iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

IBM Power10新增4產品，主打中階市場、遠端辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html" target="_blank">IBM本周宣布</a>最新Power 10晶片為基礎的4項伺服器產品，將最新一代Power晶片推向中階市場及遠端辦公室雲端應用情境。</p> <p>Power是IBM自有RISC晶片，過去搭配IBM AIX Unix及AS/400作業系統，近年則轉向支援Linux為主，尤其是Red Hat Enterprise Linux及其Kubernetes平臺OpenShift，以供大型企業部署容器應用及雲端微服務。</p> <p>IBM是在2020年推出Power 10，並於隔年9月推出E1080伺服器。本次新增的4款產品，其中<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0035" target="_blank">E1050</a>為中階伺服器為4-socket系統，強調運算、Java及ERP執行效能，最多可擴充到16TB系統記憶體。透過IBM for RISE with SAP方案，<a href="https://www.ibm.com/tw-en/products/power-e1080" target="_blank">E1050</a>鎖定要在將本地部署的SAP ERP搬上企業私有雲SAP S/4HANA平臺的用戶，或是在混合雲環境下擴充AI或核心應用，此外也在IBM公有雲服務IBM Cloud下提供這項中階產品。</p> <p>另外3項屬於水平擴充（scale-out）應用機種，包括入門型的S1014及較高階的S1022及S1024，主打中小型企業，或是大型企業在混合雲環境中擴充核心系統或AI應用，或提供遠端辦公室環境存取。<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0030" target="_blank">S1022</a>及<a href="https://www.ibm.com/common/ssi/ShowDoc.wss?docURL=/common/ssi/rep_ca/8/899/ENUSLL22-0028/index.html#LG22-0029" target="_blank">S1024</a>分別為2-socket 2U及2-socket 4U伺服器，皆包含Capacity Upgrade on Demand（CuOD），允許隨需啟動擴增處理器，並具備核心內（in-core）AI推論及機器學習功能Matrix Math Accelerator。<a href="https://www.ibm.com/products/power-s1014" target="_blank">Power S1014</a>則為 1-socket、4U入門伺服器。</p> </div></div></div>
2022/7/14 14:39作者林妍溱https://www.ithome.com.tw/news/151941
駭客假冒資安業者進行網釣詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/" target="_blank">資安業者CrowdStrike上周披露</a>，駭客正以資安業者的名義寄送網釣郵件，但並非是在郵件中附加惡意檔案，而是提供了一個可回撥的電話，再由駭客指示受害者安裝惡意程式。</p> <p>CrowdStrike把此一網釣活動稱為「回撥網釣」（Callback Phishing），駭客假冒知名品牌的資安業者，包括CrowdStrike在內，並向受害者寄出網釣郵件，宣稱自己是受害者的網路安全服務供應商，因懷疑受害者的系統受到危害，將負責稽核，並在郵件中附上了電話請受害者回電。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0714-Phishing%20Callback%20Malware%20Campaigns-CrowdStrike.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CrowdStrike</span></span></p> <p>在受害者回電之後，駭客就會指示他安裝遠端管理工具，以讓駭客可自遠端執行任務，等於是把系統控制權交給了駭客，接著駭客就得以安裝滲透工具於組織內展開橫向行動，最終竊取組織資訊或部署勒索軟體。</p> <p>CrowdStrike警告，這是他們發現的首個假冒為資安業者的回撥網釣活動，由於郵件是以資安意外為誘餌，很可能會因為急迫性而提高駭客成功的機率。</p> </div></div></div>
2022/7/14 14:57作者陳曉莉https://www.ithome.com.tw/news/151942
Tesla AI負責人Andrej Karpathy離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>負責特斯拉（Tesla）自動輔助駕駛視覺（Autopilot Vision）團隊、擔任特斯拉AI總監的Andrej Karpathy，<a href="https://twitter.com/karpathy/status/1547332300186066944" target="_blank">周四（7/14）透過Twitter宣布將與特斯拉分道揚鑣</a>，結束在特斯拉5年的職業生涯。</p> <p>Karpathy表示，很開心能幫助特斯拉實現過去5年的目標，離開是很艱難的決定，Autopilot從只是維持車道到得以於市區城市行駛，期待看到強大的Autopilot團隊繼續保持這樣的氣勢。特斯拉執行長馬斯克（Elon Musk）也回應了Karpathy的推文，感謝Karpathy的貢獻，並說很榮幸與Karpathy共事。</p> <p>Karpathy說他對於下一步還不是很確定，但期望能夠花更多的時間來從事與AI、開源及教育有關的事務。</p> <p>雖然看起來雙方是和平分手，但外界揣測可能與特斯拉近來的裁員政策有關。<a href="https://www.cnbc.com/2022/06/21/elon-musk-clarifies-tesla-layoffs-after-ex-employees-sue-company.html" target="_blank">馬斯克在今年6月時曾預告</a>，特斯拉在未來3個月將裁撤10%員工，接著<a href="https://www.reuters.com/business/autos-transportation/tesla-lay-off-229-employees-shuts-san-mateo-office-2022-07-12/" target="_blank">《路透社》（Reuters）本周二（7/12）報導</a>，特斯拉已關閉位於加州聖馬刁（San Mateo）的辦公室，解散該辦公室的229名員工。而該辦公室據稱就是聚集了Autopilot團隊。</p> <p>而根據<a href="https://www.bloomberg.com/news/articles/2022-07-13/tesla-executive-overseeing-ai-and-autopilot-is-leaving-company#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）的報導</a>，Karpathy自今年3月便開始休假，原本計畫要在7月歸隊，卻傳出辭職的消息。</p> </div></div></div>
2022/7/14 14:17作者陳曉莉https://www.ithome.com.tw/news/151940
Netflix廣告訂閱版將與微軟合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/netflix-partners-with-microsoft" target="_blank">全球最大影片串流平臺Netflix本周宣布</a>，將與微軟合作推出低費率並搭配廣告播放的訂閱方案。</p> <p><a href="https://www.ithome.com.tw/news/150505" target="_blank">Netflix今年第一季出現了成立十多年來首度的用戶數衰退</a>，且Netflix估計全球有超過1億用戶免費使用他人帳號，該公司一方面計畫出手打擊帳號外借行為，另一方面則決定推出由廣告支撐的低價訂閱方案，藉以提高訂閱用戶數。截至今年第一季，Netflix總計握有2.22億名的訂閱用戶。</p> <p>未來所有在Netflix上播放的廣告都將由微軟平臺獨家提供，Netflix營運長Greg Peters表示，微軟有能力支持該平臺的低價廣告訂閱方案，更重要的是微軟不管是在技術與銷售上都具備創新的彈性，亦替會員提供強大的隱私保護。</p> <p>目前Netflix提供基本（Basic）、標準（Standard）與高級（Premium）三種訂閱方案，每月的訂閱費用分別是270元新臺幣（8.99美元）、330元新臺幣（13.99美元）與390元新臺幣（17.99美元），基於廣告的訂閱方案應該會更便宜，不過雙方並未透露新方案的上線時程。</p> </div></div></div>
2022/7/14 11:36作者陳曉莉https://www.ithome.com.tw/news/151939
Windows Server 20H2將於8月EOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟又有一項產品將終止服務。<a href="https://docs.microsoft.com/en-US/lifecycle/announcements/windows-server-20h2-retiring" target="_blank">微軟公告</a>，Windows Server 20H2將在下個月來到EOS（End of Service）。</p> <p>根據<a href="https://docs.microsoft.com/en-us/lifecycle/products/windows-server" target="_blank">Windows Server生命周期</a>，Windows Server 20H2是2020年10月20日釋出，並於2022年8月9日終止服務。微軟說明，屆時20H2版不會再接獲安全更新。</p> <p>微軟同時說，這個版本也是最後一個Windows Server半年通道（Semi-Annual Channel，SAC）。未來Windows Server不會再有SAC版本，Windows Server會移到長期維護通道（Long-Term Servicing Channel，LTSC）作為主要發布通道。<a href="https://docs.microsoft.com/zh-tw/system-center/ltsc-and-sac-overview" target="_blank">LTSC</a>為2到3年發行一次新版本，提供5年主要支援，加上5年延伸支援。</p> <p>使用Windows Server SAC的用戶，微軟鼓勵轉到LTSC版本，或是將SAC版本搬移到Azure Stack HCI。</p> </div></div></div>
2022/7/14 10:58作者林妍溱https://www.ithome.com.tw/news/151938
具備1,760億個參數的語言模型BLOOM開源了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AI新創Hugging Face主導並協調的<a href="https://huggingface.co/blog/bloom" target="_blank">BigScience專案於本周公布了成果</a>，釋出具備1,760億個參數的大型語言模型BLOOM （BigScience Large Open-science Open-access Multilingual Language Model），其規模大過OpenAI GPT-3的1,750億個參數，<a href="https://huggingface.co/bigscience/bloom" target="_blank">而且開放各界下載與存取</a>。</p> <p>BigScience專案是在去年5月正式啟動，有賴來自全球60個國家、逾250個機構，以及超過1,000名研究人員的貢獻，最後由法國超級電腦Jean Zay執行117天的訓練，才於今年7月完成了BLOOM模型。</p> <p>BLOOM模型可理解46種語言及13種程式語言，包含法文、西班牙文、越南文、中文或多種印度及非洲語言，大約只有超過30%的訓練資料為英文，因此，現在使用者只要選擇一種語言，就能要求BLOOM撰寫食譜、翻譯或摘要，也能要求BLOOM撰寫程式碼。</p> <p>這是目前全球所開源的最大語言模型，而且儘可能地透明化，公開了所用來訓練的資料，開發時曾面臨的困境，以及評估其效能的方式。</p> <p>不過，BLOOM模型也具備其它大型語言模型的缺點，可能藏匿了不準確或是有偏見的語言，但一來該專案採用新的《負責任AI許可》（Responsible AI License），避免被應用於諸如執法機構或醫療照護等高風險的領域，也禁止它被用來傷害、欺騙、剝削或冒充他人，二來Hugging Face認為開源將能讓AI社群協助改善該模型。</p> <p>當初OpenAI曾說不釋出模型或程式碼的原因是擔心模型遭到濫用，雖然BigScience專案啟用了《負責任AI許可》，然而它只是個類似服務條款的協議，亦無法令上的保護，或許還是難逃被濫用的命運，但Hugging Face認為，有一個良好的開源語言模型，將會替相關研究帶來深遠的影響。</p> </div></div></div>
2022/7/14 10:01作者陳曉莉https://www.ithome.com.tw/news/151935
聯想筆電再爆UEFI韌體漏洞，70餘機種受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年4月之後，聯想筆電再爆有3項UEFI韌體漏洞，可讓攻擊者在受害者電腦上執行任意程式碼，並影響ThinkBook等70餘機型。聯想已於本周釋出修補程式。</p> <p><a href="https://twitter.com/ESETresearch/status/1547166336752689153" target="_blank">這批漏洞是由安全廠商ESET首先揭露並通報</a>，包含3個存在特定款Lenovo筆電UEFI韌體的緩衝溢位（buffer overflow）漏洞，一旦被開採，可能讓攻擊者在平臺開機早期階段執行任意程式碼，而讓它劫持OS執行流程，關閉某些重要的安全功能。</p> <p>這三項漏洞編號為CVE-2022-1890、CVE-2022-1891及CVE-2022-1892，分別存在於Lenovo產品UEFI韌體上的ReadyBootDxe、SystemLoadDefaultDxe和 SystemBootManagerDxe驅動程式，可讓具有本地權限的攻擊者升級其權限，以便在系統上執行任意程式碼。根據聯想的安全公告，3漏洞屬於中度風險漏洞。</p> <p>ESET解釋，這批漏洞出在3個驅動程式對UEFI Runtime Service的GetVariable的呼叫中、1個名為DataSize的參數驗證不足，使攻擊者可設計惡意NVRAM（非揮發性隨機存取記憶體，Non-volatile random-access memory）變項，藉由發送2次GetVariable呼叫，藉此造成Data緩衝區的溢位。</p> <p>研究人員表示，這屬於典型的「double GetVariable」漏洞，也曾在IDA外掛的韌體程式碼中發生，<a href="https://www.binarly.io/advisories/BRLY-2021-007/index.html" target="_blank">並為名為efiXplorer的研究人員研究過</a>。ESET也在後者的程式碼資料庫加入對這3項漏洞的更新程式碼。</p> <p><a href="https://support.lenovo.com/sk/en/product_security/len-91369" target="_blank">聯想在本周釋出安全公告</a>，列出了受影響的產品，<a href="https://support.lenovo.com/sk/en/product_security/len-91369#Lenovo%20Notebook" target="_blank">涵括ThinkBook、Yoga、Slim、Ideapad及Flex，共約70多款</a>。三項漏洞中以CVE-2022-1892影響最多機種。相關驅動程式可透過<a href="https://support.lenovo.com/" target="_blank">聯想網站</a>下載。</p> <p>這也是聯想筆電今年以來第2次傳出有UEFI韌體漏洞。<a href="https://www.ithome.com.tw/news/150501" target="_blank">上一次是在今年4月</a>，也是由ESET揭露3項可導致植入及執行惡意程式碼的漏洞，影響上百款產品。</p> </div></div></div>
2022/7/14 10:20作者林妍溱https://www.ithome.com.tw/news/151936
Nothing發表採用透明背殼Phone（1）手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在市場上覺得現在的手機都了無新意之際，於2020年才創立的Nothing便在本周二（7/12）<a href="https://www.youtube.com/watch?v=XDcl6CYY7-A" target="_blank">發表了一款擁有透明背殼的Phone（1）手機</a>，把背殼往上就是靜音，還能透過顏色來區分來電者，或是觀察電池容量，售價為399英鎊（新臺幣售價為13,900元），預計於7月21日上架。Nothing除了擁有中文版的官網之外，也將進駐臺灣市場，準備在7月22日透過PChome、ESLITE誠品書店及GQ Shop銷售。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-Nothing-phone(6)-PNG.png" style="text-align: center; width: 173px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nothing</span></span></p> <p>Nothing的創辦人為中國一加（OnePlus）手機的共同創辦人裴宇，其實Phone（1）並非Nothing的第一款產品，該公司先前即曾推出無線藍牙耳機ear（1）。</p> <p>Phone（1）採用6.55吋的彈性OLED顯示器，解析度為2400x1080，搭載高通Snapdragon 778G+處理器，配備5,000萬畫素的雙鏡頭，基於Android的Nothing OS，因採用鋁製邊框，重量僅有193.5公克，電池容量為4,5000mAh。</p> <p>它有黑色及白色兩個選項，有8GB記憶體+256GB儲存空間，以及12GB記憶體+256GB儲存空間等2種規格，售價分別是13,900元及15,900元新臺幣。</p> <p>裴宇強調Phone（1）是款非常均衡的手機，不管是效能、品質或相機都有良好的表現。Nothing也特別替透明背殼取名為Glyph Interface。</p> </div></div></div>
2022/7/14 09:33作者陳曉莉https://www.ithome.com.tw/news/151934
【資安日報】2022年7月13日，雲端挖礦攻擊鎖定GitHub軟體開發自動化系統下手、VMware修補去年11月揭露的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在近期的資安新聞裡，駭客利用雲端服務業者提供的伺服器與虛擬機器（VM）挖礦的攻擊行動，有越來越多的趨勢，而最近有一起事故相當特別，駭客竟是鎖定軟體開發自動化服務GitHub Actions，進而利用所搭配的Azure VM來挖礦。</p> <p>VMware最近修補了vCenter Server漏洞CVE-2021-22048引起關注，原因是這項漏洞公布後已經過8個月，且該公司只針對最新的7.0版vCenter提供修補程式。</p> <p>微軟也在7月12日發布每月例行修補（Patch Tuesday），其中有1個漏洞CVE-2022-22047，因已遭到駭客用於發動攻擊，而使得研究人員認為，使用者應優先著手安裝相關更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/unpacking-cloud-based-cryptocurrency-miners-that-abuse-github-ac.html"><span style="color: rgb(0, 0, 0);">雲端挖礦攻擊鎖定軟體開發自動化服務GitHub Actions下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/cryptomine01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cryptomine01.png" style="width: 300px; float: right;" /></a>駭客鎖定雲端的應用系統與虛擬機器（VM）等運算資源，來進行挖礦的情況，使得資安業者提出警告。趨勢科技於7月7日揭露新的挖礦攻擊行動，駭客濫用持續整合（CI）工具GitHub Actions（GHA），並搭配Azure虛擬機器來進行挖礦，至少有上千個GitHub儲存庫與550組程式碼，與此攻擊行動相關。</p> <p>研究人員指出，駭客同時鎖定Windows與Linux的VM下手，這些虛擬機器的共通點在於，配置了2個處理器核心與7 GB記憶體。他們也從11個GitHub儲存庫裡，找到含有YAML指令碼的檔案，執行後將在VM上挖取門羅幣。研究人員發現，駭客疑似也在GitHub Marketplace上傳他們所使用的GHA，使得其他開發者也可能會受到波及。</p> <h3><strong style="font-size: 22px;"><a href="http://www.itxinwen.com/soft/20220711/96492.html"><span style="color: rgb(0, 0, 0);">辦公室軟體WPS Office傳出審核中國用戶檔案內容惹議</span></a></strong></h3> <p>根據中國新聞網站IT商業新聞網報導，有WPS Office用戶指控，該辦公室軟體疑似暗中對於使用者電腦的文件檔案進行審查，一旦發現有被中國政府視為敏感的詞彙，將會導致檔案無法使用。</p> <p>此消息一出引起中國網友恐慌，不只有人認為此舉侵犯使用者隱私，有文字工作者打算改用其他辦公室軟體，來避免自己的心血可能因此付之一炬。對此，金山軟件表示此起事件是有使用者線上檔案涉嫌違規，他們禁止其他人存取，進而被傳成刪除檔案。但金山的說法讓中國網友不禁質疑，該公司如何得知檔案違規？</p> <p><a href="https://tw.wpsoffice.com/article/569">臺灣總代理無敵科技也對此發出聲明</a>，強調臺灣用戶均使用在臺灣打包的繁體版本，並僅提供私有雲版本，所有連線均連線至企業客戶自行建置的文檔中心，並無內容檢查疑慮。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-now-lets-you-search-their-stolen-data"><span style="color: rgb(0, 0, 0);">繼勒索軟體駭客BlackCat建立受害者資料庫，LockBit也跟進</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LockBit_Search.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客為了對受害組織製造更多壓力，他們開始對偷來的資料進行彙整，並提供搜尋功能讓其他駭客能進行運用，繼勒索軟體BlackCat開始採用這種手法後，很快就有其他組織跟進。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客LockBit將他們公布受害組織的網站大幅改版，首度提供了搜尋功能，讓其他駭客能依據公司名稱，來找到不願支付贖金的受害組織。</p> <p>該新聞網站指出，雖然LockBit只是提供搜尋受害組織名稱的功能，不若BlackCat外洩資料全文檢索強大，但其帶來的影響仍不能小覷。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151880"><span style="color: rgb(0, 0, 0);">漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊</span></a></strong></h3> <p>外洩資料查詢平臺Have I Been Pwned（HIBP）於7月6日，將漫畫閱讀平臺Mangatoon於今年5月外洩的個資加入其資料庫。這批外洩的資料共有2,300萬名用戶的姓名、電子郵件帳號、社群網站帳號、性別等，甚至包含了加鹽密碼。但不論是經營HIBP的資安人員Troy Hunt，還是其他網友，試圖向Mangatoon通報都沒有得到回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151878"><span style="color: rgb(0, 0, 0);">專門銷售山寨版思科網路設備的美國男子被捕</span></a></strong></h3> <p>山寨版網路設備不只效能與功能不佳，還可能存在資安漏洞，使得執法單位決定大動作逮捕涉案人士來遏止歪風。美國司法部於6月29日，專門銷售山寨版思科設備的Onur Aksoy，該人在美國成立超過19家公司、於Amazon設立15家商店、也在eBay開設10家商店，來銷售冒牌的思科設備。</p> <p>Onur Aksoy引進的設備由中國不肖業者製造，他們將二手及停產的思科設備，偽裝成思科新款產品，並仿冒該公司的標籤、貼紙、文件，來進行銷售。不知情的買家取得後才發現設備效能、功能、安全性有問題，且經常故障，這名人士不只在美國，亦在其他國家銷售這些設備。美國於去年7月突襲Onur Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將他逮捕。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bridewellconsulting.com/cyber-security-in-cni-organisations-2022"><span style="color: rgb(0, 0, 0);">英國資安人員面臨工作壓力，恐出現離職潮</span></a></strong></h3> <p>隨著因烏克蘭戰爭而導致的網路威脅急速惡化，資安人員很可能難以再負荷不斷加重的工作壓力而選擇離職，使得企業面臨缺乏相關人力的窘境。網路安全服務業者Bridewell近期針對521名國家關鍵基礎設施（CI）的決策者進行調查，結果顯示9成5考慮在1年內離開現職，其中最主要的2個原因，分別是網路攻擊可能會影響他們的職業生涯，但相關攻擊卻越來越無法避免（42%)，其次就是此職務的壓力已嚴重影響他們的個人生活（40%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-patches-vcenter-server-flaw-disclosed-in-november/"><span style="color: rgb(0, 0, 0);">VMware針對去年11月揭露的vCenter漏洞，在8個月後才為部分版本提供更新程式</span></a></strong></h3> <p>資安業者CrowdStrike於去年11月，揭露VMware vCenter Server權限提升漏洞CVE-2021-22048，但VMware直到8個月後，才開始對於部分版本提供更新程式。CVE-2021-22048與該系統提供的整合式Windows身分驗證（IWA）有關，不僅影響6.5、6.7、7.0等多個版本的vCenter Server，也可能波及混合雲平臺Cloud Foundation。</p> <p>該公司於7月12日發布了vCenter Server 7.0 Update 3f，來修補這項漏洞。而針對vCenter Server 6.5、6.7版用戶，該公司則建議依照先前提供的漏洞緩解指南，將單一簽入（SSO）的組態從IWA移轉為透過LDAP身分驗證的AD目錄架構。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151918"><span style="color: rgb(0, 0, 0);">微軟發布7月份例行修補公告，揭露84個漏洞的緩解方法</span></a></strong></h3> <p>微軟於7月12日發布每月例行修補（Patch Tuesday），本次總計修補84個資安漏洞，當中有4個為重大（Critical）漏洞。但這些漏洞最引起各界關注的是CVE-2022-22047，此為已遭到駭客利用的漏洞，與用戶端/伺服器執行時期子系統（Client/Server Runtime Subsystem，CSRSS）有關，攻擊者一旦成功利用此漏洞，就有可能取得SYSTEM權限，使得研究人員呼籲使用者應優先修補這項漏洞。而在本月微軟處理的漏洞中，還有CVE-2022-22026與CVE-2022-22049也和CSRSS有關，亦屬重要層級的漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/12/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補CSRSS零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.sygnia.co/luna-moth-false-subscription-scams"><span style="color: rgb(0, 0, 0);">駭客組織Luna Moth假借提供軟體訂閱服務的名義，入侵受害組織</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://snyk.io/reports/open-source-security/"><span style="color: rgb(0, 0, 0);">Java專案有2%存在Log4Shell漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151895"><span style="color: rgb(0, 0, 0);">微軟Windows Autopatch服務正式上線</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151907">【2022年7月12日】勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</a></p> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> </div></div></div>
2022/7/13 17:26作者周峻佑https://www.ithome.com.tw/news/151927
NCC 5G專網專用頻段管理辦法出爐! 企業申請專用頻譜有譜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內開放5G專頻專網有新進展。NCC今天（7/13）公布行動寬頻專用電信網路設置使用管理辦法，包括申請者資格、審查方式、頻率使用費計算方式等，供企業或機構申請專用頻譜，以建置5G專網（private network）。接下來NCC將舉行公開說明會，按照一般法案制定程序作業，但何時開放申請尚有變化，未來數位發展部成立，因頻譜釋照業務移交給數發部，外傳數發部8月掛牌，何時開放申請需視數位發展部進一步確定。</p> <p>根據管理辦法，5G專頻專網依用途分為兩大類，一是公共服務網路，二是自用網路，其中的公共服務網路指用於急難救助、公共使用或其他公共服務使用的網路，例如警消、災防、醫療救護、鐵路、捷運、電力等等，自用網路則是前者以外，自己專用的電信網路。</p> <p>申請者的資格，包括設置專網的場域土地或建物的所有人、使用人或管理人，換言之，不論是否為土地或建物的所有人，使用人也可提出申請，至於管理人則限定為政府機構或政府機關的委託者。申請者或設置者不得為陸資投資事業。</p> <p>申請的業者應自建專網，包括委託其他業者協助建置專網，但不同設置者所設置的專網不可相互連接。</p> <p>由於建置5G專網的核心網路費用相當高，例如建置大型的核心網路費用高達上千萬元，即使是微型的核網也要百萬元，考量到中小企業的負擔，開放可組合他人的核心網路，降低專網建置的負擔，再利用網路切片技術給不同專網使用。</p> <p>為了區分專用網路與公用網路，原則上，不得透過該核網與其他人建置的電信網路介接，但是在公共利益等特殊的情形之下，例如天災救援需要，可連接電信網路。</p> <p>另外，專網應具備端點以連接雲端服務，但需以個案審查通過才能進行，且網路建置計畫需說明連接需端服務的應用情境、端點需具備控管連接需雲端服務功能的說明等等。</p> <p>建置專網使用基地臺，需依管理辦法規定，取得基地臺的型式認證合格，為避免干擾其他無線頻譜，還需提出頻率干擾協議書。NCC表示，考慮到智慧工廠靈活調整產線需要，業者變更專網內的基地臺設置，只要線上登記資料即可。</p> <p>另外，業者不論建置公共服務網路是自用網路，頻率使用證明都是10年，到期可申請換照。NCC說明，其他國家的5G專網頻率使用證明介於2到5年，德國則是10年，臺灣考慮到中小企業的負擔，建置專網攤提成本，因此設定為10年。</p> <p>需注意的是，業者建置網路需一併提供資通安全維護計畫，公用網路設置者採核准制，但適用資通安全管理法的建置者不需提供，上市或上櫃公司的自用網路採核准制，非上市或上櫃公司則是備查制。</p> <p>另外，業者申請專用頻段，除了申請費之外，使用無線頻段還需支付頻率使用費，NCC也公開頻率使用費的計算公式，想申請的企業或機構可先試算評估，計算公式參照3.5GHz頻譜使用的單位成本，每MHz頻率、1平方公里的使用費為1,360元，還需依主管機關指配的頻寬多少，以及場域型態調整係數、場域面積調整係數、區域調整係數、網路用途調整係數、年度調整係數，最後算出頻率使用費高低。</p> <p>根據NCC的統計，目前國內5G POC實驗案件累計有42件，其中28件為n79頻段（4.8到4.9GHz頻段），至於非n79案件則有14件。未來管理辦法正式上路後，正在實驗n79頻段的業者可望提出專用頻譜使用申請。</p> </div></div></div>
2022/7/13 19:28作者蘇文彬https://www.ithome.com.tw/news/151933
首批NIST認可的PQC演算法出爐，美CISA建議即刻做好六大準備
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_shou_pi_guan_fang_ren_ke_de_pqcyan_suan_fa_chu_lu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼學（PQC）標準今年邁入新里程，相關發展，可回溯至2016年舉行的密碼學競賽，由美國國家標準暨技術研究院（NIST）發起這活動，從82個提交演算法選出69個，之後歷經6年、三輪的競賽，今年<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/selected-algorithms-2022">7月5日終於公布第一批確認名單</a>。</p> <p>目前有4個演算法將進入標準化程序，包括：在公鑰加密與金鑰建立（Public-Key Encryption/Key-Establishment Mechanisms，簡稱PKE/KEMs）項目中，有1個演算法獲選：CRYSTALS-Kyber，而在數位簽章項目，有3個獲選，包括：CRYSTALS-Dilithium 、 FALCON、SPHINCS+，將成為後量子密碼標準的一部分。</p> <p>同時，目前NIST已經公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">PKE/KEMs項目，進入第四輪的演算法候選名單</a>，第二批確認名單在未來一年半內出爐，預計2024年標準將正式發布。</p> <h3><strong>NIST推薦兩種主要演算法，並期望多納入不同數學方法</strong></h3> <p>由NIST發起的PQC後量子密碼學標準化競賽，簡而言之，就是一項對於公鑰密碼系統的考驗，目的就是選出可以抵抗量子電腦威脅（Quantum-Resistant）的密碼學系統，成為新一代安全標準。也就是說，要選出不管傳統電腦或量子電腦都難以解決的數學問題，以保護現在與未來的安全。</p> <p>根據原本的時程規畫，標準化過程在進入第三輪後，今年1月底就能有初步結果，從7個候選者與8個備選者名單中，選定第一批先納入標準的演算法，不過，NIST晚了近半年才做出決定，終於在7月初公布確認名單。</p> <p>對於這些演算法能夠雀屏中選的原因，NIST提出簡單的<a href="https://csrc.nist.gov/News/2022/pqc-candidates-to-be-standardized-and-round-4">說明</a>。基本上，NIST推薦兩種為主要演算法，分別是金鑰建立項目的CRYSTALS-Kyber，以及數位簽章項目的CRYSTALS-Dilithium。</p> <p>以用於加密的PKE/KEMs項目而言，CRYSTALS-Kyber屬於相對小型的加密金鑰，可方便交換且執行快速。</p> <p>而在數位簽章項目中，CRYSTALS-Dilithium與上述Kyber相當，兩者同樣具有高安全性且效能出色，並預期能在大多數應用程式中順利運作。還有兩個數位簽章項目的演算法，也會進入標準化的階段，其中FALCON雖然可能無法在所有設備上運作，但可適用於需要比CRYSTALS-Dilithium更小的簽章應用；SPHINCS+從敗部候選者脫穎而出，雖然比起其他兩個更大且速度稍慢，卻是很有價值的備案，因為上述前3種演算法都是基於網格密碼學（Lattice-based），而SPHINCS+採用的數學方法完全不同，是採雜湊密碼學（Hash-based），以避免依賴於網格密碼學的數學方法。</p> <p>同時，NIST說明將分兩階段來宣布其確認名單。除了上述第一批演算法，NIST在7月3日亦公布<a href="https://csrc.nist.gov/Projects/post-quantum-cryptography/round-4-submissions">第四輪決賽名單</a>，將在PKE/KEMs項目，避開基於網格密碼學的演算法，從BIKE、Classic McEliece、HQC與SIKE中，再選出CRYSTALS-KYBER之外的演算法納入標準，預期會在接下來一年半內公布結果。</p> <p>NIST解釋，在現實場景中，有不同的系統與任務需要使用加密，因此，要建立一個有用的標準，為不同情況設計提供解決方案，並且要能使用不同的加密方法，並為每個使用情況提供一個以上的演算法，以防單一演算法被證明有漏洞，也能有其他安全的選擇。</p> <p>事實上，儘管基於網格密碼學的演算法最為主流，但NIST已經多次表示，希望確保另一種演算法可使用，以防後續在網格密碼學出現突破性進展，發現新的攻擊面的狀況，同時，他們也推廣密碼敏捷性（Crypto-agility）的概念，目的是要讓新的演算法有辦法能快速導入一個安全系統當中。畢竟，雖然現在這些進入確認名單的演算法，經過專家多年來仔細研究證明足夠安全，但仍難以確保絕對不會被破解。</p> <p>就現階段來看，NIST鼓勵資安專家現在就可以著手研究這些新的演算法，同時思考如何嵌入自身的應用，但暫時先不要正式部署，因為在他們成為正式標準之前，可能還會有些微變更。</p> <p>另一方面，NIST為使數位簽章組合多樣化，這次還額外公布一項新的提案，將徵選短簽名與快速驗證的演算法，提交最後時程在2023年6月1日。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>對於目前NIST公布的首批PQC標準化名單，值得留意的是，密碼學專家Daniel J. Bernstein在7月6日<a href="https://twitter.com/hashbreaker/status/1544456469038645248">提出看法</a>，提及NIST在第三輪時即關注專利問題，然而，卻在宣布選擇CRYSTALS-Kyber前尚未完成專利買斷，認為這可能讓專利持有者有更大權利優勢，甚至指出NIST談判專家表示，若在2022年底前沒有簽署協議，可能會考慮轉用同為基於網格密碼學（Lattice-based）的NTRU。（圖片來源／擷取自</strong></span>Daniel J. Bernstein's Twitter<span style="color:#696969;"><strong>）</strong></span></p> <h3><strong>美國政府已要求組織著手規畫轉換，並發布相關指引</strong></h3> <p>不論如何，隨著量子運算的發展，公鑰密碼系統全面撤換已成大勢所趨。</p> <p>雖然這是NIST為美國制訂的標準，但其影響也將形成全球的標準，臺灣企業也應留意並作好準備。</p> <p>面對標準演算法的轉換，以及硬體設備與中介軟體升級，近期有許多密碼學專家已開始呼籲政府、組織與企業重視，建議大家可以先盤點已使用公鑰密碼系統的部分。</p> <p>臺灣亦有資安廠商關注此一發展，並在NIST此項結果發布之前就先行做好準備。例如，本月5日，硬體安全模組業者匯智安全科技宣布，他們的商用硬體安全模組平臺kvHSM，已可成功執行SPHINCS+數位簽章演算法，而在HSM內提供密碼服務的安全晶片平臺上，也成功實作CRYSTALS-Kyber （加密與密鑰封存），以及CRYSTALS-Dilithium（數位簽章），之所以能馬上公布成果，原因在於該公司數年前即投入後量子密碼演算法實作。</p> <p>對於現階段臺灣企業及組織的因應準備工作，匯智安全科技該公司董事長暨臺大數學系兼任助理教授陳君明表示，NIST出版的文獻一向有高度參考價值，在NIST旗下<a href="https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">NCCoE</a>的PQC專案中，將提供最多且最完整的實務作法，是國內可以參考的重要資源。</p> <p>美國政府在這方面的行動，也很迅速。5月4日美國總統拜登正式簽署第10號國家安全備忘錄，簡稱為<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/">NSM-10</a>，當中對於國家量子技術發展提出了多項指示，當中就有一個面向，是要求聯邦政府遷移到基於後量子密碼學的系統，同時，NIST與CISA也將負責相關任務，要求個別機構在一年時間內，盤點使用公鑰密碼系統的聯邦系統與資產。</p> <p>如今，隨著NIST第一批標準化演算法出爐，美國<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/05/prepare-new-cryptographic-standard-protect-against-future-quantum">CISA亦於7月5日發布相關公告</a>指出，雖然後量子密碼學標準在2024年才會正式發布，供商業產品使用，但CISA與NIST強烈建議，組織現在就應該依照後量子密碼學發展藍圖，為公鑰密碼系統的轉換與過渡進行準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%A6%96%E6%89%B9NIST%E5%AE%98%E6%96%B9%E8%AA%8D%E5%8F%AF%E7%9A%84PQC%E6%BC%94%E7%AE%97%E6%B3%95%E5%87%BA%E7%88%90.jpg" style="width: 280px; float: right;" /></p> <p>CISA提供了六大建議作法：第一，在組織中找出使用公鑰密碼系統的系統；第二，可在實驗環境測試新的後量子密碼學標準，但應該等到標準正式發布後，才實施於生產環境；第三，應制定組織系統轉換為新加密標準的計畫，包括進行相依性分析、淘汰新標準發布後不受支持的老舊技術，以及確保對採用新標準產品的驗證與測試；第四，建立有關後量子密碼學的獲取政策，過程中應包含為過渡設定新的服務水準，以及對供應商進行調查，以確認能否整合到組織路線圖，並確認所需的基礎技術；第五，提醒組織內的IT部門與供應商即將面對此一過渡；第六，教育員工面對針對即將到來的過渡，並提供任何適用的培訓。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/pqc">PQC</a></div><div class="field-item odd"><a href="/tags/nist">NIST</a></div><div class="field-item even"><a href="/tags/%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8%E6%A8%99%E6%BA%96%E5%8C%96%E7%AB%B6%E8%B3%BD">後量子密碼學標準化競賽</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E9%91%B0%E5%AF%86%E7%A2%BC%E7%B3%BB%E7%B5%B1">公鑰密碼系統</a></div><div class="field-item even"><a href="/tags/%E6%8A%97%E9%87%8F%E5%AD%90%E7%A0%B4%E8%A7%A3">抗量子破解</a></div></div></div>
2022/7/13 16:20作者羅正漢https://www.ithome.com.tw/tech/151925
紅帽CEO將換人，由原產品與技術掌門人Matt Hicks接任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今日（7/12）宣布<a href="https://www.redhat.com/en/about/press-releases/red-hat-names-matt-hicks-president-and-chief-executive-officer?sc_cid=701f2000000tyN6AAI">重大人事異動</a>，將任命紅帽產品與技術執行副總裁Matt Hicks為新任總裁暨執行長，Matt Hicks將接替現任執行長Paul Cormier職務，帶領這家公司持續推動混合雲及邊緣運算戰略。至於Paul Cormier卸下執行長職務後，未來將擔任紅帽董事長一職。</p> <p>2006年加入紅帽的Matt Hicks，從IT部門開發人員做起，後來更進到開發團隊負責核心產品開發，也是最早開發出Red Hat OpenShift混合雲產品的核心成員之一，到2020年時，紅帽雲端戰略開始轉變，從多雲混合雲跨入邊緣新戰場，他接下產品和技術執行副總裁一職，開始主導紅帽混合產品未來發展方向，要讓其產品能通吃混合雲與邊緣。</p> <p>在今年紅帽高峰會上，Matt Hicks更是執行長Paul Cormier以外登臺時間最久的高階主管，他在整場大會上，不只回顧紅帽開源使命，更揭露該公司下一階段產業邊緣運算布局，不只是搶進電信業，更要進軍汽車產業，與通用汽車聯手，要把紅帽作企業級作業系統RHEL帶進汽車上。</p> <p><a href="https://www.ithome.com.tw/news/151604">今年6月下旬接受iThome專訪時</a>，Matt Hicks點出了未來紅帽混合雲邊緣新戰略，即使這場專訪是在任命他為新任CEO之前，但從他當時談話中，也能反映出他對這家公司未來發展與期待。他表示，未來將把企業級Linux，打造成為一個值得信賴、標準的汽車作業系統平臺，可供汽車產業在這個基礎上建構自己的汽車應用，不只提供完整生命周期更新，未來還要把企業和雲端應用中許多實踐帶進車輛。在接任CEO後，在Matt Hicks領軍下，可以想見，除了混合雲產品，未來將會有更多與車廠相關合作及邊緣產品推出。</p> <p>在紅帽當了2年CEO的Paul Cormier，卸下執行長一職後，之後將轉任紅帽董事長，並以核心顧問身份協助公司持續擴大規模和加速客戶採用開源技術，以構建開放式混合雲架構。Matt Hicks和Paul Cormier兩人之後皆直接向IBM董事長暨執行長Arvind Krishna負責。</p> </div></div></div>
2022/7/13 16:22作者余至浩https://www.ithome.com.tw/news/151926
微軟揭露鎖定Office 365用戶且可繞過多因素認證的大規模網釣活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/" target="_blank">微軟本周指出</a>，從2021年9月迄今，至少1萬個組織成為中間人（Adversary-in-The-Middle，AiTM）網釣攻擊的目標，且駭客主要鎖定Office 365用戶。由於駭客不僅竊取了使用者的密碼，也挾持了使用者的登入期間，因而也能繞過雙因素身分認證（Multi-Factor Authentication，MFA）機制。</p> <p>駭客先是寄送了網釣郵件，將使用者導至AiTM網釣頁面，進而竊取使用者的憑證與期間Cookie，隨之駭客即利用所取得的憑證及登入期間權限，以受害者的郵件帳號展開商業電子郵件（BEC）詐騙。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure1-overview-of-aitm-phishing.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟描述了AiTM網釣活動的細節，指出駭客在使用者與所要造訪的目標網站之間部署了一個代理伺服器（網釣網站），當駭客以網釣郵件誘導使用者造訪目標網站時，代理伺服器便充當中間的橋梁，使得該代理伺服器得以取得使用者所輸入的密碼，以及使用者與目標網站之間建立的登入期間Cookie。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/security/blog/uploads/securityprod/2022/07/Figure2-aitm-phishing-website-intercepting-authentication.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>除了網址之外，該網釣網站幾乎與目標網站一模一樣，而讓使用者難以察覺。微軟強調，此一攻擊無關使用者所採用的登入機制，亦非MFA機制的安全漏洞，僅僅是因為駭客挾持了使用者的登入期間，而能以使用者的身分運作。</p> <p>此外，這些網釣活動顯然是鎖定Office 365用戶，因為駭客所打造的冒牌網站就是偽裝成Office的線上認證頁面。</p> <p>根據微軟的分析，最快的攻擊行動在盜走憑證及期間Cookie的5分鐘之後，便展開了BEC詐騙。</p> <p>微軟建議組織可啟用條件式存取政策，部署更先進的防網釣解決方案，或是持續偵測可疑與異常行為，抑或是使用Microsoft 365 Defender來對抗AiTM網釣攻擊。</p> </div></div></div>
2022/7/13 16:00作者陳曉莉https://www.ithome.com.tw/news/151924
華碩打造永續供應鏈管理平臺，改採系統化管理和評估關鍵供應商永續風險程度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣PC品牌大廠華碩電腦（Asus）近日公布最新一份<a href="https://csr.asus.com/chinese/article.aspx?id=61">2021年永續報告書</a>，這也是華碩去年擬定新的2025永續戰略後所發布第一份年度報告書，從這份報告書中，可以一窺這家公司過去一年永續推動新進展，不只全面完成營運據點溫室氣體盤查，更開始引進數位化管理機制，來評估現有供應商的風險情況，未來還要導入AI、大數據，讓風險預測更早一步。</p> <p>早從2000年，華碩內部就成立永續部門，將永續納入營運決策的一環，來促進創新與成為更好地企業，不僅如此，為了貫徹永續經營，該公司更在2015年時設立首位永續長，負責往後公司整體永續策略發展與推動，除了為筆電產品提供量化碳足跡和碳中和承諾，2019年更將永續從內部擴大延伸到外部供應鏈。每年CSR報告名稱也修改為永續報告。</p> <p>華碩在2020年更擬定未來5年永續戰略，採取數據化衡量、科技化管理方式，作為下一階段永續發展策略，並聚焦循環經濟、責任製造、氣候行動與價值創造等四大面向，來持續推動永續策略與目標。</p> <p>華碩電腦董事長施崇棠更承諾，臺灣營運在2030年、全球2035年達成100%使用再生能源的目標，未來更要藉由減量路徑、投資創新技術，移除剩餘的排放量等三階段步驟，建構華碩氣候行動，逐步推動整個價值鏈邁向淨零。</p> <h3><strong>供應鏈是華碩最主要的溫室氣體排放源</strong></h3> <p>根據華碩提出的未來5年永續發展目標，包含2025年供應鏈減碳30％以及提高一半綠色產品營收占比等。長遠來看，更以達成2030年碳排減半、2050邁向淨零為目標。</p> <p>隨著碳排放已成為企業永續發展的關鍵字，華碩每年都會進行溫室氣體盤查，從例年環境足跡調查累計逾10萬筆數據分析發現，供應鏈是最主要的溫室氣體排放源，尤其是九大類關鍵零件製造商的排放量就占了整體9成以上，包括面板、主機板、IC、線材、電源供應器、機構件、鍵盤、電池、硬碟，以及組裝代工廠。若以碳排量為例，供應鏈也是所有類別碳排中占最多，高達7成。</p> <p>為了落實永續採購，減少供應商碳排足跡，華碩除了透過繪製關鍵零件排放熱點、減碳路徑等方式，引導供應商持續改進外，去年在永續供應鏈管理上，更引進IT來加以改善，先從流程改造做起。</p> <p>尤其，針對供應鏈管理，華碩內部有一套風險分級管理評估流程，包含新供應商承認、持續風險管理、及績效評估三個階段。但過去不論是供應鏈調查資訊蒐集、數據淨化或報告製作，皆採用人工作業，很沒有效率。</p> <h3><strong>導入系統化來評估和管理關鍵供應鏈永續風險</strong></h3> <p>為此，華碩IT團隊去年建置一個永續供應鏈平臺，希望藉由導入系統化方式管理關鍵供應商永續發展，做好風險控管。該平臺將花4年分階段來執行，從2021年到2025年完成。</p> <p>華碩表示，在2023年前完成平臺建置後，初期將搭配系統性分析方法，分析歷年供應鏈管理數據，先建立風險指標與風險關聯性，用於供應商永續風險評估，協助篩選出有高風險供應商加以改進。</p> <p>下一步還要結合AI、大數據建立風險預測模型，以便能夠及早預測風險落點，持續優化供應商風險評估流程。該平臺啟用後，未來將作為華碩對外部供應商溝通的正式管道，透過平臺進行零件與成品的合規承認與供應鏈調查資訊蒐集。</p> <p>華碩指出，透過這套平臺，將來能夠長期分析供應商的ESG績效數據，迅速找出潛在的供應商風險因子，一來減少新供應商導入時的評估作業程序；二來也能將管理資源投入在高風險供應商稽核與缺失改善。除了導入系統化管理，華碩已取得ISO 20400認證，將永續管理納入供應鏈採購程序。</p> <p dir="ltr" id="docs-internal-guid-1797760a-7fff-6fb8-5891-29269978b30c">除了建置數位化永續供應鏈平臺，在產品能耗管理上，華碩IT團隊也有打造一個產品能耗管理平臺，可供產品設計或研發人員持續監控及優化核心產品能源效率，減少能源消耗排放的溫室氣體。</p> <p>在2021永續報告書中，華碩也揭露不少ESG管理作為與成果。像是營運方面，完成全球營運據點溫室氣體盤查與第三方查證工作。在供應鏈方面，則有建立溫室氣體盤查指引，可供上下游供應商來依循，並完成9類關鍵製程排放熱點鑑別，以及線上永續授課等。</p> <p>在永續產品上，新款商務及家用筆電能耗平均皆優於國際標準3成以上。綠色產品營收占比較去年提高65.1%，並達成一整年全球產品回收率11.4%，以及環境友善材料使用較2020年成長21%的目標。</p> <p>在永續推動發展上，華碩依據GRI Standards 2021標準流程，來加以歸納出對於公司及外部環境、經濟及人有重大衝擊的6項重大性主題，用來規畫短、中、長期的永續發展策略，包括循環經濟、氣候行動、責任製造、創新產品及服務、人才培育、科技業的社會貢獻。並每兩年重新鑑別流程，定期檢核議題的衝擊性。</p> </div></div></div>
2022/7/13 15:00作者余至浩https://www.ithome.com.tw/news/151923
推特控告馬斯克，要他依約完成收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼馬斯克上周預告放棄收購後，推特（Twitter）周二（7/12）正式向法院控告馬斯克違約，要求執行合約義務並完成收購。</p> <p><a href="https://twitter.com/paraga/status/1546965897574621184" target="_blank">推特董事長Bret Taylor也公告</a>，公司已向德拉威州衡平法院提出告訴，要求馬斯克負起他的合約義務。</p> <p><a href="https://www.documentcloud.org/documents/22084462-twitter-v-elon-musk-complaint?responsive=1&title=1" target="_blank">根據這家社群平臺提交的訴訟文件指出</a>，馬斯克拒絕履行對推特和其股東的義務，因為這合約已經不符合他的個人利益。推特指出，馬斯克以為他可以隨意改變心意、糟蹋推特、干擾其運作、破壞股東價值，在馬斯克一連串違約行為傷害推特及其業務後，公司提起告訴是為了防止他進一步違約，並迫使他盡法務義務，完成合併交易。</p> <p>這樁鬧劇源起於馬斯克5月中質疑，推特公開財報中的假帳號比例名不符實，實則遠高於5%。他4月中高分貝以每股54.2美元，總價440億美元收購推特，並計畫下市以「建立言論自由平臺」。5月中他指責推特始終不配合或無法提供他要的資料，以致於無法驗證假帳號比例，並從6月初揚言終止收購。</p> <p>根據法院文件，推特相信馬斯克其實是基於市場經濟衰退，而使這樁交易不那麼吸引人，才想打退堂鼓。而且馬斯克無所不用其極想證明，推特對主管機關和投資人做了業務的不實陳述，並指稱假帳號調查結果關乎他募資能力及合併案能否完成。推特直指馬斯克的退出策略既虛偽又惡意。</p> <p>推特表示，馬斯克因為市場開始反轉而後悔，過程中多次違約，包括違反其財務義務、違背提供募資進度資訊的義務、和不貶損欲收購公司的義務，同時也未能盡必要之力完成收購。</p> <p>馬斯克對推特行動則極盡嘲諷之能事。<a href="https://twitter.com/elonmusk/status/1546344529460174849" target="_blank">他本周稍早先是貼出4格大笑圖片</a>，暗示推特之前不希望他買推特，也不願公開假帳號資訊，現在不但想藉打官司強迫他買下，還得自己完全揭露假帳號資訊。<a href="https://twitter.com/elonmusk/status/1546980241494745100" target="_blank">他昨日最新一則貼文說</a>，真的很諷刺。</p> <p><a href="https://www.washingtonpost.com/technology/2022/07/12/twitter-elon-musk-lawsuit/" target="_blank">媒體相信</a>，在德拉威的小型法院中，將上演近年最具爭議性的史詩級企業官司。</p> <p><a href="https://www.theverge.com/2022/7/10/23202931/elon-musk-lawsuit-twitter-merger-delaware" target="_blank">媒體報導</a>，推特法務團隊中有一名擁有德拉威州法院20年法官經驗的律師。此外推特為打這場官司，剛聘請了曾在三星與蘋果官司中，代表三星的企業律師事務所Quinn Emanuel Urquhart & Sullivan 。</p> </div></div></div>
2022/7/13 13:36作者林妍溱https://www.ithome.com.tw/news/151920
駭客冒充梅克爾向歐洲央行主席發動釣魚簡訊攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/technology-angela-merkel-european-central-bank-4cd599a7502d9617a401155abf054502" target="_blank">美聯社</a>及<a href="https://www.reuters.com/technology/ecbs-lagarde-is-targeted-cyber-attack-2022-07-12/" target="_blank">路透社</a>報導，歐洲中央銀行主席Christine Lagarde近日收到不明人士冒充德國前總理梅克爾發送的釣魚簡訊，企圖以社交工程騙取重要密碼。所幸她保持警覺而未使詭計得逞。</p> <p>歐洲央行對媒體證實這項報導，但央行說行動已經被識破且制止，沒有任何資訊外洩情形。而央行也因在調查階段不願進一步說明細節。</p> <p>消息人士透露，事情是發生在最近，Lagarde接到一則疑似發自德國前總理梅克爾（Angela Merkel）手機的簡訊，要求要以WhatsApp與之聯繫機密事情，因此要她提供驗證碼，以便幫她開個綁手機號碼的WhatsApp帳號。</p> <p>Lagarde於是親自打電話給梅克爾確認此事，因而拆穿了詭計。一旦她將驗證密碼傳給對方，Lagarde的WhatsApp或其他社交網站帳號就可能被盜取，而用於針對其他政治人物的社交工程攻擊。</p> <p>路透社報導，德國情報單位及聯邦資訊安全局已向德國國會議員警告，這波攻擊近日展開，但未說明遭到攻擊的對象。</p> <p><a href="https://www.ithome.com.tw/news/140727" target="_blank">兩年前歐盟也發現</a>，俄羅斯情報總局的駭客曾駭入多名議員與梅克爾的電郵信箱，還盜走了大量的資料。俄烏戰爭後情勢可能更嚴峻。例如，<a href="https://www.ithome.com.tw/news/149698" target="_blank">安全廠商發現</a>，國家駭客疑似駭入烏克蘭軍方高層郵箱，向提供協助的西方國家政府官員發動精準釣魚攻擊。</p> </div></div></div>
2022/7/13 14:13作者林妍溱https://www.ithome.com.tw/news/151921
逾500個組織的執行長督促美國更新K12課程，以加強電腦科學教育
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動電腦科學教育的非營利組織Code.org，近日號召了超過500家企業及組織的執行長，<a href="https://www.ceosforcs.com/" target="_blank">共同連署以督促美國更新K12（幼稚園之後到12年級）的課程，強化電腦科學教育</a>，以讓每個學校的學生都有機會學習該領域的知識，包括Amazon執行長Andy Jassy、蘋果執行長Tim Cook、微軟執行長Satya Nadella及Meta執行長Mark Zuckerberg都在連署名單內。</p> <p>Code.org表示，此一呼籲同時受到了家長、學生、老師及企業主的廣大支持，因為電腦科學提供了各領域的重要基礎，不僅是科技領域的職業生涯，甚至關乎現代社會的所有職業，根據許多不同的研究，曾學習電腦科學的學生，不管是在學校或其它方面的表現都相對出色。</p> <p>此外，當每個產業都受到數位科技的影響時，學校應該教導學生各種技術的運作，讓他們學習如何當一個創作者，而不只是消費者，然而，目前相關的技能只有少數幸運的學生可獲得，大多數的學生、特別是年輕女性及有色人種多被忽略。</p> <p>Code.org強調，在美國領導全球科技之際，只有5%的中學生學習電腦科學，這是不成比例的，美國發明了電腦、網路及智慧型手機，有責任讓下一代替新的美國夢作好準備。</p> <p>COVID-19疫情改變了教育的方式，也應讓電腦科學成為新常態。在疫情時代，大多數的學生都擁有筆電以在家上課；而遠端工作也讓各州的畢業生未來不必再離開家鄉，就能追求與科技相關的職業；美國有接近2/3的技術移民簽證給了電腦科學家，且幾乎每個州都需要這類的人才，代表美國更應教育當地的學生以加強相關的競爭力。</p> <p>除了上述之外，網路攻擊亦讓培育電腦科學人才成為政府與企業的當務之急，至此它已涉及國家安全。</p> <p>簽署該呼籲的各大企業或組織的執行長們，除了認同Code.org的看法及理念之外，也承諾將替這些由美國自行培育的電腦科學人才建立不同領域的工作機會，從製造業、金融業、農業到健康照護等，並協助學生找到他們的職業道路。</p> </div></div></div>
2022/7/13 13:24作者陳曉莉https://www.ithome.com.tw/news/151919
微軟Patch Tuesday修補84個漏洞，有一個已被開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於周二（7/12）展開的Patch Tuesday總計修補了84個安全漏洞，當中只有4個被列為重大（Critical）漏洞，允許遠端程式執行，另有一個已被駭客開採的零時差漏洞CVE-2022-22047。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank">CVE-2022-22047</a>漏洞位於客戶端/伺服器端執行時子系統（Client/Server Runtime Subsystem，CSRSS），為一權限擴張漏洞，成功開採將允許駭客取得系統（SYSTEM）權限，並已遭駭客開採。雖然CVE-2022-22047僅被列為重要（Important）漏洞，但資安專家仍建議微軟用戶應優先修補。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22047" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22047.png" style="width: 326px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/7/12/the-july-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊指出</a>，CVE-2022-22047通常會搭配程式執行漏洞使用，諸如藉由特製的Office或Adobe文件來接管受害者系統，這也是為什麼許多人聽到微軟延後封鎖所有Office巨集的消息，會感到心灰意冷。</p> <p>其實本月微軟還修補了其它兩個Windows CSRSS的安全漏洞，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22026">CVE-2022-22026</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22049">CVE-2022-22049</a>，亦皆屬重要漏洞。</p> <p>至於4個重大漏洞中，CVSS風險評分達8.8的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank">CVE-2022-30221</a>，它藏匿在Windows圖形元件中，駭客只要說服使用者連向一個惡意的RDP（遠端桌面協定）伺服器，就能開採該漏洞並於受害系統上執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30221" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30221.png" style="width: 468px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank">CVE-2022-22038</a>則出現在遠端程序呼叫執行（Remote Procedure Call Runtime），雖然它是個遠端程式執行漏洞，但相關攻擊較為複雜，駭客必須持續或間接傳送資料，不斷地測試才能成功開採，CVSS風險評分為8.1。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22038" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22038.png" style="width: 505px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank">CVE-2022-22029</a>為Windows網路檔案系統（Network File System，NFS）的遠端程式執行漏洞，完全不需要使用者的互動就能展開攻擊，但只要採用預設的配置或設定，便可減輕遭到開採的嚴重性。CVE-2022-22039亦為NFS漏洞，駭客只要透過網路向NFS執行一個未經授權的特製呼叫，就能觸發遠端程式執行漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-22029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-22029.png" style="width: 514px;" /></a></p> <p>除了上述的重大漏洞與零時差攻擊漏洞之外，ZDI團隊點名了<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank">CVE-2022-30216</a>，這是Windows Server Service的竄改漏洞，該漏洞允許一個已經授權的駭客上傳惡意憑證，代表駭客得以上傳自己的憑證以從事各種活動，包含程式執行，儘管這只是個重要漏洞，但微軟認為它很可能被開採，也讓ZDI建議使用者應儘速測試及部署其修補程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0713-CVE-2022-30216.png" style="width: 385px;" /></a></p> </div></div></div>
2022/7/13 11:32作者陳曉莉https://www.ithome.com.tw/news/151918
統一超商進一步揭露會員戰略目標，今年要吸引960萬名活躍用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一超商（以下簡稱統一）近日公布了2021年永續報告書，也揭露Open Point會員的今年目標，要達到960萬人活躍會員的規模。在去年完成旗下各品牌的帳號整合之後，統一不再像過去追求會員總人數，而改以曾有消費紀錄的活躍會員人數，作為新的會員經營目標，而且今年一口氣訂下60%的高成長率目標，反映出統一要大力提升會員貢獻度的企圖。</p> <p>統一表示，2022年將持續上一年策略，增加更多App功能，將更多外部商家納入會員點數生態圈。2022年會員經營主要目標，是活躍會員數從2021年約600萬，增加到960萬，預計增幅60%，同時設立2025年活躍人數比例達到65%的中期目標。</p> <p>統一近2年積極聚焦Open Point的會員經營，2020年為了增加總會員人數，開始簡化會員加入的機制，結帳時告知電話即可加入會員。同年，統一也開始整合集團其他通路的會員資料，包括線下零售、美妝、物流、電商、體育以及餐飲界的18個品牌，整合後，Open Point會員人數大幅成長到1,200萬名。</p> <p>2021年，統一仍以增加會員人數為主要目標，但開始積極提升會員活躍度，相繼推出增加更多會員點數的使用情境，如團購、即期食品地圖等App功能，並透過與外部商家合作，拓展點數使用的生態圈。2021年底，會員數來到1,400萬，但其中不到一半，只有約600萬名是曾消費過的會員，也就是統一定義的活躍會員。</p> <p>隨著會員活躍度提升，可分析的消費數據增加，統一也更積極拓展現有會員貢獻度。統一在永續報告書中提到，他們透過分析會員資料，掌握現有會員屬性及忠誠度、預測新品上市潛力及潛在購買族群，進而設計會員優先或專屬活動，以及提供個人化優惠。報告中寫道，在2021年，這些數據驅動行銷的策略，讓來自會員的年營收成長了114%。 </p> </div></div></div>
2022/7/13 10:01作者郭又華https://www.ithome.com.tw/news/151909
經濟前景不明，微軟傳裁員、Google也警告聘僱放緩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球步入經濟放緩，媒體報導，微軟已在日前因調整事業群及人力，裁減一小部分人力，同時Google執行長Sundar Pichai也對內宣布聘僱速度減緩的公司信件。</p> <p><a href="https://www.bloomberg.com/news/articles/2022-07-12/microsoft-cuts-jobs-but-plans-increased-headcount-this-year" target="_blank">彭博本周報導</a>，微軟在進入新會計年度（FY2023）之際，本周「在事業群及職位角色的調整」中，裁減部分人力，占全公司1.8萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p>微軟發言人表示，該公司刪減了一小部分人力。和所有公司一樣，微軟也定期評估業務優先性，並因此做出結構調整。微軟並表示未來一年內，會持續投資業務並增加整體員額。</p> <p>無獨有偶，<a href="https://www.theverge.com/2022/7/12/23206113/google-ceo-sundar-pichai-memo-hiring-slowdown-2022" target="_blank">The Verge</a>周二取得Google/Alphabet執行長Sundar Pichai的內部公開信，顯示將放緩聘僱腳步。</p> <p>Pichai說明2022年下半Google面臨的前景及因應計畫。他表示，全球面臨經濟前景不確定，Google也難自外於挑戰。第2季Google已新增將近1萬名員工。由於之前進度已經足夠，因此剩下2季Google將放緩聘僱速度。Pichai表示，未來公司做事要更務實、更目標導向；今年到2023年，Google新聘人力重點將放在工程師、技術人員和其他重要角色，以確保人力符合長期業務目標。</p> <p>面臨全球通膨及經濟衰退疑慮，Google只是眾多開始放緩公司人力擴張的矽谷科技巨擘之一。<a href="https://www.reuters.com/technology/exclusive-meta-girds-fierce-headwinds-slower-growth-second-half-memo-2022-06-30/" target="_blank">路透社本月初報導</a>Meta也對內示警要面臨「嚴苛時期」（serious time），將把今年預定的新聘人力員額由1萬降為6000-7000。此外也將更精準推動重點業務，如企業傳訊、購物、短影片服務Reel及硬體部門，後者將積極發展代號Cambria的AR頭戴裝置，其他特定部門則將遇缺不補。</p> <p><a href="https://www.ithome.com.tw/news/150913" target="_blank">推特繼5月宣布</a>人事凍結後，<a href="https://techcrunch.com/2022/07/07/twitter-layoffs-talent-acquisition/" target="_blank">上周也裁減</a>人力聘僱部門1/3人力。資料庫大廠<a href="https://www.datacenterdynamics.com/en/news/oracle-considers-1bn-cost-cutting-thousands-of-layoffs/" target="_blank">甲骨文上周也表示</a>計畫10億美元的成本撙節方案，包括裁減數千名人力。</p> </div></div></div>
2022/7/13 11:08作者林妍溱https://www.ithome.com.tw/news/151917
研究人員成功自遠端解鎖10款Honda汽車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩名來自星輿實驗室（Star-V Lab）的安全研究人員Kevin2600與Wesley Li<a href="https://rollingpwn.github.io/rolling-pwn/" target="_blank">上周披露了一個名為Rolling-PWN的安全漏洞</a>，可破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE）中、預防重放攻擊（Replay Attack）的滾動式密碼（Rolling Code）機制，讓駭客依舊得以透過中間人攻擊，攔截並重放讓汽車開鎖的數字密碼，而且已成功打開了10款本田汽車（Honda）的車門。</p> <p>現代汽車多半採用RKE系統，讓使用者以遙控器來開車門或是啟動引擎，遙控器可傳送一組數字密碼予汽車接收器，再由汽車接收器判斷可否接受，簡單的RKE系統採用固定的數字密碼，因此只要被攔截就可以重放並解鎖汽車；這使得許多之後的汽車改用滾動式密碼，每次按下遙控器時，汽車接收器的計數就會增加，也會要求新的密碼，以預防重放攻擊。</p> <p>然而，研究人員卻發現，為了避免有人誤按遙控器按鍵，本田汽車的RKE系統具備滑動窗口（Sliding Window）的設計，當汽車連續收到開鎖及解鎖的指令時，計數器就會重新同步，而讓汽車得以接收之前的密碼。</p> <p>研究人員已替Rolling-PWN取得了漏洞編號CVE-2021-46145，並使用軟體定義無線電（SDR）設備來攔截與重放RKE密碼。</p> <p><a href="https://www.vice.com/en/article/z34xnw/hackers-say-they-can-unlock-and-start-honda-cars-remotely" target="_blank">根據《Motherboard》的報導</a>，Kevin2600與Wesley Li是直接造訪本田汽車的經銷商，並針對不同車款展開攻擊，發現有10款攻擊成功，年份從2012年到2022年，使得研究人員相信所有本田車款應該都含有該漏洞，而且不僅是本田，其它品牌的汽車也很可能暗藏Rolling-PWN漏洞。</p> <p>此外，根據研究人員的測試，可執行Rolling-PWN攻擊的最遠距離為30米。</p> <p>不過，本田汽車的公關在回應《Motherboard》的詢問時，並不承認自家的RKE系統含有該漏洞，認為它與今年初遭爆的漏洞類似，並無新意，但本田所指的舊漏洞是基於固定密碼而非此次的滾動式密碼。</p> <p>但不僅是Kevin2600與Wesley Li，汽車雜誌《TheDrive》記者<a href="https://twitter.com/RobDrivesCars/status/1546171686675955712" target="_blank">Rob Stumpf也成功複製了Rolling-PWN攻擊</a>。</p> <p><a href="https://twitter.com/Kevin2600/status/1545963221915316225" target="_blank">Kevin2600則說</a>，倘若全球擁有本田汽車的駭客都能確認Rolling-PWN漏洞的存在，或許就可迫使本田汽車承認並修補該漏洞。</p> </div></div></div>
2022/7/13 08:48作者陳曉莉https://www.ithome.com.tw/news/151908
金管會金融科技能力證照來了！3大產業各推6種職系專業證照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今（7月12日）<a href="https://www.fsc.gov.tw/ch/home.jsp?id=2&parentpath=0&mcustomize=news_view.jsp&dataserno=202207120001&dtable=News">宣布金融科技證照制度將啟動</a>，採取培訓和取證二合一做法，將提供一系列課程，一方面供金融從業人員學習第二技能，一方面也期望作為金融機構人才進用標準。必須先通過基礎能力認證後，再進行專業科目培訓，通過科目檢定後能取得不同職系的證照。證照涵蓋三大產業，銀行、保險和證券，各提供6大職系專業能力證照，其中有5個職系可跨產業認可。專業能力課程，最快9月開課。</p> <p><strong><span style="font-size:24px;">要推動臺灣金融科技發展，先分基礎和專業兩階段培養能力</span></strong></p> <p>金融科技證照制度，是金管會推動臺灣金融科技發展的一大重點。2020年8月，金管會先是公布金融科技發展路徑圖，將「研議建立金融科技證照制度」視為重要措施之一，並由金融研訓院、證基會、保發中心等組成核心工作團隊，花1年半時間研究、規畫和籌備，近期準備上線。金管會表示，他們希望藉此建立金融科技人才庫，為金融業培訓更多優秀人才。</p> <p>在金融科技能力認證部分，可分為基礎能力和專業能力2大類。首先要取得基本能力認證，必須是現職金融從業人員，且具備金融科技、數位金融、資訊等相關職務3年以上經驗。若是非金融業人員和學生，則得先取得「金融科技能力建構認證機制報告書」規定的基礎能力3項認證，才可參加。</p> <p><a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://www.fsc.gov.tw/uploaddowndoc?file=news/202207121513270.pdf&filedisplay=%E9%99%84%E4%BB%B61%EF%BC%9A%E5%9F%BA%E7%A4%8E%E8%83%BD%E5%8A%9B%E3%80%81%E7%A7%91%E7%9B%AE%E5%90%8D%E7%A8%B1%E5%8F%8A%E9%A9%97%E8%AD%89%E6%96%B9%E5%BC%8F.pdf&flag=doc">基本能力認證課程包含科技力、金融力及程式力等3部分</a>，修習課程有金融科技概論、金融概論、程式設計概論，並對應到3項檢定，也就是金融科技力知識檢定測驗、金融市場常識與職業道德測驗，以及APCS、TQC、CCEA等測驗。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9F%BA%E7%A4%8E.png" /><br /> 金融科技概論探討主題，包括區塊鏈、保險科技、AI、支付、純網銀和開放銀行等。圖片來源：金管會</p> </blockquote> <p>通過之後，才可修習專業能力證照課程。專業證照按產業分為3類，包括銀行、保險，以及證券業，每個類別各有6種職系的證照，都有各自的專科科目課程，比如銀行產業提供了學習商業分析、UI/UX、資料分析、數位商品設計、數位法遵風控、數位行銷等6種職系的專業證照，而對應到的培訓科目就有AI、大數據分析、法遵科技與風險管理應用等。（如下圖）不過，其中5種職系（BA、UI/UX、DA、PD、CT）可跨不同產業認可，例如銀行的商業分析證照，可在保險業和證券業中認可使用。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%8A%80%E8%A1%8C.png" /><br /> 銀行業專業科目多為AI，另也包含大數據分析、新興科技應用和數位法遵等課程。圖片來源：金管會</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%9D%E9%9A%AA.png" /><br /> 除了共同的科目外，保險業專屬專業科目是保險科技行銷，像是保險生態圈行銷、AI、數位行銷策略等。圖片來源：金管會</p> </blockquote> <p>證券類則包括證券、期貨、投信投顧業，同樣有5個可跨產業互通的職系，以及證券業專屬的數位行銷專業證照。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AD%89%E5%88%B8.png" /><br /> 這些職系專業科目與銀行業相仿，包含商業分析、UI/UX設計分析、AI、大數據分析等。圖片來源：金管會</p> </blockquote> <p>金管會表示，專業能力的培訓課程和認證，會由金融研訓院、保發中心和證基會辦理，採訓考合一制度，也就是學員先參加專業科目課程，再參加能力檢測。拿證照的門檻，則是「培訓成績」、「能力檢測」都達70分（含）以上。再進一步來說，若學員取得一個職系，所有專業科目能力認證證明，就等於取得該職系的能力認證。</p> <p>今年9月開始，將陸續開辦專業科目。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-07-12%20173307.png" /><br /> 專業能力科目最快今年9月開課，如數位行銷策略。圖片來源：金管會</p> </blockquote> </div></div></div>
2022/7/12 17:48作者王若樸https://www.ithome.com.tw/news/151905
【資安日報】2022年7月12日，勒索軟體BlackCat打造受害者資料庫、勒索軟體HavanaCrypt濫用開源密碼…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今天的資安新聞裡，我們想著眼在勒索軟體的攻擊。勒索軟體BlackCat與HavanaCrypt都使用了過往相當罕見的手法，而值得留意後續的發展。</p> <p>有研究人員發現，打造勒索軟體BlackCat的駭客近期建置了新的資料庫Alphv Collections，其內容是從受害組織竊得的資料，值得留意的是，此資料庫提供了搜尋功能，該組織甚至標榜圖片上的文字也能搜尋，這使得其他駭客可能得以從這樣的資料庫輕易找到想要攻擊的目標。</p> <p>另一個勒索軟體是新出現的HavanaCrypt，駭客假冒為Google更新元件的軟體散布，此勒索軟體經過反資安人員檢測的偵測機制，以及一連串的停用應用程式、防毒軟體，以排除可能會干擾勒索軟體執行的元素後，該勒索軟體竟罕見地濫用了密碼管理器KeePass Password Safe來加密檔案，這種特別的做法引起了研究人員注意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/06/alphv-ransomware-expands-its-arsenal-of-extortion-techniques/"><span style="color: rgb(0, 0, 0);">勒索軟體BlackCat打造受害者資料庫Alphv Collections</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Plain-text-Login-Credentials.png" style="width: 300px; float: right;" /></a>勒索軟體駭客挾持受害組織的檔案，要脅會賣給他人或對外公布的情況已是常態，但有駭客開始想要利用這些資料，對受害組織產生更大的壓力，例如，之前<a href="https://www.ithome.com.tw/news/151507#blackcat-haveibeenpwned">勒索軟體BlackCat就架設了類似Have I Been Pwned的個資外洩查詢網站</a>，企圖透過個資受到波及的員工或客戶，來向受害組織施壓，而最近該組織又有進一步的做法。</p> <p>資安團隊VX-Underground發現BlackCat架設名為Alphv Collections的外洩資料庫，內容是不願支付贖金組織的內部資料，目的是希望犯罪社群更能有機會充分運用這些竊得的資料。這些駭客宣稱，使用者不只能利用檔案名稱尋找想要的資料，也能找出Word、PDF檔內容的特定文字，甚至還能從JPG、PNG圖片檔案進行搜尋。</p> <p>資安業者Cyble指出，這套資料庫系統甚至支援萬用字元（如*）的搜尋功能，使得其他駭客也能運用這些資料進行攻擊行動，例如，找出遠端桌面連線（RDP）的存取資料，而能入侵特定類型的伺服器主機。研究人員指出，過往駭客取得大量外洩資料後，很可能需要抽絲剝繭才能撈出可用於攻擊的內容，而駭客組織BlackCat建置的Alphv Collections則讓攻擊者只需透過關鍵字搜尋，就有機會找到想要利用的資料，而不用浪費時間下載整個資料庫，這樣的情況很可能讓外洩資料的危害更加擴大，因此他們認為，企業應監控外洩資料的流向。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html"><span style="color: rgb(0, 0, 0);">勒索軟體HavanaCrypt濫用開源密碼管理器來加密檔案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_HavanaCrypt Ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_HavanaCrypt%20Ransomware.png" style="width: 300px; float: right;" /></a>勒索軟體的攻擊模式出現了新的變化，駭客濫用免費、開源的密碼管理器，來將檔案加密，而有可能讓攻擊過程不易察覺。</p> <p>趨勢科技揭露了勒索軟體HavanaCrypt的攻擊行動，駭客使用.NET打造此勒索軟體，並將其偽裝成Google軟體更新元件，來入侵受害電腦。HavanaCrypt在開始執行的過程中，會從機碼先檢查受害電腦是否存在GoogleUpdate服務，若是沒有相關服務才會繼續執行。接著，此勒索軟體會偵測受害電腦是否存在VMware Tools、vmmouse等虛擬機器（VM）元件，來確保是在真實電腦上執行。</p> <p>完成上述工作後，該勒索軟體將從微軟的網頁代管伺服器20[.]227[.]128[.]33上，下載BAT批次檔，竄改內建防毒Micorosoft Defender配置，並終止防毒軟體、Office軟體，以及SQL Server、MySQL等資料庫軟體的運作，刪除磁碟陰影備份（Volume Shadow Copy），並限縮此服務只能備份401 MB資料後，才開始執行加密檔案的行動。</p> <p>比較特別的是，此勒索軟體在加密檔案的過程裡，使用了開源的密碼管理器KeePass Password Safe作為加密元件，但為何駭客要濫用此密碼管理器？研究人員沒有進一步說明。基於此勒索軟體會將勒索訊息檔案一併加密，研究人員認為HavanaCrypt尚在開發階段，並呼籲組織應加強相關防護來因應勒索軟體威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-says-decision-to-unblock-office-macros-is-temporary/"><span style="color: rgb(0, 0, 0);">針對重新預設啟用Office巨集的配置，微軟表示只是暫時調整</span></a></strong></h3> <p>微軟於2月宣布，他們將逐步於Office軟體中自動停用從網際網路下載的VBA巨集，來防堵相關的網路攻擊，但在7月6日傳出有用戶發現，微軟在沒有公告的情況下，取消上述的配置，引發不少用戶反彈。</p> <p>針對此事，該公司後來於8日進行回應，他們是根據使用者的回饋，暫時取消封鎖VBA巨集的措施，同時該公司加入了額外的調整來改善可用性。微軟強調這是暫時的變動，未來還是會透過軟體更新，來全面停用自網際網路下載的VBA巨集，該公司預計在幾個星期內，公布進行相關變更的時程。</p> <p>資安新聞網站Bleeping Computer指出，有使用者聲稱在微軟進行上述變動後，找不到解除鎖定的按鈕而無法啟用巨集，也有管理者認為，微軟採取封鎖的做法會干擾使用者的作業流程，因為使用者必須對每個從網路上下載的Office檔案逐一解除鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://rollingpwn.github.io/rolling-pwn/"><span style="color: rgb(0, 0, 0);">研究人員揭露能遠端打開Honda汽車的Rolling-PWN漏洞</span></a></strong></h3> <p>在今年3月，有研究人員發現了能攻擊本田（Honda）汽車漏洞CVE-2022-27254，駭客可截取遙控器的訊號來解鎖車輛，但相關的漏洞可能比預期影響範圍還要來得廣泛。星輿實驗室（Star-V Lab）近日指出，他們在今年1月發現的資安漏洞Rolling-PWN（CVE-2021-46145），雖然當時認為本田使用了滾動式密碼（Rolling Code），而導致相關的漏洞攻擊效果有限，但他們進一步調查後發現，這項漏洞能讓攻擊者輕易破解遠端無鑰匙進入系統（Remote Keyless Entry，RKE），而使得此系統的滾動式密碼形容虛設，讓駭客能藉由中間人攻擊（MitM）來打開車門。</p> <p>研究人員利用此漏洞成功解鎖10種型號的本田汽車，當中還包含了2022年車款。Rolling-PWN與於本田防範使用者誤觸遙控器的功能Sliding Window有關，此功能在汽車一旦連續收到開鎖或解鎖的命令，會將計數器重新同步，使得舊的密碼仍能解鎖車輛。</p> <p>汽車雜誌The Drive記者Rob Stumpf也著手進行實驗，成功重現了Rolling-PWN漏洞。對此，本田汽車向新聞網站Motherboard表示，這項發現與今年3月的漏洞CVE-2022-27254類似，他們認為自家RKE不存在相關漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151873"><span style="color: rgb(0, 0, 0);">為鼓勵企業強化資安防禦，臺灣企業資安投資抵稅正式上路</span></a></strong></h3> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <p>經濟部與財政部在7月4日發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，新增資安投資抵稅3年優惠，並對資安產品與服務列出明確定義，經濟部表示，企業可至線上投資抵減申辦系統申請。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-lockbit-2.0-all-paths-lead-to-ransom"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit停用防毒和EDR，並透過檔案共享軟體外洩受害組織資料</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151881">【2022年7月11日】 PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索</a></p> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> </div></div></div>
2022/7/12 18:02作者周峻佑https://www.ithome.com.tw/news/151907
悠遊卡終於將提供跨境消費，年底前可望在日本沖繩使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>悠遊卡公司推動已久的跨境支付終於有新進展，日前金管會核准悠遊卡跨境消費服務，可望在年底前開放民眾在沖繩使用悠遊卡付款。</p> <p>悠遊卡公司原本是計畫配合東京奧運舉行提供悠遊卡跨境支付，但因東京奧運延後舉行，加上疫情加劇，遲遲未推出服務，直到現在才確定這項消息。在金管會許可下，該公司與琉球銀行合作，預期今年下半年，國人前往沖繩旅遊，就能使用悠遊卡在當地商家付款，且按即時匯率，以臺幣扣款。</p> <p>為了推出這項跨境消費服務，悠遊卡和琉球銀行合作，歷經研發、技術串接、測試，到雙方國家金融監管單位同意，才終於要推出悠遊卡跨境消費服務。</p> <p>儲遊卡公司表示，目前已與琉球銀行合作，在沖繩將有超過1千家商店可使用悠遊卡付款，商家數仍在增加中，由於琉球銀行在日本各地也有布點，因此未來不只是沖繩，也可望擴大到日本其他地區使用。</p> <p>使用方式上，付款方式如同在臺灣使用悠遊卡一樣，結帳時以悠遊卡在商家的卡機上嗶一聲就能完成付款，商家的收銀機顯示商品的日幣價格，以及用即時匯率換算的臺幣消費金額，以臺幣扣款，消費者不需攜帶日幣現金，因採用即時匯率換算臺灣消費金額，也省下匯兌風險。</p> <p>需注意的是，持卡人需年滿20歲，可在沖繩跨境消費的卡種，限定只有記名的悠遊卡，悠遊聯名卡、悠遊金融卡、悠遊Debit卡，沒有記名的一般悠遊卡則無法跨境消費。另外，因為在沖繩無法為悠遊卡加值，建議在國內先開啟悠遊卡的自動加值功能，或是綁定悠遊付為悠遊卡自動加值。</p> <p> </p> </div></div></div>
2022/7/12 17:59作者蘇文彬https://www.ithome.com.tw/news/151904
東華大學與遠傳聯手導入5G專網，以無人機空中巡視校園安全、測試自駕車接駁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠傳電信與東華大學合作，東華大學將建置5G專網，在校園內導入無人機巡航，以及校園監控影像串流，結合AI影像辨識，改善校園安全，並測試自駕車的C-V2X技術，在校園內接駁、巡檢。</p> <p>位於臺灣東部的東華大學，校地面積約250公頃，是國內第二大的校園，由於校園內佔地廣大，校方近來積極投入智慧校園建置，利用科技協助校園管理，例如師生在校園內移動，多使用個人交通載具，如汽車或機車在校內移動，為強化校園管理，學校導入車牌辨識，加強對校園內汽機車管理。</p> <p>由於校園佔地廣大，駐衛警在校內巡邏不易，強化校園內的安全管理，因此該校也和遠傳合作，在校內24個偏辟的處所設置AI緊急求救站，取代舊有的求救鈴，這些緊急求救站可以雙向語音通話，並可顯示影像，與校園監視系統整合，結合AI影像辨識，例如偵測鏡頭前的人揮手求救或跌倒臥倒一段時間，觸發警告。</p> <p>此次，遠傳電信與東華大學進一步合作，遠傳利用切片技術，為東華大學提供5G專網，下載速度與上傳分別達500Mbps與100Mbps，目前先以東華大學主校區為主，尚未擴大至美崙校區。</p> <p>遠傳表示，目前先以切片技術為學校提供專網服務，未來視容量擴充的需要，校園內加建5G基地臺、邊緣運算，以擴大5G專網。</p> <p>結合校區內的5G專網，東華大學導入無人機，除了無人機的定期巡航校園，當校園內道路發生車禍時，在校方人員尚未抵達時，先派遣無人機至現場，或是針對車牌登記異常的車輛(汽車或機車)，以無人機在空中追蹤，結合校內的監控影像，提升校園內安全。</p> <p>在5G的高速傳輸之下，即時回傳影像，如串流無人機與校內監控影像，搭配AI影像辨識與、告警，強化校內安全。</p> <p>此外，校園內測試自駕電動車，在宿舍、教學大樓、行政中心，固定路線行駛接駁。這項自駕車測試還搭配5G C-V2X，連接校內的路口號誌，對自駕車提供碰撞告警。</p> </div></div></div>
2022/7/12 16:41作者蘇文彬https://www.ithome.com.tw/news/151896
中國處罰騰訊及阿里巴巴未申報的歷史併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.samr.gov.cn/fldes/tzgg/xzcf/202207/t20220710_348523.html" target="_blank">中國市場監管總局的反壟斷部門周日（7/10）發布公告</a>，針對28起未依法申報的併購案祭出行政處罰，當中光是騰訊就占了12起，阿里巴巴占了5起，而且最早可追溯到2011年。</p> <p>監管總局指出，這次的案件都是過去應該申報而未申報的交易，隨著反壟斷常態化監管持續進展，這次是企業自行調查歷史交易，同時主動回報涉嫌未依法申報的行為，並積極配合調查。換句話說，這波公告的違法併購案都是由業者自請處罰。</p> <p>其中，騰訊透過子公司在2011年買下了中國購物平臺好樂網的20%股權，由於同時取得好樂網的共同控制權，被中國《反壟斷法》視為應申報案件，但騰訊並未申報而被裁罰50萬元人民幣（約222萬元新臺幣）。</p> <p>另一起與騰訊有關的併購案，是騰訊在2016年透過關係企業取得了金融科技公司聯易融的17.65%股權，由於騰訊因此亦獲得了聯易融的共同控制權，再度被視為違法，同樣被判罰50萬元人民幣。</p> <p>其它被處罰的騰訊收購案還包括奇秦科技、DeepBlue Alpha、有車以后、森億醫療、智能制造軟件、鑄夢文化、龍合田玉影視文化、自娛自樂文化、速波賽爾，以及北半球國際文化，罰款皆為50萬元人民幣。</p> <p>至於阿里巴巴集團則因百世集團、芭樂互動、上海第一財經傳媒、上海駐雲信息科技，以及優酷土豆等5起併購案未依法申報而受到處罰，其中，阿里投資是在2015年買下優酷土豆的全部股權，不過，未申報的罰款同樣是50萬元人民幣。</p> <p>在中國周日的裁罰出爐後，騰訊與阿里巴巴在周一（7/11）的股價都以下跌作收。</p> </div></div></div>
2022/7/12 15:15作者陳曉莉https://www.ithome.com.tw/news/151894
Windows Autopatch正式上線了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-autopatch-has-arrived/ba-p/3570119" target="_blank">微軟周一（7/11）宣布</a>，針對Windows Enterprise E3及Windows Enterprise E5客戶所提供的Windows Autopatch正式上線了，啟用此一服務之後，微軟將會代替這些客戶執行Windows 10、Windows 11、Microsoft Edge與Microsoft 365軟體的更新服務，而且預計很快就會支援Windows 365雲端PC的更新。</p> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Windows%20Autopatch.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>有別於微軟的其它客戶必須手動執行Patch Tuesday的安全更新，Windows Enterprise E3及Windows Enterprise E5客戶可以選擇啟用Windows Autopatch，該服務基本上就是由微軟替這些大型企業配置及部署安全更新，也會分階段部署，在遇到問題時會自動暫停更新，若更新後效能變差，也能自動回滾。</p> <p>微軟表示，Windows Autopatch將可簡化大型企業的更新作業，並替企業的IT專家創造新機會，雖然企業也可以繼續自行更新，但微軟認為Autopatch得以在複雜的硬體與軟體配置中偵測到潛在問題，代表能在造成影響之前解決問題，且預期未來該服務偵測問題的能力將愈來愈強大。</p> <p>Windows Autopatch為一免費服務，但似乎還需贏得客戶的信任，微軟並未透露自5月底開放公開預覽以來，有多少客戶採用了該服務。對Windows Autopatch有疑問的使用者可造訪<a href="https://docs.microsoft.com/zh-tw/windows/deployment/windows-autopatch/overview/windows-autopatch-faq" target="_blank">該服務的常見問答頁面</a>。</p> </div></div></div>
2022/7/12 15:23作者陳曉莉https://www.ithome.com.tw/news/151895
BNPL業者Klarna完成新一輪增資，市值只剩1/7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2005年成立於瑞典、近來<a href="https://www.prnewswire.com/news-releases/klarna-closes-major-financing-round-during-worst-stock-downturn-in-50-years-301583680.html" target="_blank">以「先買後付」（Buy Now Pay Later，BNPL）聞名的金融業者Klarna本周宣布</a>，已完成8億美元的增資活動，增資後的公司市值為67億美元。不過，Klarna去年6月增資時市值還有456億美元，現在則僅剩1/7。</p> <p>Klarna主要提供網路上的金融服務，包括近來火紅的BNPL，顧名思義，該服務允許消費者可以先行購買商品，之後再分期或一次償還，以滿足未使用信用卡的族群。除了<a href="https://www.ithome.com.tw/news/151316" target="_blank">蘋果也在今年6月發表BNPL</a>之外，臺灣電商平臺PChome在今年6月推出的「慢點付」功能亦屬於BNPL服務。</p> <p>Klarna指出，此次的增資發生在可能是二次世界大戰以來全球股市表現最差的時刻，再加上高通膨、升息，以及全球對經濟衰退的擔憂加劇，諷刺的是，現階段卻也是Klarna在全球最受歡迎，也最強勁的時刻。</p> <p>目前Klarna已進入全球逾20個市場，全球用戶數超過1.5億，多過於美國運通，平均每天被使用200萬次，應用程式下載量超過6,000萬。</p> <p>而新的資金主要用來擴大美國市場，目前Klarna在美國的用戶數已接近3,000萬，品牌知名度高達6成，有30%的美國商家採用Klarna。</p> </div></div></div>
2022/7/12 12:49作者陳曉莉https://www.ithome.com.tw/news/151890
Walmart發表更多AR智慧零售創新，不只推個人化體驗還更將整合OMO全通路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國零售巨頭Walmart智慧零售又有新做法，將推出更多個人化的零售AR創新，一款是讓消費者模擬自家擺設的AR工具，另一項是讓實體貨架在手機上秀出AR個人化資訊。甚至，Walmart又宣布收購光學AR技術公司Memomi，取得即時模擬穿搭的AR技術，將先用於眼鏡試戴體驗。</p> <p>Walmart早在2012年就已經涉入AR領域。配合特殊節慶或知名影視IP發布新作品，Walmart會推出主題AR商店濾鏡，以期達到增加停留時間跟引導動線的效果。走進Walmart線下店面的消費者，能透過手機看到特殊布景及人物，甚至可以進行互動，或解鎖特定小遊戲道具。這種做法技術門檻較為基礎，但一直沿用至今，顯示Walmart相當中意此做法。</p> <p>2018年，Walmart推出AR商品比較工具。消費者用手機鏡頭掃描貨架上商品標籤的條碼，畫面就會顯示出商品價格、顧客評價星數以及關聯產品。下次當手機指向同一款商品的位置，就會秀出消費者過去掃瞄這款商品的紀錄，方便消費者掃描多款感興趣商品後，來回將鏡頭指向這些商品，以快速比較價格與評價。這是Walmart第一項用於輔助線下購物的AR工具，讓消費者可以快速存取更多商品資訊。此工具開發團隊也曾在Walmart<a href="https://medium.com/walmartglobaltech/re-imagining-price-check-with-augmented-reality-41b8178a3e44">技術部落格分享開發過程</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm2018.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm2018.png" style="height: 400px;" /></a></p> <p>2019年，Walmart旗下倉儲式零售店Sam's Club執行長John Furner及Walmart電子商務執行長Marc Lore，不約而同在演講中提到，意圖發展更多AR用例。接下來3年間，Walmart也陸續推出新AR功能，應用情境更從線下零售，慢慢走到線上電商。</p> <p>Walmart為了增加員工補貨上架效率，2020年推出AR補貨輔助小工具。Walmart倉庫中的商品都用紙箱包裝，難以一眼辨識商品品項。以往員工尋找需補貨上架的品項時，需要逐個查看紙箱標籤，相當費時。利用此工具，補貨員工只要用手機鏡頭拍攝紙箱堆，就會在裝著需補貨品項的紙箱上，看到顯示視覺提示。使用此工具後，Walmart員工補貨作業時間降低為原本的三分之二。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walmartbuhuo.png" style="width: 600px;" /></a></p> <p>到了2021年，Walmart開始在線上商務用應用AR，例如結合Facebook表情追蹤AR技術，讓消費者在購物直播中，露出笑容就可以將商品加入購物車。2022年，Walmart也在Snapshot的「Snap Scan and Shop」AR購物功能中，推出食物掃描功能。消費者掃描食物後，會秀出10條相關食譜，再引導到Walmart網站購買食材。</p> <p>過去AR電商應用，大多是將外部AR技術串接到Walmart線上商店。但最近，Walmart開始推出自行開發的AR電商功能，主打個人化購物體驗的強化。一項是AR模擬擺設的工具。消費者能在Walmart App中選取家具或擺設品，並切換到手機鏡頭畫面，即時模擬該商品於所處空間中的樣子。模擬擺設時，還可以調整顏色、角度等設定，也能直接將所選品項加入購物車。</p> <p><a href="https://s4.itho.me/sites/default/files/images/walm1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/walm1.png" style="width: 600px;" /></a></p> <p>此功能除了展現出Walmart內部技術力足以自行開發AR電商功能，也是Walmart首項有客製化互動體驗的AR功能。Walmart過去的AR功能，消費者都是從大量資料中，挑選與特定資訊互動。例如從眾多商品中選擇欲下單品項，或是從海量商品資訊中選擇出比較商品。新推出的模擬擺設小工具，則是讓消費者挑選出中意商品後，自行嘗試擺設方法。</p> <p>另一項實體貨架的AR輔助資訊，消費者用手機掃描商場貨架或商品後，此工具能根據個別消費者資料，顯示專屬相關資訊。例如，可以顯示特定不含特定過敏成分的食材，或是適用消費者所持折價券的商品。2018年的以產品資訊為主的AR商品比價，更進一步能轉而顯示顧客的個人化資訊。目前還在開發階段，沒有明確推出時間。</p> <p>不只推出了線下或線上AR功能後，Walmart下一步要將AR用於OMO零售服務。Walmart要收購的Memomi公司，2019年就開始與Walmart合作，提供數位測量服務給Walmart及旗下零售店Sam's Club的眼鏡消費者。Walmart表示，收購Memomi之後，第一步就是利用Memomi的AR技術提供模擬眼鏡試戴服務，並強化Walmart全通路視力保健服務。</p> <p>Memomi的AR技術是「數位鏡」模擬穿戴功能，能在螢幕中即時模擬試穿、試戴及上妝，且能隨著鏡前消費者的動作，動態模擬不同角度和光影。Walmart去年已經收購模擬試穿技術商Zeekit，並在今年推出模擬試衣間功能，不過此功能是以圖像生成的形式，讓消費者幫虛擬分身換裝，不能更換姿勢或角度。收購Memomi，透露出Walmart相當重視模擬穿戴功能，並計畫用Memomi的AR技術，進一步強化模擬穿戴體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/memomimi.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/memomimi.png" style="width: 600px;" /></a></p> <p>Walmart數日內相繼公布的AR相關消息，揭示了該公司發展AR應用的路線是，從線下到線上再到全通路，且從單一體驗走向客製化。收購AR技術公司，也透露出Walmart有意加速開發更多AR應用。</p> <p>圖片來源：Walmart、Memomi</p> <p> </p> </div></div></div>
2022/7/12 13:17作者郭又華https://www.ithome.com.tw/news/151891
HavanaCrypt勒索軟體冒充Google軟體更新 App散布，還寄生在微軟代管服務上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意軟體經常冒充合法軟體加速擴散，<a href="https://www.trendmicro.com/en_us/research/22/g/brand-new-havanacrypt-ransomware-poses-as-google-software-update.html" target="_blank">安全廠商趨勢科技近日發現最新勒索軟體</a>，偽裝成Google軟體更新（Google Software Update）App散布（下圖），還大膽使用微軟的網頁代管IP掩人耳目，並以多種手法躲避安全產品偵測。</p> <p class="rtecenter"><img alt="" src="https://blog.trendmicro.com.tw/wp-content/uploads/2022/07/image-28.png" style="width: 327px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／趨勢科技</span></span></p> <p>HavanaCrypt是一個.NET應用程式，使用開源的.NET代碼混淆工具Obfuscar（<span style="color:#696969;">下圖</span>）保護其程式碼，並以名為QueueUserWorkItem的.NET System.Threading命名空間方法，將多個執行步驟佇列執行。分析顯示，它使用了頗高明的手法避免被偵測到。例如，它一經執行即隱藏其視窗、檢查AutoRun登錄檔有無「Google Update」登錄檔，若未找到就繼續執行。接下來，它會啟動反虛擬化流程，旨在確保可迴避VM中的動態分析。例如，它會檢查有無VMWare Tools或vmmouse，或是和VM有關的檔案、執行檔及MAC address。一旦偵測到系統是在VM中執行，就終止執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Obfuscar.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／ GitHub</span></span></p> <p>完成所有檢查後，HavanaCrypt從微軟網頁代管服務的IP位址下載一個批次（batch）檔。這個批次檔包含可設定Windows/Microsoft Defender掃瞄指令，使其略過Windows和User目錄下的任何檔案。它還會關閉數十種行程，包括MS SQL Server、MySQL，以及Microsoft Office和Steam、Firefox等桌機應用程式。</p> <p>關閉所有行程後，HavanaCrypt會查詢所有磁碟、刪除所有磁碟區陰影複製（shadow copies）、將最大儲存空間調到401MB，再以Windows Management Instrumentation（WMI）辨識出系統復原執行個體，再將之刪除。它還會自我複製執行檔到ProgramData和StartUp資料夾中，並設為隱藏檔或系統檔案。</p> <p>等完成前述準備動作後，HavanaCrypt得以蒐集機器多項資訊，包括處理器核心數、處理器名稱ID、socket、主機板廠商及名稱、BIOS版本及產品號碼等。</p> <p>在加密檔案時，這隻惡意軟體利用KeePass Password Safe（下圖）產生加密金鑰。被加密的檔案名稱都會加入.Navana的副檔名。它會避免加密某些副檔名，或是在特定目錄下的檔案，像是Tor瀏覽器，顯示惡意程式作者計畫使用Tor網路和受害者通訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-KeePass%20Password%20Safe.png" style="width: 500px;" /></p> <p>研究人員表示，把自己的C&C伺服器架在微軟的網頁代管服務IP位址上，而且使用合法的加密工具KeePass來加密受害者檔案，都是勒索軟體較少見的行為。研究人員尚未發現勒索訊息檔案，顯示它尚未開發完成。</p> </div></div></div>
2022/7/12 13:32作者林妍溱https://www.ithome.com.tw/news/151892
Meta開源奠基於全球網路內容的AI知識語料庫Sphere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/introducing-sphere-meta-ais-web-scale-corpus-for-better-knowledge-intensive-nlp/" target="_blank">Meta的AI團隊本周開源了</a>一個爬梳全球網路內容的AI知識語料庫Sphere，號稱是全球最大的同類型語料庫，並利用Sphere打造了一個Side模型，可用來改善維基百科（Wikipedia）所引用的資訊的關聯性與正確性。</p> <p class="rtecenter"><img alt="" src="https://github.com/facebookresearch/Sphere/raw/main/sphere_logo.png" style="width: 350px;" /></p> <p>語料庫（Corpus）為知識密集型自然語言處理（Knowledge-Intensive Natural Language Processing，KI-NLP）的基礎，KI-NLP模型爬梳數位檔案來尋求問題的解答或進行事實查核，因此，語料庫的規模愈大，所能解答的問題也愈多。</p> <p>在現階段的KI-NLP研究領域中，研究人員多半是透過商業搜尋引擎或是Wikipedia來尋找答案，但Meta的研究人員認為，商業搜尋引擎就像是個黑盒子，人們可能不知道自己遺失了哪些重要訊息，而就算Wikipedia相對精確、有良好的格式，而且因為規模小而方便使用，但它畢竟是個眾包平臺，並未容納網路上的所有內容。</p> <p>而Sphere即是一個奠基在全球開放網路內容的語料庫，它是開源的、通用的、未經組織的、非結構化的知識來源，因此可支援各種KI-NLP任務。它內含1.34億個文件，具備9.06億個段落，每個段落都含有100個標記，比現今最大的知識語料庫多了一個數量級。</p> <p>Sphere的建置源自於Meta AI所開發的CCNet，CCNet為Common Crawl的變種，把每月固定爬梳全球網路的Common Crawl檔案去蕪存菁而來。</p> <p>Meta的AI研究人員指出，Sphere與搜尋引擎最大的不同在於它開放研究人員存取完整的語料庫，研究人員不僅能夠檢視並控制語料庫，也能展開不同的實驗來推動檢索技術的發展，另一方面，開源社群也將協助Meta辨識Sphere的檢索盲點。</p> <p>研究人員將可利用Sphere來訓練檢索器，以處理更廣泛的文件，或者是建置自動化系統來檢查不實資訊、噪音或不連貫的文字。</p> <p><a href="https://tech.fb.com/artificial-intelligence/2022/07/how-ai-could-help-make-wikipedia-entries-more-accurate/" target="_blank">Meta AI已利用Sphere打造了一個Side模型</a>，可用來協助強化維基百科的引用資訊，因為維基百科的編輯可能無法仔細檢查每一個引用的資訊，或是志願者在撰寫時無意中流露出的偏見。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-Improving%20Wikipedia%20Verifiability%20with%20AI%20by%20%20Meta%20Sphere.png" style="width: 600px;" /></p> <p><a href="https://openreview.net/pdf?id=qfTqRtkDbWZ" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></a></p> <p>目前Sphere仍是個研究中的產品，尚未實際應用於Meta自家的平臺上，也未與維基百科合作，只是以Side模型作為示範案例。</p> </div></div></div>
2022/7/12 13:47作者陳曉莉https://www.ithome.com.tw/news/151893
微軟仍決定預設封鎖Office中的VBA巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周微軟撤除預設封鎖Office 365的VBA巨集的決定，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">不過微軟周末又再提醒</a>，這個變更只是暫時的，微軟仍然會使其成為預設。</p> <p>按微軟的規畫，原本6月就將在Office中部署預設封鎖VBA巨集，同時也已著手準備。但<a href="https://www.ithome.com.tw/news/151843" target="_blank">上周三（7/6）</a>突然宣布從目前通道（Current Channel）撤回這項作業。微軟當時說過些時日會再將新的更新釋出到目前通道。</p> <p>正當一些用戶感到鬆一口氣，時隔兩天微軟又在7月8日更新中提供澄清，說明公司是在接獲用戶回饋意見後，暫時撤回這項變更，主要是為了做些調整，改進可使用性。微軟強調，這變更只是暫時性的，他們「全心致力於」讓它成為所有用戶的預設。</p> <p>微軟並未說明要做什麼調整。微軟原本的規畫是在檔案屬性中，加入關於巨集的勾選欄位。預設封鎖下，要使用巨集的使用者必須主動取消勾選，微軟可能是要讓受信賴的文件更容易啟用巨集。</p> <p>稍早在測試通道部署時，用戶抱怨預設封鎖讓文件使用變得很麻煩。若Office文件帶有巨集，Office應用程式會直接顯示有安全風險的橫幅警告而不給開啟，而非提供可啟用巨集的溫和安全警告。</p> <p>用戶抱怨取消勾選的地方很難找。根據現有設計，這要循以下路徑完成：「控制臺」＞「網際網路選項」＞「變更安全設定」。這還未考慮到一些IT管理員要管理數十或數百臺電腦的情形。其他人則抱怨變更VBA巨集會導致數位簽章失效，必須重新簽發。</p> <p>微軟還是沒說明明確的正式部署時程。在此之前，微軟提醒，用戶仍然可以透過「群組政策」設定來封鎖巨集。</p> </div></div></div>
2022/7/12 09:40作者林妍溱https://www.ithome.com.tw/news/151889
【資安日報】2022年7月11日，PyPI要求最熱門套件的開發者使用雙因素驗證、勒索軟體0mega鎖定企業進行雙重勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前許多鎖定程式開發人員的套件庫攻擊行動，大多是針對NPM而來，但最近2至3個月，有越來越多攻擊事件是針對另一個套件庫PyPI下手。這樣的情況，也使得PyPI做出回應，他們要求維護最熱門套件的所有者，必須使用雙因素驗證來存取帳號，或是管理、上架PyPI套件。</p> <p>又有新的勒索軟體出現，而可能對企業帶來嚴重威脅的情況！資安新聞網站揭露名為0mega的勒索軟體，這些駭客同樣先備份要加密的資料，對受害企業進行雙重勒索，但不同的是，駭客為了迫使受害企業願意付錢，他們揚言若不乖乖配合，就向合作夥伴、產業協會告狀。</p> <p>NFT遊戲Axie Infinity的區塊鏈網路Ronin Network於今年3月下旬遭駭，駭客轉走約6.25億美元加密貨幣，但駭客如何入侵此區塊鏈網路？有知情人士向新聞網站透露，駭客很可能是藉由徵才的名義發動網路釣魚攻擊，而能夠突破重重關卡來挾持區塊鏈。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-0mega-ransomware-targets-businesses-in-double-extortion-attacks/"><span style="color: rgb(0, 0, 0);">勒索軟體0mega要脅對合作夥伴告狀，向受害企業進行雙重勒索</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0mega-tor-negotiation-site.jpg" style="width: 300px; float: right;" /></a>新的勒索軟體最近幾個月不斷有研究人員揭露相關發現，而相當引人注目。根據資安新聞網站Bleeping Computer的報導，名為0mega的勒索軟體於今年5月出現，鎖定全球的組織下手，並向受害組織進行雙重勒索，索討數百萬美元的贖金，該新聞網站的研究人員看到的勒索訊息內容發現，駭客疑似對每個受害組織竊取不同類型的資料，有些事故駭客揚言會向合作夥伴與貿易協會告狀，破壞受害組織的商譽，企圖索討贖金。</p> <p>研究人員看到駭客公布其中一個疑似不願支付贖金的受害組織，該組織主要經營電子產品的維修與翻新，並表示他們竊得了152 GB資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game"><span style="color: rgb(0, 0, 0);">駭客藉由網路釣魚，入侵NFT遊戲Axie Infinity所屬的區塊鏈金流</span></a></strong></h3> <p>NFT遊戲Axie Infinity的<a href="https://www.ithome.com.tw/news/150181">區塊鏈網路Ronin Network於今年3月下旬遭駭</a>，被盜走約6.25億美元加密貨幣，美國後來指控是北韓駭客Lazarus所為，而這起事故的調查似乎有了新的進展。根據區塊鏈新聞網站The Block於7月6日的報導，2名知情人士向他們透露，駭客入侵Ronin Network的管道，就是透過人脈網站LinkedIn下手，駭客鎖定1名Sky Mavis資深工程師，聲稱提供更好的薪資條件向他招手，使得這名工程師被騙，但這家提供職缺的公司，實際上根本不存在。</p> <p>消息人士指出，該名工程師還經過多次面試，以為得到一份報酬極為優渥的工作，並下載了名為「職缺（Offer）」的PDF檔案，使得駭客得以藉由Sky Mavis的IT基礎設施，在Ronin Network裡植入間諜程式，並控制驗證伺服器以取得所需的存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonatype.com/pypi-packages-steal-telegram-cache-files-add-windows-remote-desktop-accounts"><span style="color: rgb(0, 0, 0);">惡意PyPI套件鎖定Windows電腦用戶，攻擊Telegram軟體</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/atomicwrites-republished.jpg" style="width: 300px; float: right;" /></a>駭客使用PyPI惡意套件發動攻擊的情況又有新的攻擊事件，這次是針對Windows電腦的Telegram用戶而來。資安業者Sonatype發現flask-requests-complex、php-requests-complex、tkinter-message-box等惡意套件，flask-requests-complex與php-requests-complex內含的程式碼，會在攻擊過程建立使用者帳號，而能夠讓攻擊者透過遠端桌面連線（RDP）任意存取受害電腦；而第3個惡意套件的行為，引發研究人員注意，因為此套件專門鎖定Telegram電腦版程式的tdata使用者設定資料夾，一旦用戶安裝該套件，Telegram的帳號資料就有可能遭到外洩。PyPI接獲通報後，已移除上述套件。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef"><span style="color: rgb(0, 0, 0);">雲端IDE程式編輯器Datacamp恐遭到駭客濫用</span></a></strong></h3> <p>雲端的整合開發環境（IDE）可讓程式開發人員更容易進行協同作業，但這樣的工具也有可能讓攻擊者降低攻擊門檻，只需網頁瀏覽器就能發動攻擊。資安業者Profero揭露濫用雲端IDE系統DataCamp的攻擊行動，駭客疑似運用進階版Python的IDE模組，部署第三方模組來連線到AWS S3儲存桶，並將儲存桶內的資料藉由DataCamp流出。</p> <p>研究人員也嘗試在該平臺導入Nmap網路拓撲工具，結果發現，他們雖然不能直接部署該軟體，但可直接透過編譯程式碼的方式產生。研究人員認為，這種濫用DataCamp的攻擊行動很可能不會被發現，因為沒有明確的來源顯示其IP位址的範圍，而難以追溯來源，且類似的雲端IDE系統有可能成為駭客加以濫用的對象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/cisco-and-fortinet-release-security.html"><span style="color: rgb(0, 0, 0);">思科、Fortinet修補旗下產品漏洞</span></a></strong></h3> <p>思科與Fortinet近日修補旗下產品的重大漏洞，並呼籲用戶要儘速修補。思科於7月6日發布資安公告，總共修補了10個漏洞，其中最危險的是CVE-2022-20812與CVE-2022-20813，CVSS評分各為9.0與7.4，影響該公司的Expressway系列軟體，以及TelePresence視訊會議系統等兩套產品，一旦漏洞遭到利用，就有可能讓駭客覆寫任意檔案，或是製造空位元中毒攻擊。</p> <p>Fortinet也於7月5日修補4個高嚴重性漏洞，這些漏洞為CVE-2021-43072、CVE-2021-41031、CVE-2022-30302、CVE-2022-26117，CVSS評分為7.4至8.0分，影響FortiAnalyzer、FortiClient、FortiDeceptor，以及FortiNAC，一旦遭利用，攻擊者有可能在通過身分驗證的情況下執行任意程式碼，或是存取MySQL資料庫，以及從本地使用者提升為SYSTEM的權限。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://pypi.org/security-key-giveaway/"><span style="color: rgb(0, 0, 0);">PyPI要求最熱門套件的開發者使用雙因素驗證，但有人打算鑽漏洞</span></a></strong></h3> <p>鎖定PyPI套件庫的攻擊事故，近期陸續出現數起，使得PyPI打算強制部分用戶採用雙因素驗證（2FA），而引起少部分開發人員反彈。PyPI於7月8日發布資安通告指出，他們即將在數個月內，陸續要求維護最為熱門的套件開發者，使用雙因素驗證，估計至少有3,500個套件的維護者、所有者，將必須通過進階身分驗證流程，才能執行套件的各式管理工作。</p> <p>PyPI將這些最熱門的套件稱為「關鍵（Critical）」套件，指的是在最近6個月內，下載次數在前1%的PyPI套件，一旦被登錄，該套件將會永久具備這項屬性。維護上述關鍵套件的經營者，將有機會免費取得2個由Google贊助的實體Token裝置Titan。</p> <p>此舉多數開發者表達支持立場，但也有人不願買單──例如，開發atomicwrites套件的Markus Unterwaditzer收到PyPI通知後，決定將這款每月下載超過6千次的套件下架，並重新以新的名稱上傳到套件庫，來迴避必須採用雙因素驗證的措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ncsc.gov.uk/blog-post/preparing-the-long-haul-the-cyber-threat-from-russia"><span style="color: rgb(0, 0, 0);">來自俄羅斯的網路威脅導致資安人員工作更加吃重，英國呼籲企業重新檢視相關員工的工作量</span></a></strong></h3> <p>在烏克蘭戰爭中，相關的網路攻擊行動已經擴及歐洲其他國家，而使得資安人員工作量急劇增加，有可能難以持續工作，最後選擇離職，使得企業將面臨資安人力更加吃緊的現象。英國國家網路安全中心（NCSC）近日提出警告，他們先前呼籲企業要嚴加防範俄羅斯開戰後的網路攻擊行動，但隨著烏克蘭戰爭已經僵持數個月，企業應留意資安團隊可能因為長期處於高壓的狀態，而使得所屬團隊的員工已經不堪負荷，呼籲要調整因應網路威脅的做法，例如：</p> <p>●建立依據風險層級為依據的決策模式，來設立有效率且能長期運作的防禦制度</p> <p>●賦與第一線人員依據優先程度決策的權利</p> <p>●確保工作負載能平均分配個人與團隊，並讓第一線人員能獲得充分休息</p> <p>●提供管理者及團隊相關資源來察覺需要協助的員工</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/free-decryptor-released-for-astralocker-yashma-ransomware-victims/"><span style="color: rgb(0, 0, 0);">資安業者提供勒索軟體AstraLocker、Babuk、Yashma的解密軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/callback-malware-campaigns-impersonate-crowdstrike-and-other-cybersecurity-companies/"><span style="color: rgb(0, 0, 0);">駭客假冒CrowdStrike等資安業者，企圖在受害組織植入木馬程式</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151858">【2022年7月8日】駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的AWS S3儲存桶不設防</a></p> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> </div></div></div>
2022/7/11 17:21作者周峻佑https://www.ithome.com.tw/news/151881
新版Chrome正在調整CPU使用率以延長電池壽命
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutchromebooks.com/news/chrome-os-105-feature-boost-chromebook-battery-life/" target="_blank">科技部落格《About Chromebooks》近日披露</a>，Google於正在測試中的Chrome OS新增了「快速密集計時器節流」（Quick Intensive Timer Throttling）功能，可望降低Chrome OS對CPU的使用率，並延長電池壽命。而此一功能同樣也適用Chrome瀏覽器。</p> <p>其實Chrome團隊從2020年的Chrome 86，就開始測試「密集喚醒節流」（Intensive Wake Up Throttling）功能。當時是因為Google發現許多網頁都會於背景執行Javascript Timer（JS Timer），而且這些JS Timer每秒就會喚醒分頁一次，雖然所使用的CPU資源不到1%，但其頻繁度再加上眾多的分頁，即可能大量耗損CPU資源並降低電池續航力。</p> <p>於是Chrome團隊設計了Intensive Wake Up Throttling機制，只要分頁進入背景5分鐘之後，便限制JS Timer每分鐘只能喚醒分頁一次。當時的實驗顯示，此一機制可減少5倍的CPU使用率，並讓電池壽命延長1.25個小時，之後Intensive Wake Up Throttling即成為Chrome 88的預設功能。</p> <p>這次該團隊則是<a href="https://docs.google.com/document/d/1WFyfKUUxqM7uKxKOGhLiOjyY6T7QRduVcuHN0f6vJkk/edit#heading=h.wedbmu3vsfi9" target="_blank">自Chrome 103開始測試更進階的Quick Intensive Timer Throttling功能</a>，它同樣是基於Intensive Wake Up Throttling的概念，也是限制JS Timer每分鐘只能喚醒分頁一次，但把進入背景的5分鐘緩衝時間縮短為10秒。換句話說，只要網頁進入背景10秒鐘之後，其JS Timer執行頻率就會從每秒一次切換至1分鐘1次。</p> <p><a href="https://chromestatus.com/feature/5580139453743104" target="_blank">根據Chrome團隊的測試</a>，Quick Intensive Timer Throttling將能減少10%的CPU使用時間，進一步改善電池壽命。</p> <p>Quick Intensive Timer Throttling於Chrome 103中只是個實驗功能，到了Chrome 104即成為測試版功能，《About Chromebooks》持續在Chrome 105中發現它，意謂著它很有機會成為正式功能。</p> </div></div></div>
2022/7/11 16:26作者陳曉莉https://www.ithome.com.tw/news/151879
漫畫閱讀程式Mangatoon外洩2,300萬用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://haveibeenpwned.com/" target="_blank">外洩資料查詢平臺Have I Been Pwned（HIBP）本周新增了一筆外洩資料庫</a>，該資料庫隸屬於漫畫平臺Mangatoon（漫畫堂），內含2,300萬名Mangatoon用戶資料，不過，不僅Mangatoon官網上沒有任何說明，HIBP的創辦人Troy Hunt也聯繫不到該公司。</p> <p><a href="https://www.crunchbase.com/organization/mangatoon" target="_blank">根據Crunchbase的資料</a>，Mangatoon雖然是在香港註冊的公司，但總部位於上海，標榜每天都會更新免費漫畫，並釋出了支援Android與iOS的同名漫畫閱讀程式。</p> <p><a href="https://twitter.com/haveibeenpwned/status/1544793820076048384" target="_blank">HIBP指出</a>，此一資料庫外洩於今年5月，內含2,300萬名的Mangatoon註冊用戶，包括他們的姓名、電子郵件帳號、性別、社交媒體帳號、自社交媒體登入的授權令牌，以及基於MD5的加鹽雜湊密碼。</p> <p><a href="https://twitter.com/troyhunt/status/1544091508206252032" target="_blank">至於Hunt則說</a>，他不管是透過Twitter或電子郵件都無法聯繫上Mangatoon，且除了他之外，也有其他人試圖聯繫Mangatoon，卻都沒有得到回音。</p> </div></div></div>
2022/7/11 16:50作者陳曉莉https://www.ithome.com.tw/news/151880
專門銷售山寨版思科設備的美國男子被逮捕了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/ceo-dozens-companies-and-entities-charged-scheme-traffic-estimated-1-billion-fraudulent-and" target="_blank">美國警方在6月29日逮捕</a>了專門銷售山寨版思科設備的Onur Aksoy，現年38歲的Aksoy自2014年至2022年間，持續自中國及香港進口價值10億美元的山寨版思科設備，並透過Amazon與eBay銷售，不法所得超過1億美元，因而被控告串謀銷售冒牌商品，以及郵件與電信詐欺等罪名。</p> <p>根據美國司法部的調查，Aksoy至少在美國成立了19家公司，於Amazon建立了15家商店，也在eBay設立10家商店，並使用不同的化名進口與經營不法業務。</p> <p>Aksoy引進了中國業者所打造的山寨版思科設備，這些設備通常是二手或是已停產的思科產品，由中國的製造商將它們偽裝成思科的最新產品，包括嵌入盜版的思科軟體或品質較差的元件，還仿冒思科的標籤、貼紙、盒子、文件或包裝，以把它們當成最新、來自思科原廠的產品出貨。</p> <p>不知情的受害者購買了這些產品之後，才發現它們的效能、功能或安全上有問題，並經常發生故障，受害者涵蓋醫院、學校、政府組織，甚至是軍方，此外，Aksoy不僅在美國銷售，也將這些山寨思科設備出售至海外。</p> <p>在Aksoy經營不法業務的期間，就算美國海關曾查獲並扣押180批的山寨版思科設備，但Aksoy卻以假名來回應海關，且思科也曾7次要求他停止銷售非法產品，但Aksoy亦不為所動。</p> <p>這使得美國警方於去年展開行動，先是在去年7月突襲Aksoy的倉庫並扣押了價值700萬美元的仿冒品，也在今年6月將Aksoy逮捕。</p> <p><a href="https://www.ithome.com.tw/news/138867" target="_blank">資安業者F-Secure曾在2020年拿到</a>幾臺一家IT公司不小心買到的山寨版思科交換器，並與正版進行比較，發現它們就算包裝與外觀都非常相似，但金玉其外，敗絮其中，特別是山寨版採用了含有漏洞的元件，還繞過了思科的安全性檢查，至於該IT公司則是因進行軟體更新後，發現有些交換器就故障了，才察覺買到了假貨。</p> </div></div></div>
2022/7/11 15:07作者陳曉莉https://www.ithome.com.tw/news/151878
Google傳出準備拆分廣告業務以避免反托拉斯訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/google-offers-concessions-to-fend-off-u-s-antitrust-lawsuit-11657296591?mod=djemalertNEWS" target="_blank">《華爾街日報》（The Wall Street Journal）上周引述消息來源報導</a>，Google準備拆分廣告業務來避免可能遭到美國司法部所提出的反托拉斯訴訟。</p> <p>根據報導，Google提議把廣告競標及廣告出版拆分為不同的公司，並納入母公司Alphabet的麾下。不過，<a href="https://www.cnbc.com/2022/07/08/google-offered-to-spin-off-ad-business-to-ward-off-a-new-suit-wsj.html" target="_blank">不管是《華爾街日報》或《CNBC》都懷疑</a>Google的提議是否能滿足美國司法部的期望。</p> <p>因為美國司法部曾經暗示它們希望Google的廣告業務可有結構性的改變，而不僅是變更商業策略，美國司法部的反托拉斯負責人 Jonathan Kanter曾說，倘若Google違法，司法部將不會讓步。</p> <p>美國司法部早在2020年就開始調查Google的廣告業務是否違反反托拉斯法令，報導則指出，司法部最快會在今年夏天提出訴訟。Google向媒體透露，該公司一直與監管機關合作以解決它們的擔憂，但並沒有出售或退出廣告業務的打算。</p> <p>Google最受批評之處在於陳列式廣告的出版商及廣告主都是透過仲介在電子交易平臺上競標，但Google不僅是出版商、也是廣告主，還提供了全球最大的電子交易平臺，等於跟該領域的所有玩家都是競爭者，被形容為身兼投手、打擊手與裁判。</p> <p>廣告業務為Alphabet最大的營收及獲利來源，在Alphabet今年第一季所創下的680億美元的營收中，就有接近547億美元來自廣告，占Alphabet總營收的8成。</p> </div></div></div>
2022/7/11 13:06作者陳曉莉https://www.ithome.com.tw/news/151876
Amazon EC2 M1 Mac執行個體服務正式上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過半年的預覽測試，<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-m1-mac-instances/" target="_blank">AWS上周宣布</a>EC2 M1 Mac的執行個體服務正式上市（general availability，GA）。</p> <p><a href="https://www.ithome.com.tw/news/148175" target="_blank">AWS是在去年12月Re: Invent大會上公布EC2 M1 Mac執行個體</a>。</p> <p>Amazon EC2 M1 Mac執行個體是一臺以Mac mini電腦為基礎的機器，透過Thunderbolt介面連接AWS Nitro System，後者是一臺整合輕量hypervisor的專用硬體。EC2 M1 Mac執行個體讓Mac mini的行為和其他Amazon EC2執行個體一樣，也能整合Amazon VPC（virtual private cloud）、從Amazon Elastic Block Store （EBS）磁碟開機，使用EBS快照、Amazon Machine Images（AMI）、安全群組或其他AWS服務，如Amazon CloudWatch或AWS Systems Manager。</p> <p class="rtecenter"><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2022/05/29/2022-05-27_18-12-30-1024x818.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p>EC2 M1 Mac執行個體讓開發人員得以使用搭載Apple M1 SoC的機器。Mac開發人員若想將App改寫以原生支援Apple Silicon-based Mac電腦，或為iPhone、iPad、Mac、Apple Watch及Apple TV開發App，都可以先在EC2 M1 Mac上開發並測試。AWS宣稱，比起X86-based EC2 Mac執行個體，EC2 M1 Mac執行個體在開發iOS及Mac App的性價比要高出多達60%。</p> <p>AWS首席開發傳教士Sébastien Stormacq也以EC2 M1 Mac執行個體測試一項開發專案為例，從開發、歸檔和執行單元測試，完整任務平均耗費49秒，比前一代EC2 Mac執行個體快47.8%。</p> <p>正式版EC2 M1 Mac比起去年12月公測時多加了一些功能，包括管理和監測用功能，例如Systems Manager和CloudWatch現在都預建在所有macOS AMI中，還有AWS CLI和AWS SDK等工具。EC2 M1 Mac執行個體也可整合其他AWS服務，如Elastic File System檔案儲存、AWS Auto Scaling和儲存金鑰的AWS Secrets Manager。</p> <p>他舉例一項使用情境。開發人員把iOS App發布到App Store前，可以將簽發binary用的金鑰和憑證儲存在Secrets Manager中。他可以先從macOS Keychain匯出憑證，上傳到Secretes Managers。等EC2 M1 Mac上建立執行個體時就可以下載憑證，再儲存於EC2 M1 Mac的keychain中。</p> </div></div></div>
2022/7/11 11:39作者林妍溱https://www.ithome.com.tw/news/151872
臺灣企業資安投資抵稅正式上路，最新投資抵減辦法7月公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了幫助產業的進步，政府持續祭出租稅優惠，從早期獎勵投資條例、促進產業升級條例，到現行的產業創新條例，期望帶動相關投資。最近幾年，政府不只是鼓勵產業朝智慧機械製造、5G行動通訊的發展，提供投資抵減的短期租稅優惠措施，更值得關注的是，今年這項措施首度擴及資安投資，讓公司購置資安產品或服務，也將可享投資抵減的短期優惠。</p> <h3><strong>最新投資抵減辦法正式發布，納入資安投資項目</strong></h3> <p>因應資安威脅日益嚴峻的態勢，近年政府持續推動資安即國安、祭出許多政策與規範，例如，資通安全法的推動與落實，近年也對上市櫃公司要求需在年報列出資安作為，並推動新興資安產業發展與資安人才培育，針對諸多層面來進行監管與培力。</p> <p>而在促進資安投資的面向上，政府也陸續推動相關計畫，例如，2019年針對政府機關單位的施政專案，已明定不同規模計畫資安預算需有一定占比，對於產業應用，也推出智慧製造資安強化推動主題式補助計畫等。</p> <p>為了加速廣泛民間產業投資資安防護，提升臺灣整體產業在全球供應鏈的信賴程度，今年1月27日，立法院三讀通過產業創新條例第10條之1修正案，經濟部在2月8日正式發布新修正版，當中最大亮點，就是增加資通安全產品或服務的投資抵減。</p> <p>到了7月4日，新版抵減辦法正式出爐。經濟部與財政部發布「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」，除了產業創新條例子法名稱更新，更是讓資安抵稅邁入新的里程碑。</p> <p>在這項投資抵減辦法中，不僅延續2019年的政策，持續給予智慧製造與5G的投資抵減，延長3年，全新納入的推動重點，在於增訂資通安全產品或服務的投資抵減：政府希望藉由3年企業資安租稅獎勵，在短期內可帶動國家整體資安防護能力提升。同時，為了稅捐稽徵作業實務，以及考量設備或技術交貨後才產生投資效益，今年這項抵減辦法的適用認定年度，也從發票年度改採為交貨年度。</p> <p>對於企業而言，應該最關注的部分是這項資安投資抵減的適用範圍。</p> <p>從條文來看，此項辦法對「資安產品或服務」已列出明確定義，聚焦於終端與行動裝置防護、網路安全維護或資料與雲端安全維護，包含硬體、軟體、技術或技術服務，並以美國NIST網路安全框架（CSF）的5大構面，也就是基於辨識、保護、偵測、回應、復原來認定。</p> <p>符合上述需求的產品與服務類型有哪些？以識別而言，包含資通安全治理及風險評估、資產管理；以保護而言，包含端點裝置防護、網路安全防護、資料加密與保護，以及應用服務保護；以偵測而言，包含端點及網路偵測與回應、使用者行為分析，以及網路威脅情資運用；以回應而言，主要是對偵測到之資通安全事件，規劃並實施適當的行動，而且是「包括但不限於」資通安全事件之後的數位證據保存、數位鑑識、數位資產監控追蹤；以復原而言，包含異地備援，以及資料備份。</p> <p>但此項法令明確指出一種狀況，需要特別注意。若是安裝在個人電腦的防毒軟體或防火牆，將不可適用稅賦抵免，因為這並不符合促進產業投資與創新的目的。</p> <h3><strong>申報門檻100萬元起，為期三年，明年即可至線上申辦系統申報</strong></h3> <p>事實上，為了促進企業增加資安投入，多年前政府與產業間已有相關討論，例如，在2016年就有產業代表向政府建言，提出要驅動企業增加資安投入預算，可從資安投資抵減的方式，來誘使企業提高花錢做資安的意願。</p> <p>不過，在2019年增訂產業創新條例第10條之1時，經濟部主要聚焦智慧升級轉型與多元創新應用，在同年10月24日，公布其子法──「公司或有限合夥事業投資智慧機械或第五代行動通訊系統抵減辦法」，讓業者購置相關設備達百萬者，可享投資抵減，為期3到4年。</p> <p>現在2022年，隨著產業創新條例與子法的修正，不只延長智慧機械、5G系統投資，更是首度將資安投資也納入。對此，工業局產業政策組組長曹素維表示，將資安投資納入抵減，是從2021年就開始討論，今年正式公布施行。</p> <p>將從2022年元旦算起，企業在這三年購置資通安全產品或服務相關，不論是全新的硬體、軟體、技術或技術服務，都可申報投資抵稅。</p> <p>以申報門檻而言，當年度投資智慧機械、5G及資安支出金額合計達100萬元至10億元者，將可進行抵減，也就是說，這三類支出將會一併計算。</p> <p>而企業在明年申報時，一開始申報填寫基本資料時，就要選擇抵減率方式，分為兩種：一種是以支出金額5%，抵減當年度應納營利事業所得稅額，一種是以支出金額3%，抵減自當年度起三年內應繳營利事業所得稅額。並以不超過申請人當年度應納營利事業所得稅額三成為限。</p> <p>至於申請流程該如何進行？企業可以透過線上投資抵減申辦系統網站申請（<a href="https://www.idbtax.org.tw">https://www.idbtax.org.tw</a>），當中有填寫範本、常見問題回答等資源可供參考，同時，企業也要注意支出項目應一併檢附付款證明，方便稽徵機關查核實際支出金額，而在相關規範中，也特別要求自行製造或委由他人製造者需檢附文件。</p> <p>經濟部也表示，由於7月4日修正子法才公布，因此目前這個網站還沒有將資安投資的部分完全更新，後續將會進行調整，明年元旦企業開始要進行申報時，就可以由此下載新版附件清單檢核表，以及參考新版範本，已進行線上申報作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A81%EF%BC%89%E4%BC%81%E6%A5%AD%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E6%B8%9B%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E6%99%BA%E6%85%A7%E6%A9%9F%E6%A2%B0%E8%88%875G%20%E7%B3%BB%E7%B5%B1%E5%8F%8A%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%94%A2%E5%93%81%E6%88%96%E6%9C%8D%E5%8B%99%E6%8A%95%E8%B3%87%E6%8A%B5_iThome%E6%95%B4%E7%90%86.jpg" style="width: 530px;" /></p> <table border="0" cellpadding="0" cellspacing="0" width="1048"><colgroup><col /><br /><col /><br /></colgroup><tbody><tr height="26"><td height="26" style="height:26px;width:233px;">修正重點</td> <td style="width:815px;"> </td> </tr><tr height="53"><td height="53" style="height:53px;">●抵減辦法名稱修正</td> <td style="width:815px;">修正「公司或有限合夥事業投資智慧機械或第五代行動通訊系統抵減辦法」，名稱並修正為「公司或有限合夥事業投資智慧機械與第五代行動通訊系統及資通安全產品或服務抵減辦法」。</td> </tr><tr height="132"><td height="132" style="height:132px;">●納入資安投資並明確定義</td> <td style="width:815px;">第四條：本辦法所稱資通安全產品或服務，指為防止資通系統或資訊遭受未經授權之存取、使用、控制、洩漏、破壞、竄改、銷毀或其他侵害，確保其機密性、完整性及可用性，運用於終端與行動裝置防護、網路安全維護或資料與雲端安全維護，並具有辨識（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）功能之一之硬體、軟體、技術或技術服務</td> </tr></tbody></table><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E7%A8%85%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%B6%93%E6%BF%9F%E9%83%A8.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%B3%87%E5%AE%89%E6%8A%95%E8%B3%87%E6%8A%B5%E7%A8%85%E6%AD%A3%E5%BC%8F%E4%B8%8A%E8%B7%AF_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E7%B6%93%E6%BF%9F%E9%83%A8.jpg.jpg" style="width: 600px;" /></p> </div></div></div>
2022/7/11 11:57作者羅正漢https://www.ithome.com.tw/news/151873
SpaceX推出海上衛星連網服務Starlink Maritime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/SpaceX/status/1545126491364528128" target="_blank">SpaceX於7月8日正式發表了</a>專供海上船隻使用的Starlink Maritime衛星連網服務，這是SpaceX繼提供給個人、商家、休旅車的衛星連網解決方案之後，所推出的第四種服務，只是Starlink Maritime的月租費高達5,000美元，遠高於其它Starlink服務而引來了使用者的質疑。</p> <p>依照SpaceX的訂價，標準版的Starlink Internet提供50~250 Mbps的傳輸速度，每月月租費為110美元，一次性的設備價格為599美元；商用版的Starlink Business傳輸速度為150~500 Mbps，月租費為500美元，一次性設備費用是2,500美元；休旅車版本的Starlink RV月租費為135美元，提供50~250 Mbps的傳輸速度，設備費用為599美元；而最新的Starlink Maritime提供100~350Mbps的下載速率與20~40Mbps的上傳速率，月租費高達5,000美元，設備費用則是1萬美元。</p> <p>Starlink Maritime適用於商船、石油鑽井平臺及高級遊艇，號稱就算是最偏遠的水域都能連網，如同使用辦公室或家中的網路，強調可抵禦各種惡劣的氣候，也被SpaceX用來取得該公司火箭於海上著陸的高品質影片，不僅安裝簡單，也能自遠端監控及管理配備Starlink Maritime天線的船隻，並具備端對端加密的傳輸能力。</p> <p>不過，在Starlink Maritime發表後，旋即有使用者質疑用在休旅車上的Starlink RV只要135美元的月租費，移到船上卻漲了40倍，<a href="https://twitter.com/elonmusk/status/1545165611201728512" target="_blank">SpaceX執行長馬斯克（Elon Musk）則解釋</a>，它有著高效能的雙重終端，這對於在波濤洶湧的大海及暴風雨中保持聯繫很重要，而且這已經比其它替代方案便宜許多了。</p> <p>馬斯克說，SpaceX自己的船隻原本每月支付15萬美元的連線費用，而且連線品質比Starlink Maritime還差，另也強調要在惡劣氣候中強化產品品質並不容易。</p> <p>截至今年5月，SpaceX已發射了約2,500顆通訊衛星，於36個國家提供衛星通訊服務，全球用戶數已超過40萬。</p> </div></div></div>
2022/7/11 11:58作者陳曉莉https://www.ithome.com.tw/news/151874
微軟解決Microsoft/Office 365 App不預期關閉及Excel凍結的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/office/word-excel-and-powerpoint-close-unexpectedly-when-trying-to-open-cloud-documents-in-office-version-2205-0b0a1561-7ccc-4b9c-995c-83c52d48df20" target="_blank">微軟上周釋出Microsoft 365修補程式</a>，以解決多個Office App存取雲端檔案時意外關閉，以及Excel 365在切換某些工作表時發生凍結的問題。</p> <p>第一項問題造成Microsoft 365 App目前通道（Current Channel）用戶Office 365 的Word、Excel、PowerPoint開啟、儲存、上傳、下載雲端文件時意外關閉。而且這些App關閉時還不會顯示任何錯誤訊息。</p> <p>這個問題影響目前通道（Current Channel）的Office 365 App Version 2205，微軟已釋出Version 2206（Build 16.0.15330.20230）解決。用戶可循「檔案」>「帳號」>「更新選擇」>「現在更新」。</p> <p>每月企業通道及半年企業通道Microsoft 365其實不受影響，但微軟仍計畫在7 月的每月更新Version 2205版本加入修補程式。</p> <p><a href="https://support.microsoft.com/en-us/topic/excel-365-might-stop-responding-or-experience-performance-problems-when-switching-between-worksheets-b1e6f34a-fa19-4a45-87bb-5eb762b9e9f0" target="_blank">第二項問題</a>則是在Excel 365 App用戶使用包含PivotTable的工作表企圖切換工作表時，App效能下降或停止回應。PivotTable是在資料中使用篩選器（filter）的表格。該問題影響每月企業通道（Monthly Enterprise Channel，MEC）Version 2203版，以及半年企業通道（Semi-Annual Enterprise Channel）Version 2108及Version 2202預覽版。</p> <p>針對Excel 365的問題修補程式，已經包含在目前通道（Current Channel）及每月企業通道的Version 2204（Build 15128.20280）版本釋出。而對半年企業通道Microsoft 365，微軟預計透過7月每月更新釋出修補程式（應該是Version 2205）。</p> <p>單機版用戶就要留心了，因為微軟說明，Office 2019及2021版不會獲得修補程式。</p> <p>Excel 365用戶碰到問題卻沒有列在前述修補名單，微軟建議可以透過移除工作表中的篩選器來避免這個問題。</p> </div></div></div>
2022/7/11 10:18作者林妍溱https://www.ithome.com.tw/news/151867
【資安週報】2022年7月4日至7月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>進入2022年下半，本週最大的資安事故，莫過於上海公安資料庫資料外洩影響10億人個資且當局至今噤聲的消息，不過幣安（Binance）執行長趙長鵬提出看法，指出威脅情報團隊確實發現暗網銷售相關資料，並指出可能是該政府放在阿里雲的Elasticsearch發生錯誤配置暴露於外，或是工程師在CSDN撰寫文件時不慎把帳密寫入而導致。此外，關於資料外洩事件，還有一起是萬豪（Marriott）飯店遭入侵，導致20 GB的內部資料外流。</p> <p>在資安漏洞消息方面，本周OpenSSL 3.0修補一個RCE漏洞，由於應用廣泛，用戶必續盡快因應，還有Jenkins公告34個外掛程式存在漏洞，由於29個尚待修補，須留意修補動向。另外，威聯通（QNAP）近日警告勒索軟體Checkmate鎖定提供舊版SMB v1的NAS設備攻擊，呼籲用戶應停用舊版SMB服務。</p> <p>在網路威脅趨勢上，軟體供應鏈攻擊本周就有兩起揭露，主要是惡意NPM套件的手法正持續被駭客利用。像是Checkmarx發現駭客CuteBoi透過上千個帳號，上傳了多達1,283個惡意NPM套件，以散布挖礦軟體XMRig，同時另一家資安業者ReversingLabs揭露不同的NPM供應鏈攻擊行動，是駭客組織IconBurst去年底上架的數十個惡意NPM套件，故意取名與知名套件的名稱相近，一旦開發者打錯字就會下載到錯誤的套件，實際也真的發生2.7萬次下載，恐影響數百網站與應用程式。</p> <p>此外，Google最近揭露駭客租賃（Hack-For-Hire）的手法也值得關注，亦傳出資安業者發現勒索軟體RedAlert專為VMware ESXi伺服器設計的情形。另外勒索軟體Eternity、Maui與Hive的手法與動向也被揭露，</p> <p>另一方面，在資安防護態勢上，近日也有兩大消息。本周NIST終於公布後量子密碼學標準化競賽的首批確認名單，PKE/KEM獲選將成標準的有CRYSTALS-Kyber，數位簽章獲選將成標準的有CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，由於還有第四輪要進行，並且有些密碼學專家還在嘗試找出CRYSTALS-Kyber的威脅面，NIST也指出正式成為標準前可能還有些微變動，但鼓勵資安專家現在就能針對新的演算法進行研究，因應未來的採用與導入。</p> <p>此外，在俄烏戰事與衛星網路攻擊事件之下，這也讓國際間更加重視衛星通訊網路的防護，除了今年稍早美國CISA發布衛星通訊SATCOM網路威脅的警告與緩解，最近德國也針對產業發布指引，希望建立最低防護要求基準供當地業者依循。</p> <h3 class="rtecenter"><strong>本週重大關注資安新聞</strong></h3> <p class="rtecenter"><a href="https://www.ithome.com.tw/news/151863#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_01(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_02.jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_03(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_04(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_05(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_06(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_07(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_08(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_09(1).jpg" style="width: 550px;" /></a><br /><a href="https://www.ithome.com.tw/news/151863#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-0704-0708TOP10_10(1).jpg" style="width: 550px;" /></a><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C%E9%BB%9E%E9%BB%9E%E9%BB%9E.jpg" style="width: 550px;" /><br /><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E8%A1%8C0709.jpg" style="width: 550px;" /></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151769"><span style="color: rgb(0, 0, 0);">駭客聲稱從中國警方取得逾10億民眾個資，有可能是史上規模最大的資料外洩事件</span></a></strong></h3> <p id="A">駭客公布大量資料的情況，在3年前，<a href="https://www.ithome.com.tw/news/128338">曾有人於地下論壇集結近3千起事故洩露的個資Collection #1</a>，總共有近7.7億個用戶受到波及，但現在這樣的規模將被打破。根據<a href="https://www.reuters.com/world/china/hacker-claims-have-stolen-1-bln-records-chinese-citizens-police-2022-07-04/">路透社</a>、<a href="https://www.wsj.com/articles/vast-cache-of-chinese-police-files-offered-for-sale-in-alleged-hack-11656940488">華爾街日報</a>等新聞媒體報導，名為ChinaDan的駭客於駭客論壇Breach Forums，出售檔案大小逾23 TB的資料庫，他聲稱資料來自上海國家警察（SHGA），內容涵蓋10億名中國民眾的姓名、生日、身分證字號、聯絡電話、住址，以及犯罪紀錄，這名駭客開價10個比特幣，約相當於20萬美元。</p> <p>為了取信買家，ChinaDan公布了其中75萬筆資料，根據這些已被公開的資料，駭客取得的資料涵蓋1995年至2019年，華爾街日報對於其中的部分內容進行驗證，至少有5人的資料正確，該新聞媒體亦表示，某些案件的細節只有警方才會掌握相關資料。</p> <p id="B"><a href="https://twitter.com/cz_binance/status/1543700689611792386">大型加密貨幣交易所幣安（Binance）執行長趙長鵬也針對此事提出看法</a>，指出該公司的威脅情報團隊確實在暗網中，發現兜售上述資料的情況，並表示這些資料來自某個亞洲國家的政府，疑似是部署Elasticsearch資料庫所引入的臭蟲而導致資料外洩，<a href="https://twitter.com/cz_binance/status/1543905416748359680">也有可能是政府的開發者在中國開發者社群CSDN撰寫部落格時，不慎外洩相關帳密</a>。但這些資料是否來自中國政府？上海市政府和公安部門都尚未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/iconburst-npm-software-supply-chain-attack-grabs-data-from-apps-websites"><span style="color: rgb(0, 0, 0);">惡意NPM元件恐影響數百個網站與應用程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/icon-burst-figure-2.jpg" style="width: 300px; float: right;" /></a>有些NPM套件的供應鏈攻擊，因採用了高度混淆的JavaScript程式碼，而使得駭客能進行數個月攻擊行動而不被發現。</p> <p>資安業者ReversingLabs揭露從2021年12月出現NPM供應鏈攻擊行動，駭客組織IconBurst使用數十個套件，他們使用了與知名套件（如Umbrella JS、Ionicons）相近的名稱，例如上傳ionicio、ionic-icon、iconion-package、ionicon-package等套件，企圖藉由開發者可能會打錯字的情況，在受害電腦部署惡意NPM套件。</p> <p>這些套件迄今被下載超過2.7萬次，有超過6成是名為icon-package的惡意套件，達到17,774次。研究人員粗估，可能有數百個網站或是應用程式受到波及。</p> <p id="E">研究人員提出警告，雖然他們已於今年7月1日通報NPM？資安團隊，但NPM套件庫裡的IconBurst惡意套件仍尚未完全移除，研究人員呼籲開發人員安裝套件時仍應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/security-advisory-accidentally-exposes-vulnerable-systems/"><span style="color: rgb(0, 0, 0);">MITRE發布的資安通告疑曝露易受攻擊的IP設備主控臺</span></a></strong></h3> <p>資安通告若是曝露了過多資訊，有可能使得受到影響的系統更容易受到波及。根據資安新聞網站Bleeping Computer的報導，有讀者發現MITRE發布的4月份高危險漏洞安全公告裡，竟在參考資料裡，不慎列出了受影響的設備遠端管理網頁的連結，並指出一旦公布這類資訊後，攻擊者很有可能利用物聯網搜尋引擎Shodan、Censys等，來尋找存在相關弱點的攻擊目標下手。</p> <p>該新聞網站向MITRE確認此事，對方竟表示他們過往就列過這種型態的參考資料。CERT/CC漏洞分析師Will Dormann、Jonathan Leitschuh都認為MITRE的做法不妥，並表示在CVE資訊裡列舉易受到攻擊的對象，顯得對受到影響的單位不尊重。Bleeping Computer隨後發現，有部分CVE漏洞的資料來源，其實是中國研究人員在GitHub發布的文章，但MITRE疑似複製這些研究人員的發現，並以自己的名義在GitHub發布相關資訊（例如CVE-2022-25584，現此漏洞在GitHub的說明網頁已遭到刪除）。該新聞網站指出，他們向MITRE確認的數個小時後，前述讀者發現的參考資料已遭到刪除。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/countering-hack-for-hire-groups/"><span style="color: rgb(0, 0, 0);">Google公布駭客租賃服務手法，並封鎖相關網域</span></a></strong></h3> <p>駭客租賃（Hack-For-Hire）服務讓想要發動攻擊的人士，在無須具備相關技術，亦不需曝露身分的情況下，針對特定的目標下手。Google於6月30日指出，他們在追蹤駭客在印度、俄羅斯、阿拉伯的攻擊行動時，發現了駭客租賃服務的興起，對象包含了人權擁護者、政治活動家、記者，但也可能是一般民眾，這些受僱的駭客主要會運用網釣攻擊來入侵受害者的電腦，Google將這些駭客所用於網釣攻擊的網域加入Safe Browsing的黑名單。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cloudsek.com/threatintelligence/threat-actor-claiming-to-have-compromised-ibm-stanford-university-disclose-their-ttps/"><span style="color: rgb(0, 0, 0);">駭客聲稱攻陷IBM與史丹佛大學</span></a></strong></h3> <p>持續整合工具（CI）Jenkins成為駭客入侵組織的管道，且疑似有大型企業受害。資安業者CloudSEK在一個使用英文溝通的駭客論壇上，發現有人在5月7日聲稱，他們透過Jenkins儀表板的漏洞，成功入侵IT業者IBM，為了證明真有其事，這名使用者也附上了號稱是該公司Jenkins儀表板的螢幕截圖。研究人員指出，根據他們對於前述發文的駭客進行調查，這些駭客過往就曾經兜售IBM的初始存取管道，此外，還銷售多個政府實體（Entitiy）的Web Shell存取管道，因此真有其事的可能性相當高。</p> <p>這些研究人員發現，駭客藉由物聯網搜尋引擎Shodan，鎖定在網路上公開9443埠的企業資產，然後使用獨有的指令碼進行模糊測試，以便於存在漏洞的組織裡，藉由反向代理伺服器（RProxy）的錯誤配置，來進行攻擊。</p> <p id="I">除了IBM，駭客也提及他們如何入侵史丹佛大學──他們利用了Sudomy軟體列舉與大學相關的子網域，接著利用httpx程式找到WordPress網站的外掛程式路徑（/wp-content/plugins/），再藉由外掛程式的零時差漏洞來發動RCE攻擊。研究人員認為，上述的攻擊手法很有可能被其他人複製，對其他組織進行類似的攻擊，呼籲組織要落實網站應用系統的各式元件修補，並採取多因素驗證（MFA）等措施來防範相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-redalert-ransomware-targets-windows-linux-vmware-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體RedAlert鎖定VMware ESXi伺服器而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedAlert-tor-payment-site.jpg" style="width: 300px; float: right;" /></a>駭客鎖定VMware ESXi虛擬化環境下手，並發動勒索軟體攻擊的情況，近期又有新的勒索軟體出現。資安研究團隊MalwareHunterTeam發現名為RedAlert（N13V）勒索軟體駭客組織，並指出已有組織疑似受害且不願意支付贖金，而遭到駭客公布。</p> <p>資安新聞網站Bleeping Computer取得勒索軟體檔案並進行解析，指出該軟體可在Linux主機上執行，是針對VMware ESXi所設計，因為，有部分的命令是專門為這類環境而設。例如，如果駭客下達了停止所有虛擬機器（VM）運作的參數，該勒索軟體就會執行esxcli的命令來關閉VM。</p> <p>該新聞網站指出，此勒索軟體採用了名為NTRUEncrypt的演算法加密檔案，且只對於LOG、VMDK、VMEM、VSWP、VMSN等副檔名的檔案執行加密，然後向受害組織索討門羅幣。此外，駭客可下達非對稱加密的命令，來對受害主機進行加密檔案速度測試。</p> <p id="D">值得一提的是，雖然上述勒索軟體鎖定ESXi而來，但研究人員在RedAlert的付款網站上，發現支援Windows作業系統的解密工具，由此推測駭客很可能也有開發Windows版的勒索軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.databreaches.net/exclusive-marriott-hacked-again-yes-heres-what-we-know/"><span style="color: rgb(0, 0, 0);">萬豪飯店遭到駭客入侵，疑外洩20 GB機敏資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/BWIA-Marriott-Res2CC.jpg" style="width: 300px; float: right;" /></a>飯店業遭到駭客攻擊，並發生資料外洩的情況，在疫情爆發前發生數起事故，這樣的攻擊行動隨著各國政府對出入境鬆綁又再度出現。資料外洩事故新聞網站DataBreaches於7月5日指出，他們在6月28日獲報萬豪（Marriott）飯店的資料外洩事件，不願具名的駭客組織宣稱在1個月前入侵，並竊得約20 GB的內部資料，當中包含信用卡交易資料，以及萬豪內部的資料。</p> <p>該新聞網站針對駭客提供的部分資料進行查核，發現資料來自該集團位於美國馬里蘭州BWI機場的飯店，這些駭客也向DataBreaches表示他們入侵了該飯店的伺服器。</p> <p>萬豪坦承確有此事，並認為他們之所以被入侵，是駭客經由社交工程攻擊員工得逞，進而存取該名員工的電腦。該公司指出，駭客能夠經由該名員工的權限存取相關資源，但目前沒有證據表明能存取其他的資料。這個說法看似合理，但駭客如果進行橫向移動，有可能得以存取其他資源。</p> <p id="J">該公司亦宣稱，在駭客向他們索討贖金之前就已察覺攻擊行動，並在6個小時就獲得控制，駭客竊得的是較不敏感的內部業務資料，不過他們仍需通知約300至400名受影響的人士，但對於這些人士的身分並未進一步透露。而針對贖金的部分，萬豪疑似贖金價碼過高，而沒有向駭客支付，駭客也表明沒有加密伺服器上的檔案。這起事故已是萬豪自2018年至今的第3次重大資料外洩事件。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brute-Ratel-c4-7.png" style="width: 300px; float: right;" /></a>最近幾年駭客濫用滲透測試工具的情況相當頻繁，當中又以利用Cobalt Strike的攻擊行動最為常見，但有部分組織疑似開始改用其他工具來規避資安系統的偵測。資安業者Palo Alto Networks指出，俄羅斯駭客組織APT29（亦稱CozyBear、Dukes）約自5月下旬，開始利用名為Brute Ratel C4（BRc4）的滲透測試工具發動攻擊。</p> <p>BRc4是曾任職於Mandiant與CrowdStrike的紅隊演練專家Chetan Nayak製作，該名資安人員開發的動機就是要將其用於紅隊演練，替代Cobalt Strike，紅隊可在目標電腦上部署Badgers（相當於Cobalt Strike的Beacon），來接收攻擊者下達的命令，進行各式攻擊行為。</p> <p>研究人員指出，BRc4不若Cobalt Strike廣為人知，而且該軟體特別針對防毒軟體與EDR系統打造，使得這些防護系統幾乎無法察覺攻擊意圖。在APT29發起的攻擊行動中，駭客以寄送求職履歷的名義發動釣魚攻擊，挾帶惡意ISO映像檔，但ISO檔案內含的履歷檔案，實際上是Windows捷徑（LNK）檔案，一旦受害者開啟，就會觸發映像檔裡的OneDriveUpdater.exe，然後透過作業系統的Runtime Broker處理程序來載入BRc4的Badger元件。</p> <p>值得留意的是，Cobalt Strike與BRc4都是商業軟體，但前者已遭到駭客破解而大肆濫用，後者目前沒有類似的情形，究竟駭客如何啟用BRc4的軟體授權，而能用於攻擊行動？資安新聞網站Bleeping Computer取得Chetan Nayak的說法，很有可能是有客戶的員工洩露出去，威脅情報業者Advanced Intelligence（AdvIntel）則認為，駭客很有可能設立了假的公司，而通過Chetan Nayak對買家的背景驗證流程，成功買到BRc4的軟體授權。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/05/hive-ransomware-gets-upgrades-in-rust/"><span style="color: rgb(0, 0, 0);">勒索軟體Hive改以程式語言Rust開發，恐更加難以察覺攻擊行動</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig16-Keys-set-encryption-scheme-Hive.png" style="width: 300px; float: right;" /></a>勒索軟體Hive自去年6月出現後，已為全球帶來相當嚴重的威脅，而當時駭客使用Go語言開發勒索軟體引起研究人員的高度關注，但近期這些駭客再度更換程式語言，重新打造勒索軟體。微軟於7月5日指出，他們近期發現的新版勒索軟體Hive，出現了重大的變化，那就是駭客重新使用Rust程式語言打造勒索軟體，而這是繼BlackCat之後，另一款採用此種程式語言打造的勒索軟體。</p> <p>研究人員指出，駭客會採用Rust開發的原因，包含對於開發者提供更為友善的程式語法，並對系統資源有較精準的控制而執行更有效率，除此之外該程式語言亦具備各式各樣的密碼程式庫，並提供多種機制實現檔案加密保護，而使得研究人員想要對惡意程式逆向工程將會更加困難。研究人員指出，他們找到了改以Rust開發的多個Hive變種檔案，而這些勒索軟體的共通點，在於能察覺攻擊跡象的防毒軟體並不多，即使能夠將其識別為有害，也無法確認就是Hive的變種。</p> <p>附帶一提，新版Hive的加密手法也相當罕見且複雜──駭客在記憶體內產生兩組金鑰，以橢圓曲線迪菲．赫爾曼金鑰（ECDH）交換協定，並結合Curve25519和XChaCha20-Poly1305兩種演算法，使用ChaCha20對稱密碼用來加密檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3> </h3> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://stairwell.com/news/threat-research-report-maui-ransomware/"><span style="color: rgb(0, 0, 0);">北韓駭客使用勒索軟體Maui，鎖定醫療保健相關機構下手</span></a></strong></h3> <p>勒索軟體的威脅可說是越來越嚴重，除了惡名昭彰的Conti、LockBit、BlackCat、Hive，專門鎖定特定產業、過往不曾發現的勒索軟體也相當值得留意。資安業者Stairwell在上個月發現名為Maui的勒索軟體，研究人員指出，這個勒索軟體與其他同類型的攻擊工具，有顯著不同的功能差異，例如，Maui缺少多數勒索軟體提供勒索訊息功能，也不會向攻擊者回傳加密金鑰，研究人員由此推測，駭客必須手動操作Maui，並指定要加密的檔案。</p> <p>同一天美國網路安全暨基礎設施安全局（CISA）、美國聯邦調查局（FBI）、美國財政部聯手，針對此勒索軟體的攻擊行動提出警告，並指出是北韓駭客所為，這些攻擊者至少從2021年5月就開始行動，鎖定的目標是醫療保健與公共衛生組織（HPH）。他們呼籲這些單位應透過相關措施來嚴加防範，並藉由Stairwell提供的情資來識別相關威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.shi.com/uncategorized/recent-security-incident-statement-from-shi/"><span style="color: rgb(0, 0, 0);">北美大型IT服務業者SHI遭到網路攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SHI_maintenance_message.png" style="width: 300px; float: right;" /></a>大型IT服務業者遭到網路攻擊，很可能使得使用者受到波及。北美大型IT服務業者SHI傳出於7月4日遭到了專業的惡意軟體攻擊，該公司亦表示他們已快速做出因應，來儘可能減少對於營運的影響。資安新聞網站Bleeping Computer指出，該公司部分網站一度出現資訊系統正在維護的訊息，或是顯示Amazon CloudFront、AWS S3出錯的畫面。該公司正與執法單位著手調查，並強調目前沒有客戶的資料遭到外洩的跡象，該公司的供應鏈無外部系統受到波及。</p> <p><strong style="font-size: 22px;"><a href="https://hackerone.com/reports/1622449"><span style="color: rgb(0, 0, 0);">漏洞懸賞平臺HackerOne員工竊取研究人員通報的漏洞牟利</span></a></strong></p> <p>員工竊取營業秘密的資料，再轉手賣給他人的情況不時傳出，而這樣的資料多半是關於公司的智慧財產（IP），或是重大決策的消息。但如今有漏洞懸賞平臺的員工自肥，將研究人員通報的漏洞私下拿來向客戶索取報酬。</p> <p>漏洞懸賞平臺HackerOne於7月2日發布資安通告，指出他們在6月22日接獲客戶的調查請求，該客戶發現有人使用rzlr的ID名稱，並透過HackerOne以外的管道，以語帶威脅的方式向他們通報漏洞，其內容與其他研究人員藉由HackerOne提供的資訊相當雷同，雖然多名研究人員通報相同漏洞的情況，在漏洞懸賞計畫可說是相當常見，但這起事件相當不尋常的是，該名通報者刻意尋求其他管道與其聯繫，使得這個接獲漏洞通報的用戶決定通知HackerOne。</p> <p>經HackerOne的資安團隊調查，是一名員工為了自身利益，截取研究人員在HackerOne通報的資料，然後以匿名的身分在該漏洞懸賞平臺以外的管道透露漏洞資訊，目的是取得額外報酬。根據該公司資安團隊追查，至少有7個客戶受害，HackerOne已解僱該名員工，並打算採取法律行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-finds-raspberry-robin-worm-in-hundreds-of-windows-networks/"><span style="color: rgb(0, 0, 0);">微軟針對惡意軟體Raspberry Robin攻擊行動提出警告</span></a></strong></h3> <p>有研究人員去年發現惡意軟體Raspberry Robin的蹤跡，現在出現了新的攻擊行動而引起關注。根據資安新聞網站Bleeping Computer的報導，微軟針對Microsoft Defender for Endpoint的用戶，近期提供的威脅情報指出，他們發現許多用戶的網路環境裡，出現名為Raspberry Robin的蠕蟲，主要的散布途徑是透過USB外接裝置，該蠕蟲程式還會透過合法的Windows工具，來繞過使用者帳號控制（UAC）。微軟已將相關攻擊活動標記為高度風險，呼籲用戶要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/analysis-and-attribution-of-the-eternity-ransomware-timeline-and-emergence-of-the-eternity-group/"><span style="color: rgb(0, 0, 0);">勒索軟體Eternity加密各式文件檔案，並利用WMI刪除系統備份</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-19844-1.png" style="width: 300px; float: right;" /></a>駭客組織Eternity對其他攻擊者銷售各式的惡意程式，包含了蠕蟲軟體、竊密程式（Infostealer）、DDoS攻擊工具等，其中近期該組織販賣的勒索軟體，引起了研究人員的關注。</p> <p>資安業者CloudSEK指出，他們注意到駭客近期對於Eternity推出的勒索軟體產生器產生高度興趣，研究人員根據找到的Eternity勒索軟體檔案進行分析，結果發現，此勒索軟體由C#和.NET編譯而成，在開始執行後會隨機產生一組密碼，並藉由RSA演算法加密，組成解密檔案所需的sendme.eternityraas，然後對受害電腦的資料進行加密，再透過Base64演算法對這些加密資料進行編碼，將其以sendme.eternityraas檔案存放在電腦的桌面資料夾，完成後會要求受害者將sendme.eternityraas傳送給駭客，而對方在收到800美元贖金後，會從上述檔案取得密碼並傳送給受害者，以便進行檔案解鎖的流程。</p> <p>而在加密受害電腦的檔案之後，研究人員發現，勒索軟體Eternity還會透過WMI來刪除系統的磁碟陰影複製（Volume Shadow Copy）檔案，並藉由登錄檔讓自己在電腦進入作業系統後就執行，而使得受害者更加難以因應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/astralocker-ransomware-shuts-down-and-releases-decryptors/"><span style="color: rgb(0, 0, 0);">勒索軟體AstraLocker釋出解密金鑰</span></a></strong></h3> <p>勒索軟體駭客疑似為了避免執法單位找上門而決定收手，但這不代表他們打算就此改邪歸正。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客AstraLocker打算關閉相關業務，並將解密金鑰上傳到了惡意程式分析平臺VirusTotal，該新聞網站也確認駭客提供的解密程式確實能解鎖檔案，資安業者Emsisoft打算根據駭客的解密軟體，打造能因應組織所有攻擊行動的解密工具。</p> <p>這些駭客向Bleeping Computer表示，他們不想再發動勒索軟體攻擊，現在想要轉換跑道挾持他人電腦來挖礦。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/151768"><span style="color: rgb(0, 0, 0);">英國陸軍推特與YouTube帳號遭駭，並用於網路詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/elon-musk-british-army.jpg" style="width: 300px; float: right;" /></a>駭客針對知名組織、名人的推特或YouTube頻道進行挾持，並用於詐騙的情況，不時傳出相關事故，但最近有一起駭客同時針對上述兩種帳號進行挾持的事故，而引起各界關注。根據加密貨幣新聞網站Web3 Is Going Great的報導，擁有36.2萬人追蹤的英國陸軍推特帳號，以及該單位擁有17.8萬人追蹤的YouTube頻道，於上週末遭不明人士挾持，置換成推銷NFT及加密貨幣交易的詐騙訊息，英國國防部證實此事並著手調查，並於7月4日表示上述的推特與YouTube帳號恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.avast.com/kids-discord-hacking-groups"><span style="color: rgb(0, 0, 0);">青少年透過即時通訊軟體Discord組成駭客團體，出售惡意軟體牟利</span></a></strong></h3> <p>網路犯罪的年齡層大幅下降，如今有研究人員發現，未成年的小孩疑似為了零用錢，加入銷售惡意軟體的行列。防毒業者Avast發現了一個Discord伺服器，當中的成員幾乎都是未成年的青少年，他們在打造、交易，以及傳播惡意軟體，這個組織疑似透過惡意軟體產生器與工具包，號稱無需實際撰寫程式，吸引青少年客製化惡意軟體的功能與介面樣貌，加入銷售這些網路攻擊工具，如：勒索軟體、竊密程式、挖礦軟體等。</p> <p>研究人員建議家長要留意小孩的狀態，若是他們開始使用dox、DDoS、Bot的網路術語，或是家裡網路流量大幅增加，小孩收到來路不明的新禮物等情況，就應該進一步了解，假若他們對駭客行為產生興趣，家長應鼓勵他們從事相關研究，並朝向白帽駭客與資安相關工作發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/dutch-uni-gets-cyber-ransom-money-back-interest"><span style="color: rgb(0, 0, 0);">遭到勒索軟體攻擊並支付贖金的荷蘭大學，2年後追回部分加密貨幣</span></a></strong></h3> <p>有大學數年前遭到勒索軟體攻擊，因執法單位追回部分贖金而幸運地彌補了損失。根據荷蘭新聞網站人民報（De Volkskrant）的報導，當地的馬城大學（Maastricht University）於2019年遭到大規模網路攻擊，駭客加密了數百臺Windows伺服器與備份系統，影響2.5萬名學生與員工，並向該校索討20萬歐元的比特幣，馬城大學為了讓學生能正常考試與完成論文，選擇向駭客低頭。</p> <p id="C">荷蘭警方於2020年追蹤到贓款流向，並查封洗錢者的帳戶，追回馬城大學先前支付的部分比特幣，經過2年後近期將歸還給學校。該新聞網站指出，這些比特幣的價值，已從支付贖金時的4萬歐元，現在價值大幅增加為50萬歐元。馬城大學表示，這些追回的贖金將用於幫助經濟拮据的學生。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p id="F"> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/jenkins-discloses-dozens-of-zero-day-bugs-in-multiple-plugins/"><span style="color: rgb(0, 0, 0);">Jenkins公布近30個零時差漏洞</span></a></strong></h3> <p>持續整合平臺Jenkins於6月30日，公告34個外掛程式的漏洞，這些漏洞存在於29個外掛程式，其中，該公司已修補了GitLab、requests-plugin、TestNG Results、XebiaLabs XL Release等4項元件的漏洞，但值得留意的是，仍有29個漏洞仍有待修補，這些尚未修補的元件已被安裝逾2.2萬次，根據物聯網搜尋引擎Shodan的資料，逾14.4萬臺曝露於網際網路的Jenkins伺服器有可能成為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/update-google-chrome-browser-to-patch.html"><span style="color: rgb(0, 0, 0);">Google修補Chrome瀏覽器的零時差漏洞CVE-2022-2294</span></a></strong></h3> <p>Google<a href="https://www.ithome.com.tw/news/151379">於6月下旬推出Chrome 103版</a>，在2個星期後緊急推出更新，目的是為了修補已被利用的零時差漏洞。Google於7月4日，發布<a href="https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html">Windows版Chrome 103.0.5060.114</a>、<a href="https://chromereleases.googleblog.com/2022/07/chrome-for-android-update.html">Android版103.0.5060.71</a>，以及<a href="https://chromereleases.googleblog.com/2022/07/extended-stable-channel-update-for.html">延伸支援版本102.0.5005.148（Windows、macOS版本）</a>，該公司之所以推出這些版本，就是修補已經遭到利用的漏洞CVE-2022-2294，這是WebRTC堆積緩衝區溢位漏洞。相關用戶應儘速安裝新版Chrome來防堵攻擊行動。而這是今年以來Google修補的第4個Chrome零時差漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.djangoproject.com/weblog/2022/jul/04/security-releases/"><span style="color: rgb(0, 0, 0);">網頁框架軟體Django發布新版，修補SQL注入漏洞</span></a></strong></h3> <p id="G">以程式語言Python打造的網頁框架Django，最近修補了SQL注入漏洞CVE-2022-34265，所有尚在支援的Django版本，包括3.2版、4.0版，以及尚在測試階段的4.1版都會受到影響。Django軟體基金會發布了3.2.14版與4.0.6版予以修補，並表示4.1版正式版本將包含相關的修補程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.nist.gov/news-events/news/2022/07/nist-announces-first-four-quantum-resistant-cryptographic-algorithms"><span style="color: rgb(0, 0, 0);">NIST選出4款可防禦量子駭客的密碼學演算法</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）於2016年，針對量子密碼提出標準化的提案（Post-Quantum Cryptography Standardization），並公開徵求適用於這類運算的加密演算法後，最近有了重大突破。</p> <p>NIST於今年7月5日，將4種量子密碼納入標準，它們是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON，以及SPHINCS+。這4種量子密碼，CRYSTALS-Kyber是應用於上網安全，其餘3種則是適用於數位簽章領域。</p> <p id="H">該單位指出，他們挑選CRYSTALS-Kyber量子密碼的原因，在於其密鑰檔案較小，以及執行速度較佳等特性；而對於另外三個量子密碼的用途，主要是針對數位簽章提供保護，適用於數位交易與簽署文件，當中又以CRYSTALS-Dilithium最適合做為主力，FALCON適合運用於需要更小的檔案簽章應用程式，至於SPHINCS+，NIST指出與認為此量子密碼的主要價值，在於採用了散列函數，而非其他3個所使用。NIST也表示他們正在評估另外4款量子密碼，並有機會將它們也納入標準。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Weltrauminfrastrukturen.html"><span style="color: rgb(0, 0, 0);">德國發布衛星網路的資安防禦指引</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/150871#ka-sat">衛星網路Ka-Sat在烏克蘭戰爭開打時就遭到破壞</a>，使得部分歐洲用戶受到波及，其中德國風力發電廠也因為採用此衛星網路遠端遙控發電設備而受到影響，該國近期也針對這種威脅發布相關的防護指南。</p> <p>德國聯邦資訊安全辦公室於6月30日，針對空中的基礎設施發布了IT防護的基準配置指南。此文件是德國聯邦資訊安全辦公室與空中巴士旗下的Airbus Defence and Space、德國太空中心（DLR）等機構合作長達一年的成果，目的是確保衛星從製造到正式上線運作的資訊安全，並列出各項保護工作的優先程度。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nato.int/cps/en/natohq/official_texts_196951.htm"><span style="color: rgb(0, 0, 0);">北約組織打算提升網路攻擊的因應能力</span></a></strong></h3> <p>俄羅斯對烏克蘭開戰後，不只頻頻對烏克蘭發動網路攻擊，鄰近國家也出現遭到波及的情況。對此，北大西洋公約組織（NATO）於6月29日在西班牙舉行的高峰會，公布有關的決策，當中特別提及北約盟國正面臨網路空間等不對稱的威脅，他們決定透過軍民合作的方式，來大幅增加網路防禦的能力，並將這項措施與能源的安全，視為盟國提升韌性（Resilience）的重要方針。而這是NATO自去年將網路攻擊視同武裝攻擊看待後，對於盟國之間的資訊安全的重大宣示。</p> <h3><strong style="font-size: 22px;"><a href="https://www.apple.com/tw/newsroom/2022/07/apple-expands-commitment-to-protect-users-from-mercenary-spyware/"><span style="color: rgb(0, 0, 0);">為防範間諜軟體攻擊，蘋果計畫在旗下電腦與行動裝置導入新資安功能</span></a></strong></h3> <p>間諜程式（如NSO Group開發的Pegasus）鎖定人手一隻的手機下手，針對政治人物或是新聞記者而來，這樣的情況近年來也越來越頻繁，使得手機廠商決定加入相關的機制來強化安全。</p> <p>蘋果於7月6日宣布，他們計畫在今年秋季發布的iOS 16、iPadOS 16，以及macOS Ventura等作業系統中，提供鎖定模式（Lockdown Mode），來防堵間諜程式攻擊的情況。在這種模式下，即時通訊軟體Messages將停用連結預覽功能，並阻擋圖片以外的附件；網頁瀏覽器也會在大部分的情況下，停用JavaScript的即時編譯（JIT）機制；而在手機鎖定時，該模式將禁止電腦與iPhone進行連接。</p> <p>此外，該公司亦在漏洞懸賞計畫增列相關類別，並提供最高200萬美元的獎金，他們也打算提供1千萬美元，來支持專門調查這類針對性網路間諜攻擊的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <h3><strong style="font-size: 22px;"><a href="https://tiny-check.com/"><span style="color: rgb(0, 0, 0);">為推廣行動裝置檢測工具TinyCheck，卡巴斯基設立專屬網站</span></a></strong></h3> <p>近期攻擊者透過手機間諜程式跟蹤被害人的情況，不時有事故傳出，使得相關的檢測工具顯得更加重要。卡巴斯基最近針對2年前推出的檢測工具TinyCheck，設置了專屬的網站，並提供相關說明，以便組織將此工具部署於單板電腦Raspberry Pi，以非侵入式的方法，來檢查手機上是否有手機間諜程式活動的跡象──該系統藉由檢查手機對外的流量，並辨識這些流量互動的設備，來找出是否有存取手機間諜程式伺服器的情況。</p> <p>該公司強調，此系統只會與手機的通訊對象互動，所有分析都會在本地進行，資料不會傳送給卡巴斯基或是其他單位。而此工具在問世之後，已有多個非政府組織採用，近期亦受到歐盟組織、記者、企業的注意，當地執法機構也正在進行相關評估，並打算用於相關事故的調查。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/australias-monash-university-launches-public-bug-bounty-program"><span style="color: rgb(0, 0, 0);">澳洲蒙納許大學啟動漏洞懸賞計畫</span></a></strong></h3> <p>許多IT業者為了強化系統安全，紛紛推出漏洞懸賞（Bug Bounty）計畫，讓研究人員與駭客協助找出漏洞，而這樣的做法也有學術單位跟進。</p> <p>位於澳洲墨爾本的蒙納許大學（Monash University）近期推出了漏洞懸賞計畫，他們在漏洞通報平臺Bugcrowd成立這項專案，研究人員有機會獲得最高2,500美元的獎勵，抓漏範圍包含了該校的網域與行動版App，還有他們使用的網路設施，如VPN和FileShare實例（Instance）等。蒙納許大學資安長Dan Maslin指出，此專案的成立，是他們邁向建校最終成熟階段的重要里程碑。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/06/30/toll-fraud-malware-how-an-android-application-can-drain-your-wallet/"><span style="color: rgb(0, 0, 0);">騙錢軟體可能會停用安卓手機的Wi-Fi網路，暗中訂閱服務</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.horizon3.ai/red-team-blog-cve-2022-28219/"><span style="color: rgb(0, 0, 0);">研究人員發現Zoho的AD稽核管理系統存在重大RCE漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2022/06/30/critical-security-release-gitlab-15-1-1-released/"><span style="color: rgb(0, 0, 0);">GitLab修補重大RCE漏洞CVE-2022-2185</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://edition.cnn.com/2022/07/01/politics/russia-ukraine-dtek-hack/index.html?"><span style="color: rgb(0, 0, 0);">俄羅斯駭客XakNet鎖定烏克蘭大型能源業者DTEK發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/151818"><span style="color: rgb(0, 0, 0);">臺灣46家新創參加SelectUSA Tech競賽打響市場知名，1資安與2醫療新創嶄露頭角</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/06/30/infostealer/"><span style="color: rgb(0, 0, 0);">惡意軟體PennyWise鎖定加密貨幣錢包和瀏覽器資料發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-11_102026.jpg" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/7/11 10:27作者羅正漢https://www.ithome.com.tw/news/151863
Windows Subsystem for Android更新版新增VPN、IPv6支援等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/07/06/update-to-windows-subsystem-for-android-on-windows-11-july-2022/" target="_blank">微軟上周釋出</a>Windows 11的Windows Subsystem for Android（WSA）更新，加入VPN、IPv6支援，及進階網路（Advanced Networking）、強化影片播放及安全等新功能。</p> <p>微軟表示，最新釋出的WSA 2205.40000.14.0版在網路功能方面有重大變動。其中之一是進階網路（Advanced Networking），讓Windows 11 on ARM電腦上的Android App，可以連結存取和Windows電腦同一本地網路的裝置。更新版WSA也加入IPv6和VPN支援，強化子系統網路功能。</p> <p>新版WSA也更新了「設定」App，移除了VM的IP位址，這意謂著VM和主機電腦將為相同IP。同時也改善容器內虛擬Wi-Fi的效能和穩定性。</p> <p>WSA還強化影片使用經驗，包括改善影片播放、影片播放App螢幕不預期關閉、支援AV1 Codec編碼，也修正了App閃爍及影像毁損等圖形顯示問題。在上網體驗方面，則更新到Chromium WebView 101、改善網頁瀏覽器啟動的問題。</p> <p>安全性方面，Android Debug Bridge（ADB）指令列導向Windows強化安全，而且已確認安全的Android視窗也無法再擷取螢幕。其他功能還包括整合Android 5月核心修補程式、在充電時進入Doze（深層睡眠）及待機模式、並改善App中滑鼠和觸控板的使用。</p> <p>不過微軟警告，某些VPN服務並不支援進階網路功能。如果用戶仍需使用VPN，則必須先從WSA「設定」App先關閉之。</p> </div></div></div>
2022/7/11 09:46作者林妍溱https://www.ithome.com.tw/news/151866
四維擁抱AI掀起資訊架構變革，從生產數位化邁向營運支援
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四維集團內部，擁抱AI的風氣正在蔓延。兩年前一個實驗性AI膠帶品檢POC專案，為了準備大量的模型訓練資料，四維IT開始研究如何蒐集產線上的生產資料，也促成許多流程數位化的契機，更帶動廠區第一線人員熱切討論，催生了許多AI應用的提案。</p> <p>這些專案不只開始改善四維集團製造部門的工作流程，其他部門，如研發、採購、乃至人事等部門，也紛紛聞風跟進這個做法：研究AI用例、蒐集所需資料，再翻新工作流程和資訊系統。本來只是導入單一AI應用的一場實驗，竟變成了大規模的資訊架構改造工程。不只員工數位意識提升，工作流程逐漸優化，全集團到處都瀰漫著數位化的氛圍。四維集團資訊長廖俊儒說：「每次一點小改變，累積多了，也有點數位轉型的味道了。」</p> <p>短短兩年就有如此大規模變革，一切看似水到渠成，但廖俊儒說，要在傳產中推行數位政策，不是一件容易的事，主要有兩大面向的挑戰：人與組織、數據蒐集。</p> <p><span style="font-size:28px;"><strong>從採用雲端ERP，到開始探索AI</strong></span></p> <p>四維是海峽兩岸第一家成立的膠帶公司，已有近70年歷史。四維很早就開始重視IT，1976年成立電腦中心，2004年時甚至直接將IT部門獨立成一家SI公司，成立了速訊數位整合公司。四維也積極採用數位管理系統，每十年就有一項重要的資訊建置。1990年代，電腦中心自行開發了MIS系統，2000年代開始導入商用軟體Notes來打造簽核系統，2010年代為了即時監控產線，更在工廠端建置了內部的連網環境。</p> <p>到了2019年，四維決定用Oracle ERP取代舊有MIS系統。這套新的ERP部署在Oracle Cloud公有雲，也讓四維IT思考，如何善用雲端的新功能和ERP上的龐大數據，來改善集團的工作流程。</p> <p>2020年初，四維希望利用ERP上的品檢資料來訓練AI模型，搭配AOI設備來進行膠帶產線的動態品質檢測。這正是揭開一系列改革序幕的首個AI專案。</p> <p><span style="font-size:28px;"><strong>推動產線資料蒐集，建立工單與生產資料聯結</strong></span></p> <p>不過，四維這個專案很快就面臨了第一個挑戰，訓練AI模型需要大量生產數據，但在生產機臺上的數據，卻沒有匯出機制。初期先靠人工到生產現場抄寫，後來發展出資料拋轉機制，透過設備PLC機制自動匯出生產資料。因為是第一次的AI專案，為了搜集第一批訓練資料，從設計資料蒐集方式，研究不同設備的PLC協定，到打造出資料自動拋轉機制，花了半年才蒐集完示範線的生產數據。</p> <p>不料，四維用PLC生產資料搭配物性檢測資料建模後，發現模型有待改善。主要原因，是兩種數據的時間序列沒有對齊。</p> <p>訓練這個AI需要兩部分的資料，擁有各種生產參數的PLC生產紀錄，以及在ERP上的品檢資料，但是，廖俊儒解釋，生產機臺系統上沒有工單資料，只有機臺本身的運作資料。所以，四維IT從ERP工單的排程，依據每一張工單的計畫生產時間，來撈取對應時段的機臺生產資料。但是，工廠會依據生產現場的情況來微調，例如因產線清洗作業而調整，生產端執行工單的順序不一定會依據在ERP上的事先排程。只有仰賴現場操作人員，在生產當下即時輸入最新的工單、工號等資料，才能將機臺資料跟工單建立正確的連結。</p> <p>多了一道工序，現場操作人員一開始覺得麻煩而意願不高。廖俊儒和其他主管嘗試創造更多誘因，例如簡化報工流程、提供外籍作業人員母語介面等，來說服第一線人員。漸漸的，不論是以自身豐富經驗為傲的老師傅，還是認為操作困難的外籍員工，都開始擁抱改變。部分第一線人員，甚至自己開始思考，如何進一步優化流程，主動向主管提出更多調整建議。</p> <p><span style="font-size:28px;"><strong>AI知識和數位化概念，在廠內激盪蔓延</strong></span></p> <p>趁著品檢POC半年數據蒐集期間，廖俊儒也到臺灣人工智慧學校進修，高層看到成效不錯，要求更多主管參加。兩位廠長帶頭跟著參加進修，不只將更多AI知識帶回廠內，在場內進行的實驗性AI專案，更引起了不少討論，進而吸引越來越多的廠內主管前往進修。這樣的良性循環，最終形成了一股廠內的AI熱，四維集團工廠上下都在熱烈討論，如何用AI來支援自己的工作流程，也開始審視製程中的許多環節，紛紛提出了各種點子。</p> <p>廖俊儒解釋，產線參數設定與調整，過去仰賴老師傅的經驗傳承，多數時候只知其然而不知其所以然，也不曾質疑傳承下來的做法。「當大家開始討論AI時才意識到，還有許多生產環節存在改善空間。」</p> <p>到了2021年，第一次AI專案實驗結束。廖俊儒坦言，雖然專案模型成果未達預期水準，不過，期間的嘗試、AI知識進修以及大量內部討論，都有助於未來更多AI專案的執行。製造部門內的討論風潮，更傳到其他部門耳中，也紛紛詢問IT，是否也能用AI來優化自己的工作流程。</p> <p><span style="font-size:28px;"><strong>更多部門導入AI，規模化挑戰伴隨而來</strong></span></p> <p>當各部門的AI需求越來越多，四維在2019年ERP上雲的建置發揮了關鍵作用。廖俊儒分析，後續其他AI專案能順利推行，雲端技術帶來的財務彈性是一大助力。AI實驗初期，不容易估算後續運算需求，要在本地端備妥足夠的硬體，前期需要一筆高額的投資。雲端與建置本地端硬體的不同之處，在於可以依據需求調整租用量。這意味著，後續加大力道推動AI時，IT部門能依需求逐漸擴充用量，而不需一次性的龐大硬體建置支出。他說，雲端架構讓四維IT有時間累積實際成果和正面聲量，也能控管AI實驗時的財務支出。他強調，「沒有Cloud，就沒有AI。」</p> <p>不過，製造部門的AI實驗變多，加上其他部門紛沓而來，雖然提升了IT部門的地位，但也帶來了更多挑戰。</p> <p>首先是數據蒐集難度提升。隨著AI應用規模變大，四維IT不只要解讀不同PLC系統的通訊協定，還要設計資安機制，才能從過去封閉的工廠網路環境中，安心拋轉多種產線資料到公雲環境。擴大蒐集更多部門資料時，也需花大量時間梳理、清洗後才能寫入資料庫。為此，四維IT還成立專責的數據整合部門，打造系統化的資料介接機制。</p> <p>不只是數據的挑戰，其他部門開發AI專案時，需要先探討AI應用情境、盤點所需數據，甚至可能還需要翻新該部門的工作流程及舊有資訊系統才能搜集到AI模型需要的資料。廖俊儒舉例，IT搜集人事系統數據時，才發現集團各地系統，會因法規不同而有各自的資料結構設計，無法直接彙整再利用。為了統一資料結構，甚至可能涉及評量辦法等人事制度的調整，光是資料搜集環節，就花費大量時間。這些部門的討論過程，IT人員也都必須參與。AI專案越多，對IT帶來的工作負擔就越大。</p> <p>為了降低IT人員負擔，四維在2022年初導入Auto ML技術，讓想開發AI專案的部門，能自行先嘗試產生AI模型，協助在工作中提出建議。經過嘗試，決定出執行方向後，IT才加入討論，研擬如何蒐集所需資料。廖俊儒觀察，這些部門使用自助式AI工具後，也展開了許多關於AI的討論透過Auto ML的先期篩選，更可以讓IT 專注在有效益的AI專案上。。</p> <p>然而，就算縮短IT人員參與專案的時間，或讓使用者分擔更多工作，越來越多的AI題目，還是讓IT備感人手不足，如何管理大量AI專案更逐漸成為一大挑戰。面臨這些難題，廖俊儒決定從組織面下手。</p> <p><span style="font-size:28px;"><strong>將IT人員培訓成PM及AI人才，只招聘原生雲世代工程師</strong></span></p> <p>廖俊儒開始強化IT人員的定位和職能。他認為，工作量增加太快，未來難免需要委外，IT人員應開始學習專案經理的能力，在了解使用者端需求後，來負責管理委外單位的工程師。因此，他設計了一套五年的IT培訓計畫，從資深程式設計師、系統分析師、系統架構師，一路到成為專案經理，參與培訓的人員，完成各階段的任務，表現優異者能升職到新角色。</p> <p>這項培訓計畫不只可以用來強化現有人員的職能，也有助於招募人才。廖俊儒直言，傳產要招募IT人才，尤其是AI人才，非常困難。四維招聘新人的策略是，先瞄準在學時就接觸過雲端技術的「原生雲世代」，也在招募時就用培訓計畫和升遷管道作為誘因，吸引原生雲端開發人力。AI人才則不從外部招募，而是從內部IT團隊挑選出合適者，轉到AI部門接受進一步培訓。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80.jpg" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /><strong style="font-size: 20px; color: rgb(105, 105, 105);">四維集團資訊長廖俊儒表示，隨著集團內AI需求增加，IT人員應該學習專案經理的技能，擔任管理內部需求及外部工程師的角色。</strong></p> <p><span style="font-size:28px;"><strong>未來計畫提升AI在集團內價值，要用科技支援高層營運策略</strong></span></p> <p>過去四維集團內推行AI，都是由使用者端提出小型專案。廖俊儒說，用小專案快速做出成果的模式，是為了驗證AI確實有助於改善生產流程，也能盡早呈現實質成果給集團高層。</p> <p>不過，隨著這種模式執行了兩年，AI專案數量大增後，廖俊儒發現，大量的小型專案，不僅方向發散難以管理，也不見得能跟營運策略結合。</p> <p>下一步，四維計畫透過訪談聚焦集團高階主管想法，從更全面的角度來盤點集團需求，再集中財務和人力資源，優先執行此大型專案。廖俊儒認為，從管理階層視野，來規畫大型AI專案，才能將AI對於集團的價值，從支援工作流程，提升到支援集團營運策略。<span style="color:#696969;">文⊙郭又華、王宏仁</span></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></p> <p><strong>四維企業集團資訊長廖俊儒</strong></p> <p>學歷：中國文化大學數學系</p> <p>經歷：曾任立錡科技資訊部副理、Oracle ERP 顧問、元信達資訊經理。現任速訊數位整合公司協理，擔任四維集團CIO，導入Oracle ERP及Cloud架構、AI、AutoML等技術以支援生產管理和品檢等用例，並協助多處部門翻新資訊系統。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%88%E8%8F%AF-%E5%9B%9B%E7%B6%AD-%E5%9C%96%E4%B8%89-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89(2).jpg" style="width: 200px;" /></p> <p><strong>四維企業</strong></p> <p>地址：新北市三重區光復路一段83巷1號1樓</p> <p>成立時間：1954年</p> <p>主要業務：以鹿頭牌膠帶行銷全世界。產品類型涵蓋產業與消費性市場的各種膠帶產品</p> <p>員工數：臺灣600人，全球2,000人</p> <p>董事長：楊慧玲</p> <p>總經理：張書明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：四維企業集團資訊長、速訊數位整合股份有限公司協理</p> <p>資訊部門主管姓名：廖俊儒</p> <p>直屬主管：張書明總經理</p> <p>資訊部門人數：20人</p> <p>IT預算：人力預算 2,500 萬，系統維護 1,000萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1976年：成立電腦中心</p> <p>1990年代：電腦中心改名為資訊部，自行開發MIS系統</p> <p>2000年代：導入Domino Notes系統提供簽核</p> <p>2004年：資訊部獨立為速訊數位整合公司，負責四維集團海內外公司IT開發和維護</p> <p>2010年：產線建立內部連網環境，支援產線即時監控</p> <p>2019年：導入ERP，汰換自行開發的MIS系統</p> <p>2020年：利用 PaaS 自行開發BPM整合外圍系統，汰換Domino Notes。同年成立專責數據整合部門與雲端開發部門。</p> <p>2020年初～2021年初：啟動第一個AI專案POC，協助品質穩定，引發內部大量AI應用討論，多次派主管參與人工智慧學校課程。花了半年時間進行資料搜集，將示範產線機臺數據集中到數據中台後，提供足夠數據訓練POC的模型。</p> <p>2021年：展開更多AI專案，建立系統化資料介接機制，經由內部系統改善優化，收集更多資料到資料庫。各部門參與AI實驗，導入AutoML工具提供各部門自行訓練ML。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_-960.jpg" width="960" height="420" alt="" title="四維企業集團資訊長廖俊儒　（攝影／洪政偉）" /></div></div></div>
2022/7/11 07:00未署名https://www.ithome.com.tw/people/151841
實現差別生長演算
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在生成藝術當中，仿生是個熱門主題，也就是透過程式來模擬生物行為，從而構成自然界可見的一些美妙圖案，先前我在<a href="https://www.ithome.com.tw/voice/149092" target="_blank">專欄〈淺談反應擴散系統〉</a>談過的圖靈紋，就是以反應擴散系統進行模擬而得，文中談到<a href="http://books.gotop.com.tw/v_A597" target="_blank">《A-Life 使用Python實作人工生命模型》</a>，該書也還有著其他仿生的演算方案可以參考。</p> <p>不過，我會去研究圖靈紋如何生成，其實是看到了類似圖靈紋的圖案，該圖案是從一條線開始，不斷地扭曲並適時地增加線上的點，點與點之間不會重疊、不會相距太遠、線段之間也不會交錯，最終構成了類似圖靈紋的圖案，而且仍然是一條線，我們可以想像最後形成像是腸道蜿蜒的樣子。</p> <p>許多生成藝術創作者，將這個過程稱為差別生長（Differential Growth），不過，單就差別成長這個名詞而言，主要是生物或醫學領域研究的對象，基本上是指生物組織各部位會以不同速率成長，影響成長速率的因素很多，從這點來看，反應擴散系統也是一種模擬差別成長的方式。</p> <p><span style="font-size:28px;"><strong>仿生的差別生長</strong></span></p> <p>相較於反應擴散系統是基於粒子的擴散與反應，生成藝術創作者所謂的差別生長，目前我找到的最早資料，是2015年左右以<a href="https://bit.ly/3PHk87Z" target="_blank">Floraform</a>生成設計系統模擬介紹的文件，後續介紹差別生長演算的文件，多是基於<a href="https://bit.ly/3sWfIAC" target="_blank">〈SHEPHERDING RANDOM GROWTH〉</a>提出的要素為基礎，這些要素包含：節點與邊、邊的切分時機、新增節點、節點間的引力、斥力。</p> <p>前面幾個要素容易理解，節點相連之後構成邊，邊的切分時機可以是隨機選取一個邊，或者走訪每個邊，看看邊的長度是否適合切分，若適合、就新增節點，但問題在於引力、斥力如何實現？必須結合物理、化學或生物之類的相關理論或模型，才會看來具有仿生的效果，這是實現差別生長前的一大難題。</p> <p><span style="font-size:28px;"><strong>群聚演算</strong></span></p> <p>談到引力，很容易想到萬有引力，但節點之間還有斥力，而這就會聯想到磁力。實際上，磁力有引力與斥力之分，隨機地給予節點引力或斥力，也可以構成有趣的圖案，發展過程像是活的生物行為，實體世界也能模擬出來，有興趣的人可以參考<a href="https://bit.ly/3wJGEG5" target="_blank">〈The behaviour of ball bearings〉</a>中的電擊影片。</p> <p>問題在於點與點間不能重疊，又不能相離太遠，也就是說，每個節點會同時具有引力、斥力，從這點來看，力的模擬方面比較像是可拉開、可壓縮的彈簧，能分別以拉力與彈力來模擬引力與斥力。</p> <p>不過，仿生方面的演算最麻煩的，在於如何簡化模型（例如簡化力的模型）以及選擇適當的參數值，往往參數值之間構成微妙平衡，才會呈現仿生的圖案。為了有實際的程式可以參考，我後來找到了<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>，其中談到的群聚演算，與生物行為模擬有直接的相關。</p> <p>所謂的群聚演算，最初由Craig Reynolds在1986年於<a href="https://bit.ly/3yTfHRL" target="_blank">〈Flocks, Herds, and Schools: A Distributed Behavioral Model〉</a>提出，他實作了Boids程式，用以模擬羊、鳥等個體決策下會展現出何種群聚行為，而在維基百科的〈Boids〉，我們可以看到其中基本要素，包含了區隔（separation）、凝聚（cohesion），以及對齊（alignment）等指向力（steer）。</p> <p>「區隔」容易理解，是避免彼此過於擁擠的指向力，相當於差別生長的斥力，「凝聚」是個體往鄰近群體移動的指向力，就像羊會選鄰近的羊群靠攏，「對齊」是找出領頭羊的指向力，這決定了各個羊群的行動方向，因此，「凝聚」與「對齊」相當於差別生成的引力。</p> <p>《The Nature of Code》作者Daniel Shiffman在〈Flocking〉實現了Processing的Boids程式，可以在畫面中以滑鼠點選新增個體，新個體會朝最接近的群體靠攏，整個畫面就如多個羊群的移動模式。</p> <p><span style="font-size:28px;"><strong>實作差別生長</strong></span></p> <p>因為力有方向及大小，實作時，如果以向量來表現會是比較容易處理的做法，在〈Flocking〉與<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作中，就都是基於Processing的PVector來實現。</p> <p>由於個體行為彼此獨立，每個節點會封裝計算指向力的相關資料，以及各自的位置、速度與加速度（這三者都是以向量表示），因為牛頓第二定律的力公式是F=ma，若質量m為1，那麼，力F的套用就是直接與加速度a相加減，也就是簡化為向量的加減，這部分可以參考<a href="https://bit.ly/3NDaPnJ" target="_blank">〈力的建模〉</a>。</p> <p>由於許多節點參與模擬，勢必要有系統來管理、協調節點，例如選擇邊的選擇、切分、節點生成等，以及何時該更新整個系統，這就是粒子系統，在<a href="https://bit.ly/39VY9tT" target="_blank">〈粒子系統〉</a>中，我談到粒子系統的概念與實現方式，而就<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作來說，Node類別代表各自獨立的粒子，DifferentialLine則是粒子系統的角色。</p> <p>在<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>中，節點的凝聚指向力（引力）是朝向兩個鄰居節點的位置中點，這會令圖案構成彎曲，節點的區隔指向力來自與其他節點間的距離，任兩個粒子距離小於指定的值，就會產生區隔指向力，而且區隔指向力會累加，這就使得粒子不會重疊，粒子與粒子間的邊也不會交錯。</p> <p>在計算區隔指向力的累加時，有個必須考量的效率議題，因為必須計算任意兩個節點的區隔指向力，直覺的實現方式下，有n個節點就會需要n*n次的計算，然而節點會越來越多，若成長到一千個節點，就會需要一百萬次計算。</p> <p>所幸的是，B對A產生區隔指向力，其實，相對地也是A對B產生的區隔指向力，只是方向反了而已，因此計算出B對A的區隔指向力時，直接將向量反向，就是A對B的區隔指向力，以迴圈實作時，內層迴圈會次數會遞減，如果以這種方式實現，只需要n(n+1)/2次計算，也就是若成長到一千個粒子，只會需要五十萬次左右的計算。</p> <p><span style="font-size:28px;"><strong>差別生長的多樣性</strong></span></p> <p><a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的實作雖然運用了群聚演算，但這裡做了簡化，沒有實現對齊指向力，因為沒有領頭羊的效果，最後展開的圖案外圍大致上都會形成圓形，若加入領頭羊的效果，或許會展開不同的樣貌，透過雜訊（例如Perlin）來干擾力道或速度，這也是展現不同樣貌的一種方式。</p> <p>最後在繪製圖形方面，可以選擇繪製線段，或者將全部的線連成多邊形來展現，若選擇繪製線段，可以在每一次影格繪製時不消除背景，這會形成線段漸變的效果，也可以選擇在每個影格時，於不同高度（z方向）繪製線段，這就構成了3D模型。</p> <p>為了能夠更進一步第掌握差別線段生長的演算，我試著將<a href="https://bit.ly/3yVMo0Q" target="_blank">〈Differential line growth with Processing〉</a>的範例，重構為p5.js的版本，並且將Node與DifferentialLine的職責重新分配了一下，應該有助於理解如何實作，有興趣可以進一步參考<a href="https://bit.ly/3LKaBtY" target="_blank">〈Differential line growth with p5.js〉</a>。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E4%BB%BF%E7%94%9F">仿生</a></div><div class="field-item even"><a href="/tags/%E5%B7%AE%E5%88%A5%E7%94%9F%E9%95%B7%E6%BC%94%E7%AE%97">差別生長演算</a></div></div></div>
2022/7/11 07:00作者林信良https://www.ithome.com.tw/voice/151846
【從支援性待命部隊，變成全集團SRE戰略部門】7年上雲維運學會的重要課題，千億電商巨頭3階段SRE大變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>快時尚電商Zalando是一家不到15歲的鞋子和服飾品電商，在臺灣知名度雖然不高，但他們是歐洲最大的服飾電商平臺。2022年第一季的顧客人數高達4,800萬人，超過5,800萬張訂單，全部都是透過網路平臺完成。Zalando一年營收約100億歐元，相當於臺幣3,100億元，相當於臺灣2021年前三季所有電商營收金額的總和。</p> <p>Zalando在歐洲23國提供服務，從賣鞋子起家，到後來銷售各種服飾用品、體育用品，超過4千個品牌，累計近89萬件商品。甚至，Zalando不只是服飾業者，更靠技術拓展其他商業模式，例如他們各國官網總流量一年高達50億人次，其中85%來自手機，這促使Zalando開始提供了官網或App的廣告服務，作為品牌商數位行銷通路之用。不只電商和廣告業務，他們還打造一套自家的支付平臺，每年經手的金額高達20億歐元，等於是一家頗具規模的金融科技公司，Zalando還將自己在全歐建置的物流系統，打造成一套B2B物流服務，來支援其他品牌實體門市的供貨，Zalando就像是歐洲服飾圈的Amazon一樣的地位。尤其在Zalando決定大力擁抱公雲，更採用微服務架構，取代老舊的單體式架構，才能支援業務在歐洲多國的布局。他們一年投資在物流和科技建置的預算高達4、5億歐元，約臺幣130到150億元。</p> <p>從第一年營收600百萬歐元到現在的100億歐元，14年營收成長超過1,600倍，科技力是Zalando撐起如此龐大的交易規模背後的關鍵。</p> <p>為了支援未來全歐多國的營運布局，2014年底，Zalando決定大力擁抱公雲，導入Docker容器技術，開始發展微服務架構，來取代老舊的單體式架構。上市後隔年，也就是2015年，Zalando開始往平臺化戰略發展，要將自己變成生態圈的技術平臺商，開始對合作夥伴和生態圈輸出技術服務。這時，Zalando擁有1萬名員工，超過1千名IT工程師，200個開發團隊。</p> <p>2016年，Zalando陸續完成了各項系統的上雲轉換，將自己變成了一家雲端原生架構的電商平臺，也開始進一步導入K8s，2019年時，Zalando就是靠部署在公有雲上的118個k8s叢集，撐起全歐各國的電商平臺，甚至是黑色星期五大採購都順利完成。Zalando自己也是K8s的資深貢獻者，累計到2022年，開源了超過47個元件。</p> <p><span style="font-size:28px;"><strong>上雲兩年遇到維運大考驗，待命人手不足，決定導入SRE</strong></span></p> <p>但是，Zalando上雲之路不是一帆風順，2016年時，雖然大多數系統已經完整架構轉換而部署的公有雲上，而最早上雲的團隊也有超過1年的雲端維運經驗，但是，他們卻遇到了擁抱公雲後最大的維運難題，甚至影響了他們各部門平臺的正常運作。</p> <p>Zalando首席軟體工程師Pedro Alves在自家部落格上公開了這一路導入SRE的三階段發展過程，他坦言，完全上雲之後，對工程團隊帶來很大的衝擊。因為上雲之後，工程團隊得全權負責自己打造的軟體，從設計，開發，測試，部署到最重要的「維運」，研發工程團隊都得負責。「這是在全面上雲之前，他們沒有意識到改變，這件事帶來截然不同於開發的挑戰和複雜度。」他強調。</p> <p>Zalando原本的系統大多是以Java技術打造的單體式大型應用，上雲過程同時進行架構轉換，變成了分散式的為服務架構。研發團隊熟悉的是從軟體開發角度的維運經驗，上雲之後，不論是監控、自動測試、部署，到各種雲端服務事件的處理，甚至是雲端Runtime的管理，都是與本地端大型單體應用截然不同維運經驗。</p> <p><span style="font-size:28px;"><strong>待命支援人力不足，成了Zalando的超級痛點</strong></span></p> <p>同時進行AP架構和IT基礎架構的轉換，在轉換成微服務架構之後，Zalando設立了5個待命團隊（On-call）來支援當時超過200個開發團隊適應新架構。</p> <p>可是，待命團隊擅長的仍舊是單體式架構的開發和維運，Docker容器技術和微服務架構對他們來說，也是全新的學系。轉換到新架構，一方面要將原本所有服務的維運做法，都需要重新建立新的標準化做法，另一方面還要在雲上快速發展各種新應用，許多技術支援工單，卡在待命團隊等待回答，上百個開發團隊遲遲等不到回答，又不知道該如何更妥善的維護已經上雲的服務，缺乏根本的標準解方，讓研發團隊得花不少時間來救急，疲於應付經常發生的維運麻煩。Pedro Alves直言：「待命團隊的能力，跟不上新的技術需求，因此，沒有辦法滿足新服務的技術支援，而且愈來越無法負荷。」</p> <p><span style="font-size:28px;"><strong>階段一：開始導入SRE，按產品線設置SRE小組</strong></span></p> <p>2016年，剛好是Google發表《Site Reliability Engineering: How Google Runs Production Systems》這本書的那一年，Zalando 工程團隊一看到這本書就大受啟發，覺得說中了自己的痛點，積極說服高層後，決定大力擁抱SRE。</p> <p>從Pedro Alves公開的當年的討論SRE導入的腦力激盪圖，可以看到Zalando最大目標就是要解決待命支援不足的問題，希望讓待命支援可以持續。他們也是先從辨識各種事件和失敗特徵，定義SLO、量測 SLO，並且要建立監測、警示機制等等，開始著手。Pedro Alves回顧，SRE導入成功的另一個關鍵因素是Zalando原本就擁有不怕改變的文化，因此，作出決定後就毅然地全面擁抱SRE。不過，仍然有一個重要的課題，怎麼配置SRE團隊？Zalando在2016年時已經有1千名軟體研發工程師，產品線也很多，後來決定，不是建立一個超大的SRE團隊，也不是在各團隊下各自設置一名SRE人力。而是「按照產品叢集來建立SRE團隊，一個團隊負責一個叢集，一個SRE團隊負責同一個產品網域下的所有維運責任。」Pedro Alves指出。</p> <p>另外，Zalando也透過內部問卷，搜集內部各團隊對於SRE角色的意見和期待，來凝聚對SRE定位的共識，最後歸納出這個角色的能力定義：SRE具有軟體工程能力、維運思維、系統工程能力、軟體架構技能和問題解決能力。這五大能力也成了日後Zalando建立內部人才庫的重要參考方向，不只用來培養SRE人才，而是要求各種角色的工程師，都要培養這五大類的能力。這一步是促成了日後SRE能力普及到更多團隊的關鍵。</p> <p>接著，Zalando成立第一個SRE團隊後，第一個工作就是設計SLI（服務水準指標），以及訂出想要達成的SLO（服務水準目標），也打造了一款內部使用的SLO報表工具，並舉辦工作坊來對內部上百團隊的產品PM和工程師介紹SRE。甚至在每年最重要的網路購物週的因應計畫中，也舉辦SRE工作坊，來討論購物潮網站的各項可靠性設計，來因應這個年度最大的交易爆量考驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E7%B6%AD%E9%81%8B%E5%B7%A5%E5%85%B7%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Zalando現在所用的SLO監測儀表板，更容易從顧客角度來觀察可能造成服務當機的徵兆，例如會監測顧客加入購物車的行為。</strong>圖片來源／Zalando</span></p> <p><span style="font-size:28px;"><strong>階段二：取消產品SRE小組配置，將SRE工作交給各產品交付小組</strong></span></p> <p>不過，搜集了大量SLI指標維運數據之後，空有SRE數據， SRE團隊卻沒有解決待命支援不足的問題，也沒有善用這些維運數據來改善開發。Pedro Alves點出最大的問題是，原本的SLI指標以微服務的可用性運作來設計，但是隨著微服務越來越多，甚至發展出4千個微服務，一個產品可能由數十個或上百個微服務來支援，對工程團隊來說，越來越難從上百個微服務的SLI指標數據來判斷。</p> <p>Zalando決定改變SRE導入策略，從工具面和組織面兩方面開始調整。一方面改良SRE工具和SRE做法，從產品管理層級來管理SLO的達成情況，而非監控微服務工程層級的龐大SLI指標數據，也不再用當機事件的指標數據，改用事件徵兆來設計警示機制，改為搜集那些可能造成當機事件的事前訊號，例如記憶體快速暴增的趨勢，來提前發布預警，來減少誤判，還設計了新的事件處理流程，區分出異常狀況和緊急事件的不同處置做法，並進一步區分不同的改善做法對顧客或是業務能帶來的效益，優先採取更有利的做法。</p> <p>另外，也開始注重待命工程師的健康，避免長期疲勞帶來的影響。最重要的是，Zalando開始累積SRE維運指標的成效數據，來評估所設計的可觀測性指標，是否符合當初所設計的目標，用這套數字來規畫SRE工作的KPI，定期量測結果，回報和檢討這些 KPI。</p> <p>另外，為了統整分散在不同工具中的SLO資訊，也打造了一個新的服務水準管理工具，可以提供營運角度的SLO報表，讓管理團隊快速掌握目前各項網站或平臺的服務水準狀態，也可以查詢還有多少錯誤預算（Error Budget）可用，方便來安排各項任務的優先順序，尤其是出錯預算越吃緊的關鍵服務，一但有需求就得優先處理。</p> <p>另一方面，Zalando也改變了SRE團隊的配置方式，取消了原本在各產品下所設置的SRE團隊，將SRE工作改交給各產品團隊中的交付小組（Delivery Team）來接手，讓他們接手自己產品中關鍵服務的維運，要求產品交付團隊必須具備SRE能力，來負責自己所有關鍵產品的待命工作。</p> <p>改良SRE做法，再加上由交付團隊接手待命工作後，2017年時終於解決了Zalando的待命人力不足問題，足足花了2年才客服，而SRE事後檢討報告（Post-mortem）也成為各產品團隊的習慣做法，SRE做法也累積出了一套最佳實踐，包括了監控機制，事件應變，混沌工程和可靠性工程。</p> <p>雖然取消了各產品團隊下的SRE小組，但是Zalando在2018年時，建立了兩個SRE輔助團隊，一個是在數位基礎架構部門（共用功能開發部門）下設置了SRE啟動團隊，負責輔導各產品團隊導入SRE，另一個是負責改善SRE體驗的開發團隊，接手打造各種SRE工具。這兩個團隊一起參與全公司的SRE推動計畫，持續將分散式SRE追蹤機制導入到所有團隊，也要運用SRE蒐集到的維運數據，來支援各平臺網頁的載入優化以及各產品基礎架構的腰話工作。另外，SRE計畫成員還要支援網購周事前準備，由SRE計畫成員負責接手網購活動的負載測試，甚至在黑色星期五活動期間，兩個SRE輔導團隊的人員也要在活動戰情室中待命。這個單一SRE 計畫雙團隊的運作模式做法一直持續到了2018年底。2019年更直接合併成一個專責SRE團隊，開始發展各種更細緻的SRE做法，例如關鍵業務流程的維運，可以提前發現當機問題的徵兆預警機制等。</p> <p>2019年時，Zalando更參考Google在SRE手冊中提出的服務可靠性架構（Service Reliability Hierarchy）來發展更長期的SRE戰略。一方面利用這個服務可靠性架構來修正現有的SLO，希望從「對使用者產生什麼影響的角度」，來尋找更適當的觀測能力機制，讓事件應變和管理更有效率。</p> <p>不只在監控機制上搜集各種數據，針對事件應變建立更多待命機制，或善用Postmortem事後分析來尋找根本原因分析，也更重視發布前的測試，來減少出錯，並強化容量規畫的自動化能力，甚至在開發階段就要納入可靠性設計思維，產品設計上也要考慮大規模發布的策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E5%BE%AE%E6%9C%8D%E5%8B%99%E7%9A%84%E8%80%83%E9%A9%97.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>隨著微服務越來越多，Zalando甚至發展出4千個微服務，一個產品可能由數十個或上百個微服務來支援，對工程團隊來說，越來越難從上百個微服務的SLI指標數據來判斷。</strong>圖片來源／Zalando</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-SRE%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google(2).jpeg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">2019年時，Zalando更參考了Google在SRE手冊中提出的服務可靠性架構（Service Reliability Hierarchy）來發展更長期的SRE戰略。</span></strong><span style="color:#696969;">圖片來源／Zalando</span></p> <p><span style="font-size:28px;"><strong>階段三：SRE升格一級單位，發展長期戰略讓業務單位也嵌入SRE實務</strong></span></p> <p>2020年時，Pedro Alves指出，因為SRE實踐成果，帶來了很大的幫助，讓Zalando決定，提升SRE團隊的組織位階，成立一個SRE部門，來推動這一套SRE戰略。這個SRE部門的位階，跟其他產品或研發部門並行，也要負責規畫更長期的企業SRE戰略。</p> <p>他指出，SRE組織升格之後的改變，原本的SRE團隊是任務編組，講求彈性來因應特定任務的專案，但變成一個部門後，就需要訂出一個日常目標，SRE部門的目標，就是將SRE可觀測性做法標準化。</p> <p>Zalando甚至開始一套SRE課程，來擴大SRE效益的規模，設置了一個攝影棚，拍攝一系列的線上課程，由SRE各主題專家設計內容，每個主題一部影片和一份測驗。</p> <p>最後，還把這一系列SRE課程，列入新人訓練內容。任何工程師都必須完成這套SRE實踐的入門課程。</p> <p>另一方面，Zalando希望將SRE更普及各項產品和服務，不只與維運相關的部門，甚至連業務部門都要透過這個課程，對SRE觀念有更多了解。2022年，Zalando下一階段的SRE工作目標是，將產品管理對標到SRE戰略，在SRE部門下發起了一個新的團隊，稱為SRE嵌入團隊，要建立一系列KPI，讓產品管理可以和SRE對標標，從高階主管和產品管理的角度，來促成SRE與各業務部門的合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968-SRE%E6%8E%A8%E5%BB%A3%E6%94%9D%E5%BD%B1%E6%A3%9A.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>為了擴大SRE效益，導入到業務部門，Zalando甚至設置了一個攝影棚，拍攝一系列SRE線上課程，由SRE各主題專家設計內容，還把這一系列SRE課程，列入新人訓練內容。</strong>圖片來源／Zalando</span></p> <p><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/news/151848
如何統一1200名工程師的技術方向，Zalando就靠技術雷達圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術選擇決定了一家企業IT技術的發展方向，如果押錯平臺，可能會多走不少冤枉路，這企業IT向來的課題，對歐洲快時尚電商Zalando而言，更是一個十分棘手的難題。</p> <p>Zalando所有業務都是靠技術平臺來實現，為了支援電商、支付、廣告和物流等多元營運模式，Zalando擁有一個1,200人規模的開發團隊，採取敏捷開發模式，分成了250個開發團隊，各自負責不同的產業市場和應用需求。</p> <p>每個團隊都會面臨各式各樣的技術選擇，但每個團隊的任務差異很大，從資料，開發到維運任務都有，尤其，在Zalando上雲之後，不只開發團隊，連基礎架構團隊要支援的工具和語言也越來越多，如果沒有一套做法，放任各開發團隊自行挑技術，最後，各自用的技術越來越多元，不只維護代價越大，互通的複雜性也越高。</p> <p>如何統一250個團隊的技術方向，Zalando的解法就是靠技術雷達（Tech Radar）。Zaoando要求各團隊都要參考這一份共用的技術清單，作為新專案挑選出最佳技術的參考，而不需要每一次發起專案都從頭進行技術評估，工程師可以參考這份清單來選擇合適的技術。因為每個團隊都是用同一份技術清單來挑選，因此，就能夠確保不同專案用的技術，都在雷達圖的範圍，來實現技術方向的聚焦。</p> <p>Zalando不是自己憑空想像出這個技術雷圖，而是參考了業界知名的IT技術顧問公司Thoughtworks的技術雷達圖。在技術雷達圖上，列出不同類型技術的推薦採用程度，用不同的環來代表不同推薦程度，越靠近核心環，代表這項技術的推薦程度越高。Zalando根據自己的需求，聚焦軟體開發相關技術，分為四大類型的技術：資料儲存，資料處理（後來在2017年時擴大範圍更名為資料管理類）、基礎架構和開發語言。</p> <p>而在推薦採用程度上，Zalando也同樣分為四個推薦等級，形成四個環，每一環代表了不同的推薦等級。這四級包括：Adopt（推薦採用）、Trial（推薦試用）、Assess（評估階段）、Hold（保留不推）。</p> <p><span style="font-size:28px;"><strong>技術雷達圖涵蓋四大類技術，分四等級推薦採用</strong></span></p> <p>凡是適合大規模採用的技術，就會列入推薦採用的程度，這是已經在Zalando自家正式環境上使用一段時間，風險低而且可以廣泛運用的技術。例如資料儲存類的S3和Cassandra，資料處理類的Kafka和Airflow，基礎架構類的K8s和SageMaker，或是開發語言類的Go、GraphQL等。</p> <p>而推薦適用程度則是指已經在內部有成功專案的技術，而且至少用於真實問題而非模擬情境的處理。Zalando希望透過至少一次的認真使用來確定效果和技術局限，不過這類試用性技術，仍有風險。因此透過成功專案，也能培養出實際用過的工程師來提供諮詢。還有一類是列入評估階段的技術，這是指一群有明顯潛在價值，且值得投資的技術。Zalando會對這些技術進行研究和雛形開發來了解其影響，但是，這些技術太新，仍視為有高度風險有待評估的技術。最後一類則是Hold等級，就是不推薦但會繼續提供維護的技術。這是指不值得投資或還沒看到價值的技術，可能是更新興的技術，也可能是過於老舊的技術。Zalando同意將這些技術用於現有專案，但是不推薦用於新專案。</p> <p><span style="font-size:28px;"><strong>初期靠志願者維運帶來3大問題</strong></span></p> <p>2015年一開始，先靠人工繪製，在Zalando內部的全體工程師社群中，挑選志願工程師來負責維護，整理大家的共識和經驗，手動畫出這張圖，後來才改用程式自動繪製出圖表。</p> <p>不過，這份技術雷達圖用了2年，2017年時，發現有3個大問題。最大的問題是，技術升環或降環缺乏一套標準做法。例如，開發語言和儲存技術的評估方式不一致，造成了技術團隊選擇上的混淆，他們還得知道不同類型技術各自評估方式才能判斷，反而更麻煩。第二個問題是技術雷達圖的評估過程，缺乏一套正式流程，雖然高層要求團隊參考，但專案負責人還是可以採用自己熟悉的技術，這就無法達到原本預期要統一技術方向的效果。最後一個問題是，因為早期的技術雷達圖過度依賴志願工程師來維護，只靠這一群人的熱情，無法反映全公司各部門的情況和需求，技術決策更無法支援全公司性的戰略。</p> <p>在2017年，技術雷達圖沒有發揮作用，但Zalando的開發團隊越來越多，內外系統已經超過了4千套，技術多元化帶來的複雜性，依舊很高。</p> <p><span style="font-size:28px;"><strong>盤點4千套AP重新設計技術雷達圖</strong></span></p> <p>Zalando決定重新徹底盤點4千套AP所用的技術，了解目前使用了哪些開發語言，工程師們習慣哪幾種技術，願意提供哪些技術支援，來支援其他專案。另外，也參考了VM生命周期管理流程和CI/CD系統、可觀測性指標的需求，重新建立對於技術雷達圖的設計。</p> <p>第一項修正就是調整了四級推薦的定義，Adopt等級更重視採用廣泛度，而且是高層有意願長期投資的技術才會列入這個推薦等級。另外，還會運用技術自動分析在所有產品中的試驗計畫的資料，更完整的找出已經試驗中且值得列入Trial階段的技術。在評估階段的技術上，也採取更主動性的技術評估做法，技術雷達圖維護人員會參考技術趨勢，以及採取一些非正式環境的評估機制來擴充。</p> <p>最後一項Hold等級的技術，則更明確要求，不只是新專案不能用，也不鼓勵用於推廣性服務上，要逐漸縮小這類技術的應用廣度。最後會把把評估過但沒有列入四級推薦中的技術和推薦資料，都保存在「零級」類型，作為日後的參考。另外，Zalando也建立更清楚的推薦領域，透過技術領域的分類，來進行評估或推薦，包括了後端、行動、Web、Data技術、ML技術或基礎架構，並將Queues技術從基礎架構分類中，轉移到資料處理類並統一命名為資料管理類，至此，就形成了現在的四大分類資料儲存、資料管理、基礎架構和開發語言。</p> <p><span style="font-size:28px;"><strong>指派首席工程師專人維護，更提交高層會議討論</strong></span></p> <p>在技術雷達圖的維護上也有重大改變，不再由志願工程師負責。當時Zalando正在進行工程師職務的調整和重新設計，新增加了一個首席工程師的職務，在各部門資深工程師中，挑選出優秀者專門負責技術研究而不擔任管理職，並且成立了首席工程師社群。Zalando改由這個首席工程師社群接手技術雷達圖的維運工作，而所有工程師仍舊可以提出建議，最後由首席工程師社群和指定首席工程師來決定。</p> <p>每次進行技術推薦等級的調整時，首席工程師們先討論出一份調升調降版本，還要送到高層會議中討論，一方面確保技術符合公司長期發展，也讓高層將技術發展納入企業長期戰略中。</p> <p>Zalando也根據技術雷達圖，訂出一些採用範本和指南，提供常見問題說明和使用案例，甚至是不同替代技術間的比較等。</p> <p>另外也鼓勵內部工程師，分享自己的使用案例，集中到這項技術的採用範本Wiki網頁上，不只如此，還直接搜集在公有雲上的正式環境這些技術的使用紀錄，程式碼儲存庫中的紀錄，基礎架構團隊定期使用數據，都整合到每一項技術的採用範本上。這個技術雷達圖，最後成了一項Zalando所用技術最重要的一份完整技術採用指南。</p> <p><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/151851" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/news/151850
千億營收電商的SRE之旅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1085-feng_mian_gu_shi_-1open-dou_zi_-960x420_kao_bei_.jpg?itok=HaBmNwh6" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年營收超過3千億臺幣的歐洲快時尚電商巨頭，不惜用雲端原生技術重構用了5年的交易平臺，全面擁抱公有雲，才能支撐現在全歐23國的龐大交易量，今年第一季完成了5,800萬張訂單，但在2016年，他們面臨了上雲後最大的維運考驗</p> <p> </p> </div></div></div>
2022/7/11 07:00作者王宏仁https://www.ithome.com.tw/article/151851
馬斯克正式試圖終止收購推特，推特將提告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在不斷的傳言中，馬斯克（Elon Musk）7月8日通知推特（Twitter），將終止價值440億美元的收購案。但事情不會就此落幕，因為推特已經揚言提告。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/0001418091/000110465922078413/tm2220599d1_sc13da.htm" target="_blank">根據馬斯克提交美國證管會（SEC）的文件</a>，馬斯克已經於8日發函推特，正式通知推特將終止收購協議，理由是推特並未遵守雙方收購合約條款中，馬斯克要求提供完成收購交易所需的資料和資訊的義務。</p> <p><a href="https://www.ithome.com.tw/news/151847" target="_blank">上周華盛頓郵報引述消息人士報導</a>，假帳號比例爭議未決所致，收購案已經「危險了」（in peril），且可能很快將有極大方向變化。馬斯克也已經停止針對推特的收購案和銀行團等投資人進行討論。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1418091/000110465922078413/tm2220599d1_ex99-p.htm" target="_blank">馬斯克律師致推特法務長Vijaya Gadde的信中解釋</a>，在將近2個月中，馬斯克要求能獨立評估假帳號及垃圾訊息帳號的資料和資訊。這些資訊關乎推特業務和財務績效，也是完成合併交易案的必要條件。但推特未能、或是拒絕提供這些資訊。有時則宣稱遵守義務，但給馬斯克的資訊卻不足或無法使用。</p> <p>馬斯克提出撤回收購的其他理由還包括推特的財務表現以及裁員。馬斯克認為推特90%營收來自廣告，但他看過推特最近的財務績效和修改的前景，認為該公司預期業務及財務前景已購成「公司重大不利影響」（Company Material Adverse Effect）。</p> <p>此外，馬斯克認為，推特裁員，包括<a href="https://www.ithome.com.tw/news/150913" target="_blank">解僱2名高層主管</a>、凍結人事以及7月7日裁減1/3人力聘僱團隊員工，違反合約中「保存現有業務團隊完整的重要元素」，然推特此前並未取得同意。</p> <p><a href="https://www.ithome.com.tw/news/151310" target="_blank">6月初馬斯克提交證管會的文件中</a>指責推特明顯違反合約義務，可能導致他終止收購。從當時起，馬斯克方面三次發函推特，給予最後補救機會。最新的SEC文件宣稱，一切補救期限皆已到期，使馬斯克行使終止收購協議的權利。</p> <p><a href="https://www.ithome.com.tw/news/150920" target="_blank">4月間宣布</a>以440億美元收購推特後3個星期，馬斯克指控推特公開文件宣稱假帳號比例小於5%的說法不實，他相信應該不只如此，<a href="https://www.ithome.com.tw/news/150620" target="_blank">宣布暫緩收購</a>，要求推特提供資訊來證明，或供他獨立驗證。</p> <p>事實上，推特方面已經試圖提供資料。<a href="https://www.washingtonpost.com/technology/2022/06/08/elon-musk-twitter-bot-data/" target="_blank">根據華盛頓郵報上月報導</a>，這家社交平臺已提供馬斯克存取「完全開關」（full firehose），供他存取每日5億貼文的大量資料。此外推特也致力於查緝假帳號。推特執行長Parag Agrawal才對媒體表示打擊假帳號及垃圾訊息有很大進展，該公司每天移除超過100萬個假帳號。</p> <p>馬斯克力圖找出推特方面違約理由，以便能安然脫身。按照雙方協議，馬斯克若平白退出收購，需要付給推特10億美元。</p> <p>可想而知推特不會讓馬斯克平白退出收購。在馬斯克提交SEC文件幾小時內，<a href="https://twitter.com/btaylor/status/1545526087089696768" target="_blank">推特董事長Bret Taylor指出</a>，推特董事會致力於完成價格及條件都和馬斯克談定的交易，該公司計畫採取法律行動執行此合併協議。他說他們有信心可以在法庭上獲勝。</p> <p>媒體分析，推特股東自然希望完成收購。馬斯克4月間提出以每股54.2美元收購，遠高於推特現在股價。周五（7/8）推特收盤價為36.81美元。</p> </div></div></div>
2022/7/10 22:19作者林妍溱https://www.ithome.com.tw/news/151865
數位發展部傳8月掛牌，4大團體發聯合公開聲明：促揭露數位轉型政策，提出6訴求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外界預期8月即將掛牌上路的數位發展部（簡稱數發部），近期行政院政委暨數位發展部籌備小組召集人唐鳳對外透露，未來施政將以增加韌性、數據公益跟跨國公民科技、資料民主化為主，同時將成立6司2署。近日，開放文化基金會、台灣人權促進會等4個團體發表聯合聲明，促政府揭露數位轉型的具體政策，並提出6項政策建言。</p> <p>唐鳳近期參加中研院院士會議，受邀說明國家數位發展規畫。唐鳳指出，未來數位發展部將成立6司2署，資通安全署、數位產業署，分別聚焦在資通安全、數位產業規畫發展，6個司包括數位策略司、民主網絡司、多元創新司、資源管理司、韌性建設司、數位政府司，其中的數位策略司為研擬國家數位發展政策，民主網絡司負責不只國際合作，還有分散式自製數位服務，多元創新司則推動數據公益的發展，資源管理司負責5G等網路資源管理，韌性建設司來自NCC基礎處，促進政府運作效能與韌性，還有來自國發會資管處的數位政府司。</p> <p>在數位發展部即將掛牌上路，外界關心未來數位發展部的政策規畫，如何帶領國家數位轉型、推動數位經濟發展。</p> <p>包括開放文化基金會、台灣人權促進會、中華民國軟體自由協會、台灣公務革新力量聯盟4個團體發表<a href="https://ocf.tw/p/issues/2022/">公開聯合聲明</a>，認為數位發展部肩負國家數位轉型重責，但對相關政策缺乏具體說明，過去台灣的數位發展政策，偏重硬體建設、經濟為主，缺乏對平等、永續、民主、法治等軟實力的考量。</p> <p>聲明也提出6大政策訴求，第一，希望政府說明未來數位發展部的政策規畫，延續或改革行政院已提出的智慧國家方案（2021-2025），同時也指出數位發展部現僅有組織法，該部的重要業務缺乏資料治理法、政府數位服務法等基礎法制的制定。</p> <p>第二是，數位發展部應重視整體公部門的培力，例如資通安全署以各機關的資安人員為培力對象，缺乏提高對整體公務人員資安風險的認識；鑑於跨單位協力合作，應建立跨部會與多方利害關係人的交流合作，以因應複雜問題找出共識。此外，數發部的工作之一為對政府資訊人才的管理，但公部門受限於採購、人法等法規限制，無法開出具競爭力的薪資吸引人才，未來數發部應提出解決方案。</p> <p>第三．數發部未來制定政府服務、產業經濟的轉型發展政策，應納入考量對人權的保障，加速國家及產業數位發展的同時，也確保公民的個資保護、隱私權，例如拓展個人資料自主運用時，也確保隱私的風險評估；推動數位工具或數位身分，不應為使用公共服務、公民參與的前提等等。</p> <p>第四項訴求是，數發部未來應建立公私協力機制，鑑於美國政府與開放科技基金會（Open Technology Fund）和非營利組織合作，不只倡議數位權利，也與民間合作，共同研發出科技工具，保障隱私、對抗監控。臺灣也應運用公民社群的資源、建立公私協力機制。</p> <p>第五項，數位轉型以推動民主參與為最終目標，雖然臺灣積極參與開放政府等趨勢，但開放政府、開放資料仍偏重政府服務便利性、經濟附加價值，開放政府、資料應以促進公眾參與、公私協力，讓政府運作更透明、受監督，提供多元面向施政方案，避免先前推動數位身分證引發的黑箱、濫權爭議。</p> <p>第六項是落實開放原始碼和開放資料的數位治理願景。以歐洲自由軟體基金會提倡的Public Money, Public Code，以民眾稅金建置採購或租賃的數位系統，應公開原始程式碼，讓外界檢視並協助改善系統或偵測漏洞，並利用開源程式碼推動創新，避免萬年廠商壟斷，政府只能聽之任之的問題。另外，開放資料應加重機關對開放資料的正確認知與接受度，避免機關偏向以數字為主的評比；數發部應重視開放文化，檢視軟體授權的採購與使用，以自由、開源軟體為預設選項，除支持開源軟體，也能降低軟體授權支出。</p> <p>該聲明也呼籲，希望政府完善相關的法制基礎，對外說明其治理框架，並重視公部門培力、數位人權保障、建立公私協力機制、促進民主參與、落實開放原始碼及開放資料，以建立宏觀的數位治理藍圖。</p> </div></div></div>
2022/7/8 19:50作者蘇文彬https://www.ithome.com.tw/news/151864
零售IT雙周報第3期：全聯由第一線人員領軍進攻團購市場，用自家App發起團購領獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0626~0709)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#App團購</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第一線員工經營社群</span></strong></span></p> <p><strong>全聯App推出團購功能，由第一線員工作為團購主在顧客結帳時行銷</strong></p> <p>全聯在自家PX Pay App上新增加入團購功能，這些團購由全聯第一線員工作為團購主發起。團購主還負責決定商品、線下推銷及經營團購社群，並可領取分潤獎金和加碼獎金。</p> <p>全聯PX Pay會員已經突破800萬，且近期積極推行PX Pay App使用情境，包括規定結帳累積會員點數時，不再能口頭告知電話號碼，而是必須打開App讓收銀員掃描QR Code。收銀員則可以趁消費者開啟App時，把握機會推銷團購功能及團購商品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影像分析</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#線下購物行為追蹤</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人商店</span></strong></span></p> <p><strong>Amazon利用影像分析數據，增加更多線下購物行為追蹤的數據點</strong></p> <p>線下購物行為追蹤，不再只是看進出商店跟購物清單。<a href="http://https://www.aboutamazon.com/news/retail/amazon-launches-new-physical-retail-store-analytics-service">Amazon推出數據行銷服務Store Analytics</a>，結合人收銀技術的影像分析數據，追蹤消費者發現商品的動向、貨架上取放商品、考慮情況等細節，甚至能追蹤消費者是當場購買商品，還是之後線上購買。</p> <p>過去線下購物行為追蹤，通常在出入口處設置感應器，以統計消費者在店內時間、先進一點則有定點影像分析，觀察消費者於結帳處的行為。要蒐集更多細節，只能想辦法讓消費者自行提供，相當不便。Amazon自助結帳技術Just Walk Out跟Dash Cart，則是利用遍及全店面的攝影機和購物車數據，追蹤並分析消費者店內購物行為。（<a href="https://ithome.com.tw/news/151842">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#全通路零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AR技術</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#線下個人化推薦</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#模擬室內設計</span></strong></span></p> <p><strong>Walmart將推出AR工具，線下購物也能瀏覽個人化商品資訊</strong></p> <p>Walmart宣布<a href="https://corporate.walmart.com/newsroom/2022/06/23/new-features-put-ar-shopping-experiences-right-in-customers-pockets-at-home-and-in-stores">將推出兩個AR小工具</a>，輔助消費者購物決策。其中一項工具，可以在線下商場顯示出顯示出個人化資訊。透過手機掃描商場貨架或商品，就能根據個別消費者資料，顯示相關資訊。例如，可以顯示特定不含特定過敏成分的食材，或是適用消費者所持折價券的商品。此功能目前還在開發階段，沒有明確推出時間。</p> <p>另一項工具是室內設計模擬工具，能在手機攝影機畫面中即時加入家具與擺設品，並調整顏色、角度等設定，也能直接將用到的品項加入購物車。此功能今年7月就會推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walm1.png" style="width: 600px;" /></p> <p>近期Walmart對相當重視AR技術，<a href="https://corporate.walmart.com/newsroom/2022/06/29/walmart-to-acquire-ar-optical-tech-company-memomi">6月底也宣布將收購眼鏡及視力測驗AR技術公司Memomi</a>，結合AR技術提供更多無接觸視力測驗、模擬眼鏡試戴等功能。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#模擬室內設計</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#全通路零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI物件辨識</span></strong></span></p> <p><strong>Ikea推出AR室內設計體驗，甚至可以編輯App中的現實擺設</strong></p> <p><a href="https://www.ikea.com/us/en/home-design/">Ikea推出AR室內設計工具Ikea Kreativ</a>，可以模擬自家房間或預設展示間的室內設計。這套工除了加入更多家具與擺設品，還能透過AI物件辨識技術，在App的模擬空間中刪除既有擺設。這個功能，讓使用者不必先淨空自己房間，就能直接調整現有室內擺設搭配，也支援了更多應用情境，例如換掉沙發、換床架等現有擺設，而不只是單純填滿空蕩的空間或牆面。</p> <p>Ikea Kreativ的設計專案存在雲端，因此使用者能轉換到不同裝置來進行同一份室內設計專案，也可以分享給其他人，或轉移到行動裝置後帶到實體店面參考。設計完畢後，使用者能直接下單設計時用到的商品，或儲存到購物清單中。<br /><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#無店面零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#AI圖像辨識</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#消費者族群分析</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#模擬試穿試戴</span></strong></p> <p><strong>結合消費者族群分析及數位成像，瑞典新創推智慧眼鏡試戴</strong></p> <p>瑞典眼鏡公<a href="https://retailtechinnovationhub.com/home/2022/6/28/ieye-teams-with-sony-digital-imaging-for-eyewear-shopping-push">司新創ieye推出快閃視力測驗亭</a>，消費者現場測驗完就會收到AI自動生成的模擬試戴照片。</p> <p>AI會根據消費者臉型、髮型等外型資訊，再對比與消費者相近年齡、性別、國籍等身分族群的購買偏好，挑選出推薦款式。接著，再利用Sony數位成像技術，在1分鐘內生成500張個人化的模擬試戴圖片給顧客。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自助結帳</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#亞太地區</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#無現金支付</span></strong></p> <p><strong>英國研究：自助結帳機出貨量6年增加50%，來到一年30萬臺</strong></p> <p>根據<a href="https://www.rbrlondon.com/wp-content/uploads/2022/06/SCO22_Press_Release_270622.pdf">英國Retail Banking Research研究</a>，全球自助結帳機出貨量從2020年不到18萬臺，成長到2021年快20萬臺，預計2027年出貨量會到30萬臺。研究認為，這些需求主要來自亞太區域，尤其是中國大型零售商。</p> <p>自助結帳機市場近年快速成長，研究也指出一些發展趨勢。首先，無現金結帳機臺通常尺寸較小，因此逐漸受到更多零售商青睞。從出貨機臺種類中，也能觀察到無現金支付的機臺，出貨占比增加了8%，來到61%。另外，為了讓結帳流程更流暢，自助結帳科技開始應用自動掃描、生物辨識等科技，縮短消費者停留在結帳處的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cashierless.jpg" style="width: 600px;" /></p> <blockquote><p>無現金支付的機臺在2021年出貨占比增加了8%，來到61%。</p> </blockquote> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自動化物流</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#倉儲管理</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#物流機器人</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#自動迴避功能</span></strong></p> <p><strong>Amazon揭露全自動化物流機器人，可以自主閃避障礙物</strong></p> <p><a href="http://https://www.aboutamazon.com/news/operations/10-years-of-amazon-robotics-how-robots-help-sort-packages-move-product-and-improve-safety">Amazon公開自家首款全自動化物流機器人Proteus</a>，可以用來移動物流中心內用來裝貨的臺車。由於Proteus可以自動迴避障礙物，因此Proteus得以部署在有人類員工的區域，不必被侷限在無人區域運作。（<a href="https://www.ithome.com.tw/news/151575">詳全文</a>）</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#OMO零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#數位轉型</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#零售業科技投資</span></strong></p> <p><strong>屈臣氏加碼34億科技預算，推動數位轉型及發展OMO零售科技</strong></p> <p>全球超過16,000家零售門市的屈臣氏集團，<a href="https://www.aswatson.com/a-s-watson-injects-additional-hk900m-in-technology-to-deliver-easier-and-faster-oo-customer-shopping-experience/">宣布今年將追加超過34億元科技預算</a>，以提供電子商務科技部門elab和線下店面科技部門Techlab更多資源，推動數位轉型及發展「O+O購物體驗」。</p> <p>屈臣氏投資重點包括消費者體驗科技及後臺科技。消費者體驗方面，三大重點是線上線下美妝購物解決方案、AI驅動的個人化消費體驗以及實體店面科技，例如電子支付系統和智慧貨架。後臺科技的三大重點則是大數據管理和視覺化分析科技、資訊安全及行銷優化。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#庫存管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RFID</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#雲端管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#供應鏈管理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧補貨通知</span></strong></span></p> <p><strong>Hugo Boss採用RFID跟雲端管理技術，即時追蹤全球千家分店存貨</strong></p> <p>全球超過1200家分店的高價男裝品牌Hugo Bos<a href="https://www.nedap-retail.com/hugo-boss-partners-with-nedap-for-global-rfid-roll-out/">s導入Nedap即時存貨追蹤解決方案</a>，結合RFID跟雲端管理平臺，追蹤全球所有分店的即時存貨情況。分店店員可以透過管理用App，於銷貨和補貨的同時也更新存貨狀態，App還會根據存貨狀態發出補貨提醒。</p> <p>即時掌握全球分店存貨狀態，Hugo Boss不只能掌握自家全球供應鏈情形，也更容易提供從分店出貨或到店取貨等服務。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#企業數據平臺</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#OMO零售</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#數據網格</span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#供應鏈管理</span></strong></p> <p><strong>H&M打造核心網路，進行全生態系數據分析及共享</strong></p> <p><a href="https://www.prnewswire.com/news-releases/google-cloud-announces-new-partnership-with-global-fashion-retailer-301578534.html">H&M採用GCP雲端服務來打造企業核心網路</a>，以支援跨通路消費者體驗優化跟供應鏈管理。這個核心網路包括核心數據平臺以及分析生產數據後形成的數據產品，並搭載AI和ML功能輔助數據分析及應用。H&M也會建立企業數據網格，讓線上線下店面、品牌生態系的其他店家以及供應商都能存取各種事件跟數據。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p><a href="https://www.cna.com.tw/news/afe/202206260060.aspx">遠時（Friday購物）完成核心系統重構並大幅改善運作效率後，精簡了20%人力</a></p> <p>資料來源：iThome整理，2022年7月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/7/8 16:40作者郭又華https://www.ithome.com.tw/news/151859
【資安日報】2022年7月8日，駭客組織Lazarus濫用GitHub控制惡意軟體VSingle、婚禮司儀培訓機構的A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客組織Lazarus近期鎖定日本的攻擊行動，可說是相當引起研究人員的關注，原因是這些駭客採用了過往相當少見的手法，來提供惡意程式連線C2伺服器IP位址──他們將IP位址存放於特定的GitHub帳號，再讓惡意程式從GitHub取得相關資訊，進而迴避研究人員直接從惡意程式本身找到C2伺服器位址的情況。</p> <p>這類手法先前已有駭客採用，但他們濫用的是Google Drive、OneDrive等檔案共享服務，而如今駭客轉移目標，濫用程式碼代管服務，由於這種服務也常會有資安人員上傳概念性驗證的攻擊程式碼，使得要防堵駭客濫用的行為可能會變得更加困難。</p> <p>AWS S3儲存桶配置不當的情況，先前多半是企業與政府機關，在今天的資安新聞裡，這個沒有配置適當防護措施是美國的非營利組織，其主要業務是專門培訓牧師為新人主持結婚典禮。這些曝光的資料多達630 GB，使得結婚的新人、證婚的牧師個資，以及參與婚禮的親友名單都可能讓他人隨意存取。</p> <p>在6月下旬公布的OpenSSL漏洞CVE-2022-2274，這項漏洞在2個星期後獲得了修補，使用3.0.4版的用戶應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blogs.jpcert.or.jp/en/2022/07/vsingle.html"><span style="color: rgb(0, 0, 0);">駭客組織Lazarus濫用GitHub，遠端控制惡意軟體VSingle</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/VSingle-fig1_en.png" style="width: 300px; float: right;" /></a>北韓駭客組織Lazarus（亦稱Hidden Cobra）從2020年開始，<a href="https://www.ithome.com.tw/news/148151">利用名為VSingle的惡意軟體攻擊日本組織</a>，但近期這些駭客採用了更為隱密的通訊方式，而使得研究人員更難以追查行蹤。</p> <p>日本電腦緊急應變小組（JPCERT/CC）於7月5日指出，Lazarus改造了他們的後門程式VSingle，研究人員發現其通訊方式出現變化，此惡意軟體本身有3組預設C2伺服器IP位址，但在上述C2伺服器都無法存取的時候，VSingle會先連上GitHub取得新的C2伺服器IP位址，而過程中會隨機從超過10組使用者與儲存庫名稱裡，隨機挑選其中一組來進行連線，來取得新的C2伺服器位址。</p> <p>研究人員發現，駭客不只繼續發展先前的Windows版VSingle，也開始使用Linux版惡意軟體，而兩者與C2伺服器通訊、執行命令的方法也有所不同──前者濫用作業系統的API，後者則是利用wget來接收並執行駭客下達的命令。JPCERT/CC認為，駭客利用合法伺服器或是雲端服務來藏匿行蹤的情況，不時有事故發生，他們呼籲組織要管制伺服器能存取的外部網路範圍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.websiteplanet.com/blog/amm-breach-report/"><span style="color: rgb(0, 0, 0);">美國非營利婚禮司儀培訓機構的AWS S3儲存桶不設防，曝露630 GB婚禮相關資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/us-constitutional-church-leaves-ministers-data-unsecured-2.png" style="width: 300px; float: right;" /></a>又是AWS S3儲存桶配置不當而造成資料曝露的情況，而且還是與許多民眾的終生大事有關。提供架設網站教學的Website Planet於今年4月26日發現，專門培訓婚禮主持人的美國非營利組織American Marriage Ministries（AMM），他們所屬的AWS S3儲存桶，在2018年3月31日至2022年4月的期間，沒有設置密碼或是採取加密等保護措施，使得該單位存放約18.5萬名牧師與1.5萬對夫妻婚禮的資料，任何人都有可能隨意取用。</p> <p>研究人員看到逾50萬張任命牧師主持婚禮的證書，以及14萬張婚禮的合照照片。該儲存桶總共存放了高達630 GB的資料，研究人員已向AMM與US-CERT通報，但尚未確定這些資料是否已經遭到駭客存取。AMM於5月11日為此儲存桶採取了保護措施，並表示會著手進一步調查。</p> <h3><strong style="font-size: 22px;"><a href="https://checkmarx.com/blog/cuteboi-detected-preparing-a-large-scale-crypto-mining-campaign-on-npm-users/"><span style="color: rgb(0, 0, 0);">駭客組織CuteBoi發動軟體供應鏈攻擊，散布逾1,200個惡意NPM套件</span></a></strong></h3> <p>駭客組織散布惡意NPM套件的手法，已經演變成以自動化的方式進行，甚至能突破NPM上架流程的雙因素驗證（2FA）措施。</p> <p>資安業者Checkmarx近期發現了1,283個惡意NPM套件，駭客CuteBoi運用了超過1千個帳號來上架這些套件，所有的套件共通點，就是都包含了幾乎與名為eazyminer套件完全相同的程式碼，該套件是挖礦軟體XMRig的JavaScript包裝器，用途是徹底運用受害電腦閒置的運算資源。</p> <p>研究人員指出，這些套件本身看似無害，但內含的eazyminer程式碼所具備的挖礦能力，需要透過外部的工具呼叫，因此，挖礦軟體不會在這些NPM安裝之後就立刻執行，受害者很有可能沒有發現異狀。</p> <p>但在NPM已從今年初逐步要求套件開發者使用雙因素驗證機制的情況下，駭客又是如何突破並上架套件呢？研究人員根據CuteBoi建立NPM帳號的網域，推測駭客使用了mail.tm的拋棄式電子郵件服務，並透過REST API建立電子郵件帳號，使他們在自動化攻擊流程能夠通過NPM的雙因素驗證機制。該公司指出，目前仍有上千個惡意NPM套件尚未下架，他們設置了專屬網站（<a href="https://cuteboi.info/">https://cuteboi.info/</a>）來隨時更新此攻擊行動的後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-22-21"><span style="color: rgb(0, 0, 0);">舊版SMB檔案服務再遭鎖定！勒索軟體Checkmate攻擊提供相關服務的威聯通NAS設備</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Checkmate_ransom_note.png" style="width: 300px; float: right;" /></a>駭客鎖定網路儲存設備NAS發動勒索軟體的情況，似乎有越來越嚴重的趨勢，近期有新的駭客組織也發動相關攻擊。威聯通（QNAP）於7月7日提出警告，指出該公司旗下的NAS設備遭到勒索軟體Checkmate攻擊，此勒索軟體鎖定提供舊版SMB服務（SMB v1）的NAS設備，藉由字典攻擊來進行暴力破解，進而在受害的NAS設備加密檔案，並留下檔名為!CHECKMATE_DECRYPTION_README的勒索訊息。該公司呼籲用戶應停用舊版SMB服務，並使用最新版本的作業系統來防堵相關攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-warns-of-new-checkmate-ransomware-targeting-nas-devices/">根據資安新聞網站Bleeping Computer的調查</a>，此勒索軟體的攻擊行動首度於5月28日出現，受害者需支付1.5萬美元的贖金，才能換到解密金鑰。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/follina-rozena-leveraging-discord-to-distribute-a-backdoor"><span style="color: rgb(0, 0, 0);">駭客利用Follina漏洞散布惡意軟體Rozena</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1657126208232.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1657126208232.png" style="width: 300px; float: right;" /></a>研究人員於5月底揭露Windows支援診斷工具（MSDT）漏洞Follina（CVE-2022-30190），已有多起利用此漏洞的攻擊行動出現，現在出現了更為複雜的攻擊手法。</p> <p>資安業者Fortinet發現，有人利用惡意Word文件與Follina漏洞，從即時通訊軟體Discord伺服器下載惡意程式Rozena，並藉由圖示與檔案名稱（Word.exe），將其偽裝成Word主程式，同時，為了不讓受害者察覺電腦遭到攻擊，駭客也下載另一個無害的Word檔案。</p> <p>一旦Rozena被執行，該惡意程式就會透過PowerShell執行Shikata Ga Nai（SGN）編碼加密的Shell Code，進而啟動反向Shell並連線到攻擊者的主機，完成後門的建置。研究人員呼籲使用者應儘速修補Follina漏洞，來防堵相關攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.openssl.org/news/secadv/20220705.txt"><span style="color: rgb(0, 0, 0);">OpenSSL發布3.0.5版，修補嚴重程度可能比擬Heartbleed的漏洞</span></a></strong></h3> <p> 在6月下旬有研究人員揭露加密程式庫OpenSSL的漏洞CVE-2022-2274，這項漏洞使得支援AVX512指令集的64位元處理器在解析2048位元RSA私鑰發生錯誤，進而導致記憶體被破壞，攻擊者一旦利用這項漏洞，就有可能發動RCE攻擊，嚴重程度有可能接近2014年出現的Heartbleed。對此，OpenSSL於7月5日發布3.0.5版予以修補，使用3.0.4版的用戶應儘速更新。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://ccoe.narlabs.org.tw/activity/37"><span style="color: rgb(0, 0, 0);">資安卓越中心公布建置成果</span></a></strong></h3> <p>行政院資通安全處於去年8月底，橫向整合跨部會資源，提出資安卓越中心計畫，成立資安卓越中心（CCoE），發展數位應用資安生態系。此計畫由科技部支援資安處辦理，擬定資安前瞻研究、頂尖實戰人才養成、國際合作，以及技術移轉創新育成等發展項目，來規畫並建置資安卓越中心。今天（7月8日）該中心於臺北科技大學發表此建置計畫的成果，除介紹該中心的服務項目，並對於密碼研究、網路威脅防禦、網路資料分析，以及人才培育等工作的推動進行說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://blog.checkpoint.com/2022/07/06/amazon-prime-day-or-amazon-crime-day-dont-fall-victim-to-phishing-warns-check-point-software/"><span style="color: rgb(0, 0, 0);">駭客盯上Amazon會員日活動，對買家發動釣魚郵件攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-copyright-complaints-push-icedid-malware-using-yandex-forms/"><span style="color: rgb(0, 0, 0);">駭客以圖片著作權侵犯為由，散布IcedID軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-affects-657-healthcare-orgs/"><span style="color: rgb(0, 0, 0);">已有657個醫療保健機構疑遭勒索軟體Quantum攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.intezer.com/blog/incident-response/orbit-new-undetected-linux-threat/"><span style="color: rgb(0, 0, 0);">惡意軟體OrBit鎖定Linux主機竊密</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.secuinfra.com/en/techtalk/whatever-floats-your-boat-bitter-apt-continues-to-target-bangladesh/"><span style="color: rgb(0, 0, 0);">駭客組織Bitter鎖定孟加拉軍事單位下手</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/151835">【2022年7月7日】萬豪飯店遭駭客入侵20 GB資料疑外洩、俄羅斯駭客APT29濫用滲透測試工具Brute Ratel C4發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/151813">【2022年7月6日】惡意NPM元件恐影響數百個網站與應用程式、德國發布衛星網路的資安防禦指引</a></p> <p><a href="https://www.ithome.com.tw/news/151771">【2022年7月5日】駭客聲稱從中國警方取得10億民眾個資、Google修補Chrome瀏覽器零時差漏洞</a></p> </div></div></div>
2022/7/8 16:37作者周峻佑https://www.ithome.com.tw/news/151858
Cloud周報第149期：Google Cloud將Google地球引擎工具變成企業永續視覺化工具，最遠可追溯50年且…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（06/30～07/06）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型主機上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">z/OS </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>IBM大型主機雲端服務Wazi as a Service推出上線，可供用戶在公雲環境開發及測試z/OS應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(2).png" style="width: 600px; height: 272px;" /></p> <p>經過近4個月封閉測試後，IBM近日悄悄宣布其大型主機雲端服務Wazi as a Service已於6月30日推出上線，未來可供大型主機用戶在混合雲中進行雲原生應用測試與開發。</p> <p>根據IBM說明，透過這項新服務，讓z/OS開發人員可以在IBM VPC虛擬私有雲環境中，建立大型主機開發環境，使用虛擬伺服器實例（VSI）進行應用程式開發和測試。IBM還釋出一個Wazi Image Builder映像檔建立工具，可供用戶建立Wazi as a Service基礎架構實例，再把建完的映像檔上傳到IBM雲端物件儲存服務上儲存的VSI實例，用於 z/OS應用開發和測試，並依使用量來收費。</p> <p>該服務也整合CI/CD流程來加快程式開發、測試及部署。此前，IBM也宣稱這項服務讓z/OS開發和測試的部署時程，由數星期縮短到6分鐘。IBM表示，以IBM Cloud進行大型主機應用的開發，兼具私有雲的安全性及公共雲高可用的特性，也符合成本效益和擴展性。</p> <p>雖說是大型主機雲端服務，但Wazi as a Service目前僅用於新應用開發和測試，尚未提供對既有z/OS應用程式進行重構或重新設計的服務，也無法用於執行生產環境中的工作負載，如構建正式環境模組、發布前測試、壓力或性能測試等。</p> <p>該服務目前僅開放給IBM Cloud位於日本東京、巴西聖保羅、加拿大多倫多和英國倫敦區域用戶採用，且須通過其銷售管道取得資格方能使用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FedEx </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">大型主機汰換 </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>美快遞巨頭FedEx為轉型積極上雲，目標2024年將IT系統全面搬上雲</strong></span></p> <p>聯邦快遞（FedEx）近日在線上投資人說明會上揭露自家上雲策略，將於2024年將IT系統全面搬上雲。預估每年可節省4億美元。</p> <p>早在2年前，FedEx就開始自己的數位轉型計畫，並採取雲端優先策略，來逐步汰換老舊大型主機，並將服務應用搬上雲，過去2年相繼與Oracle Cloud及微軟Azure展開合作。</p> <p>FedEx資訊長Rob Carter在會中表示，過去10年來，公司持續簡化技術和系統架構，以提高生產效率，安全和可靠性來創造價值。而上雲更是該公司擁抱現代化IT架構的重要一步，來加速服務創新。</p> <p>儘管，FedEx沒有透露目前有多少座資料中心仍在運作，但Rob Carter表示，未來2年內計畫關閉剩下的資料中心及移除最後20%的大型主機，並把其餘本地應用遷上雲，使其更容易部署和用於線上交易市集和公司業務。</p> <p>上雲也是該公司發展數據應用的重要一環，FedEx未來將運用三大類數據，包含內部數據、顧客數據以及外部生態系在內的數據，來優化內部作業、提高顧客體驗，以及幫助公司從電商交易中帶來更多營收。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Google Cloud將科學研究用的Google地球引擎，變成一套永續視覺化工具</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap30.png" style="width: 600px; height: 286px;" /></p> <p>在近日一場永續高峰會上，Google Cloud宣布推出<a href="https://earthengine.google.com/commercial/">新的永續視覺化工</a>具，用以協助企業更容易投入永續發展。目前已推出上線</p> <p>Google Cloud推出名為Google地球引擎（Google Earth Engine）的永續視覺化工具，過去這套引擎僅供科學家與非政府組織研究之用，用於非商業用途，現在Google Cloud把這套工具放進永續產品及服務中，企業可以透過上百顆衛星觀測數據，即時監看產品原料使用過程中，對環境及特定地區可能帶來的影響，持續加以改善，也能查看一段時間內變化，還能回看歷史數據，最遠可追溯至50年前且每15分鐘更新頻率的全球地理數據，幫助公司持續改進朝向永續邁進。</p> <p>另外，針對Carbon Sense套件也有更新，在碳報告製作中添加新數據，使雲端架構師和管理者更容易將永續落實到各自工作流程中，Google Cloud預告，明年初將推出Google Workspace的碳足跡報告功能，以後企業使用Gmail、Meet、Docs等服務產生的碳排量都能掌握。</p> <p>Google Cloud還發起一項全天候使用無碳能源試驗計畫，盼透過資訊共享和各種追蹤工具提供，幫助企業實現永續。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">公雲服務市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IaaS與PaaS </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>2022年全球第1季公雲服務市場規模成長逼近3成，達1,260億美元</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 417px;" /></p> <p>市場研究機構 Synergy Research最近<a href="https://www.srgresearch.com/articles/public-cloud-ecosystem-quarterly-revenues-leap-26-to-126-billion-in-q1">公布</a>全球第1季公有雲市場變化的最新數據，與2021年同期相比，市場規模成長26％，達到1,260億美元，其中增長幅度最高為IaaS 和PaaS應用，主要來自三大公雲服務，共增長了36％，金額超過440億美元。在私有雲代管服務、企業SaaS和CDN服務方面合計增加540億美元，也高於去年平均21％的增比。</p> <p>從公雲服務業者來看，以三大公雲業者Azure、AWS和Google Cloud及雲端CRM巨頭Salesforce占公雲服務銷售大宗，若加上Adobe、阿里雲、思科、Dell、Digital Realty、IBM、Inspur、甲骨文、SAP 和VMware等主要公雲業者，合計有達60％市占。另以地區來看，美國仍然是雲端業務成長最快的地區，占所有雲端服務收入的44％，同時占用超大規模資料中心過半容量，也是所有地區中最多，至於中國則是居次。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> H&M集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲旅程 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>歐洲服飾零售巨頭H&M決定上雲，要打造集團的數據骨幹，更要導入AI應用提高顧客體驗</strong></span></p> <p>歐洲最大服飾零售商H&M集團近來開始擁抱雲端，不只將數據搬上雲，更要打造一個數據網格，能夠快速取得所有類型數據和事件資料，包括實體門市、線上商店、品牌生態系統及其供應商在內的資料都要能夠迅速從雲端數據網格中取得。H&M找上Google Cloud合作，將使用其雲端服務，建立自己集團的數據骨幹，未來更要借助雲端AI、ML服務，從這些巨量數據分析中，幫助他們找出提高顧客體驗，以及優化供應鏈最佳作法。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 淨零碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">阿里雲 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>進軍全球永續市場，阿里雲發表雲端碳排管理平臺Energy Expert </strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964-%E5%9C%964_Cloud%E5%91%A8%E5%A0%B1(1).png" style="width: 600px; height: 336px;" /></p> <p>不讓三大公雲專美於前，中國阿里雲近日宣布，除了中國本地，將在全球推出一個碳排管理平臺Energy Expert，可供企業測量、分析、管理碳排，以及提供節能建議。</p> <p>根據阿里雲的說明，透過這套碳排管理平臺，可以自動化進行碳排計算並產生報告，除了可產生線上報告，還提供了視覺化儀表板，方便管理者來觀看和擬定決策。該平臺也能與阿里雲上AI服務相結合，用於能源效率和排放預測分析，並提供建議，協助企業改善碳排以減少對環境的影響。</p> <p><strong>圖片來源／</strong> Cloudflare<strong>、</strong>HPE</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.AWS EKS Anywhere部署服務正式支援裸機，可供企業於本地端建立和操作Kubernetes叢集 </strong></strong></p> <p><strong><strong>2.甲骨文推出比OCI公雲更小規模的專用區域，可因應企業低延遲、資料落地要求</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> </div></div></div>
2022/7/8 16:17作者余至浩https://www.ithome.com.tw/news/151857
Reddit發表基於Polygon區塊鏈的虛擬替身市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redditinc.com/blog/blockchain-backed-collectible-avatars-coming-to-reddit-via-new-storefront" target="_blank">Reddit於7月7日發表</a>了基於Polygon區塊鏈的虛擬替身市集Collectible Avatars，這些虛擬替身都是由不同的藝術家所創作的限量版產品，採用固定售價，可透過法幣購買，且藝術家在每次的交易都可獲得補償，雖然它看起來就像是非同質化代幣（Non-Fungible Token，NFT），但Reddit卻通篇未使用NFT字眼。</p> <p>其實Reddit早在2015年就推出Avatar Builder虛擬替身服務，讓使用者打造自己的虛擬替身並作為個人檔案的頭像，也與Netflix、Riot Games及Australian Football League合作，提供這些品牌的虛擬替身供Reddit用戶選擇。然而，Reddit這些早期的虛擬替身服務都是免費的，也一直到Collectible Avatars才使用區塊鏈技術。</p> <p>Reddit的一般用戶可使用當地的法幣購買Collectible Avatars上的作品， Reddit Premium用戶則可免費取得作品，買家將獲得使用作品的授權，且不管是Reddit站內或站外都能使用，所購得的虛擬替身可存放於Reddit的Vault區塊鏈錢包內。</p> <p>換句話說，在Collectible Avatars上購買的虛擬替身是可攜的，而且就算之後再售出，藝術家仍可獲得補償，它的規則跟NFT幾乎一模一樣，只是Reddit顯然不想使用NFT這個詞。</p> <p>Collectible Avatars預計要在幾周後才會正式上線，有興趣的使用者也可先加入<a href="https://reddit.com/r/CollectibleAvatars" target="_blank"> r/CollectibleAvatars社群</a>參與相關討論。</p> </div></div></div>
2022/7/8 13:37作者陳曉莉https://www.ithome.com.tw/news/151854
Netflix開始支援空間音訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/netflix-spatial-audio" target="_blank">全球最大串流媒體平臺Netflix（網飛）本周宣布開始支援空間音訊（Spatial Audio）</a>，讓用戶透過一般電視機或裝置觀賞影片時，亦能體驗到環繞於四周的聲音效果，最先具備空間音訊的影片為《怪奇物語》（Stranger Things）第四季，未來會有更多影片支援該功能。</p> <p>空間音訊可操控喇叭或耳機所產生的音效，讓聲音聽起來像是環繞在使用者的四周，Netflix是與知名的音訊裝置品牌Sennheiser合作，採用Sennheiser所開發的AMBEO 2-Channel Spatial Audio技術，將聲音轉換成擁有3D感的空間音訊，而Netflix亦為AMBEO 2-Channel Spatial Audio系統的首家用戶。</p> <p><a href="https://en-uk.sennheiser.com/newsroom/new-audio-experience-now-streaming-on-netflix-ioi66i" target="_blank">Sennheiser說明</a>，AMBEO 2-Channel Spatial Audio是個身歷其境的雙聲道渲染，可直接用來取代立體聲，它可改善各種立體聲的聲音體驗，從電視、立體聲系統、耳機、平板電腦到筆電等。</p> <p>事實上，Netflix也已將AMBEO 2-Channel Spatial Audio作為任何使用雙聲道的預設音效，因此，當使用者以立體聲觀賞節目或電影時，若相關內容支援空間音訊，即會自動啟用。使用者亦可於Netflix搜尋列中輸入「空間音訊」來尋找已支援該聲音效果的節目或影片。</p> <p>不過，空間音訊主要是用來改善立體聲音訊，若使用者家中已配置環繞音效喇叭，Netflix依然建議使用者以5.1 環繞音效或 Dolby Atmos 觀賞節目與電影。</p> </div></div></div>
2022/7/8 12:30作者陳曉莉https://www.ithome.com.tw/news/151852
OpenSSL 3.0.4漏洞可引發RCE，更新版已釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mta.openssl.org/pipermail/openssl-announce/2022-July/000231.html" target="_blank">OpenSSL維護組織本周釋出最新版3.0.5</a>，以解決近日一項更新造成的遠端程式碼執行（remote code execution， RCE）漏洞。</p> <p>6月21日釋出的OpenSSL 3.0.4是為了解決一個指令注入漏洞CVE-2022-2068，不料卻引發新漏洞。<a href="https://www.ithome.com.tw/news/151663" target="_blank">研究人員Guido Vranken及Xi Ruoyao 6月中發現</a>位於OpenSSL加密演算法之中，可被攻擊者輕易觸發造成記憶體毁損，屬堆積緩衝溢位漏洞。<a href="https://www.openssl.org/news/secadv/20220705.txt" target="_blank">OpenSSL本周終於發出安全公告</a>，並以CVE-2022-2068為名追蹤。</p> <p>根據OpenSSL說明，3.0.4版造成RSA 2048-bit私有金鑰的實作錯誤，影響支援AVX512IFMA指令的X86_64 CPU，會在搭載這些CPU的機器上引發記憶體毁損。記憶體毁損的結果可使攻擊者在這些機器上遠端執行程式碼。</p> <p>美國NIST漏洞資料庫未給予CVE-2022-2274漏洞風險值，但<a href="https://access.redhat.com/hydra/rest/securitydata/cve" target="_blank">Red Hat將之定為8.1</a>。</p> <p>所有使用支援AVX512IFMA指令的X86_64 CPU，且執行2048-bit RSA私有金鑰的SSL/TLS（或其他）伺服器會受到CVE-2022-2274漏洞影響。早前的OpenSSL 1.1.1及1.0.2則不受漏洞影響。</p> <p>上周研究人員Xi Ruoyao已經先提供了漏洞修補程式，但是OpenSSL更新版尚未釋出，一些用戶被迫先移除有風險的3.0.4版，而曝露於舊漏洞風險之中。OpenSSL維護單位呼籲OpenSSL 3.0.4用戶應儘速更新到3.0.5版本。</p> <p>OpenSSL 3.0.5可經由<a href="https://www.openssl.org/source/" target="_blank">HTTPS</a>及<a href="http://ftp://ftp.openssl.org/source/" target="_blank">FTP</a>協定下載修補程式，也提供<a href="https://www.openssl.org/source/mirror.html" target="_blank">FTP鏡射站點</a>下載。</p> </div></div></div>
2022/7/8 12:52作者林妍溱https://www.ithome.com.tw/news/151853
馬斯克棄買推特傳言再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技鉅子馬斯克（Elon Musk）收購推特的可能性似乎愈來愈小。<a href="https://www.washingtonpost.com/technology/2022/07/07/elon-musk-twitter-jeopardy/" target="_blank">華盛頓郵報周四（7/7）報導</a>，假帳號比例爭議未決所致，這個案子現在「危險了」（in peril）。</p> <p>媒體引述三名消息人士報導，馬斯克陣營已經停止針對推特的收購案和銀行團等投資人進行討論。消息人士也透露，馬斯克對假帳號及垃圾貼文的資料確實存疑，使這個收購案很快將有極大方向變化。</p> <p>才在同一天，<a href="https://www.reuters.com/technology/twitter-says-it-removes-over-1-million-spam-accounts-each-day-2022-07-07/" target="_blank">推特執行長Parag Agrawal才對媒體表示</a>打擊假帳號及垃圾訊息有很大進展，該公司每天移除超過100萬個假帳號。</p> <p>自從<a href="https://www.ithome.com.tw/news/150920" target="_blank">5月馬斯克公開質疑</a>推特公開資料未能真實反映平臺上實際假帳號比例，又認為推特的答覆不足以證明其說法，這位科技首富已多次威脅要中止收購。6月初<a href="https://www.ithome.com.tw/news/151310" target="_blank">一份向美國證管會提交的文件</a>指責推特迄今提供相關資訊不足，已經明顯違反被收購公司的義務，有可能導致他終止收購。</p> <p><a href="https://www.ithome.com.tw/news/151517" target="_blank">但在上個月</a>馬斯克在接受媒體訪問時仍然展現對推特的期望，希望它能成為10億用戶線上生活的社交平臺，而他也會更緊密參與推特的產品開發。</p> <p>一旦馬斯克方面真的終止收購，根據雙方協議，其陣營必須支付推特10億美元的終止交易費用。<a href="https://www.theverge.com/2022/7/7/23199137/elon-musk-twitter-spam-account-bot-data-breakup" target="_blank">但媒體分析</a>想必最後會經歷一場持久官司戰，才會決定馬斯克是不是需要付費出場。</p> </div></div></div>
2022/7/8 10:27作者林妍溱https://www.ithome.com.tw/news/151847
強化資安捍衛者實力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>欲戴王冠，必承其重（Heavy is the head who wears the crown），對於大型企業而言，一定深有同感，而面對快速變化、蔓延的網路威脅態勢，這也註定是一場永無止盡的戰爭，而長期處於各種資安攻擊的最前線的微軟更是如此，他們累積30年的實務經驗，或許能成為許多組織的借鏡。</p> <p>關於微軟資安的現況，以及未來的展望，在今年恢復實體舉辦的RSA資安大會期間，微軟安全、合規、身分識別和管理事業群全球副總裁Vasu Jakkal發表演講，提出說明，當中提到許多鼓舞大家投入資安的論點。</p> <p>在RSA資安大會上，她特別呼籲各界對於資安防護的作法必須要大幅進化，關鍵有三，分別是：技術創新、人才的靈巧心思與專門技術，以及防禦者社群的包容性。</p> <p>所謂的技術創新，是指我們需要善用雲端服務、人工智慧、機器學習等技術，讓防禦機制從仰賴人為反應而難以加快的速度，提升至機器等級的速度，若無上述技術，我們很難大幅擴展防禦，抵擋無孔不入、快速來襲的網路攻擊，打贏這場不對稱戰爭。</p> <p>關於人工智慧的資安應用，微軟表示，他們目前最擅長的部分是在偵測工作，目前正在發展資安事故的圖學處理，期盼能完整呈現整體態勢，預計未來一到兩年內，做到即時阻斷事故、資安狀況的意識、精準防護，在這之後，他們希望能提供動態適應的推論與防護能力，以此增益資安應用。但要達成這樣的目標，微軟認為需要更多資料共享，完成訓練的資安人工智慧與機器學習模型，以及人工智慧的可解釋性（explainability）。</p> <p>Vasu Jakkal說，若我們得到更多資料，就能更加了解每個環節。為何她這麼說？攻擊者經常跨越許多領域，例如，端點、電子郵件、身分，存在著組織的邊界、國與國之間的邊界，他們眼中根本沒有邊界，基於這樣的態勢，身為防禦者的我們，對於資料運用也不能存在邊界，需要更多資料來獲得足夠的偵測與防禦成效，當然，我們必須要對這樣的資料處理方式負起責任、使其合乎倫理，要將隱私放在心上與作業核心中，基於這些前提來擁有與共享更多資料，促使人工智慧變得更有效。</p> <p>談完技術的發展，她也提到整個資安協防的另一個重點：人。即便能以迅雷不及掩耳的機器速度進行偵測與防禦，這當中仍需要許多人為的協助與配合，這就有賴於優秀的人才，以及廣泛、多元的技能組合，才能處理複雜的任務，將其解構、簡化，之後應用起來，才能帶來整個生態與所有人的安全。</p> <p>但這裡需要的不只是傳統網路安全人才，如工程師與電腦科學家。若要理解網路戰爭與網路攻擊，建構可承擔責任與信任的人工智慧，提供簡易操作的防禦系統、教導大家使用人工智慧、溝通資安防禦概念，微軟認為，我們需要語言學家、政治學家、社會學家、倫理學家、產品設計專家與使用介面設計專家、人工智慧教師、會說故事的人。</p> <p>最終，為了拓展機器速度的效果，Vasu Jakkal認為，每個人都必須成為支撐資安維運人員、分析者的幕後社群，協助他們完成工作，成就一個完整的資安團隊。</p> <p>她也特別提到包容多元差異的重要性。因為攻擊者來自四面八方，他們會設法找出並利用到由同質系統當中存在的「偏見」，而根據他們的調查，全球網路安全人力只有24%是女性，80%是白人。為了改善這樣的狀況，微軟表示，我們必須要掃除防禦者社群的障礙，重新思考如何賦予技能與訓練，重新看待學位與經歷的迷思，活化整個資安防禦社群，因為，每個人都應該成為資安防禦者。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/vasu-jakkal">Vasu Jakkal</a></div><div class="field-item even"><a href="/tags/rsa">RSA</a></div></div></div>
2022/7/8 10:35作者李宗翰https://www.ithome.com.tw/voice/151839
科技龍頭避談的壟斷優勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1085shu_zhai_zhu_tu_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2014年，時任Google執行長的施密特與產品資深副總羅森柏格在《Google模式》一書，用了各種有趣的軼事介紹了Google的企業文化、絕頂聰明的員工如何進行敏捷團隊合作與發揮創意合作，以及大家如何以求新若渴的態度，追求矽谷典型的下一次創新飛躍。</p> <p>故事說得好聽，並不代表說的只是童話故事。理論上，書裡大部分的軼事都所言不虛，而矽谷職場文化也一直是蘋果、Google、臉書等科技龍頭崛起和成功的重要因素。然而，故事說得好聽，也不代表講的就是完整的故事全貌。在《Google模式》中，幾乎完全沒提到資訊不對稱，也沒說到Google獨占了大批寶貴的資料。</p> <p>並不是只有Google採取了這套策略。基本上，所有科技巨星公司都遵照這份劇本行事，會開放出來的知識與技術，都不屬於那些會影響他們爭奪數位主宰地位的領域。例如蘋果，清楚知道有哪些用戶、在哪個時候、在iPhone上安裝了哪些應用程式，但絕不會把這些資訊告知應用程式開發者。Apple News上的媒體內容也是如此。而一旦無法取得這種資料，內容供應商就會淪為商品服務供應商，只能任由蘋果擺布。</p> <p><span style="font-size:28px;"><strong>為人作嫁的「笨水管」</strong></span></p> <p>回想起來，似乎創新者在成為巨星企業的路上，都是靠著放出一片修辭的煙幕，來混淆視聽，把自己促成破壞性成功的真正因素隱藏起來，直到現有企業恍然大悟，為時已晚。而為了要解釋自己如何發展並鞏固自身的資訊能力，創新者已經發展出一套特別會造成誤導的故事。故事是這麼說的：「數位化讓全世界得到了令人難以置信的資料量。從圖表看來，（據稱）全球資料量呈現指數成長，已經來到以ZB為單位（1 ZB 可是足足有21個0）。」</p> <p>當然，這件事本身就難以想像，但這種敘述卻有助於造成誤解：會讓聽眾覺得，顯然傳統企業完全無力應對這股資料的洪流。畢竟，傳統企業可沒有能夠處理到ZB的超級電腦。而且更慘的是，傳統企業又沒有那種「聰明」人，像是人工智慧專家、資料科學家、量化分析專家之類，因為這些人瞭解演算法的祕密，才能看穿並掌握大數據深藏不露的見解。根據這種說法，一般人就會覺得：運算能力及所需的人類智慧，在當代經濟體系當中的分布並不平均，大半已集中在那些數位龍頭的手中。正因為這種雙重不平等，才讓這些龍頭企業占據了資訊科技的主宰地位。</p> <p>這個故事聽起來很有道理，但其實就是個騙局。整套說法對於科技的理解，至少在三個方面大有問題。</p> <p><span style="font-size:28px;"><strong>演算法大多不是私有智慧財</strong></span></p> <p>說到那些數位巨星企業為何能取得優勢，普遍的誤解在於：搞錯了演算法扮演的角色。在那些故事中，總是把演算法吹捧得像是數位巨星企業和那些優秀工程師的智力精華結晶，是必須全力保護的智慧財產。</p> <p>另外還說，現在只有Google、蘋果、臉書、亞馬遜，以及百度、阿里巴巴、騰訊這幾座互相競爭的萬神殿，才擁有足夠的數學巫術，能夠碰觸到資料的無上智慧。但事實是：這純粹就是胡說八道！許多在資料分析上廣泛使用的演算法，都是出自於學界，常常最早就是公布在開源的演算法資料庫裡，人人都能免費存取。例如「R」這套廣受愛用的資料分析軟體，就是一項開源專案的成果，能夠免費下載。</p> <p>許多常見的機器學習法也是如此。有些最重要的機器學習演算法都是直接公諸於世，早已為人所知多年。而對應的工具與應用程式也都可以在GitHub（目前屬於微軟旗下）等開放平臺取得。</p> <p>事實上，講到演算法，巨星企業其實是意外的樂於助人。就算這些企業確實是自行開發演算法，通常也是只要過了一小段時間，就會解除專利保護。而在某些地方，矽谷甚至是朝著開放的方向，更邁進了一步。像是馬斯克（Elon Musk）這樣的人，出資創辦OpenAI平臺，希望讓人人都能免費下載各種廣受好評的機器學習工具，實際投入使用。</p> <p><span style="font-size:28px;"><strong>數位革命必需的原物料</strong></span></p> <p>關於數位顛覆如何導致資訊權力轉移，主流故事裡或許聽來也最令人肅然起敬的元素，就是號稱這些成功的真正原因在於人類的聰明才智。通俗科幻小說有個傳統套路，就是出現某個天才、有某項驚人的發明，改變了一切。</p> <p>但事實是，雖然前面談到的資料煉金術或許真的存在，但可沒有什麼資料煉金術士組成的祕密集團。各大數位企業的資料科學家與量化分析專家，用的數學與統計材料都與一般人完全相同。那些矽谷龍頭企業之所以能占據主導地位，並不是因為真的聘到了什麼人類最頂尖非凡的頭腦。如果要講關於各種方法與模型的科學與知識，無論在美國、歐洲或亞洲，各家企業（包括新創企業）都有能力迎頭趕上，也都絕對能請到訓練有素的資料科學家。</p> <p>這代表著什麼意義？那些在數位時代輸人一截的企業，並不是因為缺乏運算能力、無力發展雲端應用。而各種資料分析的工具或機器學習的演算法也不難取得。此外，雖然數位巨星企業或怨天尤人的落後者總掛在嘴上，但數位人才在全球的分布其實十分廣泛，並不像他們說的那麼集中。落後者之所以無法得到在數位上重大的飛躍，其實是因為無法取得資料，而那才是數位革命必需的原物料。</p> <p>Google、臉書、亞馬遜、蘋果、微軟。Netflix、PayPal、Spotify、Uber、Booking.com、百度、阿里巴巴、騰訊、字節跳動、商湯科技、依圖科技……這些數位龍頭在各自的領域，打造各種機制、機會與應用程式，蒐集大量只掌握在他們自己手中的資料。</p> <p>就這點而言，「資料」和「石油」確實有些相似之處。不論是誰擁有油田，可不會想把石油拱手讓人。而對資料龍頭來說，也只有在特殊情況下，才會與他人分享自己的原物料。這種態度從策略角度來看並不難理解，因為「取用權」能夠轉化為競爭優勢；這正是企業估值時的基礎，而且這能讓競爭對手苦思、苦惱、苦無解方。</p> <p><span style="font-size:28px;"><strong>混淆視聽的騙局</strong></span></p> <p>數位創新者白手起家、成就霸權地位，完全有理由把自己崛起的故事講得像是令人嘆服的寓言，謳歌人類的才智、讚頌他們所創造的演算法。這套關於他們成就的故事，就為他們現在握有的權力提供了道德上的正當性，而不用擔心被批評是造成資訊不對稱的元凶，也能躲過一些尖銳的質問。畢竟，有誰會想看到政府用法規蠻橫介入，搶走天才企業家努力的成就？</p> <p>一直以來，那些掌管數位龍頭企業的人，總是大肆吹噓著他們的科技多先進、員工多高明，但對於資料的取用權卻是噤聲不語。</p> <p>一次又一次，掌權者總是運用那些乍聽之下再合理不過的故事，不讓大家注意到他們權力真正的來源。而隨著目前資料化的潮流，歷史也正在重演。只是這次牽涉的除了經濟權力，還有資訊權力——而這正是能夠主導現代社會的力量。</p> <p>也正因如此，這套大有問題的故事、讓人以為這些企業的資訊權力都是誠實取得，才會如此危險。用熊彼德的話來說，這套故事是保護那些握有權勢的人，讓那些資訊龍頭靠著創造性破壞而掌權之後，得以不用擔心輪到自己面對創造性破壞。<span style="color:#696969;"><strong>（本文摘錄整理自《資料煉金術》，天下文化提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(3).jpg" style="width: 350px;" /></p> <p><span style="color: rgb(128, 128, 128); font-size: 14px;">圖片來源／天下文化</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>資料煉金術：開放資料存取權，重燃創新之火</strong></span></p> <p>麥爾荀伯格（Viktor Mayer-Schönberger）、蘭姆格（Thomas Ramge）／著；林俊宏／譯</p> <p>天下文化出版</p> <p>定價：400元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%B3%87%E6%96%99%E7%85%89%E9%87%91%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p>麥爾荀伯格（Viktor Mayer-Schönberger）</p> <p>牛津大學網路研究所教授，並擔任微軟、世界經濟論壇等大公司和組織的顧問，是大數據（巨量資料）領域公認的權威，寫過上百篇專論、以及九本書，其中《大數據：隱私篇》一書獲得2010年 Marshall McLuhan 傑出著作獎、以及 Don K. Price 科技政策最佳書獎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E8%B3%87%E6%96%99%E7%85%89%E9%87%91%E8%A1%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E6%96%87%E5%8C%96.png" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／天下文化</span></span></p> <p>蘭姆格（Thomas Ramge）</p> <p>東北大學助理教授暨媒體創新課程創辦總監、MIT媒體實驗室訪問學者。《連線》長期特約撰稿人，同時為《華盛頓郵報》、《紐約時報》、《時代》、《新聞週刊》等多家媒體撰稿。2006年創造「群眾外包」（crowdsourcing）一詞，著有《玩家外包：社群改變遊戲規則》。</p> </div></div></div>
2022/7/8 11:15未署名https://www.ithome.com.tw/article/151844
北韓駭客以Maui勒索軟體攻擊醫療組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）與美國財政部本周四（7/7）<a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-187a" target="_blank">發布了聯合網路安全通報（Joint Cybersecurity Advisory）</a>，警告自去年5月以來就發現由北韓政府支持的駭客集團，正鎖定醫療保健與公衛（Healthcare and Public Health，HPH）組織發動Maui勒索軟體攻擊。</p> <p>FBI表示，駭客集團利用Maui來加密HPH組織各項服務的伺服器，涵蓋電子病歷服務、診斷服務、影像服務，以及內部網路服務等，某些案例甚至讓受到攻擊的服務很久才復原。</p> <p><a href="https://stairwell.com/wp-content/uploads/2022/07/Stairwell-Threat-Report-Maui-Ransomware.pdf" target="_blank">資安業者Stairwell也在本周公布了Maui勒索軟體的研究報告</a>，表示這是個少見的勒索軟體家族，缺乏一般勒索軟體即服務（RaaS）所應具備的工具，例如在勒索信中嵌入復原指示，或是可自動將加密金鑰傳給駭客的工具等，相反的，研究人員相信駭客是手動執行Maui攻擊，指定了攻擊時所要加密的檔案。</p> <p>FBI認為，PHP組織之所以遭到Maui勒索軟體駭客鎖定，應是因為駭客認為這些提供攸關人們健康與生命服務的醫療照護組織更願意支付贖金，而此一論點也讓FBI、CISA及美國財政部相信它們將會繼續針對該領域的組織進行攻擊，因而提出警告。</p> <p>此外，不管是FBI、CISA或財政部都強烈反對受害者支付贖金，認為就算支付贖金也無法保證就能回復檔案與紀錄，還有可能招來被制裁的風險。</p> <p><a href="https://home.treasury.gov/system/files/126/ofac_ransomware_advisory.pdf" target="_blank">美國財政部曾在去年9月公告</a>，支付贖金將讓犯罪份子及被制裁的對手獲利，間接協助它們的非法目標，包括用來資助不利於美國國家安全或外交政策的活動，因此，這類的付款不僅鼓勵了犯罪份子，也會激勵他們繼續進行攻擊。財政部明確表達它們反對受害者支付贖金的立場，也說支付贖金亦可能讓受害者面臨被制裁的風險。</p> </div></div></div>
2022/7/8 09:47作者陳曉莉https://www.ithome.com.tw/news/151840