iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 26篇
近 7 天: 139篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 13:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 139 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年7月29日，駭客竊取SQL Server與MySQL伺服器網路頻寬牟利、臺廠Moxa修補工控裝置…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對受害電腦什麼都能偷！而其中最常見的是竊取機密文件，或是濫用電腦的運算能力，進行挖礦攻擊或是組成殭屍網路。但攻擊者很有可能針對受害電腦的網路頻寬下手。最近有資安業者發現SQL Server、MySQL等資料庫主機遭植入代理伺服器軟體（Proxyware）的攻擊行動，駭客藉此將伺服器的頻寬提供給相關服務的業者獲利。而這已並非此種攻擊手法第一次出現，在去年8月，<a href="https://www.ithome.com.tw/news/146560">思科就發現濫用名為Honeygain的代理伺服器軟體攻擊行動</a>。</p> <p>微軟封鎖來自網路的Office巨集的防護策略，近期也導致駭客的攻擊手法出現變化。資安業者發現，駭客藉由光碟映像檔或是壓縮檔的方式，來打包惡意文件檔案，來突破上述微軟的封鎖，進而成功發動攻擊。他們也呼籲使用者要留意這種新型態的攻擊手法。</p> <p>臺廠四零四科技於6月上旬，針對旗下的設備伺服器NPort 5100系列修補零時差漏洞，最近通報漏洞的資安業者公布這些漏洞可能會造成的危害，並呼籲用戶應儘速安裝新版韌體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/37276/"><span style="color: rgb(0, 0, 0);">駭客竊取SQL Server、MySQL伺服器的網路頻寬，將其出售牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-76.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-76.png" style="width: 300px; float: right;" /></a>駭客從受害電腦竊取的東西，不只是機密檔案、電腦運算能力，就連網路頻寬也能偷來賺錢，其手法是暗中植入代理伺服器軟體（Proxyware），將受害電腦的流量供他人使用如今也針對企業的資料庫系統下手。資安業者AhnLab發現近日有人鎖定SQL Server、MySQL等資料庫主機，透過廣告軟體（如Neoreklami）來植入Peer2Profit或IPRoyal網路頻寬共享軟體。</p> <p>其中比較值得留意的是，駭客在濫用IPRoyal的服務牟利時，他們會較為偏好使用CLI版本的用戶端程式，透過命令列的方式來部署，使得受害組織難以察覺遭到攻擊的跡象。</p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/how-threat-actors-are-adapting-post-macro-world"><span style="color: rgb(0, 0, 0);">因應微軟封鎖來自網路的Office巨集，駭客使用ISO映像檔、RAR壓縮檔打包惡意文件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bumblebee-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bumblebee-attack-chain.png" style="width: 300px; float: right;" /></a>為了防堵駭客利用Office惡意巨集發動攻擊，微軟自6月開始，針對來自網路上的Office檔案，直接封鎖巨集的功能，但道高一尺魔高一丈，駭客已設法突破這樣的保護措施。</p> <p>資安業者Proofpoint發現，微軟從去年10月開始宣布要採取相關措施後，有越來越多駭客在發動網路釣魚攻擊的時候，將惡意文件檔案進行包裝，他們會使用ISO、IMG光碟映像檔，或是RAR壓縮檔來挾帶這類文件檔案，使得這些惡意文件檔案不會被加上來自於網路的標記（Mark-of-the-Web，MOTW），而能突破微軟的防護機制，駭客仍然可以引誘受害者啟用巨集來達成目的。</p> <p>研究人員指出，另一個受到許多駭客採用的手法，則是使用LNK捷徑檔案來執行惡意軟體，自去年10月至今，相關的攻擊行動數量成長近17倍（1675%）。</p> <h3><a href="https://arxiv.org/pdf/2206.14346.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">機器學習模型有可能會被騙過而影響資安系統的偵測能力！研究人員透過人工智慧對抗性攻擊，導致資安防護系統產生大量誤報</span></strong></a></h3> <p>近年來為了加速找出資安威脅並做出回應，資安防護系統採用機器學習與深度學習的情況越來越普遍，但有研究人員提出警告，駭客有可能操弄機器學習的機制，進而繞過資安防護系統。</p> <p>美國要塞軍校（The Citadel）的研究人員指出，他們發現攻擊者有可能藉由特製的假資料，來針對採用深度學習模型的網路入侵偵測系統下手，發動對抗性攻擊（Adversarial Attack），以愚弄神經網路進而改變此網路防護系統的行為。</p> <p>這些研究人員主要聚焦於DNS放大攻擊手法，並訓練一個專門識別此種攻擊的深度神經網路（準確度達98%）模型來進行實驗，結果在使用TextAttack和Elastic-Net Attack兩種對抗性攻擊手法後，上述透過深度神經網路打造的網路威脅檢測系統的準確性顯著下降，並產生大量誤報和漏報。研究人員計畫日後針對實際運作的網路入侵偵測系統進行相關檢測。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.icsrange.com/blog/two-moxa-zerodays"><span style="color: rgb(0, 0, 0);">臺廠Moxa修補工控裝置伺服器設備的零時差漏洞</span></a></strong></h3> <p>資安業者En Garde Security提出警告，臺灣工控網路通訊業者四零四科技（Moxa）旗下的NPort 5100系列設備伺服器，存在兩個零時差漏洞CVE-2022-2043、CVE-2022-2044，CVSS風險評分為7.5與8.2分，一旦遭到利用，攻擊者很可能藉由越界寫入的手法，或是改變記憶體數值，導致此裝置出現無法回應的狀態。</p> <p>四零四科技在3月獲報後，<a href="https://www.moxa.com/en/support/product-support/security-advisory/nport5110-series-vulnerabilities">於6月上旬予以修補</a>，並表示這些漏洞只存在於2.10版韌體。<a href="https://www.cisa.gov/uscert/ics/advisories/icsa-22-207-04">美國網路安全暨基礎設施安全局（CISA）也於7月26日發布資安通告</a>，呼籲用戶應儘速部署新版韌體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">惡意NPM套件攻擊行動LofyLife在受害電腦植入竊密軟體，目標是Discord用戶的Token</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theregister.com/2022/07/26/wordfly_ransomware_attack/"><span style="color: rgb(0, 0, 0);">藝術組織電子報管理系統WordFly遭勒索軟體攻擊，2週後相關服務仍未復原</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.libreoffice.org/about-us/security/advisories/cve-2022-26307"><span style="color: rgb(0, 0, 0);">辦公室軟體LibreOffice修補可能會遭到暴力破解主金鑰的漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152168">【2022年7月28日】網路傭兵Knotweed利用CSRSS零時差漏洞發動攻擊、阿里雲OSS儲存桶被用於散布惡意軟體及挖礦</a></p> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月27日】駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.js原型污染漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月26日】駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStrand發動攻擊</a></p> </div></div></div>
2022/7/29 13:11作者周峻佑https://www.ithome.com.tw/news/152194
LibreOffice釋出更新7.2版，修補3項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.libreoffice.org/download/download/" target="_blank">LibreOffice本周釋出最新版7.2及7.3版</a>，以修補3項漏洞。</p> <p><a href="https://www.libreoffice.org/about-us/security/advisories/" target="_blank">三項漏洞為CVE-2022-26305、CVE-2022-26306、CVE-2022-26307</a>，皆為德國聯邦資訊安全辦公室下的OpenSource Security公司揭露。</p> <p>首先，LibreOffice支援執行巨集，但理論上預設只執行可信賴的檔案，或是獲得可信賴憑證簽發的巨集。LibreOffice是比對儲存在用戶組態資料庫中的可信賴簽章，以及下載檔案的簽章來判斷巨集是否值得信賴。CVE-2022-26305漏洞則是出在只比對序列碼及簽發者字串，導致簽章驗證不當，可能讓使用者透過巨集執行任意程式碼。</p> <p>另二項則和密碼儲存安全性有關。LibreOffice可允許在用戶組態資料庫中，以加密儲存Web連線的密碼。加密是以用戶提供的單一主金鑰進行。而CVE-2022-26306發生在加密過程需要初始向量（initiation vector）的元件未做改變，讓能存取到用戶設定檔的攻擊者可取得密碼。</p> <p>CVE-2022-26307則是發生在主金鑰加密演算法，使加密的熵（entropy）由128 bit降至43 bit，讓存取到用戶組態檔的攻擊者得以暴力破解儲存的密碼。</p> <p>LibreOffice以7.2.7及7.3.2修補CVE-2022-26305，並以7.2.7及7.3.3解決CVE- CVE-2022-26306和2022-26307漏洞。</p> <p><a href="https://www.libreoffice.org/download/download/" target="_blank">最新更新版為7.3.5.2，但想要穩定一點的用戶可下載 7.2.7版</a>。</p> </div></div></div>
2022/7/29 13:27作者林妍溱https://www.ithome.com.tw/news/152196
微軟關閉Office巨集，駭客轉向以ISO、LNK等檔案作為感染途徑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟關閉Office XL4及VBA巨集後，駭客也調整了攻擊手法。安全廠商發現，釣魚詐騙駭客已減少使用包含巨集的文件，而改使用ISO、RAR、LNK等類型檔案感染用戶。</p> <p>微軟分別在<a href="https://www.ithome.com.tw/news/149028" target="_blank">去年10月</a> 和<a href="https://www.ithome.com.tw/news/152092" target="_blank">今年2月</a>宣布關閉XL4及VBA 巨集（後者延至7月正式實施），<a href="https://www.proofpoint.com/us/blog/threat-insight/how-threat-actors-are-adapting-post-macro-world" target="_blank">安全廠商Proofpoint分析</a>去年10月到今年6月惡意電子郵件包含的檔案類型，以了解攻擊者的行為變化。</p> <p>分析顯示，這段期間內，附件包含VBA和XL4巨集的郵件攻擊銳減66%。但使用ISO、RAR等容器檔及LNK附件的郵件攻擊，增加了將近175%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0729-container%20files%20vs%20macro-enabled%20documents%20as%20email%20attachments%20by%20Proofpoint.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0729-Number%20of%20campaigns%20leveraging%20LNK%20files%20by%20Proofpoint.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Proofpoint</span></p> <p>微軟阻擋VBA巨集是根據郵件附檔的Mark of the Web（MOTW）屬性，但是使用容器檔案格式，像是ISO、RAR、ZIP等，以及圖檔（.IMG）檔案，則可以繞過MOTW的偵測。ISO、RAR及ZIP檔本身有MOTW，但內含的惡意巨集檔案（如試算表）沒有，因而仍可在用戶解壓縮後，啟動巨集引發程式執行。此外，容器檔案內也可以加入LNK、DLL或EXE檔，直接在用戶電腦安裝惡意程式。</p> <p>根據Proofpoint的分析，從去年10月以來該公司觀測到的15波郵件攻擊中，使用ISO檔案的情形佔了2/3，增加150%，其中在韓國散布的Bumblebee惡意軟體，攻擊者是在釣魚郵件中附加ISO文件，當中包含LNK及DLL檔，以發票或其他請求誘使用戶開啟（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0729-Bumblebee%20malware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Proofpoint</span></span></p> <p>LNK附檔相關的攻擊特別值得注意，從今年2月開始，至少有10個攻擊組織使用包含LNK檔的郵件，此類攻擊從去年10月以來成長了1,675%。Proofpoint也追蹤到多起使用LNK檔手法的網路犯罪（如金錢詐騙）及國家駭客（APT）攻擊。</p> <p>雖然整體趨勢上XL4巨集的使用是減少的，但仍在今年3月增加。研究人員懷疑是代號TA542的駭客散布Emotet，不過4月後，駭客改用XLL （Excel Add In）檔及壓縮LNK檔為附件來散布這隻惡意程式。</p> <p>Proofpoint也觀察到附檔使用改造過的HTML檔（又稱為「HTML 走私」手法）散布惡意程式的情形，在今年上半有些許增加的情形。</p> </div></div></div>
2022/7/29 12:48作者林妍溱https://www.ithome.com.tw/news/152193
Amazon第二季持續虧損20億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2022/Amazon.com-Announces-Second-Quarter-Results-fe1df2b70/default.aspx" target="_blank">Amazon周四（7/28）公布今年第二季財報</a>，該季Amazon只有AWS雲端服務是獲利的，除了北美、國際電子商務營收都虧損之外，Amazon對電動車業者Rivian Automotive的投資又出現39億美元的估值虧損，使得繼<a href="https://www.ithome.com.tw/news/150687" target="_blank">上一季</a>之後，第二季再度出現20億美元的虧損。</p> <p>Amazon在Rivian於2019年簽署合作協議，雙方合作設計電動送貨車，且Amazon承諾將採購10萬臺，另一方面，Amazon亦陸續參與Rivian的增資活動，更在Rivian於2021年11月登上美國那斯達克股市時，持續購入Rivian股票，估計Amazon目前約持有22%的Rivian股份。</p> <p>Rivian上市時的發行價為78美元，上市第一天即以100.73美元作收，去年更曾漲至172美元，只是隨後便一路下滑，本周四（7/28）的收盤價只剩33.85美元。<a href="https://www.cnbc.com/2022/07/28/amazon-records-tk-billion-loss-on-rivian-holding-in-second-quarter.html" target="_blank">根據《CNBC》的報導</a>，Amazon所持有的Rivian股票，在去年曾價值270億美元，但現在僅值50億美元。</p> <p>而在Amazon的本業中，其今年第二季的北美電子商務營收為744億美元，成長10%，但虧損了6.27億美元；國際電子商務營收為271億美元，下滑12%，虧損17.71億美元；至於AWS的營收為197.4億美元，成長33%，獲利57.15億美元。</p> <p>只是光是AWS的獲利並無法同時支撐北美電子商務、國際電子商務與Rivian的虧損，而讓Amazon第二季每股虧損0.2美元。</p> <p>Amazon執行長Andy Jassy表示，儘管燃料、能源與運輸的通貨膨脹壓力持續來襲，但Amazon該季的成本控制已有進步，特別是改善了履行網路的生產力，營收也隨著Amazon繼續提供更好的Prime服務而加速。即使虧損，因其財報表現優於華爾街分析師預期，使得Amazon當天盤後股價大漲了13.62%，達到138.94美元。</p> </div></div></div>
2022/7/29 13:16作者陳曉莉https://www.ithome.com.tw/news/152195
蘋果財報仍創營收紀錄，iPhone/服務成長，Mac/iPad下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/07/apple-reports-third-quarter-results/" target="_blank">蘋果周四（7/28）公布</a>截至6月25日的2022財年第三季財報，該季蘋果締造830億美元的營收，比去年同期成長2%，也創下蘋果史上第三季營收的新紀錄，每股盈餘為1.2美元。當天盤後蘋果股價上漲2.97%，為162.02美元。</p> <p>從<a href="https://www.apple.com/newsroom/pdfs/FY22_Q3_Consolidated_Financial_Statements.pdf" target="_blank">蘋果的營收分類</a>來看，產品營收占了634億美元，低於去年同期的639億美元，但服務營收卻從去年的175億美元成長到196億美元。</p> <p>在634億美元的產品營收中，iPhone占了407億美元，Mac占了74億美元，iPad占了72億美元，穿戴裝置與其它配件占了81億美元，除了iPhone營收仍比去年同期成長了2.8%之外，Mac、iPad與其它硬體產品的營收皆呈微幅下滑。</p> <p>蘋果財務長Luca Maestri表示，該季的營收持續展現出蘋果在此一具挑戰性的經營環境中，仍能有效管理業務的能力。</p> </div></div></div>
2022/7/29 11:34作者陳曉莉https://www.ithome.com.tw/news/152192
5G趨勢月報第33期：業者開始測試將5G帶到衛星，擴大5G網路涵蓋；臺中港以5G無人機打造船隻碰撞預警系統、監測海面油污
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>06/30~07/26精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font></p> <p><span style="font-size:22px;"><strong>高通與愛立信、Thales聯手，準備將5G帶到太空</strong></span></p> <p>5G不只是在地面部署，高通、愛立信與法國航太業者 Thales宣布三方合作，準備將5G部署於地球軌道衛星網路，三家業者將啟動以智慧型手機使用為重點的5G非地面網路（5G Non-Terrestrial Networks，5G NTN）驗證測試。</p> <p>該測試在今年3月獲3GPP核准，將於航太工業聚集的法國，透過模擬太空環境初步測試驗證5G非地面網路，包括5G智慧型手機、衛星酬載與地面5G網路系統。由高通提供測試用的5G智慧型手機，用以驗證接取5G非地面網路，愛立信以5G vRAN測試處理快速移動的低軌道衛星傳送的無線訊號，包括5G無線電波在太空真空環境與大氣傳輸的情形，Thales則測試5G衛星酬載。這項測試將利用地面設備，模擬軌道衛星與在地球上不同地點使用5G無線接入網路的5G手機無線傳播及延遲時間。</p> <p>高通表示，透過低軌道衛星提供5G連網能力帶來多項好處，例如為極端地域、位處海洋的偏遠地區或缺乏地面網路的地區提供網路覆蓋；當發生重大災難時，作為地面網路的備援網路；為交通、醫療、能源的5G使用提供全球網路連接。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font></p> <p><span style="font-size:22px;"><strong>愛立信：2022年全球5G用戶數可望達10億人</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5g-1.jpg" style="width: 600px; height: 353px;" /></p> <p>電信設備商愛立信最新行動趨勢報告指出，5G擴展速度較前幾代行動網路更快，預期到2022年底，全球5G用戶數將達到10億人，該報告也預期到2027年，全球將有44億5G用戶，占所有行動用戶總數的48%。</p> <p>受訪的100多個國家或地區，已有超過75%提供無線固網接入（FWA）服務，預期至2022年底，全球FWA的用戶總數將突破1億。由於5G帶來更快的網速，該報告也預期將帶動智慧型手機使用流量，2022年每支智慧型手機流量達到15GB。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NCC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專頻專網</b></span></font></p> <p><span style="font-size:22px;"><strong>專網專用頻段管理辦法出爐<span lang="EN-US" xml:lang="EN-US">! </span></strong></span></p> <p>企業使用專用頻段建置5G專網終於有譜! NCC近期公布行動寬頻專用電信網路設置使用管理辦法，企業只要符合資格，可向NCC申請使用專用頻段4.8GHz到4.9GHz，用以打造自己專用的5G網路。</p> <p>申請者必需是場域土地或建物的所有人或使用者，專網用途主要分兩大類，公共服務網路、自用網路，前者指警消、災防、醫療救護、鐵路，後者則是企業自用網路。申請的頻率使用證明為期10年，到期可申請換照。不同設置者的專網不可互連，此外，原則上不可介接電信網路，但在公共利益等特殊情形之下，允許介接電信網路。</p> <p>管理辦法草案將預告60天，蒐集各界意見，期間將舉行公開說明會，至於何時開放申請，因頻譜釋照未來可能移交數位發展部，還要視數位發展部成立而定。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高雄市</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>巡邏車</b></span></font></p> <p><span style="font-size:22px;"><strong>高雄市警局與遠傳電信展示5G智慧巡邏車</strong></span></p> <p>高雄市警局近期採用科技強化治安，近期和遠傳電信共同展示一輛5G智慧巡邏車，以高雄亞灣區為示範場域，以5G SA獨立組網、網路切片、邊緣運算等技術，結合巡邏車上的攝影鏡頭、車載主機，協助巡邏員警找出贓車。</p> <p>過去其實也有巡邏車採用4G網路，但由於4G傳輸影像較慢，加上鏡頭拍攝效果不理想，特別是在夜間的辨識效果不佳，因此這次改採用更快的5G網路，在車頂裝置星光級夜視鏡頭，加強夜間拍攝能力，可拍攝巡邏車前方3個車道的影像，經由5G即時傳輸影像至雲端進行AI辨識，比對警方的贓車資料庫。由於往來行駛車輛快速，該系統可在20毫秒內辨識車輛是否為贓車，當辨識發現贓車時，向車上員警的手機發出警示，包括在哪裡發現可疑車輛，協助員警現場取締車輛，辨識率達9成以上。另外，當巡邏車抵達事故現場時，也能透過鏡頭回傳影像。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信發表結合衛星通訊的攜帶式5G專網方案</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/private%20network.jpg" style="width: 600px; height: 401px;" /></p> <p>中華電信和愛立信、諾基亞、慧與、亞旭、英菲達合作，展示攜帶式5G專網方案，在可攜帶移動的機箱內，配置5G核網、基地臺、衛星傳輸設備，打造可任意移動隨時連網的攜帶式5G專網，可搭配MEC邊緣運算及網管系統。</p> <p>中華電信表示，這項攜帶式5G專網方案，支援4G與5G網路，兼顧非獨立組網（NSA）、獨立組網（SA）架構支援彈性。結合衛星通訊技術，讓5G不只能在光纖可達的固定場域，擴大應用場域至因重大災難導致通訊中斷的災區，建立緊急通訊網路。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>醫療</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>緊急救護</b></span></font></p> <p><span style="font-size:22px;"><strong>衛福部桃園醫院9月將啟用5G緊急救護系統</strong></span></p> <p>國內緊急救護將提高救護效率，衛福部桃園醫院與電信業者合作，打造5G精準聯網醫療暨緊急救護系統，預計在9月啟用。這套系統可在患者到院之前，將心律、血氧等監測數據，透過5G網路，串接醫院內急診室、院外醫療站、救護車移動式醫療系統，提高救護的效率。</p> <p>桃園醫院指出，新冠肺炎（COVID-19）確診者約2到4成患者，初期無症狀但意識清楚，因病毒可能影響呼吸系統化學接受器，干擾確診者對低血氧的感受，不自覺陷入缺氧危機，出現意識混亂、噁心嘔吐、低血壓、呼吸急促等症狀，病情急速惡化，因此到院前醫療急救尤為重要。</p> <p>針對緊急救護打造的「急診戰情系統」，透過移動式精準醫療系統，將急診治療所需的關鍵資訊，在救護車運送患者的同時，將第一線救護人員觀察到的影像、生理資訊、綜合生命跡象等數據，匯整於九宮格的儀表板，送到急診戰情室，由急診救護團隊提供現場急救方案，在病患到院前，急診醫療團隊也能評估準備。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>東華大學</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>東華大學將導入5G專網，以無人機空中巡視強化校園安全、測試自駕車</strong></span></p> <p>占地約250公頃的東華大學，為加強校園安全管理，校方計畫導入5G專網，由電信業者協助建置，5G專網建置完成後，下載速度可達500Mbps，上傳達100Mbps。</p> <p>在5G專網完成後，核校計畫利用無人機定期在空中巡視校園，將拍攝的影像經由5G回傳，或是當校內突發事件發生時，派遣無人機早校方處理人員一步抵達事件現場，或是追蹤進入校園的可疑車輛動向，結合校內監控影像，提升校園安全。另外，透過5G專網，校方將在宿舍、教學大樓、行政中心等固定路線，測試自駕車，以及5G C-V2X號誌。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺中港</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港灣</b></span></font></p> <p><span style="font-size:22px;"><strong>臺中港推動5G智慧港灣計畫，利用無人機降低船隻航行碰撞風險，監測海面油污</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ship.jpg" style="width: 600px; height: 338px;" /></p> <p>為推動港口智慧化發展，去年11月亞太電信、交通部科技顧問室、臺灣港務公司合作推動一項5G智慧港灣計畫，以船隻進出頻繁的臺中港為示範場域，如何運用科技協助確保航行船隻安全、環境監測。</p> <p>這項測試計畫運用低軌衛星，結合無人機進行偵測，透過5G網路回傳影像，經AI影像辨識，預測船舶航行軌跡，建立碰撞預警機制，降低出入船隻發生碰撞事件，或用於追蹤海面的油污、空氣品質巡檢，搭配數據作業管制平臺。</p> <p> </p> <p>圖片來源／愛立信、中華電信、亞太電信</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.遠傳與亞太電信交換頻譜資源，擴增700MHz頻寬、室內網速增22%</strong></p> <p><strong>2.高雄亞灣建置5G戶外專網，供無人載具測試</strong></p> <p><strong>3.台灣大哥大研發以深度學習強化5G網路切片資源管理</strong></p> <p>資料來源：iThome整理，2022年7月</p> </div></div></div>
2022/7/29 11:35作者蘇文彬https://www.ithome.com.tw/news/152190
IT節流從資料瘦身開始著手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經歷前兩年疫情大爆發，如今全球面臨民生經濟層面的重大危機，先前就有塞港缺櫃的物流供應、晶片生產製造短缺等問題，今年初爆發的烏克蘭戰爭則是近期的導火線，後續各國制裁發動戰爭的俄羅斯，又引發更大規模的糧食與能源危機，導致物價飆漲的現象，種種狀況似乎很難在短期之內改善，節省開銷、但又要兼顧經濟成長動能，恐怕會是世界各國都必須正視的新常態。</p> <p>然而，好不容易眾人盼到經濟重新復甦的契機，在因應業務轉型的壓力之餘，還必須承受高物價帶來的更大成本支出，無論是企業、團體或是個人，如何打理生計都將是更嚴峻的挑戰。</p> <p>此時，除了透過人、流程來進行節約，我們也能善用科技來幫忙。近幾年來，隨著各種技術應用的進步，使得硬體製造與用戶取得成本大幅下滑，多數人對於科技最習以為常的部分是「開源」，提供更多的可能性、開拓前所未有的新商機，而對於標準化的產品，幾乎每隔一段時間，就會能獲得性能更強、費用又能負荷的新選擇，因此，創造出過去的科技經濟榮景。</p> <p>其實，「節流」也是技術發展另一個不容忽視的面向，以資訊科技領域而言，達到「以少作多（Do more with less）」的效果，向來是廠商產品與專家們的看家本領。</p> <p>事實上，很多資深的IT工作者對於這樣的局勢並不陌生，因為都曾經歷運算、儲存、網路資源極度短缺、效能相當有限的時代，而必須透過更有效率的程式碼、軟體、系統架構，以滿足與實現各種工作負載的執行需求。如今整體環境發展的鐘擺，若重新回歸到資源有限、取得成本大幅增加的狀態，其實也並非壞事，或許能夠讓所有人重新檢視與調整當前的使用方式，正視最佳化設計與管理的必要性，而非因成本低廉就毫無顧忌地揮霍，產生許多虛耗卻渾然不覺。</p> <p>如何提升IT資源使用效率？以應用程式而言，過往為了快速因應業務變化需求，強化軟體開發的生產力與快速上線部署成重點，但程式碼、處理流程的設計是否能達到更好的效率，可能無暇顧及，然而，現在或許到了積極改變的時刻。這讓我想到最近讀到有人在網路上翻譯了一篇部落格文章，探討程式碼過度膨脹議題，引發迴響，顯然有類似看法的人頗多，而在當前這個重新審視資源調度與配置的時刻，應用程式最佳化有望成為眾人關注焦點。</p> <p>關於資料儲存效率，目前所要考慮的面向可能與應用程式不同，早期可粗略區分為結構化資料與非結構資料，著重的對象主要是關聯式資料庫、資料倉儲、檔案與資料夾，這些資料所處的位置也集中在企業內部網路環境，然而，企業接連迎來大數據、資料科學、人工智慧風潮，各種新興的資料儲存庫、資料處理與分析軟體陸續崛起，而在雲端服務、邊緣運算等環境當中，也需要儲存與處理大量資料，而如此龐大、分散的資料也都被視為「新石油」，企業亟欲吸納進來，無法輕易割捨，而這也不斷加重資料儲存與處理的負擔。</p> <p>根據市調機構IDC去年3月發布的分析統計數據，單是2020年，新增或複製的資料量就多達64.2 ZB，他們認為接下來5年新增資料量將增加2倍以上。而在成長最快的資料類型上，他們認為是物聯網相關數據(已排除視訊監控攝影機擷取的資料)，其次是社交媒體的資料；而在雲端服務環境中，資料儲存（store）成長速度高於資料新增（create），而在邊緣運算環境新增資料的成長速度，已經快趕上在雲端服務新增資料的成長速度。</p> <p>資料量處於暴增的態勢既然已處於難以逆轉的常態，但我們仍應設法運用更有效率的方式儲存與處理資料，減緩儲存空間的用量成長速度，進而降低整體儲存層面的成本。</p> <p>我們這期製作的《備份應用的資料減量革命》提到的重複資料刪除技術，就是一種維持資料可用又能提升空間使用效率的作法，關鍵仍在於運算能力與演算法的持續進步，促使這種方式得以減輕儲存容量的需求。讓人期待的是，這種減法原則的運用應該不限於資料儲存，或許其他領域也可以借鏡。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E5%82%99%E4%BB%BD%E5%B0%88%E7%94%A8%E5%84%B2%E5%AD%98%E4%BC%BA%E6%9C%8D%E5%99%A8">備份專用儲存伺服器</a></div><div class="field-item even"><a href="/tags/%E9%87%8D%E8%A4%87%E8%B3%87%E6%96%99%E5%88%AA%E9%99%A4">重複資料刪除</a></div></div></div>
2022/7/29 10:34作者李宗翰https://www.ithome.com.tw/voice/152180
留意因新冠疫情加重的藍害威脅
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-hu_yan_yong_dui_guang_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商周出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年，爆發了新冠疫情。由於感染的擴散，疫情的嚴重，全球各地，時不時，就必須進入社交隔離，甚至封城的狀態；這也連帶迫使許多的活動，轉成了線上，像是線上教學（宅教育）、線上經濟（宅經濟），3C產品的使用，電子螢幕光線的曝照，因此瞬間大量暴增。</p> <p>無獨有偶的，上述加劇中的藍害疫情，此刻正助燃著新冠疫情。</p> <p>因為更多3C的使用，更多的電子夜光曝照，其所引發的失眠，失眠所引發的免疫力下降，致使人們更易受到病毒的感染，更易形成重症；人類正在被迫，進入到一個前所未有的惡性循環當中。</p> <p><span style="font-size:28px;"><strong>藍光傷害效度</strong></span></p> <p>藍光，尤其是深藍光與紫光，對視網膜可能產生的傷害，可以用傷害效度，亦即「藍光傷害函數」來量化；這個函數，在學術上，又稱為「光照視網膜炎函數」，最早，是由「國際非游離輻射防護委員會」（ICNIRP）所提出。</p> <p>這個「藍光傷害函數」指出，在長期或強烈的光照下，就算不是紫外光，而是一般的可見光，依然會對視網膜造成傷害，特別是「視網膜炎」。</p> <p>上述的「藍光傷害函數」，其實是來自於恆河猴的「光照視網膜炎函數」。</p> <p>此一「光照視網膜炎函數」，記錄了紫外光（300nm）到橘光（600nm），對恆河猴視網膜所產生的傷害效度。動物學家認為，從基因相似度或是生理藥物反應，恆河猴都跟人類比較相近；另外，老鼠的眼睛，缺乏黃斑部，因此，便以恆河猴做為實驗替身。</p> <p>實驗結果顯示，高能量的光，像是紫外光，波長在380nm或以下，其對恆河猴視網膜的傷害，遠比紫光強；紫光，波長介於380到450nm，其傷害效度，亦比藍光強。</p> <p>但是，因為人的眼睛有水晶體，會吸收部分深藍光與大部分紫光，特別會吸收絕大部分的紫外光，等同幫助視網膜，擋下了這些「超級子彈」，使得「光照視網膜炎傷害效度」，在進入紫光區之後，直轉而下。</p> <p>但是，這完全不代表，紫光與紫外光的傷害，是小的，是可以忽視的；相反的，它們對眼睛其他部位的傷害，是非常的嚴峻；過多的紫光與紫外光曝照，依然會造成水晶體的病變、白化（白內障）。</p> <p>過強或過長光線的曝照，會造成視網膜發炎的傷害。</p> <p>這一個，從恆河猴視網膜傷害實驗數據，所得到的「傷害函數」，在經過人眼水晶體穿透度校正之後，其「光照視網膜炎效度光譜」，也就是俗稱的「藍光傷害函數」。</p> <p>首先，我們必須了解的是，說起光線對眼睛的傷害，藍光是遠高於橘光、黃光、綠光；而紫光，又遠勝於藍光；因此，將「光照視網膜炎函數」，說成是「藍光傷害函數」，是低估了紫光的危險性。</p> <p>此外，原本，深紫光與紫外光的傷害更大，勝於紫光，更勝於藍光；但是，因為水晶體的幫助，擋下了大部分深紫光與紫外光這些高能「子彈」，而讓視網膜可能遭致的「傷害效度」，顯著下降；只是，蛋白質所構成的水晶體，在擋下大量高能的子彈之後，也會受到不可逆的傷害，而像似被煮熟的蛋清一般，漸漸變成不透光的蛋白。</p> <p>再看這個函數、光譜的右方，在600奈米的黃橘光之後，就沒有實驗數據；猜測是，當實驗進行到橘光、紅光這些波長的時候，其潛在傷害，變得極小；譬如，590奈米的黃橘光，其傷害效度，僅是藍光的500到9,000分之1。</p> <p>用這些橘光、紅光，要造成視網膜的傷害，若非採用極強的光線，就是需要極長的曝照時間，而這可能超出當時實驗的極限，或是超出恆河猴身體的極限；因此，這些更加微弱的傷害效度，就難以精準取得。</p> <p>「為什麼不發揮科學精神，讓實驗再精進一點，找出更完整的作用光譜？」或許有人會這樣問。</p> <p>問題是，這種實驗，一開始就不能做、不該做；原因很簡單，這些臨床實驗，是做在一群恆河猴的身上！這些顏色不同但強烈的光線，是直接照入這些恆河猴的眼睛裡，就在牠們的頭被緊緊的固定住時！照射之後，再觀察牠們的視網膜，是否發了炎、病了變。</p> <p>這類不人道的行徑，不再見容於當今世界，因此，人類只能持續使用，這個用恆河猴眼睛與生命換來的血光譜，一個異常珍貴，但不可能再去完美的作用光譜；尤其，在認知、譴責這種冷血行為之外，人類更應該衷心感激這群恆河猴，為人類所做出的犧牲、貢獻。</p> <p><span style="font-size:28px;"><strong>暗黑的守望者──暗視覺細胞</strong></span></p> <p>我之所以要特別介紹「暗視覺細胞」，乃是因為，這些細胞，是我們眼睛、視力的拯救者。</p> <p>原本，我們的眼睛，是可以使用很久的；但是，因為沒有正確使用，而致提前老化；這個錯誤，就發生在電子照明越來越普及，照明亮度越來越高，3C藍光曝照越來越多的現代；專家發現並且憂心著，許多人，將可能從出生到老去，都在亮光下辛苦的「活著」，未曾知道暗黑的重要，也從來不知道什麼是「暗視覺」。</p> <p>導正這個錯誤，最簡單的方法，就是釋放暗視覺；在任何可能的情況下，讓暗視覺細胞，取代亮視覺細胞，分攤視覺的負擔；尤其，讓工作了一個白天的亮視覺細胞，至少可以在入夜後，休息下來。</p> <p>想像一下，艷陽天，開著敞篷跑車，進入沒有打燈的隧道，那將會是多麼恐怖的清況？因為，眼前會是一片的漆黑，會有那麼的一瞬間，我們完全看不見前方。幸虧，一般的隧道，通常會打燈，使得隧道內外的明暗，不會差特別的多，暗適應不會「太久」，而致影響到駕駛的安全。</p> <p>以上這些，都跟「暗適應」有關；而所謂的「暗適應」，簡單的說，就是一個人，從相對明亮，進入到相對暗黑的環境時，從一開始的看不見，到逐漸看見的過渡狀態。</p> <p>從亮到暗，甚至從很亮進到亮，就是需要「暗適應」，就是需要時間；有的時候，雖然只需要幾秒鐘，或僅僅是幾分之一秒，但是，許多的危險，就是發生在這個時候。</p> <p>另外，入暮時分，也是車禍最多的時段，就跟瞬間明暗適應不來有關。</p> <p>例如，在日落的時分，天空雖仍殘餘著亮光，卻照不亮漆黑的路面，背著光的行人、車輛，只剩下黑影，將車開在此時的道路上，稍不留神，車禍就會發生在這看不清楚的瞬間；這是因為，一旦照到天空的亮光，就算是殘餘的，也會迫使眼睛啟用亮視覺，關閉了暗視覺；這個時候，背光的人、車，相對顯得暗黑，跟白天光照下的情境，完全不同，令人難以立刻適應。</p> <p>但是，再隔一陣子，天光消失，夜幕低垂，整個視線上的背景，開始暗黑，人眼啟動了暗視覺，便可以較清楚看到沒有背光的人、車；尤其，再加上車頭燈的照射，從這些人、車反射回來的光線，也尚足夠暗視覺細胞的感知、看見；當然啦，如果前方的車輛，也都有開燈，有車尾燈，那麼，就沒有「看見」的困難；至於行人，還是相對危險，除非穿戴會發光的衣、帽、鞋、包。</p> <p>每一次，每一睜開眼，周遭光線便進入眼簾；每一顆進入眼睛的光子，都會跟視網膜細胞互動，發生一次的光化學反應，同時，都會伴隨產生一份的氧化性廢棄物；這個廢棄物，還要依賴視網膜背後的後勤單位──「脈絡膜」來清運。</p> <p>只是，每次進入眼睛的，不是只有一顆，而是一堆光子；所產生的氧化性廢棄物，也就不是只有一個，而是一堆，這就要考驗脈絡膜清運的功力了；然而，脈絡膜清運廢棄物的速率，有其上限；當光線太強，特別是藍光太多的時候，其清運速度，會趕不上廢棄物製造的速度，這會造成廢棄物的積累。</p> <p>這些積累的廢棄物，若再經進一步的光氧化反應，就會產生毒性，以至於引發視網膜發炎；過久、過度的發炎，則將引發視網膜不可逆的傷害。</p> <p>這個問題，在現代尤為嚴重，原因無它，就是因為燈光點得太亮，3C螢幕看得太久；並且，室內燈光，並沒有隨著夕陽的西下而變暗；3C的使用，更是越夜越盛；這些，勢必造成視錐細胞與脈絡膜的過度負擔。</p> <p>所幸，原本就有最自然也是最有效的解決之道，那就是，讓室內光線，跟著室外光線同步，漸漸變暗；或是，不要點得跟白天一樣亮，讓暗視覺啟動，讓錐細胞休息。</p> <p>其實，黃昏之後，需要休息的，不只是眼睛細胞；全身上下內外細胞，一樣需要需休息、修補。<strong><span style="color:#696969;">（本文摘錄整理自《護眼，從用對光開始》，商周出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E8%AD%B7%E7%9C%BC%E7%94%A8%E5%B0%8D%E5%85%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88.png" style="width: 271px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span><span style="color:#3399ff;"><strong> 護眼，從用對光開始：防3C藍害專家教你保護眼睛的終極秘笈</strong></span></p> <p>周卓煇／著</p> <p>商周出版</p> <p>定價：380元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 作者簡介 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%AD%B7%E7%9C%BC%E7%94%A8%E5%B0%8D%E5%85%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E5%91%A8%E5%87%BA%E7%89%88.png" style="width: 200px;" /></p> <p><strong>周卓煇</strong></p> <p>美國密西根大學高分子科學與工程碩士、博士。曾任美國IBM研究中心客座科學家，現任國立清華大學材料科學與工程學系特聘教授。研究領域︰OLED／高分子／薄膜應力／AI專家系統應用。研究成就：發明人類史上第一個太陽光OLED，發明改寫人類照明史的燭光OLED，藍害量化技術。<span style="color:#696969;"><span style="font-size:14px;">圖片來源 /商周出版</span></span></p> </div></div></div>
2022/7/29 10:54未署名https://www.ithome.com.tw/article/152184
微軟自Microsoft Edge 102便透過壓縮磁碟快取來改善效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/msedgedev/2022/07/27/disk-caching-in-microsoft-edge/" target="_blank">微軟Microsoft Edge團隊於本周揭露</a>，自今年5月底釋出的Microsoft Edge 102便開始藉由壓縮磁碟快取，來改善瀏覽器與系統效能。</p> <p>根據該團隊的說明，各家瀏覽器都會利用磁碟快取來存放自網路取得的資源，以在需要時快速存取，因此，當磁碟快取的容量愈大，就能更快地透過磁碟快取取得資源，而非自網路取得。</p> <p>然而，倘若裝置的磁碟空間不夠大，無限制地磁碟快取便會造成系統的磁碟空間不足，為避免瀏覽器的快取功能將磁碟空間用罄，瀏覽器業者都會依據系統上可用的磁碟空間以適度使用磁碟快取功能。</p> <p>Microsoft Edge團隊指出，由於快取中的內容大多是可高度壓縮的，使得他們決定藉由壓縮來節省快取內容所使用的磁碟空間，儘可能地以最小的磁碟空間最大化磁碟快取的使用。從支援Windows的Microsoft Edge 102開始，Microsoft Edge便會在符合資格檢查的裝置上，自動壓縮磁碟快取，並確保壓縮快取能夠大幅度地改善效能及整體的使用者經驗。</p> <p>此一磁碟快取壓縮能力在僅具備小容量磁碟空間的系統上，將能帶來更大的效益，Microsoft Edge團隊亦鼓勵使用者提出想法、意見或使用經驗，以協助改善該功能。</p> </div></div></div>
2022/7/29 09:28作者陳曉莉https://www.ithome.com.tw/news/152181
Meta內部專案開發將獨尊Rust等4大語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/07/27/developer-tools/programming-languages-endorsed-for-server-side-use-at-meta/" target="_blank">Meta昨（28）日公布</a>公司內部專案使用的伺服器端專案開發語言指引，聲明Hack、C++、Python及Rust為建議員工優先使用的語言。</p> <p>Meta公布的伺服器專案開發語言指引，旨在幫助公司工程師和開發人員選擇其專案最好的開發語言。Meta軟體工程經理Eric Garcia指出，該公司在眾多平臺和使用情境中使用多種不同開發語言，支援新語言並非簡單的決策。一旦決定使用一種語言後往往不太會改變，為確保每種語言都是特定應用場景最適合的，Meta評估相當審慎。</p> <p>Meta所謂支援某種語言時，是指開發人員在編輯程式碼、除錯、開發、部署上資源更充足，也有完整的核心函式庫及相容性。且公司不會叫開發人員改成其他語言。相較之下，使用公司不支援的少數開發語言，工具資源較少，團隊必須自己承擔維護的責任。Meta表示，多數情況下，建議新專案和服務都要使用公司支援的語言，避免使用公司不支援的。</p> <p>這4大首要伺服器端語言，包括Hack、C++、Python和Rust，其中Rust是最新加入的成員。Rust誕生自Mozilla，<a href="https://www.ithome.com.tw/news/142706" target="_top">2021年由Rust基金會接手</a>，現在有許多愛用者。Meta的前身臉書於2016年首先使用Rust開發，2020年Meta內部成立Rust團隊，作為對內支援、對社群貢獻，也投入推動C++和Rust專案的相容。<a href="https://developers.facebook.com/blog/post/2021/04/29/facebook-joins-rust-foundation/" target="_blank">今年4月Meta也宣布</a>加入Rust 基金會。</p> <p>根據Meta的指引，在重視效能的後端服務上，鼓勵使用C++和Rust。Meta產品和服務已有愈來愈多專案使用Rust，該公司表示長期將擁抱Rust。而今年，Meta也新增建議員工在CLI工具上使用Rust。</p> <p>在商業邏輯及無狀態（stateless）應用上，Meta指定自行開發並開源出來的Hack，原因是Hack生態系自動化程度及內部支援度較高。在資料科學、機器學習應用和Instagram上，Meta建議最受歡迎的Python，也承諾會持續強化Python開發工具的使用經驗。</p> <p>至於特定應用場景（use case），Meta也支援並允許使用其他語言，包括Java、Erlang、Haskell和Go等。但Meta說在特定應用場景以外，就不會廣泛支援這些語言。</p> </div></div></div>
2022/7/29 09:52作者林妍溱https://www.ithome.com.tw/news/152183
Spotify訂閱用戶與營收逆勢成長，股價大漲12%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s29.q4cdn.com/175625835/files/doc_presentation/Q2-2022-Shareholder-Deck-FINAL.pdf" target="_blank">全球串流音樂龍頭Spotify於今年第二季交出亮麗的成績單</a>，該季的付費訂閱用戶增加14%，廣告用戶增加22%，相關營收分別成長22%與31%，促使Spotify該季的總營收成長23%，達28.6億歐元。Spotify是少數在今年第二季優於預期表現的科技業者，使得它在周三（7/27）公布財報後，股價大漲了12.16%，以116.61美元作收。</p> <p>該季Spotify的全球訂閱用戶數為1.88億人，廣告支撐用戶數為2.56億人，前者帶進25億歐元的營收，後者則是3.6億歐元，雖然28.6億歐元的總營收比去年同期成長了23%，但其營運支出也增加了38%，而讓Spotify該季虧損了1.94億歐元。</p> <p>同樣是串流服務業者，Netflix今年第二季的訂閱用戶比上一季減少了97萬人，原本外界預期通貨膨脹是否會同樣波及Spotify，但Spotify該季的訂閱用戶數卻比上一季多出600萬人。</p> <p>儘管Spotify的營收與用戶數仍呈穩定成長，但面對經濟不確定性，該公司亦已於6月宣布，自今年第三季起將減緩招聘腳步。</p> </div></div></div>
2022/7/29 08:42作者陳曉莉https://www.ithome.com.tw/news/152178
Privacy Sandbox APIs將在明年第三季正式發表，Chrome將在2024年淘汰第三方Cookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/update-testing-privacy-sandbox-web/" target="_blank">Google於本周更新隱私沙箱（Privacy Sandbox）的部署時程</a>，指出自今年8月初將擴大隱私沙箱的測試至全球數百萬Chrome用戶，且擴大測試活動將持續至明年底，並於2023年第三季正式發表Privacy Sandbox APIs，屆時隱私沙箱也將正式進駐Chrome，至於淘汰第三方Cookie的時間點，則會從2023年再延後至2024年下半年。</p> <p><a href="https://privacysandbox.com/intl/en_us/#home-hero" target="_blank">Google在2019年提出隱私沙箱專案</a>，分為Web版與Android版，前者著眼於淘汰第三方Cookie，以及限制隱密的追蹤，後者則將強化Android的隱私，並打造可避免侵犯使用者隱私的廣告解決方案。迄今隱私沙箱專案已累積十多種提案，並已開放開發者測試這些API。</p> <p>然而，Google Chrome身為市占率接近7成的全球最大瀏覽器，準備淘汰Cookie並導入隱私沙箱，除了受到出版商的反彈與其它業者的抗議之外，英國競爭與市場管理局（Competition and Markets Authority，CMA）也因此展開調查，企圖釐清該專案中的各種提案，是否會讓網路廣告支出更集中在Google，削弱其它業者於該領域的競爭能力，或者是否會破壞出版商持續生產高品質內容的能力。</p> <p>為了解決CMA的擔憂，<a href="https://www.gov.uk/government/news/cma-to-keep-close-eye-on-google-as-it-secures-final-privacy-sandbox-commitments" target="_blank">Google在今年2月承諾</a>，將透明化隱私沙箱專案的發展，而且不會在解決CMA的疑慮之前移除第三方Cookie。</p> <p>不靠Cookie，也不追蹤使用者足跡，還能遞送使用者有興趣的廣告，又要同時滿足各方的需求，就算是對全球最大科技業者之一的Google來說，也非易事。</p> <p>這使得Google決定在正式部署隱私沙箱，並於Chrome中關閉第三方Cookie之前，持續擴大測試範圍，於今年8月初讓全球數百萬名使用者都能測試隱私沙箱，而且直至明年都會陸續擴大測試人口；計畫於2023年第三季正式發表隱私沙箱的各種API，並讓隱私沙箱正式進駐Chrome。</p> <p>至於Chrome關閉第三方Cookie的時間，則是要等到開發者都採用並熟悉這些新API之後，約莫會落在2024年的下半年。這已是Google第二次推遲關閉第三方Cookie的時間，最早的時間表是<a href="https://www.ithome.com.tw/news/135364" target="_blank">2022年</a>，<a href="https://www.ithome.com.tw/news/145246" target="_blank">去年延後到2023年</a>。</p> </div></div></div>
2022/7/29 08:53作者陳曉莉https://www.ithome.com.tw/news/152179
【資安日報】2022年7月28日，網路傭兵Knotweed利用CSRSS零時差漏洞發動攻擊、阿里雲OSS儲存桶被用於散…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是零時差漏洞被提供網路攻擊服務的公司利用的情況！微軟指出，他們日前修補的CSRSS漏洞CVE-2022-22047，背後將其用於發動攻擊的組織，是一家提供網路攻擊工具與服務的公司DSIRF（亦稱Knotweed）。而在上週末，防毒業者Avast也針對Google於7月初修補WebRTC記憶體溢位漏洞CVE-2022-2294做出說明，指出<a id="https://www.ithome.com.tw/news/152074#CVE-2022-2294" name="https://www.ithome.com.tw/news/152074#CVE-2022-2294">網路間諜公司Candiru將其拿來打造間諜軟體</a>。</p> <p>有人在英文地下論壇兜售10億中國民眾個資後，資安業者發現，此舉引起了其他中國駭客跟風，將其視為出售竊得資料的新管道。研究人員認為，中國駭客原本與使用英文交流的駭客交集並不多，這樣的現象很可能會促成兩個駭客群體之間的合作，使得資安威脅態勢變得更加險峻。</p> <p>雲端資料配置不當的情況，成為駭客發動攻擊的目標可說是事故頻傳，最近有資安業者揭露鎖定阿里雲OSS儲存桶的攻擊行動，此種服務主要是供用戶備份應用系統，由於一般而言IT人員可能不會時常留意備份系統的狀態，而不太會察覺駭客濫用儲存桶的情況。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/27/untangling-knotweed-european-private-sector-offensive-actor-using-0-day-exploits/"><span style="color: rgb(0, 0, 0);">駭客組織DSIRF利用Windows與Adobe Reader零時差漏洞，攻擊奧地利、英國、巴拿馬企業</span></a></strong></h3> <p>微軟在7月12日發布每月例行修補（Patch Tuesday）公告時，指出其中有個CSRSS漏洞CVE-2022-22047已遭到利用，但當時並未進一步說明攻擊行動的細節。直到最近，該公司表示，利用這項漏洞的是奧地利「民間攻擊者（Private-Sector Offensive Actor）」，這個組織成立了資安顧問公司DSIRF為幌子，但此公司實際上的業務，是專門開發駭客工具、銷售，並提供攻擊服務。研究人員亦將此駭客組織稱為Knotweed。</p> <p>研究人員發現，DSIRF將漏洞用來開發惡意軟體Subzero，針對歐洲和中美洲組織發動攻擊，受害組織包含了奧地利、英國、巴拿馬的律師事務所、銀行，以及策略顧問公司。研究人員呼籲用戶應儘速安裝相關修補程式。</p> <p>除了上述漏洞之外，攻擊者也運用了Adobe Reader的漏洞，但研究人員無法確定其CVE編號。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cybersixgill.com/blog/shanghai-police-breach/"><span style="color: rgb(0, 0, 0);">自中國10億民眾資料事件曝光，大量使用中文的用戶湧入地下論壇，管理者呼籲要透過英文進行交流</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Shanghai4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Shanghai4.png" style="width: 300px; float: right;" /></a>在6月底有人於英文地下論壇BreachForums兜售10億中國民眾個資，並標榜資料來自該國政府機關，引起軒然大波，許多研究人員探討事故發生的原因，但此起事故在網路犯罪圈引發的後續效應也相當值得關注。</p> <p>資安業者Cybersixgill發現，自上述10億人資料的外洩事故爆發後，有大量使用簡體中文的新用戶在BreachForums進行交流，使得網站管理者發出公告，呼籲用戶要使用英文發送訊息，若不擅長使用英文溝通，可考慮透過翻譯軟體將中文轉成英文。</p> <p>再者，研究人員發現，該論壇提供中國實體外洩資料的情況大幅增加，光是在7月上半就有25起。相較之下，於3至6月期間，每月平均僅有14起，7月上半就已是這些月份快2個月的數量。</p> <p>研究人員認為這些現象發生的原因，是在前述的資料外洩事件後，中國駭客認為此英文論壇是他們能夠出售資料新管道。由於使用中文與英文的地下社群鮮少有所交集，這次大量中國駭客湧入英文駭客社群的現象，後續帶來的影響相當值得觀察。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/g/alibaba-oss-buckets-compromised-to-distribute-malicious-shell-sc.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿里雲OSS儲存桶遭到鎖定，駭客將其用於散布惡意Shell指令碼</span></strong></a></h3> <p>雲端服務用戶的組態配置不當，而遭到駭客攻擊的情況屢見不鮮，例如，有人6月底公布10億中國民眾個資，來源就與配置不當的雲端資料庫有關。</p> <p>趨勢科技揭露針對阿里雲的物件儲存服務（Object Storage Service，OSS）的攻擊行動，駭客鎖定缺乏安全配置的OSS儲存桶，透過Shell指令碼，取得AccessKey ID、AccessKey secret等配對資料，進而挾持受害者的儲存桶，並用來散布惡意軟體，或是將其用來挖取門羅幣。由於OSS的用途是供阿里雲客戶備份網頁應用程式的資料，這樣的攻擊行動很可能不易察覺。</p> <h3><a href="https://blog.sucuri.net/2022/07/dhl-phishing-page-uses-telegram-bot-for-exfiltration.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客鎖定DHL收件人發動網釣攻擊，並濫用Telegram機器人接收資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/dhl_phishing_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/dhl_phishing_1.png" style="width: 300px; float: right;" /></a>駭客假冒物流業者DHL來發動網路釣魚攻擊的情況，可說是相當頻繁，但現在有人在竊取資料的過程裡，運用了更為隱密的手法，而使得研究人員可能難以察覺。資安業者Sucuri揭露鎖定非洲突尼西亞的網路釣魚攻擊，駭客捏造了DHL的包裹運送進度查詢網站，並宣稱受害者的物品運送過程出現異狀，必須重新提供寄送資料並線上刷卡支付1.49美元費用，該快遞業者才會繼續處理。一旦受害者依照指示操作，駭客就有可能取得信用卡資料與個資。</p> <p>但此起攻擊事件與其他的釣魚網站攻擊相比，存在數個較為少見的做法，首先，駭客會對使用者的來源IP位址進行檢查，若是發現使用了VPN服務或是Proxy，此網站便會將使用者重新引導到Google；再者，則是對於竊得受害者的資料之後，將其傳輸到駭客手上的方法也有所不同，駭客濫用了雲端應用程式開發平臺Heroku與Telegram機器人，來進行資料傳輸，並非藉由電子郵件挾帶。這樣的做法能夠直接繞過郵件防護系統的偵測。</p> <h3><a href="https://www.cna.com.tw/news/asoc/202207270238.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">在去年7月專門針對公益團體捐款人行騙的詐騙集團，刑事局近日宣布破獲，並公布受害規模</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/987x768_20220727000139.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/987x768_20220727000139.jpg" style="width: 300px; float: right;" /></a>國內在<a href="https://www.ithome.com.tw/news/146376">去年7月爆發大規模捐款人士遭到詐騙的事故</a>，多個公益團體，如：唐氏症基金會、大甲媽社會福利基金會、育成社會福利基金會等，他們的資訊系統都是交由網軟處理，駭客成功入侵該公司並竊得捐款人資料，交由詐騙集團濫用，現在警方破獲此案並逮捕詐騙集團成員。根據中央社的報導，內政部警政署刑事警察局於7月27日，宣布假冒國內45個公益團體的詐騙集團，這些嫌犯藉由前述取得的公益團體捐款人資料，打電話謊稱扣款設定錯誤，必須操作ATM解除分期付款設定，然而受害者依照指示操作後，就會將存款匯至詐騙集團的人頭帳戶。</p> <p>專案小組自去年9月至今年5月，共查獲48名車手與幹部成員，總計有188人受害，損失逾3,409萬元，其中單次被騙最高金額為506萬餘元。專案小組在長期蒐證後，於5月24日搜索主嫌羅姓男子的公司，查獲電話卡9,445張、電腦主機9臺、<a href="https://zh.wikipedia.org/zh-tw/%E7%8C%AB%E6%B1%A0">貓池</a>主機24臺、手機15隻等證物。羅男與張姓員工將依詐欺和洗錢等罪嫌送新北地檢署偵辦，並裁定以20萬元與5萬元交保。</p> <p>刑事局指出，詐騙集團為了避免贓款流向被警方發現，羅男先以公司名義申請大量電話卡，再運用貓池接收蝦皮簡訊驗證碼，註冊數萬個蝦皮帳號供中國的假交易集團運用，設立蝦皮賣場，讓被害人匯款到蝦皮錢包，最後以錢包裡的贓款購買虛擬貨幣泰達幣（USDT）來進行洗錢。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://github.blog/2022-07-26-introducing-even-more-security-enhancements-to-npm/"><span style="color: rgb(0, 0, 0);">NPM新版雙因素驗證機制正式上線</span></a></strong></h3> <p>為了防範NPM套件遭到挾持，並被竄改成惡意軟體，GitHub日前宣布將強制使用雙因素驗證（2FA），並分階段逐步實施，預計2023年底全面採用。而為了讓開發人員更容易使用此種身分驗證機制，他們也自5月初著手改良，並於近期正式上線。</p> <p>開發團隊表示，在最近他們推出的8.15.0版NPM裡，使用者在登錄帳號與發布套件的雙因素身分驗證流程中，將透過瀏覽器進行，並允許有效時間維持5分鐘，來減少需要執行驗證的次數。開發團隊宣稱，Yarn專案只需加入不到10行程式碼，就能支援雙因素驗證的功能。此外，在套件的安全性上，新版NPM也加入新的CLI命令，供用戶確認套件的完整性。</p> <h3><strong style="font-size: 22px;"><a href="https://www.europol.europa.eu/media-press/newsroom/news/hit-ransomware-no-more-ransom-now-offers-136-free-tools-to-rescue-your-files"><span style="color: rgb(0, 0, 0);">No More Ransom網站成立6週年，協助逾150萬人免費復原檔案，臺灣也有資安業者加入提供解密工具的行列</span></a></strong></h3> <p>為了協助勒索軟體受害者復原檔案而設立的No More Ransom網站，現在成立已滿6年，當初推動的歐洲刑警組織（Europol）公布了執行成果，該網站現在提供了136種解密工具，能解鎖165種勒索軟體加密的檔案，這些工具已被下載超過1千萬次，讓150萬個用戶成功復原檔案。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.kathimerini.gr/politics/561973684/nikos-androylakis-kataggelia-gia-parakoloythisi-toy-kinitoy-tilefonoy-toy-katethese-minytiria-anafora-ston-areio-pago/"><span style="color: rgb(0, 0, 0);">希臘政治人物的手機遭到間諜軟體Predator攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.policia.es/_es/comunicacion_prensa_detalle.php?ID=13121"><span style="color: rgb(0, 0, 0);">西班牙逮捕涉嫌破壞核電廠警報系統的駭客</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://nakedsecurity.sophos.com/2022/07/27/mild-monthly-security-update-from-firefox-but-update-anyway/"><span style="color: rgb(0, 0, 0);">Mozilla推出Firefox 103，修補8個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-6-million-from-blockchain-music-platform-audius/"><span style="color: rgb(0, 0, 0);">去中心化音樂平臺Audius遭到網路攻擊，駭客竊走600萬美元加密貨幣</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月27日】駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.js原型污染漏洞</a></p> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月26日】駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStrand發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> </div></div></div>
2022/7/28 15:44作者周峻佑https://www.ithome.com.tw/news/152168
FTC出面阻止Meta與Within併購案，Meta反擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/within-to-join-meta/" target="_blank">Meta在去年10月宣布</a>將買下打造VR健身程式Supernatural的Within，不過，美國聯邦交易委員會（FTC）在經過9個月的調查之後，本周以危及市場競爭為由，<a href="https://www.ftc.gov/news-events/news/press-releases/2022/07/ftc-seeks-block-virtual-reality-giant-metas-acquisition-popular-app-creator-within" target="_blank">正式提出訴訟</a>以阻止該併購案，<a href="https://about.fb.com/news/2022/07/ftcs-attempt-to-block-metas-acquisition-of-within-is-wrong/" target="_blank">Meta同一天便撰文</a>反擊FTC的說法。</p> <p>Supernatural為一虛擬實境健身程式，提供拳擊、冥想及伸展等健身訓練，估計至少有超過2萬名使用者。根據Meta的計畫，未來將把Supernatural納入Reality Labs，但將持續獨立運作，也會繼續開發新功能。</p> <p>然而，FTC指出，Meta的VR帝國已囊括了最暢銷的裝置（Meta Quest）、領先的應用程式商店、7家最成功的開發商，以及一款最暢銷的應用程式，而今，Meta與祖克柏正打算擴大此一帝國，企圖非法收購健身程式，以向使用者證明VR的價值。</p> <p>負責競爭事務的FTC官員John Newman表示，與其以各自的優點競爭，Meta試圖藉由收購來達到顛峰，Meta已有一款熱門的VR健身程式（Beat Saber），也具備與Supernatural競爭的能力，但Meta卻直接買下了Supernatural，這是個非法收購行為。</p> <p>此外，FTC也認為，倘若Meta真的獲准買下Supernatural，將會大大地削弱VR健身程式領域的競爭壓力，將違反反壟斷法令。</p> <p>Meta同一天即發文反駁FTC的說法，說明Beat Saber是個音樂與旋律遊戲，有自己的競爭對手，但並非Supernatural；Meta承認的確有想說要自己發展VR健身程式，但市場上已有其它發展良好的競爭對手，自己開發並無太大意義；對於FTC暗示Meta買下各種VR程式是為了控制整個VR生態體系，Meta則說，情況正好相反，Meta已斥資數十億美元及花費近10年的時間來擴大VR市場，替開發者創造可支撐其生計的生態體系。</p> <p>總之，Meta指責FTC的訴訟是缺乏證據的，而是基於意識型態與猜測，也認為FTC可能無法回答最基本的問題：「Meta只是買下一個已存在許多競爭對手的健身程式，何能因此而危害競爭？」</p> <p>此一訴訟顯然已讓Meta無法依照既訂時程，於8月1日完成與Within的交易。</p> </div></div></div>
2022/7/28 15:24作者陳曉莉https://www.ithome.com.tw/news/152165
美國參議院通過《晶片與科學法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國參議院在本周三（7/27）以64對33票通過<a href="https://www.democrats.senate.gov/newsroom/press-releases/majority-leader-schumer-floor-remarks-on-final-senate-passage-of-chips-and-science-legislation" target="_blank">《晶片與科學法案》（Chips and Science Act，CHIPS Act ）</a>，同意提撥2,800億美元的支出來推動美國的創新與科技中心，而當中的近1/5，約527億美元，主要會被用來支持半導體製造工廠的建造與擴張，以讓美國本地得以生產更多的半導體。</p> <p>CHIPS Act分為兩個類別，一個涉及美國國家安全，另一個則是推動美國的經濟安全與機會。而白宮為了爭取美國參議院對該法案的支持，<a href="https://www.whitehouse.gov/briefing-room/speeches-remarks/2022/07/26/remarks-by-president-biden-in-meeting-with-ceos-and-labor-leaders-on-the-importance-of-passing-the-chips-act/" target="_blank">前一晚由美國總統拜登（Joe Biden）與多個產業領袖展開了對談</a>，其中，專門打造軍用飛機的Lockheed Martin公司執行長James Taiclet即表示，其實目前該公司要取得製造所需的半導體並不難，但因為大多數的半導體製造都位於中國與臺灣，若是中國決定停產或是禁止臺灣出口與製造晶片，即會對美國帶來嚴重的經濟問題，甚至是國家安全問題。</p> <p>Taiclet也認為，建置工廠與生產晶圓需要很長的準備時間，因此開始於美國重建半導體晶片製造能力是重要且急迫的。</p> <p>拜登則說，半導體是美國發明的，美國的半導體產量曾占全球的40%，但之後美國讓半導體製造流落到海外，現在美國僅占全球半導體產量的12%，臺灣生產了90%的高階晶片，但美國是零。在這期間，中國陸續投入了1,500億美元來推動境內的半導體產能，使其半導體產量從2%增加到16%，且中國的目標是25%，以達到自給自足的狀態。</p> <p>拜登呼籲，發明半導體的美國是時候把半導體帶回家了。</p> <p>《晶片與科學法案》還需通過眾議院的審核與美國總統的簽署才會生效，之外，外界一致認為該法案成真後，最大的受益者將是去年才<a href="https://www.ithome.com.tw/news/143423" target="_blank">設立晶圓代工服務（Intel Foundry Services，IFS）事業群</a>的美國業者英特爾。</p> </div></div></div>
2022/7/28 16:15作者陳曉莉https://www.ithome.com.tw/news/152169
Meta第二季營收出現史上首度下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2022/Meta-Reports-Second-Quarter-2022-Results/default.aspx" target="_blank">Meta周三（7/27）公布今年第二季財報</a>，該季Meta創下288億美元的營收，比去年同期少了1%，為該公司史上首度出現營收衰退，使得Meta當天盤後股價跌至161.7美元，跌幅4.65%。此外，Meta執行長祖克柏（Mark Zuckerberg）也在財報會議中透露，全球已進入經濟衰退，將對數位廣告產生更廣泛的影響，Meta也將減緩人力成長。</p> <p>在第二季的營收中，程式家族（Family of Apps）占了283.7億美元，低於去年同期的287.7億美元，鎖定VR領域的Reality Labs占了4.5億美元，高於去年同期的3.1億美元；程式家族替Meta帶進112億美元的營業利潤，低於去年的148億美元，而Reality Labs則虧損了28億美元，高於去年24億美元的虧損。</p> <p>程式家族的獲利減少，再加上Reality Labs的虧損擴大，也讓Meta第二季的每股盈餘從去年的3.61美元下滑至今年的2.46美元。</p> <p>另一方面，<a href="https://www.cnbc.com/2022/07/27/meta-ceo-mark-zuckerberg-we-seem-to-have-entered-economic-downturn.html" target="_blank">根據《CNBC》的報導</a>，祖克柏在財報會議中坦承，經濟衰退將更廣泛地影響數位廣告業務，而且很難預測此一循環的時間與深度，第二季的狀況看起來比第一季更糟。</p> <p>Meta亦於財報中指出，廣告需求變弱的趨勢將會延續到第三季，而且第三季的Reality Labs營收也會少於第二季。</p> <p>此外，祖克柏也說將在未來一年逐步降低人力的成長，縮減許多團隊的規模，並讓部門主管決定人力的配置與重組。事實上，Meta在過去一年來大舉招募人才，截至第二季的全球員工人數達到83,553人，比去年同期增加了32%，看起來Meta也面臨了因經濟趨緩而衍生的人力過剩問題。</p> </div></div></div>
2022/7/28 13:17作者陳曉莉https://www.ithome.com.tw/news/152163
Cloud周報第152期：鴻海在臺啟用首座支援多雲混合雲的資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/21～07/27）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文資料庫 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟與甲骨文擴大跨雲合作，甲骨文資料庫服務也能在Azure上執行</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(1).jpg" style="width: 600px; height: 338px;" /></p> <p>近日，微軟與甲骨文共同宣布推出可以在Azure公雲執行的Oracle資料庫服務（Oracle Database Service for Microsoft Azure），使企業用戶能更容易把在Azure環境上建立新的應用程式，與Oracle雲端基礎設施 (OCI)資料庫服務相連，如在OCI公雲上執行自主驅動資料庫等。</p> <p>這次跨雲合作，並非微軟與甲骨文首次合作，早在2019年時，兩家公司就曾簽訂雲互通協議，讓Oracle應用也能跑在Azure上，如今雙方更擴大合作，要讓甲骨文資料庫服務也能在Azure上跨雲執行。微軟與甲骨文共同推出適用於Azure的Oracle資料庫服務。該服務是以建立在Azure與Oracle雲端互連核心功能基礎上，讓企業用戶可以更容易將Azure環境的工作負載與OCI上的 Oracle資料庫服務整合，對資料庫進行配置、存取和進行監控。</p> <p>微軟表示，使用該服務移動數據往反OCI 和Azure環境之間，並不會針對移動的數據收費，僅須依用到的其他Azure或 Oracle服務付費，如Azure Synapsez分析服務或Oracle自主驅動資料庫。該服務目前已推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 鴻海 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多雲混合雲</span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>鴻海在臺啟用首座混合雲架構的雲端資料中心，能支援未來多雲混合雲應用</strong></span></p> <p>鴻海最近在臺啟用最新一座名為虎躍雲的資料中心，有別其他座資料中心，採用混合雲架構設計，能支援未來多雲混合雲應用，除了能夠確保公司和工廠營運不中斷，更可用於推動業務創新。這也是鴻海首座支援多雲混合雲的資料中心。</p> <p>在這座資料中心內，鴻海IT團隊導入了VMware軟體定義資料中心（SDDC）為基礎的混合雲平臺VCF（VMware Cloud Foundation），作為資料中心底層架構，搭配NSX多雲負載平衡方案，從而實現跨多雲、跨資料中心資源集中化管理與永續營運。</p> <p>自今年6月正式啟用後，儘管目前資料中心內大多以VM的工作負載為主，但因為導入混合雲基礎架構，除了本地端，未來更能因應不同應用任務需求，將這些地端應用搬上公雲，或採用容器化的雲原生應用來執行。</p> <p>鴻海未來也將把這座資料中心建置成功經驗，複製到全球，以此達到跨資料中心多點數據串聯，加速集團朝向軟體驅動的F2.0數位轉型邁進。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>微軟本季雲端業績成長強勁，增長逼近3成達250億美元，彌補Windows和Xbox營收虧損</strong></span></p> <p>微軟27日公布2022年第4季營收，顯示為519億美元，儘管微軟核心業務，包括Windows和Xbox本季營收稍微下滑，但靠著雲端業務成長強勁，使得該季營收仍有12%增長。</p> <p>微軟表示，Microsoft Cloud本季營收達250億美元，跟2021年同期相比增長28%。各別來看，在智慧雲（Intelligent Cloud）方面，營收達到209 億美元，比同期高出20％，其中來自Azure雲端和其他雲端收入占了4成，伺服器產品和雲端服務的收入，則有約2成左右。在消費性個人產品方面，由於Microso 365個人版訂閱數增長，訂閱戶達到5,970 萬戶，使得Oce個人版產品和雲服務營收增長逼近1成。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟Teams </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務中斷 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>Microsoft Teams全球無預警中斷，約2小時無法傳訊或使用相關功能</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(2).jpg" style="width: 600px; height: 400px;" /></p> <p>微軟遠距協同工具Teams於21日一早突然無預警全球大當機，許多用戶因此無法使用Teams傳訊服務或相關功能，不只美國、日本，就連臺灣不少用戶紛紛上網抱怨無服務可用，許多企業和學校線上會議、通訊被打斷，直到中午才恢復正常運作。</p> <p>服務中斷從臺灣時間早上約10點起，到中午12點多左右逐漸恢復服務。根據Down Detector的記錄，這段期間通報問題的用戶件數，美國就有4,800多起，在日本通報件數更多，高達18,200多例。 </p> <p>由於許多用戶在桌機安裝Microsoft 365應用套件時都已整合Teams，因此連帶使得如Microsoft Word、網頁版Office和 SharePoint等部分服務都受影響。 </p> <p>儘管無法使用Teams服務，用戶仍有其他替代方案，如採用Zoom、Google Meet或Cisco Webex等遠距協同服務。不過，這已經不是Teams第一次發生當機事故，2年前Teams在歐美服務也曾因為中斷無法傳訊，長達約2小時。 </p> <p>針對這起中斷事故，微軟後來說明是在進行包含內部儲存服務的軟體更新時造成服務連線中斷，才導致事故的發生。 </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 冷卻系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端服務不中斷 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>歐洲熱浪來襲！Google與甲骨文在英國雲端資料中心的冷卻系統相繼故障</strong></span></p> <p>近日40度熱浪侵襲歐洲，甲骨文（Oracle）與Google在英國的資料中心相繼傳出因冷卻系統故障，造成伺服器與特定服務停擺，但原本應該要幫助伺服器等設備降溫的冷卻系統，這回反倒因為自己過熱而故障了。</p> <p>根據甲骨文雲端基礎設施的系統狀態說明，出問題的是位於英國倫敦南部資料中心，因該區域出現不尋常的溫度，造成該資料中心的冷卻基礎設施故障，而讓網路、Oracle區塊儲存、Oracle運算、Oracle物件儲存與Oracle 整合等雲端服務都一度停擺。</p> <p>Google在同一天出問題的資料中心為europe-west2-a，也是位於英國倫敦。Google並未說明冷卻系統故障是否和氣候有關，僅提及裡面其中一棟建築物的冷卻系統設備故障，少數客戶的VM停擺與機器因此遺失，為了避免損害機器或讓災情擴大，所以Google關閉了該區的部分電力，並限制GCP的先占（Preemptible）功能。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><span style="font-size: 22px;"><strong>雲端業務儼然成為SAP營收主力，本季成長破3成達30億歐元</strong></span></p> <p>雲端ERP巨頭SAP近日公布2022年第2季財報，顯示本季營收成長13％，達到75.1億歐元，拜雲端快速增長所賜，其中雲端業務貢獻的營收，幾乎占整體營收快一半，足以顯見雲端業務已成為這家公司的營收主力。</p> <p>如果跟2021年同期相比，SAP本季雲端業務營收大漲34%，達到30.5億歐元，若從服務地區來看，以亞太及日本地區的31%增長最強勁。另外，在所有雲端服務中，以雲端ERP（S/4HANA）收入成長幅度最高，SAP預期將有翻倍增長。</p> <p>SAP並公布本季超過650家企業用戶採用SAP S/4HANA，至今全球已有逾2萬家企業有用，而採取RISE with SAP訂閱模式的企業用戶比例，也有持續增加的趨勢。</p> <p> </p> <p><strong>圖片來源／</strong> 微軟</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></p> <p><strong><strong>1.Google第二季雲端業績示警，儘管營收成長破3成，但虧損比去年高出45%</strong></strong></p> <p><strong><strong>2.微軟預覽即將更新的下一版超融合混合雲方案Azure Stack HCI</strong></strong></p> <p><strong><strong>3.Google Cloud率先加入Health-ISAC健康資訊共享與分析中心，協助推動醫療資訊網路安全 </strong></strong></p> <p><strong><strong>4.Google Cloud雲端生產力應用Workspace取得美國國防部的IL4認證授權</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2022年7月</strong></strong></p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/7/28 11:48作者余至浩https://www.ithome.com.tw/news/152161
GitHub釋出NPM 2FA及安全驗證相關改良功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月的<a href="https://www.ithome.com.tw/news/150767" target="_blank">公告</a>及<a href="https://www.ithome.com.tw/tech/150854" target="_blank">預覽版</a>後，GitHub為了實現2023年底全面實施雙因素驗證（2FA），<a href="https://github.blog/2022-07-26-introducing-even-more-security-enhancements-to-npm/" target="_blank">本周公布多項相關的功能和使用經驗的改良</a>。</p> <p>為防止GitHub平臺上npm套件遭劫持並被有心人士改造成惡意版本，造成廣大的軟體用戶及企業受害，GitHub 2個月前宣布要求所有在GitHub.com上貢獻程式碼的使用者於2023年底啟用雙因素驗證（2 factor authentication，2FA），期間分階段擴大實施。</p> <p>為了讓開發人員更方便使用2FA，GitHub最新公布的npm新功能，包括簡化以npm CLI登入和發布、連結GitHub和推特（Twitter）帳號到npm，以及重新簽發npm所有套件，並增加稽核套件完整性的新npm CLI指令。</p> <p>首先，5月初GitHub以預覽版形式強化npm套件儲存庫的可使用性，早期測試者反應的問題主要在以npm CLI登入和發布方面。原來的設計可回溯相容到npm 6及其他用戶端，Yarn專案甚至加不到10行式程式碼，就能使新功能支援Yarn 1。而本周GitHub推出的npm 8.15.0版，更可讓開發人員在瀏覽器登入和發布驗證、而每次2FA驗證的token可在同一對話（session）中維持最高5分鐘，降低使用2FA的麻煩。</p> <p>其次，過去npm帳號也可以連結其他平臺帳號，但這些資料並未經過驗證。透過新措施正式連結npm帳號到GitHub和推特，將可提供身分驗證自動化的基礎，有助於未來帳號被盜時的回復。</p> <p>最後，在驗證套件方面，以前開發人員必須經過較多步驟來驗證npm套件的簽章，相當複雜且需要對PGP金鑰密碼學工具有一定了解。GitHub即將允許開發人員在npm CLI使用新的稽核簽章指令audit signatures，也計畫明年初淘汰PGP金鑰的驗證方式。新的audit signatures指令已經加入npm CLI 8.13.0以上的版本。</p> <p>GitHub並宣布，最近已重新以ECDSA演算法重新簽發所有npm套件，並使用硬體加密器（Hardware Security Module，HSM）作為金鑰管理。</p> </div></div></div>
2022/7/28 12:22作者林妍溱https://www.ithome.com.tw/news/152162
Amazon、Google會在無搜索令情況下提供警方用戶影像
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多科技廠商推出具有攝影功能的智慧門鈴或其他連網裝置。其中Amazon和Google會將其產品拍攝到的用戶影片交由警方讀取，有些時候是在不告知用戶或事先沒有搜索令情況為之，遭隱私倡議團體抨擊。</p> <p><a href="https://www.vox.com/recode/23207072/amazon-ring-privacy-police-footage" target="_blank">上周Amazon坦承此事</a>。該公司7月初接獲美國參議員Ed Markey的調查問卷，詢問是否曾在未獲得用戶同意，或是缺乏搜索令情況下，將用戶影片提供給執法機關。該公司指出一如其用戶合約條款，在牽涉死亡危險或重大身體傷害等下，該公司會立即回應執法機關在緊急情況的要求。Amazon同時承認，今年已提供11次用戶影片予警方。</p> <p>Amazon說明，<a href="https://ler.amazon.com/us?ots=1&ascsubtag=[]vg[p]22983460[t]w[r]theverge.com/2022[d]D" target="_blank">執法機關必須填具網頁表格</a>，才算正式提出要求。不過Amazon拒絕說明「緊急情況」的定義，只說是依據一般公認標準的善意判斷。</p> <p>本周<a href="https://www.theverge.com/2022/7/26/23279562/arlo-apple-wyze-eufy-google-ring-security-camera-foortage-warrant" target="_blank">The Verge</a>及<a href="https://www.cnet.com/home/security/ring-google-and-the-police-what-to-know-about-emergency-requests-for-video-footage/" target="_blank">CNET</a>報導，Google也有類似的政策來因應政府機關對用戶資料的檢閱要求。</p> <p><a href="https://policies.google.com/terms/information-requests" target="_blank">Google說明</a>，為避免某人死亡或遭受嚴重的人身傷害，如炸彈、校園槍擊、綁架和失蹤，Google會提供資訊給執法機關。Google並指出，接到執法機關檢閱資料的要求時，一般情形下會先以電子郵件通知用戶，但若受法律限制或緊急事件，則可能不會通知用戶。這意謂Google影像設備Nest用戶的影像，「少數時候」也會被悄悄提供給警方。</p> <p>其他銷售電子門鈴或有攝影機的設備商，<a href="https://www.cnet.com/home/security/ring-google-and-the-police-what-to-know-about-emergency-requests-for-video-footage/" target="_blank">包括Arlo、Wyze和Anker及蘋果則對媒體表示</a>，警方必須出具搜索令才會提供影像資料。</p> <p>對於Amazon（及Google）未經用戶同意及沒有搜索令就提供影像給警方的作法，<a href="https://www.eff.org/deeplinks/2022/07/ring-reveals-they-give-videos-police-without-user-consent-or-warrant" target="_blank">電子疆域基金會批評</a>這可能導致警方濫用這類存取權，連非緊急事件也會提出檢閱資訊的要求。</p> <p>不過這或許只是美國警方以治安及防範恐怖主義為由，存取全球民眾資料行動的一部分。</p> <p><a href="https://www.ithome.com.tw/news/151794" target="_blank">美國本月在和歐洲國家的會議中提出「進階邊境安全合作」</a>（Enhanced Border Security Partnership，EBSP），要求參與VWP方案的國家應分享該國公民更多個人資料以確保美國邊境安全。媒體報導，目前VWP方案的國家尚不強制簽定EBSP，但2027年就會成為必要條件。</p> <p>加入VWP計畫的國家民眾享有90天之內無需簽證的待遇，目前多個歐洲國家以及臺灣、日本、南韓、新加坡、汶萊、智利都已加入VWP。</p> </div></div></div>
2022/7/28 11:32作者林妍溱https://www.ithome.com.tw/news/152160
AWS開放免費下訂實體安全金鑰，目前限美國帳號Root User用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對不斷發生的網釣與帳密外洩問題，最近Amazon在7月11日宣布，將提供美國Amazon Web Services (AWS) 帳號用戶，可免費下訂取得實體安全金鑰（Security Key），這是雲端服務業者首見的創舉，以如此公開的形式提供給企業用戶，期望幫助用戶對於預防網釣或帳密竊盜威脅，有進一步的嘗試與行動。</p> <p>關於這項計畫，最早是在去年8月25日宣布，當時美國白宮舉辦資安高峰會，會中多家科技、教育業者均提出，將共同解決美國資安威脅與人才培訓問題的實際行動，Amazon也承諾，要保障AWS用戶的帳號安全，除了宣布要釋出<a href="https://learnsecurity.amazon.com/training/story.html">內部安全教育訓練課程</a>，並預告為了預防網釣或帳密竊盜威脅，未來提供每個AWS帳號，都可免費取得多因素認證（MFA）裝置。</p> <h3><strong>避免網釣，AWS將促進MFA啟用與實體安全金鑰的應用</strong></h3> <p>最近7月11日，Amazon正式宣布美國帳號Root User用戶，只要在過去三個月內每月花費超過100美元，就有資格可以免費下訂取得實體安全金鑰（Security Key）。</p> <p>Amazon資安長CJ Moses表示，他們鼓勵每個人使用MFA 來幫助保護自己的線上帳戶安全，儘管某些應用程式尚不支援實體安全金要，但幾乎所有應用程式都提供了MFA選項。</p> <p>這次AWS提供免費實體安全金鑰的用意，主要是因為有些企業仍處於早期採用MFA的階段，也不瞭解實體安全金鑰的應用，CJ Moses表示，這個免費的實體安全金鑰，就是保護用戶AWS帳號的另一種方式，也可幫助用戶更了解現在的MFA，是如何可以做到方便與快速登入，並開始朝向啟用MFA的防護邁進。</p> <p>他並指出，未來，隨著企業組織持續擴產使用AWS，所有用戶也都應該獲取並啟用MFA。而且，這也可以適用於AWS身分服務，也就是AWS Identity and Access Management（IAM）的用戶級別管理，也可以適用於整合式身分存取管控業者的解決方案，並強調使用聯合身分識別（federated identities）是最佳實務。</p> <p>另一方面， Amazon還設立了名為「Free MFA Security Key」的專屬網頁，告訴AWS用戶如何免費取得，並簡化訂購流程。基本上，分為三個步驟，首先是前往下訂專屬頁面時將檢視資格，接著選擇實體安全金鑰，再來進入結帳頁面輸入送貨地址，就可以免費獲取。</p> <p>而根據網站上問與答的說明資訊，我們可以了解，目前提供的實體安全金鑰，是Yubico的Security Key NFC，符合資格的用戶會收到通知，訂購後十日內將收到。</p> <p>對於符合這次資格的Root User帳號亦有說明，就是用戶第一次建立Amazon Web Services（AWS）帳號時，需要先建立一個可以存取所有AWS服務與資源的帳號，而這個帳號，就是AWS帳號Root使用者。</p> <p>對於這項政策未來是否擴及美國以外的市場，可惜，Amazon至今都並未提及。</p> <p>另一方面，除了Amazon在去年8月宣布免費提供實體安全金鑰，今年7月正式開放領取，其他業者也有相關行動。例如，在2020年，國內實體安全金鑰業者歐生全與微軟合作，針對使用Azure AD的企業，推出「無密碼試驗計畫」，讓客戶可以小量適用ATKey.Pro登入Azure AD；此外，Google在去年10月也曾宣布，將向高風險用戶提供1萬個實體安全金鑰，這些高風險用戶主要是當選官員、政治運動、人權活動家與記者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Amazon%20Free%20MFA%20Security%20Key.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Amazon在7月11日正式宣布，最近三個月每月花費100美元的AWS美國帳號Root User用戶，將可免費下單獲取實體安全金鑰（Security Key），並設置專屬網頁教導用戶索取。</strong></span></p> </div></div></div>
2022/7/28 10:23作者羅正漢https://www.ithome.com.tw/news/152150
中華電信資料治理戰略大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>單日高達千億筆資料，是中華電信長年資料管理的IT大挑戰。去年，中華電信內部展開了一項資料治理推動計畫，訂定治理策略，從小場景開始試行，希望轉型成一家數據驅動的電信服務公司。近日在一場活動上，中華電信首度公開了這套資料治理戰略。</p> <h3><strong>本土電信龍頭去年展開資料治理加速公司轉型</strong></h3> <p>中華電信十分稔熟數據運用，很早就開始善用數據，推動各項業務成長，尤其，身為臺灣電信龍頭，光是千萬行動用戶，一天就約1千億筆可分析的資料，以此所發展的大數據、AI應用，迄今已大量運用到精準行銷、門市智慧推薦，以及網路建設、營運決策等用途。到2018年時，中華電信更成立百人規模的大數據業務團隊，來推動外部大數據應用及業務發展。</p> <p>中華電信數據發展處協理闕仁斌就表示，從2022年起，中華電信將透過資料治理策略，建構全公司的數據資產，更以2年後能夠完全轉型，成為一家數據驅動的企業為目標。</p> <p>「對中華電信而言，資料治理非做不可」闕仁斌解釋，資料品質攸關以後AI模型預測的精準度，更會影響決策者運用資料決策的正確性，「只有透過資料治理方式，才有辦法把數據轉化為資產，發揮其真正價值。」</p> <p>中華電信認為，數據必須經過淬鍊才能發揮其價值，資料治理是下一階段建構全公司數據資產的重要一步。不光如此，資料治理背後更大戰略意義，不只讓大數據團隊未來更方便運用數據，更要讓全公司所有使用者都能用來創新，進而建立數據驅動企業文化、創造公司資料價值與提升企業競爭力。</p> <p>中華電信資料治理戰略，想要優先解決資料使用的3大痛點，包括巨量資料查詢不易、資料品質不一，以及資料存取權限欠缺統一標準的問題。</p> <p>闕仁斌坦言，過去內部使用者要從每天千億筆資料中查詢所需資料，尤其是跨業務或跨單位的資料，得耗費不少時間，不僅相當不便，運用資料時也常常因為資料定義不明確，如不同系統之間的資料定義不盡然一致，造成解釋或統計結果的差異，而影響了營運決策，甚至對於資料存取權限沒有統一，每次遇到存取權限疑義時，都得交由董事會決定，哪些資料該不該給，或能不能用。</p> <h3><strong>資料治理兩大目標，提升資料驅動能量與建構管理制度</strong></h3> <p>中華電信去年訂出了兩大資料治理目標，一是提升資料驅動能量，包括容易查詢、方便利用，還要保證資料品質、解釋性，並創造其價值。另一個目標是建構資料管理制度，確保資料使用符合規範、授權、追蹤及資料保護的要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap18(1).png" style="width: 600px; height: 341px;" /></p> <p>執行做法上，中華電信循著盤、規、治、用分四步驟進行，先盤點資料，包括資料資產、元資料（metadata）的盤點，並建構資料目錄；接著，定義出統一資料標準、建立資料品質及內控制度，讓資料使用可以循規蹈矩，之後再將這些擬訂好的規範、內控機制加以實施，最後是透過驅動資料，來創造資料的價值，達成資料營運。</p> <h3><strong>參考AWS資料治理框架，打造三層資料治理組織架構</strong></h3> <p>歷經一年規畫、評估，中華電信確認執行目標和發展方向後，更找來顧問公司，引進AWS <a href="mailto:Governance@Scale">Governance@Scale</a>資料治理框架，來作為擬定資料治理組織架構的參考，進而打造出中華電信三層式資料治理組織架構。AWS早在幾年前就提出這套資料治理框架，但以國外企業或政府及研究機構採用居多，如美國太空總署NASA及聯邦醫療保險暨補助服務中心（CMS）等，中華電信是臺灣第一家採用該框架的企業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E7%B5%84%E7%B9%94%E6%9E%B6%E6%A7%8B-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1.jpg" style="width: 600px; height: 335px;" /></p> <blockquote><p>從中華電信近日揭露的三層式資料治理組織架構來看，最上層是一個資料治理策略委員會，負責訂定資料治理的方向目標和年度實行計畫，再由中間層的數據發展處承接，進而往下帶動各分公司和總公司各處室來推動執行。圖片來源／中華電信</p> </blockquote> <p>在中華電信的三層式資料治理組織架構中，最上層是一個資料治理策略委員會，負責訂定資料治理的方向目標和年度實行計畫，再由中間層的數據發展處承接，進而往下帶動各分公司和總公司各處室來執行。</p> <p>闕仁斌表示，2021年以前，由總公司數據發展處主導數據運用，該處也是該公司的大數據中心，發展各種嶄新大數據應用，但從今年起，改由層級更高的資料治理委員會，來負責整家公司數據驅動的推動，不再是以處為單位，藉此來加快資料治理在全公司落地。</p> <p>因為長年累積的資料十分龐大，一開始梳理資料時，中華電信內部花了不少時間討論，決定哪類資料應優先梳理，他們後來採取的策略是，先以年度重點業務使用的資料欄位優先梳理，目的是要把架構、資料目錄跟元數據，與重要業務推動相關聯的資料，先建構起來後，以便能很快地幫助業務推展。</p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%81%B7%E8%83%BD-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1.jpg" style="width: 600px; height: 344px;" /></strong></p> <blockquote><p>為建立資料治理流程，中華電信設計一套方式統一管理不同規範文件，不只將文件依據管理規範，由下到上分成4類，還新增三種不同職能角色，來協助資料查詢、提供和核准。像是在每個單位扮演資料小幫手的資料管理者，負責協助尋找需要使用的資料，還有協助查詢與資料提供的資料業務定義人，以及核准資料申請的資料擁有者。圖片來源／中華電信</p> </blockquote> <p>中華電信更從管理面切入，從組織、制度及流程的改造做起，建立全公司的資料管理體系及應用策略，來打造資料驅動的企業文化。在技術基礎上，也要導入各種資料治理管理工具，來加快推動資料治理落地的腳步。</p> <p>像是為了建立資料治理流程，他們設計一套方式統一管理不同規範文件，不只將文件依據管理規範，由下到上分成4類，分別是作業管理表單、作業要點與流程、規範以及政策，並對應到一般資料使用者（含業務和技術），以及資料或系統管理員使用或管理職責。</p> <p>除了一般資料使用者，還新增三種不同職能角色，來協助資料查詢、提供和核准。一個是在每個單位扮演資料小幫手的資料管理者（Data Steward），負責協助尋找需要使用的資料，還有協助查詢與資料提供的資料業務定義人（Data Trustee），以及能夠核准資料提取申請的資料擁有者（Data Owner）。闕仁斌表示，有了這三種新角色的加入，就能解決先前資料使用的三大痛點。</p> <h3><strong>資料治理成功的4個關鍵</strong></h3> <p>經過約一年實施，闕仁斌歸納出，資料治理成功4個關鍵，首先，第一個就是要獲得高層支持，他解釋，因為資料散落到各分公司、各體系，要讓資料能夠如行雲流水般的流動，高階主管的支持不能少。</p> <p>其次是要建立制度化，畢竟資料方便使用，也就代表風險更高，必須有一套完善制度，來避免可能發生的資料外洩風險，也要確保資料的質和量都能兼顧。</p> <h3><strong>採取小步快跑策略推向場景</strong></h3> <p>資料治理素養的培育是他提到的第三個關鍵。最後在執行上，可以採取小步快跑策略進行，先從小場景試驗後，等到運作順利，再大規模展開。</p> <p>中華電信目前在工務、業務、 ERP體系，各選出一個試點場景來導入資料治理規範和制度，先從5G業務，網路工務、人資相關場景落地，並持續修正，以此發展成為全公司一體適用的制度。</p> <p>闕仁斌強調，資料治理有如一個永續工程，不是短時間就能快速達成，而是必須經過一個循序漸進的發展過程，即使建立好資料治理制度後，最後要能夠在全公司真正落地，尚需建立由線到面的制度策略。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/7/28 10:45作者余至浩https://www.ithome.com.tw/news/152155
微軟發現Adobe及Windows新漏洞遭開採植入惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/27/untangling-knotweed-european-private-sector-offensive-actor-using-0-day-exploits/" target="_blank">微軟昨（27）日公布一項駭客攻擊行動</a>，一個名為KNOTWEED的組織利用Adobe及Windows等多項漏洞在Windows用戶系統中植入惡意程式Subzero，包括一個本月才修補的漏洞。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MSTIC）及微軟安全回應中心（Microsoft Security Response Center，MSRC）研究人員相信，微軟在研究中命名的KNOTWEED，實際身份為奧地利「民間攻擊者（private-sector offensive actor）」組織，即所謂的網路傭兵組織DSIRF，他們專門開發駭客工具並以多種商業模式銷售工具或服務。但DSIF表面上是一家安全顧問公司，在其網頁上宣稱服務客戶包括「科技、零售、能源及金融業的跨國公司」，並擁有「蒐集和分析資訊的高等能力」。</p> <p>微軟發現，2021和2022年間KNOTWEED以各種方法利用Adobe Reader及Windows 多項零時差漏洞，在受害者系統內植入Subzero，受害客戶包括律師事務所、銀行、策略顧問公司，分布歐洲、英國及巴拿馬等國。Subzero是一種rootkit程式，可讓攻擊者取得整臺系統的完整控制權。而在這些攻擊中，微軟觀察到DSIRF不僅提供Subzero，也發現和它有關的GitHub，及它提供的C&C基礎架構與簽發開採程式的憑證。</p> <p>最新的KNOTWEED發生在今年5月間，駭客利用1項Adobe Reader遠端程式碼執行（RCE）漏洞及CVE-2022-22047發動權限擴張攻擊，在Windows系統內植入Subzero。其中<a href="https://www.ithome.com.tw/news/151918" target="_blank">CVE-2022-22047</a>位於客戶端/伺服器端執行時子系統（Client/Server Runtime Subsystem，CSRSS），為一權限擴張及沙箱逃逸漏洞，成功開採能讓駭客取得系統（SYSTEM）權限。微軟推測，用戶可能是接獲並開啟惡意PDF文件，利用Adobe Reader的RCE漏洞在PC磁碟寫入惡意DLL檔，再利用CVE-2022-22047將惡意DLL載入到目標系統行程中，達到執行程式碼的目的。</p> <p>微軟在本月的Patch Tuesday中才修補CVE-2022-22047。開採程式碼分析顯示，也可用於Chromium-based瀏覽器，不過微軟尚未發現以瀏覽器為管道的攻擊。</p> <p>至於Adobe Reader遭開採漏洞為何不得而知。但Adobe 5月間曾釋出安全更新，以修補Windows及Mac版Adobe Reader<a href="https://www.ithome.com.tw/news/144348" target="_blank">一個已遭開採的漏洞</a>，成功開採可讓攻擊者執行任意程式碼。</p> <p>在防範措施上，微軟呼籲企業用戶儘速安裝Windows更新版本，修補包括CVE-2022-22047在內的漏洞，並啟用防毒軟體及多因素驗證（MFA）確保用戶憑證安全，也要檢查是否有不明的遠端存取連線。同時微軟建議透過群組規則（Group Policy）設定AMSI（Antimalware Scan Interface）以防範惡意XLM或VBA巨集。</p> </div></div></div>
2022/7/28 10:59作者林妍溱https://www.ithome.com.tw/news/152156
卡巴斯基在技嘉與華碩主機板的UEFI韌體上，發現謎樣的惡意程式CosmicStrand
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/cosmicstrand-uefi-firmware-rootkit/106973/" target="_blank">資安業者卡巴斯基（Kaspersky）本周指出</a>，他們在技嘉（Gigabyte）與華碩（ASUS）主機板上的統一可延伸韌體介面（Unified Extensible Firmware Interface，UEFI）發現了一個Rootkit惡意程式CosmicStrand，相信CosmicStrand源自於講中文的駭客，且從大家還沒開始討論UEFI惡意程式的2016年就問世，直至現在，CosmicStrand仍是一個謎團。</p> <p>UEFI是一個介於平臺韌體與作業系統之間的軟體介面，它負責啟動裝置，再將控制權交給載入作業系統的軟體，通常存放在主機板的快閃記憶體中。因此，若UEFI被植入惡意程式，除了難以偵測之外，就算是重灌作業系統，甚至換掉硬碟，都無法移除它。</p> <p>不過，要在UEFI上植入惡意程式並非易事，駭客必須實際存取裝置，或是藉由精細的手法自遠端感染，這些都需要付出龐大的心力才能實現，因此，UEFI惡意程式最常出現在目標攻擊中。</p> <p>卡巴斯基發現的是CosmicStrand的變種，其主要功能是在系統啟動時下載惡意程式，進而執行駭客所指定的任務，當它成功通過了啟動的所有階段之後，便會執行一個Shellcode，連結駭客伺服器，再接收惡意酬載。研究人員在受害電腦上現一個疑似與CosmicStrand有關的惡意程式，該惡意程式會在作業系統上建立一個具備管理員權限的新帳號aaaabbbb（下圖），而此一發現與<a href="https://bbs.360.cn/thread-14959110-1-1.html" target="_blank">奇虎360團隊（Qihoo360）在2017年的揭露</a>一致。</p> <p class="rtecenter"><img alt="" src="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2022/07/20125244/CosmicStrand_UEFI_malware_06.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／卡巴斯基</span></span></p> <p>更有趣的是，這些遭到CosmicStrand感染的使用者，都是一些名不見經傳的小人物，也未隸屬於任何重要的組織，亦僅使用免費版的卡巴斯基防毒軟體。受害者主要分布於中國、越南、伊朗與俄羅斯。</p> <p>迄今卡巴斯基研究人員無從了解CosmicStrand究竟是如何入侵主機板上的UEFI韌體的，僅知所有受到感染的都是技嘉與華碩主機板，它們的共通點是使用英特爾的H81晶片組，由於目前所觀察到的受害者都是尋常百姓，讓研究人員猜測或許是某個元件含有可自遠端於UEFI植入惡意程式的安全漏洞。</p> <p>不僅是感染途徑撲朔，研究人員也無法確定CosmicStrand的實際感染數量或是C&C伺服器數量，研究人員更好奇的是，倘若駭客在2016年就知道利用UEFI惡意程式，那麼這群駭客現在使用的是什麼？</p> <p>由於CosmicStrand有許多程式碼模式都與中國駭客所打造的挖礦程式MyKings類似，使得卡巴斯基認為CosmicStrand應是由中文駭客所打造，或至少利用了中文的共享資源。</p> </div></div></div>
2022/7/27 22:14作者陳曉莉https://www.ithome.com.tw/news/152146
歐洲兩大衛星通訊業者Eutelsat與OneWeb簽署合併備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供低軌衛星通訊服務的英國業者OneWeb，以及於地球同步軌道上擁有36顆衛星的法國業者Eutelsat<a href="https://oneweb.net/resources/eutelsat-and-oneweb-combine-leap-forward-satellite-connectivity" target="_blank">在本周二（7/26）簽署了合併備忘錄</a>，準備共同迎接未來的衛星通訊市場機會，合併之後除了英國政府所持有的特別股份之外，雙方股東將各自持有新公司50%的股份。</p> <p>Eutelsat成立於1977年，屬於傳統的衛星通訊業者，提供地球同步赤道軌道（Geosynchronous Equatorial Orbit，GEO）上36顆衛星的通訊能力，現已供應近7,000家電視臺使用，亦支援企業網路、行動通訊與寬頻服務。<a href="https://www.worldteleport.org/news/594359/World-Teleport-Association-Publishes-Top-Operator-Rankings-for-2021.htm" target="_blank">根據全球傳送協會（World Teleport Association）2021年的統計</a>，Eutelsat現為全球第五大衛星服務供應商。</p> <p>至於OneWeb則是2012年才成立的新興衛星網路業者，主要提供低軌（Low Earth Orbit，LEO）衛星通訊網路，其OneWeb衛星星座所規畫的衛星為648個，迄今已發射428個，為SpaceX Starlink的主要競爭對手之一。</p> <p>根據雙方的協議，Eutelsat將取得OneWeb的所有股份，並另外發行2.3億新股予OneWeb股東，最終雙方將各自持有新公司的50%股份，預計於明年上半年完成交易。以Eutelsat每股12歐元的價格來計算，OneWeb的市值為34億歐元。</p> <p>由於<a href="https://www.gov.uk/government/news/uk-government-to-acquire-cutting-edge-satellite-network" target="_blank">英國政府在兩年前</a>以5億美元投資了OneWeb，這次Eutelsat所取得的OneWeb股份也排除了英國政府所持有的特別股，<a href="https://www.gov.uk/government/news/oneweb-merger-with-eutelsat" target="_blank">也讓英國政府發出了聲明稿</a>，指出未來將讓這家新的全球公司占據一席之地，將力求捍衛新公司的未來，包括其LEO業務、國家安全的控制，以及對英國產業的優先權等。</p> <p>雙方的合併有跡可循，Eutelsat在2021年4月便曾入股OneWeb，雙方也在今年3月簽署了全球經銷協議，Eutelsat董事長 Dominique D’Hinnin表示，此一交易將是全球首度結合GEO資產與LEO星座，把握連網領域的重大成長機會，並替客戶帶來更廣泛的應用。</p> <p>有鑑於World Teleport Association的衛星服務供應商排行榜是依據業者的年營收來計算，因此新興的LEO業者服務供應商都未上榜，包括OneWeb與SpaceX Starlink在內。不過，<a href="https://www.worldteleport.org/events/EventDetails.aspx?id=1598480&hhSearchTerms=%22starlink%22" target="_blank">此一全球傳送協會也認為</a>，非地球靜止衛星（NGSO）將主宰該領域未來10年的成長，這期間所增加的衛星能力中，可望有超過75%是由NGSO業者所貢獻，像是OneWeb或Starlink，2030年的衛星連網市場規模亦將達到200億美元。</p> </div></div></div>
2022/7/27 22:39作者陳曉莉https://www.ithome.com.tw/news/152147
【資安日報】2022年7月27日，駭客意圖透過IIS伺服器延伸套件在Exchange植入後門、研究人員揭露Node.j…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客針對Exchange伺服器發動的攻擊行動裡，他們很可能會鎖定IIS伺服器元件下手，植入Web Shell後門程式，但如今駭客偏好的手法出現了變化，有越來越多駭客轉向對IIS伺服器的延伸套件（Extension）下手，在受害的Exchange伺服器上植入後門程式，而使得後門程式的攻擊特徵更加難以判別。</p> <p>我們在上週報導<a href="https://www.ithome.com.tw/news/152007#blitz-js">JavaScript網頁應用程式框架Blitz.js</a>存在的原型污染（Prototype Pollution）漏洞，但最近有研究人員指出，這樣的漏洞還有可能存在於其他的JavaScript網頁應用程式框架。他們在Node.js的相關元件中找到此種類型的漏洞，並指出此框架的API部分小工具存在可被利用於相關攻擊的風險。</p> <p>勒索軟體LockBit的攻擊事件頻傳，近期陸續傳出被用於政府機關的情況引起關注。最近有資安業者將其與另一款勒索軟體BlackMatter比對，發現駭客很可能採用了部分程式碼，而使得新版本的LockBit 3.0具備部分BlackMatter的特質。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/07/26/malicious-iis-extensions-quietly-open-persistent-backdoors-into-servers/"><span style="color: rgb(0, 0, 0);">駭客意圖透過IIS伺服器延伸套件，在Exchange伺服器植入後門</span></a></strong></h3> <p>在針對Exchange伺服器的攻擊手法裡，駭客過往很可能會部署Web Shell來當作後門程式，但隨著資安系統對於這種手法的偵測能力日益提升，駭客開始運用其他的管道入侵。</p> <p>微軟的資安研究團隊最近提出警告，他們注意到駭客運用IIS的延伸套件（Extension）來建立後門的情況，可說是越來越氾濫，由於這種手法所建置的後門程式，通常會存放在正常應用程式所使用的資料夾裡，並使用相同的程式碼結構，而使得與Web Shell相比，研究人員要確認是否為後門程式變得更加困難。</p> <p>研究人員以他們發現針對Exchange伺服器的攻擊為例，駭客利用了ProxyShell漏洞部署了Web Shell，但經過一段時間的偵察後，才建置了名為FinanceSvcModel.dll的後門程式並進行滲透。對此，該公司呼籲企業，要經常檢查高權限群組是否被加入不明帳號，應用程式的組態檔案web.config及ApplicationHost.config有沒有出現不明檔案等措施，來防範這種以IIS伺服器延伸套件植入後門的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/g/lockbit-ransomware-group-augments-its-latest-variant--lockbit-3-.html"><span style="color: rgb(0, 0, 0);">研究人員發現勒索軟體LockBit 3.0與BlackMatter之間的關連</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit_3_update_7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit_3_update_7.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體LockBit，駭客發布3.0新版本（亦稱LockBit Black）時，許多人聚焦在同時推出的漏洞懸賞計畫（Bug Bounty），最近<a href="https://www.sentinelone.com/labs/lockbit-3-0-update-unpicking-the-ransomwares-latest-anti-analysis-and-evasion-techniques/">資安業者SentinelOne</a>、趨勢科技的研究人員，先後公布對該勒索軟體進行解析的結果，並指出駭客運用了部分勒索軟體BlackMatter的程式碼，而使得LockBit 3.0具備許多BlackMatter的特性。</p> <p>例如，攻擊者需要下達特定的參數，LockBit 3.0才會執行，再者，這款勒索軟體也會列舉能夠使用的API，來濫用於攻擊行動。上述的特性皆與駭客採用了部分BlackMatter的程式碼有關。</p> <p>而對於新版LockBit的其他特性，兩家資安業者各有不同的發現。SentinelOne指出，駭客透過Cobalt Strike在受害電腦投放LockBit 3.0，並藉由系統服務來維持在電腦運作，而趨勢科技則發現，駭客在留下的勒索訊息裡，搬出了歐盟的GDPR來要脅受害組織付贖金，若是不從，他們未來將會不斷對受害組織發動攻擊。</p> <h3><a href="https://www.withsecure.com/en/whats-new/pressroom/withsecure-detects-new-infostealer-malware-ducktail"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">專門管理企業臉書帳號的人士遭到竊密軟體Ducktail鎖定</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/microsoftteams-image.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/microsoftteams-image.png" style="width: 300px; float: right;" /></a>駭客從職場社群網站LinkedIn上，找尋特定職務的人士竊取臉書帳號的情況，有可能成為駭客對受害組織發動攻擊的管道。資安業者WithSecure揭露名為Ducktail的攻擊行動，駭客透過LinkedIn，針對市場行銷與人力資源部門的人士發動攻擊，藉由網路釣魚的手法，在受害者的電腦植入竊密軟體Ducktail，目標是挾持這類人士的臉書帳號。</p> <p>由於這些人士的帳號可能具有公司粉絲團的管理權限，駭客一旦得手就有機會冒用這些公司的名義散布訊息，或是向其他員工散布惡意軟體，甚至能為商務郵件詐騙（BEC）攻擊布局。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/abs/2207.11171"><span style="color: rgb(0, 0, 0);">Node.js存在原型污染漏洞，恐被攻擊者用於RCE攻擊</span></a></strong></h3> <p>隨著網頁應用程式框架受到廣泛應用，在JavaScript程式碼裡可能會存在的原型污染（Prototype Pollution）漏洞，也引起研究人員關注。瑞士皇家理工學院（KTH Royal Institute of Technology）的兩名研究人員指出，在今年3月公布Node.js後端程式Parse Server的重大漏洞後，他們又從NPM CLI裡找到2個能被用於原型污染攻擊的漏洞，並指出Node.js的API當中，有11個小工具（Gadget）潛藏被用於RCE攻擊的風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.paloaltonetworks.com/content/dam/pan/en_US/assets/pdf/reports/2022-unit42-incident-response-report-final.pdf"><span style="color: rgb(0, 0, 0);">研究人員指出，漏洞在取得CVE編號的15分鐘後，就可能會有駭客開始嘗試利用</span></a></strong></h3> <p>IT人員在執行系統的修補工作上，通常至少需要一天以上的時間，很多人可能會覺得在零時差漏洞之外，大多數的漏洞仍能有幾天的時間緩衝，駭客不會這麼快就出手，但其實不然。資安業者Palo Alto Networks最近指出，駭客會不斷監控軟體開發者的資安公告，是否有新的漏洞資訊，並在漏洞取得CVE編號的15分鐘後，就開始在網際網路上掃描，找出存在漏洞的系統。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://securityaffairs.co/wordpress/133640/cyber-crime/lockbit-ransomware-italian-revenue-agency.html"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit攻擊義大利稅務局，竊得78 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.theverge.com/2022/7/22/23274372/st-marys-canada-lockbit-ransomware-cyber-incident"><span style="color: rgb(0, 0, 0);">加拿大小鎮遭到勒索軟體LockBit攻擊，外洩 67 GB資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://twitter.com/RFJ_USA/status/1551915545288663041"><span style="color: rgb(0, 0, 0);">針對緝捕北韓駭客的行動，美國將懸賞獎金增加至1千萬美元</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/36634/"><span style="color: rgb(0, 0, 0);">惡意軟體Amadey Bot透過下載器散布，在受害電腦進行偵察及竊密</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152121">【2022年7月26日】駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStrand發動攻擊</a></p> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> </div></div></div>
2022/7/27 18:38作者周峻佑https://www.ithome.com.tw/news/152144
科技部改制新國科會，今正式揭牌營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前身為行政院國家科學委員會（國科會）的科技部，在行政院組改後，正式改制為國家科學及技術委員會（新國科會），今天(7/27)正式揭牌營運，新國科會主委仍由前科技部部長吳政忠接任，強調未來將以委員會的高度，發揮跨部會協調功能，強化臺灣的科技布局。</p> <p>新國科會今天舉行主任委員布達及揭牌儀式，總統蔡英文、行政院長蘇貞昌，唐鳳等政委、國發會主委龔明鑫、經濟部長王美花等皆出席，為行政院推動組織改造，科技部改制為新國科會的重要里程祝賀。</p> <p>蔡英文表示，新國科會將擘畫科技發展願景，協調科技預算，她期許吳政忠帶領新國科推動三項任務，首先是加速投入前瞻的科技，包括半導體、量子科技、太空、能源轉型、資安、數位發展等，在暨有的基礎上，持續鞏固臺灣在國際的關鍵地位，其次是持續匯集各界的創新技術能量，將新興科技導入產業界及社會，讓科技力為臺灣創造更多的進步及改變。第三是持續培育年輕人才，包含女性人才。</p> <p>改制為新國科會後，人員並未有太大變動，科技部原本的司級單位改為處，次長則是副主委，整合行政院科技會報辦公室後，改稱為新國科會科技辦公室，兼具行政院科技幕僚及跨部會協調的角色，未來新國科會肩負四大任務，分別是擘畫科技政策、支援基礎研究、完善科學園區、推動創新創業。至於新國科會底下的科學園區將在7月28日掛牌，科技部底下有三個法人，今年底國家太空中心將納入新國科會成為第四個法人。</p> <p>新國科會主委吳政忠致表示，過去科技部予外界的印象是，臺灣的科技都是單一部會科技部負責，但實際上科技應是所有部會的總合，科技部透過改制為委員會的形式，由相關部會的首長，每個月召開會議，這是一項新的里程碑，同時順應國際競爭的做法。</p> <p>吳政忠並指出，過去科技部就已推動，未來會繼續精進4個工作，首先是，跨部會協力以布局新興科技及產業，臺灣雖然相對其他國家小，科技預算沒有美國多，但臺灣可發揮跨部會協力合作的優勢，例如這幾年政府以跨部會方式，推動我國的量子科技研究、太空產業發展等；其次是，強化基礎學術研究，這幾年政府支持學術研究，特別是接下來數十年的重要研究，未來的方向是要追逐國際，不能只在臺灣。</p> <p>第三個是，打造精緻多元的科學園區，過去兩年，科學園區產值從2.7兆元到3兆元，再到3.7兆元，半導體產業為臺灣打下堅實基礎，未來也要布局其他產業，以臺灣在半導體的優勢，推動精準健康、電動車、太空低軌衛星等，未來科學園區也會逐步朝這些方向前進，另外，臺灣從過去的代工經濟走向創新經濟，未來的發展不能只有科技，還要和社會及環境永續連結，例如政府提出2050淨零碳排目標就是科技回應環境的需求；最後是加強人才培養，特別是女性人才在科技領域比例較低。</p> <p>他認為，在後疫情時代，面對國際科技競爭更大的挑戰，但臺灣如能發揮效率，精準的發掘有潛力的新興產業，有機會發展成臺灣現今在全球扮演的重要角色。</p> <p>行政院推動新一波的組織改造，除了科技部改制新國科會外，還有移撥NCC、經濟部、國發會等多個部會業務，專責推動國家數位轉型、數位產業發展的數位發展部，預計8月即將掛牌營運。</p> <p> </p> </div></div></div>
2022/7/27 19:36作者蘇文彬https://www.ithome.com.tw/news/152145
網路流傳15家業者PLC與HMI密碼破解器，資安業者指出設備存在漏洞導致密碼可被獲取，工具內還暗藏惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路流傳可針對15家業者工業控制系統（ICS）密碼破解的軟體，工控資安業者Dragos近日發布一份<a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/">研究報告</a>，指出這些密碼破解軟體並不安全，一旦使用，將被偷偷植入Sality惡意程式。</p> <p>資安業者Dragos發現，有人透過社群網站宣傳或張貼網路廣告訊息，聲稱提供PLC或HMI的密碼破解工具。根據該公司研究人員的說明，他們是進行例行性漏洞評估時發現，並指出這種針對工業控制系統工程師與操作人員攻擊方式，規模不大卻容易被輕忽，且這種手法仍持續在網路傳播，他們認為背後可能有個生態系。</p> <p>在Dragos本次揭露的資訊，多達15家業者工控設備的部分系列產品被破解，裡面有多家全球大廠，例如：Automation Direct、歐姆龍（Omron）、西門子（Siemens）、三菱（Mitsubishi）、松下（Panasonic）、富士電子（Fuji Electric），以及LG、Vigor、Pro-Face、Allen Bradley、Weintek、ABB，臺灣廠商台達自動化，也在名單之中。</p> <p>Dragos也公開一張廣告截圖，說明實際狀況，當中可看到有人在社交平臺Facebook，設立「PLC Password Unlock」粉絲專頁，發布這類宣傳資訊。根據類似的關鍵字，我們實際到臉書上，也找到數個宣傳同樣工具的粉絲專頁，而且這些內容至今都還能找到。</p> <p>不過，誰會去購買這樣有爭議的工具？畢竟，任何有資安意識的人員都知道，勿從不受信任的來源下載與執行軟體。</p> <p>對此，Dragos透過一個情境來說明。當年輕工程師需要在Automation Direct系統上，修改老同事編寫的DirectLogic 06 PLC梯形邏輯，然而，在執行PLC程式設計軟體DirectSOFT，出現彈出密碼提示的步驟，年輕工程師並不知道密碼，也無法聯繫到已退休、可能恰巧現在出海度假的老同事，於是上網尋找答案時，並發現破解軟體的廣告，而打算採用，儘管其他具有資安意識的同事警告，別將這種非必要風險引入公司OT環境，年輕工程師卻認為，這是時間急迫的工作任務，最終仍購買該PLC密碼破解軟體，並在環境中執行，就有可能遇險。</p> <h3><strong>設備存在漏洞使破解工具有效，同時會在工控設備暗中植入Sality惡意程式</strong></h3> <p>經過Dragos研究員的調查，他們針對能解密Automation Direct系統的軟體進行分析，發現此工具利用密碼檢索漏洞，確實能恢復密碼，同時也暗藏名為Sality的惡意程式，這是一個點對點殭屍網路，具有加密貨幣挖掘的能力。</p> <p>後續，Dragos研究人員也向該業者通報，說明發現的這個產品漏洞，將導致PLC密碼被破解，該漏洞編號為CVE-2022-2003，業者也已經修補。</p> <p>具體而言，這個漏洞可讓攻擊者利用向CPU序列連接埠發送特製序列資訊的方式，導致PLC回應明文形式的PLC密碼，這將讓攻擊者可進行存取並執行未經授權的更改。而且，Dragos研究人員發現可以透過乙太網路重新複製這個漏洞利用，這大幅增加了該漏洞的嚴重性。</p> <p>在廠商修補漏洞修補之後，美國網路安全暨基礎設施安全局（CISA）在6月16日發布一份<a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/">工業控制系統（ICS）公告</a>，說明CVE-2022-2003是CVSSv3評分7.7分的漏洞，受影響的是AutomationDirect業者的DirectLOGIC具序列通訊版本的產品，呼籲用戶盡速升級到2.72以後的新版韌體。</p> <p>至於針對其他廠牌的破密工具，雖然Dragos並沒有一一進行測試，但他們在初步動態分析幾個樣本後，也表明這些破密工具都包含了惡意程式。另一方面也意味著，這些廠牌的PLC與HMI設備，可能存在類似的漏洞需要留意與修補。</p> <p>研究人員呼籲工控環境的管理者，在需要重新取得PLC或HMI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture5_圖片來源Dragos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture5_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Dragos.jpg" style="width: 426px;" /></a></p> <p><span style="color:#696969;"><strong>根據Dragos公開的密碼破解器宣傳截圖，有人在臉書開設「PLC Password Unlock」粉絲專頁，宣傳可提供多種PLC與HMI密碼破解器，並留下聯絡方式吸引用戶洽詢。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）駭客宣傳可提供15家業者PLC與HMI破密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E9%A7%AD%E5%AE%A2%E5%AE%A3%E5%82%B3%E5%8F%AF%E6%8F%90%E4%BE%9B15%E5%AE%B6%E6%A5%AD%E8%80%85PLC%E8%88%87HMI%E7%A0%B4%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>實際使用類似的關鍵字，發現臉書有不少這類粉絲專頁，宣稱可提供PLC、HMI密碼解密器，上圖就是一例，有人宣傳可破解台達自動化DVP系列的工具，但實際是惡意陷阱之一。根據資安業者Dragos研究，這些工具實際是利用漏洞找出密碼，同時還暗藏惡意。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malware %26 Password Cracking_圖片來源Dragos.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malware%20%26%20Password%20Cracking_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Dragos.jpg" style="width: 600px;" /></a></p> <p><strong style="color: rgb(105, 105, 105);">在這次揭露中，工控資安業者Dragos指出有15家廠牌的PLC與HMI產品被破解。</strong></p> </div></div></div>
2022/7/27 16:59作者羅正漢https://www.ithome.com.tw/news/152142
Shopify將裁撤10%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>發跡於加拿大的電子商務平臺業者<a href="https://news.shopify.com/changes-to-shopifys-team" target="_blank">Shopify周二（7/26）宣布將裁撤10%人力</a>，大約涉及1,000名員工，原因是COVID-19期間市場需求大增，擴張太快，而現在的業務又已回到疫情前的水平，得消弭多餘的人力。</p> <p>被裁撤的職缺涵蓋招聘、支援、銷售，以及其它部門，主要鎖定那些重複或是過度專業的角色，以及那些與打造產品不太有關係的團隊。</p> <p>Shopify執行長Tobias Lütke表示，當全球面臨COVID-19疫情並執行封鎖政策之際，幾乎所有的零售業都轉移到網路上，也讓市場對Shopify平臺的需求大增，為了協助這些商家，Shopify放棄了原本的規畫，轉而全力滿足市場的需求；在疫情之前，電子商務的成長是穩定且可預期的，但突如其來的疫情所帶來的需求激增讓該公司預期它可能會延續5~10年，因而擴大了編制。</p> <p>然而，現在看起來市場的需求已回到疫情前的狀態，它依然穩定成長，只是不是以前兩年的幅度，Lütke承認自己當初誤判了而不得不裁員。</p> <p><a href="https://trends.builtwith.com/shop" target="_blank">根據Build With今年7月的統計</a>，Shopify為全球第二大的電子商務平臺，市占率為22%，僅次於WooCommerce Checkout的27%，亦遠遠領先第三名Magento的8%。</p> <p>在疫情期間大肆擴張，造成疫情後必須裁員因應的不只是Shopify，加密貨幣平臺Blockchain.com的員工數在前兩年增加了4倍，<a href="https://www.ithome.com.tw/news/152081" target="_blank">目前亦宣布要裁撤25%人力</a>。</p> </div></div></div>
2022/7/27 16:23作者陳曉莉https://www.ithome.com.tw/news/152141
Meta調漲兩年前推出的Quest 2，漲幅達3成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/meta-quest-2-pricing-changes/" target="_blank">Meta周二（7/26）宣布</a>，自8月1日起將調漲於2020年推出的<a href="https://www.ithome.com.tw/news/140040" target="_blank">VR頭戴裝置Quest 2</a>，128GB版本售價為399.99美元，256GB版本將是499.99美元，比起剛問世時的299.99/399.99美元分別增加了33%與25%，並宣稱就算是漲價了，也是該市場最經濟實惠的裝置。</p> <p>其實Quest 2發表時就比第一代產品便宜了100美元，本周的舉動只是讓它回到Quest第一代產品的定價。</p> <p>根據專門報導太空探索新聞的<a href="https://www.space.com/best-vr-headsets" target="_blank">《Space》今年所列出的十大VR裝置與價格</a>，Sony推出的PlayStation VR為399美元，但Steam推出的Steam Index要價999美元，HTC的HTC Vive Pro 2要價1,399美元，便宜一點的HTC Cosmos Elite也要899美元，更低階的HTC Vive Flow則是499美元，HP的HP Reverb G2為549美元。</p> <p>先前曾傳出Meta是虧錢出售Quest 2，目的是為了推廣VR裝置並藉由VR服務獲利，惟Meta一直未對外證實此事。</p> <p>本周Meta則說，現在VR已經愈來愈普及，且對人們的工作、遊戲與連結帶來正面影響，人們已在Meta Quest 程式上斥資超過10億美元，協助開發者打造更好的遊戲與VR體驗。另一方面，Meta打造與運送產品的成本愈來愈高，藉由調整Quest 2的售價，將讓Meta可繼續擴大對突破性研究與新產品開發的投資，進一步提升VR產業。除了全新的Quest 2之外，整新機與相關的配件也將跟著漲價。</p> <p>Meta也將依照計畫先於今年推出高階VR裝置Project Cambria，繼之發表新一代的Meta Quest。Meta強調，就算在提高售價之後，Meta Quest 2還是市場上擁有同樣功能的VR頭戴式裝置中，最經濟實惠的產品。</p> <p>Meta打算針對漲價後的Meta Quest 2推出優惠活動，只要是在8月1日至12月31日之間購買的使用者，都可免費下載熱門的VR節奏遊戲Beat Saber。</p> </div></div></div>
2022/7/27 16:03作者陳曉莉https://www.ithome.com.tw/news/152140
Alphabet第二季財報出爐：Google Cloud營收成長，虧損也擴大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2022Q2_alphabet_earnings_release.pdf?cache=ed395cc" target="_blank">Alphabet周二（7/26）公布截至6月30日的2022年第二季財報</a>，該季Alphabet的營收規模為697億美元，比去年同期成長13%，但每股盈餘為1.21美元，低於去年同期的1.36美元。其中，光是Google就貢獻了691億美元，占了Alphabet總營收的99.2%。此外，Google Cloud在該季創下62.8億美元的營收，成長35.6%，但Google Cloud的虧損也從去年同期的5.9億美元擴大到8.6億美元。</p> <p>除了Google之外，Alphabet的另一項營收就是新創事業（Other Bets），該類別涵蓋了DeepMind、Waymo及Verily在內的十多家子公司，在該季帶進1.93億美元的營收，略高於去年同期的1.92億美元，虧損則從14億美元擴大到17億美元。</p> <p>整體而言，Alphabet今年第二季的表現不管是在總營收、Google廣告營收、Google Cloud或是獲利上，都低於華爾街分析師的預期。不過，Alphabet該季的全球員工數多達17.4萬人，高於去年同期的14.4萬人。</p> <p>雖然Alphabet財報表現低於預期，但該公司當天的盤後股價卻上漲了4.8%，達到110.5美元。</p> </div></div></div>
2022/7/27 14:02作者陳曉莉https://www.ithome.com.tw/news/152138
傳甲骨文將提高軟體支援服務費用以因應通膨，美國可能調漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應全球通膨、能源價格等費用調漲，企業荷包將要縮水了，因為甲骨文等軟體公司也將調漲其軟體支援服務的費用。</p> <p>由於甲骨文（Oracle）、SAP等關鍵企業軟體原廠技術支援服務高昂，企業往往轉向第三方服務供應商，如Remini Street或Spinnaker。以甲骨文而言，其軟體合約包含每年調漲技術支援費用的條款，原廠技術支援服務為軟體授權費的22%，而且會每年調漲。漲幅每年不定，有時為<a href="https://upperedge.com/oracle/oracle-support-fee-increases-win-your-next-oracle-renewal-negotiation/" target="_blank">3%</a>，有時是<a href="https://redresscompliance.com/third-party-oracle-support-spinnaker-or-rimini/" target="_blank">4%</a>。</p> <p><a href="https://www.theregister.com/2022/07/25/oracle_set_to_impose_inflationary/?td=rt-3a" target="_blank">一家提供甲骨文技術支援服務的業者Palisade Compliance執行長Craig Guarente表</a>示，由於全球通貨膨脹，美國今年消費者物價指數（consumer price index，CPI）上看成長9.4%，該公司接到潛在的企業客戶詢價，因為甲骨文通知調價，漲幅達8%。他表示，相較於美國地區過去每年大約漲價1-2%，今年的情勢下，甲骨文必然會把握機會。</p> <p>不只是美國，<a href="https://www.oracle.com/us/support/library/057419.pdf" target="_blank">根據甲骨文的授權條款</a>，支援費用還將根據各國國家每年調整。因此今年甲骨文全球客戶可望都會再看到調漲的價目表。</p> <p>另一家商用軟體大廠<a href="https://news.sap.com/2021/07/no-cpi-increase-support-contracts-2022/" target="_blank">SAP去年宣布</a>，受到疫情影響，2022年將不調整服務費用。<a href="https://support.sap.com/en/offerings-programs/enterprise-support.html" target="_blank">根據SAP收費標準</a>，SAP針對新用戶的企業支援（Enterprise Support）費用，到2025年將維持在授權費的22%。</p> <p>另一方面 SAP將向部分通路商調漲費用。<a href="https://www.bloomberg.com/news/articles/2022-03-11/sap-seeks-to-raise-fees-for-largest-partners-in-program-revamp" target="_blank">彭博報導</a>，SAP過去對軟體通路商收取15%到35%的權利金（royalty fee），今年調整，調降部分小型通路商的權利金由20%降為15%，但大型軟體通路商則將調漲授權費以彌補這部分的損失。但新的作法將以個別協商的價格取代統一費率。</p> <p>即使不是這兩家天價企業級軟體，許多中小企業使用軟體如<a href="https://www.ithome.com.tw/news/149769" target="_blank">微軟的Microsoft 365今年也調漲</a>，依不同軟體套件而定，幅度從15%到20%不等。</p> </div></div></div>
2022/7/27 14:17作者林妍溱https://www.ithome.com.tw/news/152139
AWS主管批評微軟Azure的新授權傷害自由競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS主管本周批評微軟對歐洲雲端平臺對手做的Windows、Office產品授權變更，其實骨子裏根本沒變，依然是想盡方法阻礙自由競爭。</p> <p>基於今年3月歐洲雲端代管業者如OVH、Next Cloud等業者向歐盟控告微軟壟斷手段，微軟憑藉Windows、Office產品的獨大地位，透過和Azure對手簽定的授權條款，迫使對手被迫以更高的價格提供給企業用戶。4月間歐盟啟動調查後，<a href="https://www.ithome.com.tw/news/150992" target="_blank">5月微軟做出回應</a>，宣稱可讓歐洲的雲端平臺競爭對手直接提供Windows和Office，而且即使客戶原本向其他微軟夥伴購買Windows 和Office產品，產品也可以執行在（歐洲的）競爭雲端平臺上。<a href="https://blogs.microsoft.com/eupolicy/2022/05/18/microsoft-responds-to-european-cloud-provider-feedback-with-new-programs-and-principles/" target="_blank">微軟副董事長暨總裁Brad Smith稱</a>，這變更提供授權可攜性，讓對手可提供和Microsoft 365競爭的服務。</p> <p><a href="https://www.linkedin.com/feed/update/urn:li:activity:6956025582014910464/" target="_blank">本周AWS銷售與行銷副總裁Matt Garman直接在LinkedIn上批評</a>，對於企業客戶抱怨微軟妨礙自由競爭的作法，直到歐盟介入才獲得正視。但微軟的回應卻不是提供客戶需要的，未修正其授權政策，讓所有客戶得以在他們選擇的雲端供應商平臺上執行微軟軟體，而是假藉歐洲科技需求之名，只對競爭威脅較小的特定供應商提供公平的產品授權。</p> <p>AWS的抱怨可以想見，因為微軟6月間澄清，這公平授權不適用AWS和Google。<a href="https://www.ithome.com.tw/news/151242" target="_blank">微軟說</a>，新授權「旨在增進非超大型（hyperscale）雲端公司以外的雲端供應商之機會及利益」。</p> <p>Garman指出，這新的授權一點公平性也沒，不是客戶想要的，AWS客戶不斷抱怨微軟的歧視性授權使他們多花數百萬美元，也無法自由和想要的雲端供應商合作。</p> <p><a href="https://www.theregister.com/2022/07/25/aws_slams_microsoft_cloud_licenses/?td=rt-3a" target="_blank">The Register分析</a>，和AWS過去在自己的部落格發表謹慎言論，偶爾發發新聞稿的作法不同，這次不但發言層級高、措詞嚴厲，而且還借用微軟的LinkedIn為媒介，挑釁意味濃厚。</p> <p>但是AWS的批評也不是所有人都同意。有人指出，Windows作為關鍵軟體，自然有其制訂規則的權力，因為AWS自己並無法提供。還有人反問，AWS批評微軟小心眼，但Amazon是否曾讓客戶在Microsoft Azure上執行AWS的技術IP。有人則認為，AWS只是為了確保自己的雲端市占發聲，客戶並不在乎科技龍頭的口水戰，AWS應該做的是如何在這種限制下盡力提供能吸引客戶的方案。</p> </div></div></div>
2022/7/27 12:26作者林妍溱https://www.ithome.com.tw/news/152136
受全球不景氣衝擊，微軟財報低於預期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2022-Q4/press-release-webcast" target="_blank">微軟周二（7/26）公布</a>該公司截至今年6月30日的2022財年第四季財報，指出該季微軟營收成長12%，達519億美元，每股盈餘成長3%，為2.23美元，微軟坦承該季的宏觀經濟與其它不可見的不利因素超出原本的預期，而對財報造成影響，不過，當天微軟的盤後股價卻上漲了3.99%，每股價格達261.95美元。</p> <p>影響該季微軟財報表現的因素包括匯率、中國的停產、PC市場的惡化、廣告支出的減少、俄烏戰爭所帶來的呆帳與撤出成本，再加上在俄羅斯以外的1.13億美元的員工遣散費用。</p> <p><a href="https://www.ithome.com.tw/news/151917" target="_blank">微軟日前對外證實已裁減部分人力</a>，僅說裁員數量占全公司1.8萬人力的不到1%，並未公布實際數字。</p> <p>在該季的財報中，包含伺服器及雲端服務的智慧雲端（Intelligent Cloud）締造了209億美元的營收，成長20%；生產力與業務流程（Productivity and Business Processes）營收為166億美元，成長13%；更多個人運算（More Personal Computing）營收為144億美元，成長2%。</p> <p>儘管全球景氣低迷，但微軟絕大多數的產品或服務仍是成長的。其中，成長最多的是Azure與其它雲端服務，成長幅度達40%，居次的是Dynamics 365成長了31%，LinkedIn亦成長26%。在微軟列出的十多項產品類別中，只有兩項是衰退的，分別是Xbox內容與服務衰退了6%，Windows OEM也衰退2%。</p> <p>為了因應不景氣，微軟已決定要將伺服器與設備的使用年限從4年延長到6年，以降低硬體成本，也預期下一季仍會有兩位數的成長，或許是微軟對未來營運指引仍保持樂觀，才推升了該公司的股價。</p> </div></div></div>
2022/7/27 12:38作者陳曉莉https://www.ithome.com.tw/news/152137
萊爾富公布三大數位經營戰略，主打異業會員導流，分析跨平臺、跨通路會員消費行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萊爾富7月26日舉行數位經營戰略記者會，公布了三大數位經營戰略及多項會員經營細節，也發表了線上商城開店、支付支援全銀行信用卡等政策。萊爾富分店數只有1,550家，但目前會員已突破500萬人，平均單店會員數在超商雙雄伯仲之間。萊爾富表示，未來三大數位經營戰略，就是要在吸引更多活躍會員同時，透過跨通路、跨產業導流及精準行銷，來提升會員貢獻度。</p> <p>萊爾富會員數今年增長50萬人，成長人數比去年多20萬，是3年來新高，較預期進度早了1個月突破500萬大關。儘管會員數相當高，萊爾富在記者會中表示，有實際消費或使用其他服務的活躍會員才是商機所在。萊爾富數位商務處也設有專責會員數據分析的團隊，分析會員消費行為，以推出精準再行銷方案，甚至新會員制度。萊爾富數位商務處會員本部長楊上緯則透露，在500萬名會員中，活躍會員占45%至50%，略高於統一超商2021年的活躍會員占比。</p> <p>萊爾富公布的三大數位經營戰略重點是，發行餐飲品牌聯合電子票券、Line購物數位策略合作、以及利用AWS數據分析技術剖析會員消費行為。這三項戰略重點，分別是為了會員引流、跨通路數據整合以及分析會員消費數據，以利後續擬定再行銷策略。</p> <p><strong>三大數位會員經營戰略：導流消費者、整合跨通路數據、統一分析後精準行銷</strong></p> <p>萊爾富坦承，儘管近年會員增長動能強勁，但以門市為中心吸引消費者加入會員的作法，終將受到地理距離限制而無法持續帶來新會員。三大戰略第一招，便是與餐飲品牌聯名，發售電子票券，來達到異業消費者相互導流的效果。楊上緯分析，不同於統一超商先從統一集團內通路整合會員的作法，萊爾富母集團（光泉集團）子公司不多，因此只能朝外部發展深度異業合作，吸引合作廠商的消費者成為會員。萊爾富數位商務處處長葉育堅進一步說明，異業合作要深度，必須從系統面做起，直接串接雙方POS系統，才能確保服務品質及行銷可歸因性，這是他們先前異業合作經驗的心得。</p> <p>葉育堅表示，串接異業合作商家系統，不僅有助於分析聯合票券的行銷成效，也能窺見會員在合作商家的消費行為。不過，合作商家數量畢竟有限，難以追蹤會員更完整的消費旅途，所以三大戰略第二招，用意正是追蹤更多消費數據點。</p> <p>萊爾富3月起與Line購物合作，推出Line Points回饋、限定優惠等誘因，嘗試將Line購物龐大的人流量導向實體門市。據萊爾富統計，Line購物不僅帶來大量新會員，還活化了40%非活躍會員，客單價更超過一般消費者3倍。當消費者用這些可追蹤的Line Points在Line購物平臺消費，Line還會將去識別化的會員消費行為洞察報告，提供給萊爾富，以結合會員線上消費習慣，和會員線下消費紀錄一併分析。</p> <p>此外，萊爾富8月底將利用電商解決方案平臺Cyberbiz服務，推出線上購物商城。葉育堅表示，屆時線下門市POS系統、線上商城的Cyberbiz系統及Line購物系統會完成串接，更有利於分析會員的跨通路消費行為。</p> <p>蒐集了跨通路消費數據，三大戰略的最後一招，是利用AWS數據分析技術，透過貼標等方法將會員分群，進行精準行銷。葉育堅舉例，購買漢堡票券的會員，在線下門市購買泡麵的頻率相當高，因此可以針對這些會員，推出速食類商品的專屬優惠。他們也是利用此技術發現，84%會員總消費金額僅由最活躍的12%會員貢獻，因此未來決定推出會員分級制度，為高貢獻度會員規畫更優惠的促銷方案。</p> <p>除了積極發展線上會員經營，萊爾富也透露線下戰略，今年目標將再展店100間門市，並在2017年開放接受全銀行信用卡後，進一步開放旗下行動支付服務HiPay綁定全銀行信用卡，用於實體門市消費</p> </div></div></div>
2022/7/26 19:21作者郭又華https://www.ithome.com.tw/news/152126
愈來愈多IIS外掛被用作駭入企業伺服器的後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/07/26/malicious-iis-extensions-quietly-open-persistent-backdoors-into-servers/" target="_blank">微軟研究人員發現</a>，IIS（Internet Information Services）外掛近來逐漸被駭客當成攻擊企業伺服器系統如Exchange Server的後門程式。</p> <p>過去企業伺服器攻擊較少遇到惡意IIS外掛，這倒不是因為駭客不用IIS外掛攻擊。主因是，駭客通常以腳本語言寫成的web shell作為第一階段的後門程式，導致惡意IIS外掛的偵測率較web shell來得低。另一個原因是IIS後門也比較難偵測到，因為它們植入的位置，多半和駭客目標應用程式所使用的合法模組位於同一個目錄，也和合法模組採用同樣的程式碼架構。大多數情況下，這些後門程式的邏輯很簡單，若研究人員對合法IIS外掛的整體運作不了解，也很難判定它是惡意程式，這也進一步增加偵測感染源的難度。</p> <p>隨著偵測技術的提升，惡意IIS外掛的案例也增加。一般情形下，攻擊者開採代管應用程式，例如Microsoft 365的重大漏洞進入企業網路，先植入Script web shell，再於伺服器上安裝IIS後門，以暗中長期滲透攻擊。在今年1月到5月間的Exchange Server攻擊中，微軟發現，駭客也會安裝依其目的，客製化惡意IIS外掛模組，監控目標應用程式進出的呼叫，或執行其他任務，像是執行遠端指令、或在用戶驗證Web應用程式時，於背景竊取用戶憑證資料。</p> <p>例如今年上半一次Exchange Server的攻擊中，攻擊者利用去年揭露的ProxyShell漏洞，在受害系統上植入web shell，接著安裝名為FinanceSvcModel.dll的後門程式，該程式具有執行Exchange管理作業的能力，像是序列出Exchange Server郵箱帳號，再將郵箱內容匯出，不但竊取了用戶憑證資料，還得以和外界建立RDP連線可長期接受執行指令。</p> <p>根據去年以來發現到代管應用程式上的惡意IIS外掛，微軟歸納出5類，包括web shell變種，例如經常被使用的China Chopper，包括今年初對<a href="https://www.ithome.com.tw/news/151549" target="_blank">臺灣</a>和越南Exchange Server用戶的攻擊。駭客也樂意使用GitHub等開源資源平臺的專案來開發IIS後門。第3類為IIS handler，這類後門程式和合法模組具有清楚掌握呼叫pipeline的能力。此外還有竊取用戶憑證類型的後門，可監控例如OWA的用戶登入行為模式，將憑證加密傳送出去，而竊得的憑證可讓攻擊者在目標環境中長期滲透，即使主要後門後來被偵測到。</p> <p>為防範攻擊者利用惡意IIS外掛攻擊企業伺服器，微軟建議企業使用防毒、防火牆及多因素驗證等方案，並以最小權限為原則設定應用程式存取，對於系統發出的異常通知應提高警覺。</p> <p>此外，微軟也建議應經常檢查管理員、RDP（Remote Desktop Protocol）用戶或企業管理員等高權限群組是否遭加入不明帳號，應用程式的web.config及ApplicationHost.config是否有不明檔案（如圖片檔），並定期掃瞄應用程式的bin目錄的路徑、及檢查使用appcmd.exe或 gacutil.exe的模組。</p> </div></div></div>
2022/7/27 10:47作者林妍溱https://www.ithome.com.tw/news/152135
【資安日報】2022年7月26日，駭客以程式語言Rust打造竊密軟體、中國駭客使用UEFI惡意軟體CosmicStra…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客運用程式語言Rust打造攻擊工具的現象，可說是有越來越多人採用，不過，先前大多採用此程式語言重新開發的惡意程式，幾乎都是勒索軟體。但最近有人使用此種程式語言開發竊密軟體（Info Stealer），並免費提供他人使用，值得留意的是，在不到一個月的時間裡，該竊密軟體已被用於25起攻擊行動。</p> <p>鎖定UEFI的惡意軟體攻擊行動相當隱密，而可能事隔多年才得找到相關跡證。有資安業者最近針對自2016年發起的UEFI惡意軟體攻擊行動，揭露相關細節。這起行動<a href="https://bbs.360.cn/thread-14959110-1-1.html">在2017年已有研究人員接獲用戶通報，並對惡意軟體進行分析</a>，但直到最近新的調查結果出爐，才確認當時駭客鎖定的對象與受害範圍。</p> <p>攻擊者濫用系統內建元件發動寄生攻擊（LoL）的手法，近期再度出現，但不同的是，這次駭客在工具包裡挾帶舊版的合法程式來進行此種攻擊行動，而使得惡意軟體能在更多電腦上執行。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/25/luca-stealer-source-code-leaked-on-a-cybercrime-forum/"><span style="color: rgb(0, 0, 0);">駭客以程式語言Rust打造竊密軟體，並免費提供他人使用</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Luca-Stealer-Features.png" style="width: 300px; float: right;" /></a>駭客以程式語言Rust打造攻擊工具的情況，已有數個駭客組織用來製作勒索軟體，但現在有也開發竊密軟體（Info Stealer）的人士採用此種程式語言。資安業者Cyble發現，有人在7月3日，於駭客論壇上發布以程式語言Rust開發的竊密軟體，並免費提供其原始碼，研究人員將此竊密軟體命名為Luca Stealer。</p> <p>此竊密程式主要是針對以Chrome為基礎開發的瀏覽器下手，並能針對其密碼管理與加密貨幣錢包的附加元件，竊取相關帳密資料。在瀏覽器之外，Luca Stealer還能挾持Skype、ICQ、Telegram、Discord等即時通訊軟體，以及Steam、UPlay遊戲平臺的帳號。研究人員指出，在3個星期之中，他們已經看到駭客用於25起攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/cosmicstrand-uefi-firmware-rootkit/106973/"><span style="color: rgb(0, 0, 0);">中國駭客使用UEFI惡意軟體CosmicStrand，在受害電腦上執行Shell Code</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CosmicStrand_UEFI_malware_01.png" style="width: 300px; float: right;" /></a>駭客鎖定UEFI韌體下手的情況，研究人員很有可能在多年之後，才找出整個攻擊鏈的樣貌。</p> <p>資安業者卡巴斯基揭露UEFI惡意軟體CosmicStrand（亦稱Spy Shadow Trojan）的攻擊行動，中國駭客約從2016年開始，鎖定採用H81晶片組的華碩、技嘉等廠牌的電腦下手，一旦CosmicStrand成功入侵電腦的UEFI韌體，就會在每次啟動時載入惡意酬載，並在每個開機流程進行掛勾，最終在記憶體內部署Shell Code來向C2連線，並下載惡意酬載，然後在Windows作業系統核心執行。</p> <p>研究人員指出，受害電腦遍及中國、越南、伊朗、俄羅斯，但這些電腦似乎都是個人所有，而無法找出所屬的組織或是產業。</p> <h3><a href="https://blog.cyble.com/2022/07/21/qakbot-resurfaces-with-new-playbook/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot利用舊版小算盤側載，確保能在受害電腦上正確執行</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-Execution-Flow.png" style="width: 300px; height: 141px; float: right;" /></a>攻擊者濫用系統內建的應用程式發動寄生攻擊（LoL），來側載惡意程式庫的（DLL Sideloading）現象，可說是非常頻繁，但現在有人選擇自行挾帶舊版作系統的應用程式，來確保惡意軟體能正常運作。</p> <p>研究人員ProxyLife與資安業者Cyble聯手，揭露駭客散布惡意軟體QBot（亦稱QakBot）的攻擊行動，駭客首先透過電子郵件來散布HTML檔案，一旦受害者將之開啟，就會下載受到密碼保護的ZIP壓縮檔案，內容是ISO映像檔。</p> <p>而此ISO檔的內容，包含了4個檔案，其中比較特別的是內有Windows 7版本的小算盤可執行檔（CALC.EXE），駭客將其用來載入惡意DLL檔案，最後將QBot的酬載注入檔案總管，並執行進一步的攻擊行動。這樣的手法，即使微軟在Windows 10、Windows 11移除了相關系統元件，駭客仍能載入QBot發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/stiffbizon-detection-new-attack-campaign-observed/"><span style="color: rgb(0, 0, 0);">北韓駭客使用木馬程式Konni攻擊歐洲國家，但俄羅斯駭客可能也參與其中</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bizon1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bizon1.png" style="width: 300px; height: 315px; float: right;" /></a>北韓駭客APT37近期動作頻頻，先前在今年初針對俄羅斯外交部發動網釣攻擊，現在目標已擴及歐洲多個國家。資安業者Securonix揭露名為Stiff#Bizon的攻擊行動，APT37使用Word檔案與捷徑檔案，鎖定捷克、波蘭等歐洲國家的高價值組織（High Value Target），以俄羅斯戰地記者的報導為幌子，散布RAT木馬程式Konni。</p> <p>研究人員指出，雖然從惡意軟體與攻擊手法來看，攻擊者的身分是APT37，但根據這起攻擊行動所使用的IP位址、主機代管業者等資訊，俄羅斯駭客APT28（亦稱FancyBear）也很有可能參與其中。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/digital-security-giant-entrust-breached-by-ransomware-gang/"><span style="color: rgb(0, 0, 0);">資安業者Entrust遭到勒索軟體攻擊</span></a></strong></h3> <p>提供身分驗證管理解決方案的Entrust在本月初通知客戶，他們的內部網路在6月18日遭到入侵，部分資料外洩，但除此之外並未透露更多細節，此起事故直到研究人員公布Entrust通知客戶的文件才曝光。</p> <p>而根據資安新聞網站Bleeping Computer掌握的資訊，該公司是遭到勒索軟體攻擊，威脅情報業者Advanced Intelligence（AdvIntel）也證實此起事故是勒索軟體，並指出駭客是從黑市買到該公司員工帳密來入侵得逞。不過，發動攻擊的駭客身分仍不得而知。</p> <h3><strong style="font-size: 22px;"><a href="https://build.prestashop.com/news/major-security-vulnerability-on-prestashop-websites/"><span style="color: rgb(0, 0, 0);">以PrestaShop系統架設的電商網站遭到鎖定，駭客疑似透過SQL注入手法側錄交易資料</span></a></strong></h3> <p>駭客鎖定採用Magento、WooCommerce等知名系統架設的電商網站發動攻擊，可說是相當頻繁，但其他電商平臺的用戶也不能掉以輕心。例如，電商平臺開發商PrestaShop於7月22日提出警告，他們發現駭客正在利用漏洞於電商網站注入惡意程式碼，而可能得以執行任意指令，進而竊取客戶付款的交易資料。</p> <p>該公司表示，駭客疑似利用PrestaShop的漏洞CVE-2022-36408。這項漏洞存在於PrestaShop 1.6.0.10以上的版本，並搭配特定版本的Wishlist外掛程式就有可能被觸發，而使得駭客能進行SQL注入攻擊。該公司呼籲用戶升級最新版本PrestaShop來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/dwizzzleMSFT/status/1549870156771340288"><span style="color: rgb(0, 0, 0);">為防堵嘗試RDP帳密的攻擊行為，微軟計畫將防範暴力破解攻擊的政策提供給所有Windows用戶</span></a></strong></h3> <p>駭客利用暴力破解的方式嘗試存取遠端桌面連線（RDP），來入侵受害電腦的做法相當氾濫，對此，微軟已開始將防堵暴力破解密碼的新政策Account Lockout Policy，設為預設啟用，只要10分鐘內輸入超過10次帳密，帳號就會被鎖住。而這項新政策已在即將推出的Windows 11 22H2測試版本中，自22528.1000版開始提供，該公司也承諾日後會延伸到其他版本的Windows上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://14520070.fs1.hubspotusercontent-na1.net/hubfs/14520070/Collateral/ICS-Vulnerabilities-CVEs_SynSaber-2022-H1-Report.pdf"><span style="color: rgb(0, 0, 0);">美國2022上半揭露逾600個ICS設備的漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://claroty.com/2022/07/25/blog-research-with-management-comes-risk-finding-flaws-in-filewave-mdm/"><span style="color: rgb(0, 0, 0);">行動裝置管理系統FileWave存在漏洞，恐成為駭客入侵組織的管道</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152103">【2022年7月25日】網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的基礎設施</a></p> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> </div></div></div>
2022/7/26 17:23作者周峻佑https://www.ithome.com.tw/news/152121
微軟修補Windows 11 21H2開始功能表壞掉的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/zh-tw/windows/release-health/resolved-issues-windows-11-21H2#2868msgdesc" target="_blank">微軟上周五（7/22）指出</a>，有少數Windows 11 21H2用戶在安裝了於今年6月23日釋出的KB5014668或之後的更新版本後，發現打不開開始功能表，已透過已知問題復原（Known Issue Rollback，KIR）機制解決了該臭蟲。</p> <p>此一臭蟲讓使用者不管是點選「開始」按鍵，或是在鍵盤上使用Windows鍵，都無法叫出開始功能表。</p> <p>KB5014668為Windows的功能改善更新，並未涉及安全更新，該版本修補了藍牙連線、遊戲音訊及Wi-Fi熱點不穩的問題，也新增了搜尋重點功能。微軟並未說明是哪個因素造成開始功能表故障，僅說已利用KIR將故障之處回滾至尚未更新前的狀態。</p> <p>KIR僅適用於非安全更新的修復，而且僅會針對個別問題進行回滾，值得注意的是，當微軟決定要回滾更新時，是先在雲端變更配置，使用者裝置收到通知後，必須重新啟動才會生效。</p> </div></div></div>
2022/7/26 15:10作者陳曉莉https://www.ithome.com.tw/news/152120
美國准許Google、Mandiant合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過3個月的調查，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001370880/000137088022000030/mndt-20220715.htm" target="_blank">美國司法部本周同意</a>Google與資安廠商Mandiant的54億美元收購案。</p> <p>Google Cloud 3月初宣布以54億美元全現金方式收購資安服務業者Mandiant，是Google 2011年以125億美元收購Motorola以來金額第二大的收購。Mandiant與Google於3月21日向美國司法部與聯邦交易委員會（FTC）申報後，4月20日兩家公司都收到<a href="https://www.ithome.com.tw/news/150604" target="_blank">司法部要求</a>提供關於本收購案的進一步資訊，司法部必要時可縮短或延長等待期。這項文件並未透露司法部要求什麼資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-google%20cloud%20mandiant-600.png" style="width: 550px;" /></p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001370880/000137088022000030/mndt-20220715.htm" target="_blank">根據本周Mandiant向SEC提交的文件</a>，司法部於7月15日提早終止收購案的等待期，顯然美國政府的反托拉斯勢力並未盯上本案。司法部的核准已經滿足收購案的條件之一，現在本案的完成將取決其他條件。</p> <p>除了主管當局的核准外，Google和Mandiant的合併還遭到Mandiant股東控告阻撓。反對的投資人聲稱Mandiant對投資人提供的SEC文件中包含誤導及不完整聲明，企圖誘使他們同意與Google的合併。</p> <p>雖然官司還沒結束，不過<a href="https://www.theregister.com/2022/07/25/security_in_brief/" target="_blank">The Register報導</a>Mandiant仍然預期可以在2022年底前，完成和Google的合併。</p> </div></div></div>
2022/7/26 13:15作者林妍溱https://www.ithome.com.tw/news/152117
英特爾與聯發科宣布策略聯盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-july-2022-announce.html#gs.6v0ua0" target="_blank">英特爾（Intel）與聯發科（MediaTek）周一（7/25）宣布策略聯盟</a>，聯發科將利用英特爾<a href="https://www.ithome.com.tw/news/143423" target="_blank">在去年推出</a>之晶圓代工服務（Intel Foundry Services，IFS）的先進製程技術來生產晶片。</p> <p>雙方表示，此一協議將讓聯發科藉由新增一個在美國與歐洲擁有充沛產能的代工合作夥伴，打造更平衡也更有彈性的供應鏈。</p> <p>英特爾是在去年3月宣布設立IFS事業群，目標是打造世界級的晶圓代工服務，並成為美國與歐洲市場主要的晶圓代工服務業者，<a href="https://www.ithome.com.tw/news/145885" target="_blank">並計畫</a>要在2025年趕上台積電與三星等兩大競爭對手，除了聯發科之外，Amazon與高通（Qualcomm）亦為IFS客戶。</p> <p><a href="https://www.trendforce.com.tw/presscenter/news/20220620-11263.html" target="_blank">根據TrendForce所公布的第一季全球晶圓代工市場報告</a>，台積電與三星在該市場分別取得53.6%與16.3%的市占率，把其它競爭對手遠拋在後。不過，迄今英特爾尚未對外公開其晶圓代工的量產時程。</p> <p><a href="https://www.trendforce.com.tw/presscenter/news/20220609-11243.html" target="_blank">至於聯發科則是全球第五大IC設計公司</a>，落後高通、Nvidia、博通（Broadcom）與AMD。</p> <p>根據英特爾與聯發科的協議，聯發科打算透過英特爾的製程技術，來生產應用於各種智慧型邊緣裝置的不同晶片，IFS總裁Randhir Thakur表示，IFS先進的製程技術與地域的多元化，將能協助聯發科交付下一個10億連網裝置。</p> <p>負責平臺技術與製造營運的聯發科資深副總經理蔡能賢則說，該公司向來採取多元供應商的策略，繼與英特爾在5G數據卡的合作之後，雙方將進一步於智慧裝置的晶圓製造上合作，並期待與之建立長期合作關係以滿足全球客戶的需求。</p> <p>聯發科也是台積電的長期客戶之一，根據臺灣媒體的報導，聯發科與台積電都強調雙方將在先進製程上持續維持緊密的合作關係，業務往來不會受到影響。</p> </div></div></div>
2022/7/26 13:37作者陳曉莉https://www.ithome.com.tw/news/152118
FBI憂心美國軍事基地旁的華為基地臺會竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://edition.cnn.com/2022/07/23/politics/fbi-investigation-huawei-china-defense-department-communications-nuclear/index.html" target="_blank">CNN本周報導</a>，美國聯邦調查局（FBI）經調查相信，華為可能利用設在美國軍事基地附近的電信基地臺，干擾軍事通訊、竊取機密通訊內容。</p> <p>FBI至少自2017年即開始調查中國政府在美國重要基礎架構附近的購地，並出手關閉位於多個軍事及政府機關所在地，美國政府懷疑是中方間諜活動據點的領事館。</p> <p>報導引述消息人士指出，在眾多調查中，FBI發現在美國中西部州的美軍基地，華為設立了大量基地臺。從商業面來看，這些基地臺的設置很不合理，因為不可能回收成本。</p> <p>許多美國中西部如懷俄明、內布拉斯加、科羅拉多州的小型電信業者，採用華為較便宜的基地臺及路由器等電信設備。報導指出，到2021年華為在美國西部5大州設置將近1,000座基地臺。</p> <p>FBI調查人員相信，這些華為基地臺可能辨識及干擾美國國防部專用頻譜的通訊，包括監管美國核子武器的戰略司令部（United States Strategic Command）的通訊內容，雖然它們也獲得美國通訊管理委員會（FCC）的認證。報導還引述專家指出，符合FCC規定、聽取非公共頻段的裝置，但暗中等待特定啟動指令以聽取其他頻段通訊內容，從技術上，可能需要一些改造技巧，但是是絕對辦得到的。</p> <p>另一方面，調查人員是否發現這些華為基地臺攔截到機密通訊內容，並傳回中國，消息人士說，這點從技術上很難證實。</p> <p>美國方面會有這類懷疑並不令人驚訝。從川普時代開始，美國政府即指控華為、中興等中國業者生產的設備，對美國造成國安風險，並在FCC執行下，以<a href="https://www.ithome.com.tw/news/147582" target="_blank">法令</a>及<a href="https://www.ithome.com.tw/news/147010" target="_blank">預算補貼</a>雙管齊下方式，要求美國小型電信業者汰換中國電信設備。</p> <p>一如過去，華為否認以其設備干擾美國軍事通訊的指控，強調該公司設備只能在FCC分配的頻譜執行，並只做商業用途，而無法存取任何分配給美國防部的電信頻譜的通訊內容。</p> </div></div></div>
2022/7/26 12:07作者林妍溱https://www.ithome.com.tw/news/152115
Meta出面呼籲停止使用閏秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際地球自轉和參考系統服務（International Earth Rotation and Reference Systems Service，IERS）為了解決國際原子時（Temps Atomique International，TAI）與地球自轉之間的時間差，自1972年以來導入了閏秒（leap second）的概念，於特定時間插入閏秒來調整世界協調時間（Temps Universel Coordonné，UTC），迄今已執行了27次，然而，光是這偶爾1秒的改變，就可能造成系統的故障，<a href="https://engineering.fb.com/2022/07/25/production-engineering/its-time-to-leave-the-leap-second-in-the-past/" target="_blank">Meta更認為它弊大於利</a>，本周出面呼籲停止使用閏秒，以其它的新技術來取代閏秒，就算維持現狀，亦可持續千年。</p> <p>UTC為目前全球主要使用的世界時間標準，它的基礎來自於以原子共振頻率標準來計算及保持時間準確性的原子鐘上，原子鐘是世界上已知最準確的時間測量與頻率標準，只是，每一天地球自轉頻率並不規則，亦有變慢的趨勢，為了讓原子時準確符合天文的變化，IERS提出了閏秒的設計，每當基於地球自轉再加上修正地球極軸運動效應的UT1（Universal Time 1）與原子時的差異達到0.9秒時，便於UTC中插入閏秒。</p> <p>簡單地說，IERS以在UTC中添加潤秒來折衷TAI與UT1的時間差，然而，Meta卻認為這是個有風險的作法，且應立即停止使用，讓它停留在27次。IERS添加潤秒的時間都是在每年的6月或12月底，上一次是在2016年的12月底，下一次可能會落在今年的12月底。</p> <p>Meta工程師Oleg Obleukhov與科學家Ahmad Byagowi指出，迄今的27次閏秒都是正的，執行的方式很簡單，只是看起來有點古怪，例如23:59:59沒有直接跳到00:00:00，而是23:59:59 -> 23:59:60 -> 00:00:00，這樣的時間戳可能會造成程式當掉或檔案損毀；但倘若地球自轉速度變快，變成負閏秒，那麼系統時間的轉換即會成為23:59:58 -> 00:00:00，其可能產生的影響尚未進行大規模測試，但估計會對仰賴定時器或排程器的軟體造成破壞性的衝擊。不管是哪一種，都會讓管理硬體基礎設施的工程師痛苦。</p> <p>其實業者已經找到因應閏秒的方法，例如Meta以17小時的時間吸收了這多出來的1秒，<a href="https://developers.google.com/time/smear?hl=en" target="_blank">而Google則是以24小時來吸收閏秒</a>。不過，吸收閏秒的這段期間容不得差錯，倘若執行吸收的網路時間協定（NTP）伺服器被重開機，或者是用來傳播閏秒的全球衛星導航系統遺失了訊號，都會導致系統故障。此外，NPT軟體還必須持續比對所採用的時間來源並進行更新。</p> <p>歷年來的閏秒添增不乏意外事故，例如Reddit在2012年時曾因此中斷網站服務半小時，<a href="https://blog.cloudflare.com/how-and-why-the-leap-second-affected-cloudflare-dns/" target="_blank">Cloudflare</a>在2017年也因閏秒導致DNS伺服器故障。</p> <p>Meta認為，隨著所有產業對於時鐘的精準需求不斷成長，閏秒現在所帶來的傷害已多過好處，將加入聲援停止閏秒的社群行列，讓閏秒停留在27次。</p> <p>支持閏秒的其中一種說法是擔心原子時與天文時的差距愈來愈大，未來也許有一天時鐘指著中午12點，外面卻是晚上，然而，就算每年都出現閏秒，到了3022年時，原子時與天文時也只差了16分鐘，這也使得Meta認為，就算沒有閏秒，現在的時間狀態也至少足以支撐下一個千年。</p> </div></div></div>
2022/7/26 12:52作者陳曉莉https://www.ithome.com.tw/news/152116
Confluence App寫死的密碼遭公布，可能致企業內部資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Atlassian旗下企業維基與協同軟體Confluence一款App寫死在程式中（hardcoded）的密碼，上周遭人透過推特公布，可能讓企業用戶的內部資料因此被外人存取。Atlassian呼籲用戶應儘速升級到最新版App。</p> <p><a href="https://confluence.atlassian.com/security/july-2022-atlassian-security-advisories-overview-1142446703.html" target="_blank">Atlassian上周三發布關於3項漏洞的安全公告</a>，其中一項是<a href="http://www.cve.org/CVERecord?id=CVE-2022-26138" target="_blank">CVE-2022-26138</a>，是發生在Confluence Server及Confluence Data Center專用的Questions for Confluence App。這項App可讓用戶快速獲得Confluence常見問題的技術支援。</p> <p class="rtecenter"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726-CVE-2022-26138-Questions%20For%20Confluence%20app%20-600.png" style="width: 600px;" /></a></p> <p>該漏洞出於該App一個帳號密碼寫死（hardcoded）在程式碼中。<a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html" target="_blank">根據Atlassian說明</a>，在Confluence Server或Data Center啟動Questions for Confluence App後，它會建立一個用戶名稱為disabledsystemuser的Confluence用戶帳號，該帳號用於協助管理員將資料從App搬到Confluence Cloud。Disabledsystemuser建好時有個寫死的密碼，加入到用戶群組，以方便用戶查詢、編輯Confluence所有預設非管制的維基頁面。取得這個密碼的遠端非授權攻擊者將可登入Confluence及存取Confluence合法用戶具有存取權的任何頁面。</p> <p>在公布安全公告的隔天Atlassian又緊急公告，這個重要但寫死的密碼已被外部組織公布於推特上。CVE-2022-26138風險被列為重大。Atlassian指出，有鑒於密碼已公開，受影響系統應立即解決該漏洞。</p> <p>如果Confluence Server或Data Center執行個體上，出現啟用中的disabledsystemuser用戶或用戶帳號、或是dontdeletethisuser[@]email.com，表示系統曝險。但曾經安裝Questions for Confluence App，之後又移除者也可能會發現上述資訊。</p> <p>爆出漏洞的App是Confluence Server（2.7.x、3.0.x）或Data Center的Questions for Confluence App，存取Confluence Cloud的App則不受影響。Atlassian提醒，雖然有問題的App是會建密碼寫死的版本，但沒有這些版本App的Confluence環境還是可能受影響。</p> <p>解決方案有二：一是升級到更新版Questions for Confluence App，分別是2.7.38及3.0.5，最新版不會自動建disabledsystem帳號，也會移除曾建立的帳號。但如果Confluence是設定使用唯讀的外部目錄（如Atlassian Cloud），則需使用另一個方法：即關閉或刪除disabledsystem帳號。</p> <p>Atlassian警告，光是移除Questions for Confluence App並不能同時刪除disabledsystemuser帳號，必須安裝最新版App。</p> <p>上周Atlassian修補的另2個漏洞是<a href="https://www.cve.org/CVERecord?id=CVE-2022-26136" target="_blank">CVE-2022-26136</a>和<a href="https://www.cve.org/CVERecord?id=CVE-2022-26137" target="_blank"> CVE-2022-26137</a>，是同屬可讓遠端攻擊者呼叫繞過Servlet Filters的漏洞。兩項漏洞影響Confluence Server/Data Center、Bamboo Server/Data Center、Bitbucket Server/Data Center、Jira Server/Data Center、 Jira Service Management Server、Fisheye及Crucible等。</p> </div></div></div>
2022/7/26 10:38作者林妍溱https://www.ithome.com.tw/news/152113
【資安日報】2022年7月25日，網站內容管理系統Drupal修補RCE漏洞、研究人員揭露俄羅斯駭客用於勒索軟體攻擊的…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊網站內容管理系統（CMS）的事故頻傳，其中又以針對<a href="https://w3techs.com/technologies/history_overview/content_management">市占高達6成的WordPress最多</a>，但Wix、Joomla、Drupal等其他CMS平臺的安全也相當值得留意。以Drupal為例，最近修補了4項漏洞，其中最嚴重的漏洞是CVE-2022-25277，有機會讓駭客執行任意PHP程式碼。</p> <p>開源的圖像化資料分析系統Grafana有不少組織採用，相關的漏洞也值得留意。其中，Grafana開發團隊最近修補了一項OAuth漏洞，這項漏洞存在於多個版本的Grafana，開發團隊已著手修補，並提供緩解措施。</p> <p>針對俄羅斯駭客頻頻對其他國家發動攻擊的情況，有資安業者找到駭客在多個國家架設的C2伺服器，並指出這些伺服器具備不同的功能，且已經被用於兩起勒索軟體攻擊行動。值得留意的是，臺灣也存在著上述駭客部署的C2伺服器，有關單位應該採取行動，別讓臺灣成為這群駭客的幫兇。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://censys.io/russian-ransomware-c2-network-discovered-in-censys-data/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客在臺灣等多個國家架設C2伺服器，並用於發動勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkAnalysis-Diagram-2022-07-20.png" style="width: 300px; float: right;" /></a>駭客組織架設用於攻擊行動的基礎設施，很可能相當複雜且分散在全球各地。資安業者Censys公布俄羅斯駭客架設的15個C2伺服器，並指出這些伺服器不只部署於俄羅斯，還部署在臺灣，以及美國、中國等地。</p> <p>駭客將部分伺服器用於執行網站的弱點掃描工具Acunetix，或是利用滲透測試工具Metasploit來取得初步的存取權限，然後利用其他的C2伺服器散布惡意程式及勒索軟體。</p> <p>研究人員發現，這些C2伺服器被用於勒索軟體Karma、MedusaLocker的攻擊行動，前者出現於去年10月，後者則是在今年6月底引起美國發布警告。</p> <h3><a href="https://blog.talosintelligence.com/2022/07/attackers-target-ukraine-using-gomet.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭軟體開發業者遭到GoMet變種後門程式入侵，駭客意圖對該國政府機關發動供應鏈攻擊</span></strong></a></h3> <p>俄羅斯駭客鎖定烏克蘭的攻擊行動，很有可能已經暗中進行一段時間才被發現。思科揭露使用GoMet變種後門程式的攻擊行動，駭客取得開源的GoMet程式碼並加以修改，約從2020年開始，用來攻擊烏克蘭大型軟體開發公司，由於此業者開發的軟體廣受該國各地地政府機關採用，研究人員推測這應該是供應鏈攻擊，且很有可能是俄羅斯政府撐腰的駭客所為。</p> <p>而對於此後門程式的來歷，研究人員表示，開發者使用Go語言打造而成，並包含攻擊者遠端控制的多數功能，且支援在x86與Arm架構的電腦上運作。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152079"><span style="color: rgb(0, 0, 0);">烏克蘭電臺播放總統將政權移交的不實訊息，起因是遭到網路攻擊</span></a></strong></h3> <p>俄羅斯駭客不斷透過網路攻擊進行心理戰，先前有散布烏克蘭總統澤倫斯基（Vladimir Zelensky）宣布投降的假影片，現在則是宣稱此人的健康出現狀況。根據新聞網站CyberScoop的報導，烏克蘭媒體TAVR Media旗下的電臺散播不實消息，指出澤倫斯基因健康狀況非常糟糕，且已將該國政權交給他人。</p> <p>TAVR Media於7月21日發出聲明澄清，該電臺是因為遭到網路攻擊才會出現上述情況，發布與澤倫斯基健康問題相關的消息皆與事實不符。澤倫斯基也透過影片表示，自己持續在總統辦公室坐鎮，而上述宣稱他健康出狀況已經進醫院的消息，僅是俄羅斯散布不實資訊的其中之一。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cyberscoop.com/cyber-command-malware-ukraine/"><span style="color: rgb(0, 0, 0);">研究人員揭露白俄羅斯駭客UNC1511、俄羅斯駭客UNC2589使用惡意軟體攻擊烏克蘭</span></a></strong></h3> <p>美國網路司令部於7月20日指出，他們與烏克蘭國家安全局（SBU）合作，在最近幾個月發現數種惡意軟體，他們公布入侵指標（IoC）供各界防範。針對上述的攻擊行動內容，資安業者Mandiant指出，這些惡意軟體背後的攻擊者，很有可能是由白俄羅斯資助的駭客組織UNC1151，以及與俄羅斯政府有關的UNC2589。研究人員指出，這些駭客會假冒烏克蘭當局宣稱接下來可能會出現的攻擊行動，或是以薪資、防毒軟體為誘餌，來散布前述美國網路司令部公布的惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://restoreprivacy.com/twitter-vulnerability-exposes-5-million-accounts/"><span style="color: rgb(0, 0, 0);">駭客外洩近550萬推特用戶資料，疑與行動裝置App漏洞有關</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-twitter-54m.jpg" style="width: 300px; float: right;" /></a>又有駭客從社群網站竊得大量用戶資料，並宣稱是利用平臺的漏洞而得逞。根據資安新聞網站Restore Privacy的報導，有人在地下論壇Breached Forums上，兜售5,485,636名推特用戶的資料，並宣稱他們是透過系統弱點取得，受害者不乏名人與公司行號。</p> <p>駭客向該新聞網站進一步透露，這些資料是在2021年12月收集，並已有買家正在接洽當中，他們打算求售3萬美元，駭客也聲稱他們利用的漏洞，在今年一月被通報到HackerOne，存在於安卓版的用戶端程式，現在已完成修補。該新聞網站也證實部分資料的內容正確。推特則表示正在著手調查此事。</p> <h3><strong style="font-size: 22px;"><a href="https://fortune.com/2022/07/24/t-mobile-to-pay-350m-to-customers-due-to-data-breach/"><span style="color: rgb(0, 0, 0);">針對去年遭網路攻擊的資料外洩事件，T-Mobile決定支付3.5億美元進行和解</span></a></strong></h3> <p>去年8月傳出有駭客於地下論壇，兜售來自電信業者T-Mobile的1億用戶資料，隨後該公司證實約有7,660萬名美國使用者資料外洩，並引起用戶集體訴訟。</p> <p>T-Mobile於7月22日提交給美國證交所的文件指出，他們決定支付3.5億美元，來與受害用戶和解，並承諾今年和明年總共會提撥1.5億美元來投資資料安全。該公司的決定將有待美國法院核准及執行。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152084"><span style="color: rgb(0, 0, 0);">臺灣虎航公告遭網路攻擊，客戶資料恐遭外洩</span></a></strong></h3> <p>廉價航空業者臺灣虎航於7月22日傍晚，於臺灣證券交易所發布公告，證實該公司遭到網路攻擊，他們已聯合外部資安公司協同處理，並通報相關執法單位。該公司評估營運無重大影響，但在網站上公布反詐騙聲明，要旅客留意可能會衍生的網路詐騙攻擊。</p> <p> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/code-execution-and-other-vulnerabilities-patched-drupal"><span style="color: rgb(0, 0, 0);">網站內容管理系統Drupal的RCE漏洞得到修補</span></a></strong></h3> <p>駭客攻擊網站內容管理系統（CMS）的事故不斷發生，雖大多是針對WordPress而來，但Wix、Joomla、Drupal等系統的漏洞也值得留意。Drupal的開發團隊於7月20日發布資安通告，公告4項漏洞的細節與緩解措施，影響9.3與9.4版，當中最為嚴重的是CVE-2022-25277，一旦攻擊者加以利用，就有可能透過Apache網頁伺服器上傳惡意文件的方式，執行任意PHP程式碼。不過，要觸發這項漏洞存在限制，其中一項就是網站伺服器必須是使用Apache網頁伺服器，Drupal呼籲網站管理員要儘速檢查伺服器是否遭到入侵，並發布9.3.19與9.4.3版修補上述漏洞。</p> <p>此外，資訊洩露漏洞CVE-2022-25275也影響Drupal 7，網站管理員應升級7.91版來緩解漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://github.com/grafana/grafana/security/advisories/GHSA-mx47-6497-3fv2"><span style="color: rgb(0, 0, 0);">圖像化資料分析系統Grafana修補可能會導致管理員帳號遭到接管的漏洞</span></a></strong></h3> <p>資安研究團隊HTTPVoid於6月底，在圖像化資料分析系統Grafana發現OAuth功能的漏洞CVE-2022-31107，一旦攻擊者加以利用，就有機會存取其他使用者的帳號，CVSS風險評分為7.1分，Grafana 5.3版以上都會受到影響。Grafana於7月14日發布8.3.10、8.4.10、8.5.9、9.0.3版予以修補。開發團隊指出，若是使用者暫時無法更新Grafana，也可透過停用所有的OAuth身分驗證機制，來緩解上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/zyxel-firewall-vulnerabilities-left-business-networks-open-to-abuse"><span style="color: rgb(0, 0, 0);">Zyxel修補防火牆資料夾穿越漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-patch-critical-sql-injection-bug-immediately/"><span style="color: rgb(0, 0, 0);">SonicWall修補資安治理系統GMS的重大SQL注入漏洞</span></a></span></strong></p> <p> </p> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152074">【2022年7月22日】勒索軟體Redeemer 2.0免費提供駭客使用、惡意軟體Lightning Framework鎖定Linux主機而來</a></p> <p><a href="https://www.ithome.com.tw/news/152050">【2022年7月21日】上櫃生技醫療永昕生物醫藥遭遇資安事件、LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</a></p> <p><a href="https://www.ithome.com.tw/news/152023">【2022年7月20日】俄羅斯駭客APT29濫用檔案共享服務規避偵測、間諜軟體CloudMensis鎖定Mac電腦而來</a></p> </div></div></div>
2022/7/25 17:17作者周峻佑https://www.ithome.com.tw/news/152103
T-Mobile以3.5億美元和解逾7,000萬用戶的資料外洩案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/146215" target="_blank">媒體在去年8月披露</a>，有駭客正於地下論壇兜售來自T-Mobile的1億用戶資料，最終T-Mobile證實有7,660萬名美國使用者的資料外洩，並迎來了集體訴訟案，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001283699/000119312522200065/d790999d8k.htm" target="_blank">上周T-Mobile同意以3.5億美元與受害用戶和解</a>，僅待法院核准。</p> <p>T-Mobile的資料外洩規模之所以如此龐大，是因為它涵蓋了過去的客戶，現有的客戶，以及未來的潛在客戶，包含他們的姓名、地址、生日、身分證/駕照號碼，以及部分的社交安全碼。</p> <p><a href="https://www.t-mobile.com/news/network/cyberattack-against-tmobile-and-our-customers" target="_blank">當時的T-Mobile執行長Mike Sievert曾解釋</a>，駭客不僅熟悉技術系統，也擁有專門的工具與能力，先進入了T-Mobile的測試環境，再利用暴力破解攻擊與其它手段存取了含有客戶資料的多個伺服器，駭客的目的就是為了竊取資料。</p> <p>雖然T-Mobile已提供兩年免費的身分保護服務予這7,660萬名使用者，但還是遭到集體控告。</p> <p>在此一和解協議中，T-Mobile不僅同意支付3.5億美元的和解金額，也承諾要在今年與明年提撥總計1.5億美元，進行資料安全及相關技術的投資。</p> </div></div></div>
2022/7/25 14:17作者陳曉莉https://www.ithome.com.tw/news/152099
說AI有感知能力的Google工程師被解僱了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個月公開對外宣稱Google對話應用語言模型（Language Model for Dialogue Applications，<a href="https://www.ithome.com.tw/news/151403" target="_blank">LaMDA）具備感知能力的Google工程師Blake Lemoine</a>，在上周五（7/22）被Google解僱了。</p> <p>LaMDA為Google所開發的AI對話模型，號稱可深度理解對話的脈絡，還能夠執行與使用者之間不同主題的漫談對話，於去年5月正式發表。</p> <p>而Lemoine是在6月7日被Google要求帶薪休假，理由是違反Google的員工保密協議，他不僅於當天宣布此事，也大肆宣揚他認為LaMDA具備感知能力的看法，大意是LaMDA有自己的感覺與想法，因此也需要像人類般地被尊重。</p> <p><a href="https://bigtechnology.substack.com/p/google-fires-blake-lemoine-engineer" target="_blank">Google隨後向《Big Technology》證實已解僱Lemoine</a>，指出LaMDA已經歷過11次不同的審查，並在今年初發表了研究報告，詳述如何執行負責任的LaMDA開發，且倘若有員工像Lemoine一樣擔心Google的成果，那麼Google即會展開更全面的審查。</p> <p>然而，Google發現Lemoine對LaMDA的宣稱毫無根據，而且也努力與Lemoine溝通，只是即使經過長達數月的討論，Lemoine依舊選擇繼續違反明確的受僱與資訊安全政策，包括必須保護產品資訊一事。</p> <p>Lemoine則在律師的建議下，拒絕對此事作出回應。</p> </div></div></div>
2022/7/25 14:33作者陳曉莉https://www.ithome.com.tw/news/152100
Meta替Horizon Worlds打造18禁的成人世界政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://store.facebook.com/en-gb/help/quest/articles/horizon/create-in-horizon-worlds/restrictions-to-worlds-in-horizon/" target="_blank">Meta上周替旗下的Horizon Worlds虛擬社交平臺打造</a>了18禁的成人世界政策，要求涉及成人內容的世界必須自行標註。只要特定世界的內容涉及性暗示內容、推廣成人活動，或是有太過暴力的虛構內容，就得標註為成人世界。</p> <p>像是那些近乎裸露，具備性暗示的描繪，或是有太多性暗示活動的環境；或是某些專門推廣大麻、酒精、雪茄或賭博等只限成年人才能參與的活動；以及可能讓使用者感到厭惡的過度暴力與激烈的內容。</p> <p>除了成人世界必須特別標註之外，有些內容在Horizon Worlds是完全被禁止的，涵蓋完全裸露的性內容、推廣非法藥物、推廣犯罪活動、描繪現實生活中的暴力內容，以及企圖銷售現實世界就被禁止的槍支等物品。</p> <p>Meta表示，該公司希望Horizon對於不同的社群來說都是一個有趣且熱情的世界，讓每個人都能感到安全及被尊重，只要特定的世界是專為成人打造，就必須標註。</p> <p>現階段Meta僅於加拿大、美國與英國市場推出Horizon Worlds，並只支援具備Quest的使用者，也許是因Horizon Worlds的推波助瀾，<a href="https://www.ithome.com.tw/news/151765" target="_blank">目前Quest為全球VR頭戴裝置的龍頭</a>，占全球出貨量的9成，遠遠領先身後的字節跳動、DPVR、HTC及愛奇藝。</p> </div></div></div>
2022/7/25 13:09作者陳曉莉https://www.ithome.com.tw/news/152096
Google Chrome被間諜工具開採的漏洞也影響Safari、Edge
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 7月初修補Chrome的一項零時差攻擊漏洞，事實上也影響Safari及微軟Edge瀏覽器，蘋果和微軟也分別於上周及本月初釋出更新版軟體解決漏洞。</p> <p><a href="https://www.ithome.com.tw/news/151773" target="_blank">7月初Google釋出</a>Chrome 103版，最重要的是解決CVE-2022-2294這個已遭開採的漏洞。<a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/" target="_blank">根據首先發現該漏洞攻擊的安全廠商Avast指出</a>，開採本項漏洞的可能是以色列一家名為Candiru的間諜軟體開發商，後者提供工具給政府客戶，以鎖定黎巴嫰記者以及土耳其、葉門和巴勒斯坦用戶。以Chrome 本月初的開採行動而言，受害者Windows電腦上即被植入DevilsTongue間諜軟體以竊取資料。</p> <p>遭到開採的CVE-2022-2294為位於WebRTC堆積緩衝區溢位漏洞，可讓攻擊者設計惡意網頁內容，以待用戶瀏覽器造訪後，在用戶裝置上執行任意程式碼。</p> <p>WebRTC是支援瀏覽器進行即時語音和影像通訊的API，也提供影音引擎、壓縮、影片codec等元件。2011年開源，目前獲多種瀏覽器支援，包括Chrome、Edge、Firefox、Opera及Safari的桌機及手機版本。</p> <p>CVE-2022-2294似乎僅影響Safari及Microsoft Edge。<a href="https://support.apple.com/en-us/HT213341" target="_blank">蘋果於上周釋出</a>iOS、macOS、以及iPadOS、watchOS、tvOS等所有平臺的更新版解決70多項漏洞，其中Safari 15.6版即是為了修補CVE-2022-2294。</p> <p>微軟則已在7月初穩定通道釋出Microsoft Edge 103.0.1264.49版（目前最新版已來到103.0.1264.71）解決這項漏洞。</p> </div></div></div>
2022/7/25 13:33作者林妍溱https://www.ithome.com.tw/news/152097
身分管理業者Entrust上個月遭駭客集團盜走資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/AlvieriD/status/1550119202287013891" target="_blank">美國身分管理業者Entrust本月向客戶寄出安全通知</a>，指出在今年6月18日遭到駭客入侵，駭客盜走了內部系統的某些檔案。不過，Entrust迄今尚未對外揭露有關該攻擊的詳細資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-entrust%20photo%20by%20Dominic%20Alvieri%20on%20twitter-600.png" style="width: 391px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Dominic Alvieri on twitter</span></span></p> <p>Entrust主要提供有關身分認證的軟、硬體產品，例如用來發行金融卡、製作電子護照，以及用來存取安全網路的使用者身分認證等，且有不少美國政府客戶，如能源部、國土安全部、衛服部、退伍軍人事務部及農業部等。</p> <p>雖然Entrust僅說駭客存取了內部系統，<a href="https://www.bleepingcomputer.com/news/security/digital-security-giant-entrust-breached-by-ransomware-gang/" target="_blank">但《BleepingComputer》報導</a>，Entrust是受到勒索軟體攻擊，同時該報引用了AdvIntel執行長Vitali Kremez的說法指出，駭客是自黑市購買了Entrust的員工憑證，以此入侵Entrust系統並部署勒索軟體，只是目前並不確定兇手。</p> <p>Entrust表示，在得知安全意外的當下便通知了執法機構，並開始與第三方的資安業者合作，尚無證據顯示該公司的產品與服務的安全性遭到波及，倘若有客戶的產品或服務受到影響，將會儘快主動通知。</p> <p>Entrust的發信日期是在7月6日，尚未得知之後的發展。《BleepingComputer》則說，或許只有在Entrust拒絕支付贖金、駭客公布資料的狀況下才能確定真兇。</p> </div></div></div>
2022/7/25 14:08作者陳曉莉https://www.ithome.com.tw/news/152098
微軟正式封鎖網路下載Office文件的VBA巨集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>暫時延後封鎖2周後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">微軟上周宣布</a>重啟封鎖網路下載Office文件VBA巨集的措施。</p> <p>基於安全考量，微軟決定預設封鎖網路下載Office文件，微軟也的確按規畫於6月正式啟動封鎖。7月初微軟忽然宣布暫時從目前通道（Current Channel）撤回作業，並未說明理由，只表示需要改進可使用性，<a href="https://www.ithome.com.tw/news/151889" target="_blank">並在數天後澄清</a>，這只是暫時性的，微軟仍然致力於成為所有用戶的預設。</p> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/helping-users-stay-safe-blocking-internet-macros-by-default-in/ba-p/3071805/page/2" target="_blank">微軟上周透過更新的網頁宣布</a>，重新在Office目前通道（Current Channel）部署變更措施。</p> <p>過去，用戶開啟網路下載的Office文件時，Office會顯示已關閉巨集的黃色警告，但用戶只要點擊一下即可啟用巨集。而新措施顯示已封鎖文件的VBA巨集的橘色警告，並提供說明使用巨集安全風險的文章連結。</p> <p class="rtecenter"><img alt="" src="https://docs.microsoft.com/en-gb/DeployOffice/images/security/vba-security-risk-banner.png" style="width: 600px;" /></p> <p>微軟並表示根據客戶回饋意見，已更新對終端用戶及IT管理員的文件，以更清楚說明在不同情境下有哪些選項。例如，SharePoint和網路芳鄰上有檔案時該怎麼做。</p> <p>對於終端用戶，微軟說明巨集的安全風險，<a href="https://docs.microsoft.com/en-gb/DeployOffice/security/internet-macros-blocked#steps-to-take-to-allow-vba-macros-to-run-in-files-that-you-trust" target="_blank">而在給IT管理員的文件中</a>，則說明將在7月27日開始部署2206版本Office到「目前」通道、Office應用程式如何判斷要不要封鎖巨集，以及IT管理員該怎麼允許巨集執行。方法是在「屬性」中的「一般」頁中勾選「解除封鎖」的選項。同時在PowerShell使用Unblock-File cmdlet指令。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/en-gb/DeployOffice/security/internet-macros-blocked#steps-to-take-to-allow-vba-macros-to-run-in-files-that-you-trust" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0725-office%20vba%20block-600.png" style="width: 550px;" /></a></p> <p>如果企業已經在網路規則中設定開啟或封鎖巨集，則不會受到這波部署的影響。</p> </div></div></div>
2022/7/25 11:56作者林妍溱https://www.ithome.com.tw/news/152092
推特怪馬斯克害它上季虧損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/twitter-announces-second-quarter-2022-results-301591530.html" target="_blank">社群平臺推特（Twitter）上周公布第2季財報</a>，指出馬斯克遲遲不收購造成該公司虧損。</p> <p>推特上一季營收為11.8億美元，較去年同期衰退1%，其中廣告營收10.8億年增2%，訂閱及其他營收為1.01億，年減27%。推特將黯淡的績效表現歸咎於大環境衝擊廣告產業，以及馬斯克收購推特一事延宕所致。此外，收購推遲也使該公司衍生出3,300萬美元的成本。</p> <p>不過在可獲利每日平均用戶（monetizable daily active usage， mDAU），推特表示因為產品持續改進及現有活動帶動的全球用戶互動，仍然較去年同期成長了16.6%來到2.38億。</p> <p><a href="https://www.ithome.com.tw/news/151865" target="_blank">這是馬斯克自7月初通知推特退出收購後</a>，這家社交平臺的首次財報。4月間馬斯克提議以440億美元收購後，全球即陷入俄烏戰爭及通貨膨脹引發的經濟衰退。馬斯克聲稱不收購推特的理由在於平臺假帳號遠高於5%，且推特屢次推託不提供資料使其無法獨立驗證。但推特駁斥這個說法，指稱馬斯克是因為經濟景氣反轉而欲反悔。</p> <p>推特於7月12日狀告德拉威州衡平法院，欲迫使馬斯克遵守合約義務完成440億美元收購案。推特也力促本案審理在9月中展開，可能是推特收購合約有個「推定終止日」，在10月24日之前未完成合併，就會導致本合併案失敗。</p> <p>雖然<a href="https://www.ithome.com.tw/news/151865" target="_blank">馬斯克試圖聲請</a>本官司延到2023年2月以後，理由是需要多點時間調查推特假帳號。不過<a href="https://www.cnbc.com/2022/07/19/twitter-wins-bid-for-expedited-trial-to-force-musk-to-close-deal.html" target="_blank">德拉威州衡平法院首席法官Kathaleen McCormick 上周判</a>定本案將在10月開始審理。</p> <p>基於雙方收購未完成，推特也取消了對上季營收的分析師會議、致股東信，或提供財務指引。</p> </div></div></div>
2022/7/25 12:22作者林妍溱https://www.ithome.com.tw/news/152094
NASA擴充Aitken超級電腦，成最大HPC系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nas.nasa.gov/pubs/stories/2022/feature_Aitken_expansion_2Q2022.html" target="_blank">美國國家航空及太空總署上周公布</a>最新擴充的高效能運算（high-performance computing，HPC）系統Aitken成為全球58大超級電腦，將支援登陸火星、重返月球及太陽研究等太空任務。</p> <p>Aitken經過這次擴充，成為NASA最強高效能運算系統，超越上一代HPC系統Pleiades保持14年的地位。</p> <p>Aitken和Pleiades都是位於艾姆斯研究中心（Ames Research Center），後者則是整合節能技術的模組化超級電腦設施（modular supercomputing facility，MSF），該MSF占地1,200多坪，共含16模組的電腦及儲存設備，模組化設計提供未來擴充及支援不同任務的彈性。</p> <p>除了Aitken及Pleiades外，NASA另外還有Electra及Endeavour兩臺超級電腦。</p> <p>Aitken為NASA於2019年8月架設。在這次擴充工程中，新增4座HPE Apollo機架，包含512個位於羅馬的節點，使Aitken來到3,200個節點，308,224核心，塞滿了MSF第一個模組。Aitken曾於2021年春天及夏天各擴充過一次，當時相當於全球500大超級電腦的84名及72名。而在最新擴充中，Aitken效能再提升16%，理論運算峰值來到13.12 petaflops，約當全球第58名。</p> <p>Aitken所在的模組使用了結合戶外氣冷及風扇技術的系統，來冷卻封閉系統中的水，以移除電腦運算產生的高熱，並在周遭氣溫太高時，以鄰近模組的2臺絕熱冷卻器來冷卻水循環系統。</p> <p>未來2年，NASA將在MSF安裝第二運算模組及新的資料模組，資料模組提供的檔案系統和現有NAS設備分開，以便能獨立維護，而不影響科學家的模擬專案。</p> <p>Aitken將支援NASA各項研究專案，像是在未來的登陸火星任務Artemis中，模擬甘迺迪太空中心的發射環境，科學家將運用數千核心預測登月／登火星太空船、行動發射臺、基地臺架構及導焰槽（Flame Trench）的空氣動力負載，並加入發射臺噪音壓縮系統的水效應。模擬結果可提供發射環境更全面的極端條件，幫助NASA提供安全性、降低太空任務的風險，進而省下不必要的時間及金錢花費。</p> <p>此外，NASA戈達德太空飛行中心（Goddard institute for Space Studies）也將利用Aitken進行日冕電漿的運動模擬，以了解太陽磁區和地球磁層的互動關係，這些研究也將有助於NASA的太陽探索任務之規畫。</p> </div></div></div>
2022/7/25 12:50作者林妍溱https://www.ithome.com.tw/news/152095
TechInsights在MinerVa挖礦機中發現中芯國際生產的7奈米晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.techinsights.com/blog/disruptive-technology-7nm-smic-minerva-bitcoin-miner" target="_blank">專門提供技術分析與智慧財產服務的TechInsights上周公布了一篇研究摘要</a>，指出他們在一臺比特幣挖礦機MinerVa中，發現了由中芯國際（SMIC）以7奈米製程生產的系統單晶片（SoC）。</p> <p>TechInsights表示，該公司之前即曾分析中芯的14奈米技術，此一現身於MinerVa挖礦機的SoC是他們從中芯所看到的最先進的技術產品，初期印象覺得它與台積電（TSMC）的7奈米製程有些類似。</p> <p>但此一小批生產的產品可能只是真正7奈米製程的墊腳石，因為比特幣挖礦機對記憶體的要求有限，它們也許不具備真正7奈米技術定義所要求的記憶體位元格。</p> <p><a href="https://www.ithome.com.tw/news/141789" target="_blank">中芯國際在先進設備上受到美國的出口管制</a>，雖然不論是台積電或三星的許多7奈米節點都未使用EUV光刻技術，但它們的代價是增加了製程複雜度與設計規則的限制。TechInsights認為，就算現在所有主要晶片代工廠都在沒有EUV的情況下使用7奈米製程，但在未來引進EUV之後，便可能降低7奈米節點的複雜性與成本。</p> <p>至於中芯在中短期內則不太可能擁有此一選項，只能持續開發缺乏EUV的7奈米節點，恐進一步增加複雜性及因此而衍生的良率問題。</p> <p>TechInsights分析，不論是台積電、英特爾或是三星都已經超越了此一技術節點，而且至少領先兩個節點。不論如何，中芯成功打造出7奈米晶片還是可替被美國排除在外的中國企業提供先進製程，也能降低中國對西方技術的依賴。</p> </div></div></div>
2022/7/25 11:42作者陳曉莉https://www.ithome.com.tw/news/152091
用OKR啟動減碳轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu__1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為創投業者，我的工作就是抓住大機會、瞄準大挑戰、投資大解方。我很早就看好Google與亞馬遜（Amazon）等公司，因此才得以享譽業界，但是當前的環境危機比我見過的任何挑戰都還要大很多。我在矽谷的創投公司凱鵬華盈（Kleiner Perkins）工作超過四十年，已故共同創辦人尤金‧克萊納（Eugene Kleiner）留下一套經得起時間考驗的法則，總共十二條，第一條就是：「不管新技術看起來多有開創性，先確定消費者真的想要它。」不過，眼前的問題讓我想到另一條比較不為人知的克萊納法則：「有時候，恐慌是恰當的反應。」</p> <p>現在就是這種時候，氣候問題的緊急狀態已經不容再低估。</p> <p>醜話說在前頭，我們減少碳排放的速度還跟不上災難降臨的速度。我在2007年說過這句話，現在還要再說一遍：我們做的遠遠不夠。除非我們能夠緊急而且大規模的導正方向，否則只能眼睜睜看著末日景象降臨。極地冰冠融化將淹沒沿海城市，作物歉收則會導致大規模飢荒。到了這個世紀中葉，全球將有十億人口淪為氣候難民。</p> <p>幸好，在這場抗爭當中，我們有一位得力的盟友：創新。在過去15年間，太陽能與風力發電的價格已經大幅降低90％；清潔能源增加的速度超出所有人的預期；電池技術的發展使得更多交通工具得以電氣化，成本也愈來愈低；能源效率提升讓溫室氣體的排放量大幅降低。</p> <p>雖然我們手頭上已經有不少解決方案，不過在實際運用方面，距離解決氣候危機的路途還很遙遠。我們必須大規模投資，推出健全的政策，使這些創新技術更平價；我們必須「馬上」普及已經具備的技術，努力發明仍然欠缺的解方。換句話說，我們同時需要現有的解方，也需要未來的新科技。</p> <p>那麼，實現目標的具體計畫是什麼？坦白說，這正是我們一直以來付之闕如的東西，也就是一項可以實行的計畫。要實現「淨零碳排」（net-zero carbon emissions），讓我們排放的溫室氣體數量低於我們有辦法清除的數量，理論上的方法當然很多。但是，這些不過是一份長長的選項清單，即使選項再好，都不算是計畫。憤怒與絕望不是計畫，同樣的，希望與夢想也不是計畫。</p> <p>我們最需要的是一套明確的行動方針，我有幸獲得許多世界頂尖的氣候與潔淨科技專家協助，才能完成本書，展示出我們能夠在2050年前，把溫室氣體排放量降至淨零的確切做法。</p> <p>計畫的優劣完全取決於執行，要達成這項重責大任，我們必須把過程中的每一步都當作自己的責任。這是我從導師、也就是英特爾（Intel）傳奇執行長安迪‧葛洛夫（Andy Grove）身上學到的教訓，也成為我一再驗證有效的座右銘：點子不值錢，執行才是關鍵。</p> <p>要著手執行計畫，我們得有適當的工具。安迪‧葛洛夫為英特爾設計的一套目標設定法則，很簡單，卻非常有效，它的名稱是「OKR」，全名是「目標與關鍵結果」（Objectives and Key Results）。OKR能夠引導組織專注投入優先要務；促進組織上下契合、連結；可以激發潛能、成就突破；並且追蹤各項目標的進展，衡量最重要的事。</p> <p><span style="font-size:28px;"><strong>企業轉型運動</strong></span></p> <p>全球大企業承擔重責大任，必須減少排放以及增加淨零排放解決方案。根據《衛報》一份經常被引用的報告，光是全球前百大企業的溫室氣體排放量就占全球的71％。雖然我們知道驅動市場最大的力量在於消費，而非生產，大企業所做的決定仍然可以帶來改變。</p> <p>至今，企業永續運動已經蘊釀了一段時間。沃爾瑪為零售業的能源效率建立新標準，美國有12個州的沃爾瑪商場的電力都來自太陽能。2016年，在歐巴馬執政的最後一年，沃爾瑪等154間公司都簽署了《美國氣候承諾企業行動聲明》（American Business Act on Climate），承諾遵守《巴黎協定》。</p> <p>科技產業在營運與數據資料庫上已經率先擴大使用可再生能源。連續四年來，Google的全球用電量100％皆來自可再生能源。蘋果公司（Apple）自2020年4月起，企業營運已經達成碳中和，並且致力在2030年前將所有產品的碳足跡歸零。</p> <p>這種現象的美妙之處在於漣漪效應。如果企業做出有利於氣候的承諾，供應商往往會跟著做，改變的步調因此加快。為了製造對環境零影響的產品，蘋果公司正努力敦促供應商承諾實施減碳計畫。我們看到企業的積極改變，不只做到「碳中和」，更承諾會達成「淨零排放」。就已排放的所有溫室氣體，不限於二氧化碳，企業承諾會在一年內抵銷任何殘餘的部分。</p> <p>我們的「企業」關鍵結果追蹤全球商業界在2040年前實現淨零排放的承諾。我們的關鍵結果是讓《財星》全球前五百大企業100％都做出相同的承諾。我們要怎麼做？在商業界，來自業界領袖的壓力最有成效。亞馬遜創辦人傑夫．貝佐斯就設立了一項新標準。我第一次跟他見面是在1996年，5年後，他送我一份令人難忘的禮物，那是一根木槳而且還刻了一句話：「如果你要在溪中逆流而上，多一根備用的槳總是不會出錯。」最近，我們談到氣候危機，我拿出他送我的木槳。他發出眾所皆知的尖銳大笑，說道：「約翰，看來我們需要很多根備用槳！」</p> <p>亞馬遜建立了一支永續發展專家團隊，成員來自競爭對手、學術界與自家公司。他們在2016年舉行的一次營運會議上傳播淨零目標的種子，當團隊成員從50人增加到200人，就有能力去量化整個企業各部門、從送貨卡車到倉儲系統的碳排放量。有了研究結果，亞馬遜便設立一個大膽的目標。2019年9月，貝佐斯提出一項計畫，宣布亞馬遜將在2040年前達到淨零排放。他的承諾在公司龐大的網絡與連結產生漣漪效應，讓地球變得更好。亞馬遜不會因自家公司脫碳就心滿意足，而是會積極拉其他人一起做。</p> <p>亞馬遜全球永續發展業務總監卡拉．赫斯特（Kara Hurst）指出，為了落實企業領導，氣候承諾要求簽署公司定期報告溫室氣體排放情況。她說：「我們沒有規定每一間公司應該做到什麼地步，只是指引他們應該朝向目標努力去做。這不是為了報告而做的報告，而是分享經驗的機制，讓大家了解未來還有什麼不同的做法。」透過衡量、追蹤與分享進度，簽署氣候承諾的公司也為其他打算採行相同做法的公司鋪好了路。</p> <p>對企業氣候運動者來說，動力已經累積得愈來愈強。2019年8月，美國商業界的指導委員會「商業圓桌會議」（Business Roundtable）發表一份聲明，重新定義「企業的使命」。商業圓桌會議是由美國企業巨頭領導者創始於1972年，自此之後企業的核心使命就是要以創造資金最大回報率為唯一依歸，永遠不變，因此組織章程定為「企業存在的目的主要是為了服務股東」。所以儘管永續發展是好事，但卻從未被視為企業管理的原則。</p> <p>然而，時代已經改變。隨著愈來愈多執行長擴展自身任務，商業圓桌會議也做出相同的回應，在新的聲明中強調，企業必須重視顧客服務；要建立多元化、包容與相互尊重的工作團隊；以及採用永續發展的措施保護環境。在嚴峻的氣候考驗之下，圓桌會議此時提出新的方針，再適切不過。<strong><span style="color:#696969;">（本文摘錄整理自《OKR實現淨零排放的行動計畫》，天下文化提供）</span></strong></p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(7).jpg" style="width: 350px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> <strong>書名</strong> </span> </span><span style="color:#3399ff;"><strong>OKR實現淨零排放的行動計畫</strong></span></p> <p>約翰‧杜爾（John Doerr）、萊恩‧潘查薩拉姆（Ryan Panchadsaram）／著；廖月娟、張靖之／譯</p> <p>天下文化出版</p> <p>定價：700元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_OKR%E6%B7%A8%E9%9B%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kleiner%20Perkins.png" style="width: 200px;" /></p> <p><strong>約翰‧杜爾（John Doerr）</strong></p> <p>創投公司凱鵬華盈（Kleiner Perkins）董事長，1980年加入公司。投資全球最成功的創業者與公司，如Amazon、Google、Intuit、網景（Netscape）和推特（Twitter），創造超過425,000份工作機會。<a href="https://www.kleinerperkins.com/people/john-doerr/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Kleiner Perkins</span></span></a></p> <p><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_OKR%E6%B7%A8%E9%9B%B6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kleiner%20Perkins.png" style="width: 200px;" /></span></span></p> <p><strong>萊恩‧潘查薩拉姆（Ryan Panchadsaram）</strong></p> <p>致力於解決系統性社會難題的工程師與專業投資人，在凱鵬華盈擔任約翰．杜爾的技術顧問，專門投資以改變世界為目標的公司創辦人與技術。和杜爾合作完成《OKR實現淨零排放的行動計畫》，以及暢銷書《OKR：做最重要的事》。歐巴馬執政時期，潘查薩拉姆擔任美國副科技長（Deputy Chief Technology Officer），大力鼓吹創新、創業精神與開放資料。<a href="https://www.kleinerperkins.com/people/ryan-panchadsaram/" target="_blank"><span style="color:#696969;"><span style="font-size: 14px;">圖片來源_Kleiner Perkins</span></span></a></p> </div></div></div>
2022/7/25 09:17未署名https://www.ithome.com.tw/article/152069
電子病歷上雲開放了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是電子病歷實施17年來最大的變革，不只打通了醫院全面無紙化的最後一哩，更讓醫院IT可以大舉上雲，甚至可以加速遠距醫療，催生更多智慧醫療的應用</p> </div></div></div>
2022/7/25 09:24未署名https://www.ithome.com.tw/article/152064
遠傳打造電信服務信任基石，資安長間接介入營運成必然
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期最熱門的工作職缺就是資安長（CISO）一職，在各行各業當中，尤其是符合金管會規定的第一級上市櫃公司，最遲在2022年底前，都必須在公司設立資安長，並且成立包括資安專責主管，以及至少二名以上資安專責人員的資安專責單位。</p> <p>這樣的規定對於電信產業而言，其實難度並不高，尤其是，全世界許多國家，包含臺灣，都將電信產業認定為提供關鍵基礎設施（CI）的業者，而主管機關對於電信業在資安方面的要求強度，原本就高於其他產業。</p> <p>由於5G有高速、低延遲和多裝置連結的特性，電信業者在5G開臺後，都為了提供申請企業5G專網頻譜而傷透腦筋。因為2022年號稱為5G專網商機落地的關鍵年，如何做到建構5G專網、頻譜、整合產業鏈，以及滿足客戶需求，成為商機能否落地的重要關鍵。</p> <p>其中，主管機關NCC（國家電信傳播委員會）對於企業5G專網的「資安維護計畫」，應該採取「審查制」還是「備查制」，也因為審查委員意見不一而受到關注，這也證明，資安已經成為電信業者申請5G專網能否開通的重要關鍵。</p> <p>面對外界早已認定資訊長（CIO）應該要介入企業營運的理所當然，身為遠傳電信資安長朱建國表示，各界對於資安長應介入企業營運的呼聲，有後來居上的趨勢。</p> <p>他說，尤其對於關鍵基礎設施的電信業者而言，提供客戶的相關電信服務早就要做到「預設資安」（Security By Design），沒有資安的電信服務，是無法滿足客戶需求的。</p> <p>因此，朱建國坦言，要形塑客戶對遠傳電信提供電信服務的信任度，資安長介入企業營運是必然的，畢竟，數位時代的「信任」是無價的，建立客戶的信任度很難，但要破壞客戶的信任，往往在電光石火之間就可以做到。</p> <p>他說，或許資安部門現在還不能如同資訊部門，扛起公司營收的角色，但在資安不能獨立於業務之外存在的前提下，資安長可以帶領資安部門做到業務整合，藉由降低企業營運風險，也間接承擔協助公司營運發展的重責大任。</p> <p><span style="font-size:28px;"><strong>沒有內建資安的電信服務，無法被客戶接受</strong></span></p> <p>隨著企業逐漸仰賴資訊部門提供的IT系統支援企業營運，資訊部門也開始逐漸轉型，有許多產業的資訊部門已經從傳統的成本中心，慢慢轉為利潤中心，像是金融、電信產業的資訊部門，更慢慢成為企業數位轉型的重要推手。</p> <p>以遠傳電信為例，資訊部門身兼企業數位轉型的重責大任，但若回頭看看資安部門，在企業中究竟扮演何種角色？</p> <p>朱建國指出，資安部門並不是第一線提供客戶服務的單位，但在各界看重電信服務必須是安全、可信任的電信服務前提下，資安部門則成為重要的幕後推手，最重要的任務就是：協助企業形塑信任資產；並透過信任，驅動企業提供客戶更好、更安全的服務，累積營運所需的資產。</p> <p>他認為，在這個企業營運的正向循環中，資安部門即便沒有走向幕前，卻已經成為企業營運不可或缺的合作夥伴，因為，沒有內建資安的電信服務，是不可能被客戶所接受的。</p> <p>他說：「資安不能置外於業務而獨立存在，」也就是說，企業提供的各種服務，必須要有安全元件在內，資安只有跟業務整合時，才能降低企業營運的風險。朱建國指出，不管是遠傳電信或是其他子公司，一旦遭遇到各種資安風險或威脅，相關的作戰經驗都可以被累積、傳承和複製，這也讓遠傳電信在提供企業各種服務時，可以融合其他子公司面對資安風險的經驗，提供內建資安的客戶服務。</p> <p><span style="font-size:28px;"><strong>取得資安認證的目的不是為了合規，而是為了降低風險</strong></span></p> <p>遠傳電信早在2005年就成立資安相關部門，但這原先是資訊部門其中的一個功能單位，而不是獨立的資安部門。朱建國表示，在金管會於2021年11月正式對外公告，要求臺灣第一級上市櫃公司，必須在2022年底前，設立資安長且成立有2名專責人員的獨立資安部門前，遠傳電信便已在2021年7月，成立直屬總經理辦公室的資安辦公室，並指定他接任資安長一職。</p> <p>他表示，重視資安是遠傳電信的傳統，甚至，在政府尚未下令A、B級機關須取得ISO 27001資安認證前，遠傳電信已於2006年取得ISO 27001資安認證。</p> <p>朱建國早期服務於行政院資訊處，後續因離開政府部門轉而到產業工作的經驗，也讓他可以從不同構面去看資安，例如，從政府、產業、客戶和供應商等不同角色對於資安有不同的要求，他可以從更高層次去理解資安的重要性。</p> <p>以ISO 27001資安認證為例，朱建國表示，這樣的資安認證，可以協助企業從稽核的角度去掌握資安的量能，並滿足相關法規遵循和企業資安稽核的需求。</p> <p>不過，隨著資安威脅越來越複雜，企業取得ISO 27001資安認證，究竟是為了合規？還是為了資安？合規到底是資安稽核的目的？還是只是過程？朱建國坦言，這一切都是在做資安的過程中慢慢釐清，確認資安認證的目的並非合規，而是為了降低風險，只不過，政府和企業對於風險的定義有所不同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E6%9C%B1%E5%BB%BA%E5%9C%8B_%E9%81%A0%E5%82%B3_%E8%B3%87%E5%AE%89%E9%95%B7_20220715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.png" style="width: 490px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span><br /> <strong style="color: rgb(105, 105, 105); font-size: 20px;">遠傳電信總經理是技術背景出身，對資安風險更為重視，透過成立隸屬總經理室的資安辦公室和設立資安長，希望讓提供電信服務的同時，可以做到預設資安。── 遠傳電信資安長朱建國</strong></p> <p><span style="font-size:28px;"><strong>籌組不同階層的資安委員會，讓資安通報直達天聽</strong></span></p> <p>總經理井琪是技術背景出身，對於資安重視和理解程度非常高，而成立直屬總經理辦公室的資安辦公室並設立資安長，不僅反映總經理對資安的重視，專責資安部門也需要投入更多組織能量，而他身為企業資安長，不僅可以直接跟公司營運管理階層，反映企業面臨的資安和營運風險，更可以有效校準資安部門所需的組織資源和量能，不像以往須透過層級節制的方式，逐一向上通報。</p> <p>朱建國同意，身為資安長，可以直接向懂技術的總經理通報資安風險，對於企業推動資安，帶來很大助益；而這種最短通報路徑的溝通方式，更有助於爭取經營管理階層對資安資源的投入。</p> <p>他認為，感受資安風險的急迫性是資安長的責任，但組織對資安量能的聚焦與否，則必須讓經營管理階層直接看到資安風險所在，並且能和資安部門感受到同樣的資安風險帶來的壓力時，企業投入資安的資源才不會短少，面對風險的執行力道和意志，也就不會匱乏。</p> <p>不過，朱建國也意識到，公司每個環節都需要資安，每個部門都要面對不同的風險，但實際上，不同部門對資安投入的資源雖然有落差，每個部門，都是駭客入侵企業的可能缺口，「每個資安風險帶來影響，都是全公司要共同承擔的。」他說。</p> <p>雖然組織編制的限制，會帶來跨部門溝通的困難，朱建國試圖打破組織藩籬，希望透過跨部門任務編組或是籌組委員會的形式，讓經營階層、管理階層、技術階層都成立各自的資安委員會，藉由設定不同議題，讓第一線和駭客作戰的同仁，可以將不同層次的資安議題，直接對應到不同階層的主管，而不需要透過層層轉譯，才能掌握第一手資安風險資訊。</p> <p><span style="font-size:28px;"><strong>從全公司角度看資安資源分配，從源頭改變資安投資心態</strong></span></p> <p>由於朱建國是從內部升任資安長一職，相較其他空降的資安長，減少和其他部門磨合的困難。他也意識到，當資安部門的組織位階改變時，必須從單一部門的本位主義，轉而關注全公司的資安風險時，因為組織高度不一樣，優先項目也不一樣，「身為資安長的他，也必須重新校準資安策略，才能夠重新調整需要投入的資安配置。」他說。</p> <p>以遠傳電信這樣的大型企業，投入資安資源不少，但過往都是從部門或單一組織的角度來看資安，不僅片面，還會受到組織分工和框架的限制。如果可以從全公司的角度，確認資安政策的優先順序，並重新分配資安資源，將可以獲得最大的資安投資效益，並透過彼此的分工合作再磨合，讓政策可以更好落實、資源可以更好分配，組織成員可以更融入現行運作模式，達到資安投資最佳效益。</p> <p>舉例而言，很多部門服務上線前都需要做資安檢測，以往都由個別業務單位進行委外發包，但從全公司的角度來看，如何協助整併需要資安檢測部門的需求，並從全公司角度提供滿足需要資安檢測部門的需求，真正從源頭解決問題，讓企業資源可以更有效運用，才是從全公司角度看資安所帶來的改變。</p> <p>朱建國也說，資安不可能零風險，協助企業具有承受資安或是轉嫁資安風險的能力，都是企業資安韌性的一環。因此，他接任資安長後，致力於縮短不同部門的資安資訊空窗期，即便看到以前不曾發生過的資安風險，也都希望可以做到「預見」問題的可能性，事先找出問題解決之道、降低企業承受的風險。</p> <p><span style="font-size:28px;"><strong>資安是團體戰，是否具備資安技術看企業型態</strong></span></p> <p>資安長究竟是否需要具備專業的資安技能呢？朱建國認為，資安其實是一種團體戰，單打獨鬥是做不好資安的。所以，他關注的重點在於，資安長是否有一個可信任、強而有力的資安技術團隊作為後盾，資安長本身是否具備資安技術反而在其次。</p> <p>朱建國本身就是技術出身的資安長，多年的產業歷練，讓他熟知企業組織的運作模式，對上、對下以及平行部門的協同合作都可以做到游刃有餘，重點在於企業如何界定資安部門，如果資安部門在企業內偏重維運相關的安全，資安長具備技術能力比較容易獲得信任；若資安部門偏重資安治理的角色，資安長需要聚焦企業營運，相關技術問題則可以依賴專業的資安技術部門協助。</p> <p>他認為，一個稱職的資安長不能抗拒新事務，且必須要做到持續學習，並且要有面對問題、解決問題的熱忱，才是稱職的資安長特質。畢竟，每年至少會出現一萬多個漏洞，加上資安問題包含各種資安技術和管理議題，資安長一旦停滯不前，不敢面對資安問題，就可能會被駭客打敗。</p> <p>朱建國指出，他接任資安長所面對的挑戰就是，如何聚焦不同層級的資安委員會所面對的資安風險，並且在一個共通的討論平臺上解決問題，甚至可以把討論的資安議題解決方式，變成企業內部的資安指引；如果遇到的問題無法有效溝通，也需要有一個仲裁角色，協助解決部門疑慮，配合營運目標，協助擬定公司資安政策。</p> <p>他說，遠傳電信在實際的運作上，每個專案都已內建資安的角色，現在更精進的作法就是，把專案進一步分類，讓高風險的專案配置資安角色，例行性專案可以用檢核表取代，透過持續調整，讓資安發揮最大效益。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> CISO小檔案 </span></span></strong></p> <p><strong>遠傳電信資安長朱建國</strong></p> <p>學經歷：世新大學資訊管理學系碩士，先前曾擔任過行政院資訊處副研究員、數聯資安資安顧問、104資訊科技資安長；在遠傳電信則歷任資訊暨數位轉型科技群資安副理、資安經理，後升任網路暨技術群資安協理，並於2021年7月成立資安辦公室後，接任遠傳電信資安長一職，直屬總經理辦公室</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>遠傳電信</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/26_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E9%81%A0%E5%82%B3_20220715_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 200px;" /></strong></p> <p>成立時間：1997年</p> <p>公司地址：台北市內湖區瑞光路468號</p> <p>業務種類：通訊/網路等相關業務</p> <p>資本額：325億元</p> <p>年營收：853.2億元（2021年）</p> <p>董事長：徐旭東</p> <p>總經理：井琪</p> <p>員工人數：約6,300人</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司大事紀 </span></span></strong></p> <p>資安部門成立時間：2021/07/15</p> <p>資安部門主管：資安長朱建國</p> <p>資安部門直屬主管：總經理井琪</p> <p>資安部門人數：12人</p> <p>資安角色與分工：</p> <p>1. 擬定公司資安防護策略、推動和宣導</p> <p>2. 綜理各安全委員會及BCM緊急應變機制運作</p> <p>3. 規畫審核資安預算和計劃</p> <p>4. 建立跨部門統合的資安監控機制</p> <p>5. 統籌跨部門資安事宜和全公司員工資安訓練</p> <p>6. 對外和政府部門聯絡溝通資安事宜</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資安大事記 </span></span></strong></p> <p>2005年：成立企業安全部門</p> <p>2006年：取得ISO 27001資安管理認證</p> <p>2014年6月：遠傳4G開臺</p> <p>2020年7月：遠傳5G正式開臺</p> <p>2021年7月：成立資安辦公室，隸屬總經理辦公室</p> <p>2021年7月：指派朱建國接任遠傳電信資安長</p> <p>2022年2月：遠傳電信宣布合併亞太電信，暫定9月30日完成合併</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_4.jpg" width="960" height="420" alt="" title="遠傳電信資安長朱建國　（攝影／洪政偉）" /></div></div></div>
2022/7/25 07:00作者黃彥棻https://www.ithome.com.tw/people/152068
台灣虎航公告遭駭客網路攻擊，疑客戶資料外洩，是本週第二起資安事件重大訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內資安事件重大訊息一週兩起，在7月22日（週五）傍晚，國內興櫃公司台灣虎航在臺灣證券交易所發布公告，說明遭受駭客網路攻擊事件，並不影響營運。</p> <p>值得關注的是，由於<a href="https://www.ithome.com.tw/news/152030">7月18日（周一）上櫃生技醫療</a>業者永昕才發生資安事件，相隔不到五天，興櫃航運公司台灣虎航也遇害，更加引發關注。但較需要留意的是，在這次台灣虎航的公告中，同時亦提醒民眾當心詐騙。</p> <p>關於這次事件，台灣虎航在7月22日下午5時17分發布公告，指出當公司查知遭受駭客網路攻擊時，資訊部門已全面啟動相關防禦機制。在事件因應上，他們表示已經與外部資安公司技術專家協同處理，並通報政府執法單位與資安單位。</p> <p>對於這起事件帶來的影響，該航空公司指出，目前評估對公司營運無重大影響，而在改善與因應方面，說明該公司已於其官方網站張貼「反詐騙聲明」，共同防制網路詐騙，並將持續強化網路與資訊管控以確保資料安全。</p> <p>雖然台灣虎航在這份公告中，沒有特別說明是如何偵測與查知這次事件，不過從公布「反詐騙聲明」來看，這是否意味可能發生客戶資料外洩情形，可惜公告中並未直接明確說明。因此我們也在晚間傳訊該公司發言人確認情形，截稿前尚未得到回覆。</p> <p>而在台灣虎航官方網站上，根據<a href="http://uat-www.tigerairtw.com/zh-tw/about-tigerair/news/anti-fraud">7月22日更新的反詐騙聲明公告內容</a>，提醒顧客慎防新型態網路詐騙，並列出4大重要須知，包括當心假冒虎航名義的解除分期ATM詐騙，更換會員密碼、應妥善保管個人資料，以及不明的電子郵件或簡訊勿點連結。</p> <h2 style="font-weight: normal; line-height: 1.2em; color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; letter-spacing: normal; orphans: 2; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-thickness: initial; text-decoration-style: initial; text-decoration-color: initial;"><strong>2022-07-22 台灣虎航</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="border: 1px dotted rgb(211, 211, 211); color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 13px; font-style: normal; font-variant-ligatures: normal; font-variant-caps: normal; font-weight: 400; letter-spacing: normal; orphans: 2; text-align: start; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; -webkit-text-stroke-width: 0px; text-decoration-thickness: initial; text-decoration-style: initial; text-decoration-color: initial; width: 547px;" width="547"> <tbody> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">網路攻擊事件類型</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">公告中表示說明遭受駭客網路攻擊</td> </tr> <tr height="48"> <td height="48" style="border: 1px dotted rgb(211, 211, 211); height: 48px; width: 170px;">事中應變措施</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">查知遭受駭客網路攻擊時，資訊部門已全面啟動相關防禦機制，同時與外部資安公司技術專家協同處理。已通報政府執法與資安單位</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px;">初步調查結果</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">目前透露資訊非常有限，未公布影響範圍，被入侵管道。</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事件影響範圍</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">提及於公司官網張貼「反詐騙聲明」，共同防制網路詐騙，</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事件對營運的影響</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">對營運無重大影響</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">事後復原與檢討</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">本公司將持續強化網路與資訊管控以確保資料安全。</td> </tr> <tr height="24"> <td height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px; width: 170px;">對外公告資安事件</td> <td style="border: 1px dotted rgb(211, 211, 211); width: 378px;">在7月22日發布於臺灣證券交易所重大訊息</td> </tr> <tr height="24"> <td colspan="2" height="24" style="border: 1px dotted rgb(211, 211, 211); height: 24px;"> 資料來源：iThome整理，2022年7月</td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%B8%8A%E6%AB%83%E8%87%BA%E7%81%A3%E8%99%8E%E8%88%AA%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%B8%8A%E6%AB%83%E8%87%BA%E7%81%A3%E8%99%8E%E8%88%AA%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E5%85%AC%E5%91%8A_%E6%93%B7%E5%8F%96%E8%87%AA%E5%8F%B0%E7%81%A3%E8%99%8E%E8%88%AA%E5%AE%98%E6%96%B9%E7%B6%B2%E7%AB%99.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>值得關注的是，在台灣虎航官方網站上的反詐騙聲明特別指出，該公司不會主動要求民眾操作ATM與完成任何設定。基本上，多年來我國刑事警察局165反詐騙不斷呼籲民眾：當心解除分期詐騙、ATM並不提供解除分期功能。</strong></span></p> </div></div></div>
2022/7/23 21:53作者羅正漢https://www.ithome.com.tw/news/152084
【資安週報】2022年7月18日到7月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周發生與揭露的攻擊與威脅中，有幾個焦點事件，包括有駭客透過供應鏈手法，從WordPress外掛WPBakery Page Builder的Kaswara元件程式下手攻擊；有駭客宣傳PLC與HMI密碼破解工具，真能破解但其實還暗藏木馬程式Sality；有中國米可達斯（MiCODUS）車用GPS追蹤器存在六大重大漏洞，廠商遲遲未修補，促使業者通報未果後請美國CISA協助示警；以及有駭客打造CloudMensis惡意軟體，是專門鎖定蘋果Mac電腦用戶。</p> <p>在漏洞修補方面，微軟上月修補的一項Windows NFS漏洞CVE-2022-30136，趨勢科技最近特別警告，該漏洞將比Follina漏洞更為容易利用，呼籲還沒修補的企業盡速因應。</p> <p>此外，關於Log4j漏洞的嚴重性再受關注，美國網路安全審查委員會首份報告出爐，指出最大問題是──使用者或軟體開發商並不知道自己使用軟體內含有漏洞的Log4j元件，或是專案有很高的相依性，這將導致漏洞問題將影響企業長達十年，因此報告中也提出四大因應上的建議。</p> <p>勒索軟體的動向中，以程式語言Rust打造的勒索軟體增加，除了BlackCat、Hive，又有資安業者揭露全新的Luna。這裡我們認為要注意的是，用這類語言編寫的勒索軟體，可以很容易地從一個平臺移植到其他平臺，包括Windows、Linux版本，以及近來逐漸增加鎖定VMware ESXi，因此可同時針對不同的作業系統攻擊。此外，近年RaaS的興起，已降低勒索軟體攻擊門檻，最近又出現以免費下載在抽成的勒索軟體Redeemer 2.0。</p> <p>此外，在新興攻擊手法研究中，紐澤西理工學院（NJIT）的研究受關注，指出攻擊者能透過特製的網站，讓瀏覽器在載入網頁時，透過旁路攻擊方式，發出對於社群網站嵌入式資源的跨網站請求，藉此解析目標身分並拚湊用戶的數位生活圈。</p> <p>另外較特別的是，本周有多國政府與重要單位傳出引發關注的資安事件，其中阿爾巴尼亞上周六晚上遭到網路攻擊最嚴重，該國未因應攻擊，直接關閉了許多政府網站與線上申辦服務，還有以色列衛生局遭網路攻擊，當地媒體報導有自稱Altahrea Team親伊朗的駭客組織表示是他們所為，還有印度證交所也傳出資安事件。</p> <p>而以國內而言，本周有生技醫療上櫃公司遭遇資安事件，是近一年來的第二起。此外，國內科技製造業機密資料被內鬼竊取事件層出不窮，可成科技在2020年發生陸續有14名員工離職，背後卻是收取立訊提供數百萬元安家費，竊取可成機密投靠立訊，由於涉及營業秘密，檢方經過1年6個月的偵查及蒐證，今年7月中旬新北地方檢察署起訴14人。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152082#A"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_WP.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#B"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_ICS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#C"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Mac.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#D"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_DD.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#E"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_PL.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#F"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_Luna.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#G"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_GPS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#H"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_NFS.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#I"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_G.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152082#J"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_MA.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B12022-0722_Top10_%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong></p> <p id="A"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/07/attacks-on-modern-wpbakery-page-builder-addons-vulnerability/"><span style="color: rgb(0, 0, 0);">駭客透過老舊外掛程式鎖定近160萬個WordPress網站，目標是外掛程式WPBakery Page Builder的元件</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2021-24284-volume-of-attacks.png" style="width: 300px; float: right;" /></a>WordPress外掛程式的漏洞很可能因為開發者不再維護，而成為攻擊者用來對網站下手的管道。資安業者Wordfence針對一起大規模網站攻擊行動提出警告，駭客鎖定WordPress外掛程式WPBakery Page Builder的Kaswara元件下手，利用任意文件上傳漏洞CVE-2021-24284進行攻擊行動。</p> <p id="B">研究人員自今年7月4日至13日，總共偵測到1,599,852個網站成為攻擊目標，該公司平均一天攔截逾44萬次嘗試攻擊的行動。由於此漏洞CVSS風險評分達到10分，且沒有修補軟體，廠商也不再維護此外掛程式，攻擊者有可能將其用於接管網站，他們呼籲管理者最好移除此外掛程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">駭客宣傳可提供15家業者PLC與HMI破密工具但暗藏惡意程式</span></a><a href="https://www.dragos.com/blog/the-trojan-horse-malware-password-cracking-ecosystem-targeting-industrial-operators/"><span style="color: rgb(0, 0, 0);">Sality</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1-1(1).png" style="width: 300px; float: right;" /></a>工業控制系統（ICS）的管理者，很有可能因為需要管控許多設備而可能會忘掉密碼，有人在網路提供能夠破解可程式化邏輯控制器（PLC）或人機介面（HMI）密碼的工具，但也有人藉由提供這個工具的名義，進而在工控環境植入木馬程式。資安業者Dragos發現，有人在數個社群網站上投放廣告，宣稱提供PLC或是HMI的密碼廠解工具，針對的工控設備廠牌涵蓋了Automation Direct、歐姆龍（Omron）、西門子（Siemens）、台達自動化、富士電子（Fuji Electric）、三菱（Mitsubishi）、松下（Panasonic）、LG、Vigor、Pro-Face、Allen Bradley、Weintek，以及ABB等。</p> <p id="C">研究人員針對其中一個能解鎖Automation Direct系統的軟體進行分析，發現此工具確實能破解密碼，但是是利用工控系統的已知漏洞來進行，而在提供密碼的同時，此工具也暗中在工控設備植入木馬程式Sality。研究人員呼籲工控環境的管理者，在需要重新取得PLC或MHI的密碼時，應該尋求開發廠商協助，而非透過來路不明的軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.welivesecurity.com/2022/07/19/i-see-what-you-did-there-look-cloudmensis-macos-spyware/"><span style="color: rgb(0, 0, 0);">間諜軟體CloudMensis鎖定Mac電腦而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_-Outline-of-how-CloudMensis-uses-cloud-storage-services.png" style="width: 300px; float: right;" /></a>駭客鎖定Mac電腦開發後門程式，並繞過了macOS作業系統的防護機制來洩露資料。資安業者ESET在7月19日揭露，他們最早在4月時發現一款名為CloudMensis的惡意軟體，駭客主要將其用於從Mac電腦竊密，此惡意軟體具備截圖螢幕畫面、列出電子郵件與附件內容、列出外接儲存裝置檔案，並能透過Shell命令將資料上傳到雲端檔案共享服務。此外，駭客透過Dropbox、Yandex、pClould等檔案共享服務架設C2，而難以追蹤攻擊來源。</p> <p id="D">研究人員發現，此惡意程式藉由CoreFoundation漏洞CVE-2020-9934，能繞過macOS的Transparency Consent and Control（TCC）機制，而能在不需使用者授權的情況下，取得螢幕截圖與鍵盤輸入的資料。研究人員指出，雖然CVE-2020-9934已得到修補，但駭客還有可能利用其他漏洞來繞過TCC，呼籲用戶使用最新版本的macOS來降低風險。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.google/threat-analysis-group/continued-cyber-activity-in-eastern-europe-observed-by-tag/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla以提供DDoS攻擊工具為由，對親烏克蘭人士的安卓手機下手</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Turla_web_max-1000x1000.png" style="width: 300px; float: right;" /></a>在烏克蘭戰爭裡，力挺烏克蘭的人士會想要利用DDoS攻擊工具，來癱瘓俄羅斯的網路，意圖牽制該國的軍事行動。對此，俄羅斯駭客曾經以散布DDoS攻擊工具為由，鎖定聲援烏克蘭人士的電腦植入惡意軟體，而現在駭客也針對這些人士的手機下手。</p> <p id="E">Google發現俄羅斯駭客組織Turla，近期以提供Cyber Azov安卓手機DDoS攻擊工具的名義，對想要癱瘓俄羅斯網路基礎設施的人士下手。而Turla製作Cyber Azov的模仿對象，很可能就是名為StopWar的安卓App。</p> <h3><strong style="font-size: 22px;"><a href="https://leakuidatorplusteam.github.io/"><span style="color: rgb(0, 0, 0);">研究人員揭露瀏覽器快取旁路攻擊手法，有可能導致上網用戶身分曝光</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/attack_alternative.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack_alternative.png" style="width: 300px; float: right;" /></a>國家級駭客試圖運用各式的攻擊手法，企圖辨識網路上的用戶並進行跟蹤，有研究人員發現新的手法，能讓攻擊者將存取網站的使用者進行解析，將其數位生活拼湊起來，確認目標的身分，進行目標式去匿名化（Deanonymization）攻擊。</p> <p>紐澤西理工學院（NJIT）的研究人員指出，他們發現攻擊者能透過特製的網站來收集使用者瀏覽器的資料，當受害者瀏覽攻擊者的網站時，此網站會在瀏覽器載入網頁的過程中，發出對於社群網站（如：YouTube、Dropbox、推特、臉書、TikTok等）嵌入式資源的跨網站請求，並忽略使用者身分驗證的Cookie，而這些社群網站會依據使用者的身分做出回應。攻擊者藉由上述的跨網站請求獲得的共享資源，就有機會得知受害者是否為他們鎖定的目標。</p> <p>最後一步，攻擊者會確認共享資源在受害電腦（或行動裝置）上被載入的情形，他們會針對瀏覽器占用處理器快取的旁路通道資源進行比對，來確認此使用者就是他們鎖定的攻擊目標。</p> <p id="F">研究人員提出警告，這樣的手法很可能會影響政治人物、參與政治活動的人士，以及記者，而且不光能對於時下主流的網頁瀏覽器進行攻擊，還能對洋蔥瀏覽器（Tor Browser）下手。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/luna-black-basta-ransomware/106950/"><span style="color: rgb(0, 0, 0);">又有新的勒索軟體以程式語言Rust打造而成，並採用獨特的演算法</span></a></strong></h3> <p>駭客以程式語言Rust打造的勒索軟體，已有BlackCat、Hive，而最近有新的勒索軟體也使用這種程式語言進行開發。卡巴斯基在地下論壇看到有人在宣傳新的勒索軟體Luna，並表明他們只打算與使用俄文的駭客合作。從宣傳的資料來看，駭客已經打造了Windows版、Linux版的勒索軟體，並開發了針對虛擬化平臺VMware ESXi的專屬版本。</p> <p>研究人員指出，Luna採用的加密演算法是x25519與AES，可說是相當少見的配置。此外，上述版本的勒索軟體使用相同的程式碼編譯而成，但有一些差異，例如，僅有Linux版本必須要下達參數才會執行。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/07/20/redeemer-ransomware-back-action/"><span style="color: rgb(0, 0, 0);">勒索軟體Redeemer 2.0免費提供駭客使用，得手後作者抽成牟利</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Redeemer-Ransomware-Builder.jpg" style="width: 300px; float: right;" /></a>駭客要發動勒索軟體的門檻可說是越來越低，甚至有人免費提供相關工具，然後在受害者支付贖金時才向其抽成。資安業者Cyble發現，有人在7月5日於地下論壇開始宣傳勒索軟體Redeemer 2.0，並提供免費下載，一旦任何人取得，都能用來發動勒索軟體攻擊，而開發者則會在收到贖金後，收取20%做為報酬。</p> <p id="I">以軟體服務型式提供的勒索軟體（Ransomware-as-a-Service，RaaS），已讓駭客不需自行開發攻擊工具就能發動攻擊，大幅降低攻擊門檻，但現在有了這種免費提供勒索軟體的作法，將有可能使得勒索軟體攻擊更加氾濫。</p> <h3><strong style="font-size: 22px;"><a href="https://www.pcc.moj.gov.tw/media/287299/111-07-15-%E6%96%B0%E5%8C%97%E6%AA%A2%E5%81%B5%E8%BE%A6%E5%8F%AF%E6%88%90%E5%85%AC%E5%8F%B8%E5%89%8D%E5%93%A1%E5%B7%A5%E9%84%AD-%E7%A6%8F%E7%AD%89%E9%81%95%E5%8F%8D%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E6%B3%95%E7%AD%89%E6%A1%88%E5%81%B5%E6%9F%A5%E7%B5%82%E7%B5%90-%E6%96%B0%E8%81%9E%E7%A8%BF.pdf"><span style="color: rgb(0, 0, 0);">臺灣iPhone外殼供應商可成科技的營業秘密被外洩，偵察終結14名員工遭起訴</span></a></strong></h3> <p>中國企圖重金收買臺灣企業員工，竊取公司關鍵的技術，很可能會嚴重影響我國產業的競爭力。臺灣新北地方檢察署於7月15日指出，中國立訊精密工業為了迅速打入蘋果生產供應鏈爭取訂單，鎖定臺灣市占最高的金屬機殼供應商可成科技，引誘該公司派駐中國的研發團隊，竊取製作iPhone、iPad外殼的營業秘密，宣稱投靠後會提供高額安家費、年薪，並於立訊成功量產後，給予主管職位的方式來進行挖角。此研發團隊的鄭姓主管等14人於離職前，以分工合作方式竊取大量可成科技研發、業務相關的營業秘密資料，企圖攜往立訊使用。</p> <p id="J">新北地檢署經過1年6個月的偵查及蒐證，並發動4次搜索，訊問相關證人及被告，扣押涉嫌收取立訊安家費、薪資的帳號，全案於7月15日偵查終結，這14人依違反證券交易法特別背信罪、營業秘密法意圖在境外使用而侵害營業秘密等罪嫌遭到起訴。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152030"><span style="color: rgb(0, 0, 0);">上櫃生技醫療永昕生物醫藥遭遇資安事件，部分資通訊系統受影響</span></a></strong></h3> <p>臺灣上櫃公司永昕生物醫藥遭電腦病毒攻擊事件，在7月18日於臺灣證券交易所發布重大訊息說明，指出有部分資通訊系統受影響，目前評估對公司營運無重大影響。值得關注的是，這是繼去年11月雙美實業遭駭客網路攻擊後，近一年內，第二起生技醫療業的重大資安事件。</p> <h3><strong style="font-size: 22px;"><a href="https://citizenlab.ca/2022/07/geckospy-pegasus-spyware-used-against-thailands-pro-democracy-movement/"><span style="color: rgb(0, 0, 0);">泰國民主運動參與者的iPhone手機遭植入間諜軟體Pegasus</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/geckospy-timeline.png" style="width: 300px; float: right;" /></a>與網路間諜軟體Pegasus相關的攻擊行動，之前多半被用於攻擊歐美與中東地區的人士，如今也有鎖定東南亞的攻擊行動而引起人權組織的關注。加拿大多倫多大學公民實驗室（Citizen Lab）、國際特赦組織、泰國法律權利監督機構iLaw指控，泰國政府疑似針對參與民主運動的30名人士下手，在2020年至2021年，對他們的iPhone手機植入Pegasus，而遭到鎖定的人士身分，涵蓋了學生、律師、歌手、女演員等，年紀最小的僅有18歲。</p> <p>而這起攻擊行動被發現的原因，是因為蘋果在2021年11月，針對可能遭到Pegasus跟蹤的人士提出警告，而使得這些受害者尋求相關社會組織進行調查，進而使得此起事件近日曝光。離譜的是，有些受害者在不到2年的時間裡，手機就被植入Pegasus超過10次，而這些攻擊行動的共通點，駭客都是透過iOS零點擊漏洞Kismet與Forcedentry，來對手機下手。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/cloaked-ursa-online-storage-services-campaigns/"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29濫用檔案共享服務Dropbox、Google Drive來規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-image-91.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-image-91.png" style="width: 300px; float: right;" /></a>為了隱匿攻擊行動，駭客組織濫用檔案共享服務的情況越來越頻繁。資安業者Palo Alto Networks 指出，俄羅斯駭客APT29（亦稱Nobelium、Cozy Bear）今年5月初至6月針對西方外交使團、全球駐外大使館的攻擊行動裡，濫用了Google Drive與Dropbox，散布惡意HTML檔案EnvyScout，並進一步在受害電腦投放Cobalt Strike與其他惡意軟體。研究人員向Google、Dropbox通報，兩家業者已封鎖相關攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/from-the-front-lines-8220-gang-massively-expands-cloud-botnet-to-30000-infected-hosts/"><span style="color: rgb(0, 0, 0);">駭客組織8220已控制逾3萬臺雲端伺服器組成殭屍網路</span></a></strong></h3> <p>駭客組織8220因日前利用Atlassian Confluence零時差漏洞，來將此種協作平臺伺服器用於挖礦而引起研究人員關注，這個組織架設的殭屍網路規模大幅增長，帶來的威脅可說是更加險峻。資安業者SentinelOne提出警告，他們觀察到駭客組織8220所建置的殭屍網路，規模從去年中旬的2千臺伺服器，現在已控制超過3萬臺伺服器。研究人員指出，駭客很可能是因為加密貨幣價格大幅下跌，為了能保有相同的利潤，而增加殭屍網路挖礦伺服器的數量。</p> <h3><a href="https://www.intezer.com/blog/research/lightning-framework-new-linux-threat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Lightning Framework鎖定Linux主機而來，恐被用來部署後門程式與Rootkit</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Lightning-framework-new-linux-threat.jpg" style="width: 300px; float: right;" /></a>鎖定Linux作業系統而來的惡意軟體最近經常出現，而且很可能難以偵測。資安業者Intezer揭露名為Lightning Framework的惡意軟體，攻擊者可使用SSH連線來對目標主機植入後門程式，或是部署Rootkit。</p> <p>該惡意軟體採模組化設計，並能透過外掛程式添加功能，研究人員形容此惡意軟體就像瑞士刀，並指出此軟體具備多種與攻擊者互動的功能，例如可在受害主機上開啟SSH連線，並支援多種型態的命令與控制（C2）組態等。模組化設計的做法在Windows惡意軟體其實相當常見，但鮮少有Linux惡意軟體採用。</p> <p>此惡意軟體主要元件就是下載器，攻擊者在受害主機植入後，就能下載安裝其他模組與外掛程式。至於駭客散布Lightning Framework的方式，則是將其偽裝成GNOME密碼管理器元件Seahorse，而能躲過資安系統的偵測。</p> <p>研究人員指出，雖然他們尚未看到這個惡意軟體被用於攻擊行動的跡象，但駭客針對Linux開發此種具備高度擴充性的軟體並不常見，而相當值得關注後續發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/convincing-youtube-google-ads-lead-to-windows-support-scams/"><span style="color: rgb(0, 0, 0);">駭客濫用Google關鍵字廣告，謊稱受害電腦中毒來進行詐騙</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/tech-support-scam.jpg" style="width: 300px; float: right;" /></a>Google關鍵字的廣告相當容易模仿，而讓人難以分辨真假。資安業者Malwarebytes指出，他們近期看到有人濫用這種關鍵字廣告的攻擊行動，駭客投放了YouTube網站的廣告，雖然根據內容來看，其網址正確，同時也顯示了與之相關的網站連結，內容與正常的廣告相同，但是只要使用者一旦點選廣告，就會被帶往一個Windows Defender資安警報的網站，並告知使用者的電腦偵測到可疑活動並予以攔截，疑似是遭到木馬與間諜程式感染，使用者可撥打技術支援專線來處理。</p> <p>一旦使用者依照指示聯繫「技術支援」人員，就會被要求安裝TeamViewer來遠端控制並修復電腦，而使得電腦遭到控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/amid-rising-magecart-attacks-online-ordering-platforms"><span style="color: rgb(0, 0, 0);">駭客鎖定美國線上訂餐平臺，竊得逾5萬張金融卡資料</span></a></strong></h3> <p>隨著疫情蔓延，線上訂餐平臺也跟著崛起，但這類平臺也成為駭客盜取交易資料的攻擊目標。根據資安新聞網站Recorded Future的調查，駭客先後於去年11月與今年1月，發動兩起Magecart攻擊，將惡意程式碼注入參與美國線上訂餐平臺MenuDrive、Harbortouch，以及InTouchPOS的餐廳，結果有超過311家餐廳、共5萬張金融卡資料遭竊，並在暗網市場求售。</p> <p>研究人員指出，較不知名的線上訂餐平臺已成為Magecart攻擊者的重要目標，因為攻擊這類平臺，很有可能竊得大部分餐廳的交易資料。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sekoia.io/ongoing-roaming-mantis-smishing-campaign-targeting-france/"><span style="color: rgb(0, 0, 0);">網釣簡訊攻擊Roaming Mantis鎖定法國發動攻擊</span></a></strong></h3> <p>專門從事網釣簡訊（Smiphing）攻擊的中國駭客組織Roaming Mantis，最近又有新的攻擊行動引起研究人員關注。資安業者Sekoia指出，他們在7月上詢偵測到新的Roaming mantis網釣簡訊攻擊，駭客鎖定7萬名法國人的手機而來，若是使用者的手機執行安卓作業系統，遭到攻擊後會被植入惡意程式MoqHao（亦稱Wroba），此惡意程式偽裝成Chrome並暗中收集資料。</p> <p>但假如受害者使用的手機是iPhone，還是不能掉以輕心。iPhone用戶點選網釣簡訊連結後，會被帶往釣魚網站，駭客目的是騙取Apple ID與iCloud等相關資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-says-chinese-hackers-attacked-its-ministry-of-defense/"><span style="color: rgb(0, 0, 0);">比利時政府指控遭到多個中國駭客組織攻擊</span></a></strong></h3> <p>中國駭客疑似大肆針對西方國家進行攻擊的情況，最近再度上演。比利時外交部於7月18日控訴，中國政府支持的多個駭客組織：Gallium、APT27、APT30、APT31，鎖定該國的國防部與內政部下手，並要求中國政府出面處理，但除此之外並未對網路攻擊事故進一步說明。對此，中國駐比利時大使館予以否認，認為這是比利時的不實指控。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wsj.com/articles/alibaba-executives-called-in-by-china-authorities-as-it-investigates-historic-data-heist-11657812800"><span style="color: rgb(0, 0, 0);">中國政府要求阿里巴巴高層調查10億個資外洩事故</span></a></strong></h3> <p>在7月初，自稱ChinaDan的駭客兜售含有10億人民個資的資料庫，並聲稱資料來自上海國家警察，這起事件傳出在媒體報導之前，中國政府和雲端服務業者阿里巴巴早就知情。根據華爾街日報（WSJ）在7月14日的報導，阿里巴巴在媒體揭露之前就得知資料外洩情事，並於7月1日召開內部緊急會議，暫時關閉資料庫檢查相關程式碼，隨後中國監控機構就開始約談該公司的高階主管。</p> <p>資安業者LeakXI也針對此事公布進一步的調查結果，該公司表示，駭客疑似在6月26日動手偷走資料庫，外洩的資料來源是未受保護的Kibana實例，而使得Elasticsearch叢集採用了預設的使用者名稱及密碼，也沒有其他身分驗證機制來保護資料，而能讓駭客輕易將資料偷走。</p> <h3><strong style="font-size: 22px;"><a href="https://arxiv.org/pdf/2207.07413.pdf"><span style="color: rgb(0, 0, 0);">研究人員揭露可透過SATA排線外洩資料的手法</span></a></strong></h3> <p>位於隔離網路環境（Air-gapped）的電腦，因為沒有直接與外部網路連線，而具有較高的安全性，但研究人員還是發現有方法能夠突破這樣的限制，把資料傳送到外部。以色列本．古里安大學（Ben-Gurion University）資安研究人員Mordechai Guri發現名為SATAn的攻擊手法，駭客可在成功入侵位於隔離網路的目標電腦後，利用連接磁碟機的SATA排線發送無線電波，進而將資料傳輸到攻擊者的接收裝置。</p> <p>雖然這項手法接收器最多只能距離目標電腦1.2公尺，但這種能突破網路隔離措施的手法仍有可能造成威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vice.com/en/article/g5vqx3/hacker-posts-internal-roblox-employee-documents-online"><span style="color: rgb(0, 0, 0);">遊戲業者Roblox內部資料遭到公開，起因是駭客索討贖金不成</span></a></strong></h3> <p>駭客鎖定遊戲產業下手的情況，可說是越來越常見。根據新聞網站Motherboard的報導，有駭客公開了4 GB的文件檔案，內容疑似是電玩遊戲Roblox創作者的電子郵件信箱、身分證明文件，以及表單。Roblox向該新聞網站表示，這些資料很可能是因為他們拒絕了駭客的勒索而被公開，他們已尋求外部資安專家進行合作，並強化他們的系統來防堵相關攻擊。而對於Roblox遭到入侵的原因，該公司表示很可能是其中一名員工遭到網路釣魚攻擊所致。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.checkpoint.com/2022/07/19/linkedin-still-number-one-brand-to-be-faked-in-phishing-attempts-while-microsoft-surges-up-the-rankings-to-number-two-spot-in-q2-report/"><span style="color: rgb(0, 0, 0);">LinkedIn是今年第2季駭客偏好用於網釣攻擊的品牌</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/linkedin-diagram.png" style="width: 300px; float: right;" /></a>駭客組織冒用知名品牌來取信受害者，這樣的情況相當普遍，但他們又偏好那些品牌呢？根據資安業者Check Point針對今年第2季網路釣魚活動進行分析，有45%是使用LinkedIn，其次是微軟和DHL，分別為13%與12%。再者，Amazon與蘋果位居第4與第5，但比例都較今年第一季大幅成長而相當值得留意。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/neopets-data-breach-exposes-personal-data-of-69-million-members/"><span style="color: rgb(0, 0, 0);">虛擬竉物網站Neopets資料外洩，6,900萬用戶與原始碼遭竊</span></a></strong></h3> <p>電玩產業遭到攻擊與資料外洩的情況經常發生，最近又有業者傳出受害。根據資安新聞網站Bleeping Computer的報導，虛擬竉物網站Neopets的資料外洩，駭客在地下論壇以4個比特幣的價格（9.4萬美元）兜售，並宣稱內含6,900萬個會員的帳號及密碼，以及該網站的原始碼。Neopets在他們的Discord伺服器上坦承此事，並著手處理。有人向該新聞網站透露，駭客很可能在先前的資料外洩事故取得網站的原始碼，進而找到漏洞再度行竊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.justice.gov/opa/pr/justice-department-seizes-and-forfeits-approximately-500000-north-korean-ransomware-actors"><span style="color: rgb(0, 0, 0);">美國從勒索軟體Maui追回50萬美元加密貨幣</span></a></strong></h3> <p>遭到勒索軟體攻擊並選擇支付贖金的組織，因為迅速向執法單位通報，而幸運拿回贖金。美國司法部（DOJ）於7月19日指出，他們從使用Maui的勒索軟體駭客組織手上，成功追回50萬美元的贖金，支付贖金的受害組織都是醫療保健機構──其中，位於堪薩斯州的醫院、科羅拉屬州的醫院，分別向該駭客組織支付了10萬及12萬美元的加密貨幣。該單位表示，由於受害的醫院迅速通報，調查人員能取得更為有效的跡證，進而加速破案。</p> <h3><strong style="font-size: 22px;"><a href="https://decoded.avast.io/janvojtesek/the-return-of-candiru-zero-days-in-the-middle-east/"><span style="color: rgb(0, 0, 0);">間諜軟體利用Chrome瀏覽器零時差漏洞攻擊中東用戶</span></a></strong></h3> <p>Chrome的WebRTC記憶體溢位漏洞CVE-2022-2294於7月初得到修補，Google公告此漏洞已被用於攻擊行動，但沒有進一步說明細節。本週防毒業者Avast透露，此漏洞被用於間諜軟體攻擊。</p> <p>研究人員指出，網路間諜公司Candiru打造的間諜軟體DevilsTongue，在今年3月開始利用此漏洞，攻擊黎巴嫩、土耳其、葉門，以及巴基斯坦的用戶。研究人員推測，這起攻擊行動很可能是鎖定當地記者和特定的新聞報導而來。</p> <p>而針對這項漏洞的影響範圍，研究人員也補充說明，當時Candiru只鎖定Windows電腦下手，但這個WebRTC記憶體溢位漏洞與通訊協定有關，其他瀏覽器也可能受到影響。他們將漏洞細節通報蘋果，蘋果在7月20日發布新版Safari予以修補。</p> <p id="G"> </p> <h3><strong>【漏洞與揭露】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bitsight.com/blog/bitsight-discovers-critical-vulnerabilities-widely-used-vehicle-gps-tracker"><span style="color: rgb(0, 0, 0);">車輛GPS追蹤器MiCODUS MV720存在重大漏洞，恐讓駭客進行跟蹤或控制車輛</span></a></strong></h3> <p>GPS追蹤器讓企業能準確掌握車輛的狀態，但這類設備一旦出現漏洞，有可能讓他人進行跟蹤，甚至是遠端中斷車輛動力。資安業者BitSight在MiCODUS MV720車輛追蹤器上發現6個漏洞，當中包含了寫死（Hard-coded）帳密、驗證不當、跨網站指令碼弱點等，其中最嚴重的漏洞是CVE-2022-2107和CVE-2022-2141，CVSS風險評分皆為9.8分，攻擊者可利用前者存取管理伺服器，假冒用戶傳送命令到車輛；後者則是能讓攻擊者不需通過檢查密碼的身分驗證流程，就可以下達命令。</p> <p id="H">由於此裝置用戶遍及169國、部署逾150萬輛車，涵蓋政府機關、軍隊、警方，以及財星50大企業，影響的範圍相當廣，但研究人員自去年9月開始，多次向MiCODUS通報沒有得到回應，今年初找上美國網路安全暨基礎設施安全局（CISA）協助進行溝通，該公司始終沒有提供修補程式，於是，研究人員與CISA決定公布相關細節，並呼籲用戶最好先暫停使用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.zerodayinitiative.com/blog/2022/7/13/cve-2022-30136-microsoft-windows-network-file-system-v4-remote-code-execution-vulnerability"><span style="color: rgb(0, 0, 0);">資安業者呼籲修補NFS漏洞CVE-2022-30136，比Folina漏洞更容易被利用</span></a></strong></h3> <p>在6月份微軟發布的每月例行修補（Patch Tuesday），許多研究人員聚焦在已出現攻擊行動的Follina漏洞（CVE-2022-30190），但最近有資安業者提出警告，有另外一個漏洞攻擊者更加容易利用也相當值得留意。</p> <p>趨勢科技於7月14日提出警告，微軟在上個月修補的Windows網路檔案系統（NFS）漏洞CVE-2022-30136，可讓攻擊者在沒有通過身分驗證的情況下，對於目標伺服器發送惡意的遠端程序呼叫（RPC），進而在SYSTEM的上下文執行任意程式碼，但若是漏洞利用失敗，還是有可能癱瘓該伺服器。此漏洞影響使用NFS第4版協定的Windows電腦，第2版與第3版NFS協定沒有相關風險。</p> <p>研究人員指出，此漏洞較Follina更為容易利用，而有可能被用於癱瘓伺服器，他們呼籲使用者應儘速安裝修補程式來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ndb-mhcvuln-vpsBPJ9y"><span style="color: rgb(0, 0, 0);">思科資料中心網路管理系統存在漏洞，恐讓攻擊者取得root權限執行命令</span></a></strong></h3> <p>思科於7月20日發布資安通告，修補旗下資料中心網路管理系統Nexus Dashboard的3個漏洞，這些漏洞一旦遭到攻擊者利用，就有可能在沒有通過身分驗證的情況下遠端執行任意命令、讀取，上傳容器映像檔，以及發動跨網站偽造請求（CSRF）攻擊。</p> <p>其中最嚴重的漏洞是CVE-2022-20857，CVSS評分為9.8分，起因與部分API存取控制的配置有關，駭客可藉由發送偽造的HTTP請求，來存取特定的API，而能夠在受害裝置上執行任意命令。該公司發布Nexus Dashboard 2.2(1e)修補上述漏洞，並呼籲用戶儘速升級軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/doc/questions-for-confluence-security-advisory-2022-07-20-1142446709.html"><span style="color: rgb(0, 0, 0);">Atlassian修補Confluence寫死帳密的漏洞</span></a></strong></h3> <p>企業協作平臺Confluence傳出內建寫死的帳號密碼，引發用戶高度關注，但有別於一般將帳密直接寫入程式碼的情況，這個漏洞竟是附加元件在部署流程裡，自動建立的系統帳號造成。</p> <p>Atlassian於7月20日，針對Confluence伺服器與資料中心，修補重大漏洞CVE-2022-26138，此漏洞與名為Questions for Confluence附加元件有關，原因在於企業在Confluence伺服器上部署此附加元件後，就會自動建立帳密皆為disabledsystemuser的帳號，此帳號為confluence-users群組成員，駭客很有可能用來入侵此協作系統並發動攻擊。該公司發布Questions for Confluence新版2.7.38、3.0.5來修補漏洞，管理者亦可透過移除此帳號來處理。</p> <h3><strong style="font-size: 22px;"><a href="https://bishopfox.com/blog/netwrix-auditor-advisory"><span style="color: rgb(0, 0, 0);">IT稽核軟體Netwrix Auditor漏洞恐被駭客用於挾持AD網域</span></a></strong></h3> <p>稽核軟體很可能握有高系統權限，而使得此種系統的漏洞引起嚴重的後果。資安業者Bishop Fox發出資安公告指出，他們在IT稽核軟體Netwrix Auditor上找到新的漏洞（尚未取得CVE編號），與不安全的物件反序列化有關，一旦攻擊者加以利用，就有可能在目標伺服器上執行任意命令。</p> <p>研究人員指出，由於Netwrix Auditor對於指令的執行，是使用NT AUTHORITY\SYSTEM的權限，而使得上述漏洞的危害相當嚴重，除了攻擊者可能將Netwrix伺服器完全破壞，還能進一步挾持受害組織的AD網域。研究人員呼籲，組織應儘速更新Netwrix Auditor至10.5版，來避免此漏洞帶來的資安風險。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/software-vendors-start-patching-retbleed-cpu-vulnerabilities"><span style="color: rgb(0, 0, 0);">多家企業級系統軟體著手修補處理器漏洞Retbleed</span></a></strong></h3> <p>上星期<a href="https://www.ithome.com.tw/news/151943#retbleed">研究人員揭露影響Intel與AMD處理器的漏洞Retbleed</a>（CVE-2022-29900、CVE-2022-29901、CVE-2022-28693、CVE-2022-23825），近期有多家企業級系統軟體，著手予以修補。根據資安新聞網站SecurityWeek的報導，虛擬化平臺Citrix Hypervisor、VMware ESXi、Xen都已提供修補程式，Red Hat、SUSE、Ubuntu等Linux作業系統也有相關的資安通報。</p> <h3><strong style="font-size: 22px;"><a href="https://medium.com/@numanturle/microsoft-teams-stored-xss-bypass-csp-8b4a7f5fccbf"><span style="color: rgb(0, 0, 0);">微軟Teams的貼圖功能存在漏洞，恐讓攻擊者用於XSS攻擊</span></a></strong></h3> <p>協作平臺提供的貼圖功能可讓人更容易表達看法，但這樣的功能也有可能出現漏洞，而成為攻擊者利用的目標。研究人員Numan Turle在微軟Teams的貼圖（Sticker）功能裡，發現了能觸發跨網站指令碼（XSS）的漏洞，起因與微軟採用了舊版JavaScript框架元件Angular有關。研究人員使用HTML程式碼製作惡意iframe，然後透過Teams的貼圖功能傳送後，能夠觸發前述的XSS漏洞。微軟於今年1月6日獲報，並在3月完成修補，研究人員在7月13日公布細節。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.sonarsource.com/blitzjs-prototype-pollution/"><span style="color: rgb(0, 0, 0);">JavaScript網頁應用程式框架Blitz.js存在原型污染漏洞</span></a></strong></h3> <p>網頁應用程式框架有助於增加開發的速度，但也可能產生更多攻擊面或是潛在的弱點，而引起研究人員關注。資安業者SonarSource揭露JavaScript網頁應用程式框架Blitz.js的漏洞CVE-2022-23631，此漏洞出現在該框架的遠端程序呼叫（RPC）層中，名為superjson的序列化程式庫，一旦攻擊者加以利用，就有可能在沒有經過身分驗證的情況下，對此網頁應用程式框架進行原型污染（Prototype Pollution）攻擊，操縱採用Blitz.js的應用程式，並藉由建立反向Shell的方式，來在受害伺服器上執行任意命令。</p> <p>研究人員於今年2月7日通報，Blitz.js與superjson於同月10日提供更新版本，研究人員於7月12日公布相關細節。</p> <h3><strong style="font-size: 22px;"><a href="https://thehackernews.com/2022/07/juniper-releases-patches-for-critical.html"><span style="color: rgb(0, 0, 0);">Juniper Networks修補網路管理平臺、軟體定義網路系統的重大漏洞</span></a></strong></h3> <p>資安業者Juniper Networks於7月13至14日，針對旗下多項產品發布修補程式，其中最為嚴重的漏洞是CVE-2021-23017，CVSS風險評分為9.4分，存在於網路管理系統Junos Space、NorthStar Controller所使用的Nginx解析器元件，一旦攻擊者加以利用，就有機會藉由DNS伺服器傳送偽造的UDP封包，來造成1個位元的記憶體覆寫，導致正在執行的處理程序損毀等情況。</p> <p>這次Juniper也針對軟體定義網路解決方案Contrail Networking進行升級，修補一組影響程度達到CVSS評分10分的漏洞，其具體做法是更新此系統所使用的容器映像檔Red Hat Universal Base Image（UBI），從RHEL 7升級至RHEL 8。</p> <p>該公司發布了Junos Space 22.1R1、NorthStar Controller 5.1.0 Service Pack 6與6.2.2，以及Contrail Networking 21.4.0來修補上述漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152011"><span style="color: rgb(0, 0, 0);">群創光電加入FIRST國際資安應變組織，成國內高科技製造業首例</span></a></strong></h3> <p>面板大廠群創光電在6月25日，正式加入國際資安事件緊急應變小組論壇（Forum of Incident Response and Security Team，FIRST），是臺灣第12個加入這個聯盟的單位，值得一提的是，該公司是臺灣首家高科技製造業加入FIRST的成員。事實上，近期國際間也不乏高科技製造業加入的例子，像是艾司摩爾（ASML）在2020年12月加入，AMD在2021年7月加入。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ltn.com.tw/news/politics/paper/1529049"><span style="color: rgb(0, 0, 0);">我國將智慧監控醫院、故宮博物院列為關鍵基礎設施</span></a></strong></h3> <p>根據自由時報的報導，行政院正在界定新的關鍵基礎設施（CI）名單，目前已完成關鍵基礎設施主管機關的自評流程，預計於8月至9月呈報行政院複評，行政院將在10月完成指定。這份名單中，傳出臺電中央電力調度中心，以及核一、核二、核三廠皆被納入，但核四廠因為已經封存且停止運作，將不再列為關鍵基礎設施。</p> <p>而在本次規畫新增的設施裡，包含了24小時智慧監控醫院，以及典藏國家文物的故宮博物院。不過，該報導指出，故宮採用封閉的內部網路，沒有與網際網路連接，相關的資安事宜不必呈報行政院納管。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152073"><span style="color: rgb(0, 0, 0);">微軟Windows 11 22H2將帳號鎖住原則列為預設，提高RDP暴力破解難度</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0722-微軟-defenses-against-human-operated-ransomware.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0722-%E5%BE%AE%E8%BB%9F-defenses-against-human-operated-ransomware.png" style="text-align: center; width: 220px; float: right;" /></a></p> <p>為降低RDP相關暴力破解密碼攻擊，微軟預計下半年新版Windows 11 22H2中，將把帳號鎖住原則（Account Lockout Policy）設為預設啟用，也就是10分鐘內10次登入錯誤即鎖住帳號，提高破解難度，而未來之前的Windows版本也可能實施。<span style="color:#FFFFFF;">㊣</span></p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/sites/default/files/publications/CSRB-Report-on-Log4-July-11-2022_508.pdf"><span style="color: rgb(0, 0, 0);">針對Log4Shell漏洞的態勢美國提出警告，可能影響會長達10年</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://nicst.ey.gov.tw/Page/8770AD7511CB8DC9/e9eb6bb1-2c8d-4e4f-8f95-17b9107bb07f"><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 20px;">我國資通安全處在7月15日發布６月資通安全月報</span></strong></span></a></span></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/fortinet-researchers-discover-vulnerabilities-in-siemens-solutions"><span style="color: rgb(0, 0, 0);">西門子修補PCB印刷電路版電路配置檢視設備的漏洞</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/digium-phones-web-shell/"><span style="color: rgb(0, 0, 0);">Elastix網路電話系統遭到鎖定，被駭客植入Web Shell</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://theprint.in/world/albania-closes-down-online-govt-systems-after-cyber-attack/1043448/"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞遭到網路攻擊，被迫關閉政府線上申辦系統</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.i24news.tv/en/news/israel/defense/1658119439-israel-health-ministry-website-faces-cyberattack-oversea-access-blocked"><span style="color: rgb(0, 0, 0);">以色列衛生局遭伊朗駭客組織Altahrea Team攻擊，起因疑與軍事行動有關</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.lrt.lt/en/news-in-english/19/1739037/lithuanian-ad-website-hit-by-cyberattack-warns-of-possible-customer-data-leak"><span style="color: rgb(0, 0, 0);">立陶宛廣告網站遭受網路攻擊，客戶資料恐外洩</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://inc42.com/buzz/sebi-lodges-fir-in-connection-with-a-cyber-security-incident-involving-its-email-system/"><span style="color: rgb(0, 0, 0);">印度證券交易所坦承遭到網路攻擊，但聲稱這是「小」事故，且沒有資料遺失</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">駭客組織Predatory Sparrow聲稱攻擊伊朗鋼鐵廠，並傳出</span></a></span></strong><strong><span style="font-size: 20px;"><a href="https://www.bbc.com/news/technology-62072480"><span style="color: rgb(0, 0, 0);">引發火災</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://news.sophos.com/en-us/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck/"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat也濫用紅隊測試工具Brute Ratel C4</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.consilium.europa.eu/en/press/press-releases/2022/07/19/declaration-by-the-high-representative-on-behalf-of-the-european-union-on-malicious-cyber-activities-conducted-by-hackers-and-hacker-groups-in-the-context-of-russia-s-aggression-against-ukraine/"><span style="color: rgb(0, 0, 0);">針對俄羅斯頻繁對歐洲國家發動DDoS攻擊，歐盟予以譴責，並呼籲成員國要強化網路韌性</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-starts-blocking-office-macros-by-default-once-again/"><span style="color: rgb(0, 0, 0);">微軟再度啟用Office封鎖機制，停用從網路下載的巨集</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/anatomy-of-attack-truth-behind-the-costa-rica-government-ransomware-5-day-intrusion"><span style="color: rgb(0, 0, 0);">資安業者揭露勒索軟體Conti破壞哥斯大黎加政府的經過</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/above-fold-and-your-inbox-tracing-state-aligned-activity-targeting-journalists"><span style="color: rgb(0, 0, 0);">駭客假冒記者的名義對新聞媒體發動攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/building-materials-giant-knauf-hit-by-black-basta-ransomware-gang/"><span style="color: rgb(0, 0, 0);">建材廠商Knauf遭勒索軟體Black Basta攻擊</span></a></span></strong></strong></p> <p> </p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.providencejournal.com/story/news/local/2022/07/16/ri-sewer-system-narragansett-bay-commission-hit-cyber-attack/10076978002/"><span style="color: rgb(0, 0, 0);">美國羅州下水道系統營運業者遭到勒索軟體攻擊</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/joker-facestealer-and-coper-banking-malwares-google-play-store"><span style="color: rgb(0, 0, 0);">資安業者Zscaler揭露安卓銀行木馬Joker、Facestealer、Coper透過Google Play市集散布</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/07/accusoft-vuln-spotlight-.html"><span style="color: rgb(0, 0, 0);">圖片處理工具ImageGear存在漏洞，恐被用於執行程式碼</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://hitcon.org/2022/"><span style="color: rgb(0, 0, 0);">臺灣駭客年會HITCON Peace 2022將於8月19日舉行</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-qakbot-spread-by-phishing-emails"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過HTML檔案散布，並透過處理程序空心化執行來規避偵測</span></a></span></strong></strong></p> <p><strong><strong><span style="font-size: 20px;"><a href="https://www.ic3.gov/Media/News/2022/220718.pdf"><span style="color: rgb(0, 0, 0);">美國再度警告加密貨幣投資者遭到鎖定，駭客佯稱提供錢包應用程式來騙錢</span></a></span></strong></strong></p> <p class="rtecenter"><strong><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152082"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-7-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></strong></p> </div></div></div>
2022/7/23 11:08作者羅正漢https://www.ithome.com.tw/news/152082
【官方剖析：衛福部資訊處處長龐一鳴】衛福部揭露電子病歷上雲未來配套，建議醫院上雲前先做3件事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在這個時代，不開放電子病歷上雲，智慧醫療就很難實現！」衛福部資訊處處長龐一鳴點出電子病歷上雲，不只加速遠距醫療，還可以帶來更多的效益和影響。</p> <p>他解釋，病歷屬高機敏性資料，也是醫學發展的核心資料，早年受醫療法、醫師法以及後來個資法規定，病歷只能存放於醫院內部，即使後來電子化、電子病歷推行了十餘年，依然沿襲這個傳統。</p> <p>但是，近幾年新技術崛起，許多國家吹起智慧醫療風，運用雲端技術、大數據分析和AI，發展出各種醫療應用。龐一鳴認為，個人健康資訊屬電子病歷範疇，開放上雲，醫院可用雲端運算、雲端儲存和雲端服務，來創造更核心的醫療AI應用，有助於推動智慧醫療。</p> <p>甚至，不少智慧醫療設備，採用國外設備，如MRI、達文西手術、ICU病房監控系統等，開放電子病歷上雲，就可以改用遠端維護模式來提高效率，也有助於智慧醫療的發展。</p> <p>不只智慧醫療，電子病歷上雲還有第三個目的，對許多臺灣基層診所、小醫院而言，向來缺乏IT人力，多購買套裝軟體自設伺服器，但近年健保或防疫政策要求，得配合修改IT系統，委外修改成本很高，也有資安風險，改用醫療SaaS服務模式，也有助於強化基層醫療的資安和整體效益。</p> <p>特別是，符合歐盟GDPR或美國醫療資料保護法案HIPAA的業者，能提供更嚴格的醫療資料保護，對人力不足的小型醫療院所來說，有助於強化資安體質。龐一鳴強調：「政府要做的，就是監管雲端業者和代管業者。」</p> <p><span style="font-size:28px;"><strong>明定11項委外契約重點，將公布合格雲端業者白名單來強化監管</strong></span></p> <p>過去中小醫院委外最常見的困擾是，出事後的責任歸屬不清。雖然醫療機構電子病歷製作及管理辦法屬於醫療法架構，該法為行政法，雖可約束醫療院所，但無法管轄接受委託的資訊業者。但是，龐一鳴表示，衛福部在這次新版辦法中，更進一步規範了醫療院所與資訊業者的契約簽訂原則，責任歸屬將以醫療院所與業者簽訂的契約而定，他期望以兩者間的民法契約精神，讓醫院可以透過合約關係來要求資訊業者。</p> <p>比如，該辦法第七條，要求醫院與受託業者須簽訂書面契約，並明訂11項原則，像是委託事項範圍、受託機構的權利義務、落實個資保護和資安防護措施（如傳輸加密機制、安全事故處理機制等）等，來劃定受託的資訊業者工作範圍與責任。</p> <p>第八條修正條文中，也規範了醫院用雲或受託機構採用雲端服務時須遵守的事項，像是要採取風險管控措施、具備避免醫療業務中斷的措施，還要監督雲端服務業者（自行監督或委託第三方輔助監督），最後，醫院還要備妥一套資料移轉機制，遇到雲端服務中斷或終止時，能將資料轉回醫院或改放到其他雲端服務上。新辦法更明確要求，除特殊情形外，電子病歷所用雲端服務的資料儲存地點必須位於臺灣境內。</p> <p>不過，另一方面，新版辦法提供了衛福部把關雲端服務業者品質的法源，要提供給醫院使用的雲端服務業者，得先通過中央主管機關認可才行，包括通過資安標準的驗證。</p> <p>龐一鳴更透露，衛福部未來將公布合格雲端業者白名單，供醫療院所選擇。「將開放業者申請，只要符合資格、具備國際認證，如ISO 27001，就會列入白名單，」他強調，未來衛福部還會視情況調整監理強度，比如進一步納入國際醫療資料交換標準FHIR互通認證、歐盟個資保護法GDPR等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E9%BE%90%E4%B8%80%E9%B3%B4-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>衛福部資訊處處長龐一鳴指出，開放電子病歷上雲不只是為醫療AI解套，也能強化中小型醫療院所資安體質。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>醫院上雲建議：先盤點資料、理解雲端服務模式</strong></span></p> <p>在法規鬆綁和官方力推之下，電子病歷開放上雲後，醫院有機會產出更多智慧醫療應用。但這些智慧醫療應用往往涉及大量數據，因此，龐一鳴建議，上雲前，醫院可以先做好3件事。</p> <p>首先，醫院可以設立獨立的資料長或數據長（CDO）角色，來統管全院資料治理。而且，「不只是病歷資料，」龐一鳴強調，就連監視器資料、員工資料等也要盤點，釐清資料量、資料形式、資料來源和存放處、資料可用性，以及這些資料分別得遵循哪些法規。</p> <p>他強調，醫療屬高度專業產業，一家醫院聚集了許多高專業度的科別，各自每日產出大量多元的數據，供其所需。但對整家醫院來說，要發展大數據應用，就得有個獨立的資料長，將這些四處散落的資料統整，盤點資料屬性後，才有助於規畫後續應用。</p> <p>完成資料盤點後，接下來，上雲前的第二件事是了解不同雲端服務模式的特性，不只SaaS、PaaS、IaaS或其他類型的雲端服務，都得有一番認識，醫院才能根據自身需求尋找合適服務。</p> <p>最後一件事是，醫院得深入了解雲端業者，評估不同業者的服務模式可靠性、相關認證，依照新版辦法條文的注意事項來衡量業者能力，得涵蓋第三條管理機制的項目，包括標準作業、權限管控、緊急應變、系統安全、傳輸加密、安全事故處理等機制，才決定是否簽約。</p> <p><span style="font-size:28px;"><strong>衛福部角色將從EEC維運者轉為標準維護者</strong></span></p> <p>新版辦法還有條條文，允許公私立機構設置電子病歷交換平臺，來增加交換便利性。但龐一鳴認為，交換病歷更重要的一步是要有共通標準，才能更容易實現以病人為中心的照護。</p> <p>這也是他力推衛福部角色轉換的原因。去年，他公開表示，衛福部資訊處維運電子病歷交換中心EEC長年來，只公布4張電子病歷交換表單，「醫療院所在實際交換的情境下，使用率非常低。」他分析，原因之一是原有的交換標準CDA難以執行，「既然國際HL7已發展至FHIR，國內CDA架構是否也該改為FHIR？」他希望將EEC升級為FHIR交換中心。</p> <p>電子病歷是醫院和多個政府單位最常交換的資料，這些政府單位包括EEC、健保署、國健署、疾管署、地方衛生所等。但，這些單位的系統彼此不互通，醫療機構得針對不同單位，採用不同交換標準，並配合不同網路工具來執行交換作業。甚至，健保署還會針對不同專案，開設專屬API搭配VPN讓醫療院所傳輸資料之用。醫院要對接的客製化API越多，維護複雜度越高，也會帶來越高的資安風險。</p> <p>因此，龐一鳴認為，要是能先將EEC交換平臺改為FHIR交換平臺，採用主流的國際醫療資料交換標準HL7 FHIR，就能簡化交換流程，不必一對一客製化介接，也能簡化醫院需使用的網路工具，減少資安破口出現。</p> <p>他希望推動衛福部帶頭使用FHIR，並將衛福部角色，從過去的EEC維運者，轉換為標準維護者，來維護電子病歷交換標準，並制定不同電子病歷使用情境的交換規格與各類情境表單。同時，衛福部也要擔任情境的協調者，協助解決醫療機構間的資料交換問題。</p> <p>龐一鳴期望，除了EEC和健保VPN，醫院之間也能發展更多電子病歷交換平臺，呼應到新版辦法的第18條。甚至，未來若採用FHIR架構，各醫療機構只需決定交換情境即可，可使用自有平臺或衛福部提供的公用交換平臺，來提供更便利的醫療服務。</p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:23作者王若樸https://www.ithome.com.tw/news/152056
17年來最大修法，電子病歷新法四大重點帶來根本性變革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，衛福部因應疫情開放了居家隔離、檢疫者適用遠距醫療之後，打開了遠距醫療的大門。統計到今年6月，超過1萬2千家診所和427家醫院實施，全臺一個月的視訊診療次數超過3百萬次。</p> <p>雖然，遠距醫療成了後疫情時代看病最重要也是民眾高度依賴的手段，但是，臺灣仍然沒有一家醫院，可以獨自做到從預約、看診、繳費到領藥都全程遠距進行，民眾得切換不同系統、平臺，甚至不少醫院只能線下繳費或找人代領藥。</p> <p>衛福部常務次長石崇良最近在一場活動中坦言，遠距醫療各環節的接續性仍有改善空間。</p> <p>實現遠距醫療第一道關卡正是電子病歷實施17年來的最大限制，直到今年7月18日才解開束縛。</p> <p>臺灣早在2005年就實施了電子病歷製作及管理辦法，希望醫療院所將紙本病歷電子化。但是，這個電子病歷辦法只能適用醫療院所，而在個資法上路後，將電子病歷視為不可利用的特種個資，只有法規允許或在特定情況下才能使用的資料類型。這就導致非醫療院所要利用電子病歷的門檻很高而窒礙難行。</p> <p>去年受到疫情衝擊、遠距醫療需求大增，作為醫療看診體系中重要基礎設施的電子病歷，面臨調整的需求。</p> <p>衛福部自去年以來就不斷透露，要開放醫療機構使用雲端服務，來處理電子病歷資料。去年12月8日，衛福部進一步預告電子病歷上雲草案，除要讓醫院能使用雲端服務處理電子病歷，也要讓醫院能更徹底無紙化。</p> <p>該草案預告至今年2月，後來經過近半年討論，新版辦法終於在7月18日公告，正式實施。</p> <p>修正後的新版電子病歷辦法，不只打破了電子病歷難以走出醫療院所的限制，更打通醫院全面無紙化的最後一哩，甚至帶來了醫院IT全新維運模式的可能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E8%A6%96%E8%A8%8A%E8%A8%BA%E7%99%82%E6%95%B8%E9%87%8F-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20%E7%9F%B3%E5%B4%87%E8%89%AF(2).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 視訊診療數量 </span></span><br /> <span style="color: rgb(105, 105, 105);">根據衛福部統計，全臺一個月的視訊診療次數超過3百萬次。但從預約、看診、繳費到領藥的流程仍無法全程線上完成。電子病歷難以在第三方平臺上利用是遠距醫療服務的一大困難。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／石崇良</span></span></p> <p><span style="font-size:28px;"><strong>新版電子病歷辦法有4大修法重點</strong></span></p> <p>石崇良曾歸納出新版辦法涵蓋了四大重點，包括了資料安全、雲端服務、資料管理和資料應用。</p> <p>第一項修法重點是資料安全，明定了更完整的資安管理機制的要求，不只是對病歷管理和系統設計有更多安全要求，還涵蓋了軟體開發與維運、到緊急應變、安全事故處理，甚至還包括了發生資料外洩的後續通知與通報等（第3～5條），幾乎涵蓋了資料生命周期的資安考量。</p> <p>甚至，在該新版辦法第七條中，要求醫院與受託業者須簽訂書面契約，來進一步要求委外廠商的資安作為。衛福部列出了11項委外契約必須涵蓋的重點，像是委託事項範圍、受託機構的權利義務、落實個資保護和資安防護措施，例如傳輸加密機制、安全事故處理機制等等。簽訂契約也等於律定了醫院與委外業者之間的權責關係，讓醫院可以透過合約來要求業者落實該做的資安措施。</p> <p>第二項重點是開放電子病歷系統可以委託使用雲端服務。這對醫院IT現代化是重要的一步法規鬆綁，不只是大型醫院可以善用雲端的擴充彈性和可用性，對中小醫院來說，也可以減少自行維護伺服器或機房的人力負擔，也有助於催生醫療SaaS服務模式的發展。</p> <p>不過，衛福部也在新法中也訂出了醫院上雲時要落實的多項要求，例如要採取適當風控措施、建立預防醫療業務中斷的措施，也就監督雲端服務業者，或是在雲端服務終止使用時能將資料移轉回醫院或其他朵雲上。另外，新法更特別要求，電子病歷系統的資料儲存地點必須位於境內。</p> <p>衛福部資訊處處長龐一鳴透露，衛福部未來將公布合格雲端業者白名單，供醫療院所選擇，甚至，會視情況調整監理強度，比如進一步納入國際醫療資料交換標準FHIR互通認證、歐盟個資保護法GDPR等。</p> <p>而在第三重點則在資料管理面的修法上，新版辦法擴大了醫院紙本文件數位化的範圍，不只限於病歷，還包括了其他需要和病歷共同保存的文件，其他法規要求的書面同意書，或是電子病歷實施以前的紙本病歷，現在通通都可以數位化，不再需要保存紙本。</p> <p>尤其，臺灣病歷資訊管理學會理事長暨臺大醫院病歷資訊管理室主任莊秋華直言，醫療法規定，醫院必須保存病人最後一次就醫7年內的資料，而人體試驗病例更要永久保存，這都讓醫院手上得保存大量紙本資料，光是臺大醫院就有高達300萬冊的紙本病歷，在新法上路後，現在終於可以數位化了。</p> <p>石崇良點出第四項修法重點是資料應用面的變革，新辦法第19條，允許公私立機構建置電子病歷交換平臺。只要是衛福部審查認可的企業或機構，就可以建置電子病歷交換平臺，來進行跨機構的電子病歷資料交換。</p> <p>不過，為了確保病人能決定自身病歷資料的利用或交換，新法仍要求必須經過病人同意才行，只有特殊情況，例如，病人情況危急又無法即時取得同意書時。</p> <p><span style="font-size:28px;"><strong>從集中式交換模式轉為多中心分散架構</strong></span></p> <p>這一步修法，對現行電子病歷交換體制而言，是另一項顛覆性的重大改變，打破了過去以衛福部維護的電子病歷交換中心（EEC）為主的集中式交換模式，改為多中心分散式的交換架構。</p> <p>也正因日後將會出現不少電子病歷交換平臺，如何讓這些平臺可以互通，成了日後電子病歷運用的一大挑戰。</p> <p>龐一鳴表示，未來將推動衛福部帶頭使用FHIR，並將衛福部角色，從過去的EEC維運者，轉換為標準維護者，來維護電子病歷交換標準，並制定不同電子病歷使用情境的交換規格與各類情境表單。衛福部也要擔任情境的協調者，來協助解決醫療機構間的資料交換問題。新版電子病歷辦法的實施，不只帶來了醫院全面無紙化和上雲架構的根本性變革，更有助於更多遠距醫療服務、雲端醫療資訊模式的誕生。</p> <p><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/152064" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></strong></a> <a href="https://www.ithome.com.tw/article/152064" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></span></p> </div></div></div>
2022/7/22 18:23作者王宏仁https://www.ithome.com.tw/news/152054
【醫院第一線觀點：臺灣病歷資訊管理學會理事長莊秋華】電子病歷新法出爐解決醫院實務痛點，無紙化條文可解放百萬冊紙本病歷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「非常感謝衛福部，這次醫療機構電子病歷製作及管理辦法修正法案，非常貼近醫院實務！」臺灣病歷資訊管理學會理事長暨臺大醫院病歷資訊管理室主任莊秋華一句話，道出新版電子病歷辦法對醫療院所的影響。</p> <p>因為該辦法，讓臺大醫院實施電子病歷以前既有的300萬冊紙本病歷得以電子化，醫事人員因突發事故無法在24小時內以醫事人員憑證簽章時，也有暫時可行的替代方案了。</p> <p><span style="font-size:28px;"><strong>全面無紙化打破限制，醫院百萬冊紙本病歷可銷毀</strong></span></p> <p>莊秋華指出，早在2018年，衛福部就開始蒐集各家醫院對電子病歷的實作意見，也邀集臺灣病歷資訊管理學會與醫院代表來討論改善方向，相關意見就呈現在這次修訂條文中。</p> <p>其中，她認為，對醫院實務影響深遠的一項解套是第20條修正條文，允許醫院將同意書及相關文件電子化。</p> <p>「依醫療法規範，醫院需要保存病人最後一次就醫7年的整本病歷，人體試驗病歷更是要永久保存。」莊秋華解釋，這些過去產生的紙本紀錄，在未達法定銷毀年限前都得保存紙本形式，「這是相當驚人的數量！」像臺大醫院這樣規模的醫學中心，在實施電子病歷以前，所累積的紙本病歷，高達300萬冊！不只臺大，龐大的紙本病歷對其他大型醫院也都是沈重的負擔。</p> <p>但在這次新版辦法的第20條中，允許醫院可將原本需要書面簽署的同意書或電子病歷，改為電子檔、以電子簽章封存，還能將原本院內儲存的紙本同意書和紙本病歷，轉錄為電子檔，確認無誤、以電子簽章封存，向地方主管機關報備後，就可銷毀紙本文件，來實現全面無紙化。</p> <p>在莊秋華眼中，無紙化是這次修正法案相當大的突破，對各家醫院來說，有著正面影響。</p> <p><span style="font-size:28px;"><strong>醫事人員因故無法在24小時內簽章，可先用醫事機構憑證代替</strong></span></p> <p>另一個對醫院實務作業有重大影響的解套，則是修正條文第11條，允許醫事人員因故、無法在24小時內以醫事人員憑證進行電子病歷簽章時，可先以醫事機構憑證代替，之後補簽即可。</p> <p>這是因為，醫事人員可能因卡片毀損、遺失，或其他緊急突發事件，又可能是因醫療業務忙碌，難免會忘記攜帶醫事人員卡，無法在規定時間內完成簽章，需要其他替代的解決方案。</p> <p>也因此，在法規面，第11條先是說明，醫療機構製作電子病歷時，應於24小時內完成電子簽章，但文末補充，要是醫事人員因突發事故，像是卡片遺失、毀損或忘記攜帶醫事人員卡，無法於24小時內完成簽章時，醫療機構可以醫事機構憑證簽章代替。不過，醫事人員仍須於事後補簽。</p> <p><span style="font-size:28px;"><strong>醫院上雲還得留意管理機制，以及下雲成本</strong></span></p> <p>這兩大規範鬆綁，對醫院有著實務上的深遠影響。除此之外，在這次修正辦法中，莊秋華也點出幾項醫院需要注意的關鍵條文，其一就是開放電子病歷上雲的管理規範。</p> <p>「開放電子病歷上雲，會催生更成熟的雲端系統，應用也會越來越多，」她認為，新辦法為因應未來趨勢，對電子病歷系統也會有相對應的管理機制。欲採用雲端系統的醫院，該更留意相關的條文，尤其是新辦法要求需有適當風險管控措施、避免醫療業務中斷的機制，還得負起雲端服務業者的監督責任，甚至要建制所用雲端服務終止後的資料移轉機制等要求。</p> <p>她特別補充，上雲和下雲的成本都不低，醫院得謹慎考量。</p> <p><span style="font-size:28px;"><strong>委外建置電子病歷系統，應搭配更嚴謹的檢查辦法</strong></span></p> <p>另一個值得留意的條文是第3條，醫院委外建置電子病歷系統時，得簽訂書面契約，訂定符合法規規範的11項內容外，也得監督委外廠商。但只有大方向還不夠，莊秋華認為，得有一套細緻的檢查基準與操作型定義，才能把關系統品質。</p> <p>她舉例，2009年衛福部開始推動電子病歷時，對實施電子病歷的醫療機構進行實地訪查，並分為管理組、軟體組和硬體組等3組委員，來分別審查醫院是否符合實施條件。</p> <p>審查內容是依據8項條文展開，共有26項次檢查項目、62項次檢查基準，由專業團隊逐一審查、確認符合資安標準或具相關機制後，才能開始實施電子病歷給予互通補助的經費。</p> <p>回顧新版辦法第3條，雖規範醫療機構將電子病歷系統委外建置和管理時，應簽訂書面委託契約，載明委託事項範圍、受託機構之權利義務等事項，以免發生爭議。</p> <p>但她建議，在雲端電子病歷系統的監理部分，可發展出一套如當初推動「加速醫療院所實施電子病歷系統計畫」及「電子病歷互通應用補助計畫」時的檢查辦法，讓醫院及廠商可以遵循，兼顧民眾及醫療機構電子病歷的方便性和安全性。</p> <p><span style="font-size:28px;"><strong>未來將催生HIS雲端新模式、新機會和新挑戰</strong></span></p> <p>這次法規更新，也帶給醫院和產業不少機會。</p> <p>像是，醫院可藉雲端運算、雲端儲存和雲端服務來改善原有醫療服務，也能為後續的AI導入與資料整合立下基礎。而對資源不足的診所或地區醫院等中小型醫院來說，廠商提供的雲端服務，可望加速這些醫院的資訊化、自動化和無紙化，也可能降低技術建置成本和維護成本。甚至，莊秋華認為，未來可能發展出HIS雲端廠商角色的新模式。</p> <p>不過，現有醫資廠商多以技術背景為主，對醫療臨床流程和需求經驗不足，雖然目前已有少數資訊廠商與醫院的合作案例，但她認為，尚不能滿足醫療端需求。這對推動電子病歷上雲，就會是一大挑戰。尤其，各家醫院醫療流程仍有差異，連臺大醫院體系的總院和分院也有差異，醫院仍偏愛客製化系統，這也是雲端HIS服務的課題。</p> <p><span style="font-size:28px;"><strong>醫院盤點需求痛點外，還要考量流程與預算</strong></span></p> <p>不過，既有機會，就有挑戰。莊秋華從醫院使用者角度點出，醫院首先得思考，將電子病歷上雲，對第一線醫師及醫事人員的醫療服務、教學研究可產生哪些助益，以及能為病人服務產生多少價值，衡量後再決定如何採用新技術，而非為上雲而上雲。</p> <p>此外，由於各家醫院醫療流程有所差異，難以一套系統一體適用，因此客製化系統對醫院來說，是較好用的選擇。但這也帶出經驗無法複製的問題，且開發和維運成本也會增加，業者得找到利基點，才能讓醫院買單。</p> <p>面對這些機會與挑戰，她建議，醫院首先得盤點自身需求和痛點，了解哪些系統和工作環節急需改善，可用何種技術處理，再盤點現有資源、人力以及合理的預算規畫，進一步思考要自行建置或委外開發，同時考量這些解決方案對臨床流程的影響與因應措施。</p> <p>這些流程改善的討論，得與臨床醫師和醫事人員實際溝通操作步驟、介面使用，不斷磨合才能打造出符合使用者需求的系統，即便是滑鼠少點一次都可節省時間。</p> <p>她總結，導入雲端系統還是得回歸到兩個關鍵問題，要解決什麼問題，以及要花多少經費。前者，不外乎與系統主要利害關係人溝通、進行需求訪談。而經費上，醫院則得衡量自家系統屬性，使用標準化系統來降低成本，或是願意付出較高的開發及維運成本，來取得客製化又更好用的系統。「這是各家醫院需要抉擇、評估的問題，」她說。</p> <p><span style="font-size:28px;"><strong>下一步：學會將提供相關教育訓練和輔導</strong></span></p> <p>新版辦法出爐後，對一路參與修改討論的臺灣病歷資訊及管理學會來說，下一步會是什麼？</p> <p>莊秋華解釋，臺灣病歷資訊管理學會擁有3,000名成員，每位都是負責各醫院病歷資訊管理制度和病歷資料管理的關鍵人物，因此，在新版辦法上路後，學會將負責教育訓練和輔導工作。</p> <p>比如，提供病歷掃描作業標準化和稽核、電子病歷系統受託機構的系統檢查基準，甚至，要發展出雲端病歷管理的實作方法，並制定電子病歷管理程序和機制，這些都是學會未來要積極推動的作業。</p> <p>她也期待，衛福部推出更多相關配套措施，來協助醫院、診所強化電子病歷的應用與安全。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">｜醫界建議｜</span></span> <span style="color:#3399ff;">中央帶頭建置示範性交換平臺，來統一交換標準 </span></strong></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>這次修法開放了公私立機構可以自建電子病歷交換平臺，不過，電子病歷資訊管理學會理事長莊秋華提醒，過去，醫院遠距醫療和視訊診療時，只是逐次授權取得病歷的小規模資料交換，但是建置交換平臺是更大規模和自動化的資料交換機制，莊秋華認為，病歷紀錄屬於特種個資，醫院得謹慎考量。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>所以，她建議衛福部，先從疾管署、健保署與國健署著手建置電子病歷交換平臺。</strong></span></span></p> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>這些機關與全臺醫院，都有例行性且相當頻繁的資料傳輸需求。比如在疫情期間，醫院得上傳PCR檢測資料與疫苗施打情況給疾管署，「衛福部可以先建置一套標準統一的交換平臺來試行。」</strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a><span style="font-size: 20px;"> </span><a href="https://www.ithome.com.tw/article/152064" style="font-size: 20px;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1087-feng_mian_gu_shi_-1-open-ruo_pu_-960x420_kao_bei_.jpg?itok=aePEfIqO" style="width: 550px;" /></a></p> </div></div></div>
2022/7/22 18:25作者王若樸https://www.ithome.com.tw/news/152057