong>電商金流公司Klarna將推出電商服務，主打模擬線下購物社交性</strong> </p> <p>年交易量800億美元的瑞典電商金流公司Klarna，將<a href="https://www.prnewswire.com/news-releases/klarna-launches-virtual-shopping-bringing-the-in-store-experience-to-online-shoppers-301546079.html">跨足電子商務服務</a>。不過，他們將服務定義為「虛擬購物」，強調客戶和店員線上溝通功能，以提供接近實體購物的社交體驗。</p> <p>Klarna在聲明中引用Statista數據，說明全球零售業績仍有約8成來自線下購物，且根據Klarna調查，消費者更偏好線下購物，主因是線下互動更有社交性並能獲得良好的顧客服務。因此，Klarna虛擬購物服務主打消費者可以透過訊息或視訊，即時提供建議及穿搭示範等互動，以模擬線下購物體驗。</p> <p>超過300家零售商已經採用此服務，包括服飾品牌大廠Levi's跟Hugo Boss。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>自助結帳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>大規模雜貨店</b></span></font></p> <p><strong>連鎖雜貨店品牌Dollar General將實驗全自助結帳店面</strong></p> <p>美國分店數超過1.8萬間的雜貨店品牌Dollar General，<a href="https://seekingalpha.com/article/4514715-dollar-general-corporation-dg-ceo-todd-vasos-on-q1-2022-results-earnings-call-transcript">將陸續於200家分店中開始實驗全自助結帳</a>。Dollar General COO Jeff Owen表示，加速推動措施自助結帳，是為了因應供應鏈和通貨膨脹帶來的成本壓力。目前，Dollar General已經有8,000家分店有自助結帳機臺，並預計年底前在11,000家分店中安裝。</p> <p>Jeff Owen透露，逐步推動自助結帳同時，他們也將把自助結帳機系統與智慧倉儲管理系統串接，以進一步增加店員工作效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>更多零售IT動態：</b></span></font></p> <p>PCHome 2022後半年會發展CDP並優化個人化商品推薦，同時也正在徵金融、物流、行銷領域AI人才。</p> <p>Momo將再擴建20座衛星倉且拚年底自物流比重達25%，同時正在徵電子商務、倉儲物流、科技資訊、後援服務人才。</p> <p><a href="https://newsroom.snap.com/ebay-creativekit">Snapchat將可以在Stories裡面顯示eBay商品標籤，點擊會帶使用者跳轉到eBay App中該商品頁面。</a></p> <p>資料來源：iThome整理，2022年6月</p> <p> </p> </div></div></div>
2022/6/8 14:00作者郭又華https://www.ithome.com.tw/news/151337
OpenInfra基金會推出企業贊助開源碼專案的新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prweb.com/releases/open_for_business_openinfra_foundation_launches_directed_funding_for_openinfra_project_hosting_replicating_success_of_openstack_kata_containers_starlingx/prweb18718369.htm" target="_blank">開放基礎架構基金會（Open Infrastructure Foundation，OpenInfra）本周宣布一項新的資助模式</a>，讓企業可直接贊助偏好的特定開源碼專案。</p> <p>OpenInfra是<a href="https://www.ithome.com.tw/news/140645" target="_blank">OpenStack基金會2020年10月改名並擴充而成</a>。OpenInfra最新宣布名為直接資助（Directed Funding）模型，作為更直接的企業贊助模式。</p> <p>傳統上企業若想贊助開源專案或社群，主流方式是加入會員付會員費，而由主持機構分配到最適合的專案。OpenInfra解釋，直接資助模型則允許企業針對他們最關心的專案提供資金，並獲得非營利機構的專案管理支援。</p> <p><a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">OpenInfra基金會執行長Jonathan Bryce對媒體表示</a>，之前不這麼做是因為擔心發生付錢的人有特權的情形，但是隨著基金會管理的專案愈來愈多，而會員不是對每種專案都抱以同樣關注，因此贊助特定專案的呼聲愈來愈大。</p> <p><a href="https://openinfra.dev/projects/funding/" target="_blank">根據規畫</a>，為了管理企業資助，所有在直接資助模式下的專案都必須成立法律實體。OpenInfra也規畫，為確保專案和OpenInfra宗旨一致，每個專案都要有至少1家OpenInfra白金級會員（包括微軟、Red Hat、Meta、華為及螞蟻集團等9家業者）擔任執行贊助人，其他公司再投入專案基金。所有專案贊助者都必須是OpenInfra會員。OpenInfra要求每個資助專案的會員公司必須建立基金治理委員會，根據OpenInfra指引來決定預算。</p> <p>此外，OpenInfra將提供建立專案及社群的框架及指引，包括防止委員會為了衝營收而濫接專案的管理方法。</p> <p>目前OpenInfra僅允許剛加入的專案使用這項資助模式，<a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">並表示尚未規畫現有專案可轉向這新模式</a>。</p> <p>OpenInfra基金會除了OpenStack外，另有容器安全專案Kata Containers、基礎架構生命周期管理Airship 、邊緣運算軟體堆疊StarlingX及CI/CD平臺Zuul等專案。</p> </div></div></div>
2022/6/8 14:01作者林妍溱https://www.ithome.com.tw/news/151338
蘋果推出基於雲端CI/CD的Xcode Cloud開發平臺，可供Apple開發者在雲端建置和測試App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年beta測試，在6日舉行的WWDC 2022蘋果開發者大會上，Apple宣布Xcode Cloud服務已全面推出，可供所有Apple開發者開發App使用。目前如果升級到13.4.1與14.0 beta版Xcode工具，Apple開發者已可使用Xcode Cloud功能。Apple今夏也將推出Xcode Cloud訂閱方案。</p> <p>Xcode Cloud是內建在蘋果開發工具Xcode中的新服務，可供Apple開發者在雲端建置和測試、部署應用程式，透過持續整合和持續交付，來縮短App開發周期，加快產品上市。</p> <p>不像Xcode工具是安裝在Apple用戶自己的Mac上，Xcode Cloud主要在Apple託管的雲端基礎架構上來執行，從雲端上提供程式碼簽章、存取不同作業系統版本及Xcode工具。Xcode Cloud也與Xcode緊密整合，所有在Xcode Cloud上建置和測試的結果，甚至是應用程式崩潰的回傳報告，都會在用戶自己的Xcode中呈現。</p> <p>Apple表示，透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構iOS或MacOS等應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理等，來協助開發者縮短應用開發與交付。而通過App Store Connect的Web儀表板，也能顯示Xcode Cloud上的測試的資訊，也能直接從Web頁面編輯工作流程並展開App建立，Xcode Cloud也能與TestFlight工具一起使用，可供團隊進行測試版測試。</p> <p>雖然是基於雲端CI/CD的開發平臺，不過，開發者使用Xcode Cloud服務時，仍需要配有一臺Mac及搭配最新Xcode工具，目前還不能在Windows的PC上來使用，在跨平臺App開發上也有限制，雖然可支援跨 iOS、macOS、watchOS 和 tvOS的App開發，但並不提供Android 或 Windows跨平臺的App支援。</p> <p>Apple預計今夏開始提供Xcode Cloud訂閱方案，收費方式將根據使用運算時數來計價，每月25小時收費約 14.99 美元起，若是Apple開發者計畫成員，明年底前將可獲得免費額外25小時的使用額度。</p> </div></div></div>
2022/6/8 11:37作者余至浩https://www.ithome.com.tw/news/151333
微軟對企業預覽Windows 11 22H2更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/preview-of-windows-11-version-22h2-now-available/ba-p/3478084" target="_blank">微軟昨日（7）宣布</a>Windows 11 22H2更新預覽版已釋出給企業用戶試用，正式版將於今年下半釋出。</p> <p>註冊Windows Insider Program for Business的企業，將可透過Windows Update、 Windows Update for Business、Windows Server Update Services（WSUS）、Windows Insider Preview下載頁、Azure Marketplace等管道下戴。</p> <p>而配合這波軟體釋出，微軟也將對企業用戶提供免費支援，協助企業及早測試及做好部署規畫。微軟表示Windows 7、8.1及Windows 10上的應用程式都可在Windows 11執行。若碰到有和22H2的App相容問題，<a href="https://www.microsoft.com/zh-tw/fasttrack/microsoft-365/app-assure?rtc=1" target="_blank">微軟則提供App Assure with Microsoft FastTrack技術支援</a>。</p> <p>Windows 11 22H2更新預覽版是非強制性更新。透過Windows Update設定頁、或Windows Update for Business政策頁設定加入Insider Program Release Preview Channel的公司電腦，將會自動接收到最新預覽版。不想升級的Windows 10用戶，可以在安裝設定時選擇「Stay on Windows 10 for now（暫時留在Windows 10上）」。執行Windows 11的電腦用戶則應記得不要選擇下載安裝。</p> <p>安裝Windows Server Update Service （WSUS）的公司環境，可啟用Windows Insider Pre-release類別同步下載，或使用Microsoft Endpoint Configuration Manager」。前者環境中它會出現控制臺上。微軟提醒，如果機器設定傳送診斷資料，若硬體規格不符合要求，WSUS會顯示無法安裝Windows 11 22H2。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0608-windows-11-updates_wsus.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1746,height=811'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0608-windows-11-updates_wsus-small.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>若選擇從Insider Preview下載頁下載，則可在「選擇版本」頁面選擇Windows 11 Insider Preview（Release Preview Channel）- Build 22621下載ISO檔。全新安裝（clean installation）的情境中，預覽版會使用現有Windows 10授權碼或以Azure AD啟動，無需新的Windows 11授權碼。</p> <p>以Azure Marketplace下載者，可到<a href="https://azuremarketplace.microsoft.com/zh-tw/marketplace/apps/microsoftwindowsdesktop.windows11preview?tab=Overview" target="_blank">Windows 11預覽頁</a>下載。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/378244i49522915B66B644B/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows11-release-information" target="_blank">根據微軟規畫</a>，Windows 11將會以一年一次的頻率提供功能更新，於每年下半釋出。更新後就會啟動技術支援期，Home、Pro、Pro for Workstations及Pro Education版提供24個月支援，Enterprise及Education版則提供36個月支援。</p> </div></div></div>
2022/6/8 11:23作者林妍溱https://www.ithome.com.tw/news/151332
Lockbit駭客宣稱攻擊資安廠商Mandiant，竊走35萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日猖獗的勒索軟體Lockbit背後的駭客組織本周宣稱已駭入知名資安廠商Mandiant，並竊走35餘萬份檔案。但Mandiant表示沒有證據資料外洩。</p> <p>資安媒體如<a href="https://securityaffairs.co/wordpress/132011/cyber-crime/lockbit-claims-mandiant-hack.html" target="_blank">SecurityAffairs</a>、<a href="https://www.cyberscoop.com/lockbit-2-0-claims-mandiant-ransomware-victim/" target="_blank">Cyberscoop</a>報導，Lockbit勒索軟體駭客在其暗網網站公布這項消息，宣稱已從Mandiant公司網路得手35.7萬份檔案，並揚言若在6月6日晚間10:35未獲得對方贖款，將公開這些檔案。駭客並未說明取得哪些資料，但網站上有名為mandiantyellowpress.com.7z的檔案，意味和Mandiant網域有關。</p> <p class="rtecenter"><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FUlcEoFXwAAwdcB?format=jpg&name=large" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sergiu Gatlan</span></span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">昨日Mandiant對媒體表示</a>，該公司已經注意到這個消息，但截自目前沒有證據顯示公司有資料外洩的情形。</p> <p>Lockbit宣傳駭入Mandiant之前，<a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions" target="_blank">本月2日Mandiant公布</a>一份針對Lockbit和其背後名為UNC2165的駭客組織的分析，這個駭客組織已利用Lockbit多次犯案。Mandiant根據使用的工具推斷，UNC2165和俄國駭客組織Evil Corp重疊，他們相信，Evil Corp轉而利用Lockbit勒索軟體的網路來躲避西方國家的制裁。</p> <p>昨日時限一到，Lockbit駭客公布了資料，但不是Mandiant的相關檔案，而是一份和其他公司受害者的對話擷圖，以及一封聲明稿。聲明稿主要是駁斥Mandiant上周針對Lockbit身分的一項分析。</p> <p><a href="https://twitter.com/vxunderground/status/1533948505043124224" target="_blank">Lockbit駭客否認他們和Evil Corp有關</a>，並嘲笑Mandiant光以使用的工具相同來判斷兩者關聯。他們強調自己是「真正的地下暗網駭客」，和任何政治或情報組織如FBI、俄國的FSB等都無關。Lockbit表示其成員涵括多種國籍，不但有俄羅斯，也有美國、中國、烏克蘭、伊朗等其他國家駭客。</p> <p><a href="https://twitter.com/Mandiant/status/1534230187721859073" target="_blank">Mandiant昨日表示</a>，根據駭客公布的資料，無法顯示Mandiant資料外洩，同時該公司也對其稍早Lockbit和UNC2165的分析表達信心。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">BleepingComputer分析</a>，Lockbit這番否認可能是擔心一旦被扯上和美國政府制裁的Evil Corp，受害企業就不願意再付贖金。</p> <p><a href="https://www.ithome.com.tw/news/151270" target="_blank">上周Lockbit駭客也宣稱駭入鴻海墨西哥工廠</a>，鴻海也證實了這項消息，但表示受攻擊廠區正逐漸恢復正常中，對集團整體營運影響不大。</p> </div></div></div>
2022/6/8 10:27作者林妍溱https://www.ithome.com.tw/news/151328
歐盟規定手機等電子裝置在2024年都必須統一採用USB-C充電埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20220603IPR32196/deal-on-common-charger-reducing-hassle-for-consumers-and-curbing-e-waste" target="_blank">歐洲議會與歐盟高峰會（European Council，EC）在本周二（6/7）達成共識</a>，將要求境內特定電子裝置要在2024年秋天之前以USB-C作為通用的充電埠，涵蓋手機、平板電腦、筆電、數位相機、遊戲機等眾多產品。</p> <p>此一新規定被列入《無線電設備指令》（Radio Equipment Directive）修正版中，建立一個單一的充電解決方案，除了可減少電子浪費、改善境內產品的可持續性之外，估計也會讓消費者的生活輕鬆許多。</p> <p>研究顯示，廢棄與未使用的充電器每年造成1.1萬噸的電子垃圾，且讓充電器可重覆使用，每年可替歐盟消費者節省2.5億歐元的充電器購買費用。</p> <p>在此一修正版上線後，消費者在購買新的電子裝置時，將無需再購買新的充電器，只要同一個充電器就能替所有中小型的可攜式電子裝置充電。</p> <p>該法令所適用的裝置極為廣泛，除了手機、平板電腦、數位相機、耳機、頭戴式裝置、遊戲機、可攜式喇叭之外，也包含了筆電、電子書閱讀裝置、鍵盤、滑鼠及可攜式導航裝置等。</p> </div></div></div>
2022/6/8 10:53作者陳曉莉https://www.ithome.com.tw/news/151329
IBM宣布撤出俄羅斯市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/Update-on-IBMs-Business-Operations-in-Russia" target="_blank">全球科技服務業者IBM周二（6/7）宣布</a>，將撤出俄羅斯市場，解散當地的員工。</p> <p>在俄羅斯於2月24日入侵烏克蘭之後，IBM於3月7日暫停於俄羅斯的營運，雖然營運暫停，但依舊支付薪資予當地的員工。不過，IBM本周表示，隨著戰爭所帶來的後果愈來愈嚴重，長期的不確定性大增，使得它們決定將關閉IBM於俄羅斯的業務，且即日就會展開相關程序，包括解散當地的員工。</p> <p>IBM並未說明該公司在俄羅斯的員工人數，但IBM於俄羅斯有許多重量級客戶，例如俄羅斯聯邦儲蓄銀行Sberbank或俄羅斯鐵路Russian Railways等。</p> <p>不過，IBM在今年4月的財報會議上透露，不在俄羅斯作生意對該公司的影響很小，該市場每年替IBM創造3億美元的營收，僅占IBM總營收的0.5%。</p> <p>IBM也表示，該公司知道這並不是員工的錯，而且他們已經承受了幾個月的壓力與不確定性，IBM將會持續支持他們，採取所有合理的步驟來協助他們渡過此一時期。</p> </div></div></div>
2022/6/8 11:14作者陳曉莉https://www.ithome.com.tw/news/151330
Python與meta程式設計
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當我們使用Python進行開發時，當中的資料都是以物件的形式存在，而物件會是類別的實例，若能控制每個被定義的類別，就有機會對它們進行驗證、調整，玩弄一些神奇的技法。若要概略區分，這其實是屬於meta程式設計的範疇。如果你對Python稍有深入的研究，可能會想到Python可藉由metaclass的定義與指定，來從事meta程式設計。</p> <p>然而，在Python中，想利用meta程式設計完成任務，最好的方式就是不要使用metaclass，這聽來矛盾，其實這是個隱喻，就跟「在Python中想讀取檔案，最好的方式就是不要read」是類似的，因為檔案物件實作了迭代器協定，透過for in就能逐一取得檔案中的資料，同時可以降低讀取檔案時的複雜度。</p> <p><span style="font-size:28px;"><strong>使用metaclass之前</strong></span></p> <p>類似地，metaclass在實作與使用上有著不小的複雜度，往往還必須搭配裝飾器（decorator）、描述器（descriptor），而隨意實作的metaclass令程式增加意外性且難以除錯，因此我們應優先考量Python標準程式庫中現成、成熟的metaclass實作方案，看看它們是否能夠解決問題，而非一上來就直接實作metaclass。</p> <p>例如，在屬性與方法的控制上，如果想實現固定存取（uniform access）原則，我們可以使用@property，靜態方法與類別方法也有相對應的@staticmethod、@classmethod裝飾器；若想定義抽象基礎類別及抽象方法，我們可以透過abc模組的ABC類別，以及@abstractmethod等進行。</p> <p>基本上，@property等標註，實現了裝飾器與描述器的行為，至於ABC類別，其實是個指定metaclass為abc.ABCMeta的簡便類別，而建議繼承ABC的原因在於，可以讓開發者不用意識到metaclass的存在。而在多重繼承的情況下，若其他父類別也指定metaclass，建構與初始的流程可能會難以掌握，這時自行指定metaclass才會是必要的。</p> <p><span style="font-size:28px;"><strong>魔術方法與描述器</strong></span></p> <p>如果Python標準程式庫現成的方案不足以使用，下一步是考量可靠的第三方程式庫，如果還是不足以解決問題，想要自行實現屬性與方法的控制，我們此時可以先考量魔術方法。</p> <p>例如，若想控制能指定給物件的屬性名稱，我們可以在定義類別時指定__slots__，列出類別實例可以指定的屬性；若想指明某些特性是抽象方法，我們可以在類別實例上指定__abstractmethods__，表明哪一些方法其實是抽象方法，如果類別的__abstractmethods__不為空，那麼就是個抽象類別，不可以直接實例化。</p> <p>然而，只是指定父類別的__abstractmethods__，並沒有檢查子類別是否實作抽象方法的能力，這就是ABC類別與@abstractmethod存在之目的。其實，檢查子類別是否實現了抽象方法，只是metaclass用來驗證子類別的一種形式，有許多任務也都需要驗證子類別。</p> <p>為了避免開發者以複雜的方式實現metaclass來驗證子類別，Python 3.6以後，類別可以實作__init_subclass__方法，若繼承該類別，直譯器在執行完類別定義後，就會呼叫__init_subclass__方法傳入子類別，這就使得驗證子類別這類任務在實作上，可以避免使用metaclass而輕鬆許多。</p> <p>控制屬性的魔術方法，還有__getattribute__、__getattr__、__setattr__、__delattr__。在取得屬性時，最先執行的會是__getattribute__，常作為取得屬性時最前端的攔截器，而由於實例__dict__中存在屬性時就會傳回值，因此，__getattr__常作為搜尋屬性的過程中，都找不到屬性時的最後一道防線；由於__setattr__、__delattr__一定會先呼叫，所以，也就不存在__setattribute__、__delattribute__。</p> <p>描述器會參與屬性存取過程，是與__getattr__需求正交（orthogonal）的方案，但與特殊方法不同之處在於：描述器可以取得描述器所在類別資訊，而且描述器本身是個物件，可重用在各個類別之中，本身被存取時會呼叫對應的協定，而非描述器所在類別之實例各屬性被存取時，採取對應的動作。</p> <p>在Python 3.5以前，描述器只在被存取時才會呼叫對應的協定，若要在描述器被定義至類別時，就能進行驗證類別的動作，必須透過metaclass來實作；到了Python 3.6以後，描述器可以定義__set__name__方法，而這個方法會在類別定義完成後執行，傳入描述器所在之類別，這麼一來，就有機會對類別或名稱做些處理，可以避免過去一些必須實作metaclass的場合。</p> <p><span style="font-size:28px;"><strong>裝飾器與metaclass</strong></span></p> <p>meta程式設計的應用，並不僅在於控制屬性與方法，例如，Python 3.6以後的類別，可以實作__init_subclass__方法、描述器可以定義__set__name__方法，這無非就是在反映一件事實：不少任務需要在類別定義完成時就執行。</p> <p>有個最接近類別定義完成時就執行的機制，那就是類別裝飾器，當裝飾器標註在類別，類別會作為裝飾器的引數傳入，這時候也就有機會對類別做驗證及調整。</p> <p>因為每個類別只能指定一個metaclass，然而，類別裝飾器可以組合，也就是，在類別上可以標註多個裝飾器，這就使得在許多場合當中，類別裝飾器成了比metaclass更有彈性的選擇，例如，在《Effective Python》第二版的〈做法51〉，就推薦以類別裝飾器來實現可組合的擴充機制，而不是使用metaclass。</p> <p>metaclass存在之目的，是希望類別定義完成時就執行一些任務，具體來說，就是希望能掌握類別的建立與初始化！嗯？類別不是寫死的程式碼定義嗎？不是！類別最後會成為一個物件，是type類別的實例，因此實作metaclass，就是希望在掌握type(...)建立、初始類別時的過程。</p> <p>這也就是為什麼，定義metaclass時需要繼承type類別，實作__new__或__init__方法。這是因為__new__掌握了怎麼建立類別，__init__掌握了怎麼初始類別，如果某個類別在定義時指定了metaclass，那麼，就會使用該metaclass來建立、初始化類別。</p> <p><span style="font-size:28px;"><strong>建立、初始化類別前或後？</strong></span></p> <p>類別裝飾器（或者魔術方法、描述器等）終究是在類別建立、初始化之後，才會在類別進行調整，是否使用metaclass的最大考量也在於此：開發者想解決的任務，究竟是在類別建立、初始化之前就要完成呢？還是其實在類別建立、初始化之後，也可以實現呢？若是前者，才使用metaclass！</p> <p>一個有趣的事實是，定義類別時metaclass可指定對象──並不只有type子類別，只要是可呼叫（callable）物件都可以指定，這是因為：建立metaclass實例時，就是呼叫__call__，其中才呼叫了__new__、__init__方法，然而，這是從鴨子定型的觀點來看罷了，如果使用靜態分析工具，像是mypy檢查時，可能就會發生"Invalid metaclass"之類的錯誤。</p> <p>總之，在Python中，如果我們能用簡單方案實現的任務，就不要以複雜的方式來實現，從事meta程式設計時也是如此，雖然某些需求，看似用特殊方法、描述器或metaclass等都能實現，但是，還是要仔細考量彼此的分野，以免讓實現變得複雜了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/metaclass">metaclass</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6">物件</a></div></div></div>
2022/6/8 07:00作者林信良https://www.ithome.com.tw/voice/151261
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，繼上星期有中國駭客利用此漏洞對西藏發動攻擊後，研究人員再度發現相關的攻擊行動。而這次駭客的目標，是歐洲與美國地方政府的人員。</p> <p>今天有兩起駭客聲稱竊得企業內部資料的事故相當引起關注。其中又以大型藥廠諾華（Novartis）的資料外洩事故較為受到矚目，因為，駭客宣稱拿到與研發新藥品有關的實驗數據，而很有可能影響相關藥品的研發。</p> <p>廣泛運用於嵌入式Linux裝置的開機程式U-Boot，其漏洞引起研究人員注意，因為，這些漏洞有可能被攻擊者用於挾持設備。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料並傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> </div></div></div>
2022/6/7 18:42作者周峻佑https://www.ithome.com.tw/news/151321
Container周報第149期：Docker桌面版正式支援Linux，未來連樹莓派OS都能裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/5/8~2022/5/25 精選容器新聞</strong></span></p> <p><strong>#容器開發、#Docker桌面<br /> 終於！Docker桌面版正式支援Linux，未來連樹莓派OS都能裝</strong></p> <p>這項在Docker公開藍圖需求排名第二熱門的功能，終於實現了。日前Docker在年度大會上宣布，Docker桌面版也正式支援Linux了。這代表了開發者可以跨Windows、macOS和Linux來使用相同的Docker容器開發環境。</p> <p>過去Linux開發者只能使用命令列工具來使用Docker開發環境，但現在可以透過視覺化UI來管理容器配置、儲存空間、映像檔等。也可以一鍵快速安裝常見容器開發套件，包括了K8s、Docker Engine、Docker CLI、Docker Compose、BuildKit等。Docker桌面版的Linux版本，可以整合Linux VM，也能用來整合Mac、Windows電腦上的檔案系統或網路層。</p> <p>開發者可以使用Docker儀表板來管理Linux上所有的容器資源。Linux開發者現在也能使用Docker外掛機制，來取得第三方提供的Docker工具。目前，Docker桌面版可以支援的Linux版本包括了Ubuntu、Debian和Fedora，Docker公司表示，下一步將與Linux社群合作，盡可能支援更多Linux發行版本，預計將推出ArchLinux版本以及許多人期待的64位元Raspberry Pi作業系統。</p> <p><strong>#容器開發、#Docker擴充機制<br /> Docker桌面版擴充機制正式推出，VMware、紅帽等16家第三方先支援</strong></p> <p>Docker Extension擴充機制和擴充機制SDK在5月初正式推出，也代表了Docker桌面成了可以支援任何第三容器工具的桌面版整合開發環境，而第三方應用也可以透過Docker Extension SDK來整合到Docker開發流程中。Docker公司也宣布了第一批擴充機制的供應商有16家，包括紅帽、VMware、JFrog等，提供了多款K8s擴充機制，如可支援VMware Tanzu社群版K8s或紅帽OpenShift的快速部署。另外也有多款強化軟體供應鏈安全的擴充機制，例如JFrog Xray、</p> <p>Snyk、Anchore這3款擴充機制都可用孻掃描容器映像檔弱點。也有一些Docker公司自建的擴充機制，例如磁碟用量工具、容器Log檔瀏覽工具。</p> <p><strong>#GitOps、#Azure<br /> AKS正式支援Weaveworks的GitOps平臺，VS Code也同時內建</strong></p> <p>Weaveworks旗下GitOps平臺Flux v2在微軟開發者大會上宣布，正式支援AKS和Arc K8s。開發團隊能透過Azure叢集擴充機制來啟用Flux後，就可以讓Azure支援GitOps配置，連結到Git儲存庫，來快速部署和管理跨雲的K8s叢集。Azure可以追蹤在Git儲存庫中定義的狀態，來檢查透過GitOps流程部署的法遵狀態，也能用來觀察叢集的健康情況。</p> <p>搭配AKS支援GitOps配置，VS Code也釋出了GitOps擴充功能，可以用來管理在AKS上Flux平臺所建立的GitOps流程。</p> <p><strong>#Serverless、#容器化App<br /> Azure容器化App服務正式上線，主打CNCF開源專案技術來提高互通性</strong></p> <p>微軟在年度開發大會上宣布Azure上的容器化App服務正式上線，這是用K8s提供的無伺服器執行服務，可以用來部署容器化的微服務。這項服務並非以微軟自家工具，而是標榜以CNCF的開源專案技術為主，來確保高度互通性，在微軟AKS服務上，採用K8s事件驅動自動擴充轉KEDA、分散式應用Runtime（Dapr）和Envoy來打造出這項服務。開發者可以透過Visual Studio和Visual Studio Code來開發和管理Azure容器化App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Azure%E5%AE%B9%E5%99%A8%E5%8C%96app.png" /></p> <p><strong>#容器資安、#DevOps<br /> GitLab大改版，容器掃描成為基本功能，免費版也能用</strong></p> <p>DevOps平臺商GitLab最近發布了15.0新版，加入更多的DevOps功能，重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>在15.0版中，也將過去付費版才有的容器掃描功能，下放到免費版，可以用來檢查所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p><strong>#Linux、#容器部署<br /> 新版RHEL 9來了，新增容器回撤功能，能自動回復到更新前組態</strong></p> <p>紅帽在年度大會中宣布推出了RHEL 9，主打邊緣運算（edge computing）的支援、及預防Spectre等硬體層漏洞的安全功能。</p> <p>這是第一個以CentOS Stream為基礎的產品，後者是提供RHEL預覽版功能的社群版。新版本特別主打對邊緣運算的功能強化，包括在單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解。新增Podman的自動化容器回撤（rollback），可在偵測容器更新失敗時，回復到之前最後的良好組態。</p> <p><strong>#雲端原生、#軟體開發<br /> 微軟推出雲端開發工具箱Dev box，開發電腦環境能上雲統一預先配置和管理</strong></p> <p>微軟利用去年發表的雲端電腦Windows 364，推出了雲端開發電腦，稱為雲端開發工具箱Dev Box服務。這是一個在雲端提供的開發用電腦環境，可以結合Azure AD群組管理，預先為開發專案中不同成員角色，預先配置所需硬體規格、開發工具和支援套件的雲端開發用電腦環境，可以快速啟動來使用。</p> <p>也因透過Windows 365雲端電腦提供，因此，也可以統一使用微軟端點管理機制和Intune來控管這些雲端開發電腦的安全性。開發者可以透過Windows、MacOS、Android或iOS作業系統，以及瀏覽器來登入這個雲端開發電腦，進行不同類型的App開發，也能用內建的Linux次系統來開發Linux應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%9B%B2%E7%AB%AF%E9%96%8B%E7%99%BC%E9%9B%BB%E8%85%A6.png" /></p> <p><strong>#開源軟體管理、#軟體供應鏈<br /> 瞄準軟體供應鏈管理需求，GCP第三季推出開源套件安全驗證保證服務</strong></p> <p>Log4j漏洞問題引發應用程式開發的供應鏈安全問題，GCP近日宣布名為保證開源軟體（Assured Open Source Software）的服務，可協助企業或開發商取得經過Google漏洞檢查及簽章的開源套件，這項服務預計今年第3季開放測試。這些開源套件定期經Google掃瞄、分析漏洞及模糊測試、以Google 無伺服器CI/CD平臺Cloud Build開發、經過Google簽章、並由Google Cloud（容器映像檔及語言套件代管平臺）Artifact Registry代管及管理，藉此省去開發人員使用開源套件的安全管理作業。</p> <p><strong>更多新聞</strong></p> <p>SUSE正式推出容器安全產品NeuVector，能管理容器各生命周期階段的資安</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/7 18:52作者王宏仁https://www.ithome.com.tw/news/151322
駭客利用微軟零時差漏洞Follina來攻擊歐洲與美國政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/threatinsight/status/1532830739208732673" target="_blank">資安業者Proofpoint上周指出</a>，光是這幾天就封鎖了多個企圖開採微軟零時差漏洞Follina的網釣攻擊行動，目標對象為歐洲各國政府及美國的地方政府組織。</p> <p><a href="https://www.ithome.com.tw/news/151238" target="_blank">微軟是在5月30日揭露</a>此一位於Microsoft Support Diagnostic Tool（MSDT）的Windows漏洞CVE-2022-30190，該漏洞允許駭客取得用來呼叫MSDT的程式權限，以執行任意程式。當時微軟已收到針對該漏洞的攻擊報告，同時資安業者也公布了鎖定該漏洞的不同攻擊行動。</p> <p>目前微軟僅建議使用者關閉MSDT的URL協定作為暫時性補救措施，尚未釋出修補程式。</p> <p>Proofpoint說明，此一攻擊行動看似由特定政府支持，鎖定歐洲及美國政府組織進行網釣攻擊，在電子郵件中誆稱要幫員工加薪，並附上一個跨平臺的RTF檔案格式，檔案中則藏匿了惡意的Powershell腳本程式。</p> <p class="rtecenter"><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-phishing%20CVE-2022-30190-600.jpg" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></a></p> <p>最終的惡意Powershell腳本程式會檢查系統的虛擬化狀態，並自瀏覽器、郵件客戶端及文件服務中竊取資訊，還會在機器上進行偵察，再將所有盜來的資訊壓縮並傳送至駭客伺服器。</p> </div></div></div>
2022/6/7 17:52作者陳曉莉https://www.ithome.com.tw/news/151320
蘋果推出BNPL功能Apple Pay Later美國市場先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北時間6月7日凌晨，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-new-ways-to-share-and-communicate-in-ios-16/" target="_blank">蘋果在WWDC 2022發表包括iOS 16</a>、macOS Ventura、以及採用新一代M2晶片的MacBook Air。其中iOS 16將推出先買後付（Buy Now Pay Later，BNPL）功能Apple Pay Later。</p> <p>BNPL和銀行分期付款類似，允許消費者先取得產品和服務，並於日後一定期間內分期支付。和銀行付款不同的是，BNPL模式下，是由第三方服務業者先支付，後者則向消費者收取利息或逾期罰金。消費者不需具備信用卡，BNPL業者也不執行傳統銀行的信用稽核，而是依據業者自己的風險模型進行評估。在Apple Pay Later中，BNPL角色就由蘋果擔任。</p> <p>Apple Play Later是內建於Apple Wallet的服務，方便使用者以Apple Wallet管理、追蹤消費狀況，或設定重覆使用Apple Pay Later支付。只要能使用Apple Pay支付都可以用這項服務，不論是網路購物或程式內（In-App）購買。此外，結合Apple Pay訂單追蹤（Order Tracking）功能，消費者可在Wallet中接到以Apple Pay向合作店家購物時的詳細收據或訂單追蹤資訊。</p> <p>蘋果今天也宣布，在美國提供Apple Pay Later服務，消費者可設定6周期間的4期分期付款。蘋果強調無息且無額外費用，但若消費者銀行戶頭餘額不足可能會衍生出銀行方面的費用。在美國的Apple Pay Later將利用萬士達卡（Mastercard）網路完成支付。</p> <p>蘋果藉此趕上BNPL金融服務風潮。<a href="https://www.prnewswire.com/news-releases/afterpay-and-google-pay-deliver-buy-now-pay-later-payments-for-brick-and-mortar-retailers-301092772.html" target="_blank">Google Pay 2020年7月</a>和BNPL服務業者AfterPay合作提供於美國實體店家使用的BNPL支付。微軟則於去年底和ZIP合作自有服務，<a href="https://www.ithome.com.tw/news/148064" target="_blank">並於Edge測試</a>。</p> <p>除了BNPL服務，<a href="https://www.apple.com/newsroom/2022/02/apple-unveils-contactless-payments-via-tap-to-pay-on-iphone/" target="_blank">蘋果今天也宣布</a>本月在美國推出零接觸支付（Contactless Payments）功能「Tap to Pay」，允許消費者以iPhone直接完成支付，同時店家也無需另外安裝終端機或其他硬體。</p> </div></div></div>
2022/6/7 16:23作者林妍溱https://www.ithome.com.tw/news/151316
蘋果2021年封鎖了逾160萬個不安全App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/app-store-stopped-nearly-one-point-five-billion-in-fraudulent-transactions-in-2021/" target="_blank">蘋果本周宣布打擊詐騙App的成果</a>，2021年該公司封鎖了超過160萬個可能導致用戶詐騙的惡意或有風險App及程式更新，刪除上億詐騙帳號及App評價，防止價值將近15億美元的詐欺交易。</p> <p><a href="https://www.ithome.com.tw/news/144354" target="_blank">去年5月蘋果發布第一次App詐欺預防的成果報告</a>。而在2021年，蘋果宣稱封鎖160多萬可詐騙用戶金錢的高風險及不安全App。其中蘋果封鎖了散布盜版App的線上市集6.4萬個，這些App冒充高人氣App，又企圖繞過App Store的安全檢查。還有些開發人員先以合法名目使App通過審查，之後悄悄變更功能，共15.5萬個App被蘋果發現而將之下架。</p> <p>此外，有將近3.5萬個App內暗藏未公開的功能遭到App Store拒絕，34.3萬個App因違反隱私政策吃了閉門羹，另有15.7萬個App因涉嫌發送垃圾訊息、抄襲或誤導用戶而無法上架。</p> <p>詐騙帳號是這些App問世的起點，因而成為蘋果查緝重點。過去12個月之中，蘋果拒絕了1.2億個企圖設立的詐騙帳號，1.7億個詐騙帳號遭停權。蘋果還關閉了80.2萬個涉及詐騙的開發者帳號。並有將近60萬帳號被查禁不得再次交易。</p> <p>許多用戶是因不實評價而上了詐騙App的當。2021年蘋果掃瞄所有平臺上超過10億次評等或評價，因此封鎖了9,400萬次評等，有1.7億多則評價因未達審核標準而從未曝光，還有61萬則評價被用戶投訴及經人力審查而移除。</p> <p>蘋果說，經過嚴格審核，2021年該公司阻止了將近15億美元的詐欺交易，防堵了330萬張失竊信用卡被用於在蘋果平臺上消費。</p> </div></div></div>
2022/6/7 16:38作者林妍溱https://www.ithome.com.tw/news/151317
蘋果發表macOS Ventura，強化多工、協作與無密碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/macos-ventura-brings-powerful-productivity-tools-new-continuity-features-to-mac/" target="_blank">蘋果於周一（6/6）發表了新一代的macOS Ventura（macOS 13）桌面作業系統</a>，新增的幕前調度（Stage Manager）將讓使用者更容易切換正在執行的任務，亦允許Mac用戶透過接續互通相機（Continuity Camera）功能來利用iPhone的相機能力，還能利用指紋或人臉辨識等生物認證機制來產生通行密鑰（Passkey），以響應無密碼時代的到來。</p> <p>當中的幕前調度可自動整理使用者於桌面上所開啟的程式與視窗，正在使用的程式或視窗會占據螢幕中央的主要位置，而其它開啟的視窗則會以小圖形式出現於左側，以方便使用者切換任務，還可替這些小圖建立群組，來區分不同的任務或專案。</p> <p>至於接續互通相機功能則是讓Mac用戶得以利用iPhone來作為電腦的網路攝影機，該功能會自動辨識並使用附近的iPhone相機，把iPhone相機的人物居中、人像模式或其它更高階的功能帶到Mac裝置上，具備超廣角相機的iPhone還能提供Desk View功能，提供納入使用者臉部與桌面的視角，方便製作DIY影片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-Continuity-Camera-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>FaceTime也提供了接力（Handoff）功能，在任一蘋果裝置上執行的FaceTime都能無縫切換到另一臺蘋果裝置上，例如原本在iPhone或是iPad上使用FaceTime，只要按下一鍵就能切換至Mac上，或是把Mac上的通話轉移到iPhone與iPad上。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-FaceTime-Handoff-220606_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>macOS Ventura內建的Safari瀏覽器也新增了許多功能，例如可共享分頁群組（Tab Groups），或者是在共享的起始頁面（Start Page）建立書籤列表，以利與親友或同事協作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Tab%20Groups%20in%20Safari%20-600.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>為了推動無密碼的未來，蘋果在最新的macOS、iOS或iPadOS上都嵌入了通行密鑰（Passkey）機制，讓使用者把這些設備當作身分認證者，在建立帳號的時候產生一對公私鑰，再把其中的公鑰傳送至伺服器端，至於私鑰則存放於使用者的裝置上，就蘋果用戶而言，就是以Touch ID或Face ID等生物認證技術，產生通行密鑰，並能利用iCloud Keychain來同步不同蘋果裝置上的密鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Passkeys-macOS%20Ventura-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>有了通行密鑰之後，未來使用者登入任何服務都不用再輸入密碼，而是以存放於使用者裝置上的密鑰來取代，它不僅適用於蘋果裝置或行動程式，就算使用者正在操作其它平臺或使用第三方應用，也可以利用iPhone中所存放的通行密鑰來登入服務。</p> <p>macOS Ventura的其它功能還包括，讓用來辨識影片中文字的原況文字（Live Text）功能也支援暫停的影片、日文與韓文；並將iPhone上熱門的天氣與時鐘程式整合到Mac平臺上；特別值得一提的還有蘋果變更了macOS的安全更新能力，推出Rapid Security Response，可用來隨時遞送安全更新而不需重開機。</p> <p>蘋果已於本周釋出了macOS Ventura開發者預覽版，預計於下個月開放公開預覽，正式版則會在秋天上線。</p> </div></div></div>
2022/6/7 16:50作者陳曉莉https://www.ithome.com.tw/news/151318
SEC準備調查幣安發行BNB有否違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-06/us-probes-binance-over-token-that-is-now-world-s-fifth-largest" target="_blank">《彭博社》（Bloomberg）本周引述未具名的消息來源報導</a>，美國證券交易委員會（SEC）正在調查幣安（Binance）在2017年透過首次代幣發行（ICO）發行幣安幣（BNB）是否涉及違法。</p> <p>幣安現為全球最大的加密貨幣交易中心，在2017年以ICO形式發行了幣安幣，<a href="https://www.exodus.com/assets/docs/binance-coin-whitepaper.pdf" target="_blank">根據當時的白皮書</a>，幣安幣的發行總數為2億個，透過ICO出售1億個，有8,000萬個保留給創始團隊，另外2,000萬個則歸天使投資人所有，每個代幣的價格為0.15美元，因此，該次幣安透過ICO總計募集了價值1,500萬美元的比特幣與以太幣。</p> <p>為了壯大幣安幣的生態體系，舉凡透過幣安交易加密貨幣時，只要以幣安幣支付手續費就能得到折扣，從第一年的50%遞減到第四年的6.75%，此外，幣安也計畫要以獲利來回購並銷毀幣安幣，最終目標是讓幣安幣的流通量縮減到1億。<a href="https://coinmarketcap.com/" target="_blank">幣安的推動再加上與第三平臺的合作讓幣安幣成為全球第五大加密貨幣</a>，僅次於比特幣、以太幣，以及USDT與USDC兩款穩定幣。</p> <p>然而，根據報導，SEC現在打算追究幣安於5年前執行的ICO有否違法，<a href="https://www.ithome.com.tw/news/123910" target="_blank">因為SEC認為ICO屬於證券交易</a>，受到證券法的管轄，因此在ICO之前必須向SEC註冊，可是當時幣安並未執行此一動作。此外，<a href="https://www.ithome.com.tw/news/133371" target="_blank">SEC的確在2019年曾向未經註冊就執行ICO的區塊鏈技術公司Block.one開罰2,400萬美元</a>。</p> <p>不管是SEC或幣安都未向《彭博社》證實此一消息，但幣安說將會持續努力以符合監管機構的所有要求。</p> <p>幣安最近似乎不太平靜，除了傳出遭到SEC調查之外，<a href="https://www.reuters.com/investigates/special-report/fintech-crypto-binance-dirtymoney/" target="_blank">《路透社》亦於本周報導</a>，這幾年幣安早就淪為駭客、投資詐騙或非法藥品銷售的洗錢管道，至少有23.5億美元的不法所得流向該平臺，且此一數字是該通訊社自法院文件、執法機構及區塊鏈數據計算而來。</p> </div></div></div>
2022/6/7 17:14作者陳曉莉https://www.ithome.com.tw/news/151319
蘋果發表為M2客製化的全新MacBook Air，MagSafe回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在周一（6/6）舉行的WWDC全球開發者大會上除了揭露新一代的M2晶片之外，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-all-new-macbook-air-supercharged-by-the-new-m2-chip/" target="_blank">也發表了完全以M2為基礎而全新設計的MacBook Air</a>，以及採用M2的13吋MacBook Pro，此外，蘋果還讓磁吸式的充電埠MagSafe重返MacBook Air。基於M2晶片的MacBook筆電將於下個月上市。</p> <p>相較於2020年底發表的M1，M2的CPU效能快了18%，GPU效能快了35%，每秒所支援的統一記憶體頻寬為100GB，為M1的一倍，使得它最多可支援24GB的記憶體。</p> <p>蘋果指出，新的MacBook Air是以M2晶片為基礎從零打造，它的厚度只有1.13公分，比M1版的1.61公分還薄，重約1.24公斤，也略輕於M1版的1.29公斤，但它的螢幕尺寸為13.6吋，大於M1版的13.3吋，前置FaceTime相機畫素從720p提高到1080p，也有更先進的音訊功能。兩代的MacBook Air都沒有風扇，電池續航力一致為18小時，也都支援Touch ID。整體而言，M2版MacBook Air的整個體積比M1版少了20%。</p> <p>最令果粉們感到雀躍的應該是磁吸式充電埠MagSafe重返MacBook Air，磁吸式的設計可在使用者不小心拉扯到充電線時快速斷開以保護裝置。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-WWDC22-MacBook-Air-MagSafe-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>至於13吋的MacBook Pro最主要的更新，就是把M1晶片換成M2。</p> <p>不過，M2版MacBook Air的價格比M1版貴了200美元。這兩代的最低階版本皆配備8GB記憶體與256GB的儲存空間，但M2版售價為1,199美元（新臺幣37,900元），高於M1版的999美元（新臺幣30,900美元）。M2版MacBook Air除了既有的銀色與太空灰之外，新增了午夜色與星光色。</p> <p>M2版的13吋MacBook Pro售價與M1版一致，都是1,299美元（39,900元新臺幣）。</p> <p>蘋果雖然已於官網上公布M2版MacBook Air與MacBook Pro的規格及售價，但尚未開放預訂，也未揭露出貨日期，僅說預計於下個月上市。</p> </div></div></div>
2022/6/7 16:09作者陳曉莉https://www.ithome.com.tw/news/151315
WWDC：iOS 16登場，鎖定畫面大翻新、訊息功能更人性化、優化個人視聽體驗也強化媒體分享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在WWDC上揭露了新一代作業系統iOS 16，不只擴大Share Play、Visual Look Up等功能的使用情境，也優化了iMessage、Live Text、CarPlay、Home、空間音效等。不過今年最主打的更新，還是鎖定畫面推出大量個人化選項。iOS 16現為開發者Beta版，並只支援iPhone 8以上裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/lock%20screen.jpg" style="width: 600px;" /></p> <p>新版鎖定畫面中，除了時鐘字型跟顏色能自訂，更新增了多種小工具選項，從基礎的天氣、行事曆，到音樂播放器、健身App面板，甚至是第三方App的其他功能，都能放到鎖定畫面中。iOS 16還推出了Live Activity追蹤功能，不用解鎖裝置，就可以在鎖定畫面確認各種活動的即時更新，例如體育賽事賽況、以及Uber或食物外送員抵達時間等。</p> <p>為了讓鎖定畫面有更多空間呈現個人化內容，iOS 16的通知訊息不再出現於畫面中間，而是堆疊在螢幕底部，使用者可以往上滑動展開所有訊息，也能往下滑動將訊息全部隱藏。</p> <p>配合iOS 15推出的專注模式，一臺裝置可以有多個鎖定畫面，根據工作、休閒等不同情境，分別設定適當的壁紙、小工具和通知訊息過濾條件，並在鎖定畫面中切換不同情境。</p> <p>除了鎖定畫面外，專注模式也適用於其他App，例如在郵件App中僅顯示工作相關Email，或是只顯示瀏覽器中跟工作有關的分頁。蘋果今年更推出了專注模式API，讓第三方App也能開發專注模式功能。</p> <p>iOS 16另一項大更新是iMesssage，不僅新增了編輯、收回及標記為未讀功能，也開始支援Share Play功能，可在App內跟其他使用者同時觀看影音，過去這個功能只支援FaceTime。此外，iOS 15推出的iMessage「與您分享」區塊，可以瀏覽其他使用者分享的檔案，並用訊息回覆該使用者，此功能今年也推出了第三方API，將其使用情境拓展到蘋果原生App之外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/imessage.jpg" style="height: 400px;" /></p> <p>文字處理功能也有更新，例如聽寫功能更新後，語音輸入會自動加入標點符號，也可以打出表情符號，更能同時保留觸控鍵盤，讓使用者靈活選擇輸入方法。</p> <p>另一個文字處理功能Live Text，可以在App或相簿中，透過AI技術辨認出文字。現在，此功能也適用於影片，只要暫停影片，就能對影片中出現的文字進行多種操作，包括直接複製、造訪網址網頁、翻譯文字甚至轉換匯率。蘋果同樣釋出了此功能的API給第三方開發者，並特別點名影音分享平臺Vimeo將支援Live Text功能。</p> <p>除了文字識別功能，iOS 16還有圖片識別功能，可以識別影像中物體，例如石礫攤上的一隻狗，並單獨搜尋、複製或分享該物體影像，甚至直接提取圖片中物體，拖曳到訊息中傳送。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/visual%20lookup.png" style="width: 600px;" /></p> <p>iOS 16也推出了新版Car Play及Home，強化iPhone與其他硬體連結並當作終端的功能。新版Car Play可以和汽車硬體高度整合，從調整汽車空調、看汽車儀表板等功能，都可以從Car Play中介面操作，而不用切換到其他系統。同時，Car Play介面會根據汽車螢幕大小與形狀調整版面，也能進行高度個人化設定。新版Home則是重新設計介面，新增了更多智慧家庭裝置分類，例如保安、照明系統，也提升了個別裝置於介面中的識別度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/carplay.jpg" style="width: 700px; height: 295px;" /></p> <p>其他功能，還有隱私權功能Safety Check，可以管理App授權項目，還能管理與其他用戶共享的存取權，並緊急重置這些設定。另外還有部分保健功能不用Apple Watch就能使用、透過鏡頭景深優化耳機空間音效、以及可以和團隊成員即時瀏覽並編輯檔案或Safari分頁的協作功能。</p> </div></div></div>
2022/6/7 13:25作者郭又華https://www.ithome.com.tw/news/151314
蘋果發表比CPU效能比M1快18%，GPU快上35%的M2晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141038" target="_blank">蘋果在2020年的11月發表首款基於Arm架構的自製晶片M1</a>，一年半之後的WWDC大會上，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-m2-with-breakthrough-performance-and-capabilities/" target="_blank">蘋果再度揭露了第二代的M2晶片</a>，效能比M1快上18%，提供比M1多上50%的記憶體頻寬，最多可支援24GB的記憶體，將率先被應用在MacBook Air與13吋的MacBook Pro上。</p> <p>整體而言，M2具備更快的CPU、GPU與Neural Engine，有更高的記憶體頻寬，以及新的ProRes加速器等功能。其中，CPU比M1快上18%，GPU比M1強大35%，Neural Engine比M1快了40%，而記憶體頻寬則比M1多出50%，至於ProRes則為影片引擎，可同時播放多個4K與8K影片串流。</p> <p>M2採用第二代的5奈米技術製程，由200億個電晶體組成，電晶體數量比M1多出25%。蘋果解釋，增加的電晶體改善了整個M2晶片的效能，包括可支援更多記憶體頻寬與更大記憶體的記憶體控制器，代表M2能夠處理更大型且更複雜的任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>此外，M2的CPU雖然最多只有8核心，與M1一致。但蘋果指出，若與市場上最新的、具備10核心的PC筆電晶片相較，在同樣的功耗上，M2將可帶來兩倍的效能，只需1/4的功耗就能達到PC筆電晶片的峰值效能；若是與12核心的筆電晶片相較，M2就算只使用1/4的功耗，也能達到12核心晶片的9成峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%93.jpg" style="width: 600px;" /></p> <p>而M2的GPU最多可配置10核心，比M1多了兩個。它讓M2的繪圖效能比M1多出25%，在最大功耗下的效能可多出35%。若是與市場上最新PC筆電的整合式繪圖相較，M2的GPU在同樣功耗上提供接近2.3倍的效能，而且只使用1/5的功耗就能達到峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%92.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>M2的其它改善還包括其神經網路引擎（Neural Engine）的處理能力比M1快了40%；媒體引擎擁有更高頻寬的影片解碼器，可支援8K H.264與HEVC影片；更新了安全隔離區（Secure Enclave）以提供更好的安全防護；以及提供更好圖像降噪能力的全新圖像訊號處理器（Image Signal Processor，ISP）。</p> <p>亦於本周發表、預計於今年秋天問世的蘋果新一代桌面作業系統macOS Ventura將會充分運用M2，以改善該作業系統上既有的應用並帶來全新應用。</p> </div></div></div>
2022/6/7 12:32作者陳曉莉https://www.ithome.com.tw/news/151312
以違反義務為由，馬斯克以官方文件威脅終止收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/0001418091/000110465922068347/tm2217761d1_ex99-o.htm" target="_blank">自5月初就嚴查推特假帳號的馬斯克（Elon Musk）本周透過官方文件指責推特迄今提供相關資訊不足</a>，已經明顯違反其義務，有可能導致他終止收購。</p> <p>馬斯克的法務團隊在本周提交美國證管會（SEC）的資料指出，針對馬斯克自5月初反覆索討資訊以協助他評估推特垃圾帳號及假帳號，推特上周提供的資訊依舊未讓馬斯克滿意。因為根據雙方的收購協議，推特有義務提供馬斯克要求以完成交易所需的資訊。這位科技大亨已經言明不相信推特不嚴謹的測試方法，要求推特提供資訊讓他自行分析，然而推特6月1日最新提供的書面資料及口頭解釋仍然是根據其自有方法所做的結果。</p> <p>馬斯克曾公開表示，他認為推特平臺上的假帳號比例不只公開財報上說的小於5%，而是20%，這點有異於他當初決定收購的關鍵。另一方面，推特執行長Parag Agrawal說明帳號判定需要內、外部資料等解釋，也無法說服馬斯克。</p> <p>SEC文件指出，依據推特迄今的行為，馬斯克相信推特是刻意抗拒，阻撓馬斯克的資訊權，及該公司的義務。這已明顯實質違反雙方協議下推特公司的義務，馬斯克將保留後續行為，包括不完成交易、以及終止合併協議的權利。</p> <p>本次消息進一步升高推特收購失敗的可能性。<a href="https://www.ithome.com.tw/news/150620" target="_blank">4月底推特接受</a>馬斯克以440億美元的收購，<a href="https://www.ithome.com.tw/news/150920" target="_blank">2個星期後馬斯克質疑</a>推特公開財報低估了平臺上假帳號及垃圾帳號比例，表示推特提供進一步資料前交易將暫緩。<a href="https://www.ithome.com.tw/news/150968" target="_blank">之後他再公開批評推特配合度太差</a>，說收購案無法進行。本周的SEC文件是馬斯克團隊首次以官方文件釋出中止收購的訊息。</p> <p><a href="https://www.theverge.com/2022/6/6/23156233/elon-musk-twitter-bots-merger-agreement-termination-threat" target="_blank">The Verge</a>引述<a href="https://twitter.com/DivesTech/status/1533799677514104834" target="_blank">華爾街分析師</a>指出，馬斯克可能即將放棄收購。</p> <p>推持發言人則透過媒體指出，推特向來完全配合馬斯克的要求，未來也會繼續提供資訊，表示該公司願意完成交易且在雙方合意的價格及條件上執行合併協議。</p> <p>一般猜測，特斯拉股價下跌已經衝擊馬斯克收購推特的實力及意願。他可能是想藉機砍低推特收購價，或是直接退出收購，但以此為由不支付推特毁約的10億美元。</p> <p>從4月底雙方收購案公布以來，特斯拉股價持續下滑。特斯拉股價上周一度跌至半年新低的628美元，周一來到714.84美元，僅今年1月高點的6成。</p> </div></div></div>
2022/6/7 10:21作者林妍溱https://www.ithome.com.tw/news/151310
紐約州通過維修權法，率美國之先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nysenate.gov/legislation/bills/2021/S4104" target="_blank">紐約州議會上周通過《公平維修法案》（Fair Repair Act）</a>，成為美國第一部確認消費者擁有電子裝置維修權（right to repair）的法案。</p> <p>紐約州參議院上周三（6/1）通過這部新法案，新法案需交由紐約州長Kathy Hochul簽署後才會成為正式法令，並在一年後正式上路。</p> <p>這部法案要求該州境內銷售的數位電子產品製造商，需提供維修用的零件、資訊、軟體給消費者及獨立維修店家。新法案適用大部份電子產品，除了一些設備，包括汽車、家電、醫療器材、公共安全通訊設備如警用無線電、農業機具及越野設備。<a href="https://www.nysenate.gov/legislation/bills/2021/S149" target="_blank">紐約州另有法案解決車輛售後市場的維修權</a>。</p> <p><a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲議會今年4月也通過了維修權法</a>。</p> <p><a href="https://www.ifixit.com/News/60893/new-york-passes-worlds-first-electronics-right-to-repair-law" target="_blank">推動DIY維修的iFixit對新法表示歡迎</a>，認為獨立維修店家終得以和製造商競爭，突破製造商限制非授權店家取得零件和工具、建立維修市場的壟斷局面。以前裝置製造商會迫使消費者前往授權經銷商，但未來這些經銷商也必須提升競爭力。</p> <p>另一方面，對消費者而言，新法案可讓維修變得更便宜及更普及，想修的人就能修理自己的裝置。而且消費者再也不用害怕自己拆開筆電和手機。</p> <p><a href="https://www.theverge.com/2022/6/3/23153504/right-to-repair-new-york-state-law-ifixit-repairability-diy" target="_blank">The Verge指出</a>，紐約州《公平維修法案》不是美國第一部推動維修權的法案，例如麻州2020年便通過車商必須提供消費者汽車資訊以維修的法案，但卻是第一個適用廣泛電子產品的法案。</p> <p>另一方面，媒體分析，雖然本法案是紐約州法令，卻可能帶來更廣泛效應，因為製造商提供的維修文件可能流向其他州或其他國家，且廠商也無法再以軟體限制維修獨占權，因此新法可能促使電子產品設計和維修更全面的變化。</p> </div></div></div>
2022/6/7 10:37作者林妍溱https://www.ithome.com.tw/news/151311
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自6月3日到今天的資安新聞裡，有不少是駭客攻擊行動的揭露。其中，我們要特別提及的是針對協作平臺Atlassian Confluence的零時差漏洞攻擊，因為這項漏洞在公布之後，相關攻擊行動已出現大幅增加的情況。</p> <p>駭客針對電腦UEFI韌體下手的攻擊行動，最近3至4年已有數起，但鮮少與勒索軟體有關。最近有資安業者解析勒索軟體駭客組織Conti外流的成員對話內容，發現該組織也大力發展對於Intel電腦韌體的攻擊手法，且已製作概念性驗證攻擊程式。</p> <p>另一個我們認為值得留意的資安事故，是針對企業部署於雲端的Docker而來的挖礦攻擊，駭客鎖定配置不當的Docker下手，成功後還會進一步將挖礦軟體擴散到其他Docker環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/6 18:26作者周峻佑https://www.ithome.com.tw/news/151308
AWS本地雲將落腳臺灣！亞馬遜AWS將在臺推出地區型公雲服務Local Zones
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS於今日（6/6）宣布將在臺推出本地區域（AWS Local Zone）公雲服務，包括運算、儲存等，來提供當地企業執行對延遲敏感且密集型的應用，比如遊戲、影音等。由於AWS目前在臺灣並沒有設立可用區域，這次把Local Zones本地雲放在臺灣，也意謂著，AWS在臺雲端投資布局跨出一大步，臺灣也將成為AWS在全球第32朵AWS本地雲。AWS表示新的Local Zones將於數月内完工。</p> <p>不同於常見的AWS服務是以區域（Region）與可用區域（Available Zone）為中心來建置<span>，</span>Local Zones雖是延伸大型AWS Regions的基礎架構部署方式，但主要是放在城市的本地雲，使AWS的運算、儲存、資料庫及其他AWS服務，可以部署在都會區附近的雲端邊緣，來滿足企業對於即時性的應用任務的需求。</p> <p>2019年推出後，AWS最早先在美國先啟用Local Zones服務，陸續在全美17個城市增建小型資料中心，今年初更擴大到全球各地來推出，根據AWS計畫，2022年起將在全球26個國家共32個城市推出該服務，包括阿根廷、澳大利亞、奧地利、比利時、巴西、加拿大、智利、哥倫比亞、捷克共和國、丹麥、芬蘭、德國、希臘、印度、肯尼亞、墨西哥、荷蘭、新西蘭、挪威、秘魯、菲律賓、波蘭、葡萄牙、南非、泰國和越南等，臺灣則是最新一個將部署Local Zones的亞洲國家，來就近提供本地企業AWS公雲服務。</p> <p>根據AWS官網的說明，在Local Zones中可使用的AWS服務，包括了Amazon EC2運算服務、Amazon VPC虛擬網路服務、Amazon EBS區塊儲存、Amazon FSx檔案系統服務、Amazon Elastic負載平衡、Amazon EMR<span>雲端大數據平臺</span>、Amazon ElastiCache<span>記憶體內快取服務</span>和Amazon RDS關聯式資料庫等多種AWS服務，在Local Zones與Region彼此之間，則以高頻寬連接，用戶可利用API連到附近AWS可用區域中執行其他工作負載，使用全套AWS服務的存取權限。</p> <p>AWS表示，新建立的Local Zones，將擴充AWS在臺灣的雲端基礎設施，包括提供更快速CDN服務Amazon CloudFront，還有提供專用的高速、低延遲連線的AWS Direct Connect連線服務，以及整櫃式主機AWS Outposts服務等。</p> <p>AWS台灣暨香港總經王定愷則表示，在臺灣提供AWS本地區域公雲服務，是AWS在臺灣持續投入的計畫之一，未來將持續協助臺灣各行各業和合作夥伴利用雲端不斷創新，實現全面數位化。</p> <p>由於AWS目前在臺灣當地並沒有設立可用區域，只有鄰近國家的AWS可用區域能用，如香港、新加坡、日本東京等，不過AWS強調，企業客戶未來能夠在臺灣本地Local Zones的資料中心執行應用並無縫連結到AWS可用區域，使用其熟悉的AWS API 及工具來進行跨Local Zones與Region的混合部署。</p> <p>不過，AWS目前並未透露Local Zones本地雲將落腳臺灣哪個城市或都會區，只說明新的Local Zones將於數月内完工。</p> </div></div></div>
2022/6/6 19:29作者余至浩https://www.ithome.com.tw/news/151307
你知道白噪音播客的聽眾數量擠進Spotify前1/4排行嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-01/how-to-make-money-on-spotify-a-white-noise-podcast-could-bring-you-big-bucks" target="_blank">《彭博社》（Bloomberg）最近發現了一個有趣的播客現象</a>，Spotify中有一群獨立製作的播客正在撐起白噪音（White Noise）市場，其中一個由Todd Moore主持的Tmsoft’s White Noise Sleep Sounds白噪音播客頻道，每天大約吸引了5萬名聽眾，此一聽眾數量已可擠進Spotify的前25%，估計光是廣告分潤每月就可以替Moore賺進逾1.8萬美元。</p> <p>在訊號的處理中，白噪音是在不同的頻率上擁有同樣強度的隨機訊號，使得它擁有一致的頻譜密度，雖然它也是噪音，但它的強度一致又規律，因此具有遮蔽其它噪音的功能，像是人聲、車聲或是開/關門聲；另有粉紅噪音（Pink Noise）與布朗噪音（Brownian noise）等不同的噪音形式，它們都是規律的，只是在不同頻率上的能量表現不同，聽起來就有高低音的差別。</p> <p>在Spotify上以White Noice進行搜尋時，發現絕大多數這類的聲音內容都是用來協助人們專心，阻絕外界突如其來的環境音，不管是為了工作、唸書或睡覺，有人把它製作成搖籃曲，有人將它加入雨聲或海浪聲，有人加入了鋼琴聲，還有不少白噪音的曲目長達8小時，顯然是為了睡覺所用。</p> <p><a href="https://www.inputmag.com/culture/white-noise-podcasts-spotify-anchor" target="_blank">科技雜誌《INPUT》特約作家Andrew Paul便說他自己是白噪音的愛好者</a>，只要開啟白噪音，不消幾分鐘就能睡著，但他從沒想過白噪音可以賺這麼多錢。就連Moore對自己會變成全職的白噪音創作者都感到訝異。</p> <p>根據《彭博社》的報導，不像一般播客大多想增加名氣，發行白噪音內容的播客都相對低調，且拒絕受訪，而同意受訪的Moore原本是個資安研究人員，但在2009年辭去工作並自行打造了White Noise程式，於2019年推出Tmsoft’s White Noise Sleep Sounds頻道，專門提供各種結合白噪音的催眠音樂，後者也成為他現在最主要的收入。</p> <p>另一名無心插柳卻柳成蔭的播客Brandon Reed也在2019年進入白噪音播客市場，當時他是為了哄自己的小孩睡覺，順便在Spotify上推出了12 Hour Sound Machines節目，當時並沒有吸引太多聽眾，卻在去年攀上Spotify前15名排行榜，如今其每日聽眾約有10萬人。</p> </div></div></div>
2022/6/6 16:14作者陳曉莉https://www.ithome.com.tw/news/151306
負責Amazon全球消費者業務的Dave Clark將在7月離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-of-worldwide-consumer-dave-clark-resigns-after-23-years" target="_blank">Amazon於上周宣布</a>，該公司全球消費者業務執行長Dave Clark已遞出辭呈，7月1日將是他待在Amazon的最後一天，結束他於該公司23年的職業生涯。</p> <p>Clark是在1999年5月，在他拿到美國田納西大學MBA學位的隔天就加入了Amazon，當時Amazon只有5個交付中心，他從基層的角色做起，最早曾是肯德基州的營運經理，之後成為美國東北區域的總經理，繼之負責全球營運，接著在兩年前COVID-19疫情爆發後接下重責大任，成為Amazon零售業務的執行長，負責管理Amazon的零售網站、實體店面、Amazon Prime與全球的交付中心等業務。現在的Amazon光是在美國就設立了110個交付中心，海外市場則有185個交付中心。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/371f05a/2147483647/strip/true/crop/1706x960+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F76%2F09%2F4f42608a4722835be3369ff7e3e1%2Fia-header-2-1.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon說Clark的離職是為了追求其它的機會，而Clark則說他內心是個建置者，沒有其它公司比Amazon更適合磨鍊相關的技能，只是，現在是向Amazon道再見並展開新旅程的時候了。</p> <p>儘管檯面上雙方看起來沒有任何的不合，但<a href="https://www.businessinsider.com/amazon-consumer-ceo-dave-clark-resigns-missteps-2022-6" target="_blank">《Business Insider》卻認為</a>這代表Amazon執行長Andy Jassy 並不滿意Clark的表現，Jassy於聲明中表示，要達到消費者業務的最終目標還有許多任務必須要完成，目前正在尋找Dave的繼任人選並研擬未來可能進行的改變，可望於未來幾周公布。</p> <p>為了因應疫情而遽增的電子商務業務，<a href="https://www.ithome.com.tw/news/136966" target="_blank">Amazon不僅於短時間內增聘大量員工</a>，更快速擴編其交付中心，然而，在疫情趨緩之後，Amazon便因擴充太大又太快而造成人力與交付中心都過剩的情形。</p> <p><a href="https://www.ithome.com.tw/news/150687" target="_blank">Amazon今年第一季交出了虧損38億美元的財報</a>，除了因為對電動車業者Rivian Automotive的投資虧損了76億美元之外，該季Amazon北美與全球電子商務業務總計虧損了28.5億美元。</p> </div></div></div>
2022/6/6 14:46作者陳曉莉https://www.ithome.com.tw/news/151289
微軟Windows Autopatch進入公開預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迎接即將於今年7月上線的Windows Autopatch，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/get-started-with-windows-autopatch-public-preview/ba-p/3439912" target="_blank">微軟於5月底展開了Autopatch的公開預覽</a>，以讓企業的IT管理人員可以提前適應Autopatch的到來。</p> <p>Windows Autopatch主要是替企業的Windows 10、Windows 11、驅動程式、韌體及 Microsoft 365應用程式執行自動更新服務，僅支援Windows Enterprise E3及以上等級的客戶使用，期望可帶來最佳化的更新服務，縮小企業未能及時部署安全更新或功能更新，所帶來的保護與生產力上的差距。</p> <p>Autopatch公開預覽版可自動替Windows 10/11企業版進行更新，待正式上線時即可支援包括Windows 365雲端PC在內的虛擬機器，不過，它將不支援員工的自帶裝置（BOYD）。</p> <p>總之，該服務的重點在於Windows與Office應用程式的自動更新機制，但並不支援Microsoft Teams或Microsoft Edge的更新，這兩項應用程式將透過它們自己的更新頻道進行更新。</p> <p>微軟表示，就算Autopatch讓IT管理人員的更新變得更容易，但舉凡是改變了做事情的方式，都會讓大多數操作大型IT組織的人員遲疑，因而鼓勵IT管理人員參與公開預覽，以在未來可放心地大規模採用。</p> </div></div></div>
2022/6/6 15:02作者陳曉莉https://www.ithome.com.tw/news/151290
Conti駭客發展出攻擊英特爾晶片韌體的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Conti是這兩年最活躍的勒索軟體之一。<a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/" target="_blank">安全廠商經由Conti組織成員之間的對話發現</a>這群駭客已經發展出攻擊英特爾晶片韌體的能力。</p> <p>今<a href="https://www.ithome.com.tw/news/149666" target="_blank">年3月一名代號ContiLeaks的研究人員駭入Conti組織伺服器</a>，公布成員間的聊天軟體對話。而安全廠商Eclypsium從中發現到，這群駭客可能已經發展出攻擊英特爾晶片韌體漏洞的新能力以及開採概念驗證程式。</p> <p>除了傳統直接針對UEFI/BIOS攻擊外，研究人員發現Conti駭客現在也鎖定英特爾管理引擎（Intel Management Engine，ME）。ME是現代英特爾晶片組裏的微控制器，它在不同環境下有不同種類，Skylake以前叫ME，Skylake之後叫英特爾聚合式安全與管理引擎（Intel Converged Security Management Engine，CSME），而在Atom平臺上叫信賴執行環境（Trusted Execution Environment），此外還有伺服器的版本，叫伺服器平臺服務（Server Platform Services）。但它主要都是指頻外管理處理器（out-of-band management processor），它內建於英特爾晶片組，獨立於CPU執行。</p> <p>根據分析，Conti一直在針對ME介面進行模糊測試，試圖找出未知的指令或漏洞。此外也從ME試圖存取SPI（UEFI/BIOS系統韌體使用的快閃記憶體），以便繞過其他防護。研究人員解析，從主機開啟主動管理技術（AMT）或變更其他ME組態可曝露出ME漏洞導致程式碼執行。而在ME執行程式碼，存取SPI記憶體及其他資源就能繞過一般防護。</p> <p class="rtecenter"><img alt="" src="https://eclypsium.com/wp-content/uploads/2022/05/[email protected]" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Eclypsium</span></span></p> <p>而駭客考慮的攻擊，則包括從UEFI植入dropper程式以及系統管理模式（SMM）嵌入程式。由於SMM是由UEFI/BIOS控制的runtime CPU模式，比Ring-0作業系統核心權限更高，OS核心無法審查SMM程式碼或封鎖程式碼執行。因此SMM嵌入程式可以修改核心而完全不被察覺，也無法被阻止。</p> <p>這些攻擊牽涉英特爾產品2019年到2020年發現的43項漏洞，影響涵括CSME、AMT及ISM（Standard Manageability）、DAL（Dynamic Application Loader）等軟體。</p> <p>研究人員強調，英特爾已沒有新的漏洞，舊漏洞也已修補，且英特爾晶片組的韌體程式也沒有比其他程式碼更多問題。最大問題在於企業修補晶片組漏洞的頻繁度要少於一般軟體，甚至UEFI/BIOS韌體，這使得裝置上權限更高的程式碼面臨攻擊威脅，而且更容易潛伏在系統中而不易被防毒、端點安全或XDR等安全工具偵測、它造成損害更大、受害者也更多。</p> </div></div></div>
2022/6/6 13:30作者林妍溱https://www.ithome.com.tw/news/151287
黎巴嫩駭客Polonimu濫用OneDrive服務，遭微軟封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/" target="_blank">微軟上周指出</a>，OneDrive團隊利用微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）所開發的指標與戰術資訊，偵測並封鎖了遭到黎巴嫩駭客集團Polonimu所使用的多個OneDrive帳號，也關閉了由Polonimu所建立的逾20個OneDrive應用程式，並通知受害的組織，同時強烈懷疑Polonimu與伊朗的情報暨安全部（MOIS）聯手攻擊這些位於以色列的受害者。</p> <p>在過去3個月以來，已有逾20個位於以色列的組織，以及一個位於黎巴嫩境內的跨政府組織遭到Polonimu攻擊，受害者主要是重要的製造業、IT服務業者，以及以色列的國防工業，在其中一項攻擊中，Polonimu採用供應鏈攻擊，先滲透一家IT服務業者，再攻擊其下游的航太業者與律師事務所。</p> <p>微軟強調，Polonimu主要是利用OneDrive作為攻擊行動的命令暨控制伺服器，以用來執行其它的攻擊任務，OneDrive並沒有任何的安全漏洞，也未被用來代管惡意程式，因為微軟一向會以Microsoft Defender Antivirus偵測與封鎖所有上傳至OneDrive的惡意內容。</p> <p>此外，微軟認為Polonimu與MOIS具備合作關係，證據包括它們所鎖定的受害者大致相同，而且MOIS似乎把先前曾危害的網路移交給Polonimu以進行新一輪的攻擊，它們也都同樣利用OneDrive作為命令暨控制平臺，或汲取資料，此外，不管是Polonimu或是由MOIS主導的攻擊行動都採用AirVPN。</p> <p>值得注意的是，在微軟所觀察到的受害者中，大約有80%採用由Fortinet所打造的VPN設備，使得微軟猜測駭客也許是開採了該設備中的<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13379" target="_blank">CVE-2018-13379漏洞</a>，以作為入侵受害者網路的跳板。CVE-2018-13379是個預先授權的任意檔案讀取漏洞，允許駭客存取FortiOS上所存放的明文密碼，但Fortinet早在2019年就修補了該漏洞，<a href="https://www.ithome.com.tw/news/146620" target="_blank">只是去年Fortinet發現</a>，有駭客公布了8.7萬臺FortiGate SSL-VPN裝置的存取帳號與密碼。</p> <p>這意味著Fortinet用戶不僅應該修補該漏洞，由於不確定密碼是否在修補前就外洩，因此也應變更所使用的密碼。</p> </div></div></div>
2022/6/6 13:41作者陳曉莉https://www.ithome.com.tw/news/151288
Atlassian修補已有開採活動的Confluence遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html" target="_blank">Atlassian上周發布安全公告</a>，修補協同軟體Confluence一個已有人試圖利用或攻擊的遠端程式碼執行（RCE）漏洞。</p> <p>這個編號CVE-2022-26134的漏洞為一OGNL（Object-Graph Navigation Language）注入漏洞，影響Confluence Server及Confluence Data Center，可讓未經授權使用者在這兩平臺的執行個體中執行程式碼。所有版本的Confluence Server及Data Center都受影響。</p> <p><a href="https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/" target="_blank">最先通報該漏洞的安全廠商Volexity指出</a>，這項漏洞可讓攻擊者對Confluence系統發出Web呼叫，讓沒有憑證的攻擊者可接管整臺Confluence伺服器並執行程式碼。Volexity研究人員發現的攻擊案例中，攻擊者成功存取Confluence Server後，已經植入China Chopper webshell。</p> <p>Atlassian已經釋出包含修補程式的更新版7.4.17、7.13.7、7.14.3、7.15.2、7.16.4、7.17.4和7.18.1。由於Atlassian Cloud已經安裝修補程式，使用的是透過Atlassian.net網域存取代管Confluence服務的用戶則無需擔心。</p> <p>但使用本地部署版的用戶應儘速修補，因為網路上已有大量開採該漏洞的活動。<a href="https://twitter.com/Andrew___Morris/status/1533139425122713600" target="_blank">安全廠商GreyNoise偵測到網路上已有鎖定Atlassian漏洞的IP網址</a>，而且一天內由2位數增長將近10倍到211個。</p> <p>無法更新軟體的用戶，Atlassian則提供緩解指示。針對較新的7.15.0 - 7.18.0版，作法為關閉Confluence、移除<confluence-install>/confluence/WEB-INF/lib/目錄下的xwork-1.0.3-atlassian-8.jar，<a href="https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar" target="_blank">再安裝xwork-1.0.3-atlassian-10.jar</a>，並檢查權限許可及所有權是否和目錄相同。最後重啟Confluence。</p> </div></div></div>
2022/6/6 13:10作者林妍溱https://www.ithome.com.tw/news/151286
印度要求VPN業者蒐集用戶資料，ExpressVPN全面移除印度伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度的電腦緊急應變小組（Computer Emergency Response Team，CERT）為了保障網路安全，於今年4月發布了網路安全指令，以制定各種相關規範，其中之一是要求提供消費者服務的VPN業者必須存放使用者的個資長達5年，該指令即將於6月27日正式生效，使得ExpressVPN宣布將移除位於印度的所有伺服器，以保護用戶隱私，未來用戶要連網印度仍舊可取得印度IP位址，只是將藉由設於新加坡與英國的虛擬伺服器傳送。</p> <p>根據印度CERT的規定，VPN服務供應商、資料中心與雲端服務供應商都必須儲存用戶資訊，包括姓名、電子郵件帳號、電話號碼與IP位址，而且要保留5年，這些業者也必須在得知資安問題的6個小時內就向印度CERT回報。</p> <p><a href="https://www.expressvpn.com/blog/remove-india-vpn-servers/" target="_blank">ExpressVPN表示</a>，當某些國家的資料保存法令發生變化時，該公司通常也會調整架構以保護使用者的隱私與安全，在印度這個案例中，ExpressVPN的措施意味著終止了印度的營運，該公司拒絕參與印度政府限制網路自由的企圖。</p> <p>ExpressVPN強調，它們從未蒐集使用者行為的各種紀錄，不管是瀏覽歷史紀錄、流量目的地、資料內容或DNS查詢，也從未儲存連線紀錄，涵蓋IP位址、連外的VPN IP位址、連線的時間戳或連線時間等。</p> <p>未來任何ExpressVPN用戶要連向印度伺服器時，可以選擇透過新加坡的印度VPN伺服器，或是透過英國的印度VPN伺服器，這些虛擬的印度伺服器實際上位於新加坡與英國，因此不受印度的法令管轄。就算是印度的使用者，依然可使用ExpressVPN的服務，並確保他們不會受到印度政府監控。</p> </div></div></div>
2022/6/6 10:12作者陳曉莉https://www.ithome.com.tw/news/151285
Exchange Server下一版延到2025年、現有版本同年10月終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-roadmap-update/ba-p/3421389" target="_blank">微軟宣布</a>，本地部署適用的Exchange Server下一版本將延遲到2025年推出。而現今主流的Exchange Server 2013、2016和2019版也將在同年10月終止支援。</p> <p>微軟於2020年9月宣布Exchange Server會在隔年，即2021年下半推出下一重大更新版，以訂閱模式提供包括產品更新、技術支援、安全更新及時區更新。但是<a href="https://www.ithome.com.tw/news/143001" target="_blank">2021年發生中國國家駭客Hafnium開採Exchange Server代號ProxyLogon的漏洞</a>。</p> <p>而在忙著做出回應，包括釋出例外安全更新、<a href="https://www.ithome.com.tw/news/143246" target="_blank">釋出一鍵緩解工具</a>、增加多因素驗證（MFA）等措施後，也耽誤新版本的推出計畫；微軟宣布新的Exchange Server推出時程為2025年下半。新版需要伺服器及用戶端存取使用權（CAL），一如SharePoint Server和Project Server訂閱版，新Exchange Server的客戶必須購買軟體保證（Software Assurance）。而進一步的命名、需求和價格等細節會在2024年上半公布。</p> <p>除了新版本時程外，微軟也計畫2025年10月14日以後，將不再支援市場上的Exchange Server 2013、2016和2019。微軟說下一代Exchange Server將會加入「現代生命周期政策（Modern Lifecycle Policy）」中，這將不會有支援終止日期，只要有足夠的市場需求就會持續支援。</p> <p>過去，每一次新一代Exchange Server的硬體需求會高於以前版本，而且客戶都必須把郵件信箱從舊版搬到新版本，十分麻煩。這一次，微軟提供2019版就地升級，以免除升級的成本及額外工夫。</p> <p>微軟也藉此推銷，建議較舊版的產品用戶升級到Exchange Server 2019，表示後者不但改善OWA、可整合SharePoint、OneDrive、效能及擴充性更佳等，也透過2022 年上半的累積更新加入了新安全功能如OAuth 2.0支援。</p> <p>在OAuth 2.0安全功能方面，今年10月1日微軟將關閉Exchange Online特定協定的基礎驗證，而改為OAuth 2.0驗證，微軟稱之為「現代驗證」。現代驗證提供多因素驗證（MFA）、智慧卡、憑證驗證及第三方身份驗證方案。本來2019年微軟宣布本地部署版本Exchange Server不會支援現代驗證，只會在涵括本地部署及雲端版Exchange的混合環境下，支援混合現代驗證（Hybrid Modern Authentication）。但上周微軟改變心意，Exchange Server也將支援OAuth 2.0為基礎的現代驗證。此外，Exchange Server今年下半將加入新的軟體更新儀表板，以告知哪臺Exchange Server該更新軟體授權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Exchange%20Server%20Roadmap%20Update-RoadmapUpdate01.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟也預告2023年Exchange Server 2019的新功能，包括正式支援TLS 1.3、加入以PowerShell指令將暫時的漏洞緩解程式碼移除、可保留用戶自訂組態、新增混合組態精靈（Hybrid Configuration Wizard）方便設定Exchange Server及Exchange Online的端點及郵件政策、聯邦信任及OAuth等。</p> </div></div></div>
2022/6/6 08:57作者林妍溱https://www.ithome.com.tw/news/151283
微軟、AWS向不想回公司上班的特斯拉員工招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技鉅子馬斯克（Elon Musk）日前要求特斯拉員工回公司上班，微軟、Amazon Web Services（AWS）也立刻公開向有意跳槽的員工招手。</p> <p><a href="https://electrek.co/2022/06/01/elon-musk-tesla-employees-come-back-office-or-quit/" target="_blank">Electrek</a>及<a href="https://www.cnbc.com/2022/06/01/elon-musk-reportedly-tells-tesla-workers-to-be-in-office-full-time-or-resign.html" target="_blank">CNBC</a>上周先後取得馬斯克對特斯拉內部下達回公司上班指令的2封公開信。馬斯克的信件要求任何想在家上班的員工得先在辦公室作業至少40小時，這個數字已經比工廠員工來得少了，但若有表現特別優秀的員工做不到，他會親自審查並直接批准例外。</p> <p>馬斯克質疑居家工作時間會降低工作生產力及創新能力，那些允許在家上班的公司已經很久做不出好產品。他說，資深員工必須人在公司，他以自己為例說明，這也是他經常睡在公司的原因，而且若非如此，特斯拉老早就破產了。</p> <p>馬斯克並說特斯拉製造出世界上最令人興奮及重要的產品，這些不是遠距視訊開會就做得到。</p> <p>在過去疫情2年間，許多公司都實施居家上班，即使疫情平息，包括蘋果、微軟、Google等也允許員工一定比例的時間在家工作，甚至在歐美國家出現員工不想回公司上班的大辭職潮，有人選擇離開大公司而加入允許在家上班的較小或新創公司。因而有人認為，對矽谷科技公司而言，相當比例的居家工作模式已經是未來工作型態的新常態。</p> <p>看準馬斯克這番命令可能促使部份員工出走，其他科技公司趁機出手招攬。媒體發現，微軟和AWS人事招募主管日前分別貼文向特斯拉員工招手，不過兩則貼文很快就被刪除。</p> <p><a href="http://thenextweb.com/news/teslas-archaic-work-style-is-other-companies-gain" target="_blank">微軟負責招募的員工</a><a href="https://thenextweb.com/news/teslas-archaic-work-style-is-other-companies-gain" target="_blank">Tiana Watts-Porter說明</a>，微軟及其夥伴LinkedIn、GitHub提供各種選項，員工可以依照自己方式作業，「在微軟做自己」，還可以在家穿著睡衣工作。而<a href="https://crast.net/74455/recruiters-at-major-companies-like-amazon-are-leaving-after-tesla-employees-angered-by-elon-musks-demand-to-return-to-office-if-the-emperor-of-mars-doesnt-want-you-ill-be-happy-to-bring-you/" target="_blank">AWS招募人員 Zafar Choudhury貼文</a>則指出，「如果火星皇帝（the Emperor of Mars）不要你，我們很樂意迎接你來AWS。」他並說，AWS將提供尊重員工、員工時間及專業的「快樂家園」及以尊重待人的團隊。</p> <p>AWS、微軟或特斯拉都沒有對這些留言對媒體做出回應。</p> </div></div></div>
2022/6/6 09:19作者林妍溱https://www.ithome.com.tw/news/151284
提升軟體供應鏈安全，提升開發者帳號保護將是不可或缺的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統密碼安全性不足引發諸多問題，帳號遭盜用的事件亦層出不窮，啟用雙因素認證、兩步驟驗證的機制，已是近年最常呼籲的資安觀念之一，這股風潮，陸續開始吹向軟體開發界。</p> <p>最近就有一項消息引發關注，那就是全球知名程式碼共享與版本協作平臺GitHub宣布，2023年底前在GitHub.com貢獻程式碼的所有使用者，都必須啟用一種或多種形式的雙因素驗證（2 factor authentication，2FA）。</p> <p>很多人可能會認為這不是新議題，畢竟啟用雙因素認證、兩步驟驗證（2-Step Verification，2SV），這樣的保護帳號安全觀念早已呼籲多年，然而，對於一般使用者、企業與組織而言，最近才開始重視這項議題，而攸關程式碼安全的開發者，按理來說，應該會有更清楚的認知，事實卻不然。</p> <p>根據GitHub公布的最新統計數據顯示，以活躍用戶而言，僅有16.5%啟用2FA，而NPM用戶啟用2FA的比例更低，只有6.44%，這樣的結果令人憂心。</p> <p>畢竟，程式開發者常用的雲端平臺與工具並不少，包括程式碼管理的GitHub、Bitbucket、GitLab，程式碼建構的Jenkins、Bamboo，以及專案追蹤與協同管理的 Jira、Confluence，這些僅是一小部分，如今GitHub在此議題抱持的態度最積極，率先採取更多行動。</p> <p><span style="font-size:28px;"><strong>保護軟體供應鏈最源頭的帳號安全，GitHub將強制啟用MFA</strong></span></p> <p>無庸置疑，軟體供應鏈是現今最受關注的資安議題之一，除了資安界早已提倡安全軟體開發生命週期（SSDLC），近年也強調需改善漏洞發現與修補，以及推動軟體物料清單（SBOM）等，當中有更多關注是放在開放原始碼軟體，畢竟絕大多數開發人員不會從頭開始建構軟體，而是站在巨人的肩膀上，活用這些成果。</p> <p>然而，從軟體供應鏈源頭來看，所有人都很清楚程式碼的安全性會是關鍵，但撰寫、保管、發布程式碼的「開發人員」，更是不能忽略的重要環節。儘管大多數開發者知道要保護自己的電腦，注意上網安全，但對於程式撰寫、協作使用的工具與平臺，以及開發人員本身帳號的安全性，可能並未清楚認知對於軟體安全帶來的衝擊，這些部分若出現資安問題將會帶來嚴重影響，事實上，我們甚至可以說，這是軟體供應鏈最前面的一道防護。</p> <p>面對軟體供應鏈的帳號安全議題，不只是軟體業者、企業、政府擔憂，因而決心採取更積極的防範措施，與程式開發者密切相關的公用平臺也展開行動。如前所述，GitHub在這方面的動作頻頻，他們是全球最大開源程式碼平臺，自然也背負著眾人期望。GitHub安全長Mike Hanley指出，軟體供應鏈安全需從開發者做起，為防範開發者帳號遭社交工程與帳號劫持，避免此類攻擊將是確保供應鏈安全的第一步，也是最關鍵的一步。</p> <p>事實上，為了提升用戶帳號安全，GitHub在近年已經祭出不少新政策。例如，2019年7月，GitHub已提供裝置驗證機制，要求未啟用雙因素驗證的GitHub用戶，一旦透過陌生裝置進行存取，需要額外的驗證，也就是以電子郵件提供驗證碼的方式來確認使用者身分；到了2020年11月，GitHub又強制要求所有Git操作及API呼叫，都需經由基於Token的身分驗證方式連線。</p> <p>然後，僅憑這些措施來保護還不夠，雙因素驗證將是下一道重要的防線，而且將逐漸轉變成強制所有使用者配合。</p> <p><span style="font-size:28px;"><strong>開發者帳戶被劫持導致套件被植入惡意程式，已有多起事件</strong></span></p> <p>為何各大開發平臺現在更關注此一問題？這要從近年的實際威脅事件看起。</p> <p>2018年7月，有位代號為pronebird開發者指出，駭客入侵JavaScript程式碼檢查工具ESLint，並在NPM平臺，發布包含惡意程式的ESLint 3.7.2版，一旦用戶安裝此版本套件，惡意程式碼將執行竊取開發者的NPM帳戶或其他資訊。</p> <p>這樣的事件，到了最近半年仍持續傳出，並且是接二連三發生。例如，在2021年10月22日，熱門NPM套件UAParser.js的作者表示，疑似有駭客劫持他的NPM帳號，並發布3個可能被植入惡意程式的UAParser.js版本，分別是0.7.29、0.8.0與1.0.0版，而且，他無法取消發布這些版本，只能緊急通報NPM support，並透過警告訊息提醒其他開發人員，後續，GitHub也對這起植入惡意程式的事件發布資安公告，並標示為重大級別。</p> <p>接著，2021年11月，又有兩起類似的事件。首先，名為COA（Command-Option-Argument）的熱門NPM套件，傳出遭植入惡意程式；接著相隔數小時，又傳出另一個名為RC的NPM套件也發生類似情形。GitHub在11月4日，也緊急公告這些套件遭植入惡意程式。</p> <p>上述這些事件，引發整個軟體開發界的關注。最主要原因，開源軟體安全所帶來的牽連與影響極大，以上述COA的NPM套件為例，該套件是提供開發者以命令列下達指令的解析器，概估GitHub上面有5百萬個開源專案採用，且每週下載量超過9百萬次，而RC的NPM套件，是1款組態下載器，它本身的每週下載量更是超過1400萬次。</p> <p>這顯示出，一旦開源專案的開發者帳號被駭客劫持，不僅取而代之，還冒名替其發布已植入惡意程式的開源套件，這樣的供應鏈攻擊方式，很可能使其他開發者，在不知情的情況去下載安裝或使用。而且，越熱門的開源套件，相關的牽連越廣，就算該套件很冷門，還是有可能造成壞影響，而且，很有可能導致眾人越晚發現異狀。</p> <p>一般而言，開源軟體安全的防護環節很多，像是去年底被揭露的Log4J漏洞，突顯出改善漏洞的發現與修補及因應，就是一大挑戰，因此不論是掃描能力的強化、程式碼稽核、漏洞修補應變，以及透過SBOM掌握採用的關鍵開源元件，確保開源軟體的安全生產也同樣重要，不只從軟體設計的層面著手，並要解決惡意假冒的問題，以及確保上游軟體元件確實是真正的開發者所打造。</p> <p>基本上，光是改善漏洞發現與縮短修補應變，就已經令各界應接不暇，若再因為開發者帳號自身的防護不周，使得上游套件發生被植入惡意程式的情況，將使確保軟體供應鏈安全這事更添動盪與麻煩。因此，如何降低這類問題的發生，雙因素驗證的啟用至關重要，現在正逐漸從「有它可以更好」，轉變成「必備」的要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>多起駭客接管開發者帳號事件，新版套件被嵌入惡意程式</strong></span><br /><strong style="color: rgb(105, 105, 105);">近期開發者帳號被劫持的資安事件接二連三傳出，根據GitHub資安公告顯示，在2021年10月與11月有3起事件，包括UAParser.js、COA、RC的NPM套件，因為開發者的帳號遭到劫持而遭植入惡意程式，這也促使平臺業者祭出新政策，例如，GitHub今年2月開始針對前100大NPM套件的所有維護者，強制要求啟用雙因素認證（2FA）。</strong></p> <p><span style="font-size:28px;"><strong>宣導啟用雙因素驗證不是新鮮事，現在陸續已成強制要求</strong></span></p> <p>啟用MFA保護自身帳號安全，並非新議題，我們關注的是，過去各界已不斷呼籲，為了使用者自身帳戶安全，避免遭密碼暴力破解或網釣攻擊，應啟用雙因素驗證，然而，各種應用系統背後的程式開發人員，對於所用的開發環境帳號卻沒這麼做，不免讓人覺得很失望。</p> <p>回顧這幾年，為了強化線上服務帳號安全，雙因素驗證是關鍵，許多線上服務已提供兩步驟驗證或雙因素驗證，並且持續提升驗證機制的強度，例如從手機接收簡訊OTP，轉向使用App驗證，或是支援FIDO無密碼的驗證機制。</p> <p>只是，這些年來，上述這些保護手段都只是讓使用者自行選擇啟用，並非強制，於是，我們還是經常看到許多資安專家向大眾呼籲：為了使用者個人自身的帳戶安全，應啟用雙因素驗證。</p> <p>但在相關威脅日益嚴重之下，不論是設定弱密碼或相同密碼的情形，以及帳密被竊取的狀況，相當氾濫，而這些問題與導致的各種資安事件一再發生，促使許多平臺業者在強化帳號安全的面相上，開始轉為更嚴格要求的態度，設法解決僅依賴單一密碼造成的各式問題。</p> <p>例如，微軟在2018年，開始宣告密碼時代即將終結，強調Password less以及更安全的多因素驗證，儘管那時還沒邁向強制啟用，但已打響無密碼登入的聲勢。近年該公司也陸續開放更多系統的身分，支援這種作法，例如，所有的Microsoft Account、Azure用戶帳號，現在都可以利用無密碼方式登入，而且，到2021年為止，已有1.5億用戶及所有微軟員工，都選擇這樣的登入方式。</p> <p>另一家科技大廠Google在2021年5月宣布，將強制用戶啟動帳號兩步驟驗證（2SV），關於推動的情形，2022年2月Google指出已讓1.5億用戶預設啟用，未來將陸續擴及所有Google帳號用戶。畢竟，以雲端郵件雲端硬碟等服務而言，帳密被盜用的風險帶來的衝擊非常大，不僅是用戶資料被竊取、被看光，甚至不小心重要敏感個資也包含在內，並且也是許多雲端服務忘記密碼時，接收認證碼的管道之一。</p> <p>換言之，隨著現今的威脅態勢，近年最大的改變就是，更多的平臺業者開始陸續改變政策，積極推動無密碼登入，以及宣布將強制啟用雙因素驗證。</p> <p>當然，或許這樣的措施也與實際的資安威脅態勢有關，畢竟，一般線上服務身分冒用與資料竊取資安事件，在前幾年就已日益嚴峻，而軟體供應鏈的資安事件面向廣泛，相較之下，與帳號安全有關的事件雖然持續發生，但可能不易一開始就聚焦於此，但也不應被漠視。</p> <p>換言之，除了一般使用者持續面臨帳號遭盜用接管的威脅，引發各界注目，開發人員對於帳號被劫持的威脅，卻似乎一直都太輕忽。</p> <p>輕忽的是什麼？輕忽的是開發人員帳號若欠缺保護，對軟體供應鏈安全的影響極大。</p> <p><span style="font-size:28px;"><strong>規範上架應用程式開發者保護帳戶，蘋果與Google已展開行動</strong></span></p> <p>對於開發人員帳號安全的強化，其實近年，IT業界已趨向積極推動的態度。</p> <p>以應用程式的發布平臺的層面而言，近年兩大智慧型手機體系已有動作，像是蘋果在2019年，針對開發人員的Apple ID帳號做出硬性規範，要求他們必須啟用雙因素認證，一般的Apple ID用戶則依然可選擇是否採用；針對Android開發人員，Google在2020年第三季末也祭出新政策，針對登入Google Play控制臺的開發者，強制要求須啟用雙因素驗證。</p> <p>這些政策的目的，無疑是要讓開發者或開發商進行嚴謹的身分驗證，避免帳號遭盜用造成的資安風險，甚至防止匿名或假帳戶上架App。因為之前就發生多起事件，是駭客劫持開發者帳號後，將成功上架的App改變原有用途，或是透過更新加入惡意功能，以此規避應用程式市集在App上架時的審查機制。</p> <p>更進一步來看，應用程式及系統的發布與維運，已屬於軟體供應鏈的末端，而其本身都是由程式碼建構而成，因此像是程式碼開發協作與分享平臺的開發者帳號安全，同樣至關重要。</p> <p><span style="font-size:28px;"><strong>針對上游程式碼開發者，GitHub祭出一連串強化措施</strong></span></p> <p>時至今日，隨著GitHub的表態，更是具體點出一件事，那就是：軟體供應鏈的安全需從開發者做起，以此帶動整個軟體開發生態系的安全提升。</p> <p>以GitHub最近一連串的行動而言，為強化平臺帳號安全，正逐步將2FA成為必要防護措施。</p> <p>首先，針對已收購旗下的NPM，GitHub在2021年底時宣布，將因應前述去年11月開發者帳號未啟用2FA遭冒用，而造成NPM套件被置換的狀況，並在今年2月1日提新要求，強制前100大NPM套件的所有維護者啟用2FA，接著又在3月1日將所有NPM帳戶納入強化登入驗證，也就是針對未啟用2FA的用戶，當由npmjs.com網站或npm CLI驗證身分時，需以電子郵件傳送驗證碼的方式來核對身分的真實性。</p> <p>同時，為了讓NPM平臺用戶可以更廣泛採用2FA，他們增加多項安全機制，包括：因啟用2FA的用戶也可能常在CI/CD持續整合工具使用自動化Token，所以簡化套件自動發布等流程與任務；新增Token命名機制，幫助用戶更容易管理Token；在NPM組織層面，現在也可強制所有成員啟用2FA；提供專屬介面，稽核組織成員是否啟用2FA。他們還預告NPM接下來將支援WebAuthn，也就是支援FIDO實體安全金鑰與生物識別方式，提供更強身分驗證。</p> <p>不只是針對NPM平臺，近年GitHub平臺的帳號安全強化上，除了提供雙因素驗證、登入警示、驗證裝置等機制，在2021年還有幾項重要措施，包括透過SSH協定使用Git操作的身分驗證，將不再支援帳號密碼的驗證方式，必須以Token來驗證，並且新增可利用FIDO實體安全金鑰來產生SSH金鑰。</p> <p>到了2022年5月，GitHub再次祭出新政策──將在2023年底之前，針對所有提交程式碼的平臺用戶，強制啟用雙因素驗證。在此項宣布中，說明了大多數的安全漏洞並非是零時差攻擊造成，而是透過攻擊成本低的方式進行，像是社交工程、帳密竊取或外洩及其他管道，使攻擊者能夠廣泛地存取受害帳戶及其資源，並特別點出一大關鍵：開發人員應該要了解帳號被挾持及盜用的風險與影響：不只是私有程式碼面臨被竊取的狀況，也有可能是程式碼遭惡意竄改，隨後將影響與此程式碼有關的任何人，而且這樣的供應鏈安全威脅並非空想，已是實際存在的狀況。</p> <p>換個角度設想，身為開發人員，自然也希望下載或使用的程式碼或套件，應該依循標準程序發布，不是被駭客劫持的開發者帳號所發布。</p> <p>面對這樣無人能置身事外的局面，每個開發人員都必須該有所行動，將啟用MFA視為必要防護手段。</p> <p>畢竟，基礎資訊安全認知人人該有，若連啟用MFA都沒有徹底實施，更何況現今還要提倡種種安全軟體開發教育，推動廣大開發人員接受安全程式設計實務訓練，避免因為開發時程緊迫，人力有限，以及未考慮到使用情境，而撰寫出有漏洞的程式。尤其是開源程式碼及套件的貢獻者，自己在帳號安全上的輕忽，可能衝擊的是軟體生態系統與供應鏈下游。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GitHub(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>軟體供應鏈安全始於開發人員帳號保護</strong></span><br /><strong style="color: rgb(105, 105, 105);">對於軟體供應鏈安全，GitHub安全長Mike Hanley指出，程式開發者帳號的保護是最源頭的一步。一旦有人遭受社交工程的攻擊，或面臨其他身分憑證竊取及外洩的事故，有可能導致所用的各種開發平臺帳戶蒙受遭到入侵的後果，而這將會牽連與此程式碼有關的任何人，影響整個軟體開發與交付流程的生態系。</strong><span style="color: rgb(105, 105, 105);">圖片來源／GitHub</span></p> <p><span style="font-size:28px;"><strong>提高開發者本身帳號安全要求，其實也是保護整個軟體生態系的安全</strong></span></p> <p>廣泛來看，不只在GitHub上該重視身分安全，同性質的GitLab、Bitbucket，甚至開發者常使用的其他平臺與工具亦然。</p> <p>除了一般使用者要有自覺，服務平臺及工具業者也應設備提高安全性要求。對於使用這些平臺的企業帳號管理者而言，在安全政策上，也應思考是否該強制成員啟用2FA，當然自身也要檢視對於現行環境的影響，像是相關自動化工具是否與2FA相容等種種情況。無論如何，已有不少重視資安的企業，早已規範需強制啟用MFA或2FA，或是導入企業集中式的身分存取管理，但還有更高比例的企業與開發者尚未採取行動。</p> <p>當然，開源程式碼及套件的貢獻者更是要注意，不要以為自己只是軟體供應鏈中的一個小小的螺絲，但這個螺絲的鬆動，可能衝擊軟體生態系統與供應鏈下游。無論如何，強制啟用2FA的趨勢已成，而在GitHub的帶動之下，未來也可能在整個軟體開發界開始發酵。</p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">強化平臺帳號安全，還要注意不同層面風險</strong></p> <p><strong>對於密碼安全性不足導致開發者帳號冒用的資安事故頻傳的問題之外，不只是企業程式與開源開發人員需要重視，提供服務的平臺業者同樣至關重要。</strong></p> <p><strong>對於平臺業者而言，不只是妥善提供強式雙因素驗證機制，或是將相關政策轉為強制啟用，關於帳號安全，其實還有不同層面的問題需防範，如身分驗證被繞過及串接風險等，而從近期出現的資安公告與事件，也可看出有不同挑戰需要因應。</strong></p> <p><strong>舉例來說，3月底GitLab修補CVE-2022-1162漏洞，這是其內部團隊發現的漏洞，將導致基於OmniAuth的GitLab社群版與企業版（CE/EE）在註冊過程中，無意間設定為靜態固定密碼，若被駭客發現將導致用戶帳號被駭客接管。</strong></p> <p><strong>另外，3月GitHub發現駭客利用該公司授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證的部分憑證，進而存取GitHub私有儲存庫的情況。</strong></p> <p><strong>１個月之後，Heroku公布調查結果，說明問題出在Heroku機器帳號遭駭客盜用，這不僅導致Heroku資料庫被存取，對方還下載整合GitHub與OAuth的客戶Token，使得Heroku與其客戶置放於GitHub的儲存庫都被存取，這其實也反應出機器身分的保護與管理，同樣需要重視。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>美國白宮下令推動軟體供應鏈安全，並強調MFA的重要性</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6MFA%E4%BF%9D%E9%9A%9C%E9%96%8B%E7%99%BC%E8%80%85%E5%B8%B3%E8%99%9F%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>美國白宮於2022年1月26日舉行開源軟體高峰會議，邀請相關業者共同商討這個特殊的安全挑戰，今年5月初，由Linun基金會與開源安全基金會二度舉辦峰會，達成多項共識，並發布了開源軟體安全動員計畫白皮書。</strong></span></p> <p><strong>關於啟用多因素驗證（MFA）的重要性，近期美國推動加快改善網路安全之際，也特別提及。今年3月，該國總統拜登曾呼籲民間企業與關鍵基礎設施業者，需趕緊提升資安水準，並列出8個重點資安防護重點，其中導入多因素驗證（MFA）居於第一項，當中指出，在組織系統上使用多因素驗證，現在必須是強制執行，才能讓攻擊者入侵系統更加困難。</strong></p> <p><strong>更大的挑戰在於，軟體供應鏈安全不只基本的開發者帳號安全。目前開源軟體安全基金會（OpenSSF）持續推動此議題，產業界中，Google最為積極，在過去兩三年來，他們不只釋出OSS-Fuzz及連續模糊測試解決方案ClusterFuzzLite專案，希望模糊測試能真正與開發流程結合，而不是額外採取的行動，還有推動軟體供應鏈安全框架SLSA，並與OpenSFF社群合作，發布開源專案軟體安全掃描工具Scorecards，將能評估專案的安全性，檢驗開源專案是否採用程式碼審查工具，以及CI/CD系統的配置等，目前已更新到第四版，幫助整個軟體生態系變得更安全。</strong></p> <p><strong>但面對整個軟體供應鏈的資安議題，尤其是最上游的開源軟體安全，單靠一方之力無法解決，在今年1月底，美國白宮舉辦高峰會議邀集科技大廠商討對策，到了5月初，由LinuＸ基金會與開源安全基金會二度舉辦峰會，並發布了<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">開源軟體安全動員計畫白皮書</a>。</strong></p> <p><strong>當中決議將解決10大問題，包括推動安全軟體開發水準教育，建立開源軟體風險評估儀表板，推動數位簽章增強信任，替換不具記憶體安全的程式語言，成立OpenSSF開源安全事件應變小組，加快新漏洞的挖掘與修復，實施第三方稽核及程式碼審核與修復，資料共享以確定關鍵項目，推動軟體物料清單並提供安全範例與工具，以及改善供應鏈需強化開源軟體開發系統、套件管理器與部署系統。</strong></p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">帳號劫持攻擊普遍，資訊及開發人員都輕忽此類威脅</strong></p> <p><strong>關於啟用多因素驗證（MFA）或雙因素驗證（2FA）的現況，近期有兩項統計數據受關注，透露出開發人員對此重視程度的不足。</strong></p> <p><strong>●數據1：在2022年5月初，GitHub安全長Mike Hanley宣布平臺將在2023年強制啟用雙因素驗證（2FA），同時指出目前GitHub活躍用戶中，僅有16.5%啟用2FA，而NPM用戶的比例更低，只有6.44%啟用2FA。</strong></p> <p><strong>●數據2：在2022年2月初，微軟新發布《網路訊號》（Cyber Signals）報告，首先以身分識別為主題，當中指出微軟Azure服務用戶中，採用高強度的身分驗證機制僅有22%，顯示多數用戶在身分認證上仍有待強化。</strong></p> <p><strong>關於身分安全威脅的態勢，以這類劫持用戶帳號的攻擊而言，微軟亦提供2021年的現況說明。例如，微軟在Azure AD上，偵測並封鎖了256億次透過暴力破解的攻擊，以及透過Microsoft Defender for Office 365攔截了357億封的網釣郵件與惡意郵件，這當中其實也意味著駭客無所不用其極地企圖劫持用戶帳號。</strong></p> <p><strong>因此微軟建議，各大企業組織應提高安全水準來降低風險，至少做到幾項基本的網路安全，將能防範絕大多數的資安攻擊，微軟認為這至少防範98%的資安攻擊。具體而言，包括啟用多因素身分認證（及持續稽核帳號權限，檢查與監控所有管理者帳號）、保持系統最新版本與落實安全性更新、執行最小存取權限原則，以及進行資料保護等。</strong></p> <p><strong>對於上述威脅態勢，其他資安業者也有類似觀察。例如，資安業者CyberArk根據MITRE ATT&CK for Enterprise所列的攻擊手法，對企業IT人員進行調查，結果顯示：排名第一的風險領域是身分存取（40%），其次是躲避防禦（31%）、執行（31%）、初期存取（29%）、提高權限（27%）。而且，CyberArk強調，在加速數位化的局勢之下，使身分數量爆發性成長，根據他們統計，在每個組織中，人類與機器身分數量已高達10萬個以上。</strong></p> <p><strong>從上述種種調查結果來看，駭客入侵企業取得身分識別及橫向攻擊，已是當今駭客攻擊手段的一大主要手段，甚至從軟體供應鏈源頭的開發者用戶帳號下手，這已在在突顯身份識別安全的重要性。</strong></p> <p><a href="https://www.ithome.com.tw/news/151265" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span></a><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/151265" target="_blank">提升開發者帳戶安全，企業應強制全面啟用2FA或建置集中管控</a></strong></span></p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/news/151263
提升開發者帳戶安全，企業應強制全面啟用2FA或建置集中管控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151263">隨著GitHub宣布將在2023年強制啟用雙因素驗證（2FA），以及NPM平臺套件維護者僅有6.44%啟用2FA，這樣的態勢</a>，突顯了程式開發人員使用關鍵服務之際，在身分安全層面上的輕忽，已經到了所有用戶都必須改變的時刻。</p> <p>對於MFA的重要性，以及開發人員的輕忽情形，我們詢問國內的身分安全相關業者，包括數位身分（Authme）、歐生全科技（AuthenTrend），以及偉康科技（Webcomm），從他們的角度，幫助我們了解更多現況，以及業者自身開發人員的帳號安全是如何保護。</p> <p><span style="font-size:28px;"><strong>不僅應強制啟用MFA，同時須要求使用密碼管理工具</strong></span></p> <p>對於開發人員輕忽帳號防護的問題，2019年成立的新創業者Authme說明他們的觀察，該公司共同創辦人暨執行長李紀廣表示，現在很難有企業在開發專案時，能完全不用到開源的程式碼或套件，因此，企業對於開源軟體的維護與安全性需多加留意，儘管這些開發人員默默為開源貢獻，但有些人可能因這並非產生收入的主要來源，所以對這方面的帳號安全較不重視。但現在資安威脅情勢日益嚴峻，開發者須轉變心態。</p> <p>而從國內許多金融業客戶來看，由於受到金管會要求，因此在身分識別管理上，在內稽內控之下都會達到一定程度，但以一般開發人員來看，從他們面試求職者的經驗中，發現有很大落差。</p> <p>李紀廣表示，由於數位身分驗證服務是資安第一道防線，因此他們特別重視開發者資安意識。他們過去面對求職者時，曾問及以往是用何種方式管理這些開發者工具，不論使用GitHub雲端服務，或經過VPN及自建GitLab的存取，也會談到網路安全零信任的議題。根據他過往與數十個面試者洽談狀況，結果是多數都沒有啟用2FA或MFA的經驗。</p> <p>以自家公司而言，李紀廣表示，內部使用以雲端服務應用居多，在公司政策上，他們從成立隔年2020年，就開始規範開發者要強制啟用2FA，一開始，公司會先公告這件事，讓大家有所準備後就開始啟用，同時，他們也會要求員工務必使用密碼管理工具。</p> <p>畢竟，不只是開發人員使用的程式碼協作工具要支援2FA，實務上，還要考慮必須讓所有系統都支援2FA，才有意義，但由於有些平臺還無法支援，因此，密碼管理工具就是很重要的配套。</p> <p>對於國內企業不重視開發者帳號安全的問題，李紀廣在接觸多家企業的經驗中，他發現，有些企業會因為資安維護花費屬於額外成本，因此讓多人使用同一帳號，而這其實突顯了，企業未重視資安因此輕忽維護基礎建設。</p> <p>而企業在啟用2FA時，也有幾點需要注意，例如，雖然許多雲端服務或工具可以強制啟用2FA，或是稽核成員是否啟用，但有些服務需要中、高級的方案才具備這樣的功能，如果有些企業只選用最入門的方案，將無法做到管控。他認為，平臺業者若能讓基礎方案都提供這樣的能力，會更理想。</p> <p>李紀廣認為，因應遠端工作普及，企業與使用者都應想到需要更多保護，而2FA只是基本措施。即便企業缺乏身分存取管控解決方案，仍可透過Google帳戶登入其他應用程式，並在Google帳號啟用兩步驟驗證（2SV），也是可行。</p> <p>當然，許多企業不全然都是使用雲端環境，因此，遠端存取時需做到層層把關，像是有些企業客戶在使用VPN時需使用2FA，連至公司後，內部系統本身也還是要有2FA來保障，前後兩段都需要經過雙因素身分驗證。</p> <p>關於啟用2FA時的注意事項，歐生全副總經理黃啟峰也指出，以瀏覽器登入的狀況而言，他們使用GitLab會強制內部群組使用者全面開啟2FA。但2FA的管控細度，將視平臺端的機制而定。</p> <p>舉例來說，GitLab雖提供TOTP與FIDO2實體安全金鑰的驗證方式，但設定上不夠彈性，像是無法限定擇一啟用，再者，對於跨組織協作的群組，也無法強制開啟2FA，需要建立另外的子群組才能做到，只是一旦搬遷專案又會造成路徑改變的問題。此外，目前並未看到強制短時間內要重複進行2FA驗證的設定，而且使用者也可使用跳過2FA認證的Access Token，或是單一登入（SSO），因此，離最嚴格的零信任要求環境，還有一段路要走。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6%E4%BC%81%E6%A5%AD%E7%B5%84%E7%B9%94%E5%95%9F%E7%94%A82FA.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;"><strong>強化資通安全管理政策，從組織帳號安全要求做起</strong></span></p> <p><span style="color:#696969;"><strong>為了強化企業內部開發人員帳號安全，以<a href="http://docs.github.com/en/organizations/keeping-your-organization-secure/managing-two-factor-authentication-for-your-organization/requiring-two-factor-authentication-in-your-organization">GitHub</a>為例，企業管理者帳戶可要求所有組織成員啟用2FA，使網路攻擊者更難存取組織的儲存庫與管理設定。</strong></span></p> <p><span style="font-size:28px;"><strong>可運用基於FIDO的身分存取管控解決方案，進行集中納管</strong></span></p> <p>對於開發者帳號安全的防護，另一家專注金融業相關應用的偉康科技，也提供了他們的觀察與做法。</p> <p>該公司副總經理陳怡良表示，身分驗證是一切數位應用服務的源頭，除了平臺業者要求開發者啟用的角度外，若是能讓開發者從根本的邏輯轉換，具備身分驗證的資安意識，那就會變成開發者要求平臺的基本條件，就應該具備相關機制，否則他們可以選用更安全更有保障的平臺。</p> <p>對於GitHub現今推動的雙因素驗證，他認為，與Google、Apple與微軟推動的「無密碼驗證」仍有落差，原因是雙因素是雙重的驗證，但密碼依舊存在；FIDO除了滿足多因素驗證，核心精神是做到無密碼驗證。他認為，用一個認證方式就具備MFA的元素，最為理想。</p> <p>對於開發者帳號安全防護，陳怡良表示，以自家公司經驗而言，偉康公司員工近200人，其中150人是工程師，內部也有自建Gitea環境，而他們近年已經從帳號密碼的認證方式，朝向無密碼的環境。</p> <p>原本，他們在身分認證的內部控管策略上，與多數公司一樣，主要遵循ISO 27001資訊安全管理系統國際標準，當中即強調人員身分、帳號密碼原則的設定等，但在2020年第四季時，他們開始思考一件事：由於偉康自身要推廣FIDO解決方案，若公司本身都未做到無密碼，並不合理。</p> <p>因此，當時他們除了打算推出一套不只金融業適用，各產業都通用的雲端身分認證服務。同時，在他們公司發展藍圖中，其一目標就是無論如何都要在短時間內，將FIDO導入公司內部。</p> <p>後續，他們在2021年第三季施行，在公司內部先應用自家開發的產品，不僅開始在內部環境推動無密碼登入，同時也測試產品體驗與穩定性。如此一來，當自家開發人員使用Gitea服務，員工只要透過手機上的「OETH」App掃描QRCode，並經過人臉識別，就能直接登入，而且公司內全系統都能經由同樣方式登入。</p> <p>現在不論公司高層或開發人員，每天工作，從收發公司電子郵件、請假，到Check In/Check Out程式碼、開發分支或整合分支、執行CI/CD到發佈，都經過雲端身分認證存取服務，透過手機進行生物辨識的FIDO認證。即便員工手機條件不足、沒有生物辨識機制，也可以圖形鎖方式認證。</p> <p>事實上，以身分識別與存取管理（IAM）而言，國內外已有不少這類解決方案，陳怡良指出，國外這類產品大多支援雲端方案，儘管有提供API供企業客製化，但國內缺乏專業人士服務，而臺灣企業還有很多不能上雲，因此客製化能力將是需要看重的部分。</p> <p>整體而言，保障企業內部開發人員帳號安全這件事，並不是沒有人再做，還沒因應的企業，應積極採取行動，而不是等到使用的平臺開始要求才做準備。<br /> </p> <p><span style="color:#3399ff;"><strong><span style="font-size:36px;">為了保障開發者帳號，企業可在GitHub等平臺強制啟用2FA</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6%E4%BC%81%E6%A5%AD%E7%B5%84%E7%B9%94%E5%95%9F%E7%94%A82FA(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>開發者個人也可在GitHub帳號的設定介面中，將雙因素驗證機制開啟，當中提供了簡訊、TOTP與實體安全金鑰的驗證方式。</strong></span></p> <p><strong>不只獨立開發者要懂得啟用雙因素驗證自保，企業為了強化內部開發人員帳號的安全，不論是使用GitHub、GitLab或Bitbucket等平臺或工具，要求組織成員啟用2FA，已成至關重要且基本的防護策略。</strong></p> <p><strong>以GitHub為例，目前GitHub網站支援的雙因素驗證有三種，包括：SMS簡訊驗證、透過手機App的TOTP驗證，以及實體安全金鑰驗證。</strong></p> <p><strong>現階段，以TOTP驗證受到最廣泛使用，開發者不只可用GitHub App接受驗證碼，其他包括：Authy、1Password、以及Microsoft Authenticator、Google Authenticator，也都適用。</strong></p> <p><strong>而在實體安全金鑰的應用上，目前的趨勢是期望帶有生物識別的實體金鑰，最安全與便利，也能符合NIST 800-63-3並滿足IAL3/AAL3/FAL2或FAL3的所有要求。但相對來說，現階段透過每個人都時刻不離身的手機，會是更容易普及的應用方式。</strong></p> <p><strong>無論如何，企業若要積極落實，就應設法在平臺強制之前，要求組織成員強制啟用，並檢視不同平臺環境能否同樣做到。</strong></p> <p><a href="https://www.ithome.com.tw/news/151263" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span><strong><span style="font-size:20px;">提升軟體供應鏈安全，提升開發者帳號保護將是不可或缺的關鍵</span></strong></a></p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/news/151265
【確保軟體供應鏈安全的第一步】快啟用MFA！保護開發者帳號刻不容緩
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1080-feng_mian_p1-open-luo_zheng_han_-960x420_kao_bei_.jpg?itok=5pD3i6yY" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">最近開發者程式碼代管或軟體發行服務帳號遭劫持事件頻傳，導致套件被植入惡意程式，以GitHub為例，僅16.5%用戶啟用雙因素驗證，顯示開發人員輕忽帳號安全，也低估自身在軟體供應鏈安全的重要性。</p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/article/151266
【資安週報】2022年5月30日至6月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月底到6月初這週的資安新聞裡，與Office有關的零時差漏洞CVE-2022-30190，引起許多資安人員關注，因為這項漏洞很可能讓攻擊者有機會繞過Office本身的防護機制，使用Windows檔案總管的預覽功能就能觸發。且公布不久已經開始有人用於攻擊行動。</p> <p>而這項漏洞在微軟的資安通告裡，指出與Windows支援診斷工具（MSDT）有關，他們也提出緩解措施，建議IT人員停用電腦的ms-msdt的URI協定來予以防範。</p> <p>但這種與URI有關的漏洞，接下來也有研究人員發現類似的弱點。攻擊者可透過惡意Office檔案，搭配Windows搜尋的URI協定search-ms，列出共享資料夾的內容。</p> <p>另一個與漏洞有關的攻擊行動則是殭屍網路EnemyBot。駭客運用了VMware Workspace ONE漏洞CVE-2022-22954、F5 BIG-IP漏洞CVE-2022-1388、Java框架Spring漏洞SpringShell等應用系統的重大漏洞，在受害組織植入殭屍網路病毒。</p> <p>與資料庫有關的資安事故也相當值得一提。其中又以駭客針對1,200個Elasticsearch資料庫進行勒索的情況最值得注意。雖然駭客勒索的金錢並不高，但很有可能付了贖金也無法復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/" id="CVE-2022-30190" name="CVE-2022-30190" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發</span></a></strong></h3> <p>去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。</p> <p>資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。</p> <p>Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseach資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360萬臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/rapidly-evolving-iot-malware-enemybot-now-targeting-content-management-system-servers"><span style="color: rgb(0, 0, 0);">惡意軟體EnemyBot針對VMware、F5 BIG-IP重大漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg" style="width: 300px; float: right;" /></a>殭屍網路EnemyBot在3月被發現，<a href="https://www.ithome.com.tw/news/150450#EnemyBot">當時該殭屍網路機器人（Bot）主要鎖定路由器設備而來</a>，如今駭客更進一步針對應用系統的重大漏洞下手。</p> <p>電信業者AT&T的資安團隊近期找到EnemyBot變種，該殭屍網路病毒共針對24種漏洞下手，但與過往EnmeyBot不同的之處，在於駭客利用的漏洞裡，多半為應用系統的重大漏洞，包含了VMware Workspace ONE漏洞CVE-2022-22954（CVSS風險評分9.8分）、F5 BIG-IP漏洞CVE-2022-1388（CVSS風險評分9.8分）、Java框架Spring漏洞SpringShell，除此之外還有部分是沒有CVE編號的漏洞，這使得IT人員更難防範EnemyBot的威脅。</p> <p>而對於部署該殭屍網路的攻擊者身分，研究人員指出是Keksec，該組織過往曾散布Tsunami、Gafgyt、DarkHTTP、DarkIRC、Necro等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/"><span style="color: rgb(0, 0, 0);">駭客鎖定視窗作業系統的WSL元件，散布Linux惡意軟體</span></a></strong></h3> <p>最近針對Linux主機而來的攻擊行動不時傳出，但也有人鎖定Windows作業系統提供的Linux子系統（Windows Subsystem for Linux，WSL）而來。資安業者Lumen於去年秋季開始，發現駭客針對WSL下手，迄今已散布逾100種惡意程式。</p> <p>在這些惡意程式當中，有些特別引起研究人員注意。例如，他們發現以程式語言Python開發的鍵盤側錄工具Keyjeek，攻擊者透過Windows的機碼使其常駐受害電腦，並將收集到的帳密資料回傳到特定的Gmail信箱，研究人員將其上傳到惡意軟體分析平臺VirusTotal，結果60個防毒引擎僅有1個識別有害。</p> <p>另一個該公司特別提到的惡意程式，則是會從遠端下載Shell Code，並在受害電腦注入與執行，研究人員指出，這種能夠下載惡意程式並完全在記憶體內（In-Memory）執行的工具，很有可能日後駭客會用於投放更為複雜的軟體，如Cobalt Strike或是其他滲透測試框架。再者，研究人員也看到能同時於Windows與Linux作業系統執行的代理程式Lee，攻擊者不只能透過該代理程式上傳或下載檔案，還能執行任意命令。</p> <p>除此之外，研究人員也發現多個會利用即時通訊軟體Discord的惡意軟體，像是木馬程式DiscordRAT、竊密程式Discord Token Grabber、Discord-Keylogger等，再者，也有濫用加密通訊軟體Telegram木馬程式Telegram-RAT。該公司建議採用WSL的使用者，應透過Sysmon等系統監控工具進行監控，來找出WSL環境是否出現異常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-ermac-20-android-malware-steals-accounts-wallets-from-467-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Ermac 2.0假冒餐點外送平臺App，竊取467個軟體帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg" style="width: 200px; float: right;" /></a>隨著武漢肺炎疫情延燒，許多人必須居家隔離，透過餐點外送平臺取得三餐所需，有駭客假借這樣的名義來散布惡意軟體。<a href="https://blog.cyble.com/2022/05/25/ermac-back-in-action/">資安業者Cyble</a>、<a href="https://twitter.com/ESETresearch/status/1526897310231322630">ESET</a>指出，他們看到有人佯稱是Blot Food的餐點外送業者，製作冒牌網站來散布安卓竊密軟體Ermac 2.0，一旦使用者從該網站下載檔案並進行安裝，該冒牌App將會要用戶開放43項權限，進而竊取467種應用程式的帳密，當中包含全球各地的銀行機構、加密貨幣錢包，以及資產管理應用程式。研究人員呼籲用戶，應從從Google Play市集下載App。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/revil-resurgence-or-copycat"><span style="color: rgb(0, 0, 0);">勒索軟體駭客REvil疑發動DDoS攻擊</span></a></strong></h3> <p>勒索軟體駭客REvil似乎再度發動攻擊，但並非透過加密檔案的方式進行，而是以DDoS攻擊來癱瘓受害組織網路。雲端服務業者Akamai於5月12日接獲客戶通報，他們發現聲稱是REvil的駭客進行DDoS攻擊，駭客要脅受害組織必須移轉指定數量的比特幣（BTC），並暫停特定國家的業務，來換取駭客停止發動DDoS攻擊，駭客揚言若是不從，他們將會讓該組織的全球業務受到衝擊。</p> <p>研究人員指出，這起DDoS攻擊背後似乎存在政治動機，與REvil的行事風格完全不同，他們認為很有可能是他人假借REvil的名號對受害組織進行勒索。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500"><span style="color: rgb(0, 0, 0);">勒索軟體Clop疑捲土重來，1個月出現21個受害組織</span></a></strong></h3> <p>過往惡名昭彰的勒索軟體駭客組織，在沉寂一段時間幾乎沒有活動後，再度大舉發動攻擊的情況，近期時有所聞。例如，資安業者NCC Group揭露他們針對2022年4月勒索軟體攻擊的態勢，當中特別提及勒索軟體Clop（亦稱Cl0p）的攻擊行動，在整個月出現了21個受害組織，主要目標是工業，占45%，其次是IT產業，占27%。</p> <p>但為何突然出現這麼多攻擊行動？資安新聞網站Bleeping Computer認為，這些駭客很有可能像Conti，目的是避免關閉Clop基礎設施的時候，成員後續受到執行單位追捕，因此，刻意發動這些攻擊來掩人耳目。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291066"><span style="color: rgb(0, 0, 0);">Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png" style="width: 300px; float: right;" /></a>微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。</p> <p>受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/"><span style="color: rgb(0, 0, 0);">行動應用程式框架存在嚴重漏洞，兩大平臺手機恐曝險</span></a></strong></h3> <p id="Zyxel">電信業者為了在手機上提供專屬服務，很可能會運用廠商提供的軟體框架，對旗下品牌手機進行客製化，一旦這種框架系統出現漏洞，很可能影響相當廣泛。微軟於5月27日公布在去年9月發現的數個漏洞──CVE-2021-42598、CVE-2021-42599、CVE-2021-42600，以及CVE-2021-42601，這些漏洞存在於mce Systems推出的行動裝置應用程式框架，CVSS風險評分從7.0分至8.9分，一旦攻擊者加以利用，就有可能從這些透過上述行動裝置應用程式框架製作的App，藉由其提供可瀏覽功能（Browsable）的服務，進而在受害裝置植入後門程式並取得控制權，安卓與iOS版應用程式都有可能受到影響。研究人員通報後，mce Systems與相關電信業者已著手修補漏洞，目前尚未出現利用相關漏洞的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://palant.info/2022/05/23/hijacking-webcams-with-screencastify/"><span style="color: rgb(0, 0, 0);">逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私</span></a></strong></h3> <p id="Zyxel">隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。</p> <p>研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151209"><span style="color: rgb(0, 0, 0);">臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁</span></a></strong></h3> <p id="Zyxel">隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。</p> <h3><strong style="font-size: 22px;"><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock"><span style="color: rgb(0, 0, 0);">博通宣布將以610億美元買下VMware</span></a></strong></h3> <p id="Zyxel">美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。</p> <p>根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> </div></div></div>
2022/6/3 10:07作者周峻佑https://www.ithome.com.tw/news/151282
強化邊緣運算系統支援，紅帽推出第9版企業級Linux
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel_9main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3年之前，由紅帽公司所維護的企業級Linux作業系統（RHEL）宣布推出8.0版，後續經歷多次改版，先前我們已陸續介紹<a href="https://www.ithome.com.tw/review/134119">8.1</a>、<a href="https://www.ithome.com.tw/review/141493">8.3</a>、<a href="https://www.ithome.com.tw/review/144683">8.4</a>、<a href="https://www.ithome.com.tw/review/148833">8.5</a>等版本，一路看著這套作業系統從積極支援雲端環境的應用，逐漸延伸到邊緣運算領域。</p> <p>而依據當時訂定的版本更新週期來看，今年也到了跨入第9版世代的時間，而在5月舉行的年度用戶大會Red Hat Summit期間，該公司也按照這樣的規畫，於此刻發布RHEL的9.0版與8.6版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Planning Guide.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Planning%20Guide.jpg" style="width: 600px;" /></a></p> <p>除了象徵產品邁入新世代，RHEL 9.0是第一個基於上游開發版本CentOS Streams所建構的正式版本，事實上，RHEL 9的Beta測試版最初就是透過CentOS Stream 9的形式來提供，紅帽表示，未來RHEL 9所有版本的推出，都將在CentOS Stream的基礎來建構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CentOS%20el9-2021-11.jpg" style="width: 600px;" /></p> <p>一般而言，在CentOS Streams這個持續交付的版本當中，會先提供未來可能出現在RHEL新版的功能，以此拓展整個生態系的發展，能以此讓合作廠商、客戶、獨立使用者試用，再收集相關的建議，以利下一次小改版時，能夠針對程式碼與特色進行調整。</p> <p><a href="https://www.centos.org/centos-stream/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20CentOS%20Stream.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>提供更多專為邊緣運算環境系統執行所需的功能</strong></span></h3> <p>關於RHEL 9的推出，紅帽另一個主打的重點是關於邊緣運算環境的應用支援，這當中包含了全面的管理功能，以服務的形式提供給用戶，能憑藉更強大的控管與安全性功能，來掌握與擴展遠端部署，同時，也涵蓋了自動化建立機制、系統運作狀態的呈現，以及更有應變能力的資安漏洞緩解處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Redd%20Hat%20Edge%202022-05-11_094507-2.jpg" style="width: 600px;" /></p> <p>其實，這項服務是透過雲端網頁主控臺Red Hat Hybrid Cloud Console（console.redhat.com）來提供，紅帽在此整合了「邊緣管理（Edge Management）」應用程式，裡面提供多種功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。而上述邊緣管理的應用功能目前已經上線，只要你是此項服務的有效訂閱用戶，均可存取。</p> <p>基本上，此項特色能讓RHEL用戶不需要任何搭配額外的內部建置IT基礎架構，也能進行邊緣管理的各種操作，相對地，若企業或組織想在邊緣端進行管理與規模擴展，且須在不犧牲他們本身資安態勢的條件之下，紅帽認為這（雲端服務）會是最快、最容易達到上述成效的方法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Edge Image-1-2022-06-02_191049.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Edge%20Image-1-2022-06-02_191049.jpg" style="width: 600px;" /></a></p> <p>RHEL 9另一個支援邊緣運算的特色，是透過Podman這套管理軟體的搭配與協助，偵測已更新的容器是否順利啟動、執行，若非如此，就會自動將容器的組態倒回（rollback）至前一個能正常執行、運作的版本。</p> <p>Podman去年提供自動更新容器的功能，但若遇上有些故障的容器因故發布至映像登錄服務的狀況，可能會導致容器無法執行，而現在的Podman具備了倒回至先前版本的功能，即可避免這類問題的發生，進而擴展自動更新容器映像的容量。當這樣的處理方式搭配作業系統層級的倒回機制之後，也能夠針對應用程式的可靠性，增添多一層保障。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 Automatic rollbacks for containers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20Automatic%20rollbacks%20for%20containers.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>可運用紅帽代管的網頁主控臺服務，隨時隨地進行各種RHEL系統映像的組裝</strong></span></h3> <p>拓展更多類型的應用方式，也是RHEL本次改版的重大突破。紅帽表示，他們正在發展「作業系統重大功能即服務（key operating system functions as services）」的概念，而第一個登場是新推出的Image Builder服務，它本身支援核心平臺的既定功能，可針對自定的檔案系統、三大雲端服務供應商，以及VMware伺服器虛擬化平臺，提供系統映像的建立功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-1-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-1-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Image Builder-1-2022-06-02_190004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Image%20Builder-1-2022-06-02_190004.jpg" style="width: 600px;" /></a></p> <p>這項由紅帽代管、提供的新服務，與上述的邊緣管理一樣，都整合在Red Hat Hybrid Cloud Console，能以簡化、快速的方式，協助用戶自行組裝標準、最佳化、特製等類型的RHEL作業系統映像，隨後再將這些映像部署至選定的雲端服務廠商環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-2-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-2-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>而且，這裡組裝的套件也包含最新的軟體內容，以及安全性更新，可支援所有的混合雲環境應用。它能協助企業與組織節省建立不同系統映像的時間，並在大量使用的狀況當中，可由此促成系統的一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-3-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-3-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>在此之前，用戶若要組建邊緣運算設備所需執行的RHEL系統映像，須透過在內部環境建置的Image Builder版本來進行，接著再搭配其他支援後續管理作業的系統。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Ut6Hg0lgthM" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>現在有了所謂的Image Builder as-a-Service，企業對於RHEL系統映像的組建，就不需要區分成初期建置與後續管理的作法，而且同樣不用依賴企業內部環境設置與維護的相關基礎架構，也能產生各種系統映像。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0chezWnuMhs" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20image%20builder%20service.jpg" style="width: 600px;" /></p> <h3><strong style="color: rgb(0, 0, 205);">強化系統安全性，避免基礎架構遭到惡意修改</strong></h3> <p>對於系統完整性的確保，RHEL 9增設了新的驗證機制，這種作法稱為一致性測量架構（Integrity Measurement Architecture，IMA），能夠動態驗證作業系統的完整性，判斷是否遭到竄改或滲透。同時，RHEL 9也強化數位雜湊與數位簽章，能協助企業與組織偵測IT基礎架構是否出現未經許可的修改活動。</p> <p>透過一致性測量架構的導入，用戶能夠運用數位雜湊與數位簽章來驗證作業系統的完整性，藉此偵測非法的基礎架構竄改行為，以更輕鬆的方式減少系統遭到滲透的可能性。</p> <p>值得注意的是，在邊緣運算裝置的註冊方式（onboarding），RHEL 9提供了FIDO裝置註冊（FIDO Device Onboard，FDO）功能的技術預覽版本，此項特色也將整合「簡化安裝器（Simplified Installer）」。紅帽表示，邊緣運算應用當中，最消耗時間與成本的部分，在於如何自動化執行系統建立之後的步驟，促使這些設備在現場接上電源之後，就能開始發揮作用，而有了FDO，可節省許多作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 FDO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20FDO.jpg" style="width: 400px;" /></a></p> <p>基本上，FDO可協助處理RHEL for Edge映像檔的自動建立，以及註冊程序。用戶可組建RHEL for Edge Simplified Installer的系統映像，以此設置RHEL for Edge系統映像，再以FDO來處理邊緣運算裝置的自動建立與註冊事宜，之後即可與其他裝置，以及透過網路彼此相連的系統，進行資料交換。因此，FDO協定將會在裝置製造階段當中，執行初始化設定，之後再綁定實際應用的裝置。</p> <p>紅帽表示，FDO使用安全信任鏈來驗證身分，以及擁有系統的人員，並搭配一個安全性更強的環境設置來建立溝通管道，而能登錄至一個管理平臺當中。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/_nq5IAVbl2Y" title="YouTube video player" width="560px"></iframe></div> <p> </p> <h3><span style="color:#0000CD;"><strong>提升自動化處理，對於不停機系統核心的修補作業，也提供網頁操作介面</strong></span></h3> <p>在系統角色（System Roles）的部分，RHEL 9也予以擴充，增加了高可用性叢集、防火牆、微軟SQL Server，以及伺服器系統管理工具Cockpit。</p> <p>基本上，RHEL System Role的實際技術組成，包含了自動化處理軟體平臺Ansible的角色及模組，以此提供穩定、一致的組態介面，能用於自動執行與管理多個版本的RHEL系統。</p> <p>在網頁管理主控臺的部分，RHEL Web Console現在可支援不停機的系統核心修補（Kernel Live Patching）──紅帽增加了簡化操作的介面，企業或組織不需透過命令列的工具，即可進行這些工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg" style="width: 400px;" /></a></p> <p>透過這種方式，IT單位面對大規模、分散式部署的系統，無論是核心資料中心、多雲環境，或是邊緣運算設備，均可促使它們在不需重新開機的狀態下，就能自動套用系統核心的重大更新，減少這些重要維護作業執行的複雜度，能夠更容易解決那些嚴重影響生產環境安全性的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-rhel_kpatch_overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-rhel_kpatch_overview.jpg" style="width: 600px;" /></a></p> <p>除此之外，RHEL Web Console也強化了效能狀態呈現，可協助用戶找出導致CPU、記憶體、硬碟、網路等資源使用率暴漲的潛在原因。同時，用戶還能將這些效能量測數據匯出，交由圖解能力更強大的Grafana伺服器來呈現狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-meter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-meter.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 console meter-2022-06-02_193252.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20console%20meter-2022-06-02_193252.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg" style="width: 500px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Enterprise Linux 9.0<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z<br /> ●記憶體需求：1.5 GiB<br /> ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立/分割區、swap分割區，IBM Power Systems需/分割區、swap分割區、PReP boot分割區<br /> ●系統基礎核心版本：5.14.0版</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2022/6/2 23:26作者李宗翰https://www.ithome.com.tw/review/151180
Alphabet與Meta的員工年薪中位數都超過29萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/what-alphabet-meta-and-other-s-p-500-firms-paid-workers-last-year-11654084801?mod=djemalertNEWS" target="_blank">《華爾街日報》（Wall Street Journal，WSJ）本周引用MyLogIQ的數據指出</a>，美國企業員工年薪中位數最高的是Google母公司Alphabet，該公司員工的年薪中位數高達295,884美元（約877萬元新臺幣），居次的是Meta的292,785美元（約868萬元新臺幣），此外，有超過150家美國企業的員工年薪中位數超過10萬美元。</p> <p>從2018年起，美國證券交易委員會（SEC）便要求上市公司必須公開員工的年薪中位數，包括加班與福利，比照對高階主管的年薪揭露要求，年薪中位數代表該公司有一半的員工薪資高於該數字，另一半則低於該數字。而MyLogIQ則利用人工智慧與機器學習技術蒐集並分析這些公司的財報內容。</p> <p>此次WSJ取得了來自S&P 500中的453家企業的資料，並根據年薪、產業別、員工數與成長幅度排序。</p> <p>除了Alphabet與Meta之外，年薪排進前十名的科技業者還有排名第四的博通（Broadcom），其年薪中位數為247,541美元，軟體服務業者ServiceNow則以233,859美元排名第六，第七名是Twitter的232,626美元，Nvidia以217,542美元名列第九。</p> <p>科技業者占據了年薪中位數排行榜的6個名次，另外3個名次則由醫藥/生命科學公司包辦，美國電子商務業者Etsy以231,338美元位居第八。</p> </div></div></div>
2022/6/2 23:44作者陳曉莉https://www.ithome.com.tw/news/151280
美國承認軍方駭客駭進俄羅斯以支援烏克蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sky.com/story/us-military-hackers-conducting-offensive-operations-in-support-of-ukraine-says-head-of-cyber-command-12625139" target="_blank">英國新聞臺《Sky News》本周披露</a>，身兼美國國安局局長及網戰司令部部長的美國陸軍上將Paul Nakasone在接受該電視臺專訪時坦承，美國曾經展開攻擊性的駭客行動以支援烏克蘭來應對俄羅斯的入侵。</p> <p class="rtecenter"><img alt="" src="https://media.defense.gov/2019/Sep/16/2002183198/825/780/0/190916-O-ZZ999-004Y.JPG" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國防部</span></span></p> <p>Nakasone說，美國的軍方駭客執行過一系列的行動，從攻擊、防禦到資訊作戰等，同時宣稱這些行動都是合法的，不僅是在監督下進行，也遵循了美國國防部所制定的政策。</p> <p><a href="https://www.reuters.com/world/white-house-cyber-activity-not-against-russia-policy-2022-06-01/" target="_blank">至於白宮則在提供給《路透社》的回應聲明中表示</a>，任何針對俄羅斯所展開的網路攻擊行動都未違反美國的政策，底線是避免因俄羅斯入侵烏克蘭一事與俄羅斯發生直接的軍事衝突。</p> </div></div></div>
2022/6/2 23:57作者陳曉莉https://www.ithome.com.tw/news/151281
微軟明年6月終止Excel中的Money等服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周宣布明年6月將終止包括Money、Alpha Wolfram資料支援等數項Excel附加功能。</p> <p><a href="https://www.ithome.com.tw/news/136662" target="_blank">Money是微軟2020年宣布Microsoft 365的重要服務</a>之一。它可整合用戶的線上銀行帳戶，方便用戶將不同銀行戶頭資料整合到Excel中，方便統一財務管理。<a href="https://support.microsoft.com/en-us/office/end-of-support-for-money-in-excel-faq-f0e0a388-1bb0-42cf-8753-9574c5424ba4" target="_blank">不過根據最新宣布</a>，這項功能將在2023年6月30日終止服務。微軟呼籲用戶不要將資料留在Money中，以免服務關閉後無法存取。已存在桌機或OneDrive中的Excel工作表內的資料則不受影響。</p> <p>作為替代，微軟建議用戶使用第三方工具Tiller。它支援5個自動更新工作表，可每日寄發帳戶餘額及交易的匯總郵件。微軟也提供60天免費試用帳號。</p> <p>此外，<a href="https://support.microsoft.com/en-us/office/excel-data-types-with-wolfram-end-of-support-faq-9ac0876c-b8cb-4c8e-bed6-207d0d675bfe" target="_blank">微軟也將終止Excel對Wolfram Alpha資料型態的支援</a>。為了讓Excel成為整合多種資料的終極決策工具，<a href="https://www.ithome.com.tw/news/140859" target="_blank">微軟是在2020年10月宣布</a>讓用戶加入自有及上百種類型的公共資料到Excel中，包括和知識型計算引擎Wolfram Alpha合作，可將化學式、文字記錄、郵遞區號、或基因資料等公共資料匯入Excel，以便可追蹤營養資訊、追蹤股價、學習化學等。</p> <p>微軟表示，未來將把重心放在和個人資料有關的資料類型，以及讓開發人員組織資料類型以連結其自有服務。對Wolfram Alpha的支援將到2023年6月11日止。屆時現有Excel工作表內的Wolfram Alpha資料不會被移除，但用戶無法再新增、更新Wolfram Alpha資料，此外以Wolfram Alpha資料類型設計的範本也都會移除。之後要下載資料則須以其他格式如XLS、XLSX、CSV 和TSV匯出下載。</p> <p>非Wolfram的資料類型則不受影響。</p> <p><a href="https://www.microsoft.com/en-us/us-partner-blog/2022/06/01/what-you-need-to-know-about-the-microsoft-cloud-partner-program/" target="_blank">微軟也宣布將終止合作夥伴利益（Partner Benefits）</a>，這是讓Microsoft 365用戶以點數兌換或以優惠價購買微軟合作夥伴某些產品的方案。本方案預計在明年6月30日終止。</p> </div></div></div>
2022/6/2 22:43作者林妍溱https://www.ithome.com.tw/news/151278
微軟發表600美元的Surface Laptop Go 2筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2022/06/01/introducing-surface-laptop-go-2/" target="_blank">微軟周三（6/1）發表了Surface Laptop Go 2</a>，這是微軟Surface筆電家族的入門款產品，起始價為599.99美元，即日起開放包括臺灣在內的特定市場預購，預計於6月7日出貨。</p> <p>微軟是在2020年發表第一代的Surface Laptop Go，但當時最低階的售價為549.99美元。Surface Laptop Go 2同樣採用12.4吋的觸控螢幕，搭載Windows 11 家用版與Intel Core i5處理器，重量為1,127公克，電池續航力長達13.5小時，有128GB及256GB兩種儲存容量可供選擇，具備USB-A、USB-C、3.5mm耳機插槽，以及1個Surface Connect連接埠。</p> <p>微軟企圖以更便宜的Surface Laptop Go與蘋果的MacBook Air競爭，宣稱就算鍵程比MacBook Air多出了30%，也不影響Surface Laptop Go 2一流的打字體驗，並具備大型的觸控板。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/43/2022/06/display-1024x959.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Surface Laptop Go 2打算用來吸引學生及上班族，以作為瀏覽網路、研究功課、處理工作或生活事務所需，除了提供銀白、灰綠、冰藍與砂岩等4種顏色之外，最特別的地方是加強了維修能力，允許使用者置換鍵盤、觸控板、螢幕與電池，以用來延長裝置的使用年限。</p> <p>臺灣則有包括<a href="https://24h.pchome.com.tw/store/DHAY69?_gl=1*1i39489*_ga*MjEyNTAyMjAzMy4xNjU0MTUzNjE2*_ga_9CE1X6J1FG*MTY1NDE1MzYxNi4xLjAuMTY1NDE1MzYxNi42MA.." target="_blank">PChome</a>與<a href="https://shopee.tw/microsoft_tw?shopCollection=155053366#product_list" target="_blank">蝦皮</a>等商場開放預購，128GB版本的售價為20,488元新臺幣，256GB版本為23,688元新臺幣。</p> </div></div></div>
2022/6/2 23:07作者陳曉莉https://www.ithome.com.tw/news/151279
【資安日報】2022年6月2日，研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elastics…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想要特別提及惡意外掛程式對於WordPress網站的威脅。有資安研究團隊近期發布報告指出，他們在長達8年的研究中，發現了超過4.7萬個惡意外掛程式，這些元件被部署於2.4萬個網站上，且大部分仍相當活躍。</p> <p>駭客針對不設防的資料庫發動攻擊的情況，最近再添一起事故。研究人員發現有人鎖定1,200個Elasticsearch資料庫下手，刪除內容並留下勒索訊息。</p> <p>這兩天有資安人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，類似可被濫用的Windows元件通訊協定漏洞再被揭露，這次是和Windows搜尋協定search-ms有關。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseatch資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/fresh-phish-phishers-take-advantage-of-telegraphs-loose-governance"><span style="color: rgb(0, 0, 0);">駭客濫用Telegram匿名部落格服務進行網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Telegraph-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telegraph-2.png" style="width: 300px; float: right;" /></a>駭客濫用Telegram服務進行攻擊行動的情況，不時有事故傳出，但近期有人也運用該公司旗下的匿名部落格服務Telegraph出手。郵件安全業者Inky指出，他們看到駭客今年大肆利用Telegraph來進行網路釣魚攻擊，根據該公司的資料，他們在2019年至2022年5月偵測到的攻擊行動，有9成出現在2022年。這些駭客可能來自多個組織，使用已被挾持的電子郵件帳號發送郵件，企圖進行加密貨幣詐騙，或是竊取對方的網路服務帳密。</p> <p>其中，在針對收信人的加密貨幣詐騙中，駭客聲稱已經竊得對方電子郵件帳號的密碼，並下載了所有信件，要求支付價值1,700美元的比特幣，換取資料不被外流，而這樣的狀況有多嚴重？根據研究人員的觀察與統計，駭客至少收到2,578.71美元贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/2 16:29作者周峻佑https://www.ithome.com.tw/news/151273
能力越大，責任越大
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運動時，偶爾在路上看到有人穿著T恤，上面寫著電影蜘蛛人的經典臺詞：「With great power comes great responsibility.（能力越大，責任越大）」，引起我注意的是，這兩句話當中，POWER的字體明顯大於其他字彙。</p> <p>而到網際網路搜尋繪有這些字樣的短袖上衣圖片時，的確可以看到很多款式的衣服都是這樣的呈現，可能因為這是對於超級英雄形象的仰慕，但是否也象徵人們對於「力量」、「能力」、「權力」的渴望，同時，也不免讓人聯想「責任」是否成為一種裝飾或是獲得更大能力的藉口，而讓人忽略扛起這個重擔所要付出的代價。</p> <p>以這樣的角度來看，肩負越來越多任務的IT人員，應該也要想想我們同時被賦予的權限與承擔的責任/信任，隨著資訊科技進步與普及，無形中似乎也越來越大。正如<a href="https://www.ithome.com.tw/article/151037" target="_blank">1078期封面故事《6年SRE老手為何仍大當機14天》</a>就是近期很顯著的例子，有775家企業用戶受到Atlassian四月大當機事件影響，總共花了兩週才全面恢復服務。</p> <p>而這期的封面故事《快啟用MFA！保護開發者帳號刻不容緩》也與此有關，我們呼籲所有應用程式開發者別小看自己的重要性，須注意使用的各式開發平臺與負責系統的帳號安全，盡可能導入多因素身分驗證、甚至是無密碼（passwordless）身分認證。無論你是籍籍無名的一般開發人員，或是橫掃各個應用程式開發領域的大神級人物，都需要具備這方面的防備意識，而不只是關注程式碼本身的安全性。</p> <p>事實上，當我們在開發軟體過程當中，經常會需要進到各個系統或平臺進行程式碼的撰寫、提交、測試、上線，也可能會用到許多別人寫好的應用程式套件（或自己開發出應用程式套件，與社群共享使用），在整個軟體供應鏈體系當中，每個程式人所經手或負責的部分，不只會影響軟體的開發速度、品質，當然也包含安全性，而且隨著軟體應用的無所不在，因為資安方面的不足造成的影響，也不再單純只是系統操作人員的不便，而可能連帶衝擊工作與生活相關活動。</p> <p>關於能力越大造成的風險，也讓人聯想到大家越來越不能接受所謂的「低級錯誤」。例如，<a href="https://www.ithome.com.tw/article/147160" target="_blank">去年9月，發生高中學習歷程檔案因人為疏失發生2萬5千筆資料遺失</a>，共有81校、7854名學生受到影響；今年3月，爆出公視片庫遭外包資訊廠商誤刪42萬筆新聞片；4月底華視新聞接連出現字幕誤植的事故，累計有8次之多。許多這類失誤可能都出於負責人員的不小心，再加上所屬單位的系統、資料備援，以及事故應變能力不足，而使得相關狀況無法在短時間內排除，也因為茲事體大，涉及學生未來生涯與公眾閱聽，而受到全臺灣民眾的譴責。</p> <p>所謂的責任，並不是嘴上講講而已，也不是擺在心裡製造壓力，最重要是在事前、事中、事後採取適當的處置。希望可以擁有更大的能力並不是錯，畢竟人非聖人、孰能無過，但確實地將責任承擔起來、善用自己被賦予的職權將事情辦好，更是關鍵。</p> <p>此外，眾志成城，遇到無法解決的問題，我們也要懂得如何找外援，事實上，這樣的協調與合作能力也很重要，因為我們目前在實體與虛擬環境所面對的快速變化，早已不是過去所能想像。以IT領域而言，很難有人能夠完全精通傳統至現代的技術堆疊架構，但這是企業、組織、個人所身處的常態，雲端服務、軟體定義的風潮，固然帶動了許多創新，有許多工作負載也正在進行遷移或轉型，然而，就算有人能夠持續跟上技術演進的腳步，勢必無法顧及既有IT、甚至是更古老卻仍無法汰換的IT應用，因此，處處是可以帶來重大改變的機會，但也都隱藏著難以管理的風險與可乘之機，實務上，又不能因噎廢食……</p> <p>身處職場，無論我們是基層工作者、中間協調者，或是高層負責監督與調度指揮者，不妨細細思量自己看待能力與責任的方式，以及其他合作夥伴、服務對象對於我們能力與責任的期待，審視這當中是否恰當，該如何調整，固然難以面面俱到，也難免會失手犯錯，但未來能否做好，我們須期勉自己若再次遇到同樣狀況，能化險為夷，而這有賴此刻之後的努力提升與改善，而隨著能力擴展與經驗累積，責任也可以更充分地承擔。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></strong></p> <p><a href="https://www.ithome.com.tw/article/151037" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1078-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1.jpg?itok=GJscKXJe" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/147160" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1046-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=hC_R-lYL" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%81%BA%E5%A4%B1">資料遺失</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E7%95%B6%E6%A9%9F">大當機</a></div><div class="field-item odd"><a href="/tags/mfa">MFA</a></div><div class="field-item even"><a href="/tags/%E5%B8%B3%E8%99%9F%E5%AE%89%E5%85%A8">帳號安全</a></div><div class="field-item odd"><a href="/tags/%E9%AB%98%E4%B8%AD%E5%AD%B8%E7%BF%92%E6%AD%B7%E7%A8%8B%E6%AA%94%E6%A1%88%E9%81%BA%E5%A4%B1">高中學習歷程檔案遺失</a></div><div class="field-item even"><a href="/tags/atlassian">Atlassian</a></div><div class="field-item odd"><a href="/tags/sre">SRE</a></div></div></div>
2022/6/2 15:59作者李宗翰https://www.ithome.com.tw/voice/151260
蘋果Safari成第2個用戶數突破10億的瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://atlasvpn.com/blog/apples-safari-browser-now-has-more-than-1-billion-users" target="_blank">一項數據顯示</a>，蘋果的Safari全球用戶數突破10億，是除了Chrome以外的第2個。</p> <p><a href="https://gs.statcounter.com/browser-market-share" target="_blank">VPN廠商Atlavpn引述市調業者GlobalStats數據</a>，截自2022年4月全球涵括桌機、手機等平臺的瀏覽器，蘋果的Safari以19.03%居所有主要瀏覽器的第2名，高於Edge的3.99%及Firefox的3.26%。</p> <p>換算成安裝數來看十分難得。Atlavpn指出，將近20%的跨平臺市占率讓Safari用戶數達到1,006,232,879，也成為Chrome以外唯一一個用戶數突破10億的瀏覽器。Chrome市占為64.91%，用戶數達33.8億。</p> <p>這家VPN業者指出，造就這些市占率結果的主要因素是可得性及安全。所謂可得性是指使用者安裝的容易與否。事實上，Chrome和Safari、Edge都是預設安裝在Android、iOS/Mac及Windows裝置中。</p> <p>在安全因素方面，Firefox的普及主要是拜一大堆安全功能之賜。這家業者還認為，Safari的成功還要歸功於它的安全性，像是智慧追蹤防禦（Intelligence Track Prevention）可防止跨網站追蹤。</p> <p>至於Google Chrome，這家業者提出第3項原因，稱之為「應用導向設計」，即透過免費服務如Gmail、YouTube、Google Maps、Google Drive帶動用戶下載安裝Chrome的意願。</p> <p>根據同一份調查，其他瀏覽器用戶數依序分別是Edge的2.2億、Firefox 1.8億。三星Samsung Internet 及Opera用戶數各為1.4億及1.1億。</p> </div></div></div>
2022/6/2 14:22作者林妍溱https://www.ithome.com.tw/news/151271
逾20名電腦專家呼籲美國議員抵制加密貨幣業者的遊說活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://concerned.tech/" target="_blank">有26名電腦科學家與學者本周連署呼籲</a>，美國參議員與眾議員應該要抵抗來自加密貨幣產業的遊說活動，以避免替這些未經證實的金融工具建立一個監控避風港。</p> <p>這26名專家散布在資料庫、開源碼、密碼學與金融科技應用等領域，也包括曾擔任微軟工程師的Bruce Schneier，以及Google Cloud首席工程師Kelsey Hightower。</p> <p>這群電腦專家指出，他們希望美國議員們對於宣稱加密資產是一項只有好處的創新科技的說法抱持著懷疑的態度，涵蓋加密貨幣、代幣或Web3，並督促他們抵擋來自相關產業遊說團體的壓力，拒絕替此一含有風險、缺陷且未經證實的數位金融工具建立一個安全避風港。</p> <p>專家們強調他們極不同意相關產業號稱這些技術代表積極的金融創新，還說從每個角度都適合用來解決美國人所面臨的金融問題。</p> <p>信中表示，並非所有的創新都是好的，也不是所有能建置的都應該要建置，科技歷史充滿了死胡同，以及錯誤的開始或轉彎，只能附加的數位分類帳本並非是個新創新，從1980年底就有人開始使用，只是當時功能較有限。</p> <p>此外，專家們也批評區塊鏈技術無法擁有交易逆轉機制，且大多數基於公共區塊鏈的金融產品都替金融隱私帶來了災難，儘管有少數新興的區塊鏈會強調隱私，只是它們卻成為洗錢者的天堂。為公眾服務的金融技術必須可減少詐欺，也應允許使用者逆轉交易，但這兩項區塊鏈都辦不到。</p> <p>總之，他們認為在經歷逾13年的開發之後，現有的區塊鏈技術仍有嚴重限制與設計漏洞，使得它並不適用於處理公共客戶資料或是受監管金融交易的應用，更無法改善現有的非區塊鏈解決方案；且區塊鏈與加密貨幣只帶來了極少的經濟用途，反而一直是個不健全且高度波動的投機投資，</p> <p>專家們認為，因區塊鏈及加密資產所衍生的災難並非為新興技術的成長之痛，而是非為目的而建置的技術所遭遇的必然結果，也將永遠不適合作為大規模經濟活動的基礎。</p> </div></div></div>
2022/6/2 14:42作者陳曉莉https://www.ithome.com.tw/news/151272
5G趨勢月報第31期：聯發科推出首款支援5G毫米波晶片，高通新旗艦級行動平臺登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>04/28~05/31精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>毫米波</b></span></font></p> <p><span style="font-size:22px;"><strong><span style="font-family: 新細明體, "serif"; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">聯發科首款</span><span style="background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;"><font face="Times New Roman, serif">5G</font></span><span style="font-family: 新細明體, "serif"; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">毫米波行動平臺亮相，Wi-Fi</span><span style="font-family: 新細明體, "serif"; background-image: initial; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial;">通訊晶片同臺登場</span></strong></span></p> <p>聯發科在今年Computex電腦展展示多項無線通訊產品，包括Wi-Fi 7通訊晶片，以及首款可支援5G毫米波的行動平臺天璣1050，將5G市場從Sub-6GHz擴大到mmWave毫米波頻段，支援現今全球5G全頻段，聯發科預告晶片將在下半年量產。</p> <p>作為聯發科首款5G毫米波行動平臺，天璣1050採用台積電6奈米製程，內建8核心CPU，包括2個Cortex-A78大核心，搭配Arm GPU Mali-G610。內建的5G數據機可支援Sub-6GHz與mmWave毫米波頻段，其中毫米波更支援4載波聚合以提高網速。</p> <p>在高速、低延遲的網路通訊趨勢下，聯發科也開始布局最新的Wi-Fi 7，在Computex展示兩款Wi-Fi 7晶片Filogic 880與380，其中Filogic 880主要用於無線路由器或閘道器，速度最快可達36Gbps，Filogic 380則用於筆電、手機、電視、平板等終端產品，速度最快可達6.5Gbps。聯發科預期搭載其Wi-Fi 7晶片的產品將在2023年上市。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>諾基亞</b></span></font></p> <p><span style="font-size:22px;"><strong>台灣大哥大與諾基亞強化合作，導入節能5G設備</strong></span></p> <p>迎合節能減碳的趨勢，台灣大哥大近期宣布和諾基亞強化雙方合作關係，以節能減排為5G設備採購的優先考量，引進諾基亞的5G節能設備，以實現該公司2040年100%使用再生能源的目標。</p> <p>相較於4G網路使用較低的無線頻段，有較高的網路覆蓋，5G因使用較高的無線頻率，容易受地形及建物所影響，因此需建設更密集的基地臺，因此使用節能設備，對電信營運商而言，能減少能源的使用，迎合全球淨零碳排的趨勢。</p> <p>台灣大哥大也採用優化網路技術，引進4G與5G動態頻譜共享技術，以利用該公司在700MHz與2100MHz頻段的價值。其他還包括5G SA獨立組網、邊緣雲平臺、VoNR（Voice over New Radio）等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Snapdragon</b></span></font></p> <p><span style="font-size:22px;"><strong>高通推出新一代旗艦及高階行動平臺</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snapdragon%208%2B%20Gen%201.jpg" style="width: 600px; height: 338px;" /></p> <p>繼聯發科之後，高通在高階手機市場也不落人後，該公司近期發表新一代旗艦及高階行動平臺，Snapdragon 8+Gen 1及Snapdragon 7 Gen 1。其中的Snapdragon 8+Gen 1採用Kryo CPU並提升Adreno GPU，宣稱效能提升10%，功耗降低30%，相機功能可支援8K HDR錄影，AI每瓦效能提升20%。高通預告將在第三季看到採用該平臺的商品。</p> <p>至於Snapdragon 7 Gen 1則將高階功能或技術帶到7系列，包括採用新的Adreno圖像運動引擎，在相同功耗下提供兩倍的幀率；相機支援4K HDR錄影，透過新的三重影像處理器，支援2億畫素拍攝，搭配AI引擎，高通表示，可支援300個面部特徵的深度學習臉部辨識，即使戴著口罩也能準確自動對焦，AI效能也提升30%。</p> <p>另外，該公司也發表新的延展實境Snapdragon XR 2平臺的無線AR智慧裝置參考設計，這款參考設計採用手機與AR裝置間的分工運算，強調手機與AR裝置間的延遲小於3毫秒；內建Fastconnect 6900系統及XR軟體套件，支援Wi-Fi 6/6E及藍牙，其設計外型變薄40%，雙眼顯示器提供每眼1920x1080。高通已開始提供參考設計給業者。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信與高通聯手測試5G毫米波4K雲端遊戲應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%94%B15G%E6%AF%AB%E7%B1%B3%E6%B3%A2%E9%A9%85%E5%8B%95%E7%9A%844K%E9%9B%B2%E7%AB%AF%E9%81%8A%E6%88%B2%EF%BC%8C%E7%82%BA%E6%89%8B%E9%81%8A%E7%8E%A9%E5%AE%B6%E5%AF%A6%E7%8F%BE%E9%A0%82%E7%B4%9A%E8%A1%8C%E5%8B%95%E9%81%8A%E6%88%B2%E9%AB%94%E9%A9%97.jpg" style="width: 600px; height: 400px;" /></p> <p>看好毫米波高速傳輸的特性，中華電信近期和高通聯手，以支援mmWave毫米波頻段的華碩5G手機，執行雲端遊戲開發商Gamestream的兩款4K畫質Hami遊戲，完成毫米波4K雲端遊戲應用測試。</p> <p>對於更高傳輸速度、低延遲的28GHz毫米波頻段，中華電信已取得600MHz頻寬，該公司指出，下載速度理論值可達到3Gbps，雙向延遲可達到5到6毫秒，適合高速傳輸的應用，例如AR/VR視訊直播、高畫質視訊及雲端遊戲。這次測試，展現 5G毫米波頻段對遊戲產業的應用潛力，並提供行動裝置用戶桌機等級的遊戲體驗。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NCC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>頻譜</b></span></font></p> <p><span style="font-size:22px;"><strong>NCC通過中華、遠傳、亞太三家電信業者頻率改配共用案，優化頻譜使用效益</strong></span></p> <p>NCC日前通過中華電信、遠傳電信、亞太電信三家業者頻率改配及共用申請案。亞太電信旗下的900MHz頻段（905-915 MHz與950-960 MHz）改配中華電信使用，使中華電信擁有更多900MHz連續頻寬資源，亞太電信共用中華電信2100MHz，使用其3G行動語音，在偏遠地區得以漫遊中華電信網路。</p> <p>另外，遠傳電信旗下的2600MHz將和亞太電信的700MHz頻段相互改配，兩家公司將於該頻段取得更多連續頻寬，得以提升頻譜使用、優化網路。</p> <p>三家電信業者也提出承諾，包括中華、遠傳電信規畫於2024年第2季關閉3G網路，且將建置2,700座基地臺，以提升訊號涵蓋。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>KDDI</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Beyond 5G</b></span></font></p> <p><span style="font-size:22px;"><strong>日本KDDI揭露Beyond 5G/6G網路技術研究，建構以用戶為中心的網路</strong></span></p> <p>隨著全球進入5G時代，不少業者已開始投入Beyond 5G或下一代的6G技術研究。日本KDDI最近揭露其部分研究成果，透過網路通訊技術，如何讓實體與虛擬更加融合，為人們帶來新的生活方式。</p> <p>在技術研究方面，KDDI正研究如何建構以用戶為中心的網路，具體實現此一目標的是，以用戶為中心的RAN，核心技術為Cell-Free massive MIMO，將大量的基地臺連結，成為專屬用戶的通訊機制，而由於無線訊號處理的大量增加，KDDI也研究IFOF（Intermediate Frequency over Fiber），以一條光纖承載更多無線電信號。</p> <p>其他研究中的技術包括用以提升涵蓋的超表面反射器，以及手機與穿戴裝置使用的天線協同通訊技術，以進一步提高上行通訊速度，還有利用100GHz以上頻率，實現終端間的高速大容量連接技術。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳電信推出只有登機箱大小的行動5G專網方案</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/onebox-1.jpg" style="width: 300px; height: 400px;" /></p> <p>企業架構5G專網有新選擇。遠傳電信與美超微電腦、樂達創意、英菲達、光寶科技等業者合作，展示一款外型只有登機箱大小，可隨插即用、快速部署的5G專網方案，這套方案整合上述業者的軟硬體設備，通過遠傳實驗室測試驗證，為企業建置5G專網的創新模式。</p> <p>這項5G專網方案包含小型5G核網、小型基地臺（RAN），以一站式One box方式，將專網所需的組件整合至登機箱大小的One Box中，搭配拉把及底部的輪子，如同旅行箱般拖著走，不同於固定地點建置的傳統專網，企業可視需要，彈性移動以建置5G專網。不過，目前遠傳並沒有進一步公布這項專網建置方案的內部組件，小型基地臺射頻功率等資訊。</p> <p>遠傳電信表示，透過此一新的專網建置商業模式，隨插即用，讓5G專網的部署更快速、便捷，除了企業用於場域的快速驗證，也可以成為實際部署專網的方案。</p> <p> </p> <p>圖片來源／遠傳電信、臺灣港務公司、仁寶、蘋果、Counterpoint</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.愛立信發布報告，揭5G網路切片的10大應用市場</strong></p> <p><strong>2.微軟與AT&T聯手，展示Azure邊緣運算結合5G的智慧交通應用</strong></p> <p><strong>3.中華電信5G應用大賽開跑，鎖定智慧巡檢、交通、製造、醫療等6大主題</strong></p> <p>資料來源：iThome整理，2022年5月</p> </div></div></div>
2022/6/2 15:05作者蘇文彬https://www.ithome.com.tw/news/151269
哥斯大黎加公衛部門遭Hive勒索軟體感染，疑為Conti餘孽所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/" target="_blank">Bleeping Computer </a>、<a href="https://therecord.media/costa-rican-social-security-fund-hit-with-ransomware-attack/" target="_blank">The Record</a>報導，4月間才遭Conti攻擊的哥斯大黎加政府本周又被Hive勒索軟體感染。</p> <p><a href="https://twitter.com/CCSSdeCostaRica/status/1531628189323251715" target="_blank">哥斯大黎加公衛單位社會安全基金（CCSS）周二公布安全事件</a>，表示目前已預防性關閉所有系統。他們正在進行調查，不確定何時可以恢復服務。<a href="https://www.facebook.com/watch/live/?ref=watch_permalink&v=7423661191037460" target="_blank">該單位向媒體表示</a>至少30臺伺服器遭Hive感染。</p> <p>社會安全基金是該國的公衛單位，負責提供民眾醫療健康服務。<a href="https://krebsonsecurity.com/2022/05/costa-rica-may-be-pawn-in-conti-ransomware-groups-bid-to-rebrand-evade-sanctions/" target="_blank">資安部落格KrebsonSecurity引述當地安全專家指出</a>，由於勒索軟體加密了CCSS的電子病歷及國家處方系統，醫學中心必須手動作業，欠缺設備的偏鄉及小型醫院更是被迫關閉服務。此外由於國家退休基金系統被完全中斷，也將無法及時支付數萬員工的薪水和退休員工的年金。</p> <p>這是這個中美洲國家<a href="https://www.ithome.com.tw/news/150993" target="_blank">自4月中遭Conti攻擊</a>後，最新一波勒索軟體安全事件。這波攻擊是來自勒索軟體Hive。Hive自2021年6月開始運作，鎖定醫療照護供應商，以及缺乏因應能力的中型組織，包括航空公司，硬體零售商、製造業者、法律事務所等。</p> <p>報導指出，Hive和前一波的Conti攻擊其實背後操作者是同黨。<a href="https://www.ithome.com.tw/news/151058" target="_blank">上個月底安全廠商發現Conti關閉基礎架構</a>，原因可能是俄國因侵略烏克蘭遭到國際制裁使關係密切的Conti難以為繼，Hive組織也幫忙Conti換新品牌繼續為害。BleepingComputer則說，部份Conti成員後來也加入了Hive。</p> <p>安全專家預期Hive可能會持續攻擊哥國其他政府單位。</p> <p>哥國政府5月初表示，Conti感染了20多個政府單位。Conti在關閉運作之前還將<a href="https://www.ithome.com.tw/news/150993" target="_blank">對哥國的贖金提高一倍</a>來到2千萬美元，並煽動反政府示威。</p> </div></div></div>
2022/6/2 13:12作者林妍溱https://www.ithome.com.tw/news/151268
鴻海墨西哥工廠傳遭LockBit 2.0勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞<a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory" target="_blank">SecurityWeek</a>及<a href="https://www.redpacketsecurity.com/lockbit-2-0-ransomware-victim-foxconnbc-com/" target="_blank">RedPacket Security </a>網站報導，鴻海集團位於美墨邊境的工廠遭到LockBit 2.0勒索軟體的攻擊。不過尚未獲得證實。</p> <p>Lockbit勒索軟體組織上周透過暗網宣稱，已加密鴻海位於美墨邊境，墨西哥提華納（Tijuana）市，作為物料集散及兩國貿易中心的鴻海工廠。駭客宣稱若未在當地時間6月11日晚上6:00取得贖款，將公佈所有取得的資料。</p> <p><a href="https://www.honhai.com/zh-tw/about/group-profile/key-milestones" target="_blank">這座工廠是鴻海收購自Sony 作為生產液晶電視的工廠</a>。</p> <p>不過這項消息尚未獲得鴻海的回應。</p> <p>若消息為真，將是鴻海近年第二次傳出勒索軟體攻擊。<a href="https://www.bleepingcomputer.com/news/security/foxconn-electronics-giant-hit-by-ransomware-34-million-ransom/" target="_blank">2020年12月鴻海在美國威斯康辛州的工廠遭到DoppelPaymer攻擊</a>，駭客也揭露了部份非機密文件。</p> <p>Lockbit自去年「改版」為LockBit 2.0後四處肆虐。<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/02/07/fbi-releases-indicators-compromise-associated-lockbit-20" target="_blank">今年2月FBI因LockBit 2.0的危險性太高，而公布感染指標</a>。<a href="https://www.ithome.com.tw/news/151207" target="_blank">上個月英國資安業者NCC Group公布</a>今年4月的勒索軟體威脅報告，單單1個月內LockBit 2.0受害者就有103家組織，是為害最烈的勒索軟體。</p> </div></div></div>
2022/6/2 13:33作者林妍溱https://www.ithome.com.tw/news/151270
Google將整合Duo與Meet視訊通話程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2022/06/google-duo-update.html" target="_blank">Google於6月1日宣布</a>，未來幾周將把所有的Google Meet功能加進Google Duo程式中，並在今年將Google Duo程式更名為Google Meet，讓Google Meet成為Google旗下單一的視訊通話品牌。</p> <p>Google Duo是Google在2016年發表的視訊行動程式，專門鎖定一般的使用者，而Google Meet的前身為Hangouts Meet，為2017年針對企業所提供的視訊通訊服務，在2020年更名為Google Meet，同年5月推出免費版並開放一般使用者存取。</p> <p class="rtecenter"><img alt="" src="https://www.gstatic.com/duo/desktop/images/Group-call-web.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>從這兩項程式的功能就可知道它們原本所設定的服務對象不同，除了基本的視訊通話之外，Google Duo具備塗鴉、面具及特效的視訊效果，而Google Meet則強調虛擬背景、即時字幕、自動光線調整與降噪功能，也嵌入了審核機制以確保視訊會議的安全性。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/QA.max-1000x1000.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>不過，現在Google決定把這兩項程式合而為一，未來幾周將陸續把Google Meet功能整合到Google Duo中，年底前則會將Google Duo直接更名為Google Meet，而且依舊可免費使用。</p> </div></div></div>
2022/6/2 12:54作者陳曉莉https://www.ithome.com.tw/news/151267
Cloud周報第145期：北醫大因應遠距教學改採混合新架構，不只打造更便利的數位教育環境，更要發展教育雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（05/26～06/01）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位教育 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 教育雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">北醫大 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>北醫大擬定上雲三階段目標，混合新架構、教育雲以及打造數位教育環境</strong></span></p> <p>近兩年，國內上雲的趨勢越來越明顯，不只企業、政府部門，更有不少學校或教育機構開始積極上雲，如臺北醫學大學就是其中之一。尤其，受疫情影響使得遠距教學成為常態，為了要打造更便利的數位教育環境，北醫大已經導入不少公雲服務，甚至還進一步發展到混合雲新架構。</p> <p>經過一段時間導入後，北醫大近來則是把這些公有雲服務搬遷到了Google Cloud公雲上，支援教務行政系統，以因應師生授課與學習及行政工作需求，還擬定北醫大上雲的三階段計畫，分別為重新設計混合雲架構、推出教育雲服務，以及打造數位教育環境。</p> <p>透過採用混合雲新架構，也為北醫大教學或行政相關系統運作獲得不少改善，以人資系統為例，過去系統需30微秒才能反應，現在縮短為原本的三分之一，又如招生報名系統與加退選系統等，從而提高系統運作效率，也提高流量尖峰時期的服務品質及減少後臺管理人員負荷。</p> <p>在遠距教學的情境下，北醫大也使用不少雲端服務來提高教學品質，如採用Google的升級教育版Workspace ，提供視訊教學、線上發放發批改功課等功能，另外，北醫大未來還將進一步結合Chromebook筆電打造智慧教室，實現多校區線上、線下混合學習模式，以及滿足單日多達600場線上會議（含小組討論、課程等）的需求。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端應用開發服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>微軟推出雲端開發箱新服務，讓開發團隊能使用遠端桌面連接到虛擬機來共同開發</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(4).png" style="width: 600px; height: 338px;" /></p> <p>微軟今年在Build 2022大會上還推出一個雲端開發環境新服務Microsoft Dev Box，透過該服務，開發者可以預先配置必要的開發環境、程式碼等作為虛擬機，讓開發團隊成員可以使用遠端桌面，或Web瀏覽器連接到虛擬機，來進行開發。</p> <p>取名為開發箱的Dev Box，就像一臺雲端上的PC，透過桌面虛擬化的虛擬機，來提供開發者所需的獨立開發環境，包括提供Windows上常見的IDE工具、SDK及各種內部開發工具等，並可用於開發桌面、行動、物聯網和遊戲等相關應用，也能適用於Linux的Windows子系統，構建跨平臺應用。</p> <p>由於Dev Box本身託管於公雲上，使用者可以在任何裝置上遠端操作它，包含Windows、MacOS、Android及iOS裝置，或是從Web瀏覽器來操作。</p> <p>在管理上，Dev Box也與雲端PC管理相近，利用Windows 365來與Intune和Endpoint Manager端點管理工具整合，確保統一管理、安全性和合規性。此外，IT管理者也能在Azure Active Directory中設定管理、登錄權限，建立自己用戶存取策略。</p> <p>Dev Box服務現階段已推出私人預覽版，幾個月後作為公開預覽版發布。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國航空 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">轉型上雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>美國航空全面擁抱公雲，要將內部航空關鍵應用搬上Azure加速轉型</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(3).png" style="width: 600px; height: 397px;" /></p> <p>美國主要航公司這兩年都積極上雲來實現轉型，除了達美航空、聯合航空，美國航空（American Airlines）也成為最新一家全面擁抱公雲的航空公司，該公司近日也宣布將擴大其公有雲的採用，希望透過上雲改善營運、提高效率及邁向永續發展目標。</p> <p>每天經手超過6千架次航班的美國航空，是美國規模最大航空公司，每天要載送旅客前往全球56個國家及地區一共350個目的地，疫情期間，美國航空也展開數位轉型之旅，將雲端作為轉型的主要關鍵技術。</p> <p>經過一段時間採用後，美國航空更決定將把內部應用程式和航空關鍵應用搬上雲，並以Azure作為主要公雲平臺。美國航空與微軟兩家公司原本就有長期合作，過去雙方曾合作開發名為ConnectMe的應用，通過Teams中支援Power Apps的應用，讓上千名第一線執勤人員可以使用行動裝置來進行協作。或是在德州DFW機場登機口門控決策上，也有結合其AI相關應用。</p> <p>在這個合作基礎上，雙方現在更進一步合作，美國航空計畫在未來幾年內將大量工作負載遷移到Azure，例如機場滑行決策等，改為在公雲環境中來提供，未來也要透過數據分析、數位化技術來優化客戶體驗和改善公司營運，如行李定位追蹤，或是能根據天氣自動調整航班路線，以及透過數位分身來模擬機場的營運，來提高效率等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據統一管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟公布全新雲端智慧數據平臺，將資料庫、分析、治理服務整合至單一平臺來管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964_Cloud%E5%91%A8%E5%A0%B1.png" style="width: 600px; height: 352px;" /></p> <p>在年度Build 2022開發者大會上，微軟宣布推出全新雲端智慧數據平臺Microsoft Intelligent Data Platform，它是一個完全整合資料庫、分析、治理的雲端數據平臺，可協助企業用於整合和管理所有的數據資產，用以解決資料整合和管理的麻煩。</p> <p>這個雲端數據平臺，主要整合了Azure現有雲端資料庫、分析工具及治理產品，其中數據方面就涵蓋了多產品，包含Azure雲端ETL服務、Azure資料總管、SQL Server 2022資料庫、Azure SQL、NoSQL資料庫Cosmos DB等，分析方面也整合如資料倉儲Synapse Analytics及分析工具Power BI產品，以及還整合了資料治理工具Purview，來提供統一資料控管、合規性功能。</p> <p>目前採用該平臺的企業，如KPMG，利用它來統一管理客戶稅務、法律及財務部門資料。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 調查報告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>調查：8成企業已採用混合雲，近半數有2到3個IaaS公雲</strong></span></p> <p>網通大廠思科近日<a href="https://www.cisco.com/c/en/us/solutions/hybrid-cloud/2022-trends.html">發布了2022年全球混合雲趨勢報告</a>，該報告委託451Research機構進行的調查，訪查13個國家及地區一共2,500名企業IT決策者部署混合雲的經驗。</p> <p>根據調查指出，82%受訪者已採用混合雲，而且47%的企業組織平均使用2∼3個IaaS公雲。該報告表示，混合雲和多雲已經成為企業採用雲端新常態，為了實現更安全、業務敏捷性和雲端服務存取需求，越來越多企業開始朝向多雲部署來發展。</p> <p>但多雲發展也帶來新挑戰，根據調查顯示，近4成（37%）認為安全問題是多雲部署一大挑戰，另有 35%的受訪者視增加營運複雜性為主要挑戰。多雲環境下的成本控管，也是企業另一個重要考量。該調查還發現，過去一年來，企業雲原生採用也加速，91%受訪者表示其組織計畫或已經使用雲原生重構應用程式技術。</p> <p>另外在雲端新興熱門技術採用上，前4項分別為AIOps (45%)、基礎設施自動化 (41%)、可組合基礎設施 (37%) 和邊緣運算 (41%)。</p> <p><strong>圖片來源／微軟Build 2022、Azure</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.IDC最新調查預測臺灣公雲市場規模，從2020年約263億元，到2025年將成長翻3倍，突破800億元</strong></strong></p> <p><strong><strong>2.回應歐洲雲端業者控訴，微軟變更歐洲產品授權政策以避開反托拉斯指控</strong></strong></p> <p><strong><strong>3.AWS展示採用Arm架構的新型Graviton3處理器實例，提供更強大且更省電的雲端實例</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/6/2 10:20作者余至浩https://www.ithome.com.tw/news/151235
【從彰化醫院趕工夜，看防疫政策頻頻變動的醫院IT考驗】科技抗疫背後的醫院IT新常態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「不好意思，我還在加班，我們可以晚點訪談嗎？」負責健保申報業務的部立彰化醫院醫務行政室主任黃冠凱在電話那頭說。晚上7點，彰化醫院的臨床醫護團隊、IT人員和申報人員等，忙著討論防疫流程圖與代碼分類的調整，才能盡快修改HIS系統，來因應最新一版的防疫就醫作業要求。</p> <p>這一晚忙碌趕工的景象，不是彰化醫院的特例，而是全臺大小醫院IT，新疫情局勢緊張後，經常面對的處境。防疫政策不斷更新，光是4、5月，部頒醫院作業指引就改了6版，醫院和IT團隊如臨大敵，每次調整都得盡快修改HIS系統，最短一次甚至只有2天因應時間。</p> <p>直到2小時後，黃冠凱才有時間，談起兩月來，疫情非常時期下的IT挑戰。</p> <p>健保卡和背後的健保雲端藥歷，是這波抗疫的重要資訊系統。舉凡檢驗、通報，或是視訊診療、兒童就醫綠色通道、開立口服抗病毒藥物、快篩陽性即確診等，都離不開它。這些指揮中心推陳出新的政策，盡其所能守住人民，但對醫院和IT團隊而言，頻繁更新的政策，卻是極大的考驗。</p> <p><span style="font-size:28px;"><strong>政策更新的IT作為：開發新程式、設定代碼套餐</strong></span></p> <p>因為，每項政策出臺，醫院不只要重新設計或調整就醫流程，還得根據新政策頒布的醫療代碼和健保上傳格式，來修改系統、開發新程式。如此，醫院才能合規申報，健保雲端藥歷效益也才能發揮效益，讓醫院用最新資訊提供病人照護。但對規模較大的醫院來說，有足夠IT人力來開發程式，對規模較小的醫院來說，不只要應付流程調整，還得花更多時間與委外廠商溝通，彰化醫院就是其中之一。</p> <p>黃冠凱回憶，4月底以來，國內疫情越來越緊張，醫院收到「健保署為因應COVID-19之調整作為（醫事機構版本）」指引和其他公文的次數，也越來越頻繁。比如，4月26日收到第11版指引，4月29日第12版，3天後又是另一個版本。而目前最新的第15版，與上一版只間隔2天，「我們的反應時間必須越來越快，」他說。</p> <p>這份30多頁的「健保署為因應COVID-19之調整作為（醫事機構版本）」指引，是健保署發布的重要政策，也是健保署受疾管署代辦代付之託，用來與醫療院所溝通的橋樑。該指引每一個版本，都根據指揮中心的最新疫情策略，來調整醫事機構防疫作為，像是視訊診療就醫流程、適用對象，以及更細緻的費用申報、資料上傳格式等。</p> <p>比如，5月13日發布的第15版，就針對指揮中心當天的新政策，提供新代碼和流程說明，像是符合口服抗病毒藥物的確診者親友，可持健保卡代為看診評估，醫師若判斷適合、開立處方箋，就得輸入支付代碼「E5208C」來記錄。</p> <p>另一個例子是，PCR核酸檢驗類的上傳資料格式。醫院上傳檢驗資料時，得按以下格式，在24小時內上傳才行：</p> <p><strong>1. 資料格式（A01）</strong>：2. 異常上傳</p> <p><strong>2. 就診日期時間（A17）</strong>：檢驗報告結果日期</p> <p><strong>3. 就醫序號（A18）</strong>：CV19；無健保身分：FORE</p> <p><strong>4. 補卡註記（A19）</strong>：2</p> <p><strong>5. 就醫類別（A23）</strong>：CA</p> <p><strong>6. 實際就醫日期（A54）</strong>：篩檢日期</p> <p><strong>7. 醫令類別（A72）</strong>：G</p> <p><strong>8. 診療項目代號（A73）</strong>：核酸檢測陽性：PCRP-COVID19、核酸檢測陰性：PCRN-COVID19</p> <p>這些格式對醫院系統非常重要，上傳的格式一但出錯，申報遭健保署退件，醫院就無法申請點數，得自行負擔費用。為了避免錯誤，許多醫院會加派更多人手，來檢查上傳資料是否正確。</p> <p>但在這波疫情下，甚至連這類上傳資料格式，也會隨時變動。比如，為配合指揮中心的新政策，也就是「自5月26日起，民眾居家快篩陽性，經醫事人員確認即確診」，疾管署在5月24日修訂「醫療院所通報COVID-19 個案作業方式」，新增居家快篩陽性代號：HSTP-COVID19，來區分醫院原本的抗原快篩檢驗代碼。</p> <p>這些代碼，是用來記錄一系列醫療行為的代號，從患者身分、看診方式、各種病症，再到醫療處置、申報類型和藥品開立等，都有各自的代碼。</p> <p>因為代碼種類繁多，醫師看診時，得根據病人狀況一一輸入。就診人數一多，醫師更容易因忙碌而輸入錯誤，導致後續申報出問題。</p> <p>為解決這個問題，醫院中負責健保申報的醫務行政室與資訊室，就會根據特定族群、病症和藥品，設計專屬套餐代碼，讓醫師一鍵就能帶入醫令碼、診斷碼、藥品碼等代碼，省下查找時間，或是人為輸入錯誤的風險。</p> <p>在這次一系列的防疫診療中，多數醫院採取代碼套餐來加速看診流程。但隨著這些代碼新增和變動，意味著醫院得隨時修改系統、撰寫新程式、設計新代碼套餐來因應，黃冠凱透露，醫院團隊與委外廠商，幾乎每天都密集討論。</p> <p><span style="font-size:28px;"><strong>根據指引公文規畫遠距診療流程，整合專用代碼</strong></span></p> <p>而防疫遠距診療流程，可說是集流程規畫、代碼套餐設計與快速因應中央政策變化的典型例子。黃冠凱指出，彰化醫院臨床醫護團隊、IT人員和申報人員，就根據「健保署為因應COVID-19之調整作為（醫事機構版本）」和其他公文，把關於遠距診療、防疫門診等硬邦邦的說明文字，先轉為簡單易懂的流程圖，並配上相對應的代碼。</p> <p>比如，在5月20日版本的遠距診療流程圖中，他們將患者先分為3大類，也就是隔離中確診病患、居家快篩陽性視訊確診患者，以及解隔離確診病患或其他非確診病患。面對這3類患者，醫師就得先輸入相對應的診斷碼和醫令碼，像是以「NND000」醫令碼來代表前2類病患。</p> <p>接下來是更詳細的分類。首先是隔離中的確診病患，去年，健保署放寬視訊診療適用範圍，讓居家隔離的確診患者，也能透過視訊或電話方式看診。在這個指令下，醫院將視訊診療途徑分為兩種，一是接收當地衛生所派案，另一則是民眾自行掛號看診。</p> <p>就彰化醫院所在地來說，彰化縣衛生局會以Excel表格來分派視訊診療案件，接到案件後，彰化醫院會先請看診患者加入醫院Line官方帳號，並由個案管理師關懷、詢問概況，再由醫師視訊診療。此時又可分為兩種情況，一種是首次接受彰化醫院視訊診療關懷的民眾，另一種則是非首次。</p> <p>若民眾首次接受關懷，醫師看診時，會根據患者健保資料，將患者分為一般風險與高風險（如癌症、糖尿病、心血管疾病、65歲以上與12歲以下等民眾）。醫師診療視情況，可能開立健保藥物或不開藥。針對高風險患者，則開立口服抗病毒藥物。</p> <p>對於非首次關懷的民眾，醫師則可開立健保藥物或口服抗病毒藥物。若是自行到醫院網站掛視訊診療門診的民眾，醫師也採取相同處置方式。</p> <p>雖然上述醫療行為的結果，都可歸類為開立健保藥物、開立口服抗病毒藥物，以及無開立藥物這3種，但對於不同身份、不同就診方式的民眾，還得用專屬代碼來表示。</p> <p>比如，接受首次關懷、一般風險且開立健保藥物的居家隔離確診民眾，就得以NND000+E5200C+E5201C+ E5204C的代碼組合來表示。而非首次關懷、開立健保藥物或抗病毒藥物的隔離中確診民眾，就適用NND000+E5204C的代碼組合。這類組合，也是醫院發展出的代碼套餐，讓醫師一鍵帶入正確的代碼。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>COVID-19遠距診療流程</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1080-%E5%B0%88%E9%A1%8C-2P-600-1-BIG.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1139,height=600'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1080-%E5%B0%88%E9%A1%8C-2P-600-1.png" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>醫院依指揮中心政策及健保署醫事機構防疫指引，動態規畫相對應的就醫流程。但國內疫情快速變化，政策與指引頻繁更新，醫院也得快速修正、調整，這個指引在5月13日已發布到第15個版本，後續也有其他公文告知流程變更。每次改版，醫院都需要HIS系統搭配修改才行，但光是4、5月，已經有6次改版，頻繁改版，更讓醫院IT部門必須不斷更新HIS系統來配合。圖為5月20日的版本，仍持續改版中。</strong>資料來源：健保署，iThome整理，2022年5月</span></p> <p><span style="font-size:28px;"><strong>5月連日新增居家快篩陽性診療流程</strong></span></p> <p>再來，第2大類居家快篩陽性民眾視訊診療，則是配合今年5月12日和5月18日上路的防疫政策，醫院得在短時間內規畫就醫流程、修改HIS程式，特別是5月16日宣布的65歲以上居家快篩陽性政策，醫院只有1天準備，隔日（18日）就得上路。</p> <p>這2個政策的用意是，不只讓居家隔離中的密切接觸者、自主防疫與居家檢疫者，在居家期間使用家用快篩陽性時，可透過遠距診療來確認、領藥外，也讓65歲以上居家快篩陽性的民眾，能透過視訊診療來確認或領藥。</p> <p>於是，彰化醫院依規定，將患者進一步分為2類，一類是65歲以上非居家隔離、非居家檢疫、非自主防疫的民眾，另一類則是單純的居家隔離、居家檢疫和自主防疫民眾。</p> <p>就65歲以上民眾來說，居家快篩陽性時，可透過視訊診療，由醫師判定。若取得共識、視為確診，會視情況開立健保藥物或口服抗病毒藥物。若無共識，民眾得至篩檢站做PCR檢驗。</p> <p>一般居家隔離、居家檢疫、自主防疫民眾的診療流程，也與65歲以上民眾相仿。彰化醫院會先透過健保雲端藥歷，輸入患者身份證字號，來查詢相關就醫資料，以及藥物交互作用等資訊，來輔助了解病況。</p> <p>接著，醫病若取得共識，醫師有可能因病況輕微、不開藥，也可能針對症狀顯著者，開立健保藥物或口服抗病毒藥物。對於無共識的民眾，一樣得至篩檢站進行PCR檢驗。</p> <p>以上就是居家快篩陽性的遠距診療處置方式，一樣有開立健保藥物或口服抗病毒藥物、至篩檢站做PCR、未開藥等3種結果，但不同身份的民眾，仍有各自的代碼組合。比如，65歲以上快篩陽性確診、經醫師診斷且開立藥物的民眾，就會以U07.1+NND000（確診日期）+E5209C（篩檢日期）+E5204C的代碼組合來表示，若是一般居家隔離、檢疫、自主防疫民眾，經由醫師開藥者，則需要NND000+E5204C+E5207C代碼來表示。</p> <p>至於其他解隔離確診病患或非確診病患，可以視訊診療或電話診療來問診，兩者相對應的主要醫令代碼，就會是COVI991和COVI992。</p> <p><strong><span style="color:#3399ff;"><span style="font-size:36px;">COVID-19遠距診療流程主要醫令碼</span></span></strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1080-%E5%B0%88%E9%A1%8C-2P-600-2-BIG(1).png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=832,height=613'); return false;"><strong><span style="color:#3399ff;"><span style="font-size:36px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1080-%E5%B0%88%E9%A1%8C-2P-600-2.png" style="width: 600px;" /></span></span></strong></a></p> <p><span style="color:#696969;"><strong>醫生看診時要在醫令系統上輸入，一系列醫令代碼，作為這次看診處置的依據，有些甚至與申報健保費用相關。醫院規畫診療流程圖時，也會將每個醫療行為所對應的醫令代碼，整合至圖中，方便醫師理解、選填，避免填錯代碼而遭到健保署退件。每次調整遠距診療規定，健保署也會修訂相關的代碼，但也代表醫院必須盡快更新到系統中，才能協助醫生正確選填。此圖為5月20日更新後的遠距診療主要醫令碼版本，但後續仍持續更新中。</strong>資料來源：健保署，iThome整理，2022年5月</span></p> <p><span style="font-size:28px;"><strong>動員全院因應疫情政策變化</strong></span></p> <p>不過，「這些流程和醫令代碼是到今天（5月20日）為止的最新版本，」黃冠凱受訪時說。一如他所預期，在受訪後幾天，光是遠距診療流程，又面臨了多次修改需求，像是5月26日實施居家快篩陽性即確診，就診規則與代碼套餐得手動更新，他們將原本「65歲以上」的條件移除，直接歸類為非居家隔離、非居家檢疫和非自主防疫的民眾，並將代碼組合更正為NND000（確診日期）+E5209C（自身篩檢日期）+E5204C+COVI991。</p> <p>這段期間內，還有許多更細緻的條件更改。比如，原本5月初公布的遠距診療藥品開立以10日內為限，後來於5月31日修正為7日內。這些細微的變動，也牽動整體醫療流程的運作。</p> <p>而醫院實體防疫門診流程與代碼組合，也是如此，比如，「指揮中心宣布兒童就醫綠色通道政策，醫院當天就得規畫動線、環境布置，安排就醫流程、開發相關程式，」黃冠凱表示，實體門急診流程涉及的調整範圍，還包括動線規畫、人流指引，更為廣泛。</p> <p>也因此，疫情間，彰化醫院動員全院，設置3個小組來因應各種變化。這些小組包括掌握疫情動態的疫調小組，負責環境清潔、資源備援、IT與行政支援的後勤小組，以及整合臨床流程（如抗病毒藥物流程設計）的整合小組，除了在每周例行的防疫會議中協作支援，平時也依據政策變化，來進行分工調整。</p> <p>黃冠凱總結：「指揮中心一公布新政策，醫院行政面與IT面就得動起來，一是動線規畫、人流引導，讓就醫流程更順暢，另一是設計代碼套餐、開發程式，讓資料都能符合規定上傳通報。」</p> <p><span style="font-size:28px;"><strong>醫院IT共同心聲：防疫政策與健保配套措施同步</strong></span></p> <p>然而，真正讓醫院IT和申報團隊感到棘手的，並不全是頻繁更新的政策，而是政策出臺的時間，與相關配套措施的推出存在時間差。</p> <p>比如，指揮中心宣布新醫療政策時，負責代辦代付的健保署能同步發布相關配套措施，如資料上傳格式，醫療機構就更能快速依循，立即開發新程式來上傳資料。這也是眾多醫院想對政府許的願，期盼中央政策與配套措施，能同步出爐，一起抗疫。</p> </div></div></div>
2022/6/2 10:47作者王若樸https://www.ithome.com.tw/news/151259
Meta營運長Sheryl Sandberg將下臺並離開公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta營運長及第二把交椅<a href="https://www.facebook.com/sheryl/posts/10166258399565177" target="_blank">Sheryl Sandberg昨（1）日宣布</a>她將在今年秋天下臺並離開公司。</p> <p>而Meta執行長祖克柏（Mark Zuckerberg）<a href="https://www.facebook.com/zuck/posts/10114502961535621" target="_blank">證實這項消息</a>。Sandberg的職位將由現任跨公司產品及基礎架構部門副總裁Javier Olivan繼任。</p> <p>Sandberg是在2008年加入公司。她說，14年後，現在是她開啟人生下一篇章的時候了。未來她將把重心放在以她和已故丈夫Dave Goldberg為名的基金會以及慈善事業，也將和前柯林頓幕僚及前NBC新聞製作人Tom Bernthal結婚。</p> <p>祖克柏除了對Sandberg表達謝意外，也表示Meta是時候需要所有產品和業務事業群更緊密合作，不應讓組織功能和產品分別運行。</p> <p>Sandberg在加入Meta前身臉書之前是希拉蕊團隊的幕僚。2008年當時23歲的祖克柏延攬大她15歲的Sandberg，擔任公司公共事務及廣告主管，實際主導許多公司重要策略。口才便給及形象清新、能力出眾的她不但輔助年輕的臉書成為數十億美元的超大型網路公司，也成為臉書對外的頭號發言人。2013年的《挺身而進Lean-in》將Sandberg人氣推向高峰。</p> <p>但是2017年後多起重大疏失也讓她在公司內地位大跌，而漸漸退居幕後。包括2016年俄羅斯以臉書廣告介入總統選舉、<a href="https://www.ithome.com.tw/news/121879" target="_blank">2018年春天的劍橋分析</a>（Cambridge Analytica）8,700萬用戶個資外洩、以及2021年春天華盛頓國會山莊暴動事件，Sandberg被指監督嚴重失職。</p> <p>此外，媒體報導她也涉入聘請數家公關公司，對包括Google、<a href="https://www.cnbc.com/2018/11/16/facebooks-sheryl-sandberg-responds-to-new-york-times-investigation.html" target="_blank">蘋果</a>，以及<a href="https://www.nytimes.com/2018/11/29/technology/george-soros-facebook-sheryl-sandberg.html" target="_blank">投資家索羅斯</a>（George Soros）發動負面新聞攻擊。</p> <p>最近一次則是<a href="https://www.wsj.com/articles/sandberg-facebook-kotick-activision-blizzard-daily-mail-11650549074" target="_blank">今年華爾街日報一則</a>她曾試圖向《每日郵報》施壓以撤下前男友動視暴雪（Activision Blizzard）Bobby Kotick在公司助長性騷擾及性別歧視文化的報導。</p> <p>在Sandberg離職之前，臉書管理階層已經準備就緒。Javier Olivan接任營運長一職後將主管整合廣告及業務產品，管理基礎架構、分析、行銷及公司發展及成長團隊。祖克柏表示他的角色為更傾向「傳統」營運長的角色。</p> <p>其他新的管理人事包括全球事務總裁Nick Clegg、法務長Jennifer Newstead。業務長Marne Levine將向Olivan報告使廣告及業務平臺產品事業群和Meta事業群合作更密切。而產品長Chris Cox下的Justin Osofsky則負責打造一個訓練AI推薦系統，以便為臉書和Instagram用戶推薦個人化內容。</p> </div></div></div>
2022/6/2 11:00作者林妍溱https://www.ithome.com.tw/news/151262
OpenSea前主管因涉及內線交易及洗錢被起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/former-employee-nft-marketplace-charged-first-ever-digital-asset-insider-trading-scheme" target="_blank">美國紐約州南區檢察官本周起訴了</a>曾擔任OpenSea產品經理的Nathaniel Chastain，指控他在OpenSea任職時，利用職務存取機密資訊之便，事先購買了之後會被推廣的非同質化代幣（NFT），涉及電信詐欺及洗錢。Chastain也在本周三（6/1）遭到逮捕。</p> <p>根據檢察官辦公室與聯邦調查局（FBI）的調查，現年31歲的Chastain在去年6月至9月間，因職務而得知OpenSea即將於首頁推廣的NFT產品，因此在NFT上線前就私下購買了數十個，以便於正式上線時進行銷售，售價至少是其原先購買價格的2到5倍，以替自己牟利。</p> <p>為了隱藏自己的行為，Chastain是以匿名的OpenSea帳號，以及匿名的加密貨幣錢包進行交易。不管是電信詐欺或洗錢，最高刑罰都是20年的牢獄。</p> <p>OpenSea現為全球最大的NFT市集，現階段該平臺所陳列的NFT產品已超過4,000萬個，今年1月該公司的市值達到133億美元。其實去年OpenSea內部有人內線交易的傳聞便甚囂塵上，<a href="https://opensea.io/blog/announcements/employee-information-use-at-opensea/" target="_blank">促使OpenSea展開調查並於9月公布結果</a>，當時OpenSea表示已要求這名涉嫌內部交易的員工自行請辭，雖未指明道姓，但應該就是Chastain。</p> <p>此事發生後，OpenSea亦明文規定員工都不得購買或出售於首頁上推廣的NFT產品，也禁止利用機密資訊於OpenSea或其它NFT市集進行NFT產品的交易，堪稱是Chastain條款。</p> </div></div></div>
2022/6/2 11:14作者陳曉莉https://www.ithome.com.tw/news/151264
馬斯克揭露Starlink 2.0衛星細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX執行長馬斯克（Elon Musk）周二（5/31）藉由YouTube節目《Everyday Astronaut》<a href="https://www.youtube.com/watch?v=XP5k3ZzPf_0&t=568s" target="_blank">公開了Starlink 2.0衛星細節</a>，指出雖然Starlink 2.0比起前一代重了5倍，但其效能幾乎比Starlink 1.0多了一個數量級。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0601-elon%20musk%20photo%20by%20Everyday%20Astronaut%20on%20YouTube.png" style="width: 500px;" /></p> <p><a href="http://www.youtube.com/watch?v=XP5k3ZzPf_0&t=568s" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Everyday Astronaut on YouTube</span></span></a></p> <p>SpaceX去年8月就向美國聯邦通訊委員會（FCC）<a href="https://fcc.report/IBFS/SAT-AMD-20210818-00105/12943361" target="_blank">提出Starlink 2.0計畫</a>，指出雖然最初的Starlink 1.0已對衛星系統提供了前所未有的容量，但市場對頻寬的需求有增無減，使得SpaceX投入了大量的資源來研發更有效的方法來最佳化，並以Starlink 2.0來彌補Starlink 1.0衛星星座。</p> <p>此外，SpaceX也計畫利用新的運載火箭Starship更快速有效地將衛星送至軌道，加上上節的再利用能力，可增加發射頻率；Starship亦允許SpaceX傳送新一代能力更強的衛星，並以既有的Falcon 9運載火箭作為輔助。未來Starship可望全面取代Falcon 9。</p> <p>Starlink 2.0長7米，重約1,250公斤，是Starlink 1.0（250公斤）的5倍重，馬斯克說，增加的重量也代表每個衛星的處理能力提高了，有效的傳輸容量比前一代多了一個數量級。此外，當初SpaceX提交給FCC的文件雖說要以Falcon 9來補充其發射能力，但本周馬斯克表示，用來發射Starlink 1.0的Falcon 9並不足以承載Starlink 2.0，就算縮小Starlink 2.0設計也不行，因此將仰賴正在研發的Starship。</p> <p>迄今SpaceX已發射約2,400顆Starlink衛星，而FCC所核准的Starlink衛星數量為1.2萬顆，但SpaceX的目標是在低軌上部署4.2萬顆衛星。</p> <p>不過，<a href="https://www.scribd.com/document/557924666/NTIA-NASA-NSF-letter-to-FCC-regarding-Starlink-Gen-2" target="_blank">美國太空總署（NASA）今年2月曾上書FCC</a>，指出Starlink 2.0與過多的衛星可能會引發更多的碰撞事件，同時影響NASA的科學與航太任務，提醒FCC應謹慎考慮Starlink 2.0的部署。</p> <p>此外，中國最近有一份名為《星鏈計畫發展現狀與對抗思考》的<a href="https://www.ithome.com.tw/news/151158" target="_blank">論文指出</a>，衛星數量龐大的Starlink星座若被用來支援美國的軍事用途，可能會對中國的國家安全帶來威脅，文中除了建議強化中國的衛星資源以外，還說應發展各種反制手法，包括破壞特定衛星以讓衛星失去能力。</p> </div></div></div>
2022/6/1 22:54作者陳曉莉https://www.ithome.com.tw/news/151258
【資安日報】2022年6月1日，逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Foll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們才在昨天的資安新聞裡，報導<a href="https://www.ithome.com.tw/news/151224#CVE-2022-30190">引起許多資安人員關注的Office漏洞CVE-2022-30190</a>。今天就傳出攻擊行動，其中一起很可能是中國駭客鎖定西藏使用者而來。</p> <p>駭客組織攻擊社會福利組織的情況，也值得留意。英國近期傳出有食物銀行因為遭到網路釣魚攻擊，銀行帳戶的金錢險些遭到洗劫。使得資安業者特別提出警告，呼籲要留意這種假借疫情的網路釣魚手法。</p> <p>大量MySQL伺服器曝露於網際網路的現象相當值得關注。有研究人員發現全球至少有360萬臺伺服器直接連接網際網路，並能透過預設連接埠存取。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/1 18:36作者周峻佑https://www.ithome.com.tw/news/151257
壽險公會保險存摺正式上線，讓保戶可一站查詢所有人身投保資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在保險科技運用共享平臺的基礎下，壽險公會今天（6/1）正式推出保險存摺，保戶只要完成註冊，登入保險存摺就能一站式瀏覽所有人身投保資料，申請投保紀錄，擺脫紙本保單保存不易的問題。此外，今年11月還可透過保險存摺進行線上理賠申請。</p> <p>金管會推動保險科技，2019年推動壽險公會建置保險科技運用共享平臺，以共享平臺為基礎，以發展各種保險科技運用，例如2020年推動的保全／理賠聯盟鏈一站式服務，同一年12月再推電子保單認證與存證機制，由壽險公會擔任第三方認證機構，運用區塊鏈、數位簽章、時戳等技術，建置電子保單認證與存證平臺，當日後發生爭議，民眾可向第三方機構取得電子保單資料。</p> <p>此次壽險公會與產險公會，聯合22家壽險與14家產險，以及中華電信、台灣網路認證公司，在保險科技運用共享平臺上推出保險存摺服務，強調民眾可以隨時隨地的一站式查詢保險資料。</p> <p>民眾可到壽險公會官網的保險存摺專區，免費註冊會員，並選擇以三種方式完成身分驗證：自然人憑證、強化版MID行動身分識別、金融卡，如果民眾是以手機進入保險存摺專區，則可使用強化版行動身分識別進行線上身分驗證。需注意的是，使用行動身分識別，需使用民眾本人申請的手機門號，一個身分證字號只能註冊一個保險存摺帳號。</p> <p>保戶只要完成註冊，登入保險存摺之後，便可總覽以本人為要保人或被保險人的所有人身保險投保狀況，包括各家壽險公司上傳，或提供人身保險相關產品的產險公司上傳的投保資料。</p> <p><strong>登入保險存摺後，可以總覽個人所有投保資料，包括以本人為要保人與被保人的投保情形，包括保單總數、有效及兩年內失效的保單，不同險種的比例，點選下方的商品名稱，可進一步進入不同產品的主附約頁面：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_50_43.jpg" style="width: 600px; height: 308px;" /></p> <p><strong>我的保單中的詳細保單資料：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_56_14.jpg" style="width: 600px; height: 326px;" /></p> <p><strong>如該筆保單已完成電子保單認證與存證，點選標籤可進一步查看詳細的存證資訊：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-06-01%20%E4%B8%8B%E5%8D%885_59_09.jpg" style="width: 600px; height: 313px;" /></p> <p>民眾還可選擇每年100元年費升級為白金會員，在1年內不限次數查看所有保單資訊（包含保險公司名稱、險種分類、保單險種、商品名稱、保單號碼、契約生效日期、保額以及保單是否有效、要/被保險人資料），並且可下載投保紀錄PDF檔，還有即將在11月推出的保險理賠線上申請，查詢保險理賠聯盟鏈／保險理賠醫起通案件進度等等。目前保險存摺為Web版，壽險公會將在11月推出App，搭配保險業身分驗證中心串接，讓白金會員可以Face ID或指紋辨識登入。</p> <p>一般會員若不想成為白金會員，但想要下載電子保單PDF檔，也可選擇每次付費350元下載檔案。</p> <p>在金管會推動金融科技的政策藍圖中，保險科技主要推動純網保公司，以及保險存摺服務，除了壽險公會扮演電子保單驗證與存證的第三方機構，整合各業者保戶的壽險投保資料推出保險存摺，財產保險則交由財團法人保險事業發展中心（保發中心）推出保險存摺服務，可一站式總覽各種產險投保情形。</p> </div></div></div>
2022/6/1 18:56作者蘇文彬https://www.ithome.com.tw/news/151256
研究發現有360萬臺MySQL伺服器曝露於公開網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/" target="_blank">非營利的安全組織Shadowserver Foundation近日送出連結請求</a>，以掃描網路上基於3306/TCP傳輸埠的MySQL伺服器，發現有360萬臺MySQL伺服器以伺服器問候語（Server Greeting）回應，代表它們曝露於潛在的攻擊風險中。</p> <p>MySQL為一開源的關聯性資料庫管理系統，雖然經常連結遠端的網路服務或應用，但通常僅限特定裝置的連結，就算有時會曝露於公開網路上，也應變更其預設的3306傳輸埠，同時密切監控所有的查詢並執行加密。</p> <p>然而，當Shadowserver送出MySQL連結查詢時，卻有230萬臺採用IPv4位址，以及130萬臺基於IPv6位址的MySQL伺服器回傳了伺服器問候語，包含了加密（TLS）與未加密的回應。</p> <p>這些曝露於公開網路上並允許存取的IPv4 MySQL伺服器中，有74萬臺位於美國，近30萬臺位於中國，21萬臺位於波蘭，以及17.5萬臺位於德國（如下圖所示）。公開的IPv6 MySQL則有46萬臺位於美國、近30萬臺位於荷蘭、22萬臺位於新加坡，以及德國的17萬臺。</p> <p class="rtecenter"><a href="https://www.shadowserver.org/wp-content/uploads/2022/05/2022-05-26-mysql-accessible-worldmap-IPv4.png" target="_blank"><img alt="" src="https://www.shadowserver.org/wp-content/uploads/2022/05/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 600px;" /></a></p> <p><a href="http://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Shadowserver</span></span></a></p> <p>Shadowserver並未執行任何侵入性的檢查，因此並不了解這些資料庫可被存取的程度，只是提醒MySQL伺服器所有人應更加謹慎。</p> </div></div></div>
2022/6/1 16:27作者陳曉莉https://www.ithome.com.tw/news/151245
中國可能計畫2025年以前打造10座Exascale超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的Frontier成為全球最快、以及第1座效能真正達到Exascale的系統，暫時在超級電腦競賽上領先。不過美國大概不能掉以輕心。因為<a href="https://www.ft.com/content/9ec4c04c-d71d-4d54-87fe-eef4ff92ddc9" target="_blank">英國《金融時報》報導</a>，中國可能計畫在2025年打造10座Exascale等級的超級電腦。</p> <p>美中相繼推進在超級電腦的競爭，目前的目標是發展運算效能超越每秒1 Exaflops，即Exascale等級系統。<a href="https://www.ithome.com.tw/news/151216" target="_blank">周一公布的2022年上半世界五百大超級電腦名單</a>中，美國橡樹嶺國家實驗室領先運算機構（OLCF）採用HPE Cray架構、搭載AMD EPYC處理器的超級電腦Frontier，以每秒1.102 Exaflops的運算效能擠下日本理化學研究所（RIKEN）的Fugaku，成為第一座展現出Exascale能力的超級電腦，也讓美國再度奪回超級電腦龍頭。</p> <p>Frontier目前還在開發中，預計今年底進行測試，2023年初才會開放學界及產業研究人員使用。</p> <p>但《金融時報》引述一份由亞洲科技資訊計畫（Asian Technology Information Program）主任David Kahaner的研究報告，顯示中國不但已經有Exascale超級電腦，中國還計畫2025年之前研發10座此類超級運算系統。</p> <p><a href="https://www.nextplatform.com/2021/10/26/china-has-already-reached-exascale-on-two-separate-systems/" target="_blank">去年The Next Platform首先報導</a>，中國已經有2臺Exascale超級電腦，但<a href="https://www.datacenterdynamics.com/en/news/china-may-be-planning-10-exascale-supercomputers-by-2025/" target="_blank">Kahaner提供進一步資訊</a>。它們分別是超級電腦神威太湖之光及天河2號的新一代。前者神威海洋之光（Sunway OceanLight）運算峰值1.3 exaflops，持續運算效能1.05 exaflops，天河三號（Tianhe-3）運算峰值1.7 exaflops，持續運算效能1.3 exaflops。</p> <p>美國除了Frontier外，還有2座Exascale超級電腦正在開發中。一座為<a href="https://en.wikipedia.org/wiki/Aurora_(supercomputer)" target="_blank">阿貢國家實驗室的Aurora</a>，運算速度最高達每秒2 exaflops，採用HPE Cray系統及Intel Xeon處理器與GPU，預計2022年問世。另一是<a href="https://www.amd.com/zh-hant/press-releases/2020-03-04-next-generation-amd-epyc-cpus-and-radeon-instinct-gpus-enable-el-capitan" target="_blank">採用HPE Cray系統配合AMD 處理器的El Capitan</a>，安裝於勞倫斯利佛摩國家實驗室，運算峰值同為每秒2 exaflops，預計2023年正式上線。</p> </div></div></div>
2022/6/1 15:57作者林妍溱https://www.ithome.com.tw/news/151244
美國最高法院封鎖德州社交法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院在本周批准了來自科技產業的緊急請求，阻止德州實施於去年通過的Bill 20法案，此一法案將限制社交網站審核內容的能力。</p> <p>Bill 20法案主要用來避免德州居民受到社交媒體過度的言論審查，倘若居民認為自己的權益被侵犯，還可控告社交媒體，德州州長Greg Abbott在去年9月簽署了該法案，原本預計於去年12月2日上線。</p> <p>但代表眾多科技業者的網路貿易推動組織NetChoice與美國計算機與通信工業協會（Computer and Communications Industry Association，CCIA）很快就提出了告訴，宣稱Bill 20違反《美國憲法第一修正案》，地方法院在去年11月支持NetChoice與CCIA的說法，上訴法院在今年5月則決定放行Bill 20，使得NetChoice及CCIA向最高法院聲請了緊急動議（Emergency Stay），以推翻上訴法院的決定，結果最高法院在周二（5/31）以5比4的票數阻止了該法案。</p> <p>最高法院的9名法官並沒有為自己的投票作太多的說明，但其癥結點在於社交媒體應否受到《美國憲法第一修正案》的保護，擁有編輯自由裁量權。</p> <p>在遭到最高法院駁回之後，此案將發還下級法院重新審理。</p> <p>佛州在去年5月所通過的Senate Bill 7072法案不僅內容與Bill 20相近，同樣也受到NetChoice及CCIA的控訴，但不管是地方法院或上訴法院都認為社交媒體應受到《美國憲法第一修正案》的保護，<a href="https://www.ithome.com.tw/news/151096" target="_blank">已阻止了Senate Bill 7072的實施</a>。</p> </div></div></div>
2022/6/1 14:41作者陳曉莉https://www.ithome.com.tw/news/151243
微軟說明在AWS、Google Cloud上執行Windows、Office會比較貴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日調整合約以便在第三方雲端上執行Windows、Office等產品的價格可以便宜一點，但是僅限Amazon Web Service（AWS）和Google Cloud以外的業者。</p> <p><a href="https://www.techtarget.com/searchenterprisedesktop/news/252520735/Microsoft-wont-lower-software-costs-on-AWS-Google-clouds" target="_blank">Techtarget報導</a>，因應歐盟對Azure的反壟斷調查，微軟上周表示將放鬆對第三方雲端業者的合約，以便這些雲端業者提供的微軟產品如Windows、Office、Windows Server和SQL Server，不會比在Azure貴到令企業客戶卻步。</p> <p><a href="https://www.ithome.com.tw/news/150265" target="_blank">路透社4月報導</a>，3月中歐洲雲端服務業者包括德國的NextCloud、法國的OVH，及另二家雲端業者向歐盟執委會控告微軟Azure雲端業務排擠競爭者，其中手段之一是迫使其同意以較高價格販售微軟產品。這也讓歐盟啟動調查，調查重點包括微軟和雲端服務供應商的授權合約，能否允許對手有效競爭、以及微軟對雲端服務業者的商業合約條件，和Azure自己經銷微軟雲端服務的條件及授權費用是否有差別待遇。</p> <p>微軟上周表示願意放鬆某些和雲端業者的合約條款，以免於歐盟制裁。但是本周稍早微軟對媒體澄清，政策調整並不適用於微軟最大競爭對手，因為新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」。</p> <p>報導指出，微軟並未說明調整細節，也不願透露調整後的政策何時生效。</p> <p>不過要微軟調降雲端產品價格恐怕不容易。根據微軟最近一季財報，Azure與其它雲端服務營收比去年同期成長了46%，是所有業務中成長最快的。</p> <p>另一方面微軟也想擴大Azure的市占率。透過壓低自家雲端平臺上必要產品的價格，將可強化Azure在企業市場的競爭力。<a href="https://www.canalys.com/newsroom/global-cloud-services-Q1-2022" target="_blank">根據市場研究機構Canalys Group的數據</a>，第1季AWS 市占33%，遠高於Azure的21%，Google Cloud則為8%。</p> </div></div></div>
2022/6/1 13:57作者林妍溱https://www.ithome.com.tw/news/151242
說服共同客戶改安裝自家軟體，IBM判賠16億美元予BMC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專替IBM等主機系統打造商用軟體的BMC Software，在2017年控告IBM不遵守彼此的約定，說服共同客戶AT&T從BMC軟體改用IBM軟體，<a href="https://storage.courtlistener.com/recap/gov.uscourts.txsd.1444305/gov.uscourts.txsd.1444305.757.0_1.pdf" target="_blank">美國地方法院法官Gray Miller在本周裁決BMC勝訴</a>，要求IBM必須賠償16億美元。而IBM則對外透露將提出上訴。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.txsd.1444305/gov.uscourts.txsd.1444305.1.0.pdf" target="_blank">根據BMC Software當初的訴狀</a>，AT&T在這幾十年來都使用IBM的大型主機，以及BMC替主機所開發的軟體，但AT&T於2007年將大型主機的經營外包給IBM，意謂著IBM必須取得存取BMC軟體的授權，為了避免IBM因此而了解BMC軟體於主機上的執行機密並提升其競爭優勢，IBM與BMC簽署了一紙合約，同意不用自己的產品來替換BMC的軟體。</p> <p>然而，BMC在2017年發現IBM建議AT&T改用IBM軟體，包括提供低於市價的支援服務，而且承諾將承擔從BMC轉換成IBM軟體所產生的成本，促使BMC提出訴訟，控告IBM違反雙方合約、詐欺與誘導、盜用商業機密，以及採用不正當的競爭手法。</p> <p>法官Miller採納了BMC的說法，因此要求IBM要賠償16億美元以彌補BMC的損失。不過，IBM認為這是缺乏事實根據的判決，強調是AT&T是因自己的理由才改用IBM軟體的，已經決定要提出上訴。</p> </div></div></div>
2022/6/1 12:39作者陳曉莉https://www.ithome.com.tw/news/151241