iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 19篇
近 24 小時: 24篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

MedTech醫療科技雙周報第9期：美國參議院特別立法監督160億美元的醫療IT現代化工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0601～0615)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">退伍軍人事務部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EHR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cerner </span></strong></span></p> <p><span style="font-size: 22px;"><strong>不過是政府換EHR系統，為何美國參議院還要立法監督？</strong></span></p> <p>美國參議院最近一致通過《<a href="https://www.congress.gov/bill/117th-congress/house-bill/4591">VA電子健康記錄透明度2021年法案</a>》，要求美國退伍軍人事務部（VA）定期公開新電子健康記錄（EHR）系統建置狀況，並揭露投入資源、成本、效能指標和部署進展；該法案接下來會交由總統拜登簽署，之後即生效。</p> <p>該法案由數位參議員退伍軍人事務委員會高階成員起草，要求VA更透明地揭露EHR現代化工作進展。這個EHR現代化工作在2018年正式展開，由VA委託電子病歷龍頭廠商Cerner開發，要汰換舊有的VistA系統，預計在2028年正式上線，要讓900萬名退伍軍人及其家屬受益。這套新EHR系統的目的，是要讓醫護人員可查詢患者所有就醫歷史資料，來制定個人化的治療決策，同時讓患者更輕易預約、安排就診。該系統將互通VA旗下醫學中心、醫療診所以及美國國防部和海岸警衛隊資料，同時也支援6萬多家社區照護中心。</p> <p>不過，該工作自展開以來便一路顛簸。比如，初始預算從100億美元增加到160億美元，且分期上線進度一再落後，去年，VA旗下監督長辦公室更公布一系列報告，指出VA不只少估了數十億美元的IT基礎建設預算，人員訓練還不足，且原本要先上線的預約排程系統，還不完整。今年2月和5月，還分別發生了舊系統搬遷資料品質不佳、華盛頓州新系統減速，甚至中斷服務。</p> <p>也因此，參議院決定立法監督，美國史上最大規模的EHR現代化工作進度。「這個現代化工作有著巨大影響，我們必須做對這件事！」法案起草人之一的Jerry Moran指出，該法案將確保VA提供透明公開的進展資訊，來讓委員會成員監督，確保納稅錢得到妥善運用。<a href="https://www.moran.senate.gov/public/index.cfm/2022/5/breaking-senate-passes-bill-to-increase-transparency-of-va-health-record-modernization">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲象 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 病理AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>雲象聯手臺大，50億畫素AI模型訓練加速10倍</strong></span></p> <p>數位病理廠商雲象科技聯手臺大資工系教授洪士灝團隊，突破深度神經網路訓練的硬體加速器記憶體限制，將繁複的計算工作流程加速近10倍，就算用50億畫素影像訓練模型也沒問題。雲象科技執行長葉肇元指出，這個技術讓團隊可直接用未經切割且未經標註的高解析度影像來訓練AI模型，省下病理師數百小時的標註時間，讓團隊可在1年內完成研究。</p> <p>這個研究，就是AI輔助病理師判讀胃癌微小轉移病灶。雲象與林口長庚病理科主任陳澤卿、醫師黃士強聯手，用6千個50億畫素淋巴結標註影像來訓練AI模型，同時設計一個AI輔助的數位病理工作流程，來輔助病理科醫師進行胃癌淋巴結轉移診斷工作。團隊發現，在未經AI輔助的人工診斷中，病理科醫師對於小於2mm的胃癌微小轉移病灶的敏感度是82%，對小於0.2mm的單獨性腫瘤細胞病灶，診斷敏感度則是68%。</p> <p>但是，在AI輔助下，醫師對微小轉移和單獨性腫瘤細胞的診斷敏感度，都提高至 96%，而且診斷時間分別縮短了30%和26%。<a href="https://www.nature.com/articles/s41467-022-30746-1?fbclid=IwAR256YFoS5O4aeVxxk6zbh_bYnv7U2PDyfLnY2gIPs2F63Q0VQ6ByeEaZsU">該研究成果最近登上《自然通訊》期刊</a>。<a href="https://www.facebook.com/1213493608/posts/pfbid0Tnb95yCfneLwibV2p1Hj8pexzoSNKa2NrhhbyJrKrprWVrxFqbsMAfqA63T3sYa7l/?d=n">（詳全文）</a></p> <p><img alt="" src="https://media.springernature.com/lw685/springer-static/image/art%3A10.1038%2Fs41467-022-30746-1/MediaObjects/41467_2022_30746_Fig1_HTML.png?as=webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Apple Watch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 心房顫動 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span></p> <p><span style="font-size:22px;"><strong>Apple Watch心房顫動記錄新功能獲美國FDA認可 </strong></span></p> <p>6月初，Apple Watch一項心房顫動記錄（AFib History）新功能獲美國食藥局FDA智慧醫材核准，可用於22歲以上已診斷有心房顫動的使用者。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">蘋果表示</a>，該功能可預估配戴者出現不規則、極端快速心律的頻率，每周發送一次心房顫動頻率摘要給使用者。此外，使用者還能在蘋果Health App中，查看睡眠、飲酒和各項活動等因素對心房顫動的影響，也能下載詳細的PDF檔案，來與醫療照護人員溝通。這些功能目前為預覽版，日後將隨watchOS 9正式推出。</p> <p>其他更新還包括，能根據智慧手錶的加速度器、心律感測器和內建機器學習演算法，來偵測使用者是處於快速動眼期、核心睡眠還是深度睡眠。另一個新功能則是藥物追蹤，使用者可在Apple Watch和iPhone設定服藥提醒時間，美國用戶還能收到藥物交互作用的提醒。<a href="https://www.apple.com/newsroom/2022/06/watchos-9-delivers-new-ways-to-stay-connected-active-and-healthy/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/product/os/watchos/standard/Apple-WWDC22-watchOS-9-iPhone13Pro-AFib-History-220606_inline.jpg.large_2x.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 阿拉伯聯合大公國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EMR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料權 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>阿拉伯聯合大公國改版EMR系統，讓民眾也能擁有就醫資料</strong></span></p> <p>杜拜衛生局（DHA）是監管阿拉伯聯合大公國醫療系統的政府單位，最近改版了現有電子病歷（EMR）系統Salama，讓民眾也能從DHA App中，看到自己的就醫資料，像是處方箋、藥物、預約訊息和臨床診療結果等。</p> <p>進一步來說，Salama目前擁有500多萬人的醫療資料，也與DHA所屬公家醫院、基層醫療診所、專科中心和幾家私立醫院等醫療機構互通資料。這次改版除了讓民眾更容易取得醫療資料，還提供DHA的遠距照護服務。<a href="http://wam.ae/en/details/1395303052549">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 榮家 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G專網 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧長照 </span></strong></span></p> <p><span style="font-size:22px;"><strong>岡山榮家率先導入5G AIoT遠距照護系統，未來要擴大到全臺分院</strong></span></p> <p>岡山榮家日前導入5G AR+AIoT智慧照護系統，要用5G專網和AIoT設備，來強化遠距照護服務。這套系統由許多團隊協力打造，如即時共享長照資料的高雄榮總，以及負責用5G O-RAN技術打造5G長照專網的中華電信，還有負責整合的中華電信子公司中華系統。他們在退輔會支持下，以岡山榮家為示範場域，先利用5G長照專網，來與高雄榮總進行遠距會診。如此一來，住民不必出門，就能得到合適的照護。</p> <p>中華電信指出，未來，團隊計畫將5G智慧長照系統，擴大到全臺16所榮家和國內其他長照機構，甚至推廣至海外市場。<a href="https://www.facebook.com/100069348363890/posts/pfbid02DnwQcX7UiBR8wRqN3uVmHkRCEE4subq8oaLxvWSLqhcQj1Y1ke1hVKpuGmt5tRNEl/?d=n">（詳全文）</a></p> <p><img alt="" src="https://scontent-tpe1-1.xx.fbcdn.net/v/t39.30808-6/285543636_324285629893047_653994996601573531_n.jpg?_nc_cat=108&ccb=1-7&_nc_sid=730e14&_nc_ohc=c_VU0Y_SAFgAX9k7fZv&tn=Ean5VNVQrOu3VTS3&_nc_ht=scontent-tpe1-1.xx&oh=00_AT_tEvxSu55FDFh6rGkwy7W3btguIx9cmL0keFPOEYxRoQ&oe=62B5EDF9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療資安 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 勒索軟體 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sophos </span></strong></span></p> <p><span style="font-size:22px;"><strong>醫療資安報告：醫院勒索軟體攻擊次數2年翻倍</strong></span></p> <p>近日，一份針對醫療機構的資安報告顯示，2021年66%的醫療機構遭受至少一次勒索軟體攻擊，幾乎是2020年34%的2倍。這份資安報告名為2022年醫療勒索軟體狀態（The State of Ransomware in Healthcare 2022），由資安公司Sophos贊助完成。該調查在今年早些時候，詢問了全球31個國家供5,000名醫療IT專員，結果發現，隨著勒索軟體即服務（Ransomeware as a service）的普及，攻擊門檻降低，醫療機構也遭受越來越多的攻擊。</p> <p>不過，報告也指出，醫療機構有61%的攻擊導致資料加密，比全球的65%要低，這也意味著，醫療機構更能在勒索軟體攻擊時，停止資料加密。報告也點出，越來越多醫院開始購買資安保險契約，意味著醫院必須投入更多資源，來建立資安防護。<a href="https://assets.sophos.com/X24WTUEQ/at/4wxp262kpf84t3bxf32wrctm/sophos-state-of-ransomware-healthcare-2022-wp.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-06-20%20at%203_02_18%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯合學習 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高雄 </span></strong></span></p> <p><span style="font-size:22px;"><strong>甲骨文完成收購電子病歷龍頭廠商Cerner，要建全國統一資料庫</strong></span></p> <p>甲骨文最近完成收購電子病歷（EMR）軟體龍頭之一的Cerner，還要計畫建立美國全國統一的電子病歷資料庫。甲骨文去年底宣布以283億美元收購Cerner，繼今年1月美國證管會同意後，6月初也獲得歐盟主管機關核准。甲骨文宣布收購案於6月8日完成，取得Cerner 69.2%股權。甲骨文技術長Larry Ellison近日表示，美國病歷紀錄散在各醫院資料庫，難以互通、整合，導致受傷或生病的外地病患無法在急救時取得相關資訊。而分散的醫療資料，也讓美國公衛主管機關無法及時取得24小時內因COVID-19入院的病患人數。</p> <p>為解決這個問題，甲骨文打算建立一個整合性的全國匿名資料庫，來統整數千個分散在各醫院的雲端資料庫，解決醫護人員對電子病歷及醫療紀錄取得問題。<a href="https://www.oracle.com/news/announcement/oracle-completes-acquisition-of-cerner-2022-06-07/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 急性腎損傷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NHS </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google面臨英國健保資料濫用的集體訴訟</strong></span></p> <p>5月中，Google傳出將面臨英國健保署集體訴訟，因其子公司DeepMind於2016年時，執行倫敦Royal Free國家健康服務基金信託的急性腎損傷預測App專案，在病患不知情和未同意的情況下，使用了160萬名英國健保署NHS管轄下的患者資料。</p> <p>當時，DeepMind從倫敦Royal Free國家健康服務基金信託接過資料，用來開發一款名為Streams的手機App，可預測患者發生急性腎損傷的風險，Royal Free也以折扣價使用該App。後來，隨著資料隱私意識越趨重要，英國負責資料隱私的部門ICO先判定Royal Free提供的資料不合隱私規範，最近，個人Andrew Prismall則將對Google提起集體訴訟。<a href="https://www.mishcon.com/news/new-claim-against-google-and-deepmind-technologies-for-unauthorised-use-of-confidential-medical-records">（詳全文）</a></p> <p>圖片來源／雲象科技、蘋果、岡山榮家、Sophos</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. HL7 Taiwan獲HL7國際總會授權將舉辦12周基礎課程，範圍涵蓋導論、HL7 V2.X、HL7 CDA R2與FHIR</strong></p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/20 15:24作者王若樸https://www.ithome.com.tw/news/151524
【資安日報】2022年6月20日，西門子公布與修補15個工控網路管理系統的漏洞、研究人員揭露微軟二度修補的RDP漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週末到今天的資安新聞中，漏洞修補的消息相當值得留意，其中對於西門子工控網路管理系統SINEC的修補，通報相關漏洞的資安人員指出，當中有2個漏洞最為嚴重，因為攻擊者一旦串連加以利用，就有可能取得NT AUTHORITY\SYSTEM權限，進而掌控受管理的工控設備。</p> <p>微軟對於遠端桌面連線（RDP）的漏洞修補，近期出現了修補完成後漏洞仍可被利用的情況。研究人員針對微軟在1月例行修補（Patch Tuesday）處理的漏洞CVE-2022-21893，揭露該漏洞的細節，並指出他們後來發現可繞過修補程式的管道。對此，微軟於4月的例行修補發布更新軟體因應。</p> <p>一般的殭屍網路主要由電腦或伺服器組成，但最近歐美執法單位摧毀殭屍網路基礎設施的行動中，他們摧毀了由各式各樣的連網裝置所組成的Rsocks，組成的裝置類型可說是目不暇給。比較特別的是，經營該殭屍網路的駭客提供了租賃的方式，讓客戶能輕易操縱大量連網裝置發動攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-nas-devices-targeted-by-surge-of-ech0raix-ransomware-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體DeadBolt、eCh0raix再度攻擊威聯通NAS</span></a></strong></h3> <p>鎖定NAS設備的勒索軟體行動近期又再度升溫。<a href="https://www.qnap.com/en/security-advisory/QSA-22-19">威聯通（QNAP）於6月17日發布資安通告</a>，表示他們近期偵測到新的勒索軟體DeadBolt攻擊行動，攻擊者疑似針對執行QTS 4.x版作業系統的威聯通NAS而來，該公司呼籲用戶應使用最新版本的QTS或QuTS hero作業系統，來防範相關攻擊行動。</p> <p>無獨有偶，另一波針對該廠牌NAS的勒索軟體攻擊也引起關注。根據資安新聞網站Bleeping Computer於6月18日的報導，有多個威聯通用戶在該網站的論壇表示，他們的NAS遭到勒索軟體ech0raix攻擊，最早通報的事故約發生在6月8日。雖然ech0raix也曾攻擊群暉（Synology）的NAS設備，但在這波攻擊行動中，似乎只有威聯通的設備受害。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/16/confluence-exploits-used-to-drop-ransomware-on-vulnerable-servers/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再傳被用於投放挖礦軟體與勒索軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/atlassian_ransomware_note.png" style="width: 300px; float: right;" /></a>自6月初<a href="https://www.ithome.com.tw/news/151286">Atlassian修補Confluence重大漏洞CVE-2022-26134</a>，相關的漏洞攻擊行動就不斷傳出。資安業者Sophos於6月16日指出，他們近日觀察到數起Confluence漏洞攻擊行動，並指出大部分的運作過程是自動化進行，其中有些攻擊者透過無檔案式的Web Shell，鎖定Linux主機投放漏洞工具包PwnKit，或是挖礦軟體z0miner。</p> <p>針對執行Windows作業系統的受害伺服器，研究人員則是看到駭客執行PowerShell命令，推送Cobalt Strike的Shell Code的事故，他們也發現有2次鎖定Windows伺服器的Cerber勒索軟體攻擊。研究人員也提供入侵指標（IoC）供組織識別相關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://claroty.com/2022/06/16/blog-research-securing-network-management-systems-part-3-siemens-sinec-nms/"><span style="color: rgb(0, 0, 0);">西門子公布與修補15個工控網路管理系統的漏洞</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/siemens-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siemens-chain.png" style="width: 300px; float: right;" /></a>用於操作科技（OT）環境的網路管理系統，一旦出現漏洞，有可能讓攻擊者用於掌控OT網路環境。資安業者Claroty近日揭露，西門子旗下的SINEC網路管理系統（NMS）漏洞，西門子總共登錄為15個CVE編號進行列管，並發布1.0 SP2 Update 1予以修補。研究人員指出，這些漏洞中最值得留意的是CVE-2021-33723與CVE-2021-33722，前者為能讓攻擊者藉由不適當的權限挾持帳號，後者則是路徑穿越（Path Traversal）漏洞，攻擊者可經由受限制的資料夾，以及不適當的檔案名稱限制，來加以利用，CVSS風險評分為8.8分與7.2分。</p> <p>但這兩個漏洞的危險之處，在於駭客可以將其串連，進而取得NT AUTHORITY\SYSTEM的權限，不只能遠端執行程式碼，還能破壞SINEC管理的西門子設備。由於SINEC專門用於集中管控與設定OT網路環境中的PLC裝置，以及其他相關的工業控制系統（ICS）裝置，攻擊者一旦掌握了SINEC，就有機會在受害組織的OT環境站穩腳跟，且成功利用上述2個漏洞後，攻擊者還能順勢運用其他13個漏洞，研究人員呼籲企業應儘速升級新版SINEC。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberark.com/resources/threat-research-blog/that-pipe-is-still-leaking-revisiting-the-rdp-named-pipe-vulnerability"><span style="color: rgb(0, 0, 0);">研究人員揭露微軟二度修補的RDP漏洞細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RDP-Named-pipe-20220620-1436-55909.png" style="width: 300px; float: right;" /></a>資安業者CyberArk於今年1月向微軟通報CVE-2022-21893，並得到修補，但研究人員後來又發現可利用上述漏洞的手法，使得微軟再度製作了新的修補程式。該業者最近公布漏洞的相關細節。研究人員指出，CVE-2022-21893存在於遠端桌面連線（RDP），一旦攻擊者加以利用，就機會透過有多個使用者存取的RDP伺服器，存取其他使用者連線到遠端桌面所使用的用戶端電腦（Clinet），且無須取得特殊權限就能觸發前述漏洞。</p> <p>研究人員指出，這項漏洞還允攻擊者檢視或竄改RDP連線用戶的資料，像是剪貼簿、傳輸的檔案，甚至是智慧卡的PIN碼等，而且，攻擊者能藉此冒用他人帳號存取RDP主機。</p> <p>針對微軟首度推出的修補內容，研究人員表示，該公司限縮使用管道（Pipe）的權限，避免一般使用者建立<a href="https://docs.microsoft.com/zh-tw/windows/win32/ipc/named-pipes">具名管道（Named Pipe）</a>伺服器，來防堵漏洞的觸發，但若是攻擊者使用相同名稱建立多個管道個體（Pipe Instance），則作業系統第一次呼叫的CreateNamedPipe()函式，將適用於其他相同名稱的個體，而能突破上述的修補程式，微軟獲報後於4月份的例行修補（Patch Tuesday）再度提供更新軟體，並將後續修補的部分登錄為CVE-2022-24533列管。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation"><span style="color: rgb(0, 0, 0);">美、德、荷、英4國執法單位聯手，切斷俄羅斯殭屍網路RSOCKS基礎設施運作</span></a></strong></h3> <p>針對攻擊者集結物聯網（IoT）裝置作為殭屍網路大軍的情況，有駭客建置了租賃服務，出租受到控制的裝置讓他人加以運用，而遭到執法單位圍剿。美國司法部（DOJ）於6月16日宣布，他們與德國、荷蘭、英國的執行機構聯手，摧毀俄羅斯駭客建立的殭屍網路RSOCKS基礎設施。</p> <p>該殭屍網路主要由物聯網裝置組成，裝置類型相當廣泛，不只包含了電腦和行動裝置，還有工業控制系統（ICS）、路由器、影音串流裝置，以及智慧家電等。美國司法部指出，該殭屍網路提供租賃服務，客戶付費後就能藉由這些裝置的流量來發動攻擊──每天30美元可使用2千個裝置的流量、每天200美元則可運用9萬個裝置的流量。RSOCKS用戶很可能運用上述服務發動大規模的帳號填充（Credential Stuffing）攻擊，或是寄送釣魚郵件。為了避免客戶發動攻擊的來源IP位址曝光，RSOCKS也提供代理伺服器的服務（Proxy Service），將受害裝置的IP位址分配給客戶使用。</p> <p>根據美國聯邦調查局（FBI）於2017年開始著手進行的調查，當時全球至少有32.5萬臺裝置遭到RSOCKS擺布，其中有不少位於該國加州的聖地牙哥郡。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/reddit-patches-csrf-vulnerability-that-forced-users-to-view-nsfw-content"><span style="color: rgb(0, 0, 0);">電子佈告欄服務Reddit修補CSRF漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://isc.sans.edu/forums/diary/Malspam+pushes+Matanbuchus+malware+leads+to+Cobalt+Strike/28752/"><span style="color: rgb(0, 0, 0);">惡意軟體Matabuchus被用於投放Cobalt Strike</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/brata-is-evolving-into-an-advanced-persistent-threat"><span style="color: rgb(0, 0, 0);">安卓木馬Brata鎖定英國、義大利、西班牙而來</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151507">【2022年6月17日】 WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透過員工向受害組織施壓</a></p> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> </div></div></div>
2022/6/20 16:41作者周峻佑https://www.ithome.com.tw/news/151525
Telegram正式推出付費訂閱服務Telegram Premium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://telegram.org/blog/700-million-and-premium/" target="_blank">通訊平臺Telegram周日（6/19）正式發表付費訂閱服務Telegram Premium</a>，將提供各種獨家功能予付費訂閱用戶，每月訂閱費用為4.99美元。此外，Telegram也宣布，在完全沒有購買廣告之下，該程式光靠使用者的口碑行銷就達到了7億的每月用戶數。</p> <p>Telegram表示，Telegram Premium將用來支持該平臺的開發，而既有的服務也將維持免費。</p> <p>訂閱用戶可上傳最高4GB的檔案，可以最快的速度下載檔案，可追蹤1,000個頻道，建立20個聊天文件夾，支援第四個帳號，能夠釘選10個聊天室，儲存400個動畫檔，支援聲音轉文字功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Telegram%20Premium-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Telegram</span></span></p> <p>此外，訂閱用戶還可享有每月更新的獨家貼紙，獨家的表情符號，進階的聊天管理工具，動態的個人檔案照片，以及訂閱用戶專屬的星號標章，專屬的程式圖示，而且完全沒有廣告。</p> <p> </p> </div></div></div>
2022/6/20 13:39作者陳曉莉https://www.ithome.com.tw/news/151522
Meta即將於臉書、IG及Messenger上推出Avatars商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/zuck/posts/10114529132448901" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）18日透過臉書宣布</a>，即將於臉書、Instagram及Messenger上推出Avatars Store，以讓使用者可以替自己的虛擬替身添購新裝，預計下周開始於全球市場陸續上線。</p> <p>祖克柏表示，數位商品將是使用者於元宇由中用來表達自己的重要途徑，也是創意經濟的最大驅動力，他很期待納入更多的品質，以及將Avatars Store帶至VR世界，祖克柏還以自己與妻子的虛擬替身作了換裝的示範。</p> <p>臉書是在2019年推出虛擬替身服務，讓使用者可建立自己的虛擬替身，作為個人檔案中的大頭貼。不過，迄今臉書並未公布建立或採用虛擬替身的用戶比例。</p> <p>如同虛擬替身服務是從澳洲、紐西蘭、歐洲、北美等地依序上線，Avatars Store下周起將率先現身於美國、加拿大、泰國與墨西哥。</p> </div></div></div>
2022/6/20 12:23作者陳曉莉https://www.ithome.com.tw/news/151520
比特幣周末一度跌破1.8萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>比特幣（Bitcoin）在臺北時間19日的凌晨5點一度跌破1.8萬美元，在24小時內，從20,600美元跌至17,786美元，創下了該幣自2020年11月以來的新低。儘管隨後比特幣即開始上揚，但僅回檔至2萬美元左右震盪。</p> <p>在今年1月的高峰時，比特幣還有47,739美元的價格，若以17,786美元來計算，那麼這半年來比特幣跌幅超過62%。若再往前推算，比特幣在2021年11月創下的高峰為67,802美元，那麼跌幅更高達73%，比特幣的市值亦從去年11月的1.27兆美元，下滑至6月19日的3,620億美元。</p> <p>除了比特幣之外，身為全球第二大加密貨幣的以太幣（ETH）也未能倖免於難。它在與比特幣同一時段的24小時內，從1,093美元下挫至902.44美元，現在則已回升到1,069美元。</p> <p>以太幣的高峰也是出現在2021年的11月，當時創下了4,811美元的價格，902.44美元是2021年1月以來的新低，其市值亦從高峰時的5,600億美元，跌至6月19日的1,093億美元。</p> </div></div></div>
2022/6/20 12:54作者陳曉莉https://www.ithome.com.tw/news/151521
馬斯克希望推特用戶成長到10億，將深入參與產品開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/151310" target="_blank">多次威脅要退出推特（Twitter）收購案的馬斯克（Elon Musk）</a>上周現身說法，說明他對推特的未來期望，包括成為10億用戶的社交平臺、以及他不在乎頭銜，但會更緊密參與產品開發。</p> <p><a href="https://www.youtube.com/watch?v=FLvTcRrzy20" target="_blank">馬斯克上周接受一個線上平臺的訪談中談及對推特未來願景</a>、以及他認為達成這個願景該怎麼做，同時也針對遠距工作、裁員說明他的想法。馬斯克希望推特能成為一個10億用戶的自由言論平臺。他以微信（WeChat）為例，中國大部份用戶線上所有活動基本上都在微信上，而推特也應該要成為這樣的平臺。另外，他也提及，TikTok的演算法使這個服務變得很有趣，也是可以取法的對象。</p> <p>但是現在推特距離這個目標還很遠，例如許多YouTuber只是利用推特來引導流量到YouTube上，但他們產出的內容不會停留在推特上。馬斯克認為這些內容應該要留在推特上。而為了要吸引更多用戶，馬斯克認為，推特必須從技術及設計面著手，找出其核心競爭力，建立成為包容度高、且讓用戶能自由發言、感到舒適，且用戶信任的平臺，使內容愈多愈好。而查緝假帳號、公開演算法也是為了建立用戶信任。</p> <p><a href="https://www.cnet.com/tech/twitter-earnings-cite-user-growth-as-musk-takeover-looms/" target="_blank">根據推特4月公布的數據</a>，它的經常用戶數為2.3億。</p> <p>馬斯克也針對推特裁員說明，這是維持公司永續經營不得不然。目前推特營收仍不足以應付成本，他說很高興推特已做了「合理」的調整，使營收大於成本，然而馬斯克強調不會大幅改變推特的組織。</p> <p>馬斯克前些日子要求特斯拉員工回公司上班，<a href="https://www.ithome.com.tw/news/151284" target="_blank">引起其他公司向其員工招手</a>。在上周的訪談他也說明對遠距工作的態度。他指出，製造汽車及供應鏈、交付基本上不可能遠端完成，人一定要在工廠。特斯拉也是有些角色如軟體和設計可以在遠端完成，可是人在公司的生產力較高，而且員工至少也必須三不五時見一見同事。但他說，特斯拉仍然允許部門經理列出特別優秀的員工，允許他們遠端作業。</p> <p>在被問及他未來在推特的角色，是否會以CEO角色主導策略時，馬斯克說他不在乎頭銜。作為CEO有很多其他雜務要做，他倒也不會推辭，但是因為他是推特的重度用戶，馬斯克最在乎的是深切參與業務，以及產品功能的設計發展，一如他在特斯拉，和工程和生產部門一起工作。</p> </div></div></div>
2022/6/20 11:22作者林妍溱https://www.ithome.com.tw/news/151517
TikTok將美國流量導向甲骨文以避免爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">TikTok上周宣布</a>，未來美國地區的使用流量將全部導向甲骨文（Oracle），以避免美國用戶資料外流中國的疑慮。</p> <p>這項行動是為了平息稍早美國媒體《BuzzFeed News》一篇報導引發的爭議。<a href="https://www.buzzfeednews.com/article/emilybakerwhite/tiktok-tapes-us-user-data-china-bytedance-access" target="_blank">媒體取得</a>TikTok內部9名員工的會議語音紀錄，顯示至少從2021年9月到2022年1月，中國TikTok的工程師可以存取美國用戶流量。</p> <p>報導取得的紀錄包含TikTok工程人員和公司主管及外部顧問公司的小型會議紀錄。紀錄顯示，美國用戶流量資料要傳到哪，必須問中國員工，美國員工不知道，也無權決定如何存取這些流量。</p> <p>報導指出，TikTok為了美國用戶流量在美、中兩地之間傳送，還由美國技術服務團隊啟動Project Texas負責，並找來外國顧問公司Booz Allen Hamilton協助，負責調查資料如何流向TikTok及母公司字節跳動（ByteDance）的內部工具，包括資料視覺化、內容管制及營利。中國TikTok的工具可以把一切內容「看得一清二楚」。而2021年2月加入Project Texas專案的Booz Allen Hamilton顧問也表示，TikTok可能有存取幾乎所有用戶資料的後門。</p> <p>雖然美國TikTok技術服務負責確保美國用戶資料隱私，也表示中國官方不被允許加入這個計畫，但是這個部門則是向中國字節跳動主管報告。</p> <p>TikTok周五否認有把資料傳到中國。<a href="https://newsroom.tiktok.com/en-us/delivering-on-our-us-data-governance" target="_blank">該公司美國安全公共政策Albert Calamug表示</a>，TikTok向來將美國用戶的資料儲存在美國和新加坡的伺服器，而在維吉尼亞州的資料中心，設有實體及網路安全控管，像是柵門、防火牆及入侵偵測技術。該公司也對備份美國資料用戶的新加坡伺服器善加維護，防止用戶資料遺失等災難情形。</p> <p>2019年前任美國總統川普因為TikTok母公司字節跳動的中國公司背景，要求字節跳動將TikTok美國業務經營權賣給美國企業否則將把它下架。微軟一度有意收購，不過9月間甲骨文半路殺出，<a href="https://www.ithome.com.tw/news/139979" target="_blank">買下TikTok的美國經營權</a>。</p> <p>TikTok指出，一年多來該公司持續和甲骨文規畫防護App、系統和美國用戶資料安全的多種措施，現在他們已做出一項決定，將變更美國用戶資料的預設儲存地點，美國用戶流量將100%傳到Oracle Cloud基礎架構，同時把美國用戶的私人資料由原本維吉尼亞州資料中心刪除。而備份則持續由美國和新加坡資料中心負責。</p> <p>TikTok也將和甲骨文合作開發資料管理協定，由甲骨文稽核和管理。此外，他們的組織也會隨著變動，由最近成立的新部門及美國管理團隊來管理TikTok美國用戶資料，並提供更多防護，以便將資料流向境外的風險降至最低。TikTok承諾未來還會持續強化美國用戶的資料保護。</p> </div></div></div>
2022/6/20 12:01作者林妍溱https://www.ithome.com.tw/news/151518
比爾.蓋茲認為NFT風潮是基於博傻理論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟創辦人比爾.蓋茲（Bill Gates）上周參加由TechCrunch舉辦的TC Sessions: Climate 2022座談會時，被問及對於非同質化代幣（Non-Fungible Token，NFT）的看法，<a href="https://twitter.com/TechCrunch/status/1536827913852465152" target="_blank">結果蓋茲直接說他認為NFT風潮百分之百奠基於博傻理論（Greater Fool Theory）上</a>，相信後來的人願意出比自己還要多的錢買下它。</p> <p>TC Sessions: Climate 2022會議其實主要是在討論各種用來改善氣候變遷的技術，蓋茲則是以Breakthrough Energy創辦人的身分出席，這也是蓋茲近年來主要的活動，透過Breakthrough Energy投資各種開發新能源的新創公司，例如可儲存再生能源的大容量電池，或是來自微生物的生物燃料等。</p> <p>在談到NFT時，蓋茲開了一個玩笑，指稱昂貴的猴子數位圖像將大幅度地改善世界。蓋茲指的明顯是今年已創下逾10億美元銷售金額的無聊猿猴遊艇俱樂部（Bored Ape Yacht Club，BAYC）。</p> <p>BAYC為Yuga Labs於去年4月發表的以太坊區塊鏈專案，由1萬個無聊猿猴圖像的NFT所組成，每個無聊猿猴都有獨特的造型、表情或特色，當時每個猿猴NFT的售價只有0.08個以太幣（ETH），約190美元，但它們很快就售罄，之後轉售的價格即不斷地飆升，就算是在全球加密貨幣與NFT都風聲鶴唳的現在，<a href="https://opensea.io/collection/boredapeyachtclub" target="_blank">一個無聊猿猴目前在OpenSea上</a>最便宜的價格，也要90個以太幣。</p> <p>對於NFT的玩家而言，BAYC不僅是個收藏品，因為Yuga Labs曾明訂收藏家可自由使用、陳列與複製BAYC，還可進行商業行為，亦著手替BAYC用戶開發各種會員服務。不過，並非所有的NFT產品都具備完整的所有權，有些NFT產品甚至只是個序號，不許重製或出售複製品。</p> <p>總之，蓋茲明白表示，他所投資的都是開發技術或產品的公司，或者是農場，並未涉及任何的加密貨幣或NFT，也認為這些新興的資產可能是為了規避賦稅等各國政府的規定而誕生的。</p> </div></div></div>
2022/6/20 12:14作者陳曉莉https://www.ithome.com.tw/news/151519
Canonical釋出專替IoT與嵌入式裝置設計的Ubuntu Core 22
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu.com/blog/canonical-ubuntu-core-22-is-now-available-optimised-for-iot-and-embedded-devices" target="_blank">Canonical於15日釋出了Ubuntu Core 22</a>，它奠基在今年4月出爐的Ubuntu 22.04長期支援版（LTS）上，針對IoT與嵌入式裝置最佳化的版本，也是第四個Ubuntu Core版本。</p> <p>Canonical指出，IoT裝置製造商目前面臨的難題在於要在預算內按時部署裝置，也必須在擴充裝置的同時確保安全性及大規模的遠端管理能力，而Ubuntu Core 22即可滿足相關需求，並擁有半導體與ODM合作夥伴的支持，同時履行Canonical提供可靠開源碼的承諾。</p> <p>Ubuntu 22.04中對Ubuntu Core 22而言最重要的功能之一，為尚處於測試階段的即時核心（Real-time kernel），它採用搶占式多任務處理，可根據任務的優先順序執行，由作業系統完全決定進程調度方案。這是Canonical替電信網路要轉型至5G的需求而設計，它替關鍵基礎設施帶來了效能、保證超低延遲與安全性，且同樣也適用對延遲敏感的工業自動化及機器人設備。</p> <p>Ubuntu Core提供一個完全容器化的Ubuntu，把Ubuntu映像檔拆分成不同的封包，諸如核心、作業系統與應用程式等，每個封包都有獨立的沙箱，並含有應用程式所需的元件，使得它更可靠亦可攜。</p> <p>此外，每個執行Ubuntu Core的裝置都有專用的IoT App Store，以用來控制裝置上所運作的各種程式，該程式商店提供企業等級的軟體解決方案，包含多項新的就地部署功能，亦能透過網路更新核心、作業系統與應用程式，就算更新除錯了，亦可自動回滾至先前的版本。</p> </div></div></div>
2022/6/20 10:29作者陳曉莉https://www.ithome.com.tw/news/151515
歐洲第一座Exascale超級電腦2023年上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Exascale等級的超級電腦已成為各國追求的目標。<a href="https://digital-strategy.ec.europa.eu/en/news/eu-enters-exascale-era-announcement-new-supercomputing-hosting-sites" target="_blank">歐洲高效能運算聯合任務中心（European High Performance Computing Joint Undertaking，EuroHPC JU）宣布第一座Exascale等級超級電腦明年將在德國上線運行</a>。</p> <p>EuroHPC JU已選定德國利希研究中心（Forschungszentrum Jülich）代管及運行其第一臺超級電腦名為JUPITER，後者將以至少1 exaflops運行，預計2023年上線，並提供學界進行健康、生物、氣象、能源、安全及材料等研究。</p> <p><a href="https://www.fz-juelich.de/en/news/archive/press-release/2022/first-european-exascale-supercomputer-coming-to-julich" target="_blank">JUPITER總造價5億歐元</a>，由EuroHPC JU及德國教育研究部和地方政府各出資一半。完成後將由利希高效能中心負責營運，後者已經擁有兩座超級電腦包括JUWELS（下圖）及JURECA，前者位居全球500大電腦的第11。</p> <p class="rtecenter"><img alt="" src="https://www.fz-juelich.de/de/aktuelles/news/pressemitteilungen/2022/exascale-standort-entscheidung/2022_06_10_jsc_018-1500-c1.jpg/@@images/image" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Copyright: Forschungszentrum Jülich / Sascha Kreklau</span></span></p> <p>如同JUWELS，JUPITER也將採用模組化架構，可整合運行不同模組。利希研究中心表示，這使得複雜的運算模擬可分散到不同模組，確保多種硬體可被最佳化利用，也能用於整合未來技術，像是量子運算或仿神經網路（neumorphic）模組。</p> <p>但在基本設定中，JUPITER包括GPU為基礎的運算加速器，可用於提升大量平行運算應用，以計算氣候模型、開發新材料、模擬細胞及能源系統、推行基礎研究或訓練次世代高運算量的機器學習演算法。</p> <p>作為超級電腦，JUPITER一大挑戰是大量耗電，平均電耗達15百萬瓦。但研究單位是以「綠色超級電腦」為精神打造JUPITER，計畫引用可再生能源，並使用熱水冷卻系統，除能減少散熱，還能回收產出的熱氣。和JUWELS一樣，JUPITER也將連接研究中心的低溫管線網路，提供園區暖氣需求。</p> <p>EuroHPC另外也宣布4座中階包括petascale及pre-exascale高運算效能系統的合作計畫，分別位於希臘、匈牙利、愛沙尼亞及波蘭，將用於精準醫療、新藥開發、新材料、氣候變遷及生物工程等研究。</p> <p>EuroHPC現有超級電腦LUMI屬於前Exascale（pre-exascale）超級電腦（下圖），目前是全球排名第3的超級電腦。<a href="https://www.ithome.com.tw/news/151216" target="_blank">第一名是位於橡樹嶺國家實驗室的Frontier</a>，剛擠下日本理化學研究所的Fugaku。Frontier也是第一座實質標竿測試超越1 ExaFLOPS的超級電腦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-LUMI%20supercomputer-image%20by%20Pekka%20Agarth-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">image: Pekka Agarth</span></span></p> </div></div></div>
2022/6/20 11:00作者林妍溱https://www.ithome.com.tw/news/151516
多國聯手破獲由數百萬個裝置組成的俄羅斯殭屍網路Rsocks
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdca/pr/russian-botnet-disrupted-international-cyber-operation" target="_blank">美國司法部在16日宣布</a>，已與德國、荷蘭及英國的執法機構合作，共同摧毀了由俄羅斯駭客入侵全球數百萬個裝置所建立的Rsocks殭屍網路的基礎設施。</p> <p>根據調查，Rsocks殭屍網路主要是由物聯網裝置所組成，但成員非常地多元，涵蓋工業控制系統、打卡鐘、路由器、影音串流裝置、智慧型車庫開啟裝置，之後再擴張至Android手機與電腦，總之就是那些可透過網路通訊，並具備IP位址的設備。</p> <p>Rsocks提供了殭屍網路的租賃服務，允許客戶存取其網路的裝置IP並引導這些裝置的流量，只要透過瀏覽器就能存取Rsocks平臺，每天30美元就能存取2,000個裝置，200美元可存取9萬個裝置，購買後即可下載裝置IP位址名單，並引導這些裝置的流量至目標對象，有大量的Rsocks平臺客戶利用該服務展開密碼填充攻擊，取得受害者的社交網路帳號，或是寄送網釣郵件。</p> <p>分析顯示，Rsocks殭屍網路主要是將受害裝置轉成代理伺服器，以隱藏客戶的惡意行為。</p> <p>其實美國聯邦調查局（FBI）早在2017年就鎖定Rsocks，當時FBI調查員曾偽裝成買家以向Rsocks租賃服務，目的是為了辨識受害裝置與了解Rsocks的基礎設施，發現Rsocks主要的入侵手法為暴力破解攻擊，取得受害裝置的密碼之後便持續與受害裝置維持連結，這些受害裝置分布在大學、醫院、電視臺、電子產品製造商及個人家中等。</p> </div></div></div>
2022/6/20 10:10作者陳曉莉https://www.ithome.com.tw/news/151514
【兼具高擴展性、高效能與高可靠性的分散式儲存平臺】WekaIO WekaFS建立新生代高效能檔案系統的標竿
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wekafszhu_tu_1_tu_pian_lai_yuan_wekaio-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WekaIO，立捷速能</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3、4年來，WekaIO堪稱最受矚目的新創儲存廠商之一，憑藉在IO500等高效能運算（HPC）排行榜的突出表現，該公司的WekaFS檔案系統，與Intel DAOS、Lustre等老牌分散式檔案系統分庭抗禮，成為重要的HPC儲存平臺之一。</p> <p><span style="font-size:28px;"><strong>高效能儲存系統的後起之秀</strong></span></p> <p>WekaIO成立於2014年，公司總部設於美國加州，研發總部在以色列特拉維夫，3位創辦成員來自另一家以色列新創儲存廠商XIV（2008年為IBM併購）。</p> <p>在2017年7月WekaIO結束隱形營運模式，正式發表了命名為Matrix的高效能平行分散式檔案系統，簡稱MatrixFS，也就是今日WekaFS檔案系統的前身。</p> <p>推出產品之後，從2017年下半年起，WekaIO隨即與聖地牙哥超級電腦中心、HPE、Intel等單位合作，展開了MatrixFS檔案系統的測試，展現這套檔案系統作為高效能儲存平臺的潛力。</p> <p>接著從2018年起，WekaIO在IO500高效能運算系統儲存效能榜單，締造了一連串佳績，在儲存市場聲名大噪。首先是在SC18大會公布的IO500榜單中，於10節點測試項目取得第2名成績，1年後在SC19大會中，WekaFS搭配AWS平臺組成的345節點系統，更一舉在IO500總榜單奪得第1。</p> <p>雖然WekaIO藉由在IO500排行中掄元，達到打響名號的目的之後，便未再進一步升級WekaFS on AWS測試平臺的規格，以致在IO500榜單中的排名逐漸下滑，為新的競爭對手超越。不過，即使過了3年以後，在SC21與ISC22大會發布的最新2份IO500榜單中，WekaFS on AWS當年締造的成績，依然能名列第9與第12，這些都已足以證明這家後起之秀，具備了與眾多老牌儲存平臺抗衡的實力，影響力也不斷擴大。</p> <p>以ISC22大會的最新IO500榜單為例，入榜的83套系統中，採用WekaIO WekaFS的系統便占了6套，在高效能運算領域已占有一席之地。</p> <p>在商業應用領域，WekaIO的影響力逐漸擴大，除了自身品牌的產品，還有許多大廠也將WekaFS引進他們的產品線。</p> <p><span style="font-size:28px;"><strong>WekaFS的基本架構</strong></span></p> <p>WekaFS是誕生於NVMe時代的分散式的平行檔案系統，是基於NVMe SSD來建構儲存層，可橫跨多臺實體或虛擬伺服器，將伺服器所內含的NVMe SSD，以叢集的方式建構成為統一的儲存池，以因應隨機、循序、大資料與小資料等不同存取型態的需求，並透過S3、SMB、NFS等標準的物件與檔案儲存協定，來為前端主機提供存取服務，還具備數千節點等級的大規模橫向擴展（Scale-Out）能力，以及橫跨本地端與雲端的分層儲存架構。</p> <p>基於NVMe SSD的儲存層設計，固然是WekaFS高效能表現不可或缺的關鍵，但僅依靠硬體支撐，還不足以讓WekaFS在高效能運算領域脫穎而出，WekaIO之所以力壓許多老牌分散儲存系統，更重要的還是專屬軟體架構的貢獻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%961%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>WekaFS檔案系統的基本架構</strong></span></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統兩大部分組成，一是由儲存端的儲存主機（儲存節點），另一是用戶端的應用伺服器。在儲存端，可橫跨多臺儲存主機組成儲存叢集，將儲存主機內含的NVMe SSD構成單一的全域命名空間，還可搭配本地端或公有雲的S3物件儲存設備，組成分層儲存架構。以儲存叢集的建置組態而言，WekaFS的最基本的儲存叢集規模是以6臺儲存主機組成，最大則可擴展到上千臺以至數千臺儲存主機。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color: rgb(105, 105, 105);"><strong>而在用戶端方面，應用伺服器則可透過標準的NFS、SMB等檔案傳輸協定或S3物件儲存協定，來存取WekaFS的檔案系統空間，也能透過Nvidia的GPUDirect傳輸協定，與基於Nvidia GPU的運算平臺直連。</strong></span></p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>容器化的核心架構</strong></span></span></p> <p>WekaFS是由兩大部分組成：位於後端、負責提供儲存服務的Weka儲存主機（Storage Host）（早先稱為儲存節點），以及位於前端的Weka用戶端（Weka Client）（也稱為應用伺服器Application Server），特別之處在於，WeksFS採用少見的容器化部署架構，並含有自身的獨立作業系統。</p> <p>所有支撐WekaFS架構的核心元件，都是在Linux容器（Linux Container，LXC）的用戶空間，透過自身的即時作業系統（RTOS）來運行。這些在RTOS中執行的元件包括：</p> <p>負責管理多協定存取服務的檔案服務元件（File Service），負責管理資料分布、資料保護與metadata的檔案系統叢集元件（File System Cluster），用於將SSD轉換為網路儲存裝置的SSD Access Agent，提供命令列指令管理、狀態監控的管理節點（Management Node），以及用於存取物件儲存區的物件連接器（Object Connector）。</p> <p>透過整合於Linux容器內的RTOS運作架構，WekaFS可獲得下列兩大效益：</p> <p>第一，藉此實現系統部署的容器化與微服務化，提高應用靈活性與效能。在實體主機中，用戶可部署多個分別用於NFS、SMB、S3等儲存服務的容器，並透過橫跨多個容器的存取架構，讓WekaFS獲得更高的平行處理能力，以及更多的處理器與記憶體資源。</p> <p>第二，藉此實現系統的獨立性與高效能。部署在容器內的WeksFS可與主機上的其他程式與服務隔離，並透過RTOS自行管理與調度硬體資源（儲理器核心、記憶體、網路卡與SSD）、管理記憶體、I/O與網路堆疊，擺脫對於Linux Kernel的依賴。</p> <p>WekaIO宣稱這樣的架構，可以將處理器切換處理不同執行程式的上下文交換（context switch）降到最低，縮短I/O路徑，減少延遲。而且，這種架構也便於跨平臺部署與系統更新，既可移植部署到不同的實體或VM環境，也能獨立於底層的Linux外，更新WekaFS的前端與後端元件。</p> <p>為了改善傳輸效能，WekaFS的網路傳輸介面、應用程式存取介面，以及metadata架構，都有專屬的設計。</p> <p>在網路傳輸方面，WekaFS不用標準的Linux Kernel TCP/IP，而是以DPDK（Data Plane Development Kit）連結網路卡與LXC容器，並透過Weka protocol over UDP來連結用戶端與儲存端，藉此可避開Linux Kernel帶來的效能瓶頸，提高傳輸效能，減少延遲。</p> <p>WekaFS還以專屬的虛擬檔案系統（Virtual File System）核心驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面，既能提供完整的存取功能，又具備更高的效能。</p> <p>在metadata架構方面，WekaFS採用分散式架構，將metadata分散到整個叢集當中，不像許多其他平行檔案系統因採用獨立metadata服務，因而導致了效能瓶頸。</p> <p>同時，WekaFS具有稱作「自適應快取（Adaptive Caching）」的獨特快取加速功能，提供資料快取與metadata快取來減少存取延遲，特別有助於含有大量小型檔案與metadata的應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%962%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的容器化核心架構</strong></span></p> <p><span style="color:#696969;"><strong>有別於一般的檔案系統，WekaFS檔案系統既非裸機部署，也非透過VM部署，而是將核心元件部署在Linux容器（LXC）的用戶空間內，並透過自身的RTOS作業系統來調度硬體資源，擺脫對於Linux Kernel的依賴，有助於提高部署彈性，並提高效能、減少延遲。</strong></span></p> <p><span style="color:#696969;"><strong>為了獲得最佳化的效能，WekaFS的網路堆疊架構也不同於一般檔案系統，核心元件與底層硬體或上層應用程式的連結，都採用專屬的架構，而非一般常見的通用介面，例如WekaFS是透過專屬的SSD Agent與DPDK網路介面，分別用於連結NVMe SSD與網路卡，繞過了Linux Kernel。用戶端與儲存端的連結，也是採用專屬的Weka over UDP協定。</strong></span></p> <p><span style="color:#696969;"><strong>而在用戶端方面，這裡採用專屬的虛擬檔案系統（VFS）驅動程式，取代一般常用的FUSE驅動程式，作為應用程式的存取介面。</strong></span>圖片來源／WekaIO，立捷速能</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>單一命名空間下的多檔案系統架構</strong></span></span></p> <p>許多Scale-Out NAS的檔案系統，都只支援單一檔案系統搭配單一命名空間，然後再透過目錄與配額來分派資源，對於不同的獨立用戶群組，必須建立新的獨立檔案系統與命名空間，以致形成不易管理的多個儲存孤島，而且，為了維持效能，還須避免目錄容量過大，導致必須建立更多的目錄，也增加管理的複雜性。</p> <p>相較之下，WekaFS則可在全域命名空間（global namespace），建立多個檔案系統（最多1,024個），每個檔案系統有獨立的用戶群組、存取權限、儲存分層設定與快照策略，還能即時變更容量，可靈活地調整儲存資源配置。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>彈性的部署型態</strong></span></span></p> <p>將WekaFS軟體安裝到基於Intel Xeon Scalable，或是AMD EPYC處理器的標準伺服器上，就能構成用於提供儲存服務的Weka儲存主機，WekaIO建議的最低安裝規格如附表所示，對於儲存裝置與網路介面規格的要求較高。</p> <p>在儲存裝置方面，每臺儲存節點須配備至少4臺NVMe SSD；網路卡方面雖然10GbE就能滿足最低要求，但WekaIO建議採用100GbE以上規格，才能獲得預期效能，WekaFS目前最高可支援200GbE與200Gb的InfiniBand HDR網路。</p> <p>一個WekaFS叢集環境最少需由6臺Weka儲存主機組成，以提供容忍其中2臺主機失效的可用性。最大叢集規模可達上千臺儲存主機，某些OEM廠商的資料甚至聲稱可達8,000臺儲存主機以上。</p> <p>在建置系統時，用戶可以選擇下列3種型式來部署WekaFS</p> <p>● 超融合式部署：將WekaFS安裝到運算節點上，與前端應用程式共享硬體資源，以便節省額外的儲存節點開銷。</p> <p>● 專用儲存伺服器部署：將WekaFS安裝在獨立的儲存伺服器上，不影響既有的運算節點架構，所有硬體資源都為WekaFS使用，也不受應用程式端的故障影響，具備較佳的效能、可靠性與擴展彈性。</p> <p>● 公有雲部署：將WekaFS安裝在公有雲的執行個體或虛擬機器上，如AWS的EC2執行個體，可獲得更彈性的資源配置，以及不受限的擴展能力。</p> <p>值得一提的是，當初WekaIO用於挑戰IO500的WekaFS on AWS測試站，便是標準的WekaFS公有雲部署模式。依據WekaIO的說法，任何用戶都可以仿效他們的做法，基於AWS的EC2執行個體，建構出同樣的高效能儲存平臺。</p> <p><span style="font-size:28px;"><strong>獨特的分層儲存架構</strong></span></p> <p>除了Weka儲存主機內含的NVMe SSD儲存空間，WekaFS也能搭配位於本地端或雲端、基於S3儲存協定的物件儲存設備，構成NVMe SSD加上物件儲存區的雙層儲存架構。</p> <p>而其中物件儲存設備的底層儲存裝置，可以是硬碟，或是硬碟搭配SSD的混合架構。</p> <p>我們只須將S3 Bucket儲存區配置給WekaFS，就可以將命名空間從NVMe SSD層延伸到物件儲存層，如單一命名空間般運作。</p> <p>同時，管理者還可以設定分層儲存政策，讓WekaFS將存取狀態較不活躍的檔案，從NVMe SSD層自動遷移到物件儲存層，藉此實現空間配置的最佳化。</p> <p>比較特別的是，WekaFS的分層儲存架構，是以盡可能讓每個檔案都能獲得高存取效能為優先，即使某個檔案被遷移到物件儲存層，原始檔案也會一直保留在NVMe SSD層上，充當快取使用，用戶仍可快速存取這個檔案，直到為寫入的新檔案覆蓋為止。</p> <p>更進一步來看，即使檔案被降級遷移到物件儲存層，該檔案的metadata始終還是保存在NVMe SSD層，所以，對於前端應用程式來說，所有檔案都是可以立即寫入的，無論檔案本體位於哪個分層上。</p> <p>此外，WekaFS也會透過監控NVMe SSD層的可用容量，當容量消耗到達高水位時，自動將資料遷到物件儲存層，確保NVMe SSD層始終有足夠容量。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料保護架構</strong></span></span></p> <p>如同多數分散式檔案系統，WekaFS也是採用stripe平行分散存取搭配parity的架構，來獲得高效能與資料保護能力。</p> <p>基本上，WekaFS的資料保護是以「故障域（Failure Domain）」為運作單位，1個故障域通常是1臺儲存主機，也可以是1座機架或公有雲服務區域，WekaFS會將寫入的資料分割為4k區塊組成的stripe，並產生parity，然後分散寫入儲存叢集的各個故障域儲存主機上。</p> <p>關於stripe的深度，我們可設為4到16之間的數值，一般而言，規模越大的儲存叢集，可以使用更大的stripe設定值，從而得到更高的效能。</p> <p>至於parity，則可設置為+2或+4，一般環境使用+2即可，若為數百臺規模的大型叢集，則可選用+4的設定，這可提供較常見的3副本架構更高的保護能力。</p> <p>在6臺儲存主機的最小叢集組態下，WekaFS支援4+2的stripe與parity設定，能承受2臺儲存主機或2個故障域失效。</p> <p>1個故障域內無論多少元件故障，WekaFS都視為單一故障域的失效，透過WekaFS的專屬演算法，屬於同一stripe的區塊，不會寫入同一個故障域，而會分散到不同故障域中，因而損失一個故障域的儲存主機時，只會損失stripe的單一區塊。WekaFS可利用parity重建損失的資料區塊，然後分散寫入其餘完好的故障域。同樣的，WekaFS用於因應元件失效的備用容量（spare space），也是均勻分散在所有故障域，所以當叢集出現失效元件時，是由叢集剩餘所有完好故障域一同提供備用容量。</p> <p>這也意味著，WekaFS的資料重建作業，是由所有完好的故障域主機一同參與，不會形成熱點，而且，叢集規模越大，參與重建的儲存主機越多，重建速度也將會越快。</p> <p>這種分散式的虛擬化備用容量架構，與當前許多新一代分散式RAID技術十分相似。然而，WekaFS是檔案系統，並不像RAID是在更底層的區塊層級上運作，因而WekaFS能識別儲存區中檔案實際占用部分，在執行資料重建時，能夠只重建受裝置故障影響的部份檔案，從而節省可觀的時間。</p> <p>相形之下，多數的RAID在執行重建時，由於區塊層級無法識別上層檔案的實際占用狀況，以致必須重建那些受影響設備或裝置上的所有區塊，包括空白區塊，因此，分散式RAID的資料重建速度，理論上要遜於WekaFS。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資料服務功能</strong></span></span></p> <p>基於在WekaFS叢集本身的保護機制之餘，用戶也能透過WekaFS內含的快照功能（snapshot），來為個別的檔案系統製作副本，作為資料保護用途。</p> <p>WekaFS的快照是以檔案系統為單位運作，每個檔案系統允許建立最多4,096份快照副本，並可選擇建立唯讀或可讀寫兩種類型的快照（其中唯讀快照可轉換為可讀寫快照）。除了一般的指針式快照外，亦能建立檔案系統完整的Clone副本，但較消耗空間。</p> <p>另外，用戶還能利用WekaFS新提供的Snap-to-Object功能，將指定快照副本的完整資料（含metadata），複製到本地端或雲端的外部物件儲存設備上，作為遠端的備份副本使用，一旦來源端WekaFS叢集發生問題時，我們可以利用副本進行還原，或是將副本掛載到另一個WekaFS叢集上。</p> <p>Snap-to-Object這項功能可視為基於快照的非同步遠端複製，當第一次Snap-to-Object作業完成後，後續快照都是以增量方式傳輸與儲存，可大幅縮短作業時間。另外WekaFS還能以遠端備份功能，將快照傳送到第2座物件儲存設備上，構成3站點保護架構。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>系統管理與安全管理</strong></span></span></p> <p>WekaFS提供了網頁式GUI控制臺、命令列（Command Line Interface）、REST API等3種管理方式，後2者都是以指令方式運作，而GUI控制臺則能以儀表板方式顯示系統狀態，並透過點選方式，執行建立、擴展檔案系統，設定分層儲存政策，以及資料保護、加密、存取路徑與各式資料服務操作。</p> <p>在安全性方面，WekaFS支援3種存取權限管制機制，包括：LDAP、微軟的Active Directory，以及RBAC （Role-Based Access Control）。</p> <p>而在用戶的權限配置上，WekaFS則分為下列5種等級：叢集管理者（擁有管理WekaFS叢集全部權限）、組織管理者（多租戶環境下，可管理所屬租戶範圍的全部權限）、正常使用者（可掛載與存取檔案系統，但不能操作管理控制臺與CLI指令）、唯讀用戶（只能掛載與讀取檔案系統，不能寫入資料），以及S3使用者（只能執行S3物件儲存指令）。</p> <p>WekaFS也提供完整的全面加密功能，如遵循FIPS 140-3等級1標準的密鑰，以及XTS AES 512位元加密，用戶建立檔案系統的時候，可選擇是否啟用加密保護。WekaIO宣稱，啟用加密功能之後，對於WekaFS整體效能的影響很低，幾乎可以忽略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WekaFS%E4%B8%BB%E5%9C%963%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>WekaFS檔案系統的控制臺介面</strong></span></p> <p><span style="color:#696969;"><strong>在系統管理介面上，WekaFS提供網頁控制臺與命令列等兩種選擇，上圖為用於參與IO500測試的WekaFS on AWS叢集的圖形介面（GUI），提供直觀的系統狀態儀表板，並能透滑鼠點選來執行組態設定與資料服務功能。</strong>圖片來源／WekaIO，立捷速能</span></p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>與容器應用與AI平臺的整合</strong></span></span></p> <p>針對日漸普及的Kubernetes容器應用環境，WekaFS也特別提供專門的CSI（Container Storage Interface）Plug-in程式，作為Kubernetes的持續性儲存區（Persistent Volumes，PVs）連接WekaFS的介面，利用CSI介面還能使用容量配額功能，以此管理容器端應用程式的空間耗用。</p> <p>而針對高效能分散式平臺的一大主要應用情境——AI與機器學習應用，WekaIO也提出了標準的參考架構，幫助用戶的整合。</p> <p>透視WekaIO的AI參考架構，主要是安裝在8臺HPE ProLiant DL325伺服器而成的8節點WekaFS儲存叢集，搭配1至4臺Nvidia的DGX A100運算伺服器，WekaFS儲存叢集以200GbE網路連到2臺Nvidia Spectrum SN3700交換器，再以100GbE網路連接DGX A100，至於多臺DGX A100之間，則利用200Gb InfiniBand HDR網路互連。</p> <p>關於上述AI參考架構的組態，WekaIO已測試與驗證，在實際應用環境中，還可進一步擴充WekaFS儲存叢集的規模，獲得額外效能與容量。</p> <p><span style="color:#000000;"><span style="font-size:28px;"><strong>新世代檔案系統的標竿</strong></span></span></p> <p>與既有的分散式平行檔案系統相比，WekaFS同樣具備高擴展性與高效能，還擁有一系列嶄新的特性，包括基於NVMe SSD最佳化的底層儲存架構設計，容器化與微服務化的部署型態，涵蓋物件儲存的多協定支援與分層儲存，還有基於分散架構的高速資料重建能力等，可說實現了當前對於新一代分散式檔案系統的期望，兼具高效能、高擴展性、靈活的部署型式、彈性的應用環境支援，以及高可靠性與安全性。</p> <p>基於上述理由，WekaFS也獲得眾多一線大廠的青睞，以將WekaFS引入自身產品線，作為提供AI、巨量資料分析應用的儲存平臺，也讓WekaIO的影響力跨出自身品牌之外。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-1082-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-3P-%E6%98%8E%E5%BE%B7-WekaIO.png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:48px;"><span style="color:#3399ff;">其他廠商的WekaFS儲存產品</span></span></p> <p> </p> <p class="rtecenter"><span style="color: rgb(51, 153, 255);"><span style="font-size: 36px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-WekaFS%E4%B8%BB%E5%9C%964%20%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FWekaIO(2).png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hitachi Vantara HCSF </span> </strong></span><strong style="color: rgb(105, 105, 105);">HCSF是由WekaIO的WekaFS檔案系統，結合Hitachi Vantara伺服器而成的分散式儲存系統。</strong><span style="color: rgb(105, 105, 105);">圖片來源／Hitachi Vantara</span></p> <p><strong>憑藉著經過多次實證的高效能表現，WekaIO的WekaFS獲得眾多一線大廠的青睞，成為高效能運算領域最炙手可熱的新興檔案系統。目前已知有Cisco、Dell、Lenovo、HPE、Hitachi Vantara等大廠，都陸續將WekaFS引進自身產品線，將自身的硬體與WekaFS整合，作為支援AI、機器學習等應用的高效能儲存平臺。</strong></p> <p><strong>臺灣企業或組織若有意評估這項解決方案，可洽詢WekaIO代理商立捷速能取得原版WekaFS，也能從Hitachi Vantara取得OEM版的WekaFS產品，稱為Hitachi Content Software for File（HCSF）。</strong></p> <p><strong>HCSF系統的核心同樣也是WekaFS，與WekaIO原廠產品相比，特色是儲存節點的預先整合，以及提供了預設的物件儲存設備搭配方案。</strong></p> <p><strong>透過WekaFS與伺服器預先整合，Hitachi Vantara組成完整的儲存節點套件，可簡化用戶的建置與部署作業。不久之前，Hitachi Vantara更新與擴展HCSF的硬體規格，該公司最初提供的HCSF硬體，主要搭配Advanced Server系列當中的DS120伺服器，採用1U尺寸的機箱，預設搭載Intel Xeon Silver 4214或Xeon Gold 6226R處理器，以及192GB記憶體。</strong></p> <p><strong>現在HCSF則有4U／8槽、1U／10槽、2U／20槽等3種硬體款式，前2者搭載的處理器都是AMD EPYC 7413，後者則為AMD EPYC 7713，記憶體容量分別為每節點128 GB、256 GB、512 GB，儲存裝置組態更為多樣，效能也隨之提升。</strong></p> <p><strong>同時，Hitachi Vantara另一款物件儲存產品Hitachi Object Platform（HCP），也提供與HCSF整合的選項，用戶可省下為HCSF找尋其他的物件儲存設備的麻煩。HCP可提供高擴展性，由SSD與硬碟組成的低成本物件儲存空間，只須將其物件儲存空間，以S3協定掛載給HCSF，便能作為後者WekaFS擴展的物件儲存空間，組成分層儲存架構。</strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/wekaio">WekaIO</a></div><div class="field-item odd"><a href="/tags/wekafs">WekaFS</a></div><div class="field-item even"><a href="/tags/%E9%AB%98%E6%95%88%E8%83%BD%E9%81%8B%E7%AE%97">高效能運算</a></div><div class="field-item odd"><a href="/tags/hpc">HPC</a></div><div class="field-item even"><a href="/tags/nvme-ssd">NVMe SSD</a></div><div class="field-item odd"><a href="/tags/%E5%AE%B9%E5%99%A8">容器</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E6%9C%8D%E5%8B%99">微服務</a></div><div class="field-item odd"><a href="/tags/%E5%88%86%E6%95%A3%E5%BC%8F%E5%84%B2%E5%AD%98%E7%B3%BB%E7%B5%B1">分散式儲存系統</a></div></div></div>
2022/6/20 07:00作者張明德https://www.ithome.com.tw/tech/151471
金融資安重固本與新科技風險，金管會下一步推軟體供應鏈安全
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情不只帶來考驗，也加速了金融創新與變革，零接觸金融進一步走向高峰，「今年底可望達到6兆臺幣！」金管會資訊服務處處長蔡福隆說。這是金管會2021年制定的非現金支付交易金額目標，原本計畫3年達成每年6兆元交易額，在疫情衝擊下，信用卡、ATM、電子支付和儲值卡等付款方式成為首選，有望提早在今年達標。</p> <p>不只零接觸金融，整體金融數位轉型也受到疫情推波助瀾，比如業者們更重視異業結盟，將金融服務帶入客源更廣的生態圈、嵌入民眾生活，而靠IT支援全通路經營的模式更成為主流，這種整合線上線下服務，放在金融場景，等於將實體分行與線上客戶業務需求，收件後統一由一個作業管理中心處理，前臺專注快速回應客戶需求即可。</p> <p>為因應這些多元的數位金融需求，不少金融機構展開核心系統大改造，不論是小核心、大周邊的架構，還是敏前臺、強中臺、穩後臺，又或是借助AI自動化分擔分析工作，都是IT支援轉型創新的手段。</p> <p>這種IT力，在疫情中尤為重要。「金融是資訊高度密集的產業，金流就是資訊流，」蔡福隆指出：「疫情中沒有好的IT，就無法支援業務。」</p> <p>但IT發展創新，也得顧及風險，尤其在數位世界中，資安更是一大風險。他點明，金融資安重點，不外乎固本與新興科技把關，固本是指落實基本功，如流量監控、嚴守第一道防線，事件發生時能迅速因應等。新興科技把關，則是要因應金融科技發展的新技術風險，諸如eKYC、身份驗證、行動應用、雲端和供應鏈等風險。</p> <p>這正是金管會近幾年制定許多資安要求的原因，要將資安這個煞車配套措施做好，金融機構才能放心加速前進。</p> <p><span style="font-size:28px;"><strong>要求設置專責單位和副總層級資安長，先強化全機構資安文化</strong></span></p> <p>其中，設置資安專責單位和副總階級的資安長，就是金管會祭出的重大資安要求之一。金管會在2020年發布的金融資安行動方案中就規畫，先要求30多家金融機構與純網銀設置資安長。</p> <p>設置專責單位和資安長這類強制性監理要求，以及近年來一系列資安規範，就像是宣告金融業者，不得不挪出資源多做一些事。金管會這些高度監管措施背後，其實隱含一個更重要的戰略。</p> <p>這個戰略，就是要推動企業全體重視資安文化，由上而下培養資安意識。蔡福隆指出，設置專責資安單位，「就像是品管一樣，」是機構資安的第二道防線，來把關各第一線部門的資安措施是否合規。再搭配副總層級的資安長，機構就能從更高、更全面的角度，來調度資源、協調不同部門落實資安規範，帶動全機構重視資安議題。「資安不單只是資安單位的任務，也不只是IT單位的工作，」蔡福隆表示，而是全組織動起來才能發揮最大效益。</p> <p>他也指出，設置副總層級資安長的要求，在今年3月正式達標。金控、銀行業者已全數設置了副總層級資安長，營收兆元以上的保險業者也已落實，證券則是分級進行。金管會也將這個成功經驗，進一步推廣到上市櫃公司，在去年宣布，鼓勵上市櫃公司分三級設置專責單位與資安長。</p> <p>金管會要求組織重視資安的力道，不只如此。去年11月，他們推出新政策，要求上市櫃公司（包含金融業者）在後年年報中，開始揭露資安架構、資安政策、投入資源，以及因應資安事件的作法等訊息，作為營運公開資訊之一。</p> <p>這是要求組織重視資安的另一個作法，同時也讓金管會，有能力掌握金融業者資安現況。目前，已有幾家金融業者和上市櫃公司，早一步在今年公開的年報中，自行先揭露了資安策略。</p> <p><span style="font-size:28px;"><strong>不只適用單一組織，由上而下也能推動跨組織聯防</strong></span></p> <p>金管會近年資安推動策略，不少是由上而下來推動資安的策略。蔡福隆去年底有次演講時也直言，金融聯防機制的設計，也採取了由上而下，以資源共享的理念來規劃。比如，不只在銀行、證券等金融機構，各自設置了應變小組，更上一層的金控，也得設置專屬資安應變小組（CERT），當旗下機構發生資安事件時，金控可以有能力共享資源、支援旗下資安能力較弱的機構。</p> <p>這種上下支援和聯防的模式，也延伸到跨產業組織，例如銀行公會、證交所各自設置應變小組，當金控難以支援體系下機構時，就能求助公會或證交所應變小組。再更上一層，當跨產業資安事件發生時，層次更高的金管會F-ISAC和F-CERT，就能提供資源、協助不同產業業者解決問題。這正是由上而下，一層層建立應變能力的策略。</p> <p>金管會所勾勒的資安聯防體系中，除了負責事發後應變的各級資安應變組織之外，還包括了聚焦事前預防的金融資安資訊分享與分析中心（F-ISAC）、事中監控的金融資安監控中心（F-SOC）。這些官方聯防機制，從無到有至今也3、4年了，蔡福隆正是關鍵推手。</p> <p>他回顧，金融資安聯防在這幾年進步許多，早期，金融業者單打獨鬥，獨自攬起所有資安工作。但2017年，金管會成立F-ISAC，提供情資分享、應變協處、監控防護、演練以及教育訓練等服務，聯防概念開始興起，業者們也開始明白，資安也能集眾人之力來強化。</p> <p>比如，2年多前，數家證券期貨業者遭受分散式阻斷服務（DDoS）攻擊，F-ISAC與證交所聯手，扮演情資蒐集、分析角色，並將攻擊流量等分析結果回報給證交所、F-CERT，進行後續處理。F-ISAC也肩負協調角色，協助券商與電信業者、政府其他機關溝通。「那次合作讓人安心，」蔡福隆表示，當時攻擊流量雖然時而增加，但聯防機制讓業者感到放心，他們知道遭遇資安事件不再是單打獨鬥，而是透過F-ISAC聯防機制協調，串聯其他機構一起對抗攻擊。</p> <p><span style="font-size:28px;"><strong>參考行政院GCB設計金融專屬組態基準</strong></span></p> <p>聯防機制不只在攻擊發生時發揮作用，平時還有不少未雨綢繆的預防措施，像是分享其他產業的資安事件情資、定期攻防演練，以及供業者交流經驗的教育訓練課程等。</p> <p>甚至，金融資安監控中心（F-SOC）還參考行政院政府國家資通安全會報技術服務中心制定的政府組態基準（GCB），發展出一套金融業專屬的電腦系統組態基準（FCB），也就是一系列IT系統安全設定，來給金融機構參考。其中，Windows版的FCB已於去年底釋出，Linux版本也隨之公布，近期仍在優化中。</p> <p>除了FCB，F-SOC也時時提供監控組態基準，來給金融業者參考。這類監控組態基準，是針對常見的駭客入侵手法而設置，比如防火牆設定，來強化金融業防禦能力。</p> <p>這種先想一步、設置對應標準的車同軌作法，也是金管會資安聯防的另一成果。對這套聯防體系，「我只有2個期許，」蔡福隆繼續說：「一是做好服務，讓人感到貼心，再來是，F-ISAC成立後，不要再發生重大資安事件。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CIO%E6%8A%BD%E8%A8%80.jpg" style="width: 480px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆表示，資安文化要由上而下推廣，由專責單位搭配副總層級資安長，來強化第二道防線，並由資安長調度資源、協調部門合作。</strong></span></span></p> <p><span style="font-size:28px;"><strong>持續加強資安韌性，年底將推出供應鏈風險管理相關規範</strong></span></p> <p>不過，金融資安不可能完美，總有需要改進之處。蔡福隆點出，資安韌性尤為重要，總會有新的挑戰，比如因應停電、國際情勢變動（如俄烏戰爭）等災害應變，或是從駭客攻擊、勒索病毒等快速復原。</p> <p>為確保金融機構有足夠的復原力，金管會本來就要求金融機構進行本地備援和異地備援，在本地資料中心執行核心業務、在異地中心執行次要業務，以便遭遇災害時，能彈性切換。</p> <p>但這樣還不夠，金管會希望進一步確保復原能力。蔡福隆點出，金融資安行動方案，也鼓勵金融機構，定期將核心業務改由備援中心執行，一段時間再切回原中心，如此發生問題時，業者才敢快速切換。</p> <p>他也透露，目前已有不少業者採行這種作法。金管會每半年，也會針對證券市場舉行一次會測，要求證券所和券商，將重點業務切換至備援中心執行，一段時間後再切換回來。「只要交易所出問題，業者有把握在40分鐘內切換完成，」他說。</p> <p>除了資安韌性，金管會也聚焦供應鏈資安風險，參考美國軟體供應鏈安全的做法，其中一項就是，美國開始在政府採購中要求軟體業者提供軟體材料清單（SBOM）。進一步來說，SBOM是一份軟體元件組成表，就像是食品營養成分標示一樣，來讓企業了解軟體組成、內部模組和所有相關的元件，進而可以用來降低軟體供應鏈的風險。參考國外經驗，金管會預計在今年年底前，於金融資安行動方案中，揭露供應鏈相關資安管理規範。</p> <p><span style="font-size:28px;"><strong>從金融科技到金融資安統籌者，成敗關鍵是超前部署</strong></span></p> <p>2015年至今，蔡福隆陸續擔任了金融科技辦公室執行秘書，以及金融資安政策的核心推手，他平時就養成觀察、思考問題的習慣，提前規劃各種新點子，口袋中總有好幾個可隨時端出、侃侃而談的新計畫。他深信「超前部署是成敗關鍵，」不少他參與的資安規範，就是為了因應金融轉型採用新興科技的風險把關。</p> <p>不只超前部署，蔡福隆對工作還有另一個堅持：不管做什麼，都要以成為其他產業可參考的最佳示範為目標，他也常告訴同仁：「不只是達標，還要能讓人來借鏡、學習。」</p> <p>例如金管會推動由上而下的資安聯防機制，就是以最佳示範為目標來實作，後來也果真成了醫界參考的聯防作法。從超前部署思維，到成為最佳示範的堅持，都是金管會資訊服務處不斷追求金融革新的動力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#696969;"><strong>金管會資訊服務處處長蔡福隆</strong></span></p> <p>學歷：交通大學經營管理研究所博士畢業</p> <p>經歷：2007年進入行政院主計處，擔任電子處理資料中心組長，後來升任副主任。2011年成為行政院主計處主機資訊處副處長，直至2013年7月，蔡福隆調任至金管會擔任資訊服務處，擔任處長至今，負責金管會IT政策與治理，以及金融資安相關策略</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>金融監督管理委員會</strong></p> <p>地址：新北市板橋區縣民大道二段7號18樓</p> <p>成立時間：2004年7月</p> <p>主要業務：綜理金融市場及金融服務業之發展、監督、管理及檢查業務</p> <p>員工數：894人</p> <p>網址：<a href="http://www.fsc.gov.tw">www.fsc.gov.tw</a></p> <p>主委：黃天牧</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>資訊服務處主管職稱：資訊服務處處長</p> <p>資訊服務處主管姓名：蔡福隆</p> <p>直屬主管：金管會主委及副主委</p> <p>資訊服務處人數：18人</p> <p>資訊服務處分工：分資訊科及資安科二科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記：</span></strong></span></p> <p>2015年：推動金融周邊機構大數據應用分析計畫，提升金融監理資料分析能力</p> <p>2017年：推動成立金融資安資訊分享及分析中心（F-ISAC），建立金融資安聯防機制</p> <p>2018年：推動成立金融電腦緊急應變小組（F-CERT）；建構金管會暨所屬4局資料中心，推動資訊資源向上集中；推動金融資料開放應用，榮獲國發會3大奬</p> <p>2019年：與國發會合推MyData應用，在民眾授權下，金融機構可直接介接MyData平臺，便利申辦各項金融服務；推動成立金融資安監控中心（F-SOC），建立金融資安監控聯防機制；整合本會及所屬四局電子公文線上簽核系統</p> <p>2020年：制定金融資安行動方案</p> <p>2021年：推動監理科技應用，導入AI應用於監理業務</p> <p>2022年：推動金管會數位轉型計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ciozhu_tu_-960.jpg" width="960" height="420" alt="" title="金管會資訊服務處處長蔡福隆" /></div></div></div>
2022/6/20 07:00作者王若樸https://www.ithome.com.tw/people/151481
【專訪法務部長蔡清祥】司法聯盟鏈是科技化的法務部重要里程碑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>司法改革最重要的關鍵就是「信任」，要扭轉民眾對司法的不信任，也要改革現行司法審查過程中效率延宕的問題，除了從制度面進行種種的改變，法務部部長蔡清祥表示，該部從科技面著手，回應外界對司法改革的決議，最明顯的例子就是6月13日試行、預計於7月13正式對外公布的「司法聯盟鏈」。</p> <p>他指出，司法聯盟鏈是利用區塊鏈去中心化的特性，落實數位證據的監管，從第一線司法警察蒐證，到檢察官偵查，直到法院審判的過程，都可以做到可被信任，在確保數位證據力的同時也可以大幅降低現在法院審判時，因為對數位證據證據力不信任所導致的數位鑑識成本增加和審判效率拖延的現象。</p> <p>「法務部對區塊鏈的應用並不陌生，」蔡清祥表示，在五年前，擔任法務部調查局局長時，就已經將區塊鏈用於刑事司法蒐集數位證據的面向上，先做到將數位鑑識報告上鏈，接著就是做到將儲存在雲端的數位證據上鏈。</p> <p>蔡清祥說，他在繼任法務部部長後，便希望做到「科技化的法務部」，透過科技提高效率並優化作業流程，最新的科技進度應用就是運作區塊鏈科技，推出「司法聯盟鏈」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600)-%E5%B0%81%E9%9D%A2P2-%E8%94%A1%E6%B8%85%E7%A5%A5-%E5%BD%A5%E6%A3%BB-%E7%BE%8E%E7%B7%A8V3(1).png" style="width: 347px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>司法聯盟鏈並非單一機關可以獨力完成的目標，蔡清祥認為，需仰賴整合聯盟鏈成員共同參與，跨域合作，展現部會聯手、公私協力的價值。他對司法聯盟鏈的期許是以「司法、科技、人民」為主軸的「新信任關係」。</strong>資料來源：法務部，2022年6月</span></p> <p><span style="font-size:28px;"><strong>確立五個司法聯盟鏈初始會員，單數才能多數決</strong></span></p> <p>案件處理從司法警察蒐證開始，一直到檢查機關偵查起訴，到法院的審判，這一系列的流程都是環環相扣且有共通性。因此，在確定要成立司法聯盟鏈時，為了避免單一機關成立私有鏈的區塊鏈運用，會帶來管理上有容易竄改資料的質疑，且避免公有鏈應用在成本、效率會有過大波動的情況下，便採用折衷的聯盟鏈。</p> <p>蔡清祥指出，初始會員包括司法院、法務部、高檢署、警政署和調查局等五個單位，除了平常工作司法審判流程彼此都有關連性外，也貫徹區塊鏈分散式帳本、節點多數決的特性，單數才能多數決，成立聯盟鏈去除單一的疑慮。</p> <p>就這五個初始會員而言，第一線處理證物的警政署、調查局負責存證，並協助參與訂立相關的技術指引規範；再來，法務部和高檢署則負責證物管理、證物入庫和使用（點交、記錄）；最後，司法院所屬的各級法院，則負責包含開庭、移交認證等工作內容，並可藉由區塊鏈保持證據同一性、去中心化、信任、公開、透明的特性，對證物進行完整的擔保。</p> <p><span style="font-size:28px;"><strong>推動司法聯盟鏈認證標章，完善鏈下管理機制</strong></span></p> <p>蔡清祥坦言，各界對於選擇公有鏈、私有鏈和聯盟鏈都有不同討論，但重點不在於選擇哪一種區塊鏈的應用類型，而是選擇的類型，能否達到貫徹區塊鏈去中心化、依賴節點進行分散式儲存、獨立節點確保資料公開透明，且沒有單一機關可以單獨竄改記錄在區塊鏈上的資訊才是關鍵。</p> <p>「而要做好司法聯盟鏈的關鍵，除了鏈上技術面外，還有鏈下管理面必須相輔相成才行。」他說，區塊鏈技術成熟，但相關建置及維護成本不算低，若由單一機關出資、建置和維運，就會淪落為受單一機關掌控的質疑，因此，若可以是由不同單位編列預算、各自出資建置司法聯盟鏈的驗證節點並各自維運，可以滿足外界對聯盟鏈的信任；後續加入的會員除了可以自建節點，也能委外由國網中心協助建置委外節點。</p> <p>再者，蔡清祥認為，鏈下的管理面就必須做到資料的完整性及正確性，避免證據不完整局限性。克服的方法就是，與資策會科法所進行合作，做到公私協力，協助司法聯盟鏈建立數位治理的管理規範，確立標準化作業流程及相關的教育訓練內容，更重要的是，會推動司法聯盟鏈認證標章，未來要加入司法聯盟鏈的會員，都必須取得相關標章，確認鏈上資料與鏈下資料真實完整。</p> <p>推動司法聯盟鏈有短、中、長期的目標，短期目標為建置基礎建設規畫，考量數位證據對司法實務驗證的迫切性進行試辦評估，並辦理司法聯盟鏈人員證照、區塊鏈教育訓練；中期目標就勢將數位資料加以應用；長期目標就是做到與實體證物進行結合。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈先從臺北、桃園和臺中進行試辦</strong></span></p> <p>「成立司法聯盟鏈對於案件偵查、審理都會帶來很大效益，」蔡清祥表示，一開始會先從臺北、桃園和臺中進行試辦，透過實際試辦施行。</p> <p>他認為，司法聯盟鏈立即看到的程序效益就是，加速司法訴訟進行，避免過往法庭針對數位證據真實性，必須邀請專家證人或進行數位鑑識而耗費更多時間與數位鑑識費用，現在有了司法聯盟鏈之後，可以加速訴訟程序的進行。</p> <p>蔡清祥指出，司法聯盟鏈帶來的實體效益則是，做到擔保數位證據同一性，落實公平正義的期待。也就是說，對於數位證據保存可以做到同一性，確保不會出現偽造、變造的弊端，從司法警察蒐證、法務部高檢署的偵查，一直到法院的審判，證據不會遭到變造，法院不會質疑真實性。他表示，這對民事、刑事和行政訴訟的案件都有幫助，甚至未來還可以擴及對於智慧財產權的保護。</p> <p><span style="font-size:28px;"><strong>做到以司法、科技和人民為主軸的新信任關係</strong></span></p> <p>「司法聯盟鏈的成立，代表臺灣司法跨入數位時代的重要里程碑。」蔡清祥表示，司法聯盟鏈做到跨機關共同處理證物監管鏈準則，未來，還可以做到跨部會參與，例如，文化部可以加入司法聯盟鏈確保文創作品的智慧財產權；全國律師公會也可以加入司法聯盟鏈，對於法庭提示數位證據及數位卷證驗證流程的真實性；甚至即將成立的數位發展部和行政院等，都可以協助完善司法聯盟鏈國家隊，持續強化聯盟鏈的基礎建設，有助後續會員加入，也可以獲得更多產官學研的肯定和支持。</p> <p>蔡清祥認為，司法聯盟鏈不是法務部單一機關可以獨力完成的目標，需仰賴聯盟鏈成員共同參與。他對司法聯盟鏈的期許就是以「司法、科技、人民」為主軸的「新信任關係」。</p> <p>「Taiwan Can Lead」是蔡清祥期許，司法聯盟鏈在結合司法和科技，透過建置國家鏈，作為司法永續信任的基礎。</p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151485
【臺灣區塊鏈應用實例：司法聯盟鏈】區塊鏈貫穿司法審判流程，聯盟鏈兼具技術和管理優勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣先前在金融業有許多區塊鏈應用實例，司法界的區塊鏈應用則是：法務部調查局先前推動的數位鑑識報告上鏈和雲端證據上鏈。不過，在6月13日試行、預計在7月13日正式對外公開的司法聯盟鏈，則成為臺灣司法界重要科技應用的里程碑。</p> <p>司法聯盟鏈是採用區塊鏈中的聯盟鏈類型，將區塊鏈貫穿司法審判流程，從第一線司法警察蒐證、檢察官的偵查，一直到法官審判過程，都可以利用區塊鏈不易竄改、不可否認性、公開、透明和去中心化的技術特性，確認在法庭審判過程中所取得數位證據的同一性。</p> <p>相較於公有鏈透過全世界的節點進行驗證所帶來的公信力，但伴隨著上鏈手續費會隨著虛擬貨幣波動而暴漲，以及上鏈效率較慢的缺點；相較於私有鏈具有高運作效率、能確保資料正確性，但缺乏公信力的缺點，司法聯盟鏈則採取折衷方式。</p> <p>這個方式主要是透過5個初始會員自建的驗證節點，彰顯司法流程的公信力外，也希望透過鏈下管理機制，制定相關的規章和推動司法聯盟鏈標章，規範未來新加入的後續會員，都必須取得該驗證標章後，遵循規範的標準作業程序（SOP），才能成為司法聯盟鏈驗證節點的一員。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-2)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB(1).png" style="text-align: center; width: 579px;" /></p> <p><span style="font-size:28px;"><strong>確認區塊鏈可以解決數位證據監管問題</strong></span></p> <p>法務部長蔡清祥表示，司法改革決議中，期待可以解決現有制度對保全證據監管和證物保管不足之處，他希望可以導入科技方法藉更有效管理證物，其中，管理的證物類別包括實體證物和數位證據兩類。</p> <p>他指出，在實體證物的管理上，採用RFID（無線射頻辨識）來管理，規畫建置扣押物數位化及科技化贓證物庫管理系統；至於數位證據的監管流程上，採採用區塊鏈技術的公開、透明、信任的特性，來確保數位證據的「同一性」，並規畫司法聯盟鏈藉此完整證據監管和證物保管的整體制度。另外，在證據保管的具體做法上，則包括：層級化管理、加速清理贓證物，和推動毒品提前銷燬等精進作為。</p> <p>蔡清祥續任法務部長後，也提出「科技化的法務部」這樣的施政目標，希望可以結合科技對許多法務工作做更有效率的管理，像是，成立科技查賄中心用科技查查賄選；或者法醫採用電腦斷層（CT）判斷死因；利用人臉辨識技術進行智慧化監獄管理；甚至是在疫情時代利用視訊會議技術，推動收容人的遠距接見，利用科技做到更人性化的管理和效率的提升。</p> <p>不過，他也說，身為法務部長不能只局限在部裡管轄司法警察調查局的業務，應該也要擴大到偵查和審判流程，將整個司法程序應用加以擴大，現在時間正好成熟，成立司法聯盟鏈。</p> <p>法務部從2000年12月啟動評估；2021年1月至2月由各機關共同評估可行性，邀請司法相關的單位進行討論，包括：司法院、內政部警政署、內政部移民署、海洋委員會、海巡署、國防部憲兵指揮部、法務部調查局、法務部廉政署、臺灣高檢署等機關，辦理兩次可行性評估會議。</p> <p>2021年3月至5月院部確認合作方向；同年8月至10月召開7次工作小組會議確認議題；同年10月20日舉辦共識會議，並啟動建置司法聯盟鏈專案；同年12月27日則舉辦「證物鏈與區塊鏈的交響曲第二樂章─司法聯盟鏈驗證討會」，</p> <p>確認司法案件從證物搜查、到檢察官偵查、甚至到法官審判的流程，都可以運用區塊鏈解決數位證據監管面臨到的「證據同一」與「證物保管制度」的議題，並於2022年6月13日試行「司法聯盟鏈」（Blockchain-applied Judicial Alliance for Digital Era，b-JADE），於同年7月13日正式對外公開。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/(600-1-%E8%B6%85%E9%80%A3%E7%B5%90%E5%A4%A7%E5%9C%96)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-V2.jpg" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=949,height=380'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-1)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB.png" style="width: 600px;" /></a></p> <p><span style="font-size:28px;"><strong>調查局對區塊鏈應用小試水溫</strong></span></p> <p>蔡清祥笑說，他五年前擔任調查局長時，當時調查局便開始嘗試數位證據在區塊鏈的應用。</p> <p>不論是數位鑑識報告上鏈或者是雲端數位證據上鏈，都是希望透過區塊鏈具有「去中心化」、「公開」、「透明」、「不易竄改」特性，可以加深數位證據在法庭的證據力和可信度，也可以提升民眾對司法的信任。</p> <p>法務部調查局資通安全處專門委員周士禎於2021年12月的一場「證物鏈與區塊鏈的交響曲第二樂章─司法聯盟鏈驗證發表研討會」表示，數位證據爭議耗費司法資源，使訴訟效率低落，為了克服這個難題，該局也開始運用區塊鏈特性，改善數位證據驗真程序。</p> <p>周士禎表示，區塊鏈的核心價值就是去中心化，調查局兩個區塊鏈的專案，都是採用以太坊智能合約的應用案例。第一個專案是：運用區塊鏈優勢、強化鑑定報告防偽能力，將數位鑑識的鑑定報告上鏈；第二個專案則是：運用區塊鏈優勢、強化證物監管能力，將雲端取證資料上鏈。</p> <p>她表示，這些上傳區塊鏈公有鏈的資料，其實都是上傳雜湊（Hash Value）而非證據內容，不僅可以降低存證空間及時間，也真正落實偵查不公開原則。</p> <p><span style="font-size:28px;"><strong>鑑識報告上以太坊，面臨手續費暴漲30倍的風險</strong></span></p> <p>鑑定報告上鏈其實就是，當法務部調查局資安鑑識實驗室完成鑑識報告後，會把該鑑識報告所含送件的檔案及鑑識報告紙本電子檔的雜湊值，經由指定人員使用鑑識報告上鏈系統，透過區塊鏈硬體錢包加密簽章的方式，把該鑑識報告檔案的雜湊值，上傳以太坊區塊鏈。</p> <p>一旦法官、檢察官或是辯護人，對於該鑑識報告紙本及電子檔的真偽有爭議時，都可以用手機鑑識報告驗證App，掃描查詢驗證該鑑識報告電子檔的雜湊值，和區塊鏈上鑑識報告電子檔的雜湊值是否相同，可以迅速確認該鑑定報告、來源證物以及鑑識報告結果的電子檔是否未經竄改。</p> <p>不過，後續檢討鑑識報告上鏈的區塊鏈專案時，周士禎表示，最大的挑戰是鑑定報告上鏈手續費成本暴漲。</p> <p>她以2019年，運用以太坊智能合約完成鑑定報告上鏈為例，當年度平均上鏈的手續費只要1.3美元（約新臺幣40元）；但到了2020年，上鏈手續費波動性遽增並屢創新高，一次上鏈手續費超過40美元（約新臺幣1,200元），和前年手續費相差30倍。</p> <p>到2021年上鏈手續費持續攀升成為常態，這對於編列預算支應公務支出的政府部門而言，暴漲的手續會成為鑑識報告上鏈應用的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/P5%E6%96%B0%E5%A2%9E%E5%9C%96%E7%89%87-%E9%91%91%E5%AE%9A%E5%A0%B1%E5%91%8A%E4%B8%8A%E9%8F%88%E6%89%8B%E7%BA%8C%E8%B2%BB%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E6%B3%95%E5%8B%99%E9%83%A8%E8%AA%BF%E6%9F%A5%E5%B1%80.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>法務部調查局的區塊鏈專案就是將數位鑑識報告電子檔案的雜湊值，上傳以太坊公有鏈，不過，以太幣隨著市場波動而有很大的漲幅，2019年以太坊智能合約每一筆上鏈價格大約新臺幣40元，但到了2020年，每一筆上鏈價格高達新臺幣1,200元，且費用呈現持續攀升狀態。這樣的持續攀升的上鏈成本，對於公務機關會造成很大的成本風險。</strong><span style="font-size:14px;">圖片來源／法務部調查局</span></span></p> <p><span style="font-size:28px;"><strong>用區塊鏈自動化存證程式，避免雲端資料蒐證過程遭竄改</strong></span></p> <p>另外，有越來越多民眾使用各種雲端服務，當第一線司法警察查扣證物時，也需要查扣各種類型的數位證據，例如：電子郵件、臉書、Line、或是存放在Dropbox或Google Drive等網路雲端硬碟的數位資料。</p> <p>不過，這些數位資料在存放過程中，就可能有異動，對法庭要求數位證據的證據力而言，如何確保司法警察蒐證到的數位資料，和存放作為司法偵查有關的數位證據一致，也成為第一線司法警察必須克服的難題。</p> <p>因此，法務部在查扣受搜索人的數位資料時，會採用區塊鏈雲端證據存證應用自動化程式，自動下載雲端資料檔案並同時記錄下載時間。在下載雲端檔案資料的過程中，會自動計算每一個儲存檔案的雜湊值，並將存放雲端檔案連結的網路硬碟的數位資料，自動存放到專屬的隨身碟中。</p> <p>而這個自動化程式會將下載完成的雲端資料的檔案雜湊值，經確認合法蒐證記錄人員身分後，會由該記錄人員將該專屬隨身碟內的雜湊值記錄在以太坊區塊鏈中，運用區塊鏈結合雜湊值、具時序性，以及不可竄改特性，確保數位檔案在蒐證過程中，沒有遭到任何竄改或異動。</p> <p>這樣的作法，對於第一線司法警察而言，也解決大容量數據需要大量時間下載的問題；並克服該如何證明這些大容量的資料是第一線蒐證取得的數位資料的問題。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈五個初始會員永不退出</strong></span></p> <p>周士禎表示，公有鏈所面臨的問題在於：去中心化程度高，吞吐量低，交易速度緩慢，以及手續費因外界波動及攀升。因此，建置司法聯盟鏈則可望在保有一定程度去中心化的同時，可以提升全鏈同步的效率，並降低手續費波動的影響。</p> <p>所以，司法聯盟鏈在架構初期，便以司法院、法務部、高檢署、調查局及警政署作為司法聯盟鏈的初始成立成員，這5個單位都自行編列公務預算、自建驗證節點；未來，將逐步推展至其他與司法偵查審判有密切關係的機關、機構及團體，並且會以「認許制」作為加入方式。</p> <p>法務部檢查司調部辦事調查專員魯志遠表示，司法聯盟鏈是基於區塊鏈技術，以獲得人民信任為目標，所以5個初始會員之間，則會透過節點共同驗證及利用紀錄；未來可以加入司法聯盟鏈的對象，包括其他行政部會，像是文化部、數位發展部等，或者是司法相關的律師或公證人等等，後續都可以加入該聯盟鏈成為後續會員。</p> <p>但魯志遠表示，為了確保聯盟鏈的永續運作，這五個初始會員自建節點是永不消滅，也就是說，即便其他會員加入或退出，都不會影響這五個初始會員的運作方式；至於後續加入的會員，可以選擇自建驗證節點外，也可以透過國網中心委外建置驗證節點。</p> <p>周士禎也提到，司法聯盟鏈採用統一管理「可驗證實名制」的方式驗證使用者身分，並且會以「共識決演算法」作為資料同步機制的基礎，「畢竟，三個以上成眾，只有單數的數量，才不會出現決議平手的局面。」她說。</p> <p>此外，司法聯盟鏈決定以「Hyperledger Fabric」作為標準，可以做到相容既有的區塊鏈應用，又具備管理上的擴充性。</p> <p>魯志遠指出，數位證據存證、認證及驗證可以適用包括刑事、民事和行政訴訟等各類案件；而司法聯盟鏈目前雖然只用於雲端證據和數位卷證範疇，但未來也可以進一步延伸到數位請票、營業秘密、數位傳票、數位債證，以及數位存證等相關應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-3)-%E5%B0%81%E9%9D%A2P3-P5-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB(1).png" style="width: 409px;" /></p> <p><span style="font-size:28px;"><strong>用區塊鏈完善數位證據監管流程</strong></span></p> <p>魯志遠指出，目前司法審判流程可以分成調查階段、偵查階段和審理階段，但從第一線處理證物存證的警政署、調查局，再到負責證物管理、證物入庫和使用（點交、記錄）的法務部和高檢署，最後，負責包含開庭、移交認證的司法院所屬各級法院，在現階段，證物仍以現行程序歸屬各機關。</p> <p>針對數位證據的保全，可以參考法務部調查局訂定的《法務部調查局現場數位證據保全操作手冊》，明確將數位證據現場蒐證的執行作業程序分成：識別階段、蒐集擷取階段和封緘保管階段。</p> <p>但魯志遠表示，等到司法聯盟鏈正式上線運作後，就可以藉由區塊鏈去中心化、信任、公開、透明的特性，將數位證據上傳司法聯盟鏈平臺，透過比對雜湊值的方式，確認數位證據保持證據同一性，並可對證物進行完整的擔保。</p> <p><span style="font-size:28px;"><strong>鏈下管理才是司法聯盟鏈存續關鍵</strong></span></p> <p>資策會科法所創意智財中心副主任鄒宗萱表示，運用區塊鏈技術確保數位證據的可信度，區塊鏈技術發展本身已經成熟，上鏈過程很單純，但司法聯盟鏈牽涉到司法訴訟的流程，就必須有一套完整的鏈下管理機制。</p> <p>她指出，這套鏈下管理機制，不僅要規範可以儲存在鏈上的內容，上傳資料也必須遵照一定的管理模式才可以進行，像是哪些人可以上傳資料、哪些節點可以驗證資料等，而這個過程會推動司法聯盟鏈認證標章，要符合相關的規範並取得標章認證的對象，經過身分審核才可以參與驗證節點；只有符合流程規範的成員，才可以將資料上傳司法聯盟鏈儲存。</p> <p>舉例而言，光是司法聯盟鏈未來在節點管理上，因為要做到穩定、長久維運和高度信任，鄒宗萱表示，聯盟鏈的參與成員須採用實名制且要做到跨組織，以及事先審核加入節點成員的身分。</p> <p>不過，她也提醒，聯盟鏈的節點成員雖然要事先審核，但節點本身仍須具獨立性，才不會影響到聯盟鏈的公信力。</p> <p>所以，她說，外界有一些金控公司發展私有鏈做內部的區塊鏈應用是可行的，但若是選擇發展聯盟鏈時，節點成員若為同一個集團公司，彼此可以影響或調整內容時，因為該節點成員本身不具獨立性，就不是聯盟鏈的應用類型。</p> <p>再者，蔡清祥認為，鏈下的管理面必須做到資料的完整性及正確性，避免證據不完整局限性。克服的方法就是，司法聯盟鏈與資策會科法所簽訂合作備忘錄，透過公私協力的方式，由科法所協助司法聯盟鏈建立數位治理的管理規範，進一步確立標準化作業流程及規畫後續相關的教育訓練內容。</p> <p>更重要的是，推動司法聯盟鏈認證標章，讓未來要加入司法聯盟鏈的會員，必須先取得相關認證標章後，確保鏈上資料與鏈下資料可以做到真實且完整。</p> <p>蔡清祥也宣示，推動司法聯盟鏈有短、中、長期的目標，短期目標為建置基礎建設規畫，考量數位證據對司法實務驗證的迫切性進行試辦評估，並辦理司法聯盟鏈人員證照、區塊鏈教育訓練；中期目標就勢將數位資料加以應用；長期目標就是做到與實體證物進行結合。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:48px;"><span style="background-color:#3399ff;"> 司法聯盟鏈流程 </span></span></span></p> <p><strong>司法聯盟鏈（Blockchain-applied Judicial Alliance for Digital Era，b-JADE）即將於今年7月13日正式公開，會先選擇在臺北、桃園和臺中進行試辦。b-JADE這個平台，就是希望透過運用區塊鏈技術加值，讓數位資料和數位證據像玉一樣有價值。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 司法聯盟鏈存證上鏈畫面大公開 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-1)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 507px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>根據6月13日試行所公開的測試畫面可以看到，司法聯盟鏈的平臺已經大致抵定，不管是數位證據的存證、上鏈記錄或是驗證證據，檔案上傳該平臺都只計算雜湊值，不會儲存檔案。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-2)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 505px;" /></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">拖拉數位檔案上傳該司法聯盟鏈平臺後，會自動計算雜湊值，每個檔案都有不同數值。</span></span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-3)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 502px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>數位檔案上傳司法聯盟鏈平臺後，每個數位證據檔案會產生不同雜湊值，也會記錄存證人員資訊、存證時間，並提供下載服務。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-4)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 429px;" /></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">提供下載的檔案就是司法聯盟鏈存證證明，該證書也會註明認證單位和證書證明日期以昭公正。</span></span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／法務部</span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#B22222;"> 司法聯盟鏈驗證證據測試畫面 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(600-5%2B6%2B7)-1082-%E5%B0%81%E9%9D%A2P3-p6-%E5%8F%B8%E6%B3%95%E8%81%AF%E7%9B%9F%E9%8F%88-%E5%BD%A5%E6%A3%BB-%E6%B8%AC%E8%A9%A6%E7%95%AB%E9%9D%A2.png" style="width: 589px;" /></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>在司法聯盟鏈平臺上，可以選擇要驗證數位證據的同一性，當中可選擇上傳要驗證數位檔案，也可以選擇輸入雜湊值，一次驗證最多五筆資料，平臺會顯示該檔案是否驗證成功或查無資料，最後也會產出一份檔案驗證結果以茲證明。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／法務部</span></span></p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151487
【專家觀點：資策會科法所創意智財中心副主任鄒宗萱】建構司法聯盟鏈的信任度，鏈上技術與鏈下管理是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>區塊鏈的應用在臺灣又有新的進展！預計於今年7月正式對外公開的「司法聯盟鏈」，便是由5個初始會員，包含法務部、司法院、高檢署、警政署、調查局，共同打造出基於區塊鏈技術所建置而成的司法應用，目的在負責監管臺灣司法流程中的數位證據，當這些資料上鏈之後，不會遭到竄改。</p> <p>對於這項即將登場的政府科技領域新應用，資策會科法所創意智財中心副主任鄒宗萱表示，其他國家在發展存證或驗證相關的服務機制時，大多採用集中管理技術模式，然而，隨著技術演進，包括歐盟、中國等國家，也開始基於區塊鏈的技術優勢，建置與司法相關的區塊鏈應用。</p> <p>對此，鄒宗萱認為，臺灣的司法聯盟鏈若要取得各界的信任，除了區塊鏈本身公開、透明的技術特性，更重要的是，必須建立一套鏈下的資料管理規範或標準，確保資料從上鏈前的生成或取得端，乃至上鏈後驗證端的資料內容，都具有同一性與真實性。</p> <p><span style="font-size:28px;"><strong>存證或驗證服務採用區塊鏈技術，增加可信度</strong></span></p> <p>大約在十幾年前，包括歐、美、日、韓、中等國，陸續發展出各種存證或驗證相關服務機制，大多採用集中管理技術模式；但隨著技術演進，各國也開始基於區塊鏈技術優勢，建置相關基礎環境及發展司法相關應用，例如歐盟、中國等區域或國家。</p> <p>因為集中化儲存管理是目前最常見的資料管理模式，但鄒宗萱也觀察到，在資料便於管理之際，也會因為資料容易新增、刪除、更改等，導致資料管理的信任度遭到質疑。</p> <p>她認為，相對於傳統資料集中儲存的機制，因為區塊鏈技術並沒有一套中心化的機構管理資料庫，便無法像以往中心化系統有最高權限管理者，可以單方面修改或儲存資訊。</p> <p>除此之外，由於區塊鏈的驗證節點採用共識決，利用了分散式節點的特性，一旦資料被記錄到區塊鏈時，就無法單方面回溯修改、刪除區塊鏈中的資訊，「資料不可竄改也讓寫入區塊鏈的資料更被信任。」她說。</p> <p><span style="font-size:28px;"><strong>司法聯盟鏈採實名制、跨組織並事先審核</strong></span></p> <p>區塊鏈依據資訊是否公開程度、誰可以參與、節點參與者是誰，以及治理模式的不同，可以分成公有鏈、私有鏈，以及聯盟鏈等三種類型，鄒宗萱表示，只要是使用區塊鏈、去中心化的方式，不管是採用哪一種類型來實作，其實，這些選擇都不會影響區塊鏈透過節點、確保資料透明度和可信賴的特性。</p> <p>她也觀察到，在發展存證及驗證服務的過程中，一般的資料存放是採用集中管理機制，為了增加可信度，開始在自家引進區塊鏈技術，於是，便有了私有鏈；然而，因為私有鏈的驗證節點都在自家範圍之內，可信度往往會遭到外界質疑，因此，便希望可以透過錨定（下錨鎖定）公有鏈的方式來確保，因為驗證節點是分散在世界各地，可以真正做到單一節點難以竄改資料，這也使得公有鏈比私有鏈更為可信。</p> <p>不過，鄒宗萱也指出，區塊鏈應用如果是錨定公有鏈時，不管是錨定比特幣或是以太坊，因為相關費用的浮動過大，對於傳統公務機關須採用事先編列預算以支應各種公務費用的運作模式，存在極高的不確定性，這也使得採用公有鏈的區塊鏈應用服務，往往會面臨成本難以掌控的風險。</p> <p>所以，臺灣為了確保數位證據從第一線司法警察的蒐證、檢察官的偵查，一路到法院的審判，都可以有效被監管，引進區塊鏈技術達到資料不可否認性、不易被竄改、永久保存。並做到證明存在之外，更希望在管理上，可以兼具公有鏈的可信任度，以及私有鏈的便於管理，於是，這裡便折衷採用了聯盟鏈的類型。</p> <p>她進一步指出，聯盟鏈如果要做到公有鏈的可信度，驗證節點至少要設置到3個以上，而目前的司法聯盟鏈的規畫當中，已有法務部、司法院、高檢署、警政署、調查局等5個初始會員，作為驗證節點；而在節點的管理上，因為要做到穩定、長久維運，以及高度信任，聯盟鏈的參與成員則是採用實名制，做到可以跨組織，以及事先審核加入節點成員的身分。</p> <p>不過，她也提醒，聯盟鏈的節點成員雖然要事先審核通過，但節點本身必須具有獨立性，信任度才不會遭到質疑，所以，有一些金控公司發展私有鏈做內部的應用沒問題，但在發展聯盟鏈時，如果同一個集團公司可以影響或調整內容時，使得節點本身不具獨立性，此時，這就比較偏向私鏈，而非聯盟鏈的應用類型。</p> <p><span style="font-size:28px;"><strong>採用聯盟鏈所面臨到的最主要挑戰並非技術，而是鏈下管理</strong></span></p> <p>「區塊鏈技術本身發展已經很成熟，推動司法聯盟鏈最大的挑戰，反而是在鏈下的管理機制。」鄒宗萱說，尤其是跨組織的對象，必須是能夠被信任的對象才行。</p> <p>也就是說，運用區塊鏈技術確保數位證據的可信度，區塊鏈技術發展本身已經成熟，上鏈過程很單純，但司法聯盟鏈牽涉到司法訴訟的流程，就必須有一套完整的鏈下管理機制，不僅要規範可以儲存在鏈上的內容，上傳資料也必須遵照一定的管理模式才可以進行，像是哪些人可以上傳資料、哪些節點可以驗證資料等。</p> <p>而這個過程會推動司法聯盟鏈認證標章，要符合相關的規範並取得標章認證的對象，經過身分審核的程序，才可以參與驗證節點；符合流程的規範，才可以將資料上傳到司法聯盟鏈儲存。</p> <p>基於目前司法聯盟鏈的初步規範，5個初始會員都不會消滅，所有的資料上鏈都不會收費，鄒宗萱認為，透過這樣的規畫機制，讓司法聯盟鏈可以成為國家基礎設施的一環，也可以成為國家鏈。</p> <p>因為成本低廉且可被控管，她表示，未來司法聯盟鏈應用範圍可以再延伸，不只是能夠邀請其他部會、組織、機關參與聯盟鏈，也可以針對使用者收取費用，或者將聯盟鏈作為其他區塊鏈應用錨定公有鏈的對象，進而發展成為一個區塊鏈的生態體系。</p> <p>鄒宗萱表示，司法聯盟鏈「以終為始」，創建目的就是為了確保數位證據的證據力，整個資料處理過程是嚴謹的，也能作為產業端學習參考的對象。</p> <p>她指出，以往產業對數位證據力的作法是參考司法判例，但判例會有不一致的結果，不過，檢調對證據要求的流程卻是一致的，中間管理流程的標準作業程序，反而可以作為經過司法確認的、對產業有效的管理依據，而且有助於控管產業管理的成本。</p> <p><a href="https://www.ithome.com.tw/article/151489" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a> <a href="https://www.ithome.com.tw/article/151489" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" style="width: 550px;" /></a></p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/news/151488
【法律科技大創新】用區塊鏈貫穿司法流程，打造被民眾信任的司法聯盟鏈
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-1082-feng_mian_p1-open-yan_fen_.jpg?itok=dTMfJIGp" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了回應司法改革決議，落實證物監管和證物保管制度，法務部引進區塊鏈技術，納入第一線的警政署、調查局；負責偵查的高檢署和法務部，以及進行審判的司法院，成為司法聯盟鏈5個不會退出或中斷的初始會員；並藉由嚴謹的鏈下管理，確保司法聯盟鏈的可信度。</p> </div></div></div>
2022/6/20 07:00作者黃彥棻https://www.ithome.com.tw/article/151489
【資安週報】2022年6月13日至17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自5月底引起許多研究人員關注的Windows診斷支援工具（MSDT）零時差漏洞CVE-2022-30190（亦稱Follina），微軟在6月的例行修補（Patch Tuesday）裡發布相關更新程式，而在上週有不少研究人員揭露相關攻擊事故後，最近烏克蘭電腦緊急應變小組（CERT-UA）指出，這項漏洞俄羅斯駭客組織Sandworm疑似在4月就開始利用。</p> <p>內容管理平臺WordPress的外掛程式弱點，成為攻擊者下手的對象，不時有事故傳出，而在本週有表單外掛程式Ninja Forms，疑似因程式碼注入漏洞已被用於攻擊行動，使得WordPress罕見地再度透過強制更新的手段，推送新版Ninja Forms給WordPress網站。</p> <p>最近幾年駭客大肆針對電商網站發動網站側錄攻擊，過往大多針對Magento電商網站而來，但最近駭客組織Smilodon將目標轉向市占極高的WooCommerce電商平臺，攻擊其後臺而不易被察覺異狀。這樣的情形使得研究人員提出警告，因為針對這類電商平臺的攻擊行動很可能會越來越頻繁。</p> <p>網頁應用程式框架Telerik UI的漏洞攻擊也相當值得留意，研究人員揭露新一波的資安事故，但這次攻擊行動，駭客運用的是3年前的已知漏洞。研究人員指出很多組織的網頁應用程式可能委外架設，後續缺乏維護，而讓攻擊者仍能利用相關漏洞。</p> <p>勒索軟體攻擊的態勢也相當值得留意，本週有資安人員發現，駭客組織BlackCat（亦稱Alphv）採用了新的雙重勒索手法，他們架設了類似<a href="https://haveibeenpwned.com/">Have I Been Pwned</a>（HIBP）外洩密碼查詢網站，疑似是為了讓受害組織的員工、客戶確認自己的個資外洩，進而讓這些人向組織施壓，使得受害組織願意低頭向駭客付錢。</p> <p>而在漏洞揭露的部分，Hertzbleed的處理器旁路攻擊手法相當值得留意，因為Intel全部的處理器產品，以及AMD採用Zen 2與Zen 3微架構的產品都會曝險，但這兩家廠商目前都不打算推出修補程式。</p> <p>本週的資安產業動態裡，有一則消息特別引人注目，那就是美國國防承包商傳出打算買下網路間諜公司NSO Group，且美國政府也知情此事，但此消息一出也引發爭議。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/160530"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm疑在2個月前開始利用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png" style="width: 300px; float: right;" /></a>與Windows診斷支援工具（MSDT）有關的零時差漏洞CVE-2022-30190（亦稱Follina），6月初已傳出被用於攻擊烏克蘭，但實際上在2個月前可能就有相關攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月10日發布資安通告指出，俄羅斯駭客組織Sandworm疑似自4月開始，利用Follina發動攻擊。</p> <p>攻擊者鎖定超過500名廣播電臺與報紙的從業人員，以提供互動式地圖服務的網址名單為由，發送帶有Word檔案為附件的釣魚郵件。收信人一旦開此附件檔案，電腦將會執行檔名為2.txt的JavaScript程式碼，進而載入惡意程式CrescentImp。CERT-UA提供了入侵指標（IoC）供組織偵測相關攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sucuri.net/2022/06/smilodon-credit-card-skimming-malware-shifts-to-wordpress.html"><span style="color: rgb(0, 0, 0);">Smilodon駭客組織鎖定WordPress網站發動側錄攻擊</span></a></strong></h3> <p>最近幾年駭客鎖定電商網站下手，進行網站側錄（Web Skimming）攻擊的情況，尤以針對Magento架設的網站最為氾濫，但如今有人開始將目標轉移到不同的電商網站平臺。</p> <p>資安業者Sucuri指出，他們在追蹤駭客組織Smilodon的Magecart攻擊行動中，發現這些駭客自2021年12月開始，將攻擊目標從原本的Magento平臺，轉向執行WooCommerce電商平臺元件的WordPress網站，且攻擊者的側錄程式在PHP後端運作，而使得用戶端的防毒軟體難以察覺信用卡交易資料遭到側錄的跡象。研究人員指出，由於採用WooCommerce架設的電商網站約有4成，攻擊者勢必會將心力集中於這類網站，他們呼籲網站管理者應儘可能採用最新版元件，並避免管理網域遭到未經授權的存取。</p> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/"><span style="color: rgb(0, 0, 0);">駭客利用Telerik UI網頁應用程式框架漏洞部署惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png" style="width: 300px; float: right;" /></a>網頁應用程式框架的舊漏洞，最近又有駭客拿出來利用，而引起研究人員的關注。資安業者Sophos指出，他們在今年5月初發現有人針對網頁應用程式框架Telerik UI下手，利用3年前被揭露的漏洞CVE-2019-18935（CVSS風險評分為9.8分）發動攻擊，於受害系統上植入Cobalt Strike與挖礦軟體。</p> <p>此漏洞與Telerik UI for ASP.NET AJAX元件有關，攻擊者利用RadAsyncUpload功能的.NET反序列化漏洞，並搭配CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰，就有機會觸發CVE-2019-18935，進而遠端執行程式。</p> <p>由於CVE-2019-18935已在2020年與2021年，被美國政府列入最常遭到利用的資安漏洞清單，研究人員呼籲組織應儘速修補Telerik UI的相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/26m-rps-ddos/"><span style="color: rgb(0, 0, 0);">大規模HTTPS流量DDoS攻擊鎖定Cloudflare免費用戶下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png" style="width: 300px; float: right;" /></a>駭客不只發動DDoS攻擊，還使用了HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻每秒發出2千6百萬次請求（RPS）的大規模DDoS攻擊行動，目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>該公司研判，駭客濫用雲端服務上的虛擬機器（VM）與伺服器主機來發動攻擊。而他們也曾在今年4月攔截類似的攻擊行動，並指出這種使用HTTPS流量的DDoS攻擊手法，駭客會使用大量的垃圾請求，來耗盡目標伺服器的處理器與記憶體資源。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.confiant.com/how-seaflower-%E8%97%8F%E6%B5%B7%E8%8A%B1-installs-backdoors-in-ios-android-web3-wallets-to-steal-your-seed-phrase-d25f0ccdffce"><span style="color: rgb(0, 0, 0);">行動裝置後門程式SeaFlower竊取加密貨幣錢包的通關密語</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png" style="width: 300px; float: right;" /></a>近期出現鎖定安卓行動裝置偷取加密貨幣資產的惡意程式，但也有駭客對iPhone用戶下手。資安業者Cofiant於2022年3月，發現針對Web3使用者而來的SeaFlower攻擊行動，這些駭客建置冒牌的加密貨幣錢包網站，提供帶有惡意程式碼的加密錢包App，進而從安卓與iPhone手機竊取加密錢包的通關密語（Seed Words），將受害者的Coinbase、MetaMask、TokenPocket，以及imToken的錢包洗劫一空。</p> <p>而駭客如何引誘被害人前往冒牌網站，下載假的加密錢包App？答案是這些駭客購買了百度的搜尋引擎最佳化（SEO）廣告，研究人員在百度搜尋引擎輸入download metamask ios並執行搜尋，結果第一個項目就是SeaFlower駭客所架設的網站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat透過ProxyLogon漏洞入侵受害組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）疑似與之前攻擊美國大型油料輸送業者的另一個駭客Darkside有關，而引起研究人員的關注，最近又有相關的動態揭露。微軟近期公布他們對於BlackCat的發現，這群駭客在部分攻擊行動中，對於Exchange伺服器漏洞ProxyLogon下手，而成功進入受害組織的網路環境，進而掌握網域伺服器、管理員帳號，以及網路裡所有的電腦等相關資訊，過了約兩天半，攻擊者藉由PowerShell程式碼ADRecon，收集AD環境的各式資料，然後使用SMB協定或遠端桌面連線（RDP）存取受害電腦，並竊取組織的內部機密資料，最終使用PsExec散布並執行勒索軟體。</p> <p>而對於攻擊者的身分，研究人員至少確定有兩個駭客組織使用BlackCat，分別是DEV-0237（亦稱FIN12）與DEV-0504，前者是從先前使用的攻擊工具為Hive，轉換成BlackCat的用戶，後者則是往往會利用駭客組織LockBit提供的竊密工具StealBit，在加密檔案前下載受害電腦裡的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/confluence-servers-hacked-to-deploy-avoslocker-cerber2021-ransomware/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞也被勒索軟體駭客利用</span></a></strong></h3> <p>在6月初獲報並修補的Atlassian Confluence漏洞CVE-2022-26134，之前傳出有多個駭客組織用於挖礦攻擊，現在也被勒索軟體駭客盯上。根據資安業者Prodaft、資安研究團隊MalwareHunterTeam，以及微軟的威脅情報團隊，發現勒索軟體AvosLocker、Cerber2021（亦稱CerberImposter）正在利用上述漏洞發動攻擊。</p> <p>Prodaft指出，AvosLocker鎖定尚未修補的Confluence伺服器，發動大規模攻擊，至少在美國、歐洲、澳洲已出現受害組織；MalwareHunterTeam與微軟則發現Cerber2021的攻擊行動，且駭客疑似同時加密了Confluence伺服器的配置檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/helloxd-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體Hello XD不只加密電腦檔案，還會植入後門</span></a></strong></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/x4k-youtube-channel.png" style="width: 300px; float: right;" />新的勒索軟體不只在攻擊過程裡採取雙重勒索手法，還可能進一步部署其他工具在受害電腦常駐。資安業者Palo Alto Networks指出，他們在2021年11月發現名為Hello XD的勒索軟體，疑似從勒索軟體Babuk發展而來，引起他們關注的是其中一個Hello XD執行的過程中，會下載後門程式MicroBackdoor，從而在受害電腦存取、上傳、下載檔案，甚至執行多種命令。</p> <p>而這個駭客組織向受害者索討贖金的管道，主要是透過即時通訊軟體Tox Chat，或是其他藉由洋蔥網路（Tor）連線的即時通訊服務，但沒有透過特定的網站公布受害組織的名稱。根據上述的後門程式進行調查，研究人員認為攻擊者的身分是名為x4k的駭客組織（亦稱x4kme、unKn0wn、L4ckyguy）。</p> <h3><strong style="font-size: 22px;"><a href="https://therecord.media/new-jersey-school-district-forced-to-cancel-final-exams-amid-ransomware-recovery-effort/"><span style="color: rgb(0, 0, 0);">美國紐澤西州學校因遭勒索軟體攻擊取消期末考</span></a></strong></h3> <p>美國學校因勒索軟體攻擊影響運作的情況頻傳，近期有林肯學院因延誤招生工作而被迫閉校，現在又有學校因攻擊事故而停擺。根據資安新聞網站Recorded Future的報導，位於紐澤西州的公立學區Tenafly Public Schools，於6月2日遭到勒索軟體攻擊，校方正在復原相關系統，並決定取期未考。</p> <p>該校區聯絡經理Christine Corliss表示，他們在發現學校有檔案無法正常存取後，就委由網路安全專家協助調查，進而確認遭到勒索軟體攻擊，這些專家隨後亦聯繫美國聯邦調查局（FBI）、當地執法機關、資安險業者，但沒有透露是遭到何種勒索軟體攻擊。該名經理指出，目前資安人員已復原Google Workspace、Google Classroom、Google Drive的運作，而在此之前，師生則是透過投影機、紙筆進行教學，雖然系統復原狀態良好，但她無法保證完全恢復正常的時間。</p> <p>一名不願具名的學生家長向該新聞網站投訴，Google Classroom、評分系統等都無法使用，但校方行政部門對於此事始終三緘其口，沒有進一步說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html"><span style="color: rgb(0, 0, 0);">非洲大型連鎖超市Shoprite遭駭客勒索</span></a></strong></h3> <p>近年來開發中國家逐步數位化，遭到網路攻擊的情況也有數起事故。非洲大型連鎖超市Shoprite於6月10日證實，該公司疑似遭到駭客入侵，部分客戶姓名與身分證字號外洩，曾在史瓦帝尼、納米比亞，以及尚比亞等國家匯款的客戶受到波及，但外洩資料不含銀行帳號或其他金融資訊。該公司已發送簡訊通知相關客戶，並呼籲不要在電話、簡訊、電子郵件等管道進行溝通時，隨意透露個資。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/">根據資安新聞網站Bleeping Computer的報導</a>，這起事故疑似勒索軟體駭客組織RansomHouse所為，該組織也在加密通訊軟體Telegram的頻道指出，Shoprite竟使用明文存放客戶資料，該組織與受害公司接洽後，對方只是變更密碼了事。RansomHouse宣稱不只取得對方的客戶資料，亦包含其他內部資料，假若Shoprite沒有做出符合他們期待的回應，駭客將會將竊得的資料出售。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/davidalvarez/linux-threat-hunting-syslogk-a-kernel-rootkit-found-under-development-in-the-wild/"><span style="color: rgb(0, 0, 0);">Linux蠕蟲程式Syslogk於受害主機載入後門程式</span></a></strong></h3> <p>駭客透過開源專案，針對Linux開發攻擊程式的情況，最近已有數起事故。例如，防毒業者Avast揭露名為Syslogk的惡意程式，這是駭客透過開源的Rootkit程式Adore-Ng開發而來的攻擊工具，能將其模組載入Linux核心，從而隱藏特定的檔案資料夾與網路流量，並在受害主機植入後門程式Rekoobe。</p> <p>研究人員指出，該Rootkit程式第一次載入到Linux核心後，便會將自己從已經安裝的軟體模組清單裡刪除，來規避管理人員檢查，而在後續部署後門程式之後，此後門程式會處於休眠狀態而不會有任何行動，直到上述Rootkit收到攻擊者特定的魔術封包（Magic Packet），後門程式才會開始運作，此後Syslogk依照攻擊者指示啟動或暫停後門程式運作，來降低被發現的機會。研究人員呼籲IT人員要提高警覺，來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/"><span style="color: rgb(0, 0, 0);">中國駭客Gallium利用木馬程式PingPull攻擊電信業者、金融與政府單位</span></a></strong></h3> <p>美國日前針對中國駭客攻擊電信業者的行動提出警告，最近又有研究人員發現，駭客使用難以發現的木馬程式，攻擊電信業。資安業者Palo Alto Networks指出，中國駭客組織Gallium（亦稱Softcell），以攻擊東南亞、歐洲、非洲電信業者在網路犯罪者之間闖出名號，但最近一年該組織擴大其攻擊範圍，也開始對於金融機構與政府單位出手，同時駭客運用了名為PingPull的木馬程式，這個木馬程式提供反向Shell的功能，讓駭客能遠端下達命令。</p> <p>研究人員針對其中3個版本的PingPull進行分析，其共通點是木馬程式都是冒統系統服務的方式運作，但攻擊者疑似規避特定的資安防護系統，這些木馬程式與C2連線的過程中，使用了不同的網路通訊協定：ICMP、HTTPS、TCP。研究人員確定該組織在最近一年內，至少鎖定了9個國家下手。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/lyceum-net-dns-backdoor"><span style="color: rgb(0, 0, 0);">伊朗駭客利用DNS後門程式對能源組織下手</span></a></strong></h3> <p>伊朗駭客去年多次鎖定關鍵基礎設施（CI）下手的情況，引起歐美高度關注，最近又有新的攻擊行動。資安業者Zscaler揭露駭客組織Lycaeum（亦稱Hexane、Spilrin）近期的攻擊行動，該組織以開源軟體DIG.net為基礎，以.NET打造了新的後門程式，進而發動DNS挾持攻擊，鎖定中東能源組織而來。</p> <p>駭客透過含有伊朗軍事新聞報導的Word檔案作為誘餌，吸引受害者開啟，一旦開啟檔案，攻擊者就會在受害電腦植入DNS後門程式，並執行後續的流量追蹤，或是從C2接收發動攻擊的命令。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.hertzbleed.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露Intel、AMD處理器旁路攻擊手法Hertzbleed</span></a></strong></h3> <p>最近幾年筆電的續航力顯著成長，當中處理器的功耗管理機制扮演重要的角色，但這類機制也可能成為駭客發動攻擊的管道。德州大學奧斯汀分校、伊利諾大學厄巴納-香檳分校（UIUC）、華盛頓大學的研究人員聯手，發現了名為Hertzbleed的旁路攻擊手法，一旦攻擊者利用這項漏洞，就能藉由觀察Intel與AMD處理器的動態電壓與時脈調整（DVFS）機制中，所控制的處理器頻率，來竊取完整的加密金鑰。</p> <p>DVFS是時下處理器採用的電源管理功能，能在電腦以高負載運作時避免溫度過高而故障，並在低負載運作時降低功耗。</p> <p>對此，Intel證實旗下全部處理器產品確實存在上述漏洞，並以CVE-2022-24436進行列管，AMD則指出旗下採用Zen 2與Zen 3微架構的產品曝險，包含多個系列的Ryzen產品線，以及第1代與第2代EPYC伺服器處理器等，並將該漏洞登錄為CVE-2022-23823。兩家公司皆提供開發人員緩解措施，但研究人員指出，兩家公司都不打算發布相關修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://pacmanattack.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露攻擊蘋果M1晶片的手法PACMAN</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/pacman-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pacman-overview.png" style="width: 300px; float: right;" /></a>蘋果自行研發的M1晶片，存在可被用於攻擊的管道而引起研究人員關注。麻省理工學院電腦科學與人工智慧實驗室（CSAIL）揭露名為PACMAN的攻擊手法，駭客可藉由電腦軟體的記憶體相關漏洞觸發，繞過M1系統單晶片（SoC）的指標驗證機制（Pointer Authentication，PAC），來攻擊Mac電腦。研究人員指出，PACMAN會將原本的軟體記憶體執行錯誤，利用原語（Primitive，此處即PAC）來放大效應，攻擊者很可能得以執行任意程式碼。</p> <p>研究人員於去年底向蘋果通報，而該公司認為這種攻擊手法還需要搭配其他漏洞，不會對用戶直接造成威脅。雖然這項手法尚未被用於實際攻擊行動，但CSAIL呼籲Mac電腦用戶，應該使用最新版本軟體來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/travis-ci-security"><span style="color: rgb(0, 0, 0);">軟體開發測試平臺Travis CI恐曝露數千個GitHub、AWS、Docker憑證</span></a></strong></h3> <p>持續整合（CI）服務平臺存在的弱點，很可能導致用戶的雲端服務帳號外洩。資安業者Aqua Security指出，他們發現免費版本的Travis CI在防護措施上的缺失，進而使得用戶的事件記錄（Log）檔案曝光，危及GitHub、AWS、Docker Hub等雲端服務的登入帳密或是Token，超過7.7億筆事件記錄曝光。</p> <p>研究人員發現，透過2個Travis CI的API呼叫，並搭配列舉的命令，他們可取得大量明碼的事件記錄，結果他們從2013年至今年5月，總共截取7.74億筆資料，研究人員以其中1%進行分析，挖掘出7.3萬個帳密或是Token，他們也將相關結果通報給前述的雲端業者，對方已立即回應此事並採取因應措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/critical-code-execution-vulnerability-patched-splunk-enterprise?"><span style="color: rgb(0, 0, 0);">Splunk重大漏洞恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>Splunk於6月14日發布資安通告，指出Splunk Enterprise存在漏洞CVE-2022-32158，這項漏洞與Splunk Enterprise的部署伺服器（deployment server）有關，攻擊者一旦加以利用，可入侵其中一個Universal Forwarder端點後，在其他與相同部署伺服器註冊的Universal Forwarder端點上執行任意程式碼，CVSS風險評分為9.0分。Splunk Cloud Platform（SCP）平臺因不使用部署伺服器元件，該平臺的用戶不受影響。該公司呼籲Splunk Enterprise用戶，升級9.0版軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://support.citrix.com/article/CTX460016/citrix-application-delivery-management-security-bulletin-for-cve202227511-and-cve202227512"><span style="color: rgb(0, 0, 0);">Citrix ADM重大漏洞可讓攻擊者重設管理員密碼</span></a></strong></h3> <p>IT業者Citrix近期針對旗下的應用程式交付的管理平臺Application Delivery Management（ADM），修補CVE-2022-27511、CVE-2022-27512兩項漏洞，攻擊者一旦利用，就有可能透過未經身分驗證的使用者，遠端中斷系統的運作，並在管理者重新啟動ADM後，重設管理員的密碼，進而讓攻擊者能透過SSH連線，並使用預設密碼存取管理者帳號存取ADM。這些漏洞同時會影響伺服器與用戶端軟體，該公司發布13.1-21.53版與13.0-85.19版予以修補，呼籲用戶應儘速升級新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-june-2022-improper-access-control-can-compromise-your-systems"><span style="color: rgb(0, 0, 0);">SAP修補嚴重的NetWeaver漏洞</span></a></strong></h3> <p>SAP於6月14日發布6月份例行修補，當中緩解了17個漏洞，其中包含了數個重大漏洞，其中像是針對用戶端軟體SAP Business Client的更新，導入了Chromium 101.0.4951.54，修補之前版本82個弱點，其中包含了CVSS評分達10分的漏洞，亦有部分已出現攻擊行動。</p> <p>再者，本次SAP也修補了SAPRouter存取控制不當的漏洞CVE-2022-27668，該漏洞CVSS風險評分為8.6分，影響NetWeaver與ABAP平臺；另一個與存取控制有關的漏洞，影響NetWeaver AS Java，CVSS評分為8.2分，有可能導致系統損毀。SAP指出，所幸這些漏洞尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-secure-email-bug-can-let-attackers-bypass-authentication/"><span style="color: rgb(0, 0, 0);">思科修補電子郵件防護系統可被用於繞過身分驗證的漏洞</span></a></strong></h3> <p>思科於6月15日發布資安通告，指出旗下的郵件安全設備Email Security Appliance（ESA），以及管控郵件與網路的Secure Email and Web Manager兩款產品，存在漏洞CVE-2022-20798，一旦攻擊者利用這項漏洞，就有可能在登入介面輸入特定內容，進而繞過外部的身分驗證機制，存取受害系統的網頁管理介面，CVSS風險評分為9.8分，該公司發布新版Async軟體元件予以修補。</p> <p>思科指出，僅有啟用外部身分驗證，並搭配LDAP的用戶才會受到波及，採用預設配置而沒有開啟外部身分驗證機制的用戶不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/"><span style="color: rgb(0, 0, 0);">微軟修補MSDT零時差漏洞</span></a></strong></h3> <p>微軟於6月14日發布每月例行修補（Patch Tuesday），當中總共修補了55個漏洞，其中有1個是零時差漏洞，那就是5月底引起許多研究人員關注的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟針對工作站與伺服器版本Windows發布修補程式，電腦安裝相關更新程式後，將會防堵駭客執行PowerShell注入的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/06/14/security_azure_patch/"><span style="color: rgb(0, 0, 0);">資安業者指控微軟對Azure Synapse Analytics漏洞回應不夠積極</span></a></strong></h3> <p>最近有2家資安業者不約而同指出，微軟對於資料分析服務Azure Synapse Analytics的漏洞處理不甚積極。</p> <p>資安業者Orca Security揭露名為SynLapse的漏洞（CVE-2022-29972）攻擊者一旦利用此漏洞，就有可能繞過資料分析服務的租戶分離機制，來控制其他使用者的工作區。但研究人員指出，他們在今年1月就向微軟通報，該公司從3月開始發布修補程式，卻都修補不全，直到5月底才確實完成修補。</p> <p>無獨有偶，漏洞管理解決方案業者Tenable也指出，他們在今年3月向微軟通報了2個漏洞，其中一個允許攻擊者利用Spark VM的脈絡（context），將提升權限為root；另一個則是可讓攻擊者用竄改Spark池裡所有節點的hosts檔案，然而，該公司指控，微軟僅默默在89天後，修補了權限提升漏洞，另一個迄今尚未修補，也並未對客戶告知這些漏洞的嚴重性。Tenable表示，他們並非少數被微軟輕忽的通報者，而此舉將導致Azure Synapse Analytics用戶不知道已經曝險，是相當不負責任的做法。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.cybavo.com/zh-tw/blog/announcing-cybavo-to-join-circle/"><span style="color: rgb(0, 0, 0);">美國Fintech業者併購臺灣資安新創Cybavo</span></a></strong></h3> <p>隨著加密貨幣業者對於資安的需求與日俱增，很可能會買下資安公司強化相關防護。發行美元穩定幣（USDC）的Fintech業者Circle，於6月10日宣布，將買下臺灣資安新創業者Cybavo，期望藉此在旗下產品裡，整合Cybavo加密貨幣資產管理解決方案Cybavo Vault，來強化區塊鏈與Web3的安全。Circle將打算與Cybavo共同推動USDC與Web3，並將Cybavo旗下產品納入Circle產品線並繼續開發。Cybavo也發出聲明，現有客戶將不會受到影響，該公司將持續提供相關產品與服務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris"><span style="color: rgb(0, 0, 0);">美國國防廠商傳出打算買下網路間諜公司NSO Group</span></a></strong></h3> <p>惡名昭彰的以色列網路間諜公司NSO Group，先前因多個國家政府施壓，而打算將間諜軟體Pegasus相關部門出售，近期竟傳出有美國國防業者打算併購該公司的消息。根據新聞網站Intelligence Online、衛報、華盛頓郵報、Haaretz的報導，美國知名國防承包商L3Harris有意買下NSO Group，主要是為了該公司間諜軟體的核心技術。</p> <p>衛報指出，這項併購案需要經過美國與以色列政府同意，前者將NSO Group列為制裁對象，後者由國防部進行監管，要通過這兩關並不容易。Haaretz指出，此事美國聯邦調查局（FBI）與中央情報局（CIA）都知情；對此一名美國白宮官員向衛報透露，此交易很可能對美國政府帶來嚴重的情報收集問題。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/"><span style="color: rgb(0, 0, 0);">微軟併購外國網路威脅情資業者Miburo</span></a></strong></h3> <p>為了防範國家駭客與激進主義份子的網路威脅，微軟於6月14日宣布買下網路威脅分析及偵測服務業者Miburo，並計畫在完成併購後，將Miburo整合進微軟客戶安全與信賴事業群，並與該公司的威脅情報中心、威脅情境分析團隊，以及資料科學家等部門合作。外界認為，此項併購案也可能有助於微軟爭取美國政府的資安預算。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.se.com/ww/en/about-us/newsroom/news/press-releases/schneider-electric-and-claroty-launch-%27cybersecurity-solutions-for-buildings%27-reducing-cyber-and-asset-risks-for-smart-buildings-62a32e83abbdca1a52279ba4"><span style="color: rgb(0, 0, 0);">施耐德電機與資安業者Claroty聯手，推出智慧建築資安解決方案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.forescout.com/blog/r4iot-when-ransomware-meets-the-internet-of-things/"><span style="color: rgb(0, 0, 0);">研究人員揭露同時針對IT與OT環境的勒索軟體攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/06/09/crypto-miners-leveraging-atlassian-zero-day-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客組織8220也利用Atlassian Confluence伺服器挖礦</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pypi-package-keep-mistakenly-included-a-password-stealer/"><span style="color: rgb(0, 0, 0);">PyPI套件Keep疑似被植入竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sonarsource.com/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra漏洞恐讓攻擊者竊取用戶明文密碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.syss.com/posts/rooting-mitel-desk-phones-through-the-backdoor/"><span style="color: rgb(0, 0, 0);">Mitel旗下IP電話存在漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> </div></div></div>
2022/6/18 10:08作者周峻佑https://www.ithome.com.tw/news/151513
【資安日報】2022年6月17日，WordPress表單外掛程式Ninja Forms漏洞已遭利用、勒索軟體駭客意圖透…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零時差漏洞在獲得修補前就遭到利用的情況，今天就有兩起，其中又以WordPress網站的表單外掛程式Ninja Forms相當引起關注，其嚴重程度也使得WordPress疑似採取了強制更新的手法，為超過70萬個網站派送更新版套件。</p> <p>另一則我們想要請大家注意的新聞，是有關於勒索軟體駭客的脅迫手法，現今許多駭客會竊取受害組織的資料再行加密，以利後續運用竊得的資料，要脅組織付錢，但現在出現了新的手法，是要資料外洩的員工或是客戶給受害組織施壓，但後續發展如何有待觀察。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/06/psa-critical-vulnerability-patched-in-ninja-forms-wordpress-plugin/"><span style="color: rgb(0, 0, 0);">WordPress表單外掛程式Ninja Forms漏洞已遭利用</span></a></strong></h3> <p>提供WordPress網站管理者建置表單的外掛程式存在漏洞，有可能導致網站遭受攻擊。資安業者Wordfence指出，外掛程式Ninja Forms最近推送新的版本，原因很可能是為了修補一項程式碼注入漏洞（尚未取得CVE編號），駭客一旦利用這個弱點，就有可能在未通過身分驗證的情況下，從這個外掛程式的類別（class）呼叫數種方法，包含一種將使用者提供的內容非序列化的方法，從而導致物件注入攻擊。當網站上的屬性導向程式設計（Property Oriented Programming，POP）鏈存在時，攻擊者可藉此能夠執行任意程式碼，或是刪除網站上任意檔案。研究人員指出，他們找到這項漏洞已遭到攻擊者廣泛利用的跡象，呼籲WordPress用戶應儘速安裝已修補的新版套件。</p> <p>資安新聞網站Bleeping Computer指出，自開發商於6月14日發布新版套件以來，已有73萬次下載，有如此數量的網站更新該外掛軟體，原因很可能是WordPress採取了強制更新的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-creates-site-for-employees-to-search-for-their-stolen-data/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat架設個資外洩查詢網站，疑透過員工向受害組織施壓</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dedicated-data-leak-site.jpg" style="width: 300px; float: right;" /></a>為了脅迫受害組織付錢，勒索軟體駭客普遍在加密檔案前竊取機密資料，做為後續索討贖金的籌碼，但現在有人打算藉由與受害組織有關的人士來施壓，給予更大的付款壓力。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織BlackCat（亦稱Alphv）近期攻擊美國俄州一家飯店，並宣稱竊得1,534名人士的個資，檔案大小總共112 GB。但與其他攻擊事件不同的是，駭客不只在洋蔥網路（Tor）的網站上公布資料，還架設了類似於個資外洩查詢「Have I Been Pwned」的網站，讓該飯店員工或是客戶，能透過查詢的方式，確認自己的個資是否受到攻擊事件影響。</p> <p>資安業者Emsisoft安全分析師Brett Callow指出，駭客這麼做的目的，自然是希望這些人在得知自己的個資遭到外洩後，能要求飯店出面付贖金，而該飯店可能為了避免員工與住戶的集體訴訟，選擇付錢息事寧人。不過，這樣的脅迫手法是否會奏效？研究人員認為有待觀察。</p> <h3><strong style="font-size: 22px;"><a href="https://www.akamai.com/blog/security/new-p2p-botnet-panchan"><span style="color: rgb(0, 0, 0);">P2P殭屍網路Panchan鎖定教育單位的Linux伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/admin-panel.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/admin-panel.png" style="width: 300px; float: right;" /></a>駭客鎖定Linux伺服器發動攻擊的現象，近期可說是越來越頻繁，且手法日趨隱密。資安業者Akamai發現了從2022年3月開始行動的殭屍網路Panchan，該殭屍網路主要的攻擊目標是Linux伺服器，駭客使用Go語言打造其殭屍網路病毒，該惡意軟體採用了SSH字典攻擊來入侵受害伺服器，同時也進一步企圖獲取SSH金鑰來進行橫向移動。在成功入侵受害伺服器後，Panchan會開啟可執行檔，向Discord Webhook發起HTTPS POST請求，這麼做的目的很可能是為了進行監控。該殭屍網路病毒為了能持續在受害伺服器上運作，會將自己複製到/bin/systemd-worker，並建立新的systemd服務，同時將自己偽裝成一般的系統服務，且會在伺服器開機後啟動，進而執行挖礦軟體xmrig與nbhash，這些挖礦軟體都在記憶體內執行而難以察覺。</p> <p>研究人員發現有209臺受害伺服器，當中有40臺正在挖礦，大部分受害伺服器都位於教育單位，遍布臺灣、香港，以及西班牙。研究人員認為攻擊者可能來自日本，並呼籲組織應採用雙因素驗證（MFA）、監控虛擬機器（VM）活動，以及限縮SSH存取的管道，來防範此種攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.volexity.com/blog/2022/06/15/driftingcloud-zero-day-sophos-firewall-exploitation-and-an-insidious-breach/"><span style="color: rgb(0, 0, 0);">Sophos防火牆3月底的漏洞修補，傳出中國駭客在此之前就已經著手濫用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-DriftingCloud-Sophos-0day-Attack-Flow.png" style="width: 300px; float: right;" /></a>資安業者Sophos於3月底修補旗下防火牆的漏洞CVE-2022-1040，但有研究人員發現駭客在3月初就用於攻擊行動。資安業者Volexity在3月初發現客戶的Sophos防火牆出現異常活動，經過分析後得知防火牆被植入後門程式，駭客入侵的管道就是上述的漏洞CVE-2022-1040，CVSS風險評分為9.8分。</p> <p>攻擊者在防火牆植入後門程式Web Shell，並建立VPN帳號來執行中間人攻擊（MitM），進而竄改DNS回應內容，竊得防火牆的管理員帳號。研究人員指出，駭客使用的Web Shell，是中國駭客常用的惡意框架Behinder，該框架4月也有人用於攻擊協作平臺Atlassian Confluence與SonicWall郵件安全閘道設備。</p> <p>針對攻擊者的身分，研究人員認為是中國駭客組織DriftCloud，該組織專門攻擊可能會動搖中國政權的「五毒（Five Poisons）」相關組織，且手法純熟，他們呼籲相關組織部署網路安全監控機制來加以防範，並提供YARA特徵碼讓組織能識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://cybernews.com/security/25-million-free-vpn-user-records-exposed/"><span style="color: rgb(0, 0, 0);">免費VPN服務疑資料庫配置不當，曝露2,500萬筆記錄</span></a></strong></h3> <p>服務業者的資料庫如果未做好防護，很可能會導致資料外洩而使得用戶的身分曝光。資安新聞網站Cybernews的研究人員指出，他們發現公開的Elasticsearch資料庫，內含免費VPN應用程式BeanVPN產生的2,500萬筆記錄，包含用戶設備的ID、VPN服務ID、來源IP位址，以及連線時間等資料，檔案大小為18.5 GB。</p> <p>研究人員指出，這些資料可以讓攻擊者找到用戶所在的地理位置、連線設備，以及電子郵件信箱等資料。他們多次向提供服務的業者Imsoft通報，但沒有得到任何回應，而上述的Elasticsearch資料庫已經下線。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-exposes-an-iranian-phishing-campaign-targeting-former-israeli-foreign-minister-former-us-ambassador-idf-general-and-defense-industry-executives/"><span style="color: rgb(0, 0, 0);">伊朗駭客鎖定以色列與美國前官員發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/06/vuln-spotlight-anker-eufy-homebase.html"><span style="color: rgb(0, 0, 0);">Anker Eufy智慧家庭裝置存在重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.f5.com/labs/articles/threat-intelligence/f5-labs-investigates-malibot"><span style="color: rgb(0, 0, 0);">安卓惡意軟體MaliBot鎖定義大利和西班牙而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/13/hydra-android-malware-distributed-via-play-store/"><span style="color: rgb(0, 0, 0);">安卓木馬Hydra鎖定歐洲銀行客戶，偽裝成文件管理App上架Google Play市集</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151475">【2022年6月16日】軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊者用於執行任意程式碼</a></p> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> </div></div></div>
2022/6/17 18:12作者周峻佑https://www.ithome.com.tw/news/151507
低軌衛星夯，MIC：2021年全球衛星發射數量突破1千顆，估2021年到2030年每年將發射逾1,700顆衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球低軌衛星市場快速成長，資策會MIC指出去年全球衛星單年度發射數量已突破1千萬，而在SpaceX、OneWeb等新興衛星服務業者加速下，預估2021年到2030年每年將發射逾1,700顆衛星，帶動全球衛星產業的發展。</p> <p>MIC資深產業分析師曾巧靈表示，根據美國衛星產業協會(Satallite Industry Association)統計，2020年全球太空經濟規模達3,713億美元，其中包含衛星發射、製造、服務及地面設備的衛星產業即佔74%，預期未來在主要國家如美國投資加大，以及低軌衛星通訊規模商用下，預估到2040年全球太空經濟規模達1兆美元，衛星產業佔比上看88%，達9,252億美元。</p> <p>而從衛星發射數量來看，曾巧靈指出，過去20年全球衛星發射數量在每年200顆以下，這幾年發射數量快速上升，例如2019年低軌衛星布署就有490顆，2020年更是突破1千顆，在衛星業者及新業者規畫下，預期2021年到2030年每年發射將超過1,700顆衛星，大部分為低軌衛星，以2021年為例，低軌衛星(LEO)發射數量已是高軌衛星(GEO)的61.6倍。</p> <p>而低軌衛星的用途，由於距離地面比高軌衛星來得更近，過去主要以地球觀測為主，SpaceX、OneWeb等業者規畫擴大低軌衛星星系，拓展低軌衛星通訊服務之下，2021年通訊應用已佔低軌衛星的8成以上。</p> <p>曾巧靈表示，相較於高軌或中軌衛星用於衛星電視、廣播、導航、衛星電話/窄頻連網，覆蓋較小，需要上百顆衛星建立星系的低軌衛星，多用於衛星寬頻、衛星電視及IoT。目前營運低軌衛星的服務業者以北美為主，除了以提供衛星電腦、IoT衛星通訊服務的GlobalStar、Iridium、Orbcomm，還有以提供衛星寬頻服務為主，已有2.405顆低軌衛星在軌運作的Starlink，加拿大的Telesat，Verizon與Amazon合作的Project Kuiper也相當積極，長遠規畫發射7,824顆低軌衛星，其他如歐洲、亞洲地區，有英國與印度合作成立的OneWeb、中國航天等等。</p> <p>目前較積極的幾家低軌衛星服務商，因為全球疫情、俄烏戰爭國際情勢緊張影響，突顯衛星價值或是導致衛星星系布建計建受阻。</p> <p>以SpaceX底下的Starlink為例，去年才開始商轉，目前已發射2,500多顆衛星，在軌運作2.405顆低軌衛星，並在36個國家地區營運衛星寬頻通訊服務，約有40萬個用戶，未來長遠目標是在全球建立超過1萬顆的低軌衛星星系，擴大其衛星通訊服務涵蓋範圍。由於俄烏戰爭，烏克蘭當地的通訊受到破壞，Starlink啟用當地的衛星通訊服務援助烏克蘭，突顯低軌衛星的價值。</p> <p>已有428顆衛星在軌運作的OneWeb，因衛星發射仰賴俄羅斯，受俄烏戰爭影響，轉委託SpaceX協助發射，長遠目標為建立逾7千顆低軌衛星的星系；受注目的Project Kuiper，儘管是發展最晚的，但展現不小的企圖心，向美國FCC提出的衛星建置計畫，準備建置超過7千顆衛星星系。</p> <p>各方看好低軌衛星的通訊潛力，雖然低軌衛星涵蓋範圍比較小，需要建置一定數量規模的星系才能提供較好的網路涵蓋，但其通訊延遲可達30到50毫秒，和現有4G的延遲時間相當。目前Starlink針對消費、企業提供衛星寬頻網路服務，消費方案月租費為99美元，裝置費599美元，傳輸達100到200Mbps，企業衛星寬頻方案則是月租500美元，裝置費2,500美元，傳輸達150到500Mbps。</p> <p>目前低軌衛星通訊業者也與電信業者合作，以衛星寬頻服務作為偏遠山區或離島的通訊網路，或是與其他公司合作，提供航空器機上寬頻網路服務，或是海上船舶的寬頻網路。</p> <div> <p>值得關注幾個發展中的衛星通訊技術，關係到衛星通訊網路品質、以及營運成本，包括比傳統射頻傳輸速度更快的雷射光通訊、可滿足多應用需求的軟體定義無線電技術、用以追蹤衛星的相位陣列天線技術，以及地面網路託管服務等等。</p> <div> </div> </div> </div></div></div>
2022/6/17 18:53作者蘇文彬https://www.ithome.com.tw/news/151509
Martech雙周報第24期：遊戲內廣告成效追蹤標準13年來最大更新，與平面廣告標準統一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告成效追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#13年來政策大更新</span></span></strong></p> <p><strong>13年來最大更新，IAB跟MRC大幅更新遊戲內廣告成效追蹤標準</strong></p> <p>隨著疫情推動遊戲產業蓬勃發展，且3D、XR、元宇宙等技術逐漸熱門，遊戲內廣告的成效測量標準終於也睽違13年，迎來了一次大更新。負責單位<a href="https://www.iab.com/wp-content/uploads/2022/06/In-Game-Advertising-Measurment-Guidelines_Public-Comment-June-2022-2.pdf">美國互動廣告局（IAB）及美國媒體評議會（MRC）在本次修訂中</a>，不僅將遊戲內廣告的曝光定義跟其他平面廣告形式統一，更針對3D或虛擬環境遊戲廣告曝光，給出了使用者視角等相關定義。</p> <p>IAB對平面廣告的曝光標準定義是，靜態廣告必須於螢幕中有至少50%像素顯示1秒以上，動態廣告則是至少50%像素在螢幕中播放至少2秒以上。這些標準，現今也適用於遊戲內廣告。2009版本中，遊戲內廣告至少要顯示超過10秒以上才能算做一次曝光。</p> <p>若是3D或VR環境廣告，此標準規定要落在視覺中心向外展開55度角以內的廣告，才算曝光。此外，若超過50%廣告內容被其他遊戲內容擋住，也不算曝光。</p> <p>IAB消費者體驗中心副總裁Zoe Soon補充，2009版本的遊戲內廣告標準太過時，連MRC都不再使用該標準來評議遊戲內廣告，說明新版遊戲廣告測量標準早該推出。現在，新標準統一了遊戲與其他平面廣告的測量標準，將更利於行銷業者就追蹤並測量跨平臺廣告投放成效。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#防金融詐騙</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#廣告業者驗證</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Google Ads</span></strong></span></p> <p><strong>為防金融詐騙，上Google刊登金融商品廣告的業主得取得金管會授權，臺灣8月底開始實施</strong></p> <p>Google為了避免金融廣告詐騙，8月30日起，<a href="https://blog.google/technology/ads/expanding-our-efforts-to-combat-financial-fraud-in-ads/">要在臺灣、澳洲及新加坡地區投放Google Ads金融廣告</a>，必須先通過兩層驗證機制。首先，投放業者要證明自己有獲得相關政府單位授權，驗證Google廣告客戶驗證，提供資訊包括商業活動細節，包括基本資料、廣告出資者、商品、執業地點及流程等。此驗證程序將從6月底開始接受申請，不過相關驗證程序相對複雜，且30天內未完成相關驗證就會被凍結帳號。</p> <p>Google部落格中寫道，此驗證機制2021年先於英國實行後，相關詐騙回報單數顯著下降。接下來將分階段在各地區相繼推出此驗證機制。 </p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片勘誤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片流量</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#流量轉換</span></span></strong></p> <p><strong>勘誤不需重新上傳讓流量數據歸零，Youtube新增原影片勘誤功能</strong></p> <p>Youtub<a href="https://www.socialmediatoday.com/news/youtube-adds-new-corrections-feature-to-add-relevant-update-notes-to-your/625524/">e新增影片勘誤功能</a>，當影片播放到有勘誤內容處時，右上角會出現資訊卡提示，點擊後會打開說明文字和可點擊跳轉的時間戳。</p> <p>過去，若Youtube創作者想要修改影片中錯誤資訊或更新最新資訊，必須重新剪輯影片後上傳新版影片。這種做法，會讓前一部影片累積的觸及數與互動數全都作廢，不利於頻道流量和創作者收入。有了勘誤功能，創作者就能在原影片中更新正確資訊，並保留影片流量數據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#使用者介面</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群平臺趨勢分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#分眾行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告轉換追蹤</span></span></strong></p> <p><strong>Tiktok推出趨勢追蹤工具，視覺化分析將熱門主題、歌曲、創作者及影片趨勢及受眾</strong></p> <p>Tiktok推出了<a href="https://ads.tiktok.com/business/creativecenter/inspiration/popular/music/pc/en?from=001115">趨勢追蹤工具</a>，能視覺化呈現平臺上Hashtags、歌曲、創作者及影片的表現分析。Hashtags篩選條件有產業類別、時間區間和最新入榜；歌曲分為最熱門和熱度竄升最快兩類，再分別依時間區間和最新入榜篩選；創作者可以分地域和追蹤者數量區間；影片也能依時間區間篩選。</p> <p>Hashtags跟歌曲還提供進階數據分析，如持續熱門時間、7天內流量、受眾年齡、興趣、地域、相關熱門創作者資料及作品等多種資料。Tiktok近期不斷嘗試增加自己對廣告商吸引力，上個月財推出的互動式市場分析平臺，都提供官方統計數計，給廣告商和創作者。</p> <p>不過，有使用者發現Tiktok正在測試「乾淨模式」，大幅減化短影音觀看介面，隱藏了讚數、Hashtag、使用者名稱、留言、分享等按鈕，避免這些選項過度遮住影片內容。僅管這增進了使用者體驗，但隱藏按讚、留言、分享等互動選項，等於提高了使用者互動門檻，隱藏Hashtag也可能降低使用者對特定議題印象，恐影響廣告流量的轉換。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Podcast廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準投放聲音廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SoundOn串接Spotify數據</span></span></strong></p> <p><strong>SoundOn推出可精準投放第三方聲音廣告的創作者分潤模式</strong></p> <p>臺灣Podcast公司SoundOn（聲浪）推出<a href="https://support.soundon.fm/zh-TW/articles/6306266-%E5%8B%95%E6%85%8B%E5%BB%A3%E5%91%8A%E7%BD%AE%E5%85%A5%E5%8A%9F%E8%83%BD%E6%AD%A3%E5%BC%8F%E4%B8%8A%E7%B7%9A">動態廣告置入服務</a>，可以像Youtube廣告一樣，在Podcast節目中間插入15到30秒的第三方聲音廣告。</p> <p>Podcast廣告的一大益處，是因為難以跳過，所以聽眾通常會完整聽取整段廣告。不過，過去Podcast廣告運作模式問題也不少，通常是廠商聯絡創作者，並由創作者錄製到節目中。對廠商而言，需要人工評估該節目受眾與自家產品受眾重疊程度，且與創作者接洽後還有可能遭拒；對創作者而言，自身節目需有一定聲量才有機會接觸這種合作，且直接錄製廣告到節目中代表著直接背書產品及該廠商，有後續公關風險。</p> <p>SoundOn新動態廣告運作模式，是有參與SoundOn Hosting創作者營利方案的創作者，以個別集數為單位，授權SoundOn置入指定類別的第三方廣告，並依廣告聆聽次數獲得分潤。這些第三方廣告，由廠商預先錄製，因此創作者不用承擔背書責任。SoundOn會根據廠商指定受眾分類與廣告主題，媒合適當的創作者，精準投放廣告，因此廠商既不用怕主動找創作者會找錯受眾，也不存在合作遭拒的問題。</p> <p>另外，SoundOn Hosting也和Spotify收聽數據串接，讓跨平臺聽眾分析更容易。創作者可以匯入Spotify節目收聽數據和Spotify用戶輪廓數據，與SoundOn節目數據結合，作為統一分析依據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線上體驗行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車業</span></span></strong></p> <p><strong>不做視訊線上賞車，臺灣福斯汽車如何用3D建模和AR數位環境建立</strong></p> <p>臺灣福斯汽車市場行銷總監陳冠宇在一場活動中，揭露福斯如何透過汽車3D建模及Web AR技術，將體驗行銷帶到線上。</p> <p>2021年，福斯新車款上市前一個月，剛好遇到疫情升溫，多項宣傳活動被迫取消，消費者出門賞車意願也大幅降低。不同於用視訊通話帶消費者線上看車的常見做法，福斯建立了汽車3D模型，在官網提供消費者線上賞車，更能提供給電視臺業配節目使用。福斯也設計了一個Web AR數位環境體驗，透過圖像識別技術，消費者可以用手機掃描雜誌、電腦螢幕或路上看到的新車款，來觸發解說動畫，並進入線上賞車體驗，累計觀看數超過200萬次，高達5成消費者進一步造訪官網。（<a href="https://ithome.com.tw/news/151470">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#產品發布提醒功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搶購功能</span></span></strong></p> <p><strong>Twitter將推出產品發布提醒功能，讓平臺上商家能透過手機提醒推播產品發布</strong></p> <p>Twitter表示，有些商家會透過自家平臺發布新產品，但過去一直沒有相關技術支援，因此只是單純以推文形式發布。現在，<a href="https://blog.twitter.com/en_us/topics/product/2022/be-part-of-the-hype--introducing-product-drops">Twitter新增Products Drop功能</a>，使用者看到產品預告推文時，可於推文中點擊提醒按鈕，Twitter就會在產品正式發布時推播提醒。</p> <p>此功能也與其他Twitter購物功能結合，例如設定提醒時也可以從程式內打開產品資訊頁，並點擊相關Hashtag以快速瀏覽相關產品在Twitter上的討論。點擊提醒時，也會跳出外部連結，直接帶消費者到商家網頁。提醒跟購買頁面中間沒有其他頁面跳轉或額外操作，就不會因為開啟Twitter而錯過搶購時機，尤其有益於限時或限量商品發布。</p> <p>聲明中，Twitter也提到Dior、HomeDepot、樂高等知名品牌，將於下次產品發布時使用此功能。</p> <p> <br /><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>1. <a href="https://ads-developers.googleblog.com/2022/06/announcing-v11-of-google-ads-api.html">Google AD推出V11版 API，包含支援更多Performance Max等功能</a></p> <p>2. <a href="https://www.socialmediatoday.com/news/linkedin-launches-new-business-manager-platform-new-b2b-aligned-marketin/625245/">LinkedIn推出免費版Business Dashboard，有基本的行銷專案管理功能</a><br /> </p> <p>資料來源：iThome整理，2022年6月</p> </div></div></div>
2022/6/17 14:57作者郭又華https://www.ithome.com.tw/news/151491
中國駭客攻擊Sophos防火牆漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月間Sophos防火牆發生攻擊活動，<a href="https://www.volexity.com/blog/2022/06/15/driftingcloud-zero-day-sophos-firewall-exploitation-and-an-insidious-breach/" target="_blank">安全廠商Volexity指出</a>，是中國一個專門攻擊獨立運動的國家駭客所為。</p> <p>Volexity 3月初偵測其客戶的Sophos防火牆有異常活動的訊號，分析後發現防火牆遭植入後門程式，且研判是從3月5日開採漏洞進入。攻擊發生將近3周後，即3月25日，<a href="https://www.ithome.com.tw/news/150147" target="_blank">Sophos公布安全公告</a>，公告描述防火牆中的一個編號CVE-2022-1040的驗證繞過漏洞，它位於防火牆軟體用戶入口網站和Web管理介面，可讓攻擊者遠端執行程式碼。漏洞CVSS 3.1風險達9.8。Volexity相信Sophos安全公告指涉的是該公司調查發現的同一漏洞。</p> <p>根據Volexity就被駭客戶的資料分析，駭客是先在Sophos防火牆軟體植入後門webshell，在防火牆上建立起VPN帳號及以此為據點執行中間人攻擊（man-in-the-middle，MITM）。研究人員指出，這個階段攻擊者使用的Behinder框架是中國國家駭客常用，僅不到1KB，4月也被用於開採協同系統<a href="https://www.ithome.com.tw/news/151286" target="_blank">Confluence的漏洞CVE-2022-26134</a>以及<a href="https://www.ithome.com.tw/news/143987" target="_blank">SonicWall的郵件安全閘道漏洞</a>。研究人員指出，駭客手法高明，若非log中很小的值及回應狀態碼，很難發現攻擊者植入的後門。</p> <p>利用Sophos防火牆的MITM攻擊中，駭客修改DNS response以攔截客戶的主機及內容管理網站管理員憑證及session cookie等資料。在第3階段，攻擊者得以利用前階段取得的登入憑證，存取受害者Wordpress管理員頁面，安裝竊取檔案的外掛程式。最後則將該外掛關閉。</p> <p>研究人員研判，這樁攻擊是由一個名為DriftCloud的中國國家駭客集團所為。DriftCloud專門攻擊「五毒/獨」（即臺、藏、疆、蒙、港獨）相關目標，且具有十分完備的攻擊技術及工具。</p> <p>研究人員建議可能被DriftCloud鎖定的目標組織應做好防範，包括部署網路安全監控工具監控流量、確認周界安全硬體（如防火牆）廠商防範攻擊能力、Unix-based網頁伺服器則啟用auditd daemon、確保事件發生時可以事後調查。資安分析人員並可使用YARA rules，以定義並撰寫惡意程式特徵規則。</p> </div></div></div>
2022/6/17 15:49作者林妍溱https://www.ithome.com.tw/news/151493
微軟在6月的Patch Tuesday修補了Follina漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（6/14）展開的Patch Tuesday修補了55個安全漏洞，其中包含<a href="https://www.ithome.com.tw/news/151238" target="_blank">微軟於5月底揭露、已遭到駭客開採的Follina（CVE-2022-30190）漏洞</a>。</p> <p>Follina存在於微軟支援診斷工具（Microsoft Support Diagnostic Tool，MSDT）中，當有應用程式透過URL協定呼叫MSDT進行支援時，就會出現遠端程式攻擊漏洞，成功的開採將允許駭客基於所執行應用程式的權限，來執行任意程式。</p> <p>除了此一零時差攻擊漏洞之外，微軟6月所修補的漏洞中，只有3個被列為重大（Critical）漏洞，它們分別是CVE-2022-30136、CVE-2022-30163與CVE-2022-30139，其CVSS風險評分依序是9.8、8.5與7.5，皆允許駭客執行遠端程式攻擊。</p> <p>其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30136" target="_blank">CVE-2022-30136存在於Windows網路檔案系統</a>，駭客只要透過網路向網路檔案系統（Network File System，NFS）服務執行一個未經身分認證且特製的呼叫，就能觸發遠端程式攻擊漏洞。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30163" target="_blank">CVE-2022-30163則是出現在Windows Hyper-V中</a>，駭客只需在Hyper-V Guest上執行一個特製的應用程式，就能讓Hyper-V Host執行任意程式。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30139" target="_blank">CVE-2022-30139則是出現在Windows輕量級目錄存取協定（Lightweight Directory Access Protocol，LDAP）</a>，雖然它也是一個遠端程式攻擊漏洞，但只有在使用者變更MaxReceiveBuffer LDAP政策預設值之後才會被開採。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/6/14/the-june-2022-security-update-review" target="_blank">趨勢科技ZDI團隊則特別提醒</a>使用者要注意<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30148" target="_blank">CVE-2022-30148漏洞</a>，這是一個位於Windows預期狀態配置（Desired State Configuration，DSC）中的資訊揭露漏洞。ZDI解釋，絕大多數的資訊揭露漏洞都只是簡單地外洩未指定的記憶體內容，但此一漏洞並非如此，駭客將可藉由該漏洞、自日誌文件中恢復明文的使用者名稱與密碼。</p> <p>有鑑於系統管理員經常利用DSC來維護大型企業中的機器配置，很可能會讓駭客取得某些使用者名稱與密碼的組合，對於準備於企業網路中進行橫向移動的駭客而言有莫大的幫助。因此，ZDI團隊呼籲使用DSC的用戶記得修補CVE-2022-30148。</p> </div></div></div>
2022/6/17 16:15作者陳曉莉https://www.ithome.com.tw/news/151494
歐盟加強不實資訊執行準則，納入假帳號、機器人與Deepfake
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_3664）" target="_blank">歐盟執委會（European Commission，EC）於16日出版了更嚴格的「不實資訊執行準則」（Code of Practice on Disinformation）</a>，此一準則是基於2018年的版本強化而來，主要是在歷經了COVID-19與俄羅斯入侵烏克蘭等事件之後，決定擴大所規範的行為，額外納入了以假帳號、機器人或Deepfake來散布不實資訊的惡意行為，並已獲得34個平臺、科技業者與公民組織的遵守承諾。</p> <p>負責價值與透明度的EC委員Věra Jourová表示，此一對抗不實資訊的新準則出現在俄羅斯入侵烏克蘭，並將不實資訊當作武器之際，未來使用者將會有更好的工具來標示這些不實資訊，進而理解他們所看到的內容。</p> <p>先前只有十多個大型平臺或科技業者承諾將遵守不實資訊執行準則，現在EC則鼓勵更多的業者參與，新的準則內容包括將確保不實資訊的散播者不會自廣告中獲利，也將規範以假帳號、機器人或Deepfake來散布不實資訊的行為，提供使用者更好的工具來辨識、理解或標註不實資訊，擴大歐盟的事實查核能力，提供更透明的政治廣告，並將設立透明度中心與工作小組。</p> <p>EC表示，此一強化的準則旨在解決前一版準則的缺點，而且它將成為《數位服務法》（Digital Services Act，DSA）的行為準則，意味著它將從業者主動遵循的準則成為法規的一部分，當大型平臺重複破壞該準則且未能採取適當的緩解措施時，可能會被處以其全球營收最高6%的罰款。</p> <p>簽署新準則的業者包括Google、Meta、Twitter、TikTok及微軟等，這些業者將有6個月的時間來實現其承諾，於明年初提供首份的執行報告。</p> </div></div></div>
2022/6/17 15:11作者陳曉莉https://www.ithome.com.tw/news/151492
全美前一百大醫院中有33家安裝Meta Pixel，把使用者資訊傳給Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://themarkup.org/pixel-hunt/2022/06/16/facebook-is-receiving-sensitive-medical-information-from-hospital-websites" target="_blank">非營利的媒體組織《The Markup》本周揭露</a>，在美國《新聞周刊》（Newsweek）所公布的美國前100大醫院中，有33家的醫院網站安裝了Meta Pixel，並在使用者按下「預約」按鍵之後，把使用者資料傳送給Meta，包括按鍵的文字、醫生的姓名、使用者所查詢的關鍵字，以及使用者的IP位址等。</p> <p><a href="https://www.facebook.com/business/help/742478679120153?id=1205376682832142" target="_blank">Meta Pixel其實是一個供廣告主於自家網站上追蹤Facebook或Instagram廣告效果的分析工具</a>，先前稱為Facebook Pixel，網站只要安裝了Meta Pixel就能辨識造訪者是否為Facebook或Instagram用戶，並追蹤這些使用者在網站上的行為，例如瀏覽哪些網頁或產品，把哪些產品加入購物車，或是購買行為等。</p> <p>不過，《The Markup》發現，Meta Pixel同樣能把使用者於這些網站上的活動資料傳送給Meta，包括使用者的IP在內。</p> <p>根據《The Markup》在2020年的調查，全球熱門網站中，有30%安裝了Meta Pixel，同樣的，在全美一百大醫院的網站上，也有33個網站安裝了Meta Pixel，當中還有7家醫院是把Meta Pixel安裝在受到防火牆保護的病患入口網站上。</p> <p>《The Markup》引用了資料安全專家及前監管人員的看法指出，這些醫院可能已違反《美國健康保險可攜性及責任法案》（Health Insurance Portability and Accountability Act，HIPAA），該法案禁止醫療機構與第三方分享個人健康資訊，除非獲得個人的明確同意。但看起來不管是Meta或相關醫院都未取得使用者的同意。</p> <p>根據《The Markup》的統計，這33家醫院在2020年就有超過2,600萬名病患上門求診，在收到《The Markup》的詢問之後，有12家醫院從預約系統上刪除了Meta Pixel。</p> <p>Meta發言人Dale Hogan則引用該公司的機密健康資料政策，表示當Meta的訊號過濾系統偵測到企業透過Meta的商業工具傳送敏感的健康資料時，當它們被儲存至廣告系統前就會被移除。</p> <p>不過，Meta並未明白表示相關資料是否被移除，但《The Markup》亦無從確認Meta是否利用該資料來執行目標式廣告或訓練推薦演算法。</p> </div></div></div>
2022/6/17 14:20作者陳曉莉https://www.ithome.com.tw/news/151490
贏錯賽局比競爭失敗更快被淘汰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420_1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天，柯達已成為在面對變化時無能的典型代表，並警告大家不要自滿。柯達失敗了，但並非出於你可能認為的原因。它的故事是數位時代最容易被提起的故事之一，也是被人說錯的故事。從面對改變卻失敗的案例中，人們常見的經驗啟示是：要更大膽、擁抱創新、冒更多風險，以贏得賽局；然而，這些啟示可能弊大於利。如果我們能夠理解柯達的失敗會被人們誤解的根本原因，將打開一扇新途徑的大門，制定策略和推動有效的轉型；否則，我們可能走上同樣痛苦的道路。</p> <p>真正的柯達故事，顯示公司成功克服了早期困境，並根據過去應對傳統顛覆的舊規則，做了所有正確的事情：柯達管理技術的轉變，改造了組織，實現了目標，並成為數位沖印領域的領導者；但它掌握數位沖印業務之時，也是沖印業務即將被數位瀏覽取代之際。螢幕取代相紙，智慧手機取代紙本相簿，社群媒體貼文取代沖印相片，然後柯達的世界開始走下坡。</p> <p>那時，柯達向管理者提出的當務之急應該是什麼？不是「你們要如何推動更快的轉型？」而是「你們如何確保轉型方向是正確的？」</p> <p>柯達沒有領會到的，是現代顛覆的新規則，而現代的顛覆是生態系的顛覆。</p> <p>傳統上，與產業相關的顛覆威脅，來自隱形的新進者變得「足夠好」，並且瓜分你核心市場的市佔率，從你那裡分得一杯羹。生態系顛覆的威脅，來自提供幫忙的合作夥伴變得「太好了」，進而破壞你創造價值的基礎，市場大餅整個崩解。</p> <p>柯達真正的啟示：最大的危險在於為了贏而竭盡全力，卻發現自己贏錯賽局。舊的規則仍然重要，但不再是充分的指南，因為二維策略對於三維世界是不夠的。如果你不擴展觀念，對於機會和威脅、對手和夥伴、價值創造的建立和時機的掌握有更宏觀的看法，那麼就會招致失敗。</p> <p><span style="font-size:28px;"><strong>朋友如何變成敵人？趨動生態系顛覆的關鍵</strong></span></p> <p>柯達的故事既震撼，又具有啟發性。它之所以震撼，是因為擊敗柯達的，不是傳統對手，富士沒有在底片上超越柯達；也不是柯達無法掌握的新技術；更不是對顧客洞察力的失敗。柯達的故事之所以具有啟發性，因為顯示採用框框內技術為主的觀點，是如何讓組織忽視關鍵的轉變，而盲點會引發後果。</p> <p>當新技術或活動模式以直接替代的方式，替代另一種技術或活動模式時，就會發生傳統經典的顛覆，所以數位相機取代光學相機，數位印表機取代使用化學藥劑的相片沖印店。這時的變化發生在單一框框裡，並保持在該框框中：相機仍然是相機，印表機仍然是印表機。</p> <p>生態系的顛覆就是截然不同的變化類型。在這裡，一個地方的變化會影響另一個地方：相機開始承擔紙張的角色，因而消除對印表機的需求。這種顛覆不光是替代，而且重新定義價值。我們怎樣才能提高我們預見這種事情即將發生的能力？</p> <p>要了解生態系顛覆的動態，我們的思維必須固定在價值元素的角度上。這讓我們明確地思考一個元素中出現的變化，如何對整個價值結構中的其他元素產生巨大的影響。無論你自己的組織是否參與引起變化的元素，若該元素是你結構的一部分，你都需要積極考慮它對你的潛在影響。</p> <p>當你觀察到的變化是會影響每一個元素時，你必須提問更大的問題：它是如何影響每一個元素的？這對你的計畫有什麼影響？</p> <p>如果這聽起來比你平常的分析更複雜，沒錯，確實如此。但是，你只需思考柯達的倒閉，這可是由表面上「未知的已知」（unknown knowns）驅動的，就能理解若不進行這種分析，付出的悲慘代價是原本可避免的。英特爾的傳奇執行長葛洛夫（Andy Grove）有句名言：「唯偏執狂得以生存」（Only the paranoid survive.）。深入研究你的價值結構，就是把這種偏執轉化為生產力的方法。</p> <p>傳統顛覆和生態系顛覆之間的主要區別在於，威脅的來源不是從對手開始，而是從價值的良性共同創造者開始。要理解這一點，我們需要重新檢討導致價值創造和價值破壞的相互作用。</p> <p>基礎經濟學區分與焦點組織、也就是與你相關的三種參與者：對手、替代者和互補者。</p> <p>● 傳統對手試圖以基本相同的方式贏得同一場賽局。如果你是索尼的PlayStation，微軟的Xbox就是遊戲機市場上你的直接競爭對手。隨著競爭對手的成效提高，你的附加價值就會降低，你的情況會變得更糟。</p> <p>● 傳統替代者也試圖與你在同一場賽局中獲勝，但方式不同。如果你是索尼的PlayStation，潛在的替代品包括智慧型手機和線上遊戲平台，如Steam線上遊戲平台或Google的雲端遊戲串流平台Stadia，他們讓使用者在不需要專門硬體的情況下就能玩電玩遊戲。隨著你的替代對手的成效提高，你的情況會變得更糟。</p> <p>● 相比之下，傳統互補者會提升你的價值。互補者提供自己獨特的產品，這些產品提高你的重點產品的價值。如果你是Sony PlayStation，則互補者包括為你的遊戲機開發的遊戲，以及讓遊戲玩家聚集在一起的線上討論社群。隨著你的互補者進步，他們增加你的產品創造的價值，並使你得到更好的發展。實際上，這就是互補性的正式經濟學定義。</p> <p><span style="color:#800000;"><strong>互補者</strong></span>可以透過三種不同的模式顛覆核心企業。第一種，<strong>他們採取使核心市場商品化的方式</strong>，例如微軟與英特爾聯手締造的「Wintel」聯盟，即微軟Windows作業系統加上英特爾（Intel）處理器的個人電腦標準，促使IBM等組裝電腦商品化。第二種，<strong>他們透過垂直或水平整合進入核心市場，成為直接競爭對手</strong>，例如網飛Netflix進入影片製作的市場。然而，我們在此主要關注的是第三種模式，<strong>即價值反轉</strong>。前兩種模式表現出利潤和市佔率的下降，而第三種模式破壞相關性，這是一種更具殺傷力的威脅，因為失去市場比利潤流失還要慘。</p> <p>要理解生態系的顛覆，我們需要對互補者的看法進行重要的修訂：雖然根據定義，所有互補者的最初貢獻都必定是正面的，但他們持續的發展可能會產生非常不同的道路。有些互補者會隨著改進而繼續提高焦點產品的價值，這代表持續的綜效；其他人則達到一個地步，他們的持續改進不再對焦點產品有所影響，這代表成熟度。對於理解生態系的顛覆，最關鍵是第三個發展過程，這代表<strong>價值反轉，指的是互補者的持續改進超過一定程度後，努力的效果會反轉，並開始破壞焦點產品的價值。</strong>這是你的互補者轉變為替代者的動態過程，此時你的合作夥伴成為你的威脅。</p> <p>對此深刻的發現是，互補者可能變得「太好了」，並開始破壞你的價值創造。此外，這可能在互補者完全沒有改變方向或意圖的情況下發生。在傳統的顛覆中，變得夠好的替代者可能會威脅到你創造價值的技術，讓你的技術被淘汰。在生態系的顛覆中，變得太好的互補者有可能使你創造的價值被淘汰。這是一種截然不同的挑戰。（本文摘錄整理自《生態系競爭策略》前言、第一章，天下雜誌出版提供）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span> </span><span style="color:#3399ff;">生態系競爭策略：重新定義價值結構，在轉型中辨識正確的賽局，掌握策略工具，贏得先機</span></strong></p> <p class="rtecenter"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98.jpg" style="width: 340px;" /></span></strong></p> <p>隆．艾德納（Ron Adner）／著；黃庭敏／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%94%9F%E6%85%8B%E7%B3%BB%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%94%E7%89%B9%E8%8C%85%E6%96%AF%E5%A1%94%E5%85%8B%E5%95%86%E5%AD%B8%E9%99%A2(1).jpg" style="width: 100px;" /></p> <p><a href="https://faculty.tuck.dartmouth.edu/ron-adner/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／達特茅斯塔克商學院</span></span></a></p> <p>隆．艾德納（Ron Adner）</p> <p>達特茅斯塔克商學院（Tuck School of Business at Dartmouth）策略與創業教授，他的研究與教學屢獲殊榮，文章常刊登於《華爾街日報》、《金融時報》、《富比士》雜誌與《哈佛商業評論》，著有《創新拼圖下一步：把靈感變現的關鍵步驟》。他到世界各地巡迴演講，並擔任多家企業顧問，也是策略見解集團（Strategy Insight Group）的創辦人。</p> </div></div></div>
2022/6/17 11:27未署名https://www.ithome.com.tw/article/151474
從升降梯隱喻談軟體架構師職責
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>架構師扮演著連結與轉譯的關鍵角色，特別是在一個各部門講著不同語言、有不同的觀點，甚至是往不同目標努力的大型組織中，架構師尤為重要。許多管理層級只會透過電話往上或向下溝通，無疑加劇了公司層級間的隔閤。最糟的情況是掌握資訊或專業的人沒辦法被賦予做決策的權限，而有權做決策的人卻無法掌握相關資訊。這對企業的IT部門而言，並不是好事，特別是科技已成為大多數企業重要驅動力之一的現今。</p> <p><span style="font-size:28px;"><strong>架構師升降梯</strong></span></p> <p>架構師能填補大型企業裡的這個重要間隙：他們密切地與負責專案的技術人員合作與溝通，也能將技術議題傳達給上層的管理圈，而不漏失訊息的本質。從相反的方向來看也一樣，他們瞭解公司的業務策略，也能將之轉化成技術決策並提供有力的支持。</p> <p>若將組織的層級想像成是建物中的樓層，架構師就能運用我稱之為架構師升降梯的無形結構：他們搭著升降梯上下，在大型企業的決策辦公室與實際打造軟體的引擎室間來回穿梭。</p> <p>把這個類比延伸一下，放到大型船艦的情境下來看，若艦橋的指揮官發現有障礙物，油輪需要轉向迴避的話，他們會讓引擎逆轉，把船舵轉向右舷。但若當時的引擎正以最高速前進，則將發生一場大災難。這也就是為什麼即便是一艘老式的蒸氣船，也會有一條用來複頌船長命令之通訊管線的原因。在大型企業中，架構師扮演的就是這樣的角色！</p> <p><span style="font-size:28px;"><strong>某些機構的樓層特別多</strong></span></p> <p>回到建物的隱喻上，架構師要搭升降梯過去的樓層數量取決於組織的類型。扁平型組織也許完全不需要升降梯——爬段樓梯就夠了。這也意味著在這類組織中，架構師的這種連結上下樓層的角色，其重要性也許小一些：若管理是能敏銳地在細節的需求層次上覺查到技術上的現實，而技術人員也能直接參與高層管理工作的話，則少一點「企業」架構師是有必要的。我們可以說，這種數位公司是開在平房裡頭的，因此不需要升降梯。</p> <p>不過，駐紮在大型組織中的典型IT團隊，似乎有許多樓層蓋在他們的頭上。他們在摩天大樓裡頭工作。樓是如此之高，以致於單一個架構師升降梯可能無法涉及於所有樓層的事務中。在這種情況之下，若一位技術架構師與一位企業架構師互相搭配，並各自負責自己在「那一半」建物中的責任區，還是可行的。在這種情境下，架構師的價值不應該由他們能上到多「高」來衡量，而應該由他們能涉足於多少樓層而定。在大型的組織中，位居頂樓中的那些人可能會犯只看到並評價上半建物中之架構師的錯誤。相對地，許多開發者或技術架構師會將這類「企業」架構師視為是比較沒有用處的，因為他們不寫程式。某些情況下，這可能是真的——這類架構師通常喜歡待在建物上層，他們不太會再熱衷於搭升降梯下來。不過，一位願意下到建物下半層來與技術架構師們分享策略看法的「企業」架構師，就能產生顯著的價值。</p> <p><span style="font-size:28px;"><strong>不是一條單行道</strong></span></p> <p>你總是會遇到一些搭升降梯但一到了樓頂就不會再下來的人。他們太享受頂樓上的好景緻，從而覺得他們不用再努力工作，到髒髒的引擎室來。通常，你只要聽到像「我以前是搞技術」這樣的一句話，就能認出他們。無論如何，升降梯是用來搭著上下跑的。地下室被水淹時，待在頂樓裡吃魚子醬並無法轉變企業IT。</p> <p>搭乘升降梯在組織裡上下跑，對架構師而言，也是一種重要的機制。如此可以取得對決策的各種看法，也能瞭解其在實行階段的各種可能結果。時間長的專案實踐循環無法產生一種好的學習循環，可能還會導致一種「架構師的夢，開發者的夢魘」狀況。在其中，架構師能達成其抽象的理想，但其實作則不切實際。只讓架構師享受往上看的樂趣，總是會變成可怕的只講權威不講責任的反模式。這個模式唯有在架構師必須去面對，或至少觀察到，其決策之結果時，才能打破。要能這樣做，他們必須持續地搭著升降梯上下跑才行。</p> <p><span style="font-size:28px;"><strong>高速升降梯</strong></span></p> <p>現今，即使是傳統企業，企業目標與選用技術間的連結已更為直接。舉例而言，想把上市時間弄得再快些的這種期望，其所形成的競爭壓力已轉化成對彈性雲計算的需求，也就是說，應用需要能橫向擴展，所以需要將之設計成無狀態（stateless）的形式。客戶管道上的目標內容，需要分析性的模型，這需要透過Hadoop叢集（cluster），去攪動大量的數據才能調整，而這反而又傾向於運用本地端硬碟式的存儲，超過共享網路式的存儲。企業所需要的，已轉化成應用或基建（infrastructure）的設計，而這就強調了架構師得要去搭這升降梯。而且，他們愈來愈需要搭高速的升降梯，以跟上企業與IT交織融合的步伐。</p> <p>在傳統的IT公司裡頭，建物中的低樓層可能擠滿了外部顧問，這可讓企業架構師不用動手去處理事情。不過，這樣一來，因為只著重在效率上，而忽略了速度經濟。在技術快速演化的時代中，這樣子的配置，成效必定不佳。以往習於待這類環境中的架構師，必須要擴展其角色，由供應商技術的純消費者，轉化成能主動定義技術的角色。要這樣做，他們需要發展自己的IT世界觀。</p> <p><span style="font-size:28px;"><strong>乘客群像</strong></span></p> <p>若你正如一位成功的架構師，搭著升降梯上上下下，你也許會在升降梯裡遇到一些人。也許你會，比方說，遇到一些業務或非技術的人，這些人已更深地瞭解到IT就業務而言是很重要的。善待這些人，把他們帶上，帶他們到處看看。</p> <p>加入他們的對話——這能讓你更瞭解業務需求目標。也許，他們甚至能帶你到從未去過的更高樓層。</p> <p>你也許也會遇上從頂樓搭電梯下來，只想要用一些行話來推銷自己想法的人。我們不管這些人叫架構師。只搭電梯但不出去的人，通常被稱為梯弟（lift boys）。他們從頂樓的忽視中獲益，所追求的是一種不用與實際技術接觸的「技術」職涯。透過讓他們對引擎室所發生的事感興趣，你也許能夠改變其中的一些人。若你沒成功，則大家最好就維持電梯裡的那種心照不宣的沈默，看看每一塊天花板磚的細節，以避免眼神的接觸。把你的「升降梯高論（elevator pitch）」留給與資深高管共乘一部升降梯時發表，而不用說給僅是傳訊息的人聽。</p> <p><span style="font-size:28px;"><strong>搭升降梯的危險</strong></span></p> <p>你可能會認為雇主會很感謝架構師搭著升降梯上上下下。畢竟他們為著企業的IT轉型，使其在數位世界中更有競爭力而提供了顯著的價值。令人訝異地，這樣的架構師也會遭遇到阻礙。實際上，頂樓與引擎室間可能已相當習慣於斷開彼此的連結：公司領導者會覺得數位化轉型進行得很好，而引擎室的人卻享受著在沒有許多監督下，嘗試新技術的自由。頂樓與引擎室這樣地斷開連結，就像一艘巡航艦，全速往冰山撞去：等到公司領導人瞭解到底發生了什麼事時，為時已晚。（摘錄整理自《軟體架構師全方位提升指南》第一章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(1).jpg" style="width: 340px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源 / 碁峰資訊出版</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>軟體架構師全方位提升指南：數位轉型企業中架構師角色的新定義</strong></span></p> <p>Gregor Hohpe／著；陳健文／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B%E5%B8%AB_.jpg" style="width: 200px;" /></p> <p><a href="https://www.enterpriseintegrationpatterns.com/gregor.html" target="_blank"><span style="color:#696969;"><span style="font-size: 14px;">圖片來源／Gregor Hohpe</span></span></a></p> <p><strong>Gregor Hohpe</strong></p> <p>Gregor Hohpe憑藉著自身在企業IT、企業架構與雲端服務的豐富經驗，為技術主管們提供組織與技術平台方面的諮詢服務。他曾擔任過新加坡政府的顧問、Allianz SE的首席架構師以及Google Cloud CTO辦公室的技術主管。Gregor是《Enterprise Integration Patterns》一書的共同作者。</p> </div></div></div>
2022/6/17 11:34未署名https://www.ithome.com.tw/article/151482
三星電子錢包上線，還可儲存數位鑰匙、身份證件、登機證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/introducing-samsung-wallet-an-easy-to-use-secure-platform-that-holds-everything-your-digital-life-needs" target="_blank">三星昨（16）日宣布電子錢包平臺Samsung Wallet上線</a>，整合支付、數位鑰匙、登機證及身份證件等功能，讓用戶以Galaxy手機即可完成生活中所有大小事。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0617-Samsung%20Wallet_US_Menu-600.png" style="text-align: center; width: 447px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> <p>如同蘋果Apple Wallet、<a href="https://www.ithome.com.tw/news/150881" target="_blank">Google Wallet</a>，Samsung Wallet也強調不只是支付用的工具，除了信用卡號，它還允許儲存數位金鑰、會員卡、顧客忠誠卡。Wallet內建Samsung Pass應用程式可儲存密碼，讓使用者快速登入網站服務或App，無需輸入密碼。它甚至可將用戶在不同加密貨幣交易平臺的資產顯示於單一畫面。今年下半Samsung Wallet也預計會再增加官方核發的卡片，如學生證或駕駛執照。上述服務僅支援和三星合作的特定卡片或App、網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0616-Samsung%20Wallet_US_Digital-Asset-500.png" style="width: 334px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p>此外，Samsung Wallet也可儲存門卡、汽車金鑰或登機證。透過整合三星物聯網軟、硬體SmartThings以及支援的安全門鎖，用戶利用Galaxy手機即可進出大門。汽車方面，三星取得BMW、Genesis和現代汽車合作，可讓Samsung Wallet開啟特定車款車門或發動引擎。此外，現在用戶也可將大韓航空的登機證存在Samsung Wallet中，以加速登機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0616-Samsung%20Wallet_US_Boarding-Pass-500.jpg" style="width: 297px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> <p>為確保儲存在Galaxy手機中的證件及資料，Wallet將結合三星手機的加密晶片Samsung Knox提供指紋辨識驗證和加密。配合Knox安全晶片，重要資料皆會以嵌入式Secure Element加密儲存在資料隔離區。</p> <p>Samsung Wallet周四已在英、美、法、德、義大利及西班牙等6個市場推出，這些地區的Galaxy手機用戶開啟Samsung Pay或Samsung Pass App，按照提示更新即可開啟Wallet服務。用戶Galaxy手機需執行Android 9以上版本，並啟動Samsung Pay。</p> </div></div></div>
2022/6/17 10:50作者林妍溱https://www.ithome.com.tw/news/151484
微軟駁斥Patch Tuesday將因Autopatch而截止的謠言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周澄清，Patch Tuesday並不會因Autopatch推出而終止。</p> <p><a href="https://www.ithome.com.tw/news/150352" target="_blank">微軟4月宣布</a>針對大型企業客戶，推出Windows及Office軟體的Autopatch服務。Autopatch主要是為了簡化大型企業眾多裝置軟體更新的繁重工作，啟動Autopatch後，它會自動管理Windows 10和Windows 11的驅動程式、App和安全更新，使人力設定工作降至最低。微軟稱，Autopatch目的在讓IT人力和時間用於更有價值的工作，使「每月第2個星期二成為變成普通的星期二。」另一個可能引發人誤解的是Autopatch自己有一個預設更新部署時程，遇到有重大漏洞時則會加速部署，這些時程都是由微軟決定，目前企業也不能調整日期。</p> <p>當時<a href="https://www.bankinfosecurity.com/patch-tuesday-to-end-microsoft-announces-windows-autopatch-a-18885" target="_blank">部份媒體報導</a>，<a href="https://techmonitor.ai/technology/software/microsoft-autopatch-patch-tuesday" target="_blank">這意謂著將不再會有Patch Tuesday</a>。</p> <p><a href="https://www.securityweek.com/microsoft-dismisses-false-reports-about-end-patch-tuesday" target="_blank">SecurityWeek昨（16）日引述微軟報導</a>，這項服務只是作為部份企業客戶的選擇加入（opt-in）服務，不會影響其他人。</p> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-autopatch-faq/ba-p/3272081" target="_blank">根據微軟4月底更新的Autopatch FAQ</a>，每月安全及品質更新，將持續於每月第2個星期二（即Update Tuesday或俗稱的Patch Tuesday）提供。企業或組織可以像過去一樣，使用Endpoint Manager、Windows Update for Business和Windows Server Update Services（WSUS）來管理與部署更新。</p> <p>微軟指出，Autopatch也是使用同樣的工具，但運用微軟掛保證的最佳典範（best practices）為想要更自動化部署的企業提供另類選擇。</p> <p>Windows Autopatch將以免費工具方式提供給Windows Enterprise E3及以上的用戶，預計7月正式上線，<a href="https://www.ithome.com.tw/news/151290" target="_blank">微軟已在本月初釋出公開預覽測試版</a>。</p> </div></div></div>
2022/6/17 09:30作者林妍溱https://www.ithome.com.tw/news/151479
微軟推出個人版Defender，同時支援Windows、macOS、Android與iPhone裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/06/16/making-the-world-a-safer-place-with-microsoft-defender-for-individuals/" target="_blank">微軟在16日發表了Microsoft Defender for individuals個人安全工具</a>，它將成為Microsoft 365 Personal（個人版）與Microsoft 365 Family（家用版）的內建功能，允許用戶透過單一的儀表板來管理不同裝置的安全性，涵蓋Windows、macOS、Android與iPhone裝置。</p> <p>Microsoft Defender提供持續的防毒與防網釣保護，用戶自單一的儀表板就能管理及檢視不同裝置的安全性，也能辨識及檢視系統上諸如Norton或McAfee等既有的安全保護，並把對Windows的支援延伸到macOS、Android與iPhone等裝置上，用戶還可接收即時的安全通知、解決策略或是專家提示。</p> <p>負責安全、管理與身分辨識的微軟副總裁Vasu Jakkal表示，為了保障資料的隱私與裝置的安全性，人們經常使用不同的安全產品，並個別進行安全監控與裝置管理，此一分散特性讓使用者的安全管理難以跟上日益增生的網路威脅，使得微軟決定推出Microsoft Defender for individuals。</p> <p>Jakkal說明，此一個人版的Microsoft Defender奠基於微軟的Microsoft Defender for Endpoint技術，其可靠性與大型企業所仰賴的一致。</p> <p>Microsoft 365個人版與家用版訂閱用戶可免費使用此一安全功能，只要至微軟所建立的下載網頁（Microsoft Defender）就能下載支援不同平臺的Microsoft Defender程式。Microsoft 365個人版的月費為6.99美元（219元新臺幣），家用版月費為9.99美元（320元新臺幣），後者現有一個月的免費試用期限。</p> </div></div></div>
2022/6/17 09:50作者陳曉莉https://www.ithome.com.tw/news/151480
請給我們真正的企業混合辦公防疫包
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣經歷幾波COVID-19疫情的爆發，地方政府過去會對居家隔離民眾提供防疫包、居家關懷包，裡面有泡麵、零食等防疫物資，這幾個月來因為確診人數激增，使得民眾使用快篩試劑的需求大增，於是，後續在快篩試劑恢復正常供貨量能之後，防疫包也開始包含這類物品，有不少企業也在這段期間，會針對有相關需要的員工提供快篩試劑，協助他們以此判斷自己感染的狀況。</p> <p>然而，身為一般的工作者，若遇到自己不幸確診需居家隔離辦公時，有了這些防疫包只能解決一部分問題，如何在處於輕症的狀態下，在家維持可繼續工作與同事溝通、協同作業的能力，至今恐怕還是很多人不時會面臨的問題。</p> <p>首先是自己工作的電腦設備能否就緒，有些人所操作的電腦可能與其他家人共用，相關的VPN網路設定，以及需要添購的各種軟體與雲端服務，這段期間可能有同事幫忙，但實際上，自己想辦法或找親友協助的狀況可能更多，而為此添購軟硬體所衍生的各種費用，我猜想應該多數人可能也是自行吸收，為此大開方便之門，主動幫員工解決遠端辦公各種疑難雜症的企業應該並不多見。</p> <p>為此，這幾年來，每當遇到IT廠商向媒體宣傳解決方案支援在家辦公時，我總是忍不住想問：有多少企業會去採購企業級SD-WAN設備，並將其送到每個員工家中？SASE在資安界是熱門資安產品！但有多少企業會去採購讓員工使用？若企業對這些廠商主推的遠端或分支辦公方案仍感陌生而卻步，那麼，來看看大家普遍認為企業應添購或建置的產品或服務，像是雲端視訊會議、VDI/桌面虛擬化應用、各種商用軟體或SaaS服務，仍是兩樣風景。原本在用這些解決方案的企業可能多買一些授權，但平時不認為自己有需求的公司，應該還是設法拼湊，找堪用、不花錢的解決方案，一路撐到現在。</p> <p>基於這樣的窘境，或許我們難以苛責有些企業員工不得不變成影子IT（Shadow IT），隨著企業網路邊界不斷消弭，若再加上員工為本身工作環境自力救濟採取的各種手段，可能因不夠周延而出現駭客與惡意軟體可乘之機，可能要考慮是否能提供一個更完備的集中作業環境，若必須採用分散式協同作業環境，還是必須設法強化員工電腦、資料、網路等層面的安全性與可靠性。</p> <p>在混合辦公當道的局面下，或許企業能夠提供給員工多大的助力，會是未來求職留人的重大關鍵，但目前僅看到大家在討論這個議題，相關廠商也看好商機，卻未見企業對此具體表態。畢竟，現在身處的這個後疫情時代，加上全球氣候變遷、烏克蘭戰爭等多重因素的影響之下，企業與個人所面臨的經濟危機更大，多數可能都會採取保守因應的態度，使得許多問題的處理都會因為物價飆漲、物資短缺，而變得更為棘手。</p> <p>無論如何，大家若要度過這段困難的時局，單靠精簡各種用度是不足的，還是要設法繼續謀求各種解決方案，還是希望各大IT廠商能夠持續推出各種優惠方案，而非只是在疫情前半段提供，而且，還要能夠以簡化的方式讓使用者可以快速完成設置，發揮IT技術創新的價值。</p> <p>說到這裡，我看到網路設備大廠Cisco在近期年度用戶大會期間，提出一些不同的作法。身為這幾年以來大力推動混合辦公議題的廠商之一，他們表示：「But Hybrid Work doesn’t work…yet」，強調可提供最完整的解決方案，來守護這樣的工作環境，之後也透過一支影片呈現「Hybrid Work in a box」的概念，如果有更多IT廠商與企業能夠將這種形式的「防疫包」更直接送到員工家中使用，應該能緩解大家協作溝通的部分窘境。</p> <p>這個形式的產品概念其實頗有意思，他們將標示為Connect、Collaborate的紙箱，送到員工家中，裡面裝了思科的Wi-Fi基地臺、視訊會議耳機、桌上型網路攝影機（Desktop Webcam），然後再由使用者自行安裝在家中環境，看來相當便利。可惜的是，我們始終未看到網路設備廠商或電信商以此形式，將相關的軟硬體解決方案提供給企業選購，更方便員工取得、部署於家中。希望未來這樣的產品交付方式可以成真，企業提供的防疫包不只照顧大家的身體，也能提供便利、安全的辦公空間，單靠電腦和VPN是不夠的。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B1%85%E5%AE%B6%E9%9A%94%E9%9B%A2">居家隔離</a></div><div class="field-item odd"><a href="/tags/%E6%B7%B7%E5%90%88%E8%BE%A6%E5%85%AC">混合辦公</a></div><div class="field-item even"><a href="/tags/%E5%9C%A8%E5%AE%B6%E4%B8%8A%E7%8F%AD">在家上班</a></div><div class="field-item odd"><a href="/tags/%E9%98%B2%E7%96%AB%E5%8C%85">防疫包</a></div></div></div>
2022/6/17 10:14作者李宗翰https://www.ithome.com.tw/voice/151483
微軟收購網路威脅分析業者Miburo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/" target="_blank">微軟本周宣布</a>收購網路威脅分析及偵測服務業者Miburo，以強化防範國家駭客或激進主義份子的網路威脅。</p> <p><a href="https://miburo.com/" target="_blank">Miburo</a>專門偵測極端主義份子的網路威脅，其團隊可分析16多種語言資訊並提供客戶跨文化及地緣政治的了解，其客戶涵括學界、政府及私人機構，提供警方、軍隊、情報單位及網路安全專家工具，防範社群網路、網路或恐怖主義威脅。微軟表示，Miburo已經成為辨識外國資訊戰的專家。</p> <p class="rtecenter"><img alt="" src="https://substackcdn.com/image/fetch/w_1456,c_limit,f_webp,q_auto:good,fl_progressive:steep/https%3A%2F%2Fbucketeer-e05bbc84-baa3-437e-9518-adb32be77984.s3.amazonaws.com%2Fpublic%2Fimages%2F1b14ea83-9eee-4577-b7e2-232e96e9d211_1161x652.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Miburo</span></span></p> <p>在收購後，Miburo將整合進微軟客戶安全與信賴事業群，並和微軟威脅情報中心、威脅情境分析團隊、資料科學家等合作。微軟企業副總裁Tom Burt表示，這項收購將可協助擴大威脅偵測和分析的能力，以了解外國份子如何利用資訊作戰及其他攻擊手段達成目的，並對抗新式攻擊。</p> <p>這項收購是微軟最新安全相關的收購。單單去年微軟已先後收購<a href="https://www.ithome.com.tw/news/145602" target="_blank">RiskIQ</a>、ReFirm Labs及<a href="https://www.ithome.com.tw/news/138401" target="_blank">CyberX</a>。</p> <p>本收購也有助於微軟爭取美國政府的資安預算。美國向來擔心外國政府主導的網路威脅。近年美國時常指稱，俄國或其他國家透過臉書等社群網路散布假訊息、影響美國總統大選、或是擔心伊朗、中國、北韓等國家駭客的間諜活動，今年安全專家及美國FBI等國安機構更警告烏俄戰事後，來自俄國國家駭客發動的網路攻擊。<a href="https://www.ithome.com.tw/news/150238" target="_blank">今年美國政府並號召</a>業者協助強化美國政府的網路安全。</p> <p>此外，美國國防部的《聯合作戰人員雲端能力》（Joint Warfighter Cloud Capability，JWCC）合約<a href="https://www.ithome.com.tw/news/145492" target="_blank">也預計在12月開標</a>。微軟、AWS、Google及甲骨文將共同角逐這將近100億美元的雲端標案。</p> </div></div></div>
2022/6/16 21:44作者林妍溱https://www.ithome.com.tw/news/151477
美警示中國駭客攻擊電信業態勢，16個網路設備已知漏洞最常被鎖定
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_zhong_guo_hai_ke_zui_chang_suo_ding_dian_xin_ye_lou_dong_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對國家級駭客組織網路攻擊不斷，美國政府為了因應相關威脅，持續公布這些駭客最常利用的漏洞，要求並呼籲當地組織與企業盡速修補這些已知漏洞，避免遭受同樣的攻擊手法，近日對中國駭客攻擊電信業者與網路供應商攻擊鎖定的設備漏洞清單，他們予以公開，呼籲使用設備的業者須盡速修補，由於臺美關係密切，因此這也是國內相關業者必須關注與採取行動的資安情報。</p> <h3><strong>網路設備已知漏洞修補持續被忽視，導致中國駭客經常利用</strong></h3> <p>相關消息最初來自美國網路安全及基礎設施安全局（CISA），他們在6月7日發布AA22-158A警告，說明中國政府支持的駭客組織，持續利用已知漏洞，企圖攻擊電信業者與網路服務供應商。</p> <p>而在最近這次的聯合網路安全公告，由美國國安局（NSA）、網路安全及基礎設施安全局、聯邦調查局（FBI）共同發布，公告內容顯示，中國駭客經常尚未修補的已知漏洞，來危害網路裝置，像是小型企業及家用路由器，或是NAS裝置，並將這些設備充當命令與控制（C2）流量的附加接入點，或是充當對其他實體設備網路入侵的中繼站。</p> <p>電信與網路服務供應業者必須了解：這些網路裝置在過去幾年來出現的重大漏洞，使這些基礎設備變成易受攻擊的目標，也讓駭客有機可乘，對方能夠定期利用與存取資安漏洞。然而，實際上，這些網路裝置卻經常被防禦者忽視，忘記定期更新相關漏洞修補。</p> <p>根據NSA、CISA、FBI自2020年以來的發現，由中國政府支持的駭客大規模鎖定已知漏洞來攻擊，由於這些都是已經公開並發布修補的已知漏洞，因此攻擊者從坊間就可找到攻擊程式，以入侵企業使用的VPN服務或對外的應用程式，也就是說，攻擊者只要在受害組織更新其系統之前採取行動，而無需使用駭客自身的惡意程式，即可快速利用公開確定的安全漏洞。</p> <p>而這些中國駭客也會利用多種手法來混淆視聽，以避免被追蹤，像是透過被入侵的伺服器來當作跳板，並會不斷發展與調整策略來繞過防禦。最值得注意的是，他們經常混合使用將自身開發的工具，以及公開可用的工具，特別是利用網路環境中原有的工具，藉由融入網路的噪音或正常活動，來掩蓋其活動。</p> <p>在這次公布的名單中，近年中國駭客攻擊電信業與網路服務供應商時，最常鎖定並利用的漏洞，主要是10家網路設備商的16個安全漏洞，這些漏洞現身的時間從2018年到2021年不等，CISA強調，做好基本修補工作就能預防普遍駭客入侵。</p> <p>特別的是，CISA也說明中國駭客的攻擊流程，首先，他們使用開源工具進行偵察與漏洞掃描，像是透過RouterSploit、RouterScan來識別製造商、型號與已知漏洞。</p> <p>一旦入侵電信業與網路服務供應商並獲得初步立足點，並識別RADIUS伺服器後，將從中獲取存取SQL資料庫的憑證，並利用SQL命令將憑證轉儲（Dump）。之後使用這些憑證與自動化腳本工具，透過SSH對這些路由器進行身分驗證，並儲存了執行命令的輸出，以蒐集路由器當前配置等資訊，並嘗試竊取相關資料，再運用Network Boundary Bridging、Automated Exfiltration: Traffic Duplication的攻擊技術手法，將流量從網路中轉移到攻擊者控制的基礎設施。完成配置更改後，攻擊者將修改或刪除本地Log紀錄檔案，以混淆其存在並規避檢測。</p> <p>此外，中國駭客還會利用PuTTY Link（Plink）等命令列工具，在內部主機與租用的VPS虛擬主機之間建立SSH通道，並檢查受害設備與網際網路連接的情況。</p> <h3><span style="color: rgb(0, 153, 255);"><strong>中國駭客針對網路設備最常利用的16大已知漏洞</strong></span></h3> <table border="0" cellpadding="0" cellspacing="0" style="width: 453px;" width="453"><tbody><tr height="22"><td height="22" style="height: 22px; width: 83px;"><strong>產品業者</strong></td> <td style="width: 143px;"><strong>CVE漏洞編號</strong></td> <td style="width: 228px;"><strong>漏洞型態</strong></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Cisco</span></td> <td><span style="color:#8B4513;">CVE-2018-0171</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Cisco</span></td> <td><span style="color:#8B4513;">CVE-2019-15271</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Cisco</span></td> <td><span style="color:#8B4513;">CVE-2019-1652</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Citrix</span></td> <td><span style="color:#8B4513;">CVE-2019-19781</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">DrayTek</span></td> <td><span style="color:#8B4513;">CVE-2020-8515</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">D-Link</span></td> <td><span style="color:#8B4513;">CVE-2019-16920</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Fortinet</span></td> <td><span style="color:#8B4513;">CVE-2018-13382</span></td> <td><span style="color:#8B4513;">身分驗證繞過</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">MikroTik</span></td> <td><span style="color:#8B4513;">CVE-2018-14847</span></td> <td><span style="color:#8B4513;">身分驗證繞過</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Netgear</span></td> <td><span style="color:#8B4513;">CVE-2017-6862</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Pulse</span></td> <td><span style="color:#8B4513;">CVE-2019-11510</span></td> <td><span style="color:#8B4513;">身分驗證繞過</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Pulse</span></td> <td><span style="color:#8B4513;">CVE-2021-22893</span></td> <td><span style="color:#8B4513;">遠端程式碼執行（RCE）</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">QNAP</span></td> <td><span style="color:#8B4513;">CVE-2019-7192</span></td> <td><span style="color:#8B4513;">特權提升</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">QNAP</span></td> <td><span style="color:#8B4513;">CVE-2019-7193</span></td> <td><span style="color:#8B4513;">遠端注入</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">QNAP</span></td> <td><span style="color:#8B4513;">CVE-2019-7194</span></td> <td><span style="color:#8B4513;">XML路由迂迴攻擊</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">QNAP</span></td> <td><span style="color:#8B4513;">CVE-2019-7195</span></td> <td><span style="color:#8B4513;">XML路由迂迴攻擊</span></td> </tr><tr height="22"><td height="22" style="height: 22px;"><span style="color:#8B4513;">Zyxel</span></td> <td><span style="color:#8B4513;">CVE-2020-29583</span></td> <td><span style="color:#8B4513;">身分驗證繞過</span></td> </tr><tr height="22"><td colspan="3" height="22" style="height: 22px;"><span style="color:#8B4513;"> </span><span style="color:#B22222;">資料來源：CISA，iThome整理，2022年6月</span></td> </tr></tbody></table></div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2">中國駭客</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E8%A8%AD%E5%82%99%E6%BC%8F%E6%B4%9E">網路設備漏洞</a></div><div class="field-item even"><a href="/tags/%E9%9B%BB%E4%BF%A1%E6%A5%AD">電信業</a></div><div class="field-item odd"><a href="/tags/%E7%B6%B2%E8%B7%AF%E4%BE%9B%E6%87%89%E5%95%86">網路供應商</a></div><div class="field-item even"><a href="/tags/cisa">CISA</a></div></div></div>
2022/6/16 18:58作者羅正漢https://www.ithome.com.tw/tech/151476
【資安日報】2022年6月16日，軟體開發測試平臺Travis CI恐曝露數千個雲端服務憑證、Splunk漏洞恐被攻擊…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，大部分都與應用系統的漏洞有關。其中又以與持續整合（CI）服務平臺Travis CI有關的弱點，相當引起研究人員關注，原因是相關的防護機制弱點竟能曝露用戶的事件記錄（Log）檔案，而能讓他人挖掘受害組織的多個雲端服務帳密與Token。</p> <p>網頁應用程式框架Telerik UI的漏洞，在今年5月成為駭客用來發動攻擊的對象，駭客將其用於在受害組織植入Cobalt Strike或挖礦軟體。值得注意的是，駭客運用的竟是在2019年被揭露及修補的漏洞CVE-2019-18935，這也代表有很多組織可能尚未修補，而讓攻擊者有機可乘。</p> <p>有不少企業採用的大數據分析軟體Splunk，近期也修補CVSS風險評分達9.0分的漏洞CVE-2022-32158，影響Splunk Enterprise的用戶，該公司推出9.0版予以修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/"><span style="color: rgb(0, 0, 0);">駭客利用Telerik UI網頁應用程式框架漏洞部署惡意軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/telerik_attack_chain.png" style="width: 300px; float: right;" /></a>網頁應用程式框架的舊漏洞，最近又有駭客拿出來利用，而引起研究人員的關注。資安業者Sophos指出，他們在今年5月初發現有人針對網頁應用程式框架Telerik UI下手，利用3年前被揭露的漏洞CVE-2019-18935（CVSS風險評分為9.8分）發動攻擊，於受害系統上植入Cobalt Strike與挖礦軟體。</p> <p>此漏洞與Telerik UI for ASP.NET AJAX元件有關，攻擊者利用RadAsyncUpload功能的.NET反序列化漏洞，並搭配CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰，就有機會觸發CVE-2019-18935，進而遠端執行程式。</p> <p>由於CVE-2019-18935已在2020年與2021年，被美國政府列入最常遭到利用的資安漏洞清單，研究人員呼籲組織應儘速修補Telerik UI的相關漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html"><span style="color: rgb(0, 0, 0);">非洲大型連鎖超市Shoprite遭駭客勒索</span></a></strong></h3> <p>近年來開發中國家逐步數位化，遭到網路攻擊的情況也有數起事故。非洲大型連鎖超市Shoprite於6月10日證實，該公司疑似遭到駭客入侵，部分客戶姓名與身分證字號外洩，曾在史瓦帝尼、納米比亞，以及尚比亞等國家匯款的客戶受到波及，但外洩資料不含銀行帳號或其他金融資訊。該公司已發送簡訊通知相關客戶，並呼籲不要在電話、簡訊、電子郵件等管道進行溝通時，隨意透露個資。</p> <p>而<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/">根據資安新聞網站Bleeping Computer的報導</a>，這起事故疑似勒索軟體駭客組織RansomHouse所為，該組織也在加密通訊軟體Telegram的頻道指出，Shoprite竟使用明文存放客戶資料，該組織與受害公司接洽後，對方只是變更密碼了事。RansomHouse宣稱不只取得對方的客戶資料，亦包含其他內部資料，假若Shoprite沒有做出符合他們期待的回應，駭客將會將竊得的資料出售。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.aquasec.com/travis-ci-security"><span style="color: rgb(0, 0, 0);">軟體開發測試平臺Travis CI恐曝露數千個GitHub、AWS、Docker憑證</span></a></strong></h3> <p>持續整合（CI）服務平臺存在的弱點，很可能導致用戶的雲端服務帳號外洩。資安業者Aqua Security指出，他們發現免費版本的Travis CI在防護措施上的缺失，進而使得用戶的事件記錄（Log）檔案曝光，危及GitHub、AWS、Docker Hub等雲端服務的登入帳密或是Token，超過7.7億筆事件記錄曝光。</p> <p>研究人員發現，透過2個Travis CI的API呼叫，並搭配列舉的命令，他們可取得大量明碼的事件記錄，結果他們從2013年至今年5月，總共截取7.74億筆資料，研究人員以其中1%進行分析，挖掘出7.3萬個帳密或是Token，他們也將相關結果通報給前述的雲端業者，對方已立即回應此事並採取因應措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/critical-code-execution-vulnerability-patched-splunk-enterprise?"><span style="color: rgb(0, 0, 0);">Splunk重大漏洞恐被攻擊者用於執行任意程式碼</span></a></strong></h3> <p>Splunk於6月14日發布資安通告，指出Splunk Enterprise存在漏洞CVE-2022-32158，這項漏洞與Splunk Enterprise的部署伺服器（deployment server）有關，攻擊者一旦加以利用，可入侵其中一個Universal Forwarder端點後，在其他與相同部署伺服器註冊的Universal Forwarder端點上執行任意程式碼，CVSS風險評分為9.0分。Splunk Cloud Platform（SCP）平臺因不使用部署伺服器元件，該平臺的用戶不受影響。該公司呼籲Splunk Enterprise用戶，升級9.0版軟體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://support.citrix.com/article/CTX460016/citrix-application-delivery-management-security-bulletin-for-cve202227511-and-cve202227512"><span style="color: rgb(0, 0, 0);">Citrix ADM重大漏洞可讓攻擊者重設管理員密碼</span></a></strong></h3> <p>IT業者Citrix近期針對旗下的應用程式交付的管理平臺Application Delivery Management（ADM），修補CVE-2022-27511、CVE-2022-27512兩項漏洞，攻擊者一旦利用，就有可能透過未經身分驗證的使用者，遠端中斷系統的運作，並在管理者重新啟動ADM後，重設管理員的密碼，進而讓攻擊者能透過SSH連線，並使用預設密碼存取管理者帳號存取ADM。這些漏洞同時會影響伺服器與用戶端軟體，該公司發布13.1-21.53版與13.0-85.19版予以修補，呼籲用戶應儘速升級新版軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://onapsis.com/blog/sap-security-patch-day-june-2022-improper-access-control-can-compromise-your-systems"><span style="color: rgb(0, 0, 0);">SAP修補嚴重的NetWeaver漏洞</span></a></strong></h3> <p>SAP於6月14日發布6月份例行修補，當中緩解了17個漏洞，其中包含了數個重大漏洞，其中像是針對用戶端軟體SAP Business Client的更新，導入了Chromium 101.0.4951.54，修補之前版本82個弱點，其中包含了CVSS評分達10分的漏洞，亦有部分已出現攻擊行動。</p> <p>再者，本次SAP也修補了SAPRouter存取控制不當的漏洞CVE-2022-27668，該漏洞CVSS風險評分為8.6分，影響NetWeaver與ABAP平臺；另一個與存取控制有關的漏洞，影響NetWeaver AS Java，CVSS評分為8.2分，有可能導致系統損毀。SAP指出，所幸這些漏洞尚未出現遭到利用的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-secure-email-bug-can-let-attackers-bypass-authentication/"><span style="color: rgb(0, 0, 0);">思科修補電子郵件防護系統可被用於繞過身分驗證的漏洞</span></a></strong></h3> <p>思科於6月15日發布資安通告，指出旗下的郵件安全設備Email Security Appliance（ESA），以及管控郵件與網路的Secure Email and Web Manager兩款產品，存在漏洞CVE-2022-20798，一旦攻擊者利用這項漏洞，就有可能在登入介面輸入特定內容，進而繞過外部的身分驗證機制，存取受害系統的網頁管理介面，CVSS風險評分為9.8分，該公司發布新版Async軟體元件予以修補。</p> <p>思科指出，僅有啟用外部身分驗證，並搭配LDAP的用戶才會受到波及，採用預設配置而沒有開啟外部身分驗證機制的用戶不受影響。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.microsoft.com/blog/2022/06/14/microsoft-to-acquire-miburo/"><span style="color: rgb(0, 0, 0);">微軟併購外國網路威脅情資業者Miburo</span></a></strong></h3> <p>為了防範國家駭客與激進主義份子的網路威脅，微軟於6月14日宣布買下網路威脅分析及偵測服務業者Miburo，並計畫在完成併購後，將Miburo整合進微軟客戶安全與信賴事業群，並與該公司的威脅情報中心、威脅情境分析團隊，以及資料科學家等部門合作。外界認為，此項併購案也可能有助於微軟爭取美國政府的資安預算。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.sonarsource.com/zimbra-mail-stealing-clear-text-credentials-via-memcache-injection/"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra漏洞恐讓攻擊者竊取用戶明文密碼</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151461">【2022年6月15日】大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器攻擊手法Hertzbleed</a></p> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> </div></div></div>
2022/6/16 17:21作者周峻佑https://www.ithome.com.tw/news/151475
臺灣福斯汽車如何用3D建模和AR數位環境，將體驗行銷搬到線上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣福斯汽車市場行銷總監陳冠宇在一場活動中，揭露福斯如何因應疫情，透過汽車3D建模及Web AR技術，將體驗行銷帶到線上。</p> <p>陳冠宇解釋，行銷汽車過往非常仰賴與消費者線下互動。從銷售顧問向消費者介紹車款，到消費者試駕，都在線下發生。然而，2021時新車款上市前一個月，剛好遇到疫情升溫，不論是環島汽車巡迴活動及預計千人出席的正式發表會，都被迫取消，消費者出門賞車意願也大幅降低。</p> <p>「我們需要策劃一個不需要實體汽車的廣告活動。」陳冠宇說，第一步就是建立精細的3D模型，除了可以放大欣賞外觀細節，內裝的駕駛座甚至排檔桿都能重現。建模後，不僅可以放到網站上讓消費者線上賞車，更能提供給電視臺業配節目介紹用。傳統電視臺業配節目做法，要送一臺實體車進電視臺，不過有了3D模型，就算沒有實體車，主播也可以在虛擬攝影棚中介紹車款，甚至能利用多媒體互動效果，讓節目添增更多資訊及趣味。</p> <p>福斯也設計了一個Web AR數位環境體驗，透過圖像識別技術，消費者用手機瀏覽福斯網頁時，可以掃描雜誌、電腦螢幕或路上看到的新車款，來觸發解說動畫，並進入線上賞車體驗。疫情下消費者出門賞車意願低迷，各家汽車品牌也紛紛推出線上賞車服務。不過，大都是由銷售顧問透過Line等通訊軟體，以視訊的形式帶著消費者看實體車。此種做法成本和技術門檻較低，且即時通訊有可能受到網路連線品質、經銷處營業時間等因素影響。陳冠宇指出，福斯的線上賞車模式，不僅時間較為彈性，還可以自主與3D模型互動，甚至模擬上路情況和安全偵測系統。此外，消費者可以反複觀看說明動畫及相關貼文，不用擔心銷售員壓力。</p> <p>此線上賞車模式獲得相當規模的迴響。陳冠宇說，Web AR賞車體驗有200萬次累計觀看數，並有高達5成消費者進一步造訪臺灣福斯汽車官網。此車款上市時銷售額破紀錄，也讓福斯沿用這些技術，作為未來數位行銷的工具。</p> <p> </p> </div></div></div>
2022/6/16 16:08作者郭又華https://www.ithome.com.tw/news/151470
思科督促用戶修補可繞過電子郵件安全裝置身分認證的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）15日<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-esa-auth-bypass-66kEcxQD" target="_blank">督促用戶修補一個位於Cisco ESA及Cisco Secure Email and Web Manager裝置的安全漏洞</a>，此一編號為CVE-2022-20798的漏洞將允許駭客繞過外部的身分認證，其CVSS風險評分高達9.8。</p> <p class="rtecenter"><a href="http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sma-esa-auth-bypass-66kEcxQD" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0616-CVE-2022-20798-Cisco.png" style="width: 500px;" /></a></p> <p>Cisco ESA為Cisco Email Security Appliances，是思科的電子郵件安全裝置，Cisco Secure Email and Web Manager則是用來集中管理郵件及網路的安全裝置，不管是虛擬版或硬體版都受到該漏洞的影響。</p> <p>根據思科的解釋，此一漏洞出現在上述裝置利用輕量級目錄存取協定（Lightweight Directory Access Protocol，LDAP）來執行外部認證時，採用了不適當的認證檢查。駭客只要於裝置的登入介面輸入特定內容，就能開採該漏洞，並在未經身分認證的情況下進入受害裝置的網頁管理介面。思科已藉由更新AsyncOS軟體來修補CVE-2022-20798。</p> <p>雖然它的風險評風高達9.8，表示它是個既容易開採又危險的漏洞，但幸好外部認證的預設值是關閉的，除非使用者啟用了外部認證，同時採用LDAP作為認證協定才會受到影響。</p> <p>若無法即時修補漏洞，思科也提供了暫時補救措施，用戶可於外部身分認證伺服器上關閉匿名綁定，只是此一行為必須在處理外部身分認證的伺服器上進行，而不應影響Cisco Secure裝置所提供的外部身分認證功能。</p> </div></div></div>
2022/6/16 14:34作者陳曉莉https://www.ithome.com.tw/news/151467
Travis CI安全缺失使免費版Log曝光，危及GitHub、AWS、Docker登入憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.aquasec.com/travis-ci-security" target="_blank">安全廠商Aqua Security發現</a>，持續整合服務平臺Travis CI免費版的防護缺失，致用戶Log資料曝光，並危及存取GitHub、AWS和Docker Hub等雲端服務的登入憑證。而這已是該業者近年來第三次安全事件。</p> <p>Aqua Security下的Team Nautilus近日測試發現，Travis CI API可使攻擊者存取免費版本用戶的log，超過7.7億筆log因此曝光，從中可以很輕易取得用戶存取其他雲端服務如GitHub、AWS、Docker Hub、PostgreSQL的權杖（user token）、密碼或其他登入憑證。這些機密資料可讓攻擊者發動大規模攻擊，或是在雲端橫向移動。</p> <p>這至少是Travis CI近年來第三次見報的安全疏漏。前兩次分別在2015年及<a href="https://edoverflow.com/2019/ci-knew-there-would-be-bugs-here/" target="_blank">2019年</a>。2015年該公司公告其公開API遭分散式攻擊，洩露GitHub驗證權杖。2019年一群研究人員則展示可取得Travis CI在內雲端服務業者的用戶憑證。但這些漏洞似乎從未修補。</p> <p>Aqua Security的研究中，研究人員發現2個API call讓他們得以取得明碼的log ，再搭配列舉指令，取得大量log。他們一共取得7.74億筆log，時間從2013年1月到今年5月。研究人員以其中1%、約800萬個log進行測試，成功找到7.3萬筆權杖、密碼或其他憑證，包括知名雲端服務如GitHub存取權杖、AWS金鑰、MySQL、PostgreSQL憑證、Docker Hub密碼等資訊。</p> <p>研究人員也利用從中找到的GitHub OAuth權杖、AWS S3 bucket金鑰，模擬出在雲端橫向移動，完成目標AWS S3 bucket洩密的攻擊。其他可能攻擊還包括竊取原始碼、駭入程式碼儲存庫完成軟體供應鏈。</p> <p>或許有些資料已被用於其他攻擊中。<a href="https://www.ithome.com.tw/news/150462" target="_blank">4月間GitHub對用戶警告</a>，由於Heroku及Travis-CI的OAuth使用者權杖外洩，導致平臺上某些npm私有儲存庫被駭客存取。</p> <p>研究人員指出，Travis CI的確有採取混淆手法（obfuscation）包括憑證資訊，也提供防資料外洩的建議，但他們結合API、存取特定受限制的log及防堵不周的缺失，而得以取得用戶資料。研究人員很快向Travis CI通報，但得到的回應是，這不是漏洞，而是設計原意如此（by design）。</p> <p>研究人員同時也將發現告知上述相關雲端業者，幾乎所有業者都立即回應，一些廠商啟動金鑰的輪換（rotate）、另一些則證實至少一半曝光的用戶憑證是有效的。還有業者提供了抓漏獎金。</p> <p>針對開發人員，安全廠商建議採用安全防護措施，包括建立金鑰、權杖等憑證的輪換政策、金鑰及權杖皆使用最小權限、定期掃瞄CI/CD環境的安全設定、也不要將密碼或權杖、金鑰資料明文儲存在log中。</p> </div></div></div>
2022/6/16 13:31作者林妍溱https://www.ithome.com.tw/news/151466
非洲最大連鎖超市Shoprite遭勒索軟體RansomHouse攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非洲最大連鎖超市<a href="https://www.shopriteholdings.co.za/articles/Newsroom/2022/possible-data-compromise.html" target="_blank">Shoprite Group在6月10日傳出資料外洩事件</a>，指出有部分客戶的姓名與身分證字號外洩了，而本周<a href="https://www.bleepingcomputer.com/news/security/extortion-gang-ransoms-shoprite-largest-supermarket-chain-in-africa/" target="_blank">《BleepingComputer》</a>則指出，Shoprite已然出現在勒索軟體集團RansomHouse的受害名單上。</p> <p>Shoprite為非洲最大的連鎖超市，在非洲擁有近3,000家門市，員工人數接近15萬名。</p> <p>至於RansomHouse為去年底現身的新興勒索軟體集團，<a href="https://cyberint.com/blog/research/2022-cyber-attacks-trends/" target="_blank">根據資安業者Cyberint的分析</a>，RansomHouse有別於傳統的勒索軟體，它的攻擊行動並未包含加密受害者系統上的檔案，而只是入侵受害組織，竊取機密資料，再以外洩資料向受害者勒索。</p> <p>Cyberint指出，有鑑於愈來愈多的組織都知道要備份系統以防範勒索軟體的攻擊，使得駭客愈來愈注重以所竊取的資料作為勒索的籌碼，也是近來的勒索軟體趨勢，而RansomHouse則直接跳過加密步驟。</p> <p>根據《BleepingComputer》的報導，RansomHouse不僅在建立於洋蔥網路上的官網將Shoprite列為被害者，也在官方的Telegram頻道上批評Shoprite的資安措施，例如Shoprite直接以明文存放客戶資料，且完全缺乏保護，而在RansomHouse企圖與Shoprite接洽時，Shoprite只是變更了密碼，以為這樣就解決了所有事。</p> <p>RansomHouse表示，該集團不僅取得了Shoprite的客戶資料，也取得了該公司其它資料，倘若Shoprite不改變態度，那麼該集團將會公布部分資料並出售大多數的資料。</p> <p>Shoprite目前仍在調查資料外洩規模，僅說曾在史瓦帝尼、納米比亞及尚比亞等國家進行匯款的客戶受到影響，外洩的只有客戶的名稱與身分證字號，並未包含金融資訊或銀行帳號，已透過簡訊通知所有受到波及的客戶，並提醒客戶不要在電話、簡訊或電子郵件中隨意交出自己的個人資訊。</p> </div></div></div>
2022/6/16 12:33作者陳曉莉https://www.ithome.com.tw/news/151465
駭客還在利用3年前的Telerik UI漏洞以植入Cobalt Strike與挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.sophos.com/en-us/2022/06/15/telerik-ui-exploitation-leads-to-cryptominer-cobalt-strike-infections/" target="_blank">資安業者Sophos本周警告</a>，今年5月初觀察到針對CVE-2019-18935的新一波攻擊，而這是.NET開發工具Telerik在2019年所修補的遠端程式攻擊漏洞。</p> <p>CVE-2019-18935位於Telerik UI for ASP.NET AJAX，這是一套用來建置網頁應用程式的元件及主題，內含一些可用來呈現網頁外觀的可程式化物件，然而，該工具中的RadAsyncUpload功能存在著.NET反序列化漏洞，若駭客藉由更古老的CVE-2017-11317或CVE-2017-11357漏洞取得加密金鑰時，就能用來開採CVE-2019-18935，並自遠端執行程式，其CVSS風險評分高達9.8。</p> <p>事實上，駭客一直沒有放棄開採CVE-2019-18935，<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-117a" target="_blank">它在2020年與2021年都被美國列為</a>最常遭到駭客利用的安全漏洞之一，只是Sophos在今年5月又發現針對該漏洞的新一波攻擊，並用來於受害系統上植入Cobalt Strike與挖礦程式。</p> <p>新一波的攻擊使用了概念性驗證開採程式，並以滲透測試工具Cobalt Strike作為酬載，由Cobalt Strike負責與位於捷克的命令暨控制（C&C）伺服器通訊，再執行PowerShell命令以下載及執行其它惡意程式。</p> <p>在Sophos所攔截到的攻擊中，駭客企圖載入門羅幣的挖礦程式XMRig Miner，此外，Sophos也發現駭客於受害系統上進行橫向移動，打算藉由Active Directory的群組原則物件（GPO）建立長駐能力，其攻擊手法類似在2020年開採同一漏洞、植入XMRig Miner挖礦程式，並用多種技術來建立常駐能力的Blue Mockingbird駭客集團。</p> <p>針對駭客攻擊這類存在多年的安全漏洞，Sophos建議最基本的安全措施就是即時修補連網的產品與元件，也許這些網路應用程式是在很久以前由承包商所建置，但坊間可找到CVE-2019-18935漏洞的掃描工具，也呼籲組織不要小看那些舊有的漏洞，因為它們對駭客來說可能很有用處。</p> </div></div></div>
2022/6/16 11:10作者陳曉莉https://www.ithome.com.tw/news/151464
歐盟法院撤銷高通因買通蘋果而被懲處的近10億歐元罰款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）在2018年指稱高通（Qualcomm）與蘋果簽署協議，要求蘋果的iPhone與iPad獨家採用由高通生產的LTE晶片，違反歐盟的反托拉斯法令，<a href="https://www.ithome.com.tw/news/120911" target="_blank">並判罰高通9.97億歐元</a>。在高通提出上訴後，歐盟普通法院（General Court）周三（6/15）以EC程序違規及未能證明高通違法，<a href="https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-06/cp220099en.pdf" target="_blank">而撤銷EC的決定</a>，等於替高通省下近10億歐元的罰款。</p> <p>當時EC發現，高通與蘋果在2011年簽署合作協議，承諾若蘋果於iPhone與iPad中獨家採用高通晶片組，就會支付高額款項予蘋果，雙方並在2013年將協議延長至2016年底，期間高通總計支付了數十億美元予蘋果。EC認為高通的行為剝奪了消費者與其它業者的選擇與創新，危害市場競爭，違反了歐盟的反托拉斯法令，而祭出近10億歐元的罰款。</p> <p>不過，歐盟普通法院卻在審理高通的上訴後發現，EC未能充分記錄所有與第三方訪談的內容，而且有爭議的部分僅限於LTE晶片組，但反對聲明卻額外涉及通用行動通訊系統（UMTS）晶片組，再加上EC並未給予高通足夠的反駁機會，侵犯了高通的辯護權。</p> <p>除了程序上的問題之外，法院也認為EC並未衡量全面狀況就判定高通濫用市場主導地位。法院指出，就算高通提供給蘋果的獎勵，降低了蘋果向競爭廠商採購LTE晶片組的動機，但事實上，根據蘋果對iPhone的要求，市場上缺乏在技術上可與高通晶片組相比的替代性產品，某些iPad型號的情況也是如此。</p> <p>因此，法院認為EC未能考量到所有事實，難以支持高通違法的分析，因而完全撤銷EC在2018年的決定。EC則仍在考慮是否就此案提出上訴。</p> </div></div></div>
2022/6/16 09:57作者陳曉莉https://www.ithome.com.tw/news/151462
微軟正式終止支援，IE畫下句點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/144519" target="_blank">一如微軟的規畫</a>及呼籲，在推出26年後，<a href="https://blogs.windows.com/windowsexperience/2022/06/15/internet-explorer-11-has-retired-and-is-officially-out-of-support-what-you-need-to-know/" target="_blank">微軟正式在昨天（6/15）終止IE大部分平臺上的支援</a>。而想使用IE連網的用戶都會被導引以Edge開啟。</p> <p>隨著IE的終止支援，也象徵舊的網際網路時代告終。微軟於1995年8月16日推出第1版IE，挑戰當時瀏覽器霸主Netscape，1990年代微軟靠著搭售IE與Windows，將IE推向高峰。最高時期IE市占率曾來到95%。<a href="https://www.ithome.com.tw/news/6430" target="_blank">1997年美國司法部及多州檢察總長聯合控告</a>微軟搭售策略涉嫌壟斷，最後判決Windows不得強制綑綁IE。在這過程中，2000年微軟還一度身陷被分割的官司，雖然微軟最後逃過了一分為二的命運，但是IE也在那時由盛轉衰。少了Windows強制搭售的支持，效能低落及大量安全漏洞的IE市占率逐步下滑，2000年代逐漸被後起瀏覽器Google Chrome、Mozilla Firefox超越。</p> <p>2013年微軟推出IE11後即不再推出新版，<a href="https://www.ithome.com.tw/news/95587" target="_blank">2015年微軟以Project Spartan另起爐灶</a>。Project Spartan的正式名稱之後定名為Microsoft Edge。不過早期的Edge仍使用舊引擎MSHTML，效能依舊不彰，使用者也不買單。微軟最後改使用主流的Chromium，並在2020年推出現有Chromium-based Edge。</p> <p>在這幾年間，微軟不斷呼籲企業和消費者改用效能和安全性都更好的Edge，並在2021年5月宣布，在2022年6月15日結束對IE的支援。</p> <p>從今天起的未來幾個月內，微軟將持續引導用戶轉向Edge。除了Windows 10 LTSC以及Server上的IE11外，大部分版本Windows上的IE微軟都不再支援，用戶仍然可以在工具列或開始選單中看見IE圖示，但如果他們點選連結，會啟動的是Edge瀏覽器。</p> <p>用戶啟動IE時會看到提示畫面，告知IE的書籤（我的最愛）、密碼、瀏覽紀錄、cookies及其他瀏覽器資料都會自動搬到Edge，使用者可以之後在Edge的「設定」修改或管理。</p> <p>微軟表示，微軟之後會釋出Windows 更新，將IE圖示拿掉，永遠關閉IE。不過微軟還未說明時間點。</p> <p>一般消費者應該不受IE關閉的影響。受影響主要是以較古早技術如ActiveX開發，而無法在新式瀏覽器使用的網站。這些網站可以利用Edge的IE mode開啟執行。因此，IE雖然形式上不在了，仍然會以IE mode形式長存。</p> </div></div></div>
2022/6/16 10:08作者林妍溱https://www.ithome.com.tw/news/151463
【資安日報】2022年6月15日，大規模HTTPS流量DDoS攻擊鎖定Cloudflare用戶下手、研究人員揭露處理器…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用HTTPS流量的DDoS攻擊行動再度出現。雲端服務業者Cloudflare近期偵測到一起大規模的DDoS攻擊事故，並指出攻擊流量來源是從雲端的虛擬機器（VM）與伺服器主機而來，在雲端部署相關設施的組織應特別留意，VM與伺服器主機是否成為駭客用於發動DDoS攻擊的工具。</p> <p>在針對處理器的攻擊手法裡，先前研究人員發現推測執行漏洞，主要是鎖定處理器加速運算的機制而來，而在今天的資安新聞裡，有研究團隊指出用於管控處理器功耗的動態電壓與時脈調整（DVFS）機制，可被用於攻擊Intel與AMD處理器的電腦。</p> <p>微軟於6月14日發布本月例行修補（Patch Tuesday），其中最引起注意的是對於零時差漏洞CVE-2022-30190（亦稱Follina）的修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/26m-rps-ddos/"><span style="color: rgb(0, 0, 0);">大規模HTTPS流量DDoS攻擊鎖定Cloudflare免費用戶下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-image1-7.png" style="width: 300px; float: right;" /></a>駭客不只發動DDoS攻擊，還使用了HTTPS加密流量而企圖掩蓋來源。雲端服務業者Cloudflare於6月上旬，攔阻每秒發出2千6百萬次請求（RPS）的大規模DDoS攻擊行動，目標是使用該公司免費服務的網站，攻擊者運用由5,067臺設備組成的殭屍網路，每臺設備每秒最多可產生5,200次請求。</p> <p>該公司研判，駭客濫用雲端服務上的虛擬機器（VM）與伺服器主機來發動攻擊。而他們也曾在今年4月攔截類似的攻擊行動，並指出這種使用HTTPS流量的DDoS攻擊手法，駭客會使用大量的垃圾請求，來耗盡目標伺服器的處理器與記憶體資源。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.confiant.com/how-seaflower-%E8%97%8F%E6%B5%B7%E8%8A%B1-installs-backdoors-in-ios-android-web3-wallets-to-steal-your-seed-phrase-d25f0ccdffce"><span style="color: rgb(0, 0, 0);">行動裝置後門程式SeaFlower竊取加密貨幣錢包的通關密語</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SeaFlower-MetaMask_20220615-1603-26872.png" style="width: 300px; float: right;" /></a>近期出現鎖定安卓行動裝置偷取加密貨幣資產的惡意程式，但也有駭客對iPhone用戶下手。資安業者Cofiant於2022年3月，發現針對Web3使用者而來的SeaFlower攻擊行動，這些駭客建置冒牌的加密貨幣錢包網站，提供帶有惡意程式碼的加密錢包App，進而從安卓與iPhone手機竊取加密錢包的通關密語（Seed Words），將受害者的Coinbase、MetaMask、TokenPocket，以及imToken的錢包洗劫一空。</p> <p>而駭客如何引誘被害人前往冒牌網站，下載假的加密錢包App？答案是這些駭客購買了百度的搜尋引擎最佳化（SEO）廣告，研究人員在百度搜尋引擎輸入download metamask ios並執行搜尋，結果第一個項目就是SeaFlower駭客所架設的網站。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/confluence-servers-hacked-to-deploy-avoslocker-cerber2021-ransomware/"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞也被勒索軟體駭客利用</span></a></strong></h3> <p>在6月初獲報並修補的Atlassian Confluence漏洞CVE-2022-26134，之前傳出有多個駭客組織用於挖礦攻擊，現在也被勒索軟體駭客盯上。根據資安業者Prodaft、資安研究團隊MalwareHunterTeam，以及微軟的威脅情報團隊，發現勒索軟體AvosLocker、Cerber2021（亦稱CerberImposter）正在利用上述漏洞發動攻擊。</p> <p>Prodaft指出，AvosLocker鎖定尚未修補的Confluence伺服器，發動大規模攻擊，至少在美國、歐洲、澳洲已出現受害組織；MalwareHunterTeam與微軟則發現Cerber2021的攻擊行動，且駭客疑似同時加密了Confluence伺服器的配置檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/lyceum-net-dns-backdoor"><span style="color: rgb(0, 0, 0);">伊朗駭客利用DNS後門程式對能源組織下手</span></a></strong></h3> <p>伊朗駭客去年多次鎖定關鍵基礎設施（CI）下手的情況，引起歐美高度關注，最近又有新的攻擊行動。資安業者Zscaler揭露駭客組織Lycaeum（亦稱Hexane、Spilrin）近期的攻擊行動，該組織以開源軟體DIG.net為基礎，以.NET打造了新的後門程式，進而發動DNS挾持攻擊，鎖定中東能源組織而來。</p> <p>駭客透過含有伊朗軍事新聞報導的Word檔案作為誘餌，吸引受害者開啟，一旦開啟檔案，攻擊者就會在受害電腦植入DNS後門程式，並執行後續的流量追蹤，或是從C2接收發動攻擊的命令。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.hertzbleed.com/"><span style="color: rgb(0, 0, 0);">研究人員揭露Intel、AMD處理器旁路攻擊手法Hertzbleed</span></a></strong></h3> <p>最近幾年筆電的續航力顯著成長，當中處理器的功耗管理機制扮演重要的角色，但這類機制也可能成為駭客發動攻擊的管道。德州大學奧斯汀分校、伊利諾大學厄巴納-香檳分校（UIUC）、華盛頓大學的研究人員聯手，發現了名為Hertzbleed的旁路攻擊手法，一旦攻擊者利用這項漏洞，就能藉由觀察Intel與AMD處理器的動態電壓與時脈調整（DVFS）機制中，所控制的處理器頻率，來竊取完整的加密金鑰。</p> <p>DVFS是時下處理器採用的電源管理功能，能在電腦以高負載運作時避免溫度過高而故障，並在低負載運作時降低功耗。</p> <p>對此，Intel證實旗下全部處理器產品確實存在上述漏洞，並以CVE-2022-24436進行列管，AMD則指出旗下採用Zen 2與Zen 3微架構的產品曝險，包含多個系列的Ryzen產品線，以及第1代與第2代EPYC伺服器處理器等，並將該漏洞登錄為CVE-2022-23823。兩家公司皆提供開發人員緩解措施，但研究人員指出，兩家公司都不打算發布相關修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theregister.com/2022/06/14/security_azure_patch/"><span style="color: rgb(0, 0, 0);">資安業者指控微軟對Azure Synapse Analytics漏洞回應不夠積極</span></a></strong></h3> <p>最近有2家資安業者不約而同指出，微軟對於資料分析服務Azure Synapse Analytics的漏洞處理不甚積極。</p> <p>資安業者Orca Security揭露名為SynLapse的漏洞（CVE-2022-29972）攻擊者一旦利用此漏洞，就有可能繞過資料分析服務的租戶分離機制，來控制其他使用者的工作區。但研究人員指出，他們在今年1月就向微軟通報，該公司從3月開始發布修補程式，卻都修補不全，直到5月底才確實完成修補。</p> <p>無獨有偶，漏洞管理解決方案業者Tenable也指出，他們在今年3月向微軟通報了2個漏洞，其中一個允許攻擊者利用Spark VM的脈絡（context），將提升權限為root；另一個則是可讓攻擊者用竄改Spark池裡所有節點的hosts檔案，然而，該公司指控，微軟僅默默在89天後，修補了權限提升漏洞，另一個迄今尚未修補，也並未對客戶告知這些漏洞的嚴重性。Tenable表示，他們並非少數被微軟輕忽的通報者，而此舉將導致Azure Synapse Analytics用戶不知道已經曝險，是相當不負責任的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2022-patch-tuesday-fixes-1-zero-day-55-flaws/"><span style="color: rgb(0, 0, 0);">微軟修補MSDT零時差漏洞</span></a></strong></h3> <p>微軟於6月14日發布每月例行修補（Patch Tuesday），當中總共修補了55個漏洞，其中有1個是零時差漏洞，那就是5月底引起許多研究人員關注的MSDT漏洞CVE-2022-30190（亦稱Follina），微軟針對工作站與伺服器版本Windows發布修補程式，電腦安裝相關更新程式後，將會防堵駭客執行PowerShell注入的攻擊行動。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris"><span style="color: rgb(0, 0, 0);">美國國防廠商傳出打算買下網路間諜公司NSO Group</span></a></strong></h3> <p>惡名昭彰的以色列網路間諜公司NSO Group，先前因多個國家政府施壓，而打算將間諜軟體Pegasus相關部門出售，近期竟傳出有美國國防業者打算併購該公司的消息。根據新聞網站Intelligence Online、衛報、華盛頓郵報、Haaretz的報導，美國知名國防承包商L3Harris有意買下NSO Group，主要是為了該公司間諜軟體的核心技術。</p> <p>衛報指出，這項併購案需要經過美國與以色列政府同意，前者將NSO Group列為制裁對象，後者由國防部進行監管，要通過這兩關並不容易。Haaretz指出，此事美國聯邦調查局（FBI）與中央情報局（CIA）都知情；對此一名美國白宮官員向衛報透露，此交易很可能對美國政府帶來嚴重的情報收集問題。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.se.com/ww/en/about-us/newsroom/news/press-releases/schneider-electric-and-claroty-launch-%27cybersecurity-solutions-for-buildings%27-reducing-cyber-and-asset-risks-for-smart-buildings-62a32e83abbdca1a52279ba4"><span style="color: rgb(0, 0, 0);">施耐德電機與資安業者Claroty聯手，推出智慧建築資安解決方案</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.forescout.com/blog/r4iot-when-ransomware-meets-the-internet-of-things/"><span style="color: rgb(0, 0, 0);">研究人員揭露同時針對IT與OT環境的勒索軟體攻擊手法</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151433">【2022年6月14日】俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Syslogk於受害主機載入後門程式</a></p> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151388">【2022年6月10日】惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用</a></p> </div></div></div>
2022/6/15 18:34作者周峻佑https://www.ithome.com.tw/news/151461
臺資安業者揭露國內AD防護現況，盤點AD攻擊路徑與管理者帳號是當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於Active Directory（AD）的防護，向來是企業內網安全基礎，前兩年的Zerologon漏洞，更是引發各界對AD安全的重視。</p> <p>什麼是AD？企業員工在使用的公司電腦開機後，通常會被要求輸入網域、帳號及密碼，才能存取網路公用資料夾，或是列印文件，並且會受到群組原則（Group Policy）的約束，每3個月必須更換一次密碼，這些機制的背後，其實都與AD網域的帳號認證有關。</p> <p>然而，長年以來，企業似乎已逐漸疏於AD的防護，這方面的現象，並非只有國外資安廠商提出警告，最近臺灣資安業者奧義智慧與戴夫寇爾聯手，近期不僅合作推出這方面的風險評估解決方案，特別的是，他們公布了國內企業在AD防護的現況，說明這方面的挑戰及威脅現況，呼籲企業須重新審視此核心面向的安全議題。</p> <h3><strong>AD防護不周！竟有77%企業可從DMZ區直接存取AD</strong></h3> <p>事實上，針對AD網域控制器的安全風險，近年國內外都有不少業者論及此議題，包括端點安全業者、身分安全業者，以及資安弱點管理業者，這也突顯AD安全備受各方重視。同時，我們在APT威脅框架MITRE ATT&CK中，也可找到透過AD的相關攻擊技術手法，<a href="https://attack.mitre.org/techniques/enterprise/">包含Golden Ticket（T1558.001）、Pass the Ticket（T1550.003）等</a>。</p> <p>對於現今威脅態勢，戴夫寇爾執行長翁浩正指出，企業固然知道AD網域控制器很重要，因為透過它可以連到內部很多主機，是資安關鍵核心，但換個角度，攻擊者也明白AD很關鍵，因為只要拿下它，自然也就容易控制其他主機。在他們的紅隊演練專案經驗中，每次專案也必將AD納入演練範圍，從這一點可看出AD的重要性。</p> <p>不過，就企業IT日常維運工作而言，AD管理有其複雜性，需在安全與便利間取得平衡，因此，他們希望能幫助企業降低這方面的安全管理難度。</p> <p>通常大家都信任AD不會遭滲透，但真的如此嗎？答案並不然，根據戴夫寇爾的相關演練數據，公開說明他們發現企業亟需改善的問題，翁浩正也呼籲臺灣企業正視AD防護現況。</p> <p>第一，歷年紅隊在時限內成功控制AD網域的比例為72%，換言之，國內每4家企業組織演練，就有約3家可被紅隊拿下AD。而紅隊攻下AD所需時間，平均是11.5天，其中最長是20天，最短則為3天。</p> <p>第二，紅隊從DMZ就可直接存取AD伺服器的比例為77%。由於位於DMZ的網站大多須對外提供服務，屬於高風險主機，此區的系統若直接與AD介接，將帶來高風險。對此翁浩正感到非常訝異，並希望國內企業重視並改善。</p> <p>上述狀況有多嚴重？他用一個場景來舉例說明。很多人都到過銀行辦理存提款或繳費等程序，企業網路的DMZ區，好比是對外服務顧客的櫃檯，而AD好比銀行金庫，如果DMZ可直通AD，這就像銀行櫃檯正後方，就是未上鎖、大門敞開的保險庫，因此，企業應該避免這樣的情形發生。</p> <p>在演練過程中，戴夫寇爾發現企業AD的安全管理及防護，均處於不足的狀態。</p> <p>那麼，該如何做好防護？翁浩正說，微軟在最佳安全實務作法上，提供名為「<a href="https://docs.microsoft.com/zh-tw/security/compass/privileged-access-access-model">Enterprise Access Model</a>」的建議，這是企業可參考的重要資源，但要注意，如何在安全與便利間取得平衡，而且，相關措施導入有一定難度，因此，企業可以再透過紅隊演練進行驗證，確認自身安全措施是否有效落實。</p> <p>翁浩正表示，以紅隊演練的特性而言，並非僅針對「點」進行滲透測試，而是從整個「面」去出發，想辦法盤點各種攻擊路徑，降低攻擊面被利用的可能性，一次進行所有的演練，等到下次再尋找其他路徑，並且透過逐年演練，讓公司的資訊安全體質提升。</p> <p>不過，企業很難有足夠資源、時間持續推動這些工作，因此翁浩正強調，就全球資安趨勢而言，決定防護優先順序是關鍵，企業需要先盤點關鍵風險，而AD就是重要環節，也是核心戰場，企業可以先將精力放在妥善保護AD這件事，使它難被駭客或惡意軟體利用，相對而言，就可以大幅提升企業安全等級。</p> <p>換言之，若能做好AD伺服器攻擊路徑的盤點，有助於快速釐清可能被駭客利用的主機，以及使用者帳號，早一步找出風險，降低被攻擊成功的機率，也降低AD管理的困難度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AD%E7%B6%B2%E5%9F%9F%E7%99%BB%E5%85%A5.jpg" style="width: 570px;" /></p> <blockquote><p>基本上，Active Directory（AD）網域服務是保護與管理企業網路的重要基礎架構，透過這個集中管理身分與存取機制，企業員工平時使用公司電腦，一開始需要輸入帳號密碼，才能存取公司網路伺服器、列印文件等，就是要經過AD伺服器的網路身分驗證。</p> </blockquote> <h3><strong>關注最新AD提權漏洞，並要強化網管帳號的盤點</strong></h3> <p>實務上，企業管理AD時，通常會面臨哪些資安挑戰？奧義智慧科技創辦人邱銘彰表示，企業需瞭解最新安全問題，以及常用的緩解策略，同時也應熟悉企業內部的AD安全態勢，特別是盤點已知的特權帳號。</p> <p>邱銘彰表示，若管理得宜，AD可以很安全，但AD的管理複雜度高，若IT人員相關專業知識不足，加上對資安威脅認識不夠，可能造成很多不良實作。</p> <p>事實上，這幾年來，AD面臨多個嚴重安全問題，卻未受到普遍重視。例如，去年11月，微軟公布兩個Windows AD權限擴張漏洞，分別是<a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/sam-name-impersonation/ba-p/3042699">CVE-2021-42278，以及CVE-2021-42287</a>，他們呼籲用戶快修補。</p> <p>值得關注的是，這兩個漏洞若被串連利用後果相當嚴重，而且相隔一個月後，專門針對Kerberos攻擊的Rubeus工具，已支援此漏洞組合的攻擊。然而，去年底還有Log4j漏洞修補的消息，更是引發軒然大波，這也導致上述網域提高權限的漏洞影響，可能被輕忽。</p> <p>這兩個AD漏洞有多嚴重？邱銘彰解釋，簡單來說，在第一個漏洞之下，用戶若建立電腦帳號（Computer Account），可將之改名與網域控制器名稱相同的DC1，也就是說，實際電腦帳號應為DC1$，但可以將JohnPC$改為DC1，然後用這個假冒帳號，向網域控制器申請一張授權票證（TGT），接著再利用第二個漏洞，先將DC1名稱再次修改或刪除，讓它變得不存在，在某些特殊條件下，此時將可觸發一個驗證方法，使驗證流程自動幫DC1補上$記號，導致假冒成真，進而完成提權。邱銘彰指出，這是系統架構設計上的問題，修補相當困難，對此微軟在緩解上也增加一些限制，雖然使得這種狀況不易發生，但終究非根治之道。</p> <p>另一AD安全問題，是今年2月揭露的KrbRelayUp漏洞。正如前幾年多人討論Kerberos Relay的漏洞，這次KrbRelayUp以兩個漏洞組合形成新的攻擊，攻擊者可將任意網域帳號在本地電腦提權，目前無解。</p> <p>對此，微軟建議下列幾個策略，包括：使用LDAP Channel Binding、LDAP Singing，並建議使用Azure AD。邱銘彰認為，這是本質上的設計缺陷遭到濫用，然而，對於企業而言，必須正視AD的資安問題，無法逃避。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%BE%9EAD%E6%94%BB%E6%93%8A%E8%B7%AF%E5%BE%91%E6%A8%A1%E6%93%AC%E8%A9%95%E4%BC%B0%E7%9C%8B%E5%9C%8B%E5%85%A7%E7%B6%B2%E7%AB%99%E5%B8%B3%E8%99%9F%E6%8E%8C%E6%8F%A1%E6%85%8B%E5%8B%A2.jpg" style="width: 486px;" /></p> <blockquote><p>從AD攻擊路徑模擬評估看國內網站帳號掌握態勢。根據奧義智慧分析過的案例，當中統計了AD管理具模且管理良好的客戶，其使用者帳號數量在7千至6萬之間，但這些企業內部往往都會發現許多客戶不知道的AD Tier0帳號。統計結果顯示，這些企業平均認為只有3個AD管理者帳號，但評估後發現實際是5.8倍，也就是平均17個以上的管理者帳號。圖片來源／奧義智慧</p> </blockquote> <p>關注最新AD安全問題之餘，企業也應持續瞭解與掌握自身的AD安全態勢。</p> <p>為了盤點AD攻擊路徑，企業除了可以透過紅隊演練，找出實際風險，奧義智慧也期望用科學化方法，做到AD攻擊路徑模擬評估，當中亦包含提權管道的盤點，不過，他們發現，國內企業在盤點AD管理員帳號的工作上，存在一大隱憂。</p> <p>具體而言，奧義智慧提出的方法，是透過蒐集EDR端點與AD帳號資訊，加上專家知識庫的評估，進而計算每個帳號間控制權轉移的機率，以及透過專家知識庫計算攻擊入侵點，以及計算攻擊成本找出最短路徑，藉此預測所有可能攻擊路徑，盤點AD設定弱點與常見潛在安全問題，並偵測潛在虛擬群組與隱匿的特權帳號。</p> <p>邱銘彰表示，在過往協助用戶評估的經驗中，企業往往以為內部的AD網管帳號，平均是3人，但經他們模擬評估分析後顯示，內部網管帳號平均是17人以上，是企業認知的5.8倍。</p> <p>這樣的情形，亦突顯企業對AD管理員帳號的掌握不足。畢竟很多IT管理者，可能因為避免稽核方面的問題，並未使用Administrator帳號名稱，而是用自己的帳號、再額外賦予系統管理層級的權限，或是原本的帳號管理員離職，其帳號卻可能未隨之刪除，因接替IT人員擔心有服務與該帳號相依，之後又發生疏於管理這些帳號的狀況，這些問題都必須設法改善。</p> <p>整體而言，對於AD安全防護，企業必須瞭解最新的AD安全問題，並做好AD攻擊路徑與管理員帳號的盤點。</p> </div></div></div>
2022/6/15 17:25作者羅正漢https://www.ithome.com.tw/news/151458
DDoS攻擊再創紀錄！Cloudflare緩解每秒2,600萬次請求的DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供內容遞送網路與分散式服務阻斷（DDoS）緩解服務的Cloudflare，<a href="https://blog.cloudflare.com/26m-rps-ddos/" target="_blank">本周揭露了一起破紀錄的DDoS攻擊事件</a>，指出該公司在上周偵測到並緩解了一場每秒遞送2,600萬次HTTPS請求的DDoS攻擊。</p> <p>負責DDoS保護服務的Cloudflare產品經理Omer Yoachimik說明，遭到駭客鎖定的是一個採用Cloudflare免費方案的客戶網站，此一攻擊的流量大多數來自雲端服務供應商，而非ISP業者，意謂著駭客是藉由挾持虛擬機器與強大的伺服器來展開攻擊，而非能力較差的物聯網裝置。</p> <p>儘管駭客的攻擊強度達到每秒2,600萬次的請求，但駭客所使用的殭屍網路卻只由5,067個裝置組成，代表這些裝置每秒平均可傳送5,200次請求。</p> <p>過去Cloudflare曾發現另一個由73萬個物聯網裝置組成的大型殭屍網路，但它的攻擊強度每秒只有逾100萬次的請求，等於每個裝置每秒只送出1.3次請求。換句話說，這一波由虛擬機器與伺服器組成的殭屍網路，其每個裝置的攻擊力道是物聯網裝置的4,000倍。</p> <p>駭客在不到30秒的時間內，就傳送了2.12億次的HTTPS請求至受害網站，而這些請求源自於全球121個國家的逾1,500個網路，主要來自印尼、美國、巴西與俄羅斯，另有3%是來自Tor網路。</p> <p><a href="https://blog.cloudflare.com/ddos-attack-trends-for-2022-q1/" target="_blank">Cloudflare今年第一季的DDoS攻擊趨勢報告顯示</a>，其實大多數DDoS攻擊都是小規模的，但大規模的攻擊也愈來愈頻繁且愈來愈強烈，只是這些大型攻擊都是快速且短暫的，駭客集中火力發動攻擊以期一舉造成嚴重破壞，同時還能躲避偵測。</p> <p>Yoachimik指出，雖然DDoS攻擊都是由人類發起，但行動卻是由機器執行，因此，當人類要回應相關攻擊時，攻擊可能已經結束了，建議網站應該透過自動化的防禦系統來抵擋DDoS。<a href="https://www.cloudflare.com/plans/#overview" target="_blank">Cloudflare的免費方案</a>除了提供DNS、CDN及SSL憑證等服務之外，也具備Layers 3-7的DDoS保護機制。</p> </div></div></div>
2022/6/15 19:05作者陳曉莉https://www.ithome.com.tw/news/151452
Line Music調整服務內容，8月終止在臺音樂串流服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年在臺灣推出的Line Music服務，將在8月起調整服務內容，終止音樂串流服務，轉型為個人化鈴聲及背景音樂服務。</p> <p>Line今天宣布Line Music將轉型，自8月1日開始，臺灣市場終止音樂串流服務，未來僅提供個人化鈴聲與背景音樂，以及Line Music Live付費在線直播服務。</p> <p>Line表示，今後Line Music將專注在發展個人化鈴聲與背景音樂，以及Line Music Live付費在線直播服務，透過Line生態圈，繼續支持臺灣的音樂產業。</p> <p>針對Line Music的既有用戶，如為Fun系列我的鈴聲方案訂閱用戶，繼續享有原來的服務內容，不受影響；如果是WOW系列音樂串流服務月租型用戶，則將從6月25日前停止扣款，7月31日之前，月租型用戶仍能就方案的有效天數，使用音樂串流服務。而單次型用戶，可使用串流音樂服務至7月31日止，尚未使用的天數，依比例退費給用戶。</p> <p>Line也祭出優惠，加送訂閱或購買方案30天免費序號，以鼓勵WOW系列用戶轉訂Fun系列。</p> <p>Line Music為2019年推出的音樂加值服務，象徵Line以即時通訊軟體業者之姿進入臺灣數位音樂市場，當時Line找上背後由9家唱片公司合資的全音樂（Omusic）合作，Line挾著龐大的用戶基礎，挑戰國內音樂串流服務市場，強調合法音樂授權，提供免費服務及每月149元的付費音樂串流服務。</p> </div></div></div>
2022/6/15 18:10作者蘇文彬https://www.ithome.com.tw/news/151460
研究人員批評微軟修補漏洞牛步令Azure用戶曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://orca.security/resources/blog/synlapse-critical-azure-synapse-analytics-service-vulnerability/" target="_blank">Orca</a>與<a href="https://medium.com/tenable-techblog/microsoft-azure-synapse-pwnalytics-87c99c036291" target="_blank">Tenable</a>本周說明發生在Microsoft Azure一項服務的漏洞，並指微軟對漏洞的回應動作太慢及透明度不佳，讓用戶曝於風險。</p> <p>Synapse Analytics是供機器學習、資料集結及其他高運算用量任務的平臺。它可從許多資料源如CosmosDB、Azure Data Lake及Amazon S3匯入資料。而為了從外部資料源匯入資料，用戶必須輸入憑證及相關資料，再經由整合runtime（integration runtime，IR）連到資源源。IR可以執行在用戶本地部署環境或Azure雲上，若是後者，用戶還可設定VNet（代管虛擬網路），以私密端點連到外部資源，這可提供租戶隔離之效。</p> <p>研究人員發現介接IR的第三方ODBC（Open Database Connectivity）驅動程式的一項漏洞，影響Azure Synapse及Azure Data Factory。</p> <p>該漏洞編號<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-29972" target="_blank">CVE-2022-29972</a>，Orca研究人員稱之為SynLapse。攻擊者可藉此攻擊Azure Synapse租戶，以控制Azure Synapse的工作空間（workspace）、在Azure Synapse服務內的目標機器上執行程式碼、以及將客戶驗證憑證傳到外部目的地，及取得其他用戶帳號的驗證憑證（Azure keys、API token、密碼等）。</p> <p class="rtecenter"><img alt="" src="https://m7a3i4k5.rocketcdn.me/wp-content/uploads/2022/06/Orca_SynLapse_Animation_v1.gif" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Orca</span></span></p> <p><a href="https://www.ithome.com.tw/news/150865" target="_blank">微軟已在5月的Patch Tuesday中修補這項漏洞</a>，但是研究人員對微軟修補漏洞不確實及速度感到不滿。</p> <p>Orca研究人員Tzah Pahima指出，他在今年1月4日通報微軟安全回應中心，並提供了他們取得的憑證和金鑰。之後微軟分別在3月底及4月初釋出修補，兩次都被繞過，最後在4月15日的第3次終於修補完成。距通報後已經100多天，而且微軟到第96天才撤銷失竊的憑證。微軟5月底又提高租戶安全隔離，包括短期執行個體（ephemeral instances）及限定範圍的共享Azure Integration Runtimes token 。</p> <p><a href="https://www.linkedin.com/pulse/microsofts-vulnerability-practices-put-customers-risk-amit-yoran/" target="_blank">Tenable則是批評微軟作業不夠透明</a>，該公司3月發現Synapse 2項漏洞，其中之一即CVE-2022-29972。執行長Amit Yoran則指出，微軟一開始打算悄悄修補，直到研究人員威脅要公布，微軟才決定公開，距離最初通報已89天。</p> <p class="rtecenter"><a href="http://www.linkedin.com/pulse/microsofts-vulnerability-practices-put-customers-risk-amit-yoran/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-%20Synapse%E6%BC%8F%E6%B4%9E-CVE-2022-29972%20by%20Tenable.png" style="width: 500px;" /></a></p> <p>Yoran指出，雖然微軟承認漏洞的重要性，迄今（截至6月13日）卻仍未通知用戶。他說，基礎架構或雲端服務業者欠缺透明度，將使用戶風險大為提升，因為用戶不知自己是否曝險，或已經被攻擊，若不通知客戶，將使其喪失蒐集證據的機會，是不責任的政策。他認為必須讓雲端供應商遵守透明度標準，而對雲端廠商實施獨立IT基礎架構的稽核及評估也有其必要性。</p> </div></div></div>
2022/6/15 14:50作者林妍溱https://www.ithome.com.tw/news/151453
研究人員揭露Intel與AMD處理器的旁路攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hertzbleed.com/" target="_blank">一群來自不同大學的研究人員周二（6/14）揭露了一個涉及動態頻率調整（Dynamic Frequency Scaling）的CPU漏洞</a>，指稱最糟的狀況下將允許駭客自遠端伺服器取得加密金鑰，包括英特爾（Intel）與AMD都已證實自家的處理器產品遭到波及。</p> <p>這群研究人員準備在今年8月舉行的USENIX安全研討會上發表此一研究報告，他們將相關的攻擊行動命名為Hertzbleed，可將針對電力的旁路攻擊轉成遠端時序攻擊，報告名稱即為「Hertzbleed: Turning Power Side-Channel Attacks Into Remote Timing Attacks on x86」。</p> <p class="rtecenter"><a href="http://www.hertzbleed.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-hertzbleed%20attack-600.png" style="width: 600px;" /></a></p> <p>此一漏洞於英特爾產品中的編號為CVE-2022-24436，在AMD產品中則是CVE-2022-23823。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00698.html" target="_blank">根據英特爾的說明</a>，有些英特爾處理器的電源管理節流行為，可能會允許一個經過身分認證的使用者透過網路存取而導致資訊揭露，不過，英特爾也說此一漏洞影響該公司所有的處理器。</p> <p>雖說是不同的漏洞編號，但AMD對CVE-2022-23823的描述也差不多，指稱某些使用頻率調整的處理器可能會允許通過身分認證的駭客執行時序攻擊，而造成資訊揭露。</p> <p>時序攻擊（Timing Attacks）為旁路攻擊的一種形態，指的是駭客企圖藉由分析加密演算法所需的時間來危害密碼系統，這是因為電腦上的每個邏輯操作都需要時間來執行，而所需的時間則基於輸入的內容而有所不同，因此，只要精確計算每個操作的時間，就能回推輸入內容。</p> <p>研究人員則說，造成Hertzbleed的最根本原因為動態頻率調整，這是現代處理器的功能之一，可用來降低電力損耗，或是確保系統處於一定的功耗與熱度限制之下。</p> <p>在某些情況下，周期性的CPU頻率調整取決於目前的CPU電力使用，而這些調整則會直接轉換成執行上的時間差異，此外，有鑑於有關如何撰寫常數時間的產業指南不足以保證現代處理器上的常數時間執行，因此就算使用常數時間，還是可藉由遠端的時序分析取得密碼。</p> <p>不管是英特爾或是AMD都把相關漏洞列為中度風險等級，看起來也沒有修補漏洞的打算，<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/technical-documentation/frequency-throttling-side-channel-guidance.html" target="_blank">但英特爾祭出了實現加密的軟體指南</a>，藉由鼓勵密碼開發者在打造函式庫與應用程式時遵照該指南以緩解相關漏洞，並避免資訊揭露。</p> <p>研究人員是在去年第三季發現Hertzbleed並知會英特爾、微軟與Cloudflare，繼之於今年第一季通知AMD，在英特爾的要求下，一直到本周才對外公開。他們也通知了Arm或其它也在產品中導入頻率調整功能的處理器業者，但並不確定其它業者的產品是否受到影響。</p> <p>其實研究人員也找到了關閉Hertzbleed漏洞的方法，亦即直接關閉處理器中的頻率加速功能，在英特爾產品中的叫Turbo Boost，在AMD產品中則名為Turbo Core或Precision Boost，因為只要關閉了該功能，處理器在執行任務的期間就會保持固定頻率，而可避免資訊揭露，只不過，此舉將會對系統效能帶來極端影響，因此並不建議採用。</p> </div></div></div>
2022/6/15 12:20作者陳曉莉https://www.ithome.com.tw/news/151449
蘋果的反追蹤技術只管別人，引發德國政府調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2022/14_06_2022_Apple.html" target="_blank">德國反壟斷主管機關宣布</a>，將調查蘋果一項防止iOS App追蹤用戶的功能，是否只限制第三方App但自家App卻不受限制。</p> <p>德國聯邦卡爾特局（Bundeskartellamt）將針對蘋果的反追蹤政策及App Tracking Transparency框架展開調查，是否有損人利己的行為。</p> <p><a href="https://www.ithome.com.tw/news/144059" target="_blank">蘋果的App Tracking Transparency（ATT）框架是包含在2021年4月釋出的iOS、iPadOS及tvOS 14.5版</a>，這項新管理框架要求，任何企圖要追蹤使用者的程式都必須先告知欲蒐集的資訊，並取得使用者許可。用戶同意後，廣告商或App出版業者才可以使用追蹤技術在網站或App展示精準廣告，或將用戶資料作為其他用途。這規定對於不收費、但仰賴廣告來源的第三方App甚為關鍵。</p> <p>德國聯邦卡爾特局主席Andreas Mundt指出，像蘋果之類的公司有能力單方設定其App Store不公平的管理規則，該局有理由懷疑蘋果的規則可能只適用第三方App，但蘋果自有App可豁免。若真是如此，該規則將使蘋果占到便宜或是損害其他公司的利益。</p> <p>當局依據去年通過的新反壟斷法（GWB - German Competition Act）啟動調查蘋果是否合併自家服務蒐集到、及用戶准許其處理的資料。德國政府想藉此了解這是否可能導致仰賴廣告的其他App減少，進而傷害用戶選擇。</p> <p>德國政府指出，在原有尋求用戶許可的對話框外，新的ATT框架下，蘋果又要求網站及App在第一次啟動前以對話視窗詢問用戶同意使用及合併用戶資料，同時要求它們不得蒐集IDFA（identifier for Advertising）資訊。但新規定顯然不影響蘋果使用或合併其所有服務取得的用戶資料。雖然用戶也能限制蘋果使用這些資料來發送個人化廣告，但根據當局的初步調查，蘋果本身並不受ATT框架的規定限制。</p> <p>這是德國政府對蘋果啟動的最新調查。去年6月當局也依據GWB法調查蘋果是否藉由iOS以及替iPhone建立的生態體系，把影響力延伸到其它市場，這項調查尚在進行中。德國也根據新法，另外針對Google/Alphabet、Meta及Amazon展開調查。</p> </div></div></div>
2022/6/15 11:45作者林妍溱https://www.ithome.com.tw/news/151439
Spotify收購模擬《捍衛戰士》「冰人」聲音的AI公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.spotify.com/2022-06-13/spotify-to-acquire-sonantic-an-ai-voice-platform/" target="_blank">串流音樂平臺Spotify昨（6/14）日宣布</a>收購英國發展人聲模擬的AI公司Sonantic。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-Sonantic-(4).png" style="width: 450px;" /></p> <p>Sonantic的AI語音平臺可將文字轉成語音，而且模擬成十分逼真的人聲。它提供桌機版App可讓用戶不需程式碼製作出AI模擬人聲，也提供API和CLI開發工具讓開發人員將AI語音整合到應用專案中。該公司主要應用鎖定電玩或娛樂產業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0615-Sonantic-(2)(1).png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sonantic</span></span></p> <p>或許這家公司的名字大部份人都不熟悉，不過可能許多人都已見識過，因為該公司曾模擬出演員Val Kilmer的聲音。Kilmer因為喉癌手術而無法再像以前那樣講話。而在《捍衛戰士：獨行俠Top Gun: Maverick》中，製作團隊使用Sonantic模擬出他從前的聲音。<a href="https://www.youtube.com/watch?v=OSMue60Gg6s" target="_blank">這神奇效果也放在YouTube展示</a>。</p> <p>Spotify收購Sonantic金額不詳。Spotify表示，該公司發現其平臺上有許多文字轉語音（text to speech）的機會，例如未來的推薦功能可以語音加入說明，以便用戶無法看螢幕時提供服務。Sonantic的技術讓他們可以更個人化的方式和用戶互動，並開發新式服務。</p> </div></div></div>
2022/6/15 12:04作者林妍溱https://www.ithome.com.tw/news/151441
傳聞美國國防承包商L3Harris有意買下以色列駭客公司NSO Group
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在《<a href="https://www.intelligenceonline.com/international-dealmaking/2022/06/14/l3-s-plan-to-acquire-israeli-cyber-specialist-nso,109791908-evg" target="_blank">Intelligence Online</a>》率先引述消息來源報導，美國知名國防承包商L3Harris有意買下惡名昭彰的以色列駭客公司NSO Group之後，《衛報》（<a href="https://www.theguardian.com/world/2022/jun/14/nso-group-pegasus-us-l3harris" target="_blank">The Guardian</a>）、《<a href="https://www.haaretz.com/israel-news/2022-06-14/ty-article/.premium/infamous-israeli-spyware-maker-nso-in-talks-to-be-sold-to-u-s-defense-firm/00000181-63a4-d91f-a7d7-73a4a91c0000" target="_blank">Haaretz</a>》與《華盛頓郵報》（Washington Post）亦共同引用消息來源證實了此一消息。</p> <p>NSO Group所開發的Pegasus間諜軟體，可透過Android/iOS平臺或行動程式的零時差漏洞進駐手機裝置，並存取手機簡訊、電子郵件、照片/影片、GPS資料、行事曆、通訊錄，還能啟用麥克風與攝影機，並將相關資料傳送至遠端伺服器，標榜僅出售給用來追蹤恐怖分子或犯罪行動的政府。然而，不少調查發現Pegasus被安裝在記者、人權鬥士、活動人士甚至政治人物的手機上，因而懷疑NSO根本就是光明正大地銷售駭客/間諜工具，而且並未真的篩選客戶。</p> <p>為了讓Pegasus進駐目標對象的手機，NSO Group開採了Android、iOS等平臺，或諸如WhatsApp等多款程式的安全漏洞，使得NSO Group相繼在2020年12月與2021年11月遭到<a href="https://www.ithome.com.tw/news/141807" target="_blank">Meta</a>與<a href="https://www.ithome.com.tw/news/147998" target="_blank">蘋果</a>的控告，美國商務部也<a href="https://www.ithome.com.tw/news/147654" target="_blank">在去年11月將NSO Group列入制裁名單中</a>。</p> <p>各國向NSO Group與以色列施壓的結果，也讓NSO Group在去年傳出求售消息。</p> <p>至於L3Harris則是美國的國防承包商，主要開發包括無線設備、戰術無線電、航空電子設備及夜視設備等在內的監視解決方案，客戶包括美國聯邦調查局（FBI）及參與北大西洋公約組織（NATO）的各國政府。</p> <p>根據報導，L3Harris打算向NSO Group購買其核心技術，包括打造相關技術的員工。</p> <p>然而，這項交易面臨不少挑戰。《衛報》指出，NSO Group其實是由以色列國防部負責監管，該部門對於NSO Group的客戶有最終的決定權，再加上NSO Group位居美國制裁名單上，代表它必須同時通過以色列及美國的核准。</p> <p>該交易亦有許多細節尚待釐清，例如倘若交易成功了，未來NSO Group的技術可能只會出售給美國的盟友，或者是以色列政府能否持續使用NSO Group的技術。</p> <p>專門推動數位人權的非營利組織<a href="https://www.accessnow.org/nso-group-sale-u-s-defense-contractor/" target="_blank">Access Now很快就發表聲明反對這項交易</a>，指出這是對全球人權與美國國家安全利益的公然侮辱，因為像NSO Group這樣侵犯人權的公司不應獲得金錢上的回報。</p> <p>另有一名白宮官員向《衛報》表示，此一交易將會對美國政府帶來嚴重的反情報與安全問題。</p> <p>《Haaretz》指出，FBI與美國中央情報局（CIA）都知道L3Harris與NSO Group之間的協商，《衛報》則說白宮並未以任何形式參與該交易。</p> </div></div></div>
2022/6/15 10:50作者陳曉莉https://www.ithome.com.tw/news/151436
英國擬立法賦予金融監管機構更多權限，可監管AWS、Azure及Google Cloud等公雲提供的關鍵服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於在英國許多銀行高度依賴公雲服務，英國最近打算通過立法賦予英國金融監管機構更多監管權限，將AWS、Azure及Google Cloud等主要公雲服務業者納管。</p> <p>英國財政部最近<a href="https://www.gov.uk/government/publications/critical-third-parties-to-the-finance-sector-policy-statement/critical-third-parties-to-the-finance-sector-policy-statement">發布了一份政策文件</a>，在該份文件中提出一個新的監管框架，可供英格蘭銀行（BoE）和金融行為監管局（FCA)），針對這些指定為「具有關鍵影響（critical）」的雲端或第三方服務業者進行監管，可對它們向金融公司提供的重要雲端服務，制定規則、蒐集資訊，並採取執法行動，如公開不遵守的服務業者，甚至情節嚴重可以禁止其繼續向企業提供服務作為最後手段。</p> <p>在該份文件中，財政部指出，由於本地銀行越來越依賴少數幾家大型雲端服務商，來提供其關鍵業務功能或服務，一旦這些雲端服務受到影響中斷，這種集中式雲端服務採用就會構成系統性風險，而威脅到英國金融體系的穩定性及信心，所以認為立法監管作法有其必要。</p> <p>從現有立法監管角度來看，現行英國監管機構雖可要求銀行使用公雲或第三方服務必須確保營運彈性，包括數據安全、業務連續和妥善撤離計畫等，但財政部認為，這些監管作為，仍不足以應對關鍵服務中斷所生產風險的嚴重後果。所以，希望經由立法賦予監管機構直接監督關鍵第三方的權限，將其向金融公司提供的關鍵服務納管，從而降低系統性中斷的風險。</p> <p>根據數據顯示，截至2020 年，超過 65%的英國公司所使用雲端基礎設施服務，都來自前4大公雲。另一項英國國家統計局的研究也表明，從2013年到2019年，採購雲端服務用於數據儲存的企業數量增加了一倍多，現今更有超過一半（53%）的企業都依賴雲平臺。</p> </div></div></div>
2022/6/15 11:03作者余至浩https://www.ithome.com.tw/news/151438
加密貨幣另一個冬天來了，全美最大加密貨幣交易中心Coinbase裁撤18%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全美最大加密貨幣交易中心Coinbase周二（6/14）宣布，有鑑於全球正在進入十多年繁榮經濟之後的衰退，並迎來另一個加密貨幣的冬天，將裁撤18%的人力，而被裁撤的員工即日起即無法再進入該公司的系統。<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001679788/000167978822000077/coin-20220614.htm" target="_blank">同一天Coinbase也向美國證券交易委員會（SEC）提交此一決定</a>，指出將有1,100名員工受到影響，裁員後的員工總數為5,000名。</p> <p>Coinbase共同創辦人暨執行長Brian Armstrong表示，全球景氣變動得太快，而當經濟衰退時，隨之而來的即是加密貨幣的冬天，在過去幾次遭遇加密貨幣冬天時，交易量就會明顯下滑，而這卻是Coinbase最主要的營收來源。</p> <p>此外，該公司在2021年初的員工總數只有1,250名，由於正值加密貨幣市場進入牛市，為了迎合一年200%的成長速度，Coinbase擴大招募的腳步，不過Armstrong坦承，現在看起來是擴張太快了。依照Armstrong提交給SEC的文件，目前Coinbase的員工人數多達6,100名，是一年半以前的5倍。</p> <p>在主要營收銳減的狀況下，不僅突顯了Coinbase的人事成本過高，且Armstrong也發現新增員工的速度太快，反而會因為來不及整合而拖慢效率。</p> <p>Armstrong表示，Coinbase曾經安然渡過加密貨幣的4個冬天，也知道在景氣低迷時必須撙節支出，景氣不佳的市場並不容易駕馭，也需要不同的心態。</p> <p>總之，上述的種種原因讓Coinbase作出了裁員的決定，所有被裁撤的員工都可獲得14周的遣散費，若任職超過一年則每年可額外獲得兩周的遣散費。</p> <p>受影響的員工也是在周二才得知此事，而且Coinbase是透過這些員工的個人郵件信箱通知他們，因為在這些員工被列入裁員名單之際，Coinbase也已刪除他們的系統存取權限，以保護客戶資訊。</p> </div></div></div>
2022/6/15 09:33作者陳曉莉https://www.ithome.com.tw/news/151434
Firefox預設啟用阻擋跨網站讀取cookies的隱私功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/products/firefox/firefox-rolls-out-total-cookie-protection-by-default-to-all-users-worldwide/" target="_blank">Mozilla周二（6/14）宣布釋出Firefox 101.0.1版</a>，將使禁止跨站讀取cookies的隱私保護功能Total Cookie Protection預設啟動。</p> <p>Mozilla表示，<a href="https://www.mozilla.org/en-US/firefox/101.0.1/releasenotes/" target="_blank">從最新版開始</a>，Total Cookie Protection成為全球所有Firefox的預設，意在使Firefox成為Windows、Mac及Linux平臺上最安全及最保護隱私的主要瀏覽器。</p> <p>Total Cookie Protection的原理是為不同網站建立個別的cookie jar，使某一網站置入的cookie只能為原生網站讀取，可防止其他網站讀取，它可防止監控工具或是廣告行銷商利用這些cookie追蹤用戶在不同網站的活動足跡，號稱是Firefox迄今發展最大的隱私工具。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/0615-Total%20Cookie%20Protection%20firefox-600.bmp" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mozilla</span></span></p> <p>Mozilla持續在瀏覽器中拉高隱私防護。去年2月Firefox 86首先在ETP（Enhanced Tracking Protection）模式加入<a href="https://blog.mozilla.org/security/2021/02/23/total-cookie-protection/" target="_blank">Total Cookie Protection</a>，<a href="https://www.ithome.com.tw/news/144771" target="_blank">在去年6月</a>的Firefox 89又成為隱私瀏覽介面預設。最新的宣布則使這項功能普及適用於所有桌機版用戶。</p> <p>除了Total Cookie Protection功能外，新版本也解決了在MacOS版中關閉Firefox會清除剪貼簿、Windows版Firefox和win32k lockdown功能不相容、以及Linux版本上Picture-in-Picture視窗中按右鍵不見選單的問題，也改善了穩定性的問題。</p> </div></div></div>
2022/6/15 09:59作者林妍溱https://www.ithome.com.tw/news/151435
【資安日報】2022年6月14日，俄羅斯駭客Sandworm利用Follina漏洞攻擊烏克蘭、Linux蠕蟲程式Sys…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用Follina漏洞（CVE-2022-30190）發動攻擊的情況，也出現於烏克蘭戰爭的網路攻防中。烏克蘭電腦緊急應變小組（CERT-UA）曾於6月初偵測到相關攻擊行動，但當時並不確定攻擊者身分，該組織最近再度發布資安通告，指出俄羅斯駭客組織Sandworm疑似運用該漏洞發動攻擊，且至少2個月前就開始。</p> <p>針對Linux主機的攻擊行動也相當值得留意。研究人員發現名為Syslogk的惡意程式，會將模式載入Linux核心執行而難以察覺其行蹤，駭客使用此惡意程式的目的，就是要用來控制後門程式運作而不致被發現。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://cert.gov.ua/article/160530"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm疑在2個月前開始利用Follina漏洞攻擊烏克蘭</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA_Sandworm_screenshots.png" style="width: 300px; float: right;" /></a>與Windows診斷支援工具（MSDT）有關的零時差漏洞CVE-2022-30190（亦稱Follina），6月初已傳出被用於攻擊烏克蘭，但實際上在2個月前可能就有相關攻擊行動。烏克蘭電腦緊急應變小組（CERT-UA）於6月10日發布資安通告指出，俄羅斯駭客組織Sandworm疑似自4月開始，利用Follina發動攻擊。</p> <p>攻擊者鎖定超過500名廣播電臺與報紙的從業人員，以提供互動式地圖服務的網址名單為由，發送帶有Word檔案為附件的釣魚郵件。收信人一旦開此附件檔案，電腦將會執行檔名為2.txt的JavaScript程式碼，進而載入惡意程式CrescentImp。CERT-UA提供了入侵指標（IoC）供組織偵測相關攻擊行為。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/davidalvarez/linux-threat-hunting-syslogk-a-kernel-rootkit-found-under-development-in-the-wild/"><span style="color: rgb(0, 0, 0);">Linux蠕蟲程式Syslogk於受害主機載入後門程式</span></a></strong></h3> <p>駭客透過開源專案，針對Linux開發攻擊程式的情況，最近已有數起事故。例如，防毒業者Avast揭露名為Syslogk的惡意程式，這是駭客透過開源的Rootkit程式Adore-Ng開發而來的攻擊工具，能將其模組載入Linux核心，從而隱藏特定的檔案資料夾與網路流量，並在受害主機植入後門程式Rekoobe。</p> <p>研究人員指出，該Rootkit程式第一次載入到Linux核心後，便會將自己從已經安裝的軟體模組清單裡刪除，來規避管理人員檢查，而在後續部署後門程式之後，此後門程式會處於休眠狀態而不會有任何行動，直到上述Rootkit收到攻擊者特定的魔術封包（Magic Packet），後門程式才會開始運作，此後Syslogk依照攻擊者指示啟動或暫停後門程式運作，來降低被發現的機會。研究人員呼籲IT人員要提高警覺，來防範相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat透過ProxyLogon漏洞入侵受害組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 300px; float: right;" /></a>勒索軟體BlackCat（亦稱Alphv）疑似與之前攻擊美國大型油料輸送業者的另一個駭客Darkside有關，而引起研究人員的關注，最近又有相關的動態揭露。微軟近期公布他們對於BlackCat的發現，這群駭客在部分攻擊行動中，對於Exchange伺服器漏洞ProxyLogon下手，而成功進入受害組織的網路環境，進而掌握網域伺服器、管理員帳號，以及網路裡所有的電腦等相關資訊，過了約兩天半，攻擊者藉由PowerShell程式碼ADRecon，收集AD環境的各式資料，然後使用SMB協定或遠端桌面連線（RDP）存取受害電腦，並竊取組織的內部機密資料，最終使用PsExec散布並執行勒索軟體。</p> <p>而對於攻擊者的身分，研究人員至少確定有兩個駭客組織使用BlackCat，分別是DEV-0237（亦稱FIN12）與DEV-0504，前者是從先前使用的攻擊工具為Hive，轉換成BlackCat的用戶，後者則是往往會利用駭客組織LockBit提供的竊密工具StealBit，在加密檔案前下載受害電腦裡的檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/"><span style="color: rgb(0, 0, 0);">中國駭客Gallium利用木馬程式PingPull攻擊電信業者、金融與政府單位</span></a></strong></h3> <p>美國日前針對中國駭客攻擊電信業者的行動提出警告，最近又有研究人員發現，駭客使用難以發現的木馬程式，攻擊電信業。資安業者Palo Alto Networks指出，中國駭客組織Gallium（亦稱Softcell），以攻擊東南亞、歐洲、非洲電信業者在網路犯罪者之間闖出名號，但最近一年該組織擴大其攻擊範圍，也開始對於金融機構與政府單位出手，同時駭客運用了名為PingPull的木馬程式，這個木馬程式提供反向Shell的功能，讓駭客能遠端下達命令。</p> <p>研究人員針對其中3個版本的PingPull進行分析，其共通點是木馬程式都是冒統系統服務的方式運作，但攻擊者疑似規避特定的資安防護系統，這些木馬程式與C2連線的過程中，使用了不同的網路通訊協定：ICMP、HTTPS、TCP。研究人員確定該組織在最近一年內，至少鎖定了9個國家下手。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pypi-package-keep-mistakenly-included-a-password-stealer/"><span style="color: rgb(0, 0, 0);">PyPI套件Keep疑似被植入竊密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.syss.com/posts/rooting-mitel-desk-phones-through-the-backdoor/"><span style="color: rgb(0, 0, 0);">Mitel旗下IP電話存在漏洞，攻擊者恐用於取得root權限</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151406">【2022年6月13日】勒索軟體Hello XD加密電腦檔案同時會植入後門、駭客組織鎖定WordPress電商網站發動側錄攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151388">【2022年6月10日】惡意軟體Symbiote濫用BPF流量隱匿攻擊意圖、已修補的SAP漏洞遭到濫用</a></p> <p><a href="https://www.ithome.com.tw/news/151372">【2022年6月9日】殭屍網路Emotet企圖竊取Chrome用戶的信用卡資料、美國針對中國駭客攻擊網路設備的漏洞提出警告</a></p> </div></div></div>
2022/6/14 18:15作者周峻佑https://www.ithome.com.tw/news/151433
亞馬遜報告：5年後，臺灣B2C電商出口6成貢獻將來自中小企業，但疫情更凸顯中小企業數位能力的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞馬遜在近日發布一份與新加坡智庫Alphabeta的臺灣跨境電商調查，報告指出，臺灣B2C達到2,777億元的規模。現在有3成來自中小企業，但5年後，中小企業占比將達到61%。這透露出，中小企業將成為臺灣未來B2C跨境電商的主角。</p> <p>根據報告研究，臺灣整體B2C電商市場規模，每年將成長9%，預估到2025年時，規模將達到6,830億元（約250億美元）。但B2C出口規模的成長速度更快，達到14%，比電商市場成長速度更快，將從2021年的1,470億元，在5年後達到2,777億元。</p> <p>雖然B2C電子商務並非官方出口分類項目，因此沒有相關政府統計，但這份報告指出，B2C跨境電商若作為一種出口類型，2021年的1,470億元（約47.5億美元）規模相當於臺灣第6大出口類型，比臺灣去年一整年出口的「食物與活體動物」類型1,338億元（約45億美元）還要高。</p> <p>此份報告也推估，2021年臺灣賣家B2C電商出口收益中，中小型（含微型）企業創造的收益占了30%。報告更預測，根據目前電商發展情況，中小型企業在B2C出口收益的比重，在2026年能達到1,693億元，若加速拓展中小企業的電商業務能力，更將達到2,232億元。 </p> <p>儘管中小企業能更彈性反應市場需求，經濟部中小企業處副處長胡貝蒂分析，疫情之前新南向政策以「打群架」方式，將臺灣商品送到東南亞市場展售，但國門關閉後，發現個別中小微型企業沒有雲世代下的數位能力，成為發展跨境電商的一大挑戰。 </p> <p>報告指出，現有文獻大多著重於本土電商價值，鮮少著墨跨境電商價值，中小微企業難以了解跨境電商商機並擬定策略。亞馬遜與臺北市進出口商業同業公會（IEAT）去年底就曾發布一份調查報告，調查500家企業的結果，臺灣企業有54%欠缺電商人才、52%欠缺品牌人才，不利於推動電商業務發展。不過，IEAT秘書長黃文榮觀察，參加公會跨境電商培訓的電商業者逐年增加，顯示出臺灣業者開始更加重視跨境電商業務。</p> </div></div></div>
2022/6/14 18:05作者郭又華https://www.ithome.com.tw/news/151432
高通買下軟體服務業者Cellwize，加速5G部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.qualcomm.com/news/releases/2022/06/qualcomm-acquires-cellwize-to-accelerate-5g-adoption-and-spur" target="_blank">高通（Qualcomm）13日宣布</a>，已買下位於以色列的行動網路自動化暨管理服務業者Cellwize Wireless Technologies，以加速高通的5G部署。雙方並未公布交易細節，但外傳此一交易價值3.5億美元。</p> <p>Cellwize主要開發一名為CHIME的雲端平臺，可提供基於AI的無線電存取網路（Radio Access Networks，RAN）自動化與編排能力，號稱可連結任何的應用與任何的RAN、vRAN或Open RAN供應商，協助行動網路營運商加速5G網路的部署與Open RAN準備度，以加快進入市場的速度並提高投資報酬率。</p> <p class="rtecenter"><a href="https://www.cellwize.com/platform/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-CHIME%20by%20Cellwize%20Wireless%20Technologies-600.jpg" style="width: 600px;" /></a></p> <p><a href="http://www.cellwize.com/platform/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cellwize Wireless Technologies</span></span></a></p> <p>高通則說，Cellwize在5G網路上的部署、自動化與管理能力將可強化該公司的5G基礎設施解決方案，並用來推動各個產業的數位轉型、強化與智慧邊緣的連結，同時支持雲端經濟的成長。</p> <p>負責行動數據機與基礎設施的高通副總裁Durga Malladi表示，全球的行動營運商與各個產業的私人企業都在以前所未有的速度部署5G網路，以期將所有人與所有事物都連向雲端，有了Cellwize的RAN自動化技術，高通將更能推動現代化的5G網路部署，包括加速Open RAN全球採用、雲端行動基礎設施的創新，以及5G私有網路的部署。</p> <p>其實Cellwize也曾涉足集中式的自我組織網路（Self Organization Network，SON）技術，亦曾宣稱自己是無線電存取網路智慧控制器（Radio-access-network Intelligent Controller，RIC）供應商，因此在早期就吸引了高通的投資，專門報導電信產業消息的<a href="https://www.lightreading.com/open-ran/qualcomm-jumps-on-ric-bandwagon-with-cellwize-takeover/d/d-id/778184" target="_blank">《Light Reading》便分析</a>，或許高通也企圖藉由收購Cellwize進入RIC市場。</p> </div></div></div>
2022/6/14 15:36作者陳曉莉https://www.ithome.com.tw/news/151427
中國駭客組織Gallium開始利用新的PingPull木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/pingpull-gallium/" target="_blank">美國資安業者Palo Alto Networks近日揭露</a>，中國駭客組織Gallium最近開始採用新的遠端存取木馬PingPull，由於它支援較少受到監控的網路控制訊息協定（Internet Control Message Protocol，ICMP）與命令暨控制伺服器（C&C）通訊，因而較不容易被偵測到。</p> <p>Gallium為Palo Alto Networks積極追蹤的先進持續性威脅（APT）組織之一，由於該組織所針對的區域、領域，以及所使用的攻擊戰術流程（TTPs）都與中國駭客相仿，因而判斷Gallium為中國官方支持的駭客組織。</p> <p>Gallium早期鎖定東南亞、歐洲與非洲的電信業者展開攻擊，最近則擴張攻擊目標至金融機構與政府機關，且範圍也擴大到阿富汗、澳洲、比利時、柬埔寨、馬來西亞、莫三比克、菲律賓、俄羅斯與越南，同時開始採用新的PingPull木馬程式。</p> <p>PingPull可利用3種通訊協定與C&C伺服器聯繫，分別是ICMP（如下圖）、HTTPS及Raw TCP，雖然採用ICMP並非新技術，但相較之下較少企業會在網路上監控ICMP的流量，使得它更容易躲過偵測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0614-%20PingPull%20responding%20to%20command%20over%20ICMP-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Palo Alto Networks</span></span></p> <p>以Visual C++撰寫的PingPull允許駭客執行命令及存取受害主機的反向Shell，它的3個變種就是利用不同的通訊協定，但功能卻是一致的，除了可在檔案系統上執行各種任務，像是讀取、寫入、刪除或複製檔案之外，也能在cmd.exe上執行命令。</p> <p>Palo Alto Networks建議位於東南亞、歐洲及非洲地區的電信業者、金融與政府機構透過該公司所提供的網路入侵指標（IoCs）來判斷是否已遭Gallium滲透。</p> </div></div></div>
2022/6/14 15:14作者陳曉莉https://www.ithome.com.tw/news/151426
微軟：勒索軟體駭客經常以盜來的憑證或Exchange漏洞入侵組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/06/13/the-many-lives-of-blackcat-ransomware/" target="_blank">微軟本周公布了BlackCat勒索軟體的分析報告</a>，透過兩個攻擊案例來警告盜來的憑證或是未修補的Exchange Server安全漏洞，已成為勒索軟體駭客入侵組織的常見管道。</p> <p>BlackCat現身於2021年11月，是首批以Rust撰寫的勒索軟體之一，一來可躲避傳統防毒軟體的偵測，二來也提高反向工程的難度。它可感染Windows、Linux裝置與VMWare實例，亦採用了勒索軟體即服務（RaaS）的聯盟模式（Affiliate Model），代表其生態體系是由入侵網路的存取掮客、勒索軟體工具開發者，以及在受害網路中橫向移動、最終發動攻擊的不同角色所組成。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/05/Fig1-RaaS-affiliate-model-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>在RaaS聯盟模式中，由於參與者眾、選項也多，因此每次的攻擊都可能採用不同的存取策略、勒索軟體或部署方式，不過，微軟發現，至少有兩個已知的RaaS聯盟納入了BlackCat，包括DEV-0237與DEV-0504，而微軟則在這兩個聯盟利用BlackCat進行攻擊的兩個案例中，發現有一個是藉由開採Exchange Server漏洞，另一個則是使用盜來的憑證入侵了受害組織。</p> <p>微軟說，就算同樣使用BlackCat進行攻擊，但幾乎沒有看到兩個同樣的部署手法，但從這兩個案例可看出，RaaS聯盟模式經常利用盜來的憑證或是Exchange Server漏洞作為入侵的跳板。</p> <p class="rtecenter"><a href="https://www.microsoft.com/security/blog/uploads/securityprod/2022/06/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" target="_blank"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/06/fig2-blackcat-attack-chain-via-exchange-vulnerability.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>駭客所開採的是已知的Exchange Server漏洞，儘管微軟並未指名遭到開採的漏洞，但在文章中提供了連結，顯示為該公司在去年3月所修補、存在於就地部署Exchange Server版本上的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855" target="_blank">CVE-2021-26855</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858">CVE-2021-26858</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857">CVE-2021-26857</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065">CVE-2021-27065</a>。</p> <p>由於很難找到勒索軟體駭客一致的部署方式，使得微軟建議各組織應該要修補最常見的攻擊路徑，包括採用適當的漏洞管理政策，以及執行存取監控等。</p> </div></div></div>
2022/6/14 13:24作者陳曉莉https://www.ithome.com.tw/news/151425
密西根成為全美第三個核發數位車牌的州
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密西根州本周核發數位車牌，成為全美第三個許可使用這類新式車牌的州。</p> <p><a href="https://michiganlicenseplate.net/" target="_blank">數位車牌供應商</a><a href="http://michiganlicenseplate.net/" target="_blank">Reviver</a><a href="https://michiganlicenseplate.net/" target="_blank">本周宣布</a>，密西根州當局已准許11個市鎮的居民購買數位車牌，並且合法在美國、加拿大及墨西哥駕駛。</p> <p>和醫院床頭卡或廣告招牌一樣，車牌也發展成以連網裝置取代死板且無法加值的傳統車牌。<a href="http://reviver.com/" target="_blank">Reviver</a><a href="https://reviver.com/" target="_blank">提供的車牌是具LTE連網能力的HD顯示器</a>，高階版還有GPS定位功能。它可提供個人化顯示，將車牌換成黑、白兩色，以及在有限程度下客製顯示文字，例如「Keep Distance」。但它最大好處是防竊，當車子被移動時會即時傳送訊息到手機App上通知車主，也能遠端在車牌上顯示「Stolen」。用戶也可以利用App完成車牌號碼註冊及更新，並遠端追蹤被竊車輛位置。</p> <p>Reviver的RPlate提供每月20及25美元的訂閱制服務，車牌則分成電池版及接電線版本，後者使用車子本身電力，不需換電池，也可加入GPS定位功能。</p> <p>之前已有加州及亞利桑納州核准數位車牌的使用。</p> </div></div></div>
2022/6/14 13:10作者林妍溱https://www.ithome.com.tw/news/151424
AWS大型主機雲端平臺服務正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/148111" target="_blank">AWS去年底在re: Invent大會上發表</a>大型主機雲端平臺服務AWS Mainframe Modernization，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/06/aws-mainframe-modernization-generally-available/" target="_blank">這項服務於本周正式上線</a>。</p> <p>AWS Mainframe Modernization讓企業可將本地部署的大型主機應用負載搬上AWS雲端，但是使用者不需改變開發慣用的工具。開發人員仍然可使用COBOL或PL/I分析大型主機應用或開發程式，並在平臺上實作自動化管線（pipeline），實現應用程式的持續整合及持續遞送（continuous integration and continuous delivery，CI/CD）。AWS也提供軟體和工具幫助企業IT或顧問按階段走完整個過程，從規劃、部署、測試、執行、到之後的運作管理與維護。</p> <p>在把應用程式搬上AWS上時，企業可依用戶需求選擇refactoring或是replatforming方式。對於refactoring，AWS Blu Age可以將COBOL、PL/I、NATURAL、RPG/400、COBOL/400等舊式語言應用，轉成Java服務及web框架。若選擇replatforming，AWS則以整合的Micro Focus工具在儘量不做變動下將原始碼重新編譯（recompile），在AWS的runtime上執行COBOL及PL/I應用程式。該runtime可執行線上交易及批次作業。AWS表示這種方式可在對應用程式影響最小情況下，提供雲端如高擴充性、安全及DevOps等好處。</p> <p>此外，AWS Mainframe Modernization提供的開發環境提供智慧編輯、debugging、即時程式碼編譯及單元測試等工具，協助加速開發。</p> <p><a href="https://aws.amazon.com/blogs/aws/modernize-your-mainframe-applications-deploy-them-in-the-cloud/" target="_blank">目前這項服務</a>已在美國、亞太、加拿大、歐洲及南美等AWS區域上線。</p> <p>在費用部分，以Blu Age為基礎的refactoring runtime環境每小時收費2.5美元，而以Micro Focus為基礎的replatforming runtime環境則為每小時5.55美元。</p> </div></div></div>
2022/6/14 11:09作者林妍溱https://www.ithome.com.tw/news/151419