iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

近期LockBit 2.0危害全球加劇，全球1到4月超過300名受害者，近期臺廠也傳接連遇害
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_lockbit_2.0wei_xie_da_zeng_2022.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期LockBit 2.0在全球攻擊事件不斷，4月即傳出有100多間企業組織遇害，最近，臺灣上市大廠也傳出遭此勒索軟體攻擊的事件，根據資安新聞SecurityWeek及RedPacket Security網站報導，鴻海集團位於美墨邊境的工廠遭到LockBit 2.0勒索軟體的攻擊，6月2日鴻海對此發布聲明，證實旗下墨西哥有一廠區在5月底遭駭。</p> <p>發動本次網路攻擊的元兇：Lockbit勒索軟體，自去年改版為LockBit 2.0捲土重來後，在2022年上半危害明顯加劇，全球企業組織均大受影響。</p> <p>在今年2月，FBI就因LockBit 2.0的危險性大增，發出警示，並彙整入侵指標（IoC）等技術細節供組織因應。</p> <p>近期亦有資安業者報告指出，LockBit 2.0是近期最橫行的勒索軟體，單月受害者就破百。例如，<a href="https://www.trendmicro.com/vinfo/us/security/news/ransomware-by-the-numbers/lockbit-conti-and-blackcat-lead-pack-amid-rise-in-active-raas-and-extortion-groups-ransomware-in-q1-2022">趨勢科技公布今年第一季勒索軟體狀況</a>，指出成功攻擊次數最多的前三大勒索軟體都是基於RaaS模式，分別是LockBit（占35.8%），Conti（占19%）、以及BlackCat（占9.6%），其中LockBit第一季受害組織達220名；而英國資安業者<a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500">NCC Group公布勒索軟體威脅報告</a>，指出今年4月，共有288次勒索軟體攻擊事件，其中有46%發生在北美，33%出現在歐洲，而以勒索軟體族群來看，Lockbit 2.0的受害者達103名最多，居次的是Conti勒索軟體，受害者有45名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022Q1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></p> <h3><strong>國內亦有LockBit 2.0受害者，鴻海墨西哥廠5月遇害</strong></h3> <p>對於LockBit 2.0近期的威脅態勢，儘管該勒索軟體組織的常見攻擊目標，主要針對美國、印度、印尼、烏克蘭與多個歐洲國家，但國內同樣必須留意。</p> <p>因為，最近國內上市大廠鴻海位於墨西哥的工廠，就遭遇LockBit 2.0攻擊，這項消息最早是在5月31日傳出，根據RedPacket Security揭露的資訊指出，他們在LockBit 2.0 Onion Dark Web Tor的網頁上，看到鴻海集團可能成為新受害者。而在稍早5月14日，RedPacket Security還揭露另一起事件，是國內中強光電及子公司奧圖碼科技，可能成受害者。</p> <p>以最近鴻海這起事件來看，該組織透過暗網宣稱，已對鴻海位於美墨邊境的工廠進行檔案加密攻擊，該廠坐落於墨西哥提華納（Tijuana）市。對方揚言：若未在當地時間6月11日晚上六點取得贖款，將公布所有取得的資料。</p> <p>而從網路上的公開資訊來看，我們可以約略知道該廠的業務性質。在2009年，鴻海買下Sony位於墨西哥蒂華納（Tijuana）的Baja California廠，當時作為生產液晶電視的工廠，而根據SecurityWeek報導指出，該廠現是當地物料集散及兩國貿易中心</p> <p>對於5月底遭到網路攻擊事件，我們在6月2日取得鴻海的回應。該公司表示，在墨西哥有一個廠區於五月底遭受網路勒索病毒攻擊，集團資安團隊已陸續進行軟體安全更新。</p> <p>關於受到影響的狀況嚴重度，他們表示，本次受攻擊廠區目前正逐漸恢復正常中，預計可由後續產能調整來因應衝擊，因此，對集團的整體營運影響不大。同時，關於此次資安事件的相關資訊，他們也在第一時間，就與員工、客戶、供應鏈夥伴進行溝通說明。</p> <p>回顧過去，這已是鴻海近年第二次傳出勒索軟體攻擊。在2020年12月，鴻海的美洲廠區遭到DoppelPaymer攻擊，駭客揭露了部分非機密文件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/奧圖碼Lockbit 2_0_圖片擷取自RedPacket Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%A7%E5%9C%96%E7%A2%BCLockbit%202_0_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AARedPacket%20Security.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/鴻海Lockbit 2_0_圖片擷取自RedPacket Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%B4%BB%E6%B5%B7Lockbit%202_0_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AARedPacket%20Security.jpg" style="width: 295px;" /></a><br /> </p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>FBI於今年2月針對LockBit 2.0勒索軟體威脅示警，並提供IoC供外界自行比對檢查，並說明緩解措施</strong></span><a href="https://www.ic3.gov/Media/News/2022/220204.pdf">（連結）</a></h3> <p><span style="color:#0099ff;"><strong><a href="https://www.ic3.gov/Media/News/2022/220204.pdf"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_152452.jpg" style="width: 600px;" /></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/lockbit-20">LockBit 2.0</a></div><div class="field-item odd"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A">勒索軟體攻擊</a></div><div class="field-item even"><a href="/tags/2022%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2">2022資安威脅態勢</a></div></div></div>
2022/6/9 16:01作者羅正漢https://www.ithome.com.tw/tech/151368
微軟HoloLens部門傳改組，分別併入Windows及Teams團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當科技產業掀起元宇宙熱潮，最早跨入VR/AR的微軟HoloLens部門卻傳改組。<a href="https://www.geekwire.com/2022/hololens-leader-alex-kipman-to-leave-microsoft-in-reorg-of-mixed-reality-group-after-report-on-toxic-behavior/" target="_blank">Geekwire報導</a>，HoloLens部門將一分為二，分別併入Windows裝置及Teams部門。</p> <p>報導指出，微軟雲端及AI事業群主管Scott Guthrie本周稍早發布內部信件公布此事，將開發HoloLens的混合實境硬體單位依軟、硬體切分，硬體併入由Panos Panay主管的Windows與裝置事業群，而混合實境臨場與協同部門則整合到Jeff Teper的「體驗與裝置」事業群下的Teams部門中。</p> <p>新的改組將從微軟新會計年度開始正式運行。在這次改組中，另一為人矚目的是微軟技術院士，有HoloLens之父的Alex Kipman將離開公司。<a href="https://www.dailymail.co.uk/news/article-10858893/Microsoft-exec-accused-watching-VR-pillow-fight-porn-office-meeting.html" target="_blank">根據報導</a>，Kipman除了不合群難以合作外，還涉及公司多起性騷擾事件，5月間他在女性員工面前以VR裝置觀看不當影片成為他去職的導火線。</p> <p>這次改組也定調未來HoloLens發展策略。HoloLens雖然一開始主打消費應用，但第2代起逐漸調整為企業應用，包括發展醫療手術、製造維修、教學等。去年初微軟發表Microsoft Azure上的混合實境（Mixed Reality，MR）平臺Microsoft Mesh，讓用戶可透過VR/MR頭戴式裝置或一般視訊執行混合實境的虛擬會議、遠端協助、學習或聚會等應用。下半年微軟又公布Mesh for Teams，實現VR/AR為基礎的團隊協同應用。<a href="https://www.zdnet.com/article/hololens-chief-kipman-is-out-so-whats-next-for-microsofts-metaverse-strategy/" target="_blank">ZDnet分析</a>這也說明了何以HoloLens會被併入Teams團隊。Guthrie說明，透過整合Teams及HoloLens，將能強化推動微軟元宇宙協同願景。</p> <p>除了公布新人事外，Guthrie也說明HoloLens目前主要成果，包括<a href="https://www.ithome.com.tw/news/127380" target="_blank">2018年</a>及<a href="https://www.ithome.com.tw/news/143585" target="_blank">2021年</a>美國國防部採購10萬臺微軟HoloLens發展作為軍事訓練用的整合視覺擴增系統（Integrated Visual Augmentation System，IVAS）合約，已經進入操作測試階段。此外微軟和Accenture合作在世界經濟論壇提供HoloLens 讓與會者在元宇宙共商重要議題。</p> </div></div></div>
2022/6/9 14:54作者林妍溱https://www.ithome.com.tw/news/151356
AI周報第191期：如何加速技術落地？Meta重整組織把AI研發納入產品部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0527～0602)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 組織重整 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 去中心化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI大風吹，重整組織要讓新技術更快落地</strong></span></p> <p>Meta旗下AI研究院大風吹，Meta CTO Andrew Bosworth指出，採用集中化的作業方式，只會讓下游任務團隊更難實現目標。因此，為進一步將組織結構去中心化、快速擴展新AI技術，Meta把AI研究院內部的團隊，如AI平臺、AI產品、AI4AR等團隊，重新分配到Meta的產品部門，來把AI技術落實到產品上。而這些原本負責技術研發的團隊，會改名為AI創新中心。</p> <p>更細緻的組織調整，包括將AI技術研究團隊FAIR整合至元宇宙部門的現實實驗室，重新定調為基礎AI研究，而AI產品團隊，則會整合至產品工程團隊，至於AI4AR團隊，則納入現實實驗室的XR團隊。最後，Meta還會成立一個跨職能的AI團隊，來評估整個公司的AI進展。<a href="https://ai.facebook.com/blog/building-with-ai-across-all-of-meta/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Codeball </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Pull Request </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新AI</strong></span><strong style="font-size: 22px;">審查工具自動核准GitHub PR，誤報率不到1%</strong></p> <p>最近GitHub上出現一款新工具Codeball，可自動核准GitHub上的開源專案修改請求（Pull Request），而且誤報率不到1%。PR是指，當有人想貢獻一己之力、修改開源專案時，發送給原作者的請求通知，作者得人工看過、同意才行。</p> <p>為自動化這個過程，幾位開發者開發了Codeball核准工具。該工具採用了一套深度學習模型，經百萬個公開和私人貢獻訓練而成。在模型的輸入層中，模型採納數百個輸入值，並有2層隱藏層，最後有個輸出層來評估RP核准的機率。每個PR雖有數百個特徵，但可歸類為基本值、衍生值和類別變數等3大類。其中，基本值是指PR的詮釋資料，像是可能新增或移除的行數，而衍生值是指PR相關的數據，如檔案最近更新的天數。類別變數則是指，PR衍生而來的分類，像是檔案型別的分類。</p> <p>後來，開發者用非訓練資料來測試Codeball，發現準確率高達99%以上。也有開發者在<a href="https://news.ycombinator.com/item?id=31533180">Ycombinator論壇上表示</a>，Codeball準確率為99%、召回率25%，有些開發者認為這是個好工具，但也有人擔心它會影響程式碼審查的文化，把不好的程式碼帶入程式碼庫中。<a href="https://codeball.ai/">（詳全文）</a></p> <p><img alt="" src="https://www.marktechpost.com/wp-content/uploads/2022/06/Screen-Shot-2022-06-03-at-9.25.04-AM-1024x696.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>比DALL-E 2更逼真！Google揭露最新文生圖AI系統</strong></span></p> <p>Google Brain發表最新文生圖AI系統Imagen，可根據使用者的文字輸入，產出寫實的圖像，比如在撒哈拉沙漠、戴著草帽和霓虹太陽眼鏡的小仙人掌。與其他主流圖像生成演算法相比，如VQ-GAN、LDM和DALL-E 2等，受試者皆認為Imagen產生的圖像更真實，也更符合輸入的文字描述。</p> <p>Imagen以大型Transformer語言模型為基礎，因為，研究員發現，用純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上表現非常好。也就是說，增加Imagen中語言模型的大小，就可提高樣本真實度和圖像文字描述的一致性，比單純增加文生圖的擴散模型大小還有效。就效能來說，Imagen雖沒利用COCO資料集來訓練，但獲得了目前最低的7.27 FID分數（越低越好）。不過，Google暫不對外開放Imagen。<a href="https://imagen.research.google/">（詳全文）</a></p> <p><img alt="" src="https://imagen.research.google/main_gallery_images/cactus.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> oneDNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Keras </span></strong></span></p> <p><span style="font-size:22px;"><strong>TensorFlow 2.9版釋出，主打oneDNN函式庫強化</strong></span></p> <p>機器學習開源平臺TensorFlow 2.8版釋出才短短三個月，5月下旬就又釋出2.9版，主打函式庫oneDNN的強化、新DTensor API，以及Keras優化器API的新實驗版本。進一步來說，oneDNN是用來改善英特爾CPU效能的函式庫，在TensorFlow 2.5版時首次出現，並陸續優化。在最新的2.9版中，oneDNN優化會在Linux x86上預設為開啟，遇到具神經網路硬體功能的CPU，也會預設開啟。</p> <p>至於DTensor，則是一款用於分散式模型處理的新TensorFlow API，可讓模型無縫從資料平行化遷移到單程式多資料（SPMD）的模型平行化。該API的特點是與裝置無關，使用者可在CPI、GPU或TPU上使用相同的模型程式碼。此外，DTensor也允許多使用者執行。最後，2.9版還釋出一個新的Keras優化器API，可讓開發者更容易客製化和擴充優化器。<a href="https://blog.tensorflow.org/2022/05/whats-new-in-tensorflow-29.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料工程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line臺灣Data Dev團隊徵2類資料工程好手</strong></span></p> <p>Line臺灣日前在<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">徵才日</a>中，揭露多項服務發展藍圖和AI職缺，以主力開發內部AI應用和服務維運的Data Dev團隊來說，他們將團隊成員分為4類，包括資料科學家、ML工程師、資料工程師，以及CLOVA產品工程師。其中，資料科學家負責資料驅動決策，比如，廣告團隊發現分眾模型標籤不準，資料科學家就要找出問題，像是團隊過去可能使用其他區域的標籤，套用到臺灣區域。</p> <p>此時，就需要ML工程師來找尋新的訓練資料，或是開發新演算法來訓練新模型。如果資料量大，就需要資料工程師，來進行資料處理的流程優化。訓練完分眾模型後，資料科學家還得制定模型成功通過的標準，並設定AB測試。如果需要模型定期更新，就需要資料工程師來制定定期的優化策略，也就是MLOps相關工作。最後，如果要做客製化應用系統，就需要CLOVA產品工程師，來協助進行系統開發。這次，Line臺灣要尋找的是，有經驗的ML工程師和CLOVA產品工程師，來挖掘更多資料價值。<a href="https://engineering.linecorp.com/zh-hant/blog/line-dev-recruitment-day-2022/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_41_49%20PM(1).png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GRIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI2釋出專門評估電腦視覺模型的基準測試GRIT</strong></span></p> <p>基準測試（Benchmark）是用來衡量AI模型的重要工具，可提供量化結果，來比較不同模型的表現。最近，知名AI研究機構AI2發表一款更強健的電腦視覺基準測試GRIT，能以7項任務，來完整評估電腦視覺模型的能力。</p> <p>這7項任務包括物件分類、物件定位、參考表達基礎、視覺問答、分割、人體關鍵點偵測和表面法向量估算。GRIT可用來評估3個面向，包括通用視覺模型、強健專業模型和高效學習。另外，GRIT也提供受限與不受限制的類別，在受限制的測試中，GRIT將訓練資料限制在一組特定但豐富的資料源中，使模型研究聚焦在更科學的比較上，來鼓勵研究人員開發有效的學習方法，而非追求大量訓練資料的大模型範式。<a href="https://allenai.org/project/grit/home">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-09%20at%201_49_11%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deepfake </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Colab </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepFaceLab </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google AI服務禁止了Deepfake的影片訓練</strong></span></p> <p>據外媒報導指出，Google提供AI模型訓練的服務Colab禁止使用者用來製作Deepfake影片。進一步來說，Deepfake影片製作網站DeepFaceLab用戶發現，在Colab上執行DeepFaceLab程式時，會觸發警告，告知用戶執行不被允許的程式碼，並可能限縮用戶未來使用Colab的權限。不過，其他較小的Deepfake網站用戶，則尚未接獲類似警告。<a href="https://www.bleepingcomputer.com/news/google/google-quietly-bans-deepfake-training-projects-on-colab/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta聯手微軟，要繼續擴大Azure AI專案</strong></span></p> <p>微軟在自家Build 2022大會上，與Meta聯合宣布，將繼續擴大Azure雲端部署AI應用。這是雙方繼去年聯手後，又一次擴大應用，Meta今年將繼續讓AI部門使用專屬Azure叢集，來執行大規模AI研究任務。這個叢集採用了NDm A100 v4 系列虛擬機器，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每個VM之間GPU對GPU頻寬，號稱是其他公有雲業者的4倍，可用於分散式AI訓練。</p> <p>不只給自家AI團隊使用，Meta也將擴大PyTorch on Azure服務，為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟也將打造新的PyTorch開發加速器，讓用戶更容易在Azure上部署PyTorch框架。<a href="https://azure.microsoft.com/en-us/blog/meta-selects-azure-as-strategic-cloud-provider-to-advance-ai-innovation-and-deepen-pytorch-collaboration/">（詳全文）</a></p> <p>圖片來源／Codeball、Google Brain、AI2、Line臺灣</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 專家呼籲國際社會應該創立AI專利制度</strong></p> <p><strong>2. AI開源公司Hugging Face也新添Endpoints on Azure服務</strong></p> <p><strong>3. 特斯拉AI日延期至9月，馬斯克推文暗示人形機器人將出場</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/9 15:01作者王若樸https://www.ithome.com.tw/news/151357
微軟刪去美國員工的競業禁止條款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/08/microsoft-announces-four-new-employee-workforce-initiatives/" target="_blank">微軟周三（6/8）公布了4項新的員工勞動力計畫</a>，期許可強化與員工之間的關係並改善職場文件，包括賦予員工流動性，營造安全的工作空間，提高薪酬的透明度，也會展開民權審計以促進員工的多元化，當中最受矚目的就是微軟將刪去美國員工的競業禁止條款，且即日起生效。</p> <p>負責微軟人力資源的企業副總裁Amy Pannoni表示，微軟相信所有的員工都應該在自己喜愛的公司與工作崗位上任職，微軟努力留住全球一流的人力並建立吸引這些人才的企業文化，儘管現有的員工都簽署了競業禁止條款，但微軟並不喜歡利用這些條款來留住人才，由於執行次數不多，再加上有些人才對相關條款有所疑慮，使得微軟決定要移除美國員工協議中的競業禁止條款，也不會在美國強制執行現有的競業禁止條款，且即日起生效。</p> <p>不過，此一在美國取消競業禁止條款的規定，並不適用於微軟大多數的高階主管，包括Partners與Executives級別。</p> <p>取消競業禁止條款代表微軟的美國員工離職後可自由到其它企業上班，就算對方是微軟的競爭對手。儘管如此，微軟仍然不忘了強調，所有員工依然必須遵守該公司的商業準則或其它責任，以保護微軟的機密資訊。</p> <p>另一項值得關注的是，微軟也宣布在美國與員工的和解及離職協議中，不會再含有禁止員工披露他們所認為的非法歧視、騷擾、報復、性侵犯或違反工資與工時等事項的保密文字。</p> <p>此外，為了保障同工同酬，幾年前微軟就不再向求職者詢問他們過去的薪水，本周微軟也進一步宣布，最慢自明年1月開始，就會公開揭露微軟在美國市場的內部與外部職缺的薪資範圍。</p> </div></div></div>
2022/6/9 15:03作者陳曉莉https://www.ithome.com.tw/news/151358
美國公布中國駭客攻擊電信業者所開採的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）、網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）與聯邦調查局（FBI），<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-158a" target="_blank">在本周發布名為《中國駭客攻擊網路供應商與裝置》（People’s Republic of China State-Sponsored Cyber Actors Exploit Network Providers and Devices）的網路安全通報（Cybersecurity Advisory，CSA）</a>，揭露由中國政府支持的駭客利用哪些已知的漏洞，企圖攻擊電信業者與網路服務供應商。</p> <p>通報中指出，中國駭客經常利用安全漏洞來危害尚未修補的網路裝置，像是路由器或NAS裝置，再將它們作為額外的存取點以引導命令暨控制流量，並充當執行其它網路入侵的中繼站，這些網路裝置過去幾年來所出現的重大漏洞讓駭客有機可趁，此外，這些網路裝置也經常受到防禦者的忽視，忘了定期更新相關的漏洞。</p> <p>NSA、CISA與FBI也發現，由中國政府支持的駭客從2020年以來就大規模地開採已知漏洞，由於鎖定的是已知漏洞，從坊間就可找到攻擊程式，不必使用可能會被辨識出的獨特工具，這些駭客也利用多種手法來混淆視聽以避免被追蹤，再利用所危害或租賃的伺服器，來代管命令暨控制伺服器或與受害者的網路互動。</p> <p>上述的美國機構並未揭露遭到中國駭客鎖定的業者名單，僅公布了駭客為了攻擊這些電信業者或網路服務供應商所開採的已知漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E6%9C%80%E5%B8%B8%E9%96%8B%E6%8E%A1%E7%9A%84%E7%B6%B2%E8%B7%AF%E8%A8%AD%E5%82%99%E6%BC%8F%E6%B4%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8.png" style="width: 539px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國安局</span></span></p> <p>這些漏洞現身的時間從2018年到2021年不等，顯示其實最基本的修補工作就能預防駭客入侵，它們涵蓋位於思科設備上的CVE-2018-0171、CVE-2019-15271與CVE-2019-1652；位於QNAP設備上的CVE-2019-7192、CVE-2019-7193、CVE-2019-7194與CVE-2019-7195；Pulse設備上的CVE-2019-11510與CVE-2021-22893漏洞；以及Citrix的CVE-2019-19781；DrayTek的CVE-2020-8515；D-Link的CVE-2019-16920；Fortinet的CVE-2018-13382；MikroTik的CVE-2018-14847；Netgear的CVE-2017-6862，以及Zyxel的CVE-2020-29583。</p> <p>針對這些已知漏洞的攻擊行動，最簡單的防禦之道就是盤點企業或組織仍連網的所有裝置，以及即時修補這些裝置上的安全漏洞。</p> </div></div></div>
2022/6/9 15:14作者陳曉莉https://www.ithome.com.tw/news/151359
繼IBM之後，微軟也將大幅縮減俄羅斯營運，波及逾400名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151330" target="_blank">就在IBM宣布全面撤出俄羅斯市場之後</a>，微軟也回應了<a href="https://www.bloomberg.com/news/articles/2022-06-08/microsoft-slashes-russia-operations-after-war-clouds-outlook" target="_blank">《彭博社》（Bloomberg）</a>的詢問，表示正在大幅縮編俄羅斯的業務，估計至少有400名員工會受到影響。</p> <p>微軟向《彭博社》表示，隨著景氣的變化再加上微軟在俄羅斯業務所受到的影響，微軟已決定大幅縮減俄羅斯的營運。</p> <p>其實<a href="https://blogs.microsoft.com/on-the-issues/2022/03/04/microsoft-suspends-russia-sales-ukraine-conflict/" target="_blank">微軟早在3月4日便宣布</a>不再於俄羅斯提供新產品與服務的銷售，這次微軟的回應只是重申當時的立場，並表示將會持續履行與當地客戶的既有合約。</p> <p>不過，在停售3個月之後，微軟雖未像IBM一樣公開宣布將解散當地員工，但向《彭博社》坦承當地將會有超過400名員工受到影響，強調會協助受到波及的員工渡過此一艱難的時期。</p> <p>在俄烏戰爭剛爆發之際，包括IBM、微軟、蘋果與Amazon等業者雖然暫停了當地的服務，但並未解散當地員工，而是持續支付員工薪水，只是當戰爭在3個月後不見緩和，再加上全球經濟的不確定性，而讓業者採取進一步的措施。除了科技業者之外，知名的連鎖速食業者麥當勞也在停業兩個月之後，於5月宣布撤出俄羅斯市場；麥當勞進入俄羅斯市場達30年，在當地的門市有850家。</p> </div></div></div>
2022/6/9 12:36作者陳曉莉https://www.ithome.com.tw/news/151353
Windows又有新零時差漏洞DogWalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151211" target="_blank">微軟5月底爆發編號CVE-2022-30190</a>的微軟支援診斷工具（Microsoft Support Diagnostic Tool，MSDT）遠端程式碼執行漏洞（又名Follina），本周又有其他研究人員揭露和MSDT有關的新漏洞，而且也同樣還沒有修補程式。</p> <p>這項漏洞尚無編號，但被研究人員暱稱為DogWalk。<a href="https://irsl.medium.com/the-trouble-with-microsofts-troubleshooters-6e32fc80b8bd" target="_blank">這項漏洞早在2020年1月就有研究人員Imre Rad討論過</a>。在2年多之後，<a href="https://twitter.com/j00sean/status/1533889445027536899" target="_blank">上周代號j00sean的研究人員再度提起這項漏洞</a>，說明是不同於Follina的MSDT漏洞。</p> <p class="rtecenter"><a href="http://twitter.com/j00sean/status/1533889445027536899" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-windows-MSDT-%E6%BC%8F%E6%B4%9E-600.png" style="width: 600px;" /></a></p> <p>Rad指出，它是一項路徑/目錄穿越（Path Traversal）漏洞，允許攻擊者將任何檔案，存在檔案系統任何地方，而且不會被檢查到。DogWalk漏洞開採可利用郵件傳送或連結誘使用戶從網路上下載惡意diagcab檔，這是一個Cabinet（CAB）檔案，包含診斷設定檔，可為實作MSDT的疑難排解工具（Troubleshooter）執行。研究人員提供的一個技巧是將檔案儲存在Windows「啟動」資料夾，等用戶下次登入時執行。</p> <p>據微軟說法，Outlook及IE會封鎖.diagcab檔下載。研究人員測試，Gmail、微軟的Outlook Live或Mozilla Thunderbird。此外，Google Chrome、Firefox，甚至Microsoft Edge都未能封鎖這類檔案。研究人員還警告，在特定環境如公共Wi-Fi網路下，攻擊者可能利用中間人攻擊（man-in-the-middle），將用戶導向惡意網站。</p> <p>研究人員2年多前曾向微軟通報，並且展示以共享連結可從WebDAV伺服器下載Diagcab檔案的PoC。不過一如Follina，微軟也認為不是安全問題。微軟的解釋是，有許多檔案類型可藉此執行程式碼，但它並非「可執行檔」，且攻擊發生需要用戶主動執行.diagcab檔，不過Outlook已經能封鎖來自網際網路或其他地方的多種檔案，包括.diagcab。微軟指出會設法強化防護以避免用戶執行程式，但研究人員所提的問題並不是漏洞。</p> <p>不管是不是一項「漏洞」，<a href="https://blog.0patch.com/2022/06/microsoft-diagnostic-tools-dogwalk.html" target="_blank">安全廠商0Patch創辦人Mitja Kolsek說明</a>，Dogwalk危險之一在於，執行惡意程式的過程完全沒有任何警告顯示。</p> <p>這個問題影響的Windows 版本包括Windows 7、Server 2008以後的產品，包括最新的Windows 11和Server 2022。</p> <p>0Patch目前已免費提供針對多種Windows版本的暫時修補程式，<a href="https://central.0patch.com/" target="_blank">用戶必須註冊才能下載</a>。</p> </div></div></div>
2022/6/9 12:47作者林妍溱https://www.ithome.com.tw/news/151354
網路攻擊迫使義大利小城關閉所有市府網路服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利南部小城上周因遭網路攻擊，迫使該市關閉所有市府網路服務以防止災情擴散。</p> <p><a href="https://www.cybersecurity360.it/nuove-minacce/comune-di-palermo-sotto-attacco-servizi-indisponibili-situazione-seria/" target="_blank">義大利媒體報導</a>，西西里島的巴勒摩（Palermo）市上周末（6/2）遭到網路攻擊，導致代管市府公眾服務、市內監控攝影機及警局網路運作中心的伺服器運作停擺，進而影響多項公共服務，包括知名景點、博物館或運動場的售票或預約、交通票券及民眾的文書往來等。</p> <p>巴勒摩市的創新長表示，該市已預防性將市府伺服器關閉，並拔除網路，也表示可能要好一陣子才能恢復服務。</p> <p>義大利日前接獲親俄駭客組織Killnet威脅。不過Killnet慣用DDoS手法。但從巴勒摩市的回應措施，媒體推斷應該是勒索軟體所為。不過到目前沒有團體出面承認。</p> <p>勒索軟體攻擊引發市政停擺已不是新鮮事。中美洲國家<a href="https://www.ithome.com.tw/news/150993" target="_blank">哥斯大黎加4月中遭Conti軟體攻擊勒索2千萬美元</a>，已有20多個政府部門包括財務部、稅務及海關系統感染及停止服務，<a href="https://www.ithome.com.tw/news/151268" target="_blank">上周該國還被新的Hive勒索軟體攻擊</a>。</p> </div></div></div>
2022/6/9 12:58作者林妍溱https://www.ithome.com.tw/news/151355
谷歌推Chrome Enterprise安全生態系，開放第三方安全整合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_googletui_dong_chrome_enterprisean_quan_sheng_tai_xi_960_tu_pian_lai_yuan_google.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動Chrome OS裝置於企業環境的應用，2017年Google推出Chrome Enterprise服務，歷經5年發展，他們<a href="https://cloud.google.com/blog/products/chrome-enterprise/extending-chrome-enterprise-through-new-security-partner-integration">新推出Chrome Enterprise安全連接器框架</a>，期望建構安全生態系，並要實現從第三方安全整合，到操作系統、硬體、晶片的安全防護。</p> <p>要避免線上用戶遭受網路攻擊，Google近年持續發展安全瀏覽（Safe Browsing）技術，提升Chrome OS與Chrome瀏覽器的安全。ChromeOS部門副總裁John Solomon指出，防範線上威脅不僅需要保護端點或瀏覽器，還需要保護整個運算堆疊，因此，從晶片到雲端的安全性都將涵蓋進來。畢竟，我們永遠不知道下一個威脅來自何方，但做好準備，將是最好的因應計畫。</p> <p>為了實現這一目標，John Solomon表示，Google將採取新的方法，來因應潛在的安全威脅，主要涵蓋三大層面：（一）整合合作夥伴安全防護，（二）在Chrome OS中採取新的資料控制方法以保護資料，（三）採用新的硬體安全功能來保護企業。</p> <h3><strong>可介接第三方廠商的安全防護，目前有8家業者加入</strong></h3> <p>首先是外部安全防護的整合，Google推出Chrome Enterprise Connector Framework，這個安全連接器框架將可介接第三方廠商的安全防護。</p> <p>這不僅將為用戶與端點提供更好的保護，並為企業IT提供更多報告安全事件的工具。Google強調，他們正幫助組織更易朝向網路安全零信任模式邁進。</p> <p>目前此框架將整合8家業者安全產品，包括三個面向：身分與存取安全、終端裝置管理，以及安全分析與報表。</p> <p>以身分存取安全而言，合作廠商有2家，分別是Netskope與Okta。以後者為例，他們提供的Identity Engine政策，現在已經能夠支援ChromeOS，提供IT控管員工裝置登入驗證。</p> <p>以終端裝置管理而言，合作廠商有3家，分別是BlackBerry、Samsung與VMware。具體而言，BlackBerry UEM、Samsung Knox等解決方案將支援ChromeOS，可協助IT人員從單一介面管理企業所有的裝置，另一款這類型解決方案VMware的Workspace ONE，很快也將整合新的Chrome Policy API，預計接下來就能透過信賴測試方案（Trusted Tester Program）提供給企業應用。</p> <p>以安全分析及報表而言，合作夥伴同樣有3家，分別是Splunk、Palo Alto Networks與Crowdstrike。簡單而言，Google瀏覽器報告提供了對於安全事件提供了額外的可見性，目前Splunk Cloud Platform整合進度最快，可供IT人員掌握用戶透過Chrome瀏覽器存取不安全網站、下載惡意程式、重設密碼等行為，其他兩家業者的產品也將整合這方面的資訊於安全分析及報表。</p> <p>與外部防護進行整合之餘，Google對於資料安全方面的強化，推出了新的Chrome OS資料控制，讓IT部門可定義Chrome OS裝置的資料存取規則，包括複製與貼上、螢幕擷取、列印及其他行為，以防止資料外洩。</p> <p>最後，是最新硬體安全功能方面，簡單來說，Google的硬體安全功能將與Intel vPro Enterprise晶片結合，提供ChromeOS電腦磁碟加密Key Locker，以及全記憶體加密，防止資料外洩。目前市面上已出現結合兩者的Chromebook機種，HP的Elite Dragonfly Chromebook拔得頭籌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Chrome Enterprise Connectors_圖片來源擷取自Google Enterprise Day.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome%20Enterprise%20Connectors_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAGoogle%20Enterprise%20Day.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Chrome Enterprise 2022_圖片來源Google.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome%20Enterprise%202022_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於Chrome Enterprise的威脅防護，Google表示，他們先前已經透過Safe Browsing技術，來提升Chrome OS與Chrome瀏覽器的安全，而過去ChromeOS裝置也從未遭勒索軟體或病毒成功攻擊，但面對未來不知來自何處的潛在威脅，他們認為，還需要將更多層面涵蓋近來，不只開放整合第三方安全產品，並在作業系統層增加更細緻的資料控制能力，同時也要結合硬體與晶片安全。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-09_110600.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_110600.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-09_111654.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_111654.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-06-09_111725.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_111725.jpg" style="width: 295px;" /></a></p> <blockquote><p>在Chrome Enterprise Demo日中，Google特別示範了Splunk與<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Chrome Enterprise整合的效果。</span></p> </blockquote> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chrome-enterprise">Chrome Enterprise</a></div><div class="field-item odd"><a href="/tags/chrome-enterprise-connector-framework">Chrome Enterprise Connector Framework</a></div><div class="field-item even"><a href="/tags/google%E3%84%9D">Googleㄝ</a></div></div></div>
2022/6/9 11:21作者羅正漢https://www.ithome.com.tw/tech/151352
Amazon老將Dave Clark準備接任供應鏈軟體Flexport執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在Amazon於日前宣布，<a href="https://www.ithome.com.tw/news/151289" target="_blank">於該公司任職23年的全球消費者業務執行長Dave Clark即將於7月1日離職之後</a>，美國貨運代理及報關服務軟體業者F<a href="https://twitter.com/typesfast/status/1534537016506867714" target="_blank">lexport執行長Ryan Petersen即透過Twitter宣</a>布，Clark將在今年9月1日成為該公司的執行長。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Dave_Clark_CEO__Flexport.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Flexport</span></p> <p>2013年成立的Flexport主要開發同名的供應鏈管理平臺，以簡化全球貿易的供應鏈連結，從生產、出/入口、報關、運送、物流到政府機關的流程等，號稱可連結全球貿易的整個生態體系，將成為現代商業的新一代關鍵平臺，目前有超過500名員工，於全球112個國家提供空運、海運與陸運服務，去年的營收為33億美元，預計今年可接近50億美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-flexport-6.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Flexport</span></span></p> <p>擔任Flexport執行長的Petersen也是Flexport的創辦人，現年41歲，他說當他面試Clark時，Clark說要讓Flexport在5年內成為全球最好的供應鏈公司，他們將一起併肩實現這個願景。</p> <p>Clark預計於今年9月1日正式就職，與Petersen共同擔任Flexport執行長，在6個月之後成為Flexport的唯一執行長，Petersen則將退居執行主席一職。</p> <p>Petersen說，Clark在Amazon累積的交付、物流與運輸經驗，讓他成為Flexport執行長的不二人選。對於可以邀請到Clark，Petersen似乎感到很興奮，洋洋灑灑地在Twitter上寫了一長串。</p> <p><a href="https://twitter.com/davehclark/status/1534539962867036161" target="_blank">至於現年49歲的Clark也於自己的Twitter上回應了此事</a>，表示Flexport對他來說太有趣了，因而無法抗拒，期待與該團隊共同打造未來。</p> </div></div></div>
2022/6/9 10:47作者陳曉莉https://www.ithome.com.tw/news/151351
Cloud周報第146期：三大公雲巨頭到齊！亞馬遜AWS最新一座Local Zone本地雲機房將落地臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/02～06/08）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Local Zone </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">本地雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>亞馬遜AWS本地雲即將登臺，瞄準低延遲服務應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(1)(1).png" style="width: 600px; height: 289px;" /></p> <p>繼GCP、Azure公雲來臺之後，亞馬遜AWS近日宣布將落地臺灣推出本地區域（AWS Local Zone）公雲服務，儘管規模不如大型AWS Region，提供公雲服務也有限，但已跨出AWS在臺雲端投資布局一大步。隨著AWS的加入戰局，也意謂著，三大公雲都相繼落地，搶攻臺灣雲端市場商機。對於本地企業來說，未來將有更多選擇，來滿足低延遲存取或資料落地的需求。</p> <p>AWS這次來臺設立的Local Zone區域，也是全球第32朵AWS本地雲，不同於常見的AWS服務是以地理區域（Region）與可用區域（AvailableZone）為中心來建置，Local Zone指的是放在城市的本地雲，可提供EC2運算服務、VPC虛擬網路服務、EBS區塊儲存等多種AWS服務。在Local Zone與Region彼此之間，則以高頻寬連接，用戶可利用API使用全套AWS服務。</p> <p>透過採用混合雲新架構，也為北醫大教學或行政相關系統運作獲得不少改善，以人資系統為例，過去系統需30微秒才能反應，現在縮短為原本的三分之一，又如招生報名系統與加退選系統等，從而提高系統運作效率，也提高流量尖峰時期的服務品質及減少後臺管理人員負荷。</p> <p>AWS表示，新建立的Local Zone區域，將擴充AWS在臺灣的雲端基礎設施，包括提供更快速CDN服務Amazon CloudFront，還有提供專用的高速、低延遲連線的AWS Direct Connect連線服務，以及整櫃式主機AWS Outposts服務等。</p> <p>儘管，AWS在臺灣沒有提供可用區域，AWS表示，企業用戶未來能夠在Local Zone的資料中心執行應用並無縫連結到大型AWS Region，使用其熟悉的AWS API及工具來進行跨Local Zone與Region的混合部署。</p> <p>不過，AWS目前並未揭露臺灣Local Zone區域的設置地點，將落腳臺灣哪座城市或都會區，只提到本地雲機房將於數月內完工。從其他兩家公雲業者設置來看，Google雲端資料中心是設在彰化、臺南兩地，至於今年將啟用的微軟Azure雲端資料中心則建在桃園地區。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訂閱授權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>博通：未來VMware軟體銷售模式將全面轉向訂閱服務合約模式</strong></span></p> <p>博通前陣子以610億美元天價收購VMware，引起IT圈很大關注，尤其VMware是目前主要虛擬化、私有雲技術提供者，更與各大公雲巨頭結盟提供跨雲服務。所以外界也十分好奇，博通買下VMware後，將會如何影響VMware未來產品布局與發展。</p> <p>在最近一場財報電話會議上，博通軟體事業群總裁Tom Krause表示，完成併購後，幾年內將針對VMware軟體銷售模式做出改變，從過去永久授權，全面轉向以訂閱授權為主的服務合約模式，藉此推動公司營收增長。</p> <p>原本VMware軟體授權就有提供永久產品授權和訂閱授權，讓企業用戶可以選擇訂閱模式使用VMware軟體，或是支付永久性授權費用。隨著近年來軟體訂閱模式的盛行，VMware也轉向訂閱服務策略。其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過，未來全面走向訂閱制之前，仍需歷經一段新舊客戶合約轉換的過渡期。</p> <p>在管理上，Dev Box也與雲端PC管理相近，利用Windows 365來與Intune和Endpoint Manager端點管理工具整合，確保統一管理、安全性和合規性。此外，IT管理者也能在Azure Active Directory中設定管理、登錄權限，建立自己用戶存取策略。</p> <p>除了銷售服務模式的改變，Tom Krause表示，未來將持續投資和發展VMware主力產品創新，如vSphere、VSAN、vRealize 和NSX等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Xcode Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果開發者 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>蘋果推出雲端CI/CD開發平臺Xcode Cloud，可供Apple開發者在雲端建置和測試應用程式</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(5).png" style="width: 600px; height: 305px;" /></p> <p>經過一年beta測試，在6日舉行的WWDC 2022蘋果開發者大會上，Apple宣布Xcode Cloud服務已全面推出，可供所有Apple開發者使用。Xcode Cloud是內建於Xcode工具中的新服務，讓Apple開發者可以在雲端建置和測試應用程式，透過持續整合和持續交付，來縮短應用開發周期，加快產品上市</p> <p>每天經手超過6千架次航班的美國航空，是美國規模最大航空公司，每天要載送旅客前往全球56個國家及地區一共350個目的地，疫情期間，美國航空也展開數位轉型之旅，將雲端作為轉型的主要關鍵技術。</p> <p>目前在13.4.1與14.0 beta版Xcode中，已可使用Xcode Cloud完整功能。而通過App Store Connect的Web儀表板，能顯示Xcode Cloud上的測試資訊，也可直接從Web頁面編輯工作流程並展開App建置，Xcode Cloud也可與TestFlight工具一起使用，可供開發團隊進行測試版測試。</p> <p>Apple表示，透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理。Apple預計今夏開始提供Xcode Cloud訂閱方案，根據使用運算時數來計價，每月25小時收費約14.99 美元起。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反壟斷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">第三方雲端平臺 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟決定調降第三方雲端平臺使用Windows、Office產品的費用以免於反壟斷裁罰，但排除AWS、GCP</strong></span></p> <p>為了避免歐盟祭出反壟斷裁罰，微軟近日決定調降第三方雲端平臺上執行Windows、Office軟體的費用，但排除該公司主要競爭對手AWS、Google Cloud。</p> <p>由於近來微軟在歐洲雲端業務推展，屢屢受到當地雲端業者控訴有反壟斷之嫌，也讓歐盟啟動調查。為回應這些控訴，微軟近日表示願意放鬆某些和雲端業者的合約條款，以免於歐盟制裁。但微軟隨後也澄清，政策調整並不適用於微軟最大競爭對手，因為新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」，意謂著，新合約適用對象僅限AWS和GCP以外的業者。</p> <p>不過，微軟並未說明調整細節，也不願透露調整後的政策何時生效。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 烏克蘭戰爭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>IBM宣布全面撤出俄羅斯市場，將結束在俄國所有業務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap14.png" style="width: 600px; height: 339px;" /></p> <p>隨著烏克蘭戰事持續延長超過百日，IBM執行長Arvind Krishna於6日對全體員工發出公開信指出，經過幾個月評估，考量到各種不確性風險，公司決定全面撤出俄羅斯市場，未來將循序漸進的結束在俄羅斯的所有業務，包括雲端業務等。</p> <p>今年3月初烏克蘭戰爭開打，就有不少大型公雲業者加入抵制，除了AWS、GCP之外，IBM也是其中一家，暫停了在俄羅斯業務，以回應對於俄羅斯的抵制。後來因為凍結俄羅斯業務的決定，導致其在2022年第一季營收損失約3億美元。</p> <p>未來全面撤出俄羅斯市場後，IBM在當地的辦事處也將解散，不再銷售IBM技術及雲端產品。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端大數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器版的雲端大數據平臺服務Amazon EMR正式推出</strong></span></p> <p>去年AWS re:Invent大會上，AWS推出三種無伺服器版的數據分析服務Amazon Redshi 、Amazon EMR以及Amazon MSK，其中無伺服器版的雲端大數據平臺Amazon EMR近日終於正式推出，不再只有預覽版本能用。AWS表示，透過無伺服器的部署方式，企業用戶現在可以通過Amazon EMR更容易使用Apache Spark和Hive等開源框架執行大數據分析應用，過程中不需要任何配置、管理，也能根據需求自動向上和向下擴展資源，透過增加運算叢集或伺服器資源，幫助其進行大數據分析應用。</p> <p><strong>圖片來源／AWS、Apple</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.IBM收購美國網路安全新創Randori，將與自家Security QRadar整合增強混合雲安全防護及偵測能力</strong></strong></p> <p><strong><strong>2.VMware公布第一季營收，訂閱與SaaS業務占總營收3成，達8.99億美元</strong></strong></p> <p><strong><strong>3.搶雲端人才祭誘因！微軟、AWS公開向不想回公司上班的特斯拉員工招手</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/6/9 11:07作者余至浩https://www.ithome.com.tw/news/151350
中國駭客組織散布WinDealer惡意軟體有新手法，已具旁觀者攻擊手法能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據近日<a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-windealer-malware-shows-extremely-sophisticated-network-abilities">卡巴斯基（kaspersky）揭露</a>，中國駭客組織採用新手法散布WinDealer惡意程式，是利用旁觀者攻擊手法，將原本的應用程式更新請求，替換為安裝後門程式。</p> <p>卡巴斯基之所以關注這樣的攻擊活動，是基於臺灣資安業者杜浦數位安全TeamT5的發現。去年2021年，TeamT5曾在日本資安分析研討會JSAC上，揭露鮮為人知的中國駭客組織蠃魚（LuoYu），其攻擊目標主要是中國、臺灣、日本與韓國，並確認出該組織所慣用的3個惡意程式，包括SpyDealer、ReverseWindow（Demsty），以及WinDealer。</p> <p>近年來，卡巴斯基亦針對LuoYu駭客組織的攻擊活動進行調查，並確認惡意程式Demsty與WinDealer之間的關聯。卡巴斯基指出，這APT駭客組織從2008年開始活躍，主要攻擊位於中國的目標，例如，在中國設立的外國外交機構、學術界成員，以及國防、物流與電信業的公司。</p> <p>值得關注的是，近來這個中國駭客組織活動頻頻，除了攻擊目標已經擴及歐美國家，並且發展出新的WinDealer散布手法。</p> <h3><strong>WinDealer惡意程式突顯複雜網路攻擊能力，用戶難以防範</strong></h3> <p>事實上，在今年1月27日舉行的JSAC大會上，卡巴斯基、TeamT5與伊藤忠商事（Itochu）的三位研究人員，共同揭露LuoYu在2021年的攻擊動向，例如，開始使用XDealer、ShadowPad與PlugX等惡意程式，攻擊目標也擴大，涵蓋印度、德國、奧地利、美國、捷克共和國與俄羅斯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B.jpg" style="width: 600px;" /></p> <p>到了6月2日，卡巴斯基揭露更多發現。該駭客集團運用新手法散布WinDealer惡意程式，利用旁觀者攻擊手法，來讀取流量並往其中注入新的訊息，並指出他們具備旁觀者攻擊能力的事實，各界必須留意。</p> <p>什麼是旁觀者攻擊手法？全名稱之為Man-on-the-side attack，根據卡巴斯基的解釋，一般而言，當攻擊者透過攔截的手法，或是在ISP網路上居於有利的戰略位置，即可在網路上看到特定資源請求，此時，攻擊者會試圖以更快的速度回應受害者，搶先合法伺服器一步來回應。</p> <p>一旦攻擊者先馳得點，受害目標機器將使用攻擊者提供的資料，亦即會將接收到受感染的執行檔。而且，就算攻擊者搶先失敗，但仍然能夠再次嘗試，直到成功為止。</p> <p>在完成上述攻擊後，目標裝置將被安裝間諜軟體，該應用程式可收集大量資訊，不只螢幕截圖與收集電腦軟硬體詳細資料，也能察看或下載設備上儲存的任何文件。</p> <p><a href="https://securelist.com/windealer-dealing-on-the-side/105946/">卡巴斯基指出，在2020年的一起調查案例中</a>，駭客濫用應用程式自動更新機制，透過含有簽章的qgametool.exe軟體更新程式，將下載假冒視訊串流播放軟體PPTV的WinDealer，並安裝於受害電腦上。</p> <p>卡巴斯基表示，這是相當具破壞性的攻擊，除非透過另一個網路路由流量，否則用戶並無法自保。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）WinDealer感染流程_圖片來源卡巴斯基.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 600px;" /></a></p> <p class="rtecenter"><span data-gtm-vis-has-fired-11711842_122="1" style="box-sizing: inherit; color: rgba(0, 0, 0, 0.75); font-family: KasperskySans, Roboto, "Droid Sans", Arial, sans-serif; font-size: 16px; text-align: center;"><em data-gtm-vis-has-fired-11711842_122="1" style="box-sizing: inherit;">Update URL hardcoded in qgametool.exe</em></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）WinDealer感染流程_圖片來源卡巴斯基.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 600px;" /></a><br /> （圖片來源／卡巴斯基）</p> <p><strong>關於中國駭客組織蠃魚（LuoYu）的近期攻擊動向，卡巴斯基表示，對方利用旁觀者攻擊手法，假冒視訊串流播放軟體PPTV更新，將WinDealer惡意程式安裝於受害電腦。圖片來源／卡巴斯基</strong></p> <p>不僅如此，新的WinDealer基礎架構也很特殊，可以攔截所有網路流量，使他們能夠接收隨機IP位址的後門回應，而不必部署實際的C2伺服器，並以複雜IP產生演算法來決定聯繫那臺機器。</p> <p>例如，卡巴斯基觀察到，攻擊者會從中國西藏自治區或貴州省的4.8萬個IP位址中，挑選連線的對象。研究人員推測，這些駭客很可能破壞了網路上的路由器，或是使用一般人不知道的網路訊號情資方法，甚至有能力存取ISP層級的執法工具。</p> </div></div></div>
2022/6/8 17:39作者羅正漢https://www.ithome.com.tw/news/151348
【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在有許多企業導入虛擬化平臺的情況下，有越來越多勒索軟體駭客最近幾年也相繼開發針對VMware ESXi的勒索軟體。而傳聞可能是俄羅斯駭客組織Conti改名的Black Basta，在4月開始活動之後，現在也開始攻擊上述的虛擬化平臺。</p> <p>微軟Office的MSDT零時差漏洞CVE-2022-30190自揭露至今，已傳出數起攻擊行動。而這樣的漏洞也出現在針對烏克蘭政府的攻擊行動，使得烏克蘭電腦緊急應變小組（CERT-UA）提出警告，並公布入侵指標（IoC）。</p> <p>駭客運用Office檔案發動攻擊不時有事故傳出，其中有許多是利用惡意巨集下載作案工具，而使得資安系統難以從Office檔案發現攻擊徵兆。但最近有駭客使用過往相當罕見的手法，將惡意程式藏匿在檔案屬性資料當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-black-basta-ransomware-targets-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/40559"><span style="color: rgb(0, 0, 0);">有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png" style="width: 300px; float: right;" /></a>微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot</span></a></strong></h3> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。</p> <p>這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/svcready-a-new-loader-reveals-itself/"><span style="color: rgb(0, 0, 0);">攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/svcready_002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/svcready_002-1.png" style="width: 300px; float: right;" /></a>攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。</p> <p>但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/"><span style="color: rgb(0, 0, 0);">中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險</span></a></strong></h3> <p>受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。</p> <p>雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151346"><span style="color: rgb(0, 0, 0);">歐盟網路安全演練本月登場，聚焦醫療領域</span></a></strong></h3> <p>為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國的CyberStorm，<a href="https://www.ithome.com.tw/news/134003">而臺灣也在2019年，與美國國土安全部聯手舉辦大規模網路攻防演練CODE，測試金融產業安全防護能力</a>。今年6月初，歐盟將舉辦第6次的Cyber Europe，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有的機制、程序，以及資訊流，是否足以因應危機，參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。為了因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> </div></div></div>
2022/6/8 18:58作者周峻佑https://www.ithome.com.tw/news/151349
從Line臺灣徵才日看Line區塊鏈布局野心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line臺灣日前在<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">徵才日</a>中，揭露Line整體發展藍圖，火力全開鎖定Web 3.0和區塊鏈應用，不只在臺成立專屬區塊鏈開發團隊Line Next TW Dev，要徵求區塊鏈好手協助開發全球NFT交易平臺外，還要嘗試各種去中心化應用，來優化現有服務。此外，Line臺灣也透露，Line Bank作為主管機關認可的線上身份驗證金融服務商，未來能在元宇宙和NFT等Web 3.0的虛實價值移轉應用中，發揮更多效益。</p> <p>至於AI，Line臺灣將持續在地化總部開發的CLOVA解決方案4大服務，包括自然語言生成、人臉辨識、語音轉文字、光學文字辨識等，並持續實作AI模型生命周期管理機制MLOps，同時探索更多資料價值。</p> <p><span style="font-size:22px;"><strong>11年，Line從通訊軟體跨足影音、金融智慧生活圈</strong></span></p> <p>5月27日，Line臺灣舉辦一整天的線上徵才說明，Line臺灣技術長陳鴻嘉首先強調：「Line成立11年來，成功從通訊軟體服務公司，轉化為智慧生活入口。」這句話不只點出Line整體發展路徑，其中的智慧生活入口，更成為Line後來進軍區塊鏈布局的基礎。</p> <p>這個智慧生活入口，是指滿足用戶一天24小時所需的服務，比如使用者早上用Line Today看新聞、上班用Line官方帳號經營客戶群，下班後用Line Pay電子支付服務買晚餐、透過Line Music或Line TV享受娛樂，或是睡前用Line購物買東西。去年3月，Line與日本Z控股集團合併，更進一步擴大了智慧生活日入口的服務內容和服務對象。</p> <p>這些服務跨足各種領域，這些領域充滿各種經濟活動，都需要金流支援。因此，Line幾年來，陸續發展各種數位金融服務，比如在2014年上線Line Pay、2018年推出Line區塊鏈和加密貨幣、2020年成立虛擬貨幣交換中心，同年也在泰國成立純網銀Line Bank，2021年則在臺灣和印尼成立Line Bank。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%2010_42_08%20AM.png" /></p> <p>延伸出種種智慧生活服務的Line，用戶來自全球、月活躍數量高達1.9億，主要集中在日本、臺灣、泰國、印尼。Line的工作團隊，大多也集中在亞洲主要城市，共有8,700多名來自31個國家的職員，來優化和開發更多智慧生活服務。</p> <p><strong><span style="font-size:22px;">火力全開瞄準FinTech，Line Bank將扮演虛實價值移轉要角</span></strong></p> <p>「數位金融科技是Line非常重視的領域！」陳鴻嘉表示，數位金融是經濟活動的重要基礎，Line也在過去幾年布局數位金融，成果包括成立電子支付公司Line Pay和負責金融業務的Line Bank。這些子公司各自獨立，但彼此協作。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_43_44%20PM.png" /></p> <p>像是，Line Bank臺灣資訊處處長翁銘壯點出，Line Bank借助原生生態系發展，透過Line Pay、Line Taxi、Line Points、Line禮物/購物、Line Music和TV等家族應用，來提供金融服務，另外也開放API來與異業結盟，將自家金融服務嵌入其他生態系，進一步走入民眾生活。</p> <p>而Line Bank下一步，則是要跟進Web 3.0浪潮，作為虛實價值移轉的關鍵工具。有別於Web 2.0網狀的資訊交換網路，Web 3.0是去中心化的價值交換網路，而區塊鏈及其衍生出的加密貨幣、NFT，則是實作價值所有權交換的平臺技術。翁銘壯解釋，作為政府主管機關核可的純網銀，Line Bank有著官方認可的線上身份驗證機制，這在Web 3.0的元宇宙和NFT區塊鏈代表應用中，當民眾需要虛實間的價值移轉時，就可發揮作用，透過Line Bank金融服務來進行NFT交易。</p> <p><span style="font-size:22px;"><strong>鎖定區塊鏈和Web 3.0，力推Dosi布局NFT交易市場</strong></span></p> <p>不只在純網銀做好迎接區塊鏈應用的準備，Line也積極發展區塊鏈技術和應用，比如在2018年成立區塊鏈專屬團隊、發行Line加密貨幣Link，甚至在去年，於日本推出第一個NFT交易平臺（今年正式上線）。Line在該平臺推出各種類型的數位資產和收藏品，讓用戶來購買這些NFT。</p> <p>有了這些基礎，今年，Line進一步推出全球通用的NFT交易平臺Dosi，目標鎖定全球180多個國家。Dosi平臺主打3大功能，一是提供通用版型和API，讓數位資產賣家用來打造客製化的NFT商店，再來是提供Dosi Wallet，來讓買家集中管理數位貨幣或資產。此外，賣家還能透過Dosi Support，來取得Line團隊的行銷或技術支援，協助賣家提供更好的NFT銷售體驗。</p> <p>在技術上，Dosi雖以Line自建的區塊鏈技術為基礎，但未來將與市場上的公鏈整合，像是以太坊、Solana鏈和Cosmos鏈，來擴大服務應用範圍。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%203_58_57%20PM.png" /></p> <p><span style="font-size:22px;"><strong>成立臺灣區塊鏈開發團隊，徵求區塊鏈好手</strong></span></p> <p>陳鴻嘉表示，就像Line其他服務，NFT交易平臺也先由單一市場試水溫，再進軍到全球市場。在日本市場成功營運後，Line成立Line Next團隊，來負責全球市場NFT經營，這也包括各種Dosi服務。</p> <p>臺灣在Line這場全球區塊鏈布局中，也扮演重要角色。Line剛成立臺灣區塊鏈開發團隊Line Next TW Dev，不只要協助Line Next開發全球Dosi平臺、讓平臺更好用，最主要的目的是，培養臺灣工程團隊區塊鏈技術能力，並理解各類區塊鏈應用型態，像是加密貨幣、智能合約、NFT等，透過嘗試各種去中心化應用，來優化現有服務。區塊鏈人才，<a href="https://engineering.linecorp.com/zh-hant/blog/line-dev-recruitment-day-2022/">正是Line臺灣區塊鏈新團隊目前積極尋求的</a>。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%205_28_18%20PM.png" /></p> <p>Line臺灣技術長陳鴻嘉表示，Line Next將提供更容易上手的NFT交易錢包Dosi Wallet，比如多種登入方式和多種交易方式（如信用卡、虛擬貨幣和法幣），來供民眾使用。</p> </blockquote> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <h3><font color="#ffffff"><span style="font-size: 20px;"><b>持續在地化CLOVA AI服務，還要落實MLOps機制</b></span></font></h3> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);">Line在過去幾年，也將成熟的內部AI應用商品化，開放給外部開發者使用。每年，他們也定期發表一系列AI應用，像是2019年開發者大會揭露Line AiCall，可合成語音來進行電話對話，又或是能針對個人喜好，來推薦內容（如災難消息、新聞、天氣和廣告）的Smart Channel服務。</span></p> <p><span style="color:#696969;">去年，Line日本也與韓國母公司Naver，將成熟的AI技術發展為一站式AI服務平臺HyperCLOVA，以100億頁資料和2,004億個參數訓練而成的Transformer模型為引擎，要來提供企業用戶搜尋、語音、自然對話等服務，甚至要更進一步發展顧問、需求預測服務。</span></p> <p><span style="color:#696969;">在這眾多AI產品中，Line臺灣技術長陳鴻嘉透露，Line選定了4項，要在今年持續引進臺灣市場。這4項包括Line CLOVA解決方案之下的自然語言生成（NLU）、臉部辨識（Face）、語音轉文字（STT），以及光學文字辨識（OCR）等服務。</span></p> <p><span style="color:#696969;"><span style="font-size: 22px;"><strong>Line臺灣AI團隊做什麼？落地和優化服務、落實MLOps</strong></span></span></p> <p><span style="color:#696969;">負責在地化這些服務的，就是Line臺灣資料工程部（Data Dev Team）團隊。Line臺灣資料工程部資深經理蔡景祥指出，Line臺灣在去年開始，引進總部開發的CLOVA解決方案，像是CLOVA Chatbot、OCR和Face等。其中，Chatbot服務是驅動Line官方帳號與使用者互動的關鍵服務，企業客戶只要提供訓練資料、選定樣板，就能在1天內完成訓練，將Chatbot功能嵌入官方帳號，來回答使用者各種疑難雜症問題，Line本身的客服小幫手就是一例。</span></p> <p><span style="color:#696969;">總部產品在地化，是Line臺灣資料工程部的2大重要任務之一。這2個重要任務包括利用AI技術，加值Line在地服務、提供新功能，以及透過資料科學和機器學習方法，來發掘商業洞察，發揮資料價值。</span></p> <p><span style="color:#696969;">以AI加值來說，Line有許多周邊服務，像是新聞、購物、旅遊等，團隊可透過AI，來更理解這些服務內容（如文字、影片、圖片）背後的意義，來優化使用者體驗。比如利用自然語言處理（NLP）技術，來自動擷取一篇文章的#關鍵字，取代以往小編的手動登打作業，並透過這些關鍵字，橫向串連相關主題的文章。這個自動擷取關鍵字的功能，也能套用到其他領域服務。</span></p> <p><span style="color:#696969;">另一個例子則是在Line聊天室上方任務牆，精準投放廣告，猶如前述提及的Smart Channel服務。進一步來說，團隊利用知識圖譜技術，來找尋使用者興趣，像是連結曾經點擊的廣告活動、跟隨哪些官方帳號等，並計算即將推出的廣告活動，用戶是否感興趣（如下圖）。或是利用增益模型，來在官方帳號中，精準推播使用者感興趣的訊息。</span></p> <p><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_42_40%20PM.png" /></span></p> <p><span style="color:#696969;">不過，這些模型也有表現不佳的時候。找出問題、改善模型表現，也是Line臺灣資料工程部的工作。再加上為了讓內部大量AI模型，能快速擴展和維運管理，團隊也導入模型生命周期管理MLOps方法，比如在ML模型研發階段，利用可協作的Notebook平臺來優化特徵工程流程，並在模型應用階段，利用GPU平臺來訓練模型、記錄模型版本，最後在維運階段達到訓練、部署的工作管線自動化，並監控模型表現。</span></p> <p><span style="color:#696969;">Line臺灣資料工程部，將上述這些工作內容，分為4種角色來負責，如資料科學家負責資料驅動決策和服務標準定義，ML工程師負責演算法開發和資料、找尋新訓練資料，資料工程師則將大量訓練資料先行處理，並負責後續ML工作流程和MLOps作業，最後則有CLOVA產品工程師負責客製化AI應用系統。（如下圖）</span></p> <p><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_41_49%20PM.png" /></span></p> <p><span style="color:#696969;">在這次徵才日中，他們鎖定有經驗的ML工程師和CLOVA產品工程師，尋求相關人才加入臺灣團隊，來探索更多資料價值。</span></p> </td> </tr></tbody></table></div></div></div>
2022/6/8 17:26作者王若樸https://www.ithome.com.tw/news/151347
GovTech月報第7期：美國Frontier奪下全球超級電腦第1名寶座；拜登發表美國量子科學新戰略，因應量子破密風險…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0430~0531)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-a6828a02-7fff-d7a1-2fbf-68bade3a512d"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">全球最新500大超級電腦排名出爐，美國Frontier以超過1 ExaFlop/s奪冠</span></span></span></strong></p> <p>全球500大超級電腦最新名單出爐，根據近期公布的排名，美國能源部底下橡樹嶺國家實驗室領先運算機構所打造的新一代超級電腦Frontier，以1.102 Exaflops的運算速度，擊敗日本的Fugaku(富岳)，拿下全球第一的寶座。</p> <p>Frontier採用HPE Cray EX235a，以AMD EPYC 64C 2GHz處理器，共有8,730,112核心，每瓦效能達到52.23gigaflops/watt。Frontier的浮點運算在HPL標竿測試分數可達1.102 Exaflop/s，為目前全球最快，也是唯一突破1 Exaflop/s的exascale級超級電腦。該系統預計2022年底問世。</p> <p>Frontier的出現，迫使2020年6月即佔據全球第一的日本超級電腦Fugaku拱手讓出寶座，儘管理論上，Fugaku的峰值可超過1 Exaflop/s，但迄今只有Frontier在HPL標竿測試可達到exascale能力。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">量子科學</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-41f42e17-7fff-ace1-d2fe-93e69af42309"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">拜登發表美國發展量子科學新戰略，要求政府機構將密碼系統遷移至後量子密碼系統</span></span></strong></span></p> <p>美國總統拜登5月初簽署第10號國家安全備忘錄，當中揭露美國對量子科技的國家發展戰略，包括認為量子電腦可能帶來經濟創新的潛力，從材料科學、金融、能源各領域都可能受惠，因此美國應該在量子資訊科學領域居主導地位，以維持該國的競爭優勢。美國將聚焦在新的量子應用、量子元件製造方法，以及光子、奈米、低溫半導體等相關技術的發展，還有相關的教育及人才培養等等。</p> <p>美國政府也未忽視量子科技可能帶來的負面衝擊，特別是可能破解現有密碼系統，因此，美國政府也要求政府機關採取行動，將易受影響的密統系統，遷移至後量子密碼學系統，為此未來90天內，美國商務部將和國家標準技術研究所（NIST）成立工作小組，以研究如何如何採用後量子密碼技術。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">中國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-3c8b376a-7fff-1e0b-c5d2-6d73b70ee849"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美中掀新一波超級電腦競賽，</span></span><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">傳中國可能在2025年前建</span>10座Exascale超級電腦</strong></span></p> <p>在美中關係緊張下，美國與中國在各方面的競爭意識升高，英國金融時報引用一研究報告指出，中國政府將在2025年之前打造10座exascale超級運算系統，以和甫奪下全球第一的美國超級電腦Frontier別苗頭。</p> <p>在2016年，中國就曾以神威太湖之光、天河二號，擠下美國，分別取得當時全球500大超級電腦的1、2名，高據榜首一段時間，中國也在500大超級電腦的進榜數量上超越美國，躍升為超級電腦的大國之一。其後寶座易手，一度再由美國奪回寶座，這幾年則是日本富士通的Fugaku佔據第1。</p> <p>根據金融時報的報導，中國已有2座exascale超級電腦，分別是神威太湖之光、天河2號的後繼者，神威海洋之光與天河3號，神威海洋之光運算速度最快達1.3 exaflops，持續運算效能1.05 exaflops，天河三號最快可達1.7 exaflops，持續運算效能1.3 exaflops。據了解，美國除了Frontier之外，也規畫建置2座exascale超級電腦，分別是阿貢國家實驗室的Aurora，以及屬於勞倫斯利佛摩國家實驗室的EI Capitan。</p> <p>可以預見，隨著更多新一代超級電腦的問世，未來將可看到更多exascale級超級電腦出現，提高全球超級電腦的競爭力道。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-05f5a870-7fff-74e8-2c40-ae66f9904b82"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺南市強化防疫手段，共照雲新增AI辨識快篩試劑，陽性即提供醫師視訊看診</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7aac21c4-649e-4dbd-bfd3-3e5e1c4cd321.jpg" style="width: 300px; height: 398px;" /></p> <p>隨著國內疫情升溫，愈來愈多確診者，造成地方政府及第一線醫護人員龐大的工作負擔，近期指揮中心調整防疫策略，居家隔離、自主防疫、居家檢疫三類對象快篩陽性，經醫事人員視訊判定即視同確診，不需經過PCR篩檢，配合防疫政策，臺南市政府近期除整理公布視訊診所清冊，更運用科技推出臺南共照雲@Line官方帳號，結合AI辨識快篩試劑結果，確認民眾身分及快篩陽性後，即安排醫師視訊視看診，降低醫療人員的負擔。</p> <p>臺南市政府與成功大學、先進醫資、好想工作室合作，民眾加入臺南共照零，註冊綁定後，就能識別三種對象身分，再上傳快篩試劑檢測結果，由AI初步確認快篩陽性，協助民眾直接安排醫師視訊，如因上傳快篩結果的影像品質不佳，或是快篩結果不明確，則交由醫護團隊判定。臺南市政府希望透過一條龍的服務，簡化民眾視訊看診的繁瑣程序。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-cf14d3d2-7fff-d40a-82e5-c8cd99f5e297"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美國加速寬頻網路普及，近5千萬家庭可望免費使用寬頻網路</span></span></strong></span></p> <p>美國持續推動寬頻網路普及政策，白宮近期宣布已和20家ISP業者達成協議，支持美國政府推動的可負擔連網計畫(Affordable Connectivity Program, ACP)，針對低收入戶提供便且的寬頻網路服務，加上ACP計畫的補助，估計將有4,800多萬個美國家戶可免費使用寬頻網路。</p> <p>美國FCC一直以來推動可負擔連網計畫，目的是讓低收入的家庭也能負擔寬頻網路，只要家庭收入不超過各州貧窮線的2倍，便可提出申請，獲得每月30美元的寬頻網路補貼，約有4,800多萬個家庭符合資格，已有1,150多萬家庭參與ACP。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">消防</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-d8f65e56-7fff-a070-efcd-c5b6a0d47320"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">高雄市政府試辦緊急車輛智慧交通控制，提升救護車、消防車輛救援效率</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1653639201857.jpg" style="width: 300px; height: 400px;" /></p> <p>鑑於消防車、救護車等緊急車輛優先行駛及道路安全，高雄市政府與內政部消防署合作，結合5G與GPS定位，試辦「消防一路通」，為緊急車輛出勤時確保行駛路口綠燈，提升25%行車效率、節省20%的行車時間。</p> <p>這項計畫選在高雄亞灣5G AIoT創新園區的周邊道路試辦，包括阮綜合醫院與2個消防分隊，在中華五路及四維四路共12個路口試辦。透過5G與GPS蒐集緊急車輛位置、速度、行駛方向，以控制路口交通號誌，使行駛的路口一路綠燈，確保道路安全，同時提升緊急救護的效率。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端服務</span></font></strong></p> <p><span style="font-size:22px;"><strong>傳日本有意將雲端服務視為國家特定重要物資，加速推動雲端服務的國產化</strong></span></p> <p>隨著愈來愈多的政府及企業上雲，且相當比例仰賴國外的公有雲服務，日本媒體報導，日本政府有意將雲端服務視為國家特定重要物資，將其視為與半導體、醫藥、電池等相同，需要保障以確保經濟安全的物資，近期將送參議院表決。</p> <p>據瞭解，近20年來，雲端服務在日本愈來愈普及，將近7成的企業上雲，且大多採用國外的公有雲服務，相對地，採用國產雲端服務比例並不高。由於近期俄烏戰爭、國際關係緊張，為因應不明的局勢，日本政府因此調整該國雲端戰略，加速推動國產化的雲端服務，以降低對國外服務的依賴。</p> <div> </div> </div> <p>圖片來源／高雄市、臺南市政府</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.歐洲央行總裁呼籲應監管加密貨幣</strong></p> <p><strong><strong>2.加州州長簽署行政命令以推動Web3</strong></strong></p> <p><strong><strong><strong>資料來源：iThome整理，2022年5月</strong></strong></strong></p> </div> </div> </div> </div> </div></div></div>
2022/6/8 17:51作者蘇文彬https://www.ithome.com.tw/news/151334
歐盟網路安全演練聚焦醫療領域，Cyber Europe 2022於6月登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國每兩年舉辦一次的CyberStorm，在2019年臺美等10多國，亦首度聯手舉辦大規模網路攻防演練，測試金融產業安全防護能力。</p> <p>今年6月初，歐盟將舉辦第6次的Cyber Europe。這項安全演練自2010年開始舉辦，之後每兩年舉行一次，主要由歐洲網路資訊安全局（ENISA）負責統籌，然而，在2020年受到COVID-19疫情影響而未舉行，延至2022年夏季召開。因此，本次演練距離上次舉辦已相隔四年，而當時的演練參與者超過1千人，他們均來自歐洲各地。</p> <p>基本上，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有機制、程序與資訊流是否足以因應危機，期望幫助參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。</p> <p>因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022的最大特點，將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。</p> <p>就演練範圍而言，Cyber Europe不僅涵蓋了國家與政府的CSIRT及網路安全主管部門，重點單位也包括：衛生保健主管機關、醫療服務組織（醫院、診所、實驗室），以及電子醫療服務供應商業，還有醫療產業（醫療設備製造商、製藥公司）。</p> <p>ENISA指出，一旦醫療單位遭遇資安事件，將導致不同層面都會形成危機，包括本地端、組織、國家，以及整個歐洲。因此，檢驗業務連續性計劃（BCP），以及危機管理能力，至關重要。</p> <h3><strong>ENISA提供CEP平臺，打造演練管理系統與虛擬演練環境</strong></h3> <p>這項計畫是如何進行？根據ENISA的說明，主要由歐洲國家公務人員與ENISA演練團隊合作，由於大多數歐洲國家都參與，因此跨境合作也是關鍵。</p> <p>具體而言，參與者在平時自己工作的環境，就可以連接到ENISA網路演習平臺（Cyber Exercise Platform，CEP），獲取演習相關資訊。</p> <p>這個平臺將提供綜合環境，可分成三大部分。首先是演練管理的系統，用於規畫、組織或控制，以及評估；其次，是可進行互動的虛擬演練環境，當中具備各式應用程式與工具，以及模擬的新聞網站、社交媒體、檔案分享平臺與資安部落格；第三，此平臺也提供線上學習的服務與工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-08_164716.jpg" style="width: 588px;" /></p> <p>ENISA指出，這是測試內部業務連續性（BCP）與IT安全政策的機會，當中將模擬大規模的網路攻擊事件，讓參與者檢視及分析網路安全事件，考驗他們的網路分析、惡意軟體分析、數位鑑識，以及原始程式碼分析的能力，同時，也將涵蓋業務連續性、危機管理，以及媒體溝通的內容，值得注意的是，這項演練其實可以根據參與者的需求，來制定需要的演練情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-08_170126.jpg" style="width: 220px; float: right;" /></p> <p>此外，關於對於醫療領域的網路安全，歐盟近年也提供相關資源，例如，在2021年1月，ENISA發表了醫療服務雲端安全指南，幫助醫療機構能安全採用雲端服務。</p> </div></div></div>
2022/6/8 17:12作者羅正漢https://www.ithome.com.tw/news/151346
美國議員提出相對友善的加密貨幣監管法案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩名參議員Kirsten Gillibrand與Cynthia Lummis周二（6/7）提出了<a href="https://www.lummis.senate.gov/press-releases/lummis-gillibrand-introduce-landmark-legislation-to-create-regulatory-framework-for-digital-assets/" target="_blank">《負責任的金融創新法案》（Responsible Financial Innovation Act）</a>，企圖替數位資產建立一個完整的監管框架，以同時推動負責任的創新及對消費者的保護，認為大多數的數位資產應該歸商品期貨交易委員會（CFTC）管轄，而非美國證券交易委員會（SEC）。</p> <p><a href="https://www.ithome.com.tw/news/151272" target="_blank">日前才有超過20名專家呼籲美國議員抵制加密貨幣業者的遊說活動</a>，且SEC也已認定首次代幣發行（ICO）受到證券法的管轄，要求業者在執行ICO前必須先向SEC註冊。然而，此一新法案則明顯偏向數位資產產業，上述的CFTC為美國政府所建立的獨立部門，負責監管美國的衍生品市場，包括期貨或某些種類的期權，並比SEC寬鬆許多。</p> <p>Gillibrand與Lummis認為，數位資產、區塊鏈技術及加密貨幣在過去幾年經歷了巨大的成長，若利用得當，將創造巨大的潛在收益，此一新的法案將建立一個創新的監管框架，制定明確的標準，定義適當的管轄範圍，同時也將保護消費者，該框架還可保持靈活以因應數位資產市場的持續發展。</p> <p>該法案將有明確的標準來判斷數位資產是屬於商品或證券，且議員們認為大多數的數位資產更像是商品而非證券，例如比特幣與以太幣，因此應賦予CFTC更多的監管權限。該法案亦支持穩定幣，宣稱除了可保護消費者及市場之外，還能推動更快的支付程序。</p> <p><a href="https://www.wsj.com/articles/senators-to-propose-industry-friendly-cryptocurrency-bill-11654592401?mod=djemalertNEWS" target="_blank">根據《華爾街日報》（Wall Street Journal）的報導</a>，Lummis一向為加密貨幣的支持者，她個人至少擁有價值10萬美元以上的比特幣，但通過該法案的機率並不高。</p> </div></div></div>
2022/6/8 15:27作者陳曉莉https://www.ithome.com.tw/news/151339
Telegram付費訂閱服務內容曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標榜端對端加密的通訊平臺Telegram可望於近日發表付費訂閱服務，而相關服務的內容<a href="https://t.me/tginfoen/1403" target="_blank">則在最近曝光</a>，<a href="https://www.neowin.net/news/telegram-premium-price-and-features-leak-ahead-of-launch/" target="_blank">據傳</a>使用者每月只要支付4.99美元就能獲得更多的資源，包括可建立更多的頻道與聊天文件夾，可上傳更大的檔案，擁有更快的下載速度，或是更進階的聊天管理功能等。</p> <p>Telegram上的廣告並不多，這是因為該平臺僅於公開頻道上測試廣告服務，提供付費訂閱服務將能替Telegram開闢更多的營收來源。</p> <p>訂閱用戶將可獲得雙倍的資源，像是聊天文件夾的數量從10個增加到20個，頻道從500個增加到1,000個，可使用的帳號從3個增加到4個；上傳的檔案大小限制從2GB提高到4GB，有更快的下載速度，能將語音訊息轉為文字，不含廣告，進階的聊天管理功能，也有訂閱用戶獨有的貼圖等。</p> <p>目前Telegram已於Android平臺上測試該訂閱服務，尚未確定正式版或支援其它平臺的版本何時會上線。</p> </div></div></div>
2022/6/8 13:53作者陳曉莉https://www.ithome.com.tw/news/151336
零售IT雙周報第1期：Mastercard推出生物辨識結帳，揮手或微笑就能刷卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>面部辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手紋辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無接觸結帳</b></span></font></p> <p><strong>Mastercard將針對零售商推出無接觸生物辨識結帳系統</strong></p> <p>Mastercard宣布，<a href="https://www.mastercard.com/news/press/2022/may/with-a-smile-or-a-wave-paying-in-store-just-got-personal/">將推出生物辨識結帳系統</a>，透過手紋或面部辨識，就能在結帳時刷卡。此功能將於本周從巴西開始試營運，之後將於亞洲和中東地區推出。Mastercard表示，目前已跟富士通、NEC、Payface、Aurus、PaybyFace及PopID等全球廠商展開合作，以保證在全球推出此服務時，生物認證精確度、隱私權保護跟資訊安全，都符合統一最低規範。</p> <p>Mastercard數據顯示，2021 Q4約一半線下交易都轉為無接觸，並引用Juniper研究，預測2026全球信用卡無接觸交易金額將來到6.7兆美元。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧倉儲</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上開店</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>雜貨店</b></span></font></p> <p><strong>Amazon在印度推出當地雜貨店的零售數位化服務</strong></p> <p>Amazon India宣布針對當地雜貨店推出<a href="https://smbhav.amazon.in/grow-with-amazon/smart-commerce">智慧商務服務Smart Commerce</a>，提供雜貨店線下數位化及線上開店功能。這些服務包括協助雜貨店建立數位倉儲管理系統、數位支付、廣告服務及打造線上商城頁面。</p> <p>地方雜貨店為印度消費者採購民生必需品的主要去處，占約9成快速消費品（FMCG）銷售量，且全國超過1,280萬家地方雜貨店，店數／人口比是臺灣便利商店的18倍。由於地方雜貨店密度高、價格低，Amazon India看到商機，兩年前推出Local Shops服務，讓地方雜貨店在Amazon上架商品，並由店家自行外送到消費者家中。Amazon表示，目前已經有150,000家商家使用Local Shops上架商品，商家接受度出乎意料，也使他們有信心進一步推出Smart Commerce，將服務項目從單純上架商品，拓充到線上下智慧零售。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>元宇宙</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>虛擬店家</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OMO</b></span></font></p> <p><strong>Gucci將在元宇宙遊戲Roblox中設立虛擬商店及展覽空間</strong></p> <p>時裝品牌Gucci於元宇宙遊戲Roblox內設立常駐<a href="https://www.roblox.com/games/7830918930/Gucci-Town">虛擬店面暨展覽空間Gucci Town</a>，除了販售遊戲中的Gucci商品外，還會展出Gucci新產品，玩家甚至可以創作藝術品，並遊玩小遊戲。</p> <p>這不是Gucci首次涉足元宇宙。過去Gucci也結合實體Gucci Garden Archetypes展覽，同步在Roblox<a href="https://blog.roblox.com/zh-hant/2021/05/roblox-%E6%AD%A3%E6%98%AF%E8%BF%8E%E6%8E%A5-gucci-garden-%E9%AB%94%E9%A9%97/">推出限時Gucci Garden</a>活動，讓玩家蒐集遊戲內的Gucci服飾。這次，Gucci Town不僅是常駐空間，還會隨著商家動態定期更新，意味著Gucci將認真於元宇宙經營品牌形象。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機送貨</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧物流</b></span></font></p> <p><strong>Walmart將擴大無人機物流量能，號稱一年能送出100萬份貨</strong></p> <p>美國零售巨頭Walmart<a href="https://corporate.walmart.com/newsroom/2022/05/24/were-bringing-the-convenience-of-drone-delivery-to-4-million-u-s-households-in-partnership-with-droneup">宣布2022將增設34座無人機基地</a>，並提升無人機送貨量能到每年100萬次，服務6個州的400萬戶家庭。</p> <p>Walmart表示，無人機數月來已經測試過數百次商用飛行，且消費者反應正面，因此決定大幅提升試營運規模。這與Amazon 2013年宣布無人機送貨至今仍處測試階段，且遲遲沒有大規模測試的情況，呈現明顯對比。</p> <p>目前，Walmart無人機營運模式是，當接到消費者無人機送貨訂單，鄰近實體店面會揀貨、包貨、裝載到無人機上，並送到消費者後院上空，再由纜繩緩降貨物到地上。目前，無人機可以裝載最多10磅（約4.5公斤）的貨物。Walmart尚未提供規模化後的管理方針及技術細節。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NFT</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Discord社群</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>奢侈品牌</b></span></font></p> <p><strong>Prada推出附贈NFT的限定服飾商品 </strong></p> <p>Prada推出<a href="https://www.prada.com/us/en/pradasphere/special-projects/2022/prada-timecapsule.html">新產品系列Timecapsule NFT Collection</a>，每個月特定日期時販售限量的實體服飾，並附贈NFT。持有Prada NFT的客戶，將會有特別優惠和新產品提前看等會員福利。這些NFT，將由Prada、LVMH、Mercedez-Benz等奢侈品牌共同成立的奢侈品區塊鏈聯盟Aura Blockchain Consortium發行在以太鏈上。同時，也推出Discord社群頻道，以促進Prada客戶討論流行、藝術、影視、音樂及Web3等話題。</p> <p>這已經不是第一次Prada涉足NFT，今年一月時，Prada也跟Adidas合作發行兩家品牌社群的藝術創作NFT。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上購物</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上客服</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>模擬實體購物</b></span></font></p> <p><strong>電商金流公司Klarna將推出電商服務，主打模擬線下購物社交性</strong> </p> <p>年交易量800億美元的瑞典電商金流公司Klarna，將<a href="https://www.prnewswire.com/news-releases/klarna-launches-virtual-shopping-bringing-the-in-store-experience-to-online-shoppers-301546079.html">跨足電子商務服務</a>。不過，他們將服務定義為「虛擬購物」，強調客戶和店員線上溝通功能，以提供接近實體購物的社交體驗。</p> <p>Klarna在聲明中引用Statista數據，說明全球零售業績仍有約8成來自線下購物，且根據Klarna調查，消費者更偏好線下購物，主因是線下互動更有社交性並能獲得良好的顧客服務。因此，Klarna虛擬購物服務主打消費者可以透過訊息或視訊，即時提供建議及穿搭示範等互動，以模擬線下購物體驗。</p> <p>超過300家零售商已經採用此服務，包括服飾品牌大廠Levi's跟Hugo Boss。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>自助結帳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>大規模雜貨店</b></span></font></p> <p><strong>連鎖雜貨店品牌Dollar General將實驗全自助結帳店面</strong></p> <p>美國分店數超過1.8萬間的雜貨店品牌Dollar General，<a href="https://seekingalpha.com/article/4514715-dollar-general-corporation-dg-ceo-todd-vasos-on-q1-2022-results-earnings-call-transcript">將陸續於200家分店中開始實驗全自助結帳</a>。Dollar General COO Jeff Owen表示，加速推動措施自助結帳，是為了因應供應鏈和通貨膨脹帶來的成本壓力。目前，Dollar General已經有8,000家分店有自助結帳機臺，並預計年底前在11,000家分店中安裝。</p> <p>Jeff Owen透露，逐步推動自助結帳同時，他們也將把自助結帳機系統與智慧倉儲管理系統串接，以進一步增加店員工作效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>更多零售IT動態：</b></span></font></p> <p>PCHome 2022後半年會發展CDP並優化個人化商品推薦，同時也正在徵金融、物流、行銷領域AI人才。</p> <p>Momo將再擴建20座衛星倉且拚年底自物流比重達25%，同時正在徵電子商務、倉儲物流、科技資訊、後援服務人才。</p> <p><a href="https://newsroom.snap.com/ebay-creativekit">Snapchat將可以在Stories裡面顯示eBay商品標籤，點擊會帶使用者跳轉到eBay App中該商品頁面。</a></p> <p>資料來源：iThome整理，2022年6月</p> <p> </p> </div></div></div>
2022/6/8 14:00作者郭又華https://www.ithome.com.tw/news/151337
OpenInfra基金會推出企業贊助開源碼專案的新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prweb.com/releases/open_for_business_openinfra_foundation_launches_directed_funding_for_openinfra_project_hosting_replicating_success_of_openstack_kata_containers_starlingx/prweb18718369.htm" target="_blank">開放基礎架構基金會（Open Infrastructure Foundation，OpenInfra）本周宣布一項新的資助模式</a>，讓企業可直接贊助偏好的特定開源碼專案。</p> <p>OpenInfra是<a href="https://www.ithome.com.tw/news/140645" target="_blank">OpenStack基金會2020年10月改名並擴充而成</a>。OpenInfra最新宣布名為直接資助（Directed Funding）模型，作為更直接的企業贊助模式。</p> <p>傳統上企業若想贊助開源專案或社群，主流方式是加入會員付會員費，而由主持機構分配到最適合的專案。OpenInfra解釋，直接資助模型則允許企業針對他們最關心的專案提供資金，並獲得非營利機構的專案管理支援。</p> <p><a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">OpenInfra基金會執行長Jonathan Bryce對媒體表示</a>，之前不這麼做是因為擔心發生付錢的人有特權的情形，但是隨著基金會管理的專案愈來愈多，而會員不是對每種專案都抱以同樣關注，因此贊助特定專案的呼聲愈來愈大。</p> <p><a href="https://openinfra.dev/projects/funding/" target="_blank">根據規畫</a>，為了管理企業資助，所有在直接資助模式下的專案都必須成立法律實體。OpenInfra也規畫，為確保專案和OpenInfra宗旨一致，每個專案都要有至少1家OpenInfra白金級會員（包括微軟、Red Hat、Meta、華為及螞蟻集團等9家業者）擔任執行贊助人，其他公司再投入專案基金。所有專案贊助者都必須是OpenInfra會員。OpenInfra要求每個資助專案的會員公司必須建立基金治理委員會，根據OpenInfra指引來決定預算。</p> <p>此外，OpenInfra將提供建立專案及社群的框架及指引，包括防止委員會為了衝營收而濫接專案的管理方法。</p> <p>目前OpenInfra僅允許剛加入的專案使用這項資助模式，<a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">並表示尚未規畫現有專案可轉向這新模式</a>。</p> <p>OpenInfra基金會除了OpenStack外，另有容器安全專案Kata Containers、基礎架構生命周期管理Airship 、邊緣運算軟體堆疊StarlingX及CI/CD平臺Zuul等專案。</p> </div></div></div>
2022/6/8 14:01作者林妍溱https://www.ithome.com.tw/news/151338
蘋果推出基於雲端CI/CD的Xcode Cloud開發平臺，可供Apple開發者在雲端建置和測試App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年beta測試，在6日舉行的WWDC 2022蘋果開發者大會上，Apple宣布Xcode Cloud服務已全面推出，可供所有Apple開發者開發App使用。目前如果升級到13.4.1與14.0 beta版Xcode工具，Apple開發者已可使用Xcode Cloud功能。Apple今夏也將推出Xcode Cloud訂閱方案。</p> <p>Xcode Cloud是內建在蘋果開發工具Xcode中的新服務，可供Apple開發者在雲端建置和測試、部署應用程式，透過持續整合和持續交付，來縮短App開發周期，加快產品上市。</p> <p>不像Xcode工具是安裝在Apple用戶自己的Mac上，Xcode Cloud主要在Apple託管的雲端基礎架構上來執行，從雲端上提供程式碼簽章、存取不同作業系統版本及Xcode工具。Xcode Cloud也與Xcode緊密整合，所有在Xcode Cloud上建置和測試的結果，甚至是應用程式崩潰的回傳報告，都會在用戶自己的Xcode中呈現。</p> <p>Apple表示，透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構iOS或MacOS等應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理等，來協助開發者縮短應用開發與交付。而通過App Store Connect的Web儀表板，也能顯示Xcode Cloud上的測試的資訊，也能直接從Web頁面編輯工作流程並展開App建立，Xcode Cloud也能與TestFlight工具一起使用，可供團隊進行測試版測試。</p> <p>雖然是基於雲端CI/CD的開發平臺，不過，開發者使用Xcode Cloud服務時，仍需要配有一臺Mac及搭配最新Xcode工具，目前還不能在Windows的PC上來使用，在跨平臺App開發上也有限制，雖然可支援跨 iOS、macOS、watchOS 和 tvOS的App開發，但並不提供Android 或 Windows跨平臺的App支援。</p> <p>Apple預計今夏開始提供Xcode Cloud訂閱方案，收費方式將根據使用運算時數來計價，每月25小時收費約 14.99 美元起，若是Apple開發者計畫成員，明年底前將可獲得免費額外25小時的使用額度。</p> </div></div></div>
2022/6/8 11:37作者余至浩https://www.ithome.com.tw/news/151333
微軟對企業預覽Windows 11 22H2更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/preview-of-windows-11-version-22h2-now-available/ba-p/3478084" target="_blank">微軟昨日（7）宣布</a>Windows 11 22H2更新預覽版已釋出給企業用戶試用，正式版將於今年下半釋出。</p> <p>註冊Windows Insider Program for Business的企業，將可透過Windows Update、 Windows Update for Business、Windows Server Update Services（WSUS）、Windows Insider Preview下載頁、Azure Marketplace等管道下戴。</p> <p>而配合這波軟體釋出，微軟也將對企業用戶提供免費支援，協助企業及早測試及做好部署規畫。微軟表示Windows 7、8.1及Windows 10上的應用程式都可在Windows 11執行。若碰到有和22H2的App相容問題，<a href="https://www.microsoft.com/zh-tw/fasttrack/microsoft-365/app-assure?rtc=1" target="_blank">微軟則提供App Assure with Microsoft FastTrack技術支援</a>。</p> <p>Windows 11 22H2更新預覽版是非強制性更新。透過Windows Update設定頁、或Windows Update for Business政策頁設定加入Insider Program Release Preview Channel的公司電腦，將會自動接收到最新預覽版。不想升級的Windows 10用戶，可以在安裝設定時選擇「Stay on Windows 10 for now（暫時留在Windows 10上）」。執行Windows 11的電腦用戶則應記得不要選擇下載安裝。</p> <p>安裝Windows Server Update Service （WSUS）的公司環境，可啟用Windows Insider Pre-release類別同步下載，或使用Microsoft Endpoint Configuration Manager」。前者環境中它會出現控制臺上。微軟提醒，如果機器設定傳送診斷資料，若硬體規格不符合要求，WSUS會顯示無法安裝Windows 11 22H2。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0608-windows-11-updates_wsus.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1746,height=811'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0608-windows-11-updates_wsus-small.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>若選擇從Insider Preview下載頁下載，則可在「選擇版本」頁面選擇Windows 11 Insider Preview（Release Preview Channel）- Build 22621下載ISO檔。全新安裝（clean installation）的情境中，預覽版會使用現有Windows 10授權碼或以Azure AD啟動，無需新的Windows 11授權碼。</p> <p>以Azure Marketplace下載者，可到<a href="https://azuremarketplace.microsoft.com/zh-tw/marketplace/apps/microsoftwindowsdesktop.windows11preview?tab=Overview" target="_blank">Windows 11預覽頁</a>下載。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/378244i49522915B66B644B/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows11-release-information" target="_blank">根據微軟規畫</a>，Windows 11將會以一年一次的頻率提供功能更新，於每年下半釋出。更新後就會啟動技術支援期，Home、Pro、Pro for Workstations及Pro Education版提供24個月支援，Enterprise及Education版則提供36個月支援。</p> </div></div></div>
2022/6/8 11:23作者林妍溱https://www.ithome.com.tw/news/151332
Lockbit駭客宣稱攻擊資安廠商Mandiant，竊走35萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日猖獗的勒索軟體Lockbit背後的駭客組織本周宣稱已駭入知名資安廠商Mandiant，並竊走35餘萬份檔案。但Mandiant表示沒有證據資料外洩。</p> <p>資安媒體如<a href="https://securityaffairs.co/wordpress/132011/cyber-crime/lockbit-claims-mandiant-hack.html" target="_blank">SecurityAffairs</a>、<a href="https://www.cyberscoop.com/lockbit-2-0-claims-mandiant-ransomware-victim/" target="_blank">Cyberscoop</a>報導，Lockbit勒索軟體駭客在其暗網網站公布這項消息，宣稱已從Mandiant公司網路得手35.7萬份檔案，並揚言若在6月6日晚間10:35未獲得對方贖款，將公開這些檔案。駭客並未說明取得哪些資料，但網站上有名為mandiantyellowpress.com.7z的檔案，意味和Mandiant網域有關。</p> <p class="rtecenter"><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FUlcEoFXwAAwdcB?format=jpg&name=large" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sergiu Gatlan</span></span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">昨日Mandiant對媒體表示</a>，該公司已經注意到這個消息，但截自目前沒有證據顯示公司有資料外洩的情形。</p> <p>Lockbit宣傳駭入Mandiant之前，<a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions" target="_blank">本月2日Mandiant公布</a>一份針對Lockbit和其背後名為UNC2165的駭客組織的分析，這個駭客組織已利用Lockbit多次犯案。Mandiant根據使用的工具推斷，UNC2165和俄國駭客組織Evil Corp重疊，他們相信，Evil Corp轉而利用Lockbit勒索軟體的網路來躲避西方國家的制裁。</p> <p>昨日時限一到，Lockbit駭客公布了資料，但不是Mandiant的相關檔案，而是一份和其他公司受害者的對話擷圖，以及一封聲明稿。聲明稿主要是駁斥Mandiant上周針對Lockbit身分的一項分析。</p> <p><a href="https://twitter.com/vxunderground/status/1533948505043124224" target="_blank">Lockbit駭客否認他們和Evil Corp有關</a>，並嘲笑Mandiant光以使用的工具相同來判斷兩者關聯。他們強調自己是「真正的地下暗網駭客」，和任何政治或情報組織如FBI、俄國的FSB等都無關。Lockbit表示其成員涵括多種國籍，不但有俄羅斯，也有美國、中國、烏克蘭、伊朗等其他國家駭客。</p> <p><a href="https://twitter.com/Mandiant/status/1534230187721859073" target="_blank">Mandiant昨日表示</a>，根據駭客公布的資料，無法顯示Mandiant資料外洩，同時該公司也對其稍早Lockbit和UNC2165的分析表達信心。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">BleepingComputer分析</a>，Lockbit這番否認可能是擔心一旦被扯上和美國政府制裁的Evil Corp，受害企業就不願意再付贖金。</p> <p><a href="https://www.ithome.com.tw/news/151270" target="_blank">上周Lockbit駭客也宣稱駭入鴻海墨西哥工廠</a>，鴻海也證實了這項消息，但表示受攻擊廠區正逐漸恢復正常中，對集團整體營運影響不大。</p> </div></div></div>
2022/6/8 10:27作者林妍溱https://www.ithome.com.tw/news/151328
歐盟規定手機等電子裝置在2024年都必須統一採用USB-C充電埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20220603IPR32196/deal-on-common-charger-reducing-hassle-for-consumers-and-curbing-e-waste" target="_blank">歐洲議會與歐盟高峰會（European Council，EC）在本周二（6/7）達成共識</a>，將要求境內特定電子裝置要在2024年秋天之前以USB-C作為通用的充電埠，涵蓋手機、平板電腦、筆電、數位相機、遊戲機等眾多產品。</p> <p>此一新規定被列入《無線電設備指令》（Radio Equipment Directive）修正版中，建立一個單一的充電解決方案，除了可減少電子浪費、改善境內產品的可持續性之外，估計也會讓消費者的生活輕鬆許多。</p> <p>研究顯示，廢棄與未使用的充電器每年造成1.1萬噸的電子垃圾，且讓充電器可重覆使用，每年可替歐盟消費者節省2.5億歐元的充電器購買費用。</p> <p>在此一修正版上線後，消費者在購買新的電子裝置時，將無需再購買新的充電器，只要同一個充電器就能替所有中小型的可攜式電子裝置充電。</p> <p>該法令所適用的裝置極為廣泛，除了手機、平板電腦、數位相機、耳機、頭戴式裝置、遊戲機、可攜式喇叭之外，也包含了筆電、電子書閱讀裝置、鍵盤、滑鼠及可攜式導航裝置等。</p> </div></div></div>
2022/6/8 10:53作者陳曉莉https://www.ithome.com.tw/news/151329
IBM宣布撤出俄羅斯市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/Update-on-IBMs-Business-Operations-in-Russia" target="_blank">全球科技服務業者IBM周二（6/7）宣布</a>，將撤出俄羅斯市場，解散當地的員工。</p> <p>在俄羅斯於2月24日入侵烏克蘭之後，IBM於3月7日暫停於俄羅斯的營運，雖然營運暫停，但依舊支付薪資予當地的員工。不過，IBM本周表示，隨著戰爭所帶來的後果愈來愈嚴重，長期的不確定性大增，使得它們決定將關閉IBM於俄羅斯的業務，且即日就會展開相關程序，包括解散當地的員工。</p> <p>IBM並未說明該公司在俄羅斯的員工人數，但IBM於俄羅斯有許多重量級客戶，例如俄羅斯聯邦儲蓄銀行Sberbank或俄羅斯鐵路Russian Railways等。</p> <p>不過，IBM在今年4月的財報會議上透露，不在俄羅斯作生意對該公司的影響很小，該市場每年替IBM創造3億美元的營收，僅占IBM總營收的0.5%。</p> <p>IBM也表示，該公司知道這並不是員工的錯，而且他們已經承受了幾個月的壓力與不確定性，IBM將會持續支持他們，採取所有合理的步驟來協助他們渡過此一時期。</p> </div></div></div>
2022/6/8 11:14作者陳曉莉https://www.ithome.com.tw/news/151330
Python與meta程式設計
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當我們使用Python進行開發時，當中的資料都是以物件的形式存在，而物件會是類別的實例，若能控制每個被定義的類別，就有機會對它們進行驗證、調整，玩弄一些神奇的技法。若要概略區分，這其實是屬於meta程式設計的範疇。如果你對Python稍有深入的研究，可能會想到Python可藉由metaclass的定義與指定，來從事meta程式設計。</p> <p>然而，在Python中，想利用meta程式設計完成任務，最好的方式就是不要使用metaclass，這聽來矛盾，其實這是個隱喻，就跟「在Python中想讀取檔案，最好的方式就是不要read」是類似的，因為檔案物件實作了迭代器協定，透過for in就能逐一取得檔案中的資料，同時可以降低讀取檔案時的複雜度。</p> <p><span style="font-size:28px;"><strong>使用metaclass之前</strong></span></p> <p>類似地，metaclass在實作與使用上有著不小的複雜度，往往還必須搭配裝飾器（decorator）、描述器（descriptor），而隨意實作的metaclass令程式增加意外性且難以除錯，因此我們應優先考量Python標準程式庫中現成、成熟的metaclass實作方案，看看它們是否能夠解決問題，而非一上來就直接實作metaclass。</p> <p>例如，在屬性與方法的控制上，如果想實現固定存取（uniform access）原則，我們可以使用@property，靜態方法與類別方法也有相對應的@staticmethod、@classmethod裝飾器；若想定義抽象基礎類別及抽象方法，我們可以透過abc模組的ABC類別，以及@abstractmethod等進行。</p> <p>基本上，@property等標註，實現了裝飾器與描述器的行為，至於ABC類別，其實是個指定metaclass為abc.ABCMeta的簡便類別，而建議繼承ABC的原因在於，可以讓開發者不用意識到metaclass的存在。而在多重繼承的情況下，若其他父類別也指定metaclass，建構與初始的流程可能會難以掌握，這時自行指定metaclass才會是必要的。</p> <p><span style="font-size:28px;"><strong>魔術方法與描述器</strong></span></p> <p>如果Python標準程式庫現成的方案不足以使用，下一步是考量可靠的第三方程式庫，如果還是不足以解決問題，想要自行實現屬性與方法的控制，我們此時可以先考量魔術方法。</p> <p>例如，若想控制能指定給物件的屬性名稱，我們可以在定義類別時指定__slots__，列出類別實例可以指定的屬性；若想指明某些特性是抽象方法，我們可以在類別實例上指定__abstractmethods__，表明哪一些方法其實是抽象方法，如果類別的__abstractmethods__不為空，那麼就是個抽象類別，不可以直接實例化。</p> <p>然而，只是指定父類別的__abstractmethods__，並沒有檢查子類別是否實作抽象方法的能力，這就是ABC類別與@abstractmethod存在之目的。其實，檢查子類別是否實現了抽象方法，只是metaclass用來驗證子類別的一種形式，有許多任務也都需要驗證子類別。</p> <p>為了避免開發者以複雜的方式實現metaclass來驗證子類別，Python 3.6以後，類別可以實作__init_subclass__方法，若繼承該類別，直譯器在執行完類別定義後，就會呼叫__init_subclass__方法傳入子類別，這就使得驗證子類別這類任務在實作上，可以避免使用metaclass而輕鬆許多。</p> <p>控制屬性的魔術方法，還有__getattribute__、__getattr__、__setattr__、__delattr__。在取得屬性時，最先執行的會是__getattribute__，常作為取得屬性時最前端的攔截器，而由於實例__dict__中存在屬性時就會傳回值，因此，__getattr__常作為搜尋屬性的過程中，都找不到屬性時的最後一道防線；由於__setattr__、__delattr__一定會先呼叫，所以，也就不存在__setattribute__、__delattribute__。</p> <p>描述器會參與屬性存取過程，是與__getattr__需求正交（orthogonal）的方案，但與特殊方法不同之處在於：描述器可以取得描述器所在類別資訊，而且描述器本身是個物件，可重用在各個類別之中，本身被存取時會呼叫對應的協定，而非描述器所在類別之實例各屬性被存取時，採取對應的動作。</p> <p>在Python 3.5以前，描述器只在被存取時才會呼叫對應的協定，若要在描述器被定義至類別時，就能進行驗證類別的動作，必須透過metaclass來實作；到了Python 3.6以後，描述器可以定義__set__name__方法，而這個方法會在類別定義完成後執行，傳入描述器所在之類別，這麼一來，就有機會對類別或名稱做些處理，可以避免過去一些必須實作metaclass的場合。</p> <p><span style="font-size:28px;"><strong>裝飾器與metaclass</strong></span></p> <p>meta程式設計的應用，並不僅在於控制屬性與方法，例如，Python 3.6以後的類別，可以實作__init_subclass__方法、描述器可以定義__set__name__方法，這無非就是在反映一件事實：不少任務需要在類別定義完成時就執行。</p> <p>有個最接近類別定義完成時就執行的機制，那就是類別裝飾器，當裝飾器標註在類別，類別會作為裝飾器的引數傳入，這時候也就有機會對類別做驗證及調整。</p> <p>因為每個類別只能指定一個metaclass，然而，類別裝飾器可以組合，也就是，在類別上可以標註多個裝飾器，這就使得在許多場合當中，類別裝飾器成了比metaclass更有彈性的選擇，例如，在《Effective Python》第二版的〈做法51〉，就推薦以類別裝飾器來實現可組合的擴充機制，而不是使用metaclass。</p> <p>metaclass存在之目的，是希望類別定義完成時就執行一些任務，具體來說，就是希望能掌握類別的建立與初始化！嗯？類別不是寫死的程式碼定義嗎？不是！類別最後會成為一個物件，是type類別的實例，因此實作metaclass，就是希望在掌握type(...)建立、初始類別時的過程。</p> <p>這也就是為什麼，定義metaclass時需要繼承type類別，實作__new__或__init__方法。這是因為__new__掌握了怎麼建立類別，__init__掌握了怎麼初始類別，如果某個類別在定義時指定了metaclass，那麼，就會使用該metaclass來建立、初始化類別。</p> <p><span style="font-size:28px;"><strong>建立、初始化類別前或後？</strong></span></p> <p>類別裝飾器（或者魔術方法、描述器等）終究是在類別建立、初始化之後，才會在類別進行調整，是否使用metaclass的最大考量也在於此：開發者想解決的任務，究竟是在類別建立、初始化之前就要完成呢？還是其實在類別建立、初始化之後，也可以實現呢？若是前者，才使用metaclass！</p> <p>一個有趣的事實是，定義類別時metaclass可指定對象──並不只有type子類別，只要是可呼叫（callable）物件都可以指定，這是因為：建立metaclass實例時，就是呼叫__call__，其中才呼叫了__new__、__init__方法，然而，這是從鴨子定型的觀點來看罷了，如果使用靜態分析工具，像是mypy檢查時，可能就會發生"Invalid metaclass"之類的錯誤。</p> <p>總之，在Python中，如果我們能用簡單方案實現的任務，就不要以複雜的方式來實現，從事meta程式設計時也是如此，雖然某些需求，看似用特殊方法、描述器或metaclass等都能實現，但是，還是要仔細考量彼此的分野，以免讓實現變得複雜了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/metaclass">metaclass</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6">物件</a></div></div></div>
2022/6/8 07:00作者林信良https://www.ithome.com.tw/voice/151261
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，繼上星期有中國駭客利用此漏洞對西藏發動攻擊後，研究人員再度發現相關的攻擊行動。而這次駭客的目標，是歐洲與美國地方政府的人員。</p> <p>今天有兩起駭客聲稱竊得企業內部資料的事故相當引起關注。其中又以大型藥廠諾華（Novartis）的資料外洩事故較為受到矚目，因為，駭客宣稱拿到與研發新藥品有關的實驗數據，而很有可能影響相關藥品的研發。</p> <p>廣泛運用於嵌入式Linux裝置的開機程式U-Boot，其漏洞引起研究人員注意，因為，這些漏洞有可能被攻擊者用於挾持設備。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料並傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> </div></div></div>
2022/6/7 18:42作者周峻佑https://www.ithome.com.tw/news/151321
Container周報第149期：Docker桌面版正式支援Linux，未來連樹莓派OS都能裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/5/8~2022/5/25 精選容器新聞</strong></span></p> <p><strong>#容器開發、#Docker桌面<br /> 終於！Docker桌面版正式支援Linux，未來連樹莓派OS都能裝</strong></p> <p>這項在Docker公開藍圖需求排名第二熱門的功能，終於實現了。日前Docker在年度大會上宣布，Docker桌面版也正式支援Linux了。這代表了開發者可以跨Windows、macOS和Linux來使用相同的Docker容器開發環境。</p> <p>過去Linux開發者只能使用命令列工具來使用Docker開發環境，但現在可以透過視覺化UI來管理容器配置、儲存空間、映像檔等。也可以一鍵快速安裝常見容器開發套件，包括了K8s、Docker Engine、Docker CLI、Docker Compose、BuildKit等。Docker桌面版的Linux版本，可以整合Linux VM，也能用來整合Mac、Windows電腦上的檔案系統或網路層。</p> <p>開發者可以使用Docker儀表板來管理Linux上所有的容器資源。Linux開發者現在也能使用Docker外掛機制，來取得第三方提供的Docker工具。目前，Docker桌面版可以支援的Linux版本包括了Ubuntu、Debian和Fedora，Docker公司表示，下一步將與Linux社群合作，盡可能支援更多Linux發行版本，預計將推出ArchLinux版本以及許多人期待的64位元Raspberry Pi作業系統。</p> <p><strong>#容器開發、#Docker擴充機制<br /> Docker桌面版擴充機制正式推出，VMware、紅帽等16家第三方先支援</strong></p> <p>Docker Extension擴充機制和擴充機制SDK在5月初正式推出，也代表了Docker桌面成了可以支援任何第三容器工具的桌面版整合開發環境，而第三方應用也可以透過Docker Extension SDK來整合到Docker開發流程中。Docker公司也宣布了第一批擴充機制的供應商有16家，包括紅帽、VMware、JFrog等，提供了多款K8s擴充機制，如可支援VMware Tanzu社群版K8s或紅帽OpenShift的快速部署。另外也有多款強化軟體供應鏈安全的擴充機制，例如JFrog Xray、</p> <p>Snyk、Anchore這3款擴充機制都可用孻掃描容器映像檔弱點。也有一些Docker公司自建的擴充機制，例如磁碟用量工具、容器Log檔瀏覽工具。</p> <p><strong>#GitOps、#Azure<br /> AKS正式支援Weaveworks的GitOps平臺，VS Code也同時內建</strong></p> <p>Weaveworks旗下GitOps平臺Flux v2在微軟開發者大會上宣布，正式支援AKS和Arc K8s。開發團隊能透過Azure叢集擴充機制來啟用Flux後，就可以讓Azure支援GitOps配置，連結到Git儲存庫，來快速部署和管理跨雲的K8s叢集。Azure可以追蹤在Git儲存庫中定義的狀態，來檢查透過GitOps流程部署的法遵狀態，也能用來觀察叢集的健康情況。</p> <p>搭配AKS支援GitOps配置，VS Code也釋出了GitOps擴充功能，可以用來管理在AKS上Flux平臺所建立的GitOps流程。</p> <p><strong>#Serverless、#容器化App<br /> Azure容器化App服務正式上線，主打CNCF開源專案技術來提高互通性</strong></p> <p>微軟在年度開發大會上宣布Azure上的容器化App服務正式上線，這是用K8s提供的無伺服器執行服務，可以用來部署容器化的微服務。這項服務並非以微軟自家工具，而是標榜以CNCF的開源專案技術為主，來確保高度互通性，在微軟AKS服務上，採用K8s事件驅動自動擴充轉KEDA、分散式應用Runtime（Dapr）和Envoy來打造出這項服務。開發者可以透過Visual Studio和Visual Studio Code來開發和管理Azure容器化App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Azure%E5%AE%B9%E5%99%A8%E5%8C%96app.png" /></p> <p><strong>#容器資安、#DevOps<br /> GitLab大改版，容器掃描成為基本功能，免費版也能用</strong></p> <p>DevOps平臺商GitLab最近發布了15.0新版，加入更多的DevOps功能，重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>在15.0版中，也將過去付費版才有的容器掃描功能，下放到免費版，可以用來檢查所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p><strong>#Linux、#容器部署<br /> 新版RHEL 9來了，新增容器回撤功能，能自動回復到更新前組態</strong></p> <p>紅帽在年度大會中宣布推出了RHEL 9，主打邊緣運算（edge computing）的支援、及預防Spectre等硬體層漏洞的安全功能。</p> <p>這是第一個以CentOS Stream為基礎的產品，後者是提供RHEL預覽版功能的社群版。新版本特別主打對邊緣運算的功能強化，包括在單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解。新增Podman的自動化容器回撤（rollback），可在偵測容器更新失敗時，回復到之前最後的良好組態。</p> <p><strong>#雲端原生、#軟體開發<br /> 微軟推出雲端開發工具箱Dev box，開發電腦環境能上雲統一預先配置和管理</strong></p> <p>微軟利用去年發表的雲端電腦Windows 364，推出了雲端開發電腦，稱為雲端開發工具箱Dev Box服務。這是一個在雲端提供的開發用電腦環境，可以結合Azure AD群組管理，預先為開發專案中不同成員角色，預先配置所需硬體規格、開發工具和支援套件的雲端開發用電腦環境，可以快速啟動來使用。</p> <p>也因透過Windows 365雲端電腦提供，因此，也可以統一使用微軟端點管理機制和Intune來控管這些雲端開發電腦的安全性。開發者可以透過Windows、MacOS、Android或iOS作業系統，以及瀏覽器來登入這個雲端開發電腦，進行不同類型的App開發，也能用內建的Linux次系統來開發Linux應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%9B%B2%E7%AB%AF%E9%96%8B%E7%99%BC%E9%9B%BB%E8%85%A6.png" /></p> <p><strong>#開源軟體管理、#軟體供應鏈<br /> 瞄準軟體供應鏈管理需求，GCP第三季推出開源套件安全驗證保證服務</strong></p> <p>Log4j漏洞問題引發應用程式開發的供應鏈安全問題，GCP近日宣布名為保證開源軟體（Assured Open Source Software）的服務，可協助企業或開發商取得經過Google漏洞檢查及簽章的開源套件，這項服務預計今年第3季開放測試。這些開源套件定期經Google掃瞄、分析漏洞及模糊測試、以Google 無伺服器CI/CD平臺Cloud Build開發、經過Google簽章、並由Google Cloud（容器映像檔及語言套件代管平臺）Artifact Registry代管及管理，藉此省去開發人員使用開源套件的安全管理作業。</p> <p><strong>更多新聞</strong></p> <p>SUSE正式推出容器安全產品NeuVector，能管理容器各生命周期階段的資安</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/7 18:52作者王宏仁https://www.ithome.com.tw/news/151322
駭客利用微軟零時差漏洞Follina來攻擊歐洲與美國政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/threatinsight/status/1532830739208732673" target="_blank">資安業者Proofpoint上周指出</a>，光是這幾天就封鎖了多個企圖開採微軟零時差漏洞Follina的網釣攻擊行動，目標對象為歐洲各國政府及美國的地方政府組織。</p> <p><a href="https://www.ithome.com.tw/news/151238" target="_blank">微軟是在5月30日揭露</a>此一位於Microsoft Support Diagnostic Tool（MSDT）的Windows漏洞CVE-2022-30190，該漏洞允許駭客取得用來呼叫MSDT的程式權限，以執行任意程式。當時微軟已收到針對該漏洞的攻擊報告，同時資安業者也公布了鎖定該漏洞的不同攻擊行動。</p> <p>目前微軟僅建議使用者關閉MSDT的URL協定作為暫時性補救措施，尚未釋出修補程式。</p> <p>Proofpoint說明，此一攻擊行動看似由特定政府支持，鎖定歐洲及美國政府組織進行網釣攻擊，在電子郵件中誆稱要幫員工加薪，並附上一個跨平臺的RTF檔案格式，檔案中則藏匿了惡意的Powershell腳本程式。</p> <p class="rtecenter"><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-phishing%20CVE-2022-30190-600.jpg" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></a></p> <p>最終的惡意Powershell腳本程式會檢查系統的虛擬化狀態，並自瀏覽器、郵件客戶端及文件服務中竊取資訊，還會在機器上進行偵察，再將所有盜來的資訊壓縮並傳送至駭客伺服器。</p> </div></div></div>
2022/6/7 17:52作者陳曉莉https://www.ithome.com.tw/news/151320
蘋果推出BNPL功能Apple Pay Later美國市場先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北時間6月7日凌晨，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-new-ways-to-share-and-communicate-in-ios-16/" target="_blank">蘋果在WWDC 2022發表包括iOS 16</a>、macOS Ventura、以及採用新一代M2晶片的MacBook Air。其中iOS 16將推出先買後付（Buy Now Pay Later，BNPL）功能Apple Pay Later。</p> <p>BNPL和銀行分期付款類似，允許消費者先取得產品和服務，並於日後一定期間內分期支付。和銀行付款不同的是，BNPL模式下，是由第三方服務業者先支付，後者則向消費者收取利息或逾期罰金。消費者不需具備信用卡，BNPL業者也不執行傳統銀行的信用稽核，而是依據業者自己的風險模型進行評估。在Apple Pay Later中，BNPL角色就由蘋果擔任。</p> <p>Apple Play Later是內建於Apple Wallet的服務，方便使用者以Apple Wallet管理、追蹤消費狀況，或設定重覆使用Apple Pay Later支付。只要能使用Apple Pay支付都可以用這項服務，不論是網路購物或程式內（In-App）購買。此外，結合Apple Pay訂單追蹤（Order Tracking）功能，消費者可在Wallet中接到以Apple Pay向合作店家購物時的詳細收據或訂單追蹤資訊。</p> <p>蘋果今天也宣布，在美國提供Apple Pay Later服務，消費者可設定6周期間的4期分期付款。蘋果強調無息且無額外費用，但若消費者銀行戶頭餘額不足可能會衍生出銀行方面的費用。在美國的Apple Pay Later將利用萬士達卡（Mastercard）網路完成支付。</p> <p>蘋果藉此趕上BNPL金融服務風潮。<a href="https://www.prnewswire.com/news-releases/afterpay-and-google-pay-deliver-buy-now-pay-later-payments-for-brick-and-mortar-retailers-301092772.html" target="_blank">Google Pay 2020年7月</a>和BNPL服務業者AfterPay合作提供於美國實體店家使用的BNPL支付。微軟則於去年底和ZIP合作自有服務，<a href="https://www.ithome.com.tw/news/148064" target="_blank">並於Edge測試</a>。</p> <p>除了BNPL服務，<a href="https://www.apple.com/newsroom/2022/02/apple-unveils-contactless-payments-via-tap-to-pay-on-iphone/" target="_blank">蘋果今天也宣布</a>本月在美國推出零接觸支付（Contactless Payments）功能「Tap to Pay」，允許消費者以iPhone直接完成支付，同時店家也無需另外安裝終端機或其他硬體。</p> </div></div></div>
2022/6/7 16:23作者林妍溱https://www.ithome.com.tw/news/151316
蘋果2021年封鎖了逾160萬個不安全App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/app-store-stopped-nearly-one-point-five-billion-in-fraudulent-transactions-in-2021/" target="_blank">蘋果本周宣布打擊詐騙App的成果</a>，2021年該公司封鎖了超過160萬個可能導致用戶詐騙的惡意或有風險App及程式更新，刪除上億詐騙帳號及App評價，防止價值將近15億美元的詐欺交易。</p> <p><a href="https://www.ithome.com.tw/news/144354" target="_blank">去年5月蘋果發布第一次App詐欺預防的成果報告</a>。而在2021年，蘋果宣稱封鎖160多萬可詐騙用戶金錢的高風險及不安全App。其中蘋果封鎖了散布盜版App的線上市集6.4萬個，這些App冒充高人氣App，又企圖繞過App Store的安全檢查。還有些開發人員先以合法名目使App通過審查，之後悄悄變更功能，共15.5萬個App被蘋果發現而將之下架。</p> <p>此外，有將近3.5萬個App內暗藏未公開的功能遭到App Store拒絕，34.3萬個App因違反隱私政策吃了閉門羹，另有15.7萬個App因涉嫌發送垃圾訊息、抄襲或誤導用戶而無法上架。</p> <p>詐騙帳號是這些App問世的起點，因而成為蘋果查緝重點。過去12個月之中，蘋果拒絕了1.2億個企圖設立的詐騙帳號，1.7億個詐騙帳號遭停權。蘋果還關閉了80.2萬個涉及詐騙的開發者帳號。並有將近60萬帳號被查禁不得再次交易。</p> <p>許多用戶是因不實評價而上了詐騙App的當。2021年蘋果掃瞄所有平臺上超過10億次評等或評價，因此封鎖了9,400萬次評等，有1.7億多則評價因未達審核標準而從未曝光，還有61萬則評價被用戶投訴及經人力審查而移除。</p> <p>蘋果說，經過嚴格審核，2021年該公司阻止了將近15億美元的詐欺交易，防堵了330萬張失竊信用卡被用於在蘋果平臺上消費。</p> </div></div></div>
2022/6/7 16:38作者林妍溱https://www.ithome.com.tw/news/151317
蘋果發表macOS Ventura，強化多工、協作與無密碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/macos-ventura-brings-powerful-productivity-tools-new-continuity-features-to-mac/" target="_blank">蘋果於周一（6/6）發表了新一代的macOS Ventura（macOS 13）桌面作業系統</a>，新增的幕前調度（Stage Manager）將讓使用者更容易切換正在執行的任務，亦允許Mac用戶透過接續互通相機（Continuity Camera）功能來利用iPhone的相機能力，還能利用指紋或人臉辨識等生物認證機制來產生通行密鑰（Passkey），以響應無密碼時代的到來。</p> <p>當中的幕前調度可自動整理使用者於桌面上所開啟的程式與視窗，正在使用的程式或視窗會占據螢幕中央的主要位置，而其它開啟的視窗則會以小圖形式出現於左側，以方便使用者切換任務，還可替這些小圖建立群組，來區分不同的任務或專案。</p> <p>至於接續互通相機功能則是讓Mac用戶得以利用iPhone來作為電腦的網路攝影機，該功能會自動辨識並使用附近的iPhone相機，把iPhone相機的人物居中、人像模式或其它更高階的功能帶到Mac裝置上，具備超廣角相機的iPhone還能提供Desk View功能，提供納入使用者臉部與桌面的視角，方便製作DIY影片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-Continuity-Camera-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>FaceTime也提供了接力（Handoff）功能，在任一蘋果裝置上執行的FaceTime都能無縫切換到另一臺蘋果裝置上，例如原本在iPhone或是iPad上使用FaceTime，只要按下一鍵就能切換至Mac上，或是把Mac上的通話轉移到iPhone與iPad上。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-FaceTime-Handoff-220606_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>macOS Ventura內建的Safari瀏覽器也新增了許多功能，例如可共享分頁群組（Tab Groups），或者是在共享的起始頁面（Start Page）建立書籤列表，以利與親友或同事協作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Tab%20Groups%20in%20Safari%20-600.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>為了推動無密碼的未來，蘋果在最新的macOS、iOS或iPadOS上都嵌入了通行密鑰（Passkey）機制，讓使用者把這些設備當作身分認證者，在建立帳號的時候產生一對公私鑰，再把其中的公鑰傳送至伺服器端，至於私鑰則存放於使用者的裝置上，就蘋果用戶而言，就是以Touch ID或Face ID等生物認證技術，產生通行密鑰，並能利用iCloud Keychain來同步不同蘋果裝置上的密鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Passkeys-macOS%20Ventura-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>有了通行密鑰之後，未來使用者登入任何服務都不用再輸入密碼，而是以存放於使用者裝置上的密鑰來取代，它不僅適用於蘋果裝置或行動程式，就算使用者正在操作其它平臺或使用第三方應用，也可以利用iPhone中所存放的通行密鑰來登入服務。</p> <p>macOS Ventura的其它功能還包括，讓用來辨識影片中文字的原況文字（Live Text）功能也支援暫停的影片、日文與韓文；並將iPhone上熱門的天氣與時鐘程式整合到Mac平臺上；特別值得一提的還有蘋果變更了macOS的安全更新能力，推出Rapid Security Response，可用來隨時遞送安全更新而不需重開機。</p> <p>蘋果已於本周釋出了macOS Ventura開發者預覽版，預計於下個月開放公開預覽，正式版則會在秋天上線。</p> </div></div></div>
2022/6/7 16:50作者陳曉莉https://www.ithome.com.tw/news/151318
SEC準備調查幣安發行BNB有否違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-06/us-probes-binance-over-token-that-is-now-world-s-fifth-largest" target="_blank">《彭博社》（Bloomberg）本周引述未具名的消息來源報導</a>，美國證券交易委員會（SEC）正在調查幣安（Binance）在2017年透過首次代幣發行（ICO）發行幣安幣（BNB）是否涉及違法。</p> <p>幣安現為全球最大的加密貨幣交易中心，在2017年以ICO形式發行了幣安幣，<a href="https://www.exodus.com/assets/docs/binance-coin-whitepaper.pdf" target="_blank">根據當時的白皮書</a>，幣安幣的發行總數為2億個，透過ICO出售1億個，有8,000萬個保留給創始團隊，另外2,000萬個則歸天使投資人所有，每個代幣的價格為0.15美元，因此，該次幣安透過ICO總計募集了價值1,500萬美元的比特幣與以太幣。</p> <p>為了壯大幣安幣的生態體系，舉凡透過幣安交易加密貨幣時，只要以幣安幣支付手續費就能得到折扣，從第一年的50%遞減到第四年的6.75%，此外，幣安也計畫要以獲利來回購並銷毀幣安幣，最終目標是讓幣安幣的流通量縮減到1億。<a href="https://coinmarketcap.com/" target="_blank">幣安的推動再加上與第三平臺的合作讓幣安幣成為全球第五大加密貨幣</a>，僅次於比特幣、以太幣，以及USDT與USDC兩款穩定幣。</p> <p>然而，根據報導，SEC現在打算追究幣安於5年前執行的ICO有否違法，<a href="https://www.ithome.com.tw/news/123910" target="_blank">因為SEC認為ICO屬於證券交易</a>，受到證券法的管轄，因此在ICO之前必須向SEC註冊，可是當時幣安並未執行此一動作。此外，<a href="https://www.ithome.com.tw/news/133371" target="_blank">SEC的確在2019年曾向未經註冊就執行ICO的區塊鏈技術公司Block.one開罰2,400萬美元</a>。</p> <p>不管是SEC或幣安都未向《彭博社》證實此一消息，但幣安說將會持續努力以符合監管機構的所有要求。</p> <p>幣安最近似乎不太平靜，除了傳出遭到SEC調查之外，<a href="https://www.reuters.com/investigates/special-report/fintech-crypto-binance-dirtymoney/" target="_blank">《路透社》亦於本周報導</a>，這幾年幣安早就淪為駭客、投資詐騙或非法藥品銷售的洗錢管道，至少有23.5億美元的不法所得流向該平臺，且此一數字是該通訊社自法院文件、執法機構及區塊鏈數據計算而來。</p> </div></div></div>
2022/6/7 17:14作者陳曉莉https://www.ithome.com.tw/news/151319
蘋果發表為M2客製化的全新MacBook Air，MagSafe回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在周一（6/6）舉行的WWDC全球開發者大會上除了揭露新一代的M2晶片之外，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-all-new-macbook-air-supercharged-by-the-new-m2-chip/" target="_blank">也發表了完全以M2為基礎而全新設計的MacBook Air</a>，以及採用M2的13吋MacBook Pro，此外，蘋果還讓磁吸式的充電埠MagSafe重返MacBook Air。基於M2晶片的MacBook筆電將於下個月上市。</p> <p>相較於2020年底發表的M1，M2的CPU效能快了18%，GPU效能快了35%，每秒所支援的統一記憶體頻寬為100GB，為M1的一倍，使得它最多可支援24GB的記憶體。</p> <p>蘋果指出，新的MacBook Air是以M2晶片為基礎從零打造，它的厚度只有1.13公分，比M1版的1.61公分還薄，重約1.24公斤，也略輕於M1版的1.29公斤，但它的螢幕尺寸為13.6吋，大於M1版的13.3吋，前置FaceTime相機畫素從720p提高到1080p，也有更先進的音訊功能。兩代的MacBook Air都沒有風扇，電池續航力一致為18小時，也都支援Touch ID。整體而言，M2版MacBook Air的整個體積比M1版少了20%。</p> <p>最令果粉們感到雀躍的應該是磁吸式充電埠MagSafe重返MacBook Air，磁吸式的設計可在使用者不小心拉扯到充電線時快速斷開以保護裝置。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-WWDC22-MacBook-Air-MagSafe-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>至於13吋的MacBook Pro最主要的更新，就是把M1晶片換成M2。</p> <p>不過，M2版MacBook Air的價格比M1版貴了200美元。這兩代的最低階版本皆配備8GB記憶體與256GB的儲存空間，但M2版售價為1,199美元（新臺幣37,900元），高於M1版的999美元（新臺幣30,900美元）。M2版MacBook Air除了既有的銀色與太空灰之外，新增了午夜色與星光色。</p> <p>M2版的13吋MacBook Pro售價與M1版一致，都是1,299美元（39,900元新臺幣）。</p> <p>蘋果雖然已於官網上公布M2版MacBook Air與MacBook Pro的規格及售價，但尚未開放預訂，也未揭露出貨日期，僅說預計於下個月上市。</p> </div></div></div>
2022/6/7 16:09作者陳曉莉https://www.ithome.com.tw/news/151315
WWDC：iOS 16登場，鎖定畫面大翻新、訊息功能更人性化、優化個人視聽體驗也強化媒體分享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在WWDC上揭露了新一代作業系統iOS 16，不只擴大Share Play、Visual Look Up等功能的使用情境，也優化了iMessage、Live Text、CarPlay、Home、空間音效等。不過今年最主打的更新，還是鎖定畫面推出大量個人化選項。iOS 16現為開發者Beta版，並只支援iPhone 8以上裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/lock%20screen.jpg" style="width: 600px;" /></p> <p>新版鎖定畫面中，除了時鐘字型跟顏色能自訂，更新增了多種小工具選項，從基礎的天氣、行事曆，到音樂播放器、健身App面板，甚至是第三方App的其他功能，都能放到鎖定畫面中。iOS 16還推出了Live Activity追蹤功能，不用解鎖裝置，就可以在鎖定畫面確認各種活動的即時更新，例如體育賽事賽況、以及Uber或食物外送員抵達時間等。</p> <p>為了讓鎖定畫面有更多空間呈現個人化內容，iOS 16的通知訊息不再出現於畫面中間，而是堆疊在螢幕底部，使用者可以往上滑動展開所有訊息，也能往下滑動將訊息全部隱藏。</p> <p>配合iOS 15推出的專注模式，一臺裝置可以有多個鎖定畫面，根據工作、休閒等不同情境，分別設定適當的壁紙、小工具和通知訊息過濾條件，並在鎖定畫面中切換不同情境。</p> <p>除了鎖定畫面外，專注模式也適用於其他App，例如在郵件App中僅顯示工作相關Email，或是只顯示瀏覽器中跟工作有關的分頁。蘋果今年更推出了專注模式API，讓第三方App也能開發專注模式功能。</p> <p>iOS 16另一項大更新是iMesssage，不僅新增了編輯、收回及標記為未讀功能，也開始支援Share Play功能，可在App內跟其他使用者同時觀看影音，過去這個功能只支援FaceTime。此外，iOS 15推出的iMessage「與您分享」區塊，可以瀏覽其他使用者分享的檔案，並用訊息回覆該使用者，此功能今年也推出了第三方API，將其使用情境拓展到蘋果原生App之外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/imessage.jpg" style="height: 400px;" /></p> <p>文字處理功能也有更新，例如聽寫功能更新後，語音輸入會自動加入標點符號，也可以打出表情符號，更能同時保留觸控鍵盤，讓使用者靈活選擇輸入方法。</p> <p>另一個文字處理功能Live Text，可以在App或相簿中，透過AI技術辨認出文字。現在，此功能也適用於影片，只要暫停影片，就能對影片中出現的文字進行多種操作，包括直接複製、造訪網址網頁、翻譯文字甚至轉換匯率。蘋果同樣釋出了此功能的API給第三方開發者，並特別點名影音分享平臺Vimeo將支援Live Text功能。</p> <p>除了文字識別功能，iOS 16還有圖片識別功能，可以識別影像中物體，例如石礫攤上的一隻狗，並單獨搜尋、複製或分享該物體影像，甚至直接提取圖片中物體，拖曳到訊息中傳送。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/visual%20lookup.png" style="width: 600px;" /></p> <p>iOS 16也推出了新版Car Play及Home，強化iPhone與其他硬體連結並當作終端的功能。新版Car Play可以和汽車硬體高度整合，從調整汽車空調、看汽車儀表板等功能，都可以從Car Play中介面操作，而不用切換到其他系統。同時，Car Play介面會根據汽車螢幕大小與形狀調整版面，也能進行高度個人化設定。新版Home則是重新設計介面，新增了更多智慧家庭裝置分類，例如保安、照明系統，也提升了個別裝置於介面中的識別度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/carplay.jpg" style="width: 700px; height: 295px;" /></p> <p>其他功能，還有隱私權功能Safety Check，可以管理App授權項目，還能管理與其他用戶共享的存取權，並緊急重置這些設定。另外還有部分保健功能不用Apple Watch就能使用、透過鏡頭景深優化耳機空間音效、以及可以和團隊成員即時瀏覽並編輯檔案或Safari分頁的協作功能。</p> </div></div></div>
2022/6/7 13:25作者郭又華https://www.ithome.com.tw/news/151314
蘋果發表比CPU效能比M1快18%，GPU快上35%的M2晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141038" target="_blank">蘋果在2020年的11月發表首款基於Arm架構的自製晶片M1</a>，一年半之後的WWDC大會上，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-m2-with-breakthrough-performance-and-capabilities/" target="_blank">蘋果再度揭露了第二代的M2晶片</a>，效能比M1快上18%，提供比M1多上50%的記憶體頻寬，最多可支援24GB的記憶體，將率先被應用在MacBook Air與13吋的MacBook Pro上。</p> <p>整體而言，M2具備更快的CPU、GPU與Neural Engine，有更高的記憶體頻寬，以及新的ProRes加速器等功能。其中，CPU比M1快上18%，GPU比M1強大35%，Neural Engine比M1快了40%，而記憶體頻寬則比M1多出50%，至於ProRes則為影片引擎，可同時播放多個4K與8K影片串流。</p> <p>M2採用第二代的5奈米技術製程，由200億個電晶體組成，電晶體數量比M1多出25%。蘋果解釋，增加的電晶體改善了整個M2晶片的效能，包括可支援更多記憶體頻寬與更大記憶體的記憶體控制器，代表M2能夠處理更大型且更複雜的任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>此外，M2的CPU雖然最多只有8核心，與M1一致。但蘋果指出，若與市場上最新的、具備10核心的PC筆電晶片相較，在同樣的功耗上，M2將可帶來兩倍的效能，只需1/4的功耗就能達到PC筆電晶片的峰值效能；若是與12核心的筆電晶片相較，M2就算只使用1/4的功耗，也能達到12核心晶片的9成峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%93.jpg" style="width: 600px;" /></p> <p>而M2的GPU最多可配置10核心，比M1多了兩個。它讓M2的繪圖效能比M1多出25%，在最大功耗下的效能可多出35%。若是與市場上最新PC筆電的整合式繪圖相較，M2的GPU在同樣功耗上提供接近2.3倍的效能，而且只使用1/5的功耗就能達到峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%92.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>M2的其它改善還包括其神經網路引擎（Neural Engine）的處理能力比M1快了40%；媒體引擎擁有更高頻寬的影片解碼器，可支援8K H.264與HEVC影片；更新了安全隔離區（Secure Enclave）以提供更好的安全防護；以及提供更好圖像降噪能力的全新圖像訊號處理器（Image Signal Processor，ISP）。</p> <p>亦於本周發表、預計於今年秋天問世的蘋果新一代桌面作業系統macOS Ventura將會充分運用M2，以改善該作業系統上既有的應用並帶來全新應用。</p> </div></div></div>
2022/6/7 12:32作者陳曉莉https://www.ithome.com.tw/news/151312
以違反義務為由，馬斯克以官方文件威脅終止收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/0001418091/000110465922068347/tm2217761d1_ex99-o.htm" target="_blank">自5月初就嚴查推特假帳號的馬斯克（Elon Musk）本周透過官方文件指責推特迄今提供相關資訊不足</a>，已經明顯違反其義務，有可能導致他終止收購。</p> <p>馬斯克的法務團隊在本周提交美國證管會（SEC）的資料指出，針對馬斯克自5月初反覆索討資訊以協助他評估推特垃圾帳號及假帳號，推特上周提供的資訊依舊未讓馬斯克滿意。因為根據雙方的收購協議，推特有義務提供馬斯克要求以完成交易所需的資訊。這位科技大亨已經言明不相信推特不嚴謹的測試方法，要求推特提供資訊讓他自行分析，然而推特6月1日最新提供的書面資料及口頭解釋仍然是根據其自有方法所做的結果。</p> <p>馬斯克曾公開表示，他認為推特平臺上的假帳號比例不只公開財報上說的小於5%，而是20%，這點有異於他當初決定收購的關鍵。另一方面，推特執行長Parag Agrawal說明帳號判定需要內、外部資料等解釋，也無法說服馬斯克。</p> <p>SEC文件指出，依據推特迄今的行為，馬斯克相信推特是刻意抗拒，阻撓馬斯克的資訊權，及該公司的義務。這已明顯實質違反雙方協議下推特公司的義務，馬斯克將保留後續行為，包括不完成交易、以及終止合併協議的權利。</p> <p>本次消息進一步升高推特收購失敗的可能性。<a href="https://www.ithome.com.tw/news/150620" target="_blank">4月底推特接受</a>馬斯克以440億美元的收購，<a href="https://www.ithome.com.tw/news/150920" target="_blank">2個星期後馬斯克質疑</a>推特公開財報低估了平臺上假帳號及垃圾帳號比例，表示推特提供進一步資料前交易將暫緩。<a href="https://www.ithome.com.tw/news/150968" target="_blank">之後他再公開批評推特配合度太差</a>，說收購案無法進行。本周的SEC文件是馬斯克團隊首次以官方文件釋出中止收購的訊息。</p> <p><a href="https://www.theverge.com/2022/6/6/23156233/elon-musk-twitter-bots-merger-agreement-termination-threat" target="_blank">The Verge</a>引述<a href="https://twitter.com/DivesTech/status/1533799677514104834" target="_blank">華爾街分析師</a>指出，馬斯克可能即將放棄收購。</p> <p>推持發言人則透過媒體指出，推特向來完全配合馬斯克的要求，未來也會繼續提供資訊，表示該公司願意完成交易且在雙方合意的價格及條件上執行合併協議。</p> <p>一般猜測，特斯拉股價下跌已經衝擊馬斯克收購推特的實力及意願。他可能是想藉機砍低推特收購價，或是直接退出收購，但以此為由不支付推特毁約的10億美元。</p> <p>從4月底雙方收購案公布以來，特斯拉股價持續下滑。特斯拉股價上周一度跌至半年新低的628美元，周一來到714.84美元，僅今年1月高點的6成。</p> </div></div></div>
2022/6/7 10:21作者林妍溱https://www.ithome.com.tw/news/151310
紐約州通過維修權法，率美國之先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nysenate.gov/legislation/bills/2021/S4104" target="_blank">紐約州議會上周通過《公平維修法案》（Fair Repair Act）</a>，成為美國第一部確認消費者擁有電子裝置維修權（right to repair）的法案。</p> <p>紐約州參議院上周三（6/1）通過這部新法案，新法案需交由紐約州長Kathy Hochul簽署後才會成為正式法令，並在一年後正式上路。</p> <p>這部法案要求該州境內銷售的數位電子產品製造商，需提供維修用的零件、資訊、軟體給消費者及獨立維修店家。新法案適用大部份電子產品，除了一些設備，包括汽車、家電、醫療器材、公共安全通訊設備如警用無線電、農業機具及越野設備。<a href="https://www.nysenate.gov/legislation/bills/2021/S149" target="_blank">紐約州另有法案解決車輛售後市場的維修權</a>。</p> <p><a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲議會今年4月也通過了維修權法</a>。</p> <p><a href="https://www.ifixit.com/News/60893/new-york-passes-worlds-first-electronics-right-to-repair-law" target="_blank">推動DIY維修的iFixit對新法表示歡迎</a>，認為獨立維修店家終得以和製造商競爭，突破製造商限制非授權店家取得零件和工具、建立維修市場的壟斷局面。以前裝置製造商會迫使消費者前往授權經銷商，但未來這些經銷商也必須提升競爭力。</p> <p>另一方面，對消費者而言，新法案可讓維修變得更便宜及更普及，想修的人就能修理自己的裝置。而且消費者再也不用害怕自己拆開筆電和手機。</p> <p><a href="https://www.theverge.com/2022/6/3/23153504/right-to-repair-new-york-state-law-ifixit-repairability-diy" target="_blank">The Verge指出</a>，紐約州《公平維修法案》不是美國第一部推動維修權的法案，例如麻州2020年便通過車商必須提供消費者汽車資訊以維修的法案，但卻是第一個適用廣泛電子產品的法案。</p> <p>另一方面，媒體分析，雖然本法案是紐約州法令，卻可能帶來更廣泛效應，因為製造商提供的維修文件可能流向其他州或其他國家，且廠商也無法再以軟體限制維修獨占權，因此新法可能促使電子產品設計和維修更全面的變化。</p> </div></div></div>
2022/6/7 10:37作者林妍溱https://www.ithome.com.tw/news/151311
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自6月3日到今天的資安新聞裡，有不少是駭客攻擊行動的揭露。其中，我們要特別提及的是針對協作平臺Atlassian Confluence的零時差漏洞攻擊，因為這項漏洞在公布之後，相關攻擊行動已出現大幅增加的情況。</p> <p>駭客針對電腦UEFI韌體下手的攻擊行動，最近3至4年已有數起，但鮮少與勒索軟體有關。最近有資安業者解析勒索軟體駭客組織Conti外流的成員對話內容，發現該組織也大力發展對於Intel電腦韌體的攻擊手法，且已製作概念性驗證攻擊程式。</p> <p>另一個我們認為值得留意的資安事故，是針對企業部署於雲端的Docker而來的挖礦攻擊，駭客鎖定配置不當的Docker下手，成功後還會進一步將挖礦軟體擴散到其他Docker環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/6 18:26作者周峻佑https://www.ithome.com.tw/news/151308
AWS本地雲將落腳臺灣！亞馬遜AWS將在臺推出地區型公雲服務Local Zones
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS於今日（6/6）宣布將在臺推出本地區域（AWS Local Zone）公雲服務，包括運算、儲存等，來提供當地企業執行對延遲敏感且密集型的應用，比如遊戲、影音等。由於AWS目前在臺灣並沒有設立可用區域，這次把Local Zones本地雲放在臺灣，也意謂著，AWS在臺雲端投資布局跨出一大步，臺灣也將成為AWS在全球第32朵AWS本地雲。AWS表示新的Local Zones將於數月内完工。</p> <p>不同於常見的AWS服務是以區域（Region）與可用區域（Available Zone）為中心來建置<span>，</span>Local Zones雖是延伸大型AWS Regions的基礎架構部署方式，但主要是放在城市的本地雲，使AWS的運算、儲存、資料庫及其他AWS服務，可以部署在都會區附近的雲端邊緣，來滿足企業對於即時性的應用任務的需求。</p> <p>2019年推出後，AWS最早先在美國先啟用Local Zones服務，陸續在全美17個城市增建小型資料中心，今年初更擴大到全球各地來推出，根據AWS計畫，2022年起將在全球26個國家共32個城市推出該服務，包括阿根廷、澳大利亞、奧地利、比利時、巴西、加拿大、智利、哥倫比亞、捷克共和國、丹麥、芬蘭、德國、希臘、印度、肯尼亞、墨西哥、荷蘭、新西蘭、挪威、秘魯、菲律賓、波蘭、葡萄牙、南非、泰國和越南等，臺灣則是最新一個將部署Local Zones的亞洲國家，來就近提供本地企業AWS公雲服務。</p> <p>根據AWS官網的說明，在Local Zones中可使用的AWS服務，包括了Amazon EC2運算服務、Amazon VPC虛擬網路服務、Amazon EBS區塊儲存、Amazon FSx檔案系統服務、Amazon Elastic負載平衡、Amazon EMR<span>雲端大數據平臺</span>、Amazon ElastiCache<span>記憶體內快取服務</span>和Amazon RDS關聯式資料庫等多種AWS服務，在Local Zones與Region彼此之間，則以高頻寬連接，用戶可利用API連到附近AWS可用區域中執行其他工作負載，使用全套AWS服務的存取權限。</p> <p>AWS表示，新建立的Local Zones，將擴充AWS在臺灣的雲端基礎設施，包括提供更快速CDN服務Amazon CloudFront，還有提供專用的高速、低延遲連線的AWS Direct Connect連線服務，以及整櫃式主機AWS Outposts服務等。</p> <p>AWS台灣暨香港總經王定愷則表示，在臺灣提供AWS本地區域公雲服務，是AWS在臺灣持續投入的計畫之一，未來將持續協助臺灣各行各業和合作夥伴利用雲端不斷創新，實現全面數位化。</p> <p>由於AWS目前在臺灣當地並沒有設立可用區域，只有鄰近國家的AWS可用區域能用，如香港、新加坡、日本東京等，不過AWS強調，企業客戶未來能夠在臺灣本地Local Zones的資料中心執行應用並無縫連結到AWS可用區域，使用其熟悉的AWS API 及工具來進行跨Local Zones與Region的混合部署。</p> <p>不過，AWS目前並未透露Local Zones本地雲將落腳臺灣哪個城市或都會區，只說明新的Local Zones將於數月内完工。</p> </div></div></div>
2022/6/6 19:29作者余至浩https://www.ithome.com.tw/news/151307
你知道白噪音播客的聽眾數量擠進Spotify前1/4排行嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-01/how-to-make-money-on-spotify-a-white-noise-podcast-could-bring-you-big-bucks" target="_blank">《彭博社》（Bloomberg）最近發現了一個有趣的播客現象</a>，Spotify中有一群獨立製作的播客正在撐起白噪音（White Noise）市場，其中一個由Todd Moore主持的Tmsoft’s White Noise Sleep Sounds白噪音播客頻道，每天大約吸引了5萬名聽眾，此一聽眾數量已可擠進Spotify的前25%，估計光是廣告分潤每月就可以替Moore賺進逾1.8萬美元。</p> <p>在訊號的處理中，白噪音是在不同的頻率上擁有同樣強度的隨機訊號，使得它擁有一致的頻譜密度，雖然它也是噪音，但它的強度一致又規律，因此具有遮蔽其它噪音的功能，像是人聲、車聲或是開/關門聲；另有粉紅噪音（Pink Noise）與布朗噪音（Brownian noise）等不同的噪音形式，它們都是規律的，只是在不同頻率上的能量表現不同，聽起來就有高低音的差別。</p> <p>在Spotify上以White Noice進行搜尋時，發現絕大多數這類的聲音內容都是用來協助人們專心，阻絕外界突如其來的環境音，不管是為了工作、唸書或睡覺，有人把它製作成搖籃曲，有人將它加入雨聲或海浪聲，有人加入了鋼琴聲，還有不少白噪音的曲目長達8小時，顯然是為了睡覺所用。</p> <p><a href="https://www.inputmag.com/culture/white-noise-podcasts-spotify-anchor" target="_blank">科技雜誌《INPUT》特約作家Andrew Paul便說他自己是白噪音的愛好者</a>，只要開啟白噪音，不消幾分鐘就能睡著，但他從沒想過白噪音可以賺這麼多錢。就連Moore對自己會變成全職的白噪音創作者都感到訝異。</p> <p>根據《彭博社》的報導，不像一般播客大多想增加名氣，發行白噪音內容的播客都相對低調，且拒絕受訪，而同意受訪的Moore原本是個資安研究人員，但在2009年辭去工作並自行打造了White Noise程式，於2019年推出Tmsoft’s White Noise Sleep Sounds頻道，專門提供各種結合白噪音的催眠音樂，後者也成為他現在最主要的收入。</p> <p>另一名無心插柳卻柳成蔭的播客Brandon Reed也在2019年進入白噪音播客市場，當時他是為了哄自己的小孩睡覺，順便在Spotify上推出了12 Hour Sound Machines節目，當時並沒有吸引太多聽眾，卻在去年攀上Spotify前15名排行榜，如今其每日聽眾約有10萬人。</p> </div></div></div>
2022/6/6 16:14作者陳曉莉https://www.ithome.com.tw/news/151306
負責Amazon全球消費者業務的Dave Clark將在7月離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-of-worldwide-consumer-dave-clark-resigns-after-23-years" target="_blank">Amazon於上周宣布</a>，該公司全球消費者業務執行長Dave Clark已遞出辭呈，7月1日將是他待在Amazon的最後一天，結束他於該公司23年的職業生涯。</p> <p>Clark是在1999年5月，在他拿到美國田納西大學MBA學位的隔天就加入了Amazon，當時Amazon只有5個交付中心，他從基層的角色做起，最早曾是肯德基州的營運經理，之後成為美國東北區域的總經理，繼之負責全球營運，接著在兩年前COVID-19疫情爆發後接下重責大任，成為Amazon零售業務的執行長，負責管理Amazon的零售網站、實體店面、Amazon Prime與全球的交付中心等業務。現在的Amazon光是在美國就設立了110個交付中心，海外市場則有185個交付中心。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/371f05a/2147483647/strip/true/crop/1706x960+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F76%2F09%2F4f42608a4722835be3369ff7e3e1%2Fia-header-2-1.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon說Clark的離職是為了追求其它的機會，而Clark則說他內心是個建置者，沒有其它公司比Amazon更適合磨鍊相關的技能，只是，現在是向Amazon道再見並展開新旅程的時候了。</p> <p>儘管檯面上雙方看起來沒有任何的不合，但<a href="https://www.businessinsider.com/amazon-consumer-ceo-dave-clark-resigns-missteps-2022-6" target="_blank">《Business Insider》卻認為</a>這代表Amazon執行長Andy Jassy 並不滿意Clark的表現，Jassy於聲明中表示，要達到消費者業務的最終目標還有許多任務必須要完成，目前正在尋找Dave的繼任人選並研擬未來可能進行的改變，可望於未來幾周公布。</p> <p>為了因應疫情而遽增的電子商務業務，<a href="https://www.ithome.com.tw/news/136966" target="_blank">Amazon不僅於短時間內增聘大量員工</a>，更快速擴編其交付中心，然而，在疫情趨緩之後，Amazon便因擴充太大又太快而造成人力與交付中心都過剩的情形。</p> <p><a href="https://www.ithome.com.tw/news/150687" target="_blank">Amazon今年第一季交出了虧損38億美元的財報</a>，除了因為對電動車業者Rivian Automotive的投資虧損了76億美元之外，該季Amazon北美與全球電子商務業務總計虧損了28.5億美元。</p> </div></div></div>
2022/6/6 14:46作者陳曉莉https://www.ithome.com.tw/news/151289
微軟Windows Autopatch進入公開預覽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了迎接即將於今年7月上線的Windows Autopatch，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/get-started-with-windows-autopatch-public-preview/ba-p/3439912" target="_blank">微軟於5月底展開了Autopatch的公開預覽</a>，以讓企業的IT管理人員可以提前適應Autopatch的到來。</p> <p>Windows Autopatch主要是替企業的Windows 10、Windows 11、驅動程式、韌體及 Microsoft 365應用程式執行自動更新服務，僅支援Windows Enterprise E3及以上等級的客戶使用，期望可帶來最佳化的更新服務，縮小企業未能及時部署安全更新或功能更新，所帶來的保護與生產力上的差距。</p> <p>Autopatch公開預覽版可自動替Windows 10/11企業版進行更新，待正式上線時即可支援包括Windows 365雲端PC在內的虛擬機器，不過，它將不支援員工的自帶裝置（BOYD）。</p> <p>總之，該服務的重點在於Windows與Office應用程式的自動更新機制，但並不支援Microsoft Teams或Microsoft Edge的更新，這兩項應用程式將透過它們自己的更新頻道進行更新。</p> <p>微軟表示，就算Autopatch讓IT管理人員的更新變得更容易，但舉凡是改變了做事情的方式，都會讓大多數操作大型IT組織的人員遲疑，因而鼓勵IT管理人員參與公開預覽，以在未來可放心地大規模採用。</p> </div></div></div>
2022/6/6 15:02作者陳曉莉https://www.ithome.com.tw/news/151290
Conti駭客發展出攻擊英特爾晶片韌體的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Conti是這兩年最活躍的勒索軟體之一。<a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/" target="_blank">安全廠商經由Conti組織成員之間的對話發現</a>這群駭客已經發展出攻擊英特爾晶片韌體的能力。</p> <p>今<a href="https://www.ithome.com.tw/news/149666" target="_blank">年3月一名代號ContiLeaks的研究人員駭入Conti組織伺服器</a>，公布成員間的聊天軟體對話。而安全廠商Eclypsium從中發現到，這群駭客可能已經發展出攻擊英特爾晶片韌體漏洞的新能力以及開採概念驗證程式。</p> <p>除了傳統直接針對UEFI/BIOS攻擊外，研究人員發現Conti駭客現在也鎖定英特爾管理引擎（Intel Management Engine，ME）。ME是現代英特爾晶片組裏的微控制器，它在不同環境下有不同種類，Skylake以前叫ME，Skylake之後叫英特爾聚合式安全與管理引擎（Intel Converged Security Management Engine，CSME），而在Atom平臺上叫信賴執行環境（Trusted Execution Environment），此外還有伺服器的版本，叫伺服器平臺服務（Server Platform Services）。但它主要都是指頻外管理處理器（out-of-band management processor），它內建於英特爾晶片組，獨立於CPU執行。</p> <p>根據分析，Conti一直在針對ME介面進行模糊測試，試圖找出未知的指令或漏洞。此外也從ME試圖存取SPI（UEFI/BIOS系統韌體使用的快閃記憶體），以便繞過其他防護。研究人員解析，從主機開啟主動管理技術（AMT）或變更其他ME組態可曝露出ME漏洞導致程式碼執行。而在ME執行程式碼，存取SPI記憶體及其他資源就能繞過一般防護。</p> <p class="rtecenter"><img alt="" src="https://eclypsium.com/wp-content/uploads/2022/05/[email protected]" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Eclypsium</span></span></p> <p>而駭客考慮的攻擊，則包括從UEFI植入dropper程式以及系統管理模式（SMM）嵌入程式。由於SMM是由UEFI/BIOS控制的runtime CPU模式，比Ring-0作業系統核心權限更高，OS核心無法審查SMM程式碼或封鎖程式碼執行。因此SMM嵌入程式可以修改核心而完全不被察覺，也無法被阻止。</p> <p>這些攻擊牽涉英特爾產品2019年到2020年發現的43項漏洞，影響涵括CSME、AMT及ISM（Standard Manageability）、DAL（Dynamic Application Loader）等軟體。</p> <p>研究人員強調，英特爾已沒有新的漏洞，舊漏洞也已修補，且英特爾晶片組的韌體程式也沒有比其他程式碼更多問題。最大問題在於企業修補晶片組漏洞的頻繁度要少於一般軟體，甚至UEFI/BIOS韌體，這使得裝置上權限更高的程式碼面臨攻擊威脅，而且更容易潛伏在系統中而不易被防毒、端點安全或XDR等安全工具偵測、它造成損害更大、受害者也更多。</p> </div></div></div>
2022/6/6 13:30作者林妍溱https://www.ithome.com.tw/news/151287
黎巴嫩駭客Polonimu濫用OneDrive服務，遭微軟封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/" target="_blank">微軟上周指出</a>，OneDrive團隊利用微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）所開發的指標與戰術資訊，偵測並封鎖了遭到黎巴嫩駭客集團Polonimu所使用的多個OneDrive帳號，也關閉了由Polonimu所建立的逾20個OneDrive應用程式，並通知受害的組織，同時強烈懷疑Polonimu與伊朗的情報暨安全部（MOIS）聯手攻擊這些位於以色列的受害者。</p> <p>在過去3個月以來，已有逾20個位於以色列的組織，以及一個位於黎巴嫩境內的跨政府組織遭到Polonimu攻擊，受害者主要是重要的製造業、IT服務業者，以及以色列的國防工業，在其中一項攻擊中，Polonimu採用供應鏈攻擊，先滲透一家IT服務業者，再攻擊其下游的航太業者與律師事務所。</p> <p>微軟強調，Polonimu主要是利用OneDrive作為攻擊行動的命令暨控制伺服器，以用來執行其它的攻擊任務，OneDrive並沒有任何的安全漏洞，也未被用來代管惡意程式，因為微軟一向會以Microsoft Defender Antivirus偵測與封鎖所有上傳至OneDrive的惡意內容。</p> <p>此外，微軟認為Polonimu與MOIS具備合作關係，證據包括它們所鎖定的受害者大致相同，而且MOIS似乎把先前曾危害的網路移交給Polonimu以進行新一輪的攻擊，它們也都同樣利用OneDrive作為命令暨控制平臺，或汲取資料，此外，不管是Polonimu或是由MOIS主導的攻擊行動都採用AirVPN。</p> <p>值得注意的是，在微軟所觀察到的受害者中，大約有80%採用由Fortinet所打造的VPN設備，使得微軟猜測駭客也許是開採了該設備中的<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-13379" target="_blank">CVE-2018-13379漏洞</a>，以作為入侵受害者網路的跳板。CVE-2018-13379是個預先授權的任意檔案讀取漏洞，允許駭客存取FortiOS上所存放的明文密碼，但Fortinet早在2019年就修補了該漏洞，<a href="https://www.ithome.com.tw/news/146620" target="_blank">只是去年Fortinet發現</a>，有駭客公布了8.7萬臺FortiGate SSL-VPN裝置的存取帳號與密碼。</p> <p>這意味著Fortinet用戶不僅應該修補該漏洞，由於不確定密碼是否在修補前就外洩，因此也應變更所使用的密碼。</p> </div></div></div>
2022/6/6 13:41作者陳曉莉https://www.ithome.com.tw/news/151288
Atlassian修補已有開採活動的Confluence遠端程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html" target="_blank">Atlassian上周發布安全公告</a>，修補協同軟體Confluence一個已有人試圖利用或攻擊的遠端程式碼執行（RCE）漏洞。</p> <p>這個編號CVE-2022-26134的漏洞為一OGNL（Object-Graph Navigation Language）注入漏洞，影響Confluence Server及Confluence Data Center，可讓未經授權使用者在這兩平臺的執行個體中執行程式碼。所有版本的Confluence Server及Data Center都受影響。</p> <p><a href="https://www.volexity.com/blog/2022/06/02/zero-day-exploitation-of-atlassian-confluence/" target="_blank">最先通報該漏洞的安全廠商Volexity指出</a>，這項漏洞可讓攻擊者對Confluence系統發出Web呼叫，讓沒有憑證的攻擊者可接管整臺Confluence伺服器並執行程式碼。Volexity研究人員發現的攻擊案例中，攻擊者成功存取Confluence Server後，已經植入China Chopper webshell。</p> <p>Atlassian已經釋出包含修補程式的更新版7.4.17、7.13.7、7.14.3、7.15.2、7.16.4、7.17.4和7.18.1。由於Atlassian Cloud已經安裝修補程式，使用的是透過Atlassian.net網域存取代管Confluence服務的用戶則無需擔心。</p> <p>但使用本地部署版的用戶應儘速修補，因為網路上已有大量開採該漏洞的活動。<a href="https://twitter.com/Andrew___Morris/status/1533139425122713600" target="_blank">安全廠商GreyNoise偵測到網路上已有鎖定Atlassian漏洞的IP網址</a>，而且一天內由2位數增長將近10倍到211個。</p> <p>無法更新軟體的用戶，Atlassian則提供緩解指示。針對較新的7.15.0 - 7.18.0版，作法為關閉Confluence、移除<confluence-install>/confluence/WEB-INF/lib/目錄下的xwork-1.0.3-atlassian-8.jar，<a href="https://packages.atlassian.com/maven-internal/opensymphony/xwork/1.0.3-atlassian-10/xwork-1.0.3-atlassian-10.jar" target="_blank">再安裝xwork-1.0.3-atlassian-10.jar</a>，並檢查權限許可及所有權是否和目錄相同。最後重啟Confluence。</p> </div></div></div>
2022/6/6 13:10作者林妍溱https://www.ithome.com.tw/news/151286
印度要求VPN業者蒐集用戶資料，ExpressVPN全面移除印度伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>印度的電腦緊急應變小組（Computer Emergency Response Team，CERT）為了保障網路安全，於今年4月發布了網路安全指令，以制定各種相關規範，其中之一是要求提供消費者服務的VPN業者必須存放使用者的個資長達5年，該指令即將於6月27日正式生效，使得ExpressVPN宣布將移除位於印度的所有伺服器，以保護用戶隱私，未來用戶要連網印度仍舊可取得印度IP位址，只是將藉由設於新加坡與英國的虛擬伺服器傳送。</p> <p>根據印度CERT的規定，VPN服務供應商、資料中心與雲端服務供應商都必須儲存用戶資訊，包括姓名、電子郵件帳號、電話號碼與IP位址，而且要保留5年，這些業者也必須在得知資安問題的6個小時內就向印度CERT回報。</p> <p><a href="https://www.expressvpn.com/blog/remove-india-vpn-servers/" target="_blank">ExpressVPN表示</a>，當某些國家的資料保存法令發生變化時，該公司通常也會調整架構以保護使用者的隱私與安全，在印度這個案例中，ExpressVPN的措施意味著終止了印度的營運，該公司拒絕參與印度政府限制網路自由的企圖。</p> <p>ExpressVPN強調，它們從未蒐集使用者行為的各種紀錄，不管是瀏覽歷史紀錄、流量目的地、資料內容或DNS查詢，也從未儲存連線紀錄，涵蓋IP位址、連外的VPN IP位址、連線的時間戳或連線時間等。</p> <p>未來任何ExpressVPN用戶要連向印度伺服器時，可以選擇透過新加坡的印度VPN伺服器，或是透過英國的印度VPN伺服器，這些虛擬的印度伺服器實際上位於新加坡與英國，因此不受印度的法令管轄。就算是印度的使用者，依然可使用ExpressVPN的服務，並確保他們不會受到印度政府監控。</p> </div></div></div>
2022/6/6 10:12作者陳曉莉https://www.ithome.com.tw/news/151285
Exchange Server下一版延到2025年、現有版本同年10月終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-roadmap-update/ba-p/3421389" target="_blank">微軟宣布</a>，本地部署適用的Exchange Server下一版本將延遲到2025年推出。而現今主流的Exchange Server 2013、2016和2019版也將在同年10月終止支援。</p> <p>微軟於2020年9月宣布Exchange Server會在隔年，即2021年下半推出下一重大更新版，以訂閱模式提供包括產品更新、技術支援、安全更新及時區更新。但是<a href="https://www.ithome.com.tw/news/143001" target="_blank">2021年發生中國國家駭客Hafnium開採Exchange Server代號ProxyLogon的漏洞</a>。</p> <p>而在忙著做出回應，包括釋出例外安全更新、<a href="https://www.ithome.com.tw/news/143246" target="_blank">釋出一鍵緩解工具</a>、增加多因素驗證（MFA）等措施後，也耽誤新版本的推出計畫；微軟宣布新的Exchange Server推出時程為2025年下半。新版需要伺服器及用戶端存取使用權（CAL），一如SharePoint Server和Project Server訂閱版，新Exchange Server的客戶必須購買軟體保證（Software Assurance）。而進一步的命名、需求和價格等細節會在2024年上半公布。</p> <p>除了新版本時程外，微軟也計畫2025年10月14日以後，將不再支援市場上的Exchange Server 2013、2016和2019。微軟說下一代Exchange Server將會加入「現代生命周期政策（Modern Lifecycle Policy）」中，這將不會有支援終止日期，只要有足夠的市場需求就會持續支援。</p> <p>過去，每一次新一代Exchange Server的硬體需求會高於以前版本，而且客戶都必須把郵件信箱從舊版搬到新版本，十分麻煩。這一次，微軟提供2019版就地升級，以免除升級的成本及額外工夫。</p> <p>微軟也藉此推銷，建議較舊版的產品用戶升級到Exchange Server 2019，表示後者不但改善OWA、可整合SharePoint、OneDrive、效能及擴充性更佳等，也透過2022 年上半的累積更新加入了新安全功能如OAuth 2.0支援。</p> <p>在OAuth 2.0安全功能方面，今年10月1日微軟將關閉Exchange Online特定協定的基礎驗證，而改為OAuth 2.0驗證，微軟稱之為「現代驗證」。現代驗證提供多因素驗證（MFA）、智慧卡、憑證驗證及第三方身份驗證方案。本來2019年微軟宣布本地部署版本Exchange Server不會支援現代驗證，只會在涵括本地部署及雲端版Exchange的混合環境下，支援混合現代驗證（Hybrid Modern Authentication）。但上周微軟改變心意，Exchange Server也將支援OAuth 2.0為基礎的現代驗證。此外，Exchange Server今年下半將加入新的軟體更新儀表板，以告知哪臺Exchange Server該更新軟體授權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Exchange%20Server%20Roadmap%20Update-RoadmapUpdate01.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟也預告2023年Exchange Server 2019的新功能，包括正式支援TLS 1.3、加入以PowerShell指令將暫時的漏洞緩解程式碼移除、可保留用戶自訂組態、新增混合組態精靈（Hybrid Configuration Wizard）方便設定Exchange Server及Exchange Online的端點及郵件政策、聯邦信任及OAuth等。</p> </div></div></div>
2022/6/6 08:57作者林妍溱https://www.ithome.com.tw/news/151283
微軟、AWS向不想回公司上班的特斯拉員工招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技鉅子馬斯克（Elon Musk）日前要求特斯拉員工回公司上班，微軟、Amazon Web Services（AWS）也立刻公開向有意跳槽的員工招手。</p> <p><a href="https://electrek.co/2022/06/01/elon-musk-tesla-employees-come-back-office-or-quit/" target="_blank">Electrek</a>及<a href="https://www.cnbc.com/2022/06/01/elon-musk-reportedly-tells-tesla-workers-to-be-in-office-full-time-or-resign.html" target="_blank">CNBC</a>上周先後取得馬斯克對特斯拉內部下達回公司上班指令的2封公開信。馬斯克的信件要求任何想在家上班的員工得先在辦公室作業至少40小時，這個數字已經比工廠員工來得少了，但若有表現特別優秀的員工做不到，他會親自審查並直接批准例外。</p> <p>馬斯克質疑居家工作時間會降低工作生產力及創新能力，那些允許在家上班的公司已經很久做不出好產品。他說，資深員工必須人在公司，他以自己為例說明，這也是他經常睡在公司的原因，而且若非如此，特斯拉老早就破產了。</p> <p>馬斯克並說特斯拉製造出世界上最令人興奮及重要的產品，這些不是遠距視訊開會就做得到。</p> <p>在過去疫情2年間，許多公司都實施居家上班，即使疫情平息，包括蘋果、微軟、Google等也允許員工一定比例的時間在家工作，甚至在歐美國家出現員工不想回公司上班的大辭職潮，有人選擇離開大公司而加入允許在家上班的較小或新創公司。因而有人認為，對矽谷科技公司而言，相當比例的居家工作模式已經是未來工作型態的新常態。</p> <p>看準馬斯克這番命令可能促使部份員工出走，其他科技公司趁機出手招攬。媒體發現，微軟和AWS人事招募主管日前分別貼文向特斯拉員工招手，不過兩則貼文很快就被刪除。</p> <p><a href="http://thenextweb.com/news/teslas-archaic-work-style-is-other-companies-gain" target="_blank">微軟負責招募的員工</a><a href="https://thenextweb.com/news/teslas-archaic-work-style-is-other-companies-gain" target="_blank">Tiana Watts-Porter說明</a>，微軟及其夥伴LinkedIn、GitHub提供各種選項，員工可以依照自己方式作業，「在微軟做自己」，還可以在家穿著睡衣工作。而<a href="https://crast.net/74455/recruiters-at-major-companies-like-amazon-are-leaving-after-tesla-employees-angered-by-elon-musks-demand-to-return-to-office-if-the-emperor-of-mars-doesnt-want-you-ill-be-happy-to-bring-you/" target="_blank">AWS招募人員 Zafar Choudhury貼文</a>則指出，「如果火星皇帝（the Emperor of Mars）不要你，我們很樂意迎接你來AWS。」他並說，AWS將提供尊重員工、員工時間及專業的「快樂家園」及以尊重待人的團隊。</p> <p>AWS、微軟或特斯拉都沒有對這些留言對媒體做出回應。</p> </div></div></div>
2022/6/6 09:19作者林妍溱https://www.ithome.com.tw/news/151284
提升軟體供應鏈安全，提升開發者帳號保護將是不可或缺的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統密碼安全性不足引發諸多問題，帳號遭盜用的事件亦層出不窮，啟用雙因素認證、兩步驟驗證的機制，已是近年最常呼籲的資安觀念之一，這股風潮，陸續開始吹向軟體開發界。</p> <p>最近就有一項消息引發關注，那就是全球知名程式碼共享與版本協作平臺GitHub宣布，2023年底前在GitHub.com貢獻程式碼的所有使用者，都必須啟用一種或多種形式的雙因素驗證（2 factor authentication，2FA）。</p> <p>很多人可能會認為這不是新議題，畢竟啟用雙因素認證、兩步驟驗證（2-Step Verification，2SV），這樣的保護帳號安全觀念早已呼籲多年，然而，對於一般使用者、企業與組織而言，最近才開始重視這項議題，而攸關程式碼安全的開發者，按理來說，應該會有更清楚的認知，事實卻不然。</p> <p>根據GitHub公布的最新統計數據顯示，以活躍用戶而言，僅有16.5%啟用2FA，而NPM用戶啟用2FA的比例更低，只有6.44%，這樣的結果令人憂心。</p> <p>畢竟，程式開發者常用的雲端平臺與工具並不少，包括程式碼管理的GitHub、Bitbucket、GitLab，程式碼建構的Jenkins、Bamboo，以及專案追蹤與協同管理的 Jira、Confluence，這些僅是一小部分，如今GitHub在此議題抱持的態度最積極，率先採取更多行動。</p> <p><span style="font-size:28px;"><strong>保護軟體供應鏈最源頭的帳號安全，GitHub將強制啟用MFA</strong></span></p> <p>無庸置疑，軟體供應鏈是現今最受關注的資安議題之一，除了資安界早已提倡安全軟體開發生命週期（SSDLC），近年也強調需改善漏洞發現與修補，以及推動軟體物料清單（SBOM）等，當中有更多關注是放在開放原始碼軟體，畢竟絕大多數開發人員不會從頭開始建構軟體，而是站在巨人的肩膀上，活用這些成果。</p> <p>然而，從軟體供應鏈源頭來看，所有人都很清楚程式碼的安全性會是關鍵，但撰寫、保管、發布程式碼的「開發人員」，更是不能忽略的重要環節。儘管大多數開發者知道要保護自己的電腦，注意上網安全，但對於程式撰寫、協作使用的工具與平臺，以及開發人員本身帳號的安全性，可能並未清楚認知對於軟體安全帶來的衝擊，這些部分若出現資安問題將會帶來嚴重影響，事實上，我們甚至可以說，這是軟體供應鏈最前面的一道防護。</p> <p>面對軟體供應鏈的帳號安全議題，不只是軟體業者、企業、政府擔憂，因而決心採取更積極的防範措施，與程式開發者密切相關的公用平臺也展開行動。如前所述，GitHub在這方面的動作頻頻，他們是全球最大開源程式碼平臺，自然也背負著眾人期望。GitHub安全長Mike Hanley指出，軟體供應鏈安全需從開發者做起，為防範開發者帳號遭社交工程與帳號劫持，避免此類攻擊將是確保供應鏈安全的第一步，也是最關鍵的一步。</p> <p>事實上，為了提升用戶帳號安全，GitHub在近年已經祭出不少新政策。例如，2019年7月，GitHub已提供裝置驗證機制，要求未啟用雙因素驗證的GitHub用戶，一旦透過陌生裝置進行存取，需要額外的驗證，也就是以電子郵件提供驗證碼的方式來確認使用者身分；到了2020年11月，GitHub又強制要求所有Git操作及API呼叫，都需經由基於Token的身分驗證方式連線。</p> <p>然後，僅憑這些措施來保護還不夠，雙因素驗證將是下一道重要的防線，而且將逐漸轉變成強制所有使用者配合。</p> <p><span style="font-size:28px;"><strong>開發者帳戶被劫持導致套件被植入惡意程式，已有多起事件</strong></span></p> <p>為何各大開發平臺現在更關注此一問題？這要從近年的實際威脅事件看起。</p> <p>2018年7月，有位代號為pronebird開發者指出，駭客入侵JavaScript程式碼檢查工具ESLint，並在NPM平臺，發布包含惡意程式的ESLint 3.7.2版，一旦用戶安裝此版本套件，惡意程式碼將執行竊取開發者的NPM帳戶或其他資訊。</p> <p>這樣的事件，到了最近半年仍持續傳出，並且是接二連三發生。例如，在2021年10月22日，熱門NPM套件UAParser.js的作者表示，疑似有駭客劫持他的NPM帳號，並發布3個可能被植入惡意程式的UAParser.js版本，分別是0.7.29、0.8.0與1.0.0版，而且，他無法取消發布這些版本，只能緊急通報NPM support，並透過警告訊息提醒其他開發人員，後續，GitHub也對這起植入惡意程式的事件發布資安公告，並標示為重大級別。</p> <p>接著，2021年11月，又有兩起類似的事件。首先，名為COA（Command-Option-Argument）的熱門NPM套件，傳出遭植入惡意程式；接著相隔數小時，又傳出另一個名為RC的NPM套件也發生類似情形。GitHub在11月4日，也緊急公告這些套件遭植入惡意程式。</p> <p>上述這些事件，引發整個軟體開發界的關注。最主要原因，開源軟體安全所帶來的牽連與影響極大，以上述COA的NPM套件為例，該套件是提供開發者以命令列下達指令的解析器，概估GitHub上面有5百萬個開源專案採用，且每週下載量超過9百萬次，而RC的NPM套件，是1款組態下載器，它本身的每週下載量更是超過1400萬次。</p> <p>這顯示出，一旦開源專案的開發者帳號被駭客劫持，不僅取而代之，還冒名替其發布已植入惡意程式的開源套件，這樣的供應鏈攻擊方式，很可能使其他開發者，在不知情的情況去下載安裝或使用。而且，越熱門的開源套件，相關的牽連越廣，就算該套件很冷門，還是有可能造成壞影響，而且，很有可能導致眾人越晚發現異狀。</p> <p>一般而言，開源軟體安全的防護環節很多，像是去年底被揭露的Log4J漏洞，突顯出改善漏洞的發現與修補及因應，就是一大挑戰，因此不論是掃描能力的強化、程式碼稽核、漏洞修補應變，以及透過SBOM掌握採用的關鍵開源元件，確保開源軟體的安全生產也同樣重要，不只從軟體設計的層面著手，並要解決惡意假冒的問題，以及確保上游軟體元件確實是真正的開發者所打造。</p> <p>基本上，光是改善漏洞發現與縮短修補應變，就已經令各界應接不暇，若再因為開發者帳號自身的防護不周，使得上游套件發生被植入惡意程式的情況，將使確保軟體供應鏈安全這事更添動盪與麻煩。因此，如何降低這類問題的發生，雙因素驗證的啟用至關重要，現在正逐漸從「有它可以更好」，轉變成「必備」的要求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>多起駭客接管開發者帳號事件，新版套件被嵌入惡意程式</strong></span><br /><strong style="color: rgb(105, 105, 105);">近期開發者帳號被劫持的資安事件接二連三傳出，根據GitHub資安公告顯示，在2021年10月與11月有3起事件，包括UAParser.js、COA、RC的NPM套件，因為開發者的帳號遭到劫持而遭植入惡意程式，這也促使平臺業者祭出新政策，例如，GitHub今年2月開始針對前100大NPM套件的所有維護者，強制要求啟用雙因素認證（2FA）。</strong></p> <p><span style="font-size:28px;"><strong>宣導啟用雙因素驗證不是新鮮事，現在陸續已成強制要求</strong></span></p> <p>啟用MFA保護自身帳號安全，並非新議題，我們關注的是，過去各界已不斷呼籲，為了使用者自身帳戶安全，避免遭密碼暴力破解或網釣攻擊，應啟用雙因素驗證，然而，各種應用系統背後的程式開發人員，對於所用的開發環境帳號卻沒這麼做，不免讓人覺得很失望。</p> <p>回顧這幾年，為了強化線上服務帳號安全，雙因素驗證是關鍵，許多線上服務已提供兩步驟驗證或雙因素驗證，並且持續提升驗證機制的強度，例如從手機接收簡訊OTP，轉向使用App驗證，或是支援FIDO無密碼的驗證機制。</p> <p>只是，這些年來，上述這些保護手段都只是讓使用者自行選擇啟用，並非強制，於是，我們還是經常看到許多資安專家向大眾呼籲：為了使用者個人自身的帳戶安全，應啟用雙因素驗證。</p> <p>但在相關威脅日益嚴重之下，不論是設定弱密碼或相同密碼的情形，以及帳密被竊取的狀況，相當氾濫，而這些問題與導致的各種資安事件一再發生，促使許多平臺業者在強化帳號安全的面相上，開始轉為更嚴格要求的態度，設法解決僅依賴單一密碼造成的各式問題。</p> <p>例如，微軟在2018年，開始宣告密碼時代即將終結，強調Password less以及更安全的多因素驗證，儘管那時還沒邁向強制啟用，但已打響無密碼登入的聲勢。近年該公司也陸續開放更多系統的身分，支援這種作法，例如，所有的Microsoft Account、Azure用戶帳號，現在都可以利用無密碼方式登入，而且，到2021年為止，已有1.5億用戶及所有微軟員工，都選擇這樣的登入方式。</p> <p>另一家科技大廠Google在2021年5月宣布，將強制用戶啟動帳號兩步驟驗證（2SV），關於推動的情形，2022年2月Google指出已讓1.5億用戶預設啟用，未來將陸續擴及所有Google帳號用戶。畢竟，以雲端郵件雲端硬碟等服務而言，帳密被盜用的風險帶來的衝擊非常大，不僅是用戶資料被竊取、被看光，甚至不小心重要敏感個資也包含在內，並且也是許多雲端服務忘記密碼時，接收認證碼的管道之一。</p> <p>換言之，隨著現今的威脅態勢，近年最大的改變就是，更多的平臺業者開始陸續改變政策，積極推動無密碼登入，以及宣布將強制啟用雙因素驗證。</p> <p>當然，或許這樣的措施也與實際的資安威脅態勢有關，畢竟，一般線上服務身分冒用與資料竊取資安事件，在前幾年就已日益嚴峻，而軟體供應鏈的資安事件面向廣泛，相較之下，與帳號安全有關的事件雖然持續發生，但可能不易一開始就聚焦於此，但也不應被漠視。</p> <p>換言之，除了一般使用者持續面臨帳號遭盜用接管的威脅，引發各界注目，開發人員對於帳號被劫持的威脅，卻似乎一直都太輕忽。</p> <p>輕忽的是什麼？輕忽的是開發人員帳號若欠缺保護，對軟體供應鏈安全的影響極大。</p> <p><span style="font-size:28px;"><strong>規範上架應用程式開發者保護帳戶，蘋果與Google已展開行動</strong></span></p> <p>對於開發人員帳號安全的強化，其實近年，IT業界已趨向積極推動的態度。</p> <p>以應用程式的發布平臺的層面而言，近年兩大智慧型手機體系已有動作，像是蘋果在2019年，針對開發人員的Apple ID帳號做出硬性規範，要求他們必須啟用雙因素認證，一般的Apple ID用戶則依然可選擇是否採用；針對Android開發人員，Google在2020年第三季末也祭出新政策，針對登入Google Play控制臺的開發者，強制要求須啟用雙因素驗證。</p> <p>這些政策的目的，無疑是要讓開發者或開發商進行嚴謹的身分驗證，避免帳號遭盜用造成的資安風險，甚至防止匿名或假帳戶上架App。因為之前就發生多起事件，是駭客劫持開發者帳號後，將成功上架的App改變原有用途，或是透過更新加入惡意功能，以此規避應用程式市集在App上架時的審查機制。</p> <p>更進一步來看，應用程式及系統的發布與維運，已屬於軟體供應鏈的末端，而其本身都是由程式碼建構而成，因此像是程式碼開發協作與分享平臺的開發者帳號安全，同樣至關重要。</p> <p><span style="font-size:28px;"><strong>針對上游程式碼開發者，GitHub祭出一連串強化措施</strong></span></p> <p>時至今日，隨著GitHub的表態，更是具體點出一件事，那就是：軟體供應鏈的安全需從開發者做起，以此帶動整個軟體開發生態系的安全提升。</p> <p>以GitHub最近一連串的行動而言，為強化平臺帳號安全，正逐步將2FA成為必要防護措施。</p> <p>首先，針對已收購旗下的NPM，GitHub在2021年底時宣布，將因應前述去年11月開發者帳號未啟用2FA遭冒用，而造成NPM套件被置換的狀況，並在今年2月1日提新要求，強制前100大NPM套件的所有維護者啟用2FA，接著又在3月1日將所有NPM帳戶納入強化登入驗證，也就是針對未啟用2FA的用戶，當由npmjs.com網站或npm CLI驗證身分時，需以電子郵件傳送驗證碼的方式來核對身分的真實性。</p> <p>同時，為了讓NPM平臺用戶可以更廣泛採用2FA，他們增加多項安全機制，包括：因啟用2FA的用戶也可能常在CI/CD持續整合工具使用自動化Token，所以簡化套件自動發布等流程與任務；新增Token命名機制，幫助用戶更容易管理Token；在NPM組織層面，現在也可強制所有成員啟用2FA；提供專屬介面，稽核組織成員是否啟用2FA。他們還預告NPM接下來將支援WebAuthn，也就是支援FIDO實體安全金鑰與生物識別方式，提供更強身分驗證。</p> <p>不只是針對NPM平臺，近年GitHub平臺的帳號安全強化上，除了提供雙因素驗證、登入警示、驗證裝置等機制，在2021年還有幾項重要措施，包括透過SSH協定使用Git操作的身分驗證，將不再支援帳號密碼的驗證方式，必須以Token來驗證，並且新增可利用FIDO實體安全金鑰來產生SSH金鑰。</p> <p>到了2022年5月，GitHub再次祭出新政策──將在2023年底之前，針對所有提交程式碼的平臺用戶，強制啟用雙因素驗證。在此項宣布中，說明了大多數的安全漏洞並非是零時差攻擊造成，而是透過攻擊成本低的方式進行，像是社交工程、帳密竊取或外洩及其他管道，使攻擊者能夠廣泛地存取受害帳戶及其資源，並特別點出一大關鍵：開發人員應該要了解帳號被挾持及盜用的風險與影響：不只是私有程式碼面臨被竊取的狀況，也有可能是程式碼遭惡意竄改，隨後將影響與此程式碼有關的任何人，而且這樣的供應鏈安全威脅並非空想，已是實際存在的狀況。</p> <p>換個角度設想，身為開發人員，自然也希望下載或使用的程式碼或套件，應該依循標準程序發布，不是被駭客劫持的開發者帳號所發布。</p> <p>面對這樣無人能置身事外的局面，每個開發人員都必須該有所行動，將啟用MFA視為必要防護手段。</p> <p>畢竟，基礎資訊安全認知人人該有，若連啟用MFA都沒有徹底實施，更何況現今還要提倡種種安全軟體開發教育，推動廣大開發人員接受安全程式設計實務訓練，避免因為開發時程緊迫，人力有限，以及未考慮到使用情境，而撰寫出有漏洞的程式。尤其是開源程式碼及套件的貢獻者，自己在帳號安全上的輕忽，可能衝擊的是軟體生態系統與供應鏈下游。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9D%A2%E5%B0%8D%E8%BB%9F%E9%AB%94%E4%BE%9B%E6%87%89%E9%8F%88%E5%AE%89%E5%85%A8%EF%BC%8C%E5%BE%9E%E4%BF%9D%E8%AD%B7%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC%E5%B8%B3%E8%99%9F%E9%96%8B%E5%A7%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GitHub(1).jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>軟體供應鏈安全始於開發人員帳號保護</strong></span><br /><strong style="color: rgb(105, 105, 105);">對於軟體供應鏈安全，GitHub安全長Mike Hanley指出，程式開發者帳號的保護是最源頭的一步。一旦有人遭受社交工程的攻擊，或面臨其他身分憑證竊取及外洩的事故，有可能導致所用的各種開發平臺帳戶蒙受遭到入侵的後果，而這將會牽連與此程式碼有關的任何人，影響整個軟體開發與交付流程的生態系。</strong><span style="color: rgb(105, 105, 105);">圖片來源／GitHub</span></p> <p><span style="font-size:28px;"><strong>提高開發者本身帳號安全要求，其實也是保護整個軟體生態系的安全</strong></span></p> <p>廣泛來看，不只在GitHub上該重視身分安全，同性質的GitLab、Bitbucket，甚至開發者常使用的其他平臺與工具亦然。</p> <p>除了一般使用者要有自覺，服務平臺及工具業者也應設備提高安全性要求。對於使用這些平臺的企業帳號管理者而言，在安全政策上，也應思考是否該強制成員啟用2FA，當然自身也要檢視對於現行環境的影響，像是相關自動化工具是否與2FA相容等種種情況。無論如何，已有不少重視資安的企業，早已規範需強制啟用MFA或2FA，或是導入企業集中式的身分存取管理，但還有更高比例的企業與開發者尚未採取行動。</p> <p>當然，開源程式碼及套件的貢獻者更是要注意，不要以為自己只是軟體供應鏈中的一個小小的螺絲，但這個螺絲的鬆動，可能衝擊軟體生態系統與供應鏈下游。無論如何，強制啟用2FA的趨勢已成，而在GitHub的帶動之下，未來也可能在整個軟體開發界開始發酵。</p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">強化平臺帳號安全，還要注意不同層面風險</strong></p> <p><strong>對於密碼安全性不足導致開發者帳號冒用的資安事故頻傳的問題之外，不只是企業程式與開源開發人員需要重視，提供服務的平臺業者同樣至關重要。</strong></p> <p><strong>對於平臺業者而言，不只是妥善提供強式雙因素驗證機制，或是將相關政策轉為強制啟用，關於帳號安全，其實還有不同層面的問題需防範，如身分驗證被繞過及串接風險等，而從近期出現的資安公告與事件，也可看出有不同挑戰需要因應。</strong></p> <p><strong>舉例來說，3月底GitLab修補CVE-2022-1162漏洞，這是其內部團隊發現的漏洞，將導致基於OmniAuth的GitLab社群版與企業版（CE/EE）在註冊過程中，無意間設定為靜態固定密碼，若被駭客發現將導致用戶帳號被駭客接管。</strong></p> <p><strong>另外，3月GitHub發現駭客利用該公司授予雲端應用程式服務Heroku、程式碼持續整合服務Travis-CI的部分OAuth憑證的部分憑證，進而存取GitHub私有儲存庫的情況。</strong></p> <p><strong>１個月之後，Heroku公布調查結果，說明問題出在Heroku機器帳號遭駭客盜用，這不僅導致Heroku資料庫被存取，對方還下載整合GitHub與OAuth的客戶Token，使得Heroku與其客戶置放於GitHub的儲存庫都被存取，這其實也反應出機器身分的保護與管理，同樣需要重視。</strong></p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>美國白宮下令推動軟體供應鏈安全，並強調MFA的重要性</strong></span></span></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX2%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6MFA%E4%BF%9D%E9%9A%9C%E9%96%8B%E7%99%BC%E8%80%85%E5%B8%B3%E8%99%9F%E5%AE%89%E5%85%A8.jpg" style="width: 600px;" /></strong></p> <p><span style="color:#696969;"><strong>美國白宮於2022年1月26日舉行開源軟體高峰會議，邀請相關業者共同商討這個特殊的安全挑戰，今年5月初，由Linun基金會與開源安全基金會二度舉辦峰會，達成多項共識，並發布了開源軟體安全動員計畫白皮書。</strong></span></p> <p><strong>關於啟用多因素驗證（MFA）的重要性，近期美國推動加快改善網路安全之際，也特別提及。今年3月，該國總統拜登曾呼籲民間企業與關鍵基礎設施業者，需趕緊提升資安水準，並列出8個重點資安防護重點，其中導入多因素驗證（MFA）居於第一項，當中指出，在組織系統上使用多因素驗證，現在必須是強制執行，才能讓攻擊者入侵系統更加困難。</strong></p> <p><strong>更大的挑戰在於，軟體供應鏈安全不只基本的開發者帳號安全。目前開源軟體安全基金會（OpenSSF）持續推動此議題，產業界中，Google最為積極，在過去兩三年來，他們不只釋出OSS-Fuzz及連續模糊測試解決方案ClusterFuzzLite專案，希望模糊測試能真正與開發流程結合，而不是額外採取的行動，還有推動軟體供應鏈安全框架SLSA，並與OpenSFF社群合作，發布開源專案軟體安全掃描工具Scorecards，將能評估專案的安全性，檢驗開源專案是否採用程式碼審查工具，以及CI/CD系統的配置等，目前已更新到第四版，幫助整個軟體生態系變得更安全。</strong></p> <p><strong>但面對整個軟體供應鏈的資安議題，尤其是最上游的開源軟體安全，單靠一方之力無法解決，在今年1月底，美國白宮舉辦高峰會議邀集科技大廠商討對策，到了5月初，由LinuＸ基金會與開源安全基金會二度舉辦峰會，並發布了<a href="https://8112310.fs1.hubspotusercontent-na1.net/hubfs/8112310/OpenSSF/White%20House%20OSS%20Mobilization%20Plan.pdf?hsCtaTracking=3b79d59d-e8d3-4c69-a67b-6b87b325313c%7C7a1a8b01-65ae-4bac-b97c-071dac09a2d8">開源軟體安全動員計畫白皮書</a>。</strong></p> <p><strong>當中決議將解決10大問題，包括推動安全軟體開發水準教育，建立開源軟體風險評估儀表板，推動數位簽章增強信任，替換不具記憶體安全的程式語言，成立OpenSSF開源安全事件應變小組，加快新漏洞的挖掘與修復，實施第三方稽核及程式碼審核與修復，資料共享以確定關鍵項目，推動軟體物料清單並提供安全範例與工具，以及改善供應鏈需強化開源軟體開發系統、套件管理器與部署系統。</strong></p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">帳號劫持攻擊普遍，資訊及開發人員都輕忽此類威脅</strong></p> <p><strong>關於啟用多因素驗證（MFA）或雙因素驗證（2FA）的現況，近期有兩項統計數據受關注，透露出開發人員對此重視程度的不足。</strong></p> <p><strong>●數據1：在2022年5月初，GitHub安全長Mike Hanley宣布平臺將在2023年強制啟用雙因素驗證（2FA），同時指出目前GitHub活躍用戶中，僅有16.5%啟用2FA，而NPM用戶的比例更低，只有6.44%啟用2FA。</strong></p> <p><strong>●數據2：在2022年2月初，微軟新發布《網路訊號》（Cyber Signals）報告，首先以身分識別為主題，當中指出微軟Azure服務用戶中，採用高強度的身分驗證機制僅有22%，顯示多數用戶在身分認證上仍有待強化。</strong></p> <p><strong>關於身分安全威脅的態勢，以這類劫持用戶帳號的攻擊而言，微軟亦提供2021年的現況說明。例如，微軟在Azure AD上，偵測並封鎖了256億次透過暴力破解的攻擊，以及透過Microsoft Defender for Office 365攔截了357億封的網釣郵件與惡意郵件，這當中其實也意味著駭客無所不用其極地企圖劫持用戶帳號。</strong></p> <p><strong>因此微軟建議，各大企業組織應提高安全水準來降低風險，至少做到幾項基本的網路安全，將能防範絕大多數的資安攻擊，微軟認為這至少防範98%的資安攻擊。具體而言，包括啟用多因素身分認證（及持續稽核帳號權限，檢查與監控所有管理者帳號）、保持系統最新版本與落實安全性更新、執行最小存取權限原則，以及進行資料保護等。</strong></p> <p><strong>對於上述威脅態勢，其他資安業者也有類似觀察。例如，資安業者CyberArk根據MITRE ATT&CK for Enterprise所列的攻擊手法，對企業IT人員進行調查，結果顯示：排名第一的風險領域是身分存取（40%），其次是躲避防禦（31%）、執行（31%）、初期存取（29%）、提高權限（27%）。而且，CyberArk強調，在加速數位化的局勢之下，使身分數量爆發性成長，根據他們統計，在每個組織中，人類與機器身分數量已高達10萬個以上。</strong></p> <p><strong>從上述種種調查結果來看，駭客入侵企業取得身分識別及橫向攻擊，已是當今駭客攻擊手段的一大主要手段，甚至從軟體供應鏈源頭的開發者用戶帳號下手，這已在在突顯身份識別安全的重要性。</strong></p> <p><a href="https://www.ithome.com.tw/news/151265" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span></a><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/151265" target="_blank">提升開發者帳戶安全，企業應強制全面啟用2FA或建置集中管控</a></strong></span></p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/news/151263
提升開發者帳戶安全，企業應強制全面啟用2FA或建置集中管控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151263">隨著GitHub宣布將在2023年強制啟用雙因素驗證（2FA），以及NPM平臺套件維護者僅有6.44%啟用2FA，這樣的態勢</a>，突顯了程式開發人員使用關鍵服務之際，在身分安全層面上的輕忽，已經到了所有用戶都必須改變的時刻。</p> <p>對於MFA的重要性，以及開發人員的輕忽情形，我們詢問國內的身分安全相關業者，包括數位身分（Authme）、歐生全科技（AuthenTrend），以及偉康科技（Webcomm），從他們的角度，幫助我們了解更多現況，以及業者自身開發人員的帳號安全是如何保護。</p> <p><span style="font-size:28px;"><strong>不僅應強制啟用MFA，同時須要求使用密碼管理工具</strong></span></p> <p>對於開發人員輕忽帳號防護的問題，2019年成立的新創業者Authme說明他們的觀察，該公司共同創辦人暨執行長李紀廣表示，現在很難有企業在開發專案時，能完全不用到開源的程式碼或套件，因此，企業對於開源軟體的維護與安全性需多加留意，儘管這些開發人員默默為開源貢獻，但有些人可能因這並非產生收入的主要來源，所以對這方面的帳號安全較不重視。但現在資安威脅情勢日益嚴峻，開發者須轉變心態。</p> <p>而從國內許多金融業客戶來看，由於受到金管會要求，因此在身分識別管理上，在內稽內控之下都會達到一定程度，但以一般開發人員來看，從他們面試求職者的經驗中，發現有很大落差。</p> <p>李紀廣表示，由於數位身分驗證服務是資安第一道防線，因此他們特別重視開發者資安意識。他們過去面對求職者時，曾問及以往是用何種方式管理這些開發者工具，不論使用GitHub雲端服務，或經過VPN及自建GitLab的存取，也會談到網路安全零信任的議題。根據他過往與數十個面試者洽談狀況，結果是多數都沒有啟用2FA或MFA的經驗。</p> <p>以自家公司而言，李紀廣表示，內部使用以雲端服務應用居多，在公司政策上，他們從成立隔年2020年，就開始規範開發者要強制啟用2FA，一開始，公司會先公告這件事，讓大家有所準備後就開始啟用，同時，他們也會要求員工務必使用密碼管理工具。</p> <p>畢竟，不只是開發人員使用的程式碼協作工具要支援2FA，實務上，還要考慮必須讓所有系統都支援2FA，才有意義，但由於有些平臺還無法支援，因此，密碼管理工具就是很重要的配套。</p> <p>對於國內企業不重視開發者帳號安全的問題，李紀廣在接觸多家企業的經驗中，他發現，有些企業會因為資安維護花費屬於額外成本，因此讓多人使用同一帳號，而這其實突顯了，企業未重視資安因此輕忽維護基礎建設。</p> <p>而企業在啟用2FA時，也有幾點需要注意，例如，雖然許多雲端服務或工具可以強制啟用2FA，或是稽核成員是否啟用，但有些服務需要中、高級的方案才具備這樣的功能，如果有些企業只選用最入門的方案，將無法做到管控。他認為，平臺業者若能讓基礎方案都提供這樣的能力，會更理想。</p> <p>李紀廣認為，因應遠端工作普及，企業與使用者都應想到需要更多保護，而2FA只是基本措施。即便企業缺乏身分存取管控解決方案，仍可透過Google帳戶登入其他應用程式，並在Google帳號啟用兩步驟驗證（2SV），也是可行。</p> <p>當然，許多企業不全然都是使用雲端環境，因此，遠端存取時需做到層層把關，像是有些企業客戶在使用VPN時需使用2FA，連至公司後，內部系統本身也還是要有2FA來保障，前後兩段都需要經過雙因素身分驗證。</p> <p>關於啟用2FA時的注意事項，歐生全副總經理黃啟峰也指出，以瀏覽器登入的狀況而言，他們使用GitLab會強制內部群組使用者全面開啟2FA。但2FA的管控細度，將視平臺端的機制而定。</p> <p>舉例來說，GitLab雖提供TOTP與FIDO2實體安全金鑰的驗證方式，但設定上不夠彈性，像是無法限定擇一啟用，再者，對於跨組織協作的群組，也無法強制開啟2FA，需要建立另外的子群組才能做到，只是一旦搬遷專案又會造成路徑改變的問題。此外，目前並未看到強制短時間內要重複進行2FA驗證的設定，而且使用者也可使用跳過2FA認證的Access Token，或是單一登入（SSO），因此，離最嚴格的零信任要求環境，還有一段路要走。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6%E4%BC%81%E6%A5%AD%E7%B5%84%E7%B9%94%E5%95%9F%E7%94%A82FA.jpg" style="width: 400px;" /></p> <p><span style="color:#696969;"><strong>強化資通安全管理政策，從組織帳號安全要求做起</strong></span></p> <p><span style="color:#696969;"><strong>為了強化企業內部開發人員帳號安全，以<a href="http://docs.github.com/en/organizations/keeping-your-organization-secure/managing-two-factor-authentication-for-your-organization/requiring-two-factor-authentication-in-your-organization">GitHub</a>為例，企業管理者帳戶可要求所有組織成員啟用2FA，使網路攻擊者更難存取組織的儲存庫與管理設定。</strong></span></p> <p><span style="font-size:28px;"><strong>可運用基於FIDO的身分存取管控解決方案，進行集中納管</strong></span></p> <p>對於開發者帳號安全的防護，另一家專注金融業相關應用的偉康科技，也提供了他們的觀察與做法。</p> <p>該公司副總經理陳怡良表示，身分驗證是一切數位應用服務的源頭，除了平臺業者要求開發者啟用的角度外，若是能讓開發者從根本的邏輯轉換，具備身分驗證的資安意識，那就會變成開發者要求平臺的基本條件，就應該具備相關機制，否則他們可以選用更安全更有保障的平臺。</p> <p>對於GitHub現今推動的雙因素驗證，他認為，與Google、Apple與微軟推動的「無密碼驗證」仍有落差，原因是雙因素是雙重的驗證，但密碼依舊存在；FIDO除了滿足多因素驗證，核心精神是做到無密碼驗證。他認為，用一個認證方式就具備MFA的元素，最為理想。</p> <p>對於開發者帳號安全防護，陳怡良表示，以自家公司經驗而言，偉康公司員工近200人，其中150人是工程師，內部也有自建Gitea環境，而他們近年已經從帳號密碼的認證方式，朝向無密碼的環境。</p> <p>原本，他們在身分認證的內部控管策略上，與多數公司一樣，主要遵循ISO 27001資訊安全管理系統國際標準，當中即強調人員身分、帳號密碼原則的設定等，但在2020年第四季時，他們開始思考一件事：由於偉康自身要推廣FIDO解決方案，若公司本身都未做到無密碼，並不合理。</p> <p>因此，當時他們除了打算推出一套不只金融業適用，各產業都通用的雲端身分認證服務。同時，在他們公司發展藍圖中，其一目標就是無論如何都要在短時間內，將FIDO導入公司內部。</p> <p>後續，他們在2021年第三季施行，在公司內部先應用自家開發的產品，不僅開始在內部環境推動無密碼登入，同時也測試產品體驗與穩定性。如此一來，當自家開發人員使用Gitea服務，員工只要透過手機上的「OETH」App掃描QRCode，並經過人臉識別，就能直接登入，而且公司內全系統都能經由同樣方式登入。</p> <p>現在不論公司高層或開發人員，每天工作，從收發公司電子郵件、請假，到Check In/Check Out程式碼、開發分支或整合分支、執行CI/CD到發佈，都經過雲端身分認證存取服務，透過手機進行生物辨識的FIDO認證。即便員工手機條件不足、沒有生物辨識機制，也可以圖形鎖方式認證。</p> <p>事實上，以身分識別與存取管理（IAM）而言，國內外已有不少這類解決方案，陳怡良指出，國外這類產品大多支援雲端方案，儘管有提供API供企業客製化，但國內缺乏專業人士服務，而臺灣企業還有很多不能上雲，因此客製化能力將是需要看重的部分。</p> <p>整體而言，保障企業內部開發人員帳號安全這件事，並不是沒有人再做，還沒因應的企業，應積極採取行動，而不是等到使用的平臺開始要求才做準備。<br /> </p> <p><span style="color:#3399ff;"><strong><span style="font-size:36px;">為了保障開發者帳號，企業可在GitHub等平臺強制啟用2FA</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88BOX%E5%9C%96%EF%BC%89%E5%BC%B7%E5%88%B6%E4%BC%81%E6%A5%AD%E7%B5%84%E7%B9%94%E5%95%9F%E7%94%A82FA(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>開發者個人也可在GitHub帳號的設定介面中，將雙因素驗證機制開啟，當中提供了簡訊、TOTP與實體安全金鑰的驗證方式。</strong></span></p> <p><strong>不只獨立開發者要懂得啟用雙因素驗證自保，企業為了強化內部開發人員帳號的安全，不論是使用GitHub、GitLab或Bitbucket等平臺或工具，要求組織成員啟用2FA，已成至關重要且基本的防護策略。</strong></p> <p><strong>以GitHub為例，目前GitHub網站支援的雙因素驗證有三種，包括：SMS簡訊驗證、透過手機App的TOTP驗證，以及實體安全金鑰驗證。</strong></p> <p><strong>現階段，以TOTP驗證受到最廣泛使用，開發者不只可用GitHub App接受驗證碼，其他包括：Authy、1Password、以及Microsoft Authenticator、Google Authenticator，也都適用。</strong></p> <p><strong>而在實體安全金鑰的應用上，目前的趨勢是期望帶有生物識別的實體金鑰，最安全與便利，也能符合NIST 800-63-3並滿足IAL3/AAL3/FAL2或FAL3的所有要求。但相對來說，現階段透過每個人都時刻不離身的手機，會是更容易普及的應用方式。</strong></p> <p><strong>無論如何，企業若要積極落實，就應設法在平臺強制之前，要求組織成員強制啟用，並檢視不同平臺環境能否同樣做到。</strong></p> <p><a href="https://www.ithome.com.tw/news/151263" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span> </strong></span></span><strong><span style="font-size:20px;">提升軟體供應鏈安全，提升開發者帳號保護將是不可或缺的關鍵</span></strong></a></p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/news/151265
【確保軟體供應鏈安全的第一步】快啟用MFA！保護開發者帳號刻不容緩
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1080-feng_mian_p1-open-luo_zheng_han_-960x420_kao_bei_.jpg?itok=5pD3i6yY" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">最近開發者程式碼代管或軟體發行服務帳號遭劫持事件頻傳，導致套件被植入惡意程式，以GitHub為例，僅16.5%用戶啟用雙因素驗證，顯示開發人員輕忽帳號安全，也低估自身在軟體供應鏈安全的重要性。</p> </div></div></div>
2022/6/6 07:00作者羅正漢https://www.ithome.com.tw/article/151266
【資安週報】2022年5月30日至6月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月底到6月初這週的資安新聞裡，與Office有關的零時差漏洞CVE-2022-30190，引起許多資安人員關注，因為這項漏洞很可能讓攻擊者有機會繞過Office本身的防護機制，使用Windows檔案總管的預覽功能就能觸發。且公布不久已經開始有人用於攻擊行動。</p> <p>而這項漏洞在微軟的資安通告裡，指出與Windows支援診斷工具（MSDT）有關，他們也提出緩解措施，建議IT人員停用電腦的ms-msdt的URI協定來予以防範。</p> <p>但這種與URI有關的漏洞，接下來也有研究人員發現類似的弱點。攻擊者可透過惡意Office檔案，搭配Windows搜尋的URI協定search-ms，列出共享資料夾的內容。</p> <p>另一個與漏洞有關的攻擊行動則是殭屍網路EnemyBot。駭客運用了VMware Workspace ONE漏洞CVE-2022-22954、F5 BIG-IP漏洞CVE-2022-1388、Java框架Spring漏洞SpringShell等應用系統的重大漏洞，在受害組織植入殭屍網路病毒。</p> <p>與資料庫有關的資安事故也相當值得一提。其中又以駭客針對1,200個Elasticsearch資料庫進行勒索的情況最值得注意。雖然駭客勒索的金錢並不高，但很有可能付了贖金也無法復原。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-microsoft-office-zero-day-used-in-attacks-to-execute-powershell/" id="CVE-2022-30190" name="CVE-2022-30190" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Office零時差漏洞，駭客可藉由RTF檔案觸發</span></a></strong></h3> <p>去年9月微軟的Office軟體出現MSHTML重大漏洞CVE-2021-40444，而可能讓攻擊者透過內含ActiveX元件的Office檔案觸發漏洞，最近有研究人員找到類似的RCE漏洞，即使用戶關閉巨集也難以防範駭客的攻擊。</p> <p>資安研究團隊Nao_sec在調查上述的MSHTML漏洞時，意外在惡意軟體分析平臺VirusTotal看到惡意Word檔案，一旦使用者開啟，該檔案就會經由外部連結載入HTML檔案，並使用MSProtocol URI Scheme（ms-msdt）架構載入程式碼，進而執行PowerShell。資安專家Kevin Beaumont指出，Nao_sec的發現揭露了未知的Office漏洞，雖然使用者可透過受保護的檢視（Protected View）機制，來防止惡意檔案在開啟時就執行巨集，但若是駭客改用RTF格式的文件檔案發動攻擊，則因為Windows的檔案總管就能預覽內容，有可能在不需受害者開啟檔案就能利用漏洞發動攻擊。</p> <p>Kevin Beaumont將這項漏洞稱為Follina，並指出Office 2013至2021版都可能受到影響。微軟於5月30日將其登錄為CVE-2022-30190列管，並指出該漏洞與Windows支援診斷工具（MSDT）有關，CVSS評分為7.8分。目前尚未有修補程式，但微軟提出了停用相關通訊協定的緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-msdt-zero-day-now-exploited-by-chinese-apt-hackers/"><span style="color: rgb(0, 0, 0);">中國駭客假冒藏人政府機構，利用Office零時差漏洞Follina發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TA413-Follina-FUGmUF5WUAQVtFf.jpg" style="width: 300px; float: right;" /></a>微軟Office的零時差漏洞Follina（CVE-2022-30190）引起資安人員高度關注，也很快有駭客運用於攻擊行動。資安業者Proofpoint、資安研究團隊MalwareHunterTeam發現已有駭客將上述漏洞用於攻擊行動。Proofpoint的研究人員於5月30日發現，中國駭客組織TA413假冒西藏流亡政府的婦女權益服務處（WED），利用ZIP壓縮檔挾帶利用上述漏洞的Word檔案，一旦對方開啟，駭客就能在受害電腦上執行惡意程式碼。MalwareHunterTeam則是看到有人使用含有簡體中文檔名的Word檔案，發動Follina漏洞攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseach資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shadowserver.org/news/over-3-6m-exposed-mysql-servers-on-ipv4-and-ipv6/"><span style="color: rgb(0, 0, 0);">逾360萬臺MySQL伺服器曝露於網際網路，恐成為攻擊目標</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-26-mysql-accessible-worldmap-IPv4.png" style="width: 300px; float: right;" /></a>資料庫曝露於網際網路上，很有可能成為駭客攻擊的目標，但採取這種配置的資料庫有多氾濫？根據網路安全研究機構Shadow Server基金會的檢測，他們找到360萬臺MySQL伺服器，不只能在網際網路上公開存取，同時管理者保留預設連接埠TCP的3306埠配置，而很有可能成為駭客鎖定的目標。這些公開在網際網路上的MySQL伺服器，還會向來源請求發出伺服器問候（Server Greeting）回應。</p> <p>上述的伺服器裡，有230萬臺透過IPv4連接網際網路，130萬臺則是透過IPv6。從MySQL伺服器所在的國家分布來看，美國超過120萬臺最多，中國、德國、新加坡、荷欄、波蘭次之。研究人員表示，雖然他們沒有針對個別MySQL伺服器調查資料庫曝露的程度，但這種以預設連接埠曝露於網際網路的組態，將可能成為組織潛在的攻擊面，他們呼籲組織應避免將資料庫曝露於網際網路，並應該調整存取的連接埠，以及進行相關的狀態監控，來保護資料庫的安全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.safetydetectives.com/news/pegasus-leak-report/"><span style="color: rgb(0, 0, 0);">土耳其航空公司因AWS儲存桶配置不當，曝露6.5 TB內部資料</span></a></strong></h3> <p>研究人員發現航空公司因AWS儲存桶配置不當，而使得機組人員的個人資料與航班文件曝光，有可能影響飛行安全。防毒軟體評測網站SafetyDetectives研究人員發現，土耳其廉價航空公司Pegasus Airlines的AWS儲存桶，約自2月28日公開，內有近2,300萬個檔案，大小約6.5 TB。</p> <p>這些資料包超逾300萬個與飛行資料有關的檔案、160萬個機組人員的個資檔案。其中，引起研究人員高度關注的是，內有該公司開發的電子飛行文件包（Electronic Flight Bag，EFB）系統的原始碼，並包含明文密碼等機密資料。研究人員指出，一旦攻擊者從儲存桶取得相關密碼，就有可能用來航班資料而影響飛行安全。在3月1日通報後，該公司約在3星期後修復儲存桶相關配置。</p> <h3><strong style="font-size: 22px;"><a href="https://cybersecurity.att.com/blogs/labs-research/rapidly-evolving-iot-malware-enemybot-now-targeting-content-management-system-servers"><span style="color: rgb(0, 0, 0);">惡意軟體EnemyBot針對VMware、F5 BIG-IP重大漏洞下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware_vuln.jpg" style="width: 300px; float: right;" /></a>殭屍網路EnemyBot在3月被發現，<a href="https://www.ithome.com.tw/news/150450#EnemyBot">當時該殭屍網路機器人（Bot）主要鎖定路由器設備而來</a>，如今駭客更進一步針對應用系統的重大漏洞下手。</p> <p>電信業者AT&T的資安團隊近期找到EnemyBot變種，該殭屍網路病毒共針對24種漏洞下手，但與過往EnmeyBot不同的之處，在於駭客利用的漏洞裡，多半為應用系統的重大漏洞，包含了VMware Workspace ONE漏洞CVE-2022-22954（CVSS風險評分9.8分）、F5 BIG-IP漏洞CVE-2022-1388（CVSS風險評分9.8分）、Java框架Spring漏洞SpringShell，除此之外還有部分是沒有CVE編號的漏洞，這使得IT人員更難防範EnemyBot的威脅。</p> <p>而對於部署該殭屍網路的攻擊者身分，研究人員指出是Keksec，該組織過往曾散布Tsunami、Gafgyt、DarkHTTP、DarkIRC、Necro等惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.lumen.com/windows-subsystem-for-linux-wsl-threats/"><span style="color: rgb(0, 0, 0);">駭客鎖定視窗作業系統的WSL元件，散布Linux惡意軟體</span></a></strong></h3> <p>最近針對Linux主機而來的攻擊行動不時傳出，但也有人鎖定Windows作業系統提供的Linux子系統（Windows Subsystem for Linux，WSL）而來。資安業者Lumen於去年秋季開始，發現駭客針對WSL下手，迄今已散布逾100種惡意程式。</p> <p>在這些惡意程式當中，有些特別引起研究人員注意。例如，他們發現以程式語言Python開發的鍵盤側錄工具Keyjeek，攻擊者透過Windows的機碼使其常駐受害電腦，並將收集到的帳密資料回傳到特定的Gmail信箱，研究人員將其上傳到惡意軟體分析平臺VirusTotal，結果60個防毒引擎僅有1個識別有害。</p> <p>另一個該公司特別提到的惡意程式，則是會從遠端下載Shell Code，並在受害電腦注入與執行，研究人員指出，這種能夠下載惡意程式並完全在記憶體內（In-Memory）執行的工具，很有可能日後駭客會用於投放更為複雜的軟體，如Cobalt Strike或是其他滲透測試框架。再者，研究人員也看到能同時於Windows與Linux作業系統執行的代理程式Lee，攻擊者不只能透過該代理程式上傳或下載檔案，還能執行任意命令。</p> <p>除此之外，研究人員也發現多個會利用即時通訊軟體Discord的惡意軟體，像是木馬程式DiscordRAT、竊密程式Discord Token Grabber、Discord-Keylogger等，再者，也有濫用加密通訊軟體Telegram木馬程式Telegram-RAT。該公司建議採用WSL的使用者，應透過Sysmon等系統監控工具進行監控，來找出WSL環境是否出現異常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-ermac-20-android-malware-steals-accounts-wallets-from-467-apps/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Ermac 2.0假冒餐點外送平臺App，竊取467個軟體帳密</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ermac-2-FTCg38PXEAA-ONy.jpg" style="width: 200px; float: right;" /></a>隨著武漢肺炎疫情延燒，許多人必須居家隔離，透過餐點外送平臺取得三餐所需，有駭客假借這樣的名義來散布惡意軟體。<a href="https://blog.cyble.com/2022/05/25/ermac-back-in-action/">資安業者Cyble</a>、<a href="https://twitter.com/ESETresearch/status/1526897310231322630">ESET</a>指出，他們看到有人佯稱是Blot Food的餐點外送業者，製作冒牌網站來散布安卓竊密軟體Ermac 2.0，一旦使用者從該網站下載檔案並進行安裝，該冒牌App將會要用戶開放43項權限，進而竊取467種應用程式的帳密，當中包含全球各地的銀行機構、加密貨幣錢包，以及資產管理應用程式。研究人員呼籲用戶，應從從Google Play市集下載App。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.malwarebytes.com/scams/2022/05/double-whammy-attack-follows-fake-covid-alert-with-a-bogus-bank-call/"><span style="color: rgb(0, 0, 0);">英國食物銀行遭網釣攻擊</span></a></strong></h3> <p>隨著疫情升溫與烏克蘭戰爭的進行，弱勢民眾很可能更加倚賴食物銀行才能溫飽，但這類組織如今也遭到網路攻擊波及。根據英國廣播公司（BBC）的報導，一家位於英國基德明斯特鎮的食物銀行近日被騙走5萬歐元（相當於新臺幣156.6萬元），所幸銀行及時將款項追回。</p> <p>針對這起事故，資安業者Malwarebytes進一步公布細節。他們看到駭客先是佯稱英國衛生局（NHS）的名義，向食物銀行的經營者透過網釣簡訊與釣魚郵件發動攻擊，宣稱受害者曾與確認者接觸，必須付錢進行PCR檢測。對方線上付款後驚覺有異，正打算打電話給銀行，但這些駭客竟假冒銀行行員，向受害者打電話，藉此取得對方的銀行帳戶詳細資料，進而將存款轉走。</p> <p>研究人員警告，英國取消免費的PCR後，民眾可能收到需要進行相關檢測並進行付費的通知時，難以辨別是來自政府還是駭客，而有可能落入駭客的圈套。他們呼籲在接到銀行打來的電話時，不要透露任何個人資料，並透過網站上的電話號碼回撥。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/revil-resurgence-or-copycat"><span style="color: rgb(0, 0, 0);">勒索軟體駭客REvil疑發動DDoS攻擊</span></a></strong></h3> <p>勒索軟體駭客REvil似乎再度發動攻擊，但並非透過加密檔案的方式進行，而是以DDoS攻擊來癱瘓受害組織網路。雲端服務業者Akamai於5月12日接獲客戶通報，他們發現聲稱是REvil的駭客進行DDoS攻擊，駭客要脅受害組織必須移轉指定數量的比特幣（BTC），並暫停特定國家的業務，來換取駭客停止發動DDoS攻擊，駭客揚言若是不從，他們將會讓該組織的全球業務受到衝擊。</p> <p>研究人員指出，這起DDoS攻擊背後似乎存在政治動機，與REvil的行事風格完全不同，他們認為很有可能是他人假借REvil的名號對受害組織進行勒索。</p> <h3><strong style="font-size: 22px;"><a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500"><span style="color: rgb(0, 0, 0);">勒索軟體Clop疑捲土重來，1個月出現21個受害組織</span></a></strong></h3> <p>過往惡名昭彰的勒索軟體駭客組織，在沉寂一段時間幾乎沒有活動後，再度大舉發動攻擊的情況，近期時有所聞。例如，資安業者NCC Group揭露他們針對2022年4月勒索軟體攻擊的態勢，當中特別提及勒索軟體Clop（亦稱Cl0p）的攻擊行動，在整個月出現了21個受害組織，主要目標是工業，占45%，其次是IT產業，占27%。</p> <p>但為何突然出現這麼多攻擊行動？資安新聞網站Bleeping Computer認為，這些駭客很有可能像Conti，目的是避免關閉Clop基礎設施的時候，成員後續受到執行單位追捕，因此，刻意發動這些攻擊來掩人耳目。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/costa-rica-s-public-health-agency-hit-by-hive-ransomware/"><span style="color: rgb(0, 0, 0);">哥斯大黎加衛生機關遭勒索軟體Hive攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Costa-Rita-Hive-ASCII-printing-FUFsxDtWQAEhrrD.jpg" style="width: 300px; float: right;" /></a>自勒索軟體駭客組織Conti於4月中旬對哥斯大黎加發動攻擊後，該國政府機關再度成為勒索軟體的目標。哥斯大黎加衛生服務部（亦稱哥斯大黎加社會安全基金，CCCS）於5月31日晚間證實，他們在當天凌晨遭到駭客攻擊，目前正在恢復關鍵服務與受影響的系統，但無法確定何時能恢復運作。而針對受影響的範圍，該單位表示，數位健康統合系統（EDUS）、稅務集中統合系統（SICERE），以及該單位員工的薪資與退休金資料庫等，沒有遭到入侵，除此之外沒有透露更多細節。</p> <p>根據資安新聞網站Bleeping Computer的報導，CCCS員工在攻擊發生的時候，發現內部網路的印表機開始印出許多ASCII亂碼，他們接收到關閉電腦並拔除網路線的命令。至於攻擊者的身分，有人向Bleeping Computer提供勒索訊息的螢幕截圖，該新聞網站從而得知攻擊者使用的工具是勒索軟體Hive。Bleeping Computer認為，攻擊者很有可能是從Conti跳槽Hive的駭客。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <h3><strong style="font-size: 22px;"><a href="https://success.trendmicro.com/dcx/s/solution/000291066"><span style="color: rgb(0, 0, 0);">Windows 11、Server 2022功能更新恐導致部分趨勢端點防護軟體功能失常</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Trend-Micro-Issue-with-KB5014019.png" style="width: 300px; float: right;" /></a>微軟於5月24日發布Windows 11、Windows Server 2022的預覽版更新程式，但很可能導致防毒軟體無法正常運作。趨勢科技於5月26日發布資安通告指出，使用者若是在執行Windows 11與Windows Server 2022的電腦上，安裝微軟近日發布的KB5014019更新套件，將會導致該公司旗下多項企業端點防護產品的User Mode Hooking（UMH）元件失效，而使得勒索軟體防護等進階功能無法發揮作用。</p> <p>受到影響的產品包括Apex One 2019、Apex One as a Service 2019、Worry-Free Business Security Services 6.7、Worry-Free Business Security Advanced 10.0，以及Deep Security 20.0。由於上述Windows更新套件改善多項使用者操作流程，趨勢科技正著手調查，並在微軟向所有用戶推送相關更新前解決上述問題。若是用戶已安裝上述預覽版更新套件，趨勢科技建議用戶應先移除，以免防護層級降低。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/05/27/android-apps-with-millions-of-downloads-exposed-to-high-severity-vulnerabilities/"><span style="color: rgb(0, 0, 0);">行動應用程式框架存在嚴重漏洞，兩大平臺手機恐曝險</span></a></strong></h3> <p id="Zyxel">電信業者為了在手機上提供專屬服務，很可能會運用廠商提供的軟體框架，對旗下品牌手機進行客製化，一旦這種框架系統出現漏洞，很可能影響相當廣泛。微軟於5月27日公布在去年9月發現的數個漏洞──CVE-2021-42598、CVE-2021-42599、CVE-2021-42600，以及CVE-2021-42601，這些漏洞存在於mce Systems推出的行動裝置應用程式框架，CVSS風險評分從7.0分至8.9分，一旦攻擊者加以利用，就有可能從這些透過上述行動裝置應用程式框架製作的App，藉由其提供可瀏覽功能（Browsable）的服務，進而在受害裝置植入後門程式並取得控制權，安卓與iOS版應用程式都有可能受到影響。研究人員通報後，mce Systems與相關電信業者已著手修補漏洞，目前尚未出現利用相關漏洞的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://palant.info/2022/05/23/hijacking-webcams-with-screencastify/"><span style="color: rgb(0, 0, 0);">逾千萬用戶的Chrome視訊共享外掛程式Screencastify恐曝露用戶隱私</span></a></strong></h3> <p id="Zyxel">隨著遠距工作、線上學習的情況越來越常見，能存取電腦視訊鏡頭的軟體也變得熱門，但在此同時這類軟體一旦出現漏洞，很有可能會被攻擊者用來擷取視訊鏡頭的影像。研究人員Wladimir Palant在2月中旬，通報名為Screencastify的Chrome外掛程式存在漏洞，但該名研究人員指出，當時開發者僅修補了部分跨網站指令碼（XSS）漏洞，其他漏洞仍未獲得修補，使得使用者面臨與Screencastify合作的其他平臺曝露相關風險。</p> <p>研究人員指出，該外掛程式會向用戶要求Google Drive的永久OAuth憑證，以便該外掛程式能自動上傳、下載影片檔案，一旦攻擊者搭配上述修補不完全的XSS漏洞，就有機會透過上述的OAuth憑證來存取受害者Google Drive其他檔案。研究人員透過概念性驗證攻擊來啟動受害電腦的視訊鏡頭，過程無須使用者互動。對此，該開發者表示，他們將透過更為嚴謹的內容安全政策，來防堵用戶可能曝險的情況。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151209"><span style="color: rgb(0, 0, 0);">臺灣聯隊DEF CON CTF搶旗賽線上初賽獲第二名，八月進軍賭城實體較勁</span></a></strong></h3> <p id="Zyxel">隨著疫情趨緩、各國邊境陸續解封，預計在今年8月11日至14日於美國拉斯維加斯舉辦的DEF CON CTF（駭客搶旗攻防賽）即將重新以實體比賽的方式進行。而在5月28日至5月30日舉辦的CTF線上資格賽，臺灣聯隊<a href="mailto:[email protected]">[email protected]</a>戰隊最終順利取得預賽第二名的資格，而這個結果也等於確認該隊可以參加8月的DEF CON CTF，和資格賽前十五名，以及去年DEF CON CTF第一名隊伍Katzebin，總計16隊網路好手現場較勁。</p> <p>值得一提的是，從2018年起，本項搶旗攻防賽都是由主辦單位O.O.O.（Order-of-the-Overflow）負責出題，今年適逢DEF CON屆滿30週年，命題的工作將交由新團隊Nautilus Institute負責。</p> <h3><strong style="font-size: 22px;"><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-acquire-vmware-approximately-61-billion-cash-and-stock"><span style="color: rgb(0, 0, 0);">博通宣布將以610億美元買下VMware</span></a></strong></h3> <p id="Zyxel">美國晶片製造商博通（Broadcom）於5月26日宣布，將斥資610億美元買下VMware，該公司將以現金及股票支付上述金額，並預計在2023年10月31日前完成。在併購完成後，博通的軟體部門Broadcom Software Group將更名為VMware，並納入該公司現有的基礎設施與安全軟體解決方案。</p> <p>根據VMware於5月20日收盤價95.71美元來推估，博通約溢價44%買下VMware。自併購的消息傳出後，VMware股價一路上漲，至26日收盤價來到120.54美元。博通指出，本交易案將讓該公司日後能提供企業更為兼具效通與安全的解決方案。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> </div></div></div>
2022/6/3 10:07作者周峻佑https://www.ithome.com.tw/news/151282
強化邊緣運算系統支援，紅帽推出第9版企業級Linux
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/rhel_9main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在3年之前，由紅帽公司所維護的企業級Linux作業系統（RHEL）宣布推出8.0版，後續經歷多次改版，先前我們已陸續介紹<a href="https://www.ithome.com.tw/review/134119">8.1</a>、<a href="https://www.ithome.com.tw/review/141493">8.3</a>、<a href="https://www.ithome.com.tw/review/144683">8.4</a>、<a href="https://www.ithome.com.tw/review/148833">8.5</a>等版本，一路看著這套作業系統從積極支援雲端環境的應用，逐漸延伸到邊緣運算領域。</p> <p>而依據當時訂定的版本更新週期來看，今年也到了跨入第9版世代的時間，而在5月舉行的年度用戶大會Red Hat Summit期間，該公司也按照這樣的規畫，於此刻發布RHEL的9.0版與8.6版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Planning Guide.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Planning%20Guide.jpg" style="width: 600px;" /></a></p> <p>除了象徵產品邁入新世代，RHEL 9.0是第一個基於上游開發版本CentOS Streams所建構的正式版本，事實上，RHEL 9的Beta測試版最初就是透過CentOS Stream 9的形式來提供，紅帽表示，未來RHEL 9所有版本的推出，都將在CentOS Stream的基礎來建構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CentOS%20el9-2021-11.jpg" style="width: 600px;" /></p> <p>一般而言，在CentOS Streams這個持續交付的版本當中，會先提供未來可能出現在RHEL新版的功能，以此拓展整個生態系的發展，能以此讓合作廠商、客戶、獨立使用者試用，再收集相關的建議，以利下一次小改版時，能夠針對程式碼與特色進行調整。</p> <p><a href="https://www.centos.org/centos-stream/"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Hat%20CentOS%20Stream.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>提供更多專為邊緣運算環境系統執行所需的功能</strong></span></h3> <p>關於RHEL 9的推出，紅帽另一個主打的重點是關於邊緣運算環境的應用支援，這當中包含了全面的管理功能，以服務的形式提供給用戶，能憑藉更強大的控管與安全性功能，來掌握與擴展遠端部署，同時，也涵蓋了自動化建立機制、系統運作狀態的呈現，以及更有應變能力的資安漏洞緩解處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Redd%20Hat%20Edge%202022-05-11_094507-2.jpg" style="width: 600px;" /></p> <p>其實，這項服務是透過雲端網頁主控臺Red Hat Hybrid Cloud Console（console.redhat.com）來提供，紅帽在此整合了「邊緣管理（Edge Management）」應用程式，裡面提供多種功能，例如建立與管理邊緣系統映像、自動建立系統、檢視系統運作狀態是否正常，以及安全性的矯正等機制。而上述邊緣管理的應用功能目前已經上線，只要你是此項服務的有效訂閱用戶，均可存取。</p> <p>基本上，此項特色能讓RHEL用戶不需要任何搭配額外的內部建置IT基礎架構，也能進行邊緣管理的各種操作，相對地，若企業或組織想在邊緣端進行管理與規模擴展，且須在不犧牲他們本身資安態勢的條件之下，紅帽認為這（雲端服務）會是最快、最容易達到上述成效的方法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Edge Image-1-2022-06-02_191049.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Edge%20Image-1-2022-06-02_191049.jpg" style="width: 600px;" /></a></p> <p>RHEL 9另一個支援邊緣運算的特色，是透過Podman這套管理軟體的搭配與協助，偵測已更新的容器是否順利啟動、執行，若非如此，就會自動將容器的組態倒回（rollback）至前一個能正常執行、運作的版本。</p> <p>Podman去年提供自動更新容器的功能，但若遇上有些故障的容器因故發布至映像登錄服務的狀況，可能會導致容器無法執行，而現在的Podman具備了倒回至先前版本的功能，即可避免這類問題的發生，進而擴展自動更新容器映像的容量。當這樣的處理方式搭配作業系統層級的倒回機制之後，也能夠針對應用程式的可靠性，增添多一層保障。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 Automatic rollbacks for containers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20Automatic%20rollbacks%20for%20containers.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000CD;"><strong>可運用紅帽代管的網頁主控臺服務，隨時隨地進行各種RHEL系統映像的組裝</strong></span></h3> <p>拓展更多類型的應用方式，也是RHEL本次改版的重大突破。紅帽表示，他們正在發展「作業系統重大功能即服務（key operating system functions as services）」的概念，而第一個登場是新推出的Image Builder服務，它本身支援核心平臺的既定功能，可針對自定的檔案系統、三大雲端服務供應商，以及VMware伺服器虛擬化平臺，提供系統映像的建立功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-1-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-1-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Image Builder-1-2022-06-02_190004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Image%20Builder-1-2022-06-02_190004.jpg" style="width: 600px;" /></a></p> <p>這項由紅帽代管、提供的新服務，與上述的邊緣管理一樣，都整合在Red Hat Hybrid Cloud Console，能以簡化、快速的方式，協助用戶自行組裝標準、最佳化、特製等類型的RHEL作業系統映像，隨後再將這些映像部署至選定的雲端服務廠商環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-2-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-2-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>而且，這裡組裝的套件也包含最新的軟體內容，以及安全性更新，可支援所有的混合雲環境應用。它能協助企業與組織節省建立不同系統映像的時間，並在大量使用的狀況當中，可由此促成系統的一致性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 Image Buiilder-3-2022-05-31_234927.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20Image%20Buiilder-3-2022-05-31_234927.jpg" style="width: 600px;" /></a></p> <p>在此之前，用戶若要組建邊緣運算設備所需執行的RHEL系統映像，須透過在內部環境建置的Image Builder版本來進行，接著再搭配其他支援後續管理作業的系統。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Ut6Hg0lgthM" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>現在有了所謂的Image Builder as-a-Service，企業對於RHEL系統映像的組建，就不需要區分成初期建置與後續管理的作法，而且同樣不用依賴企業內部環境設置與維護的相關基礎架構，也能產生各種系統映像。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/0chezWnuMhs" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20image%20builder%20service.jpg" style="width: 600px;" /></p> <h3><strong style="color: rgb(0, 0, 205);">強化系統安全性，避免基礎架構遭到惡意修改</strong></h3> <p>對於系統完整性的確保，RHEL 9增設了新的驗證機制，這種作法稱為一致性測量架構（Integrity Measurement Architecture，IMA），能夠動態驗證作業系統的完整性，判斷是否遭到竄改或滲透。同時，RHEL 9也強化數位雜湊與數位簽章，能協助企業與組織偵測IT基礎架構是否出現未經許可的修改活動。</p> <p>透過一致性測量架構的導入，用戶能夠運用數位雜湊與數位簽章來驗證作業系統的完整性，藉此偵測非法的基礎架構竄改行為，以更輕鬆的方式減少系統遭到滲透的可能性。</p> <p>值得注意的是，在邊緣運算裝置的註冊方式（onboarding），RHEL 9提供了FIDO裝置註冊（FIDO Device Onboard，FDO）功能的技術預覽版本，此項特色也將整合「簡化安裝器（Simplified Installer）」。紅帽表示，邊緣運算應用當中，最消耗時間與成本的部分，在於如何自動化執行系統建立之後的步驟，促使這些設備在現場接上電源之後，就能開始發揮作用，而有了FDO，可節省許多作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9 FDO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209%20FDO.jpg" style="width: 400px;" /></a></p> <p>基本上，FDO可協助處理RHEL for Edge映像檔的自動建立，以及註冊程序。用戶可組建RHEL for Edge Simplified Installer的系統映像，以此設置RHEL for Edge系統映像，再以FDO來處理邊緣運算裝置的自動建立與註冊事宜，之後即可與其他裝置，以及透過網路彼此相連的系統，進行資料交換。因此，FDO協定將會在裝置製造階段當中，執行初始化設定，之後再綁定實際應用的裝置。</p> <p>紅帽表示，FDO使用安全信任鏈來驗證身分，以及擁有系統的人員，並搭配一個安全性更強的環境設置來建立溝通管道，而能登錄至一個管理平臺當中。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/_nq5IAVbl2Y" title="YouTube video player" width="560px"></iframe></div> <p> </p> <h3><span style="color:#0000CD;"><strong>提升自動化處理，對於不停機系統核心的修補作業，也提供網頁操作介面</strong></span></h3> <p>在系統角色（System Roles）的部分，RHEL 9也予以擴充，增加了高可用性叢集、防火牆、微軟SQL Server，以及伺服器系統管理工具Cockpit。</p> <p>基本上，RHEL System Role的實際技術組成，包含了自動化處理軟體平臺Ansible的角色及模組，以此提供穩定、一致的組態介面，能用於自動執行與管理多個版本的RHEL系統。</p> <p>在網頁管理主控臺的部分，RHEL Web Console現在可支援不停機的系統核心修補（Kernel Live Patching）──紅帽增加了簡化操作的介面，企業或組織不需透過命令列的工具，即可進行這些工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-1-2022-06-02_190522.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Update-2-2022-06-02_190527.jpg" style="width: 400px;" /></a></p> <p>透過這種方式，IT單位面對大規模、分散式部署的系統，無論是核心資料中心、多雲環境，或是邊緣運算設備，均可促使它們在不需重新開機的狀態下，就能自動套用系統核心的重大更新，減少這些重要維護作業執行的複雜度，能夠更容易解決那些嚴重影響生產環境安全性的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-rhel_kpatch_overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-rhel_kpatch_overview.jpg" style="width: 600px;" /></a></p> <p>除此之外，RHEL Web Console也強化了效能狀態呈現，可協助用戶找出導致CPU、記憶體、硬碟、網路等資源使用率暴漲的潛在原因。同時，用戶還能將這些效能量測數據匯出，交由圖解能力更強大的Grafana伺服器來呈現狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL 9-meter.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL%209-meter.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9 console meter-2022-06-02_193252.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9%20console%20meter-2022-06-02_193252.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL9-Doc-webconsole-performance-metrics.jpg" style="width: 500px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Red Hat Enterprise Linux 9.0<br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●支援運算平臺：64位元x86架構（x86-64-v2）、64位元Arm架構（Armv8.0-A）、IBM Power Systems Little Endian（Power9）、64位元IBM Z<br /> ●記憶體需求：1.5 GiB<br /> ●硬碟空間與分割區需求：10 GiB，x86與Arm架構需建立/分割區、swap分割區，IBM Power Systems需/分割區、swap分割區、PReP boot分割區<br /> ●系統基礎核心版本：5.14.0版</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2022/6/2 23:26作者李宗翰https://www.ithome.com.tw/review/151180
Alphabet與Meta的員工年薪中位數都超過29萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/what-alphabet-meta-and-other-s-p-500-firms-paid-workers-last-year-11654084801?mod=djemalertNEWS" target="_blank">《華爾街日報》（Wall Street Journal，WSJ）本周引用MyLogIQ的數據指出</a>，美國企業員工年薪中位數最高的是Google母公司Alphabet，該公司員工的年薪中位數高達295,884美元（約877萬元新臺幣），居次的是Meta的292,785美元（約868萬元新臺幣），此外，有超過150家美國企業的員工年薪中位數超過10萬美元。</p> <p>從2018年起，美國證券交易委員會（SEC）便要求上市公司必須公開員工的年薪中位數，包括加班與福利，比照對高階主管的年薪揭露要求，年薪中位數代表該公司有一半的員工薪資高於該數字，另一半則低於該數字。而MyLogIQ則利用人工智慧與機器學習技術蒐集並分析這些公司的財報內容。</p> <p>此次WSJ取得了來自S&P 500中的453家企業的資料，並根據年薪、產業別、員工數與成長幅度排序。</p> <p>除了Alphabet與Meta之外，年薪排進前十名的科技業者還有排名第四的博通（Broadcom），其年薪中位數為247,541美元，軟體服務業者ServiceNow則以233,859美元排名第六，第七名是Twitter的232,626美元，Nvidia以217,542美元名列第九。</p> <p>科技業者占據了年薪中位數排行榜的6個名次，另外3個名次則由醫藥/生命科學公司包辦，美國電子商務業者Etsy以231,338美元位居第八。</p> </div></div></div>
2022/6/2 23:44作者陳曉莉https://www.ithome.com.tw/news/151280
美國承認軍方駭客駭進俄羅斯以支援烏克蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sky.com/story/us-military-hackers-conducting-offensive-operations-in-support-of-ukraine-says-head-of-cyber-command-12625139" target="_blank">英國新聞臺《Sky News》本周披露</a>，身兼美國國安局局長及網戰司令部部長的美國陸軍上將Paul Nakasone在接受該電視臺專訪時坦承，美國曾經展開攻擊性的駭客行動以支援烏克蘭來應對俄羅斯的入侵。</p> <p class="rtecenter"><img alt="" src="https://media.defense.gov/2019/Sep/16/2002183198/825/780/0/190916-O-ZZ999-004Y.JPG" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國防部</span></span></p> <p>Nakasone說，美國的軍方駭客執行過一系列的行動，從攻擊、防禦到資訊作戰等，同時宣稱這些行動都是合法的，不僅是在監督下進行，也遵循了美國國防部所制定的政策。</p> <p><a href="https://www.reuters.com/world/white-house-cyber-activity-not-against-russia-policy-2022-06-01/" target="_blank">至於白宮則在提供給《路透社》的回應聲明中表示</a>，任何針對俄羅斯所展開的網路攻擊行動都未違反美國的政策，底線是避免因俄羅斯入侵烏克蘭一事與俄羅斯發生直接的軍事衝突。</p> </div></div></div>
2022/6/2 23:57作者陳曉莉https://www.ithome.com.tw/news/151281
微軟明年6月終止Excel中的Money等服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周宣布明年6月將終止包括Money、Alpha Wolfram資料支援等數項Excel附加功能。</p> <p><a href="https://www.ithome.com.tw/news/136662" target="_blank">Money是微軟2020年宣布Microsoft 365的重要服務</a>之一。它可整合用戶的線上銀行帳戶，方便用戶將不同銀行戶頭資料整合到Excel中，方便統一財務管理。<a href="https://support.microsoft.com/en-us/office/end-of-support-for-money-in-excel-faq-f0e0a388-1bb0-42cf-8753-9574c5424ba4" target="_blank">不過根據最新宣布</a>，這項功能將在2023年6月30日終止服務。微軟呼籲用戶不要將資料留在Money中，以免服務關閉後無法存取。已存在桌機或OneDrive中的Excel工作表內的資料則不受影響。</p> <p>作為替代，微軟建議用戶使用第三方工具Tiller。它支援5個自動更新工作表，可每日寄發帳戶餘額及交易的匯總郵件。微軟也提供60天免費試用帳號。</p> <p>此外，<a href="https://support.microsoft.com/en-us/office/excel-data-types-with-wolfram-end-of-support-faq-9ac0876c-b8cb-4c8e-bed6-207d0d675bfe" target="_blank">微軟也將終止Excel對Wolfram Alpha資料型態的支援</a>。為了讓Excel成為整合多種資料的終極決策工具，<a href="https://www.ithome.com.tw/news/140859" target="_blank">微軟是在2020年10月宣布</a>讓用戶加入自有及上百種類型的公共資料到Excel中，包括和知識型計算引擎Wolfram Alpha合作，可將化學式、文字記錄、郵遞區號、或基因資料等公共資料匯入Excel，以便可追蹤營養資訊、追蹤股價、學習化學等。</p> <p>微軟表示，未來將把重心放在和個人資料有關的資料類型，以及讓開發人員組織資料類型以連結其自有服務。對Wolfram Alpha的支援將到2023年6月11日止。屆時現有Excel工作表內的Wolfram Alpha資料不會被移除，但用戶無法再新增、更新Wolfram Alpha資料，此外以Wolfram Alpha資料類型設計的範本也都會移除。之後要下載資料則須以其他格式如XLS、XLSX、CSV 和TSV匯出下載。</p> <p>非Wolfram的資料類型則不受影響。</p> <p><a href="https://www.microsoft.com/en-us/us-partner-blog/2022/06/01/what-you-need-to-know-about-the-microsoft-cloud-partner-program/" target="_blank">微軟也宣布將終止合作夥伴利益（Partner Benefits）</a>，這是讓Microsoft 365用戶以點數兌換或以優惠價購買微軟合作夥伴某些產品的方案。本方案預計在明年6月30日終止。</p> </div></div></div>
2022/6/2 22:43作者林妍溱https://www.ithome.com.tw/news/151278
微軟發表600美元的Surface Laptop Go 2筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2022/06/01/introducing-surface-laptop-go-2/" target="_blank">微軟周三（6/1）發表了Surface Laptop Go 2</a>，這是微軟Surface筆電家族的入門款產品，起始價為599.99美元，即日起開放包括臺灣在內的特定市場預購，預計於6月7日出貨。</p> <p>微軟是在2020年發表第一代的Surface Laptop Go，但當時最低階的售價為549.99美元。Surface Laptop Go 2同樣採用12.4吋的觸控螢幕，搭載Windows 11 家用版與Intel Core i5處理器，重量為1,127公克，電池續航力長達13.5小時，有128GB及256GB兩種儲存容量可供選擇，具備USB-A、USB-C、3.5mm耳機插槽，以及1個Surface Connect連接埠。</p> <p>微軟企圖以更便宜的Surface Laptop Go與蘋果的MacBook Air競爭，宣稱就算鍵程比MacBook Air多出了30%，也不影響Surface Laptop Go 2一流的打字體驗，並具備大型的觸控板。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/43/2022/06/display-1024x959.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Surface Laptop Go 2打算用來吸引學生及上班族，以作為瀏覽網路、研究功課、處理工作或生活事務所需，除了提供銀白、灰綠、冰藍與砂岩等4種顏色之外，最特別的地方是加強了維修能力，允許使用者置換鍵盤、觸控板、螢幕與電池，以用來延長裝置的使用年限。</p> <p>臺灣則有包括<a href="https://24h.pchome.com.tw/store/DHAY69?_gl=1*1i39489*_ga*MjEyNTAyMjAzMy4xNjU0MTUzNjE2*_ga_9CE1X6J1FG*MTY1NDE1MzYxNi4xLjAuMTY1NDE1MzYxNi42MA.." target="_blank">PChome</a>與<a href="https://shopee.tw/microsoft_tw?shopCollection=155053366#product_list" target="_blank">蝦皮</a>等商場開放預購，128GB版本的售價為20,488元新臺幣，256GB版本為23,688元新臺幣。</p> </div></div></div>
2022/6/2 23:07作者陳曉莉https://www.ithome.com.tw/news/151279
【資安日報】2022年6月2日，研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elastics…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想要特別提及惡意外掛程式對於WordPress網站的威脅。有資安研究團隊近期發布報告指出，他們在長達8年的研究中，發現了超過4.7萬個惡意外掛程式，這些元件被部署於2.4萬個網站上，且大部分仍相當活躍。</p> <p>駭客針對不設防的資料庫發動攻擊的情況，最近再添一起事故。研究人員發現有人鎖定1,200個Elasticsearch資料庫下手，刪除內容並留下勒索訊息。</p> <p>這兩天有資安人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，類似可被濫用的Windows元件通訊協定漏洞再被揭露，這次是和Windows搜尋協定search-ms有關。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.usenix.org/conference/usenixsecurity22/presentation/kasturi"><span style="color: rgb(0, 0, 0);">逾4.7萬個惡意WordPress外掛程式出現於2.4萬個網站</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/wordpress-yoda.jpg" style="width: 300px; float: right;" /></a>WordPress惡意外掛程式氾濫，經過研究人員長期分析，他們發現就算從官方市集取得這些軟體，仍可能會買到有問題的外掛程式。喬治亞理工學院旗下的網路鑑識發展實驗室（CyFI Lab）近日發表論文，他們耗費長達8年的時間，針對WordPress市集進行大規模調查，並利用他們製作的檢測工具Yoda對外掛程式進行與網站進行調查。</p> <p>結果發現，他們在410,122個網站伺服器裡，找到24,931個網站存在惡意外掛程式，它們總共被部署了47,337個有問題的元件，且其中有3,685個外掛程式還在合法市集上銷售。</p> <p>研究人員指出，他們看到WordPress的惡意外掛程式不斷增加，並於2020年3月達到最高峰，令他們意外的是，8年來這些受害網站上部署的惡意外掛程式，94%迄今仍非常活躍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.secureworks.com/blog/unsecured-elasticsearch-data-replaced-with-ransom-note"><span style="color: rgb(0, 0, 0);">1,200個Elasticsearch資料庫遭到勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unsecured-elasticsearch-data-blog-figure1.png" style="width: 300px; float: right;" /></a>駭客鎖定配置較不安全的Elasticseatch資料庫下手，並向所有者勒索的情況，最近再度出現事故。資安業者Secureworks指出，他們看到有人針對超過1,200個Elasticseatch資料庫發動攻擊，清空內容並留下勒索訊息，要求對方一個星期內支付0.012個比特幣（約620美元）來復原資料，若是沒有在期限內付錢，贖金將會加倍。</p> <p>研究人員確認至少有450筆付款請求（相當於28萬美元），但駭客的兩個錢包目前似乎沒有收到任何贖金。雖然上述攻擊行動似乎不算成功，駭客拿不到錢，但對於受害組織來說，即使向對方支付贖金，可能仍無法恢復Elasticseatch資料庫的狀態，因為，存放1,200個資料庫資料所需的成本相當可觀，駭客極有可能不會備份。研究人員呼籲，用戶應對於資料庫做好相關防護。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-windows-search-zero-day-added-to-microsoft-protocol-nightmare/"><span style="color: rgb(0, 0, 0);">Windows搜尋通訊協定存在零時差漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/search-ms-edge.jpg" style="width: 300px; float: right;" /></a>最近幾天，有研究人員揭露與Windows支援診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，駭客一旦利用這項漏洞，可藉由惡意的Word檔案啟動ms-msdt的通訊協定，進而執行PowerShell命令，但現在又有人發現其他Windows元件的通訊協定可被濫用。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安教育訓練業者Hacker House發現新的攻擊手法，能結合新發現的微軟Office元件OLEObject漏洞，以及search-ms通訊協定，受害者只要開啟駭客為此手法而特製的的Word檔案，就可能中招。</p> <p>研究人員錄製概念性驗證攻擊（PoC）影片，當使用者開啟駭客提供的Word檔案，該檔案就會執行search-ms通訊協定的命令，開啟Windows搜尋視窗，當中列出共享資料夾上的內容。研究人員呼籲，使用者應考慮刪除相關機碼來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/fresh-phish-phishers-take-advantage-of-telegraphs-loose-governance"><span style="color: rgb(0, 0, 0);">駭客濫用Telegram匿名部落格服務進行網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Telegraph-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telegraph-2.png" style="width: 300px; float: right;" /></a>駭客濫用Telegram服務進行攻擊行動的情況，不時有事故傳出，但近期有人也運用該公司旗下的匿名部落格服務Telegraph出手。郵件安全業者Inky指出，他們看到駭客今年大肆利用Telegraph來進行網路釣魚攻擊，根據該公司的資料，他們在2019年至2022年5月偵測到的攻擊行動，有9成出現在2022年。這些駭客可能來自多個組織，使用已被挾持的電子郵件帳號發送郵件，企圖進行加密貨幣詐騙，或是竊取對方的網路服務帳密。</p> <p>其中，在針對收信人的加密貨幣詐騙中，駭客聲稱已經竊得對方電子郵件帳號的密碼，並下載了所有信件，要求支付價值1,700美元的比特幣，換取資料不被外流，而這樣的狀況有多嚴重？根據研究人員的觀察與統計，駭客至少收到2,578.71美元贖金。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/ransomware-group-claims-have-breached-foxconn-factory"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit聲稱竊得富士康墨西哥工廠資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxconn_ransomware_0.png" style="width: 300px; float: right;" /></a>臺灣高科技產業海外工廠遭到勒索軟體攻擊的事故，最近再添一例。根據資安新聞網站SecurityWeek的報導，鴻海集團在美墨邊境設立的液晶電視生產工廠，傳出遭到勒索軟體LockBit攻擊，駭客揚言：若未在6月11日前付錢，他們將會公布竊得的資料。</p> <p><a href="https://www.ithome.com.tw/news/151270">鴻海亦於今日傍晚證實此事</a>，本次受攻擊廠區目前正逐漸恢復正常中，所受影響預計可由後續產能調整因應，對集團整體營運影響不大。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202205310265.aspx"><span style="color: rgb(0, 0, 0);">三立離職員工駭入網路影音平臺遭到起訴</span></a></strong></h3> <p>企業面臨的資安威脅不只是來自外部，別有居心的內部員工、離職員工因為了解公司業務流程運作方式，或已經或曾經被授予高權限，也可能因故而傷害目前或先前任職的公司。</p> <p>根據中央社報導，三立電視臺吳姓、曾姓工程師皆曾擔任網路影音平臺Vidol網站程式設計、部署業務，離職後於民國106年2月，使用洋蔥網路（Tor）隱匿真實IP位址，登入公司系統並刪除該網路影音平臺部分帳號，關閉存放於AWS的網頁程式，然後刪除會員資料。一審判2人各10月徒刑，5月31日二審結果出爐，法官考量2人已履行賠償110萬元，改判6個月徒刑。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/flubot-android-malware-operation-shutdown-by-law-enforcement/"><span style="color: rgb(0, 0, 0);">安卓惡意軟體FluBot遭到歐美執法單位圍剿</span></a></strong></h3> <p>安卓惡意軟體FluBot自2020年底，多次大肆透過網釣簡訊（Smiphing）散播，這樣的情況使得歐美多個國家聯手，阻斷其基礎設施。歐洲刑警組織（Europol）於6月1日宣布，他們與荷蘭、瑞士、瑞典、西班牙、芬蘭等11個國家的執法單位聯手，切斷FluBot的攻擊行動，並指出荷蘭警方於5月初切斷其基礎設施。荷蘭警方表示，他們將一萬名受害者斷開與FluBot的網路連結，並阻止逾650萬個用來發動攻擊的網釣簡訊。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/2 16:29作者周峻佑https://www.ithome.com.tw/news/151273
能力越大，責任越大
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>運動時，偶爾在路上看到有人穿著T恤，上面寫著電影蜘蛛人的經典臺詞：「With great power comes great responsibility.（能力越大，責任越大）」，引起我注意的是，這兩句話當中，POWER的字體明顯大於其他字彙。</p> <p>而到網際網路搜尋繪有這些字樣的短袖上衣圖片時，的確可以看到很多款式的衣服都是這樣的呈現，可能因為這是對於超級英雄形象的仰慕，但是否也象徵人們對於「力量」、「能力」、「權力」的渴望，同時，也不免讓人聯想「責任」是否成為一種裝飾或是獲得更大能力的藉口，而讓人忽略扛起這個重擔所要付出的代價。</p> <p>以這樣的角度來看，肩負越來越多任務的IT人員，應該也要想想我們同時被賦予的權限與承擔的責任/信任，隨著資訊科技進步與普及，無形中似乎也越來越大。正如<a href="https://www.ithome.com.tw/article/151037" target="_blank">1078期封面故事《6年SRE老手為何仍大當機14天》</a>就是近期很顯著的例子，有775家企業用戶受到Atlassian四月大當機事件影響，總共花了兩週才全面恢復服務。</p> <p>而這期的封面故事《快啟用MFA！保護開發者帳號刻不容緩》也與此有關，我們呼籲所有應用程式開發者別小看自己的重要性，須注意使用的各式開發平臺與負責系統的帳號安全，盡可能導入多因素身分驗證、甚至是無密碼（passwordless）身分認證。無論你是籍籍無名的一般開發人員，或是橫掃各個應用程式開發領域的大神級人物，都需要具備這方面的防備意識，而不只是關注程式碼本身的安全性。</p> <p>事實上，當我們在開發軟體過程當中，經常會需要進到各個系統或平臺進行程式碼的撰寫、提交、測試、上線，也可能會用到許多別人寫好的應用程式套件（或自己開發出應用程式套件，與社群共享使用），在整個軟體供應鏈體系當中，每個程式人所經手或負責的部分，不只會影響軟體的開發速度、品質，當然也包含安全性，而且隨著軟體應用的無所不在，因為資安方面的不足造成的影響，也不再單純只是系統操作人員的不便，而可能連帶衝擊工作與生活相關活動。</p> <p>關於能力越大造成的風險，也讓人聯想到大家越來越不能接受所謂的「低級錯誤」。例如，<a href="https://www.ithome.com.tw/article/147160" target="_blank">去年9月，發生高中學習歷程檔案因人為疏失發生2萬5千筆資料遺失</a>，共有81校、7854名學生受到影響；今年3月，爆出公視片庫遭外包資訊廠商誤刪42萬筆新聞片；4月底華視新聞接連出現字幕誤植的事故，累計有8次之多。許多這類失誤可能都出於負責人員的不小心，再加上所屬單位的系統、資料備援，以及事故應變能力不足，而使得相關狀況無法在短時間內排除，也因為茲事體大，涉及學生未來生涯與公眾閱聽，而受到全臺灣民眾的譴責。</p> <p>所謂的責任，並不是嘴上講講而已，也不是擺在心裡製造壓力，最重要是在事前、事中、事後採取適當的處置。希望可以擁有更大的能力並不是錯，畢竟人非聖人、孰能無過，但確實地將責任承擔起來、善用自己被賦予的職權將事情辦好，更是關鍵。</p> <p>此外，眾志成城，遇到無法解決的問題，我們也要懂得如何找外援，事實上，這樣的協調與合作能力也很重要，因為我們目前在實體與虛擬環境所面對的快速變化，早已不是過去所能想像。以IT領域而言，很難有人能夠完全精通傳統至現代的技術堆疊架構，但這是企業、組織、個人所身處的常態，雲端服務、軟體定義的風潮，固然帶動了許多創新，有許多工作負載也正在進行遷移或轉型，然而，就算有人能夠持續跟上技術演進的腳步，勢必無法顧及既有IT、甚至是更古老卻仍無法汰換的IT應用，因此，處處是可以帶來重大改變的機會，但也都隱藏著難以管理的風險與可乘之機，實務上，又不能因噎廢食……</p> <p>身處職場，無論我們是基層工作者、中間協調者，或是高層負責監督與調度指揮者，不妨細細思量自己看待能力與責任的方式，以及其他合作夥伴、服務對象對於我們能力與責任的期待，審視這當中是否恰當，該如何調整，固然難以面面俱到，也難免會失手犯錯，但未來能否做好，我們須期勉自己若再次遇到同樣狀況，能化險為夷，而這有賴此刻之後的努力提升與改善，而隨著能力擴展與經驗累積，責任也可以更充分地承擔。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導 </span></strong></p> <p><a href="https://www.ithome.com.tw/article/151037" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1078-feng_mian_gu_shi_-1_open-dou_zi_-960x420_gong_zuo_qu_yu_1.jpg?itok=GJscKXJe" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/147160" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1046-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=hC_R-lYL" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E9%81%BA%E5%A4%B1">資料遺失</a></div><div class="field-item even"><a href="/tags/%E5%A4%A7%E7%95%B6%E6%A9%9F">大當機</a></div><div class="field-item odd"><a href="/tags/mfa">MFA</a></div><div class="field-item even"><a href="/tags/%E5%B8%B3%E8%99%9F%E5%AE%89%E5%85%A8">帳號安全</a></div><div class="field-item odd"><a href="/tags/%E9%AB%98%E4%B8%AD%E5%AD%B8%E7%BF%92%E6%AD%B7%E7%A8%8B%E6%AA%94%E6%A1%88%E9%81%BA%E5%A4%B1">高中學習歷程檔案遺失</a></div><div class="field-item even"><a href="/tags/atlassian">Atlassian</a></div><div class="field-item odd"><a href="/tags/sre">SRE</a></div></div></div>
2022/6/2 15:59作者李宗翰https://www.ithome.com.tw/voice/151260