iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

兩大公有雲業者都已布局Arm架構
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1-aws_graviton3-1-2022-05-27_014012_tu_pian_lai_yuan_aws-420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【AWS自行設計的3代Arm處理器】歷經3年多的時間演進，公有雲業者AWS設計的Arm架構Graviton處理器，已邁入第三代，基於這些處理器晶片，他們截至目前為止，總共已經推出十多種Arm執行個體服務。圖片來源／AWS</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>憑藉著低功耗與高效能的特性，很多廠商都對Arm架構處理器能否跨入資料中心伺服器領域，抱持著很大的期望，然而，在x86架構長期壟斷市場的局面之下，整個Arm伺服器的生態系統要成形，並不如很多人想像中來得一帆風順，早年投入此領域的廠商，有的因為被併購而改弦易張，有些廠商可能因為手上有其他更熟悉、更容易獲益的產品線，而未聚焦在伺服器領域，導致Arm運算架構只能以FPGA加速卡、DPU這類輔助加速運算產品搭配的CPU，而非以伺服器CPU的形式，進入企業資料中心領域。</p> <p>不過，這個局面在3年半前開始改寫，因為，公有雲龍頭業者AWS在2018年底召開的年度用戶大會期間，突然宣布推出Arm架構執行個體服務EC2 A1，相較於該公司其他通用執行個體服務，成本節省幅度高達45%，而且，所用的處理器竟是他們自行設計的64位元Arm處理器Graviton，而非當時市面上Arm伺服器廠商所搭配的Cavium ThunderX2，自此大家不僅獲得Arm用在雲端服務的實際印證，也了解到企業與服務廠商可活用Arm硬體智慧財產、自行設計處理器，不一定要用市面上現成的Arm架構處理器產品。</p> <p>歷經幾年的發展，AWS仍持續推動自行設計晶片（custom silicon）的作法，身為該公司四大半導體產品線之一的Arm架構處理器Graviton，如今發展到第三代，而採用Graviton作為CPU的EC2執行個體服務，已開設到10種以上。</p> <p>除此之外，他們還有更早發展的硬體加速Hypervisor晶片Nitro System，以及專攻機器學習推論與處理加速的Inferentia、Trainium等晶片。</p> <p>在這段期間，Arm伺服器CPU領域出現新的廠商Ampere Computing，在2020年、2021年先後推出了Arm架構處理器Altra與Altra Max，使得不打算自行設計CPU的伺服器廠商與雲端服務業者，有了新的選擇，也因此，從2021年起，開始陸續傳出多個公有雲服務開始採用Arm伺服器，或提供Arm執行個體服務的消息。</p> <p>例如，以CDN、防DDoS攻擊服務而著稱的雲端網路與安全廠商Cloudflare，在去年3月公開評估Ampere Altra伺服器性能結果（搭配Altra Q80-30處理器），比較AWS搭配Graviton2處理器的執行個體服務，他們認為Ampere Altra伺服器具備更高效能。到了7月，他們表示將開始部署Ampere的Arm架構處理器，再次強調效能優異──就每瓦電力可處理的網際網路請求數量而言，比起搭配AMD第二代EPYC處理器的邊緣伺服器Gen X，Arm伺服器可再額外處理57％的請求。</p> <p>2021年5月，公有雲業者OCI（Oracle Cloud Infrastructure）加入Arm架構行列，他們宣布推出Ampere A1 Compute執行個體服務，提供虛擬機器與裸機等兩種型態的選擇，主打特色是費用低廉（每顆CPU核心每小時為0.01美元，每GB記憶體每小時為0.0015美元），以及運算效能強大（每個執行緒可對應每顆CPU核心）。</p> <p>到了2021下半，有多家雲端服務廠商釋出採用Arm架構運算平臺的消息。</p> <p>例如，阿里雲在10月舉行的年度用戶大會期間，發表Arm架構處理器，名為「倚天710（Yitian 710）」，這款晶片由阿里巴巴集團的平頭哥半導體公司設計，號稱是第一款採用Armv9架構的伺服器晶片，導入5奈米製程，支援DDR5記憶體，以及PCIe 5.0介面。</p> <p>到了2022年4月，阿里雲宣布新設置的Arm架構執行個體服務ECS g8m系列，開放試用申請，而根據各媒體的相關報導來看，當中採用的處理器正是去年10月發表的倚天710。</p> <p>同樣在2021年10月，中國另一家公有雲業者騰訊雲也跨入Arm架構，宣布推出Arm執行個體服務「標準型SR1(Standard SR1)」，隸屬於Cloud Virtual Machine（CVM）系列運算服務產品線，Standard SR1所採用的處理器是Ampere Altra。</p> <p>以網路網路交換中心（IBX）業務聞名的大型資料中心業者Equinix，2020年3月完成併購裸機系統即服務公司Packet之後，半年後結合Packet的硬體自動化供應技術，以及他們擅長的全球網路互連能力，成立新的裸機服務Equinix Metal，而在2021年底，他們預告將更新第三代服務的組態，當中提供搭配不同處理器的硬體產品線，例如，皆於2021年上半正式發表的AMD第三代EPYC系列、英特爾第三代Xeon Scalable系列，同時還有Arm架構處理器Ampere Altra的選擇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-Azure-1-2022-06-03_151819%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAmpere%20Computing.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">Azure導入Arm的下一步是支援AKS</span></strong></p> <p><strong><span style="color:#696969;">身為主要公有雲業者的微軟Azure，採用Arm處理器不只是推出執行個體服務，5月在Ampere Computing揭露公司策略與產品發展藍圖的影片中，他們不僅提到Arm執行個體服務特色，也預告將在代管容器服務平臺Azure Kubernetes Service當中，提供基於Ampere Altra的新選擇。</span></strong><span style="color:#696969;">圖片來源／Ampere Computing</span></p> <p><a href="https://s4.itho.me/sites/default/files/files/1081-%E5%B0%81%E9%9D%A2P4P5-%E5%AE%97%E7%BF%B0-AWS_Azure-(600%E5%9C%96-2-%E8%B6%85%E9%80%A3%E7%B5%90-%E5%A4%A7%E5%9C%96).png" target="_blank"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1081-%E5%B0%81%E9%9D%A2P4P5-%E5%AE%97%E7%BF%B0-AWS_Azure-(600%E5%9C%96-1).png" style="width: 600px;" /></span></a></p> <p><span style="font-size:28px;"><strong>AWS自造處理器邁入第三代，開拓效能與伺服器平臺新局</strong></span></p> <p>縱觀整個公有雲服務市場，AWS是最早自行設計Arm架構處理器Graviton，並以此推出多款執行個體服務的廠商，不過短短3年，Graviton如今已推出第3代，幾乎以1年翻新1代的速度發展，帶來的規格變革與改善成效也相當驚人。</p> <p>若就Graviton與Graviton2的規格來進行比較，前者採用16奈米製程，以及Arm Cortex-A72應用處理器，電晶體總量為50億個，內建16顆核心，後者採用7奈米製程，以及Arm Neoverse N1平臺，電晶體總量暴增至300億個，內建64顆核心，每顆核心效能增至2倍，記憶體速度增至5倍。</p> <p>至於最新推出的Graviton3，採用5奈米製程，以及Arm Neoverse V1平臺，電晶體總量達到550億個，內建64顆核心，支援DDR5記憶體（DDR5-4800控制器）、PCIe 5.0介面，相較於Graviton2，每顆核心效能提升25％，浮點運算與密碼學處理的效能均增至2倍，機器學習的效能增至3倍。</p> <p>值得注意的是，Graviton3導入小晶片（chiplet）設計，整顆處理器是由7個晶粒所組成──1個主運算晶粒位於CPU中間，CPU邊緣有4個DRAM控制器晶粒與2個PCIe晶粒。</p> <p>有別於現行部分伺服器CPU的配置，Graviton3的運算晶粒是以單體的形式存在，64顆實體核心全部坐落在同個晶粒之中，目的是讓所有核心擁有一致的記憶體存取延遲速度，而非將其揭露出來、迫使應用程式開發人員需處理本地與遠端的記憶體存取複雜度；而在記憶體資源的運用上，它會統合所有的核心與記憶體來進行配置。</p> <p>在設計上，AWS主要是透過內含多顆晶片的模組（Multichip Module）形式，來進行Graviton3處理器的實作，目的是減低成本、提升收益，因應當代伺服器處理器尺寸與複雜度持續提升的狀況，利於未來Graviton能夠採用先進的製程節點，又能讓PCIe晶粒這類規格更迭速度較慢的I/O模組，維持不變。</p> <p>除了晶片、封裝的架構組成，在主機板搭配方式上，AWS也針對Graviton3提出前所未見的配置，可實現業界首創的3路伺服器設計。以最新推出的C7g執行個體服務為例，每一張Graviton3主機板支援3臺伺服器的使用，而這3臺伺服器都由單個Nitro處理器來支援──1張Nitro Card可同時管理3個Graviton3。</p> <p>而基於這樣的配置，每個機櫃所能容納的CPU總數可再提升50％。一般而言，單座42U機櫃，最多可容納42臺1U伺服器，原本1U尺寸的Graviton伺服器與Graviton2伺服器，皆配置2顆處理器，因此，每座機櫃最多可安裝到84顆處理器。</p> <p>AWS表示，他們之所以採取這樣的配置是因為耗電考量，實務上，若以伺服器機箱裝滿整個機櫃空間之前，電力可能就不夠用了，而接下來既然要重新設計下一代伺服器的晶片、封裝，主機板的配置也可以考慮一起調整。所以，AWS決定改變策略，先設法善用更多機箱內部空間，再考量電力需求配置，於是，造就Graviton3伺服器出現3顆處理器搭配1張Nitro Card的系統組態，他們宣稱，這麼做能比其他廠商解決方案更貼近整體電力需求，而基於運算密度比過往配置更高的1U伺服器，也使得每座機櫃最多可安裝到126顆處理器，提升至傳統配置的1.5倍。</p> <p><span style="font-size:28px;"><strong>微軟引進Ampere Altra處理器，將推出Arm架構執行個體服務</strong></span></p> <p>當市面上出現越來越多雲端服務業者發展與運用Arm架構處理器的案例後，在今年4月，另一家大型公有雲業者微軟Azure宣布將推出Arm執行個體服務，再度為Arm躍上公有雲舞臺這股趨勢，打了一劑強心針。</p> <p>他們目前在Azure虛擬機器系列，發布3個系列執行個體服務的公開預覽版本，均採用Ampere Altra處理器，運作時脈最高可達到3 GHz。透過這些虛擬機器，微軟認為可以更有效率地執行橫向擴展的工作負載、網站伺服器、應用程式伺服器、開放原始碼資料庫、雲端原生應用系統，以及.NET應用程式、Java應用程式、遊戲伺服器、多媒體伺服器。</p> <p>這些開放用戶預覽的Arm執行個體服務，主要可分為3大系列：Dpsv5、Dplsv5、Epsv5，前兩個是針對一般用途，最多均可提供64顆vCPU，最後則是主打記憶體優化應用，最多均可提供32顆vCPU。</p> <p>用戶若需要更低成本的執行個體服務，微軟Azure還提供未內建硬碟儲存的服務項目，例如，Dpsv5預設不搭配硬碟（沒有本機暫時儲存體)），Dpdsv5提供硬碟（本機暫時儲存體）；Dplsv5預設不搭配硬碟，Dpldsv5提供硬碟；Epsv5預設不搭配硬碟，Epdsv提供硬碟。用戶可自行掛載標準固態硬碟、標準硬碟、進階硬碟（Premium SSD），未來將支援極致磁碟（Ultra Disk）</p> <p>以Dpsv5與Dpdsv5這組而言，最多提供64顆vCPU，每顆vCPU可對應4 GiB容量的記憶體，整臺虛擬機器最多可配置208 GiB容量的記憶體。在工作負載類型上，Dpsv5系列可設置應用程式伺服器、小至中型資料庫、網站伺服器、微服務。</p> <p>另一組Dplsv5與Dpldsv5最多提供64顆vCPU，每顆vCPU可對應2 GiB容量的記憶體，最多可配置128 GiB容量的記憶體。在工作負載類型上，Dplsv5系列可用於多媒體編碼、遊戲伺服器、小型資料庫。</p> <p>Epsv5與Epdsv5最多提供32顆vCPU，每顆vCPU可對應4 GiB容量的記憶體，最多可配置208 GiB容量的記憶體。在工作負載類型上，Epsv5系列可用於記憶體密集的系統或服務，例如，資料庫、快取、分析型作業。</p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);">AWS EC2 C7g伺服器的3大特色</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="font-size:20px;"><span style="background-color:#3399ff;"> 2022年上半Ampere Altra伺服器平臺總覽 </span></span></span></strong></p> <p><span style="font-size: 20px;"><strong>AWS在2021年底宣布推出第三代的Graviton處理器，以及採用這款Arm架構CPU的執行個體服務C7g，然而，其重要的技術創新特色，不僅在於是業界率先採用Arm Neoverse V1平臺（如下圖1 ），而順勢導入5奈米製程，以及支援DDR5記憶體、PCIe 5.0介面等先進規格（如下圖2）。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(178, 34, 34);"> 1. 晶片 </span></strong></span></span></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2-2-AWS-Graviton3-Chip-Neoverse%20V1.png" style="width: 600px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(178, 34, 34);"> 2. 封裝 </span></strong></span></span></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2-3-AWS-Graviton3-Multichip%20module.png" style="width: 460px;" /></strong></p> <p><span style="font-size: 20px;"><strong>同時，他們也在整顆處理器晶片的封裝設計方式，以及伺服器系統的主機板配置等層面，下了很大的功夫（如下圖3），因而造就業界首創的1U尺寸的3路伺服器（如下圖4），也使得單一機櫃能夠提供更高的CPU運算密度。</strong></span>圖片來源／AWS</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(178, 34, 34);"> 3. 主機板 </span></strong></span></span></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2-4-AWS-Graviton3-Motherboard.png" style="width: 346px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(178, 34, 34);"> 4. 執行個體服務 </span></strong></span></span></p> <p><strong style="font-size: 36px; color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-1-AWS%20reinvent-1-2021-12-02_074529%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90AWS.png" style="width: 600px;" /></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1081-%E5%B0%81%E9%9D%A2P4P5-%E5%AE%97%E7%BF%B0-AWS_Azure-(600%E5%9C%96-2).png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/article/151380" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1081-feng_mian_p1-open-zong_han_-960x420_kao_bei_.jpg?itok=HuMct2Bz" style="width: 570px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B">封面故事</a></div><div class="field-item odd"><a href="/tags/arm">ARM</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%9C%8D%E5%8B%99-0">雲端服務</a></div><div class="field-item even"><a href="/tags/aws">AWS</a></div><div class="field-item odd"><a href="/tags/oci">OCI</a></div><div class="field-item even"><a href="/tags/%E5%9F%B7%E8%A1%8C%E5%80%8B%E9%AB%94">執行個體</a></div><div class="field-item odd"><a href="/tags/%E5%BE%AE%E8%BB%9Fazure">微軟Azure</a></div><div class="field-item even"><a href="/tags/equinix">Equinix</a></div><div class="field-item odd"><a href="/tags/cloudflare">CloudFlare</a></div></div></div>
2022/6/13 07:00作者李宗翰https://www.ithome.com.tw/tech/151376
【不讓x86架構專美於前，憑低功耗與更多核心獲寵】Arm走入公有雲世界
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1081-feng_mian_p1-open-zong_han_-960x420_kao_bei_.jpg?itok=HuMct2Bz" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因智慧型手機而崛起的Arm架構CPU，經過許多廠商的努力，如今終於站上雲端服務的舞臺，例如，AWS、OCI皆已推出執行個體服務，微軟Azure今年4月發布多個執行個體服務預覽版，去年也有Equinix、Cloudflare等業者宣布採用或以此推出服務，後市可期！</p> </div></div></div>
2022/6/13 07:00作者李宗翰https://www.ithome.com.tw/article/151380
自造之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>被喻為四大奇書的《三國演義》第一回，開頭提到的「話說天下大勢，分久必合，合久必分」，幾乎是家喻戶曉的至理名言，而在產業發展的過程當中，我們更是一再見證這幾句話不斷上演。</p> <p>以企業儲存系統而言，相信我們的技術主筆張明德應該會很有感觸，因為在過去這十幾年來，我們經歷了好幾波系統核心的變革，儲存設備的處理器從廠商開發的專屬晶片，後續改為通用處理器平臺來統籌全局，從Atom、Xeon D到Xeon Scalable，如今又面臨新的典範移轉，出現以處理器搭配DPU/SmartNIC/IPU這類加速運算的作法，似乎又有回到專屬晶片架構的可能性。</p> <p>回顧過去，今日的軟體與硬體工程的提升幅度之巨大，已到達難以想像的地步，正如過去許多專家的預期，IT的發展確實走向高度整合、標準化、動態化、最佳化的道路上，軟體的價值也在硬體的效能增長與生產成本降低等因素之下，持續發揮，不過，有一些問題的思考，仍然沒有標準答案，那就是該用現成的產品與技術？還是自己親自去打造解決方案？</p> <p>關於這方面的觀點，在我們的《程式人》專欄裡面，很多年前就提出很重要的思考要點，大家有空不妨重新再閱讀，像是〈<a href="https://www.ithome.com.tw/article/54193" target="_blank">軟體設計就是取捨之道</a>〉、〈<a href="https://www.ithome.com.tw/voice/58941" target="_blank">具再利用性的設計，將強化生產力</a>〉、〈<a href="https://www.ithome.com.tw/article/50343" target="_blank">「懶」出生產力是程式人很重要的美德</a>〉，以及〈<a href="https://www.ithome.com.tw/voice/103336" target="_blank">打造輪子的樂趣</a>〉，或許我們可以想想面對有些狀況的發生，是否有不同解決方案。</p> <p><a href="https://www.ithome.com.tw/article/151380" target="_blank">而在1081期的封面故事裡面</a>，我們在探討Arm架構如何走上公有雲服務的過程中，恰巧也從不同廠商的採用方式，看到這兩種模式。</p> <p>若以2022年上半的此刻來看，大多數公有雲業者採用Arm架構處理器的作法，是基於Ampere Computing公司的Altra處理器平臺，來建置相關的基礎架構環境，市面上也出現越來越多的伺服器廠商，推出可搭配Ampere Altra的機型，例如，長期耕耘Arm伺服器領域的技嘉科技（我們去年曾介紹他們推出的兩款產品）。</p> <p>最近有更多廠商宣布與Ampere Computing公司合作，加入供應Arm伺服器產品的行列。例如，在該公司5月公布策略與產品發展藍圖的影片中，我們看到Supermicro、DDN來站臺，而在他們網站公告的Ampere Systems產品資料庫中，我們看到緯穎科技、Supermicro、凌華科技、富士康工業互聯網、浪潮，都列出基於他們參考平臺而成的產品機型，或是相關開發平臺。</p> <p>除了搭配現成的處理器，有的公有雲業者在幾年前就決定「自己造輪」，而這個廠商就是公有雲市場的龍頭廠商AWS。</p> <p>得知他們自行設計Arm架構處理器，或許很多人會以「有錢就是任性」，來猜測這麼做的動機，不過，隨著這幾年來我們持續追蹤觀察該公司的技術架構發展演變，其實並非如此，甚至越來越了解到他們算盤打得很精，很清楚這個「重新造輪」會替公司帶來更高的基礎架構設計自主權，他們可以主導相關技術變革的步調，不會完全受限於晶片廠商的產品開發與上市時程。</p> <p>關於自行設計晶片，在去年的封面故事《<a href="https://www.ithome.com.tw/article/148439" target="_blank">AWS 2022新戰略</a>》當中，我曾經以「自己設計多種晶片，展現實質成效」、「兼具省錢與高效，創造雙贏局面」為題，整理AWS在2021年之前的多種運算晶片發展歷程，以及用於自家雲端服務可能產生的業務成效，當時對於他們公開說出的各種考量、規畫與實踐力，印象很深刻，但對於這一年底發表的Graviton3處理器，我仍持保留態度，想等到這顆處理器與搭配的執行個體服務上市，再來深入探討。</p> <p>而在5月底，他們終於正式發布上市的消息，在AWS副總裁暨傑出工程師的James Hamilton介紹之下，終於證實Graviton3處理器採用Arm Neoverse V1平臺，但我不能理解：為何一臺伺服器裡面，會是3顆Graviton3處理器搭配Nitro Card……</p> <p>抱持這個疑點，我重看去年AWS年度用戶大會的主題演講畫面，赫然發現AWS公用運算資深副總裁Peter DeSantis介紹Graviton3時，背後的伺服器機箱內部配置畫面似乎怪怪的，但又說不上來，只覺得為何裡面有3個處理器插槽很特別……，這時才突然想到這兩者是同一件事！</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=9NEQbFLtDmg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1081-%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-600-1.jpg" style="width: 600px;" /></a></p> <p>我赫然發現他們居然創造了一臺1U的3路伺服器，而且還用來營運實際的雲端服務工作負載！綜觀伺服器的發展，此舉大大顛覆了所有IT人員的刻板印象。如果不是AWS堅持要自己設計伺服器晶片，恐怕沒人能想到伺服器可以居然能這樣設計，而且還很有用。</p> <p><a href="https://www.ithome.com.tw/article/151380" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a></p> <p><a href="https://www.ithome.com.tw/article/151380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1081-feng_mian_p1-open-zong_han_-960x420_kao_bei_.jpg?itok=HuMct2Bz" style="width: 600px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/graviton">Graviton</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/ampere">Ampere</a></div><div class="field-item odd"><a href="/tags/arm%E6%9E%B6%E6%A7%8B%E8%99%95%E7%90%86%E5%99%A8">Arm架構處理器</a></div></div></div>
2022/6/13 07:00作者李宗翰https://www.ithome.com.tw/voice/151381
因應新商模規模化提前布局，新光鋼轉型靠產線數位化先練兵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了改變50年來的傳統經營模式，跨入全新的產業和商業模式，新光鋼鐵決定展開前所未有的數位轉型計畫，將數十年來習慣的鋼鐵廠人工作業模式數位化，甚至未來希望做到全面平板化。這一步，就從「說一個成功的經驗」開始。</p> <p>新光鋼鐵（後簡稱新光鋼）是臺灣老字號的鋼鐵製造商，一年超過40萬噸的鋼鐵製品，99%都是賣到國內市場，從家具機械五金、汽機車鈑金，到大樓、橋樑工程所用的鋼材都有，在臺灣北中南更設置了5座工廠，服務超過2千家企業客戶。</p> <p>但在2017、2018年時，新光鋼做了一個截然不同的中長期戰略決策，要跨入新的風力發電產業，甚至要走出臺灣市場，步局海外市場。</p> <p>這個新戰略，對新光鋼而言，不只是新商業模式、新產業和新市場挑戰，更是全新的鋼鐵產線生產模式。</p> <p>新光鋼鐵財會副總經理暨資訊長劉百慧指出，過去新光集團偏向買賣業的模式，生產速度很快。</p> <p>雖然年產量很大，但新光鋼原有產品大多是裁減等簡單物理加工、生產周期較短的鋼製品，例如一顆鋼捲產品的生產周期，從頭到尾只需要半小時就可以出貨，所以，新光鋼原有的資訊系統，也偏重庫存落地管理和財務管理為主，所累積的資料也大多是財務報表需求的相關資訊。</p> <p>但是，風力發電產業的鋼製設備，尤其像是新光鋼想要生產的風電水下基樁設備，不只步驟繁複，除了物理加工，還得焊接組裝，甚至需要多道品質查驗、量測工作，生產周期不只要花上數天，甚至會長達好幾周的時間。</p> <p>風電水下基樁是20公尺長，直徑2、3人高，重量高達20公噸的大鋼管，由多片鋼板折圓後焊接而成，這是風力發電設備設置在海底的底座零件，作為海上風機的地基之用。新光鋼所要挑戰的風電海外市場，不少是來自歐盟的顧客，需要設置在高緯度的離岸海底，水下基樁得面臨洋流經常沖刷、共振，甚至零下攝氏40度的環境考驗。</p> <p>歐盟顧客非常注重水下基樁品質，要求提供各種生產數據和檢驗數據，因此，新光鋼必須搜集大量生產過程資訊，不只是鋼板尺寸規格、量測標準，就連焊接過程每幾秒的電壓、電流、焊接速度變化資訊都要搜集。因為這都是影響最後成品品質的關鍵，決定了日後這個設備在海上需要的維護次數。</p> <p>可是，這種長周期產線和生產過程中的即時資訊，卻是新光鋼鐵原有生產模式和資訊系統所不足的地方。</p> <p>新光鋼相當清楚資訊化對企業營運和生產的重要性。早在30年前，新光鋼為了上市櫃需求，就開始將內部流程電子化，來提供財務作業需要的各種報表。劉百慧正是新光鋼鐵IT部門第一號成員，一手打造出新光鋼第一代大型主機ERP系統。</p> <p><span style="font-size:28px;"><strong>IT門外漢從使用者角度一手打造出第一代ERP</strong></span></p> <p>會計系畢業的劉百慧，是IT門外漢，她在1989年進入新光鋼鐵時，就同時成為第一位IT人員，要負責上市櫃的會計作業和資訊化需求。雖然不懂IT技術，但劉百慧採取了以終為始的策略，從使用者角度來思考，她直接詢問公司高層，何時產出營運報表最有影響力？老闆的答案是「隔天早上醒來就能知道最好。」</p> <p>儘管上市櫃報表要求只需以月為周期，但劉百慧一開始就決定以日結為目標，來規劃資訊系統，和另一位開發同仁搭配，展開了ERP系統的建置。</p> <p>「我是資訊的需求者，一開始不懂IT，」她坦言。但她從自身角度，納入管理高層需要的量化管理需求、財務報表結帳需要的速度考量，以資料從頭到尾事先搜集齊全的策略，來設計作業流程、會計流程和資訊流程，再來進行資訊系統的採購和建置。</p> <p>而且，遠不只是提出需求和規畫而已，劉百慧還親自跳下來參與開發，一邊自己翻書研究，一邊跟在開發工程師旁，學習如何撰寫COBOL程式。後來，遇到小問題或會計角度需要的欄位調整，她都能自己動手修改程式來實現。</p> <p>新光鋼e化初期，先採購套裝軟體，1994年時採購大型主機R6系統，開始從單機作業，轉換成主從式架構，透過網路，遠端連線到R6主機來操作，再經過2年整合，花了5年，終於在1996年，完成第一代採用R6大型主機的ERP系統，當時就可以做到24小時就能提供全集團最新的營運數據，供高層即時決策之用，至今依然如此。1997年4月，新光鋼也順利掛牌上櫃。</p> <p>不只是建置ERP，後來陸續導入更多e化作業和系統。例如新光鋼開始透過Windows NT伺服器來建立文件檔案共享系統，在2001年導入企業入口網站EIP系統，並開始使用電子郵件。為了因應Windows環境的風險，也開始建置內部網路資安環境。新光鋼在2004年，後續完成了IT中期系統建置計畫，開發了營業及後勤作業系統。當年所建置的ERP系統，一用就是20多年，不過，新光鋼沒有停下腳步，繼續優化這套ERP系統，中間經過3次小改版，直到新光鋼要跨入全新產業，才面臨瓶頸。</p> <p><span style="font-size:28px;"><strong>新產業和新生產模式，帶來新的資訊化挑戰</strong></span></p> <p>新光鋼鐵進入風電產業之後，顧客高度重視生產過程，「生產歷程、檢驗歷程，都必須留下數據軌跡。」這讓劉百慧再一次從資料、數據來思考新的資訊流程。但這一次，她遇到的是新舊系統和設備的整合挑戰。</p> <p>新式鋼鐵生產設備可以結合PLC控制系統，透過介接自動拋轉資料，自動搜集生產歷程數據，不需要像過去仰賴人工在設備旁手動抄錶，不過，要在既有老舊設備上導入PLC，還需花不少時間研究，新光鋼評估，直接採購支援PLC的新生產設備，進入障礙較低。</p> <p>再者，新光鋼用了數十年的大型主機ERP系統，是封閉系統，難以直接介接PLC控制系統，要整合IT和OT的資訊，也得費上一番系統客製。再加上，大型主機所用的開發語言COBOL人才難找，不利於後續長期維護。「這套用了20多年的ERP，結構和順暢性沒問題，但未來性嚴重不足。」劉百慧指出。</p> <p>因此，新光鋼決定從兩個方面著手，來發展未來進軍新商業模式需要的數位化生產流程，甚至進一步可以邁向智慧化生產。第一個做法是，在新設立的前端離岸風電設備製造公司，也就是APEX ，展開IT轉型試驗，嘗試將鋼鐵工廠作業流程數位化，另一方面，也開始建置新一代的ERP，希望採取更有前瞻性的底層架構，來支援未來智能製造數據搜集的需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80-470(3).jpg" style="width: 470px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>新光鋼鐵財會副總經理暨資訊長劉百慧表示：「我們從數據蒐集開始，踏出集團數位轉型第一步，而APEX就是新光鋼IT轉型第一個重要實驗場。」</strong></span></span></p> <p><span style="font-size:28px;"><strong>從數據搜集跨出集團轉型的第一步</strong></span></p> <p>「我們從數據蒐集開始，踏出集團數位轉型第一步，而APEX就是新光鋼IT轉型第一個重要實驗場。」劉百慧表示。</p> <p>經過了一年多練功，投資十多億元建置新廠，派人遠赴歐洲學習焊接工藝，帶回新工法和新設備操作模式後，2019年時，就啟用了APEX新工廠，展開全新的生產流程和作業模式。</p> <p>新光鋼一開始，從進料、加工到出貨都先靠紙本來作業，來完善日後資訊化需要的全套生產記錄和流程。先在APEX新廠建立了一套完整的生產表單，詳細記錄每個生產的環節，從板材編號、焊材批號、焊工編號、量規儀器編號、加工及檢驗日期等詳細且完整的記錄，平均生產一個產品，多則需要用到170多張A4紙張。</p> <p>全套作業流程確定，每個工站都完成各自的表單文件之後，新光鋼才展開e化，將紙張環境轉成無紙化的作業環境，將原有產品履歷文件轉成電子化的產品履歷文件。</p> <p>2020年底，APEX工廠流程數位化進入系統開發階段，新光鋼一開始就採用Scrum敏捷開發，由外部顧問公司擔任開發團隊，並且找來內部現場執行單位、營運單位參與開發，扮演使用者單位的角色。雙方協同合作，以每兩周一個衝刺的方式，快速迭代開發。APEX員工在參與敏捷開發的過程中，逐漸學會透過User Stroy的方式來描述需求，到現在，人人都能夠以User Story的方式與開發團隊溝通。</p> <p>花了4個月，APEX先將產線中的兩個關鍵流程數位化，入庫檢驗流程和焊接流程的數位化，前者可以用平板完成所有量測的資訊紀錄，而後者則能透過PLC程式整合，將焊接設備產生的生產資訊，持續自動拋轉到後端資訊系統上。在系統面上，也先後完成了客戶專案數位紀錄管理機制、鋼板物料進料紀錄管理、單圓長管派工生產管理、焊接工藝數位紀錄管理等系統。</p> <p><span style="font-size:28px;"><strong>IT轉型實驗的目的，為了日後大規模複製成功經驗</strong></span></p> <p>劉百慧一開始就很清楚，APEX這場IT轉型實驗的目的是為了日後能「大規模複製」，要將轉型成功的經驗，複製到新光鋼全集團。而APEX的每一個員工，都會成為未來集團轉型的種子人員，所以，她特別要求全員參與這個工廠流程數位化的開發過程，甚至她比任何員工都更投入Scrum的學習。雖然她和員工一樣都是第一次接觸到敏捷開發，但她後來順利考取了專業敏捷教練Scrum Master證照，如同過去自己手動學會COBOL一樣的親身投入。</p> <p>APEX在2021年6月，進入了第二階段的工廠數位化發展計畫，要進一步打造出全廠數位整合平臺，以及一套即時數據戰情中心。</p> <p>而新光鋼的ERP汰換工程，也將在2022年完成系統建置。為了支援智能製造的未來發展需求，新光鋼改導入了雲端ERP，也採用了Java語言來開發相關的應用系統，今年底完成系統建置後，準備展開全面測試，以便在2023 年進行新舊ERP的介接。對任何企業來說，全新商業模式，全新生產型態和企業營運流程，都是巨大的考驗，多數人不願意改變現狀，對老字號的新光鋼鐵而言，同樣是一大挑戰，但是，透過APEX試辦，累積轉型成功經驗，建立信心，「當我們跨出這一步，集團才有可能改變。」劉百慧堅定的說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>新光鋼鐵財會副總經理暨資訊長劉百慧</strong></p> <p>學經歷：臺灣大學會計系畢業，1989年進入新光鋼鐵，負責會計，也是新光鋼第一位IT人員，來協助上市櫃的會計作業和資訊化需求。在1994年協助完成內部流程作業電子化，建置了第一代大型主機ERP。近年負責新光鋼工廠數位轉型和新一代ERP建置。現為新光鋼鐵財務長兼公司治理主管，也是資訊長。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>新光鋼鐵</strong></p> <p>成立時間：1965年</p> <p>業務介紹: 專業鋼鐵物流中心，提供專業完整的鋼鐵材料裁剪與供料服務</p> <p>董事長兼總經理：粟明德</p> <p>營收：2021年營收131.77億元；集團合併營收141.03億元</p> <p>網址：<a href="http://www.hkssteel.com.tw">www.hkssteel.com.tw</a></p> <p>地址：新北市重新路四段97號25樓</p> <p>員工人數：272人</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)IMG_1604.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>直屬主管：總經理粟明德</p> <p>資訊部門名稱：MIS</p> <p>資訊部門人數：2人</p> <p>每年IT預算：200～1,000萬元</p> <p>資訊部門分工：</p> <p>1. 資安環境及AP系統管理規劃</p> <p>2. AP系統開發</p> <p>3. 資安環境及AP系統維護</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> IT大事記 </span></span></strong></p> <p>1989年～2020年間：初期將工廠資訊以數據機方式單點連回總公司，減少重覆輸入。中期系統建置開發了營業及後勤作業系統。採購IBM R6大型主機設備導入相關AP系統，採線上作業。期間AP系統隨著公司成長，也曾改版更新3次。</p> <p>2020年11月～2021年4月：建置APEX 全廠協作紀錄平臺（開始導入敏捷開發）</p> <p>2021年6月～至今：發展APEX全廠數位整合平臺（持續迭代、功能優化）和APEX即時數據戰情中心（策略布局、營運優化）</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1081-cio-960.jpg" width="960" height="420" alt="" title="新光鋼鐵財會副總經理暨資訊長劉百慧" /></div></div></div>
2022/6/13 07:00作者王宏仁https://www.ithome.com.tw/people/151382
Container周報第150期：全球雲原生開發者超過710萬人！Docker桌面版小更新讓操作介面更直覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/5/26~2022/6/8 精選容器新聞</strong></p> <p>#CNCF開發者大調查、#雲端原生<br /> 全球雲端原生開發者超過710萬人，但東亞和大中華採用腳步趨緩</p> <p>CNCF組織最近公布了2021年雲端原生大調查結果，這是和SlashData聯手在去年第三季進行，搜集了超過19,000份有效樣本的大調查。根據調查，全球採用容器技術的開發者持續增加，去年Q3時累計超過了1,040萬人，而雲端原生技術開發者也達到了710萬人之多。K8s採用者約510萬人，與去年相當，只增加了2%。全球雲端原生技術的採用情況大多持續成長，只有東亞地區，在過去一年對多項雲端原生技術的採用率反而下滑。2020年Q3，東亞地區有40%後端開發者採用雲端原生技術，但到了2021年Q3，這個比例減少到只有32%，而容器調度平臺（如K8s）採用率，也從23%些微下滑到19%，容器技術採用率則從45%下滑到43%。CNCF在報告中分析，大中華地區雲端原生技術採用率下滑，可能受到容器技術帶來的複雜性、資安和可靠性挑戰等議題而影響，但沒有解釋東亞採用率下滑的原因。</p> <p><strong>#容器管理、#Docker<br /> Docker桌面版介面大翻新，表格式管理介面讓管理容器就像管Email</strong></p> <p>日前才剛宣布支援Linux作業系統後，Docker桌面版緊接著在6月初推出了4.9新版，大副簡化了容器管理介面，採取表格式的檢視畫面，就像是電子郵件常見的列表清單，也可以直接使用滑鼠點擊查核方塊，快速勾選出要刪除或啟動的一批容器，就像在網頁Email服務中常見的大宗郵件勾選操作一般容易。甚至，Docker桌面版還提供了整頁容器全選功能，可以一次勾選這一頁畫面中的所有容器，來進行操作。也可以透過滑鼠拖拉來調整容器清單內的排列順序，更方便分類檢視不同用途的容器。也能快速複製貼上容器映像檔的ID到任何地方，例如複製貼上終端機內方便下達指令。4.9版也新增了2個新的外掛，一個是Mirantis提供的Lens Kubernetes，可以直接在Docker桌面版中存取和控制K8s叢集，另一個是Slim.ai外掛，可以快速查看容器映像檔中的結構，來檢查是否出現了奇怪的元件或有問題的程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E6%96%B0%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Docker.jpeg" /></p> <p><strong>#K8s管理、#Docker外掛<br /> Mirantis的K8s管理工具登陸Docker桌面版，管理和檢視叢集即時資訊都簡單</strong></p> <p>Mirantis旗下熱門的K8s管理工具Lens最近在Docker桌面版推出了外掛，開發者可以在Docker桌面中存取K8s叢集即時運作資訊，例如叢集的CPU、記憶體或Pod數量，也能存取串流Log記錄，或是快速建立一個簡單除錯用的K8s環境，這是利用Mirantis開源的K8s發行版K0s所建立的輕量級K8s環境。Lens目前有超過65萬人使用。</p> <p><strong>#服務網格、#微服務<br /> Istio回歸社群主導後釋出了第一個更新，繼續強化安全機制</strong></p> <p>在Google把微服務管理平臺Istio捐給CNCF基金會，放手由開源社群主導後，最近釋出了第一個更新版本Istio 1.14。這是今年釋出的第二個更新版本，也正式支援K8s 1.21和1.24版。1.14版支援SPRIE runtime可以透過外掛方式來提供SPRIE多重身份驗證機制，來提供節點或工作負載的身份驗證，可支援不同公雲、K8s環境或Docker環境的身份驗證之用。另外，這個版本也提供了Istio工作負載的TLS版最小配置檔。遙測API也有小幅更新，例如Log可以記錄OpenTelemetry的存取行為，可用工作量模式來過濾等。</p> <p><strong>#SBOM、#K8s安全 <br /> K8s專案年度報告出爐，今年多1萬名貢獻者，軟體供應鏈安全是新焦點</strong></p> <p>CNCF組織最近發布了2021年的Kubernetes年度報告，盤點K8s專案過去一年成果和未來的發展重點。目前K8s專案有超過65,000名開源貢獻者，其中過去一年增加了1萬人。去年也新增加了一個K8s infra小組，來負責K8s基礎架構自動化工具的開發，包括要導入更多資源管理的測試工具。CNCF在報告中也揭露K8s開源專案目前的開發重心是軟體供應鏈安全，正在發展多項強化K8s安全的機制，例如日後K8s可以自動產生軟體物料表SBOM，也計畫將遵循半軟體供應鏈安全框架SLSA 3標準（軟體半成品資安查驗框架），還將推出半成品簽章機制來避免遭竄改，版本發布流程也將用更安全的Go來取代bash腳本語言來重新設計，並且計劃增加更多強化K8s發布機制的功能，例如二進位黨驗證、CVE揭露等做法。</p> <p><strong>#開源贊助、#OpenStack<br /> 企業贊助OpenStack特定開源專案有新管道，還能獲得專案管理支援</strong></p> <p>前身是OpenStack基金會的OpenInfra基金會，最近宣布一項新的資助模式，讓企業可直接贊助偏好的特定開源碼專案。傳統上企業若想贊助開源專案或社群，主流方式是加入會員付會員費，而由主持機構分配到最適合的專案。OpenInfra解釋，直接資助模型則允許企業針對他們最關心的專案提供資金，並獲得非營利機構的專案管理支援。OpenInfra要求每個資助專案的會員公司必須建立基金治理委員會，根據OpenInfra指引來決定預算。此外，OpenInfra將提供建立專案及社群的框架及指引，包括防止委員會為了衝營收而濫接專案的管理方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E6%88%90%E6%9C%AC%E4%BC%B0%E7%AE%97--%E5%B0%8F-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.jpg" style="float: right;" /><strong>#雲端成本控管、#GCP<br /> #GCP推出GKE成本預估工具，能估算每個月花多少K8s叢集租金</strong></p> <p>大量運用K8s自動化擴充機制帶來的挑戰是，難以事前估算K8s叢集的用量，這對租用雲端K8s服務來說，是成本控管的一大麻煩。最近GCP終於推出了GKE成本預估工具預覽版。可以在Google Cloud Console中，檢視每個月所用GKE工作負載的預估成本，還會依據所用不同規格的GKE工作負載，列出每一類工作負載的單價和單月總價，也會依據用戶所採用的叢集折扣方案來精算節省後的租金，來估算出每個月可能的GKE費用。在GKE建立新叢集的操作流程中，也會自動帶出這個成本預估工具，使用者在選擇要建立的叢集規格時，就能知道不同規格的每月租金成本。</p> <p><strong>#XCode、#WWDC<br /> 蘋果雲端CI/CD開發平臺Xcode Cloud終於上線，開發iOS和MacOS應用可以全面在雲上</strong></p> <p>蘋果在今年WWDC上正式推出Xcode Cloud服務，今夏也將推出Xcode Cloud訂閱方案。這項服務可以供Apple開發者在雲端建置和測試、部署應用程式，透過持續整合和持續交付，來縮短App開發周期，加快產品上市。透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構iOS或MacOS等應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理等，來協助開發者縮短應用開發與交付。而通過App Store Connect的Web儀表板，能顯示Xcode Cloud上的測試的資訊，也可直接從Web頁面編輯工作流程並展開App建立，Xcode Cloud也能與TestFlight工具一起使用，可供開發團隊進行測試版測試。</p> <p> <strong>更多新聞</strong></p> <p>大量運用公雲打造航太軟體後，波音決定成為CNCF白金會員來參與更多開源專案</p> <p><strong>@資料來源：iThome整理，2022年6月</strong></p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/12 12:49作者王宏仁https://www.ithome.com.tw/news/151394
【資安週報】2022年6月6日至10日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本週的資安新聞裡，有兩個零時差漏洞的相關事故引起許多資安人員關注。一個是微軟於5月底，編號為CVE-2022-30190列管的Windows支援診斷工具（MSDT）漏洞「Follina」，另一個則是Atlassian Confluence伺服器漏洞CVE-2022-26134。</p> <p>前者在4月上旬就有研究人員向微軟通報，但直到5月底再度有人察覺相關攻擊行動，並引起許多資安人員提出警告時，微軟終於發布資安通告，並提出緩解措施，然而迄今仍尚未提供修補程式。而在上述公告發布後，也不意外這項漏洞開始被用於攻擊行動。</p> <p>至於本週有哪些重大的資安事故？從上週末開始烏克蘭電腦緊急應變小組（CERT-UA）提出警告，有人將Follina用於攻擊烏克蘭民眾，來投放Cobalt Strike的Beacon；接著有資安業者發現，駭客針對歐洲政府與美國地方政府下手。巧合的是，兩起事件駭客都是透過與薪資有關的名義發動網釣攻擊，來散布可觸發Follina的Word檔案。</p> <p>在針對特定國家與政府機關下手的事故之外，也有駭客組織TA570，運用這項MSDT漏洞來散布惡意軟體QBot。由於QBot是許多駭客用於投放第二階段惡意軟體（尤其是勒索軟體）之前，用來入侵受害組織的初步管道，使用QBot的駭客運用MSDT漏洞，後續會帶來哪些仍影響有待觀察。</p> <p>而論及Follina漏洞可被利用的原因，其中一項是與微軟Office處理URI的流程有關。上週有研究人員揭露藉由呼叫Windows搜尋觸發URI的漏洞後，本週也有人公布另一個MSDT漏洞DogWalk，但有所不同的是，該漏洞是透過網頁瀏覽器與收信軟體觸發。</p> <p>本週另一個揭露的重大資安漏洞與協作平臺Atlassian Confluence有關，同樣是因研究人員調查攻擊行動而察覺。Atlassian獲報後很快就予以修補並發布資安通告，但不久之後相關漏洞探測攻擊就大幅增加。</p> <p>在上述的零時差漏洞資安事故之餘，駭客透過已知漏洞發動攻擊的情況也相當值得留意。例如，美國對於中國駭客的攻擊行動提出警告，這些駭客長期鎖定電信業者與網路服務供應商（ISP）下手，而他們入侵受害組織的主要管道，就是利用連網設備的已知漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，並從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/40559"><span style="color: rgb(0, 0, 0);">有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png" style="width: 300px; float: right;" /></a>微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot</span></a></strong></h3> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。</p> <p>這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/j00sean/status/1533889445027536899"><span style="color: rgb(0, 0, 0);">研究人員揭露另一個MSDT零時差漏洞DogWalk</span></a></strong></h3> <p>自5月底Windows支援診斷工具（MSDT）爆發零時差漏洞CVE-2022-30190（Follina）後，有其他研究人員揭露另一個MSDT漏洞，呼籲微軟重視相關弱點。研究人員j00sean於6月7日公布名為DogWalk的零時差漏洞，這項漏洞涉及路徑穿越（Path Traversal），攻擊者一旦利用，就有可能將檔案存放於受害電腦的任何位置且不易被察覺。在利用這項漏洞的攻擊手法裡，駭客透過電子郵件或是網路連結傳送DIAGCAB格式的惡意檔案，並引誘受害者在電腦上開啟就有機會觸發。雖然該惡意檔案來自網路而包含相關標記（MOTW），但Windows或是上網應用程式很可能允許用戶直接開啟檔案而不會發出警告訊息，使得攻擊者得以濫用。</p> <p>研究人員指出，這項漏洞將導致攻擊者能繞過MOTW、Chromium核心的瀏覽器（Chrome、Edge、Opera），以及作業系統內建的Microsoft Defender。與Follina相同的是，DogWalk同樣先前就有人曾經向微軟通報，該公司認為並非安全漏洞，沒有提供修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/" id="CVE-2022-26134" name="CVE-2022-26134" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://www.lacework.com/blog/kinsing-dark-iot-botnet-among-threats-targeting-cve-2022-26134/"><span style="color: rgb(0, 0, 0);">多個殭屍網路加入利用Atlassian Confluence漏洞的行列</span></a></strong></h3> <p>研究人員於上週末公布開發協作平臺Atlassian Confluence的漏洞CVE-2022-26134，很快就有許多駭客嘗試利用發動攻擊，其中也有殭屍網路駭客投入。資安業者Lacework指出，殭屍網路Kinsing、Hezb、Dark.IoT皆透過上述漏洞，對尚未修補的Confluence伺服器下手。研究人員提到，這3個殭屍網路主要利用這些伺服器挖礦牟利，他們呼籲組織應儘速安裝修補程式，或是採取緩解措施來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/xloader-botnet-find-me-if-you-can/"><span style="color: rgb(0, 0, 0);">殭屍網路病毒XLoader隱匿C2伺服器難以追蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png" style="width: 300px; float: right;" /></a>駭客為了防範研究人員追查來源，很可能會試圖隱匿C2伺服器的位址，而近期有人竟採用了更為複雜的方式來混淆視聽。資安業者Check Point揭露殭屍網路病毒XLoader的近期動態，當中駭客使用64個網域名稱，並在連線後隨機從其他16個網域裡，挑選連線的對象。研究人員根據找到的XLoader檔案，至少看到10萬個網域，其中僅有120個網域才是C2伺服器。研究人員指出，新版XLoader會在嘗試與C2中繼站連線的過程中，持續抽換伺服器名單部分內容，而使得他們更難找到真的C2中繼站網域。這樣的情況將使得攻擊來源更加不易追蹤。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/06/symbiote-a-new-nearly-impossible-to-detect-linux-threat"><span style="color: rgb(0, 0, 0);">惡意軟體Symbiote濫用BPF元件隱匿攻擊意圖</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png" style="width: 300px; float: right;" /></a>先前<a href="https://www.ithome.com.tw/news/151159#bpfdoor">有多名研究人員發現名為BPFDoor的後門程式</a>，駭客組織濫用名為Berkeley Packet Filter（BPF）的監聽器元件，從網路層監看受害組織傳輸的資料，而不易被發現，最近又有新的惡意軟體也利用類似手法引起研究人員關注。</p> <p>IT業者BlackBerry與資安業者Intezer聯手，揭露名為Symbiote的Linux惡意軟體，他們最早約於2021年11月發現，該惡意軟體很可能以拉丁美洲的金融機構為攻擊目標，特別的是，此惡意軟體為共用物件（Shared Object，SO）程式庫，並透過使用LD_PRELOAD的所有處理程序來載入執行。該惡意軟體亦與libc和libpcap功能掛鉤，以便在Linux主機上隱匿蹤跡。</p> <p>研究人員指出，為了讓防守方難以從網路流量察覺異狀，該惡意軟體濫用Linux核心的BPF封包過濾器來管制進出流量，此外，若是有其他應用程式想要執行BPF元件，Symbiote也會劫持相關處理程序。研究人員指出，此惡意軟體以使用者層級的Rootkit執行，導致想要偵測是否遭到感染變得更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/three-actively-exploited-sap-vulnerabilities-identified-onapsis-research-labs"><span style="color: rgb(0, 0, 0);">已修補的SAP商用軟體漏洞遭到濫用</span></a></strong></h3> <p>過往軟體業者已發布修補程式的漏洞，很有可能成為駭客再度利用的目標，而使得研究人員提出警告。資安業者Onapsis於6月9日指出，他們看到針對SAP Netweaver的3個已知漏洞的攻擊行動，這些漏洞是CVE-2021-38163、CVE-2016-2386，以及CVE-2016-2388。研究人員表示，上述漏洞有2個是重大漏洞，且幾乎都有公開的概念性驗證程式（PoC），以及能夠遠端發動攻擊等特性，他們呼籲企業應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-black-basta-ransomware-targets-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-now-steals-credit-cards-from-google-chrome-users/"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png" style="width: 300px; float: right;" /></a>殭屍網路Emotet自去年11月捲土重來後，該組織的攻擊行動於今年大幅增加<a href="https://www.ithome.com.tw/tech/150815">且出現新的手法</a>，而引起研究人員關注，最近這些駭客更進一步加入新的模組來竊取機密資料。資安業者Proofpoint指出，他們在6月6日發現新的Emotet殭屍網路病毒模組，駭客透過E4殭屍網路來進行散布。經研究人員分析後，該模組是用來竊取Chrome瀏覽器用戶的信用卡資料，一旦得手，就會上傳到C2伺服器，不過，比較特別的是，該伺服器與載入上述竊密模組的來源伺服器不同，至於駭客為何要這麼做？研究人員沒有進一步說明。除此之外，資安業者ESET近期也針對Emotet的態勢提出警告，表示今年第一季攻擊行動次數，較2021年第3季增加超過100倍，其中較為大型的攻擊行動出現於3月16日，鎖定日本、義大利、墨西哥等國家。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-158a"><span style="color: rgb(0, 0, 0);">美國公布中國駭客攻擊電信業者與ISP所使用的連網設備漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/network-device-cve.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/network-device-cve.png" style="width: 300px; float: right;" /></a>中國駭客組織攻擊電信業者、網路服務供應商（ISP）的情況，最近幾年研究人員陸續揭露有關攻擊行動，這樣的情況也引起美國高度關注並提出警告。美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，於6月8日發布資安通報，指出中國駭客組織在攻擊電信業者與網路服務供應商的過程裡，偏好運用路由器滲透測試框架RouterSploit和RouterScan，掃描連網設備的漏洞並發動攻擊，特別是較為缺乏修補的路由器與NAS裝置，駭客可能會將其當作節點來引導C2流量，並做為攻擊其他設備的中繼站。</p> <p>這些單位指出，駭客約自2020年開始，大規模針對已知漏洞下手，因為坊間往往已有攻擊程式，不需自行耗費大量心力重新打造，而能將更多資源投入混淆視聽及埋藏蹤跡。根據這次公告列出的已知漏洞，駭客多半利用從2018年至2020年揭露的漏洞，這些單位呼籲相關企業，應落實網路設備的漏洞修補，並採用雙因素驗證（MFA）等措施，來強化相關資安因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/aoqin-dragon-newly-discovered-chinese-linked-apt-has-been-quietly-spying-on-organizations-for-10-years/"><span style="color: rgb(0, 0, 0);">中國駭客組織Aoqin Dragon鎖定東南亞與澳洲而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg" style="width: 300px; float: right;" /></a>又有鮮為人知的中國駭客組織，暗中監視受害組織近10年。資安業者SentinelOne揭露名為Aoqin Dragon的中國駭客組織，這些駭客自2013年開始，針對東南亞與澳洲的政府、教育、電信業者下手。</p> <p>該組織散播惡意軟體大致上有3種管道，分別是透過惡意Word檔案並引誘受害者開啟，進而在受害電腦安裝後門，這些文件檔案誘餌不是與亞太政治時事有關，就是打著色情資訊的名義而來；再者，有些攻擊行動則以冒牌防毒軟體誘騙受害者執行惡意軟體；此外，這些駭客自2018年開始，也透過假的外接裝置讓對方上當，然後在受害電腦上植入惡意軟體。</p> <p>其中，又以假冒外接裝置的做法引起研究人員關注，這些駭客傳送帶有啟動惡意軟體路徑的捷徑檔案（LNK），但讓它看起來像是外接式裝置的圖示，一旦受害者點選，該LNK檔案將會執行名為「Evernote工具列程式（Evernote Tray Application）」的惡意程式，並在受害電腦重開機後自動載入，一旦偵測到外接式儲存裝置，該惡意軟體將會自我複製來感染其他電腦。研究人員指出，根據他們對該駭客組織的分析，研判很有可能與UNC94、Naikon APT等組織有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/svcready-a-new-loader-reveals-itself/"><span style="color: rgb(0, 0, 0);">攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/svcready_002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/svcready_002-1.png" style="width: 300px; float: right;" /></a>攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。</p> <p>但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/" id="palermo" name="palermo" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-italian-city-of-palermo/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市營運中斷疑勒索軟體Vice Society所為</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png" style="width: 250px; float: right;" /></a>義大利南部的巴勒莫市於6月3日遭到網路攻擊，導致該城市的所有服務仍幾乎無法運作，當時外界推測很有可能是勒索軟體攻擊事故，最近有駭客組織承認是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Vice Society將巴勒莫市列為他們的受害者，並揚言若是不付贖金，該組織會於6月12日公布所有竊得的檔案。該新聞網站指出，由於駭客尚未透露竊得的資料有那些，他們很難判斷攻擊巴勒莫市的駭客是否就是Vice Society，也不確定駭客究竟掌握多少資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions" id="evilcorp-lockbit" name="evilcorp-lockbit" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/f/cuba-ransomware-group-s-new-variant-found-using-optimized-infect.html"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba採取雙重勒索策略，要求受害者3天內進行談判</span></a></strong></h3> <p>曾在2021年底大肆對美國關鍵基礎設施下手，引起當地聯邦調查局（FBI）重視的勒索軟體Cuba，近期再度出現攻擊升溫的現象。趨勢科技指出，他們自今年3月至4月，發現Cuba重振旗鼓，駭客先是開始運用惡意程式下載器，來減少攻擊行動遭到干擾的情況，而到了4月底，在該組織鎖定位於亞洲的2個組織攻擊裡，發現新的勒索軟體變種會終止受害電腦更多的處理程序，包括收信軟體Outlook、郵件伺服器Exchange Server、資料庫軟體MySQL等，同時該組織也進行雙重勒索──他們在勒索訊息表明，受害者3天內若是不願聯繫他們討論支付贖金的事宜，將會直接公布已經竊得的電腦資料，此外，這些駭客也導入了技術支援系統quTox引導對方付錢。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bizarre-ransomware-sells-decryptor-on-roblox-game-pass-store/"><span style="color: rgb(0, 0, 0);">勒索軟體WannaFriendMe要求受害者從線上遊戲Roblox市集購買解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg" style="width: 300px; float: right;" /></a>一般的勒索軟體會在加密電腦檔案後，駭客會要求受害者向他們聯繫，支付加密貨幣到特定錢包，但現在出現了新的做法。根據資安新聞網站Bleeping Computer的報導，資安研究團隊MalwareHunterTeam發現了名為WannaFriendMe的勒索軟體，一旦受害者的電腦檔案遭到加密，駭客會要求他們必須先取得線上遊戲Roblox的通行證，然後再購買市集裡的解密金錀Ryuk Decrypter，然後向駭客提供Roblox玩家ID與通行證資料。</p> <p>研究人員分析該勒索軟體後發現，WannaFriendMe其實是Chaos的變種，但加密檔案後會將副檔名改為Ryuk，讓受害者誤以為是遭到勒索軟體Ryuk攻擊。而這不是Chaos變種首度針對遊戲玩家下手──去年10月，有人針對日本Minecraft玩家發動勒索軟體攻擊，且有部分檔案加密後會無法復原。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/"><span style="color: rgb(0, 0, 0);">中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險</span></a></strong></h3> <p>受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。</p> <p>雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.avast.com/smsfactory-android-trojan"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SMSFactory暗中為受害者訂閱高價服務</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sidewinder-hackers-plant-fake-android-vpn-app-in-google-play-store/"><span style="color: rgb(0, 0, 0);">印度駭客SideWinder假借VPN客戶端App散布安卓惡意軟體</span></a></span></strong></p> </div></div></div>
2022/6/11 09:29作者周峻佑https://www.ithome.com.tw/news/151393
【資安日報】2022年6月10日，惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期針對Linux而來的攻擊行動的日益氾濫，而其中，濫用Berkeley Packet Filter（BPF）監聽器元件，來隱匿攻擊流量的手法，相當值得留意，在上個月有多名研究人員發現後門程式BPFDoor後，最近又有兩組研究人員聯手找出名為Symbiote的惡意軟體，且運用的攻擊手法似乎更為複雜。</p> <p>受到許多企業使用的SAP商用軟體，有資安業者提出警告，他們最近看到針對已知漏洞的攻擊行動，當中部分還是2016年被公布的漏洞，呼籲用戶應特別留意。</p> <p>昨天美國政府提出警告，中國駭客針對電信業者下手，今天也有資安業者揭露相關攻擊行動──中國駭客組織Aoqin Dragon也鎖定電信業者發動攻擊，除此之外該組織也對政府機關與教育單位下手。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.blackberry.com/en/2022/06/symbiote-a-new-nearly-impossible-to-detect-linux-threat"><span style="color: rgb(0, 0, 0);">惡意軟體Symbiote濫用BPF元件隱匿攻擊意圖</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/symbiote-fig01.png" style="width: 300px; float: right;" /></a>先前<a href="https://www.ithome.com.tw/news/151159#bpfdoor">有多名研究人員發現名為BPFDoor的後門程式</a>，駭客組織濫用名為Berkeley Packet Filter（BPF）的監聽器元件，從網路層監看受害組織傳輸的資料，而不易被發現，最近又有新的惡意軟體也利用類似手法引起研究人員關注。</p> <p>IT業者BlackBerry與資安業者Intezer聯手，揭露名為Symbiote的Linux惡意軟體，他們最早約於2021年11月發現，該惡意軟體很可能以拉丁美洲的金融機構為攻擊目標，特別的是，此惡意軟體為共用物件（Shared Object，SO）程式庫，並透過使用LD_PRELOAD的所有處理程序來載入執行。該惡意軟體亦與libc和libpcap功能掛鉤，以便在Linux主機上隱匿蹤跡。</p> <p>研究人員指出，為了讓防守方難以從網路流量察覺異狀，該惡意軟體濫用Linux核心的BPF封包過濾器來管制進出流量，此外，若是有其他應用程式想要執行BPF元件，Symbiote也會劫持相關處理程序。研究人員指出，此惡意軟體以使用者層級的Rootkit執行，導致想要偵測是否遭到感染變得更加困難。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/three-actively-exploited-sap-vulnerabilities-identified-onapsis-research-labs"><span style="color: rgb(0, 0, 0);">已修補的SAP商用軟體漏洞遭到濫用</span></a></strong></h3> <p>過往軟體業者已發布修補程式的漏洞，很有可能成為駭客再度利用的目標，而使得研究人員提出警告。資安業者Onapsis於6月9日指出，他們看到針對SAP Netweaver的3個已知漏洞的攻擊行動，這些漏洞是CVE-2021-38163、CVE-2016-2386，以及CVE-2016-2388。研究人員表示，上述漏洞有2個是重大漏洞，且幾乎都有公開的概念性驗證程式（PoC），以及能夠遠端發動攻擊等特性，他們呼籲企業應儘速修補相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/aoqin-dragon-newly-discovered-chinese-linked-apt-has-been-quietly-spying-on-organizations-for-10-years/"><span style="color: rgb(0, 0, 0);">中國駭客組織Aoqin Dragon鎖定東南亞與澳洲而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/aoqin_dragon6.jpg" style="width: 300px; float: right;" /></a>又有鮮為人知的中國駭客組織，暗中監視受害組織近10年。資安業者SentinelOne揭露名為Aoqin Dragon的中國駭客組織，這些駭客自2013年開始，針對東南亞與澳洲的政府、教育、電信業者下手。</p> <p>該組織散播惡意軟體大致上有3種管道，分別是透過惡意Word檔案並引誘受害者開啟，進而在受害電腦安裝後門，這些文件檔案誘餌不是與亞太政治時事有關，就是打著色情資訊的名義而來；再者，有些攻擊行動則以冒牌防毒軟體誘騙受害者執行惡意軟體；此外，這些駭客自2018年開始，也透過假的外接裝置讓對方上當，然後在受害電腦上植入惡意軟體。</p> <p>其中，又以假冒外接裝置的做法引起研究人員關注，這些駭客傳送帶有啟動惡意軟體路徑的捷徑檔案（LNK），但讓它看起來像是外接式裝置的圖示，一旦受害者點選，該LNK檔案將會執行名為「Evernote工具列程式（Evernote Tray Application）」的惡意程式，並在受害電腦重開機後自動載入，一旦偵測到外接式儲存裝置，該惡意軟體將會自我複製來感染其他電腦。研究人員指出，根據他們對該駭客組織的分析，研判很有可能與UNC94、Naikon APT等組織有所關連。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/xloader-botnet-find-me-if-you-can/"><span style="color: rgb(0, 0, 0);">殭屍網路病毒XLoader隱匿C2伺服器難以追蹤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-9-Creating-a-list-of-domains-for-CC-communication-in-XLoader-2_5.png" style="width: 300px; float: right;" /></a>駭客為了防範研究人員追查來源，很可能會試圖隱匿C2伺服器的位址，而近期有人竟採用了更為複雜的方式來混淆視聽。資安業者Check Point揭露殭屍網路病毒XLoader的近期動態，當中駭客使用64個網域名稱，並在連線後隨機從其他16個網域裡，挑選連線的對象。研究人員根據找到的XLoader檔案，至少看到10萬個網域，其中僅有120個網域才是C2伺服器。研究人員指出，新版XLoader會在嘗試與C2中繼站連線的過程中，持續抽換伺服器名單部分內容，而使得他們更難找到真的C2中繼站網域。這樣的情況將使得攻擊來源更加不易追蹤。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/bizarre-ransomware-sells-decryptor-on-roblox-game-pass-store/"><span style="color: rgb(0, 0, 0);">勒索軟體WannaFriendMe要求受害者從線上遊戲Roblox市集購買解密金鑰</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ryuk-Decrypter-FU0WorcXEAEEH_E.jpg" style="width: 300px; float: right;" /></a>一般的勒索軟體會在加密電腦檔案後，駭客會要求受害者向他們聯繫，支付加密貨幣到特定錢包，但現在出現了新的做法。根據資安新聞網站Bleeping Computer的報導，資安研究團隊MalwareHunterTeam發現了名為WannaFriendMe的勒索軟體，一旦受害者的電腦檔案遭到加密，駭客會要求他們必須先取得線上遊戲Roblox的通行證，然後再購買市集裡的解密金錀Ryuk Decrypter，然後向駭客提供Roblox玩家ID與通行證資料。</p> <p>研究人員分析該勒索軟體後發現，WannaFriendMe其實是Chaos的變種，但加密檔案後會將副檔名改為Ryuk，讓受害者誤以為是遭到勒索軟體Ryuk攻擊。而這不是Chaos變種首度針對遊戲玩家下手──去年10月，有人針對日本Minecraft玩家發動勒索軟體攻擊，且有部分檔案加密後會無法復原。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-italian-city-of-palermo/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市營運中斷疑勒索軟體Vice Society所為</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vice-society-palermo.png" style="width: 250px; float: right;" /></a>義大利南部的巴勒莫市於6月3日遭到網路攻擊，導致該城市的所有服務仍幾乎無法運作，當時外界推測很有可能是勒索軟體攻擊事故，最近有駭客組織承認是他們所為。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Vice Society將巴勒莫市列為他們的受害者，並揚言若是不付贖金，該組織會於6月12日公布所有竊得的檔案。該新聞網站指出，由於駭客尚未透露竊得的資料有那些，他們很難判斷攻擊巴勒莫市的駭客是否就是Vice Society，也不確定駭客究竟掌握多少資料。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size:20px;"><a href="https://blog.avast.com/smsfactory-android-trojan"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SMSFactory暗中為受害者訂閱高價服務</span></a></span></strong></p> <p><strong><span style="font-size:20px;"><a href="https://www.bleepingcomputer.com/news/security/sidewinder-hackers-plant-fake-android-vpn-app-in-google-play-store/"><span style="color: rgb(0, 0, 0);">印度駭客SideWinder假借VPN客戶端App散布安卓惡意軟體</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151372">【2022年6月9日】殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料、美國針對中國駭客攻擊網路設備的漏洞提出警告</a></p> <p><a href="https://www.ithome.com.tw/news/151349">【2022年6月8日】駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手</a></p> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> </div></div></div>
2022/6/10 14:14作者周峻佑https://www.ithome.com.tw/news/151388
俄國搜尋引擎業者Yandex CEO遭歐盟制裁後去職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在執行長Arkady Volozh遭到歐盟制裁後，<a href="https://yandex.com/company/press_center/press_releases/2022/2022-06-03" target="_blank">俄國搜尋引擎公司Yandex上周宣布</a>，Volozh將辭去執行長暨董事職位。</p> <p><a href="https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32022D0883&qid=1654475400198" target="_blank">歐盟上周發布最新一波對俄國制裁名單</a>，包括Arkady Volozh在內的60人及近20家公司實體。</p> <p>這份文件指出，作為Yandex創辦人暨CEO，Volozh對俄國政府顛覆與威脅烏克蘭疆域完整、主權及獨立的行動或政策，提供實質及財務支持。</p> <p>這份文件並指控Yandex也有責任，該公司在其搜尋結果中推銷俄國國營媒體及論述，移除或降低排序批判克里姆林宮的內容，例如報導俄國對烏克蘭發動戰爭的報導。俄國國銀Sberbank及 VTB也都是Yandex股東。</p> <p>不過Yandex公司本身及子公司都未列入制裁名單。</p> <p>上周五總部位於荷蘭阿姆斯特丹的Yandex宣布，Volozh辭去Yandex CEO及執行董事、及國際子公司董事及主管職位。Yandex表示，僅Volozh個人遭歐盟制裁，Yandex及集團子公司皆未列入歐盟、美國及英國的制裁名單。該公司也相信其去職不會影響公司營運、財務狀況或合作夥伴關係。Yandex董事會也會如常運作。</p> <p>Yandex是俄國搜尋引擎龍頭，雖然在全球市場遠不及Google，但在俄國卻足以對抗Google。<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">依據GlobalStats的數</a>據，Yandex全球市占僅1.05%，<a href="https://gs.statcounter.com/search-engine-market-share/all/russian-federationc" target="_blank">在俄國卻高達48.3%</a>，僅差Google不到1%。這也是Google不願完全離開俄羅斯市場的主因之一。</p> <p>Volozh是Yandex創辦人，也是其家族信託基金的委託人，後者握有該公司股東45.3%投票權益及8.6%持有權。Volozh表示，他並非Yandex控股股東，故制裁不會影響Yandex或其子公司。</p> <p>Volozh也表示，雖然他認為歐盟的決定是被誤導的結果，且終將有負面影響，但未來他不會對家族信託基金受託人下達投票指示，意謂公司決策將不會因這次制裁影響。</p> <p>俄國富豪遭到制裁迫使他們放棄其資產。Roman Abramovich三月遭制裁，也讓他必須出售持有的英國球隊切爾西（Chelsea），後者今年5月賣給了美國職棒洛杉磯道奇隊的股東Todd Boehly。</p> </div></div></div>
2022/6/10 15:14作者林妍溱https://www.ithome.com.tw/news/151389
消失的85萬枚比特幣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1081-shu_zhai_1_zhu_tu_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">寶鼎出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於日本東京的比特幣（BTC）交易所Mt. Gox，該公司前執行長馬克．卡佩雷斯（Mark Karpelès）在警察登門前已先接獲電話通知；警方甚至出於敬意，透過媒體先行放出了風聲。事實上，卡佩雷斯早就得知自己遭到控訴的消息，而且也明白警方遲早會找上門。</p> <p>負責Mt. Gox日前損失幾十萬比特幣案件的調查員於7月30日表示，東京警視廳將以涉嫌虛增假帳戶和擅自挪用客戶資金為由，起訴該平臺執行長。調查顯示，嫌犯企圖藉由操控自家平臺，以人為的方式刻意哄抬比特幣市場。</p> <p>Mt. Gox因這起事件面臨破產危機，目前所有證據皆指向該平臺執行長。據知情人士表示，執行長因操控失誤而丟失客戶持有的比特幣。此外，東京警方亦朝盜用公款的方向進行調查。</p> <p>Mt. Gox前執行長卡佩雷斯曾於去年召開的記者會說明，該公司遭外部駭客攻擊丟失公司客戶持有的65萬比特幣（約230億日幣）。</p> <p>在此之前，Mt. Gox大約經手全世界80%的比特幣交易。但該公司已於去年2月向東京地方法院申請民事再生，而地方法院也於同年4月正式核准了破產清算程序。</p> <p>2015年8月1日，一個週六上午，警方上門逮捕了馬克。在馬克被逮捕的前幾天，娜塔莉和我找他談過。我直接了當地表明：「馬克，你讀過我寫的第一本書，應該大致瞭解接下來會發生的事，但我還是希望從頭說清楚。警察會到這裡抓你。他們會帶著你穿過大批記者。為了讓記者盡情拍攝影像，他們早就發布了確切的逮捕時間。你至少要在拘留所待上24小時。接著，他們會啟動司法程序。檢察官有48小時可以決定是否繼續羈押。他應該會以防止被告潛逃出境或消滅證據為由，要求延長羈押時間，也許是十幾天。十幾天後，他又會以同樣的理由繼續延長羈押時間。這一輪程序大概會持續23天左右，屆時，要是你還不認罪，他們會先把你放出來，然後再關回去，開始新的一輪程序。」</p> <p>馬克晃了晃他那張圓臉，一臉茫然卻顯得平靜。從他的公司第一次遭遇危機以來，我們已有數次交集，但我始終摸不清這個人。</p> <p>「你明白我在說什麼嗎？」</p> <p>我非常需要他給我明確的回應。</p> <p>他點了點頭。「跟我無關，不是我做的。」</p> <p><span style="font-size:28px;"><strong>神奇的Mt. Gox</strong></span></p> <p>如果把比特幣視為一種宗教現象（事實上，有很多人真的把它視為信仰），那麼，中本聰可以說是它的上帝——儘管始終缺席、身份不明，地位仍不可動搖。而另一位創立多家新創公司，致力推動虛擬貨幣民主化的羅傑．維爾（Roger Ver）被稱為「比特幣耶穌」亦是當之無愧。至於馬克．卡佩雷斯，大約等同於保羅、馬可、馬修和路可的合體，也就是神聖的使徒。馬克傳播的福音比任何人都要多，多虧了他和Mt. Gox，人人都能輕易使用比特幣交易。在Mt. Gox的鼎盛時期，全球80%的比特幣交易都是透過該平臺進行的。</p> <p>不過，雖說馬克是壯大Mt. Gox的功臣，網站的創建者其實是美國的開發工程師傑德．麥卡勒布（Jed McCaleb）。他在2007年註冊了mtgox.com網域名稱。Mt. Gox是Magic: The Gathering Online eXchange的縮寫，名稱源自專為卡牌遊戲《魔法風雲會》（Magic: The Gathering，簡稱《魔風》）設計的卡牌同好集換平臺，一個僅運作了幾個月便關站的網站。</p> <p>傑德．麥卡勒布在2009年首次接觸比特幣後就對它產生興趣。他有意購入比特幣，卻發現購買程序極其複雜。當時，原本提供《魔風》卡牌交易的平臺已關閉數月，於是他便在2010年7月將它改造成比特幣交易平臺。簡而言之，他把比特幣加入網站的可交易物件列表中，用戶可以在改版過的網站用現金兌換比特幣。該網站因此成為市場上第一個提供這種服務的平臺。</p> <p>網站在短時間內爆紅，傑德現在必須付出全心全意經營，但他無意繼續。其中一個主要的原因在於，使用PayPal付費的網站用戶抱怨手續費過高，一再要求退款。同時，政府當局也開始將比特幣視為潛在威脅，各種管制規例逐漸壓迫。</p> <p>他開始尋找可以幫忙管理網站的人，也因此找上了Magical Tux，也就是馬克．卡佩雷斯。馬克當年來到日本並成立伺服器管理公司時結識了傑德。一開始，傑德只是諮詢管理建議，最後卻低價把網站賣給了馬克。</p> <p>日本有句話說：「免費的最貴。」這句話用來形容這個情況再適合不過了。</p> <p>麥卡勒布先是試探了馬克對這樁小生意的興趣。他清楚馬克對比特幣的熱愛，如果有人能經營比特幣交易平臺，那個人非他莫屬。而馬克也持有同樣的想法：「我敢肯定自己能設計出用日元交易的平臺。萬事俱備，只欠東風。」</p> <p>馬克愈是深入思考，對這種數位貨幣愈是沉迷。於是，他進行了一項實驗，把兩臺電腦連上網，從一臺電腦把一枚比特幣寄到另一臺後再傳回來。一切都很順利：「比特幣對我來說不是一種貨幣。我跟大部分的比特幣同好不一樣，我不是信奉自由主義的人。我最近剛得知有個比現行系統更好的支付方式。比特幣用起來很簡單。比方說，我當時的公司Tibanne不能接受信用卡付款。當然可以接受PayPal支付，但手續費非常高，更不用說要等上二、三個星期，錢才會進到你的戶頭了。</p> <p>而比特幣呢，儘管不能馬上換成現金，但不出一個星期，那筆錢就會存到你的帳戶裡，需要的時候也能隨時取出。手續費呢？2014年以前，我沒聽過這筆費用。交易完成的速度非常驚人。」</p> <p>運作上似乎沒有問題。</p> <p>「現在只需要搞清楚有多少人真的願意使用比特幣了。假設電商亞馬遜（Amazon）突然開始接受比特幣，那麼規模太小的平臺肯定會馬上塞車。我眼裡看到的是一個更大的版圖。」</p> <p>然而，和大多數早期信徒不同，馬克並未將比特幣視為自由革命的工具。</p> <p>「我認為政府的存在有其必要。公民付稅，警察維護治安，道路得以修整，人民生活平穩。日本的犯罪率特別低，健保制度就更不用說了。我們需要稅收制度來支援政府……法國曾有過許多不同政體，首先是君主制，而現在則是第五共和時期。每一種政體都有缺陷，但我認為統一的制度比隨意的法律有用。我們需要組織，需要規則，安全需要受到保障——我們從錯誤中學習。」</p> <p>馬克認為Mt. Gox是整合當時比特幣世界混沌之態的解答。可想而之，後來當然有些人落井下石：「把一個原本用來交易卡牌的網站改成數百萬美元的數位貨幣交易平臺……最後落到那種下場也沒什麼好意外的吧？」</p> <p>事實上，在馬克買下Mt. Gox平臺前，已經出現了不少問題。</p> <p>娜塔莉和我為了追蹤報導而閱讀了馬克和麥卡勒布的通信，發現該網站其實打從一開始就存在一些問題。這些文件來自Mt. Gox的前顧問；而後，我們又交給馬克的律師、舊員工和我們在警方那裡的聯絡人過目。以下內容為2011年1月18日，傑德．麥卡勒布決定售出網站時，給馬克寄的信。馬克和他當時僅是點頭之交。</p> <p>「嗨！馬克，以下內容請保密，我不想造成恐慌。事情未定，但我想把mtgox賣掉。我手上還有其他案子要忙。你對這個網站有興趣嗎？我可以低價出售，換取網站的利息收益等等的。近期有一筆資金會注入mtgox，預估在158K美元左右。你買下這個網站就能獲得這筆錢。」</p> <p>馬克接受了這個提議，並在2011年2月3日簽署一份附加條件極不尋常的購買協議。</p> <p>賣方（傑德）在合約中註明「賣方對於mtgox.com是否符合美國或其他國家法律一事並不知情。」另外還有一條補償條款：「買賣雙方若獲得任何與mtgox.com相關的補助，或是因本合約獲得利益，買方皆需補償賣方。」</p> <p>馬克並沒有看出任何不妥。他沒有砍價，按合約把接下來六個月內的收益對砍分攤。由於馬克住在東京，該網站的法律實體也直接轉移，即日起，他就是Tibanne的子公司Mt. Gox Co, Ltd的老闆了。Tibanne的股份100%屬於馬克，但傑德卻保留了12%的Mt. Gox股份。</p> <p>馬克應該更留意細節的。這場交易最大的問題在於，網站在此之前早已多次遭竊，損失了少量比特幣。或許當時他並沒有意識到問題的嚴重性。根據一些消息來源顯示，甚至連馬克簽約當天，Mt. Gox也有少數的比特幣不翼而飛。而傑德當時竟要求馬克簽署保密條款。</p> <p>接手Mt. Gox不久後，馬克才確認了這個網站遭竊的比特幣高達8萬枚。2011年4月28日，馬克收到的第二封電子郵件標誌了這場噩夢的起點。<strong><span style="color:#696969;">（摘錄整理自《比特幣大騙局》前言、第三章，寶鼎出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1081-%E6%AF%94%E7%89%B9%E5%B9%A3%E5%A4%A7%E9%A8%99%E5%B1%80-600.png" style="width: 340px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／寶鼎出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">比特幣大騙局：竊盜、駭客、投機者，加密貨幣交易所Mt. Gox的腐敗運作與破產真相</span></strong></p> <p>傑克．阿德爾斯坦（Jake Adelstein）、娜塔莉．斯塔基（Nathalie Stucky）／著；許雅雯／譯</p> <p>寶鼎出版</p> <p>定價：380元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AF%94%E7%89%B9%E5%B9%A3%E5%A4%A7%E9%A8%99%E5%B1%80-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Amazon.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Amazon</span></span></p> <p>傑克．阿德爾斯坦（Jake Adelstein）</p> <p>自1993年開始擔任駐日調查記者。身為日本最重要的組織犯罪專家之一，他也為日本和美國提供諮詢，同時為《野獸日報》、日本經濟月刊ZAITEN和其他報社執筆寫作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AF%94%E7%89%B9%E5%B9%A3%E5%A4%A7%E9%A8%99%E5%B1%80-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Nathalie%20Stucky.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nathalie Stucky</span></span></p> <p>娜塔莉．斯塔基（Nathalie Stucky）</p> <p>穿梭東京與歐洲兩地的獨立記者，曾擔任日本時事通信社（Jiji Press）駐日內瓦的特派助理，為《重建311》（Reconstructing 3/11）一書提供了不少資料，同時也是日本次文化研究中心（Japan Subculture Research Center）的主編。</p> </div></div></div>
2022/6/10 13:47未署名https://www.ithome.com.tw/article/151386
敏捷教練為何重要
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1081-shu_zhai_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當我開始接觸敏捷時，我並不相信它能行得通。在我的理念中，專案宛如一套大型的機械裝置，機器之間單獨運作但又步調一致，各台機器可產出初始產品，而後由另一台機器接續處理，最終生產出完整的成品。當時我認為專案管理是不可或缺且慎重的工作，因為專案經理需要統籌協調整套機械的運作。專案要能順利完成，所涉及的層面既繁複且龐雜，我也確信本該如此。我完全無法想像，一個隨著他們自己的計畫一起工作的小型團隊能有什麼作為。這種做法似乎太過薄弱，無法完成「大事」。</p> <p>30天之後，在協助一位有經驗的敏捷教練成立與運作我的第一個敏捷團隊，且目睹團隊的合作方式後，我確信先前自己對敏捷的看法大錯特錯，而我對專案管理的看法也已然過時。我的敏捷團隊不僅從零開始建立（在從前，此步驟需耗費我30天），還打造出立即可用的重要功能，並隨即開始為公司帶來實質的貨幣價值。他們確實做出了專案管理機器先前需花費數月才能完成的「大事」，而且品質也比過去的產出還要更好。而最棒的是，他們在30天內完成了這一切。</p> <p>如果你像與我一起工作過的其他滿懷抱負的敏捷教練一樣，那麼你所受的教育或自身經驗幾乎無法支持你成為一位敏捷教練。你可能會不禁思考：「我在自組織團隊（self-organized team）的角色為何？」或是「我該如何協助團隊，但又不過度干涉？」許多新手教練不諳因應之道，無法取得干涉與放手間的巧妙平衡。要了解如何居中為團隊提供恰到好處的教練，首先必須了解你所處的教練環境，以及你所要教練的對象。</p> <p>我們現今所面臨的問題往往超出過去許多人所熟悉的機械模式。透過機械模式，我們相信可以處理任何錯綜複雜的問題，將其分解成多個組件、粗略地分別打造每個組件，然後在最終的整合作業中，把它們組合在一起。這就是我曾經為了推出一項產品而同步進行了19個工作流的做法。我知道我的團隊所面臨的問題（不論是現在或以前），很少能適用於此模式。他們被要求處理的問題十分棘手，而且從未得到過令人滿意的解決之道。與此同時，世界的局勢似乎比以前千變萬化且難以預料，讓人很難站穩腳跟。這就是我們身處的現實環境。</p> <p>此外，我所教練的人們也想知道自己的重要性，他們不再滿足於只是機械中的螺絲釘。他們想知道自己所投入的精力與想法會產出什麼價值，也希望自身貢獻能受到重視。我所教練過的人們不會被軟硬兼施（胡蘿蔔與棍子）的方法所激勵，他們更想追求價值感與目標。當他們以前所未有的態度追求生活的意義時，對他們而言，「我們究竟為什麼要這麼做？」與「這對誰有好處？」才是關鍵問題。看看我們的團隊成員在工作之餘都在做些什麼：上瑜珈課、從事極限運動、追求藝術成就、為社區服務，或者積極投入孩子教養。簡而言之，他們不斷探索自己的各個面向，追求更完善且豐富的生活，以成為更完整的人。</p> <p>敏捷教練至關重要，因為這對以下兩個領域均有助益──在錯綜複雜且充滿不確定性的真實世界中創造重要的產品，以及為人們的職業生涯增添意義。敏捷不僅僅是一種替代的專案管理方法論，雖然這麼形容它也很棒，但其意義遠勝於此。敏捷以最強大（且簡單）的方式，讓我們專注於所要創造的關鍵產品上，並讓我們可以一項接著一項地創造出一個又一個的重要產品，使我們達成自身的卓越標準，以及追求精彩的個人目標──但這一切的前提是妥善實施敏捷。這就表示，團隊需要教練為他們帶來妥善實施敏捷的清晰觀點與許多其他的技能，好讓敏捷得以落實。</p> <p><span style="font-size:28px;"><strong>敏捷教練的由來</strong></span></p> <p>敏捷思維本身就很充足，而教練更深化了其意義。</p> <p>敏捷框架十分輕量，只需要教導一些實務即可採用，便於快速建立團隊並加以實行，至少在基礎知識這方面是如此。就我的經驗來說，要讓團隊在一天之內從頭開始使用敏捷絕對可行，而且相當常見。敏捷是輕量、快速及簡單的──至少看起來是簡單的。</p> <p>敏捷容易上手卻很難做得好，這是許多原因導致而成的。其中最主要的原因是敏捷會揭露人們多年來置之不理又粉飾太平的麻煩事。任誰都不想蹚這渾水，對吧？但是我們必須面對。</p> <p>敏捷的運作方式似乎有許多自相矛盾之處：簡單但具挑戰性、輕量但實力強大、如同常識卻又暗藏玄機，容易上手卻又極具深度。要教練團隊妥善運用敏捷，你無需對所挑選的敏捷框架增加新的工件、事件或角色；相反地，你需要找出有助於傳達現有框架中已經存在於每個元素的挑戰性、強大、微妙與深奧的面向，並據此導入其他相關領域的訓練。</p> <p><span style="font-size:28px;"><strong>實際履行敏捷教練的職責</strong></span></p> <p>我們可以將敏捷視為連續的情境——亦即我們在教練人們妥善運用敏捷時所秉持的一套價值觀、實務、原則及角色。為了做到這一點，我們會向人們傳遞許多其他相關領域的技能，這能讓我們完全融入敏捷教練的角色。我們因此而成為他們的引導者、老師、教練、導師、衝突駕馭者、協同合作領導者，以及問題解決者。我們會傳授自身所學，協助他們明確地展現敏捷的挑戰性、強大、微妙與深奧的面向。</p> <p>你會比我發現更多的領域與學派。這正是為什麼此模型為你的精進保留空間。當你納入一門新的領域，並證明它對你的敏捷團隊有用時，請將它放在「你擅長的角色都在這裡」中。將此模型內化成自身風格，並在學習新知時擴展開來。與他人分享所學，一同持續精進敏捷教練這門藝術。</p> <p><span style="font-size:28px;"><strong>以身作則的敏捷教練</strong></span></p> <p>前文概述了敏捷教練所做的許多事情，包括教導、引導、協作，以及輔導，加起來要做的事情還真不少。當然，履行職責很重要。你必須了解自己身為教練的職責以及掌握運作敏捷的方法，並為團隊持續尋覓下一個突破點。然而，敏捷教練的「履行職責」和「以身作則」同樣重要。</p> <p>敏捷教練更著重於你個人的內在與行為舉止，而非你帶給團隊的任何具體技術或構想。如果以數字粗略地說明，我認為敏捷教練裡，履行職責的部分占40%，以身作則的部分占60%。你個人與秉持敏捷的價值觀，還有一舉一動所帶來的影響甚鉅且強而有力，實在不容小覷。透過你的以身作則，對個人、團隊及組織帶來廣泛且長久的影響，遠勝過把整本敏捷教科書中的技術照本宣科。</p> <p>敏捷教練隨時效仿敏捷精神，並持續透過以身作則的方式來教導敏捷。這可藉由教練個別團隊成員，以及與整個團隊的互動而呈現。這清楚說明你對自身一舉一動與對團隊的影響力有多少自覺，以及你如何以簡單且公開透明的方式為這些影響力承擔責任。</p> <p>但你沒辦法時時刻刻達到標準，失誤在所難免，生氣時也可能提高音量罵人。你可能會在站立會議上走神，甚至會巧妙地操控他人做出你自認為對團隊有益的事。在面對自己的失誤時，最重要的是抱持敏捷思維中的開放價值觀。公開透明且虛心受教，勇於承擔失誤造成的影響，並為之道歉。告訴團隊你的失誤違反了哪項敏捷價值觀或原則，讓他們能從你的範例中學到教訓。</p> <p>想像一下，若是團隊能承認失誤、強化共同的價值觀、原諒彼此，然後繼續前進，你覺得這樣的團隊會不會發想出驚為天人的想法？我堅信會的。<span style="color:#696969;"><strong>（摘錄整理自《教練敏捷團隊》第一章，博碩文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1081-%E6%9B%B8%E6%91%982-300.png" style="width: 289px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">教練敏捷團隊：ScrumMaster、敏捷教練及專案經理轉型的最佳指南</span></strong></p> <p>Lyssa Adkins／著；周龍鴻博士／主編；教練敏捷團隊志工群／譯</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%99%E7%B7%B4%E6%95%8F%E6%8D%B7%E5%9C%98%E9%9A%8A-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Lyssa%20Adkins.png" style="width: 200px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Lyssa Adkins</span></span></p> <p><strong>Lyssa Adkins</strong></p> <p>Lyssa Adkins自2004年起已向數百名學員教導Scrum，也指導過許多敏捷團隊，並擔任過許多教練學徒的教練主管。她為教練們提供一對一與小班制教練，並十分享受親眼見證敏捷教練誕生的歷程，也持續鼓勵其團隊竭盡全力充分發揮潛能。</p> <p>在接觸敏捷之前，Adkins擁有超過15年的專業經驗，她曾在大大小小的管理顧問公司、商業軟體公司及《財富雜誌》（Fortune）前500大公司中負責領導專案團隊與專案經理團隊。</p> </div></div></div>
2022/6/10 14:09未署名https://www.ithome.com.tw/article/151387
Vivaldi推出內建電子郵件客戶端的瀏覽器版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://vivaldi.com/press/releases/vivaldi-mail-1-0-calendar-feed-reader-launches/" target="_blank">瀏覽器業者Vivaldi周四（6/9）發表</a>了整合Vivaldi Mail電子郵件客戶端的新一代桌面瀏覽器，支援Windows、macOS與Linux等作業系統，並順道整合了Vivaldi Calendar行事曆與Vivaldi Feed Reader訂閱摘要。</p> <p>Vivaldi為一基於Chromium專案的跨平臺瀏覽器，於2016年才正式推出，屬於瀏覽器市場的晚進業者，迄今除了支援上述三大桌面作業系統之外，也支援Android，但尚未支援iOS，迄今全球用戶數還不到250萬。</p> <p>整合於瀏覽器中的Vivaldi Mail允許使用者建立及管理多個電子郵件帳號，還會自動偵測郵件列表與線程，並具備強大的搜尋功能。此外，它還會索引使用者帳號中的所有電子郵件，提供離線搜索能力。</p> <p class="rtecenter"><img alt="" src="https://vivaldi.com/wp-content/uploads/mail_signature-1-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Vivaldi</span></p> <p>Vivaldi執行長Jon von Tetzchner表示，Vivaldi Mail是對一個原始、簡單及可靠通訊型態的歌頌，電子郵件有時候會很混亂，Vivaldi Mail卻能讓使用者的郵件井井有條，也易於瀏覽。</p> <p>其實就算現在絕大多數的使用者都利用新興的聊天平臺進行溝通，但全球的電子郵件用戶仍在增加中，估計將從現在的40億成長到2024年的45億。</p> <p>新用戶若要取得最新的Vivaldi Mail功能，在安裝Vivaldi時，必須選擇完整呈現（Fully Loaded），既有Vivaldi用戶則僅需於設定中啟用郵件、行事曆與訂閱摘要即可。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Vivaldi%20Mail-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Vivaldi</span></span></p> </div></div></div>
2022/6/10 12:46作者陳曉莉https://www.ithome.com.tw/news/151384
Meta Workspace企業協同平臺簽下麥當勞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開發的企業版臉書Workspace現在已跨出公司內部，並拿下重量級客戶。<a href="https://www.workplace.com/newsroom/mcdonalds-and-workplace" target="_blank">Meta昨（9）日宣布</a>，速食業連鎖龍頭麥當勞將導入Workspace作為員工內部通訊及存取公司資源的工具。</p> <p><a href="https://www.ithome.com.tw/review/117109" target="_blank">2017年推出的Workplace如同消費者版本的Facebook</a>，提供動態消息、按讚、留言與社團、即時通訊功能，用戶端介面也提供Web與手機App的應用。最大的不同是Workplace需以公司電子郵件註冊，並提供企業帳號管理機制，及內容審核與分析報告等功能、還可整合第三方資料分析及防洩密工具。</p> <p>Meta表示，透過Workspace的導入，麥當勞員工將可以其手機，在其熟悉的介面上和同事通訊聯絡，或是存取公司訓練課程等其他資源。Meta並強調Workspace可和麥當勞的內部公司系統整合使用，以確保通訊隱私及資料安全。</p> <p>Workspace上的知識管理功能Knowledge Library則提供麥當勞員工存取公司資源，例如本地行銷或促銷用的素材，或是最新的公司業務更新及訓練課程。</p> <p>目前Workspace已部署於包括麥當勞澳洲、紐西蘭、葡萄牙、斯洛伐克、波蘭等11國的加盟店，以及美國數家直營麥當勞餐廳。Meta表示，目前在西班牙員工每月在Workspace傳送14萬則訊息，澳洲啟用了10萬多個帳號，85%為經常性用戶。葡萄牙的帳號有73%為經常性使用。不過Meta並未說明總用戶數。今、明年內麥當勞預計再把Workspace推向加拿大、英國、比利時、奧地利、瑞士及沙烏地阿拉伯。</p> <p>至於Workspace現有總用戶數，<a href="https://about.fb.com/news/2021/05/workplace-reaches-7-million-paid-subscribers/" target="_blank">Meta去年5月的網站資料</a>顯示有700萬付費訂閱用戶。</p> </div></div></div>
2022/6/10 13:08作者林妍溱https://www.ithome.com.tw/news/151385
HPE、HP退出俄羅斯、白俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於俄烏戰事短期結束無望，HPE及HP上周宣布退出俄羅斯及白俄羅斯市場。</p> <p><a href="https://www.hpe.com/us/en/newsroom/statement/2022/06/hpe-announces-intention-for-orderly-exit-of-russia-belarus.html" target="_blank">銷售伺服器或儲存等企業IT設備的HPE表示</a>，自2月底暫停俄羅斯及白俄羅斯市場，HPE即密切關注情況，現在公司決定持續兩個地方的營運已經可不行，將進行「有計畫退出」在這些地方剩下的業務。HPE表示將對受這項決定影響的員工、客戶及合作夥伴保持暢達的溝通管道。</p> <p>HPE及HP是烏俄戰爭以來第一批凍結當地運作的歐美企業。<a href="https://www.crn.com/news/data-center/hpe-shuts-down-russia-belarus-operations-over-ukraine-war" target="_blank">HPE執行長Antonio Neri對《CRN》表示</a>，當初他們決定觀察90天看這場衝突是否能獲得解決，無奈目前看來短期內解決無望，使其做出撤出市場的決定。</p> <p>HPE俄羅斯網站URL已在4月底失效，<a href="https://hr.ext.hpe.com/External-HR-Support-Russia" target="_blank">目前導向協助前員工的新網頁</a>。</p> <p>另一方面，以電腦及印表機為主要業務的HP也做出了同樣的決定。<a href="https://seekingalpha.com/article/4515593-hp-inc-hpq-ceo-enrique-lores-on-q2-2022-results-earnings-call-transcript" target="_blank">HP執行長Enrique Lores上周在分析師會議上解釋</a>，COVID-19的疫情影響及俄羅斯市場長期發展不樂觀，促使其決定終止在當地的活動，並啟動完全結束業務的過程。HP在兩地區員工約200人。HP表示將負起協助這些員工度過難關的責任。</p> <p>HPE 估計俄羅斯及白俄羅斯兩市場營收，占該公司全年營運不到2%。而HP去年在2個市場營收將近10億美元。</p> <p><a href="https://www.ithome.com.tw/news/151330" target="_blank">IBM</a>於本周和<a href="https://www.ithome.com.tw/news/151353" target="_blank">微軟</a>分別宣布撤出俄羅斯市場，及大幅縮減在當地的業務，影響400名員工。Google雖然未關閉俄羅斯子公司，並還持續Google搜尋、Gmail或Google Maps、YouTube等服務，但由於銀行帳戶等資產遭俄羅斯政府扣押，<a href="https://www.ithome.com.tw/news/150988" target="_blank">Google當地子公司上個月已聲請破產</a>，並將員工撤離俄羅斯。</p> <p><a href="https://press.siemens.com/global/en/news/statement-war-ukraine-and-situation-russia" target="_blank">西門子已在5月中宣布撤離俄羅斯市場</a>，並已著手結束營運及所有業務活動。西門子表示該公司為維護3,000名在俄員工的安全，他們也是第一批暫停在俄業務的公司。</p> </div></div></div>
2022/6/10 12:03作者林妍溱https://www.ithome.com.tw/news/151383
駭客藉由各種假冒的破解軟體遞送惡意程式，以竊取機密資訊及加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.avast.com/fakecrack-campaign" target="_blank">資安業者Avast本周揭露了近年來新興的、以偽造破解軟體來遞送惡意程式的FakeCrack活動</a>，駭客利用了搜尋引擎的索引技術，藉由黑色搜尋引擎最佳化（Black SEO），讓這些含有惡意程式的破解軟體出現在搜尋結果的第一頁，以利受害者存取，當受害者下載了含有惡意程式的破解軟體之後，駭客便企圖在受害者電腦上竊取各種機密資訊，並盜轉受害者的加密貨幣。</p> <p>遭到FakeCrack活動鎖定的破解軟體都是熱門軟體，像是遊戲、Office工具，或是用來下載多媒體的程式，而此次Avast用來舉例的則是CCleaner Pro，這是一款知名的電腦清理軟體，它官網上的每年訂閱費率為29.95美元（979元新臺幣）。</p> <p>研究人員發現，當於Google搜尋上查詢「CCleaner Pro Crack」時，第一個結果頁面上就有5個連結是由駭客所建立，當使用者點選了這些連結，相關連結通常只是用來轉址所用，再轉到其它以cfd作為頂級網域名稱的網域。</p> <p>Avast表示，他們每天都要阻擋大約1萬個惡意的破解版CCleaner Pro，這些潛在的受害者主要位於巴西、印度、印尼與法國。</p> <p>總之，駭客在受害者造訪的頁面上提供了一個連結，以至合法的檔案分享網站下載軟體，此一假冒為CCleaner Pro破解版的軟體是以ZIP檔包裝，還要輸入密碼，但密碼是公開的，只是為了避免遭到防毒軟體的分析，下載及解壓縮後出現的即是執行檔。</p> <p class="rtecenter"><img alt="" src="https://lh4.googleusercontent.com/gOs3_7qGYKVstPONrFnD4fO_Hd_d_NrFIphnf54lPc6CNsGjkQ7sv7SQd1M9bgsr2_qCRwIDA6kA4SASibRTbq1rajr5hKuXiZAKflNu6jM-hzRXWlCyF1G0sL-H6_PRrPE0P1REWEp3uvJ3WA" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Avast</span></span></p> <p>Avast總計蒐集了8款惡意執行檔，發現它們幾乎都可用來掃描使用者的電腦，並自瀏覽器蒐集密碼與信用卡資料，或是自加密貨幣錢包蒐集資料，再將資料傳送至遠端的駭客伺服器。</p> <p>值得注意的是，駭客所使用者的工具中有一個腳本程式是專門用來檢查剪貼簿的，查看剪貼簿內容是否出現加密貨幣錢包位址，若有就把它置換成駭客的錢包，不管是Terra、Nano、Ronin或Bitcoincash等加密貨幣都可被偷天換日，估計駭客已因此得手價值逾5萬美元的加密貨幣。</p> <p>Avast亦公布FakeCrack活動的網路入侵指標（IOC）供外界參考。</p> </div></div></div>
2022/6/10 10:21作者陳曉莉https://www.ithome.com.tw/news/151377
Windows 11更新臭蟲讓規格不符的舊PC也能安裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然微軟再三強調Windows 11對硬體規格有最低要求，不過近日許多規格較舊、理應不被支援的電腦卻獲准安裝Windows 11。微軟表示這是Windows 11更新的臭蟲所致。</p> <p><a href="https://www.reddit.com/r/Windows11/comments/v798je/my_6700k_desktop_gtx_1080_32gb_ram_became/" target="_blank">一些Reddit用戶發現</a>，他們較早期的PC都可以安裝Windows 11。Windows 顯示的訊息告知，他們的PC滿足執行Windows 11的最低系統要求。</p> <p class="rtecenter"><a href="http://www.reddit.com/r/Windows11/comments/v798je/my_6700k_desktop_gtx_1080_32gb_ram_became/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-windows%2011%20update%20bug-600.png" style="width: 600px;" /></a></p> <p>根據微軟的說明，PC若要執行Windows 11，硬體必須搭載2核心、時脈1 GHz 以上CPU並支援TPM 2.0的64-bit處理器或單系統晶片（SoC）、以及RAM 4 GB、64GB硬碟。</p> <p>這些喜出望外的用戶的PC搭載的處理器涵括Intel Kabylake Core i3、Clarkdale Core i5、Skylake、Celeron等，RAM 則有4GB、16GB、32GB等，也有用戶以AMD Ryzen 1800成功全新安裝Windows 11。</p> <p>這事件可能和<a href="https://www.ithome.com.tw/news/151332" target="_blank">微軟本周釋出的Windows 11 22H2的預覽版</a>有關。許多用戶都註冊成為Insider試用方案用戶，有的是臨時註冊而獲准安裝。不過不是所有人都有這種運氣，而且也需要其他條件，例如一名用戶則必須安裝模擬TPM才能安裝。</p> <p><a href="https://twitter.com/windowsinsider/status/1534588001183051786" target="_blank">微軟很快表示這是一隻臭蟲</a>，相關團隊正在調查。</p> <p>另一方面，Windows 11 22H2更新反而在一些理應可執行的電腦上，出現PC不支援的訊息。<a href="https://twitter.com/jenmsft/status/1534401569575292930" target="_blank">微軟團隊表示已經在調查中</a>，並警告強行安裝會導致錯誤情形發生。</p> <p>由於本周稍早釋出的Windows 11更新是預覽版，微軟也警告不要在工作用或生產環境下的系統安裝。</p> </div></div></div>
2022/6/10 10:32作者林妍溱https://www.ithome.com.tw/news/151378
Chrome 103將完全利用瀏覽器中的機器學習技術來封鎖網站請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>會不會對於所造訪的網站一直跳出通知感到很煩？<a href="https://blog.google/products/chrome/building-a-more-helpful-browser-with-machine-learning/" target="_blank">Google於周四（6/9）宣布</a>，下一版的Chrome將利用機器學習（Machine Learning，ML）技術模型來預測使用者對通知的反應，並且悄悄地將它們封鎖。雖然Google並未公布版本別，但從發布的時程來看，該功能應該會出現在預計於6月下旬出爐的Chrome 103上。</p> <p>Google很早就開始於服務中採用ML技術，例如用來過濾垃圾郵件或更新地圖，而在Chrome上也不例外，像是以ML技術替圖片自動產生圖說，或是替線上影片加上即時字幕等，最近一次的應用則是在替使用者阻擋惡意網站的Safe Browsing in Chrome 功能上，Google表示，自今年3月於Safe Browsing啟用新的ML模型以來，它所辨識的惡意及網釣網站比先前的模型多了2.5倍，進一步改善了使用者的瀏覽安全。</p> <p>新的ML應用則期望改善瀏覽經驗，著重於使用者與網頁通知之間的互動。Google認為，網頁通知一方面可遞送網站更新予使用者，但另一方面不斷跳出通知也令使用者不堪其擾，先前的作法是根據使用者過去與類似通知的互動，來判斷是否要堵住不受歡迎的通知，但當時必須將資料傳送至Google進行分析，新版Chrome則將利用ML模型，直接於裝置上執行預測。</p> <p>因此，未來當新的ML模型判斷特定通知可能會被使用者忽略時，它會直接將通知靜音並封鎖，只是會在網址列上秀出此一資訊，讓使用者依然可啟用該通知。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Screen_Shot_2022-06-09_at_11.39.00_AM.max-1000x1000.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>在不久的將來，Google更會讓ML模型依照使用者的作息與習慣，自動調整Chrome瀏覽器上的工具列，例如當使用者經常在某個時刻進行語音輸入時，屆時語音輸入的圖示就會出現在第一順位。總之，Google企圖發揮ML模型的最大潛力以替Chrome用戶帶來更個人化的服務。</p> </div></div></div>
2022/6/10 10:58作者陳曉莉https://www.ithome.com.tw/news/151379
【資安日報】2022年6月9日，殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料、美國針對中國駭客攻擊網路設備…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞中，我們想請大家留意殭屍網路Emotet新的攻擊手法，這個自去年11月東山再起的駭客組織，今年年初開始多次有研究人員發現攻擊行動大幅增加的情況，並採用了更為狡滑的手法（如使用Excel外掛程式散布），而今天研究人員發現的是，這些駭客直接鎖定特定瀏覽器的使用者下手，竊取信用卡資料。</p> <p>最近幾年中國駭客攻擊東亞、南亞等地的電信業者與ISP的情況，可說是時有所聞。美國最近提出警告，駭客在上述攻擊行動中，大肆針對路由器、NAS等設備的已知漏洞而來，呼籲相關業者要加強這些設備的修補管理，以免成為駭客用來攻擊企業的管道。</p> <p>在5月底被揭露的協作平臺Atlassian Confluence的漏洞CVE-2022-26134，再度出現新的攻擊行動而值得注意，有多個殭屍網路鎖定尚未修補的Confluence伺服器下手，進行挖礦攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/emotet-malware-now-steals-credit-cards-from-google-chrome-users/"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FUrsT65WIAUX5b-.png" style="width: 300px; float: right;" /></a>殭屍網路Emotet自去年11月捲土重來後，該組織的攻擊行動於今年大幅增加<a href="https://www.ithome.com.tw/tech/150815">且出現新的手法</a>，而引起研究人員關注，最近這些駭客更進一步加入新的模組來竊取機密資料。資安業者Proofpoint指出，他們在6月6日發現新的Emotet殭屍網路病毒模組，駭客透過E4殭屍網路來進行散布。經研究人員分析後，該模組是用來竊取Chrome瀏覽器用戶的信用卡資料，一旦得手，就會上傳到C2伺服器，不過，比較特別的是，該伺服器與載入上述竊密模組的來源伺服器不同，至於駭客為何要這麼做？研究人員沒有進一步說明。除此之外，資安業者ESET近期也針對Emotet的態勢提出警告，表示今年第一季攻擊行動次數，較2021年第3季增加超過100倍，其中較為大型的攻擊行動出現於3月16日，鎖定日本、義大利、墨西哥等國家。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-158a"><span style="color: rgb(0, 0, 0);">美國公布中國駭客攻擊電信業者與ISP所使用的連網設備漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/network-device-cve.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/network-device-cve.png" style="width: 300px; float: right;" /></a>中國駭客組織攻擊電信業者、網路服務供應商（ISP）的情況，最近幾年研究人員陸續揭露有關攻擊行動，這樣的情況也引起美國高度關注並提出警告。美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，於6月8日發布資安通報，指出中國駭客組織在攻擊電信業者與網路服務供應商的過程裡，偏好運用路由器滲透測試框架RouterSploit和RouterScan，掃描連網設備的漏洞並發動攻擊，特別是較為缺乏修補的路由器與NAS裝置，駭客可能會將其當作節點來引導C2流量，並做為攻擊其他設備的中繼站。</p> <p>這些單位指出，駭客約自2020年開始，大規模針對已知漏洞下手，因為坊間往往已有攻擊程式，不需自行耗費大量心力重新打造，而能將更多資源投入混淆視聽及埋藏蹤跡。根據這次公告列出的已知漏洞，駭客多半利用從2018年至2020年揭露的漏洞，這些單位呼籲相關企業，應落實網路設備的漏洞修補，並採用雙因素驗證（MFA）等措施，來強化相關資安因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.lacework.com/blog/kinsing-dark-iot-botnet-among-threats-targeting-cve-2022-26134/"><span style="color: rgb(0, 0, 0);">多個殭屍網路加入利用Atlassian Confluence漏洞的行列</span></a></strong></h3> <p>研究人員於上週末公布開發協作平臺Atlassian Confluence的漏洞CVE-2022-26134，很快就有許多駭客嘗試利用發動攻擊，其中也有殭屍網路駭客投入。資安業者Lacework指出，殭屍網路Kinsing、Hezb、Dark.IoT皆透過上述漏洞，對尚未修補的Confluence伺服器下手。研究人員提到，這3個殭屍網路主要利用這些伺服器挖礦牟利，他們呼籲組織應儘速安裝修補程式，或是採取緩解措施來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/j00sean/status/1533889445027536899"><span style="color: rgb(0, 0, 0);">研究人員揭露另一個MSDT零時差漏洞DogWalk</span></a></strong></h3> <p>自5月底Windows支援診斷工具（MSDT）爆發零時差漏洞CVE-2022-30190（Follina）後，有其他研究人員揭露另一個MSDT漏洞，呼籲微軟重視相關弱點。研究人員j00sean於6月7日公布名為DogWalk的零時差漏洞，這項漏洞涉及路徑穿越（Path Traversal），攻擊者一旦利用，就有可能將檔案存放於受害電腦的任何位置且不易被察覺。在利用這項漏洞的攻擊手法裡，駭客透過電子郵件或是網路連結傳送DIAGCAB格式的惡意檔案，並引誘受害者在電腦上開啟就有機會觸發。雖然該惡意檔案來自網路而包含相關標記（MOTW），但Windows或是上網應用程式很可能允許用戶直接開啟檔案而不會發出警告訊息，使得攻擊者得以濫用。</p> <p>研究人員指出，這項漏洞將導致攻擊者能繞過MOTW、Chromium核心的瀏覽器（Chrome、Edge、Opera），以及作業系統內建的Microsoft Defender。與Follina相同的是，DogWalk同樣先前就有人曾經向微軟通報，該公司認為並非安全漏洞，沒有提供修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/f/cuba-ransomware-group-s-new-variant-found-using-optimized-infect.html"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba採取雙重勒索策略，要求受害者3天內進行談判</span></a></strong></h3> <p>曾在2021年底大肆對美國關鍵基礎設施下手，引起當地聯邦調查局（FBI）重視的勒索軟體Cuba，近期再度出現攻擊升溫的現象。趨勢科技指出，他們自今年3月至4月，發現Cuba重振旗鼓，駭客先是開始運用惡意程式下載器，來減少攻擊行動遭到干擾的情況，而到了4月底，在該組織鎖定位於亞洲的2個組織攻擊裡，發現新的勒索軟體變種會終止受害電腦更多的處理程序，包括收信軟體Outlook、郵件伺服器Exchange Server、資料庫軟體MySQL等，同時該組織也進行雙重勒索──他們在勒索訊息表明，受害者3天內若是不願聯繫他們討論支付贖金的事宜，將會直接公布已經竊得的電腦資料，此外，這些駭客也導入了技術支援系統quTox引導對方付錢。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151349">【2022年6月8日】駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重大漏洞對烏克蘭下手</a></p> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> </div></div></div>
2022/6/9 18:46作者周峻佑https://www.ithome.com.tw/news/151372
傳蘋果為Apple Pay Later成立專門融資的子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-08/apple-will-handle-the-lending-itself-with-new-pay-later-service?sref=10lNAhZ9" target="_blank">彭博報導</a>，為了推動其先買後付（Buy Now Pay Later）業務，蘋果已成立了子公司專門從事融資及信用查核的業務。</p> <p>本周WWDC上蘋果除了發表下一代Apple Silicon晶片M2、及iOS 16、macOS Ventura等重大創新外，<a href="https://www.ithome.com.tw/news/151316" target="_blank">也公布</a>將在美國以Apple Pay Later功能推出BNPL服務。</p> <p>BNPL和銀行信用卡分期付款最大的不同，除了消費者不需具備信用卡外，也不會有銀行對消費者的信用狀況進行查核。支付、收款和信用查核需要BNPL業者自行或另外委外處理。</p> <p>報導指出，在推行Apple Pay Later中，蘋果將成立名為Apple Financing的子公司負責信用查核、借款融資及用戶批准。這子公司也將取得執行BNPL業務必要的州政府執照。</p> <p>蘋果以前也曾涉入融資服務，但那時是藉由高盛銀行等金融機構的協助，而在即將上路的Apple Pay Later服務，合作夥伴是誰則不得而知。6月先在美國上路的BNPL服務將使用萬士達卡網路支付，但後者不處理信用查核及借款。</p> <p>報導指出，蘋果正在開發名為Breakout的支付處理引擎，也正在發展詐欺分析及利息計算、以及其他消費者功能。蘋果可能如同其他BNPL業者，發展以AI或機器學習為基礎的詐欺偵測技術。</p> <p>彭博分析，藉由總攬其服務或產品所需的上下游元件，將可減少對外部廠商的依賴。Apple M1、M2晶片如此，Apple Pay Later也是同樣思維。而蘋果也希望Apple Pay Later和其Apple Music或Apple TV+一樣，可發揮強化iPhone或Mac電腦用戶的黏著度的效益，進而拉抬服務營收貢獻比例。</p> </div></div></div>
2022/6/9 15:22作者林妍溱https://www.ithome.com.tw/news/151360
近期LockBit 2.0危害全球加劇，全球1到4月超過300名受害者，近期臺廠也傳接連遇害
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_lockbit_2.0wei_xie_da_zeng_2022.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期LockBit 2.0在全球攻擊事件不斷，4月即傳出有100多間企業組織遇害，最近，臺灣上市大廠也傳出遭此勒索軟體攻擊的事件，根據資安新聞SecurityWeek及RedPacket Security網站報導，鴻海集團位於美墨邊境的工廠遭到LockBit 2.0勒索軟體的攻擊，6月2日鴻海對此發布聲明，證實旗下墨西哥有一廠區在5月底遭駭。</p> <p>發動本次網路攻擊的元兇：Lockbit勒索軟體，自去年改版為LockBit 2.0捲土重來後，在2022年上半危害明顯加劇，全球企業組織均大受影響。</p> <p>在今年2月，FBI就因LockBit 2.0的危險性大增，發出警示，並彙整入侵指標（IoC）等技術細節供組織因應。</p> <p>近期亦有資安業者報告指出，LockBit 2.0是近期最橫行的勒索軟體，單月受害者就破百。例如，<a href="https://www.trendmicro.com/vinfo/us/security/news/ransomware-by-the-numbers/lockbit-conti-and-blackcat-lead-pack-amid-rise-in-active-raas-and-extortion-groups-ransomware-in-q1-2022">趨勢科技公布今年第一季勒索軟體狀況</a>，指出成功攻擊次數最多的前三大勒索軟體都是基於RaaS模式，分別是LockBit（占35.8%），Conti（占19%）、以及BlackCat（占9.6%），其中LockBit第一季受害組織達220名；而英國資安業者<a href="https://newsroom.nccgroup.com/news/ncc-group-monthly-threat-pulse-april-2022-448500">NCC Group公布勒索軟體威脅報告</a>，指出今年4月，共有288次勒索軟體攻擊事件，其中有46%發生在北美，33%出現在歐洲，而以勒索軟體族群來看，Lockbit 2.0的受害者達103名最多，居次的是Conti勒索軟體，受害者有45名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022Q1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></p> <h3><strong>國內亦有LockBit 2.0受害者，鴻海墨西哥廠5月遇害</strong></h3> <p>對於LockBit 2.0近期的威脅態勢，儘管該勒索軟體組織的常見攻擊目標，主要針對美國、印度、印尼、烏克蘭與多個歐洲國家，但國內同樣必須留意。</p> <p>因為，最近國內上市大廠鴻海位於墨西哥的工廠，就遭遇LockBit 2.0攻擊，這項消息最早是在5月31日傳出，根據RedPacket Security揭露的資訊指出，他們在LockBit 2.0 Onion Dark Web Tor的網頁上，看到鴻海集團可能成為新受害者。而在稍早5月14日，RedPacket Security還揭露另一起事件，是國內中強光電及子公司奧圖碼科技，可能成受害者。</p> <p>以最近鴻海這起事件來看，該組織透過暗網宣稱，已對鴻海位於美墨邊境的工廠進行檔案加密攻擊，該廠坐落於墨西哥提華納（Tijuana）市。對方揚言：若未在當地時間6月11日晚上六點取得贖款，將公布所有取得的資料。</p> <p>而從網路上的公開資訊來看，我們可以約略知道該廠的業務性質。在2009年，鴻海買下Sony位於墨西哥蒂華納（Tijuana）的Baja California廠，當時作為生產液晶電視的工廠，而根據SecurityWeek報導指出，該廠現是當地物料集散及兩國貿易中心</p> <p>對於5月底遭到網路攻擊事件，我們在6月2日取得鴻海的回應。該公司表示，在墨西哥有一個廠區於五月底遭受網路勒索病毒攻擊，集團資安團隊已陸續進行軟體安全更新。</p> <p>關於受到影響的狀況嚴重度，他們表示，本次受攻擊廠區目前正逐漸恢復正常中，預計可由後續產能調整來因應衝擊，因此，對集團的整體營運影響不大。同時，關於此次資安事件的相關資訊，他們也在第一時間，就與員工、客戶、供應鏈夥伴進行溝通說明。</p> <p>回顧過去，這已是鴻海近年第二次傳出勒索軟體攻擊。在2020年12月，鴻海的美洲廠區遭到DoppelPaymer攻擊，駭客揭露了部分非機密文件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/奧圖碼Lockbit 2_0_圖片擷取自RedPacket Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%A7%E5%9C%96%E7%A2%BCLockbit%202_0_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AARedPacket%20Security.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/鴻海Lockbit 2_0_圖片擷取自RedPacket Security.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%B4%BB%E6%B5%B7Lockbit%202_0_%E5%9C%96%E7%89%87%E6%93%B7%E5%8F%96%E8%87%AARedPacket%20Security.jpg" style="width: 295px;" /></a><br /> </p> <h3 class="rtecenter"><span style="color:#0099ff;"><strong>FBI於今年2月針對LockBit 2.0勒索軟體威脅示警，並提供IoC供外界自行比對檢查，並說明緩解措施</strong></span><a href="https://www.ic3.gov/Media/News/2022/220204.pdf">（連結）</a></h3> <p><span style="color:#0099ff;"><strong><a href="https://www.ic3.gov/Media/News/2022/220204.pdf"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_152452.jpg" style="width: 600px;" /></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/lockbit-20">LockBit 2.0</a></div><div class="field-item odd"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A">勒索軟體攻擊</a></div><div class="field-item even"><a href="/tags/2022%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2">2022資安威脅態勢</a></div></div></div>
2022/6/9 16:01作者羅正漢https://www.ithome.com.tw/tech/151368
微軟HoloLens部門傳改組，分別併入Windows及Teams團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當科技產業掀起元宇宙熱潮，最早跨入VR/AR的微軟HoloLens部門卻傳改組。<a href="https://www.geekwire.com/2022/hololens-leader-alex-kipman-to-leave-microsoft-in-reorg-of-mixed-reality-group-after-report-on-toxic-behavior/" target="_blank">Geekwire報導</a>，HoloLens部門將一分為二，分別併入Windows裝置及Teams部門。</p> <p>報導指出，微軟雲端及AI事業群主管Scott Guthrie本周稍早發布內部信件公布此事，將開發HoloLens的混合實境硬體單位依軟、硬體切分，硬體併入由Panos Panay主管的Windows與裝置事業群，而混合實境臨場與協同部門則整合到Jeff Teper的「體驗與裝置」事業群下的Teams部門中。</p> <p>新的改組將從微軟新會計年度開始正式運行。在這次改組中，另一為人矚目的是微軟技術院士，有HoloLens之父的Alex Kipman將離開公司。<a href="https://www.dailymail.co.uk/news/article-10858893/Microsoft-exec-accused-watching-VR-pillow-fight-porn-office-meeting.html" target="_blank">根據報導</a>，Kipman除了不合群難以合作外，還涉及公司多起性騷擾事件，5月間他在女性員工面前以VR裝置觀看不當影片成為他去職的導火線。</p> <p>這次改組也定調未來HoloLens發展策略。HoloLens雖然一開始主打消費應用，但第2代起逐漸調整為企業應用，包括發展醫療手術、製造維修、教學等。去年初微軟發表Microsoft Azure上的混合實境（Mixed Reality，MR）平臺Microsoft Mesh，讓用戶可透過VR/MR頭戴式裝置或一般視訊執行混合實境的虛擬會議、遠端協助、學習或聚會等應用。下半年微軟又公布Mesh for Teams，實現VR/AR為基礎的團隊協同應用。<a href="https://www.zdnet.com/article/hololens-chief-kipman-is-out-so-whats-next-for-microsofts-metaverse-strategy/" target="_blank">ZDnet分析</a>這也說明了何以HoloLens會被併入Teams團隊。Guthrie說明，透過整合Teams及HoloLens，將能強化推動微軟元宇宙協同願景。</p> <p>除了公布新人事外，Guthrie也說明HoloLens目前主要成果，包括<a href="https://www.ithome.com.tw/news/127380" target="_blank">2018年</a>及<a href="https://www.ithome.com.tw/news/143585" target="_blank">2021年</a>美國國防部採購10萬臺微軟HoloLens發展作為軍事訓練用的整合視覺擴增系統（Integrated Visual Augmentation System，IVAS）合約，已經進入操作測試階段。此外微軟和Accenture合作在世界經濟論壇提供HoloLens 讓與會者在元宇宙共商重要議題。</p> </div></div></div>
2022/6/9 14:54作者林妍溱https://www.ithome.com.tw/news/151356
AI周報第191期：如何加速技術落地？Meta重整組織把AI研發納入產品部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0527～0602)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 組織重整 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 去中心化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta AI大風吹，重整組織要讓新技術更快落地</strong></span></p> <p>Meta旗下AI研究院大風吹，Meta CTO Andrew Bosworth指出，採用集中化的作業方式，只會讓下游任務團隊更難實現目標。因此，為進一步將組織結構去中心化、快速擴展新AI技術，Meta把AI研究院內部的團隊，如AI平臺、AI產品、AI4AR等團隊，重新分配到Meta的產品部門，來把AI技術落實到產品上。而這些原本負責技術研發的團隊，會改名為AI創新中心。</p> <p>更細緻的組織調整，包括將AI技術研究團隊FAIR整合至元宇宙部門的現實實驗室，重新定調為基礎AI研究，而AI產品團隊，則會整合至產品工程團隊，至於AI4AR團隊，則納入現實實驗室的XR團隊。最後，Meta還會成立一個跨職能的AI團隊，來評估整個公司的AI進展。<a href="https://ai.facebook.com/blog/building-with-ai-across-all-of-meta/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Codeball </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Pull Request </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新AI</strong></span><strong style="font-size: 22px;">審查工具自動核准GitHub PR，誤報率不到1%</strong></p> <p>最近GitHub上出現一款新工具Codeball，可自動核准GitHub上的開源專案修改請求（Pull Request），而且誤報率不到1%。PR是指，當有人想貢獻一己之力、修改開源專案時，發送給原作者的請求通知，作者得人工看過、同意才行。</p> <p>為自動化這個過程，幾位開發者開發了Codeball核准工具。該工具採用了一套深度學習模型，經百萬個公開和私人貢獻訓練而成。在模型的輸入層中，模型採納數百個輸入值，並有2層隱藏層，最後有個輸出層來評估RP核准的機率。每個PR雖有數百個特徵，但可歸類為基本值、衍生值和類別變數等3大類。其中，基本值是指PR的詮釋資料，像是可能新增或移除的行數，而衍生值是指PR相關的數據，如檔案最近更新的天數。類別變數則是指，PR衍生而來的分類，像是檔案型別的分類。</p> <p>後來，開發者用非訓練資料來測試Codeball，發現準確率高達99%以上。也有開發者在<a href="https://news.ycombinator.com/item?id=31533180">Ycombinator論壇上表示</a>，Codeball準確率為99%、召回率25%，有些開發者認為這是個好工具，但也有人擔心它會影響程式碼審查的文化，把不好的程式碼帶入程式碼庫中。<a href="https://codeball.ai/">（詳全文）</a></p> <p><img alt="" src="https://www.marktechpost.com/wp-content/uploads/2022/06/Screen-Shot-2022-06-03-at-9.25.04-AM-1024x696.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>比DALL-E 2更逼真！Google揭露最新文生圖AI系統</strong></span></p> <p>Google Brain發表最新文生圖AI系統Imagen，可根據使用者的文字輸入，產出寫實的圖像，比如在撒哈拉沙漠、戴著草帽和霓虹太陽眼鏡的小仙人掌。與其他主流圖像生成演算法相比，如VQ-GAN、LDM和DALL-E 2等，受試者皆認為Imagen產生的圖像更真實，也更符合輸入的文字描述。</p> <p>Imagen以大型Transformer語言模型為基礎，因為，研究員發現，用純文字語料庫預訓練過的通用大型語言模型，在圖像合成的文字編碼上表現非常好。也就是說，增加Imagen中語言模型的大小，就可提高樣本真實度和圖像文字描述的一致性，比單純增加文生圖的擴散模型大小還有效。就效能來說，Imagen雖沒利用COCO資料集來訓練，但獲得了目前最低的7.27 FID分數（越低越好）。不過，Google暫不對外開放Imagen。<a href="https://imagen.research.google/">（詳全文）</a></p> <p><img alt="" src="https://imagen.research.google/main_gallery_images/cactus.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TensorFlow </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> oneDNN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Keras </span></strong></span></p> <p><span style="font-size:22px;"><strong>TensorFlow 2.9版釋出，主打oneDNN函式庫強化</strong></span></p> <p>機器學習開源平臺TensorFlow 2.8版釋出才短短三個月，5月下旬就又釋出2.9版，主打函式庫oneDNN的強化、新DTensor API，以及Keras優化器API的新實驗版本。進一步來說，oneDNN是用來改善英特爾CPU效能的函式庫，在TensorFlow 2.5版時首次出現，並陸續優化。在最新的2.9版中，oneDNN優化會在Linux x86上預設為開啟，遇到具神經網路硬體功能的CPU，也會預設開啟。</p> <p>至於DTensor，則是一款用於分散式模型處理的新TensorFlow API，可讓模型無縫從資料平行化遷移到單程式多資料（SPMD）的模型平行化。該API的特點是與裝置無關，使用者可在CPI、GPU或TPU上使用相同的模型程式碼。此外，DTensor也允許多使用者執行。最後，2.9版還釋出一個新的Keras優化器API，可讓開發者更容易客製化和擴充優化器。<a href="https://blog.tensorflow.org/2022/05/whats-new-in-tensorflow-29.html">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料工程 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 徵才 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line臺灣Data Dev團隊徵2類資料工程好手</strong></span></p> <p>Line臺灣日前在<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">徵才日</a>中，揭露多項服務發展藍圖和AI職缺，以主力開發內部AI應用和服務維運的Data Dev團隊來說，他們將團隊成員分為4類，包括資料科學家、ML工程師、資料工程師，以及CLOVA產品工程師。其中，資料科學家負責資料驅動決策，比如，廣告團隊發現分眾模型標籤不準，資料科學家就要找出問題，像是團隊過去可能使用其他區域的標籤，套用到臺灣區域。</p> <p>此時，就需要ML工程師來找尋新的訓練資料，或是開發新演算法來訓練新模型。如果資料量大，就需要資料工程師，來進行資料處理的流程優化。訓練完分眾模型後，資料科學家還得制定模型成功通過的標準，並設定AB測試。如果需要模型定期更新，就需要資料工程師來制定定期的優化策略，也就是MLOps相關工作。最後，如果要做客製化應用系統，就需要CLOVA產品工程師，來協助進行系統開發。這次，Line臺灣要尋找的是，有經驗的ML工程師和CLOVA產品工程師，來挖掘更多資料價值。<a href="https://engineering.linecorp.com/zh-hant/blog/line-dev-recruitment-day-2022/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_41_49%20PM(1).png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GRIT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電腦視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI2釋出專門評估電腦視覺模型的基準測試GRIT</strong></span></p> <p>基準測試（Benchmark）是用來衡量AI模型的重要工具，可提供量化結果，來比較不同模型的表現。最近，知名AI研究機構AI2發表一款更強健的電腦視覺基準測試GRIT，能以7項任務，來完整評估電腦視覺模型的能力。</p> <p>這7項任務包括物件分類、物件定位、參考表達基礎、視覺問答、分割、人體關鍵點偵測和表面法向量估算。GRIT可用來評估3個面向，包括通用視覺模型、強健專業模型和高效學習。另外，GRIT也提供受限與不受限制的類別，在受限制的測試中，GRIT將訓練資料限制在一組特定但豐富的資料源中，使模型研究聚焦在更科學的比較上，來鼓勵研究人員開發有效的學習方法，而非追求大量訓練資料的大模型範式。<a href="https://allenai.org/project/grit/home">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-09%20at%201_49_11%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deepfake </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Colab </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepFaceLab </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google AI服務禁止了Deepfake的影片訓練</strong></span></p> <p>據外媒報導指出，Google提供AI模型訓練的服務Colab禁止使用者用來製作Deepfake影片。進一步來說，Deepfake影片製作網站DeepFaceLab用戶發現，在Colab上執行DeepFaceLab程式時，會觸發警告，告知用戶執行不被允許的程式碼，並可能限縮用戶未來使用Colab的權限。不過，其他較小的Deepfake網站用戶，則尚未接獲類似警告。<a href="https://www.bleepingcomputer.com/news/google/google-quietly-bans-deepfake-training-projects-on-colab/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta聯手微軟，要繼續擴大Azure AI專案</strong></span></p> <p>微軟在自家Build 2022大會上，與Meta聯合宣布，將繼續擴大Azure雲端部署AI應用。這是雙方繼去年聯手後，又一次擴大應用，Meta今年將繼續讓AI部門使用專屬Azure叢集，來執行大規模AI研究任務。這個叢集採用了NDm A100 v4 系列虛擬機器，執行5400顆Nvidia A100 Tensor Core 80GB GPU，每個VM之間GPU對GPU頻寬，號稱是其他公有雲業者的4倍，可用於分散式AI訓練。</p> <p>不只給自家AI團隊使用，Meta也將擴大PyTorch on Azure服務，為PyTorch用戶提供NDv4及InfiniBand硬體及完整軟體堆疊。未來幾個月內，微軟也將打造新的PyTorch開發加速器，讓用戶更容易在Azure上部署PyTorch框架。<a href="https://azure.microsoft.com/en-us/blog/meta-selects-azure-as-strategic-cloud-provider-to-advance-ai-innovation-and-deepen-pytorch-collaboration/">（詳全文）</a></p> <p>圖片來源／Codeball、Google Brain、AI2、Line臺灣</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 專家呼籲國際社會應該創立AI專利制度</strong></p> <p><strong>2. AI開源公司Hugging Face也新添Endpoints on Azure服務</strong></p> <p><strong>3. 特斯拉AI日延期至9月，馬斯克推文暗示人形機器人將出場</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/9 15:01作者王若樸https://www.ithome.com.tw/news/151357
微軟刪去美國員工的競業禁止條款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/06/08/microsoft-announces-four-new-employee-workforce-initiatives/" target="_blank">微軟周三（6/8）公布了4項新的員工勞動力計畫</a>，期許可強化與員工之間的關係並改善職場文件，包括賦予員工流動性，營造安全的工作空間，提高薪酬的透明度，也會展開民權審計以促進員工的多元化，當中最受矚目的就是微軟將刪去美國員工的競業禁止條款，且即日起生效。</p> <p>負責微軟人力資源的企業副總裁Amy Pannoni表示，微軟相信所有的員工都應該在自己喜愛的公司與工作崗位上任職，微軟努力留住全球一流的人力並建立吸引這些人才的企業文化，儘管現有的員工都簽署了競業禁止條款，但微軟並不喜歡利用這些條款來留住人才，由於執行次數不多，再加上有些人才對相關條款有所疑慮，使得微軟決定要移除美國員工協議中的競業禁止條款，也不會在美國強制執行現有的競業禁止條款，且即日起生效。</p> <p>不過，此一在美國取消競業禁止條款的規定，並不適用於微軟大多數的高階主管，包括Partners與Executives級別。</p> <p>取消競業禁止條款代表微軟的美國員工離職後可自由到其它企業上班，就算對方是微軟的競爭對手。儘管如此，微軟仍然不忘了強調，所有員工依然必須遵守該公司的商業準則或其它責任，以保護微軟的機密資訊。</p> <p>另一項值得關注的是，微軟也宣布在美國與員工的和解及離職協議中，不會再含有禁止員工披露他們所認為的非法歧視、騷擾、報復、性侵犯或違反工資與工時等事項的保密文字。</p> <p>此外，為了保障同工同酬，幾年前微軟就不再向求職者詢問他們過去的薪水，本周微軟也進一步宣布，最慢自明年1月開始，就會公開揭露微軟在美國市場的內部與外部職缺的薪資範圍。</p> </div></div></div>
2022/6/9 15:03作者陳曉莉https://www.ithome.com.tw/news/151358
美國公布中國駭客攻擊電信業者所開採的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（NSA）、網路安全及基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）與聯邦調查局（FBI），<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-158a" target="_blank">在本周發布名為《中國駭客攻擊網路供應商與裝置》（People’s Republic of China State-Sponsored Cyber Actors Exploit Network Providers and Devices）的網路安全通報（Cybersecurity Advisory，CSA）</a>，揭露由中國政府支持的駭客利用哪些已知的漏洞，企圖攻擊電信業者與網路服務供應商。</p> <p>通報中指出，中國駭客經常利用安全漏洞來危害尚未修補的網路裝置，像是路由器或NAS裝置，再將它們作為額外的存取點以引導命令暨控制流量，並充當執行其它網路入侵的中繼站，這些網路裝置過去幾年來所出現的重大漏洞讓駭客有機可趁，此外，這些網路裝置也經常受到防禦者的忽視，忘了定期更新相關的漏洞。</p> <p>NSA、CISA與FBI也發現，由中國政府支持的駭客從2020年以來就大規模地開採已知漏洞，由於鎖定的是已知漏洞，從坊間就可找到攻擊程式，不必使用可能會被辨識出的獨特工具，這些駭客也利用多種手法來混淆視聽以避免被追蹤，再利用所危害或租賃的伺服器，來代管命令暨控制伺服器或與受害者的網路互動。</p> <p>上述的美國機構並未揭露遭到中國駭客鎖定的業者名單，僅公布了駭客為了攻擊這些電信業者或網路服務供應商所開採的已知漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E6%9C%80%E5%B8%B8%E9%96%8B%E6%8E%A1%E7%9A%84%E7%B6%B2%E8%B7%AF%E8%A8%AD%E5%82%99%E6%BC%8F%E6%B4%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%BE%8E%E5%9C%8B%E5%9C%8B%E9%98%B2%E9%83%A8.png" style="width: 539px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國國安局</span></span></p> <p>這些漏洞現身的時間從2018年到2021年不等，顯示其實最基本的修補工作就能預防駭客入侵，它們涵蓋位於思科設備上的CVE-2018-0171、CVE-2019-15271與CVE-2019-1652；位於QNAP設備上的CVE-2019-7192、CVE-2019-7193、CVE-2019-7194與CVE-2019-7195；Pulse設備上的CVE-2019-11510與CVE-2021-22893漏洞；以及Citrix的CVE-2019-19781；DrayTek的CVE-2020-8515；D-Link的CVE-2019-16920；Fortinet的CVE-2018-13382；MikroTik的CVE-2018-14847；Netgear的CVE-2017-6862，以及Zyxel的CVE-2020-29583。</p> <p>針對這些已知漏洞的攻擊行動，最簡單的防禦之道就是盤點企業或組織仍連網的所有裝置，以及即時修補這些裝置上的安全漏洞。</p> </div></div></div>
2022/6/9 15:14作者陳曉莉https://www.ithome.com.tw/news/151359
繼IBM之後，微軟也將大幅縮減俄羅斯營運，波及逾400名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151330" target="_blank">就在IBM宣布全面撤出俄羅斯市場之後</a>，微軟也回應了<a href="https://www.bloomberg.com/news/articles/2022-06-08/microsoft-slashes-russia-operations-after-war-clouds-outlook" target="_blank">《彭博社》（Bloomberg）</a>的詢問，表示正在大幅縮編俄羅斯的業務，估計至少有400名員工會受到影響。</p> <p>微軟向《彭博社》表示，隨著景氣的變化再加上微軟在俄羅斯業務所受到的影響，微軟已決定大幅縮減俄羅斯的營運。</p> <p>其實<a href="https://blogs.microsoft.com/on-the-issues/2022/03/04/microsoft-suspends-russia-sales-ukraine-conflict/" target="_blank">微軟早在3月4日便宣布</a>不再於俄羅斯提供新產品與服務的銷售，這次微軟的回應只是重申當時的立場，並表示將會持續履行與當地客戶的既有合約。</p> <p>不過，在停售3個月之後，微軟雖未像IBM一樣公開宣布將解散當地員工，但向《彭博社》坦承當地將會有超過400名員工受到影響，強調會協助受到波及的員工渡過此一艱難的時期。</p> <p>在俄烏戰爭剛爆發之際，包括IBM、微軟、蘋果與Amazon等業者雖然暫停了當地的服務，但並未解散當地員工，而是持續支付員工薪水，只是當戰爭在3個月後不見緩和，再加上全球經濟的不確定性，而讓業者採取進一步的措施。除了科技業者之外，知名的連鎖速食業者麥當勞也在停業兩個月之後，於5月宣布撤出俄羅斯市場；麥當勞進入俄羅斯市場達30年，在當地的門市有850家。</p> </div></div></div>
2022/6/9 12:36作者陳曉莉https://www.ithome.com.tw/news/151353
Windows又有新零時差漏洞DogWalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151211" target="_blank">微軟5月底爆發編號CVE-2022-30190</a>的微軟支援診斷工具（Microsoft Support Diagnostic Tool，MSDT）遠端程式碼執行漏洞（又名Follina），本周又有其他研究人員揭露和MSDT有關的新漏洞，而且也同樣還沒有修補程式。</p> <p>這項漏洞尚無編號，但被研究人員暱稱為DogWalk。<a href="https://irsl.medium.com/the-trouble-with-microsofts-troubleshooters-6e32fc80b8bd" target="_blank">這項漏洞早在2020年1月就有研究人員Imre Rad討論過</a>。在2年多之後，<a href="https://twitter.com/j00sean/status/1533889445027536899" target="_blank">上周代號j00sean的研究人員再度提起這項漏洞</a>，說明是不同於Follina的MSDT漏洞。</p> <p class="rtecenter"><a href="http://twitter.com/j00sean/status/1533889445027536899" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-windows-MSDT-%E6%BC%8F%E6%B4%9E-600.png" style="width: 600px;" /></a></p> <p>Rad指出，它是一項路徑/目錄穿越（Path Traversal）漏洞，允許攻擊者將任何檔案，存在檔案系統任何地方，而且不會被檢查到。DogWalk漏洞開採可利用郵件傳送或連結誘使用戶從網路上下載惡意diagcab檔，這是一個Cabinet（CAB）檔案，包含診斷設定檔，可為實作MSDT的疑難排解工具（Troubleshooter）執行。研究人員提供的一個技巧是將檔案儲存在Windows「啟動」資料夾，等用戶下次登入時執行。</p> <p>據微軟說法，Outlook及IE會封鎖.diagcab檔下載。研究人員測試，Gmail、微軟的Outlook Live或Mozilla Thunderbird。此外，Google Chrome、Firefox，甚至Microsoft Edge都未能封鎖這類檔案。研究人員還警告，在特定環境如公共Wi-Fi網路下，攻擊者可能利用中間人攻擊（man-in-the-middle），將用戶導向惡意網站。</p> <p>研究人員2年多前曾向微軟通報，並且展示以共享連結可從WebDAV伺服器下載Diagcab檔案的PoC。不過一如Follina，微軟也認為不是安全問題。微軟的解釋是，有許多檔案類型可藉此執行程式碼，但它並非「可執行檔」，且攻擊發生需要用戶主動執行.diagcab檔，不過Outlook已經能封鎖來自網際網路或其他地方的多種檔案，包括.diagcab。微軟指出會設法強化防護以避免用戶執行程式，但研究人員所提的問題並不是漏洞。</p> <p>不管是不是一項「漏洞」，<a href="https://blog.0patch.com/2022/06/microsoft-diagnostic-tools-dogwalk.html" target="_blank">安全廠商0Patch創辦人Mitja Kolsek說明</a>，Dogwalk危險之一在於，執行惡意程式的過程完全沒有任何警告顯示。</p> <p>這個問題影響的Windows 版本包括Windows 7、Server 2008以後的產品，包括最新的Windows 11和Server 2022。</p> <p>0Patch目前已免費提供針對多種Windows版本的暫時修補程式，<a href="https://central.0patch.com/" target="_blank">用戶必須註冊才能下載</a>。</p> </div></div></div>
2022/6/9 12:47作者林妍溱https://www.ithome.com.tw/news/151354
網路攻擊迫使義大利小城關閉所有市府網路服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>義大利南部小城上周因遭網路攻擊，迫使該市關閉所有市府網路服務以防止災情擴散。</p> <p><a href="https://www.cybersecurity360.it/nuove-minacce/comune-di-palermo-sotto-attacco-servizi-indisponibili-situazione-seria/" target="_blank">義大利媒體報導</a>，西西里島的巴勒摩（Palermo）市上周末（6/2）遭到網路攻擊，導致代管市府公眾服務、市內監控攝影機及警局網路運作中心的伺服器運作停擺，進而影響多項公共服務，包括知名景點、博物館或運動場的售票或預約、交通票券及民眾的文書往來等。</p> <p>巴勒摩市的創新長表示，該市已預防性將市府伺服器關閉，並拔除網路，也表示可能要好一陣子才能恢復服務。</p> <p>義大利日前接獲親俄駭客組織Killnet威脅。不過Killnet慣用DDoS手法。但從巴勒摩市的回應措施，媒體推斷應該是勒索軟體所為。不過到目前沒有團體出面承認。</p> <p>勒索軟體攻擊引發市政停擺已不是新鮮事。中美洲國家<a href="https://www.ithome.com.tw/news/150993" target="_blank">哥斯大黎加4月中遭Conti軟體攻擊勒索2千萬美元</a>，已有20多個政府部門包括財務部、稅務及海關系統感染及停止服務，<a href="https://www.ithome.com.tw/news/151268" target="_blank">上周該國還被新的Hive勒索軟體攻擊</a>。</p> </div></div></div>
2022/6/9 12:58作者林妍溱https://www.ithome.com.tw/news/151355
谷歌推Chrome Enterprise安全生態系，開放第三方安全整合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_googletui_dong_chrome_enterprisean_quan_sheng_tai_xi_960_tu_pian_lai_yuan_google.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動Chrome OS裝置於企業環境的應用，2017年Google推出Chrome Enterprise服務，歷經5年發展，他們<a href="https://cloud.google.com/blog/products/chrome-enterprise/extending-chrome-enterprise-through-new-security-partner-integration">新推出Chrome Enterprise安全連接器框架</a>，期望建構安全生態系，並要實現從第三方安全整合，到操作系統、硬體、晶片的安全防護。</p> <p>要避免線上用戶遭受網路攻擊，Google近年持續發展安全瀏覽（Safe Browsing）技術，提升Chrome OS與Chrome瀏覽器的安全。ChromeOS部門副總裁John Solomon指出，防範線上威脅不僅需要保護端點或瀏覽器，還需要保護整個運算堆疊，因此，從晶片到雲端的安全性都將涵蓋進來。畢竟，我們永遠不知道下一個威脅來自何方，但做好準備，將是最好的因應計畫。</p> <p>為了實現這一目標，John Solomon表示，Google將採取新的方法，來因應潛在的安全威脅，主要涵蓋三大層面：（一）整合合作夥伴安全防護，（二）在Chrome OS中採取新的資料控制方法以保護資料，（三）採用新的硬體安全功能來保護企業。</p> <h3><strong>可介接第三方廠商的安全防護，目前有8家業者加入</strong></h3> <p>首先是外部安全防護的整合，Google推出Chrome Enterprise Connector Framework，這個安全連接器框架將可介接第三方廠商的安全防護。</p> <p>這不僅將為用戶與端點提供更好的保護，並為企業IT提供更多報告安全事件的工具。Google強調，他們正幫助組織更易朝向網路安全零信任模式邁進。</p> <p>目前此框架將整合8家業者安全產品，包括三個面向：身分與存取安全、終端裝置管理，以及安全分析與報表。</p> <p>以身分存取安全而言，合作廠商有2家，分別是Netskope與Okta。以後者為例，他們提供的Identity Engine政策，現在已經能夠支援ChromeOS，提供IT控管員工裝置登入驗證。</p> <p>以終端裝置管理而言，合作廠商有3家，分別是BlackBerry、Samsung與VMware。具體而言，BlackBerry UEM、Samsung Knox等解決方案將支援ChromeOS，可協助IT人員從單一介面管理企業所有的裝置，另一款這類型解決方案VMware的Workspace ONE，很快也將整合新的Chrome Policy API，預計接下來就能透過信賴測試方案（Trusted Tester Program）提供給企業應用。</p> <p>以安全分析及報表而言，合作夥伴同樣有3家，分別是Splunk、Palo Alto Networks與Crowdstrike。簡單而言，Google瀏覽器報告提供了對於安全事件提供了額外的可見性，目前Splunk Cloud Platform整合進度最快，可供IT人員掌握用戶透過Chrome瀏覽器存取不安全網站、下載惡意程式、重設密碼等行為，其他兩家業者的產品也將整合這方面的資訊於安全分析及報表。</p> <p>與外部防護進行整合之餘，Google對於資料安全方面的強化，推出了新的Chrome OS資料控制，讓IT部門可定義Chrome OS裝置的資料存取規則，包括複製與貼上、螢幕擷取、列印及其他行為，以防止資料外洩。</p> <p>最後，是最新硬體安全功能方面，簡單來說，Google的硬體安全功能將與Intel vPro Enterprise晶片結合，提供ChromeOS電腦磁碟加密Key Locker，以及全記憶體加密，防止資料外洩。目前市面上已出現結合兩者的Chromebook機種，HP的Elite Dragonfly Chromebook拔得頭籌。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Chrome Enterprise Connectors_圖片來源擷取自Google Enterprise Day.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome%20Enterprise%20Connectors_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAGoogle%20Enterprise%20Day.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Chrome Enterprise 2022_圖片來源Google.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome%20Enterprise%202022_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於Chrome Enterprise的威脅防護，Google表示，他們先前已經透過Safe Browsing技術，來提升Chrome OS與Chrome瀏覽器的安全，而過去ChromeOS裝置也從未遭勒索軟體或病毒成功攻擊，但面對未來不知來自何處的潛在威脅，他們認為，還需要將更多層面涵蓋近來，不只開放整合第三方安全產品，並在作業系統層增加更細緻的資料控制能力，同時也要結合硬體與晶片安全。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-09_110600.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_110600.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-06-09_111654.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_111654.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-06-09_111725.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-09_111725.jpg" style="width: 295px;" /></a></p> <blockquote><p>在Chrome Enterprise Demo日中，Google特別示範了Splunk與<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">Chrome Enterprise整合的效果。</span></p> </blockquote> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chrome-enterprise">Chrome Enterprise</a></div><div class="field-item odd"><a href="/tags/chrome-enterprise-connector-framework">Chrome Enterprise Connector Framework</a></div><div class="field-item even"><a href="/tags/google%E3%84%9D">Googleㄝ</a></div></div></div>
2022/6/9 11:21作者羅正漢https://www.ithome.com.tw/tech/151352
Amazon老將Dave Clark準備接任供應鏈軟體Flexport執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在Amazon於日前宣布，<a href="https://www.ithome.com.tw/news/151289" target="_blank">於該公司任職23年的全球消費者業務執行長Dave Clark即將於7月1日離職之後</a>，美國貨運代理及報關服務軟體業者F<a href="https://twitter.com/typesfast/status/1534537016506867714" target="_blank">lexport執行長Ryan Petersen即透過Twitter宣</a>布，Clark將在今年9月1日成為該公司的執行長。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Dave_Clark_CEO__Flexport.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Flexport</span></p> <p>2013年成立的Flexport主要開發同名的供應鏈管理平臺，以簡化全球貿易的供應鏈連結，從生產、出/入口、報關、運送、物流到政府機關的流程等，號稱可連結全球貿易的整個生態體系，將成為現代商業的新一代關鍵平臺，目前有超過500名員工，於全球112個國家提供空運、海運與陸運服務，去年的營收為33億美元，預計今年可接近50億美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-flexport-6.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Flexport</span></span></p> <p>擔任Flexport執行長的Petersen也是Flexport的創辦人，現年41歲，他說當他面試Clark時，Clark說要讓Flexport在5年內成為全球最好的供應鏈公司，他們將一起併肩實現這個願景。</p> <p>Clark預計於今年9月1日正式就職，與Petersen共同擔任Flexport執行長，在6個月之後成為Flexport的唯一執行長，Petersen則將退居執行主席一職。</p> <p>Petersen說，Clark在Amazon累積的交付、物流與運輸經驗，讓他成為Flexport執行長的不二人選。對於可以邀請到Clark，Petersen似乎感到很興奮，洋洋灑灑地在Twitter上寫了一長串。</p> <p><a href="https://twitter.com/davehclark/status/1534539962867036161" target="_blank">至於現年49歲的Clark也於自己的Twitter上回應了此事</a>，表示Flexport對他來說太有趣了，因而無法抗拒，期待與該團隊共同打造未來。</p> </div></div></div>
2022/6/9 10:47作者陳曉莉https://www.ithome.com.tw/news/151351
Cloud周報第146期：三大公雲巨頭到齊！亞馬遜AWS最新一座Local Zone本地雲機房將落地臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/02～06/08）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Local Zone </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">本地雲 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>亞馬遜AWS本地雲即將登臺，瞄準低延遲服務應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(1)(1).png" style="width: 600px; height: 289px;" /></p> <p>繼GCP、Azure公雲來臺之後，亞馬遜AWS近日宣布將落地臺灣推出本地區域（AWS Local Zone）公雲服務，儘管規模不如大型AWS Region，提供公雲服務也有限，但已跨出AWS在臺雲端投資布局一大步。隨著AWS的加入戰局，也意謂著，三大公雲都相繼落地，搶攻臺灣雲端市場商機。對於本地企業來說，未來將有更多選擇，來滿足低延遲存取或資料落地的需求。</p> <p>AWS這次來臺設立的Local Zone區域，也是全球第32朵AWS本地雲，不同於常見的AWS服務是以地理區域（Region）與可用區域（AvailableZone）為中心來建置，Local Zone指的是放在城市的本地雲，可提供EC2運算服務、VPC虛擬網路服務、EBS區塊儲存等多種AWS服務。在Local Zone與Region彼此之間，則以高頻寬連接，用戶可利用API使用全套AWS服務。</p> <p>透過採用混合雲新架構，也為北醫大教學或行政相關系統運作獲得不少改善，以人資系統為例，過去系統需30微秒才能反應，現在縮短為原本的三分之一，又如招生報名系統與加退選系統等，從而提高系統運作效率，也提高流量尖峰時期的服務品質及減少後臺管理人員負荷。</p> <p>AWS表示，新建立的Local Zone區域，將擴充AWS在臺灣的雲端基礎設施，包括提供更快速CDN服務Amazon CloudFront，還有提供專用的高速、低延遲連線的AWS Direct Connect連線服務，以及整櫃式主機AWS Outposts服務等。</p> <p>儘管，AWS在臺灣沒有提供可用區域，AWS表示，企業用戶未來能夠在Local Zone的資料中心執行應用並無縫連結到大型AWS Region，使用其熟悉的AWS API及工具來進行跨Local Zone與Region的混合部署。</p> <p>不過，AWS目前並未揭露臺灣Local Zone區域的設置地點，將落腳臺灣哪座城市或都會區，只提到本地雲機房將於數月內完工。從其他兩家公雲業者設置來看，Google雲端資料中心是設在彰化、臺南兩地，至於今年將啟用的微軟Azure雲端資料中心則建在桃園地區。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 訂閱授權 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>博通：未來VMware軟體銷售模式將全面轉向訂閱服務合約模式</strong></span></p> <p>博通前陣子以610億美元天價收購VMware，引起IT圈很大關注，尤其VMware是目前主要虛擬化、私有雲技術提供者，更與各大公雲巨頭結盟提供跨雲服務。所以外界也十分好奇，博通買下VMware後，將會如何影響VMware未來產品布局與發展。</p> <p>在最近一場財報電話會議上，博通軟體事業群總裁Tom Krause表示，完成併購後，幾年內將針對VMware軟體銷售模式做出改變，從過去永久授權，全面轉向以訂閱授權為主的服務合約模式，藉此推動公司營收增長。</p> <p>原本VMware軟體授權就有提供永久產品授權和訂閱授權，讓企業用戶可以選擇訂閱模式使用VMware軟體，或是支付永久性授權費用。隨著近年來軟體訂閱模式的盛行，VMware也轉向訂閱服務策略。其實就目前VMware套裝產品而言，大多已經走向訂閱授權或提供訂閱合約的選項，比如，去年VMware已將VMware Horizon產品由永久授權轉為訂閱授權版本。不過，未來全面走向訂閱制之前，仍需歷經一段新舊客戶合約轉換的過渡期。</p> <p>在管理上，Dev Box也與雲端PC管理相近，利用Windows 365來與Intune和Endpoint Manager端點管理工具整合，確保統一管理、安全性和合規性。此外，IT管理者也能在Azure Active Directory中設定管理、登錄權限，建立自己用戶存取策略。</p> <p>除了銷售服務模式的改變，Tom Krause表示，未來將持續投資和發展VMware主力產品創新，如vSphere、VSAN、vRealize 和NSX等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Xcode Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果開發者 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>蘋果推出雲端CI/CD開發平臺Xcode Cloud，可供Apple開發者在雲端建置和測試應用程式</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(5).png" style="width: 600px; height: 305px;" /></p> <p>經過一年beta測試，在6日舉行的WWDC 2022蘋果開發者大會上，Apple宣布Xcode Cloud服務已全面推出，可供所有Apple開發者使用。Xcode Cloud是內建於Xcode工具中的新服務，讓Apple開發者可以在雲端建置和測試應用程式，透過持續整合和持續交付，來縮短應用開發周期，加快產品上市</p> <p>每天經手超過6千架次航班的美國航空，是美國規模最大航空公司，每天要載送旅客前往全球56個國家及地區一共350個目的地，疫情期間，美國航空也展開數位轉型之旅，將雲端作為轉型的主要關鍵技術。</p> <p>目前在13.4.1與14.0 beta版Xcode中，已可使用Xcode Cloud完整功能。而通過App Store Connect的Web儀表板，能顯示Xcode Cloud上的測試資訊，也可直接從Web頁面編輯工作流程並展開App建置，Xcode Cloud也可與TestFlight工具一起使用，可供開發團隊進行測試版測試。</p> <p>Apple表示，透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理。Apple預計今夏開始提供Xcode Cloud訂閱方案，根據使用運算時數來計價，每月25小時收費約14.99 美元起。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反壟斷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">第三方雲端平臺 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟決定調降第三方雲端平臺使用Windows、Office產品的費用以免於反壟斷裁罰，但排除AWS、GCP</strong></span></p> <p>為了避免歐盟祭出反壟斷裁罰，微軟近日決定調降第三方雲端平臺上執行Windows、Office軟體的費用，但排除該公司主要競爭對手AWS、Google Cloud。</p> <p>由於近來微軟在歐洲雲端業務推展，屢屢受到當地雲端業者控訴有反壟斷之嫌，也讓歐盟啟動調查。為回應這些控訴，微軟近日表示願意放鬆某些和雲端業者的合約條款，以免於歐盟制裁。但微軟隨後也澄清，政策調整並不適用於微軟最大競爭對手，因為新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」，意謂著，新合約適用對象僅限AWS和GCP以外的業者。</p> <p>不過，微軟並未說明調整細節，也不願透露調整後的政策何時生效。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 烏克蘭戰爭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>IBM宣布全面撤出俄羅斯市場，將結束在俄國所有業務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap14.png" style="width: 600px; height: 339px;" /></p> <p>隨著烏克蘭戰事持續延長超過百日，IBM執行長Arvind Krishna於6日對全體員工發出公開信指出，經過幾個月評估，考量到各種不確性風險，公司決定全面撤出俄羅斯市場，未來將循序漸進的結束在俄羅斯的所有業務，包括雲端業務等。</p> <p>今年3月初烏克蘭戰爭開打，就有不少大型公雲業者加入抵制，除了AWS、GCP之外，IBM也是其中一家，暫停了在俄羅斯業務，以回應對於俄羅斯的抵制。後來因為凍結俄羅斯業務的決定，導致其在2022年第一季營收損失約3億美元。</p> <p>未來全面撤出俄羅斯市場後，IBM在當地的辦事處也將解散，不再銷售IBM技術及雲端產品。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端大數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 無伺服器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> </strong></p> <p><span style="font-size: 22px;"><strong>AWS無伺服器版的雲端大數據平臺服務Amazon EMR正式推出</strong></span></p> <p>去年AWS re:Invent大會上，AWS推出三種無伺服器版的數據分析服務Amazon Redshi 、Amazon EMR以及Amazon MSK，其中無伺服器版的雲端大數據平臺Amazon EMR近日終於正式推出，不再只有預覽版本能用。AWS表示，透過無伺服器的部署方式，企業用戶現在可以通過Amazon EMR更容易使用Apache Spark和Hive等開源框架執行大數據分析應用，過程中不需要任何配置、管理，也能根據需求自動向上和向下擴展資源，透過增加運算叢集或伺服器資源，幫助其進行大數據分析應用。</p> <p><strong>圖片來源／AWS、Apple</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.IBM收購美國網路安全新創Randori，將與自家Security QRadar整合增強混合雲安全防護及偵測能力</strong></strong></p> <p><strong><strong>2.VMware公布第一季營收，訂閱與SaaS業務占總營收3成，達8.99億美元</strong></strong></p> <p><strong><strong>3.搶雲端人才祭誘因！微軟、AWS公開向不想回公司上班的特斯拉員工招手</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年6月</strong></strong></p> </div></div></div>
2022/6/9 11:07作者余至浩https://www.ithome.com.tw/news/151350
中國駭客組織散布WinDealer惡意軟體有新手法，已具旁觀者攻擊手法能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據近日<a href="https://www.kaspersky.com/about/press-releases/2022_kaspersky-windealer-malware-shows-extremely-sophisticated-network-abilities">卡巴斯基（kaspersky）揭露</a>，中國駭客組織採用新手法散布WinDealer惡意程式，是利用旁觀者攻擊手法，將原本的應用程式更新請求，替換為安裝後門程式。</p> <p>卡巴斯基之所以關注這樣的攻擊活動，是基於臺灣資安業者杜浦數位安全TeamT5的發現。去年2021年，TeamT5曾在日本資安分析研討會JSAC上，揭露鮮為人知的中國駭客組織蠃魚（LuoYu），其攻擊目標主要是中國、臺灣、日本與韓國，並確認出該組織所慣用的3個惡意程式，包括SpyDealer、ReverseWindow（Demsty），以及WinDealer。</p> <p>近年來，卡巴斯基亦針對LuoYu駭客組織的攻擊活動進行調查，並確認惡意程式Demsty與WinDealer之間的關聯。卡巴斯基指出，這APT駭客組織從2008年開始活躍，主要攻擊位於中國的目標，例如，在中國設立的外國外交機構、學術界成員，以及國防、物流與電信業的公司。</p> <p>值得關注的是，近來這個中國駭客組織活動頻頻，除了攻擊目標已經擴及歐美國家，並且發展出新的WinDealer散布手法。</p> <h3><strong>WinDealer惡意程式突顯複雜網路攻擊能力，用戶難以防範</strong></h3> <p>事實上，在今年1月27日舉行的JSAC大會上，卡巴斯基、TeamT5與伊藤忠商事（Itochu）的三位研究人員，共同揭露LuoYu在2021年的攻擊動向，例如，開始使用XDealer、ShadowPad與PlugX等惡意程式，攻擊目標也擴大，涵蓋印度、德國、奧地利、美國、捷克共和國與俄羅斯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B.jpg" style="width: 600px;" /></p> <p>到了6月2日，卡巴斯基揭露更多發現。該駭客集團運用新手法散布WinDealer惡意程式，利用旁觀者攻擊手法，來讀取流量並往其中注入新的訊息，並指出他們具備旁觀者攻擊能力的事實，各界必須留意。</p> <p>什麼是旁觀者攻擊手法？全名稱之為Man-on-the-side attack，根據卡巴斯基的解釋，一般而言，當攻擊者透過攔截的手法，或是在ISP網路上居於有利的戰略位置，即可在網路上看到特定資源請求，此時，攻擊者會試圖以更快的速度回應受害者，搶先合法伺服器一步來回應。</p> <p>一旦攻擊者先馳得點，受害目標機器將使用攻擊者提供的資料，亦即會將接收到受感染的執行檔。而且，就算攻擊者搶先失敗，但仍然能夠再次嘗試，直到成功為止。</p> <p>在完成上述攻擊後，目標裝置將被安裝間諜軟體，該應用程式可收集大量資訊，不只螢幕截圖與收集電腦軟硬體詳細資料，也能察看或下載設備上儲存的任何文件。</p> <p><a href="https://securelist.com/windealer-dealing-on-the-side/105946/">卡巴斯基指出，在2020年的一起調查案例中</a>，駭客濫用應用程式自動更新機制，透過含有簽章的qgametool.exe軟體更新程式，將下載假冒視訊串流播放軟體PPTV的WinDealer，並安裝於受害電腦上。</p> <p>卡巴斯基表示，這是相當具破壞性的攻擊，除非透過另一個網路路由流量，否則用戶並無法自保。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）WinDealer感染流程_圖片來源卡巴斯基.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 600px;" /></a></p> <p class="rtecenter"><span data-gtm-vis-has-fired-11711842_122="1" style="box-sizing: inherit; color: rgba(0, 0, 0, 0.75); font-family: KasperskySans, Roboto, "Droid Sans", Arial, sans-serif; font-size: 16px; text-align: center;"><em data-gtm-vis-has-fired-11711842_122="1" style="box-sizing: inherit;">Update URL hardcoded in qgametool.exe</em></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）WinDealer感染流程_圖片來源卡巴斯基.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89WinDealer%E6%84%9F%E6%9F%93%E6%B5%81%E7%A8%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 600px;" /></a><br /> （圖片來源／卡巴斯基）</p> <p><strong>關於中國駭客組織蠃魚（LuoYu）的近期攻擊動向，卡巴斯基表示，對方利用旁觀者攻擊手法，假冒視訊串流播放軟體PPTV更新，將WinDealer惡意程式安裝於受害電腦。圖片來源／卡巴斯基</strong></p> <p>不僅如此，新的WinDealer基礎架構也很特殊，可以攔截所有網路流量，使他們能夠接收隨機IP位址的後門回應，而不必部署實際的C2伺服器，並以複雜IP產生演算法來決定聯繫那臺機器。</p> <p>例如，卡巴斯基觀察到，攻擊者會從中國西藏自治區或貴州省的4.8萬個IP位址中，挑選連線的對象。研究人員推測，這些駭客很可能破壞了網路上的路由器，或是使用一般人不知道的網路訊號情資方法，甚至有能力存取ISP層級的執法工具。</p> </div></div></div>
2022/6/8 17:39作者羅正漢https://www.ithome.com.tw/news/151348
【資安日報】2022年6月8日，駭客組織Black Basta鎖定虛擬化平臺發展勒索軟體、攻擊者利用微軟Office重…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在有許多企業導入虛擬化平臺的情況下，有越來越多勒索軟體駭客最近幾年也相繼開發針對VMware ESXi的勒索軟體。而傳聞可能是俄羅斯駭客組織Conti改名的Black Basta，在4月開始活動之後，現在也開始攻擊上述的虛擬化平臺。</p> <p>微軟Office的MSDT零時差漏洞CVE-2022-30190自揭露至今，已傳出數起攻擊行動。而這樣的漏洞也出現在針對烏克蘭政府的攻擊行動，使得烏克蘭電腦緊急應變小組（CERT-UA）提出警告，並公布入侵指標（IoC）。</p> <p>駭客運用Office檔案發動攻擊不時有事故傳出，其中有許多是利用惡意巨集下載作案工具，而使得資安系統難以從Office檔案發現攻擊徵兆。但最近有駭客使用過往相當罕見的手法，將惡意程式藏匿在檔案屬性資料當中。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-black-basta-ransomware-targets-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">駭客組織Black Basta發展Linux版勒索軟體，鎖定VMware ESXi而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black_Basta_Linux_ransom.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織鎖定企業的VMware虛擬化平臺發動攻擊，紛紛開發Linux版的勒索軟體，最近又有駭客組織投入這塊領域。根據資安新聞網站Bleeping Computer的報導，甫於今年4月開始行動的勒索軟體駭客組織Black Basta，最近針對VMWare ESXi伺服器製作新的勒索軟體，該勒索軟體執行後會搜尋受害伺服器的/vmfs/volumes檔案資料夾，使用ChaCha20演算法加密虛擬機器（VM）的相關檔案，並使用多個處理器加速作案的過程，最後在加密完成後留下勒索訊息。研究人員指出，這應該是該駭客組織首度針對虛擬化平臺而來的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/40559"><span style="color: rgb(0, 0, 0);">有人利用微軟Office的MSHTML、MSDT重大漏洞，在烏克蘭散布Cobalt Strike</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_MSHTML_MSDT.png" style="width: 300px; float: right;" /></a>微軟的MSDT零時差漏洞CVE-2022-30190，也被駭客用於攻擊烏克蘭政府機關。烏克蘭電腦緊急應變小組（CERT-UA）於6月2日發出資安通告，指出他們發現有人以調整薪資的名義，發送挾帶Word檔案的釣魚郵件，一旦收信人開啟附件，電腦就會執行JavaScript指令碼，進而利用MSHTML漏洞CVE-2021-40444，以及近期被揭露的MSDT零時差漏洞CVE-2022-30190，下載滲透測試工具Cobalt Strike的Beacon到受害電腦。烏克蘭電腦緊急應變小組公布了入侵指標（IoC），供相關單位加以防範。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞再度遭到利用，TA570用於散布惡意軟體QBot</span></a></strong></h3> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，自5月底揭露以來已有數起攻擊事故，如今這個漏洞也被用於傳送惡名昭彰的QBot。資安業者Proofpoint於6月8日指出，他們看到駭客組織TA570正在利用上述漏洞，投放惡意軟體QBot。</p> <p>這些駭客挾持含有HTML附件的郵件訊息，收信人一旦開啟附件，電腦就會下載ZIP壓縮檔，其內容是IMG光碟映像檔，當中包含了Word檔案、LNK捷徑檔案，以及DLL程式庫。LNK檔案的作用是執行DLL程式庫，來啟動QBot，而Word檔案一旦被開啟，將會載入HTML檔案，進而執行PowerShell並利用CVE-2022-30190，下載QBot到受害電腦。資安新聞網站Bleeping Computer認為，駭客同時運用兩種執行QBot的方法，很有可能是正在挑選效果較佳的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://threatresearch.ext.hp.com/svcready-a-new-loader-reveals-itself/"><span style="color: rgb(0, 0, 0);">攻擊者透過Office檔案屬性投放惡意軟體SVCReady，進一步在受害電腦部署竊密程式RedLine</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/svcready_002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/svcready_002-1.png" style="width: 300px; float: right;" /></a>攻擊者透過Office檔案挾帶惡意軟體時有所聞，但最近出現了新的手法引起研究人員關注。HP的威脅情報團隊揭露近期的惡意軟體SVCReady攻擊行動，駭客組織TA551（亦稱Hive0106、Shathak）疑似從4月22日開始，發動釣魚郵件攻擊，挾帶含有惡意巨集的Word檔案，在受害電腦投放惡意程式SVCReady。</p> <p>但這起攻擊行動相當不同的是，駭客將載入惡意程式的管道，埋藏在Word檔案的屬性裡面，VBA巨集被觸發後，會重組上述檔案屬性的字串執行Shell Code，接著於受害電腦投放並執行SVCReady，不久後攻擊者又將該惡意軟體刪除。在上述的過程中，駭客不需要透過PowerShell或是MSHTA等內建工具，從遠端伺服器下載作案工具。研究人員在其中1臺受害電腦裡，看到駭客植入了竊密程式RedLine進行第二階段的攻擊行動。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/"><span style="color: rgb(0, 0, 0);">中國紫光展銳晶片存在重大漏洞，全球一成手機用戶曝險</span></a></strong></h3> <p>受到許多廉價手機採用的中國紫光展銳（Unisoc），其手機晶片存在漏洞而引起資安人員注意。資安業者Check Point指出，他們透過搭載紫光展銳晶片的Motorola手機進行研究，結果發現重大漏洞CVE-2022-20210，CVSS風險評分達到9.4分，一旦攻擊者利用這項漏洞，很可能可以造成手機的LTE網路無法使用，甚至可以發動遠端執行程式碼攻擊。這項漏洞通報後紫光展銳已予以修補，Google亦打算將相關修補程式碼納入6月份的例行更新。</p> <p>雖然目前上述漏洞尚未出現遭到利用的跡象，但該廠牌的系統單晶片多半運用於廉價手機（該廠牌全球市占約11%，僅次於蘋果、高通、聯發科），而這些手機的廠商很可能較少推送更新程式，有可能使得相關修補進度緩慢。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151346"><span style="color: rgb(0, 0, 0);">歐盟網路安全演練本月登場，聚焦醫療領域</span></a></strong></h3> <p>為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國的CyberStorm，<a href="https://www.ithome.com.tw/news/134003">而臺灣也在2019年，與美國國土安全部聯手舉辦大規模網路攻防演練CODE，測試金融產業安全防護能力</a>。今年6月初，歐盟將舉辦第6次的Cyber Europe，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有的機制、程序，以及資訊流，是否足以因應危機，參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。為了因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151321">【2022年6月7日】 MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集</a></p> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> </div></div></div>
2022/6/8 18:58作者周峻佑https://www.ithome.com.tw/news/151349
從Line臺灣徵才日看Line區塊鏈布局野心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Line臺灣日前在<a href="https://music-tw.line.me/live/event-group/f346db59-3fb1-404d-b9c6-09c97f608547">徵才日</a>中，揭露Line整體發展藍圖，火力全開鎖定Web 3.0和區塊鏈應用，不只在臺成立專屬區塊鏈開發團隊Line Next TW Dev，要徵求區塊鏈好手協助開發全球NFT交易平臺外，還要嘗試各種去中心化應用，來優化現有服務。此外，Line臺灣也透露，Line Bank作為主管機關認可的線上身份驗證金融服務商，未來能在元宇宙和NFT等Web 3.0的虛實價值移轉應用中，發揮更多效益。</p> <p>至於AI，Line臺灣將持續在地化總部開發的CLOVA解決方案4大服務，包括自然語言生成、人臉辨識、語音轉文字、光學文字辨識等，並持續實作AI模型生命周期管理機制MLOps，同時探索更多資料價值。</p> <p><span style="font-size:22px;"><strong>11年，Line從通訊軟體跨足影音、金融智慧生活圈</strong></span></p> <p>5月27日，Line臺灣舉辦一整天的線上徵才說明，Line臺灣技術長陳鴻嘉首先強調：「Line成立11年來，成功從通訊軟體服務公司，轉化為智慧生活入口。」這句話不只點出Line整體發展路徑，其中的智慧生活入口，更成為Line後來進軍區塊鏈布局的基礎。</p> <p>這個智慧生活入口，是指滿足用戶一天24小時所需的服務，比如使用者早上用Line Today看新聞、上班用Line官方帳號經營客戶群，下班後用Line Pay電子支付服務買晚餐、透過Line Music或Line TV享受娛樂，或是睡前用Line購物買東西。去年3月，Line與日本Z控股集團合併，更進一步擴大了智慧生活日入口的服務內容和服務對象。</p> <p>這些服務跨足各種領域，這些領域充滿各種經濟活動，都需要金流支援。因此，Line幾年來，陸續發展各種數位金融服務，比如在2014年上線Line Pay、2018年推出Line區塊鏈和加密貨幣、2020年成立虛擬貨幣交換中心，同年也在泰國成立純網銀Line Bank，2021年則在臺灣和印尼成立Line Bank。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%2010_42_08%20AM.png" /></p> <p>延伸出種種智慧生活服務的Line，用戶來自全球、月活躍數量高達1.9億，主要集中在日本、臺灣、泰國、印尼。Line的工作團隊，大多也集中在亞洲主要城市，共有8,700多名來自31個國家的職員，來優化和開發更多智慧生活服務。</p> <p><strong><span style="font-size:22px;">火力全開瞄準FinTech，Line Bank將扮演虛實價值移轉要角</span></strong></p> <p>「數位金融科技是Line非常重視的領域！」陳鴻嘉表示，數位金融是經濟活動的重要基礎，Line也在過去幾年布局數位金融，成果包括成立電子支付公司Line Pay和負責金融業務的Line Bank。這些子公司各自獨立，但彼此協作。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_43_44%20PM.png" /></p> <p>像是，Line Bank臺灣資訊處處長翁銘壯點出，Line Bank借助原生生態系發展，透過Line Pay、Line Taxi、Line Points、Line禮物/購物、Line Music和TV等家族應用，來提供金融服務，另外也開放API來與異業結盟，將自家金融服務嵌入其他生態系，進一步走入民眾生活。</p> <p>而Line Bank下一步，則是要跟進Web 3.0浪潮，作為虛實價值移轉的關鍵工具。有別於Web 2.0網狀的資訊交換網路，Web 3.0是去中心化的價值交換網路，而區塊鏈及其衍生出的加密貨幣、NFT，則是實作價值所有權交換的平臺技術。翁銘壯解釋，作為政府主管機關核可的純網銀，Line Bank有著官方認可的線上身份驗證機制，這在Web 3.0的元宇宙和NFT區塊鏈代表應用中，當民眾需要虛實間的價值移轉時，就可發揮作用，透過Line Bank金融服務來進行NFT交易。</p> <p><span style="font-size:22px;"><strong>鎖定區塊鏈和Web 3.0，力推Dosi布局NFT交易市場</strong></span></p> <p>不只在純網銀做好迎接區塊鏈應用的準備，Line也積極發展區塊鏈技術和應用，比如在2018年成立區塊鏈專屬團隊、發行Line加密貨幣Link，甚至在去年，於日本推出第一個NFT交易平臺（今年正式上線）。Line在該平臺推出各種類型的數位資產和收藏品，讓用戶來購買這些NFT。</p> <p>有了這些基礎，今年，Line進一步推出全球通用的NFT交易平臺Dosi，目標鎖定全球180多個國家。Dosi平臺主打3大功能，一是提供通用版型和API，讓數位資產賣家用來打造客製化的NFT商店，再來是提供Dosi Wallet，來讓買家集中管理數位貨幣或資產。此外，賣家還能透過Dosi Support，來取得Line團隊的行銷或技術支援，協助賣家提供更好的NFT銷售體驗。</p> <p>在技術上，Dosi雖以Line自建的區塊鏈技術為基礎，但未來將與市場上的公鏈整合，像是以太坊、Solana鏈和Cosmos鏈，來擴大服務應用範圍。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%203_58_57%20PM.png" /></p> <p><span style="font-size:22px;"><strong>成立臺灣區塊鏈開發團隊，徵求區塊鏈好手</strong></span></p> <p>陳鴻嘉表示，就像Line其他服務，NFT交易平臺也先由單一市場試水溫，再進軍到全球市場。在日本市場成功營運後，Line成立Line Next團隊，來負責全球市場NFT經營，這也包括各種Dosi服務。</p> <p>臺灣在Line這場全球區塊鏈布局中，也扮演重要角色。Line剛成立臺灣區塊鏈開發團隊Line Next TW Dev，不只要協助Line Next開發全球Dosi平臺、讓平臺更好用，最主要的目的是，培養臺灣工程團隊區塊鏈技術能力，並理解各類區塊鏈應用型態，像是加密貨幣、智能合約、NFT等，透過嘗試各種去中心化應用，來優化現有服務。區塊鏈人才，<a href="https://engineering.linecorp.com/zh-hant/blog/line-dev-recruitment-day-2022/">正是Line臺灣區塊鏈新團隊目前積極尋求的</a>。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%205_28_18%20PM.png" /></p> <p>Line臺灣技術長陳鴻嘉表示，Line Next將提供更容易上手的NFT交易錢包Dosi Wallet，比如多種登入方式和多種交易方式（如信用卡、虛擬貨幣和法幣），來供民眾使用。</p> </blockquote> <table border="1" cellpadding="0" cellspacing="0"><tbody><tr><td style="background-color: rgb(255, 102, 51); border-color: rgb(255, 102, 51);"> <h3><font color="#ffffff"><span style="font-size: 20px;"><b>持續在地化CLOVA AI服務，還要落實MLOps機制</b></span></font></h3> </td> </tr><tr><td> <p><span style="color: rgb(105, 105, 105);">Line在過去幾年，也將成熟的內部AI應用商品化，開放給外部開發者使用。每年，他們也定期發表一系列AI應用，像是2019年開發者大會揭露Line AiCall，可合成語音來進行電話對話，又或是能針對個人喜好，來推薦內容（如災難消息、新聞、天氣和廣告）的Smart Channel服務。</span></p> <p><span style="color:#696969;">去年，Line日本也與韓國母公司Naver，將成熟的AI技術發展為一站式AI服務平臺HyperCLOVA，以100億頁資料和2,004億個參數訓練而成的Transformer模型為引擎，要來提供企業用戶搜尋、語音、自然對話等服務，甚至要更進一步發展顧問、需求預測服務。</span></p> <p><span style="color:#696969;">在這眾多AI產品中，Line臺灣技術長陳鴻嘉透露，Line選定了4項，要在今年持續引進臺灣市場。這4項包括Line CLOVA解決方案之下的自然語言生成（NLU）、臉部辨識（Face）、語音轉文字（STT），以及光學文字辨識（OCR）等服務。</span></p> <p><span style="color:#696969;"><span style="font-size: 22px;"><strong>Line臺灣AI團隊做什麼？落地和優化服務、落實MLOps</strong></span></span></p> <p><span style="color:#696969;">負責在地化這些服務的，就是Line臺灣資料工程部（Data Dev Team）團隊。Line臺灣資料工程部資深經理蔡景祥指出，Line臺灣在去年開始，引進總部開發的CLOVA解決方案，像是CLOVA Chatbot、OCR和Face等。其中，Chatbot服務是驅動Line官方帳號與使用者互動的關鍵服務，企業客戶只要提供訓練資料、選定樣板，就能在1天內完成訓練，將Chatbot功能嵌入官方帳號，來回答使用者各種疑難雜症問題，Line本身的客服小幫手就是一例。</span></p> <p><span style="color:#696969;">總部產品在地化，是Line臺灣資料工程部的2大重要任務之一。這2個重要任務包括利用AI技術，加值Line在地服務、提供新功能，以及透過資料科學和機器學習方法，來發掘商業洞察，發揮資料價值。</span></p> <p><span style="color:#696969;">以AI加值來說，Line有許多周邊服務，像是新聞、購物、旅遊等，團隊可透過AI，來更理解這些服務內容（如文字、影片、圖片）背後的意義，來優化使用者體驗。比如利用自然語言處理（NLP）技術，來自動擷取一篇文章的#關鍵字，取代以往小編的手動登打作業，並透過這些關鍵字，橫向串連相關主題的文章。這個自動擷取關鍵字的功能，也能套用到其他領域服務。</span></p> <p><span style="color:#696969;">另一個例子則是在Line聊天室上方任務牆，精準投放廣告，猶如前述提及的Smart Channel服務。進一步來說，團隊利用知識圖譜技術，來找尋使用者興趣，像是連結曾經點擊的廣告活動、跟隨哪些官方帳號等，並計算即將推出的廣告活動，用戶是否感興趣（如下圖）。或是利用增益模型，來在官方帳號中，精準推播使用者感興趣的訊息。</span></p> <p><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_42_40%20PM.png" /></span></p> <p><span style="color:#696969;">不過，這些模型也有表現不佳的時候。找出問題、改善模型表現，也是Line臺灣資料工程部的工作。再加上為了讓內部大量AI模型，能快速擴展和維運管理，團隊也導入模型生命周期管理MLOps方法，比如在ML模型研發階段，利用可協作的Notebook平臺來優化特徵工程流程，並在模型應用階段，利用GPU平臺來訓練模型、記錄模型版本，最後在維運階段達到訓練、部署的工作管線自動化，並監控模型表現。</span></p> <p><span style="color:#696969;">Line臺灣資料工程部，將上述這些工作內容，分為4種角色來負責，如資料科學家負責資料驅動決策和服務標準定義，ML工程師負責演算法開發和資料、找尋新訓練資料，資料工程師則將大量訓練資料先行處理，並負責後續ML工作流程和MLOps作業，最後則有CLOVA產品工程師負責客製化AI應用系統。（如下圖）</span></p> <p><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-08%20at%202_41_49%20PM.png" /></span></p> <p><span style="color:#696969;">在這次徵才日中，他們鎖定有經驗的ML工程師和CLOVA產品工程師，尋求相關人才加入臺灣團隊，來探索更多資料價值。</span></p> </td> </tr></tbody></table></div></div></div>
2022/6/8 17:26作者王若樸https://www.ithome.com.tw/news/151347
GovTech月報第7期：美國Frontier奪下全球超級電腦第1名寶座；拜登發表美國量子科學新戰略，因應量子破密風險…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0430~0531)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-a6828a02-7fff-d7a1-2fbf-68bade3a512d"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">全球最新500大超級電腦排名出爐，美國Frontier以超過1 ExaFlop/s奪冠</span></span></span></strong></p> <p>全球500大超級電腦最新名單出爐，根據近期公布的排名，美國能源部底下橡樹嶺國家實驗室領先運算機構所打造的新一代超級電腦Frontier，以1.102 Exaflops的運算速度，擊敗日本的Fugaku(富岳)，拿下全球第一的寶座。</p> <p>Frontier採用HPE Cray EX235a，以AMD EPYC 64C 2GHz處理器，共有8,730,112核心，每瓦效能達到52.23gigaflops/watt。Frontier的浮點運算在HPL標竿測試分數可達1.102 Exaflop/s，為目前全球最快，也是唯一突破1 Exaflop/s的exascale級超級電腦。該系統預計2022年底問世。</p> <p>Frontier的出現，迫使2020年6月即佔據全球第一的日本超級電腦Fugaku拱手讓出寶座，儘管理論上，Fugaku的峰值可超過1 Exaflop/s，但迄今只有Frontier在HPL標竿測試可達到exascale能力。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">量子科學</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-41f42e17-7fff-ace1-d2fe-93e69af42309"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">拜登發表美國發展量子科學新戰略，要求政府機構將密碼系統遷移至後量子密碼系統</span></span></strong></span></p> <p>美國總統拜登5月初簽署第10號國家安全備忘錄，當中揭露美國對量子科技的國家發展戰略，包括認為量子電腦可能帶來經濟創新的潛力，從材料科學、金融、能源各領域都可能受惠，因此美國應該在量子資訊科學領域居主導地位，以維持該國的競爭優勢。美國將聚焦在新的量子應用、量子元件製造方法，以及光子、奈米、低溫半導體等相關技術的發展，還有相關的教育及人才培養等等。</p> <p>美國政府也未忽視量子科技可能帶來的負面衝擊，特別是可能破解現有密碼系統，因此，美國政府也要求政府機關採取行動，將易受影響的密統系統，遷移至後量子密碼學系統，為此未來90天內，美國商務部將和國家標準技術研究所（NIST）成立工作小組，以研究如何如何採用後量子密碼技術。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">中國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-3c8b376a-7fff-1e0b-c5d2-6d73b70ee849"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美中掀新一波超級電腦競賽，</span></span><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">傳中國可能在2025年前建</span>10座Exascale超級電腦</strong></span></p> <p>在美中關係緊張下，美國與中國在各方面的競爭意識升高，英國金融時報引用一研究報告指出，中國政府將在2025年之前打造10座exascale超級運算系統，以和甫奪下全球第一的美國超級電腦Frontier別苗頭。</p> <p>在2016年，中國就曾以神威太湖之光、天河二號，擠下美國，分別取得當時全球500大超級電腦的1、2名，高據榜首一段時間，中國也在500大超級電腦的進榜數量上超越美國，躍升為超級電腦的大國之一。其後寶座易手，一度再由美國奪回寶座，這幾年則是日本富士通的Fugaku佔據第1。</p> <p>根據金融時報的報導，中國已有2座exascale超級電腦，分別是神威太湖之光、天河2號的後繼者，神威海洋之光與天河3號，神威海洋之光運算速度最快達1.3 exaflops，持續運算效能1.05 exaflops，天河三號最快可達1.7 exaflops，持續運算效能1.3 exaflops。據了解，美國除了Frontier之外，也規畫建置2座exascale超級電腦，分別是阿貢國家實驗室的Aurora，以及屬於勞倫斯利佛摩國家實驗室的EI Capitan。</p> <p>可以預見，隨著更多新一代超級電腦的問世，未來將可看到更多exascale級超級電腦出現，提高全球超級電腦的競爭力道。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><strong><span style="font-size:22px;"><span id="docs-internal-guid-05f5a870-7fff-74e8-2c40-ae66f9904b82"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺南市強化防疫手段，共照雲新增AI辨識快篩試劑，陽性即提供醫師視訊看診</span></span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7aac21c4-649e-4dbd-bfd3-3e5e1c4cd321.jpg" style="width: 300px; height: 398px;" /></p> <p>隨著國內疫情升溫，愈來愈多確診者，造成地方政府及第一線醫護人員龐大的工作負擔，近期指揮中心調整防疫策略，居家隔離、自主防疫、居家檢疫三類對象快篩陽性，經醫事人員視訊判定即視同確診，不需經過PCR篩檢，配合防疫政策，臺南市政府近期除整理公布視訊診所清冊，更運用科技推出臺南共照雲@Line官方帳號，結合AI辨識快篩試劑結果，確認民眾身分及快篩陽性後，即安排醫師視訊視看診，降低醫療人員的負擔。</p> <p>臺南市政府與成功大學、先進醫資、好想工作室合作，民眾加入臺南共照零，註冊綁定後，就能識別三種對象身分，再上傳快篩試劑檢測結果，由AI初步確認快篩陽性，協助民眾直接安排醫師視訊，如因上傳快篩結果的影像品質不佳，或是快篩結果不明確，則交由醫護團隊判定。臺南市政府希望透過一條龍的服務，簡化民眾視訊看診的繁瑣程序。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-cf14d3d2-7fff-d40a-82e5-c8cd99f5e297"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">美國加速寬頻網路普及，近5千萬家庭可望免費使用寬頻網路</span></span></strong></span></p> <p>美國持續推動寬頻網路普及政策，白宮近期宣布已和20家ISP業者達成協議，支持美國政府推動的可負擔連網計畫(Affordable Connectivity Program, ACP)，針對低收入戶提供便且的寬頻網路服務，加上ACP計畫的補助，估計將有4,800多萬個美國家戶可免費使用寬頻網路。</p> <p>美國FCC一直以來推動可負擔連網計畫，目的是讓低收入的家庭也能負擔寬頻網路，只要家庭收入不超過各州貧窮線的2倍，便可提出申請，獲得每月30美元的寬頻網路補貼，約有4,800多萬個家庭符合資格，已有1,150多萬家庭參與ACP。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">消防</span></font></strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-d8f65e56-7fff-a070-efcd-c5b6a0d47320"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">高雄市政府試辦緊急車輛智慧交通控制，提升救護車、消防車輛救援效率</span></span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1653639201857.jpg" style="width: 300px; height: 400px;" /></p> <p>鑑於消防車、救護車等緊急車輛優先行駛及道路安全，高雄市政府與內政部消防署合作，結合5G與GPS定位，試辦「消防一路通」，為緊急車輛出勤時確保行駛路口綠燈，提升25%行車效率、節省20%的行車時間。</p> <p>這項計畫選在高雄亞灣5G AIoT創新園區的周邊道路試辦，包括阮綜合醫院與2個消防分隊，在中華五路及四維四路共12個路口試辦。透過5G與GPS蒐集緊急車輛位置、速度、行駛方向，以控制路口交通號誌，使行駛的路口一路綠燈，確保道路安全，同時提升緊急救護的效率。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">日本</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端服務</span></font></strong></p> <p><span style="font-size:22px;"><strong>傳日本有意將雲端服務視為國家特定重要物資，加速推動雲端服務的國產化</strong></span></p> <p>隨著愈來愈多的政府及企業上雲，且相當比例仰賴國外的公有雲服務，日本媒體報導，日本政府有意將雲端服務視為國家特定重要物資，將其視為與半導體、醫藥、電池等相同，需要保障以確保經濟安全的物資，近期將送參議院表決。</p> <p>據瞭解，近20年來，雲端服務在日本愈來愈普及，將近7成的企業上雲，且大多採用國外的公有雲服務，相對地，採用國產雲端服務比例並不高。由於近期俄烏戰爭、國際關係緊張，為因應不明的局勢，日本政府因此調整該國雲端戰略，加速推動國產化的雲端服務，以降低對國外服務的依賴。</p> <div> </div> </div> <p>圖片來源／高雄市、臺南市政府</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.歐洲央行總裁呼籲應監管加密貨幣</strong></p> <p><strong><strong>2.加州州長簽署行政命令以推動Web3</strong></strong></p> <p><strong><strong><strong>資料來源：iThome整理，2022年5月</strong></strong></strong></p> </div> </div> </div> </div> </div></div></div>
2022/6/8 17:51作者蘇文彬https://www.ithome.com.tw/news/151334
歐盟網路安全演練聚焦醫療領域，Cyber Europe 2022於6月登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為提升國家關鍵基礎設施防護水準，全球各國均設法透過真實網路安全事件，舉行網路攻防實戰演練，例如，美國每兩年舉辦一次的CyberStorm，在2019年臺美等10多國，亦首度聯手舉辦大規模網路攻防演練，測試金融產業安全防護能力。</p> <p>今年6月初，歐盟將舉辦第6次的Cyber Europe。這項安全演練自2010年開始舉辦，之後每兩年舉行一次，主要由歐洲網路資訊安全局（ENISA）負責統籌，然而，在2020年受到COVID-19疫情影響而未舉行，延至2022年夏季召開。因此，本次演練距離上次舉辦已相隔四年，而當時的演練參與者超過1千人，他們均來自歐洲各地。</p> <p>基本上，這項演練的主要目的，是測試歐洲關鍵基礎設施遭遇大規模網路事件時，現有機制、程序與資訊流是否足以因應危機，期望幫助參與者能藉此機會，強化技術與行動上的專業知識，以及處理危機溝通的能力。</p> <p>因應COVID-19疫情導致的網路威脅加劇，Cyber Europe 2022的最大特點，將聚焦在醫療領域的資安應變，在6月進行為期兩天的演練。</p> <p>就演練範圍而言，Cyber Europe不僅涵蓋了國家與政府的CSIRT及網路安全主管部門，重點單位也包括：衛生保健主管機關、醫療服務組織（醫院、診所、實驗室），以及電子醫療服務供應商業，還有醫療產業（醫療設備製造商、製藥公司）。</p> <p>ENISA指出，一旦醫療單位遭遇資安事件，將導致不同層面都會形成危機，包括本地端、組織、國家，以及整個歐洲。因此，檢驗業務連續性計劃（BCP），以及危機管理能力，至關重要。</p> <h3><strong>ENISA提供CEP平臺，打造演練管理系統與虛擬演練環境</strong></h3> <p>這項計畫是如何進行？根據ENISA的說明，主要由歐洲國家公務人員與ENISA演練團隊合作，由於大多數歐洲國家都參與，因此跨境合作也是關鍵。</p> <p>具體而言，參與者在平時自己工作的環境，就可以連接到ENISA網路演習平臺（Cyber Exercise Platform，CEP），獲取演習相關資訊。</p> <p>這個平臺將提供綜合環境，可分成三大部分。首先是演練管理的系統，用於規畫、組織或控制，以及評估；其次，是可進行互動的虛擬演練環境，當中具備各式應用程式與工具，以及模擬的新聞網站、社交媒體、檔案分享平臺與資安部落格；第三，此平臺也提供線上學習的服務與工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-08_164716.jpg" style="width: 588px;" /></p> <p>ENISA指出，這是測試內部業務連續性（BCP）與IT安全政策的機會，當中將模擬大規模的網路攻擊事件，讓參與者檢視及分析網路安全事件，考驗他們的網路分析、惡意軟體分析、數位鑑識，以及原始程式碼分析的能力，同時，也將涵蓋業務連續性、危機管理，以及媒體溝通的內容，值得注意的是，這項演練其實可以根據參與者的需求，來制定需要的演練情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-08_170126.jpg" style="width: 220px; float: right;" /></p> <p>此外，關於對於醫療領域的網路安全，歐盟近年也提供相關資源，例如，在2021年1月，ENISA發表了醫療服務雲端安全指南，幫助醫療機構能安全採用雲端服務。</p> </div></div></div>
2022/6/8 17:12作者羅正漢https://www.ithome.com.tw/news/151346
美國議員提出相對友善的加密貨幣監管法案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩名參議員Kirsten Gillibrand與Cynthia Lummis周二（6/7）提出了<a href="https://www.lummis.senate.gov/press-releases/lummis-gillibrand-introduce-landmark-legislation-to-create-regulatory-framework-for-digital-assets/" target="_blank">《負責任的金融創新法案》（Responsible Financial Innovation Act）</a>，企圖替數位資產建立一個完整的監管框架，以同時推動負責任的創新及對消費者的保護，認為大多數的數位資產應該歸商品期貨交易委員會（CFTC）管轄，而非美國證券交易委員會（SEC）。</p> <p><a href="https://www.ithome.com.tw/news/151272" target="_blank">日前才有超過20名專家呼籲美國議員抵制加密貨幣業者的遊說活動</a>，且SEC也已認定首次代幣發行（ICO）受到證券法的管轄，要求業者在執行ICO前必須先向SEC註冊。然而，此一新法案則明顯偏向數位資產產業，上述的CFTC為美國政府所建立的獨立部門，負責監管美國的衍生品市場，包括期貨或某些種類的期權，並比SEC寬鬆許多。</p> <p>Gillibrand與Lummis認為，數位資產、區塊鏈技術及加密貨幣在過去幾年經歷了巨大的成長，若利用得當，將創造巨大的潛在收益，此一新的法案將建立一個創新的監管框架，制定明確的標準，定義適當的管轄範圍，同時也將保護消費者，該框架還可保持靈活以因應數位資產市場的持續發展。</p> <p>該法案將有明確的標準來判斷數位資產是屬於商品或證券，且議員們認為大多數的數位資產更像是商品而非證券，例如比特幣與以太幣，因此應賦予CFTC更多的監管權限。該法案亦支持穩定幣，宣稱除了可保護消費者及市場之外，還能推動更快的支付程序。</p> <p><a href="https://www.wsj.com/articles/senators-to-propose-industry-friendly-cryptocurrency-bill-11654592401?mod=djemalertNEWS" target="_blank">根據《華爾街日報》（Wall Street Journal）的報導</a>，Lummis一向為加密貨幣的支持者，她個人至少擁有價值10萬美元以上的比特幣，但通過該法案的機率並不高。</p> </div></div></div>
2022/6/8 15:27作者陳曉莉https://www.ithome.com.tw/news/151339
Telegram付費訂閱服務內容曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標榜端對端加密的通訊平臺Telegram可望於近日發表付費訂閱服務，而相關服務的內容<a href="https://t.me/tginfoen/1403" target="_blank">則在最近曝光</a>，<a href="https://www.neowin.net/news/telegram-premium-price-and-features-leak-ahead-of-launch/" target="_blank">據傳</a>使用者每月只要支付4.99美元就能獲得更多的資源，包括可建立更多的頻道與聊天文件夾，可上傳更大的檔案，擁有更快的下載速度，或是更進階的聊天管理功能等。</p> <p>Telegram上的廣告並不多，這是因為該平臺僅於公開頻道上測試廣告服務，提供付費訂閱服務將能替Telegram開闢更多的營收來源。</p> <p>訂閱用戶將可獲得雙倍的資源，像是聊天文件夾的數量從10個增加到20個，頻道從500個增加到1,000個，可使用的帳號從3個增加到4個；上傳的檔案大小限制從2GB提高到4GB，有更快的下載速度，能將語音訊息轉為文字，不含廣告，進階的聊天管理功能，也有訂閱用戶獨有的貼圖等。</p> <p>目前Telegram已於Android平臺上測試該訂閱服務，尚未確定正式版或支援其它平臺的版本何時會上線。</p> </div></div></div>
2022/6/8 13:53作者陳曉莉https://www.ithome.com.tw/news/151336
零售IT雙周報第1期：Mastercard推出生物辨識結帳，揮手或微笑就能刷卡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>面部辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手紋辨識</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無接觸結帳</b></span></font></p> <p><strong>Mastercard將針對零售商推出無接觸生物辨識結帳系統</strong></p> <p>Mastercard宣布，<a href="https://www.mastercard.com/news/press/2022/may/with-a-smile-or-a-wave-paying-in-store-just-got-personal/">將推出生物辨識結帳系統</a>，透過手紋或面部辨識，就能在結帳時刷卡。此功能將於本周從巴西開始試營運，之後將於亞洲和中東地區推出。Mastercard表示，目前已跟富士通、NEC、Payface、Aurus、PaybyFace及PopID等全球廠商展開合作，以保證在全球推出此服務時，生物認證精確度、隱私權保護跟資訊安全，都符合統一最低規範。</p> <p>Mastercard數據顯示，2021 Q4約一半線下交易都轉為無接觸，並引用Juniper研究，預測2026全球信用卡無接觸交易金額將來到6.7兆美元。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧倉儲</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上開店</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>雜貨店</b></span></font></p> <p><strong>Amazon在印度推出當地雜貨店的零售數位化服務</strong></p> <p>Amazon India宣布針對當地雜貨店推出<a href="https://smbhav.amazon.in/grow-with-amazon/smart-commerce">智慧商務服務Smart Commerce</a>，提供雜貨店線下數位化及線上開店功能。這些服務包括協助雜貨店建立數位倉儲管理系統、數位支付、廣告服務及打造線上商城頁面。</p> <p>地方雜貨店為印度消費者採購民生必需品的主要去處，占約9成快速消費品（FMCG）銷售量，且全國超過1,280萬家地方雜貨店，店數／人口比是臺灣便利商店的18倍。由於地方雜貨店密度高、價格低，Amazon India看到商機，兩年前推出Local Shops服務，讓地方雜貨店在Amazon上架商品，並由店家自行外送到消費者家中。Amazon表示，目前已經有150,000家商家使用Local Shops上架商品，商家接受度出乎意料，也使他們有信心進一步推出Smart Commerce，將服務項目從單純上架商品，拓充到線上下智慧零售。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>元宇宙</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>虛擬店家</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OMO</b></span></font></p> <p><strong>Gucci將在元宇宙遊戲Roblox中設立虛擬商店及展覽空間</strong></p> <p>時裝品牌Gucci於元宇宙遊戲Roblox內設立常駐<a href="https://www.roblox.com/games/7830918930/Gucci-Town">虛擬店面暨展覽空間Gucci Town</a>，除了販售遊戲中的Gucci商品外，還會展出Gucci新產品，玩家甚至可以創作藝術品，並遊玩小遊戲。</p> <p>這不是Gucci首次涉足元宇宙。過去Gucci也結合實體Gucci Garden Archetypes展覽，同步在Roblox<a href="https://blog.roblox.com/zh-hant/2021/05/roblox-%E6%AD%A3%E6%98%AF%E8%BF%8E%E6%8E%A5-gucci-garden-%E9%AB%94%E9%A9%97/">推出限時Gucci Garden</a>活動，讓玩家蒐集遊戲內的Gucci服飾。這次，Gucci Town不僅是常駐空間，還會隨著商家動態定期更新，意味著Gucci將認真於元宇宙經營品牌形象。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機送貨</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧物流</b></span></font></p> <p><strong>Walmart將擴大無人機物流量能，號稱一年能送出100萬份貨</strong></p> <p>美國零售巨頭Walmart<a href="https://corporate.walmart.com/newsroom/2022/05/24/were-bringing-the-convenience-of-drone-delivery-to-4-million-u-s-households-in-partnership-with-droneup">宣布2022將增設34座無人機基地</a>，並提升無人機送貨量能到每年100萬次，服務6個州的400萬戶家庭。</p> <p>Walmart表示，無人機數月來已經測試過數百次商用飛行，且消費者反應正面，因此決定大幅提升試營運規模。這與Amazon 2013年宣布無人機送貨至今仍處測試階段，且遲遲沒有大規模測試的情況，呈現明顯對比。</p> <p>目前，Walmart無人機營運模式是，當接到消費者無人機送貨訂單，鄰近實體店面會揀貨、包貨、裝載到無人機上，並送到消費者後院上空，再由纜繩緩降貨物到地上。目前，無人機可以裝載最多10磅（約4.5公斤）的貨物。Walmart尚未提供規模化後的管理方針及技術細節。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NFT</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Discord社群</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>奢侈品牌</b></span></font></p> <p><strong>Prada推出附贈NFT的限定服飾商品 </strong></p> <p>Prada推出<a href="https://www.prada.com/us/en/pradasphere/special-projects/2022/prada-timecapsule.html">新產品系列Timecapsule NFT Collection</a>，每個月特定日期時販售限量的實體服飾，並附贈NFT。持有Prada NFT的客戶，將會有特別優惠和新產品提前看等會員福利。這些NFT，將由Prada、LVMH、Mercedez-Benz等奢侈品牌共同成立的奢侈品區塊鏈聯盟Aura Blockchain Consortium發行在以太鏈上。同時，也推出Discord社群頻道，以促進Prada客戶討論流行、藝術、影視、音樂及Web3等話題。</p> <p>這已經不是第一次Prada涉足NFT，今年一月時，Prada也跟Adidas合作發行兩家品牌社群的藝術創作NFT。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上購物</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>線上客服</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>模擬實體購物</b></span></font></p> <p><strong>電商金流公司Klarna將推出電商服務，主打模擬線下購物社交性</strong> </p> <p>年交易量800億美元的瑞典電商金流公司Klarna，將<a href="https://www.prnewswire.com/news-releases/klarna-launches-virtual-shopping-bringing-the-in-store-experience-to-online-shoppers-301546079.html">跨足電子商務服務</a>。不過，他們將服務定義為「虛擬購物」，強調客戶和店員線上溝通功能，以提供接近實體購物的社交體驗。</p> <p>Klarna在聲明中引用Statista數據，說明全球零售業績仍有約8成來自線下購物，且根據Klarna調查，消費者更偏好線下購物，主因是線下互動更有社交性並能獲得良好的顧客服務。因此，Klarna虛擬購物服務主打消費者可以透過訊息或視訊，即時提供建議及穿搭示範等互動，以模擬線下購物體驗。</p> <p>超過300家零售商已經採用此服務，包括服飾品牌大廠Levi's跟Hugo Boss。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>自助結帳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>大規模雜貨店</b></span></font></p> <p><strong>連鎖雜貨店品牌Dollar General將實驗全自助結帳店面</strong></p> <p>美國分店數超過1.8萬間的雜貨店品牌Dollar General，<a href="https://seekingalpha.com/article/4514715-dollar-general-corporation-dg-ceo-todd-vasos-on-q1-2022-results-earnings-call-transcript">將陸續於200家分店中開始實驗全自助結帳</a>。Dollar General COO Jeff Owen表示，加速推動措施自助結帳，是為了因應供應鏈和通貨膨脹帶來的成本壓力。目前，Dollar General已經有8,000家分店有自助結帳機臺，並預計年底前在11,000家分店中安裝。</p> <p>Jeff Owen透露，逐步推動自助結帳同時，他們也將把自助結帳機系統與智慧倉儲管理系統串接，以進一步增加店員工作效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>更多零售IT動態：</b></span></font></p> <p>PCHome 2022後半年會發展CDP並優化個人化商品推薦，同時也正在徵金融、物流、行銷領域AI人才。</p> <p>Momo將再擴建20座衛星倉且拚年底自物流比重達25%，同時正在徵電子商務、倉儲物流、科技資訊、後援服務人才。</p> <p><a href="https://newsroom.snap.com/ebay-creativekit">Snapchat將可以在Stories裡面顯示eBay商品標籤，點擊會帶使用者跳轉到eBay App中該商品頁面。</a></p> <p>資料來源：iThome整理，2022年6月</p> <p> </p> </div></div></div>
2022/6/8 14:00作者郭又華https://www.ithome.com.tw/news/151337
OpenInfra基金會推出企業贊助開源碼專案的新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prweb.com/releases/open_for_business_openinfra_foundation_launches_directed_funding_for_openinfra_project_hosting_replicating_success_of_openstack_kata_containers_starlingx/prweb18718369.htm" target="_blank">開放基礎架構基金會（Open Infrastructure Foundation，OpenInfra）本周宣布一項新的資助模式</a>，讓企業可直接贊助偏好的特定開源碼專案。</p> <p>OpenInfra是<a href="https://www.ithome.com.tw/news/140645" target="_blank">OpenStack基金會2020年10月改名並擴充而成</a>。OpenInfra最新宣布名為直接資助（Directed Funding）模型，作為更直接的企業贊助模式。</p> <p>傳統上企業若想贊助開源專案或社群，主流方式是加入會員付會員費，而由主持機構分配到最適合的專案。OpenInfra解釋，直接資助模型則允許企業針對他們最關心的專案提供資金，並獲得非營利機構的專案管理支援。</p> <p><a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">OpenInfra基金會執行長Jonathan Bryce對媒體表示</a>，之前不這麼做是因為擔心發生付錢的人有特權的情形，但是隨著基金會管理的專案愈來愈多，而會員不是對每種專案都抱以同樣關注，因此贊助特定專案的呼聲愈來愈大。</p> <p><a href="https://openinfra.dev/projects/funding/" target="_blank">根據規畫</a>，為了管理企業資助，所有在直接資助模式下的專案都必須成立法律實體。OpenInfra也規畫，為確保專案和OpenInfra宗旨一致，每個專案都要有至少1家OpenInfra白金級會員（包括微軟、Red Hat、Meta、華為及螞蟻集團等9家業者）擔任執行贊助人，其他公司再投入專案基金。所有專案贊助者都必須是OpenInfra會員。OpenInfra要求每個資助專案的會員公司必須建立基金治理委員會，根據OpenInfra指引來決定預算。</p> <p>此外，OpenInfra將提供建立專案及社群的框架及指引，包括防止委員會為了衝營收而濫接專案的管理方法。</p> <p>目前OpenInfra僅允許剛加入的專案使用這項資助模式，<a href="https://techcrunch.com/2022/06/07/the-openinfra-foundation-launches-directed-funding-as-a-new-way-to-fund-open-source-projects/" target="_blank">並表示尚未規畫現有專案可轉向這新模式</a>。</p> <p>OpenInfra基金會除了OpenStack外，另有容器安全專案Kata Containers、基礎架構生命周期管理Airship 、邊緣運算軟體堆疊StarlingX及CI/CD平臺Zuul等專案。</p> </div></div></div>
2022/6/8 14:01作者林妍溱https://www.ithome.com.tw/news/151338
蘋果推出基於雲端CI/CD的Xcode Cloud開發平臺，可供Apple開發者在雲端建置和測試App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年beta測試，在6日舉行的WWDC 2022蘋果開發者大會上，Apple宣布Xcode Cloud服務已全面推出，可供所有Apple開發者開發App使用。目前如果升級到13.4.1與14.0 beta版Xcode工具，Apple開發者已可使用Xcode Cloud功能。Apple今夏也將推出Xcode Cloud訂閱方案。</p> <p>Xcode Cloud是內建在蘋果開發工具Xcode中的新服務，可供Apple開發者在雲端建置和測試、部署應用程式，透過持續整合和持續交付，來縮短App開發周期，加快產品上市。</p> <p>不像Xcode工具是安裝在Apple用戶自己的Mac上，Xcode Cloud主要在Apple託管的雲端基礎架構上來執行，從雲端上提供程式碼簽章、存取不同作業系統版本及Xcode工具。Xcode Cloud也與Xcode緊密整合，所有在Xcode Cloud上建置和測試的結果，甚至是應用程式崩潰的回傳報告，都會在用戶自己的Xcode中呈現。</p> <p>Apple表示，透過Xcode Cloud，開發者可以使用基於雲端的整合工具來建構iOS或MacOS等應用程式，並提供自動化測試，交付應用給測試人員及提供檢視及用戶回饋管理等，來協助開發者縮短應用開發與交付。而通過App Store Connect的Web儀表板，也能顯示Xcode Cloud上的測試的資訊，也能直接從Web頁面編輯工作流程並展開App建立，Xcode Cloud也能與TestFlight工具一起使用，可供團隊進行測試版測試。</p> <p>雖然是基於雲端CI/CD的開發平臺，不過，開發者使用Xcode Cloud服務時，仍需要配有一臺Mac及搭配最新Xcode工具，目前還不能在Windows的PC上來使用，在跨平臺App開發上也有限制，雖然可支援跨 iOS、macOS、watchOS 和 tvOS的App開發，但並不提供Android 或 Windows跨平臺的App支援。</p> <p>Apple預計今夏開始提供Xcode Cloud訂閱方案，收費方式將根據使用運算時數來計價，每月25小時收費約 14.99 美元起，若是Apple開發者計畫成員，明年底前將可獲得免費額外25小時的使用額度。</p> </div></div></div>
2022/6/8 11:37作者余至浩https://www.ithome.com.tw/news/151333
微軟對企業預覽Windows 11 22H2更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/preview-of-windows-11-version-22h2-now-available/ba-p/3478084" target="_blank">微軟昨日（7）宣布</a>Windows 11 22H2更新預覽版已釋出給企業用戶試用，正式版將於今年下半釋出。</p> <p>註冊Windows Insider Program for Business的企業，將可透過Windows Update、 Windows Update for Business、Windows Server Update Services（WSUS）、Windows Insider Preview下載頁、Azure Marketplace等管道下戴。</p> <p>而配合這波軟體釋出，微軟也將對企業用戶提供免費支援，協助企業及早測試及做好部署規畫。微軟表示Windows 7、8.1及Windows 10上的應用程式都可在Windows 11執行。若碰到有和22H2的App相容問題，<a href="https://www.microsoft.com/zh-tw/fasttrack/microsoft-365/app-assure?rtc=1" target="_blank">微軟則提供App Assure with Microsoft FastTrack技術支援</a>。</p> <p>Windows 11 22H2更新預覽版是非強制性更新。透過Windows Update設定頁、或Windows Update for Business政策頁設定加入Insider Program Release Preview Channel的公司電腦，將會自動接收到最新預覽版。不想升級的Windows 10用戶，可以在安裝設定時選擇「Stay on Windows 10 for now（暫時留在Windows 10上）」。執行Windows 11的電腦用戶則應記得不要選擇下載安裝。</p> <p>安裝Windows Server Update Service （WSUS）的公司環境，可啟用Windows Insider Pre-release類別同步下載，或使用Microsoft Endpoint Configuration Manager」。前者環境中它會出現控制臺上。微軟提醒，如果機器設定傳送診斷資料，若硬體規格不符合要求，WSUS會顯示無法安裝Windows 11 22H2。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0608-windows-11-updates_wsus.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1746,height=811'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0608-windows-11-updates_wsus-small.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>若選擇從Insider Preview下載頁下載，則可在「選擇版本」頁面選擇Windows 11 Insider Preview（Release Preview Channel）- Build 22621下載ISO檔。全新安裝（clean installation）的情境中，預覽版會使用現有Windows 10授權碼或以Azure AD啟動，無需新的Windows 11授權碼。</p> <p>以Azure Marketplace下載者，可到<a href="https://azuremarketplace.microsoft.com/zh-tw/marketplace/apps/microsoftwindowsdesktop.windows11preview?tab=Overview" target="_blank">Windows 11預覽頁</a>下載。</p> <p class="rtecenter"><img alt="" src="https://techcommunity.microsoft.com/t5/image/serverpage/image-id/378244i49522915B66B644B/image-size/large?v=v2&px=999" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://docs.microsoft.com/en-us/windows/release-health/windows11-release-information" target="_blank">根據微軟規畫</a>，Windows 11將會以一年一次的頻率提供功能更新，於每年下半釋出。更新後就會啟動技術支援期，Home、Pro、Pro for Workstations及Pro Education版提供24個月支援，Enterprise及Education版則提供36個月支援。</p> </div></div></div>
2022/6/8 11:23作者林妍溱https://www.ithome.com.tw/news/151332
Lockbit駭客宣稱攻擊資安廠商Mandiant，竊走35萬份檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日猖獗的勒索軟體Lockbit背後的駭客組織本周宣稱已駭入知名資安廠商Mandiant，並竊走35餘萬份檔案。但Mandiant表示沒有證據資料外洩。</p> <p>資安媒體如<a href="https://securityaffairs.co/wordpress/132011/cyber-crime/lockbit-claims-mandiant-hack.html" target="_blank">SecurityAffairs</a>、<a href="https://www.cyberscoop.com/lockbit-2-0-claims-mandiant-ransomware-victim/" target="_blank">Cyberscoop</a>報導，Lockbit勒索軟體駭客在其暗網網站公布這項消息，宣稱已從Mandiant公司網路得手35.7萬份檔案，並揚言若在6月6日晚間10:35未獲得對方贖款，將公開這些檔案。駭客並未說明取得哪些資料，但網站上有名為mandiantyellowpress.com.7z的檔案，意味和Mandiant網域有關。</p> <p class="rtecenter"><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FUlcEoFXwAAwdcB?format=jpg&name=large" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/serghei/status/1533858460512792576/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sergiu Gatlan</span></span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">昨日Mandiant對媒體表示</a>，該公司已經注意到這個消息，但截自目前沒有證據顯示公司有資料外洩的情形。</p> <p>Lockbit宣傳駭入Mandiant之前，<a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions" target="_blank">本月2日Mandiant公布</a>一份針對Lockbit和其背後名為UNC2165的駭客組織的分析，這個駭客組織已利用Lockbit多次犯案。Mandiant根據使用的工具推斷，UNC2165和俄國駭客組織Evil Corp重疊，他們相信，Evil Corp轉而利用Lockbit勒索軟體的網路來躲避西方國家的制裁。</p> <p>昨日時限一到，Lockbit駭客公布了資料，但不是Mandiant的相關檔案，而是一份和其他公司受害者的對話擷圖，以及一封聲明稿。聲明稿主要是駁斥Mandiant上周針對Lockbit身分的一項分析。</p> <p><a href="https://twitter.com/vxunderground/status/1533948505043124224" target="_blank">Lockbit駭客否認他們和Evil Corp有關</a>，並嘲笑Mandiant光以使用的工具相同來判斷兩者關聯。他們強調自己是「真正的地下暗網駭客」，和任何政治或情報組織如FBI、俄國的FSB等都無關。Lockbit表示其成員涵括多種國籍，不但有俄羅斯，也有美國、中國、烏克蘭、伊朗等其他國家駭客。</p> <p><a href="https://twitter.com/Mandiant/status/1534230187721859073" target="_blank">Mandiant昨日表示</a>，根據駭客公布的資料，無法顯示Mandiant資料外洩，同時該公司也對其稍早Lockbit和UNC2165的分析表達信心。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/" target="_blank">BleepingComputer分析</a>，Lockbit這番否認可能是擔心一旦被扯上和美國政府制裁的Evil Corp，受害企業就不願意再付贖金。</p> <p><a href="https://www.ithome.com.tw/news/151270" target="_blank">上周Lockbit駭客也宣稱駭入鴻海墨西哥工廠</a>，鴻海也證實了這項消息，但表示受攻擊廠區正逐漸恢復正常中，對集團整體營運影響不大。</p> </div></div></div>
2022/6/8 10:27作者林妍溱https://www.ithome.com.tw/news/151328
歐盟規定手機等電子裝置在2024年都必須統一採用USB-C充電埠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europarl.europa.eu/news/en/press-room/20220603IPR32196/deal-on-common-charger-reducing-hassle-for-consumers-and-curbing-e-waste" target="_blank">歐洲議會與歐盟高峰會（European Council，EC）在本周二（6/7）達成共識</a>，將要求境內特定電子裝置要在2024年秋天之前以USB-C作為通用的充電埠，涵蓋手機、平板電腦、筆電、數位相機、遊戲機等眾多產品。</p> <p>此一新規定被列入《無線電設備指令》（Radio Equipment Directive）修正版中，建立一個單一的充電解決方案，除了可減少電子浪費、改善境內產品的可持續性之外，估計也會讓消費者的生活輕鬆許多。</p> <p>研究顯示，廢棄與未使用的充電器每年造成1.1萬噸的電子垃圾，且讓充電器可重覆使用，每年可替歐盟消費者節省2.5億歐元的充電器購買費用。</p> <p>在此一修正版上線後，消費者在購買新的電子裝置時，將無需再購買新的充電器，只要同一個充電器就能替所有中小型的可攜式電子裝置充電。</p> <p>該法令所適用的裝置極為廣泛，除了手機、平板電腦、數位相機、耳機、頭戴式裝置、遊戲機、可攜式喇叭之外，也包含了筆電、電子書閱讀裝置、鍵盤、滑鼠及可攜式導航裝置等。</p> </div></div></div>
2022/6/8 10:53作者陳曉莉https://www.ithome.com.tw/news/151329
IBM宣布撤出俄羅斯市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/Update-on-IBMs-Business-Operations-in-Russia" target="_blank">全球科技服務業者IBM周二（6/7）宣布</a>，將撤出俄羅斯市場，解散當地的員工。</p> <p>在俄羅斯於2月24日入侵烏克蘭之後，IBM於3月7日暫停於俄羅斯的營運，雖然營運暫停，但依舊支付薪資予當地的員工。不過，IBM本周表示，隨著戰爭所帶來的後果愈來愈嚴重，長期的不確定性大增，使得它們決定將關閉IBM於俄羅斯的業務，且即日就會展開相關程序，包括解散當地的員工。</p> <p>IBM並未說明該公司在俄羅斯的員工人數，但IBM於俄羅斯有許多重量級客戶，例如俄羅斯聯邦儲蓄銀行Sberbank或俄羅斯鐵路Russian Railways等。</p> <p>不過，IBM在今年4月的財報會議上透露，不在俄羅斯作生意對該公司的影響很小，該市場每年替IBM創造3億美元的營收，僅占IBM總營收的0.5%。</p> <p>IBM也表示，該公司知道這並不是員工的錯，而且他們已經承受了幾個月的壓力與不確定性，IBM將會持續支持他們，採取所有合理的步驟來協助他們渡過此一時期。</p> </div></div></div>
2022/6/8 11:14作者陳曉莉https://www.ithome.com.tw/news/151330
Python與meta程式設計
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當我們使用Python進行開發時，當中的資料都是以物件的形式存在，而物件會是類別的實例，若能控制每個被定義的類別，就有機會對它們進行驗證、調整，玩弄一些神奇的技法。若要概略區分，這其實是屬於meta程式設計的範疇。如果你對Python稍有深入的研究，可能會想到Python可藉由metaclass的定義與指定，來從事meta程式設計。</p> <p>然而，在Python中，想利用meta程式設計完成任務，最好的方式就是不要使用metaclass，這聽來矛盾，其實這是個隱喻，就跟「在Python中想讀取檔案，最好的方式就是不要read」是類似的，因為檔案物件實作了迭代器協定，透過for in就能逐一取得檔案中的資料，同時可以降低讀取檔案時的複雜度。</p> <p><span style="font-size:28px;"><strong>使用metaclass之前</strong></span></p> <p>類似地，metaclass在實作與使用上有著不小的複雜度，往往還必須搭配裝飾器（decorator）、描述器（descriptor），而隨意實作的metaclass令程式增加意外性且難以除錯，因此我們應優先考量Python標準程式庫中現成、成熟的metaclass實作方案，看看它們是否能夠解決問題，而非一上來就直接實作metaclass。</p> <p>例如，在屬性與方法的控制上，如果想實現固定存取（uniform access）原則，我們可以使用@property，靜態方法與類別方法也有相對應的@staticmethod、@classmethod裝飾器；若想定義抽象基礎類別及抽象方法，我們可以透過abc模組的ABC類別，以及@abstractmethod等進行。</p> <p>基本上，@property等標註，實現了裝飾器與描述器的行為，至於ABC類別，其實是個指定metaclass為abc.ABCMeta的簡便類別，而建議繼承ABC的原因在於，可以讓開發者不用意識到metaclass的存在。而在多重繼承的情況下，若其他父類別也指定metaclass，建構與初始的流程可能會難以掌握，這時自行指定metaclass才會是必要的。</p> <p><span style="font-size:28px;"><strong>魔術方法與描述器</strong></span></p> <p>如果Python標準程式庫現成的方案不足以使用，下一步是考量可靠的第三方程式庫，如果還是不足以解決問題，想要自行實現屬性與方法的控制，我們此時可以先考量魔術方法。</p> <p>例如，若想控制能指定給物件的屬性名稱，我們可以在定義類別時指定__slots__，列出類別實例可以指定的屬性；若想指明某些特性是抽象方法，我們可以在類別實例上指定__abstractmethods__，表明哪一些方法其實是抽象方法，如果類別的__abstractmethods__不為空，那麼就是個抽象類別，不可以直接實例化。</p> <p>然而，只是指定父類別的__abstractmethods__，並沒有檢查子類別是否實作抽象方法的能力，這就是ABC類別與@abstractmethod存在之目的。其實，檢查子類別是否實現了抽象方法，只是metaclass用來驗證子類別的一種形式，有許多任務也都需要驗證子類別。</p> <p>為了避免開發者以複雜的方式實現metaclass來驗證子類別，Python 3.6以後，類別可以實作__init_subclass__方法，若繼承該類別，直譯器在執行完類別定義後，就會呼叫__init_subclass__方法傳入子類別，這就使得驗證子類別這類任務在實作上，可以避免使用metaclass而輕鬆許多。</p> <p>控制屬性的魔術方法，還有__getattribute__、__getattr__、__setattr__、__delattr__。在取得屬性時，最先執行的會是__getattribute__，常作為取得屬性時最前端的攔截器，而由於實例__dict__中存在屬性時就會傳回值，因此，__getattr__常作為搜尋屬性的過程中，都找不到屬性時的最後一道防線；由於__setattr__、__delattr__一定會先呼叫，所以，也就不存在__setattribute__、__delattribute__。</p> <p>描述器會參與屬性存取過程，是與__getattr__需求正交（orthogonal）的方案，但與特殊方法不同之處在於：描述器可以取得描述器所在類別資訊，而且描述器本身是個物件，可重用在各個類別之中，本身被存取時會呼叫對應的協定，而非描述器所在類別之實例各屬性被存取時，採取對應的動作。</p> <p>在Python 3.5以前，描述器只在被存取時才會呼叫對應的協定，若要在描述器被定義至類別時，就能進行驗證類別的動作，必須透過metaclass來實作；到了Python 3.6以後，描述器可以定義__set__name__方法，而這個方法會在類別定義完成後執行，傳入描述器所在之類別，這麼一來，就有機會對類別或名稱做些處理，可以避免過去一些必須實作metaclass的場合。</p> <p><span style="font-size:28px;"><strong>裝飾器與metaclass</strong></span></p> <p>meta程式設計的應用，並不僅在於控制屬性與方法，例如，Python 3.6以後的類別，可以實作__init_subclass__方法、描述器可以定義__set__name__方法，這無非就是在反映一件事實：不少任務需要在類別定義完成時就執行。</p> <p>有個最接近類別定義完成時就執行的機制，那就是類別裝飾器，當裝飾器標註在類別，類別會作為裝飾器的引數傳入，這時候也就有機會對類別做驗證及調整。</p> <p>因為每個類別只能指定一個metaclass，然而，類別裝飾器可以組合，也就是，在類別上可以標註多個裝飾器，這就使得在許多場合當中，類別裝飾器成了比metaclass更有彈性的選擇，例如，在《Effective Python》第二版的〈做法51〉，就推薦以類別裝飾器來實現可組合的擴充機制，而不是使用metaclass。</p> <p>metaclass存在之目的，是希望類別定義完成時就執行一些任務，具體來說，就是希望能掌握類別的建立與初始化！嗯？類別不是寫死的程式碼定義嗎？不是！類別最後會成為一個物件，是type類別的實例，因此實作metaclass，就是希望在掌握type(...)建立、初始類別時的過程。</p> <p>這也就是為什麼，定義metaclass時需要繼承type類別，實作__new__或__init__方法。這是因為__new__掌握了怎麼建立類別，__init__掌握了怎麼初始類別，如果某個類別在定義時指定了metaclass，那麼，就會使用該metaclass來建立、初始化類別。</p> <p><span style="font-size:28px;"><strong>建立、初始化類別前或後？</strong></span></p> <p>類別裝飾器（或者魔術方法、描述器等）終究是在類別建立、初始化之後，才會在類別進行調整，是否使用metaclass的最大考量也在於此：開發者想解決的任務，究竟是在類別建立、初始化之前就要完成呢？還是其實在類別建立、初始化之後，也可以實現呢？若是前者，才使用metaclass！</p> <p>一個有趣的事實是，定義類別時metaclass可指定對象──並不只有type子類別，只要是可呼叫（callable）物件都可以指定，這是因為：建立metaclass實例時，就是呼叫__call__，其中才呼叫了__new__、__init__方法，然而，這是從鴨子定型的觀點來看罷了，如果使用靜態分析工具，像是mypy檢查時，可能就會發生"Invalid metaclass"之類的錯誤。</p> <p>總之，在Python中，如果我們能用簡單方案實現的任務，就不要以複雜的方式來實現，從事meta程式設計時也是如此，雖然某些需求，看似用特殊方法、描述器或metaclass等都能實現，但是，還是要仔細考量彼此的分野，以免讓實現變得複雜了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/python">Python</a></div><div class="field-item even"><a href="/tags/metaclass">metaclass</a></div><div class="field-item odd"><a href="/tags/%E7%89%A9%E4%BB%B6">物件</a></div></div></div>
2022/6/8 07:00作者林信良https://www.ithome.com.tw/voice/151261
【資安日報】2022年6月7日，MSDT零時差漏洞已被用於攻擊美歐政府機關、大型製藥廠諾華機密資料疑出現於地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與Windows系統診斷工具（MSDT）有關的零時差漏洞CVE-2022-30190，繼上星期有中國駭客利用此漏洞對西藏發動攻擊後，研究人員再度發現相關的攻擊行動。而這次駭客的目標，是歐洲與美國地方政府的人員。</p> <p>今天有兩起駭客聲稱竊得企業內部資料的事故相當引起關注。其中又以大型藥廠諾華（Novartis）的資料外洩事故較為受到矚目，因為，駭客宣稱拿到與研發新藥品有關的實驗數據，而很有可能影響相關藥品的研發。</p> <p>廣泛運用於嵌入式Linux裝置的開機程式U-Boot，其漏洞引起研究人員注意，因為，這些漏洞有可能被攻擊者用於挾持設備。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/windows-zero-day-exploited-in-us-local-govt-phishing-attacks/"><span style="color: rgb(0, 0, 0);">MSDT零時差漏洞已被用於攻擊美歐政府機關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Follina-phishing-FUW1kpUUAAEnTxj.jpg" style="width: 300px; float: right;" /></a>在5月底被資安人員揭露，且<a href="https://www.ithome.com.tw/news/151257#ta413">已出現攻擊行動</a>的MSDT零時差漏洞CVE-2022-30190（亦稱Follina），現在也有駭客鎖定歐美政府機關下手的事故。資安業者Proofpoint發現，有人透過承諾給員工加薪的釣魚郵件，鎖定歐洲政府機關與美國地方政府機關（少於10個組織），一旦收信人打開附件的檔案，駭客就會透過上述的漏洞，在電腦上部署PowerShell指令碼來進行攻擊，從多種上網應用程式，包含瀏覽器、收信軟體、即時通訊軟體等，竊取帳密資料並傳送到駭客的伺服器。而對於攻擊者的身分，研究人員表示很可能是國家級駭客，但還不確定是那個組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/novartis-says-no-sensitive-data-was-compromised-in-cyberattack/"><span style="color: rgb(0, 0, 0);">大型製藥廠諾華機密資料疑出現於地下市集，該公司宣稱無機密資料外流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/novartis-data-for-sale.jpg" style="width: 300px; float: right;" /></a>以生產療黴舒、愛克喘、服他寧等藥物的大型藥廠諾華（Novartis），傳出有駭客組織竊得其內部資料並於地下市場兜售的情況。根據資安新聞網站Bleeping Computer的報導，駭客組織Industrial Spy在其經營的地下市集裡，以50萬美元的價格出售檔案大小共7.7 MB的PDF檔案，該組織宣稱這些資料來自諾華實驗室，與RNA及DNA的藥物技術有關，亦包含實驗數據，很可能是該公司研發下一代武漢肺炎藥物的機密資料。對此，諾華向該新聞網站表示，他們確認無相關機密資料遭到損害，並著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/mandiant-no-evidence-we-were-hacked-by-lockbit-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit宣稱從資安業者Mandiant竊得資料，但駭客似乎別有目的</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit-Mandiant-FUlcEoFXwAAwdcB.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客聲稱入侵資安業者並打算公布資料，起因很有可能是與研究人員揭露駭客的行蹤有關。勒索軟體駭客LockBit於6月6日晚間，宣稱他們成功從資安業者Mandiant竊得356,841個檔案，並打算將這些資料公諸於世。不過，這些駭客並未透露竊得資料的內容為何。</p> <p>Mandiant也得知此事並著手調查，並表示目前尚未找到與該組織入侵公司相關的證據。但研究人員根據駭客公布檔案大小僅有0位元、檔名為mandiantyellowpress.com.7z檔案進行調查，這起事件並非駭客真的入侵了Mandiant，而很有可能是因為該公司研究人員於6月初，<a href="https://www.ithome.com.tw/news/151308#evilcorp-lockbit">揭露駭客組織Evil Corp使用LockBit勒索軟體</a>，LockBit駭客組織想要和該組織畫清界線，避免也被美國政府追查所採取的行動。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/06/shining-the-light-on-black-basta/"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta與QBot狼狽為奸，在受害組織橫向擴散</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Black-Basta-remove-microsoft-defender.png" style="width: 300px; float: right;" /></a>勒索軟體駭客與其他組織合作，由對方負責潛入受害組織的情況時有所聞，但現在有人更進一步協助勒索軟體進行橫向感染。資安業者NCC Group在調查資安事故的過程中，發現QBot與勒索軟體Black Basta之間的合作關係，勒索軟體駭客不只委由QBot進行初步入侵受害組織的網路，Black Basta更進一步藉由該惡意軟體橫向傳播勒索軟體，駭客也在受害主機上建立臨時服務，使用Regsvr32側載QBot，然後啟用遠端桌面連線（RDP），以便攻擊者控制受害電腦。</p> <p>研究人員指出，駭客可能運用QBot感染網路共享資料夾、暴力破解AD、並透過SMB檔案共用機制來傳播勒索軟體，他們也在部分受害電腦上看到駭客部署了Cobalt Strike的Beacon。而勒索軟體Black Basta在加密檔案之前，也會刪除磁碟陰影複製服務（VSS）的備份檔案，以及Veeam備份檔案，並透過PowerShell指令刪除作業系統內建的防毒軟體Microsoft Defender。研究人員認為，企業應加以管控RDP與SMB的流量，並確保相關備份資料可用性，來防堵上述的攻擊手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/"><span style="color: rgb(0, 0, 0);">義大利巴勒莫市遭到網路攻擊</span></a></strong></h3> <p>自歐美多個國家於4月聯合提出警告，俄羅斯駭客將會攻擊全球關鍵基礎設施後，義大利於5月接連遭到該國駭客組織Killnet的DDoS攻擊，而最近又有一座城市傳出遭到癱瘓的消息。根據資安新聞網站Bleeping Computer的報導，義大利南部的巴勒莫市於6月3日遭到網路攻擊，當地的IT專家持續嘗試復原系統運作，但目前為止該城市的所有服務仍幾乎無法運作，受影響的系統包含了警察調度中心、視訊監控系統，以及所有市民服務等。但這起事故是否也是Killnet所發起？該新聞網站指出，巴勒莫市很可能遭到勒索軟體攻擊，而非DDoS攻擊，應該不是該駭客組織所為。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://about.gitlab.com/releases/2022/06/01/critical-security-release-gitlab-15-0-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補可能導致帳號遭到接管的重大漏洞</span></a></strong></h3> <p>GitLab於6月1日發布資安通告，該公司為旗下的企業版與社群版軟體修補8個漏洞，其中最嚴重的漏洞是CVE-2022-1680，CVSS風險評分為9.9分，影響的版本涵蓋11.10版至14.9.4版、14.10版至14.10.3版，以及15.0版等企業版軟體。這項漏洞與跨網域身分管理系統（SCIM）有關，一旦遭到攻擊者利用，就有可能透過所有者任意邀請新的使用者，並竄改這些使用者的電子郵件信箱資料，進而接管對方的使用者帳號。該公司呼籲用戶應儘速安裝新版GitLab軟體來修補漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://research.nccgroup.com/2022/06/03/technical-advisory-multiple-vulnerabilities-in-u-boot-cve-2022-30790-cve-2022-30552/"><span style="color: rgb(0, 0, 0);">嵌入式Linux系統開機程式U-Boot出現重大漏洞，恐被攻擊者用於任意寫入檔案到裝置</span></a></strong></h3> <p>Amazon Kindle、Chromebook等行動裝置所採用的開機系統U-Boot（亦稱為Das U-Boot），<a href="https://www.ithome.com.tw/news/134091">曾在3年前被發現多個漏洞，而有可能讓駭客能執行任意程式</a>，最近又有資安業者發現重大漏洞並提出警告。資安業者NCC Group於6月3日發布資安通告指出，他們在U-Boot實做的IP重組（IP Defragmentation）演算法裡，發現兩個漏洞CVE-2022-30790、CVE-2022-30552，CVSS風險評分為9.6分與7.1分，一旦攻擊者加以利用，有可能透過錯誤格式的資料封包來挾持裝置，或是發動阻斷服務（DoS）攻擊。目前開發者尚未提供修補程式，研究人員呼籲用戶在新版U-Boot推出後應儘速升級。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151308">【2022年6月6日】 Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開始鎖定韌體發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> </div></div></div>
2022/6/7 18:42作者周峻佑https://www.ithome.com.tw/news/151321
Container周報第149期：Docker桌面版正式支援Linux，未來連樹莓派OS都能裝
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>2022/5/8~2022/5/25 精選容器新聞</strong></span></p> <p><strong>#容器開發、#Docker桌面<br /> 終於！Docker桌面版正式支援Linux，未來連樹莓派OS都能裝</strong></p> <p>這項在Docker公開藍圖需求排名第二熱門的功能，終於實現了。日前Docker在年度大會上宣布，Docker桌面版也正式支援Linux了。這代表了開發者可以跨Windows、macOS和Linux來使用相同的Docker容器開發環境。</p> <p>過去Linux開發者只能使用命令列工具來使用Docker開發環境，但現在可以透過視覺化UI來管理容器配置、儲存空間、映像檔等。也可以一鍵快速安裝常見容器開發套件，包括了K8s、Docker Engine、Docker CLI、Docker Compose、BuildKit等。Docker桌面版的Linux版本，可以整合Linux VM，也能用來整合Mac、Windows電腦上的檔案系統或網路層。</p> <p>開發者可以使用Docker儀表板來管理Linux上所有的容器資源。Linux開發者現在也能使用Docker外掛機制，來取得第三方提供的Docker工具。目前，Docker桌面版可以支援的Linux版本包括了Ubuntu、Debian和Fedora，Docker公司表示，下一步將與Linux社群合作，盡可能支援更多Linux發行版本，預計將推出ArchLinux版本以及許多人期待的64位元Raspberry Pi作業系統。</p> <p><strong>#容器開發、#Docker擴充機制<br /> Docker桌面版擴充機制正式推出，VMware、紅帽等16家第三方先支援</strong></p> <p>Docker Extension擴充機制和擴充機制SDK在5月初正式推出，也代表了Docker桌面成了可以支援任何第三容器工具的桌面版整合開發環境，而第三方應用也可以透過Docker Extension SDK來整合到Docker開發流程中。Docker公司也宣布了第一批擴充機制的供應商有16家，包括紅帽、VMware、JFrog等，提供了多款K8s擴充機制，如可支援VMware Tanzu社群版K8s或紅帽OpenShift的快速部署。另外也有多款強化軟體供應鏈安全的擴充機制，例如JFrog Xray、</p> <p>Snyk、Anchore這3款擴充機制都可用孻掃描容器映像檔弱點。也有一些Docker公司自建的擴充機制，例如磁碟用量工具、容器Log檔瀏覽工具。</p> <p><strong>#GitOps、#Azure<br /> AKS正式支援Weaveworks的GitOps平臺，VS Code也同時內建</strong></p> <p>Weaveworks旗下GitOps平臺Flux v2在微軟開發者大會上宣布，正式支援AKS和Arc K8s。開發團隊能透過Azure叢集擴充機制來啟用Flux後，就可以讓Azure支援GitOps配置，連結到Git儲存庫，來快速部署和管理跨雲的K8s叢集。Azure可以追蹤在Git儲存庫中定義的狀態，來檢查透過GitOps流程部署的法遵狀態，也能用來觀察叢集的健康情況。</p> <p>搭配AKS支援GitOps配置，VS Code也釋出了GitOps擴充功能，可以用來管理在AKS上Flux平臺所建立的GitOps流程。</p> <p><strong>#Serverless、#容器化App<br /> Azure容器化App服務正式上線，主打CNCF開源專案技術來提高互通性</strong></p> <p>微軟在年度開發大會上宣布Azure上的容器化App服務正式上線，這是用K8s提供的無伺服器執行服務，可以用來部署容器化的微服務。這項服務並非以微軟自家工具，而是標榜以CNCF的開源專案技術為主，來確保高度互通性，在微軟AKS服務上，採用K8s事件驅動自動擴充轉KEDA、分散式應用Runtime（Dapr）和Envoy來打造出這項服務。開發者可以透過Visual Studio和Visual Studio Code來開發和管理Azure容器化App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Azure%E5%AE%B9%E5%99%A8%E5%8C%96app.png" /></p> <p><strong>#容器資安、#DevOps<br /> GitLab大改版，容器掃描成為基本功能，免費版也能用</strong></p> <p>DevOps平臺商GitLab最近發布了15.0新版，加入更多的DevOps功能，重要更新包括Wiki的WYSIWYG Markdown編輯器，編輯器現在支援超過100種的程式語言，從程式碼區塊上方的下拉選單，便可以選擇對應的語言，來突出顯示CSS、YAML和Python等程式碼，減少無樣式的程式碼區塊出現，用戶也可以將程式碼區塊快速複製到剪貼簿中，在其他程式碼編輯器重複使用。</p> <p>在15.0版中，也將過去付費版才有的容器掃描功能，下放到免費版，可以用來檢查所安裝的容器映像檔中，存在的已知安全漏洞。</p> <p><strong>#Linux、#容器部署<br /> 新版RHEL 9來了，新增容器回撤功能，能自動回復到更新前組態</strong></p> <p>紅帽在年度大會中宣布推出了RHEL 9，主打邊緣運算（edge computing）的支援、及預防Spectre等硬體層漏洞的安全功能。</p> <p>這是第一個以CentOS Stream為基礎的產品，後者是提供RHEL預覽版功能的社群版。新版本特別主打對邊緣運算的功能強化，包括在單一介面的安全與控制管理，如零點擊撥用（zero-touch provisioning）、系統狀態管理及漏洞緩解。新增Podman的自動化容器回撤（rollback），可在偵測容器更新失敗時，回復到之前最後的良好組態。</p> <p><strong>#雲端原生、#軟體開發<br /> 微軟推出雲端開發工具箱Dev box，開發電腦環境能上雲統一預先配置和管理</strong></p> <p>微軟利用去年發表的雲端電腦Windows 364，推出了雲端開發電腦，稱為雲端開發工具箱Dev Box服務。這是一個在雲端提供的開發用電腦環境，可以結合Azure AD群組管理，預先為開發專案中不同成員角色，預先配置所需硬體規格、開發工具和支援套件的雲端開發用電腦環境，可以快速啟動來使用。</p> <p>也因透過Windows 365雲端電腦提供，因此，也可以統一使用微軟端點管理機制和Intune來控管這些雲端開發電腦的安全性。開發者可以透過Windows、MacOS、Android或iOS作業系統，以及瀏覽器來登入這個雲端開發電腦，進行不同類型的App開發，也能用內建的Linux次系統來開發Linux應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E9%9B%B2%E7%AB%AF%E9%96%8B%E7%99%BC%E9%9B%BB%E8%85%A6.png" /></p> <p><strong>#開源軟體管理、#軟體供應鏈<br /> 瞄準軟體供應鏈管理需求，GCP第三季推出開源套件安全驗證保證服務</strong></p> <p>Log4j漏洞問題引發應用程式開發的供應鏈安全問題，GCP近日宣布名為保證開源軟體（Assured Open Source Software）的服務，可協助企業或開發商取得經過Google漏洞檢查及簽章的開源套件，這項服務預計今年第3季開放測試。這些開源套件定期經Google掃瞄、分析漏洞及模糊測試、以Google 無伺服器CI/CD平臺Cloud Build開發、經過Google簽章、並由Google Cloud（容器映像檔及語言套件代管平臺）Artifact Registry代管及管理，藉此省去開發人員使用開源套件的安全管理作業。</p> <p><strong>更多新聞</strong></p> <p>SUSE正式推出容器安全產品NeuVector，能管理容器各生命周期階段的資安</p> <p> </p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/6/7 18:52作者王宏仁https://www.ithome.com.tw/news/151322
駭客利用微軟零時差漏洞Follina來攻擊歐洲與美國政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/threatinsight/status/1532830739208732673" target="_blank">資安業者Proofpoint上周指出</a>，光是這幾天就封鎖了多個企圖開採微軟零時差漏洞Follina的網釣攻擊行動，目標對象為歐洲各國政府及美國的地方政府組織。</p> <p><a href="https://www.ithome.com.tw/news/151238" target="_blank">微軟是在5月30日揭露</a>此一位於Microsoft Support Diagnostic Tool（MSDT）的Windows漏洞CVE-2022-30190，該漏洞允許駭客取得用來呼叫MSDT的程式權限，以執行任意程式。當時微軟已收到針對該漏洞的攻擊報告，同時資安業者也公布了鎖定該漏洞的不同攻擊行動。</p> <p>目前微軟僅建議使用者關閉MSDT的URL協定作為暫時性補救措施，尚未釋出修補程式。</p> <p>Proofpoint說明，此一攻擊行動看似由特定政府支持，鎖定歐洲及美國政府組織進行網釣攻擊，在電子郵件中誆稱要幫員工加薪，並附上一個跨平臺的RTF檔案格式，檔案中則藏匿了惡意的Powershell腳本程式。</p> <p class="rtecenter"><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-phishing%20CVE-2022-30190-600.jpg" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/threatinsight/status/1532830739208732673" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></a></p> <p>最終的惡意Powershell腳本程式會檢查系統的虛擬化狀態，並自瀏覽器、郵件客戶端及文件服務中竊取資訊，還會在機器上進行偵察，再將所有盜來的資訊壓縮並傳送至駭客伺服器。</p> </div></div></div>
2022/6/7 17:52作者陳曉莉https://www.ithome.com.tw/news/151320
蘋果推出BNPL功能Apple Pay Later美國市場先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北時間6月7日凌晨，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-new-ways-to-share-and-communicate-in-ios-16/" target="_blank">蘋果在WWDC 2022發表包括iOS 16</a>、macOS Ventura、以及採用新一代M2晶片的MacBook Air。其中iOS 16將推出先買後付（Buy Now Pay Later，BNPL）功能Apple Pay Later。</p> <p>BNPL和銀行分期付款類似，允許消費者先取得產品和服務，並於日後一定期間內分期支付。和銀行付款不同的是，BNPL模式下，是由第三方服務業者先支付，後者則向消費者收取利息或逾期罰金。消費者不需具備信用卡，BNPL業者也不執行傳統銀行的信用稽核，而是依據業者自己的風險模型進行評估。在Apple Pay Later中，BNPL角色就由蘋果擔任。</p> <p>Apple Play Later是內建於Apple Wallet的服務，方便使用者以Apple Wallet管理、追蹤消費狀況，或設定重覆使用Apple Pay Later支付。只要能使用Apple Pay支付都可以用這項服務，不論是網路購物或程式內（In-App）購買。此外，結合Apple Pay訂單追蹤（Order Tracking）功能，消費者可在Wallet中接到以Apple Pay向合作店家購物時的詳細收據或訂單追蹤資訊。</p> <p>蘋果今天也宣布，在美國提供Apple Pay Later服務，消費者可設定6周期間的4期分期付款。蘋果強調無息且無額外費用，但若消費者銀行戶頭餘額不足可能會衍生出銀行方面的費用。在美國的Apple Pay Later將利用萬士達卡（Mastercard）網路完成支付。</p> <p>蘋果藉此趕上BNPL金融服務風潮。<a href="https://www.prnewswire.com/news-releases/afterpay-and-google-pay-deliver-buy-now-pay-later-payments-for-brick-and-mortar-retailers-301092772.html" target="_blank">Google Pay 2020年7月</a>和BNPL服務業者AfterPay合作提供於美國實體店家使用的BNPL支付。微軟則於去年底和ZIP合作自有服務，<a href="https://www.ithome.com.tw/news/148064" target="_blank">並於Edge測試</a>。</p> <p>除了BNPL服務，<a href="https://www.apple.com/newsroom/2022/02/apple-unveils-contactless-payments-via-tap-to-pay-on-iphone/" target="_blank">蘋果今天也宣布</a>本月在美國推出零接觸支付（Contactless Payments）功能「Tap to Pay」，允許消費者以iPhone直接完成支付，同時店家也無需另外安裝終端機或其他硬體。</p> </div></div></div>
2022/6/7 16:23作者林妍溱https://www.ithome.com.tw/news/151316
蘋果2021年封鎖了逾160萬個不安全App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/app-store-stopped-nearly-one-point-five-billion-in-fraudulent-transactions-in-2021/" target="_blank">蘋果本周宣布打擊詐騙App的成果</a>，2021年該公司封鎖了超過160萬個可能導致用戶詐騙的惡意或有風險App及程式更新，刪除上億詐騙帳號及App評價，防止價值將近15億美元的詐欺交易。</p> <p><a href="https://www.ithome.com.tw/news/144354" target="_blank">去年5月蘋果發布第一次App詐欺預防的成果報告</a>。而在2021年，蘋果宣稱封鎖160多萬可詐騙用戶金錢的高風險及不安全App。其中蘋果封鎖了散布盜版App的線上市集6.4萬個，這些App冒充高人氣App，又企圖繞過App Store的安全檢查。還有些開發人員先以合法名目使App通過審查，之後悄悄變更功能，共15.5萬個App被蘋果發現而將之下架。</p> <p>此外，有將近3.5萬個App內暗藏未公開的功能遭到App Store拒絕，34.3萬個App因違反隱私政策吃了閉門羹，另有15.7萬個App因涉嫌發送垃圾訊息、抄襲或誤導用戶而無法上架。</p> <p>詐騙帳號是這些App問世的起點，因而成為蘋果查緝重點。過去12個月之中，蘋果拒絕了1.2億個企圖設立的詐騙帳號，1.7億個詐騙帳號遭停權。蘋果還關閉了80.2萬個涉及詐騙的開發者帳號。並有將近60萬帳號被查禁不得再次交易。</p> <p>許多用戶是因不實評價而上了詐騙App的當。2021年蘋果掃瞄所有平臺上超過10億次評等或評價，因此封鎖了9,400萬次評等，有1.7億多則評價因未達審核標準而從未曝光，還有61萬則評價被用戶投訴及經人力審查而移除。</p> <p>蘋果說，經過嚴格審核，2021年該公司阻止了將近15億美元的詐欺交易，防堵了330萬張失竊信用卡被用於在蘋果平臺上消費。</p> </div></div></div>
2022/6/7 16:38作者林妍溱https://www.ithome.com.tw/news/151317
蘋果發表macOS Ventura，強化多工、協作與無密碼功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/06/macos-ventura-brings-powerful-productivity-tools-new-continuity-features-to-mac/" target="_blank">蘋果於周一（6/6）發表了新一代的macOS Ventura（macOS 13）桌面作業系統</a>，新增的幕前調度（Stage Manager）將讓使用者更容易切換正在執行的任務，亦允許Mac用戶透過接續互通相機（Continuity Camera）功能來利用iPhone的相機能力，還能利用指紋或人臉辨識等生物認證機制來產生通行密鑰（Passkey），以響應無密碼時代的到來。</p> <p>當中的幕前調度可自動整理使用者於桌面上所開啟的程式與視窗，正在使用的程式或視窗會占據螢幕中央的主要位置，而其它開啟的視窗則會以小圖形式出現於左側，以方便使用者切換任務，還可替這些小圖建立群組，來區分不同的任務或專案。</p> <p>至於接續互通相機功能則是讓Mac用戶得以利用iPhone來作為電腦的網路攝影機，該功能會自動辨識並使用附近的iPhone相機，把iPhone相機的人物居中、人像模式或其它更高階的功能帶到Mac裝置上，具備超廣角相機的iPhone還能提供Desk View功能，提供納入使用者臉部與桌面的視角，方便製作DIY影片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-Continuity-Camera-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>FaceTime也提供了接力（Handoff）功能，在任一蘋果裝置上執行的FaceTime都能無縫切換到另一臺蘋果裝置上，例如原本在iPhone或是iPad上使用FaceTime，只要按下一鍵就能切換至Mac上，或是把Mac上的通話轉移到iPhone與iPad上。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/os/macos/standard/Apple-WWDC22-macOS-Ventura-FaceTime-Handoff-220606_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>macOS Ventura內建的Safari瀏覽器也新增了許多功能，例如可共享分頁群組（Tab Groups），或者是在共享的起始頁面（Start Page）建立書籤列表，以利與親友或同事協作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Tab%20Groups%20in%20Safari%20-600.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>為了推動無密碼的未來，蘋果在最新的macOS、iOS或iPadOS上都嵌入了通行密鑰（Passkey）機制，讓使用者把這些設備當作身分認證者，在建立帳號的時候產生一對公私鑰，再把其中的公鑰傳送至伺服器端，至於私鑰則存放於使用者的裝置上，就蘋果用戶而言，就是以Touch ID或Face ID等生物認證技術，產生通行密鑰，並能利用iCloud Keychain來同步不同蘋果裝置上的密鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Passkeys-macOS%20Ventura-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>有了通行密鑰之後，未來使用者登入任何服務都不用再輸入密碼，而是以存放於使用者裝置上的密鑰來取代，它不僅適用於蘋果裝置或行動程式，就算使用者正在操作其它平臺或使用第三方應用，也可以利用iPhone中所存放的通行密鑰來登入服務。</p> <p>macOS Ventura的其它功能還包括，讓用來辨識影片中文字的原況文字（Live Text）功能也支援暫停的影片、日文與韓文；並將iPhone上熱門的天氣與時鐘程式整合到Mac平臺上；特別值得一提的還有蘋果變更了macOS的安全更新能力，推出Rapid Security Response，可用來隨時遞送安全更新而不需重開機。</p> <p>蘋果已於本周釋出了macOS Ventura開發者預覽版，預計於下個月開放公開預覽，正式版則會在秋天上線。</p> </div></div></div>
2022/6/7 16:50作者陳曉莉https://www.ithome.com.tw/news/151318
SEC準備調查幣安發行BNB有否違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-06/us-probes-binance-over-token-that-is-now-world-s-fifth-largest" target="_blank">《彭博社》（Bloomberg）本周引述未具名的消息來源報導</a>，美國證券交易委員會（SEC）正在調查幣安（Binance）在2017年透過首次代幣發行（ICO）發行幣安幣（BNB）是否涉及違法。</p> <p>幣安現為全球最大的加密貨幣交易中心，在2017年以ICO形式發行了幣安幣，<a href="https://www.exodus.com/assets/docs/binance-coin-whitepaper.pdf" target="_blank">根據當時的白皮書</a>，幣安幣的發行總數為2億個，透過ICO出售1億個，有8,000萬個保留給創始團隊，另外2,000萬個則歸天使投資人所有，每個代幣的價格為0.15美元，因此，該次幣安透過ICO總計募集了價值1,500萬美元的比特幣與以太幣。</p> <p>為了壯大幣安幣的生態體系，舉凡透過幣安交易加密貨幣時，只要以幣安幣支付手續費就能得到折扣，從第一年的50%遞減到第四年的6.75%，此外，幣安也計畫要以獲利來回購並銷毀幣安幣，最終目標是讓幣安幣的流通量縮減到1億。<a href="https://coinmarketcap.com/" target="_blank">幣安的推動再加上與第三平臺的合作讓幣安幣成為全球第五大加密貨幣</a>，僅次於比特幣、以太幣，以及USDT與USDC兩款穩定幣。</p> <p>然而，根據報導，SEC現在打算追究幣安於5年前執行的ICO有否違法，<a href="https://www.ithome.com.tw/news/123910" target="_blank">因為SEC認為ICO屬於證券交易</a>，受到證券法的管轄，因此在ICO之前必須向SEC註冊，可是當時幣安並未執行此一動作。此外，<a href="https://www.ithome.com.tw/news/133371" target="_blank">SEC的確在2019年曾向未經註冊就執行ICO的區塊鏈技術公司Block.one開罰2,400萬美元</a>。</p> <p>不管是SEC或幣安都未向《彭博社》證實此一消息，但幣安說將會持續努力以符合監管機構的所有要求。</p> <p>幣安最近似乎不太平靜，除了傳出遭到SEC調查之外，<a href="https://www.reuters.com/investigates/special-report/fintech-crypto-binance-dirtymoney/" target="_blank">《路透社》亦於本周報導</a>，這幾年幣安早就淪為駭客、投資詐騙或非法藥品銷售的洗錢管道，至少有23.5億美元的不法所得流向該平臺，且此一數字是該通訊社自法院文件、執法機構及區塊鏈數據計算而來。</p> </div></div></div>
2022/6/7 17:14作者陳曉莉https://www.ithome.com.tw/news/151319
蘋果發表為M2客製化的全新MacBook Air，MagSafe回歸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在周一（6/6）舉行的WWDC全球開發者大會上除了揭露新一代的M2晶片之外，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-all-new-macbook-air-supercharged-by-the-new-m2-chip/" target="_blank">也發表了完全以M2為基礎而全新設計的MacBook Air</a>，以及採用M2的13吋MacBook Pro，此外，蘋果還讓磁吸式的充電埠MagSafe重返MacBook Air。基於M2晶片的MacBook筆電將於下個月上市。</p> <p>相較於2020年底發表的M1，M2的CPU效能快了18%，GPU效能快了35%，每秒所支援的統一記憶體頻寬為100GB，為M1的一倍，使得它最多可支援24GB的記憶體。</p> <p>蘋果指出，新的MacBook Air是以M2晶片為基礎從零打造，它的厚度只有1.13公分，比M1版的1.61公分還薄，重約1.24公斤，也略輕於M1版的1.29公斤，但它的螢幕尺寸為13.6吋，大於M1版的13.3吋，前置FaceTime相機畫素從720p提高到1080p，也有更先進的音訊功能。兩代的MacBook Air都沒有風扇，電池續航力一致為18小時，也都支援Touch ID。整體而言，M2版MacBook Air的整個體積比M1版少了20%。</p> <p>最令果粉們感到雀躍的應該是磁吸式充電埠MagSafe重返MacBook Air，磁吸式的設計可在使用者不小心拉扯到充電線時快速斷開以保護裝置。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-WWDC22-MacBook-Air-MagSafe-220606_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>至於13吋的MacBook Pro最主要的更新，就是把M1晶片換成M2。</p> <p>不過，M2版MacBook Air的價格比M1版貴了200美元。這兩代的最低階版本皆配備8GB記憶體與256GB的儲存空間，但M2版售價為1,199美元（新臺幣37,900元），高於M1版的999美元（新臺幣30,900美元）。M2版MacBook Air除了既有的銀色與太空灰之外，新增了午夜色與星光色。</p> <p>M2版的13吋MacBook Pro售價與M1版一致，都是1,299美元（39,900元新臺幣）。</p> <p>蘋果雖然已於官網上公布M2版MacBook Air與MacBook Pro的規格及售價，但尚未開放預訂，也未揭露出貨日期，僅說預計於下個月上市。</p> </div></div></div>
2022/6/7 16:09作者陳曉莉https://www.ithome.com.tw/news/151315
WWDC：iOS 16登場，鎖定畫面大翻新、訊息功能更人性化、優化個人視聽體驗也強化媒體分享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在WWDC上揭露了新一代作業系統iOS 16，不只擴大Share Play、Visual Look Up等功能的使用情境，也優化了iMessage、Live Text、CarPlay、Home、空間音效等。不過今年最主打的更新，還是鎖定畫面推出大量個人化選項。iOS 16現為開發者Beta版，並只支援iPhone 8以上裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/lock%20screen.jpg" style="width: 600px;" /></p> <p>新版鎖定畫面中，除了時鐘字型跟顏色能自訂，更新增了多種小工具選項，從基礎的天氣、行事曆，到音樂播放器、健身App面板，甚至是第三方App的其他功能，都能放到鎖定畫面中。iOS 16還推出了Live Activity追蹤功能，不用解鎖裝置，就可以在鎖定畫面確認各種活動的即時更新，例如體育賽事賽況、以及Uber或食物外送員抵達時間等。</p> <p>為了讓鎖定畫面有更多空間呈現個人化內容，iOS 16的通知訊息不再出現於畫面中間，而是堆疊在螢幕底部，使用者可以往上滑動展開所有訊息，也能往下滑動將訊息全部隱藏。</p> <p>配合iOS 15推出的專注模式，一臺裝置可以有多個鎖定畫面，根據工作、休閒等不同情境，分別設定適當的壁紙、小工具和通知訊息過濾條件，並在鎖定畫面中切換不同情境。</p> <p>除了鎖定畫面外，專注模式也適用於其他App，例如在郵件App中僅顯示工作相關Email，或是只顯示瀏覽器中跟工作有關的分頁。蘋果今年更推出了專注模式API，讓第三方App也能開發專注模式功能。</p> <p>iOS 16另一項大更新是iMesssage，不僅新增了編輯、收回及標記為未讀功能，也開始支援Share Play功能，可在App內跟其他使用者同時觀看影音，過去這個功能只支援FaceTime。此外，iOS 15推出的iMessage「與您分享」區塊，可以瀏覽其他使用者分享的檔案，並用訊息回覆該使用者，此功能今年也推出了第三方API，將其使用情境拓展到蘋果原生App之外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/imessage.jpg" style="height: 400px;" /></p> <p>文字處理功能也有更新，例如聽寫功能更新後，語音輸入會自動加入標點符號，也可以打出表情符號，更能同時保留觸控鍵盤，讓使用者靈活選擇輸入方法。</p> <p>另一個文字處理功能Live Text，可以在App或相簿中，透過AI技術辨認出文字。現在，此功能也適用於影片，只要暫停影片，就能對影片中出現的文字進行多種操作，包括直接複製、造訪網址網頁、翻譯文字甚至轉換匯率。蘋果同樣釋出了此功能的API給第三方開發者，並特別點名影音分享平臺Vimeo將支援Live Text功能。</p> <p>除了文字識別功能，iOS 16還有圖片識別功能，可以識別影像中物體，例如石礫攤上的一隻狗，並單獨搜尋、複製或分享該物體影像，甚至直接提取圖片中物體，拖曳到訊息中傳送。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/visual%20lookup.png" style="width: 600px;" /></p> <p>iOS 16也推出了新版Car Play及Home，強化iPhone與其他硬體連結並當作終端的功能。新版Car Play可以和汽車硬體高度整合，從調整汽車空調、看汽車儀表板等功能，都可以從Car Play中介面操作，而不用切換到其他系統。同時，Car Play介面會根據汽車螢幕大小與形狀調整版面，也能進行高度個人化設定。新版Home則是重新設計介面，新增了更多智慧家庭裝置分類，例如保安、照明系統，也提升了個別裝置於介面中的識別度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/carplay.jpg" style="width: 700px; height: 295px;" /></p> <p>其他功能，還有隱私權功能Safety Check，可以管理App授權項目，還能管理與其他用戶共享的存取權，並緊急重置這些設定。另外還有部分保健功能不用Apple Watch就能使用、透過鏡頭景深優化耳機空間音效、以及可以和團隊成員即時瀏覽並編輯檔案或Safari分頁的協作功能。</p> </div></div></div>
2022/6/7 13:25作者郭又華https://www.ithome.com.tw/news/151314
蘋果發表比CPU效能比M1快18%，GPU快上35%的M2晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/141038" target="_blank">蘋果在2020年的11月發表首款基於Arm架構的自製晶片M1</a>，一年半之後的WWDC大會上，<a href="https://www.apple.com/newsroom/2022/06/apple-unveils-m2-with-breakthrough-performance-and-capabilities/" target="_blank">蘋果再度揭露了第二代的M2晶片</a>，效能比M1快上18%，提供比M1多上50%的記憶體頻寬，最多可支援24GB的記憶體，將率先被應用在MacBook Air與13吋的MacBook Pro上。</p> <p>整體而言，M2具備更快的CPU、GPU與Neural Engine，有更高的記憶體頻寬，以及新的ProRes加速器等功能。其中，CPU比M1快上18%，GPU比M1強大35%，Neural Engine比M1快了40%，而記憶體頻寬則比M1多出50%，至於ProRes則為影片引擎，可同時播放多個4K與8K影片串流。</p> <p>M2採用第二代的5奈米技術製程，由200億個電晶體組成，電晶體數量比M1多出25%。蘋果解釋，增加的電晶體改善了整個M2晶片的效能，包括可支援更多記憶體頻寬與更大記憶體的記憶體控制器，代表M2能夠處理更大型且更複雜的任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>此外，M2的CPU雖然最多只有8核心，與M1一致。但蘋果指出，若與市場上最新的、具備10核心的PC筆電晶片相較，在同樣的功耗上，M2將可帶來兩倍的效能，只需1/4的功耗就能達到PC筆電晶片的峰值效能；若是與12核心的筆電晶片相較，M2就算只使用1/4的功耗，也能達到12核心晶片的9成峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%93.jpg" style="width: 600px;" /></p> <p>而M2的GPU最多可配置10核心，比M1多了兩個。它讓M2的繪圖效能比M1多出25%，在最大功耗下的效能可多出35%。若是與市場上最新PC筆電的整合式繪圖相較，M2的GPU在同樣功耗上提供接近2.3倍的效能，而且只使用1/5的功耗就能達到峰值效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0607-Apple%20M2-600-%EF%BC%92.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>M2的其它改善還包括其神經網路引擎（Neural Engine）的處理能力比M1快了40%；媒體引擎擁有更高頻寬的影片解碼器，可支援8K H.264與HEVC影片；更新了安全隔離區（Secure Enclave）以提供更好的安全防護；以及提供更好圖像降噪能力的全新圖像訊號處理器（Image Signal Processor，ISP）。</p> <p>亦於本周發表、預計於今年秋天問世的蘋果新一代桌面作業系統macOS Ventura將會充分運用M2，以改善該作業系統上既有的應用並帶來全新應用。</p> </div></div></div>
2022/6/7 12:32作者陳曉莉https://www.ithome.com.tw/news/151312
以違反義務為由，馬斯克以官方文件威脅終止收購推特
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/0001418091/000110465922068347/tm2217761d1_ex99-o.htm" target="_blank">自5月初就嚴查推特假帳號的馬斯克（Elon Musk）本周透過官方文件指責推特迄今提供相關資訊不足</a>，已經明顯違反其義務，有可能導致他終止收購。</p> <p>馬斯克的法務團隊在本周提交美國證管會（SEC）的資料指出，針對馬斯克自5月初反覆索討資訊以協助他評估推特垃圾帳號及假帳號，推特上周提供的資訊依舊未讓馬斯克滿意。因為根據雙方的收購協議，推特有義務提供馬斯克要求以完成交易所需的資訊。這位科技大亨已經言明不相信推特不嚴謹的測試方法，要求推特提供資訊讓他自行分析，然而推特6月1日最新提供的書面資料及口頭解釋仍然是根據其自有方法所做的結果。</p> <p>馬斯克曾公開表示，他認為推特平臺上的假帳號比例不只公開財報上說的小於5%，而是20%，這點有異於他當初決定收購的關鍵。另一方面，推特執行長Parag Agrawal說明帳號判定需要內、外部資料等解釋，也無法說服馬斯克。</p> <p>SEC文件指出，依據推特迄今的行為，馬斯克相信推特是刻意抗拒，阻撓馬斯克的資訊權，及該公司的義務。這已明顯實質違反雙方協議下推特公司的義務，馬斯克將保留後續行為，包括不完成交易、以及終止合併協議的權利。</p> <p>本次消息進一步升高推特收購失敗的可能性。<a href="https://www.ithome.com.tw/news/150620" target="_blank">4月底推特接受</a>馬斯克以440億美元的收購，<a href="https://www.ithome.com.tw/news/150920" target="_blank">2個星期後馬斯克質疑</a>推特公開財報低估了平臺上假帳號及垃圾帳號比例，表示推特提供進一步資料前交易將暫緩。<a href="https://www.ithome.com.tw/news/150968" target="_blank">之後他再公開批評推特配合度太差</a>，說收購案無法進行。本周的SEC文件是馬斯克團隊首次以官方文件釋出中止收購的訊息。</p> <p><a href="https://www.theverge.com/2022/6/6/23156233/elon-musk-twitter-bots-merger-agreement-termination-threat" target="_blank">The Verge</a>引述<a href="https://twitter.com/DivesTech/status/1533799677514104834" target="_blank">華爾街分析師</a>指出，馬斯克可能即將放棄收購。</p> <p>推持發言人則透過媒體指出，推特向來完全配合馬斯克的要求，未來也會繼續提供資訊，表示該公司願意完成交易且在雙方合意的價格及條件上執行合併協議。</p> <p>一般猜測，特斯拉股價下跌已經衝擊馬斯克收購推特的實力及意願。他可能是想藉機砍低推特收購價，或是直接退出收購，但以此為由不支付推特毁約的10億美元。</p> <p>從4月底雙方收購案公布以來，特斯拉股價持續下滑。特斯拉股價上周一度跌至半年新低的628美元，周一來到714.84美元，僅今年1月高點的6成。</p> </div></div></div>
2022/6/7 10:21作者林妍溱https://www.ithome.com.tw/news/151310
紐約州通過維修權法，率美國之先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nysenate.gov/legislation/bills/2021/S4104" target="_blank">紐約州議會上周通過《公平維修法案》（Fair Repair Act）</a>，成為美國第一部確認消費者擁有電子裝置維修權（right to repair）的法案。</p> <p>紐約州參議院上周三（6/1）通過這部新法案，新法案需交由紐約州長Kathy Hochul簽署後才會成為正式法令，並在一年後正式上路。</p> <p>這部法案要求該州境內銷售的數位電子產品製造商，需提供維修用的零件、資訊、軟體給消費者及獨立維修店家。新法案適用大部份電子產品，除了一些設備，包括汽車、家電、醫療器材、公共安全通訊設備如警用無線電、農業機具及越野設備。<a href="https://www.nysenate.gov/legislation/bills/2021/S149" target="_blank">紐約州另有法案解決車輛售後市場的維修權</a>。</p> <p><a href="https://www.ithome.com.tw/news/150353" target="_blank">歐洲議會今年4月也通過了維修權法</a>。</p> <p><a href="https://www.ifixit.com/News/60893/new-york-passes-worlds-first-electronics-right-to-repair-law" target="_blank">推動DIY維修的iFixit對新法表示歡迎</a>，認為獨立維修店家終得以和製造商競爭，突破製造商限制非授權店家取得零件和工具、建立維修市場的壟斷局面。以前裝置製造商會迫使消費者前往授權經銷商，但未來這些經銷商也必須提升競爭力。</p> <p>另一方面，對消費者而言，新法案可讓維修變得更便宜及更普及，想修的人就能修理自己的裝置。而且消費者再也不用害怕自己拆開筆電和手機。</p> <p><a href="https://www.theverge.com/2022/6/3/23153504/right-to-repair-new-york-state-law-ifixit-repairability-diy" target="_blank">The Verge指出</a>，紐約州《公平維修法案》不是美國第一部推動維修權的法案，例如麻州2020年便通過車商必須提供消費者汽車資訊以維修的法案，但卻是第一個適用廣泛電子產品的法案。</p> <p>另一方面，媒體分析，雖然本法案是紐約州法令，卻可能帶來更廣泛效應，因為製造商提供的維修文件可能流向其他州或其他國家，且廠商也無法再以軟體限制維修獨占權，因此新法可能促使電子產品設計和維修更全面的變化。</p> </div></div></div>
2022/6/7 10:37作者林妍溱https://www.ithome.com.tw/news/151311
【資安日報】2022年6月6日，Atlassian Confluence零時差漏洞被用於攻擊行動、駭客組織Conti開…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自6月3日到今天的資安新聞裡，有不少是駭客攻擊行動的揭露。其中，我們要特別提及的是針對協作平臺Atlassian Confluence的零時差漏洞攻擊，因為這項漏洞在公布之後，相關攻擊行動已出現大幅增加的情況。</p> <p>駭客針對電腦UEFI韌體下手的攻擊行動，最近3至4年已有數起，但鮮少與勒索軟體有關。最近有資安業者解析勒索軟體駭客組織Conti外流的成員對話內容，發現該組織也大力發展對於Intel電腦韌體的攻擊手法，且已製作概念性驗證攻擊程式。</p> <p>另一個我們認為值得留意的資安事故，是針對企業部署於雲端的Docker而來的挖礦攻擊，駭客鎖定配置不當的Docker下手，成功後還會進一步將挖礦軟體擴散到其他Docker環境。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/critical-atlassian-confluence-zero-day-actively-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence零時差漏洞被攻擊者用於植入Web Shell</span></a></strong></h3> <p>資安業者Volexity於6月2日指出，他們在5月底，發現兩臺連結網際網路的協作平臺Atlassian Confluence伺服器裡，發現駭客利用未知的漏洞，在這些主機上植入JSP檔案的Web Shell，成功後進一步植入名為中國菜刀（China Chopper）的Web Shell。</p> <p>經調查及分析後，確認是未曾通報的零時差漏洞，他們通知Atlassian，對方獲報後將其登記為CVE-2022-26134進行列管，並確認該漏洞存在於所有版本的Confluence伺服器與資料中心。隔日，Atlassian再度更新資安通告，並提供修補程式與緩解措施。</p> <p>資安業者GreyNoise提出警告，他們看到網路上已有大量鎖定上述漏洞的攻擊行動，掃描該漏洞的IP位址從原本約20個，在一天當中已增加至211個。 </p> <h3><strong style="font-size: 22px;"><a href="https://eclypsium.com/2022/06/02/conti-targets-critical-firmware/"><span style="color: rgb(0, 0, 0);">勒索駭客組織Conti開始鎖定Intel韌體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/conti_diagram_2n%402x-8-1536x692.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Conti自烏克蘭戰爭表態力挺俄羅斯後，成員之間的對話內容遭到外流，有研究人員進一步解析後指出，這些駭客已經鎖定搭載Intel處理器的電腦韌體下手。資安業者Eclypsium指出，駭客組織Conti最近幾年開始針對電腦韌體發展相關攻擊手法，並在9個月前就製作了概念性驗證攻擊程式。</p> <p>根據駭客的對話內容，該組織疑似主要鎖定下列3種領域發展攻擊手法，分別是從Intel處理器晶片的管理引擎（ME）找出未被發現的漏洞、嘗試從ME存取UEFI的SPI快閃記憶體來繞過相關防護措施，以及透過系統管理模式（SMM）執行的過程投放惡意軟體等。</p> <p>研究人員指出，這些層面的攻擊，涉及Intel處理器從2019年至2020年被發現的43項漏洞，有鑑於企業修補處理器與UEFI韌體漏洞的頻率較一般應用程式來得低，再加上成功植入惡意程式後不易被察覺，使得相關攻擊的危害較為嚴重。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cadosecurity.com/tales-from-the-honeypot-watchdog-evolves-with-a-new-multi-stage-cryptojacking-attack/"><span style="color: rgb(0, 0, 0);">駭客組織WatchDog濫用Docker進行挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchdog-teamtnt-image8-5.png" style="width: 300px; float: right;" /></a>駭客濫用雲端Docker設施暗中挖礦的情況，近期又出現新的攻擊行動。資安業者Cado發現名為WatchDog的駭客組織，近期鎖定開放2375埠，且組態配置不當的Docker引擎API端點下手，進而在Docker環境裡更動容器，或是執行任意Shell指令。</p> <p>研究人員看到這些駭客先是執行cronb.sh來檢查主機狀態，並列出正在執行的處理程序，然後呼叫第二階段的酬載ar.sh，透過一個處理程序執行被隱藏的Shell指令碼，並操弄事件記錄的時戳來誤導鑑識人員，此外，該惡意酬載也會清除阿里雲的代理程式。在進行上述的環境確認作業後，駭客才在受害主機上投放XMRig挖礦程式，並利用systemd服務來維持運作。</p> <p>在前述攻擊行動成功後，駭客運用zgrab、masscan、pnscan來搜尋其他節點，並進一步擴散。研究人員指出，這些駭客大量使用TeamTNT的工具，很有可能是從該組織竊取並用於攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.globenewswire.com/news-release/2022/06/02/2455397/0/en/Kaspersky-WinDealer-malware-shows-extremely-sophisticated-network-abilities.html"><span style="color: rgb(0, 0, 0);">中國駭客LuoYu以提供應用程式更新的名義，散布後門程式WinDealer</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinDealer_dealing_on_the_side_02.png" style="width: 300px; float: right;" /></a>鮮為人知的中國駭客組織採用罕見手法投放惡意軟體，引起研究人員關注。卡巴斯基指出，他們發現名為LuoYu的中國駭客組織（編按：此組織<a href="https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_301_shui-leon_en.pdf">臺灣資安業者TeamT5稱為「蠃魚」</a>），近期使用<a href="https://en.wikipedia.org/wiki/Man-on-the-side_attack">旁觀者攻擊（Man-on-the-side attack）</a>的方式，假借在受害者電腦上更新軟體的名義，部署惡意程式WinDealer，進而透過C2中繼站下達命令、進行螢幕截圖，或是收集電腦軟硬體詳細資料等工作。</p> <p>駭客利用含有簽章的qgametool.exe軟體更新程式，來下載假冒成視訊串流播放軟體PPTV的WinDealer並安裝在受害電腦上，研究人員指出，在這起攻擊行動的手法裡，比較特別之處，在於C2中繼站連接方式，駭客透過獨特的演算法，從中國西藏自治區或貴州省的4.8萬個IP位址裡挑選連線的對象，研究人員推測，這些駭客很可能使用ISP層級的工具來連結C2中繼站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/"><span style="color: rgb(0, 0, 0);">檔案共享服務OneDrive遭到濫用！黎巴嫩駭客Polonium用於架設C2，攻擊以色列組織</span></a></strong></h3> <p>檔案共享服務遭到濫用的情況，最近有國家級的駭客藉此發動攻擊。微軟最近指出，他們觀察到黎巴嫩駭客組織Polonium，約自今年2月開始鎖定以色列組織下手，3個月以來超過20個組織受害，這些組織是該國重要的製造業、IT服務業者、國防工業。</p> <p>研究人員提到，其中一起攻擊行動裡，駭客組織發動供應鏈攻擊，先是滲透IT服務業者，進而攻擊下游航太業者與律師事務所。</p> <p>而這些受害者共通的特徵，就是大部分採用可能存在弱點的VPN設備，研究人員提及，約有8成受害組織部署Fortinet的SSL VPN設備，使得他們推測駭客的主要入侵管道有可能是重大漏洞CVE-2018-13379。</p> <p>除此之外，這些駭客很可能還與他國駭客結盟，互通有無。微軟認為該組織很可能也與伊朗情報暨安全部（MOIS）聯手，MOIS疑似將已經成功入侵的網路移交給Polonium，讓這個組織發動第二輪攻擊，再者，兩個組織都是利用OneDrive架設C2伺服器，並使用AirVPN埋藏攻擊來源。OneDrive團隊已封鎖該組織濫用的帳號，並移除相關的應用程式及通知受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/unc2165-shifts-to-evade-sanctions"><span style="color: rgb(0, 0, 0);">為逃避司法單位制裁，勒索軟體駭客組織Evil Corp改用LockBit發動攻擊</span></a></strong></h3> <p>為了躲避執法單位的追查，駭客組織改名或是更換作案工具的情況，已有數起，例如，勒索軟體駭客組織Conti疑似在今年2月底內部資料外流後，將主要成員分散到KaraKurt、BlackByte、Black Basta等組織。資安業者Mandiant發現，勒索軟體駭客組織Evil Corp近期改用LockBit做為作案的工具，理由是為了逃避美國財政部國外資產控制辦公室（OFAC）的制裁。</p> <p>而這不是該組織第一次因為受到美國制裁而更換作案的勒索軟體，2020年中旬，<a href="https://www.ithome.com.tw/news/138706">該組織使用名為WastedLocker的勒索軟體對美國大型企業下手</a>；2020年底至2021年上旬，他們打造<a href="https://www.ithome.com.tw/news/143536">勒索軟體Hades攻擊年營收超過10億美元的跨國大型企業</a>。</p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151273">【2022年6月2日】研究人員在WordPress網站上發現逾4.7萬個惡意外掛程式、上千個Elasticsearch資料庫遭到勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151257">【2022年6月1日】逾360萬臺MySQL伺服器曝露於網際網路、中國駭客利用Office零時差漏洞Follina發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151224">【2022年5月31日】駭客可藉由RTF檔案觸發Office零時差漏洞、臺灣聯隊DEF CON CTF搶旗賽初賽獲第二名入選</a></p> <p><a href="https://www.ithome.com.tw/news/151208">【2022年5月30日】惡意軟體EnemyBot針對應用系統重大漏洞下手，駭客鎖定視窗作業系統WSL元件散布Linux惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/151184">【2022年5月27日】雲達修補伺服器BMC元件漏洞、Zyxel修補防火牆與網路設備漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151159">【2022年5月26日】勒索軟體Cheerscrypt鎖定VMware ESXi而來、工業自動化系統OAS重大漏洞恐造成服務停擺</a></p> <p><a href="https://www.ithome.com.tw/news/151130">【2022年5月25日】駭客竄改PyPI與PHP套件意圖竊取AWS帳密、美國汽車製造商通用遭帳號填充攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151105">【2022年5月24日】駭客利用假的漏洞概念性驗證程式攻擊資安人員、俄羅斯駭客Sandworm利用惡意軟體投放作案工具</a></p> <p><a href="https://www.ithome.com.tw/news/151068">【2022年5月23日】臺灣研究人員揭露中國新的木馬程式Pangolin8RAT、惡意PyPI套件pymafka於開發者電腦植入後門</a></p> <p><a href="https://www.ithome.com.tw/news/151035">【2022年5月20日】日經新聞遭到勒索軟體攻擊、北韓駭客Lazarus鎖定VMware遠距工作平臺下手</a></p> <p><a href="https://www.ithome.com.tw/news/151000">【2022年5月19日】駭客鎖定SQL Server進行寄生攻擊、勒索軟體Conti煽動推翻哥斯大黎加政府</a></p> <p><a href="https://www.ithome.com.tw/news/150978">【2022年5月18日】 WordPress外掛程式Tatsu Builder遭到大規模攻擊、macOS惡意軟體UpdateAgent出現變種</a></p> <p><a href="https://www.ithome.com.tw/news/150959">【2022年5月17日】駭客同時利用3種竊密軟體偷取受害電腦資料、微軟先前修補的SharePoint漏洞被發現有繞過的方法</a></p> <p><a href="https://www.ithome.com.tw/news/150941">【2022年5月16日】駭客組織SideWinder橫行歐亞、殭屍網路Sysrv鎖定Spring框架和WordPress漏洞下手</a></p> <p><a href="https://www.ithome.com.tw/news/150914">【2022年5月13日】後門程式BPFDoor鎖定Linux與Solaris電腦而來、Zyxel修補防火牆遠端命令注入漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150886">【2022年5月12日】鎖定德國企業的NPM惡意套件竟是資安業者所為、駭客利用IceApple工具包攻擊Exchange伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/150871">【2022年5月11日】 F5的BIG-IP漏洞已出現破壞性攻擊、美國與歐洲指控Ka-Sat衛星網路遭駭是俄羅斯主使</a></p> <p><a href="https://www.ithome.com.tw/news/150853">【2022年5月10日】駭客竄改俄羅斯勝利日電視節目表表達反戰訴求、哥斯大黎加遭勒索軟體Conti攻擊宣布進入緊急狀態</a></p> <p><a href="https://www.ithome.com.tw/news/150833">【2022年5月9日】研究人員呼籲要儘速修補BIG-IP重大漏洞、RubyGems出現可竄改套件的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150805">【2022年5月6日】 Avast與AVG防毒軟體元件存在嚴重漏洞、駭客藉由USB隨身碟散播蠕蟲程式</a></p> <p><a href="https://www.ithome.com.tw/news/150776">【2022年5月5日】研究人員的Docker蜜罐發現鎖定俄羅斯網攻的映像檔、Apple Silicon處理器存在Augury漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150755">【2022年5月4日】駭客濫用Google的SMTP中繼服務發送釣魚郵件、用於嵌入式系統的程式庫存在DNS漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150742">【2022年5月3日】駭客鎖定Exchange伺服器竊取公司併購資料、中國駭客操弄防毒軟體來植入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/150695">【2022年4月29日】駭客發動大規模的加密流量DDoS攻擊、NPM弱點可讓駭客嫁禍給其他套件開發者</a></p> <p><a href="https://www.ithome.com.tw/news/150663">【2022年4月28日】駭客利用IE漏洞散布竊密軟體RedLine、臺灣資安主管聯盟正式成立</a></p> <p><a href="https://www.ithome.com.tw/news/150652">【2022年4月27日】德國風力發電業者遭網路攻擊疑與俄羅斯有關、VMware身分驗證平臺漏洞被用於惡意軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150627">【2022年4月26日】勒索軟體Quantum僅耗時4小時攻陷受害目標、法國醫院遭網路攻擊被迫中斷連線</a></p> <p><a href="https://www.ithome.com.tw/news/150605">【2022年4月25日】電信業者T-Mobile遭駭客組織Lapsus$入侵、殭屍網路LemonDuck瞄準Docker進行挖礦攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150572">【2022年4月22日】多國警告全球關鍵基礎設施成俄羅斯下一波攻擊目標、手機晶片漏洞恐波及安卓用戶</a></p> <p><a href="https://www.ithome.com.tw/news/150544">【2022年4月21日】 AWS雲端服務的Log4Shell漏洞曾出現修補不全的狀況、勒索軟體REvil疑死灰復燃</a></p> <p><a href="https://www.ithome.com.tw/news/150516">【2022年4月20日】美國要求聯邦機構限期修補已遭利用的Print Spooler漏洞、聯想部分筆電UEFI韌體存在漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/150499">【2022年4月19日】英國政府遭到Pegasus間諜軟體鎖定、駭客假借Windows 11升級名義散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150480">【2022年4月18日】攻擊者藉由OAuth憑證入侵受害組織GitHub、木馬程式RemcosRAT鎖定非洲銀行下手</a></p> <p><a href="https://www.ithome.com.tw/news/150450">【2022年4月15日】甫修補的VMware身分管理平臺、Windows作業系統RPC元件漏洞，恐被用於攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/150428">【2022年4月14日】國家級駭客鎖定ICS和SCADA系統下手、俄羅斯NPM開發者竄改套件表態反戰</a></p> <p><a href="https://www.ithome.com.tw/news/150410">【2022年4月13日】俄羅斯駭客Sandworm攻擊烏克蘭電網工控系統、駭客組織使用勒索軟體Conti攻擊俄羅斯航太公司</a></p> <p><a href="https://www.ithome.com.tw/news/150385">【2022年4月12日】 Fox因配置不當導致1300萬敏感記錄無密碼可存取，烏克蘭警告當心騙取Telegram帳戶的釣魚連結</a></p> <p><a href="https://www.ithome.com.tw/news/150361">【2022年4月11日】駭客利用Conti程式碼對俄羅斯發動勒索軟體攻擊、SpringShell漏洞被用於散布Mirai殭屍網路病毒</a></p> <p><a href="https://www.ithome.com.tw/news/150339">【2022年4月8日】鎖定無伺服器運算服務的惡意軟體首度現身、駭客利用網頁導向服務來散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/150308">【2022年4月7日】竊密軟體FFDroider鎖定社群網站帳密而來、殭屍網路Beastmode鎖定Totolink路由器弱點發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150290">【2022年4月6日】 SpringShell漏洞已出現嘗試性攻擊活動，Go語言公開防禦供應鏈攻擊5大安全設計原則</a></p> <p><a href="https://www.ithome.com.tw/news/150231">【2022年4月1日】 Java框架Spring重大漏洞得到修補、Ka-Sat衛星網路遭駭事故駭客以資料破壞軟體讓數據機停擺</a></p> <p><a href="https://www.ithome.com.tw/news/150209">【2022年3月31日】 Java框架Spring傳出危險程度直逼Log4Shell的漏洞、衛星通訊服務業者Viasat公布資安事故調查結果</a></p> <p><a href="https://www.ithome.com.tw/news/150194">【2022年3月30日】 NFT網路遊戲Axie Infinity的加密貨幣交易平臺遭駭、烏克蘭拆除散布戰爭假消息的Bot農場</a></p> <p><a href="https://www.ithome.com.tw/news/150170">【2022年3月29日】惡意NPM套件鎖定特定領域開發者下手、駭客藉由WordPress網站向烏克蘭發動DDoS攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150139">【2022年3月28日】 Okta坦承延誤通報Lapsus$攻擊事件、Honda汽車的遙控器訊號可被複製並用來發動車輛</a></p> <p><a href="https://www.ithome.com.tw/news/150118">【2022年3月25日】駭客組織Lapsus$部分成員遭警方逮捕而身分曝光、食品大廠雀巢疑遭匿名者入侵但予以否認</a></p> <p><a href="https://www.ithome.com.tw/news/150088">【2022年3月24日】 WPS Office漏洞被用於攻擊臺港菲彩券行、勒索軟體DeadBolt攻擊威聯通NAS的情況再度升溫</a></p> <p><a href="https://www.ithome.com.tw/news/150065">【2022年3月23日】研究人員揭露駭客組織Lapsus$的攻擊手法、蘇格蘭心理諮商機構SAMH驚傳遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/150047">【2022年3月22日】勒索軟體駭客Lapsus$聲稱竊得微軟部分原始碼、軟體管理系統Chocolatey被用於攻擊法國組織</a></p> <p><a href="https://www.ithome.com.tw/news/150016">【2022年3月21日】消費者信用業者環聯疑因管理者使用弱密碼驚傳資料外洩、AvosLocker鎖定臺灣等多國關鍵基礎設施而來</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月18日】近20款華碩家用路由器產品遭到Cyclops Blink殭屍網路鎖定、駭客組織UNC2891鎖定ATM系統下手</a></p> <p><a href="https://www.ithome.com.tw/news/149962">【2022年3月17日】 Emotet鎖定美國報稅季發動攻擊、加密通訊程式庫OpenSSL存在憑證解析漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149943">【2022年3月16日】新的殭屍網路病毒利用Log4Shell漏洞散布、俄羅斯駭客繞過雙因素驗證機制取得使用者權限</a></p> <p><a href="https://www.ithome.com.tw/news/149915">【2022年3月15日】公視新聞備份出包導致勒索軟體攻擊事故曝光、汽車電氣零件供應商Denso遭勒索軟體攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149882">【2022年3月14日】勒索軟體LockBit攻擊輪胎大廠普利司通、勒索軟體Lapsus$對遊戲公司下手</a></p> <p><a href="https://www.ithome.com.tw/news/149856">【2022年3月11日】勒索軟體Conti宣稱在3個月內攻陷逾50個大型組織，GKE自動化管理工具Autopilot驚傳漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149827">【2022年3月10日】俄羅斯同樣成為網站竄改與資料破壞攻擊的受害者、研究人員揭露新型態CPU推測執行漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149780">【2022年3月9日】 APC不斷電系統驚傳可被挾持的漏洞、微軟發布3月份Patch Tuesday</a></p> <p><a href="https://www.ithome.com.tw/news/149754">【2022年3月8日】 Linux驚傳檔案竄改漏洞Dirty Pipe、駭客鎖定石油公司發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149733">【2022年3月7日】駭客以俄烏戰爭名義散布木馬程式、勒索軟體Lapsus$洩露三星程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/149704">【2022年3月4日】駭客入侵烏克蘭政府網站散布該國宣布投降的假消息、勒索軟體Conti與Karma攻擊相同醫療機構</a></p> <p><a href="https://www.ithome.com.tw/news/149677">【2022年3月3日】網釣攻擊鎖定幫助烏克蘭難民的國家、逾30所烏克蘭大學網站遭駭</a></p> <p><a href="https://www.ithome.com.tw/news/149648">【2022年3月2日】駭客在俄烏戰爭持續發動網路攻擊、中國駭客運用後門程式Daxin長達10年</a></p> <p><a href="https://www.ithome.com.tw/news/149624">【2022年3月1日】俄羅斯出兵烏克蘭，引發不同立場的駭客集團發動攻擊、汽車大廠Toyota疑因零件供應商遭駭停工</a></p> <p><a href="https://www.ithome.com.tw/news/149566">【2022年2月25日】 SockDetour後門程式攻擊美國國防業者、勒索軟體Cuba鎖定Exchange Server而來</a></p> <p><a href="https://www.ithome.com.tw/news/149532">【2022年2月24日】烏克蘭再遭DDoS與資料破壞攻擊、殭屍網路Cyclops Blink鎖定WatchGuard防火牆設備而來</a></p> <p><a href="https://www.ithome.com.tw/news/149517">【2022年2月23日】華芸NAS遭勒索軟體加密檔案、駭客利用Cobalt Strike攻擊微軟SQL Server</a></p> <p><a href="https://www.ithome.com.tw/news/149490">【2022年2月22日】臺灣金融業遭中國駭客軟體供應鏈攻擊、安卓木馬Xenomorph鎖定56間歐洲銀行的用戶而來</a></p> <p><a href="https://www.ithome.com.tw/news/149471">【2022年2月21日】 WordPress網站備份外掛驚傳任意下載漏洞、殭屍網路病毒Kraken被用於散布竊密軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149447">【2022年2月18日】 VMware遠距工作平臺遭伊朗駭客鎖定、微軟協作平臺被駭客用於散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149414">【2022年2月17日】惡意軟體Emotet威脅升溫、美國關鍵基礎設施成勒索軟體BlackByte的受害者</a></p> <p><a href="https://www.ithome.com.tw/news/149398">【2022年2月16日】駭客利用Squirrelwaffle惡意軟體發動BEC攻擊、NFT成駭客散布惡意軟體的誘餌</a></p> <p><a href="https://www.ithome.com.tw/news/149382">【2022年2月15日】運動用品大廠美津濃疑遭勒索軟體攻擊、Magento電商網站軟體存在重大RCE漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149360">【2022年2月14日】工業級網管系統驚傳重大漏洞、駭客利用Regsvr32散布惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149314">【2022年2月11日】殭屍網路FritzFrog鎖定醫療、教育、政府單位下手；美國政府解析勒索軟體2021年攻擊態勢</a></p> <p><a href="https://www.ithome.com.tw/news/149297">【2022年2月10日】 SAP元件重大漏洞恐影響多數用戶、駭客透過PrivateLoader載入器散布多種惡意軟體</a></p> <p><a href="https://www.ithome.com.tw/news/149275">【2022年2月9日】 RLO特殊Unicode字元被用於挾持微軟帳號攻擊、網釣簡訊攻擊更加氾濫</a></p> <p><a href="https://www.ithome.com.tw/news/149253">【2022年2月8日】資安業者揭露俄羅斯駭客攻擊烏克蘭的發現、微軟禁用線上安裝MSIX檔案來防堵相關攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/149234">【2022年2月7日】中國駭客攻擊美國新聞媒體集團、資安人員宣稱獨力癱瘓北韓網路</a></p> <p><a href="https://www.ithome.com.tw/news/149136">【2022年1月28日】台達電疑遭勒索軟體Conti攻擊、駭客收集存在Log4Shell的VMware遠距工作平臺名單</a></p> <p><a href="https://www.ithome.com.tw/news/149112">【2022年1月27日】勒索軟體LockBit鎖定VMware虛擬化平臺下手、駭客運用ISO映像檔在受害電腦植入RAT木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149077">【2022年1月26日】電動機車業者Gogoro驚傳遭網路攻擊、勒索軟體駭客藉加密NAS檔案，向威聯通販賣漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/149061">【2022年1月25日】 CentOS網頁管理介面軟體漏洞可被串連發動RCE攻擊、勒索軟體駭客收買企業內部員工以利入侵</a></p> <p><a href="https://www.ithome.com.tw/news/149036">【2022年1月24日】鎖定烏克蘭的惡意軟體手法近似NotPetya、Omicron網釣攻擊爆增</a></p> <p><a href="https://www.ithome.com.tw/news/149021">【2022年1月22日】 WordPress佈景供應商網站驚傳遭駭；攻擊者冒用物流業者名義散布木馬程式</a></p> <p><a href="https://www.ithome.com.tw/news/149002">【2022年1月21日】 Zyxel設備、Serv-U因Log4Shell漏洞遭鎖定；中國駭客組織Winnti二度針對UEFI韌體下手</a></p> <p><a href="https://www.ithome.com.tw/news/148987">【2022年1月20日】臺灣驚傳首宗SIM卡挾持攻擊事件、視訊會議系統Zoom修補無須使用者互動就能觸發的漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/148963">【2022年1月19日】再生能源相關組織遭到網釣攻擊，歐美執法單位查封駭客匿蹤的VPN伺服器</a></p> <p><a href="https://www.ithome.com.tw/news/148941">【2022年1月18日】數個WordPress外掛驚傳CSRF漏洞，SAP開發平臺重大漏洞恐被用於供應鏈攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148928">【2022年1月17日】俄國攻擊烏克蘭數十個政府網站，又大舉逮捕勒索軟體REvil成員，引起全球關注</a></p> <p><a href="https://www.ithome.com.tw/news/148884">【2022年1月14日】美國商討Log4Shell開源軟體安全；電子零組件大廠臺灣東電化驚傳員工竊取機密投靠競爭對手</a></p> <p><a href="https://www.ithome.com.tw/news/148865">【2022年1月13日】俄羅斯APT駭客接連攻擊關鍵基礎設施，引起美國政府關注、億聯IP電話驚傳會向中國回傳資料</a></p> <p><a href="https://www.ithome.com.tw/news/148849">【2022年1月12日】微軟發布1月例行修補，修補近百個漏洞、Log4Shell漏洞出現數起攻擊行動</a></p> <p><a href="https://www.ithome.com.tw/news/148827">【2022年1月11日】網站的URL解析器程式庫驚傳漏洞、數千個應用系統服務中斷，原因是NPM套件作者自毀程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/148809">【2022年1月10日】 Log4Shell再被用於攻擊VMware遠端工作平臺，小心透過Google語音電話挾持帳號的詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148767">【2022年1月7日】 NCC警告小米手機會比對用戶是否使用中國政府封鎖的關鍵字，Java的RMI協定可被用於SSRF攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148740">【2022年1月6日】駭客針對17家公司進行撞庫攻擊，惡意軟體ZLoader透過網管軟體投放</a></p> <p><a href="https://www.ithome.com.tw/news/148721">【2022年1月5日】研究人員發現70個網站快取中毒漏洞，摩根史坦利支付6千萬美元和解資料外洩訴訟</a></p> <p><a href="https://www.ithome.com.tw/news/148704">【2022年1月4日】從網頁複製指令貼上恐被用於攻擊行動、偵測物聯網裝置威脅出現新的方法</a></p> <p><a href="https://www.ithome.com.tw/news/148681">【2022年1月3日】 Log4Shell漏洞被用於攻擊學術機構，網路叫車系統Uber郵件系統可被冒名寄詐騙郵件</a></p> <p><a href="https://www.ithome.com.tw/news/148656">【2021年12月30日】加密貨幣交易所因Log4Shell漏洞成勒索軟體受害者、T-Mobile用戶遭到SIM卡挾持攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148630">【2021年12月29日】密碼管理系統LastPass驚傳遭到帳號填充攻擊，音訊設備大廠、美國物流業者雲端配置不當</a></p> <p><a href="https://www.ithome.com.tw/news/148622">【2021年12月28日】資安成國際半導體展要角，勒索軟體eCh0raix於聖誕節前夕攻擊威聯通NAS</a></p> <p><a href="https://www.ithome.com.tw/news/148597">【2021年12月27日】 IT業者公布Log4Shell漏洞影響情形，疑似由Babuk修改而成的勒索軟體Rook已有受害者</a></p> <p><a href="https://www.ithome.com.tw/news/148576">【2021年12月24日】 Apache網頁伺服器驚傳重大漏洞，以解僱為由的網釣攻擊散布惡意軟體Dridex</a></p> <p><a href="https://www.ithome.com.tw/news/148544">【2021年12月23日】阿里巴巴Log4Shell漏洞未先通報中國政府遭到制裁，微軟Teams應用程式漏洞恐被用於詐騙</a></p> <p><a href="https://www.ithome.com.tw/news/148522">【2021年12月22日】 Log4Shell隱含SBOM－軟體元件列管問題，暗網市集恐成攻擊者購買入侵帳密來源</a></p> <p><a href="https://www.ithome.com.tw/news/148484">【2021年12月21日】比利時國防部遭Log4Shell漏洞攻擊，駭客以輝瑞藥廠的名義進行網路釣魚</a></p> <p><a href="https://www.ithome.com.tw/news/148463">【2021年12月20日】 Log4Shell出現新的阻斷服務漏洞、勒索軟體Conti鎖定VMware vCenter發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/148426">【2021年12月17日】 Log4Shell出現大量攻擊、間諜軟體攻擊全球工控系統</a></p> </div></div></div>
2022/6/6 18:26作者周峻佑https://www.ithome.com.tw/news/151308
AWS本地雲將落腳臺灣！亞馬遜AWS將在臺推出地區型公雲服務Local Zones
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜AWS於今日（6/6）宣布將在臺推出本地區域（AWS Local Zone）公雲服務，包括運算、儲存等，來提供當地企業執行對延遲敏感且密集型的應用，比如遊戲、影音等。由於AWS目前在臺灣並沒有設立可用區域，這次把Local Zones本地雲放在臺灣，也意謂著，AWS在臺雲端投資布局跨出一大步，臺灣也將成為AWS在全球第32朵AWS本地雲。AWS表示新的Local Zones將於數月内完工。</p> <p>不同於常見的AWS服務是以區域（Region）與可用區域（Available Zone）為中心來建置<span>，</span>Local Zones雖是延伸大型AWS Regions的基礎架構部署方式，但主要是放在城市的本地雲，使AWS的運算、儲存、資料庫及其他AWS服務，可以部署在都會區附近的雲端邊緣，來滿足企業對於即時性的應用任務的需求。</p> <p>2019年推出後，AWS最早先在美國先啟用Local Zones服務，陸續在全美17個城市增建小型資料中心，今年初更擴大到全球各地來推出，根據AWS計畫，2022年起將在全球26個國家共32個城市推出該服務，包括阿根廷、澳大利亞、奧地利、比利時、巴西、加拿大、智利、哥倫比亞、捷克共和國、丹麥、芬蘭、德國、希臘、印度、肯尼亞、墨西哥、荷蘭、新西蘭、挪威、秘魯、菲律賓、波蘭、葡萄牙、南非、泰國和越南等，臺灣則是最新一個將部署Local Zones的亞洲國家，來就近提供本地企業AWS公雲服務。</p> <p>根據AWS官網的說明，在Local Zones中可使用的AWS服務，包括了Amazon EC2運算服務、Amazon VPC虛擬網路服務、Amazon EBS區塊儲存、Amazon FSx檔案系統服務、Amazon Elastic負載平衡、Amazon EMR<span>雲端大數據平臺</span>、Amazon ElastiCache<span>記憶體內快取服務</span>和Amazon RDS關聯式資料庫等多種AWS服務，在Local Zones與Region彼此之間，則以高頻寬連接，用戶可利用API連到附近AWS可用區域中執行其他工作負載，使用全套AWS服務的存取權限。</p> <p>AWS表示，新建立的Local Zones，將擴充AWS在臺灣的雲端基礎設施，包括提供更快速CDN服務Amazon CloudFront，還有提供專用的高速、低延遲連線的AWS Direct Connect連線服務，以及整櫃式主機AWS Outposts服務等。</p> <p>AWS台灣暨香港總經王定愷則表示，在臺灣提供AWS本地區域公雲服務，是AWS在臺灣持續投入的計畫之一，未來將持續協助臺灣各行各業和合作夥伴利用雲端不斷創新，實現全面數位化。</p> <p>由於AWS目前在臺灣當地並沒有設立可用區域，只有鄰近國家的AWS可用區域能用，如香港、新加坡、日本東京等，不過AWS強調，企業客戶未來能夠在臺灣本地Local Zones的資料中心執行應用並無縫連結到AWS可用區域，使用其熟悉的AWS API 及工具來進行跨Local Zones與Region的混合部署。</p> <p>不過，AWS目前並未透露Local Zones本地雲將落腳臺灣哪個城市或都會區，只說明新的Local Zones將於數月内完工。</p> </div></div></div>
2022/6/6 19:29作者余至浩https://www.ithome.com.tw/news/151307
你知道白噪音播客的聽眾數量擠進Spotify前1/4排行嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-06-01/how-to-make-money-on-spotify-a-white-noise-podcast-could-bring-you-big-bucks" target="_blank">《彭博社》（Bloomberg）最近發現了一個有趣的播客現象</a>，Spotify中有一群獨立製作的播客正在撐起白噪音（White Noise）市場，其中一個由Todd Moore主持的Tmsoft’s White Noise Sleep Sounds白噪音播客頻道，每天大約吸引了5萬名聽眾，此一聽眾數量已可擠進Spotify的前25%，估計光是廣告分潤每月就可以替Moore賺進逾1.8萬美元。</p> <p>在訊號的處理中，白噪音是在不同的頻率上擁有同樣強度的隨機訊號，使得它擁有一致的頻譜密度，雖然它也是噪音，但它的強度一致又規律，因此具有遮蔽其它噪音的功能，像是人聲、車聲或是開/關門聲；另有粉紅噪音（Pink Noise）與布朗噪音（Brownian noise）等不同的噪音形式，它們都是規律的，只是在不同頻率上的能量表現不同，聽起來就有高低音的差別。</p> <p>在Spotify上以White Noice進行搜尋時，發現絕大多數這類的聲音內容都是用來協助人們專心，阻絕外界突如其來的環境音，不管是為了工作、唸書或睡覺，有人把它製作成搖籃曲，有人將它加入雨聲或海浪聲，有人加入了鋼琴聲，還有不少白噪音的曲目長達8小時，顯然是為了睡覺所用。</p> <p><a href="https://www.inputmag.com/culture/white-noise-podcasts-spotify-anchor" target="_blank">科技雜誌《INPUT》特約作家Andrew Paul便說他自己是白噪音的愛好者</a>，只要開啟白噪音，不消幾分鐘就能睡著，但他從沒想過白噪音可以賺這麼多錢。就連Moore對自己會變成全職的白噪音創作者都感到訝異。</p> <p>根據《彭博社》的報導，不像一般播客大多想增加名氣，發行白噪音內容的播客都相對低調，且拒絕受訪，而同意受訪的Moore原本是個資安研究人員，但在2009年辭去工作並自行打造了White Noise程式，於2019年推出Tmsoft’s White Noise Sleep Sounds頻道，專門提供各種結合白噪音的催眠音樂，後者也成為他現在最主要的收入。</p> <p>另一名無心插柳卻柳成蔭的播客Brandon Reed也在2019年進入白噪音播客市場，當時他是為了哄自己的小孩睡覺，順便在Spotify上推出了12 Hour Sound Machines節目，當時並沒有吸引太多聽眾，卻在去年攀上Spotify前15名排行榜，如今其每日聽眾約有10萬人。</p> </div></div></div>
2022/6/6 16:14作者陳曉莉https://www.ithome.com.tw/news/151306
負責Amazon全球消費者業務的Dave Clark將在7月離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-of-worldwide-consumer-dave-clark-resigns-after-23-years" target="_blank">Amazon於上周宣布</a>，該公司全球消費者業務執行長Dave Clark已遞出辭呈，7月1日將是他待在Amazon的最後一天，結束他於該公司23年的職業生涯。</p> <p>Clark是在1999年5月，在他拿到美國田納西大學MBA學位的隔天就加入了Amazon，當時Amazon只有5個交付中心，他從基層的角色做起，最早曾是肯德基州的營運經理，之後成為美國東北區域的總經理，繼之負責全球營運，接著在兩年前COVID-19疫情爆發後接下重責大任，成為Amazon零售業務的執行長，負責管理Amazon的零售網站、實體店面、Amazon Prime與全球的交付中心等業務。現在的Amazon光是在美國就設立了110個交付中心，海外市場則有185個交付中心。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/371f05a/2147483647/strip/true/crop/1706x960+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F76%2F09%2F4f42608a4722835be3369ff7e3e1%2Fia-header-2-1.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon說Clark的離職是為了追求其它的機會，而Clark則說他內心是個建置者，沒有其它公司比Amazon更適合磨鍊相關的技能，只是，現在是向Amazon道再見並展開新旅程的時候了。</p> <p>儘管檯面上雙方看起來沒有任何的不合，但<a href="https://www.businessinsider.com/amazon-consumer-ceo-dave-clark-resigns-missteps-2022-6" target="_blank">《Business Insider》卻認為</a>這代表Amazon執行長Andy Jassy 並不滿意Clark的表現，Jassy於聲明中表示，要達到消費者業務的最終目標還有許多任務必須要完成，目前正在尋找Dave的繼任人選並研擬未來可能進行的改變，可望於未來幾周公布。</p> <p>為了因應疫情而遽增的電子商務業務，<a href="https://www.ithome.com.tw/news/136966" target="_blank">Amazon不僅於短時間內增聘大量員工</a>，更快速擴編其交付中心，然而，在疫情趨緩之後，Amazon便因擴充太大又太快而造成人力與交付中心都過剩的情形。</p> <p><a href="https://www.ithome.com.tw/news/150687" target="_blank">Amazon今年第一季交出了虧損38億美元的財報</a>，除了因為對電動車業者Rivian Automotive的投資虧損了76億美元之外，該季Amazon北美與全球電子商務業務總計虧損了28.5億美元。</p> </div></div></div>
2022/6/6 14:46作者陳曉莉https://www.ithome.com.tw/news/151289