iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 23:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟Patch Tuesday修補84個漏洞，有一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周二（7/12）展開的Patch Tuesday總計修補了84個安全漏洞，當中只有4個被列為重大（Critical）漏洞，允許遠端程式執行，另有一個已被駭客開採的零時差漏洞CVE-2022-22047。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank">CVE-2022-22047</a>漏洞位於客戶端/伺服器端執行時子系統（Client/Server Runtime Subsystem，CSRSS），為一權限擴張漏洞，成功開採將允許駭客取得系統（SYSTEM）權限，並已遭駭客開採。雖然CVE-2022-22047僅被列為重要（Important）漏洞，但資安專家仍建議微軟用戶應優先修補。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22047.png" style="width: 326px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊指出</a>，CVE-2022-22047通常會搭配程式執行漏洞使用，諸如藉由特製的Office或Adobe文件來接管受害者系統，這也是為什麼許多人聽到微軟延後封鎖所有Office巨集的消息，會感到心灰意冷。</p> <p>其實本月微軟還修補了其它兩個Windows CSRSS的安全漏洞，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22026">CVE-2022-22026</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22049">CVE-2022-22049</a>，亦皆屬重要漏洞。</p> <p>至於4個重大漏洞中，CVSS風險評分達8.8的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank">CVE-2022-30221</a>，它藏匿在Windows圖形元件中，駭客只要說服使用者連向一個惡意的RDP（遠端桌面協定）伺服器，就能開採該漏洞並於受害系統上執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30221.png" style="width: 468px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank">CVE-2022-22038</a>則出現在遠端程序呼叫執行（Remote Procedure Call Runtime），雖然它是個遠端程式執行漏洞，但相關攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功開採，CVSS風險評分為8.1。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22038.png" style="width: 505px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank">CVE-2022-22029</a>為Windows網路檔案系統（Network File System，NFS）的遠端程式執行漏洞，完全不需要使用者的互動就能展開攻擊，但只要採用預設的配置或設定，便可減輕遭到開採的嚴重性。CVE-2022-22039亦為NFS漏洞，駭客只要透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22029.png" style="width: 514px;" /></a></p> <p>除了上述的重大漏洞與零時差攻擊漏洞之外，ZDI團隊點名了<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank">CVE-2022-30216</a>，這是Windows Server Service的竄改漏洞，該漏洞允許一個已經授權的駭客上傳惡意憑證，代表駭客得以上傳自己的憑證以從事各種活動，包含程式執行，儘管這只是個重要漏洞，但微軟認為它很可能被開採，也讓ZDI建議使用者應儘速測試及部署其修補程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30216.png" style="width: 385px;" /></a></p> </div></div></div>
2022/7/13 11:32作者陳曉莉https://www.ithome.com.tw/news/151918
統一超商進一步揭露會員戰略目標，今年要吸引960萬名活躍用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一）近日公布了2021年永續報告書，也揭露Open Point會員的今年目標，要達到960萬人活躍會員的規模。在去年完成旗下各品牌的帳號整合之後，統一不再像過去追求會員總人數，而改以曾有消費紀錄的活躍會員人數，作為新的會員經營目標，而且今年一口氣訂下60%的高成長率目標，反映出統一要大力提升會員貢獻度的企圖。</p> <p>統一表示，2022年將持續上一年策略，增加更多App功能，將更多外部商家納入會員點數生態圈。2022年會員經營主要目標，是活躍會員數從2021年約600萬，增加到960萬，預計增幅60%，同時設立2025年活躍人數比例達到65%的中期目標。</p> <p>統一近2年積極聚焦Open Point的會員經營，2020年為了增加總會員人數，開始簡化會員加入的機制，結帳時告知電話即可加入會員。同年，統一也開始整合集團其他通路的會員資料，包括線下零售、美妝、物流、電商、體育以及餐飲界的18個品牌，整合後，Open Point會員人數大幅成長到1,200萬名。</p> <p>2021年，統一仍以增加會員人數為主要目標，但開始積極提升會員活躍度，相繼推出增加更多會員點數的使用情境，如團購、即期食品地圖等App功能，並透過與外部商家合作，拓展點數使用的生態圈。2021年底，會員數來到1,400萬，但其中不到一半，只有約600萬名是曾消費過的會員，也就是統一定義的活躍會員。</p> <p>隨著會員活躍度提升，可分析的消費數據增加，統一也更積極拓展現有會員貢獻度。統一在永續報告書中提到，他們透過分析會員資料，掌握現有會員屬性及忠誠度、預測新品上市潛力及潛在購買族群，進而設計會員優先或專屬活動，以及提供個人化優惠。報告中寫道，在2021年，這些數據驅動行銷的策略，讓來自會員的年營收成長了114%。 </p> </div></div></div>
2022/7/13 10:01作者郭又華https://www.ithome.com.tw/news/151909
經濟前景不明，微軟傳裁員、Google也警告聘僱放緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球步入經濟放緩，媒體報導，微軟已在日前因調整事業群及人力，裁減一小部分人力，同時Google執行長Sundar Pichai也對內宣布聘僱速度減緩的公司信件。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-07-12/microsoft-cuts-jobs-but-plans-increased-headcount-this-year" target="_blank">彭博本周報導</a>，微軟在進入新會計年度（FY2023）之際，本周「在事業群及職位角色的調整」中，裁減部分人力，占全公司1.8萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p>微軟發言人表示，該公司刪減了一小部分人力。和所有公司一樣，微軟也定期評估業務優先性，並因此做出結構調整。微軟並表示未來一年內，會持續投資業務並增加整體員額。</p> <p>無獨有偶，<a href="https://www.theverge.com/2022/7/12/23206113/google-ceo-sundar-pichai-memo-hiring-slowdown-2022" target="_blank">The Verge</a>周二取得Google/Alphabet執行長Sundar Pichai的內部公開信，顯示將放緩聘僱腳步。</p> <p>Pichai說明2022年下半Google面臨的前景及因應計畫。他表示，全球面臨經濟前景不確定，Google也難自外於挑戰。第2季Google已新增將近1萬名員工。由於之前進度已經足夠，因此剩下2季Google將放緩聘僱速度。Pichai表示，未來公司做事要更務實、更目標導向；今年到2023年，Google新聘人力重點將放在工程師、技術人員和其他重要角色，以確保人力符合長期業務目標。</p> <p>面臨全球通膨及經濟衰退疑慮，Google只是眾多開始放緩公司人力擴張的矽谷科技巨擘之一。<a href="https://www.reuters.com/technology/exclusive-meta-girds-fierce-headwinds-slower-growth-second-half-memo-2022-06-30/" target="_blank">路透社本月初報導</a>Meta也對內示警要面臨「嚴苛時期」（serious time），將把今年預定的新聘人力員額由1萬降為6000-7000。此外也將更精準推動重點業務，如企業傳訊、購物、短影片服務Reel及硬體部門，後者將積極發展代號Cambria的AR頭戴裝置，其他特定部門則將遇缺不補。</p> <p><a href="https://www.ithome.com.tw/news/150913" target="_blank">推特繼5月宣布</a>人事凍結後，<a href="https://techcrunch.com/2022/07/07/twitter-layoffs-talent-acquisition/" target="_blank">上周也裁減</a>人力聘僱部門1/3人力。資料庫大廠<a href="https://www.datacenterdynamics.com/en/news/oracle-considers-1bn-cost-cutting-thousands-of-layoffs/" target="_blank">甲骨文上周也表示</a>計畫10億美元的成本撙節方案，包括裁減數千名人力。</p> </div></div></div>
2022/7/13 11:08作者林妍溱https://www.ithome.com.tw/news/151917
研究人員成功自遠端解鎖10款Honda汽車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩名來自星輿實驗室（Star-V Lab）的安全研究人員Kevin2600與Wesley Li<a href="https://rollingpwn.github.io/rolling-pwn/" target="_blank">上周披露了一個名為Rolling-PWN的安全漏洞</a>，可破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE）中、預防重放攻擊（Replay Attack）的滾動式密碼（Rolling Code）機制，讓駭客依舊得以透過中間人攻擊，攔截並重放讓汽車開鎖的數字密碼，而且已成功打開了10款本田汽車（Honda）的車門。</p> <p>現代汽車多半採用RKE系統，讓使用者以遙控器來開車門或是啟動引擎，遙控器可傳送一組數字密碼予汽車接收器，再由汽車接收器判斷可否接受，簡單的RKE系統採用固定的數字密碼，因此只要被攔截就可以重放並解鎖汽車；這使得許多之後的汽車改用滾動式密碼，每次按下遙控器時，汽車接收器的計數就會增加，也會要求新的密碼，以預防重放攻擊。</p> <p>然而，研究人員卻發現，為了避免有人誤按遙控器按鍵，本田汽車的RKE系統具備滑動窗口（Sliding Window）的設計，當汽車連續收到開鎖及解鎖的指令時，計數器就會重新同步，而讓汽車得以接收之前的密碼。</p> <p>研究人員已替Rolling-PWN取得了漏洞編號CVE-2021-46145，並使用軟體定義無線電（SDR）設備來攔截與重放RKE密碼。</p> <p><a href="https://www.vice.com/en/article/z34xnw/hackers-say-they-can-unlock-and-start-honda-cars-remotely" target="_blank">根據《Motherboard》的報導</a>，Kevin2600與Wesley Li是直接造訪本田汽車的經銷商，並針對不同車款展開攻擊，發現有10款攻擊成功，年份從2012年到2022年，使得研究人員相信所有本田車款應該都含有該漏洞，而且不僅是本田，其它品牌的汽車也很可能暗藏Rolling-PWN漏洞。</p> <p>此外，根據研究人員的測試，可執行Rolling-PWN攻擊的最遠距離為30米。</p> <p>不過，本田汽車的公關在回應《Motherboard》的詢問時，並不承認自家的RKE系統含有該漏洞，認為它與今年初遭爆的漏洞類似，並無新意，但本田所指的舊漏洞是基於固定密碼而非此次的滾動式密碼。</p> <p>但不僅是Kevin2600與Wesley Li，汽車雜誌《TheDrive》記者<a href="https://twitter.com/RobDrivesCars/status/1546171686675955712" target="_blank">Rob Stumpf也成功複製了Rolling-PWN攻擊</a>。</p> <p><a href="https://twitter.com/Kevin2600/status/1545963221915316225" target="_blank">Kevin2600則說</a>，倘若全球擁有本田汽車的駭客都能確認Rolling-PWN漏洞的存在，或許就可迫使本田汽車承認並修補該漏洞。</p> </div></div></div>
2022/7/13 08:48作者陳曉莉https://www.ithome.com.tw/news/151908
金管會金融科技能力證照來了！3大產業各推6種職系專業證照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今（7月12日）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202207120001&dtable=News">宣布金融科技證照制度將啟動</a>，採取培訓和取證二合一做法，將提供一系列課程，一方面供金融從業人員學習第二技能，一方面也期望作為金融機構人才進用標準。必須先通過基礎能力認證後，再進行專業科目培訓，通過科目檢定後能取得不同職系的證照。證照涵蓋三大產業，銀行、保險和證券，各提供6大職系專業能力證照，其中有5個職系可跨產業認可。專業能力課程，最快9月開課。</p> <p><strong><span style="font-size:24px;">要推動臺灣金融科技發展，先分基礎和專業兩階段培養能力</span></strong></p> <p>金融科技證照制度，是金管會推動臺灣金融科技發展的一大重點。2020年8月，金管會先是公布金融科技發展路徑圖，將「研議建立金融科技證照制度」視為重要措施之一，並由金融研訓院、證基會、保發中心等組成核心工作團隊，花1年半時間研究、規畫和籌備，近期準備上線。金管會表示，他們希望藉此建立金融科技人才庫，為金融業培訓更多優秀人才。</p> <p>在金融科技能力認證部分，可分為基礎能力和專業能力2大類。首先要取得基本能力認證，必須是現職金融從業人員，且具備金融科技、數位金融、資訊等相關職務3年以上經驗。若是非金融業人員和學生，則得先取得「金融科技能力建構認證機制報告書」規定的基礎能力3項認證，才可參加。</p> <p><a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.fsc.gov.tw/uploaddowndoc?file=news/202207121513270.pdf&filedisplay=%E9%99%84%E4%BB%B61%EF%BC%9A%E5%9F%BA%E7%A4%8E%E8%83%BD%E5%8A%9B%E3%80%81%E7%A7%91%E7%9B%AE%E5%90%8D%E7%A8%B1%E5%8F%8A%E9%A9%97%E8%AD%89%E6%96%B9%E5%BC%8F.pdf&flag=doc">基本能力認證課程包含科技力、金融力及程式力等3部分</a>，修習課程有金融科技概論、金融概論、程式設計概論，並對應到3項檢定，也就是金融科技力知識檢定測驗、金融市場常識與職業道德測驗，以及APCS、TQC、CCEA等測驗。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9F%BA%E7%A4%8E.png" /><br /> 金融科技概論探討主題，包括區塊鏈、保險科技、AI、支付、純網銀和開放銀行等。圖片來源：金管會</p> </blockquote> <p>通過之後，才可修習專業能力證照課程。專業證照按產業分為3類，包括銀行、保險，以及證券業，每個類別各有6種職系的證照，都有各自的專科科目課程，比如銀行產業提供了學習商業分析、UI/UX、資料分析、數位商品設計、數位法遵風控、數位行銷等6種職系的專業證照，而對應到的培訓科目就有AI、大數據分析、法遵科技與風險管理應用等。（如下圖）不過，其中5種職系（BA、UI/UX、DA、PD、CT）可跨不同產業認可，例如銀行的商業分析證照，可在保險業和證券業中認可使用。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%8A%80%E8%A1%8C.png" /><br /> 銀行業專業科目多為AI，另也包含大數據分析、新興科技應用和數位法遵等課程。圖片來源：金管會</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%9D%E9%9A%AA.png" /><br /> 除了共同的科目外，保險業專屬專業科目是保險科技行銷，像是保險生態圈行銷、AI、數位行銷策略等。圖片來源：金管會</p> </blockquote> <p>證券類則包括證券、期貨、投信投顧業，同樣有5個可跨產業互通的職系，以及證券業專屬的數位行銷專業證照。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AD%89%E5%88%B8.png" /><br /> 這些職系專業科目與銀行業相仿，包含商業分析、UI/UX設計分析、AI、大數據分析等。圖片來源：金管會</p> </blockquote> <p>金管會表示，專業能力的培訓課程和認證，會由金融研訓院、保發中心和證基會辦理，採訓考合一制度，也就是學員先參加專業科目課程，再參加能力檢測。拿證照的門檻，則是「培訓成績」、「能力檢測」都達70分（含）以上。再進一步來說，若學員取得一個職系，所有專業科目能力認證證明，就等於取得該職系的能力認證。</p> <p>今年9月開始，將陸續開辦專業科目。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-12%20173307.png" /><br /> 專業能力科目最快今年9月開課，如數位行銷策略。圖片來源：金管會</p> </blockquote> </div></div></div>
2022/7/12 17:48作者王若樸https://www.ithome.com.tw/news/151905
【資安日報】2022年7月12日，勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想著眼在勒索軟體的攻擊。勒索軟體BlackCat與HavanaCrypt都使用了過往相當罕見的手法，而值得留意後續的發展。</p> <p>有研究人員發現，打造勒索軟體BlackCat的駭客近期建置了新的資料庫Alphv Collections，其內容是從受害組織竊得的資料，值得留意的是，此資料庫提供了搜尋功能，該組織甚至標榜圖片上的文字也能搜尋，這使得其他駭客可能得以從這樣的資料庫輕易找到想要攻擊的目標。</p> <p>另一個勒索軟體是新出現的HavanaCrypt，駭客假冒為Google更新元件的軟體散布，此勒索軟體經過反資安人員檢測的偵測機制，以及一連串的停用應用程式、防毒軟體，以排除可能會干擾勒索軟體執行的元素後，該勒索軟體竟罕見地濫用了密碼管理器KeePass Password Safe來加密檔案，這種特別的做法引起了研究人員注意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p>比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對重新預設啟用Office巨集的配置，微軟表示只是暫時調整</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p>資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">為鼓勵企業強化資安防禦，臺灣企業資安投資抵稅正式上路</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> </div></div></div>
2022/7/12 18:02作者周峻佑https://www.ithome.com.tw/news/151907
悠遊卡終於將提供跨境消費，年底前可望在日本沖繩使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>悠遊卡公司推動已久的跨境支付終於有新進展，日前金管會核准悠遊卡跨境消費服務，可望在年底前開放民眾在沖繩使用悠遊卡付款。</p> <p>悠遊卡公司原本是計畫配合東京奧運舉行提供悠遊卡跨境支付，但因東京奧運延後舉行，加上疫情加劇，遲遲未推出服務，直到現在才確定這項消息。在金管會許可下，該公司與琉球銀行合作，預期今年下半年，國人前往沖繩旅遊，就能使用悠遊卡在當地商家付款，且按即時匯率，以臺幣扣款。</p> <p>為了推出這項跨境消費服務，悠遊卡和琉球銀行合作，歷經研發、技術串接、測試，到雙方國家金融監管單位同意，才終於要推出悠遊卡跨境消費服務。</p> <p>儲遊卡公司表示，目前已與琉球銀行合作，在沖繩將有超過1千家商店可使用悠遊卡付款，商家數仍在增加中，由於琉球銀行在日本各地也有布點，因此未來不只是沖繩，也可望擴大到日本其他地區使用。</p> <p>使用方式上，付款方式如同在臺灣使用悠遊卡一樣，結帳時以悠遊卡在商家的卡機上嗶一聲就能完成付款，商家的收銀機顯示商品的日幣價格，以及用即時匯率換算的臺幣消費金額，以臺幣扣款，消費者不需攜帶日幣現金，因採用即時匯率換算臺灣消費金額，也省下匯兌風險。</p> <p>需注意的是，持卡人需年滿20歲，可在沖繩跨境消費的卡種，限定只有記名的悠遊卡，悠遊聯名卡、悠遊金融卡、悠遊Debit卡，沒有記名的一般悠遊卡則無法跨境消費。另外，因為在沖繩無法為悠遊卡加值，建議在國內先開啟悠遊卡的自動加值功能，或是綁定悠遊付為悠遊卡自動加值。</p> <p> </p> </div></div></div>
2022/7/12 17:59作者蘇文彬https://www.ithome.com.tw/news/151904
東華大學與遠傳聯手導入5G專網，以無人機空中巡視校園安全、測試自駕車接駁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠傳電信與東華大學合作，東華大學將建置5G專網，在校園內導入無人機巡航，以及校園監控影像串流，結合AI影像辨識，改善校園安全，並測試自駕車的C-V2X技術，在校園內接駁、巡檢。</p> <p>位於臺灣東部的東華大學，校地面積約250公頃，是國內第二大的校園，由於校園內佔地廣大，校方近來積極投入智慧校園建置，利用科技協助校園管理，例如師生在校園內移動，多使用個人交通載具，如汽車或機車在校內移動，為強化校園管理，學校導入車牌辨識，加強對校園內汽機車管理。</p> <p>由於校園佔地廣大，駐衛警在校內巡邏不易，強化校園內的安全管理，因此該校也和遠傳合作，在校內24個偏辟的處所設置AI緊急求救站，取代舊有的求救鈴，這些緊急求救站可以雙向語音通話，並可顯示影像，與校園監視系統整合，結合AI影像辨識，例如偵測鏡頭前的人揮手求救或跌倒臥倒一段時間，觸發警告。</p> <p>此次，遠傳電信與東華大學進一步合作，遠傳利用切片技術，為東華大學提供5G專網，下載速度與上傳分別達500Mbps與100Mbps，目前先以東華大學主校區為主，尚未擴大至美崙校區。</p> <p>遠傳表示，目前先以切片技術為學校提供專網服務，未來視容量擴充的需要，校園內加建5G基地臺、邊緣運算，以擴大5G專網。</p> <p>結合校區內的5G專網，東華大學導入無人機，除了無人機的定期巡航校園，當校園內道路發生車禍時，在校方人員尚未抵達時，先派遣無人機至現場，或是針對車牌登記異常的車輛(汽車或機車)，以無人機在空中追蹤，結合校內的監控影像，提升校園內安全。</p> <p>在5G的高速傳輸之下，即時回傳影像，如串流無人機與校內監控影像，搭配AI影像辨識與、告警，強化校內安全。</p> <p>此外，校園內測試自駕電動車，在宿舍、教學大樓、行政中心，固定路線行駛接駁。這項自駕車測試還搭配5G C-V2X，連接校內的路口號誌，對自駕車提供碰撞告警。</p> </div></div></div>
2022/7/12 16:41作者蘇文彬https://www.ithome.com.tw/news/151896
中國處罰騰訊及阿里巴巴未申報的歷史併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.samr.gov.cn/fldes/tzgg/xzcf/202207/t20220710_348523.html" target="_blank">中國市場監管總局的反壟斷部門周日（7/10）發布公告</a>，針對28起未依法申報的併購案祭出行政處罰，當中光是騰訊就占了12起，阿里巴巴占了5起，而且最早可追溯到2011年。</p> <p>監管總局指出，這次的案件都是過去應該申報而未申報的交易，隨著反壟斷常態化監管持續進展，這次是企業自行調查歷史交易，同時主動回報涉嫌未依法申報的行為，並積極配合調查。換句話說，這波公告的違法併購案都是由業者自請處罰。</p> <p>其中，騰訊透過子公司在2011年買下了中國購物平臺好樂網的20%股權，由於同時取得好樂網的共同控制權，被中國《反壟斷法》視為應申報案件，但騰訊並未申報而被裁罰50萬元人民幣（約222萬元新臺幣）。</p> <p>另一起與騰訊有關的併購案，是騰訊在2016年透過關係企業取得了金融科技公司聯易融的17.65%股權，由於騰訊因此亦獲得了聯易融的共同控制權，再度被視為違法，同樣被判罰50萬元人民幣。</p> <p>其它被處罰的騰訊收購案還包括奇秦科技、DeepBlue Alpha、有車以后、森億醫療、智能制造軟件、鑄夢文化、龍合田玉影視文化、自娛自樂文化、速波賽爾，以及北半球國際文化，罰款皆為50萬元人民幣。</p> <p>至於阿里巴巴集團則因百世集團、芭樂互動、上海第一財經傳媒、上海駐雲信息科技，以及優酷土豆等5起併購案未依法申報而受到處罰，其中，阿里投資是在2015年買下優酷土豆的全部股權，不過，未申報的罰款同樣是50萬元人民幣。</p> <p>在中國周日的裁罰出爐後，騰訊與阿里巴巴在周一（7/11）的股價都以下跌作收。</p> </div></div></div>
2022/7/12 15:15作者陳曉莉https://www.ithome.com.tw/news/151894
Windows Autopatch正式上線了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-autopatch-has-arrived/ba-p/3570119" target="_blank">微軟周一（7/11）宣布</a>，針對Windows Enterprise E3及Windows Enterprise E5客戶所提供的Windows Autopatch正式上線了，啟用此一服務之後，微軟將會代替這些客戶執行Windows 10、Windows 11、Microsoft Edge與Microsoft 365軟體的更新服務，而且預計很快就會支援Windows 365雲端PC的更新。</p> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Windows%20Autopatch.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>有別於微軟的其它客戶必須手動執行Patch Tuesday的安全更新，Windows Enterprise E3及Windows Enterprise E5客戶可以選擇啟用Windows Autopatch，該服務基本上就是由微軟替這些大型企業配置及部署安全更新，也會分階段部署，在遇到問題時會自動暫停更新，若更新後效能變差，也能自動回滾。</p> <p>微軟表示，Windows Autopatch將可簡化大型企業的更新作業，並替企業的IT專家創造新機會，雖然企業也可以繼續自行更新，但微軟認為Autopatch得以在複雜的硬體與軟體配置中偵測到潛在問題，代表能在造成影響之前解決問題，且預期未來該服務偵測問題的能力將愈來愈強大。</p> <p>Windows Autopatch為一免費服務，但似乎還需贏得客戶的信任，微軟並未透露自5月底開放公開預覽以來，有多少客戶採用了該服務。對Windows Autopatch有疑問的使用者可造訪<a href="https://docs.microsoft.com/zh-tw/windows/deployment/windows-autopatch/overview/windows-autopatch-faq" target="_blank">該服務的常見問答頁面</a>。</p> </div></div></div>
2022/7/12 15:23作者陳曉莉https://www.ithome.com.tw/news/151895
BNPL業者Klarna完成新一輪增資，市值只剩1/7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2005年成立於瑞典、近來<a href="https://www.prnewswire.com/news-releases/klarna-closes-major-financing-round-during-worst-stock-downturn-in-50-years-301583680.html" target="_blank">以「先買後付」（Buy Now Pay Later，BNPL）聞名的金融業者Klarna本周宣布</a>，已完成8億美元的增資活動，增資後的公司市值為67億美元。不過，Klarna去年6月增資時市值還有456億美元，現在則僅剩1/7。</p> <p>Klarna主要提供網路上的金融服務，包括近來火紅的BNPL，顧名思義，該服務允許消費者可以先行購買商品，之後再分期或一次償還，以滿足未使用信用卡的族群。除了<a href="https://www.ithome.com.tw/news/151316" target="_blank">蘋果也在今年6月發表BNPL</a>之外，臺灣電商平臺PChome在今年6月推出的「慢點付」功能亦屬於BNPL服務。</p> <p>Klarna指出，此次的增資發生在可能是二次世界大戰以來全球股市表現最差的時刻，再加上高通膨、升息，以及全球對經濟衰退的擔憂加劇，諷刺的是，現階段卻也是Klarna在全球最受歡迎，也最強勁的時刻。</p> <p>目前Klarna已進入全球逾20個市場，全球用戶數超過1.5億，多過於美國運通，平均每天被使用200萬次，應用程式下載量超過6,000萬。</p> <p>而新的資金主要用來擴大美國市場，目前Klarna在美國的用戶數已接近3,000萬，品牌知名度高達6成，有30%的美國商家採用Klarna。</p> </div></div></div>
2022/7/12 12:49作者陳曉莉https://www.ithome.com.tw/news/151890
Walmart發表更多AR智慧零售創新，不只推個人化體驗還更將整合OMO全通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國零售巨頭Walmart智慧零售又有新做法，將推出更多個人化的零售AR創新，一款是讓消費者模擬自家擺設的AR工具，另一項是讓實體貨架在手機上秀出AR個人化資訊。甚至，Walmart又宣布收購光學AR技術公司Memomi，取得即時模擬穿搭的AR技術，將先用於眼鏡試戴體驗。</p> <p>Walmart早在2012年就已經涉入AR領域。配合特殊節慶或知名影視IP發布新作品，Walmart會推出主題AR商店濾鏡，以期達到增加停留時間跟引導動線的效果。走進Walmart線下店面的消費者，能透過手機看到特殊布景及人物，甚至可以進行互動，或解鎖特定小遊戲道具。這種做法技術門檻較為基礎，但一直沿用至今，顯示Walmart相當中意此做法。</p> <p>2018年，Walmart推出AR商品比較工具。消費者用手機鏡頭掃描貨架上商品標籤的條碼，畫面就會顯示出商品價格、顧客評價星數以及關聯產品。下次當手機指向同一款商品的位置，就會秀出消費者過去掃瞄這款商品的紀錄，方便消費者掃描多款感興趣商品後，來回將鏡頭指向這些商品，以快速比較價格與評價。這是Walmart第一項用於輔助線下購物的AR工具，讓消費者可以快速存取更多商品資訊。此工具開發團隊也曾在Walmart<a href="https://medium.com/walmartglobaltech/re-imagining-price-check-with-augmented-reality-41b8178a3e44">技術部落格分享開發過程</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm2018.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm2018.png" style="height: 400px;" /></a></p> <p>2019年，Walmart旗下倉儲式零售店Sam's Club執行長John Furner及Walmart電子商務執行長Marc Lore，不約而同在演講中提到，意圖發展更多AR用例。接下來3年間，Walmart也陸續推出新AR功能，應用情境更從線下零售，慢慢走到線上電商。</p> <p>Walmart為了增加員工補貨上架效率，2020年推出AR補貨輔助小工具。Walmart倉庫中的商品都用紙箱包裝，難以一眼辨識商品品項。以往員工尋找需補貨上架的品項時，需要逐個查看紙箱標籤，相當費時。利用此工具，補貨員工只要用手機鏡頭拍攝紙箱堆，就會在裝著需補貨品項的紙箱上，看到顯示視覺提示。使用此工具後，Walmart員工補貨作業時間降低為原本的三分之二。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png" style="width: 600px;" /></a></p> <p>到了2021年，Walmart開始在線上商務用應用AR，例如結合Facebook表情追蹤AR技術，讓消費者在購物直播中，露出笑容就可以將商品加入購物車。2022年，Walmart也在Snapshot的「Snap Scan and Shop」AR購物功能中，推出食物掃描功能。消費者掃描食物後，會秀出10條相關食譜，再引導到Walmart網站購買食材。</p> <p>過去AR電商應用，大多是將外部AR技術串接到Walmart線上商店。但最近，Walmart開始推出自行開發的AR電商功能，主打個人化購物體驗的強化。一項是AR模擬擺設的工具。消費者能在Walmart App中選取家具或擺設品，並切換到手機鏡頭畫面，即時模擬該商品於所處空間中的樣子。模擬擺設時，還可以調整顏色、角度等設定，也能直接將所選品項加入購物車。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm1.png" style="width: 600px;" /></a></p> <p>此功能除了展現出Walmart內部技術力足以自行開發AR電商功能，也是Walmart首項有客製化互動體驗的AR功能。Walmart過去的AR功能，消費者都是從大量資料中，挑選與特定資訊互動。例如從眾多商品中選擇欲下單品項，或是從海量商品資訊中選擇出比較商品。新推出的模擬擺設小工具，則是讓消費者挑選出中意商品後，自行嘗試擺設方法。</p> <p>另一項實體貨架的AR輔助資訊，消費者用手機掃描商場貨架或商品後，此工具能根據個別消費者資料，顯示專屬相關資訊。例如，可以顯示特定不含特定過敏成分的食材，或是適用消費者所持折價券的商品。2018年的以產品資訊為主的AR商品比價，更進一步能轉而顯示顧客的個人化資訊。目前還在開發階段，沒有明確推出時間。</p> <p>不只推出了線下或線上AR功能後，Walmart下一步要將AR用於OMO零售服務。Walmart要收購的Memomi公司，2019年就開始與Walmart合作，提供數位測量服務給Walmart及旗下零售店Sam's Club的眼鏡消費者。Walmart表示，收購Memomi之後，第一步就是利用Memomi的AR技術提供模擬眼鏡試戴服務，並強化Walmart全通路視力保健服務。</p> <p>Memomi的AR技術是「數位鏡」模擬穿戴功能，能在螢幕中即時模擬試穿、試戴及上妝，且能隨著鏡前消費者的動作，動態模擬不同角度和光影。Walmart去年已經收購模擬試穿技術商Zeekit，並在今年推出模擬試衣間功能，不過此功能是以圖像生成的形式，讓消費者幫虛擬分身換裝，不能更換姿勢或角度。收購Memomi，透露出Walmart相當重視模擬穿戴功能，並計畫用Memomi的AR技術，進一步強化模擬穿戴體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/memomimi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/memomimi.png" style="width: 600px;" /></a></p> <p>Walmart數日內相繼公布的AR相關消息，揭示了該公司發展AR應用的路線是，從線下到線上再到全通路，且從單一體驗走向客製化。收購AR技術公司，也透露出Walmart有意加速開發更多AR應用。</p> <p>圖片來源：Walmart、Memomi</p> <p> </p> </div></div></div>
2022/7/12 13:17作者郭又華https://www.ithome.com.tw/news/151891
HavanaCrypt勒索軟體冒充Google軟體更新 App散布，還寄生在微軟代管服務上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體經常冒充合法軟體加速擴散，<a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html" target="_blank">安全廠商趨勢科技近日發現最新勒索軟體</a>，偽裝成Google軟體更新（Google Software Update）App散布（下圖），還大膽使用微軟的網頁代管IP掩人耳目，並以多種手法躲避安全產品偵測。</p> <p class="rtecenter"><img alt="" src="https://blog.trendmicro.com.tw/wp-content/uploads/2022/07/image-28.png" style="width: 327px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／趨勢科技</span></span></p> <p>HavanaCrypt是一個.NET應用程式，使用開源的.NET代碼混淆工具Obfuscar（<span style="color:#696969;">下圖</span>）保護其程式碼，並以名為QueueUserWorkItem的.NET System.Threading命名空間方法，將多個執行步驟佇列執行。分析顯示，它使用了頗高明的手法避免被偵測到。例如，它一經執行即隱藏其視窗、檢查AutoRun登錄檔有無「Google Update」登錄檔，若未找到就繼續執行。接下來，它會啟動反虛擬化流程，旨在確保可迴避VM中的動態分析。例如，它會檢查有無VMWare Tools或vmmouse，或是和VM有關的檔案、執行檔及MAC address。一旦偵測到系統是在VM中執行，就終止執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Obfuscar.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ GitHub</span></span></p> <p>完成所有檢查後，HavanaCrypt從微軟網頁代管服務的IP位址下載一個批次（batch）檔。這個批次檔包含可設定Windows/Microsoft Defender掃瞄指令，使其略過Windows和User目錄下的任何檔案。它還會關閉數十種行程，包括MS SQL Server、MySQL，以及Microsoft Office和Steam、Firefox等桌機應用程式。</p> <p>關閉所有行程後，HavanaCrypt會查詢所有磁碟、刪除所有磁碟區陰影複製（shadow copies）、將最大儲存空間調到401MB，再以Windows Management Instrumentation（WMI）辨識出系統復原執行個體，再將之刪除。它還會自我複製執行檔到ProgramData和StartUp資料夾中，並設為隱藏檔或系統檔案。</p> <p>等完成前述準備動作後，HavanaCrypt得以蒐集機器多項資訊，包括處理器核心數、處理器名稱ID、socket、主機板廠商及名稱、BIOS版本及產品號碼等。</p> <p>在加密檔案時，這隻惡意軟體利用KeePass Password Safe（下圖）產生加密金鑰。被加密的檔案名稱都會加入.Navana的副檔名。它會避免加密某些副檔名，或是在特定目錄下的檔案，像是Tor瀏覽器，顯示惡意程式作者計畫使用Tor網路和受害者通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-KeePass%20Password%20Safe.png" style="width: 500px;" /></p> <p>研究人員表示，把自己的C&C伺服器架在微軟的網頁代管服務IP位址上，而且使用合法的加密工具KeePass來加密受害者檔案，都是勒索軟體較少見的行為。研究人員尚未發現勒索訊息檔案，顯示它尚未開發完成。</p> </div></div></div>
2022/7/12 13:32作者林妍溱https://www.ithome.com.tw/news/151892
Meta開源奠基於全球網路內容的AI知識語料庫Sphere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/introducing-sphere-meta-ais-web-scale-corpus-for-better-knowledge-intensive-nlp/" target="_blank">Meta的AI團隊本周開源了</a>一個爬梳全球網路內容的AI知識語料庫Sphere，號稱是全球最大的同類型語料庫，並利用Sphere打造了一個Side模型，可用來改善維基百科（Wikipedia）所引用的資訊的關聯性與正確性。</p> <p class="rtecenter"><img alt="" src="https://github.com/facebookresearch/Sphere/raw/main/sphere_logo.png" style="width: 350px;" /></p> <p>語料庫（Corpus）為知識密集型自然語言處理（Knowledge-Intensive Natural Language Processing，KI-NLP）的基礎，KI-NLP模型爬梳數位檔案來尋求問題的解答或進行事實查核，因此，語料庫的規模愈大，所能解答的問題也愈多。</p> <p>在現階段的KI-NLP研究領域中，研究人員多半是透過商業搜尋引擎或是Wikipedia來尋找答案，但Meta的研究人員認為，商業搜尋引擎就像是個黑盒子，人們可能不知道自己遺失了哪些重要訊息，而就算Wikipedia相對精確、有良好的格式，而且因為規模小而方便使用，但它畢竟是個眾包平臺，並未容納網路上的所有內容。</p> <p>而Sphere即是一個奠基在全球開放網路內容的語料庫，它是開源的、通用的、未經組織的、非結構化的知識來源，因此可支援各種KI-NLP任務。它內含1.34億個文件，具備9.06億個段落，每個段落都含有100個標記，比現今最大的知識語料庫多了一個數量級。</p> <p>Sphere的建置源自於Meta AI所開發的CCNet，CCNet為Common Crawl的變種，把每月固定爬梳全球網路的Common Crawl檔案去蕪存菁而來。</p> <p>Meta的AI研究人員指出，Sphere與搜尋引擎最大的不同在於它開放研究人員存取完整的語料庫，研究人員不僅能夠檢視並控制語料庫，也能展開不同的實驗來推動檢索技術的發展，另一方面，開源社群也將協助Meta辨識Sphere的檢索盲點。</p> <p>研究人員將可利用Sphere來訓練檢索器，以處理更廣泛的文件，或者是建置自動化系統來檢查不實資訊、噪音或不連貫的文字。</p> <p><a href="https://tech.fb.com/artificial-intelligence/2022/07/how-ai-could-help-make-wikipedia-entries-more-accurate/" target="_blank">Meta AI已利用Sphere打造了一個Side模型</a>，可用來協助強化維基百科的引用資訊，因為維基百科的編輯可能無法仔細檢查每一個引用的資訊，或是志願者在撰寫時無意中流露出的偏見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Improving%20Wikipedia%20Verifiability%20with%20AI%20by%20%20Meta%20Sphere.png" style="width: 600px;" /></p> <p><a href="https://openreview.net/pdf?id=qfTqRtkDbWZ" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></a></p> <p>目前Sphere仍是個研究中的產品，尚未實際應用於Meta自家的平臺上，也未與維基百科合作，只是以Side模型作為示範案例。</p> </div></div></div>
2022/7/12 13:47作者陳曉莉https://www.ithome.com.tw/news/151893
微軟仍決定預設封鎖Office中的VBA巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周微軟撤除預設封鎖Office 365的VBA巨集的決定，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">不過微軟周末又再提醒</a>，這個變更只是暫時的，微軟仍然會使其成為預設。</p> <p>按微軟的規畫，原本6月就將在Office中部署預設封鎖VBA巨集，同時也已著手準備。但<a href="https://www.ithome.com.tw/news/151843" target="_blank">上周三（7/6）</a>突然宣布從目前通道（Current Channel）撤回這項作業。微軟當時說過些時日會再將新的更新釋出到目前通道。</p> <p>正當一些用戶感到鬆一口氣，時隔兩天微軟又在7月8日更新中提供澄清，說明公司是在接獲用戶回饋意見後，暫時撤回這項變更，主要是為了做些調整，改進可使用性。微軟強調，這變更只是暫時性的，他們「全心致力於」讓它成為所有用戶的預設。</p> <p>微軟並未說明要做什麼調整。微軟原本的規畫是在檔案屬性中，加入關於巨集的勾選欄位。預設封鎖下，要使用巨集的使用者必須主動取消勾選，微軟可能是要讓受信賴的文件更容易啟用巨集。</p> <p>稍早在測試通道部署時，用戶抱怨預設封鎖讓文件使用變得很麻煩。若Office文件帶有巨集，Office應用程式會直接顯示有安全風險的橫幅警告而不給開啟，而非提供可啟用巨集的溫和安全警告。</p> <p>用戶抱怨取消勾選的地方很難找。根據現有設計，這要循以下路徑完成：「控制臺」＞「網際網路選項」＞「變更安全設定」。這還未考慮到一些IT管理員要管理數十或數百臺電腦的情形。其他人則抱怨變更VBA巨集會導致數位簽章失效，必須重新簽發。</p> <p>微軟還是沒說明明確的正式部署時程。在此之前，微軟提醒，用戶仍然可以透過「群組政策」設定來封鎖巨集。</p> </div></div></div>
2022/7/12 09:40作者林妍溱https://www.ithome.com.tw/news/151889
【資安日報】2022年7月11日，PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前許多鎖定程式開發人員的套件庫攻擊行動，大多是針對NPM而來，但最近2至3個月，有越來越多攻擊事件是針對另一個套件庫PyPI下手。這樣的情況，也使得PyPI做出回應，他們要求維護最熱門套件的所有者，必須使用雙因素驗證來存取帳號，或是管理、上架PyPI套件。</p> <p>又有新的勒索軟體出現，而可能對企業帶來嚴重威脅的情況！資安新聞網站揭露名為0mega的勒索軟體，這些駭客同樣先備份要加密的資料，對受害企業進行雙重勒索，但不同的是，駭客為了迫使受害企業願意付錢，他們揚言若不乖乖配合，就向合作夥伴、產業協會告狀。</p> <p>NFT遊戲Axie Infinity的區塊鏈網路Ronin Network於今年3月下旬遭駭，駭客轉走約6.25億美元加密貨幣，但駭客如何入侵此區塊鏈網路？有知情人士向新聞網站透露，駭客很可能是藉由徵才的名義發動網路釣魚攻擊，而能夠突破重重關卡來挾持區塊鏈。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> </div></div></div>
2022/7/11 17:21作者周峻佑https://www.ithome.com.tw/news/151881
新版Chrome正在調整CPU使用率以延長電池壽命
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutchromebooks.com/news/chrome-os-105-feature-boost-chromebook-battery-life/" target="_blank">科技部落格《About Chromebooks》近日披露</a>，Google於正在測試中的Chrome OS新增了「快速密集計時器節流」（Quick Intensive Timer Throttling）功能，可望降低Chrome OS對CPU的使用率，並延長電池壽命。而此一功能同樣也適用Chrome瀏覽器。</p> <p>其實Chrome團隊從2020年的Chrome 86，就開始測試「密集喚醒節流」（Intensive Wake Up Throttling）功能。當時是因為Google發現許多網頁都會於背景執行Javascript Timer（JS Timer），而且這些JS Timer每秒就會喚醒分頁一次，雖然所使用的CPU資源不到1%，但其頻繁度再加上眾多的分頁，即可能大量耗損CPU資源並降低電池續航力。</p> <p>於是Chrome團隊設計了Intensive Wake Up Throttling機制，只要分頁進入背景5分鐘之後，便限制JS Timer每分鐘只能喚醒分頁一次。當時的實驗顯示，此一機制可減少5倍的CPU使用率，並讓電池壽命延長1.25個小時，之後Intensive Wake Up Throttling即成為Chrome 88的預設功能。</p> <p>這次該團隊則是<a href="https://docs.google.com/document/d/1WFyfKUUxqM7uKxKOGhLiOjyY6T7QRduVcuHN0f6vJkk/edit#heading=h.wedbmu3vsfi9" target="_blank">自Chrome 103開始測試更進階的Quick Intensive Timer Throttling功能</a>，它同樣是基於Intensive Wake Up Throttling的概念，也是限制JS Timer每分鐘只能喚醒分頁一次，但把進入背景的5分鐘緩衝時間縮短為10秒。換句話說，只要網頁進入背景10秒鐘之後，其JS Timer執行頻率就會從每秒一次切換至1分鐘1次。</p> <p><a href="https://chromestatus.com/feature/5580139453743104" target="_blank">根據Chrome團隊的測試</a>，Quick Intensive Timer Throttling將能減少10%的CPU使用時間，進一步改善電池壽命。</p> <p>Quick Intensive Timer Throttling於Chrome 103中只是個實驗功能，到了Chrome 104即成為測試版功能，《About Chromebooks》持續在Chrome 105中發現它，意謂著它很有機會成為正式功能。</p> </div></div></div>
2022/7/11 16:26作者陳曉莉https://www.ithome.com.tw/news/151879
漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://haveibeenpwned.com/" target="_blank">外洩資料查詢平臺Have I Been Pwned（HIBP）本周新增了一筆外洩資料庫</a>，該資料庫隸屬於漫畫平臺Mangatoon（漫畫堂），內含2,300萬名Mangatoon用戶資料，不過，不僅Mangatoon官網上沒有任何說明，HIBP的創辦人Troy Hunt也聯繫不到該公司。</p> <p><a href="https://www.crunchbase.com/organization/mangatoon" target="_blank">根據Crunchbase的資料</a>，Mangatoon雖然是在香港註冊的公司，但總部位於上海，標榜每天都會更新免費漫畫，並釋出了支援Android與iOS的同名漫畫閱讀程式。</p> <p><a href="https://twitter.com/haveibeenpwned/status/1544793820076048384" target="_blank">HIBP指出</a>，此一資料庫外洩於今年5月，內含2,300萬名的Mangatoon註冊用戶，包括他們的姓名、電子郵件帳號、性別、社交媒體帳號、自社交媒體登入的授權令牌，以及基於MD5的加鹽雜湊密碼。</p> <p><a href="https://twitter.com/troyhunt/status/1544091508206252032" target="_blank">至於Hunt則說</a>，他不管是透過Twitter或電子郵件都無法聯繫上Mangatoon，且除了他之外，也有其他人試圖聯繫Mangatoon，卻都沒有得到回音。</p> </div></div></div>
2022/7/11 16:50作者陳曉莉https://www.ithome.com.tw/news/151880
專門銷售山寨版思科設備的美國男子被逮捕了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-and-entities-charged-scheme-traffic-estimated-1-billion-fraudulent-and" target="_blank">美國警方在6月29日逮捕</a>了專門銷售山寨版思科設備的Onur Aksoy，現年38歲的Aksoy自2014年至2022年間，持續自中國及香港進口價值10億美元的山寨版思科設備，並透過Amazon與eBay銷售，不法所得超過1億美元，因而被控告串謀銷售冒牌商品，以及郵件與電信詐欺等罪名。</p> <p>根據美國司法部的調查，Aksoy至少在美國成立了19家公司，於Amazon建立了15家商店，也在eBay設立10家商店，並使用不同的化名進口與經營不法業務。</p> <p>Aksoy引進了中國業者所打造的山寨版思科設備，這些設備通常是二手或是已停產的思科產品，由中國的製造商將它們偽裝成思科的最新產品，包括嵌入盜版的思科軟體或品質較差的元件，還仿冒思科的標籤、貼紙、盒子、文件或包裝，以把它們當成最新、來自思科原廠的產品出貨。</p> <p>不知情的受害者購買了這些產品之後，才發現它們的效能、功能或安全上有問題，並經常發生故障，受害者涵蓋醫院、學校、政府組織，甚至是軍方，此外，Aksoy不僅在美國銷售，也將這些山寨思科設備出售至海外。</p> <p>在Aksoy經營不法業務的期間，就算美國海關曾查獲並扣押180批的山寨版思科設備，但Aksoy卻以假名來回應海關，且思科也曾7次要求他停止銷售非法產品，但Aksoy亦不為所動。</p> <p>這使得美國警方於去年展開行動，先是在去年7月突襲Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將Aksoy逮捕。</p> <p><a href="https://www.ithome.com.tw/news/138867" target="_blank">資安業者F-Secure曾在2020年拿到</a>幾臺一家IT公司不小心買到的山寨版思科交換器，並與正版進行比較，發現它們就算包裝與外觀都非常相似，但金玉其外，敗絮其中，特別是山寨版採用了含有漏洞的元件，還繞過了思科的安全性檢查，至於該IT公司則是因進行軟體更新後，發現有些交換器就故障了，才察覺買到了假貨。</p> </div></div></div>
2022/7/11 15:07作者陳曉莉https://www.ithome.com.tw/news/151878
Google傳出準備拆分廣告業務以避免反托拉斯訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/google-offers-concessions-to-fend-off-u-s-antitrust-lawsuit-11657296591?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）上周引述消息來源報導</a>，Google準備拆分廣告業務來避免可能遭到美國司法部所提出的反托拉斯訴訟。</p> <p>根據報導，Google提議把廣告競標及廣告出版拆分為不同的公司，並納入母公司Alphabet的麾下。不過，<a href="https://www.cnbc.com/2022/07/08/google-offered-to-spin-off-ad-business-to-ward-off-a-new-suit-wsj.html" target="_blank">不管是《華爾街日報》或《CNBC》都懷疑</a>Google的提議是否能滿足美國司法部的期望。</p> <p>因為美國司法部曾經暗示它們希望Google的廣告業務可有結構性的改變，而不僅是變更商業策略，美國司法部的反托拉斯負責人 Jonathan Kanter曾說，倘若Google違法，司法部將不會讓步。</p> <p>美國司法部早在2020年就開始調查Google的廣告業務是否違反反托拉斯法令，報導則指出，司法部最快會在今年夏天提出訴訟。Google向媒體透露，該公司一直與監管機關合作以解決它們的擔憂，但並沒有出售或退出廣告業務的打算。</p> <p>Google最受批評之處在於陳列式廣告的出版商及廣告主都是透過仲介在電子交易平臺上競標，但Google不僅是出版商、也是廣告主，還提供了全球最大的電子交易平臺，等於跟該領域的所有玩家都是競爭者，被形容為身兼投手、打擊手與裁判。</p> <p>廣告業務為Alphabet最大的營收及獲利來源，在Alphabet今年第一季所創下的680億美元的營收中，就有接近547億美元來自廣告，占Alphabet總營收的8成。</p> </div></div></div>
2022/7/11 13:06作者陳曉莉https://www.ithome.com.tw/news/151876
Amazon EC2 M1 Mac執行個體服務正式上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過半年的預覽測試，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-m1-mac-instances/" target="_blank">AWS上周宣布</a>EC2 M1 Mac的執行個體服務正式上市（general availability，GA）。</p> <p><a href="https://www.ithome.com.tw/news/148175" target="_blank">AWS是在去年12月Re: Invent大會上公布EC2 M1 Mac執行個體</a>。</p> <p>Amazon EC2 M1 Mac執行個體是一臺以Mac mini電腦為基礎的機器，透過Thunderbolt介面連接AWS Nitro System，後者是一臺整合輕量hypervisor的專用硬體。EC2 M1 Mac執行個體讓Mac mini的行為和其他Amazon EC2執行個體一樣，也能整合Amazon VPC（virtual private cloud）、從Amazon Elastic Block Store （EBS）磁碟開機，使用EBS快照、Amazon Machine Images（AMI）、安全群組或其他AWS服務，如Amazon CloudWatch或AWS Systems Manager。</p> <p class="rtecenter"><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/05/29/2022-05-27_18-12-30-1024x818.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>EC2 M1 Mac執行個體讓開發人員得以使用搭載Apple M1 SoC的機器。Mac開發人員若想將App改寫以原生支援Apple Silicon-based Mac電腦，或為iPhone、iPad、Mac、Apple Watch及Apple TV開發App，都可以先在EC2 M1 Mac上開發並測試。AWS宣稱，比起X86-based EC2 Mac執行個體，EC2 M1 Mac執行個體在開發iOS及Mac App的性價比要高出多達60%。</p> <p>AWS首席開發傳教士Sébastien Stormacq也以EC2 M1 Mac執行個體測試一項開發專案為例，從開發、歸檔和執行單元測試，完整任務平均耗費49秒，比前一代EC2 Mac執行個體快47.8%。</p> <p>正式版EC2 M1 Mac比起去年12月公測時多加了一些功能，包括管理和監測用功能，例如Systems Manager和CloudWatch現在都預建在所有macOS AMI中，還有AWS CLI和AWS SDK等工具。EC2 M1 Mac執行個體也可整合其他AWS服務，如Elastic File System檔案儲存、AWS Auto Scaling和儲存金鑰的AWS Secrets Manager。</p> <p>他舉例一項使用情境。開發人員把iOS App發布到App Store前，可以將簽發binary用的金鑰和憑證儲存在Secrets Manager中。他可以先從macOS Keychain匯出憑證，上傳到Secretes Managers。等EC2 M1 Mac上建立執行個體時就可以下載憑證，再儲存於EC2 M1 Mac的keychain中。</p> </div></div></div>
2022/7/11 11:39作者林妍溱https://www.ithome.com.tw/news/151872
臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <h3><strong>最新投資抵減辦法正式發布，納入資安投資項目</strong></h3> <p>因應資安威脅日益嚴峻的態勢，近年政府持續推動資安即國安、祭出許多政策與規範，例如，資通安全法的推動與落實，近年也對上市櫃公司要求需在年報列出資安作為，並推動新興資安產業發展與資安人才培育，針對諸多層面來進行監管與培力。</p> <p>而在促進資安投資的面向上，政府也陸續推動相關計畫，例如，2019年針對政府機關單位的施政專案，已明定不同規模計畫資安預算需有一定占比，對於產業應用，也推出智慧製造資安強化推動主題式補助計畫等。</p> <p>為了加速廣泛民間產業投資資安防護，提升臺灣整體產業在全球供應鏈的信賴程度，今年1月27日，立法院三讀通過產業創新條例第10條之1修正案，經濟部在2月8日正式發布新修正版，當中最大亮點，就是增加資通安全產品或服務的投資抵減。</p> <p>到了7月4日，新版抵減辦法正式出爐。經濟部與財政部發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，除了產業創新條例子法名稱更新，更是讓資安抵稅邁入新的里程碑。</p> <p>在這項投資抵減辦法中，不僅延續2019年的政策，持續給予智慧製造與5G的投資抵減，延長3年，全新納入的推動重點，在於增訂資通安全產品或服務的投資抵減：政府希望藉由3年企業資安租稅獎勵，在短期內可帶動國家整體資安防護能力提升。同時，為了稅捐稽徵作業實務，以及考量設備或技術交貨後才產生投資效益，今年這項抵減辦法的適用認定年度，也從發票年度改採為交貨年度。</p> <p>對於企業而言，應該最關注的部分是這項資安投資抵減的適用範圍。</p> <p>從條文來看，此項辦法對「資安產品或服務」已列出明確定義，聚焦於終端與行動裝置防護、網路安全維護或資料與雲端安全維護，包含硬體、軟體、技術或技術服務，並以美國NIST網路安全框架（CSF）的5大構面，也就是基於辨識、保護、偵測、回應、復原來認定。</p> <p>符合上述需求的產品與服務類型有哪些？以識別而言，包含資通安全治理及風險評估、資產管理；以保護而言，包含端點裝置防護、網路安全防護、資料加密與保護，以及應用服務保護；以偵測而言，包含端點及網路偵測與回應、使用者行為分析，以及網路威脅情資運用；以回應而言，主要是對偵測到之資通安全事件，規劃並實施適當的行動，而且是「包括但不限於」資通安全事件之後的數位證據保存、數位鑑識、數位資產監控追蹤；以復原而言，包含異地備援，以及資料備份。</p> <p>但此項法令明確指出一種狀況，需要特別注意。若是安裝在個人電腦的防毒軟體或防火牆，將不可適用稅賦抵免，因為這並不符合促進產業投資與創新的目的。</p> <h3><strong>申報門檻100萬元起，為期三年，明年即可至線上申辦系統申報</strong></h3> <p>事實上，為了促進企業增加資安投入，多年前政府與產業間已有相關討論，例如，在2016年就有產業代表向政府建言，提出要驅動企業增加資安投入預算，可從資安投資抵減的方式，來誘使企業提高花錢做資安的意願。</p> <p>不過，在2019年增訂產業創新條例第10條之1時，經濟部主要聚焦智慧升級轉型與多元創新應用，在同年10月24日，公布其子法──「公司或有限合夥事業投資智慧機械或第五代行動通訊系統抵減辦法」，讓業者購置相關設備達百萬者，可享投資抵減，為期3到4年。</p> <p>現在2022年，隨著產業創新條例與子法的修正，不只延長智慧機械、5G系統投資，更是首度將資安投資也納入。對此，工業局產業政策組組長曹素維表示，將資安投資納入抵減，是從2021年就開始討論，今年正式公布施行。</p> <p>將從2022年元旦算起，企業在這三年購置資通安全產品或服務相關，不論是全新的硬體、軟體、技術或技術服務，都可申報投資抵稅。</p> <p>以申報門檻而言，當年度投資智慧機械、5G及資安支出金額合計達100萬元至10億元者，將可進行抵減，也就是說，這三類支出將會一併計算。</p> <p>而企業在明年申報時，一開始申報填寫基本資料時，就要選擇抵減率方式，分為兩種：一種是以支出金額5%，抵減當年度應納營利事業所得稅額，一種是以支出金額3%，抵減自當年度起三年內應繳營利事業所得稅額。並以不超過申請人當年度應納營利事業所得稅額三成為限。</p> <p>至於申請流程該如何進行？企業可以透過線上投資抵減申辦系統網站申請（<a href="https://www.idbtax.org.tw">https://www.idbtax.org.tw</a>），當中有填寫範本、常見問題回答等資源可供參考，同時，企業也要注意支出項目應一併檢附付款證明，方便稽徵機關查核實際支出金額，而在相關規範中，也特別要求自行製造或委由他人製造者需檢附文件。</p> <p>經濟部也表示，由於7月4日修正子法才公布，因此目前這個網站還沒有將資安投資的部分完全更新，後續將會進行調整，明年元旦企業開始要進行申報時，就可以由此下載新版附件清單檢核表，以及參考新版範本，已進行線上申報作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A81%EF%BC%89%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E6%B8%9B%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E6%99%BA%E6%85%A7%E6%A9%9F%E6%A2%B0%E8%88%875G%20%E7%B3%BB%E7%B5%B1%E5%8F%8A%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%94%A2%E5%93%81%E6%88%96%E6%9C%8D%E5%8B%99%E6%8A%95%E8%B3%87%E6%8A%B5_iThome%E6%95%B4%E7%90%86.jpg" style="width: 530px;" /></p> <table border="0" cellpadding="0" cellspacing="0" width="1048"><colgroup><col /><br /><col /><br /></colgroup><tbody><tr height="26"><td height="26" style="height:26px;width:233px;">修正重點</td> <td style="width:815px;"> </td> </tr><tr height="53"><td height="53" style="height:53px;">●抵減辦法名稱修正</td> <td style="width:815px;">修正「公司或有限合夥事業投資智慧機械或第五代行動通訊系統抵減辦法」，名稱並修正為「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」。</td> </tr><tr height="132"><td height="132" style="height:132px;">●納入資安投資並明確定義</td> <td style="width:815px;">第四條：本辦法所稱資通安全產品或服務，指為防止資通系統或資訊遭受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，確保其機密性、完整性及可用性，運用於終端與行動裝置防護、網路安全維護或資料與雲端安全維護，並具有辨識（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）功能之一之硬體、軟體、技術或技術服務</td> </tr></tbody></table><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E7%A8%85%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%B6%93%E6%BF%9F%E9%83%A8.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E7%A8%85%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%B6%93%E6%BF%9F%E9%83%A8.jpg.jpg" style="width: 600px;" /></p> </div></div></div>
2022/7/11 11:57作者羅正漢https://www.ithome.com.tw/news/151873
SpaceX推出海上衛星連網服務Starlink Maritime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SpaceX/status/1545126491364528128" target="_blank">SpaceX於7月8日正式發表了</a>專供海上船隻使用的Starlink Maritime衛星連網服務，這是SpaceX繼提供給個人、商家、休旅車的衛星連網解決方案之後，所推出的第四種服務，只是Starlink Maritime的月租費高達5,000美元，遠高於其它Starlink服務而引來了使用者的質疑。</p> <p>依照SpaceX的訂價，標準版的Starlink Internet提供50~250 Mbps的傳輸速度，每月月租費為110美元，一次性的設備價格為599美元；商用版的Starlink Business傳輸速度為150~500 Mbps，月租費為500美元，一次性設備費用是2,500美元；休旅車版本的Starlink RV月租費為135美元，提供50~250 Mbps的傳輸速度，設備費用為599美元；而最新的Starlink Maritime提供100~350Mbps的下載速率與20~40Mbps的上傳速率，月租費高達5,000美元，設備費用則是1萬美元。</p> <p>Starlink Maritime適用於商船、石油鑽井平臺及高級遊艇，號稱就算是最偏遠的水域都能連網，如同使用辦公室或家中的網路，強調可抵禦各種惡劣的氣候，也被SpaceX用來取得該公司火箭於海上著陸的高品質影片，不僅安裝簡單，也能自遠端監控及管理配備Starlink Maritime天線的船隻，並具備端對端加密的傳輸能力。</p> <p>不過，在Starlink Maritime發表後，旋即有使用者質疑用在休旅車上的Starlink RV只要135美元的月租費，移到船上卻漲了40倍，<a href="https://twitter.com/elonmusk/status/1545165611201728512" target="_blank">SpaceX執行長馬斯克（Elon Musk）則解釋</a>，它有著高效能的雙重終端，這對於在波濤洶湧的大海及暴風雨中保持聯繫很重要，而且這已經比其它替代方案便宜許多了。</p> <p>馬斯克說，SpaceX自己的船隻原本每月支付15萬美元的連線費用，而且連線品質比Starlink Maritime還差，另也強調要在惡劣氣候中強化產品品質並不容易。</p> <p>截至今年5月，SpaceX已發射了約2,500顆通訊衛星，於36個國家提供衛星通訊服務，全球用戶數已超過40萬。</p> </div></div></div>
2022/7/11 11:58作者陳曉莉https://www.ithome.com.tw/news/151874
微軟解決Microsoft/Office 365 App不預期關閉及Excel凍結的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/office/word-excel-and-powerpoint-close-unexpectedly-when-trying-to-open-cloud-documents-in-office-version-2205-0b0a1561-7ccc-4b9c-995c-83c52d48df20" target="_blank">微軟上周釋出Microsoft 365修補程式</a>，以解決多個Office App存取雲端檔案時意外關閉，以及Excel 365在切換某些工作表時發生凍結的問題。</p> <p>第一項問題造成Microsoft 365 App目前通道（Current Channel）用戶Office 365 的Word、Excel、PowerPoint開啟、儲存、上傳、下載雲端文件時意外關閉。而且這些App關閉時還不會顯示任何錯誤訊息。</p> <p>這個問題影響目前通道（Current Channel）的Office 365 App Version 2205，微軟已釋出Version 2206（Build 16.0.15330.20230）解決。用戶可循「檔案」>「帳號」>「更新選擇」>「現在更新」。</p> <p>每月企業通道及半年企業通道Microsoft 365其實不受影響，但微軟仍計畫在7 月的每月更新Version 2205版本加入修補程式。</p> <p><a href="https://support.microsoft.com/en-us/topic/excel-365-might-stop-responding-or-experience-performance-problems-when-switching-between-worksheets-b1e6f34a-fa19-4a45-87bb-5eb762b9e9f0" target="_blank">第二項問題</a>則是在Excel 365 App用戶使用包含PivotTable的工作表企圖切換工作表時，App效能下降或停止回應。PivotTable是在資料中使用篩選器（filter）的表格。該問題影響每月企業通道（Monthly Enterprise Channel，MEC）Version 2203版，以及半年企業通道（Semi-Annual Enterprise Channel）Version 2108及Version 2202預覽版。</p> <p>針對Excel 365的問題修補程式，已經包含在目前通道（Current Channel）及每月企業通道的Version 2204（Build 15128.20280）版本釋出。而對半年企業通道Microsoft 365，微軟預計透過7月每月更新釋出修補程式（應該是Version 2205）。</p> <p>單機版用戶就要留心了，因為微軟說明，Office 2019及2021版不會獲得修補程式。</p> <p>Excel 365用戶碰到問題卻沒有列在前述修補名單，微軟建議可以透過移除工作表中的篩選器來避免這個問題。</p> </div></div></div>
2022/7/11 10:18作者林妍溱https://www.ithome.com.tw/news/151867
【資安週報】2022年7月4日至7月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入2022年下半，本週最大的資安事故，莫過於上海公安資料庫資料外洩影響10億人個資且當局至今噤聲的消息，不過幣安（Binance）執行長趙長鵬提出看法，指出威脅情報團隊確實發現暗網銷售相關資料，並指出可能是該政府放在阿里雲的Elasticsearch發生錯誤配置暴露於外，或是工程師在CSDN撰寫文件時不慎把帳密寫入而導致。此外，關於資料外洩事件，還有一起是萬豪（Marriott）飯店遭入侵，導致20 GB的內部資料外流。</p> <p>在資安漏洞消息方面，本周OpenSSL 3.0修補一個RCE漏洞，由於應用廣泛，用戶必續盡快因應，還有Jenkins公告34個外掛程式存在漏洞，由於29個尚待修補，須留意修補動向。另外，威聯通（QNAP）近日警告勒索軟體Checkmate鎖定提供舊版SMB v1的NAS設備攻擊，呼籲用戶應停用舊版SMB服務。</p> <p>在網路威脅趨勢上，軟體供應鏈攻擊本周就有兩起揭露，主要是惡意NPM套件的手法正持續被駭客利用。像是Checkmarx發現駭客CuteBoi透過上千個帳號，上傳了多達1,283個惡意NPM套件，以散布挖礦軟體XMRig，同時另一家資安業者ReversingLabs揭露不同的NPM供應鏈攻擊行動，是駭客組織IconBurst去年底上架的數十個惡意NPM套件，故意取名與知名套件的名稱相近，一旦開發者打錯字就會下載到錯誤的套件，實際也真的發生2.7萬次下載，恐影響數百網站與應用程式。</p> <p>此外，Google最近揭露駭客租賃（Hack-For-Hire）的手法也值得關注，亦傳出資安業者發現勒索軟體RedAlert專為VMware ESXi伺服器設計的情形。另外勒索軟體Eternity、Maui與Hive的手法與動向也被揭露，</p> <p>另一方面，在資安防護態勢上，近日也有兩大消息。本周NIST終於公布後量子密碼學標準化競賽的首批確認名單，PKE/KEM獲選將成標準的有CRYSTALS-Kyber，數位簽章獲選將成標準的有CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，由於還有第四輪要進行，並且有些密碼學專家還在嘗試找出CRYSTALS-Kyber的威脅面，NIST也指出正式成為標準前可能還有些微變動，但鼓勵資安專家現在就能針對新的演算法進行研究，因應未來的採用與導入。</p> <p>此外，在俄烏戰事與衛星網路攻擊事件之下，這也讓國際間更加重視衛星通訊網路的防護，除了今年稍早美國CISA發布衛星通訊SATCOM網路威脅的警告與緩解，最近德國也針對產業發布指引，希望建立最低防護要求基準供當地業者依循。</p> <h3 class="rtecenter"><strong>本週重大關注資安新聞</strong></h3> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/151863#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_01(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_02.jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_03(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_04(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_05(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_06(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_07(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_08(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_09(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_10(1).jpg" style="width: 550px;" /></a><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E9%BB%9E%E9%BB%9E%E9%BB%9E.jpg" style="width: 550px;" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C0709.jpg" style="width: 550px;" /></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151769"><span style="color: rgb(0, 0, 0);">駭客聲稱從中國警方取得逾10億民眾個資，有可能是史上規模最大的資料外洩事件</span></a></strong></h3> <p id="A">駭客公布大量資料的情況，在3年前，<a href="https://www.ithome.com.tw/news/128338">曾有人於地下論壇集結近3千起事故洩露的個資Collection #1</a>，總共有近7.7億個用戶受到波及，但現在這樣的規模將被打破。根據<a href="https://www.reuters.com/world/china/hacker-claims-have-stolen-1-bln-records-chinese-citizens-police-2022-07-04/">路透社</a>、<a href="https://www.wsj.com/articles/vast-cache-of-chinese-police-files-offered-for-sale-in-alleged-hack-11656940488">華爾街日報</a>等新聞媒體報導，名為ChinaDan的駭客於駭客論壇Breach Forums，出售檔案大小逾23 TB的資料庫，他聲稱資料來自上海國家警察（SHGA），內容涵蓋10億名中國民眾的姓名、生日、身分證字號、聯絡電話、住址，以及犯罪紀錄，這名駭客開價10個比特幣，約相當於20萬美元。</p> <p>為了取信買家，ChinaDan公布了其中75萬筆資料，根據這些已被公開的資料，駭客取得的資料涵蓋1995年至2019年，華爾街日報對於其中的部分內容進行驗證，至少有5人的資料正確，該新聞媒體亦表示，某些案件的細節只有警方才會掌握相關資料。</p> <p id="B"><a href="https://twitter.com/cz_binance/status/1543700689611792386">大型加密貨幣交易所幣安（Binance）執行長趙長鵬也針對此事提出看法</a>，指出該公司的威脅情報團隊確實在暗網中，發現兜售上述資料的情況，並表示這些資料來自某個亞洲國家的政府，疑似是部署Elasticsearch資料庫所引入的臭蟲而導致資料外洩，<a href="https://twitter.com/cz_binance/status/1543905416748359680">也有可能是政府的開發者在中國開發者社群CSDN撰寫部落格時，不慎外洩相關帳密</a>。但這些資料是否來自中國政府？上海市政府和公安部門都尚未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/iconburst-npm-software-supply-chain-attack-grabs-data-from-apps-websites"><span style="color: rgb(0, 0, 0);">惡意NPM元件恐影響數百個網站與應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg" style="width: 300px; float: right;" /></a>有些NPM套件的供應鏈攻擊，因採用了高度混淆的JavaScript程式碼，而使得駭客能進行數個月攻擊行動而不被發現。</p> <p>資安業者ReversingLabs揭露從2021年12月出現NPM供應鏈攻擊行動，駭客組織IconBurst使用數十個套件，他們使用了與知名套件（如Umbrella JS、Ionicons）相近的名稱，例如上傳ionicio、ionic-icon、iconion-package、ionicon-package等套件，企圖藉由開發者可能會打錯字的情況，在受害電腦部署惡意NPM套件。</p> <p>這些套件迄今被下載超過2.7萬次，有超過6成是名為icon-package的惡意套件，達到17,774次。研究人員粗估，可能有數百個網站或是應用程式受到波及。</p> <p id="E">研究人員提出警告，雖然他們已於今年7月1日通報NPM？資安團隊，但NPM套件庫裡的IconBurst惡意套件仍尚未完全移除，研究人員呼籲開發人員安裝套件時仍應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/security-advisory-accidentally-exposes-vulnerable-systems/"><span style="color: rgb(0, 0, 0);">MITRE發布的資安通告疑曝露易受攻擊的IP設備主控臺</span></a></strong></h3> <p>資安通告若是曝露了過多資訊，有可能使得受到影響的系統更容易受到波及。根據資安新聞網站Bleeping Computer的報導，有讀者發現MITRE發布的4月份高危險漏洞安全公告裡，竟在參考資料裡，不慎列出了受影響的設備遠端管理網頁的連結，並指出一旦公布這類資訊後，攻擊者很有可能利用物聯網搜尋引擎Shodan、Censys等，來尋找存在相關弱點的攻擊目標下手。</p> <p>該新聞網站向MITRE確認此事，對方竟表示他們過往就列過這種型態的參考資料。CERT/CC漏洞分析師Will Dormann、Jonathan Leitschuh都認為MITRE的做法不妥，並表示在CVE資訊裡列舉易受到攻擊的對象，顯得對受到影響的單位不尊重。Bleeping Computer隨後發現，有部分CVE漏洞的資料來源，其實是中國研究人員在GitHub發布的文章，但MITRE疑似複製這些研究人員的發現，並以自己的名義在GitHub發布相關資訊（例如CVE-2022-25584，現此漏洞在GitHub的說明網頁已遭到刪除）。該新聞網站指出，他們向MITRE確認的數個小時後，前述讀者發現的參考資料已遭到刪除。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/countering-hack-for-hire-groups/"><span style="color: rgb(0, 0, 0);">Google公布駭客租賃服務手法，並封鎖相關網域</span></a></strong></h3> <p>駭客租賃（Hack-For-Hire）服務讓想要發動攻擊的人士，在無須具備相關技術，亦不需曝露身分的情況下，針對特定的目標下手。Google於6月30日指出，他們在追蹤駭客在印度、俄羅斯、阿拉伯的攻擊行動時，發現了駭客租賃服務的興起，對象包含了人權擁護者、政治活動家、記者，但也可能是一般民眾，這些受僱的駭客主要會運用網釣攻擊來入侵受害者的電腦，Google將這些駭客所用於網釣攻擊的網域加入Safe Browsing的黑名單。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cloudsek.com/threatintelligence/threat-actor-claiming-to-have-compromised-ibm-stanford-university-disclose-their-ttps/"><span style="color: rgb(0, 0, 0);">駭客聲稱攻陷IBM與史丹佛大學</span></a></strong></h3> <p>持續整合工具（CI）Jenkins成為駭客入侵組織的管道，且疑似有大型企業受害。資安業者CloudSEK在一個使用英文溝通的駭客論壇上，發現有人在5月7日聲稱，他們透過Jenkins儀表板的漏洞，成功入侵IT業者IBM，為了證明真有其事，這名使用者也附上了號稱是該公司Jenkins儀表板的螢幕截圖。研究人員指出，根據他們對於前述發文的駭客進行調查，這些駭客過往就曾經兜售IBM的初始存取管道，此外，還銷售多個政府實體（Entitiy）的Web Shell存取管道，因此真有其事的可能性相當高。</p> <p>這些研究人員發現，駭客藉由物聯網搜尋引擎Shodan，鎖定在網路上公開9443埠的企業資產，然後使用獨有的指令碼進行模糊測試，以便於存在漏洞的組織裡，藉由反向代理伺服器（RProxy）的錯誤配置，來進行攻擊。</p> <p id="I">除了IBM，駭客也提及他們如何入侵史丹佛大學──他們利用了Sudomy軟體列舉與大學相關的子網域，接著利用httpx程式找到WordPress網站的外掛程式路徑（/wp-content/plugins/），再藉由外掛程式的零時差漏洞來發動RCE攻擊。研究人員認為，上述的攻擊手法很有可能被其他人複製，對其他組織進行類似的攻擊，呼籲組織要落實網站應用系統的各式元件修補，並採取多因素驗證（MFA）等措施來防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-redalert-ransomware-targets-windows-linux-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體RedAlert鎖定VMware ESXi伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg" style="width: 300px; float: right;" /></a>駭客鎖定VMware ESXi虛擬化環境下手，並發動勒索軟體攻擊的情況，近期又有新的勒索軟體出現。資安研究團隊MalwareHunterTeam發現名為RedAlert（N13V）勒索軟體駭客組織，並指出已有組織疑似受害且不願意支付贖金，而遭到駭客公布。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案並進行解析，指出該軟體可在Linux主機上執行，是針對VMware ESXi所設計，因為，有部分的命令是專門為這類環境而設。例如，如果駭客下達了停止所有虛擬機器（VM）運作的參數，該勒索軟體就會執行esxcli的命令來關閉VM。</p> <p>該新聞網站指出，此勒索軟體採用了名為NTRUEncrypt的演算法加密檔案，且只對於LOG、VMDK、VMEM、VSWP、VMSN等副檔名的檔案執行加密，然後向受害組織索討門羅幣。此外，駭客可下達非對稱加密的命令，來對受害主機進行加密檔案速度測試。</p> <p id="D">值得一提的是，雖然上述勒索軟體鎖定ESXi而來，但研究人員在RedAlert的付款網站上，發現支援Windows作業系統的解密工具，由此推測駭客很可能也有開發Windows版的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/exclusive-marriott-hacked-again-yes-heres-what-we-know/"><span style="color: rgb(0, 0, 0);">萬豪飯店遭到駭客入侵，疑外洩20 GB機敏資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg" style="width: 300px; float: right;" /></a>飯店業遭到駭客攻擊，並發生資料外洩的情況，在疫情爆發前發生數起事故，這樣的攻擊行動隨著各國政府對出入境鬆綁又再度出現。資料外洩事故新聞網站DataBreaches於7月5日指出，他們在6月28日獲報萬豪（Marriott）飯店的資料外洩事件，不願具名的駭客組織宣稱在1個月前入侵，並竊得約20 GB的內部資料，當中包含信用卡交易資料，以及萬豪內部的資料。</p> <p>該新聞網站針對駭客提供的部分資料進行查核，發現資料來自該集團位於美國馬里蘭州BWI機場的飯店，這些駭客也向DataBreaches表示他們入侵了該飯店的伺服器。</p> <p>萬豪坦承確有此事，並認為他們之所以被入侵，是駭客經由社交工程攻擊員工得逞，進而存取該名員工的電腦。該公司指出，駭客能夠經由該名員工的權限存取相關資源，但目前沒有證據表明能存取其他的資料。這個說法看似合理，但駭客如果進行橫向移動，有可能得以存取其他資源。</p> <p id="J">該公司亦宣稱，在駭客向他們索討贖金之前就已察覺攻擊行動，並在6個小時就獲得控制，駭客竊得的是較不敏感的內部業務資料，不過他們仍需通知約300至400名受影響的人士，但對於這些人士的身分並未進一步透露。而針對贖金的部分，萬豪疑似贖金價碼過高，而沒有向駭客支付，駭客也表明沒有加密伺服器上的檔案。這起事故已是萬豪自2018年至今的第3次重大資料外洩事件。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png" style="width: 300px; float: right;" /></a>最近幾年駭客濫用滲透測試工具的情況相當頻繁，當中又以利用Cobalt Strike的攻擊行動最為常見，但有部分組織疑似開始改用其他工具來規避資安系統的偵測。資安業者Palo Alto Networks指出，俄羅斯駭客組織APT29（亦稱CozyBear、Dukes）約自5月下旬，開始利用名為Brute Ratel C4（BRc4）的滲透測試工具發動攻擊。</p> <p>BRc4是曾任職於Mandiant與CrowdStrike的紅隊演練專家Chetan Nayak製作，該名資安人員開發的動機就是要將其用於紅隊演練，替代Cobalt Strike，紅隊可在目標電腦上部署Badgers（相當於Cobalt Strike的Beacon），來接收攻擊者下達的命令，進行各式攻擊行為。</p> <p>研究人員指出，BRc4不若Cobalt Strike廣為人知，而且該軟體特別針對防毒軟體與EDR系統打造，使得這些防護系統幾乎無法察覺攻擊意圖。在APT29發起的攻擊行動中，駭客以寄送求職履歷的名義發動釣魚攻擊，挾帶惡意ISO映像檔，但ISO檔案內含的履歷檔案，實際上是Windows捷徑（LNK）檔案，一旦受害者開啟，就會觸發映像檔裡的OneDriveUpdater.exe，然後透過作業系統的Runtime Broker處理程序來載入BRc4的Badger元件。</p> <p>值得留意的是，Cobalt Strike與BRc4都是商業軟體，但前者已遭到駭客破解而大肆濫用，後者目前沒有類似的情形，究竟駭客如何啟用BRc4的軟體授權，而能用於攻擊行動？資安新聞網站Bleeping Computer取得Chetan Nayak的說法，很有可能是有客戶的員工洩露出去，威脅情報業者Advanced Intelligence（AdvIntel）則認為，駭客很有可能設立了假的公司，而通過Chetan Nayak對買家的背景驗證流程，成功買到BRc4的軟體授權。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/05/hive-ransomware-gets-upgrades-in-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以程式語言Rust開發，恐更加難以察覺攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png" style="width: 300px; float: right;" /></a>勒索軟體Hive自去年6月出現後，已為全球帶來相當嚴重的威脅，而當時駭客使用Go語言開發勒索軟體引起研究人員的高度關注，但近期這些駭客再度更換程式語言，重新打造勒索軟體。微軟於7月5日指出，他們近期發現的新版勒索軟體Hive，出現了重大的變化，那就是駭客重新使用Rust程式語言打造勒索軟體，而這是繼BlackCat之後，另一款採用此種程式語言打造的勒索軟體。</p> <p>研究人員指出，駭客會採用Rust開發的原因，包含對於開發者提供更為友善的程式語法，並對系統資源有較精準的控制而執行更有效率，除此之外該程式語言亦具備各式各樣的密碼程式庫，並提供多種機制實現檔案加密保護，而使得研究人員想要對惡意程式逆向工程將會更加困難。研究人員指出，他們找到了改以Rust開發的多個Hive變種檔案，而這些勒索軟體的共通點，在於能察覺攻擊跡象的防毒軟體並不多，即使能夠將其識別為有害，也無法確認就是Hive的變種。</p> <p>附帶一提，新版Hive的加密手法也相當罕見且複雜──駭客在記憶體內產生兩組金鑰，以橢圓曲線迪菲．赫爾曼金鑰（ECDH）交換協定，並結合Curve25519和XChaCha20-Poly1305兩種演算法，使用ChaCha20對稱密碼用來加密檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3> </h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-report-maui-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客使用勒索軟體Maui，鎖定醫療保健相關機構下手</span></a></strong></h3> <p>勒索軟體的威脅可說是越來越嚴重，除了惡名昭彰的Conti、LockBit、BlackCat、Hive，專門鎖定特定產業、過往不曾發現的勒索軟體也相當值得留意。資安業者Stairwell在上個月發現名為Maui的勒索軟體，研究人員指出，這個勒索軟體與其他同類型的攻擊工具，有顯著不同的功能差異，例如，Maui缺少多數勒索軟體提供勒索訊息功能，也不會向攻擊者回傳加密金鑰，研究人員由此推測，駭客必須手動操作Maui，並指定要加密的檔案。</p> <p>同一天美國網路安全暨基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國財政部聯手，針對此勒索軟體的攻擊行動提出警告，並指出是北韓駭客所為，這些攻擊者至少從2021年5月就開始行動，鎖定的目標是醫療保健與公共衛生組織（HPH）。他們呼籲這些單位應透過相關措施來嚴加防範，並藉由Stairwell提供的情資來識別相關威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.shi.com/uncategorized/recent-security-incident-statement-from-shi/"><span style="color: rgb(0, 0, 0);">北美大型IT服務業者SHI遭到網路攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png" style="width: 300px; float: right;" /></a>大型IT服務業者遭到網路攻擊，很可能使得使用者受到波及。北美大型IT服務業者SHI傳出於7月4日遭到了專業的惡意軟體攻擊，該公司亦表示他們已快速做出因應，來儘可能減少對於營運的影響。資安新聞網站Bleeping Computer指出，該公司部分網站一度出現資訊系統正在維護的訊息，或是顯示Amazon CloudFront、AWS S3出錯的畫面。該公司正與執法單位著手調查，並強調目前沒有客戶的資料遭到外洩的跡象，該公司的供應鏈無外部系統受到波及。</p> <p><strong style="font-size: 22px;"><a href="https://hackerone.com/reports/1622449"><span style="color: rgb(0, 0, 0);">漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利</span></a></strong></p> <p>員工竊取營業秘密的資料，再轉手賣給他人的情況不時傳出，而這樣的資料多半是關於公司的智慧財產（IP），或是重大決策的消息。但如今有漏洞懸賞平臺的員工自肥，將研究人員通報的漏洞私下拿來向客戶索取報酬。</p> <p>漏洞懸賞平臺HackerOne於7月2日發布資安通告，指出他們在6月22日接獲客戶的調查請求，該客戶發現有人使用rzlr的ID名稱，並透過HackerOne以外的管道，以語帶威脅的方式向他們通報漏洞，其內容與其他研究人員藉由HackerOne提供的資訊相當雷同，雖然多名研究人員通報相同漏洞的情況，在漏洞懸賞計畫可說是相當常見，但這起事件相當不尋常的是，該名通報者刻意尋求其他管道與其聯繫，使得這個接獲漏洞通報的用戶決定通知HackerOne。</p> <p>經HackerOne的資安團隊調查，是一名員工為了自身利益，截取研究人員在HackerOne通報的資料，然後以匿名的身分在該漏洞懸賞平臺以外的管道透露漏洞資訊，目的是取得額外報酬。根據該公司資安團隊追查，至少有7個客戶受害，HackerOne已解僱該名員工，並打算採取法律行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-finds-raspberry-robin-worm-in-hundreds-of-windows-networks/"><span style="color: rgb(0, 0, 0);">微軟針對惡意軟體Raspberry Robin攻擊行動提出警告</span></a></strong></h3> <p>有研究人員去年發現惡意軟體Raspberry Robin的蹤跡，現在出現了新的攻擊行動而引起關注。根據資安新聞網站Bleeping Computer的報導，微軟針對Microsoft Defender for Endpoint的用戶，近期提供的威脅情報指出，他們發現許多用戶的網路環境裡，出現名為Raspberry Robin的蠕蟲，主要的散布途徑是透過USB外接裝置，該蠕蟲程式還會透過合法的Windows工具，來繞過使用者帳號控制（UAC）。微軟已將相關攻擊活動標記為高度風險，呼籲用戶要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/analysis-and-attribution-of-the-eternity-ransomware-timeline-and-emergence-of-the-eternity-group/"><span style="color: rgb(0, 0, 0);">勒索軟體Eternity加密各式文件檔案，並利用WMI刪除系統備份</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png" style="width: 300px; float: right;" /></a>駭客組織Eternity對其他攻擊者銷售各式的惡意程式，包含了蠕蟲軟體、竊密程式（Infostealer）、DDoS攻擊工具等，其中近期該組織販賣的勒索軟體，引起了研究人員的關注。</p> <p>資安業者CloudSEK指出，他們注意到駭客近期對於Eternity推出的勒索軟體產生器產生高度興趣，研究人員根據找到的Eternity勒索軟體檔案進行分析，結果發現，此勒索軟體由C#和.NET編譯而成，在開始執行後會隨機產生一組密碼，並藉由RSA演算法加密，組成解密檔案所需的sendme.eternityraas，然後對受害電腦的資料進行加密，再透過Base64演算法對這些加密資料進行編碼，將其以sendme.eternityraas檔案存放在電腦的桌面資料夾，完成後會要求受害者將sendme.eternityraas傳送給駭客，而對方在收到800美元贖金後，會從上述檔案取得密碼並傳送給受害者，以便進行檔案解鎖的流程。</p> <p>而在加密受害電腦的檔案之後，研究人員發現，勒索軟體Eternity還會透過WMI來刪除系統的磁碟陰影複製（Volume Shadow Copy）檔案，並藉由登錄檔讓自己在電腦進入作業系統後就執行，而使得受害者更加難以因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/astralocker-ransomware-shuts-down-and-releases-decryptors/"><span style="color: rgb(0, 0, 0);">勒索軟體AstraLocker釋出解密金鑰</span></a></strong></h3> <p>勒索軟體駭客疑似為了避免執法單位找上門而決定收手，但這不代表他們打算就此改邪歸正。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客AstraLocker打算關閉相關業務，並將解密金鑰上傳到了惡意程式分析平臺VirusTotal，該新聞網站也確認駭客提供的解密程式確實能解鎖檔案，資安業者Emsisoft打算根據駭客的解密軟體，打造能因應組織所有攻擊行動的解密工具。</p> <p>這些駭客向Bleeping Computer表示，他們不想再發動勒索軟體攻擊，現在想要轉換跑道挾持他人電腦來挖礦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151768"><span style="color: rgb(0, 0, 0);">英國陸軍推特與YouTube帳號遭駭，並用於網路詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg" style="width: 300px; float: right;" /></a>駭客針對知名組織、名人的推特或YouTube頻道進行挾持，並用於詐騙的情況，不時傳出相關事故，但最近有一起駭客同時針對上述兩種帳號進行挾持的事故，而引起各界關注。根據加密貨幣新聞網站Web3 Is Going Great的報導，擁有36.2萬人追蹤的英國陸軍推特帳號，以及該單位擁有17.8萬人追蹤的YouTube頻道，於上週末遭不明人士挾持，置換成推銷NFT及加密貨幣交易的詐騙訊息，英國國防部證實此事並著手調查，並於7月4日表示上述的推特與YouTube帳號恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.avast.com/kids-discord-hacking-groups"><span style="color: rgb(0, 0, 0);">青少年透過即時通訊軟體Discord組成駭客團體，出售惡意軟體牟利</span></a></strong></h3> <p>網路犯罪的年齡層大幅下降，如今有研究人員發現，未成年的小孩疑似為了零用錢，加入銷售惡意軟體的行列。防毒業者Avast發現了一個Discord伺服器，當中的成員幾乎都是未成年的青少年，他們在打造、交易，以及傳播惡意軟體，這個組織疑似透過惡意軟體產生器與工具包，號稱無需實際撰寫程式，吸引青少年客製化惡意軟體的功能與介面樣貌，加入銷售這些網路攻擊工具，如：勒索軟體、竊密程式、挖礦軟體等。</p> <p>研究人員建議家長要留意小孩的狀態，若是他們開始使用dox、DDoS、Bot的網路術語，或是家裡網路流量大幅增加，小孩收到來路不明的新禮物等情況，就應該進一步了解，假若他們對駭客行為產生興趣，家長應鼓勵他們從事相關研究，並朝向白帽駭客與資安相關工作發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/dutch-uni-gets-cyber-ransom-money-back-interest"><span style="color: rgb(0, 0, 0);">遭到勒索軟體攻擊並支付贖金的荷蘭大學，2年後追回部分加密貨幣</span></a></strong></h3> <p>有大學數年前遭到勒索軟體攻擊，因執法單位追回部分贖金而幸運地彌補了損失。根據荷蘭新聞網站人民報（De Volkskrant）的報導，當地的馬城大學（Maastricht University）於2019年遭到大規模網路攻擊，駭客加密了數百臺Windows伺服器與備份系統，影響2.5萬名學生與員工，並向該校索討20萬歐元的比特幣，馬城大學為了讓學生能正常考試與完成論文，選擇向駭客低頭。</p> <p id="C">荷蘭警方於2020年追蹤到贓款流向，並查封洗錢者的帳戶，追回馬城大學先前支付的部分比特幣，經過2年後近期將歸還給學校。該新聞網站指出，這些比特幣的價值，已從支付贖金時的4萬歐元，現在價值大幅增加為50萬歐元。馬城大學表示，這些追回的贖金將用於幫助經濟拮据的學生。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p id="F"> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/jenkins-discloses-dozens-of-zero-day-bugs-in-multiple-plugins/"><span style="color: rgb(0, 0, 0);">Jenkins公布近30個零時差漏洞</span></a></strong></h3> <p>持續整合平臺Jenkins於6月30日，公告34個外掛程式的漏洞，這些漏洞存在於29個外掛程式，其中，該公司已修補了GitLab、requests-plugin、TestNG Results、XebiaLabs XL Release等4項元件的漏洞，但值得留意的是，仍有29個漏洞仍有待修補，這些尚未修補的元件已被安裝逾2.2萬次，根據物聯網搜尋引擎Shodan的資料，逾14.4萬臺曝露於網際網路的Jenkins伺服器有可能成為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/update-google-chrome-browser-to-patch.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome瀏覽器的零時差漏洞CVE-2022-2294</span></a></strong></h3> <p>Google<a href="https://www.ithome.com.tw/news/151379">於6月下旬推出Chrome 103版</a>，在2個星期後緊急推出更新，目的是為了修補已被利用的零時差漏洞。Google於7月4日，發布<a href="https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html">Windows版Chrome 103.0.5060.114</a>、<a href="https://chromereleases.googleblog.com/2022/07/chrome-for-android-update.html">Android版103.0.5060.71</a>，以及<a href="https://chromereleases.googleblog.com/2022/07/extended-stable-channel-update-for.html">延伸支援版本102.0.5005.148（Windows、macOS版本）</a>，該公司之所以推出這些版本，就是修補已經遭到利用的漏洞CVE-2022-2294，這是WebRTC堆積緩衝區溢位漏洞。相關用戶應儘速安裝新版Chrome來防堵攻擊行動。而這是今年以來Google修補的第4個Chrome零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.djangoproject.com/weblog/2022/jul/04/security-releases/"><span style="color: rgb(0, 0, 0);">網頁框架軟體Django發布新版，修補SQL注入漏洞</span></a></strong></h3> <p id="G">以程式語言Python打造的網頁框架Django，最近修補了SQL注入漏洞CVE-2022-34265，所有尚在支援的Django版本，包括3.2版、4.0版，以及尚在測試階段的4.1版都會受到影響。Django軟體基金會發布了3.2.14版與4.0.6版予以修補，並表示4.1版正式版本將包含相關的修補程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-cryptographic-algorithms"><span style="color: rgb(0, 0, 0);">NIST選出4款可防禦量子駭客的密碼學演算法</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）於2016年，針對量子密碼提出標準化的提案（Post-Quantum Cryptography Standardization），並公開徵求適用於這類運算的加密演算法後，最近有了重大突破。</p> <p>NIST於今年7月5日，將4種量子密碼納入標準，它們是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，以及SPHINCS+。這4種量子密碼，CRYSTALS-Kyber是應用於上網安全，其餘3種則是適用於數位簽章領域。</p> <p id="H">該單位指出，他們挑選CRYSTALS-Kyber量子密碼的原因，在於其密鑰檔案較小，以及執行速度較佳等特性；而對於另外三個量子密碼的用途，主要是針對數位簽章提供保護，適用於數位交易與簽署文件，當中又以CRYSTALS-Dilithium最適合做為主力，FALCON適合運用於需要更小的檔案簽章應用程式，至於SPHINCS+，NIST指出與認為此量子密碼的主要價值，在於採用了散列函數，而非其他3個所使用。NIST也表示他們正在評估另外4款量子密碼，並有機會將它們也納入標準。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.html"><span style="color: rgb(0, 0, 0);">德國發布衛星網路的資安防禦指引</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150871#ka-sat">衛星網路Ka-Sat在烏克蘭戰爭開打時就遭到破壞</a>，使得部分歐洲用戶受到波及，其中德國風力發電廠也因為採用此衛星網路遠端遙控發電設備而受到影響，該國近期也針對這種威脅發布相關的防護指南。</p> <p>德國聯邦資訊安全辦公室於6月30日，針對空中的基礎設施發布了IT防護的基準配置指南。此文件是德國聯邦資訊安全辦公室與空中巴士旗下的Airbus Defence and Space、德國太空中心（DLR）等機構合作長達一年的成果，目的是確保衛星從製造到正式上線運作的資訊安全，並列出各項保護工作的優先程度。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nato.int/cps/en/natohq/official_texts_196951.htm"><span style="color: rgb(0, 0, 0);">北約組織打算提升網路攻擊的因應能力</span></a></strong></h3> <p>俄羅斯對烏克蘭開戰後，不只頻頻對烏克蘭發動網路攻擊，鄰近國家也出現遭到波及的情況。對此，北大西洋公約組織（NATO）於6月29日在西班牙舉行的高峰會，公布有關的決策，當中特別提及北約盟國正面臨網路空間等不對稱的威脅，他們決定透過軍民合作的方式，來大幅增加網路防禦的能力，並將這項措施與能源的安全，視為盟國提升韌性（Resilience）的重要方針。而這是NATO自去年將網路攻擊視同武裝攻擊看待後，對於盟國之間的資訊安全的重大宣示。</p> <h3><strong style="font-size: 22px;"><a href="https://www.apple.com/tw/newsroom/2022/07/apple-expands-commitment-to-protect-users-from-mercenary-spyware/"><span style="color: rgb(0, 0, 0);">為防範間諜軟體攻擊，蘋果計畫在旗下電腦與行動裝置導入新資安功能</span></a></strong></h3> <p>間諜程式（如NSO Group開發的Pegasus）鎖定人手一隻的手機下手，針對政治人物或是新聞記者而來，這樣的情況近年來也越來越頻繁，使得手機廠商決定加入相關的機制來強化安全。</p> <p>蘋果於7月6日宣布，他們計畫在今年秋季發布的iOS 16、iPadOS 16，以及macOS Ventura等作業系統中，提供鎖定模式（Lockdown Mode），來防堵間諜程式攻擊的情況。在這種模式下，即時通訊軟體Messages將停用連結預覽功能，並阻擋圖片以外的附件；網頁瀏覽器也會在大部分的情況下，停用JavaScript的即時編譯（JIT）機制；而在手機鎖定時，該模式將禁止電腦與iPhone進行連接。</p> <p>此外，該公司亦在漏洞懸賞計畫增列相關類別，並提供最高200萬美元的獎金，他們也打算提供1千萬美元，來支持專門調查這類針對性網路間諜攻擊的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <h3><strong style="font-size: 22px;"><a href="https://tiny-check.com/"><span style="color: rgb(0, 0, 0);">為推廣行動裝置檢測工具TinyCheck，卡巴斯基設立專屬網站</span></a></strong></h3> <p>近期攻擊者透過手機間諜程式跟蹤被害人的情況，不時有事故傳出，使得相關的檢測工具顯得更加重要。卡巴斯基最近針對2年前推出的檢測工具TinyCheck，設置了專屬的網站，並提供相關說明，以便組織將此工具部署於單板電腦Raspberry Pi，以非侵入式的方法，來檢查手機上是否有手機間諜程式活動的跡象──該系統藉由檢查手機對外的流量，並辨識這些流量互動的設備，來找出是否有存取手機間諜程式伺服器的情況。</p> <p>該公司強調，此系統只會與手機的通訊對象互動，所有分析都會在本地進行，資料不會傳送給卡巴斯基或是其他單位。而此工具在問世之後，已有多個非政府組織採用，近期亦受到歐盟組織、記者、企業的注意，當地執法機構也正在進行相關評估，並打算用於相關事故的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/australias-monash-university-launches-public-bug-bounty-program"><span style="color: rgb(0, 0, 0);">澳洲蒙納許大學啟動漏洞懸賞計畫</span></a></strong></h3> <p>許多IT業者為了強化系統安全，紛紛推出漏洞懸賞（Bug Bounty）計畫，讓研究人員與駭客協助找出漏洞，而這樣的做法也有學術單位跟進。</p> <p>位於澳洲墨爾本的蒙納許大學（Monash University）近期推出了漏洞懸賞計畫，他們在漏洞通報平臺Bugcrowd成立這項專案，研究人員有機會獲得最高2,500美元的獎勵，抓漏範圍包含了該校的網域與行動版App，還有他們使用的網路設施，如VPN和FileShare實例（Instance）等。蒙納許大學資安長Dan Maslin指出，此專案的成立，是他們邁向建校最終成熟階段的重要里程碑。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/06/30/toll-fraud-malware-how-an-android-application-can-drain-your-wallet/"><span style="color: rgb(0, 0, 0);">騙錢軟體可能會停用安卓手機的Wi-Fi網路，暗中訂閱服務</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.horizon3.ai/red-team-blog-cve-2022-28219/"><span style="color: rgb(0, 0, 0);">研究人員發現Zoho的AD稽核管理系統存在重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2022/06/30/critical-security-release-gitlab-15-1-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補重大RCE漏洞CVE-2022-2185</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://edition.cnn.com/2022/07/01/politics/russia-ukraine-dtek-hack/index.html?"><span style="color: rgb(0, 0, 0);">俄羅斯駭客XakNet鎖定烏克蘭大型能源業者DTEK發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151818"><span style="color: rgb(0, 0, 0);">臺灣46家新創參加SelectUSA Tech競賽打響市場知名，1資安與2醫療新創嶄露頭角</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/30/infostealer/"><span style="color: rgb(0, 0, 0);">惡意軟體PennyWise鎖定加密貨幣錢包和瀏覽器資料發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-11_102026.jpg" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/7/11 10:27作者羅正漢https://www.ithome.com.tw/news/151863
Windows Subsystem for Android更新版新增VPN、IPv6支援等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/07/06/update-to-windows-subsystem-for-android-on-windows-11-july-2022/" target="_blank">微軟上周釋出</a>Windows 11的Windows Subsystem for Android（WSA）更新，加入VPN、IPv6支援，及進階網路（Advanced Networking）、強化影片播放及安全等新功能。</p> <p>微軟表示，最新釋出的WSA 2205.40000.14.0版在網路功能方面有重大變動。其中之一是進階網路（Advanced Networking），讓Windows 11 on ARM電腦上的Android App，可以連結存取和Windows電腦同一本地網路的裝置。更新版WSA也加入IPv6和VPN支援，強化子系統網路功能。</p> <p>新版WSA也更新了「設定」App，移除了VM的IP位址，這意謂著VM和主機電腦將為相同IP。同時也改善容器內虛擬Wi-Fi的效能和穩定性。</p> <p>WSA還強化影片使用經驗，包括改善影片播放、影片播放App螢幕不預期關閉、支援AV1 Codec編碼，也修正了App閃爍及影像毁損等圖形顯示問題。在上網體驗方面，則更新到Chromium WebView 101、改善網頁瀏覽器啟動的問題。</p> <p>安全性方面，Android Debug Bridge（ADB）指令列導向Windows強化安全，而且已確認安全的Android視窗也無法再擷取螢幕。其他功能還包括整合Android 5月核心修補程式、在充電時進入Doze（深層睡眠）及待機模式、並改善App中滑鼠和觸控板的使用。</p> <p>不過微軟警告，某些VPN服務並不支援進階網路功能。如果用戶仍需使用VPN，則必須先從WSA「設定」App先關閉之。</p> </div></div></div>
2022/7/11 09:46作者林妍溱https://www.ithome.com.tw/news/151866
四維擁抱AI掀起資訊架構變革，從生產數位化邁向營運支援
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四維集團內部，擁抱AI的風氣正在蔓延。兩年前一個實驗性AI膠帶品檢POC專案，為了準備大量的模型訓練資料，四維IT開始研究如何蒐集產線上的生產資料，也促成許多流程數位化的契機，更帶動廠區第一線人員熱切討論，催生了許多AI應用的提案。</p> <p>這些專案不只開始改善四維集團製造部門的工作流程，其他部門，如研發、採購、乃至人事等部門，也紛紛聞風跟進這個做法：研究AI用例、蒐集所需資料，再翻新工作流程和資訊系統。本來只是導入單一AI應用的一場實驗，竟變成了大規模的資訊架構改造工程。不只員工數位意識提升，工作流程逐漸優化，全集團到處都瀰漫著數位化的氛圍。四維集團資訊長廖俊儒說：「每次一點小改變，累積多了，也有點數位轉型的味道了。」</p> <p>短短兩年就有如此大規模變革，一切看似水到渠成，但廖俊儒說，要在傳產中推行數位政策，不是一件容易的事，主要有兩大面向的挑戰：人與組織、數據蒐集。</p> <p><span style="font-size:28px;"><strong>從採用雲端ERP，到開始探索AI</strong></span></p> <p>四維是海峽兩岸第一家成立的膠帶公司，已有近70年歷史。四維很早就開始重視IT，1976年成立電腦中心，2004年時甚至直接將IT部門獨立成一家SI公司，成立了速訊數位整合公司。四維也積極採用數位管理系統，每十年就有一項重要的資訊建置。1990年代，電腦中心自行開發了MIS系統，2000年代開始導入商用軟體Notes來打造簽核系統，2010年代為了即時監控產線，更在工廠端建置了內部的連網環境。</p> <p>到了2019年，四維決定用Oracle ERP取代舊有MIS系統。這套新的ERP部署在Oracle Cloud公有雲，也讓四維IT思考，如何善用雲端的新功能和ERP上的龐大數據，來改善集團的工作流程。</p> <p>2020年初，四維希望利用ERP上的品檢資料來訓練AI模型，搭配AOI設備來進行膠帶產線的動態品質檢測。這正是揭開一系列改革序幕的首個AI專案。</p> <p><span style="font-size:28px;"><strong>推動產線資料蒐集，建立工單與生產資料聯結</strong></span></p> <p>不過，四維這個專案很快就面臨了第一個挑戰，訓練AI模型需要大量生產數據，但在生產機臺上的數據，卻沒有匯出機制。初期先靠人工到生產現場抄寫，後來發展出資料拋轉機制，透過設備PLC機制自動匯出生產資料。因為是第一次的AI專案，為了搜集第一批訓練資料，從設計資料蒐集方式，研究不同設備的PLC協定，到打造出資料自動拋轉機制，花了半年才蒐集完示範線的生產數據。</p> <p>不料，四維用PLC生產資料搭配物性檢測資料建模後，發現模型有待改善。主要原因，是兩種數據的時間序列沒有對齊。</p> <p>訓練這個AI需要兩部分的資料，擁有各種生產參數的PLC生產紀錄，以及在ERP上的品檢資料，但是，廖俊儒解釋，生產機臺系統上沒有工單資料，只有機臺本身的運作資料。所以，四維IT從ERP工單的排程，依據每一張工單的計畫生產時間，來撈取對應時段的機臺生產資料。但是，工廠會依據生產現場的情況來微調，例如因產線清洗作業而調整，生產端執行工單的順序不一定會依據在ERP上的事先排程。只有仰賴現場操作人員，在生產當下即時輸入最新的工單、工號等資料，才能將機臺資料跟工單建立正確的連結。</p> <p>多了一道工序，現場操作人員一開始覺得麻煩而意願不高。廖俊儒和其他主管嘗試創造更多誘因，例如簡化報工流程、提供外籍作業人員母語介面等，來說服第一線人員。漸漸的，不論是以自身豐富經驗為傲的老師傅，還是認為操作困難的外籍員工，都開始擁抱改變。部分第一線人員，甚至自己開始思考，如何進一步優化流程，主動向主管提出更多調整建議。</p> <p><span style="font-size:28px;"><strong>AI知識和數位化概念，在廠內激盪蔓延</strong></span></p> <p>趁著品檢POC半年數據蒐集期間，廖俊儒也到臺灣人工智慧學校進修，高層看到成效不錯，要求更多主管參加。兩位廠長帶頭跟著參加進修，不只將更多AI知識帶回廠內，在場內進行的實驗性AI專案，更引起了不少討論，進而吸引越來越多的廠內主管前往進修。這樣的良性循環，最終形成了一股廠內的AI熱，四維集團工廠上下都在熱烈討論，如何用AI來支援自己的工作流程，也開始審視製程中的許多環節，紛紛提出了各種點子。</p> <p>廖俊儒解釋，產線參數設定與調整，過去仰賴老師傅的經驗傳承，多數時候只知其然而不知其所以然，也不曾質疑傳承下來的做法。「當大家開始討論AI時才意識到，還有許多生產環節存在改善空間。」</p> <p>到了2021年，第一次AI專案實驗結束。廖俊儒坦言，雖然專案模型成果未達預期水準，不過，期間的嘗試、AI知識進修以及大量內部討論，都有助於未來更多AI專案的執行。製造部門內的討論風潮，更傳到其他部門耳中，也紛紛詢問IT，是否也能用AI來優化自己的工作流程。</p> <p><span style="font-size:28px;"><strong>更多部門導入AI，規模化挑戰伴隨而來</strong></span></p> <p>當各部門的AI需求越來越多，四維在2019年ERP上雲的建置發揮了關鍵作用。廖俊儒分析，後續其他AI專案能順利推行，雲端技術帶來的財務彈性是一大助力。AI實驗初期，不容易估算後續運算需求，要在本地端備妥足夠的硬體，前期需要一筆高額的投資。雲端與建置本地端硬體的不同之處，在於可以依據需求調整租用量。這意味著，後續加大力道推動AI時，IT部門能依需求逐漸擴充用量，而不需一次性的龐大硬體建置支出。他說，雲端架構讓四維IT有時間累積實際成果和正面聲量，也能控管AI實驗時的財務支出。他強調，「沒有Cloud，就沒有AI。」</p> <p>不過，製造部門的AI實驗變多，加上其他部門紛沓而來，雖然提升了IT部門的地位，但也帶來了更多挑戰。</p> <p>首先是數據蒐集難度提升。隨著AI應用規模變大，四維IT不只要解讀不同PLC系統的通訊協定，還要設計資安機制，才能從過去封閉的工廠網路環境中，安心拋轉多種產線資料到公雲環境。擴大蒐集更多部門資料時，也需花大量時間梳理、清洗後才能寫入資料庫。為此，四維IT還成立專責的數據整合部門，打造系統化的資料介接機制。</p> <p>不只是數據的挑戰，其他部門開發AI專案時，需要先探討AI應用情境、盤點所需數據，甚至可能還需要翻新該部門的工作流程及舊有資訊系統才能搜集到AI模型需要的資料。廖俊儒舉例，IT搜集人事系統數據時，才發現集團各地系統，會因法規不同而有各自的資料結構設計，無法直接彙整再利用。為了統一資料結構，甚至可能涉及評量辦法等人事制度的調整，光是資料搜集環節，就花費大量時間。這些部門的討論過程，IT人員也都必須參與。AI專案越多，對IT帶來的工作負擔就越大。</p> <p>為了降低IT人員負擔，四維在2022年初導入Auto ML技術，讓想開發AI專案的部門，能自行先嘗試產生AI模型，協助在工作中提出建議。經過嘗試，決定出執行方向後，IT才加入討論，研擬如何蒐集所需資料。廖俊儒觀察，這些部門使用自助式AI工具後，也展開了許多關於AI的討論透過Auto ML的先期篩選，更可以讓IT 專注在有效益的AI專案上。。</p> <p>然而，就算縮短IT人員參與專案的時間，或讓使用者分擔更多工作，越來越多的AI題目，還是讓IT備感人手不足，如何管理大量AI專案更逐漸成為一大挑戰。面臨這些難題，廖俊儒決定從組織面下手。</p> <p><span style="font-size:28px;"><strong>將IT人員培訓成PM及AI人才，只招聘原生雲世代工程師</strong></span></p> <p>廖俊儒開始強化IT人員的定位和職能。他認為，工作量增加太快，未來難免需要委外，IT人員應開始學習專案經理的能力，在了解使用者端需求後，來負責管理委外單位的工程師。因此，他設計了一套五年的IT培訓計畫，從資深程式設計師、系統分析師、系統架構師，一路到成為專案經理，參與培訓的人員，完成各階段的任務，表現優異者能升職到新角色。</p> <p>這項培訓計畫不只可以用來強化現有人員的職能，也有助於招募人才。廖俊儒直言，傳產要招募IT人才，尤其是AI人才，非常困難。四維招聘新人的策略是，先瞄準在學時就接觸過雲端技術的「原生雲世代」，也在招募時就用培訓計畫和升遷管道作為誘因，吸引原生雲端開發人力。AI人才則不從外部招募，而是從內部IT團隊挑選出合適者，轉到AI部門接受進一步培訓。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /><strong style="font-size: 20px; color: rgb(105, 105, 105);">四維集團資訊長廖俊儒表示，隨著集團內AI需求增加，IT人員應該學習專案經理的技能，擔任管理內部需求及外部工程師的角色。</strong></p> <p><span style="font-size:28px;"><strong>未來計畫提升AI在集團內價值，要用科技支援高層營運策略</strong></span></p> <p>過去四維集團內推行AI，都是由使用者端提出小型專案。廖俊儒說，用小專案快速做出成果的模式，是為了驗證AI確實有助於改善生產流程，也能盡早呈現實質成果給集團高層。</p> <p>不過，隨著這種模式執行了兩年，AI專案數量大增後，廖俊儒發現，大量的小型專案，不僅方向發散難以管理，也不見得能跟營運策略結合。</p> <p>下一步，四維計畫透過訪談聚焦集團高階主管想法，從更全面的角度來盤點集團需求，再集中財務和人力資源，優先執行此大型專案。廖俊儒認為，從管理階層視野，來規畫大型AI專案，才能將AI對於集團的價值，從支援工作流程，提升到支援集團營運策略。<span style="color:#696969;">文⊙郭又華、王宏仁</span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></p> <p><strong>四維企業集團資訊長廖俊儒</strong></p> <p>學歷：中國文化大學數學系</p> <p>經歷：曾任立錡科技資訊部副理、Oracle ERP 顧問、元信達資訊經理。現任速訊數位整合公司協理，擔任四維集團CIO，導入Oracle ERP及Cloud架構、AI、AutoML等技術以支援生產管理和品檢等用例，並協助多處部門翻新資訊系統。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%88%E8%8F%AF-%E5%9B%9B%E7%B6%AD-%E5%9C%96%E4%B8%89-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89(2).jpg" style="width: 200px;" /></p> <p><strong>四維企業</strong></p> <p>地址：新北市三重區光復路一段83巷1號1樓</p> <p>成立時間：1954年</p> <p>主要業務：以鹿頭牌膠帶行銷全世界。產品類型涵蓋產業與消費性市場的各種膠帶產品</p> <p>員工數：臺灣600人，全球2,000人</p> <p>董事長：楊慧玲</p> <p>總經理：張書明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：四維企業集團資訊長、速訊數位整合股份有限公司協理</p> <p>資訊部門主管姓名：廖俊儒</p> <p>直屬主管：張書明總經理</p> <p>資訊部門人數：20人</p> <p>IT預算：人力預算 2,500 萬，系統維護 1,000萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1976年：成立電腦中心</p> <p>1990年代：電腦中心改名為資訊部，自行開發MIS系統</p> <p>2000年代：導入Domino Notes系統提供簽核</p> <p>2004年：資訊部獨立為速訊數位整合公司，負責四維集團海內外公司IT開發和維護</p> <p>2010年：產線建立內部連網環境，支援產線即時監控</p> <p>2019年：導入ERP，汰換自行開發的MIS系統</p> <p>2020年：利用 PaaS 自行開發BPM整合外圍系統，汰換Domino Notes。同年成立專責數據整合部門與雲端開發部門。</p> <p>2020年初～2021年初：啟動第一個AI專案POC，協助品質穩定，引發內部大量AI應用討論，多次派主管參與人工智慧學校課程。花了半年時間進行資料搜集，將示範產線機臺數據集中到數據中台後，提供足夠數據訓練POC的模型。</p> <p>2021年：展開更多AI專案，建立系統化資料介接機制，經由內部系統改善優化，收集更多資料到資料庫。各部門參與AI實驗，導入AutoML工具提供各部門自行訓練ML。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_-960.jpg" width="960" height="420" alt="" title="四維企業集團資訊長廖俊儒　（攝影／洪政偉）" /></div></div></div>
2022/7/11 07:00未署名https://www.ithome.com.tw/people/151841
實現差別生長演算
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在生成藝術當中，仿生是個熱門主題，也就是透過程式來模擬生物行為，從而構成自然界可見的一些美妙圖案，先前我在<a href="https://www.ithome.com.tw/voice/149092" target="_blank">專欄〈淺談反應擴散系統〉</a>談過的圖靈紋，就是以反應擴散系統進行模擬而得，文中談到<a href="http://books.gotop.com.tw/v_A597" target="_blank">《A-Life 使用Python實作人工生命模型》</a>，該書也還有著其他仿生的演算方案可以參考。</p> <p>不過，我會去研究圖靈紋如何生成，其實是看到了類似圖靈紋的圖案，該圖案是從一條線開始，不斷地扭曲並適時地增加線上的點，點與點之間不會重疊、不會相距太遠、線段之間也不會交錯，最終構成了類似圖靈紋的圖案，而且仍然是一條線，我們可以想像最後形成像是腸道蜿蜒的樣子。</p> <p>許多生成藝術創作者，將這個過程稱為差別生長（Differential Growth），不過，單就差別成長這個名詞而言，主要是生物或醫學領域研究的對象，基本上是指生物組織各部位會以不同速率成長，影響成長速率的因素很多，從這點來看，反應擴散系統也是一種模擬差別成長的方式。</p> <p><span style="font-size:28px;"><strong>仿生的差別生長</strong></span></p> <p>相較於反應擴散系統是基於粒子的擴散與反應，生成藝術創作者所謂的差別生長，目前我找到的最早資料，是2015年左右以<a href="https://bit.ly/3PHk87Z" target="_blank">Floraform</a>生成設計系統模擬介紹的文件，後續介紹差別生長演算的文件，多是基於<a href="https://bit.ly/3sWfIAC" target="_blank">〈SHEPHERDING RANDOM GROWTH〉</a>提出的要素為基礎，這些要素包含：節點與邊、邊的切分時機、新增節點、節點間的引力、斥力。</p> <p>前面幾個要素容易理解，節點相連之後構成邊，邊的切分時機可以是隨機選取一個邊，或者走訪每個邊，看看邊的長度是否適合切分，若適合、就新增節點，但問題在於引力、斥力如何實現？必須結合物理、化學或生物之類的相關理論或模型，才會看來具有仿生的效果，這是實現差別生長前的一大難題。</p> <p><span style="font-size:28px;"><strong>群聚演算</strong></span></p> <p>談到引力，很容易想到萬有引力，但節點之間還有斥力，而這就會聯想到磁力。實際上，磁力有引力與斥力之分，隨機地給予節點引力或斥力，也可以構成有趣的圖案，發展過程像是活的生物行為，實體世界也能模擬出來，有興趣的人可以參考<a href="https://bit.ly/3wJGEG5" target="_blank">〈The behaviour of ball bearings〉</a>中的電擊影片。</p> <p>問題在於點與點間不能重疊，又不能相離太遠，也就是說，每個節點會同時具有引力、斥力，從這點來看，力的模擬方面比較像是可拉開、可壓縮的彈簧，能分別以拉力與彈力來模擬引力與斥力。</p> <p>不過，仿生方面的演算最麻煩的，在於如何簡化模型（例如簡化力的模型）以及選擇適當的參數值，往往參數值之間構成微妙平衡，才會呈現仿生的圖案。為了有實際的程式可以參考，我後來找到了<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>，其中談到的群聚演算，與生物行為模擬有直接的相關。</p> <p>所謂的群聚演算，最初由Craig Reynolds在1986年於<a href="https://bit.ly/3yTfHRL" target="_blank">〈Flocks, Herds, and Schools: A Distributed Behavioral Model〉</a>提出，他實作了Boids程式，用以模擬羊、鳥等個體決策下會展現出何種群聚行為，而在維基百科的〈Boids〉，我們可以看到其中基本要素，包含了區隔（separation）、凝聚（cohesion），以及對齊（alignment）等指向力（steer）。</p> <p>「區隔」容易理解，是避免彼此過於擁擠的指向力，相當於差別生長的斥力，「凝聚」是個體往鄰近群體移動的指向力，就像羊會選鄰近的羊群靠攏，「對齊」是找出領頭羊的指向力，這決定了各個羊群的行動方向，因此，「凝聚」與「對齊」相當於差別生成的引力。</p> <p>《The Nature of Code》作者Daniel Shiffman在〈Flocking〉實現了Processing的Boids程式，可以在畫面中以滑鼠點選新增個體，新個體會朝最接近的群體靠攏，整個畫面就如多個羊群的移動模式。</p> <p><span style="font-size:28px;"><strong>實作差別生長</strong></span></p> <p>因為力有方向及大小，實作時，如果以向量來表現會是比較容易處理的做法，在〈Flocking〉與<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作中，就都是基於Processing的PVector來實現。</p> <p>由於個體行為彼此獨立，每個節點會封裝計算指向力的相關資料，以及各自的位置、速度與加速度（這三者都是以向量表示），因為牛頓第二定律的力公式是F=ma，若質量m為1，那麼，力F的套用就是直接與加速度a相加減，也就是簡化為向量的加減，這部分可以參考<a href="https://bit.ly/3NDaPnJ" target="_blank">〈力的建模〉</a>。</p> <p>由於許多節點參與模擬，勢必要有系統來管理、協調節點，例如選擇邊的選擇、切分、節點生成等，以及何時該更新整個系統，這就是粒子系統，在<a href="https://bit.ly/39VY9tT" target="_blank">〈粒子系統〉</a>中，我談到粒子系統的概念與實現方式，而就<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作來說，Node類別代表各自獨立的粒子，DifferentialLine則是粒子系統的角色。</p> <p>在<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>中，節點的凝聚指向力（引力）是朝向兩個鄰居節點的位置中點，這會令圖案構成彎曲，節點的區隔指向力來自與其他節點間的距離，任兩個粒子距離小於指定的值，就會產生區隔指向力，而且區隔指向力會累加，這就使得粒子不會重疊，粒子與粒子間的邊也不會交錯。</p> <p>在計算區隔指向力的累加時，有個必須考量的效率議題，因為必須計算任意兩個節點的區隔指向力，直覺的實現方式下，有n個節點就會需要n*n次的計算，然而節點會越來越多，若成長到一千個節點，就會需要一百萬次計算。</p> <p>所幸的是，B對A產生區隔指向力，其實，相對地也是A對B產生的區隔指向力，只是方向反了而已，因此計算出B對A的區隔指向力時，直接將向量反向，就是A對B的區隔指向力，以迴圈實作時，內層迴圈會次數會遞減，如果以這種方式實現，只需要n(n+1)/2次計算，也就是若成長到一千個粒子，只會需要五十萬次左右的計算。</p> <p><span style="font-size:28px;"><strong>差別生長的多樣性</strong></span></p> <p><a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作雖然運用了群聚演算，但這裡做了簡化，沒有實現對齊指向力，因為沒有領頭羊的效果，最後展開的圖案外圍大致上都會形成圓形，若加入領頭羊的效果，或許會展開不同的樣貌，透過雜訊（例如Perlin）來干擾力道或速度，這也是展現不同樣貌的一種方式。</p> <p>最後在繪製圖形方面，可以選擇繪製線段，或者將全部的線連成多邊形來展現，若選擇繪製線段，可以在每一次影格繪製時不消除背景，這會形成線段漸變的效果，也可以選擇在每個影格時，於不同高度（z方向）繪製線段，這就構成了3D模型。</p> <p>為了能夠更進一步第掌握差別線段生長的演算，我試著將<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的範例，重構為p5.js的版本，並且將Node與DifferentialLine的職責重新分配了一下，應該有助於理解如何實作，有興趣可以進一步參考<a href="https://bit.ly/3LKaBtY" target="_blank">〈Differential line growth with p5.js〉</a>。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E4%BB%BF%E7%94%9F">仿生</a></div><div class="field-item even"><a href="/tags/%E5%B7%AE%E5%88%A5%E7%94%9F%E9%95%B7%E6%BC%94%E7%AE%97">差別生長演算</a></div></div></div>
2022/7/11 07:00作者林信良https://www.ithome.com.tw/voice/151846
【從支援性待命部隊，變成全集團SRE戰略部門】7年上雲維運學會的重要課題，千億電商巨頭3階段SRE大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>快時尚電商Zalando是一家不到15歲的鞋子和服飾品電商，在臺灣知名度雖然不高，但他們是歐洲最大的服飾電商平臺。2022年第一季的顧客人數高達4,800萬人，超過5,800萬張訂單，全部都是透過網路平臺完成。Zalando一年營收約100億歐元，相當於臺幣3,100億元，相當於臺灣2021年前三季所有電商營收金額的總和。</p> <p>Zalando在歐洲23國提供服務，從賣鞋子起家，到後來銷售各種服飾用品、體育用品，超過4千個品牌，累計近89萬件商品。甚至，Zalando不只是服飾業者，更靠技術拓展其他商業模式，例如他們各國官網總流量一年高達50億人次，其中85%來自手機，這促使Zalando開始提供了官網或App的廣告服務，作為品牌商數位行銷通路之用。不只電商和廣告業務，他們還打造一套自家的支付平臺，每年經手的金額高達20億歐元，等於是一家頗具規模的金融科技公司，Zalando還將自己在全歐建置的物流系統，打造成一套B2B物流服務，來支援其他品牌實體門市的供貨，Zalando就像是歐洲服飾圈的Amazon一樣的地位。尤其在Zalando決定大力擁抱公雲，更採用微服務架構，取代老舊的單體式架構，才能支援業務在歐洲多國的布局。他們一年投資在物流和科技建置的預算高達4、5億歐元，約臺幣130到150億元。</p> <p>從第一年營收600百萬歐元到現在的100億歐元，14年營收成長超過1,600倍，科技力是Zalando撐起如此龐大的交易規模背後的關鍵。</p> <p>為了支援未來全歐多國的營運布局，2014年底，Zalando決定大力擁抱公雲，導入Docker容器技術，開始發展微服務架構，來取代老舊的單體式架構。上市後隔年，也就是2015年，Zalando開始往平臺化戰略發展，要將自己變成生態圈的技術平臺商，開始對合作夥伴和生態圈輸出技術服務。這時，Zalando擁有1萬名員工，超過1千名IT工程師，200個開發團隊。</p> <p>2016年，Zalando陸續完成了各項系統的上雲轉換，將自己變成了一家雲端原生架構的電商平臺，也開始進一步導入K8s，2019年時，Zalando就是靠部署在公有雲上的118個k8s叢集，撐起全歐各國的電商平臺，甚至是黑色星期五大採購都順利完成。Zalando自己也是K8s的資深貢獻者，累計到2022年，開源了超過47個元件。</p> <p><span style="font-size:28px;"><strong>上雲兩年遇到維運大考驗，待命人手不足，決定導入SRE</strong></span></p> <p>但是，Zalando上雲之路不是一帆風順，2016年時，雖然大多數系統已經完整架構轉換而部署的公有雲上，而最早上雲的團隊也有超過1年的雲端維運經驗，但是，他們卻遇到了擁抱公雲後最大的維運難題，甚至影響了他們各部門平臺的正常運作。</p> <p>Zalando首席軟體工程師Pedro Alves在自家部落格上公開了這一路導入SRE的三階段發展過程，他坦言，完全上雲之後，對工程團隊帶來很大的衝擊。因為上雲之後，工程團隊得全權負責自己打造的軟體，從設計，開發，測試，部署到最重要的「維運」，研發工程團隊都得負責。「這是在全面上雲之前，他們沒有意識到改變，這件事帶來截然不同於開發的挑戰和複雜度。」他強調。</p> <p>Zalando原本的系統大多是以Java技術打造的單體式大型應用，上雲過程同時進行架構轉換，變成了分散式的為服務架構。研發團隊熟悉的是從軟體開發角度的維運經驗，上雲之後，不論是監控、自動測試、部署，到各種雲端服務事件的處理，甚至是雲端Runtime的管理，都是與本地端大型單體應用截然不同維運經驗。</p> <p><span style="font-size:28px;"><strong>待命支援人力不足，成了Zalando的超級痛點</strong></span></p> <p>同時進行AP架構和IT基礎架構的轉換，在轉換成微服務架構之後，Zalando設立了5個待命團隊（On-call）來支援當時超過200個開發團隊適應新架構。</p> <p>可是，待命團隊擅長的仍舊是單體式架構的開發和維運，Docker容器技術和微服務架構對他們來說，也是全新的學系。轉換到新架構，一方面要將原本所有服務的維運做法，都需要重新建立新的標準化做法，另一方面還要在雲上快速發展各種新應用，許多技術支援工單，卡在待命團隊等待回答，上百個開發團隊遲遲等不到回答，又不知道該如何更妥善的維護已經上雲的服務，缺乏根本的標準解方，讓研發團隊得花不少時間來救急，疲於應付經常發生的維運麻煩。Pedro Alves直言：「待命團隊的能力，跟不上新的技術需求，因此，沒有辦法滿足新服務的技術支援，而且愈來越無法負荷。」</p> <p><span style="font-size:28px;"><strong>階段一：開始導入SRE，按產品線設置SRE小組</strong></span></p> <p>2016年，剛好是Google發表《Site Reliability Engineering: How Google Runs Production Systems》這本書的那一年，Zalando 工程團隊一看到這本書就大受啟發，覺得說中了自己的痛點，積極說服高層後，決定大力擁抱SRE。</p> <p>從Pedro Alves公開的當年的討論SRE導入的腦力激盪圖，可以看到Zalando最大目標就是要解決待命支援不足的問題，希望讓待命支援可以持續。他們也是先從辨識各種事件和失敗特徵，定義SLO、量測 SLO，並且要建立監測、警示機制等等，開始著手。Pedro Alves回顧，SRE導入成功的另一個關鍵因素是Zalando原本就擁有不怕改變的文化，因此，作出決定後就毅然地全面擁抱SRE。不過，仍然有一個重要的課題，怎麼配置SRE團隊？Zalando在2016年時已經有1千名軟體研發工程師，產品線也很多，後來決定，不是建立一個超大的SRE團隊，也不是在各團隊下各自設置一名SRE人力。而是「按照產品叢集來建立SRE團隊，一個團隊負責一個叢集，一個SRE團隊負責同一個產品網域下的所有維運責任。」Pedro Alves指出。</p> <p>另外，Zalando也透過內部問卷，搜集內部各團隊對於SRE角色的意見和期待，來凝聚對SRE定位的共識，最後歸納出這個角色的能力定義：SRE具有軟體工程能力、維運思維、系統工程能力、軟體架構技能和問題解決能力。這五大能力也成了日後Zalando建立內部人才庫的重要參考方向，不只用來培養SRE人才，而是要求各種角色的工程師，都要培養這五大類的能力。這一步是促成了日後SRE能力普及到更多團隊的關鍵。</p> <p>接著，Zalando成立第一個SRE團隊後，第一個工作就是設計SLI（服務水準指標），以及訂出想要達成的SLO（服務水準目標），也打造了一款內部使用的SLO報表工具，並舉辦工作坊來對內部上百團隊的產品PM和工程師介紹SRE。甚至在每年最重要的網路購物週的因應計畫中，也舉辦SRE工作坊，來討論購物潮網站的各項可靠性設計，來因應這個年度最大的交易爆量考驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E7%B6%AD%E9%81%8B%E5%B7%A5%E5%85%B7%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Zalando現在所用的SLO監測儀表板，更容易從顧客角度來觀察可能造成服務當機的徵兆，例如會監測顧客加入購物車的行為。</strong>圖片來源／Zalando</span></p> <p><span style="font-size:28px;"><strong>階段二：取消產品SRE小組配置，將SRE工作交給各產品交付小組</strong></span></p> <p>不過，搜集了大量SLI指標維運數據之後，空有SRE數據， SRE團隊卻沒有解決待命支援不足的問題，也沒有善用這些維運數據來改善開發。Pedro Alves點出最大的問題是，原本的SLI指標以微服務的可用性運作來設計，但是隨著微服務越來越多，甚至發展出4千個微服務，一個產品可能由數十個或上百個微服務來支援，對工程團隊來說，越來越難從上百個微服務的SLI指標數據來判斷。</p> <p>Zalando決定改變SRE導入策略，從工具面和組織面兩方面開始調整。一方面改良SRE工具和SRE做法，從產品管理層級來管理SLO的達成情況，而非監控微服務工程層級的龐大SLI指標數據，也不再用當機事件的指標數據，改用事件徵兆來設計警示機制，改為搜集那些可能造成當機事件的事前訊號，例如記憶體快速暴增的趨勢，來提前發布預警，來減少誤判，還設計了新的事件處理流程，區分出異常狀況和緊急事件的不同處置做法，並進一步區分不同的改善做法對顧客或是業務能帶來的效益，優先採取更有利的做法。</p> <p>另外，也開始注重待命工程師的健康，避免長期疲勞帶來的影響。最重要的是，Zalando開始累積SRE維運指標的成效數據，來評估所設計的可觀測性指標，是否符合當初所設計的目標，用這套數字來規畫SRE工作的KPI，定期量測結果，回報和檢討這些 KPI。</p> <p>另外，為了統整分散在不同工具中的SLO資訊，也打造了一個新的服務水準管理工具，可以提供營運角度的SLO報表，讓管理團隊快速掌握目前各項網站或平臺的服務水準狀態，也可以查詢還有多少錯誤預算（Error Budget）可用，方便來安排各項任務的優先順序，尤其是出錯預算越吃緊的關鍵服務，一但有需求就得優先處理。</p> <p>另一方面，Zalando也改變了SRE團隊的配置方式，取消了原本在各產品下所設置的SRE團隊，將SRE工作改交給各產品團隊中的交付小組（Delivery Team）來接手，讓他們接手自己產品中關鍵服務的維運，要求產品交付團隊必須具備SRE能力，來負責自己所有關鍵產品的待命工作。</p> <p>改良SRE做法，再加上由交付團隊接手待命工作後，2017年時終於解決了Zalando的待命人力不足問題，足足花了2年才客服，而SRE事後檢討報告（Post-mortem）也成為各產品團隊的習慣做法，SRE做法也累積出了一套最佳實踐，包括了監控機制，事件應變，混沌工程和可靠性工程。</p> <p>雖然取消了各產品團隊下的SRE小組，但是Zalando在2018年時，建立了兩個SRE輔助團隊，一個是在數位基礎架構部門（共用功能開發部門）下設置了SRE啟動團隊，負責輔導各產品團隊導入SRE，另一個是負責改善SRE體驗的開發團隊，接手打造各種SRE工具。這兩個團隊一起參與全公司的SRE推動計畫，持續將分散式SRE追蹤機制導入到所有團隊，也要運用SRE蒐集到的維運數據，來支援各平臺網頁的載入優化以及各產品基礎架構的腰話工作。另外，SRE計畫成員還要支援網購周事前準備，由SRE計畫成員負責接手網購活動的負載測試，甚至在黑色星期五活動期間，兩個SRE輔導團隊的人員也要在活動戰情室中待命。這個單一SRE 計畫雙團隊的運作模式做法一直持續到了2018年底。2019年更直接合併成一個專責SRE團隊，開始發展各種更細緻的SRE做法，例如關鍵業務流程的維運，可以提前發現當機問題的徵兆預警機制等。</p> <p>2019年時，Zalando更參考Google在SRE手冊中提出的服務可靠性架構（Service Reliability Hierarchy）來發展更長期的SRE戰略。一方面利用這個服務可靠性架構來修正現有的SLO，希望從「對使用者產生什麼影響的角度」，來尋找更適當的觀測能力機制，讓事件應變和管理更有效率。</p> <p>不只在監控機制上搜集各種數據，針對事件應變建立更多待命機制，或善用Postmortem事後分析來尋找根本原因分析，也更重視發布前的測試，來減少出錯，並強化容量規畫的自動化能力，甚至在開發階段就要納入可靠性設計思維，產品設計上也要考慮大規模發布的策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E5%BE%AE%E6%9C%8D%E5%8B%99%E7%9A%84%E8%80%83%E9%A9%97.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>隨著微服務越來越多，Zalando甚至發展出4千個微服務，一個產品可能由數十個或上百個微服務來支援，對工程團隊來說，越來越難從上百個微服務的SLI指標數據來判斷。</strong>圖片來源／Zalando</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-SRE%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google(2).jpeg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">2019年時，Zalando更參考了Google在SRE手冊中提出的服務可靠性架構（Service Reliability Hierarchy）來發展更長期的SRE戰略。</span></strong><span style="color:#696969;">圖片來源／Zalando</span></p> <p><span style="font-size:28px;"><strong>階段三：SRE升格一級單位，發展長期戰略讓業務單位也嵌入SRE實務</strong></span></p> <p>2020年時，Pedro Alves指出，因為SRE實踐成果，帶來了很大的幫助，讓Zalando決定，提升SRE團隊的組織位階，成立一個SRE部門，來推動這一套SRE戰略。這個SRE部門的位階，跟其他產品或研發部門並行，也要負責規畫更長期的企業SRE戰略。</p> <p>他指出，SRE組織升格之後的改變，原本的SRE團隊是任務編組，講求彈性來因應特定任務的專案，但變成一個部門後，就需要訂出一個日常目標，SRE部門的目標，就是將SRE可觀測性做法標準化。</p> <p>Zalando甚至開始一套SRE課程，來擴大SRE效益的規模，設置了一個攝影棚，拍攝一系列的線上課程，由SRE各主題專家設計內容，每個主題一部影片和一份測驗。</p> <p>最後，還把這一系列SRE課程，列入新人訓練內容。任何工程師都必須完成這套SRE實踐的入門課程。</p> <p>另一方面，Zalando希望將SRE更普及各項產品和服務，不只與維運相關的部門，甚至連業務部門都要透過這個課程，對SRE觀念有更多了解。2022年，Zalando下一階段的SRE工作目標是，將產品管理對標到SRE戰略，在SRE部門下發起了一個新的團隊，稱為SRE嵌入團隊，要建立一系列KPI，讓產品管理可以和SRE對標標，從高階主管和產品管理的角度，來促成SRE與各業務部門的合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968-SRE%E6%8E%A8%E5%BB%A3%E6%94%9D%E5%BD%B1%E6%A3%9A.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了擴大SRE效益，導入到業務部門，Zalando甚至設置了一個攝影棚，拍攝一系列SRE線上課程，由SRE各主題專家設計內容，還把這一系列SRE課程，列入新人訓練內容。</strong>圖片來源／Zalando</span></p> <p><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/news/151848
如何統一1200名工程師的技術方向，Zalando就靠技術雷達圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術選擇決定了一家企業IT技術的發展方向，如果押錯平臺，可能會多走不少冤枉路，這企業IT向來的課題，對歐洲快時尚電商Zalando而言，更是一個十分棘手的難題。</p> <p>Zalando所有業務都是靠技術平臺來實現，為了支援電商、支付、廣告和物流等多元營運模式，Zalando擁有一個1,200人規模的開發團隊，採取敏捷開發模式，分成了250個開發團隊，各自負責不同的產業市場和應用需求。</p> <p>每個團隊都會面臨各式各樣的技術選擇，但每個團隊的任務差異很大，從資料，開發到維運任務都有，尤其，在Zalando上雲之後，不只開發團隊，連基礎架構團隊要支援的工具和語言也越來越多，如果沒有一套做法，放任各開發團隊自行挑技術，最後，各自用的技術越來越多元，不只維護代價越大，互通的複雜性也越高。</p> <p>如何統一250個團隊的技術方向，Zalando的解法就是靠技術雷達（Tech Radar）。Zaoando要求各團隊都要參考這一份共用的技術清單，作為新專案挑選出最佳技術的參考，而不需要每一次發起專案都從頭進行技術評估，工程師可以參考這份清單來選擇合適的技術。因為每個團隊都是用同一份技術清單來挑選，因此，就能夠確保不同專案用的技術，都在雷達圖的範圍，來實現技術方向的聚焦。</p> <p>Zalando不是自己憑空想像出這個技術雷圖，而是參考了業界知名的IT技術顧問公司Thoughtworks的技術雷達圖。在技術雷達圖上，列出不同類型技術的推薦採用程度，用不同的環來代表不同推薦程度，越靠近核心環，代表這項技術的推薦程度越高。Zalando根據自己的需求，聚焦軟體開發相關技術，分為四大類型的技術：資料儲存，資料處理（後來在2017年時擴大範圍更名為資料管理類）、基礎架構和開發語言。</p> <p>而在推薦採用程度上，Zalando也同樣分為四個推薦等級，形成四個環，每一環代表了不同的推薦等級。這四級包括：Adopt（推薦採用）、Trial（推薦試用）、Assess（評估階段）、Hold（保留不推）。</p> <p><span style="font-size:28px;"><strong>技術雷達圖涵蓋四大類技術，分四等級推薦採用</strong></span></p> <p>凡是適合大規模採用的技術，就會列入推薦採用的程度，這是已經在Zalando自家正式環境上使用一段時間，風險低而且可以廣泛運用的技術。例如資料儲存類的S3和Cassandra，資料處理類的Kafka和Airflow，基礎架構類的K8s和SageMaker，或是開發語言類的Go、GraphQL等。</p> <p>而推薦適用程度則是指已經在內部有成功專案的技術，而且至少用於真實問題而非模擬情境的處理。Zalando希望透過至少一次的認真使用來確定效果和技術局限，不過這類試用性技術，仍有風險。因此透過成功專案，也能培養出實際用過的工程師來提供諮詢。還有一類是列入評估階段的技術，這是指一群有明顯潛在價值，且值得投資的技術。Zalando會對這些技術進行研究和雛形開發來了解其影響，但是，這些技術太新，仍視為有高度風險有待評估的技術。最後一類則是Hold等級，就是不推薦但會繼續提供維護的技術。這是指不值得投資或還沒看到價值的技術，可能是更新興的技術，也可能是過於老舊的技術。Zalando同意將這些技術用於現有專案，但是不推薦用於新專案。</p> <p><span style="font-size:28px;"><strong>初期靠志願者維運帶來3大問題</strong></span></p> <p>2015年一開始，先靠人工繪製，在Zalando內部的全體工程師社群中，挑選志願工程師來負責維護，整理大家的共識和經驗，手動畫出這張圖，後來才改用程式自動繪製出圖表。</p> <p>不過，這份技術雷達圖用了2年，2017年時，發現有3個大問題。最大的問題是，技術升環或降環缺乏一套標準做法。例如，開發語言和儲存技術的評估方式不一致，造成了技術團隊選擇上的混淆，他們還得知道不同類型技術各自評估方式才能判斷，反而更麻煩。第二個問題是技術雷達圖的評估過程，缺乏一套正式流程，雖然高層要求團隊參考，但專案負責人還是可以採用自己熟悉的技術，這就無法達到原本預期要統一技術方向的效果。最後一個問題是，因為早期的技術雷達圖過度依賴志願工程師來維護，只靠這一群人的熱情，無法反映全公司各部門的情況和需求，技術決策更無法支援全公司性的戰略。</p> <p>在2017年，技術雷達圖沒有發揮作用，但Zalando的開發團隊越來越多，內外系統已經超過了4千套，技術多元化帶來的複雜性，依舊很高。</p> <p><span style="font-size:28px;"><strong>盤點4千套AP重新設計技術雷達圖</strong></span></p> <p>Zalando決定重新徹底盤點4千套AP所用的技術，了解目前使用了哪些開發語言，工程師們習慣哪幾種技術，願意提供哪些技術支援，來支援其他專案。另外，也參考了VM生命周期管理流程和CI/CD系統、可觀測性指標的需求，重新建立對於技術雷達圖的設計。</p> <p>第一項修正就是調整了四級推薦的定義，Adopt等級更重視採用廣泛度，而且是高層有意願長期投資的技術才會列入這個推薦等級。另外，還會運用技術自動分析在所有產品中的試驗計畫的資料，更完整的找出已經試驗中且值得列入Trial階段的技術。在評估階段的技術上，也採取更主動性的技術評估做法，技術雷達圖維護人員會參考技術趨勢，以及採取一些非正式環境的評估機制來擴充。</p> <p>最後一項Hold等級的技術，則更明確要求，不只是新專案不能用，也不鼓勵用於推廣性服務上，要逐漸縮小這類技術的應用廣度。最後會把把評估過但沒有列入四級推薦中的技術和推薦資料，都保存在「零級」類型，作為日後的參考。另外，Zalando也建立更清楚的推薦領域，透過技術領域的分類，來進行評估或推薦，包括了後端、行動、Web、Data技術、ML技術或基礎架構，並將Queues技術從基礎架構分類中，轉移到資料處理類並統一命名為資料管理類，至此，就形成了現在的四大分類資料儲存、資料管理、基礎架構和開發語言。</p> <p><span style="font-size:28px;"><strong>指派首席工程師專人維護，更提交高層會議討論</strong></span></p> <p>在技術雷達圖的維護上也有重大改變，不再由志願工程師負責。當時Zalando正在進行工程師職務的調整和重新設計，新增加了一個首席工程師的職務，在各部門資深工程師中，挑選出優秀者專門負責技術研究而不擔任管理職，並且成立了首席工程師社群。Zalando改由這個首席工程師社群接手技術雷達圖的維運工作，而所有工程師仍舊可以提出建議，最後由首席工程師社群和指定首席工程師來決定。</p> <p>每次進行技術推薦等級的調整時，首席工程師們先討論出一份調升調降版本，還要送到高層會議中討論，一方面確保技術符合公司長期發展，也讓高層將技術發展納入企業長期戰略中。</p> <p>Zalando也根據技術雷達圖，訂出一些採用範本和指南，提供常見問題說明和使用案例，甚至是不同替代技術間的比較等。</p> <p>另外也鼓勵內部工程師，分享自己的使用案例，集中到這項技術的採用範本Wiki網頁上，不只如此，還直接搜集在公有雲上的正式環境這些技術的使用紀錄，程式碼儲存庫中的紀錄，基礎架構團隊定期使用數據，都整合到每一項技術的採用範本上。這個技術雷達圖，最後成了一項Zalando所用技術最重要的一份完整技術採用指南。</p> <p><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/news/151850
千億營收電商的SRE之旅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年營收超過3千億臺幣的歐洲快時尚電商巨頭，不惜用雲端原生技術重構用了5年的交易平臺，全面擁抱公有雲，才能支撐現在全歐23國的龐大交易量，今年第一季完成了5,800萬張訂單，但在2016年，他們面臨了上雲後最大的維運考驗</p> <p> </p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/article/151851
馬斯克正式試圖終止收購推特，推特將提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在不斷的傳言中，馬斯克（Elon Musk）7月8日通知推特（Twitter），將終止價值440億美元的收購案。但事情不會就此落幕，因為推特已經揚言提告。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/0001418091/000110465922078413/tm2220599d1_sc13da.htm" target="_blank">根據馬斯克提交美國證管會（SEC）的文件</a>，馬斯克已經於8日發函推特，正式通知推特將終止收購協議，理由是推特並未遵守雙方收購合約條款中，馬斯克要求提供完成收購交易所需的資料和資訊的義務。</p> <p><a href="https://www.ithome.com.tw/news/151847" target="_blank">上周華盛頓郵報引述消息人士報導</a>，假帳號比例爭議未決所致，收購案已經「危險了」（in peril），且可能很快將有極大方向變化。馬斯克也已經停止針對推特的收購案和銀行團等投資人進行討論。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922078413/tm2220599d1_ex99-p.htm" target="_blank">馬斯克律師致推特法務長Vijaya Gadde的信中解釋</a>，在將近2個月中，馬斯克要求能獨立評估假帳號及垃圾訊息帳號的資料和資訊。這些資訊關乎推特業務和財務績效，也是完成合併交易案的必要條件。但推特未能、或是拒絕提供這些資訊。有時則宣稱遵守義務，但給馬斯克的資訊卻不足或無法使用。</p> <p>馬斯克提出撤回收購的其他理由還包括推特的財務表現以及裁員。馬斯克認為推特90%營收來自廣告，但他看過推特最近的財務績效和修改的前景，認為該公司預期業務及財務前景已購成「公司重大不利影響」（Company Material Adverse Effect）。</p> <p>此外，馬斯克認為，推特裁員，包括<a href="https://www.ithome.com.tw/news/150913" target="_blank">解僱2名高層主管</a>、凍結人事以及7月7日裁減1/3人力聘僱團隊員工，違反合約中「保存現有業務團隊完整的重要元素」，然推特此前並未取得同意。</p> <p><a href="https://www.ithome.com.tw/news/151310" target="_blank">6月初馬斯克提交證管會的文件中</a>指責推特明顯違反合約義務，可能導致他終止收購。從當時起，馬斯克方面三次發函推特，給予最後補救機會。最新的SEC文件宣稱，一切補救期限皆已到期，使馬斯克行使終止收購協議的權利。</p> <p><a href="https://www.ithome.com.tw/news/150920" target="_blank">4月間宣布</a>以440億美元收購推特後3個星期，馬斯克指控推特公開文件宣稱假帳號比例小於5%的說法不實，他相信應該不只如此，<a href="https://www.ithome.com.tw/news/150620" target="_blank">宣布暫緩收購</a>，要求推特提供資訊來證明，或供他獨立驗證。</p> <p>事實上，推特方面已經試圖提供資料。<a href="https://www.washingtonpost.com/technology/2022/06/08/elon-musk-twitter-bot-data/" target="_blank">根據華盛頓郵報上月報導</a>，這家社交平臺已提供馬斯克存取「完全開關」（full firehose），供他存取每日5億貼文的大量資料。此外推特也致力於查緝假帳號。推特執行長Parag Agrawal才對媒體表示打擊假帳號及垃圾訊息有很大進展，該公司每天移除超過100萬個假帳號。</p> <p>馬斯克力圖找出推特方面違約理由，以便能安然脫身。按照雙方協議，馬斯克若平白退出收購，需要付給推特10億美元。</p> <p>可想而知推特不會讓馬斯克平白退出收購。在馬斯克提交SEC文件幾小時內，<a href="https://twitter.com/btaylor/status/1545526087089696768" target="_blank">推特董事長Bret Taylor指出</a>，推特董事會致力於完成價格及條件都和馬斯克談定的交易，該公司計畫採取法律行動執行此合併協議。他說他們有信心可以在法庭上獲勝。</p> <p>媒體分析，推特股東自然希望完成收購。馬斯克4月間提出以每股54.2美元收購，遠高於推特現在股價。周五（7/8）推特收盤價為36.81美元。</p> </div></div></div>
2022/7/10 22:19作者林妍溱https://www.ithome.com.tw/news/151865
數位發展部傳8月掛牌，4大團體發聯合公開聲明：促揭露數位轉型政策，提出6訴求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外界預期8月即將掛牌上路的數位發展部（簡稱數發部），近期行政院政委暨數位發展部籌備小組召集人唐鳳對外透露，未來施政將以增加韌性、數據公益跟跨國公民科技、資料民主化為主，同時將成立6司2署。近日，開放文化基金會、台灣人權促進會等4個團體發表聯合聲明，促政府揭露數位轉型的具體政策，並提出6項政策建言。</p> <p>唐鳳近期參加中研院院士會議，受邀說明國家數位發展規畫。唐鳳指出，未來數位發展部將成立6司2署，資通安全署、數位產業署，分別聚焦在資通安全、數位產業規畫發展，6個司包括數位策略司、民主網絡司、多元創新司、資源管理司、韌性建設司、數位政府司，其中的數位策略司為研擬國家數位發展政策，民主網絡司負責不只國際合作，還有分散式自製數位服務，多元創新司則推動數據公益的發展，資源管理司負責5G等網路資源管理，韌性建設司來自NCC基礎處，促進政府運作效能與韌性，還有來自國發會資管處的數位政府司。</p> <p>在數位發展部即將掛牌上路，外界關心未來數位發展部的政策規畫，如何帶領國家數位轉型、推動數位經濟發展。</p> <p>包括開放文化基金會、台灣人權促進會、中華民國軟體自由協會、台灣公務革新力量聯盟4個團體發表<a href="https://ocf.tw/p/issues/2022/">公開聯合聲明</a>，認為數位發展部肩負國家數位轉型重責，但對相關政策缺乏具體說明，過去台灣的數位發展政策，偏重硬體建設、經濟為主，缺乏對平等、永續、民主、法治等軟實力的考量。</p> <p>聲明也提出6大政策訴求，第一，希望政府說明未來數位發展部的政策規畫，延續或改革行政院已提出的智慧國家方案（2021-2025），同時也指出數位發展部現僅有組織法，該部的重要業務缺乏資料治理法、政府數位服務法等基礎法制的制定。</p> <p>第二是，數位發展部應重視整體公部門的培力，例如資通安全署以各機關的資安人員為培力對象，缺乏提高對整體公務人員資安風險的認識；鑑於跨單位協力合作，應建立跨部會與多方利害關係人的交流合作，以因應複雜問題找出共識。此外，數發部的工作之一為對政府資訊人才的管理，但公部門受限於採購、人法等法規限制，無法開出具競爭力的薪資吸引人才，未來數發部應提出解決方案。</p> <p>第三．數發部未來制定政府服務、產業經濟的轉型發展政策，應納入考量對人權的保障，加速國家及產業數位發展的同時，也確保公民的個資保護、隱私權，例如拓展個人資料自主運用時，也確保隱私的風險評估；推動數位工具或數位身分，不應為使用公共服務、公民參與的前提等等。</p> <p>第四項訴求是，數發部未來應建立公私協力機制，鑑於美國政府與開放科技基金會（Open Technology Fund）和非營利組織合作，不只倡議數位權利，也與民間合作，共同研發出科技工具，保障隱私、對抗監控。臺灣也應運用公民社群的資源、建立公私協力機制。</p> <p>第五項，數位轉型以推動民主參與為最終目標，雖然臺灣積極參與開放政府等趨勢，但開放政府、開放資料仍偏重政府服務便利性、經濟附加價值，開放政府、資料應以促進公眾參與、公私協力，讓政府運作更透明、受監督，提供多元面向施政方案，避免先前推動數位身分證引發的黑箱、濫權爭議。</p> <p>第六項是落實開放原始碼和開放資料的數位治理願景。以歐洲自由軟體基金會提倡的Public Money, Public Code，以民眾稅金建置採購或租賃的數位系統，應公開原始程式碼，讓外界檢視並協助改善系統或偵測漏洞，並利用開源程式碼推動創新，避免萬年廠商壟斷，政府只能聽之任之的問題。另外，開放資料應加重機關對開放資料的正確認知與接受度，避免機關偏向以數字為主的評比；數發部應重視開放文化，檢視軟體授權的採購與使用，以自由、開源軟體為預設選項，除支持開源軟體，也能降低軟體授權支出。</p> <p>該聲明也呼籲，希望政府完善相關的法制基礎，對外說明其治理框架，並重視公部門培力、數位人權保障、建立公私協力機制、促進民主參與、落實開放原始碼及開放資料，以建立宏觀的數位治理藍圖。</p> </div></div></div>
2022/7/8 19:50作者蘇文彬https://www.ithome.com.tw/news/151864
零售IT雙周報第3期：全聯由第一線人員領軍進攻團購市場，用自家App發起團購領獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0626~0709)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#App團購</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一線員工經營社群</span></strong></span></p> <p><strong>全聯App推出團購功能，由第一線員工作為團購主在顧客結帳時行銷</strong></p> <p>全聯在自家PX Pay App上新增加入團購功能，這些團購由全聯第一線員工作為團購主發起。團購主還負責決定商品、線下推銷及經營團購社群，並可領取分潤獎金和加碼獎金。</p> <p>全聯PX Pay會員已經突破800萬，且近期積極推行PX Pay App使用情境，包括規定結帳累積會員點數時，不再能口頭告知電話號碼，而是必須打開App讓收銀員掃描QR Code。收銀員則可以趁消費者開啟App時，把握機會推銷團購功能及團購商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影像分析</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#線下購物行為追蹤</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人商店</span></strong></span></p> <p><strong>Amazon利用影像分析數據，增加更多線下購物行為追蹤的數據點</strong></p> <p>線下購物行為追蹤，不再只是看進出商店跟購物清單。<a href="http://https://www.aboutamazon.com/news/retail/amazon-launches-new-physical-retail-store-analytics-service">Amazon推出數據行銷服務Store Analytics</a>，結合人收銀技術的影像分析數據，追蹤消費者發現商品的動向、貨架上取放商品、考慮情況等細節，甚至能追蹤消費者是當場購買商品，還是之後線上購買。</p> <p>過去線下購物行為追蹤，通常在出入口處設置感應器，以統計消費者在店內時間、先進一點則有定點影像分析，觀察消費者於結帳處的行為。要蒐集更多細節，只能想辦法讓消費者自行提供，相當不便。Amazon自助結帳技術Just Walk Out跟Dash Cart，則是利用遍及全店面的攝影機和購物車數據，追蹤並分析消費者店內購物行為。（<a href="https://ithome.com.tw/news/151842">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#全通路零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR技術</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#線下個人化推薦</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#模擬室內設計</span></strong></span></p> <p><strong>Walmart將推出AR工具，線下購物也能瀏覽個人化商品資訊</strong></p> <p>Walmart宣布<a href="https://corporate.walmart.com/newsroom/2022/06/23/new-features-put-ar-shopping-experiences-right-in-customers-pockets-at-home-and-in-stores">將推出兩個AR小工具</a>，輔助消費者購物決策。其中一項工具，可以在線下商場顯示出顯示出個人化資訊。透過手機掃描商場貨架或商品，就能根據個別消費者資料，顯示相關資訊。例如，可以顯示特定不含特定過敏成分的食材，或是適用消費者所持折價券的商品。此功能目前還在開發階段，沒有明確推出時間。</p> <p>另一項工具是室內設計模擬工具，能在手機攝影機畫面中即時加入家具與擺設品，並調整顏色、角度等設定，也能直接將用到的品項加入購物車。此功能今年7月就會推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walm1.png" style="width: 600px;" /></p> <p>近期Walmart對相當重視AR技術，<a href="https://corporate.walmart.com/newsroom/2022/06/29/walmart-to-acquire-ar-optical-tech-company-memomi">6月底也宣布將收購眼鏡及視力測驗AR技術公司Memomi</a>，結合AR技術提供更多無接觸視力測驗、模擬眼鏡試戴等功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#模擬室內設計</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#全通路零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI物件辨識</span></strong></span></p> <p><strong>Ikea推出AR室內設計體驗，甚至可以編輯App中的現實擺設</strong></p> <p><a href="https://www.ikea.com/us/en/home-design/">Ikea推出AR室內設計工具Ikea Kreativ</a>，可以模擬自家房間或預設展示間的室內設計。這套工除了加入更多家具與擺設品，還能透過AI物件辨識技術，在App的模擬空間中刪除既有擺設。這個功能，讓使用者不必先淨空自己房間，就能直接調整現有室內擺設搭配，也支援了更多應用情境，例如換掉沙發、換床架等現有擺設，而不只是單純填滿空蕩的空間或牆面。</p> <p>Ikea Kreativ的設計專案存在雲端，因此使用者能轉換到不同裝置來進行同一份室內設計專案，也可以分享給其他人，或轉移到行動裝置後帶到實體店面參考。設計完畢後，使用者能直接下單設計時用到的商品，或儲存到購物清單中。<br /><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#無店面零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#AI圖像辨識</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#消費者族群分析</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#模擬試穿試戴</span></strong></p> <p><strong>結合消費者族群分析及數位成像，瑞典新創推智慧眼鏡試戴</strong></p> <p>瑞典眼鏡公<a href="https://retailtechinnovationhub.com/home/2022/6/28/ieye-teams-with-sony-digital-imaging-for-eyewear-shopping-push">司新創ieye推出快閃視力測驗亭</a>，消費者現場測驗完就會收到AI自動生成的模擬試戴照片。</p> <p>AI會根據消費者臉型、髮型等外型資訊，再對比與消費者相近年齡、性別、國籍等身分族群的購買偏好，挑選出推薦款式。接著，再利用Sony數位成像技術，在1分鐘內生成500張個人化的模擬試戴圖片給顧客。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自助結帳</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#亞太地區</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#無現金支付</span></strong></p> <p><strong>英國研究：自助結帳機出貨量6年增加50%，來到一年30萬臺</strong></p> <p>根據<a href="https://www.rbrlondon.com/wp-content/uploads/2022/06/SCO22_Press_Release_270622.pdf">英國Retail Banking Research研究</a>，全球自助結帳機出貨量從2020年不到18萬臺，成長到2021年快20萬臺，預計2027年出貨量會到30萬臺。研究認為，這些需求主要來自亞太區域，尤其是中國大型零售商。</p> <p>自助結帳機市場近年快速成長，研究也指出一些發展趨勢。首先，無現金結帳機臺通常尺寸較小，因此逐漸受到更多零售商青睞。從出貨機臺種類中，也能觀察到無現金支付的機臺，出貨占比增加了8%，來到61%。另外，為了讓結帳流程更流暢，自助結帳科技開始應用自動掃描、生物辨識等科技，縮短消費者停留在結帳處的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cashierless.jpg" style="width: 600px;" /></p> <blockquote><p>無現金支付的機臺在2021年出貨占比增加了8%，來到61%。</p> </blockquote> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自動化物流</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#倉儲管理</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#物流機器人</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自動迴避功能</span></strong></p> <p><strong>Amazon揭露全自動化物流機器人，可以自主閃避障礙物</strong></p> <p><a href="http://https://www.aboutamazon.com/news/operations/10-years-of-amazon-robotics-how-robots-help-sort-packages-move-product-and-improve-safety">Amazon公開自家首款全自動化物流機器人Proteus</a>，可以用來移動物流中心內用來裝貨的臺車。由於Proteus可以自動迴避障礙物，因此Proteus得以部署在有人類員工的區域，不必被侷限在無人區域運作。（<a href="https://www.ithome.com.tw/news/151575">詳全文</a>）</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#OMO零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#數位轉型</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#零售業科技投資</span></strong></p> <p><strong>屈臣氏加碼34億科技預算，推動數位轉型及發展OMO零售科技</strong></p> <p>全球超過16,000家零售門市的屈臣氏集團，<a href="https://www.aswatson.com/a-s-watson-injects-additional-hk900m-in-technology-to-deliver-easier-and-faster-oo-customer-shopping-experience/">宣布今年將追加超過34億元科技預算</a>，以提供電子商務科技部門elab和線下店面科技部門Techlab更多資源，推動數位轉型及發展「O+O購物體驗」。</p> <p>屈臣氏投資重點包括消費者體驗科技及後臺科技。消費者體驗方面，三大重點是線上線下美妝購物解決方案、AI驅動的個人化消費體驗以及實體店面科技，例如電子支付系統和智慧貨架。後臺科技的三大重點則是大數據管理和視覺化分析科技、資訊安全及行銷優化。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#庫存管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RFID</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#雲端管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#供應鏈管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧補貨通知</span></strong></span></p> <p><strong>Hugo Boss採用RFID跟雲端管理技術，即時追蹤全球千家分店存貨</strong></p> <p>全球超過1200家分店的高價男裝品牌Hugo Bos<a href="https://www.nedap-retail.com/hugo-boss-partners-with-nedap-for-global-rfid-roll-out/">s導入Nedap即時存貨追蹤解決方案</a>，結合RFID跟雲端管理平臺，追蹤全球所有分店的即時存貨情況。分店店員可以透過管理用App，於銷貨和補貨的同時也更新存貨狀態，App還會根據存貨狀態發出補貨提醒。</p> <p>即時掌握全球分店存貨狀態，Hugo Boss不只能掌握自家全球供應鏈情形，也更容易提供從分店出貨或到店取貨等服務。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#企業數據平臺</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#OMO零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#數據網格</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#供應鏈管理</span></strong></p> <p><strong>H&M打造核心網路，進行全生態系數據分析及共享</strong></p> <p><a href="https://www.prnewswire.com/news-releases/google-cloud-announces-new-partnership-with-global-fashion-retailer-301578534.html">H&M採用GCP雲端服務來打造企業核心網路</a>，以支援跨通路消費者體驗優化跟供應鏈管理。這個核心網路包括核心數據平臺以及分析生產數據後形成的數據產品，並搭載AI和ML功能輔助數據分析及應用。H&M也會建立企業數據網格，讓線上線下店面、品牌生態系的其他店家以及供應商都能存取各種事件跟數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p><a href="https://www.cna.com.tw/news/afe/202206260060.aspx">遠時（Friday購物）完成核心系統重構並大幅改善運作效率後，精簡了20%人力</a></p> <p>資料來源：iThome整理，2022年7月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/7/8 16:40作者郭又華https://www.ithome.com.tw/news/151859
【資安日報】2022年7月8日，駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客組織Lazarus近期鎖定日本的攻擊行動，可說是相當引起研究人員的關注，原因是這些駭客採用了過往相當少見的手法，來提供惡意程式連線C2伺服器IP位址──他們將IP位址存放於特定的GitHub帳號，再讓惡意程式從GitHub取得相關資訊，進而迴避研究人員直接從惡意程式本身找到C2伺服器位址的情況。</p> <p>這類手法先前已有駭客採用，但他們濫用的是Google Drive、OneDrive等檔案共享服務，而如今駭客轉移目標，濫用程式碼代管服務，由於這種服務也常會有資安人員上傳概念性驗證的攻擊程式碼，使得要防堵駭客濫用的行為可能會變得更加困難。</p> <p>AWS S3儲存桶配置不當的情況，先前多半是企業與政府機關，在今天的資安新聞裡，這個沒有配置適當防護措施是美國的非營利組織，其主要業務是專門培訓牧師為新人主持結婚典禮。這些曝光的資料多達630 GB，使得結婚的新人、證婚的牧師個資，以及參與婚禮的親友名單都可能讓他人隨意存取。</p> <p>在6月下旬公布的OpenSSL漏洞CVE-2022-2274，這項漏洞在2個星期後獲得了修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> </div></div></div>
2022/7/8 16:37作者周峻佑https://www.ithome.com.tw/news/151858
Cloud周報第149期：Google Cloud將Google地球引擎工具變成企業永續視覺化工具，最遠可追溯50年且…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/30～07/06）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型主機上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">z/OS </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>IBM大型主機雲端服務Wazi as a Service推出上線，可供用戶在公雲環境開發及測試z/OS應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(2).png" style="width: 600px; height: 272px;" /></p> <p>經過近4個月封閉測試後，IBM近日悄悄宣布其大型主機雲端服務Wazi as a Service已於6月30日推出上線，未來可供大型主機用戶在混合雲中進行雲原生應用測試與開發。</p> <p>根據IBM說明，透過這項新服務，讓z/OS開發人員可以在IBM VPC虛擬私有雲環境中，建立大型主機開發環境，使用虛擬伺服器實例（VSI）進行應用程式開發和測試。IBM還釋出一個Wazi Image Builder映像檔建立工具，可供用戶建立Wazi as a Service基礎架構實例，再把建完的映像檔上傳到IBM雲端物件儲存服務上儲存的VSI實例，用於 z/OS應用開發和測試，並依使用量來收費。</p> <p>該服務也整合CI/CD流程來加快程式開發、測試及部署。此前，IBM也宣稱這項服務讓z/OS開發和測試的部署時程，由數星期縮短到6分鐘。IBM表示，以IBM Cloud進行大型主機應用的開發，兼具私有雲的安全性及公共雲高可用的特性，也符合成本效益和擴展性。</p> <p>雖說是大型主機雲端服務，但Wazi as a Service目前僅用於新應用開發和測試，尚未提供對既有z/OS應用程式進行重構或重新設計的服務，也無法用於執行生產環境中的工作負載，如構建正式環境模組、發布前測試、壓力或性能測試等。</p> <p>該服務目前僅開放給IBM Cloud位於日本東京、巴西聖保羅、加拿大多倫多和英國倫敦區域用戶採用，且須通過其銷售管道取得資格方能使用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FedEx </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">大型主機汰換 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>美快遞巨頭FedEx為轉型積極上雲，目標2024年將IT系統全面搬上雲</strong></span></p> <p>聯邦快遞（FedEx）近日在線上投資人說明會上揭露自家上雲策略，將於2024年將IT系統全面搬上雲。預估每年可節省4億美元。</p> <p>早在2年前，FedEx就開始自己的數位轉型計畫，並採取雲端優先策略，來逐步汰換老舊大型主機，並將服務應用搬上雲，過去2年相繼與Oracle Cloud及微軟Azure展開合作。</p> <p>FedEx資訊長Rob Carter在會中表示，過去10年來，公司持續簡化技術和系統架構，以提高生產效率，安全和可靠性來創造價值。而上雲更是該公司擁抱現代化IT架構的重要一步，來加速服務創新。</p> <p>儘管，FedEx沒有透露目前有多少座資料中心仍在運作，但Rob Carter表示，未來2年內計畫關閉剩下的資料中心及移除最後20%的大型主機，並把其餘本地應用遷上雲，使其更容易部署和用於線上交易市集和公司業務。</p> <p>上雲也是該公司發展數據應用的重要一環，FedEx未來將運用三大類數據，包含內部數據、顧客數據以及外部生態系在內的數據，來優化內部作業、提高顧客體驗，以及幫助公司從電商交易中帶來更多營收。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud將科學研究用的Google地球引擎，變成一套永續視覺化工具</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap30.png" style="width: 600px; height: 286px;" /></p> <p>在近日一場永續高峰會上，Google Cloud宣布推出<a href="https://earthengine.google.com/commercial/">新的永續視覺化工</a>具，用以協助企業更容易投入永續發展。目前已推出上線</p> <p>Google Cloud推出名為Google地球引擎（Google Earth Engine）的永續視覺化工具，過去這套引擎僅供科學家與非政府組織研究之用，用於非商業用途，現在Google Cloud把這套工具放進永續產品及服務中，企業可以透過上百顆衛星觀測數據，即時監看產品原料使用過程中，對環境及特定地區可能帶來的影響，持續加以改善，也能查看一段時間內變化，還能回看歷史數據，最遠可追溯至50年前且每15分鐘更新頻率的全球地理數據，幫助公司持續改進朝向永續邁進。</p> <p>另外，針對Carbon Sense套件也有更新，在碳報告製作中添加新數據，使雲端架構師和管理者更容易將永續落實到各自工作流程中，Google Cloud預告，明年初將推出Google Workspace的碳足跡報告功能，以後企業使用Gmail、Meet、Docs等服務產生的碳排量都能掌握。</p> <p>Google Cloud還發起一項全天候使用無碳能源試驗計畫，盼透過資訊共享和各種追蹤工具提供，幫助企業實現永續。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">公雲服務市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IaaS與PaaS </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>2022年全球第1季公雲服務市場規模成長逼近3成，達1,260億美元</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 417px;" /></p> <p>市場研究機構 Synergy Research最近<a href="https://www.srgresearch.com/articles/public-cloud-ecosystem-quarterly-revenues-leap-26-to-126-billion-in-q1">公布</a>全球第1季公有雲市場變化的最新數據，與2021年同期相比，市場規模成長26％，達到1,260億美元，其中增長幅度最高為IaaS 和PaaS應用，主要來自三大公雲服務，共增長了36％，金額超過440億美元。在私有雲代管服務、企業SaaS和CDN服務方面合計增加540億美元，也高於去年平均21％的增比。</p> <p>從公雲服務業者來看，以三大公雲業者Azure、AWS和Google Cloud及雲端CRM巨頭Salesforce占公雲服務銷售大宗，若加上Adobe、阿里雲、思科、Dell、Digital Realty、IBM、Inspur、甲骨文、SAP 和VMware等主要公雲業者，合計有達60％市占。另以地區來看，美國仍然是雲端業務成長最快的地區，占所有雲端服務收入的44％，同時占用超大規模資料中心過半容量，也是所有地區中最多，至於中國則是居次。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> H&M集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲旅程 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>歐洲服飾零售巨頭H&M決定上雲，要打造集團的數據骨幹，更要導入AI應用提高顧客體驗</strong></span></p> <p>歐洲最大服飾零售商H&M集團近來開始擁抱雲端，不只將數據搬上雲，更要打造一個數據網格，能夠快速取得所有類型數據和事件資料，包括實體門市、線上商店、品牌生態系統及其供應商在內的資料都要能夠迅速從雲端數據網格中取得。H&M找上Google Cloud合作，將使用其雲端服務，建立自己集團的數據骨幹，未來更要借助雲端AI、ML服務，從這些巨量數據分析中，幫助他們找出提高顧客體驗，以及優化供應鏈最佳作法。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 淨零碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">阿里雲 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>進軍全球永續市場，阿里雲發表雲端碳排管理平臺Energy Expert </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964_Cloud%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 336px;" /></p> <p>不讓三大公雲專美於前，中國阿里雲近日宣布，除了中國本地，將在全球推出一個碳排管理平臺Energy Expert，可供企業測量、分析、管理碳排，以及提供節能建議。</p> <p>根據阿里雲的說明，透過這套碳排管理平臺，可以自動化進行碳排計算並產生報告，除了可產生線上報告，還提供了視覺化儀表板，方便管理者來觀看和擬定決策。該平臺也能與阿里雲上AI服務相結合，用於能源效率和排放預測分析，並提供建議，協助企業改善碳排以減少對環境的影響。</p> <p><strong>圖片來源／</strong> Cloudflare<strong>、</strong>HPE</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.AWS EKS Anywhere部署服務正式支援裸機，可供企業於本地端建立和操作Kubernetes叢集 </strong></strong></p> <p><strong><strong>2.甲骨文推出比OCI公雲更小規模的專用區域，可因應企業低延遲、資料落地要求</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> </div></div></div>
2022/7/8 16:17作者余至浩https://www.ithome.com.tw/news/151857
Reddit發表基於Polygon區塊鏈的虛擬替身市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redditinc.com/blog/blockchain-backed-collectible-avatars-coming-to-reddit-via-new-storefront" target="_blank">Reddit於7月7日發表</a>了基於Polygon區塊鏈的虛擬替身市集Collectible Avatars，這些虛擬替身都是由不同的藝術家所創作的限量版產品，採用固定售價，可透過法幣購買，且藝術家在每次的交易都可獲得補償，雖然它看起來就像是非同質化代幣（Non-Fungible Token，NFT），但Reddit卻通篇未使用NFT字眼。</p> <p>其實Reddit早在2015年就推出Avatar Builder虛擬替身服務，讓使用者打造自己的虛擬替身並作為個人檔案的頭像，也與Netflix、Riot Games及Australian Football League合作，提供這些品牌的虛擬替身供Reddit用戶選擇。然而，Reddit這些早期的虛擬替身服務都是免費的，也一直到Collectible Avatars才使用區塊鏈技術。</p> <p>Reddit的一般用戶可使用當地的法幣購買Collectible Avatars上的作品， Reddit Premium用戶則可免費取得作品，買家將獲得使用作品的授權，且不管是Reddit站內或站外都能使用，所購得的虛擬替身可存放於Reddit的Vault區塊鏈錢包內。</p> <p>換句話說，在Collectible Avatars上購買的虛擬替身是可攜的，而且就算之後再售出，藝術家仍可獲得補償，它的規則跟NFT幾乎一模一樣，只是Reddit顯然不想使用NFT這個詞。</p> <p>Collectible Avatars預計要在幾周後才會正式上線，有興趣的使用者也可先加入<a href="https://reddit.com/r/CollectibleAvatars" target="_blank"> r/CollectibleAvatars社群</a>參與相關討論。</p> </div></div></div>
2022/7/8 13:37作者陳曉莉https://www.ithome.com.tw/news/151854
Netflix開始支援空間音訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/netflix-spatial-audio" target="_blank">全球最大串流媒體平臺Netflix（網飛）本周宣布開始支援空間音訊（Spatial Audio）</a>，讓用戶透過一般電視機或裝置觀賞影片時，亦能體驗到環繞於四周的聲音效果，最先具備空間音訊的影片為《怪奇物語》（Stranger Things）第四季，未來會有更多影片支援該功能。</p> <p>空間音訊可操控喇叭或耳機所產生的音效，讓聲音聽起來像是環繞在使用者的四周，Netflix是與知名的音訊裝置品牌Sennheiser合作，採用Sennheiser所開發的AMBEO 2-Channel Spatial Audio技術，將聲音轉換成擁有3D感的空間音訊，而Netflix亦為AMBEO 2-Channel Spatial Audio系統的首家用戶。</p> <p><a href="https://en-uk.sennheiser.com/newsroom/new-audio-experience-now-streaming-on-netflix-ioi66i" target="_blank">Sennheiser說明</a>，AMBEO 2-Channel Spatial Audio是個身歷其境的雙聲道渲染，可直接用來取代立體聲，它可改善各種立體聲的聲音體驗，從電視、立體聲系統、耳機、平板電腦到筆電等。</p> <p>事實上，Netflix也已將AMBEO 2-Channel Spatial Audio作為任何使用雙聲道的預設音效，因此，當使用者以立體聲觀賞節目或電影時，若相關內容支援空間音訊，即會自動啟用。使用者亦可於Netflix搜尋列中輸入「空間音訊」來尋找已支援該聲音效果的節目或影片。</p> <p>不過，空間音訊主要是用來改善立體聲音訊，若使用者家中已配置環繞音效喇叭，Netflix依然建議使用者以5.1 環繞音效或 Dolby Atmos 觀賞節目與電影。</p> </div></div></div>
2022/7/8 12:30作者陳曉莉https://www.ithome.com.tw/news/151852
OpenSSL 3.0.4漏洞可引發RCE，更新版已釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mta.openssl.org/pipermail/openssl-announce/2022-July/000231.html" target="_blank">OpenSSL維護組織本周釋出最新版3.0.5</a>，以解決近日一項更新造成的遠端程式碼執行（remote code execution， RCE）漏洞。</p> <p>6月21日釋出的OpenSSL 3.0.4是為了解決一個指令注入漏洞CVE-2022-2068，不料卻引發新漏洞。<a href="https://www.ithome.com.tw/news/151663" target="_blank">研究人員Guido Vranken及Xi Ruoyao 6月中發現</a>位於OpenSSL加密演算法之中，可被攻擊者輕易觸發造成記憶體毁損，屬堆積緩衝溢位漏洞。<a href="https://www.openssl.org/news/secadv/20220705.txt" target="_blank">OpenSSL本周終於發出安全公告</a>，並以CVE-2022-2068為名追蹤。</p> <p>根據OpenSSL說明，3.0.4版造成RSA 2048-bit私有金鑰的實作錯誤，影響支援AVX512IFMA指令的X86_64 CPU，會在搭載這些CPU的機器上引發記憶體毁損。記憶體毁損的結果可使攻擊者在這些機器上遠端執行程式碼。</p> <p>美國NIST漏洞資料庫未給予CVE-2022-2274漏洞風險值，但<a href="https://access.redhat.com/hydra/rest/securitydata/cve" target="_blank">Red Hat將之定為8.1</a>。</p> <p>所有使用支援AVX512IFMA指令的X86_64 CPU，且執行2048-bit RSA私有金鑰的SSL/TLS（或其他）伺服器會受到CVE-2022-2274漏洞影響。早前的OpenSSL 1.1.1及1.0.2則不受漏洞影響。</p> <p>上周研究人員Xi Ruoyao已經先提供了漏洞修補程式，但是OpenSSL更新版尚未釋出，一些用戶被迫先移除有風險的3.0.4版，而曝露於舊漏洞風險之中。OpenSSL維護單位呼籲OpenSSL 3.0.4用戶應儘速更新到3.0.5版本。</p> <p>OpenSSL 3.0.5可經由<a href="https://www.openssl.org/source/" target="_blank">HTTPS</a>及<a href="http://ftp://ftp.openssl.org/source/" target="_blank">FTP</a>協定下載修補程式，也提供<a href="https://www.openssl.org/source/mirror.html" target="_blank">FTP鏡射站點</a>下載。</p> </div></div></div>
2022/7/8 12:52作者林妍溱https://www.ithome.com.tw/news/151853
馬斯克棄買推特傳言再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技鉅子馬斯克（Elon Musk）收購推特的可能性似乎愈來愈小。<a href="https://www.washingtonpost.com/technology/2022/07/07/elon-musk-twitter-jeopardy/" target="_blank">華盛頓郵報周四（7/7）報導</a>，假帳號比例爭議未決所致，這個案子現在「危險了」（in peril）。</p> <p>媒體引述三名消息人士報導，馬斯克陣營已經停止針對推特的收購案和銀行團等投資人進行討論。消息人士也透露，馬斯克對假帳號及垃圾貼文的資料確實存疑，使這個收購案很快將有極大方向變化。</p> <p>才在同一天，<a href="https://www.reuters.com/technology/twitter-says-it-removes-over-1-million-spam-accounts-each-day-2022-07-07/" target="_blank">推特執行長Parag Agrawal才對媒體表示</a>打擊假帳號及垃圾訊息有很大進展，該公司每天移除超過100萬個假帳號。</p> <p>自從<a href="https://www.ithome.com.tw/news/150920" target="_blank">5月馬斯克公開質疑</a>推特公開資料未能真實反映平臺上實際假帳號比例，又認為推特的答覆不足以證明其說法，這位科技首富已多次威脅要中止收購。6月初<a href="https://www.ithome.com.tw/news/151310" target="_blank">一份向美國證管會提交的文件</a>指責推特迄今提供相關資訊不足，已經明顯違反被收購公司的義務，有可能導致他終止收購。</p> <p><a href="https://www.ithome.com.tw/news/151517" target="_blank">但在上個月</a>馬斯克在接受媒體訪問時仍然展現對推特的期望，希望它能成為10億用戶線上生活的社交平臺，而他也會更緊密參與推特的產品開發。</p> <p>一旦馬斯克方面真的終止收購，根據雙方協議，其陣營必須支付推特10億美元的終止交易費用。<a href="https://www.theverge.com/2022/7/7/23199137/elon-musk-twitter-spam-account-bot-data-breakup" target="_blank">但媒體分析</a>想必最後會經歷一場持久官司戰，才會決定馬斯克是不是需要付費出場。</p> </div></div></div>
2022/7/8 10:27作者林妍溱https://www.ithome.com.tw/news/151847
強化資安捍衛者實力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>欲戴王冠，必承其重（Heavy is the head who wears the crown），對於大型企業而言，一定深有同感，而面對快速變化、蔓延的網路威脅態勢，這也註定是一場永無止盡的戰爭，而長期處於各種資安攻擊的最前線的微軟更是如此，他們累積30年的實務經驗，或許能成為許多組織的借鏡。</p> <p>關於微軟資安的現況，以及未來的展望，在今年恢復實體舉辦的RSA資安大會期間，微軟安全、合規、身分識別和管理事業群全球副總裁Vasu Jakkal發表演講，提出說明，當中提到許多鼓舞大家投入資安的論點。</p> <p>在RSA資安大會上，她特別呼籲各界對於資安防護的作法必須要大幅進化，關鍵有三，分別是：技術創新、人才的靈巧心思與專門技術，以及防禦者社群的包容性。</p> <p>所謂的技術創新，是指我們需要善用雲端服務、人工智慧、機器學習等技術，讓防禦機制從仰賴人為反應而難以加快的速度，提升至機器等級的速度，若無上述技術，我們很難大幅擴展防禦，抵擋無孔不入、快速來襲的網路攻擊，打贏這場不對稱戰爭。</p> <p>關於人工智慧的資安應用，微軟表示，他們目前最擅長的部分是在偵測工作，目前正在發展資安事故的圖學處理，期盼能完整呈現整體態勢，預計未來一到兩年內，做到即時阻斷事故、資安狀況的意識、精準防護，在這之後，他們希望能提供動態適應的推論與防護能力，以此增益資安應用。但要達成這樣的目標，微軟認為需要更多資料共享，完成訓練的資安人工智慧與機器學習模型，以及人工智慧的可解釋性（explainability）。</p> <p>Vasu Jakkal說，若我們得到更多資料，就能更加了解每個環節。為何她這麼說？攻擊者經常跨越許多領域，例如，端點、電子郵件、身分，存在著組織的邊界、國與國之間的邊界，他們眼中根本沒有邊界，基於這樣的態勢，身為防禦者的我們，對於資料運用也不能存在邊界，需要更多資料來獲得足夠的偵測與防禦成效，當然，我們必須要對這樣的資料處理方式負起責任、使其合乎倫理，要將隱私放在心上與作業核心中，基於這些前提來擁有與共享更多資料，促使人工智慧變得更有效。</p> <p>談完技術的發展，她也提到整個資安協防的另一個重點：人。即便能以迅雷不及掩耳的機器速度進行偵測與防禦，這當中仍需要許多人為的協助與配合，這就有賴於優秀的人才，以及廣泛、多元的技能組合，才能處理複雜的任務，將其解構、簡化，之後應用起來，才能帶來整個生態與所有人的安全。</p> <p>但這裡需要的不只是傳統網路安全人才，如工程師與電腦科學家。若要理解網路戰爭與網路攻擊，建構可承擔責任與信任的人工智慧，提供簡易操作的防禦系統、教導大家使用人工智慧、溝通資安防禦概念，微軟認為，我們需要語言學家、政治學家、社會學家、倫理學家、產品設計專家與使用介面設計專家、人工智慧教師、會說故事的人。</p> <p>最終，為了拓展機器速度的效果，Vasu Jakkal認為，每個人都必須成為支撐資安維運人員、分析者的幕後社群，協助他們完成工作，成就一個完整的資安團隊。</p> <p>她也特別提到包容多元差異的重要性。因為攻擊者來自四面八方，他們會設法找出並利用到由同質系統當中存在的「偏見」，而根據他們的調查，全球網路安全人力只有24%是女性，80%是白人。為了改善這樣的狀況，微軟表示，我們必須要掃除防禦者社群的障礙，重新思考如何賦予技能與訓練，重新看待學位與經歷的迷思，活化整個資安防禦社群，因為，每個人都應該成為資安防禦者。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/vasu-jakkal">Vasu Jakkal</a></div><div class="field-item even"><a href="/tags/rsa">RSA</a></div></div></div>
2022/7/8 10:35作者李宗翰https://www.ithome.com.tw/voice/151839
科技龍頭避談的壟斷優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1085shu_zhai_zhu_tu_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2014年，時任Google執行長的施密特與產品資深副總羅森柏格在《Google模式》一書，用了各種有趣的軼事介紹了Google的企業文化、絕頂聰明的員工如何進行敏捷團隊合作與發揮創意合作，以及大家如何以求新若渴的態度，追求矽谷典型的下一次創新飛躍。</p> <p>故事說得好聽，並不代表說的只是童話故事。理論上，書裡大部分的軼事都所言不虛，而矽谷職場文化也一直是蘋果、Google、臉書等科技龍頭崛起和成功的重要因素。然而，故事說得好聽，也不代表講的就是完整的故事全貌。在《Google模式》中，幾乎完全沒提到資訊不對稱，也沒說到Google獨占了大批寶貴的資料。</p> <p>並不是只有Google採取了這套策略。基本上，所有科技巨星公司都遵照這份劇本行事，會開放出來的知識與技術，都不屬於那些會影響他們爭奪數位主宰地位的領域。例如蘋果，清楚知道有哪些用戶、在哪個時候、在iPhone上安裝了哪些應用程式，但絕不會把這些資訊告知應用程式開發者。Apple News上的媒體內容也是如此。而一旦無法取得這種資料，內容供應商就會淪為商品服務供應商，只能任由蘋果擺布。</p> <p><span style="font-size:28px;"><strong>為人作嫁的「笨水管」</strong></span></p> <p>回想起來，似乎創新者在成為巨星企業的路上，都是靠著放出一片修辭的煙幕，來混淆視聽，把自己促成破壞性成功的真正因素隱藏起來，直到現有企業恍然大悟，為時已晚。而為了要解釋自己如何發展並鞏固自身的資訊能力，創新者已經發展出一套特別會造成誤導的故事。故事是這麼說的：「數位化讓全世界得到了令人難以置信的資料量。從圖表看來，（據稱）全球資料量呈現指數成長，已經來到以ZB為單位（1 ZB 可是足足有21個0）。」</p> <p>當然，這件事本身就難以想像，但這種敘述卻有助於造成誤解：會讓聽眾覺得，顯然傳統企業完全無力應對這股資料的洪流。畢竟，傳統企業可沒有能夠處理到ZB的超級電腦。而且更慘的是，傳統企業又沒有那種「聰明」人，像是人工智慧專家、資料科學家、量化分析專家之類，因為這些人瞭解演算法的祕密，才能看穿並掌握大數據深藏不露的見解。根據這種說法，一般人就會覺得：運算能力及所需的人類智慧，在當代經濟體系當中的分布並不平均，大半已集中在那些數位龍頭的手中。正因為這種雙重不平等，才讓這些龍頭企業占據了資訊科技的主宰地位。</p> <p>這個故事聽起來很有道理，但其實就是個騙局。整套說法對於科技的理解，至少在三個方面大有問題。</p> <p><span style="font-size:28px;"><strong>演算法大多不是私有智慧財</strong></span></p> <p>說到那些數位巨星企業為何能取得優勢，普遍的誤解在於：搞錯了演算法扮演的角色。在那些故事中，總是把演算法吹捧得像是數位巨星企業和那些優秀工程師的智力精華結晶，是必須全力保護的智慧財產。</p> <p>另外還說，現在只有Google、蘋果、臉書、亞馬遜，以及百度、阿里巴巴、騰訊這幾座互相競爭的萬神殿，才擁有足夠的數學巫術，能夠碰觸到資料的無上智慧。但事實是：這純粹就是胡說八道！許多在資料分析上廣泛使用的演算法，都是出自於學界，常常最早就是公布在開源的演算法資料庫裡，人人都能免費存取。例如「R」這套廣受愛用的資料分析軟體，就是一項開源專案的成果，能夠免費下載。</p> <p>許多常見的機器學習法也是如此。有些最重要的機器學習演算法都是直接公諸於世，早已為人所知多年。而對應的工具與應用程式也都可以在GitHub（目前屬於微軟旗下）等開放平臺取得。</p> <p>事實上，講到演算法，巨星企業其實是意外的樂於助人。就算這些企業確實是自行開發演算法，通常也是只要過了一小段時間，就會解除專利保護。而在某些地方，矽谷甚至是朝著開放的方向，更邁進了一步。像是馬斯克（Elon Musk）這樣的人，出資創辦OpenAI平臺，希望讓人人都能免費下載各種廣受好評的機器學習工具，實際投入使用。</p> <p><span style="font-size:28px;"><strong>數位革命必需的原物料</strong></span></p> <p>關於數位顛覆如何導致資訊權力轉移，主流故事裡或許聽來也最令人肅然起敬的元素，就是號稱這些成功的真正原因在於人類的聰明才智。通俗科幻小說有個傳統套路，就是出現某個天才、有某項驚人的發明，改變了一切。</p> <p>但事實是，雖然前面談到的資料煉金術或許真的存在，但可沒有什麼資料煉金術士組成的祕密集團。各大數位企業的資料科學家與量化分析專家，用的數學與統計材料都與一般人完全相同。那些矽谷龍頭企業之所以能占據主導地位，並不是因為真的聘到了什麼人類最頂尖非凡的頭腦。如果要講關於各種方法與模型的科學與知識，無論在美國、歐洲或亞洲，各家企業（包括新創企業）都有能力迎頭趕上，也都絕對能請到訓練有素的資料科學家。</p> <p>這代表著什麼意義？那些在數位時代輸人一截的企業，並不是因為缺乏運算能力、無力發展雲端應用。而各種資料分析的工具或機器學習的演算法也不難取得。此外，雖然數位巨星企業或怨天尤人的落後者總掛在嘴上，但數位人才在全球的分布其實十分廣泛，並不像他們說的那麼集中。落後者之所以無法得到在數位上重大的飛躍，其實是因為無法取得資料，而那才是數位革命必需的原物料。</p> <p>Google、臉書、亞馬遜、蘋果、微軟。Netflix、PayPal、Spotify、Uber、Booking.com、百度、阿里巴巴、騰訊、字節跳動、商湯科技、依圖科技……這些數位龍頭在各自的領域，打造各種機制、機會與應用程式，蒐集大量只掌握在他們自己手中的資料。</p> <p>就這點而言，「資料」和「石油」確實有些相似之處。不論是誰擁有油田，可不會想把石油拱手讓人。而對資料龍頭來說，也只有在特殊情況下，才會與他人分享自己的原物料。這種態度從策略角度來看並不難理解，因為「取用權」能夠轉化為競爭優勢；這正是企業估值時的基礎，而且這能讓競爭對手苦思、苦惱、苦無解方。</p> <p><span style="font-size:28px;"><strong>混淆視聽的騙局</strong></span></p> <p>數位創新者白手起家、成就霸權地位，完全有理由把自己崛起的故事講得像是令人嘆服的寓言，謳歌人類的才智、讚頌他們所創造的演算法。這套關於他們成就的故事，就為他們現在握有的權力提供了道德上的正當性，而不用擔心被批評是造成資訊不對稱的元凶，也能躲過一些尖銳的質問。畢竟，有誰會想看到政府用法規蠻橫介入，搶走天才企業家努力的成就？</p> <p>一直以來，那些掌管數位龍頭企業的人，總是大肆吹噓著他們的科技多先進、員工多高明，但對於資料的取用權卻是噤聲不語。</p> <p>一次又一次，掌權者總是運用那些乍聽之下再合理不過的故事，不讓大家注意到他們權力真正的來源。而隨著目前資料化的潮流，歷史也正在重演。只是這次牽涉的除了經濟權力，還有資訊權力——而這正是能夠主導現代社會的力量。</p> <p>也正因如此，這套大有問題的故事、讓人以為這些企業的資訊權力都是誠實取得，才會如此危險。用熊彼德的話來說，這套故事是保護那些握有權勢的人，讓那些資訊龍頭靠著創造性破壞而掌權之後，得以不用擔心輪到自己面對創造性破壞。<span style="color:#696969;"><strong>（本文摘錄整理自《資料煉金術》，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(3).jpg" style="width: 350px;" /></p> <p><span style="color: rgb(128, 128, 128); font-size: 14px;">圖片來源／天下文化</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>資料煉金術：開放資料存取權，重燃創新之火</strong></span></p> <p>麥爾荀伯格（Viktor Mayer-Schönberger）、蘭姆格（Thomas Ramge）／著；林俊宏／譯</p> <p>天下文化出版</p> <p>定價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B3%87%E6%96%99%E7%85%89%E9%87%91%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p>麥爾荀伯格（Viktor Mayer-Schönberger）</p> <p>牛津大學網路研究所教授，並擔任微軟、世界經濟論壇等大公司和組織的顧問，是大數據（巨量資料）領域公認的權威，寫過上百篇專論、以及九本書，其中《大數據：隱私篇》一書獲得2010年 Marshall McLuhan 傑出著作獎、以及 Don K. Price 科技政策最佳書獎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%B3%87%E6%96%99%E7%85%89%E9%87%91%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p>蘭姆格（Thomas Ramge）</p> <p>東北大學助理教授暨媒體創新課程創辦總監、MIT媒體實驗室訪問學者。《連線》長期特約撰稿人，同時為《華盛頓郵報》、《紐約時報》、《時代》、《新聞週刊》等多家媒體撰稿。2006年創造「群眾外包」（crowdsourcing）一詞，著有《玩家外包：社群改變遊戲規則》。</p> </div></div></div>
2022/7/8 11:15未署名https://www.ithome.com.tw/article/151844
北韓駭客以Maui勒索軟體攻擊醫療組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）與美國財政部本周四（7/7）<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-187a" target="_blank">發布了聯合網路安全通報（Joint Cybersecurity Advisory）</a>，警告自去年5月以來就發現由北韓政府支持的駭客集團，正鎖定醫療保健與公衛（Healthcare and Public Health，HPH）組織發動Maui勒索軟體攻擊。</p> <p>FBI表示，駭客集團利用Maui來加密HPH組織各項服務的伺服器，涵蓋電子病歷服務、診斷服務、影像服務，以及內部網路服務等，某些案例甚至讓受到攻擊的服務很久才復原。</p> <p><a href="https://stairwell.com/wp-content/uploads/2022/07/Stairwell-Threat-Report-Maui-Ransomware.pdf" target="_blank">資安業者Stairwell也在本周公布了Maui勒索軟體的研究報告</a>，表示這是個少見的勒索軟體家族，缺乏一般勒索軟體即服務（RaaS）所應具備的工具，例如在勒索信中嵌入復原指示，或是可自動將加密金鑰傳給駭客的工具等，相反的，研究人員相信駭客是手動執行Maui攻擊，指定了攻擊時所要加密的檔案。</p> <p>FBI認為，PHP組織之所以遭到Maui勒索軟體駭客鎖定，應是因為駭客認為這些提供攸關人們健康與生命服務的醫療照護組織更願意支付贖金，而此一論點也讓FBI、CISA及美國財政部相信它們將會繼續針對該領域的組織進行攻擊，因而提出警告。</p> <p>此外，不管是FBI、CISA或財政部都強烈反對受害者支付贖金，認為就算支付贖金也無法保證就能回復檔案與紀錄，還有可能招來被制裁的風險。</p> <p><a href="https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf" target="_blank">美國財政部曾在去年9月公告</a>，支付贖金將讓犯罪份子及被制裁的對手獲利，間接協助它們的非法目標，包括用來資助不利於美國國家安全或外交政策的活動，因此，這類的付款不僅鼓勵了犯罪份子，也會激勵他們繼續進行攻擊。財政部明確表達它們反對受害者支付贖金的立場，也說支付贖金亦可能讓受害者面臨被制裁的風險。</p> </div></div></div>
2022/7/8 09:47作者陳曉莉https://www.ithome.com.tw/news/151840
Amazon把無人商店影像分析變成數據服務，能更精準預測顧客到實體商店購物選物的行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon推出<a href="https://www.aboutamazon.com/news/retail/amazon-launches-new-physical-retail-store-analytics-service">數據行銷服務Store Analytics</a>，利用無人收銀服務Just Walk Out與Dash Cart在Amazon無人商店蒐集到的影像分析資料，作為行銷用數據販售。這些數據不只有進出店面或購買情形，更有消費者發現商品的動向、貨架上取放商品、考慮情況等細節，甚至能追蹤消費者是當場購買商品，還是之後線上購買，這些數據點，大幅拓展了消費者線下及全通路行為追蹤的範疇。</p> <p>過去，線下購物行為能追蹤的數據點相當少，通常只能追蹤購物地點、進出店面情形及購買品項。現有的消費者行為影像分析服務，也只能針對店內固定地方的影像，無法追蹤完整的顧客購物行為。要進一步了解消費者在店內行為或其他購物情境資訊，過去得靠消費者自行提供來搜集。然而，這種作法有許多問題，除了消費者憑印象自述未必準確，也可能因為麻煩或涉及隱私而引起反感。資料分析方面，願意提供購物資訊的消費者族群，也未必能代表性大部份消費者，要分析個別消費者提供的質化資料時，要統一資料結構也相當耗工。</p> <p>儘管如此，Amazon<a href="https://ithome.com.tw/news/151031"> 5月時還是推出了Alexa Shopping List Savings</a>，以禮券回饋為誘因，讓消費者主動上傳固定格式的消費資訊，說明Amazon非常重視線下購物資料。這次新推出的Store Analytics，進一步在消費者默許同意下，透過遍布整個店面的鏡頭，統一蒐集更多數據點的購物行為。 </p> <p>Amazon推出的Just Walk Out及Dash Cart技術，分別透過商店內攝影機及購物車攝影機，追蹤消費者在實體店面中的行為，包括移動路徑、取放商品情形、考慮時間等。多了這些數據點，就能得知許多過去無法取得的直接資訊及推論資訊，例如從取放商品行為，可以計算消費者和不同商品類型或品牌互動的時間，或是從消費者動線，觀察不同商品類型間關聯，推論消費者使用這些商品的用例，甚至做為改良商品陳列位置或企業擴充產品線的參考等。除了線下購物行為外，由於Amazon無人收銀技術都要求消費者登入，因此還能結合消費者線上購物數據，分析出跨通路消費行為，例如消費者是否在實體店考慮過某商品，再從線上商店購入。Amazon強調，所有提供給企業的消費者數據都會去識別化，且以彙總後的群體形式呈現。消費者可以主動選擇不被追蹤，仍可以使用無人收銀功能。 </p> <p>目前，此服務只會販售Amazon自家無人商店Amazon Go跟Amazon Fresh的消費者數據。儘管目前Amazon無人商店數量不到100家，但包括2017年被Amazon收購的Whole Foods生鮮超市，已經有其他零售商家採用Amazon無人收銀技術，且無人收銀技術也是目前熱門零售科技議題，顯示<a href="https://www.rbrlondon.com/wp-content/uploads/2022/06/SCO22_Press_Release_270622.pdf">無人收銀市場還有不小成長空間</a>。儘管目前應用店數不多，結合無人收銀與影像追蹤，以全面掌握線下購物行為的做法，在Amazon開響第一槍後，有機會成為新的零售科技發展重點。</p> <p> </p> </div></div></div>
2022/7/8 09:56作者郭又華https://www.ithome.com.tw/news/151842
微軟改變決定，Office暫不預設關閉VBA巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了降低安全風險，<a href="https://www.ithome.com.tw/news/149245" target="_blank">微軟今年實施Office產品預設關閉巨集</a>。然微軟突然改變心意，宣布撤回這個決定，意謂可能延後實施。</p> <p>今年2月，微軟表示，為保障Office用戶的安全，準備於Access、Excel、PowerPoint、Visio及Word等5款Office程式的預設值中，封鎖網路下載檔案的VBA巨集，並將從4月起部署到目前通道（Current Channel）預覽版的Microsoft 365，並預計今年6月全面部署到Microsoft 365中，最終也會部署到LTSC 2021、Office 2019、Office 2016及Office 2013。</p> <p>不過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-rolls-back-decision-to-block-office-macros-by-default/" target="_blank">BleepingComputer</a>報導，微軟本周三（7/6）透過<a href="https://docs.microsoft.com/en-gb/DeployOffice/security/internet-macros-blocked" target="_blank">M365管理員訊息中心及資源網頁</a>說，根據反饋意見，微軟將從目前通道撤回這項變更。微軟對目前接到的回應表達感謝，也正在改進這方面的使用經驗。微軟說過些時日會再針對目前通道提供更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-%E5%BE%AE%E8%BB%9F%E6%94%B9%E8%AE%8A%E6%B1%BA%E5%AE%9A%EF%BC%8COffice%E6%9A%AB%E4%B8%8D%E9%A0%90%E8%A8%AD%E9%97%9C%E9%96%89VBA%E5%B7%A8%E9%9B%86-600.png" style="width: 600px;" /></p> <p>微軟並未說是誰的回饋，不過今年初微軟宣布這項決定時，引來許多用戶的不滿。其中<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805" target="_blank">不少用戶反映</a>變更VBA巨集會導致數位簽章失效，必須重新簽發。另一些用戶則批評這是家長式管制，而且微軟可以用更簡單、且破壞性更小的方法，像是建立可執行的巨集白名單，或是關閉autorun來防止惡意巨集的執行。</p> <p>Excel中則把XL4和VBA巨集分開，以提供個別管理。<a href="https://www.ithome.com.tw/news/149028" target="_blank">微軟今年1月已經預設封鎖XL4巨集</a>。</p> <p>根據微軟<a href="https://www.microsoft.com/en-us/microsoft-365/roadmap?rtc=1&searchterms=88883&filters=&searchterms=88883" target="_blank">Microsoft 365 Roadmap</a>，目前微軟暫時將全面上線（General Availability）的時程推遲到9月。</p> </div></div></div>
2022/7/8 10:05作者林妍溱https://www.ithome.com.tw/news/151843
Twitter測試CoTweets共筆功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.twitter.com/en/using-twitter/cotweets#cotweet" target="_blank">Twitter本周宣布</a>，將於美國、加拿大與韓國實驗全新的CoTweets共筆功能，讓不同的Twitter用戶能夠共寫一則推文，目前僅開放給少數用戶試用。</p> <p>一則由不同使用者共同撰寫的推文，將會同時出現在這兩名使用者的推文中，藉由CoTweets將可讓作者一起分享他們的觀點，不管是相同或是不同的，也能讓作者觸及新的粉絲，或是強化作者間的合作關係。</p> <p>目前CoTweets運作的形式是由雙方先協作完成內容，例如藉由Twitter的Direct Messages或是其它通訊程式，待內容就緒之後，其中的一名作者即可建立CoTweets，並寄送邀請予另一名作者，對方接收後該共同創作的推文就會同時出現在兩人的推文時間軸上。</p> <p>不過，已發布的CoTweets並不能修改，唯一的變更方式是將它移除，再重新撰寫一筆新推文。目前Twitter僅允許兩名作者一同共筆，尚未支援更多的共筆人數。</p> <p>若是其中有一名作者反悔了，即可撤銷該CoTweets，之後此一推文將會如同一般推文出現在對方的時間軸上，而無共筆的作者資料。</p> <p>現階段Twitter並不確定CoTweets的實驗成果，也不確定它是否會成為正式功能，因此在實驗結束後，可能會關閉CoTweets功能，並移除CoTweets所有內容。</p> </div></div></div>
2022/7/8 10:14作者陳曉莉https://www.ithome.com.tw/news/151845
AI周報第193期：即時物件偵測新模型YOLOv7問世，表現碾壓YOLO系列和Transformer類物件偵測模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0701～0707)</span></p> <p>本周有不少重量級開源模型出現，像是由中研院團隊開發、表現完勝現有物件偵測模型的YOLOv7，以及Meta打造、單一模型可翻譯200種語言的NNLB-200，還有哥倫比亞大學仿DeepMind蛋白質折疊預測模型AlphaFold、用PyTorch開發的OpenFold，表現甚至比AlphaFold 2要好一些。而PyTorch這個開源機器學習框架，最近也釋出最新的1.12版，新增許多加速API。產業方面，H&M聯手Google雲端要打造核心數據平臺，FIFA則要引進最新影像辨識技術作為越位裁判輔助。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">YOLOv7 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 即時物件偵測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>中研院即時物件偵測新模型YOLOv7問世，表現碾壓YOLO系列和Transformer物件偵測模型</strong></span></p> <p>打造轟動AI圈的物件偵測模型YOLOv4和YOLOR還不夠，本周，中研院原班人馬釋出新一代即時物件偵測器YOLOv7，不論是速度還是準確度，在每秒5幀到每秒160幀範圍內，表現都優於現有所有物件偵測模型，像是YOLO系列模型和Transformer模型。而且，在使用GPU V100、每秒30幀或更多的條件下，YOLOv7平均精度達到56.8%，是所有物件偵測器中，準確度最高的模型。</p> <p>進一步來說，YOLOv7由中研院資訊所所長廖弘源、博士後研究生王建堯和YOLO網路維護者Alexey Bochkovskiy共同開發，這款物件偵測器的表現，超越目前電腦視覺界主流的網路架構，如卷積網路（CNN）和Transformer架構。在使用GPU V100、每秒56幀的條件下，YOLOv7-E6速度比Transformer類的SWIN-L Cascade-Mask R-CNN快上5倍多、準確度高2%，也比卷積網路類的ConvNeXt-XL Cascade-Mask R-CNN快上5.5倍、平均精度高出0.7%。</p> <p>此外，YOLOv7的速度和準確度，也比其他熱門物件偵測模型要好，包括YOLOR、YOLOX、Scaled-YOLOv4、YOLOv5，以及Transformer類的DETR、Deformable DETR、DINO-5scale-R50、ViT-Adapter-B及許多物件偵測模型。團隊補充，他們只用微軟COCO資料集從零訓練模型，並未使用其他資料集或預訓練模型的權重。YOLOv7目前已於GitHub上開源，開發者可下載。<a href="https://arxiv.org/abs/2207.02696?fbclid=IwAR1PWmysKBZ9etLhxAgl4bRP7u9Pha5KJmhmGn0jh3y19lSw3YYR92c2pcc">（詳全文）</a></p> <p><img alt="" src="https://github.com/WongKinYiu/yolov7/raw/main/figure/performance.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 翻譯 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta最新翻譯模型可一次翻譯200種語言，未來要用於臉書、IG內百億則內容</strong></span></p> <p>Meta最近開源一套翻譯模型NLLB-200，單一模型就可一次翻譯200種語言，包括熱門語言和沒有豐富資料的非洲少數語言。這個模型，是源於Meta的絕不拋下任何語言專案（NLLB），將為10億多人提供翻譯內容。</p> <p>Meta表示，NLLB-200成果將支援Facebook動態消息、Instagram及其他平臺上高達250億則翻譯內容，使用者只要點擊一個按鈕，就能用自己熟悉的語言準確了解內容。Meta這次開源，釋出了NLLB-200模型、多對多評估資料集FLORES-200、模型訓練程式碼，還有用於重建訓練資料集的程式碼。<a href="https://ai.facebook.com/blog/nllb-200-high-quality-machine-translation/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/288199290_556570179362789_8110046528855215860_n.jpg?_nc_cat=101&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=BGKk-otML60AX_ck21L&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT-o0vZpc3ZM__s8wxz9ElD9qCDsQaKe3e7JjuGEO2LzuQ&oe=62CC8A37" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> API </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料前處理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>PyTorch 1.12新版來了！新API加速批次資料前處理、優化Mac訓練效率</strong></span></p> <p>離上一版更新才幾個月，開源機器學習框架PyTorch近日釋出最新版本v1.12，包括一系列服務更新和除錯。其中的主打特色有Beta版的機器學習資料前處理函式庫TorchArrow，是一個高效能、簡單好用的API，用來加速資料前處理工作流程。另一個則是Beta版的模組函式API，可讓開發者完全控制模組運算中的參數，此外還有針對複數、複數算子提供的2個新功能，一個是複卷積的新功能，另一個是對Complex32資料類型的實驗性支援。不只如此，這次新版也針對Mac做出模型訓練加速的優化，並針對特Transformer編碼器模組，提供快速實作的功能。<a href="https://pytorch.org/blog/pytorch-1.12-released/">（詳全文）</a></p> <p><img alt="" src="https://pytorch.org/assets/images/apple_m1_eval.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 史丹佛大學 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAN </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>史丹佛大學打造超強GAN模型，可隨意生成3D逼真臉部和物件影像</strong></span></p> <p>史丹佛大學日前打造一套GAN模型EG3D，可隨機生成高清晰度的人臉影像，或其他具有基本幾何結構物件的影像。該模型是目前少數能產出近照片渲染等級品質的AI模型。</p> <p>進一步來說，GAN的原理是，透過生成器產出與輸入值近似的圖片，再由鑑別器來判斷品質，如此反覆來提高生成品質。在EG3D中，研究員先整合目前現有的高解析度2D GAN特徵，打造成一個元件，來將平面影像轉換為3D影像，一次完成2個工作。此外，該模型還有高效運算的特色，幾乎能在筆電上，即時產出逼真、清晰的3D影像，甚至也能用來建立複雜的3D設計。<a href="https://github.com/NVlabs/eg3d">（詳全文）</a></p> <p><img alt="" src="https://github.com/NVlabs/eg3d/raw/main/docs/teaser.jpeg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AlphaFold </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenFold </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蛋白質折疊 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>哥大教授開源PyTorch版蛋白質折疊預測模型OpenFold</strong></span></p> <p>哥倫比亞大學教授Mohammed AlQuraishi用PyTorch<a href="https://twitter.com/MoAlQuraishi/status/1539589308893597698?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1539589308893597698%7Ctwgr%5E%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwandb.ai%2Ftelidavies%2Fml-news%2Freports%2FOpenFold-A-PyTorch-Reproduction-Of-DeepMind-s-AlphaFold--VmlldzoyMjE3MjI5">打造一套蛋白質折疊預測模型OpenFold</a>，是仿DeepMind的AlphaFold 2開發而成，表現比AlphaFold 2稍好。雖然業界有不少仿AlphaFold的開源模型出現，但OpenFold是唯一一個開源最完整且表現最好的模型。</p> <p>蛋白質折疊實驗是發現新藥的關鍵步驟，也是困擾科學家數十年的難關，因為要準確預測，得花上大量時間和硬體成本。而AlphaFold打破這個瓶頸，在2020年的蛋白質結構預測CASP14競賽中拿下第一，所需時間最短、準確率也最高，為此後的蛋白質折疊研究開拓新路。</p> <p>OpenFold完整仿照AlphaFold 2開發、開源，唯一的例外是模型整合（Model ensembling）並未納入，因為它在原本DeepMind的測試中就表現不佳，且逐步淘汰，因此未納入OpenFold中。根據開發者在GitHub說明，不論是否使用深度學習訓練加速函式庫DeepSeed，OpenFold都能以全精度或bfloat16來進行訓練，且表現與AlphaFold相當。<a href="https://github.com/aqlaboratory/openfold">（詳全文）</a></p> <p><img alt="" src="https://github.com/aqlaboratory/openfold/raw/main/imgs/of_banner.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLPerf </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google、Nvidia並列MLPerf機器學習效能基準測試之冠</strong></span></p> <p>MLCommons最近公布最新機器學習基準測試結果，Nvidia和Google分別在4項測試項目中拿下第一。MLPerf Training是業界組織MLCommons定期舉辦的機器學習效能測試，也是業界知名的參考指標。這次公布MLPerf Training 2.0結果，其中包括8種AI推論應用任務類別，包括圖像分類、圖像分割、物件辨識light-heavy、物件辨識heavy-light、醫療影像、語言辨識、自然語言處理、推薦和強化學習。</p> <p>其中，Google的TPU v4在自然語言處理、圖片分類和2項物件辨識等4種任務測試中拿下第一，而Nvidia是唯一一家完成所有8項目測試的廠商，使用A100 GPU及新的Jetson AGX Orin SoC，在6項測試中拿下第一。<a href="https://mlcommons.org/en/news/mlperf-training-2q2022/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> H&M </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心數據平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>H&M要用各類數據發展AI！近日聯手Google要打造核心數據平臺</strong></span></p> <p>瑞典服裝品牌H&M宣布要打造一套企業級數據骨幹平臺，來發展AI營運管理應用。他們找來Google雲端，要利用Google的資源，開發核心數據平臺、數據產品和AI相關應用，並發展全新數據網格，來處理店內、線上購物、供應端和品牌生態系中的各類數據。</p> <p>這個平臺的終極目標，是要改善H&M內部供應鏈和跨通路的消費者體驗。H&M技術長Alan Boehme表示，自家公司有著悠久的創新歷史，現在則要利用先進分析技術來加速H&M數位轉型，給消費者耳目一新的服務。<a href="https://www.prnewswire.com/news-releases/google-cloud-announces-new-partnership-with-global-fashion-retailer-301578534.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像裁判 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國際足球聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影像辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>幾秒就能通知裁判！世界盃將引入新影像裁判技術</strong></span></p> <p>國際足球聯盟FIFA日前發表一套由攝影機和感測器組成的越位裁判技術，將應用於今年底的卡達世界盃足球賽。這套方案由愛迪達和其他廠商合作，可提供足球場上更精準的越位（offside）判決。</p> <p>該方案將使用12臺攝影機，架設在球場屋頂來追蹤足球位置，並蒐集場內每位球員身上的29個資料點，每秒蒐集50次。這些攝影機也搭配比賽用球Al Rihla，球的中心置有慣性測量單元感測器，可將球的資料以每秒500次的頻率，傳到VAR裁判組。這個新技術，將結合感測器和AI模型，在進攻方的前鋒處於越位位置時，自動對VAR裁判組自動發出警示，提供自動產生的越位畫面。VAR裁判組人工判斷確認越位後，就會通知場中裁判。所有過程可在幾秒內完成，FIFA表示這可使足球關鍵判決更快且更精準。<a href="https://www.fifa.com/technical/media-releases/semi-automated-offside-technology-to-be-used-at-fifa-world-cup-2022-tm">（詳全文）</a></p> <p><img alt="" src="https://digitalhub.fifa.com/transform/5959c71c-a5ee-4c4e-a8fa-d72b4031e3e0/Semi-automated-offside-technology-to-be-used-at-FIFA-World-Cup-2022?io=transform:fill,width:1400&quality=100" /></p> <p>圖片來源／中研院、Meta、PyTorch、史丹佛大學、哥倫比亞大學、FIFA</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Hugging Face新添評估工具Evaluation on the Hub，容易上手用任何資料集來評估各種模型</strong></p> <p><strong>2. Reddit收購NLP廠商MeaningCloud</strong></p> <p>資料來源：iThome整理，2022年7月</p> </div></div></div>
2022/7/7 18:07作者王若樸https://www.ithome.com.tw/news/151836
【資安日報】2022年7月7日，萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>飯店業者遭到攻擊並造成資料外洩的情況，在2年前曾出現數起，而最近萬豪飯店（Marriott）集團旗下的飯店再度遭到攻擊，駭客聲稱竊得20 GB資料，並向該飯店索討贖金，但沒有將資料加密。萬豪飯店也證實確有此事，並表示在事發約6個小時後，整起攻擊行動就獲得了控制。</p> <p>駭客時下最常濫用的滲透測試工具，應該就屬Cobalt Strike，但俄羅斯駭客APT29使用名為Brute Ratel C4（BRc4）的滲透測試工具引起了研究人員高度關注，原因是這套由曾任職Mandiant與CrowdStrike的資安人員所開發的工具，擅長迴避防毒軟體與EDR系統的偵測，而使得相關攻擊行動可能更難被察覺。</p> <p>開發勒索軟體Hive的駭客更換開發工具，以程式語言Rust開發新的勒索軟體，也使得這款勒索軟體的危險程度大幅增加，更難被找到弱點與攻擊徵兆。而這款勒索軟體是繼BlackCat之後，另一款採用此程式語言開發的勒索軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/exclusive-marriott-hacked-again-yes-heres-what-we-know/"><span style="color: rgb(0, 0, 0);">萬豪飯店遭到駭客入侵，疑外洩20 GB機敏資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg" style="width: 300px; float: right;" /></a>飯店業遭到駭客攻擊，並發生資料外洩的情況，在疫情爆發前發生數起事故，這樣的攻擊行動隨著各國政府對出入境鬆綁又再度出現。資料外洩事故新聞網站DataBreaches於7月5日指出，他們在6月28日獲報萬豪（Marriott）飯店的資料外洩事件，不願具名的駭客組織宣稱在1個月前入侵，並竊得約20 GB的內部資料，當中包含信用卡交易資料，以及萬豪內部的資料。</p> <p>該新聞網站針對駭客提供的部分資料進行查核，發現資料來自該集團位於美國馬里蘭州BWI機場的飯店，這些駭客也向DataBreaches表示他們入侵了該飯店的伺服器。</p> <p>萬豪坦承確有此事，並認為他們之所以被入侵，是駭客經由社交工程攻擊員工得逞，進而存取該名員工的電腦。該公司指出，駭客能夠經由該名員工的權限存取相關資源，但目前沒有證據表明能存取其他的資料。這個說法看似合理，但駭客如果進行橫向移動，有可能得以存取其他資源。</p> <p>該公司亦宣稱，在駭客向他們索討贖金之前就已察覺攻擊行動，並在6個小時就獲得控制，駭客竊得的是較不敏感的內部業務資料，不過他們仍需通知約300至400名受影響的人士，但對於這些人士的身分並未進一步透露。而針對贖金的部分，萬豪疑似贖金價碼過高，而沒有向駭客支付，駭客也表明沒有加密伺服器上的檔案。這起事故已是萬豪自2018年至今的第3次重大資料外洩事件。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png" style="width: 300px; float: right;" /></a>最近幾年駭客濫用滲透測試工具的情況相當頻繁，當中又以利用Cobalt Strike的攻擊行動最為常見，但有部分組織疑似開始改用其他工具來規避資安系統的偵測。資安業者Palo Alto Networks指出，俄羅斯駭客組織APT29（亦稱CozyBear、Dukes）約自5月下旬，開始利用名為Brute Ratel C4（BRc4）的滲透測試工具發動攻擊。</p> <p>BRc4是曾任職於Mandiant與CrowdStrike的紅隊演練專家Chetan Nayak製作，該名資安人員開發的動機就是要將其用於紅隊演練，替代Cobalt Strike，紅隊可在目標電腦上部署Badgers（相當於Cobalt Strike的Beacon），來接收攻擊者下達的命令，進行各式攻擊行為。</p> <p>研究人員指出，BRc4不若Cobalt Strike廣為人知，而且該軟體特別針對防毒軟體與EDR系統打造，使得這些防護系統幾乎無法察覺攻擊意圖。在APT29發起的攻擊行動中，駭客以寄送求職履歷的名義發動釣魚攻擊，挾帶惡意ISO映像檔，但ISO檔案內含的履歷檔案，實際上是Windows捷徑（LNK）檔案，一旦受害者開啟，就會觸發映像檔裡的OneDriveUpdater.exe，然後透過作業系統的Runtime Broker處理程序來載入BRc4的Badger元件。</p> <p>值得留意的是，Cobalt Strike與BRc4都是商業軟體，但前者已遭到駭客破解而大肆濫用，後者目前沒有類似的情形，究竟駭客如何啟用BRc4的軟體授權，而能用於攻擊行動？資安新聞網站Bleeping Computer取得Chetan Nayak的說法，很有可能是有客戶的員工洩露出去，威脅情報業者Advanced Intelligence（AdvIntel）則認為，駭客很有可能設立了假的公司，而通過Chetan Nayak對買家的背景驗證流程，成功買到BRc4的軟體授權。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/05/hive-ransomware-gets-upgrades-in-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以程式語言Rust開發，恐更加難以察覺攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png" style="width: 300px; float: right;" /></a>勒索軟體Hive自去年6月出現後，已為全球帶來相當嚴重的威脅，而當時駭客使用Go語言開發勒索軟體引起研究人員的高度關注，但近期這些駭客再度更換程式語言，重新打造勒索軟體。微軟於7月5日指出，他們近期發現的新版勒索軟體Hive，出現了重大的變化，那就是駭客重新使用Rust程式語言打造勒索軟體，而這是繼BlackCat之後，另一款採用此種程式語言打造的勒索軟體。</p> <p>研究人員指出，駭客會採用Rust開發的原因，包含對於開發者提供更為友善的程式語法，並對系統資源有較精準的控制而執行更有效率，除此之外該程式語言亦具備各式各樣的密碼程式庫，並提供多種機制實現檔案加密保護，而使得研究人員想要對惡意程式逆向工程將會更加困難。研究人員指出，他們找到了改以Rust開發的多個Hive變種檔案，而這些勒索軟體的共通點，在於能察覺攻擊跡象的防毒軟體並不多，即使能夠將其識別為有害，也無法確認就是Hive的變種。</p> <p>附帶一提，新版Hive的加密手法也相當罕見且複雜──駭客在記憶體內產生兩組金鑰，以橢圓曲線迪菲．赫爾曼金鑰（ECDH）交換協定，並結合Curve25519和XChaCha20-Poly1305兩種演算法，使用ChaCha20對稱密碼用來加密檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-report-maui-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客使用勒索軟體Maui，鎖定醫療保健相關機構下手</span></a></strong></h3> <p>勒索軟體的威脅可說是越來越嚴重，除了惡名昭彰的Conti、LockBit、BlackCat、Hive，專門鎖定特定產業、過往不曾發現的勒索軟體也相當值得留意。資安業者Stairwell在上個月發現名為Maui的勒索軟體，研究人員指出，這個勒索軟體與其他同類型的攻擊工具，有顯著不同的功能差異，例如，Maui缺少多數勒索軟體提供勒索訊息功能，也不會向攻擊者回傳加密金鑰，研究人員由此推測，駭客必須手動操作Maui，並指定要加密的檔案。</p> <p>同一天美國網路安全暨基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國財政部聯手，針對此勒索軟體的攻擊行動提出警告，並指出是北韓駭客所為，這些攻擊者至少從2021年5月就開始行動，鎖定的目標是醫療保健與公共衛生組織（HPH）。他們呼籲這些單位應透過相關措施來嚴加防範，並藉由Stairwell提供的情資來識別相關威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.shi.com/uncategorized/recent-security-incident-statement-from-shi/"><span style="color: rgb(0, 0, 0);">北美大型IT服務業者SHI遭到網路攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png" style="width: 300px; float: right;" /></a>大型IT服務業者遭到網路攻擊，很可能使得使用者受到波及。北美大型IT服務業者SHI傳出於7月4日遭到了專業的惡意軟體攻擊，該公司亦表示他們已快速做出因應，來儘可能減少對於營運的影響。資安新聞網站Bleeping Computer指出，該公司部分網站一度出現資訊系統正在維護的訊息，或是顯示Amazon CloudFront、AWS S3出錯的畫面。該公司正與執法單位著手調查，並強調目前沒有客戶的資料遭到外洩的跡象，該公司的供應鏈無外部系統受到波及。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/security-advisory-accidentally-exposes-vulnerable-systems/"><span style="color: rgb(0, 0, 0);">MITRE發布的資安通告疑曝露易受攻擊的IP設備主控臺</span></a></strong></h3> <p>資安通告若是曝露了過多資訊，有可能使得受到影響的系統更容易受到波及。根據資安新聞網站Bleeping Computer的報導，有讀者發現MITRE發布的4月份高危險漏洞安全公告裡，竟在參考資料裡，不慎列出了受影響的設備遠端管理網頁的連結，並指出一旦公布這類資訊後，攻擊者很有可能利用物聯網搜尋引擎Shodan、Censys等，來尋找存在相關弱點的攻擊目標下手。</p> <p>該新聞網站向MITRE確認此事，對方竟表示他們過往就列過這種型態的參考資料。CERT/CC漏洞分析師Will Dormann、Jonathan Leitschuh都認為MITRE的做法不妥，並表示在CVE資訊裡列舉易受到攻擊的對象，顯得對受到影響的單位不尊重。Bleeping Computer隨後發現，有部分CVE漏洞的資料來源，其實是中國研究人員在GitHub發布的文章，但MITRE疑似複製這些研究人員的發現，並以自己的名義在GitHub發布相關資訊（例如CVE-2022-25584，現此漏洞在GitHub的說明網頁已遭到刪除）。該新聞網站指出，他們向MITRE確認的數個小時後，前述讀者發現的參考資料已遭到刪除。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nato.int/cps/en/natohq/official_texts_196951.htm"><span style="color: rgb(0, 0, 0);">北約組織打算提升網路攻擊的因應能力</span></a></strong></h3> <p>俄羅斯對烏克蘭開戰後，不只頻頻對烏克蘭發動網路攻擊，鄰近國家也出現遭到波及的情況。對此，北大西洋公約組織（NATO）於6月29日在西班牙舉行的高峰會，公布有關的決策，當中特別提及北約盟國正面臨網路空間等不對稱的威脅，他們決定透過軍民合作的方式，來大幅增加網路防禦的能力，並將這項措施與能源的安全，視為盟國提升韌性（Resilience）的重要方針。而這是NATO自去年將網路攻擊視同武裝攻擊看待後，對於盟國之間的資訊安全的重大宣示。</p> <h3><strong style="font-size: 22px;"><a href="https://www.apple.com/tw/newsroom/2022/07/apple-expands-commitment-to-protect-users-from-mercenary-spyware/"><span style="color: rgb(0, 0, 0);">為防範間諜軟體攻擊，蘋果計畫在旗下電腦與行動裝置導入新資安功能</span></a></strong></h3> <p>間諜程式（如NSO Group開發的Pegasus）鎖定人手一隻的手機下手，針對政治人物或是新聞記者而來，這樣的情況近年來也越來越頻繁，使得手機廠商決定加入相關的機制來強化安全。</p> <p>蘋果於7月6日宣布，他們計畫在今年秋季發布的iOS 16、iPadOS 16，以及macOS Ventura等作業系統中，提供鎖定模式（Lockdown Mode），來防堵間諜程式攻擊的情況。在這種模式下，即時通訊軟體Messages將停用連結預覽功能，並阻擋圖片以外的附件；網頁瀏覽器也會在大部分的情況下，停用JavaScript的即時編譯（JIT）機制；而在手機鎖定時，該模式將禁止電腦與iPhone進行連接。</p> <p>此外，該公司亦在漏洞懸賞計畫增列相關類別，並提供最高200萬美元的獎金，他們也打算提供1千萬美元，來支持專門調查這類針對性網路間諜攻擊的組織。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/30/infostealer/"><span style="color: rgb(0, 0, 0);">惡意軟體PennyWise鎖定加密貨幣錢包和瀏覽器資料發動攻擊</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151747">【2022年7月4日】漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利、駭客聲稱攻陷IBM與史丹佛大學</a></p> </div></div></div>
2022/7/7 17:12作者周峻佑https://www.ithome.com.tw/news/151835
GovTech月報第8期：北市靠AI降低民眾被詐騙財產損失風險；美密西根州發數位車牌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0601~0630)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺北</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">詐騙</span></font> </strong></p> <p><span style="font-size: 22px;"><strong>臺北市啟動智能防詐生態圈，靠AI降低民眾被詐風險</strong></span></p> <p>民眾受到詐騙集團欺騙造成財產損失的新聞時有所聞，臺北市政府去年發生的詐欺案件共4,200多件，受害民眾財產損失7.1億元，詐騙案件已成為重要的社會議題，近日臺北市政府聯合市府警察局、台北富邦銀行，共宣布啟動智能防詐生態圈。</p> <p>智能防詐生態圈的運作方式，針對詐騙案件誘騙被害民眾匯款，以及車手提領現金兩部分來進行阻攔。首先是受騙民眾匯款部分，防由台北富邦銀行根據過去詐騙事件的歷史資料建立AI模型，在銀行的臨櫃櫃檯、網路銀行、ATM等節點強化提醒機制，提高民眾對詐騙事件的警覺心；其次是車手提領方面，透過AI模型，發送可疑車手提領的熱點資訊給市警局，由警局後臺派遣巡邏員警到場阻攔車手提領，避免被害民眾損失擴大。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">密西根州</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位車牌</span></font> </strong></p> <p><strong><span style="font-size: 22px;">美國密西根州核發數位車牌</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EDC.jpg" style="width: 600px; height: 401px;" /></p> <p>繼加州、亞利桑納兩州通過使用數位車牌之後，美國的密西根州近期也加入行列，開放民眾申請新式的數位車牌。密西根州的11個市鎮民眾可申請數位車牌，在美國、加拿大、墨西哥使用。</p> <p>所謂的數位車牌其實是，一塊具4G LTE連網功能的HD顯示器，有別於傳統的車牌僅有數字號碼或字母，數位車牌為黑白兩色，可客製化設計車牌內容，例如Keep Distance，並具備防盜功能，當車輛被移動時發出通知給車主，或是失竊時顯示Stolen。</p> <p>數位車牌供應商目前推出每月20美元或25美元的訂閱制服務，車牌分為採用電池或連接汽車供電的模式，還可具備GPS定位功能。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">都柏林</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">Wi-Fi</span></font> </strong></p> <p><strong><span style="font-size: 22px;">都柏林測試Wi-Fi開放漫遊技術，讓市民、旅客可無縫使用Wi-Fi漫遊上網</span></strong></p> <p>愛爾蘭首都都柏林（Dublin）近期宣布完成一項智慧城市測試計畫，導入WBA無線寬頻聯盟的Wi-Fi開放漫遊（OpenRoaming）標準完成概念驗證，讓市民、觀光旅客或商務人士在都柏林使用公共Wi-Fi熱點，只要登入一次，在城市內移動時能夠無縫使用公共無線網路。</p> <p>約有200萬人口的都柏林，每年吸引600多萬人次的旅客造訪，市府近來積極推動城市的各項基礎建設，這項測試就是其中一項，與WBA聯盟合作進行Wi-Fi開放漫遊概念測試，最初在設置3個熱點，未來擬擴展以城市為區域150個熱點。</p> <p>Wi-Fi開放漫遊技術能夠讓旅客登入Wi-Fi熱點後，之後旅客使用的裝置能自動切換到其他支援開放漫遊技術的熱點。WBA聯盟表示，該技術免除使用者在移動時，需要重新註冊、登入的麻煩，並提供企業級的安全及隱私保護。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> </strong></p> <p><span style="font-size:22px;"><strong>歐洲第一座Exascale超級電腦將在2023年上線</strong></span></p> <p>全球各國頂尖超級電腦逐漸進入Exascale時代，繼美國、中國之後，歐洲高效能運算聯合任務中心（European High Performance Computing Joint Undertaking, Euro HPC JU）也計畫打造歐洲首座Exascale超級電腦，明年就會在德國上線。</p> <p>由德國利希研究中心（Forschungszentrum Jülich）代管及運行的超級電腦名為JUPITER，造價約5億歐元，將提供至少1 Exascale的效能，新超級電腦採用模組化架構，並採用GPU作為運算加速器，未來上線後，主要供氣象、生物、健康、安全及材料等研究使用。利希研究中心負責維運部分重要的歐洲超級電腦，除了明年將完成的JUPITER，該中心現在還有JUWELS、JURECA兩座超級電腦，其中JUWELS至居500大第11位。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">中央銀行</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">CBDC</span></font> </strong></p> <p><strong><span style="font-size:22px;">央行聯手5家銀行展示CBDC成果，購物、繳費、數位券、移工小額匯款都可用</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS-1.jpg" style="width: 300px; height: 400px;" /></p> <p>我國中央銀行數位貨幣（CBDC）試驗有新進展，央行與財金公司、外部技術團隊，以及中國信託、華南銀行、國泰世華、台新、上海商銀5家銀行，展示CBDC第二階段試驗成果，未來透過CBDC平臺，數位現金可用於購物、繳費，或是發行程式化的數位券，以存款帳戶或現金兌換CBDC，或利用CBDC提供移工跨境小額匯款。目前CBDC仍處於試驗階段，尚未有推出的時間點，央行說明，將會和有關機構溝通，精進CBDC平臺，同時研議最花時間的法律架構，才可能討論CBDC上路時間。</p> <p>央行總裁楊金龍表示，未來推動CBDC有4項好處，包括讓民眾取得安全的數位貨幣，如同現金，為大眾唯一使用且安全的央行貨幣，其次是，CBDC為可程式化貨幣，可設定交易條件，例如發行數位振興券、企業內的福利金，再來是推動普惠金融，不需開設銀行存款帳戶，任何人可設立CBDC電子錢包，以CBDC付款。最後是，CBDC未來可簡化跨境支付流程。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法務部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">司法聯盟鏈</span></font> </strong></p> <p><span style="font-size: 22px;"><strong>法務部打造司法聯盟鏈，以區塊鏈貫穿司法審判流程</strong></span></p> <p>為推動司法改革、重塑民眾對司法的信任，司法院、法務部、調查局、內政部警政署等單位去年達成共識，在司法審判偵查中引進區塊鏈技術，推動司法聯盟鏈，今年6月開始試行司法聯盟鏈，預計7月正式對外公布。</p> <p>司法聯盟鏈貫穿司法審判，利用區塊鏈去中心化的特性，強化數位證據的監管，從司法警察的蒐證、檢查官偵查到法官審判的過程，利用區塊鏈不易竄改、不可否認、透明去中心化的特性，確保審判過程中數位證據的同一性。司法聯盟鏈最初由法務部、司法院、調查局、高檢署、警政署5個單位創建驗證節點，兼擬定後續其他單位加入擴大聯盟鏈節點的規範。</p> <p>目前採用科技化管理證物，在實體證物的保存部分，採用RFID建置扣押物的贓證物庫管理系統，而數位證據的監管保存，則採用區塊鏈公開、透明的特性，確保數位證據的同一性。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">印度</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font> </strong></p> <p><span style="font-size: 22px;"><strong>印度政府禁公務員使用VPN、Google Drive等雲端服務</strong></span></p> <p>為提升行政作業彈性及效率，不少國家或地方政府導入雲端服務，但印度政府近期發布資訊安全指令，要求公務員不得使用外部VPN，或使用Google Drive、Dropbox等雲端服務儲存公務文件或檔案。</p> <p>印度國家資訊中心（NIC）近期以提升公務員及外聘人員資安意識為由，要求公務人員不得使用VPN或Tor匿名網路。此外，也要求政府僱員、約聘或委外員工的公務文件不得儲存於非政府提供的雲端服務，例如Google Drive或Dropbox。同時也不得對其使用的行動裝置越獄或刷機，或使用工具私自掃描政府文件。</p> <p>事實上，NIC的主管機關電子暨資訊技術部要求，VPN業者、資料中心、雲端業者必需蒐集用戶資料，以瞭解客戶，迫使VPN業者可能觸及客戶隱私，在不願遵守下，已有部分外國VPN服務商退出印度市場。</p> <p> </p> <p>圖片來源／Reviver、EuroHPC JU</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多GovTech動態</span></strong></span></p> <p><strong>1.無人機AI創新應用研發中心8月在嘉義掛牌成立</strong></p> <p><strong>2.歐洲議會通過數位服務法、數位市場法，加強科技業者在歐盟地區的監管力道</strong></p> <p><strong>3.NCC公布數位中介服務法草案，強化網路中介業者監管</strong></p> <p> </p> <p><strong>資料來源：iThome整理，2022年6月</strong></p> </div></div></div>
2022/7/7 16:27作者蘇文彬https://www.ithome.com.tw/news/151822
英國針對微軟與動視暴雪併購案展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/cma-cases/microsoft-slash-activision-blizzard-merger-inquiry" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）周三（7/6）正式啟動對微軟與動視暴雪（Activision Blizzard）的合併調查</a>，以了解此一併購案是否會影響英國市場的競爭。</p> <p>微軟是在今年1月宣布將以每股95美元、總價687億美元的金額買下動視暴雪。動視暴雪為歐美最大的遊戲業者，曾發行《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）與《暗黑破壞神》（Diablo）等知名遊戲。倘若此一交易成真，也將成為微軟史上最大的併購案。</p> <p>根據遊戲產業分析機構Newzoo去年第二季的統計，動視暴雪的遊戲營收為全球第七大，落後騰訊、Sony、蘋果、微軟、Google及網易。微軟則說，買下動視暴雪將讓該公司成為全球遊戲營收第三大的企業，僅次於騰訊及Sony。</p> <p>CMA邀請相關的第三方對此一交易提出看法，並準備在9月1日作出初步決定。</p> <p>不只是英國，<a href="https://www.warren.senate.gov/oversight/letters/ftc-chair-lina-khan-responding-to-sen-warrens-letter-on-microsofts-proposed-acquisition-of-activision-blizzard-redoubles-ftcs-commitment-to-scrutinize-mergers-impacts-on-workers" target="_blank">美國聯邦交易委員會</a>（FTC）與<a href="https://www.accc.gov.au/public-registers/mergers-registers/public-informal-merger-reviews/microsoft-corporation-activision-blizzard-inc" target="_blank">澳洲競爭與消費者委員會</a>（ACCC）亦於6月透露，已針對該案展開調查。</p> <p>微軟預期此一合併案可在明年6月以前完成。</p> </div></div></div>
2022/7/7 15:35作者陳曉莉https://www.ithome.com.tw/news/151824
臺灣49家新創參加SelectUSA Tech競賽打響市場知名，1資安與2醫療新創嶄露頭角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月底美國商務部在馬里蘭州國家海港區召開SelectUSA投資高峰會，關注美國時下投資環境、產業趨勢及最新投資機會等議題之餘，同時舉辦的SelectUSA Tech Program競賽活動，亦是一大年度焦點，並成為觀察新創公司發展的重要指標，特別的是，今年又有臺灣資安新創業者以身分認證產品技術獲得青睞，奪得資安產業項目第一名，成功爭取到美國投資者的目光。</p> <p>關於SelectUSA Tech Program這項新創計畫，是2020年增設的競賽活動，目的是吸引全球新創公司，前進美國拓展市場，同時也讓這些有意赴美投資的新創，有機會吸引到創投、投資機構的目光。</p> <p>對於未來2到3年有意拓展美國市場的臺灣新創來說，將可透過此計畫拓展美國資源，向美國創投簡報，以及增加曝光機會。</p> <h3><strong>臺灣資安新創持續受美投資圈關注，實力受到肯定</strong></h3> <p>在今年的SelectUSA Tech上，分為7大產業領域，臺灣新創業者在網路安全項目中，再度到眾人矚目，因為，身分認證安全業者來毅數位科技（Lydsec Digital Technology）奪冠，該公司的產品以網路身分認證的開發技術為起點，提供雲端安全機制與各銀行跨境支付系統建置方案。第二名為來自新加坡的Flexxon Holdings Private，第三名為來自羅馬尼亞的Cyscale。</p> <p>回顧去年這項競賽，臺灣資安新創業者已有出色表現，顯然今年持續受到投資者青睞。當時，區塊鏈資安業者博歐科技（CYBAVO），以及奧義智慧（CyCraft Technology），分別獲得網路安全組冠亞軍。</p> <p>這兩家公司後續也有很好的發展，例如，參與多次MITRE評估後，奧義智慧早已遠近馳名，其創辦人之前就有公司被國外資安業者看中被併購的經驗，現在奧義智慧的發展則邁向全球化經營，不只進軍日本、東南亞，去年拓展美國，今年也已開拓歐洲市場；早期就先切入區塊鏈資安領域的博歐科技，在這幾年的發展下，公司據點包括臺北、新加波與盧森堡，最近也因前景看好，於今年6月被Fintech獨角獸Circle買下。距離上次本土資安業者被國際大廠併購已有多年，例如，2013年阿碼科技被Proofpoint併購，2014年艾斯酷博被Verint併購。</p> <p>事實上，奧義智慧與博歐科技分別成立於2017年、2018年，早期發展即受到關注，像是過去2019年時，他們亦在臺灣資安大會的資安新創交流論壇中，分享自身在資安領域創業的經驗，以及新創面臨的發展的痛點及機會。</p> <p>如今，來毅數位科技有意開拓美國市場，其發展動向也備受關注。該公司2012年成立，聚焦網路身分認證市場，當時與瑞典團隊合作研發Keypasco多因素認證方案，這些年來已布局全球16個國家。自2019年，該公司對外曝光明顯趨向積極，我們在這四年的臺灣資安大會展覽上，時常看到他們參展設攤，主打多因素行動認證等解決方案。他們並在2021年3月，加入成為FIDO聯盟會員。</p> <p>為何他們今年會想參加SelectUSA Tech？來毅數位科技總經理林欣怡表示，他們其實在2021年底就開始規畫，要在2022年底成立日本及美國分公司，以協助當地合作夥伴的市場拓展，今年初在工研院邀請下瞭解到Select USA的參賽規則，他們認為透過參加SelectUSA高峰會，亦能瞭解美國各州的招商方案及相關資源，因此決定前往參加。而且，此行也安排與久未會面的美國地區合作夥伴交流。</p> <p>關於這次參賽的情況，主辦單位未公布7項產業分組的報名家數，目前僅公布超過200家企業申請，是SelectUSA Tech活動開始以來最競爭的一年，不同類別中共選出80家參加Pitch Session，而資安類別有9家公司獲選進入決賽（Final pitch）。</p> <p>林欣怡指出，今年第三季他們計畫啟動A輪募資，在這次網路安全項目獲獎後，除了潛在投資人主動向他們接觸，幾個比較重視資安的州政府商務部人員亦與他們接洽，說明公司設立的相關行政作業，有直接的資源可洽詢。同時，這次獲獎還得到一些間接的助益，因為他們在美國行程後還要前往日本，而這次獲獎也讓日本當地大型投資機構，主動瞭解公司募資現況。</p> <p>對於臺灣資安新創的發展與觀察，林欣怡認為，國內的創新實力一直受國際看重，不只硬體實力堅強，前幾年Google、微軟與AWS在臺招募人才，其實也代表他們認可臺灣的軟體實力，而臺灣在資安領域的研發與新創能量，一直都是國外的投資機會大於台灣本土，尤其是創新技術及軟體研發方案。</p> <h3><strong>臺灣新創46家參與，今年國內醫療科技業者異軍突起</strong></h3> <p>另一值得關注的焦點，臺灣不只資安新創受矚目，醫療科技新創也獲得優異成績。</p> <p>今年SelectUSA Tech活動有7個產業領域項目，包括：潔淨科技（Cleantech）、網路安全（CyberSecurity）、電商與零售科技（eCommerce+Retail）、金融科技（FinTech）、醫療科技（MedTech）、軟體（Software），以及其他。</p> <p>參與這項推介會競賽的新創公司，將在創業投資（Venture Capital）與企業投資者（Corporate investors），以及創業生態系與領域專家的評審委員前，進行4分鐘的演講，介紹公司及產品，以及接受兩分鐘的小組問答。</p> <p>去年這項活動，若以9大產業加上4大地區（非洲與中東、亞太、歐洲、西半球）這13個分組來看，全球有50多國350多家新創參與競爭，不過今年的整體概況則尚未公布，僅公布7大產業分組共有200多家企業參與。</p> <p>關於臺灣新創的參加動向，據經濟部中小企業處的統計，這次報名SelectUSA Tech 2022的國內新創業者共46家，其中35家以實體方式參與，11家以線上形式參與。</p> <p>特別的是，今年整體臺灣新創報表現突出，2021年僅兩家在網路安全組獲得前三，2022年除了上述來毅數位科技，參與醫療科技領域組別的新創也獲佳績，艾斯創生醫得到第一名，另一家精拓生技獲得第二名。前者專精於研發精準微創骨科軟組織修復裝置，縮短骨科手術後復原時間與術後併發症，後者建置癌細胞類器官培養平臺，篩選個別病患較無療效的藥物，精準用藥治療。</p> <p>整體來看，在這7大產業領域競賽組別中，臺灣就有兩家新創獲得冠軍，一家獲得亞軍，表現亮眼。至於其他各項冠軍，潔淨科技組為匈牙利的Continest，電商與零售組為荷蘭的Expivi，金融科技組為葡萄牙的LOQR，軟體組為葡萄牙的DocDigitizer，其他組為以色列的Tevel Aerobotics Technologies。</p> <h3><strong>今年臺灣有14家新創擠身7大產業Top 10</strong></h3> <p>不僅如此，臺灣共計有14家新創入選這7大領域的前10名，經濟部中小企業處表示，這是全球最佳成績。</p> <p>在網路安全產業組別，參賽的臺灣廠商不只是奪冠的來毅數位科技，還包括提供以太坊資料存證服務的國際信任機器（ITM），針對履歷認證市場利用數位身分、區塊鏈防偽認證的臺灣圖靈鏈（Turing Chain），專注於Big Data與Deep Learning量化分析技術的木刻思（iiNumbers）。</p> <p>在醫療科技產業組中，除了奪得冠亞軍的艾斯創生醫與精拓生技，還有聿信醫療器材科技、康博醫創，以及碩準生技；在電商與零售科技產業組別，有臺灣通用紡織、Nexera.AI；在金融科技產業組別，有門戶科技、奇策智能雲端；在其他產業組別，有工業機器人相關的原見精機。</p> <p>為協助臺灣新創進軍更廣大的市場，經濟部中小企業處表示，除了國內新創業者自行報名SelectUSA Tech，今年他們輔導的新創團隊中，也有8家入圍，達到不錯的成效，像是艾斯創生醫是中小企業處TAcc+加速器培育，新創精拓亦是中小企業處培育。</p> <p>在此會後，為了幫助國內新創對接矽谷新創生態圈，將在美國在台協會（AIT）邀請之下，率領23家臺灣新創團隊前往美西參加矽谷新創活動，未來也強持續強化兩邊的交流，增進臺灣新創團隊與美國市場鏈結，加速新創獲得在美國發展。</p> <h2><span style="color:#0099ff;"><strong>2022 SelectUSA Tech競賽活動得獎名單</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/SelectUSA Tech 2022 Winner.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SelectUSA%20Tech%202022%20Winner.jpg" style="width: 600px;" /></a></p> <h2><span style="color: rgb(0, 153, 255);"><strong>2021 SelectUSA Tech競賽活動得獎名單</strong></span></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SelectUSA%20Tech%202021%20Winner.jpg" style="width: 600px;" /></p> </div></div></div>
2022/7/7 12:23作者羅正漢https://www.ithome.com.tw/news/151818
Meta開源能翻譯200種語言的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/07/new-meta-ai-model-translates-200-languages-making-technology-more-accessible/" target="_blank">Meta昨（6）日宣布</a>完成開發能翻譯200種語言的機器翻譯單一AI模型NLLB 200，同時將把該模型及訓練用的資料集一同開源出來。</p> <p>Meta為實現元宇宙跨語言互動而開發的高品質機器翻譯系統NLLB（No Language Left Behind），該公司宣稱，最新完成的單一AI模型NLLB-200能翻譯200種不同語言，且精確度相較前代技術，翻譯品質平均分數提升44%。</p> <p>這是繼2020年底Meta開源的M2M-100後，最新一個機器翻譯單一AI模型。<a href="https://www.ithome.com.tw/news/140612" target="_blank">當時還叫臉書的Meta</a>首先將首個不需透過英語、可直接翻譯兩種語言，共能翻譯100種語言的AI模型M2M-100開源出來。</p> <p><a href="https://ai.facebook.com/blog/nllb-200-high-quality-machine-translation/" target="_blank">Meta強調</a>，NLLB-200對少數語言的支援。該公司指出，這個模型支援一些其他模型不支援或支援度極差的語言，像是肯亞東部的坎巴語（Kamba）和老撾（Lao，或寮國）語。Meta說，一些常用的（Google）機器翻譯技術支援的非洲語言不到25種。相較之下，NLLB-200支援55種非洲語言，所有支援的200種語言涵括地球數十億人口。</p> <p>除了支援語言數量多，Meta也聲稱能達到高品質的翻譯水準。和前代相較，NLLB-200在FLORES-101標竿測試1萬種可能方向的BLEU（bilingual evaluation understudy）得分平均高44%。在部份非洲及印度語言中，NLLB-200的精確度更是拉高70%</p> <p>Meta表示，其NLLB機器翻譯系統將可支援臉書News Feed、Instagram及其他平臺每日250億次翻譯。高品質而精準的翻譯除了可加速用戶的使用方便性，也有助於辨識這些平臺上的有害內容及不實資訊，防止介入選舉，減少性剝削和人口販運等不法行為。</p> <p>現在維基百科編輯使用的內容翻譯工具已經整合NLLB建模技術，來翻譯20多種資料量很少的稀有語言，包括10種之前完全沒有機器學習工具支援的語言。</p> <p>為了訓練NLLB-200，<a href="https://github.com/facebookresearch/flores" target="_blank">Meta也建立了資料集FLORES-200</a>，在開發過程中，讓研究人員評估4萬種不同語言翻譯方向下NLLB-200的效能。今天Meta宣布把NLLB-200及訓練該模型的開源出來供外界開發及測試用。</p> <p>同時Meta也宣布提供20萬美元獎金，徵求利用NLLB-200開發出的主題應用，包括永續性、食物安全、性別暴力、教育或其他支援聯合國永續開發目標的主題領域，鼓勵非營利組織利用NLLB-200翻譯2種以上非洲語言，<a href="https://nllb.metademolab.com/" target="_blank">或是語言學、機器翻譯和語言技術相關研究人士試用</a>。</p> <p>除了NLLB-200之外，Meta還釋出其他資源。為了能在更多語言蒐集精準的平行文本，Meta改進了自然語言處理（NLP）零樣本移轉（zero-shot transfer）工具LASER，現為LASER 3。LASER 3是以掩碼語言建模（Masked Language Modeling）為目標以自我監督方式訓練成的Transformer模型，<a href="https://en.wikipedia.org/wiki/Recurrent_neural_network" target="_blank">而非LSTM</a>，效能更提升，且加入了語言分組專用的encoder，大幅擴充LASER 3的語言涵蓋面及產出更大量的句對。<a href="https://ai.facebook.com/research/no-language-left-behind/" target="_blank">Meta也宣布開源LASER 3給其他研究人員</a>，同時將不同語言數十億對的句子文本開放出來，這些句子已經經過AI技術的梳理。</p> </div></div></div>
2022/7/7 13:35作者林妍溱https://www.ithome.com.tw/news/151819
Amazon與Just Eat Takeaway合作，提供免費食物外送服務予Prime會員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭食物外送平臺Just Eat Takeaway周三（7/6）宣布，已與Amazon簽署了商業協議，即日起，美國的Amazon Prime用戶就可存取Just Eat Takeaway旗下美國外送平臺Grubhub一年免費的Grubhub+服務，享受不限次數的免費食物外送服務。</p> <p>Grubhub成立於2014年，主要提供美國市場的食物外送服務，版圖擴及全美50州的逾3,200個城市，支援美國數十萬家餐廳，該平臺在2020年推出Grubhub+ 付費訂閱服務，每月只要支付9.99美元，就能享受不限次數的免費外送。Just Eat Takeaway在2021年買下了Grubhub，只是今年又傳出打算將Grubhub脫手。</p> <p>根據Just Eat Takeaway與Amazon所簽署的協議，<a href="https://www.amazon.com/prime/offer/grubhub/prime-deal" target="_blank">Amazon Prime用戶可立即申請成為Grubhub+會員</a>，免費獲得一年的Grubhub+會員資格，只要符合規定的訂單就能享受免費外送服務。</p> <p>Just Eat Takeaway期望藉此擴大Grubhub的用戶基礎，目前Amazon Prime的全球用戶已超過2億，但約有1.5億位於美國，不管這些美國Amazon Prime用戶一年後是否續訂Grubhub+服務，此一交易已讓Grubhub觸及過去望塵莫及的用戶數量。</p> <p>Just Eat Takeaway與Amazon所簽署的協議雖然只有一年，但若無任何一方主動終止，則會自動續約。此外，Amazon子公司可收到Grubhub的2%認股權，Amazon亦可根據特定績效條件取得13%的Grubhub認股權，例如該協議所帶來的新消費者數量。</p> <p>即使已與Amazon簽署合作協議，不過Just Eat Takeaway表示仍將積極尋求部分或全部出售Grubhub的機會。Grubhub去年的虧損金額為4.03億歐元。</p> </div></div></div>
2022/7/7 13:53作者陳曉莉https://www.ithome.com.tw/news/151820
日本新法本周上路，網路霸凌最長可監禁一年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本國會上個月通過以防止網路言語霸凌為目的的刑法修正案，將在本周正式上路。網路上言語侮辱他人的行為，最高可判處一年刑期或日幣30萬以下罰金。</p> <p>這個新修正案主要是針對日本刑法中「侮辱罪」提高罰則，也被稱為「木村花條款」。這次修法源自於2020年一名職業摔角手木村花遭網路酸民言語攻擊後自殺。她於2020年參加Netflix日本實境節目《雙層公寓》（Terrace House）後，她在節目中的表現引發大量網友在社群平臺進行言語羞辱和攻擊，致其自殺身亡。</p> <p>在修法前，日本刑法的侮辱罪刑責輕微，最多只拘留30天或1萬日圓的刑罰。<a href="https://www.yomiuri.co.jp/national/20220614-OYT1T50017/" target="_blank">讀賣新聞報導</a>，中傷木村花的2名男子也只被判了9,000日圓的罰金，也引發日本社會對網路誹謗和霸凌問題的關注，以及提高刑責的聲浪。</p> <p>上個月13日日本國會通過的刑法修正案下，網路侮辱行為最高將可判處1年以下監禁，或30萬元以下罰金。新法在公布20天後正式生效，<a href="https://english.kyodonews.net/news/2022/07/1590b983e681-japan-to-introduce-jail-time-tougher-penalties-for-online-insults.html" target="_blank">根據京都新聞報導</a>，也就是在今（7/7）日。</p> <p>但由於這也引發限制言論自由的聲音，因此日本刑法修正案也在附錄中明文記載，必須於施行3年後驗證是否有「不當限制言論自由」之情形。</p> </div></div></div>
2022/7/7 14:01作者林妍溱https://www.ithome.com.tw/news/151821
萬豪國際遭勒索軟體攻擊，可能外洩公司及客戶資料20GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大飯店集團萬豪國際（Marriott）本周傳出勒索軟體攻擊，可能洩露20GB資料，包括客戶信用卡等個資以及公司業務、人事部機密資訊，影響300餘人。本事件也是這家飯店集團4年內第3次資料外洩。</p> <p><a href="https://www.databreaches.net/exclusive-marriott-hacked-again-yes-heres-what-we-know/" target="_blank">這次事件是由駭客主動向Databreach.net網站爆料</a>，該網站稱其為GNN（Group of No Name）。GNN聲稱於6月駭入萬豪位於馬里蘭州BWI機場的萬豪飯店一臺伺服器，並成功外洩該飯店客戶及公司機密資料。駭客也聲稱和萬豪就付款進行交涉過，但後者後來中斷聯繫。</p> <p>萬豪透過委託律師事務所向媒體坦承勒索軟體攻擊及資料外洩，但這家飯店表示，入侵事件已在6小時內控制住。本事件已經通報執法單位，萬豪也通知了包含客戶及員工在內300多人，公司也正在調查此事。</p> <p>至於駭客如何駭入伺服器，萬豪方面表示是透過社交工程，騙取一名助理員工的電腦帳密使其得以存取公司網路。GNN則暗示是因為萬豪安全做得太差而讓他們突破防護，輕易取得資料。</p> <p>GNN宣稱取得20GB資料，也分享了部份文件作為證明。不過萬豪方面表示，根據其調查，除了該助理之外沒有其他資料遭到洩露。</p> <p>根據GNN提供的資料樣本，這批檔案包含飯店集團的內部機密業務文件，像是勞工管理及排程平臺存取資料、人事部門資料、飯店住客及飯店人員資料等。住客資料方面包含航空機組人員的入住資料，像是到達及預定起飛的航班、姓名、職位及預定房間號碼、航空公司信用卡號碼等。以檔案日期判斷，部份飯店資料檔案可能已經失效。</p> <p>GNN駭客稱已經和萬豪就支付贖款進行聯繫，但飯店方面之後中斷連繫，可能是因為聽到索價太高而退縮，因此雙方並未有實質付款情形。</p> <p>GNN自稱已經活動5年，只是一直很低調以避免事情張揚，該組織聲稱只攻擊企業，不攻擊政府，而且他們不會加密企業檔案以免破壞組織作業。</p> <p>這是萬豪酒店集團4年來第3次資料外洩事件。<a href="https://www.ithome.com.tw/news/127412" target="_blank">2018年底</a>萬豪國際集團下喜達屋連鎖包括W Hotels、喜來登、威斯汀、艾美等知名飯店的客戶資料庫入侵，導致5億住客資料外洩。<a href="https://www.ithome.com.tw/news/136695" target="_blank">2020年7月</a>集團的顧客管理系統再遭駭，洩露約520萬名顧客個資。萬豪2018年的重大資訊外洩事件也名列史上外洩資料最多的單一事件之一，<a href="https://www.ithome.com.tw/news/140871" target="_blank">被英國政府判罰</a>1,840萬英鎊。</p> </div></div></div>
2022/7/7 11:07作者林妍溱https://www.ithome.com.tw/news/151817
美國加密貨幣經紀商Voyager Digital聲請破產保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/voyager-digital-commences-financial-restructuring-process-to-maximize-value-for-all-stakeholders-301581177.html" target="_blank">美國的加密貨幣經紀商Voyager Digital Ltd.周三（7/6）宣布</a>，已向美國紐約的破產法院聲請破產保護，將依照《美國破產法》第11章（Chapter 11）的規定進行全面重組，以保護該平臺上的資產，成為今年以來另一家淪陷的加密貨幣業者。</p> <p>Voyager Digital提供許多加密貨幣服務，包括發行可以USD Coin當作現金支付的Voyager簽帳卡，也推出支援逾100種加密貨幣交易的Voyager行動程式，亦提供加密貨幣支付解決方案予全球商家，雖然總部設於美國，但Voyager選擇在加拿大的多倫多證券交易所（TSX）上市。</p> <p>Voyager執行長Stephen Ehrlich表示，加密貨幣市場在過去幾個月的波動及所帶來的不良影響，再加上三箭資本（Three Arrows Capital）所拖欠的貸款，使得該公司不得不果決聲請破產，以期展開最大化的恢復。</p> <p>有不少分析認為Voyager是受到三箭資本的拖累。三箭資本為新加坡的加密貨幣對沖基金，在今年6月相繼傳出未能履行追加保證金的要求，也沒能償還虧欠Voyager、價值6.5億美元之加密貨幣的應支付金額，同月英屬維京群島的法院便要求清算三箭資本，繼之三箭資本也在7月初向美國聲請15章（Chapter 15）破產保護，以讓美國與境外法院能共同處理三箭資本的破產案件。</p> <p>至於造成三箭資本破產的原因之一則與TerraUSD（UST）的姐妹幣Luna有關，因為該對沖基金曾參與Luna Foundation Guard（LFG）所發起的Luna幣融資，購入了價值2億美元的Luna幣，<a href="https://www.ithome.com.tw/news/150911" target="_blank">但UST與Luna的崩盤</a>幾乎讓該投資血本無歸。</p> <p><a href="https://www.wsj.com/articles/battered-crypto-hedge-fund-three-arrows-capital-considers-asset-sales-bailout-11655469932?mod=article_inline" target="_blank">三箭資本共同創辦人Kyle Davies今年6月中接受《華爾街日報》訪問時透露</a>，該對沖基金能夠承受Luna幣的損失，但隨之而來的各種事件牽連了比特幣、以太幣與其它加密貨幣的價格，帶來了更多的問題。</p> <p>骨牌效應再加上加密貨幣社群的恐慌造成了擠兌現象，<a href="https://www.investvoyager.com/blog/voyager-update-july-1-2022/" target="_blank">使得Voyager在今年7月1日宣布暫停交易</a>，接著便申請破產保護。</p> <p>Voyager強調，聲請11章的破產保護並非是要清算資產或結束營業，該公司的管理階層仍握有控制權，基本上維持正常營運，該公司所提出的重組計畫最終目的是為了恢復使用者的帳戶，並歸還帳戶價值。</p> <p>Voyager表示，目前該公司還擁有逾1.1億美元的現金，並持有加密貨幣資產，可於執行破產保護期間支持日常營運，另在大都會銀行替客戶福利建立的帳號也有超過3.5億美元的現金，至於該平臺上的加密貨幣資產約價值13億美元，再加上借給三箭資本的6.5億美元。</p> </div></div></div>
2022/7/7 10:41作者陳曉莉https://www.ithome.com.tw/news/151815
蘋果秋天釋出的iOS 16將有Lockdown模式以防範間諜程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/07/apple-expands-commitment-to-protect-users-from-mercenary-spyware/" target="_blank">蘋果6日宣布</a>，將在預計於今年秋天出爐的iOS 16、iPadOS 16及macOS Ventura中提供Lockdown模式（Lockdown Mode），啟用後將可強化裝置的防護能力，並限制特定功能，以減少遭到間諜程式攻擊的機會。</p> <p>根據蘋果的說明，Lockdown模式是個極端且選擇性的保護機制，只有在使用者相信自己成為複雜網路攻擊的目標對象時才需使用，而其實絕大多數的使用者都不會成為此類攻擊的對象。</p> <p>蘋果此舉應是為了因應愈來愈盛行的駭客服務，例如Google長期追蹤了全球逾30家的商業駭客公司，這些駭客公司主要提供駭客工具予各國政府，讓原本缺乏駭客能力的政府也能入侵並監控目標對象的手機，包括政敵、活動家、記者或異議人士等，它們廣泛利用行動作業系統或是各種行動程式的安全漏洞，以進駐受害者手機並植入間諜程式，向來標榜重視使用者隱私與安全的蘋果，亦曾多次修補遭到商業駭客公司開採的零時差漏洞。</p> <p>除了高度懷疑自己會成為攻擊目標的使用者之外，一般使用者應該不會想要啟用Lockdown模式，因為它可能讓手機、網站或程式的功能都受限。</p> <p>例如在傳訊時，除了圖片之外的大多數訊息附加檔案都會被封鎖，連結預覽功能也會被關閉；在瀏覽網頁時，網頁上的JIT與JavaScript編譯功能也會被停用，除非該站被使用者主動列入白名單；在蘋果服務中，倘若使用者沒有先撥打電話或提出請求，外界傳來的邀請或服務請求都會被阻擋，包括FaceTime；而且當iPhone處於鎖定狀態時，也會阻止與電腦或配件的有線連結。</p> <p>此外，啟用Lockdown模式將無法安裝描述檔，該裝置亦無法被納入行動裝置管理（MDM）名單中。</p> <p>蘋果已於Apple Security Bounty抓漏獎勵專案中新增了Lockdown Mode類別，舉凡可繞過該模式並符合資格的研究人員將可獲得雙倍獎金，最高獎金為200萬美元。亦將額外提撥1,000萬美元的經費，以支持那些專門調查、揭露及防範高度針對性網路攻擊的組織。</p> </div></div></div>
2022/7/7 10:54作者陳曉莉https://www.ithome.com.tw/news/151816
AWS推UID 2.0解決方案，讓企業自行加密去識別化廣告ID，來降低顧客資料外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/industries/introducing-unified-id-2-0-private-operator-services-on-aws-using-nitro-enclaves/">AWS推出Unified ID 2.0 on AWS解決方案</a>，利用<a href="https://aws.amazon.com/tw/ec2/nitro/nitro-enclaves/?nc1=h_ls">AWS Nitro Enclaves技術</a>提供機密計算環境，進行UID 2.0 Private Operator加密工作。利用此解決方案，企業可在機密環境中自行加密顧客數據，成為自己的Private Operator，降低資料外洩風險。</p> <p>UID 2.0（以下簡稱UID2）是DSP業者The Trade Desk推出的使用者追蹤標準，將使用者登入資料去識別化後，作為廣告ID使用。在加密過程，由Administrator提供UID2加鹽方法及加密金鑰給Operator，再由Operator端加密手上的使用者資料。Operator又分Public Operator跟Private Operator兩種，前者可接收並加密任何來源的使用者資料，後者只會經手特定來源的使用者資料。</p> <p>過去，企業若想將自家顧客資料加密成UID2，需要將顧客資料拋轉給其他Operator加密。若顧客資料比較敏感，企業可能會擔心未加密資料在拋轉過程中外洩，這也成為採用UID2的一大疑慮。目前有Private Operator資格的三家企業，都是為了提供數據行銷服務時，確保資料不經手其他人。AWS UID2解決方案，則是讓企業在雲端運算系統Amazon EC2的Nitro Enclave機密環境中，自行加密顧客數據，成為自己的Private Operator，降低資料外洩風險。</p> <p>Nitro Enclave是Amazon EC2提供的一款主打機密運算的執行個體。這款VM不提供對外聯網功能，也沒有持續性記憶功能，且只能透過本地Vsock連結到執行個體，與同一個EC2主機的其他執行個體沒有直接連結。</p> <p><a href="https://s4.itho.me/sites/default/files/images/encl.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/encl.png" style="width: 600px;" /></a><br /> 企業可以直接部署AMI格式打包的，內含UID2 Operator環境的Nitro Enclave映像檔（EIF）。Enclave中的UID2 Operator程式會生成證明文件傳給UID2 Administrator端，證明此Enclave是由未經竄改的映像檔啟動，以取得授權。取得授權後，Operator才能向Administrator要求加密金鑰跟用來雜湊內容的Salt等資料。Administrator會傳送限時自動失效連結Amazon S3 presigned URL給Operator下載所需資料。Operator用取得的Salt把顧客資料雜湊成UID identifier，再用加密金鑰把UID identifier加密成UID Token，作為去識別化廣告ID使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/uid2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/uid2-1.png" style="width: 600px;" /></a></p> <p>圖片來源：Amazon</p> </div></div></div>
2022/7/7 09:48作者郭又華https://www.ithome.com.tw/news/151814
【資安日報】2022年7月6日，惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對開發人員而來的惡意NPM元件攻擊行動，近期出現數起事故，而今天有研究人員揭露新的攻擊，這起行動相當值得留意的是，駭客進行攻擊行動長達半年才被發現，而且，該組織上傳的大量惡意套件，NPM獲報後尚未完全清除，開發者安裝套件時仍要提高警覺。</p> <p>而對於量子電腦可能會帶來的威脅，美國國家標準暨技術研究院（NIST）在2016年，提出量子密碼標準化的提案，在經歷6年、多次討論後有了重大進展──他們將4種量子密碼正式納為標準。</p> <p>衛星網路的資訊安全也引起政府的重視。近期大家比較有印象的重大事故，就是在烏克蘭戰爭開打被駭的衛星網路Ka-Sat，不只烏克蘭的用戶受到影響，德國風力發電廠也因此起事故而無法遠端控制。近期德國對此發布了相關的網路安全防禦指引，並從衛星的製造過程就將資安納入規畫。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/iconburst-npm-software-supply-chain-attack-grabs-data-from-apps-websites"><span style="color: rgb(0, 0, 0);">惡意NPM元件恐影響數百個網站與應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg" style="width: 300px; float: right;" /></a>有些NPM套件的供應鏈攻擊，因採用了高度混淆的JavaScript程式碼，而使得駭客能進行數個月攻擊行動而不被發現。</p> <p>資安業者ReversingLabs揭露從2021年12月出現NPM供應鏈攻擊行動，駭客組織IconBurst使用數十個套件，他們使用了與知名套件（如Umbrella JS、Ionicons）相近的名稱，例如上傳ionicio、ionic-icon、iconion-package、ionicon-package等套件，企圖藉由開發者可能會打錯字的情況，在受害電腦部署惡意NPM套件。</p> <p>這些套件迄今被下載超過2.7萬次，有超過6成是名為icon-package的惡意套件，達到17,774次。研究人員粗估，可能有數百個網站或是應用程式受到波及。</p> <p>研究人員提出警告，雖然他們已於今年7月1日通報NPM？資安團隊，但NPM套件庫裡的IconBurst惡意套件仍尚未完全移除，研究人員呼籲開發人員安裝套件時仍應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-redalert-ransomware-targets-windows-linux-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體RedAlert鎖定VMware ESXi伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg" style="width: 300px; float: right;" /></a>駭客鎖定VMware ESXi虛擬化環境下手，並發動勒索軟體攻擊的情況，近期又有新的勒索軟體出現。資安研究團隊MalwareHunterTeam發現名為RedAlert（N13V）勒索軟體駭客組織，並指出已有組織疑似受害且不願意支付贖金，而遭到駭客公布。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案並進行解析，指出該軟體可在Linux主機上執行，是針對VMware ESXi所設計，因為，有部分的命令是專門為這類環境而設。例如，如果駭客下達了停止所有虛擬機器（VM）運作的參數，該勒索軟體就會執行esxcli的命令來關閉VM。</p> <p>該新聞網站指出，此勒索軟體採用了名為NTRUEncrypt的演算法加密檔案，且只對於LOG、VMDK、VMEM、VSWP、VMSN等副檔名的檔案執行加密，然後向受害組織索討門羅幣。此外，駭客可下達非對稱加密的命令，來對受害主機進行加密檔案速度測試。</p> <p>值得一提的是，雖然上述勒索軟體鎖定ESXi而來，但研究人員在RedAlert的付款網站上，發現支援Windows作業系統的解密工具，由此推測駭客很可能也有開發Windows版的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.avast.com/kids-discord-hacking-groups"><span style="color: rgb(0, 0, 0);">青少年透過即時通訊軟體Discord組成駭客團體，出售惡意軟體牟利</span></a></strong></h3> <p>網路犯罪的年齡層大幅下降，如今有研究人員發現，未成年的小孩疑似為了零用錢，加入銷售惡意軟體的行列。防毒業者Avast發現了一個Discord伺服器，當中的成員幾乎都是未成年的青少年，他們在打造、交易，以及傳播惡意軟體，這個組織疑似透過惡意軟體產生器與工具包，號稱無需實際撰寫程式，吸引青少年客製化惡意軟體的功能與介面樣貌，加入銷售這些網路攻擊工具，如：勒索軟體、竊密程式、挖礦軟體等。</p> <p>研究人員建議家長要留意小孩的狀態，若是他們開始使用dox、DDoS、Bot的網路術語，或是家裡網路流量大幅增加，小孩收到來路不明的新禮物等情況，就應該進一步了解，假若他們對駭客行為產生興趣，家長應鼓勵他們從事相關研究，並朝向白帽駭客與資安相關工作發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/dutch-uni-gets-cyber-ransom-money-back-interest"><span style="color: rgb(0, 0, 0);">遭到勒索軟體攻擊並支付贖金的荷蘭大學，2年後追回部分加密貨幣</span></a></strong></h3> <p>有大學數年前遭到勒索軟體攻擊，因執法單位追回部分贖金而幸運地彌補了損失。根據荷蘭新聞網站人民報（De Volkskrant）的報導，當地的馬城大學（Maastricht University）於2019年遭到大規模網路攻擊，駭客加密了數百臺Windows伺服器與備份系統，影響2.5萬名學生與員工，並向該校索討20萬歐元的比特幣，馬城大學為了讓學生能正常考試與完成論文，選擇向駭客低頭。</p> <p>荷蘭警方於2020年追蹤到贓款流向，並查封洗錢者的帳戶，追回馬城大學先前支付的部分比特幣，經過2年後近期將歸還給學校。該新聞網站指出，這些比特幣的價值，已從支付贖金時的4萬歐元，現在價值大幅增加為50萬歐元。馬城大學表示，這些追回的贖金將用於幫助經濟拮据的學生。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-cryptographic-algorithms"><span style="color: rgb(0, 0, 0);">NIST將4種量子密碼列為標準</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）於2016年，針對量子密碼提出標準化的提案（Post-Quantum Cryptography Standardization），並公開徵求適用於這類運算的加密演算法後，最近有了重大突破。</p> <p>NIST於今年7月5日，將4種量子密碼納入標準，它們是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，以及SPHINCS+。這4種量子密碼，CRYSTALS-Kyber是應用於上網安全，其餘3種則是適用於數位簽章領域。</p> <p>該單位指出，他們挑選CRYSTALS-Kyber量子密碼的原因，在於其密鑰檔案較小，以及執行速度較佳等特性；而對於另外三個量子密碼的用途，主要是針對數位簽章提供保護，適用於數位交易與簽署文件，當中又以CRYSTALS-Dilithium最適合做為主力，FALCON適合運用於需要更小的檔案簽章應用程式，至於SPHINCS+，NIST指出與認為此量子密碼的主要價值，在於採用了散列函數，而非其他3個所使用。NIST也表示他們正在評估另外4款量子密碼，並有機會將它們也納入標準。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.html"><span style="color: rgb(0, 0, 0);">德國發布衛星網路的資安防禦指引</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150871#ka-sat">衛星網路Ka-Sat在烏克蘭戰爭開打時就遭到破壞</a>，使得部分歐洲用戶受到波及，其中德國風力發電廠也因為採用此衛星網路遠端遙控發電設備而受到影響，該國近期也針對這種威脅發布相關的防護指南。</p> <p>德國聯邦資訊安全辦公室於6月30日，針對空中的基礎設施發布了IT防護的基準配置指南。此文件是德國聯邦資訊安全辦公室與空中巴士旗下的Airbus Defence and Space、德國太空中心（DLR）等機構合作長達一年的成果，目的是確保衛星從製造到正式上線運作的資訊安全，並列出各項保護工作的優先程度。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/australias-monash-university-launches-public-bug-bounty-program"><span style="color: rgb(0, 0, 0);">澳洲蒙納許大學啟動漏洞懸賞計畫</span></a></strong></h3> <p>許多IT業者為了強化系統安全，紛紛推出漏洞懸賞（Bug Bounty）計畫，讓研究人員與駭客協助找出漏洞，而這樣的做法也有學術單位跟進。</p> <p>位於澳洲墨爾本的蒙納許大學（Monash University）近期推出了漏洞懸賞計畫，他們在漏洞通報平臺Bugcrowd成立這項專案，研究人員有機會獲得最高2,500美元的獎勵，抓漏範圍包含了該校的網域與行動版App，還有他們使用的網路設施，如VPN和FileShare實例（Instance）等。蒙納許大學資安長Dan Maslin指出，此專案的成立，是他們邁向建校最終成熟階段的重要里程碑。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.benzinga.com/government/22/07/27954560/read-alibabas-role-in-chinas-recent-infamous-hack-as-weibo-tencent-baidu-struggle-to-censor-the-brea"><span style="color: rgb(0, 0, 0);">中國政府傳出著手調查上海警方資料庫外洩事件，相關訊息遭到封鎖</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/151747">【2022年7月4日】漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利、駭客聲稱攻陷IBM與史丹佛大學</a></p> <p><a href="https://www.ithome.com.tw/news/151725">【2022年7月1日】駭客鎖定政府機關與NGO的Exchange伺服器下手、有人針對協作平臺Confluence漏洞挖礦</a></p> </div></div></div>
2022/7/6 17:37作者周峻佑https://www.ithome.com.tw/news/151813
衛福部力推遠距醫療：電子病歷上雲辦法下周上路、通訊診療辦法提4大修正方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部常務次長石崇良今日（7/6）在一場數位健康研討會中透露，新版醫療機構電子病歷製作及管理辦法預計下周公告施行，衛福部也將展開通訊診療辦法的修正。這個新版電子病歷製作及管理辦法，就是指在去年12月8日至今年2月預告的電子病歷上雲草案，經過半年討論、將於本月上路，允許醫院使用雲端服務、設置電子病歷交換平臺，以及進一步落實全院無紙化。而通訊診療辦法的修正，則是針對遠距醫療需求，就適用情境、實施項目、開放處方、簡化行政程序等4領域來調整。</p> <p><span style="font-size:24px;"><strong>電子病歷上雲7月上路！提供4面向法源依據</strong></span></p> <p>去年受到疫情衝擊、遠距醫療需求大增，作為醫療看診體系中重要基礎設施的電子病歷，面臨調整的需求。衛福部自去年以來就不斷透露，要開放醫療機構使用雲端服務，來處理電子病歷資料。去年12月8日，衛福部進一步預告電子病歷上雲草案，除要讓醫院能使用雲端服務處理電子病歷，也要讓醫院能更徹底無紙化。</p> <p>該草案預告至今年2月，後來經過近半年討論，新版辦法將於下周公告、上路。這個新版辦法將提供4面向的法源依據，包括雲端服務、資料安全、資料管理，以及資料應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-06%20142201.png" /></p> <p>就雲端服務來說，醫療院所可自建電子病歷資訊系統或委外（如大專院校、依法登記的法人、機構或團體）建置，也能使用雲端服務，比如醫院在進行系統資料蒐集、處理以及使用資料庫時，可採用雲端服務，並遵守4個規範，包括採取適當風控措施、避免醫療業務中斷措施、監督雲端服務業者，以及停止雲端服務時，必須有套將資料移轉回委託機構或其他服務業者的機制。</p> <p>而雲端服務的資料儲存地點，以臺灣境內為限，但若有特殊情形，如與國外合作等，就得先經中央主管機關核准，才能使用境外雲端服務。</p> <p>就資料安全來說，則是指醫療院所可委託經中央主管機關核可的機構，來建置電子病歷資訊系統。</p> <p>而在資料管理方面，則是讓醫院可用電子方式，轉錄院內的紙本同意書和紙本病歷，確認無誤後以電子簽章封存，即視為電子病歷。另一方面，原本醫療法規定需要書面的文件，醫院也能以電子方式保存。</p> <p>最後，在資料應用層面，則是允許經中央主管機關認定的公、私立機構，可設置電子病歷交換平臺，來進行跨機構的電子病歷資料交換。其中，電子病歷的交換格式、簽章和時戳，則由中央主管機關公告。</p> <p><span style="font-size:24px;"><strong>修正通訊診察治療辦法，要調整4方向和適用身份</strong></span></p> <p>另一方面，石崇良也預告，衛福部將就規範遠距醫療的通訊診察治療辦法（簡稱通訊診療法）展開修正，並聚焦於適用情境、實施項目、開放處方、簡化行政程序等4個方向來調整。</p> <p>首先，就適用情境來說，石崇良列出10種可納入通訊診療的情境，像是急性後期照護、慢性病長期用藥、長期照護、居家醫療、矯正機關收容照護、國際醫療等。不只情境可擴大，他認為，通訊診療的實施項目也可以再擴大，像是用於詢問病情、診察、診斷、開立檢查檢驗單、會診、開立處方，以及原處方調整和衛教等。</p> <p>就開放處方來說，則是要擴大適用身份，包括病情穩定的複診病人、通訊診療辦法第3條第7款至第9款初診及複診病人，以及山地、離島、偏遠地區和急迫情形的初診及複診病人。</p> <p>最後，就簡化行政程序而言，則是讓實施通訊診療的醫院，可以繳交核定文件給中央主管機關，來代替撰寫實施計畫。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-06%20162459.png" /></p> <p>石崇良也進一步說明，衛福部打算將原本適用通訊診療的5種特殊情形病人，擴大為10種，新增癌末照護、矯正收容機關照護，以及災害、傳染病或其他重大變故照護者。而在醫療行為上，則要新增諮詢、診斷、醫囑、會診、開給處方等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-06%20162439.png" /></p> <p>他表示，遠距醫療漸漸成為後疫情時代的新常規，還需要進一步的法規、財務規畫和定位來規範。</p> </div></div></div>
2022/7/6 17:33作者王若樸https://www.ithome.com.tw/news/151811