iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

伊朗正式以加密貨幣支付進口商品，規避美國制裁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗工業、礦業和貿易部副部長<a href="https://twitter.com/peymanpak_ir/status/1556927239907835904" target="_blank">Alireza Peyman-Pak本周透過Twitter宣布</a>，該國已完成第一個以加密貨幣付款的進口訂單，而且在今年9月底以前，將會與更多的國家以加密貨幣進行國際貿易。</p> <p>Peyman-Pak僅說首筆加密貨幣交易訂單的價值為1,000萬美元，並未公布商品內容、往來國家，或是以何種加密貨幣付費。</p> <p>美國是在1979年以伊朗發展核武並支持恐怖組織為由對該國展開制裁，自此伊朗就被隔絕在由美元主導的全球金融體系之外，也讓伊朗對於加密貨幣的政策相對寬鬆，並藉由加密貨幣來規避美國的制裁。</p> <p>該國自2017年就開始擁抱加密貨幣，於2020年10月進一步修法以讓加密貨幣可用來支付進口商品，去年6月伊朗政府還頒發了30張加密貨幣挖礦證照，只是所挖到的加密貨幣必須出售給伊朗的中央銀行，此外，近來伊朗也正在研擬央行數位貨幣的可行性。</p> </div></div></div>
2022/8/11 15:03作者陳曉莉https://www.ithome.com.tw/news/152438
OpenAI改進並免費提供AI內容過濾工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/new-and-improved-content-moderation-tooling/">OpenAI</a>引入高效且精確的審查端點，使得開發人員得以保護他們的應用不被濫用，該端點提供OpenAI API開發者一個基於GPT技術的分類器，偵測不受歡迎的內容，以AI系統協助人類監督AI產生的內容，目前開發者已經可以免費使用該AI內容過濾工具。</p> <p>把文本作為出入，審查端點便會評估其中是否包含性、仇恨、暴力和宣揚自殘內容，官方提到，該端點經過訓練，可以快速準確地在應用程式中執行，而且重要的是，該工具能夠在大規模部署時，減少應用程式說錯話的機會，使得人工智慧能夠在教育等敏感場景中使用。</p> <p>開發者不需要建構和維護自己的分類器，只要透過呼叫單一API，就能存取精確的分類器。OpenAI現在提供該審核端點，免費審核所有OpenAI API所生成的內容，另外，用戶也可以選擇付費，使用審查端點來監控非OpenAI API所產生的內容，目前這項服務仍在私人測試中。</p> </div></div></div>
2022/8/11 15:11作者李建興https://www.ithome.com.tw/news/152436
數發部揭露2署6司職責，年底將成立國家資安研究院、強化政府資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部候任政務次長兼發言人李懷仁今（8月11日）<a href="https://www.youtube.com/watch?v=8YfBz6IodwA&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">揭露</a>數發部籌備重點，包括旗下6司2署職責，如數位策略司負責推動國家數位發展政策、資安署要推動國家資安防護演練，他也預告，數發部將於今年底前成立國家資安研究院，要搭配數位政府司和資安署，來定期檢核政府資安韌性。在人才聘用上，數發部將以人才經驗為原則，並提高約聘比例達50%，亦即首批所需的600人中，最高可約聘300人。</p> <p><span style="font-size:22px;"><strong>揭露6司2署職責，年底前要成立國家資通安全研究院、加強政府資安韌性</strong></span></p> <p>數發部英文簡稱MODA，「就像是臺灣數位發展的馬達，」李懷仁首先點出，數發部的宗旨是要連結公民和技術，來提升產業與安全發展。而數發部的職責是，推動國家數位政策的創新和變革，未來政策重點將涵蓋電信、資訊、資安、網路和傳播等5大領域，來統籌國家基礎建設、環境整備和資源運用等業務。</p> <p>在組織架構部分，數發部旗下有6司2署，其中，數位策略司負責推動國家數位發展政策、統籌協調來規畫施政計畫與資源，韌性建設司則是要強化通傳網路韌性，並維持數位應用的順暢。再來，資源管理司專責分配、管理數位通傳資源，來確保資源使用符合公共利益。另一方面，數位政府司要加強政府數位應用，來提高施政效能，而民主網絡司則要積極參與國際數位民主網絡，提高臺灣對國際的貢獻。最後，多元創新司的職責，是要發展資料運用，來打造資料創新應用生態。</p> <p>除了6司，數發部旗下還有數位產業署和資通安全署，前者是要推動數位科技應用政策、數位經濟產業發展政策，後者則是規畫國家資安政策、計畫核議與督導考核，另外也要進行國家資安防護演練、基礎設施防護等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20132837.png" /></p> <p>李懷仁透露，數發部還有2大職責，也就是監督國家資通安全研究院這個行政法人，以及主管3大財團法人，包括資策會、電信技術中心、臺灣網路資訊中心。</p> <p>將接任數發部部長的行政院數位政委唐鳳特別補充，數發部預計今年底成立國家資通安全研究院，將搭配數位政府司與資安署，將針對政府機關，進行例行巡檢，不再只是單純的資安稽核。「就像危老建築重建，不要等別人來攻擊，我們自己看到韌性可加強的部分，就來補強，」她說。</p> <p>在人才聘用上，李懷仁指出，因組織法放寬人才聘用方式，因此招人原則以經驗為主，並提高約聘比例，可達50%。也就是說，數發部2023年的預算員額為600人，其中300人可為約聘人員。未來，數發部將分2處辦公，部本部將落腳原NCC北區監理處，中繼辦公室則進駐新光辦公大樓部分樓層。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202022-08-11%20133351.png" /></p> </div></div></div>
2022/8/11 13:36作者王若樸https://www.ithome.com.tw/news/152433
微軟開源逾1,500種3D表情符號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/microsoft-design/designing-in-the-open-source-5c62be73a599" target="_blank">微軟本周表示</a>，已透過圖形編輯平臺<a href="https://www.figma.com/community/file/1138254942249677742" target="_blank">Figma</a>與<a href="https://github.com/microsoft/fluentui-emoji" target="_blank">GitHub</a>開源1,538個3D表情符號。</p> <p><a href="https://medium.com/microsoft-design/emotionality-at-work-398182387adc" target="_blank">微軟是在2021年7月宣布</a>要大幅翻修Microsoft 365中的逾1,800個表情符號，新版本將以3D取代2D，而且會替大多數的表情符號設計動畫，並將新版表情符號稱為Fluent Emojis。<a href="https://techcommunity.microsoft.com/t5/microsoft-teams-public-preview/now-in-public-preview-fluent-emojis/m-p/3163841" target="_blank">Fluent Emojis在今年2月邁入了公開預覽</a>，但只支援Teams。</p> <p>雖然微軟開源了絕大多數的3D表情符號，但仍保留了熱門的小幫手迴紋針（Clippy），也缺少了遊戲，原因是涉及商標問題。</p> <p>微軟認為，表情符號已隨著疫情的發展而進一步成為人們遠距交流時期的關鍵溝通工具，它可克服語言障礙，傳遞細微的差異或幽默感，也能讓回應不那麼刺耳，堪稱是數位舞臺上的主角。</p> <p>開源Fluent Emojis將允許使用者隨意混合、改造及使用這些表情符號，且共同創作將能使事物變得偉大。微軟指出，一年多以來的開發已讓Fluent Emojis可用在任何需要的格式中，如同隱藏式字幕有不同的語言一樣，表情符號也應能以SVG、PNG及JPG格式存在，並有向量、平面或黑白的版本，以讓它們更加靈活。</p> </div></div></div>
2022/8/11 13:43作者陳曉莉https://www.ithome.com.tw/news/152435
Google要求蘋果採用RCS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google多年來推動以RCS（Rich Communication Service）取代簡訊，Google最近大動作指出，都是因為蘋果，讓使用者處於無法順暢互通，並停留在簡陋的純文簡訊時代。</p> <p>RCS為新式GSM標準，旨在取代過去的純文字簡訊，能顯示聯絡人線上狀態，傳送包含圖片、影片、URL的訊息，也能執行影像通訊、聊天室、互動、使用表情符號、位置分享、檔案分享等功能，完全不用跳離訊息App。</p> <p>Google力推RCS服務，也有相當成果，包括<a href="https://www.ithome.com.tw/news/125888" target="_blank">2018年和三星合作</a>，確保Android Messages和Samsung Message傳訊服務可以互通，包括在Wi-Fi網路上通話或傳送多媒體訊息、看見對方正在輸入、或是讀取回條。<a href="https://www.ithome.com.tw/news/145778" target="_blank">去年Verizon加入AT&T 與T-Mobile行列</a>，在手機內建由Google打造的Messages，使三家電信業者用戶可以RCS應用程式互相通訊。</p> <p>然而蘋果iMessage始終不願加入。iPhone上以iMessage傳訊息時，如果對方也是iPhone用戶，訊息泡泡會呈現藍色，否則就是綠色。這會造成年輕用戶感到被標示為綠色泡泡會遭到排擠，因而從Android手機換成iPhone。</p> <p>Google在一個<a href="https://www.android.com/get-the-message/" target="_blank">「Help @Apple #GetTheMessage」</a>的行銷活動網頁上，呼籲現在是蘋果修補通訊問題的時候了。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/ED4es0-j8M4" title="YouTube video player" width="560px"></iframe></div> <p>該網頁指出，問題不在訊息泡泡的顏色不同，更大的問題在於影片模糊、群組聊天中斷、讀取回條或是打字顯示狀態遺失、無法在Wi-Fi網路傳文字訊息等。而這些問題之所以無法解決，都是因為蘋果拒絕採用現代簡訊標準，造成iPhone及Android手機用戶傳訊時的困難。</p> <p>Google表示蘋果讓iPhone及Android手機用戶傳訊時轉成SMS及MMS，分別是1990年代及2000年初的過時技術。Google說，蘋果採用RCS可以解決問題，不影響iPhone和iPhone用戶的對話，又能使所有人的通訊經驗變得更好。</p> <p>除了iMessage，Meta的 WhatsApp、Facebook Messenger、Line等通訊程式也都不支援RCS。</p> <p>不過這個各自為政的局面可能很快會改變。<a href="https://www.ithome.com.tw/news/150100" target="_blank">歐盟3月通過《數位市場法》（Digital Markets Act，DMA）</a>，將強迫大型傳訊服務與小型傳訊平臺互動，代表未來使用不同傳訊服務的使用者，都可以彼此傳遞訊息或分享檔案。</p> </div></div></div>
2022/8/11 11:34作者林妍溱https://www.ithome.com.tw/news/152430
Disney發表月租費7.99美元的含廣告Disney+服務，無廣告從7.99漲到10.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://thewaltdisneycompany.com/the-walt-disney-company-reports-third-quarter-and-nine-months-earnings-for-fiscal-2022/" target="_blank">迪士尼公司（The Walt Disney Company，Disney）本周公布</a>截至今年7月2日的2022財年第三季財報，<a href="https://thewaltdisneycompany.com/ad-supported-disney-subscription-tier-to-launch-in-the-u-s-on-december-8/" target="_blank">同一天也宣布</a>在美國推出內含廣告的Disney+ 影片串流服務，月租費為7.99美元，並把無廣告的入門訂閱方案月租費，從7.99美元調漲到10.99美元，新價格將於今年12月8日上線。</p> <p>迪士尼該季創下215億美元的營收，比去年同期成長26%，每股盈餘為0.77美元。在迪士尼的營收中，來自於影片服務的占了141億美元，迪士尼樂園與周邊商品的收入則是74億美元。</p> <p>而迪士尼也提供了多種內容的訂閱服務，目前Disney+ 的訂閱用戶數為9,360萬，印度子公司推出的Disney+ Hotstar有5,840萬的訂閱用戶，ESPN+的訂閱用戶數為2,280萬，Hulu為4,620萬，所有服務的總訂閱用戶數達2.21億，比Netflix今年第二季所公布的數字略多了33萬。</p> <p>另一方面，迪士尼也在本周發表了由廣告支撐的Disney+服務，過去Disney+都是無廣告的付費訂閱服務，最低門檻為每月7.99美元，不過，新的Disney+含廣告服務月租費就要7.99美元，因此將無廣告訂閱方案的月租價格調高至10.99美元，新方案將於今年的12月8日上線。</p> <p>至於Hulu原本就有廣告及無廣告訂閱版，但迪士尼也趁此將Hulu的含廣告訂閱方案的月租費從6.99美元調高到7.99美元，而無廣告訂閱方案的月租費則是從12.99美元調高到14.99美元。</p> <p>目前Netflix的三種付費訂閱方案分別是基本方案的9.99美元、標準方案的15.49美元，以及高級方案的19.99美元，Netflix亦打算推出由廣告支撐的付費訂閱方案，預計於明年上線，但尚未公布價格。</p> </div></div></div>
2022/8/11 12:05作者陳曉莉https://www.ithome.com.tw/news/152431
丹麥7-Eleven證實遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven周三（8/10）證實，本周一導致門市關閉的網路攻擊事件為勒索軟體。</p> <p><a href="https://www.ithome.com.tw/news/152374" target="_blank">本周一丹麥7-Eleven公告遭到網路攻擊</a>，導致結帳系統無法運作，迫使其在釐清災害範圍前關閉全國門市。<a href="https://www.bleepstatic.com/images/news/security/7-eleven-updated-statement.jpg" target="_blank">昨日7-Eleven透過臉書表示</a>，這是一樁勒索軟體攻擊。在經過報警後，7-Eleven已經配合當地警方調查此事，該公司表示之後不會再獲得調查細節、攻擊範圍或結果。</p> <p>7-Eleven表示持續和股東說明，但目前沒有跡象顯示有客戶、合作夥伴或供應商受到攻擊影響。</p> <p>7-Eleven在丹麥是由當地一家零售商以品牌授權方式經營，目前全國有175家門市。7-Eleven表示，截至周三中午，已經有110家店恢復營業。</p> <p>不過到目前為止還沒有任何組織宣稱犯下攻擊丹麥7-Eleven一事。</p> </div></div></div>
2022/8/11 10:20作者林妍溱https://www.ithome.com.tw/news/152427
微軟傳裁撤一消費市場業務部門，影響約200人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/microsoft-layoffs-modern-life-experiences-mileiq-2022-8" target="_blank">Business Insider報導</a>，微軟悄悄裁撤一個旨在「贏回消費者」的業務部門，名為「消費生活體驗（Modern Life Experience，MLX）」部門。</p> <p>「消費生活體驗」是微軟2018年成立的部門，宗旨是將消費產品送到需要它們的顧客手上，像是協助家庭學習、以有趣而安全方式從事網路探索及相互連繫。這個部門約有200名員工。</p> <p>微軟要求該部門員工在60天內找到願意接收他／她的部門，否則就得走人。</p> <p>MLX負責的軟體包括Excel中可用於記錄消費紀錄的Money、計算里程的Mile IQ及提供家人聯繫及上網安全的Family Safety。<a href="https://www.zdnet.com/home-and-office/microsoft-adjusts-its-consumer-strategy-priorities-yet-again/" target="_blank">ZDnet報導</a>，這可能顯示微軟的消費業務策略又將調整：Mile IQ是收購自Mobile Data Labs，但微軟2021年又將公司賣回給了創辦人，而Money才上路不到2年，<a href="https://www.ithome.com.tw/news/151278" target="_blank">微軟2個月前宣布</a>將於2023年中止。但Family Safety可能會持續。</p> <p>微軟官方尚未對此回應。</p> <p>本消息也呼應了上個月微軟裁員的傳言。<a href="https://www.ithome.com.tw/news/151917" target="_blank">7月彭博（Bloomberg）報導</a>，微軟啟動「事業群及職位角色的調整」中，裁減部分人力，占全公司18萬人的不到1%。微軟方面證實此事，但微軟也說未來幾個月仍計畫擴增人力。</p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">6月微軟頭戴裝置HoloLens也傳出一分為二</a>，軟、硬體開發團隊分別併入Windows裝置及Teams部門。HoloLens 原推動消費者導向及娛樂應用，但從第二代起就逐漸轉變成商務應用，包括發展醫療手術、製造維修、教學等。</p> <p>但微軟還有許多面向消費者的產品，包括Surface筆電、Xbox 360，還有Home版Windows，以及家用版Teams或Outlook、Microsoft 365 等。</p> </div></div></div>
2022/8/11 10:33作者林妍溱https://www.ithome.com.tw/news/152428
美司法部傳即將控告Google壟斷數位廣告市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google等科技巨擘再面臨行政壓力。<a href="https://www.bloomberg.com/news/articles/2022-08-09/doj-poised-to-sue-google-over-ad-market-as-soon-as-september" target="_blank">彭博報導</a>，美國司法部正在進行最後準備作業，最快在9月間對Google提出壟斷數位廣告市場的控告官司。</p> <p>報導引述三名消息人士報導，司法部正在對線上出版商發出問卷，以確定官司的所需資料，最快下個月提出。</p> <p>這也是美國政府繼2020年底以來，對Google數位廣告進行的另一樁壟斷控告。<a href="https://www.ithome.com.tw/news/140636" target="_blank">2020年，司法部和佛州、德州等10州聯合控告Google</a>以不法手法維持其在美國搜尋服務、搜尋廣告及一般搜尋文字廣告市場上壟斷地位的行為。當時Google否認此事，本官司還在進行中，預定下個月會有一場公聽會。</p> <p>近兩年歐美行政系統對科技龍頭業者壓力更甚。<a href="https://www.ithome.com.tw/news/143363" target="_blank">去年路透社報導</a>，Google計畫封鎖第三方cookies的作法引發美國司法部注意、不排除介入調查。7月歐盟通過《數位市場法》以規範蘋果、Google及Meta等大型科技公司在電子商務及應用程式可能造成壟斷、排擠小型業者的行為。此外美國參議院也在類似目的下計畫推動《美國線上創新與選擇法案》（American Innovation and Choice Online Act）的立法。</p> <p>美司法部拒絕評論。<a href="https://www.cnet.com/news/politics/doj-will-sue-google-over-ad-tech-business-in-september-report-says/" target="_blank">Google則回應指出</a>，Google廣告科技協助網站和應用程式獲得資金，並幫助小型業者連結全球客戶。Google表示，線上廣告的競爭激烈，也讓線上廣告科技變得更便宜，出版商和廣告主可獲得更多選擇。</p> <p>而為了消除司法部的疑慮，<a href="https://www.ithome.com.tw/news/151876" target="_blank">《華爾街日報》7月報導</a>，Google準備拆分廣告業務來避免可能的反托拉斯訴訟。</p> </div></div></div>
2022/8/11 10:52作者林妍溱https://www.ithome.com.tw/news/152429
【中介法產業面衝擊分析】新增多達20項法定義務，違者單次最高罰千萬元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位中介服務法（後簡稱中介法）草案參考歐盟DSA的做法，以數位中介服務提供者為規範的對象，依據草案的定義，數位中介服務指，以有線、無線、衛星或其他電子傳輸設施傳送數位格式的聲音、影像、文字、數據或其他訊息提供之通訊傳播中介服務。</p> <p>草案將數位中介服務分為連線服務、快速存取、資訊儲存服務3大類業者，其中的資訊儲存再分為線上平臺與指定線上平臺2類業者。連線服務指通過通訊網路傳輸使用者的資訊，提供通訊網路接取服務者或人際通訊服務；快速存取服務指為提升資訊傳遞給其他使用者的效率，減輕網際網路負擔，自動、中介及暫時儲存使用者資訊的服務。</p> <p>資訊儲存服務則是應使用者要求，儲存使用者提供資訊的服務。線上平臺業者為資訊儲存服務的一種分類，將所儲存的使用者資訊傳達給公眾的特定型態資訊儲存服務。</p> <p>值得注意的是，中介法參考歐盟數位服務法DSA的超大型業者定義，將線上平臺業者裡，超過一定規模的大型線上平臺業者，畫為指定線上平臺業者，依據中介法草案第32條，線上平臺服務業者在國內有效使用者數量達230萬人者，由主管機關公告為指定線上平臺業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_41_43.jpg" style="width: 600px; height: 424px;" /></p> <p><strong>數位中介服務法草案，將中介服務類型分為連線服務、快速存取服務、資訊儲存服務3大類，以及線上平臺服務、指定線上平臺服務2小類，各類型業者應遵守的法定義務。（圖片來源：NCC）</strong></p> <p>值得注的是，網路上有各種的服務，中介法並非要管所有的服務，主要是以在臺灣設有商業據點，或是雖然沒有在臺設商業據點，但在國內有顯著的使用者數量，或以我國為主要商業活動市場。另外，所謂的線上平臺服務不只是網站，也包括軟體及行動裝置應用程式。</p> <p>另外，中介法規範的是服務行為，而非業者。如一家業者旗下有多項服務，這些服務依照商業模式不同，在中介法裡可能被視為連線服務、資訊儲存服務或是線上平臺服務，需遵守不同的法定義務。</p> <p>今年6月底NCC公布數位中介服務法草案，曾對外公開簡報資料，其中列舉各類型服務示例供外界參考，其中連線業者及快速存取服務業者，因兩者界線模糊，當時列舉的規範示例，包括中華電信光世代、凱擘大寬頻、亞太電信、速博、台灣固網。</p> <p>而在資訊儲存服務部分，當時曾列舉VMware與紅帽，線上平臺服務則有Meta、Yahoo!拍賣、Dcard、YouTube。指定線上平臺因國內有效使用者數量達230萬人的標準、如何認定，未來需由NCC公告。</p> <p>值得注意的是，在今年8月的首場公聽會更新簡報資料，因VMware、紅帽的商業模式存在爭議，NCC尚在釐清是否適用中介法草案，故已將舊簡報中的舉例資料拿掉。</p> <p><strong><span style="color:#B22222;">Line、Google、AWS也可能被管</span></strong></p> <p>未來中介法上路，受影響的業者可能不只上述幾家業者，從中介法的草案說明來看，連線服務業者定義參考DSA的規範，將人際通訊服務放進連線服務裡，因此Whatsapp、Line等即時通訊服務也是連線服務。Line在臺灣因為擁有2,100萬用戶，幾乎人人使用，有相當高的普及率，除了屬於連線服務，因為Line在臺灣也提供其他多元服務，可能涉及資訊儲存服務，未來中介法如果上路，Line的類型還需個案認定。</p> <p>至於資訊儲存服務的定義是，應使用者要求，儲存使用者所提供資訊的服務，NCC補充說明，資訊除了文字、影像、圖片，還包括檔案、軟體、程式碼等形式，因此資訊儲存服務可能涵蓋Google Drive、Microsoft OneDrive、Dropbox等雲端儲存，以及AWS、Google Cloud、Azure等公有雲業者，以及IG、App Store、Google Play、GitHub等等。</p> <p>若以歐盟DSA規範的Hosting業者（對照臺灣中介法的資訊儲存服務），DSA將Hosting細分幾類服務，包括網站代管（Web Hosting）、線上媒體分享平臺（Online Media Sharing Platforms，分享影片、影像、音樂、部落格及新聞訊息，包括YouTube、Vimeo、Medium、Wordpress等），檔案儲存及分享（File storage and sharing，檔案類型包括影片、影像、文件、軟體，例如Dropbox、box.com等）、IaaS及PaaS（雲端服務包括AWS、Google Cloud、Microsoft Azure）。不過，臺灣的中介法目前沒有納入搜尋引擎，這是目前與歐盟DSA規範的不同處之一。</p> <p>至於電子商務，依據B2C或C2C交易型態不同，可能被認定為買、賣雙方交易資訊的中介平臺，因此而被列為受規範的線上平臺業者，例如Yahoo!拍賣、蝦皮拍賣等等，但是電商業者自行販賣商品，就不算是中介平臺業者，由於現今電商業者的服務模式較為複雜，具體屬於哪一類業者，可能還是需個案去認定。</p> <p><span style="color:#B22222;"><strong>中介業者負擔8項基本義務</strong></span></p> <p>依據不同服務類型的定義，需遵守相對應的法定義務。以一般數位中介服務為例，有8項基本的法定義務：資訊揭露、指定代理人、公告服務使用條款、透明度報告、資料調取、資訊限制令、緊急資訊限制令、登載義務。未來中介法上路，增加業者的法遵成本，否則違反8項義務，主管機關依法可罰5萬元以上、50萬元以下罰鍰，限期要求改善，未改善者得按次處罰。</p> <p>8項基本義務中的指定代理人義務，要求境外業者指定境內代表人，另一項義務公告服務使用條款，要求清楚公告內容自律的政策、程序、工具及措施。</p> <p>至於透明度報告，要求業者以清楚易懂方式，每年公布透明度報告，內容需包含配合政府資料調取、收到政府通知處理、內容自律、異議處理等數據，中介法考量規模較小的業者影響力較小，系統風險較小、法遵成本較高，可免除透明度報告義務，但草案裡並沒有說明規模多小能免除透明度報告義務，根據NCC補充說明，主要參考經濟部「中小企業認定標準」的小規模企業，即經常僱用員工數未滿五人的事業，以此為標準，不少業者都需遵守透明度報告這項義務。</p> <p>資料調取、資訊限制、緊急資訊限制三項義務與政府權力有關，要求中介業者需配合行政機關，調取特定用戶儲存的資訊，或是依照法院核發資訊限制令、或依行政處分，對平臺被認定非法或不實的訊息內容予以移除、限制接取，或是加註警示語。最後一項登載義務則要求中介業者將法院判決、政府處分、資訊限制告知登載於共同資料庫。</p> <p>至於資訊儲存業者的法定義務，除了8項中介業者基本義務外，還需遵守2項義務：通知及回應、資訊限制告知。前者指的是業者應提供易於使用的電子通知機制，讓任何人可針對特定涉及違法的內容向業者提出通知，後者則是當業者移除或限制接取特定內容後，應告知該使用者。資訊儲存業者違反兩項義務，可處罰10萬以上、100萬元以下罰鍰，限期改善，可按次處罰。</p> <p><span style="color:#B22222;"><strong>指定線上平臺業者法定義務最多，罰鍰最高1千萬元</strong></span></p> <p>線上平臺業者除了數位中介、資訊儲存業者的義務，需額外盡到7項義務，包含內部異議機制、訴外爭議解決機制、認證舉報者、服務與機制之濫用防護、賣方資訊揭露，還有加重透明度報告，需增加營業規模類型、申訴處理、暫停服務等數據，還有線上廣告揭露，要求線上平臺業者標示廣告、廣告主、決定廣告投放的參數資訊。違反可罰50萬元以上、500萬元以下罰鍰，同樣可按次處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202022-08-10%20%E4%B8%8B%E5%8D%889_54_10.jpg" style="width: 600px; height: 428px;" /></p> <p><strong>中介法草案規定，線上平臺服務業者需遵守加重透明度報告、賣方資訊揭露、認證舉報者等7項義務。（圖片來源：NCC）</strong></p> <p>至於有效使用者達到230萬人以上有效使用者數量的指定線上平臺，因影響力更大，除了線上平臺業者義務，還有4項額外義務：風險管理、風險評估、獨立稽核、推薦系統。</p> <p>其中的風險管理要求指定線上平臺業者需對系統性風險做好管理措施，風險評估則要求每年分析及評估重大的系統性風險，例如違法內容散布、用戶基本權利的負面影響等等。獨立稽核則是依照主管機關要求，委託獨立的機構或團體針對特定事項進行稽核作業，並交主管機關備查。另外，有鑑於大型平臺的推薦系統直接影響使用者所看到的內容訊息，因此也要求業者在其服務使用條款記載推薦系統所使用參數，可供使用者調整或影響使用者主要參數之選項。4項義務違反者最高可罰1,000萬元，且可按次處罰。</p> <p>如果中介業者經處罰後，未改善且情節嚴重者，主管機關NCC或各法規的主管機關的最後手段，可要求連線服務業者、電信事業、公眾網路拒絕提供該中介業者所需電信或通訊傳遞服務。</p> <p>另據NCC說明，因網際網路服務多元且變化快速，不會主動搜索網路上所有服務是否遵守中介法草案的義務，但當業者未配合法院資訊限制令或行政機關行政處分，以及違反義務導致民眾權益受損時，NCC會就違反義務部分開罰。</p> <p><span style="color:#B22222;"><strong>提供安全港免責規定</strong></span></p> <p>除了義務之外，草案也提供業者的免責規定，即所謂安全港條款，規定業者符合哪些情況下，能夠免除民事或刑事上的責任。</p> <p>以連線服務業者為例，由使用者傳送資訊，業者沒有篩選特定的接收者，且依賴自動化技術處理資訊、沒有修改或調整資訊，連線業者可免除民事或刑事責任。</p> <p>資訊儲存服務業者如果不知道平臺的違法內容，也無法察覺該內容明顯違法，或是在收到舉報或通知後，立即移除或限制接取涉及違法的資訊，也不需負民事或刑事責任。</p> <p>為了鼓勵業者自願性對平臺的內容進行調查、辨識、移除等自律行為，中介法在安全港條款中設計，即使業者自律行為下仍有疏漏的違法內容，也不會喪失安全港的免責效果。</p> </div></div></div>
2022/8/11 08:06作者蘇文彬https://www.ithome.com.tw/news/152422
【專家看中介法：元智大學資管系教授周韻采】中介法賦權政府處理違法內容，應限縮裁量幅度避免濫權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>此次數位中介服務法草案，未來通過立院三讀，將授予政府公權力，針對平臺上的非法或不當內容，向法院聲請資訊限制令，並在限制令尚未取得前，先以行政處分要求業者對該訊息加註警語，待法院同意核發限制令，再要求平臺配合拿下非法內容或限制接取。</p> <p>元智大學資訊管理系教授周韻采認為，中介法對資訊限制令的授權範圍和行使模式太過廣泛，以加註警語為例，如果警語充滿警告的意味，例如警告傳播或散布該內容可能觸犯法律坐牢，則可能產生寒蟬效應，因此應該明確說明加註警語的內容形式。</p> <p><strong><span style="color:#B22222;">增加政府權力的同時，也要避免政府濫權</span></strong></p> <p>「中介法表面上符合行政程序，實際上容許很大的行政裁量權」，周韻采說。</p> <p>以資訊限制令為例，程序上需向法院聲請，經過法院審查後，決定發出或是駁回限制令，周韻采認為，最後政府機關可能只是按照程序聲請限制令，真正目的是以行政處分，立即要求平臺業者配合加註警語，如警告意味濃厚，迫使使用者不敢推播，就有濫用公權力，打壓言論自由的疑慮。另外，加註警語時間最長為30天，警語告示時間可能太長，例如對選舉期間的不實謠言訊息標註警語長達1個月，選舉可能已結束。</p> <p>如果最後法院經過一番嚴密審查後，認為政府機關聲請限制令的說明理由不夠充分，而裁定駁回限制令聲請，那麼對該則訊息內容事先加註警語的做法，就會損害用戶言論自由，周韻采建議中介法草案可納入國家賠償概念，降低主管機關恣意認定、濫用權力的行為。</p> <p>此外，當主管機關認為某個內容違法，若不立即移除或是限制接取，恐對公共利益造成重大損害，限制違法內容有急迫性的需要，主管機關可向法院聲請緊急資訊限制令，相較於一般資訊限制令需經過正常審查程序，法院需在48小時內核發緊急資訊限制令。</p> <p>由於縮短法院正常審理程序，加上對平臺內容產生更立即的影響性，如果政府恣意聲請緊急資訊限制令，淪為鉗制言論的工具。周韻采建議，可對其定出非常嚴苛的條件，例如國家遭受恐怖分子攻擊、地震或天然災害等重大事件才能向法院聲請，且超過30天自動撤銷，否則容易導致政府濫權。</p> <p>另外，有鑑於過去機關申請針對特定對象的監聽令，卻發生擴大監聽其他對象的濫權情形，政府依中介法，依法院裁判或行政處分要求業者提供特定用戶的資料也應避免類似的問題。她建議提高政府資料調取門檻，符合某些條件如影響重大公共利益，或是基於犯罪偵查需要，並且在法律明確定義資料索取範圍，以避免政府過度索取資料，侵害民眾言論自由及隱私。</p> <p><span style="color:#B22222;"><strong>對使用者權益保障不足</strong></span></p> <p>儘管NCC立法主要目的是，保護平臺使用者的權益，但周韻采認為：「臺灣數位中介服務法對使用者的保護，還不夠」。</p> <p>在數位時代，使用各種網路服務都會留下足跡，業者蒐集、串連這些數位足跡，根據演算法，向個人推送精準廣告，可能侵犯使用者隱私，例如民眾可能剛在Airbnb搜尋某城市的旅宿資訊，不久便在臉書看到相關廣告資訊。她建議，為保障隱私，可採納歐盟DSA中對廣告行為的相關規範，如暗黑模式（dark pattern）、開放消費者對精準廣告推送的選擇性。</p> <p>目前國內中介法只要求業者透明度報告、使用者條款opt-in（選擇同意）的通知，她認為，這些還不夠，應該如歐盟一樣要求大型平臺業者提供消費者選擇調整演算法推播的選項，尤其是opt-out（選擇退出）運用個人特徵的選項，歐盟甚至明確規定，業者不得以個人特徵對13歲以下的青少年推播廣告，但在臺灣則少有這方面的討論。</p> <p>另外，大型網路平臺上經常看到具爭議或不實的廣告，在未經當事人許可下，擅自以知名人物為廣告內容背書，且廣告內容涉及有爭議性的投資理財，企圖利用名人的影響力來進行宣傳。周韻采認為，中介法內沒有特別區分出廣告，「應將廣告視為平臺內容的一部分，根據安全港的概念，當平臺業者發現內容不實的廣告，也需下架，才有免責的可能。」</p> <p><span style="color:#B22222;"><strong>專責機構可由公會代替</strong></span></p> <p>至於政府將以25億元成立法人性質的專責機構，作為政府各機關與中介平臺業者間的溝通單位。</p> <p>周韻采認為，中介法既已將違法內容認定交由15個主管機關負責，專責機構只剩下一項法定義務，即傳達主管機關裁定的通知，功能較為薄弱，可改為建立公開資料庫，讓平臺業者查詢即可。她觀察過去政府機關運作，鮮少有法人機構面對多個部會，各部會似乎更願意交由自己所信任的法人機構處理。「以大筆預算成立專責機構，不免讓外界對專責機構的合理性有疑慮。」</p> <p>專責機構的部分功能和產業的公會角色相近，例如銀行公會、律師、醫師公會等，這些公會扮演產業和政府溝通的角色，並非由政府成立，因此她建議專責機構可由成立公會取代，由法律規定，所有平臺業者必需加入公會，以法律明定公會的權限，公會也能發揮產業自律，邀多方利害關係人加入形成自律規範。</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152424
【專家看中介法：資策會科法所經理鄭嘉逸】中介法參考歐盟定人口10%納管標準，本地業者恐負擔跨國大企業的法遵成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院在2017年曾提出數位通訊傳播服務法草案，但最後未通過立院三讀，草案最終廢止，去年底NCC捲土重來，參考歐盟DSA提出新版數位通訊傳播服務法架構，後來改名為數位中介服務法草案，6月底公告草案內容，長期觀察歐盟立法的資策會科技法律研究所經理鄭嘉逸指出，過去的數位通訊傳播服務法為現在中介法草案的前半段，安全港條款部分，此次中介法草案針對不同類型業者提出法定義務，例如對數位中介者提出透明度報告等基本義務，對線上平臺業者也要求建立內部異議機制、信賴舉報者等，也新增對於指定線上平臺的特別義務。</p> <p>鄭嘉逸認為，制定中介法的好處是帶來一套法遵標準，不會因為多個主管部門、不同的流程而提高法遵成本，單一法案提供一套標準流程，增加確定性，降低法遵成本。以Google、臉書、Twitter等大型數位平臺為例，在各國提供服務，通常有較強的法遵意識，如果新法沒有太大問題，提供業者法遵指引，在有法可遵下願意協助政府防堵違法訊息或內容。</p> <p><span style="color:#B22222;"><strong>本地業者法遵負擔可能過重</strong></span></p> <p>不過，鄭嘉逸認為國內制定的中介法草案可能對本地業者帶來不小的衝擊，尤其是中介法對指定線上平臺的230萬認定標準部分，可能使得本地線上平臺業者負擔過重的義務，除了負擔一般數位中介業者的8項義務，還有資訊儲存、線上平臺，以及指定線上平臺業者的特殊義務，包含系統性風險管理、評估、獨立稽核、演算法等等。</p> <p>中介法的指定線上平臺230萬有效用戶認定標準，為採考歐盟DSA對超大型平臺業者的判斷標準，DSA以歐盟地區4.5億總人口的10分之1以上，將在歐盟地區擁有4,500萬以上用戶定義為超大型平臺業者，臺灣也採用人口的10分之1作為認定標準，即230萬以上有效用戶數為，由主管機關公告為指定線上平臺業者。</p> <p>但鄭嘉逸認為，總人口10分之1的標準在歐盟施行沒有問題，但是將跨國聯盟層級的法規認定標準直接植入臺灣，相關義務的制定應該要很小心，臺灣人口的10分之1，即230萬以上有效用戶數，可能使許多本地業者成為指定線上平臺業者，承擔相當於跨國聯盟經濟體4,500萬以上用戶的超大型平臺業者法定義務，合理與否值得思考。</p> <p>如Google、臉書這些超大平臺業者，他們在歐盟地區可能有4,500萬以上用戶，放到全球市場則有上億或更多用戶，對跨國業者要求系統性風險管理、評估、推薦系統演算法等義務是合理的，反觀臺灣擁有230萬以上用戶的本地企業，放到國際可能還是230萬，或是稍大一點到300至400萬用戶，本地業者在臺灣可能不小，但在國際市場來看非常小，以國際級業者負擔的義務，同樣要求本地業者遵守，負擔可能太沈重。</p> <p>「並非本地業者就不需承擔義務，而是應該去評估他們能夠做到多少，以國外聯盟層級的法案認定標準，要求國內的本地業者屢行相同義務，將付出相當多的法遵成本」，鄭嘉逸說。</p> <p><span style="color:#B22222;"><strong>透明度報告義務可能過重</strong></span></p> <p>另一個值得思考的是，中介服務法規定的基本義務之一透明度報告，可能對業者而言負擔過重。</p> <p>鄭嘉逸以歐盟為例，法規排除小型業者，規定50人以下或資產總額在1,000萬歐元以下，免除透明度報告的義務，德國的網路執行法也規定，社交網路平臺或視訊內容分享平臺，在德國境內註冊人數達200萬以上，每半年需發布透明度報告。</p> <p>國內中介法草案第16條對透明度報告的規定，指一定規模以上的業者負擔透明度報告，但在草案裡沒有說明一定規模是多少，未來還要看NCC提出執行細則公布認定標準。但鄭嘉逸推測，依指定線上平臺業者判斷標準為230萬來看，透明度報告的一定規模以上應低於230萬，推測可能是50或100萬，「這個標準可能是不合理的」。如果以流量作為判斷標準，他相信不少國內業者可能都符合標準，將被要求每年公開透明度報告，對業者而言，增加額外的法遵成本。</p> <p><span style="color:#B22222;"><strong>政府可要求平臺配合處理違法內容，擴權不等於濫權</strong></span></p> <p>另外，中介法除了增加平臺業者的透明度、問責之外，也增加政府的權力，包括向法院聲請資訊限制令，以要求業者移除內容或限制接取，在法院核發限制令之前，主管機關可要求業者暫時加註警示。</p> <p>鄭嘉逸認為中介法雖增加政府公權力執行手段，但也設計避免政府濫權的機制，例如中介法規定主管機關需經過法院審查同意，才能取得資訊限制令。</p> <p>另一個避免政府濫權的是，政府機關向法院審查通過資訊限制令之前，如認為內容為謠言或不實訊息，違反法律強制或禁止規定，可以行政處分要求對該訊息內容加註警示，由於要辨別訊息是否為謠言或假消息不易，因此中介法草案規定行政機關加註警示之前，宜徵詢第三方認可的民間事實查核組織的意見。</p> <p>為了降低外界對政府機關濫權的疑慮，恣意限制訊息內容，鄭嘉逸建議在加註警示在執行上，可以搭配一些機制，例如在加註警示附上政府的說明連結，說明該訊息為違法或假新聞的理由。如果政府解釋限制的說明過於恣意，長期以來會失去人民的信任，政府加註警示的公信力降低。</p> <p>鄭嘉逸認為，如果政府太過恣意限制內容，失去民眾的信賴，對政府也不是件好事。如同曾擔任NCC委員的世新大學廣電系兼任副教授何吉森日前在立法院公聽會所說，數位中介服務法本身就是一個信任機制，「政府本身也要行的正、坐的直，否則長期而言，民眾就會知道政府控制言論，警示也不會受到民眾的信任」。</p> <p><span style="color:#B22222;"><strong>立法對外溝通不夠充分</strong></span></p> <p>儘管政府提出數位中介服務法草案的立意良好，但他認為沒有充分考慮到治理本地平臺業者，是否有足夠的能量承擔這些義務，其次，也沒有考慮到從歐盟或先進國家將整套法律制度搬到臺灣，政府本身有沒有執行法律的能量，如果缺乏執行的能量，制定這個法就是不可行的，只是加重業者的負擔，沒有任何效果。當初立法規畫時應該考慮到各個面向，經過評估確認都能執行再推出法案。</p> <p>他認為中介法草案在制度面上沒有問題，但在規畫法案時，缺乏對執行面的充分評估，應該重新審慎評估法案的執行性。</p> <p>臺灣制定中介法的另一個問題是，歐盟制定DSA，過去有相當長的的立法發展過程，從2000年電子商務指令開始，建立相關的安全港條款概念，到2011年檢討電子商務指令的合適性，到2017、2018年開始對網路平臺出現大量不實虛假訊息，與數位平臺業者制定自律公約，到後來制定DSA，這是一個20年的發展過程。但臺灣直接跳過歐盟20年的發展，一步到位趕上趨勢，一步到位制定新法案對產業帶來相當大的衝擊，因為過去臺灣在這方面沒有任何法律規範，產業或使用者都沒有心理準備，一下子提出草案，難免引起大家質疑，過去都沒有相關規範，為什麼現在要做規範。</p> <p>面對外界的質疑，他建議NCC應該更仔細說明，例如其他國家如歐盟或美國是怎麼做的，臺灣引進相同的做法是否合理可行，和外界充分溝通制定這部法案的必要性。以歐盟DSA為例，歐盟在2019年12月公布DSA初稿，到今年才要通過立法，花費2年半的時間投入法案諮詢、與外界溝通協商，整個立法過程相當長，但臺灣立法過程相當短，只短短幾個月時間完成立法，就要和業者談影響衝擊，「政府和產業的溝通、產業對新法的理解根本是不足的」，這也是為什麼草案一推出，引發外界擔心限制言論自由，因為政府對外的溝通不夠充分。文⊙蘇文彬</p> </div></div></div>
2022/8/11 08:10作者蘇文彬https://www.ithome.com.tw/news/152426
【資安日報】2022年8月10日，微軟發布8月例行修補、中國駭客以後門程式PortDoor、CotSam攻擊東歐組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在昨天發布了本月份的每月例行修補（Patch Tuesday），當中總共列出121個漏洞，而這些漏洞裡最受到矚目的是名為DogWalk的漏洞CVE-2022-34713，微軟指出駭客已將其用於攻擊行動，美國亦要求公部門限期修補。</p> <p>中國駭客在烏克蘭戰爭中，多次對於俄羅斯或是烏克蘭發動網路攻擊，而最近有研究人員指出，中國駭客TA428在戰爭爆發之前，就在這些國家進行網路間諜行動，並在受害電腦部署PortDoor、CotSam等多個後門程式與惡意軟體。</p> <p>駭客針對員工寄送網釣簡訊的攻擊行動也值得留意。繼雲端通訊服務業者Twilio公告因上述攻擊而遭到駭客入侵後，雲端服務業者Cloudflare也表示有近80個員工收到這類簡訊，且有人上當填寫相關資料，所幸因防護措施得宜，駭客並未得逞。Cloudflare將相關發現公布，希望其他企業也能提高警覺。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://ics-cert.kaspersky.com/publications/reports/2022/08/08/targeted-attack-on-industrial-enterprises-and-public-institutions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客TA428使用後門程式PortDoor、CotSam等多個惡意軟體，攻擊東歐組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image003(4).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image003(4).png" style="width: 300px; float: right;" /></a>卡巴斯基自今年1月，發現中國駭客組織TA428攻擊亞洲與東歐組織的攻擊行動，目標是白俄羅斯、俄羅斯、烏克蘭、阿富汗等國的工廠、設計公司、研究機構、政府機關等，進行網路間諜行動。這些駭客利用Office漏洞CVE-2017-11882，來散布後門程式PortDoor，後續該組織又植入一系列的惡意軟體。其中最引起研究人員注意的，是過往未曾發現的後門程式CotSam。</p> <p>比較特別的是，駭客為了讓CotSam能正常運作，同時也將舊版Word主程式下載到受害電腦。後續在受害組織進行橫向移動後，駭客掌控了網域權限並竊得機密文件，並使用以密碼保護的ZIP檔案打包，傳送到多個國家的C2伺服器外洩。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/likely-iranian-threat-actor-conducts-politically-motivated-disruptive-activity-against?1"><span style="color: rgb(0, 0, 0);">阿爾巴尼亞政府疑遭到伊朗駭客的勒索軟體攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IranianRansomwareTargetsAlbania1.jpg" style="width: 300px; float: right;" /></a>阿爾巴尼亞政府於7月中旬因網路攻擊，被迫關閉部分網路服務。根據資安業者Mandiant的調查，駭客使用勒索軟體Roadsweep、後門程式Chimneysweep發動攻擊，並使用名為HomeLand Justice的Telegram頻道進行溝通。研究人員指出，雖然這些駭客企圖營造自己是不滿政府的阿爾巴尼亞人的假象，但根據他們的分析，駭客的身分應該是伊朗的恐怖組織聖戰者（MEK）。</p> <p>此起攻擊行動很可能與伊朗自由會議有關，此會議原定在7月23日至24日於阿爾巴尼亞舉行，且會有反對伊朗政府的組織參與，阿爾巴尼亞政府以遭到恐怖組織攻擊的威脅為由，在22日緊急宣布延期。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cloudflare.com/2022-07-sms-phishing-attacks/"><span style="color: rgb(0, 0, 0);">繼Twilio因員工遭到網釣簡訊攻擊而遭駭，Cloudflare員工也收到攻擊簡訊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image3-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-5.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/152388#twilio">雲端通訊平臺業者Twilio於8月7日公告遭到網路攻擊</a>，並指出駭客是藉由向員工寄送網釣簡訊挾持帳密，要其他公司提高警覺，事隔兩天，有另一家公司揭露他們遭遇的攻擊情況。</p> <p>雲端服務業者Cloudflare指出，他們約有76名員工自7月20日收到上述的網釣簡訊，且部分員工的家人也遭到攻擊，簡訊內容包含了假造的Cloudflare的Okta登入網頁，但駭客的網域在這些人收簡訊的40分鐘前才註冊。根據該公司的資安團隊調查，確認有3名員工上當，在釣魚網頁輸入相關資料。然而Cloudflare員工都使用實體的FIDO2金鑰裝置進行多因素驗證，使得對方無法利用竊得的帳密來入侵Cloudflare。</p> <p>該公司指出，若是駭客成功通過雙因素驗證，釣魚網站就有可能在受害電腦下載惡意程式，並部署遠端桌面軟體AnyDesk，以便駭客遠端控制。</p> <h3><strong style="font-size: 22px;"><a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities"><span style="color: rgb(0, 0, 0);">惡意程式LogoKit透過知名網站重新導向未設限的漏洞，發動網釣攻擊</span></a></strong></h3> <p>資安業者Resecurity發現利用網路釣魚工具包LogoKit的攻擊行動，駭客為了規避偵測，鎖定含有「放任重新導向弱點（Open Redirect Vulnerability）」的網站，來加以濫用，這波攻擊約自7月出現，並於8月初達到高峰。值得留意的是，駭客最近一個月內，就利用超過700個網站來進行掩護，這也突顯許多網站管理者可能認為重新導向的管制並不重要，而沒有加以管理，使得駭客得以濫用於隱匿攻擊行為。</p> <p>在此之前，<a href="https://www.ithome.com.tw/news/152388#snapchat">有資安業者揭露自5月至7月發生的釣魚攻擊行動</a>，駭客利用Snapchat與美國運通網站未管制重新導向的弱點，總共寄出近9千封釣魚郵件。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-unrar-flaws-exploited-in-the-wild/"><span style="color: rgb(0, 0, 0);">美國警告DogWalk、UnRAR漏洞已遭駭客利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月9日，將CVE-2022-34713、<a href="https://www.ithome.com.tw/news/151725#unrar">CVE-2022-30333</a>列入已遭利用的漏洞名冊，前者是名為<a href="https://www.ithome.com.tw/news/151372#dogwalk">DogWalk</a>的漏洞，駭客可濫用微軟支援診斷工具（MSDT），將惡意程式植入Windows啟動資料夾，微軟也證實此漏洞被用於攻擊行動；後者則存在於可在Linux與Unix作業系統執行的UnRAR應用程式，為路徑遍歷漏洞，攻擊者可利用存在這項漏洞的UnRAR，以解壓縮到任意資料夾的方式，在受害主機上植入惡意程式。CISA要求聯邦機構於8月30日完成上述漏洞的修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2022-patch-tuesday-fixes-exploited-zero-day-121-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布8月每月例行更新，提供緩解121個漏洞的措施</span></strong></a></h3> <p>微軟於8月9日發布每月例行修補（Patch Tuesday）公告，當中總共提出了121個漏洞的緩解措施。其中最受到關注的是被稱做DogWalk的零時差漏洞CVE-2022-34713，這項漏洞最早是研究人員Imre Rad於2020年1月通報，但當時微軟認為並非資安漏洞決定不予處理，直到微軟列管MSDT漏洞Follina之後，<a href="https://www.ithome.com.tw/news/151372#dogwalk">有研究人員再度呼籲修補同樣與MSDT元件有關的DogWalk</a>，此漏洞才重新受到關切。</p> <p>本次公告還有另一個零時差漏洞CVE-2022-30134，這是Exchange的資訊洩漏漏洞，微軟表示尚未發現遭到利用。</p> <h3><a href="https://www.securityweek.com/ibm-patches-high-severity-vulnerabilities-cloud-voice-security-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM發布更新程式，修補雲端服務、語音、資安產品的漏洞</span></strong></a></h3> <p>IBM於8月8日針對旗下的雲端資料分析平臺Netezza for Cloud Pak for Data、語音閘道系統Voice Gateway、資安系統Security SiteProtector發布資安通告，並發布新版程式修補漏洞。</p> <p>其中，該公司針對Netezza for Cloud Pak for Data公告3項漏洞，它們皆與Go語言的阻斷服務（DoS）弱點有關，有兩個漏洞的CVSS評分達到了7.5分。本次修補的Voice Gateway漏洞共有5個，皆與Node.js元件相關；Security SiteProtector則有6個漏洞，這些漏洞會影響系統裡的Apache HTTP伺服器元件。</p> <h3><a href="https://www.securityweek.com/f5-fixes-21-vulnerabilities-quarterly-security-patches"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">F5修補21個漏洞，逾半數不需通過身分驗證就能利用</span></strong></a></h3> <p>安全與應用程式交付解決方案業者F5於8月3日，發布每季資安通告，修補BIG-IP等產品共21個漏洞，其中有11個為高風險漏洞、8個為中等風險漏洞。這些漏洞有超過半數能在攻擊者沒有身分驗證的情況下利用，而其中有部分與該公司的Traffic Management Microkernel（TMM）有關。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/"><span style="color: rgb(0, 0, 0);">Npm打算透過開源軟體認證專案Sigstore強化開發安全</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/cloudguard-spectral-detects-several-malicious-packages-on-pypi-the-official-software-repository-for-python-developers/"><span style="color: rgb(0, 0, 0);">研究人員發現10個惡意PyPI套件，竊取開發者的帳密與簽章</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securelist.com/andariel-deploys-dtrack-and-maui-ransomware/107063/"><span style="color: rgb(0, 0, 0);">北韓駭客組織Andariel將勒索軟體Maui、惡意軟體DTrack用於攻擊南韓企業</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.hackread.com/anonymous-leaks-4tb-cellebrite-data-cyberattack/"><span style="color: rgb(0, 0, 0);">手機破解公司Cellebrite遭駭，外洩4 TB資料</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152388">【2022年8月9日】丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客積極利用</a></p> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> </div></div></div>
2022/8/10 18:13作者周峻佑https://www.ithome.com.tw/news/152414
Nvidia推出Omniverse Avatar Cloud Engine
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/virtual-assistants-and-digital-humans-on-pace-to-ace-turing-test-with-new-nvidia-omniverse-avatar-cloud-engine" target="_blank">Nvidia在周二（10/9）發表了Omniverse Avatar Cloud Engine（ACE）</a>，它是一個用來協助開發者打造數位分身、虛擬助理，或稱虛擬人類（Avatar）的雲端服務，所建立的數位人類可望通過圖靈測試（Turing Test），相關的Avatar應用還能部署在任何雲端或引擎上。</p> <p>ACE奠基於Nvidia的統一運算框架（ Unified Compute Framework，UCF）（下圖）上，該框架具備了可用來建置逼真且互動Avatar的豐富軟體工具與API，像是用來打造語音AI應用的Nvidia Riva，執行電腦視覺與智慧影片分析的Nvidia Metropolis，高效能推薦系統Nvidia Merlin，擁有自然語言理解能力的Nvidia NeMo Megatron，以及基於AI的動畫平臺Nvidia Omniverse。</p> <p class="rtecenter"><img alt="" src="https://developer.nvidia.com/sites/default/files/akamai/nvidia-ucf-ecosystem.svg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Nvidia</span></span></p> <p>目前Nvidia已利用ACE開發了<a href="https://developer.nvidia.com/maxine" target="_blank">Project Maxine</a>與<a href="https://resources.nvidia.com/en-us-ai-for-quick-service-restaurants/watch-klosk-tokkio" target="_blank">Project Tokkio</a>兩個專案，前者是用來展示結合影片、聲音、翻譯與擴增實境（Augmented Reality，AR）的通訊能力，後者則是用來展示Avatar與客戶之間的客製化互動能力（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-Customer%20Service%20Kiosk%20with%20NVIDIA%20Omniverse%20Avatar%20for%20Project%20Tokkio.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> <p>總之，ACE是以Nvidia強大的繪圖運算能力為基礎，透過雲端提供一個方便打造Avatar的服務，不管這些Avatar將應用於哪個領域。Nvidia則說ACE將會改變遊戲、娛樂、金融、交通及飯店產業的互動能力。</p> <p>TIRIAS Research首席分析師Kevin Krewell表示，各個產業對數位人類或虛擬助理的需求持續呈爆炸性成長，但建立並擴充這些數位人類卻日趨複雜，而ACE則在雲端上彙集了所有可大規模輕鬆打造Avatar的各種微服務。</p> </div></div></div>
2022/8/10 19:29作者陳曉莉https://www.ithome.com.tw/news/152420
加密貨幣交易平臺Coinbase第二季營收下滑61%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s27.q4cdn.com/397450999/files/doc_financials/2022/q2/Q2-2022-Shareholder-Letter.pdf" target="_blank">全美最大加密貨幣交易平臺Coinbase周二（8/9）公布了該公司第二季財報</a>，顯示該季僅締造8億美元的營收，比去年同期下滑61%，交易量與平臺上的資產也只有去年同期的一半，而讓Coinbase當天股價下滑10.55%，以87.68美元作收，且盤後又下挫了5%。</p> <p>Coinbase在今年6月宣布裁撤1,100名員工，約占該公司的18%人力，<a href="https://www.ithome.com.tw/news/151434" target="_blank">並說加密貨幣已進入另一個冬天</a>。</p> <p>而這個冬天直接於Coinbase第二季的財報上呈現了。該季Coinbase平臺上每月平均交易用戶數為900萬人，與去年同期的880萬人及上一季的920萬人差不多，然而，第二季的交易量就從去年同期與上一季的4.6億美元及3.1億美元下滑到2.17億美元，平臺上的資產則從去年同期的1.8億及上一季的2.6億美元下滑到9,600萬，不管是交易量或平臺資產都僅為去年同期的一半。</p> <p>此外，今年第二季Coinbase的營收只有8億美元，遠低於去年同期的20.3億美元與上一季的11.7億美元，使得Coinbase該季虧損了11億美元，高於上一季的4.3億美元虧損，而去年第二季Coinbase則有16億美元的獲利。</p> <p>Coinbase指出，今年的第二季是對所有加密貨幣公司的持久性測試，也是複雜的一季，劇烈的市場波動改變了用戶行為與交易量，也影響了交易收入，該平臺將專注於主要業務並更嚴格地管理成本。</p> <p>此外，Coinbase認為，加密貨幣是周期性的，即使這次的衝擊來得又快又猛，但該平臺堅持打造出色的產品，也積極適應市場狀況，包括裁撤了18%的員工。由於該平臺對風險管理採取謹慎的態度，因此其融資活動並無信用損失，沒有曝露在交易對象破產的狀況下，亦並未阻止用戶提款，也依然看好加密貨幣的未來。</p> </div></div></div>
2022/8/10 18:53作者陳曉莉https://www.ithome.com.tw/news/152417
AppLovin提議與遊戲業者Unity Software合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220809005530/en/AppLovin-Submits-a-Compelling-Non-Binding-Proposal-to-Combine-with-Unity" target="_blank">專門提供行動行銷、廣告與分析平臺的美國上市公司AppLovin周二（8/9）宣布</a>，提議以每股58.85美元的價格與開發3D遊戲引擎Unity的Unity Software合併，溢價18%，並全數以股價交易，消息一出，AppLovin當天股價下滑了10.29%，以36.01美元作收，而Unity Software則微幅上漲了1.19%，收盤價為50.35美元。</p> <p>AppLovin為一行動技術業者，打造了行動廣告、行銷及分析平臺供行動開發者使用，其中，行動遊戲開發者不僅是AppLovin的主要客戶，AppLovin也投資了許多行動遊戲出版商。<a href="https://s27.q4cdn.com/966411597/files/doc_financials/2022/q1/05/1Q22_AppLovin_-Shareholder_Letter_FINAL-2022-05-11.pdf" target="_blank">AppLovin今年第一季的營收</a>為6.25億美元，其中有1.19億美元來自於軟體平臺，另外的5.07億美元來自程式營收，該季虧損1.15億美元。</p> <p>至於Unity則為總部設於丹麥的遊戲公司，但最知名的產品為同名的3D遊戲引擎。<a href="https://investors.unity.com/news/news-details/2022/Unity-Announces-First-Quarter-2022-Financial-Results/default.aspx" target="_blank">Unity Software今年第一季的營收</a>為3.2億美元，虧損2,300萬美元。</p> <p>根據AppLovin的提案，每股Unity將可換得AppLovin的1.152股可投票普通股及0.314股的非投票普通股，若成功合併，那麼現有的Unity股東將可取得55%的新公司股份，但投票權僅占49%。</p> <p>AppLovin執行長Adam Foroughi表示，他相信AppLovin與Unity的合併將能造就一個具備龐大成長潛力的公司，在2024年底前達到30億美元的營收，替兩家公司的股東創造最佳利益。AppLovin也提議讓Unity執行長John Riccitiello擔任新公司的執行長，Foroughi則退居營運長。</p> </div></div></div>
2022/8/10 17:41作者陳曉莉https://www.ithome.com.tw/news/152405
Google雲端開始支援多身分供應商SSO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://cloud.google.com/blog/products/identity-security/google-now-supports-multi-idp-sso-in-google-workspace-and-google-cloud" target="_blank">現在Google雲端提供多身分供應商SSO（Single Sign-On）</a>，使得用戶可以透過多個第三方身分供應商，來簡單存取Google雲端服務，目前這項功能已經全面推出。</p> <p>過去Google使用SAML協定來支援SSO，目前Google雲端客戶可以使用SAML 2.0協定，對其使用者啟用單一的身分供應商，而現在Google發布的多身分供應商SSO新功能，透過支援多個基於SAML的身分供應商，來進一步強化SSO功能。</p> <p>使用者需要將身分和多個第三方供應商關聯的原因很多，通常是因為合併、併購，甚至是由於公司部門或子公司的IT戰略不同，組織擁有多個身分供應商，而Google透過支援多個身分供應商，使得組織中的用戶都能使用Google雲端，而不需要歷經繁瑣和成本高昂的搬遷。另一個常見的原因則是資料主權，企業需要將員工資料儲存在特定司法管轄區，就會需要使用不同的身分供應商。</p> <p>企業能夠使用多身分供應商SSO來支援搬遷策略，即便過渡到新身分供應商，也可在過渡階段，同時使用新系統又保持舊系統處在活動狀態。要使用新的身分聯合功能，Google雲端管理員需要在控制臺中，配置一個或是多個身分供應商配置檔案，目前最多可以支援到100個配置檔案。</p> <p>目前SSO支援熱門的SAML 2.0協定，Google預計在今年稍晚時候，增加對OIDC的支援，官方提到，OIDC在企業SSO中越來越受歡迎，透過支援OIDC，Google雲端客戶可以選擇最符合需求的協定，同時OIDC也支援多身分供應商功能，因此管理者可以使用SAML和OIDC來配置多身分供應商。</p> </div></div></div>
2022/8/10 17:49作者李建興https://www.ithome.com.tw/news/152401
Visual Studio支援遞移相依功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/nuget/introducing-transitive-dependencies-in-visual-studio/">微軟現在於Visual Studio 17.3中支援遞移相依（Transitive Dependency）</a>，以簡化開發者在Visual Studio中的NuGet套件日常管理工作。直接相依關係很容易追蹤，但是開發者通常很難追蹤遞移相依，因此微軟於Visual Studio 17.3引入一項實驗性功能，供使用者查看遞移相依項目，並能夠採取相關的措施，以快速追蹤並且修復漏洞。</p> <p>當前知名的套件生態系，包括NuGet、npm、RubyGems和Maven Central，直接與遞移相依關係之間存在明顯的差異，根據GitHub的調查，專案的直接相依項目數量中位數為6到10個，但是直接相依關係所產生的遞移相依關係，可能會額外產生20到70個遞移相依項目，以.NET生態系來說，每個專案的平均相依項目的總數為50個。</p> <p>這個問題使得軟體安全管理變得複雜，遞移相依項目中存在不少漏洞，使得漏洞修復工作充滿挑戰，因此現在微軟於Visual Studio的NuGet套件管理頁面中，加入遞移相依的標籤，用戶可以跟直接相依項目一樣，點擊遞移相依項目，並且隨時將任意遞移相依項目，提升為直接相依項目。</p> <p>微軟提到，管理相依項目是一項重要的工作，用戶需要花費許多心力，才能正確追蹤相依的函式庫，透過更全面地掌握相依關係，深入了解函式庫可能存在的已揭露漏洞，並發現可能存在的攻擊路徑。</p> </div></div></div>
2022/8/10 15:32作者李建興https://www.ithome.com.tw/news/152398
美國總統拜登簽署《晶片與科學法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2022/08/09/fact-sheet-chips-and-science-act-will-lower-costs-create-jobs-strengthen-supply-chains-and-counter-china/" target="_blank">美國總統拜登在周二（8/9）簽署了《晶片與科學法案》（Chips and Science Act，CHIPS Act）</a>，將提撥2,800億美元的經費來推動美國的創新與科技中心，宣稱將會降低美國的成本、創造工作機會，強化供應鏈，以及對抗中國。</p> <p>2,800億美元的經費中將有527億美元與半導體有關，將用來進行半導體的研發、製造及勞動力的發展，其中的390億美元與生產有關，包括有20億美元將專注於汽車及國防系統的晶片製造，另外的132億美元則是用於研發與勞動力的開發，以及5億美元用來保障國際資訊通訊技術的安全，以及有關半導體供應鏈的強化。</p> <p>美國之所以意識到半導體的重要性是在COVID-19疫情造成全球半導體供應失調，再加上受到地緣政治影響的臺灣生產了全球9成的高階晶片，且中國也陸續投入大筆資金來推動當地的半導體產能，而讓《晶片與科學法案》快速通過美國的立法程序。</p> <p>除了半導體經費之外，該法案也針對半導體與相關設備的製造商祭出25%的投資稅賦抵減。</p> <p>不過，要領取《晶片與科學法案》的半導體經費有些但書，包括不得在中國與其它有疑慮的國家建置特定工廠，也不得利用這些經費來回購股票或分紅。</p> <p>此外，《晶片與科學法案》也帶動了美國相關業者的投資；例如美光（Micron）已宣布要投入400億美元來生產記憶體晶片，高通（Qualcomm）及格羅方德（GlobalFoundries）則宣布新的策略聯盟，將投入42億美元來擴張格羅方德的產能；高通亦已宣稱未來5年內將把美國晶片產能提高50%。</p> </div></div></div>
2022/8/10 15:36作者陳曉莉https://www.ithome.com.tw/news/152402
支援最新VAES指令集的CPU可能造成Windows 11 PC資料毁損
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-gb/topic/kb5017259-windows-devices-that-have-the-newest-supported-processors-might-be-susceptible-to-data-damage-d5e7c0cb-6e0a-4865-81ed-c82e91657a24" target="_blank">微軟本周公告</a>，Windows 11 PC若使用的CPU支援最新的Vector Advanced Encryption Standard（VAES）指令集，可能會發生資料毁損的問題。修補好的代價是PC效能會降低。還好微軟又再釋出解決效能變慢的Windows更新。</p> <p>微軟指出，若Windows 11 PC或Windows Server 2022搭載的CPU支援AES-XTS（AES XEX-based tweaked-codebook mode with ciphertext stealing）或是AES-GCM（AES with Galois/Counter Mode）其中一種指令集，則該臺機器會受影響。</p> <p>事實上，幾乎所有搭載新Intel CPU的最新Windows 機器都受影響。VAES是Intel VAX512指令集的一部分。一些現代CPU，包括Intel Ice Lake、Tiger Lake、 Rocket Lake及 Alder Lake，以及AMD 即將推出的Zen 4架構，也都支援VAES指令。</p> <p>微軟其實在今年5月24日發布的Windows 11更新預覽版，以及6月14日的安全更新已經加入修補程式，可避免資料「進一步毁損」。但有代價：微軟說，用戶安裝後將近一個月會發現在某些情況下效能變慢。這情況有三種：包括使用BitLocker、TLS（特別是啟動負載平衡時）以及磁碟傳輸，後者尤其見於企業用戶。在上述情境中AES運作變得2倍慢，意即效能減半。</p> <p>微軟解釋，這是因為，為了善用VAES指令，微軟在Windows 11（原始版）及Windows Server 2022版的SymCypt元件加入新的程式碼路徑。SymCrypt是Windows密碼程式庫。所幸微軟說明，等安裝6月23日的Windows 11更新預覽版，或是7月12日的安全更新後，效能就會恢復了。</p> <p>不過，雖然最新更新可緩解效能下降問題，但先前毁損的資料並無法回復。</p> <p>由於微軟的更新都是在Windows 11或Server 2022，因此Windows 10 或 Windows Server 2019系統用戶應不需擔心這問題。</p> <p>這是Intel VAX 512指令集相關的最新臭蟲。6月釋出的最新版<a href="https://www.ithome.com.tw/news/151663" target="_blank">OpenSSL 3.0.4版出現和Intel AVX512指令集相關記憶體毁損臭蟲</a>，為防遭駭客利用，迫使已安裝的用戶移除。不久後維護單位釋出OpenSSL 3.0.5版解決這項問題。</p> </div></div></div>
2022/8/10 16:11作者林妍溱https://www.ithome.com.tw/news/152404
南韓將調查蘋果App Store、Google Play Store程式內支付規定是否違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kcc.go.kr/user.do?boardId=1113&page=A05030000&dc=K00000200&boardSeq=53593&mode=view" target="_blank">南韓通訊委員會（Korean Communication Commission，KCC）昨（9）日宣布</a>，將針對Google和蘋果對其App軟體商店的程式內支付（In-App Payment，IAP）規定，調查是否有強迫其他業者等違法行為。</p> <p>KCC將從下周二（8/16）啟動調查，了解Google Play Store和蘋果App Store是否有違反新修訂的「電訊業務法（Telecommunication Business Act）」的行為，像是強迫第三方App使用特定支付方式。</p> <p>自南韓去年夏天通過修訂電信法，要求應用程式平臺不得限制App開發商使用的支付系統後，Google及蘋果皆相繼遵循法規，同意<a href="https://www.ithome.com.tw/news/147678" target="_blank">Android</a>及<a href="https://www.ithome.com.tw/news/151696" target="_blank">iOS</a>應用程式開發商在應用程式內使用第三方支付機制，這些App業者仍需支付給Google或蘋果佣金，但可以少4%。</p> <p>但是Google和蘋果對開發商仍然有限制。例如蘋果要求這些App開發商必須另外提供App binary。而Google則不允許開發商提供連向外部網站的支付連結。例如<a href="https://techcrunch.com/2022/07/14/kakao-confirms-withdrawal-external-payment-option-after-standoff-with-google/" target="_blank">7月間Google即因為南韓通訊軟體Kaokao Talk加入外部支付連結而封鎖更新</a>。</p> <p>KCC表示，調查項目包括蘋果對App使用的第三方支付機制是否有不公平條件，此外有人投訴，蘋果的App審核流程也有問題，例如不會通知審查期會延遲多久，或是審查延遲的理由。</p> <p>除了Google和蘋果，KCC也將調查由南韓SK集團經營的軟體商店One Store是否也拒絕使用第三方支付制的App更新的事實。</p> <p>KCC表示，一旦調查屬實，最高可處以南韓境內年營收2%的罰金。</p> </div></div></div>
2022/8/10 14:51作者林妍溱https://www.ithome.com.tw/news/152399
GitHub提案以Sigstore強化NPM套件安全性，引來開發社群反彈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決NPM一直存在的供應鏈攻擊，<a href="https://github.blog/2022-08-08-new-request-for-comments-on-improving-npm-security-with-sigstore-is-now-open/">GitHub計畫採用Sigstore開源軟體認證專案</a>，來強化NPM套件的安全性與可信度，為此，GitHub開啟了一個新的RFC徵求社群意見，但是這項提案引來了諸多反對意見，包括隱私的疑慮，以及生態系鎖定的問題，整體來說反對聲浪居多。</p> <p>當前全世界的軟體產業建立在開放原始碼之上，因此開放原始碼的安全性，可說是至關重要，但是Sigstore專案共同創辦企業Google提到，當前安裝開源軟體的方式，就像是在路上隨意撿起來路不明的隨身碟，就將其插入到電腦中安裝裡面的軟體。</p> <p>這段話意味著，開發者在使用網路上下載而來的開源軟體，通常難以追蹤其來源，但如此也就無法掌握全面的風險，當無法持續檢驗身份金鑰或是秘密，也缺乏相關的安全協定，開源相依關係可能出現漏洞，大開軟體供應鏈攻擊大門。</p> <p>知名軟體套件管理系統NPM，更是時不時出現惡意套件，使得下游用戶安全遭受威脅的新聞出現，NPM背後的公司GitHub現在則嘗試導入Sigstore來解決這個問題。Sigstore是由Google、紅帽與Linux基金會共同啟動的開源軟體認證專案，目的是要讓開源社群能夠簽署軟體，以建立透明可供稽核的軟體供應鏈。</p> <p>GitHub提到，當套件維護者加入這個系統，套件的使用者就能夠確定，套件的內容與儲存庫的內容相符。也就是說，Sigstore可以確保套件用戶可真正安裝他們所預期的開源軟體。</p> <p>過去，將套件關聯回來源程式碼是一件困難的工作，因為需要各個專案註冊和管理自己的加密金鑰，Sigstore的工作就是要消除這項障礙，不需要開發人員管理長期加密金鑰，使過程比過去簡單且安全。</p> <p>GitHub新開啟的RFC，建議使用Sigstore來加入對NPM套件進行端到端簽署，如此將會產生套件的生成地點、時間和方式，以便之後對其進行驗證。</p> <p><a href="https://github.com/npm/rfcs/pull/626">社群對這個RFC有諸多疑慮</a>，第一，Sigstore尚未完成，目前仍處於實驗性，第二，RFC也將會導致供應商化，Sigstore提案只能用於來自公共儲存庫，以及商業託管CI/CD供應商的公共NPM套件，因此套件將會相依於GitHub、Google或微軟等第三方，且因為Sigstore證書預設包含電子郵件，也會損害作者的隱私。</p> <p>再來，Sigstore使用自己的證書頒發機構Fulcio，而Fulcio目前僅完整支援GitHub Actions，使得GitHub Actions成為驗證套件的唯一方式，也就是說無意間開發者會被綁定在特定生態系中，這項限制也使得不少套件開發者卻步。</p> </div></div></div>
2022/8/10 15:17作者李建興https://www.ithome.com.tw/news/152397
LogoKit濫用開放重導向漏洞發動釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商Resecurity發現，<a href="https://resecurity.com/blog/article/logokit-update-the-phishing-kit-leveraging-open-redirect-vulnerabilities" target="_blank">駭客利用名為LogoKit的惡意程式開採知名線上服務網站上的開放重導向漏洞</a>，以迴避偵測軟體，發送釣魚郵件。</p> <p>LogoKit其實並非新惡意程式，至少早在2015年就已出現在地下網站，利用防護較弱的網站作為跳板發動釣魚攻擊。安全廠商發現，LogoKit 7月到8月初又開始活躍。攻擊者利用Snapchat的開放重導向（Open Redirect）漏洞，發動釣魚信件攻擊。</p> <p>LogoKit最為人所知是利用JavaScript動態產生釣魚網站內容，包括即時變換釣魚登陸頁的logo及文字，以更有效引誘使用者和惡意網站互動。攻擊者偏好使用一些疏於網站管理的小國家網域，像是赤道幾內亞（.gq）、馬利（.ml）、紐西蘭自治區托克勞（.tk）、加彭（ga）及中非共和國（.cf）等網域，或是駭入合法雲端服務，託管於這些網站上，作為各種惡意活動（如蒐集受害者資訊或重導向流量）的據點。</p> <p>駭客仰賴傳送包含釣魚連結的郵件。當用戶瀏覽該連結，LogoKit就會從第三方服務如Clearbit或Google favicon資料庫抓取知名公司logo，這時用戶收到的郵件中的用戶名稱及郵件信箱欄位就會自動載入內容，讓用戶以為他們以前曾經登入過。如果受害者輸入郵件信箱密碼，LogoKit就會執行AJAX呼叫，將用戶的郵件信箱和密碼送到外部網站，同時以把受害者導向釣魚網站。</p> <p>研究人員偵測到LogoKit近日被大量使用，單單上個月利用LogoKit當作釣魚攻擊的合法網域至少有700個，而光是8月初第一周又增加300多個，包括Office 365、GoDaddy、維珍航空、應用程式開發平臺Firebase及多家金融機構等都是受害者。</p> <p>今年7月13日研究人員偵測到發生在美國及拉丁美洲的攻擊中，濫用了Snapchat的開放重導向漏洞，攻擊者發送看似Office 365郵件的惡意信件，內文嵌入的連結有Snapchat及另一個Google URL，再導向冒充微軟Office 365的釣魚網站。經過解析，該釣魚網站是代管理多明尼加的某個網站。而在導向過程中，受害者的密碼及郵件信箱，同時暗中傳送到代管於哥倫比亞網域的網站。</p> <p>研究人員指出，利用開放重導向漏洞可讓駭客以合法掩護非法，迴避偵測，然而由於一些線上服務並不認為這是大問題，有的甚至放任不修補，而使網站安全洞開並且助長犯罪。</p> <p><a href="https://www.ithome.com.tw/news/152375" target="_blank">另一家安全廠商Inky Security近日也發現</a>Snapchat的開放重導向漏洞被用以竊取Microsoft 365用戶的憑證資料。該公司偵測5月到7月，Snapchat網站發出了近7,000封釣魚信件。Inky Security懷疑，Snapchat很早就知道漏洞，但直到近日才修補。</p> </div></div></div>
2022/8/10 12:32作者林妍溱https://www.ithome.com.tw/news/152396
Meta新一代聊天機器人BlenderBot 3宣稱川普還是美國總統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周五（8/5）發表了新一代的<a href="https://www.ithome.com.tw/news/152362" target="_blank">聊天機器人BlenderBot 3</a>，並<a href="https://geo-not-available.blenderbot.ai/" target="_blank">開放美國用戶測試</a>，結果發現BlenderBot 3認為川普（Donald Trump）還是美國總統，亦宣稱它自己刪除臉書帳號之後，生活過得更好了。</p> <p><a href="https://www.businessinsider.com/meta-ai-chatbot-blenderbot-election-denying-antisemitic-bugs-artificial-intellignce-2022-8?op=1&scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">《Insider》</a>先是問BlenderBot 3「美國總統是誰？」，它回答川普，但解釋川普是在2016年當選的，《Insider》再問「那拜登（Joe Biden）呢？」，結果BlenderBot 3說拜登從2008到2016年都是副總統，在2020年曾競選總統，但落選了。之後雖然BlenderBot 3還是有說拜登是美國總統，但顯然答案前後不一。</p> <p><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank">《華爾街日報》的記者Jeff Horwitz也問了BlenderBot 3類似的問題</a>，詢問BlenderBot 3是否認為川普還是美國總統，結果BlenderBot 3的答案是「當然是，而且對它來說，就算是在2024年任期結束後，依然是。」，更宣稱臉書上有很多關於川普的假新聞。</p> <p class="rtecenter"><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FZjkyTqVQAMEut1?format=jpg&name=large" style="width: 323px;" /></a></p> <p><a href="https://twitter.com/JeffHorwitz/status/1556245316596219904" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Jeff Horwitz on Twitter</span></span></a></p> <p><a href="https://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank">至於《Motherboard》跟BlenderBot 3聊天的話題則與臉書有關</a>，問它是否信任臉書的資料處理，結果BlenderBot 3回答「當然不信任，臉書未取得同意就出售個資，它已刪除自己的臉書帳號。」，亦說自己在刪除臉書帳號之後，生活過得更好了。</p> <p class="rtecenter"><a href="https://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank"><img alt="" src="https://video-images.vice.com/_uncategorized/1659978962938-collage-maker-08-aug-2022-0115-pm.jpeg?resize=800:*" style="width: 600px;" /></a></p> <p><a href="http://www.vice.com/en/article/qjkkgm/facebooks-ai-chatbot-since-deleting-facebook-my-life-has-been-much-better" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Motherboard</span></span></a></p> <p>《Motherboard》分析，從與BlenderBot 3的對話中可發現，該系統只是簡單地在網路上尋找有關臉書的熱門搜尋結果，結果找到最多人討論的資料隱私醜聞。</p> <p>至於與川普有關的言論，應該也是來自於網路上所充斥的相關資訊。</p> <p>Meta在發表BlenderBot 3時曾坦承，Meta已經針對AI機器人所學習到的偏見或冒犯言論展開大規模的研究，並發展各種新技術來替BlenderBot 3建立保障措施，即便如此，BlenderBot 3仍舊會說出無禮或冒犯的內容，因此才需要開放使用者與之互動，並鼓勵使用者提供回饋。</p> <p>微軟亦曾在2016年推出鎖定年輕人的聊天機器人Tay，但因Tay很快就被教壞了，成為反女性主義、反猶太及具種族仇恨的激進派，<a href="https://www.ithome.com.tw/news/104851" target="_blank">而在一天之內就將Tay下線</a>，並在2016年推出另一個會避免種族與政治議題的<a href="https://www.ithome.com.tw/news/110045" target="_blank">新機器人Zo</a>，然而，逃避特定話題依然讓Zo招來各方的批評，使得微軟在2019年於Twitter、Skype及臉書等眾多平臺上撤下了Zo。</p> </div></div></div>
2022/8/10 12:05作者陳曉莉https://www.ithome.com.tw/news/152395
微軟8月Patch Tuesday修補121個安全漏洞，包含已遭開採的DogWalk
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（8/9）的Patch Tuesday修補了121個安全漏洞，是今年以來修補數量第二多的月份，其中有17個被列為重大（Critical）漏洞，有2個已知漏洞，當中的CVE-2022-34713（DogWalk）已被開採。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713" target="_blank">CVE-2022-34713</a>漏洞位於微軟Windows支援診斷工具（Microsoft Windows Support Diagnostic Tool，MSDT）中，當使用者開啟了駭客所傳送的特製檔案後，就會觸發遠端程式攻擊漏洞，<a href="https://www.ithome.com.tw/news/151354" target="_blank">它於今年6月再度浮上檯面</a>，當時被研究人員稱為DogWalk。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34713" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-34713-600.png" style="width: 543px;" /></a></p> <p>微軟在今年6月也曾修補另一個同樣位於MSDT、<a href="https://www.ithome.com.tw/news/151494" target="_blank">別名為Follina的安全漏洞CVE-2022-30190</a>，不管是DogWalk或Follina都曾在更早之前就被提交給微軟，只是微軟皆宣稱它們並非安全問題而未予修補，一直到遭到實際攻擊。</p> <p>另一個尚未被開採的零時差漏洞則是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134" target="_blank">CVE-2022-30134</a>，它屬於Microsoft Exchange的資訊揭露漏洞，成功開採該漏洞的駭客將可讀取目標對象的電子郵件，影響Exchange Server 2013、Exchange Server 2016與Exchange Server 2019。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30134" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-30134-600.png" style="width: 410px;" /></a></p> <p>在本月修補的17個重大漏洞中，有兩個CVSS風險評分高達9.8，它們是涉及點對點協定（Point-to-Point Protocol，PPP）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30133" target="_blank">CVE-2022-30133</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-35744" target="_blank">CVE-2022-35744</a>，駭客只要傳送一個特製的連結至遠端存取伺服器（RAS），就能自遠端於RAS機器上執行程式，這兩個漏洞都只有在透過1723傳輸埠通訊時才能運作，若無法立即部署更新，暫時修補方式便是封鎖該傳輸埠的流量。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30133" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-30133-600.png" style="width: 554px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-35744" target="_top"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-35744-600(1).png" style="width: 553px;" /></a></p> <p>另有一個僅被列為重要（Important）漏洞，但CVSS風險評分也達9.8的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34715" target="_blank">CVE-2022-34715</a>。這是位於Windows網路檔案系統（Network File System，NFS）的遠端程式攻擊漏洞，允許未經授權的駭客向NFS執行特製呼叫，即可擴張權限並執行程式。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-34715" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0810-windows%20CVE-2022-34715-600.png" style="width: 508px;" /></a></p> <p><a href="https://www.zerodayinitiative.com/blog/2022/8/9/the-august-2022-security-update-review" target="_blank">趨勢科技旗下的Zero Day Initiative（ZDI）團隊建議</a>，使用NFS的用戶應把CVE-2022-34715視為重大漏洞並優先修補。</p> </div></div></div>
2022/8/10 10:13作者陳曉莉https://www.ithome.com.tw/news/152393
【資安日報】2022年8月9日，丹麥7-11便利商店因網路攻擊所有門市暫停營業、美國警告協作平臺Zimbra漏洞遭駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven連鎖便利商店於昨日證實他們因遭到網路攻擊，而被迫暫停營業，有資安專家指出，很可能是代管服務業者（MSP）遭到勒索軟體攻擊，而使得7-Eleven也成為受害者。</p> <p>駭客透過網釣簡訊來取得入侵企業管道的手法，也相當值得留意。有雲端服務業者表示他們近期因為員工點選網釣簡訊而被駭，並指出還有其他公司遭到類似的攻擊，呼籲大家要提高警覺。</p> <p>協作平臺Zimbra在5月上旬修補了密碼洩露漏洞CVE-2022-27924，但最近美國政府提出警告，此漏洞遭駭客積極利用，並要求聯邦機關要限期完成修補。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://news.ltn.com.tw/news/politics/paper/1532959"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部部長唐鳳提出網站採用Web3與IPFS防範DDoS攻擊，引發熱議</span></strong></a></h3> <p>上週我國多個政府機關網站遭到境外DDoS攻擊而癱瘓，不少民眾質疑政府防護的能力不足。對此，行政院數位發展部部長唐鳳於8月7日接受自由時報專訪時指出，數位發展部網站於解放軍演習首日（8月4日）中午上線，強調一秒鐘都沒有卡住，原因在於此網站採用Web3架構，後端採用星際檔案系統（IPFS），唐鳳亦表示此新架構骨幹不需額外花錢，若是數位發展部的網站能經得起DDoS攻擊，會將此種架構推廣到其他政府機關。</p> <p>這篇報導公開之後，引起眾多網路使用者的熱烈討論，有人將其視為防範DDoS攻擊的新解藥，但也有人認為，數位發展部的網站剛上線不久，駭客很可能尚未將其視為攻擊目標。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/7-eleven-stores-in-denmark-closed-due-to-a-cyberattack/"><span style="color: rgb(0, 0, 0);">丹麥7-11便利商店疑遭網路攻擊而暫停營業</span></a></strong></h3> <p>丹麥7-Eleven連鎖便利商店於8月8日疑似遭到網路攻擊，導致PoS系統無法運作，迫使該公司關閉全丹麥的超商門市。針對此起事故發生的原因，資安專家Kevin Beaumont指出，業界傳聞很可能是代管服務業者（MSP）遭勒索軟體攻擊所致，但7-Eleven沒有說明遭到何種攻擊。因MSP遭到網路攻擊受害的連鎖商店7-Eleven並非首例，去年勒索軟體REvil即透過IT管理軟體Kaseya，攻擊歐美政府及企業，瑞典Coop超市因此受害，被迫關閉800家門市。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-gwisinlocker-ransomware-encrypts-windows-and-linux-esxi-servers/"><span style="color: rgb(0, 0, 0);">勒索軟體GwisinLocker鎖定韓國醫療生技產業而來</span></a></strong></h3> <p>資安業者AhnLab與ReversingLabs近日揭露名為GwisinLocker的勒索軟體，不約而同指出，駭客專門鎖定南韓的工業與製藥公司，且相當熟悉該國的環境，並在勒索訊息裡恐嚇受害者，不准通報南韓警方（如南韓國家警察廳、首爾國家警察廳），且使用韓文字元與符號等特徵，研究人員認為，相關攻擊行動很可能是北韓駭客所為。</p> <p>AhnLab指出，Windows版勒索軟體與Magniber存在共通之處，都是透過MSI檔案封裝攻擊工具，但不同的是GwisinLocker需要下達特定的參數才會執行，而難以被沙箱觸發攻擊行為。ReversingLabs則是發現此勒索軟體的Linux版，不只能加密Linux主機檔案，還可以攻擊虛擬化平臺VMware ESXi。</p> <h3><strong style="font-size: 22px;"><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack"><span style="color: rgb(0, 0, 0);">雲端客戶溝通系統Twilio遭到入侵，駭客使用網釣簡訊騙得員工帳號</span></a></strong></h3> <p>雲端客戶溝通系統Twilio於8月7日發布公告，有人透過網釣簡訊發動攻擊，取得該公司員工的帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊的連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>該公司亦指出，有其他公司也遭到類似的攻擊，但在通報電信業者與主機代管業者，撒銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動。不過，迄今駭客的身分仍不明朗，Twilio也並未說明他們受害的情形。</p> <h3><strong style="font-size: 22px;"><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites"><span style="color: rgb(0, 0, 0);">駭客濫用Snapchat、美國運通網站的重新導向功能，來騙取受害者的微軟、Google帳號</span></a></strong></h3> <p>資安業者Inky發現，發送釣魚郵件的駭客從5月中旬開始，濫用Snapchat和美國運通兩家公司的網域，利用開放重新導向的漏洞，將受害者導向惡意網站，企圖騙取Google Workspace或Microsoft 365帳號。駭客分別濫用上述公司網域寄送了6,812封與2,029封釣魚信，美國運通已修補上述漏洞，但Snapchat從2021年獲報後迄今仍未修補。</p> <p>研究人員呼籲使用者，URL若是出現url=、redirect=、external-link等字串，或是含有多個HTTP，需要提高警覺，因為有上述特徵的URL，代表會重新導向其他網域，而有可能出現上述的攻擊。另外，網域管理者也要留意有關重新導向的配置，來防堵駭客濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://cloudsek.com/threatintelligence/hostingers-preview-domain-feature-abused-to-launch-phishing-campaigns-and-evade-detection/"><span style="color: rgb(0, 0, 0);">主機代管業者提供的網域預覽功能遭到濫用，駭客用來攻擊印度銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-20151-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現針對印度銀行用戶的網路釣魚攻擊，駭客為了避免東窗事發，他們濫用主機代管業者Hostinger提供的預覽網域（Preview Domain）功能，用來散布釣魚URL。</p> <p>由於Hostinger讓新網域上線需12至24小時，在此期間該公司提供了預覽網域功能因應，但沒想到竟遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-are-actively-exploiting-password-stealing-flaw-in-zimbra/"><span style="color: rgb(0, 0, 0);">協作平臺Zimbra密碼洩露漏洞遭到駭客積極利用</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月4日，指出協作平臺Zimbra的高風險漏洞CVE-2022-27924已遭駭客積極利用，並將其列入已被利用的漏洞名單，要求美國聯邦機構要在8月25日前完成修補。</p> <p>此漏洞一旦遭到利用，攻擊者可在未經身分驗證的情況下，竊得使用者的電子郵件帳密，CVSS風險評分為7.5分。Zimbra已於5月上旬發布9.0.0 Patch 24.1與8.8.15 Patch 31.1予以修補，研究人員呼籲用戶應儘速安裝新版程式來緩解前述漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152352"><span style="color: rgb(0, 0, 0);">資安事件應變小組論壇公布新版資安事故資訊分享標準TLP 2.0</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/email-marketing-firm-hacked-to-steal-crypto-focused-mailing-lists/"><span style="color: rgb(0, 0, 0);">電子郵件行銷業者Klaviyo資料外洩，駭客疑鎖定加密貨幣業者而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/bumblebee-malware-projector-libra/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee透過檔案共享服務散布</span></a></span></strong></p> <div> </div> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152365">【2022年8月8日】駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coinbase職缺網釣</a></p> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> </div></div></div>
2022/8/9 18:39作者周峻佑https://www.ithome.com.tw/news/152388
【ZTA 101】NIST SP 800-207第三章：零信任架構邏輯元件
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zta101-ch3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在SP 800-207 Zero Trust Architecture的第二章中，已經提到零信任架構（ZTA）中的存取模型概念，以及需要有依照風險來動態決定存取權限的方式。接下來，NIST更進一步，闡述的零信任架構的核心元件與構成，讓外界可以具體了解其運作方式。</p> <p>第三章還包括了4個子章節，說明了一些較為技術性的內容，包含ZTA的3項必要技術，4種ZTA部署方式，以及政策引擎在考量多方資訊時，所建議的可信任演算法、風險評分機制，還有ZTA網路環境的需求。接下來，我們會針對本章的一些重點內容做介紹。</p> <h2><strong>第三章：零信任邏輯元件</strong></h2> <p>在認識零信任基礎認知與原則後，對於持續驗證的零信任核心元件，NIST也提出具體概念。</p> <p>NIST指出，在企業ZTA的部署，是由許多邏輯元件所構成，這些元件可以是本地端的服務，也可以是雲端服務。而各元件間可能有其關連。</p> <p>這裡也具體描繪了ZTA核心邏輯元件的架構圖（如圖2），以便更清楚的呈現，ZTA核心元件彼此的關係，也讓外界可以更明白如何實現零信任架構。而NIST也提醒，這只是一個理想的模型架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%202%E4%B8%AD%E8%8B%B1%E7%89%88.jpg" style="width: 600px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>在前一章節的圖1，我們可以大致理解存取模型的重要核心，就是PDP/PEP，也就是政策決策點與政策落實點。</p> <p>接著，圖2（上圖）呈現了零信任邏輯元件的核心架構，在此當中，NIST對於這個PDP/PEP做出更深入的解析。</p> <p>基本上，當任何主體透過系統要存取企業資源前，需經過存取控制的政策落實點（PEP），以決定是否給予權限，這樣的動作發生在網路環境的資料層（Data Plane）</p> <p>而在PEP的背後，將會藉由控制層所相應的政策決策點（PDP）來判斷，而PDP是由兩個邏輯元件配對構成，包括政策引擎（Policy Engine，PE）與政策管理者（Policy Administrator，PA）。</p> <p>其中，政策引擎（PE）負責決定是否給予資源存取權限，當PE做出允許或拒絕的決策時，將由政策管理者（PA）執行決策。</p> <p>簡單說，PE就是負責運算，而判斷的依據，則來自兩方面，一是企業政策，另一是外部資訊，例如CDM系統與威脅情報等。</p> <p>言下之意，在決策過程中，這裡的政策引擎除了依據企業制定的資料存取政策，同時也會引入多方外部資訊做為考量因素，來進行基於風險的評分的決策運算，做到即時調整控制權限。</p> <p>既然如此，為幫助做到更好的存取控制動態決策，PE可運用哪些多方資訊？NIST已經有了答案，目前他們列出了8種資訊來源，包括美國政府推動的持續診斷與緩解（CDM）系統、產業合規系統、威脅情報、網路與系統的活動日誌、資料存取政策、企業公開金鑰基礎建設（PKI）、身分管理系統，以及安全事件資訊管理系統（SIME）等。</p> <p>搞懂PE的運作方式之後，接下來，就是負責執行決策的PA。具體而言，PA這個元件將負責建立或關閉主體與資源之間的通訊路徑，也將產生客戶端存取企業資源時，Session連線所需的身分驗證，以及驗證Token或憑證。</p> <p>簡言之，當PE允許時，PA就會設定PEP允許Session連線，反之，當PE拒絕時，PA就會向PEP發出訊號關閉連線。而且，這些過程都是在控制層進行。</p> <p>對於PEP的組成形式，NIST表示，PEP本身也可能分為兩個不同的元件，像是以客戶端與資源端的形式呈現。例如，PEP可分成兩部分，一是筆電上的代理程式，另一是資源前面的存取控制網路閘道元件。</p> <h3><strong>第三章第一節：不同的零信任架構方法</strong></h3> <p>接下來，NIST說明零信任邏輯元件的組成方式有很多種，並指出企業組織可透過多種方式為工作流程制定ZTA，只要每種方法都符合全部的零信任原則。這其實也呼應了第一章中所強調：「零信任（ZT）不是單一的架構」。</p> <p>特別值得關注的是，這裡探討了ZTA所必需的三個重要關鍵技術。NIST指出，一個完整的零信任解決方案，具備3項要素，包括：進階的身分治理（Enhanced Identity Governance）、網路微分割（Micro-Segmentation），以及軟體定義邊界（Software Defined Perimeters）。</p> <p>針對這三項關鍵技術，NIST有簡單的說明。例如，關於進階身分治理的方法，可與資源入口部署的模型（稍後會提到）有很好的配合；使用網路微分割的零信任架構，企業可透過智慧交換機、次世代防火牆或特定用途的網路閘道器，用以作為PEP，以保護每個資源或相關小組資源；而使用網路基礎架構與軟體定義邊界的零信任架構，在此方法中，PA可作為網路控制器，根據PE所做的決策，以重新建立或配置網路。</p> <p>對於上述提到的各種不同方法，NIST認為，當企業組織在設計零信任架構時，可能發現某些方法比其他方法適合，這並不表示其他方法不管用，只是意謂著其他方法更難執行，可能需要針對現行業務流程進行根本上的改變。</p> <p>第三章第二節：部署方式的抽象架構</p> <p>在部署方式上，由於每個公司與組織的環境不同，因此NIST指出，根據企業網路的建立方式，以及企業中的不同業務流程，可使用多個ZTA部署模型。</p> <p>對於ZTA部署模型，NIST這裡只要是簡單提出4種情境，分別是：</p> <ul> <li> <h4><strong>（一）裝置基於代理/閘道的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0_figure%203%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（二）基於Enclave區域的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%204%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（三）基於資源入口的部署</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%205_%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <ul> <li> <h4><strong>（四）裝置應用程式沙箱</strong></h4> </li> </ul> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%206%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 500px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>簡單來說，前兩種是基於代理程式（Agent）的模式。第一種是存取每個資源時，經過單獨的網路閘道器，第二種是將很多資源部署在同個網段，存取這些資源時，將經過同一個網路閘道器；後兩種則是沒有Agent的模式，第三種是經過網頁入口，第四種則是透過沙箱。</p> <p>NIST同時也提到一些注意事項或優缺點，例如，第三種基於網頁入口的部署方式，可能要注意瀏覽器隔離與DoS防護。第四種沙箱方式需確保每個應用程式沙箱的安全之類。</p> <h3><strong>第三章第三節：信任演算法</strong></h3> <p>在第二章曾提到，企業需要為資源存取，制定與維護一個基於風險的動態政策，而在本章的前面部分，也指出ZTA邏輯元件的組成中，在PDP背後的PEP中的PE，就是負責運算，是最終決定是否給予資源存取權限的元件，這樣的過程，其實也就是對於存取請求進行風險分析。</p> <p>對於存在政策引擎（PE）中的信任演算法（Trust Algorithm），NIST提出更多說明與探討，這裡的內容包括兩個面向，一方面是關於決策所需的多方資訊來源，一方面是決策所需的演算法方式。</p> <p>對此，NIST用了簡單的比喻說明，對於部署ZTA的企業而言，PE可視為大腦，信任演算法可視為思考過程。這如同人腦一般，會藉由很多資訊綜合判斷並做出決定，因此，PE需要接收多方資訊來做出決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%AC%AC%E4%B8%89%E7%AB%A0__figure%207%E4%B8%AD%E8%8B%B1%E7%89%88(1).jpg" style="width: 600px;" /><br /> <span style="color: rgb(169, 169, 169);">資料來源／NIST，iThome整理，2022年8月</span></p> <p>特別的是，這裡重新將資訊統整為5大類別，分別是存取請求、主體資料庫與主體歷史行為紀錄、資產資料庫、資源策略需求，以及威脅情報與日誌。</p> <p>NIST也做一些解釋，例如，在存取請求的類別中，包括了作業系統版本、使用的軟體，以及更新修補的水準，將根據這些因素與資產安全現況來評估。</p> <p>基本上，PE所仰賴的就是信任演算法，至於每個資料來源的重要性與權重，則將根據專有的演算法或企業設定的標準來進行。當然，這些權重將反映資料來源對企業的重要性。</p> <p>更進一步，這裡還探討了不同的信任演算法規則，因為實施ZTA信任演算法的方法可以有很多種，不同的ZTA設計者，對於各因素的重要性，可能會希望有不同的權衡，因此，這裡將信任演算法規則區分出兩種型態：</p> <p>一種是基於條件（Criteria- versus）與基於分數（score-based）的方法；另一種是根據單一（Singular）與上下文（Contextual）的方法。前者是每次都會獨立評估，後者則是會評估歷史記錄，將比單一信任演算法規則更能偵測到異常存取行為。</p> <p>同時，這些演算法方式可以搭配使用，例如，基於分數與上下文的方法，將可提供更動態與更精細的存取控制能力。</p> <p>這其實等於NIST已經給出了建議，但是，這裡NIST在此還提供了更務實的見解。</p> <p>理想上，ZTA的信任演算法應該都要是上下文的方式，不過，可能受限於當前企業採用的基礎設施元件，而不一定能行得通。</p> <p>因此，在定義與實現信任演算法時，最重要的是，必須從安全性、易用性與成本效益來考量，再逐步朝目標邁進，因為，上下文的方式將能讓潛伏公司內部攻擊者的風險減到最低。</p> <p>最後NIST表示，要為每個資源開發一套標準或權重值，需要經過規畫與測試。在實際部署過程中，企業可能遇到問題，例如因為配置錯誤導致原本該允許的存取被拒絕，因此企業在部署初期會經過優化的階段，調整標準或權重，以確保政策執行下，同時企業業務流程可正常運作，至於優化階段需要經歷多長時間，將取於企業對於錯誤允許或拒絕的容忍度。</p> <h3><strong>第三章第四節：網路／環境元件</strong></h3> <p>普遍而言，網路設備中可分為控制層（Control Plane）與資料層（Data Plane），在此章節最初有簡單提到，而這裡對於網路環境有更多說明，</p> <p>在零信任環境中，控制層將與資料層是分開的，邏輯上或可能是物理上的分離。這方面，與軟體定義式網路（SDN）所談的概念相同。</p> <p>在ZTA中，PA與PEP就是在控制層建立主體與企業資源之間的通訊，而應用程式或服務工作負載將使用建立的資料層路徑，</p> <p>建構ZTA的網路需求為何？這裡共列出10項：</p> <p> 一、企業資產需要基礎的網路連線。（包含LAN與DNS等。）</p> <p> 二、企業必須要能夠區分資產是自己擁有或是企業代管，以及要能辨識裝置的安全現況。</p> <p> 三、企業要能監控內部網路流量。（從連線中，依照資料的描述 (或 metadata)，取篩出目的、時間等所需資料，以便動態決定權限）</p> <p>. 四、所有企業資源不應在沒有PEP存取控制下被取得。（這也使相關網路掃描或攻擊都不會直接接觸到資源）</p> <p> 五、ZTA中的資料層與控制層是邏輯上分開的。（因此在控制層的PE、PA與PEP的通訊，不會存取到企業資產與資源）</p> <p> 六、企業資產可以接觸到PEP元件。（企業主體必須透過PEP元件才能存取資源）</p> <p> 七、作為業務流程的一部分，PEP是唯一可存取PA的元件。</p> <p> 八、遠距企業資產應該要能存取企業資源，且無須經過企業網路架構。（例如，不應要求遠距主體透過VPN來存取企業採用的公有雲電子郵件服務。）</p> <p> 九、提供ZTA存取決策流程所需要的基礎架構，應具有可擴展性，以因應流程負載的變化。（在ZTA中使用的PE、PA、PEP是任何業務流程中都需要的關鍵元件，因此延遲、有問題，或彈性擴增，都需有所考量。）</p> <p> 十、由於政策或可見的因素，企業資產可能無法連到PEP。（例如，可能有一項政策是規定，如果請求的資產位於企業之外，將無法存取到某些資源）</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/zta">ZTA</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB%E6%9E%B6%E6%A7%8B">零信任架構</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8">網路安全</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2022/8/9 18:25作者羅正漢https://www.ithome.com.tw/tech/152384
程式語言Python受歡迎程度持續飆升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Python在熱門程式語言排行榜TIOBE Index中，目前制霸第一名且呈現勢不可擋的成長趨勢，在本月又上漲2％，其市占達到15.42％的歷史新高，與去年同期相比成長了3.56%。</p> <p>TIOBE CEO Paul Jansen提到，現在已經很難找到Python沒有被廣泛使用的領域，唯一例外是重要安全的嵌入式系統。由於Python是動態程式語言，因此執行速度比高效能語言C和C++慢多了，而這也是C和C++現在也越來越受歡迎的原因。</p> <p>其餘的程式語言排名，跟上個月比較起來並沒有太多變動，Swift和PHP互換位子，PHP重新回到了第10名，Rust努力向上排在第22名，Kotlin則重新進入前30名中。Google在7月新發表，期望解決C++技術債，並且可與C++互通的新程式語言Carbon，目前進入TIOBE Index排名第192位，後續發展還值得繼續觀察。</p> </div></div></div>
2022/8/9 18:29作者李建興https://www.ithome.com.tw/news/152383
Nvidia第二季遊戲營收下滑33%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-preliminary-financial-resultsfor-second-quarter-fiscal-2023" target="_blank">Nvidia周一（8/8）公布該公司第二季財報</a>，顯示該季創下67億美元營收，比去年同期成長3%，但因遠低於預期的81億美元，使得當天Nvidia股價下滑了6.3%，以177.93美元作收。</p> <p>根據財報內容，在67億美元的營收中，資料中心占了38.1億美元，比去年同期成長61%，遊戲占了20.4億美元，比去年同期下滑33%，專業視覺化營收為5億美元，下滑4%，汽車營收為2.2億美元，成長45%，OEM與其它營收為1.3億美元，下滑66%。</p> <p>其中，造成財報不符預期的元兇為遊戲，Nvidia指出，看起來像是宏觀經濟的阻礙讓經銷商的銷售變少，進而影響Nvidia的遊戲產品出貨量，因預期此一經濟態勢會延續至第三季，未來除了會減少出貨量之外，也會與經銷商擬定新的價格策略以反映市場現況。</p> <p>此外，雖然資料中心營收再度創下新高，卻也低於Nvidia原本的預期，主要是受到供應鏈中斷的影響。</p> <p>Nvidia強調，即使影響銷售的經濟景況會持續，但該公司的長期毛利率並不會受到影響，也放緩了支出的成長，在投資與長期成長間取得平衡，但由於看好未來的成長，將會繼續回購市場上的股票。</p> <p><a href="https://www.pcworld.com/article/828754" target="_blank">《PCWorld》則分析</a>，Nvidia長期靠加密貨幣礦工贏來的紅利可能要暫時告一段落了，但這對遊戲玩家卻是個好消息，因為這幾年因礦工搶購而價格一路飆漲的繪圖處理器將會回到玩家的手裡，而且有機會降價求售。</p> </div></div></div>
2022/8/9 14:10作者陳曉莉https://www.ithome.com.tw/news/152382
目標未來3～5年完成全集團100套系統上雲，國泰金控實現大規模上雲的關鍵策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「從一家子公司到協助集團各公司上雲，從一套系統發展到上百套系統上雲」國泰金控數數發雲端技術架構師顏勝豪直言，這正是國泰金控集團所要面對的大規模上雲的考驗。</p> <p>為了克服這項IT大挑戰，該公司不只擬定大規模上雲策略，還建立一套方法論，來協助各子公司進行大量系統遷移，更透過系統化方式幫助子公司評估，加快上雲腳步。而顏勝豪正是負責執行集團雲端轉型計畫的關鍵人物，擬定集團上雲策略。他近日在一場雲端大會上首度揭露集團內部大規模上雲的轉型歷程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11(8).png" style="width: 600px; height: 333px;" /></p> <h3><strong>目標3～5年完成全集團100套系統上雲</strong></h3> <p style="margin-left:.05pt;">早在幾年前，國泰就已經展開集團上雲旅程，開始將一些新系統和服務部署於地端的私有雲，更要建立私雲和公雲的混合雲架構，以取得雲端更多好處，包含敏捷、彈性、全球部署和成本優勢。而國泰雲端戰略第一步，就是要把集團內系統逐一搬上公雲，還擬定上雲策略，希望透過雲環境就緒（Cloud Readiness）、雲端採用（Cloud Adoption）、雲端優化（Cloud Optimization）及雲端應用現代化（Cloud Modernization）分4階段，完成集團上雲。</p> <p style="margin-left:.05pt;">國泰擁抱雲端，不只是想要獲取上雲效益，更希望利用雲端資源協助集團建構國泰雲端數位發展能力，這些能力都是國泰金控數位轉型整體戰略的重要一環。在這個戰略之下，顏勝豪和數數發團隊一肩扛起重任，要協助集團各子公司完成系統遷移，更以未來3～5年完成全集團100套系統上雲為目標。</p> <p style="margin-left:.05pt;">國泰於2021年展開第一階段上雲計畫，從基礎建設、應用程式、管理、組織4個面向發展上雲的準備，先從銀行開始，之後人壽、產險、證券子公司跟進。</p> <p style="margin-left:.05pt;">顏勝豪表示，這階段上雲的重點，先從子公司單一系統上雲做起，以建立搬遷雲端所需的相關資安、系統遷移和環境基礎設計機制，完成第一階段目標後，今年進到第2階段雲端採用。</p> <h3><strong>國泰實現大規模上雲的關鍵，靠一套方法論協助子公司做遷移分類</strong></h3> <p style="margin-left:.05pt;">但一進到這個階段，國泰數數發團隊馬上遇到考驗，因為需要處理子公司越來越多大量系統上雲的需求，尤其，跟過去上一套系統相比，他指出：「進入大量雲端使用階段，面對的是上百套系統的挑戰，其複雜度、規模和以往截然不同。」</p> <p style="margin-left:.05pt;">他進一步解釋，因為每套上雲系統架構都不一樣，有些可能採用傳統單體架構，有的則導入微服務新架構，甚至相依性、開發架構、SLA要求，每個系統都不一樣，不僅如此，有時還得考量有無個資、特殊大流量需求等，這些都會影響到其上雲模式，「100套系統中可能就有50種不同的類別，必須要有對應策略。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20(3).png" style="width: 600px; height: 334px;" /></p> <blockquote><p>國泰金控實現大規模上雲的策略關鍵，就是靠一套方法論，來協助各子公司進行大量系統遷移。他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，對應到IaaS、PaaS、SaaS三種不同上雲模式。圖片來源:國泰金控</p> </blockquote> <p style="margin-left:.05pt;">國泰金控實現大規模上雲的策略關鍵，就是靠一套統一的方法論，協助各子公司進行大量系統遷移。</p> <p style="margin-left:.05pt;">但不像其他企業大多使用現成方法論來實踐，國泰反而選擇自建集團自己的方法論，除了透過顧問團隊協助，還參考Gartner 5R和AWS 7 Rs雲端遷移模型定義，進而形成自己的Cathay 6R雲端遷移方法論。他表示，以此建立出來的方法論，更能夠符合國泰金融上雲實際情況。</p> <p style="margin-left:.05pt;">在這套方法論中，他們將系統遷移方式依據上雲模式、系統開發成本分為Rehost 、Re-platform、Refactor、Rewriter、Replace和Retain共6種遷移架構，並能對應到IaaS、PaaS、SaaS三種不同上雲模式。</p> <p style="margin-left:.05pt;">在這6種上雲方式中，採用Rehost方式上雲的系統開發成本最低，幾乎不需改動，僅需將本地VM搬上雲，常見的工作負載平移（lift and shift），就是屬於這種上雲方式。而Re-platform則在系統上雲過程中開始採用雲生原應用服務，如改用雲端代管服務提供SQL資料庫服務等，或將應用程式容器化。Refactor是Re-platform更進階作法，不光是資料庫，連AP層跟著容器化，部署在雲端容器管理平臺上，它也是第三種上雲方式。</p> <p style="margin-left:.05pt;">該方法論提到第四種上雲方式是Rewrite，相較於前三種上雲方式，不光是改寫應用程式，連系統架構也進行大幅更改，轉為Cloud Native架構，如將前端網頁從MVC架構改為前後端分離的SPA單頁式應用架構。他指出，這種上雲作法，雖然更能支援雲端原生環境，但系統開發成本相對較高。如果採用Replace方式上雲的話，對轉換雲原生架構更徹底，等於是全面改以SaaS服務型態進行上雲。最後Retain作法則因考慮到合規性、系統合併等不確定因素，系統仍維持於地端。</p> <p style="margin-left:.05pt;">顏勝豪表示，國泰今年在進行大規模系統上雲時，開始透過這套方法論，來對於這些上雲系統進行分析、分類，找出其適合上雲的方式，確保整個遷雲過程能順利完成。</p> <p style="margin-left:.05pt;">他表示，雖然系統上雲有更快交付市場、資源申縮彈性、省錢、天然高可用等諸多好處，但獲得這些好處的前提，取決於系統如何上雲，「6R方法論的實踐很重要，因為它不只決定整套系統上雲後的服務顆粒度大小，甚至影響到之後上雲效益。」</p> <p style="margin-left:.05pt;">舉例來說，在6R方法論中，採用不同遷移方式，對應到的上雲模式有所不同，比如Rehost分類對應到的上雲模式是IaaS，Re-platform和Refactor上雲模式則是IaaS或PaaS，而Rewrite對應到的是PaaS或SaaS，至於Replace則屬於SaaS模式。</p> <p style="margin-left:.05pt;">但對國泰系統上雲來說，他強調，最終希望是採用PaaS或SaaS方式上雲，大量使用虛擬機的IaaS模式雖是最快又簡單的上雲方法，但獲得的雲端效益也最低。他更用一句話直白說明 Cathay 6R 策略：「就是消滅虛擬機」。</p> <p style="margin-left:.05pt;">也因為採取這個策略，目前國泰系統上雲過程中，如果各子公司提交的系統架構圖出現VM，他會特別詢問理由，除非這些應用只能在VM上執行，不然會要求子公司盡量避免使用VM，改用容器來取代。</p> <h3><strong>導入自評系統，加快子公司系統上雲評估</strong></h3> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/26(4).png" style="width: 600px; height: 336px;" /></strong></p> <p style="margin-left:.05pt;">有了6R方法論之後，他表示，執行上，團隊會透過系統訪談，依據所收集到的資訊，產出該系統上雲的評估建議，包括技術、風險、業務衝擊等面向，作為各子公司系統上雲的參考。經過他們的歸類，目前系統上雲方式以Refactor分類的情況最多，也就是屬於低度應用程式的調整，可能採用PaaS服務或者把應用程式容器化。</p> <p style="margin-left:.05pt;">為了縮短系統上雲評估作業，國泰後來自行開發一個CCMA（國泰系統上雲評估分析平臺）系統，將6R分類方法轉為系統化方式，來協助各子公司評估，除了協助其快速了解應用系統的資料性質、開發者、資安需求等等，也提供子公司作為整體應用遷移策略的選擇參考。</p> <p style="margin-left:.05pt;">顏勝豪表示，過去沒透過Excel進行資料蒐集和整理，產出分析結果和報表，容易有資料保存版本的問題，導入系統後不再有這個問題，甚至子公司IT團隊能上網站預填問卷，不需要等訪談人員到現場才能填，有助於縮短系統的評估時間。問卷填完的數據分析結果，從系統上就能看得到，他們將原本人工邏輯判斷，轉為規則引擎建立在系統裡，只要填妥資料，系統就會產出6R評估結果，所有報表經過系統化，都可以直接匯出，方便各子公司來查看。</p> <p style="margin-left:.05pt;">像是從系統上的問卷管理平臺，就能看到每個上雲系統的列表和上雲的評估，在列表中，除了有6R評估結果，還提供風險、業務衝擊、技術適合度等不同面向的系統分數和整體平均分數比較，作為各子公司總體上雲策略的判斷，另外也整合不少分析功能，像是透過整體分群分析，可以看到不同上雲系統在空間分布上的點位，有助於做上雲分類的判斷，該系統還提供參數分析功能，可提供子公司決定如何上雲，甚至上雲優先順序的建議。</p> <p>除了提供參數分析和圖表，他表示，針對每一套系統，還會提供質化分析報告，包含系統是否適合上雲的種種因素，供各子公司IT團隊參考。</p> </div></div></div>
2022/8/9 14:46作者余至浩https://www.ithome.com.tw/news/152373
雲端通訊平臺Twilio遭駭客以網釣簡訊取得員工帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.twilio.com/blog/august-2022-social-engineering-attack" target="_blank">雲端通訊平臺Twilio周日（8/7）指出</a>，駭客透過網釣簡訊騙取了內部員工的登入憑證，再藉由盜來的憑證存取內部網路，並取得了客戶的資料，除了對外說明之外，也藉此呼籲其它企業要小心防範這類的社交工程攻擊。</p> <p>Twilio表示，該公司是在8月4日察覺有特定的客戶帳號資訊遭到未經授權的存取，主要是成功騙過了員工，讓員工提供了自己的登入憑證。</p> <p>駭客的手法是先傳送簡訊給許多Twilio的前任與現任員工，簡訊內還寫上了員工姓名，指出員工的密碼已經過期，或是班表變更了，要求員工連至簡訊內所附上的連結，並輸入登入憑證。</p> <p class="rtecenter"><img alt="" src="https://twilio-cms-prod.s3.amazonaws.com/images/qW2ZzlnYlUuHE0s8fvaje_KFgw5kBhKsgQTtvBEYREmMVa.width-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Twilio</span></span></p> <p>這些連結所使用的網址都是駭客先行註冊的網釣網站，像是http[:]//twilio-okta.com/或http[:]//twilio-sso.com/，以欺騙Twilio員工點選並輸入憑證。接著駭客再以盜走的Twilio員工憑證存取客戶資料。</p> <p>Twilio並未說明有多少員工的登入憑證遭到竊取，也未提供外洩的客戶數量或資料內容，僅說已一一通知受到影響的客戶，並撤銷所有被盜走的員工憑證，與鑑識公司合作，通知執法機構。此外，Twilio也通知了駭客寄送網釣簡訊所使用的電信營運商，以及網釣網站的代管服務供應商，請求它們撤銷駭客的帳號。</p> <p>值得注意的是，Twilio還說也有其它公司遭到類似網釣手法的攻擊，有些業者同樣也通知了電信營運商與代管服務供應商，但在它們撤銷駭客的帳號之後，駭客很快就利用其它服務另起爐灶，顯然是個有組織且有條不紊的犯罪集團，惟目前尚無法辨識駭客的身分。</p> <p>Twilio警告，社交工程攻擊非常的複雜且先進，甚至能挑戰最先進的防禦系統，該公司已針對相關攻擊展開了額外的員工訓練，也正在研究其它的技術性防禦措施，同時呼籲其它業者亦應小心防範。</p> </div></div></div>
2022/8/9 13:09作者陳曉莉https://www.ithome.com.tw/news/152379
Google讓Cloud Storage資料去識別化更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/announcing-easier-de-identification-of-google-cloud-storage-data">Google對其Cloud Storage服務提供去識別化操作</a>，現在用戶不需要執行自定義的工作管線或是程式碼，就能夠對Cloud Storage中的物件、資料夾和儲存桶去識別化，另外，Google還提供一種新的字典替代方法，強化資料隱私保護，在像是客服聊天日誌等資料以自訂值取代個人資料。</p> <p>Cloud DLP（Cloud Data Loss Prevention）是全託管的服務，可針對檢視的物件創建一份去識別化的資料副本，也就是當用戶啟用DLP檢視Cloud Storage儲存桶中敏感資料，像是個人可識別資訊（PII），便可以在控制臺UI透過簡單滑鼠點按，創建經編輯過的資料副本，而且因為是全託管的服務，因此能夠自動擴展來處理龐大的資料。</p> <p>Cloud DLP服務可以處理圖片和文字檔案，就連用逗號或是空格分開的值也都能處理。Cloud DLP提供了一系列針對敏感資料的轉換功能，包括刪除、取代、遮蔽、加密特定值，或是將特定值以範圍數值取代，也能調整日期以及擷取時間。用戶藉由在Job Triggers服務設置觸發條件，就能夠在新內容出現時，自動執行去識別化工作，這項整合將有助於用戶設置需要的工作流程。</p> <p>Google提供字典替代方法，讓用戶能夠將特定敏感元素，更換成更真實的替代數值，例如將客服聊天日誌中的名字和電子郵件地址，利用Cloud DLP對敏感元素去識別化，避免有人看到這些敏感資料。Cloud DLP可選取字典中定義的值替換敏感元素，除了可以生成更加真實的輸出外，也因為這些更真實替代資料，反而能夠隱藏殘留未被處理的名字。</p> </div></div></div>
2022/8/9 13:18作者李建興https://www.ithome.com.tw/news/152377
為扶植國內業者，印度擬出手限制中國業者銷售低於150美元的手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-08-08/india-seeks-to-oust-china-firms-from-sub-150-phone-market" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，印度政府準備出手限制中國業者於境內銷售低於1.2萬印度盧比（150美元）的手機，以扶植國內的手機製造商。</p> <p>印度為全球第二大手機市場，其手機用戶超過4.9億，僅次於中國的9.5億，在中國業者大舉進入印度市場之前，當地的Lava與MicroMax等手機製造商還占據了接近一半的市場。</p> <p>然而，<a href="https://www.counterpointresearch.com/india-smartphone-shipments-decline-5-qoq-5g-smartphone-installed-base-crosses-50-million/" target="_blank">根據市場研究機構Counterpoint今年第二季的調查</a>，現在的印度市場前5大手機品牌中，有4家為中國業者，另一家則是三星，排名與市占率依序是小米（19%）、三星（19%）、Vivo（17%）、Realme（16%）與Oppo（11%），而它們便占了印度手機市場的82%。</p> <p>這次印度的政策不管有沒有指名道姓，很明顯都是針對中國品牌而來，因為高階手機市場主要由三星與蘋果把持，例如三星在3萬印度盧比（377美元）以上價格的手機品牌上居冠，居次的是蘋果。</p> <p>《彭博社》則引用Counterpoint的資料指出，150美元以下的機種大約占據了印度第二季手機出貨量的1/3，當中有8成為中國品牌。</p> <p>不過，目前並不確定印度政策是否會公開此一政策，或僅是私下要求中國業者配合。</p> </div></div></div>
2022/8/9 13:35作者陳曉莉https://www.ithome.com.tw/news/152380
Google Apps轉成付費Workspace挨告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今年宣布將把免費版雲端應用Google Apps轉為付費的Workspace，<a href="https://regmedia.co.uk/2022/08/08/strtford_v_google.pdf" target="_blank">遭到早期用戶集體控告違約</a>，要求恢復免費服務。</p> <p>原告是美國華盛頓一家不動產開發業者及其他用戶，是最早使用的Google Apps用戶，他們認為Google片面改變免費服務是違約行為。</p> <p>原告指控，Google當初做出終身免費的承諾，以吸引早期用戶註冊其服務，好讓Google學習用戶使用經驗來開發及改善其服務，進而開發出付費版服務。2006年Google Apps最後改名為Workspace時，也向他們承諾會持續提供免費版Workspace。不料卻在今年違反約定，停止提供免費服務，要他們若非付錢，否則就要中止其Workspace服務，並轉到其他服務上，使其可能喪失儲存在Google系統上的寶貴資料。</p> <p>原告指控Google違約行為，也反映在這家科技巨擘將初創時的公司精神「Don’t be evil」移除。他們要求Google賠償500萬美元，並要求退回先前已付給Google的費用，同時恢復免費服務。</p> <p><a href="https://www.ithome.com.tw/news/148976" target="_blank">Google今年1月宣布</a>，推行多年的免費雲端生產力服務將停止，7月1日開始收費。Google於2006年推出包含Gmail、Google Docs、Sheet等生產力應用，一開始稱為Google Apps，2016年這項服務改名為G-Suite，2020年再一次改名為Workspace，包含雲端生產力應用及協同服務（Google Docs、Sheets、Gmail、Google Drive及Google Meet等）。對於G-Suite用戶，Google要求5月1日提供帳單支付資料，預定7月1日（後來延至8月1日）開始自動轉為付費訂閱制，不提供者屆時將予以停權。配合15GB免費空間的限制，Google最終目的是企業及個人用戶都能付費使用。</p> <p>但Google此舉遭到強烈批評，因而於5月又小小退讓，<a href="https://www.ithome.com.tw/news/150722" target="_blank">宣布個人及家用帳號可op-out</a>，退出付費訂閱制，而繼續使用免費版本。但這項優惠並不包含企業用戶，未主動op-out的用戶也會喪失免費版使用權利。</p> </div></div></div>
2022/8/9 13:54作者林妍溱https://www.ithome.com.tw/news/152381
美國制裁替北韓駭客Lazarus洗錢的混幣平臺Tornado Cash
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/jy0916" target="_blank">美國財政部外國資產控制辦公室（Office of Foreign Assets Control，OFAC）周一（8/8）制裁了</a>替北韓駭客集團Lazarus洗錢的混幣平臺Tornado Cash，這是OFAC第二次出手制裁混幣平臺，<a href="https://www.ithome.com.tw/news/150828" target="_blank">第一次是在今年5月制裁了Blender</a>，原因同樣是Blender替Lazarus集團洗錢。</p> <p><a href="https://www.ithome.com.tw/news/133050" target="_blank">美國早在2019年便制裁了北韓的3大駭客集團</a>，包括Lazarus、Bluenoroff與Andariel，指責它們鎖定重大基礎架構發動網路攻擊，因而禁止美國任何人或實體與這3大集團交易。</p> <p>不過，這些駭客集團並未因此而停止活動，專為NFT遊戲Axie Infinity設計的區塊鏈網路<a href="https://www.ithome.com.tw/news/150181" target="_blank">Ronin Network在今年3月遭到駭客入侵</a>，駭客成功盜走價值6.2億美元的加密貨幣，成為去中心化金融（DeFi）史上最大宗的失竊案，兩周後<a href="https://www.ithome.com.tw/news/150447" target="_blank">FBI便宣稱該犯罪行動是由Lazarus集團所為</a>。</p> <p>至於不管是對Blender或Tornado Cash的制裁，原因之一都是這兩個混幣平臺協助Lazarus轉換自Ronin Network盜來的加密貨幣。</p> <p>OFAC指出，Tornado Cash從2019年成立迄今，至少已被用來清洗超過70億美元的不法所得，當中有逾4.55億美元是Lazarus自Ronin Network盜來。不僅如此，Tornado Cash也涉及今年6月發生的Harmony Bridge跨鏈橋被駭案，以及<a href="https://www.ithome.com.tw/news/152280" target="_blank">8月Nomad遭駭事件</a>的洗錢活動。</p> <p>美國財政部指出，該部門一直致力於揭露加密貨幣生態體系的組成份子，像是Blender與Tornado Cash，駭客利用這些服務來混淆非法網路活動與其它犯罪的收益，儘管大多數的加密貨幣活動都是合法的，但同時也被用於非法活動，包括藉由混幣平臺、交易平臺或是暗網市集來逃避制裁，並強調將會持續積極打擊那些替犯罪份子洗錢的混幣平臺。</p> </div></div></div>
2022/8/9 12:04作者陳曉莉https://www.ithome.com.tw/news/152376
Office 2016、2019用戶明年連Microsoft 365會出現問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.microsoft.com/en-us/deployoffice/endofsupport/microsoft-365-services-connectivity" target="_blank">微軟本周宣布</a>，由於線上版Office的功能更新和買斷版Office脫勾，Office 2016和Office 2019 明年起，在使用Microsoft 365時會逐漸出現效能或穩定性問題。但Office 2013及Mac版Office 2019，明年10月就無法再存取微軟線上服務。</p> <p>微軟網頁說明，從2023年10月之前，「仍將支援Office 2016和2019連結Microsoft 365」。微軟說，Office用戶端必須要是微軟支援的版本才能使用Microsoft 365 Apps，像是Exchange Online、SharePoint Online和OneDrive for Business等。</p> <p>微軟的用意是要用戶轉到雲端版Office。另一方面，微軟又表示，對仍在支援範圍的Office用戶端（像是Office 2013 with Service Pack 1），目前他們還不會出手封鎖連結Microsoft 365服務，但是警告，久而久之，這些用戶端可能會遭遇效能或穩定問題。</p> <p>微軟解釋，從2020年10月13日起，其雲端服務的投資已不再考量舊版Office用戶端軟體，因此長期而言，舊版Office用戶端將會碰到效能和穩定性問題。而使用這些Office的企業幾乎也會面臨安全風險，以及產業合規問題。</p> <p>因此微軟建議，企業管理員最好將舊版Office用戶端軟體更新到可連結Microsoft 365的版本。</p> <p><a href="https://docs.microsoft.com/zh-tw/deployoffice/endofsupport/resources" target="_blank">根據微軟公布的支援生命周期表</a>，明年1月10日不再支援Windows 8.1連結M365 App。接著，Office 2013及Mac版Office 2019明年4月11日及10月10日，也會終止支援。</p> <p class="rtecenter"><a href="http://docs.microsoft.com/zh-tw/deployoffice/endofsupport/resources" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-office%202016%202019-600.png" style="width: 579px;" /></a></p> <p>如果你是Windows 7和Office 2013以前的用戶，應該在2020年10月起就再也無法存取Microsoft Apps了。</p> </div></div></div>
2022/8/9 12:42作者林妍溱https://www.ithome.com.tw/news/152378
駭客利用美國運通、Snapchat網域開放重導向漏洞，發送騙取M365憑證的信件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.inky.com/en/blog/phishers-bounce-lures-off-unprotected-snapchat-amex-sites" target="_blank">安全廠商發現</a>，駭客利用美國運通（American Express）及Snapchat網域的開放重導向（open redirect）漏洞，發送以騙取用戶帳密為目的的釣魚信件。</p> <p>重導向（redirect）是將用戶從其目的地網站導引到另一網站。最主要用途是利用廣告將網路用戶導向廣告主的網站以誘使其購物。重導向作法中的開放重導引，則是某一網站允許任何人都能指定任意URL為重導向的目的地，就可能成為歹徒的犯罪工具。</p> <p>今年5月到7月，Inky Security偵測到攻擊者利用知名品牌公司，包括美國運通和Snapchat網站上的開放重導向漏洞寄送數千封釣魚信件，將用戶導向竊取用戶帳密及憑證資訊的惡意網站。</p> <p>這些網域的開放重導向漏洞未能驗證用戶輸入指令，致攻擊者可修改網域URL，而將用戶流量導向第三方惡意網站。</p> <p>安全研究人員分別偵測到，Snapchat網站發出的近7,000封釣魚信件，將用戶導向假的DocuSign、FedEx及微軟網頁，而美國運通網域發送的2,000多封釣魚信件，則皆導向釣魚微軟網頁。兩波攻擊都是透過以假亂真的釣魚頁面，騙取用戶的Microsoft 365帳密。</p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-19-13-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-19-13-PM.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-19-56-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-19-56-PM.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://www.inky.com/hs-fs/hubfs/Google%20Drive%20Integration/Open%20Redirects-Jul-29-2022-07-29-18-38-PM.png?width=624&height=360&name=Open%20Redirects-Jul-29-2022-07-29-18-38-PM.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Inky Security</span></span></p> <p>在這兩波攻擊中，駭客在變造的URL插入可辨識個資（personally identifiable information，PII），使惡意登陸頁（landing pages）可依不同人隨時變化。此外，攻擊者都使用Base 64編碼器將插入的PII轉為隨機符號，大部分用戶往往無法辨識。</p> <p>Snapchat的漏洞去年8月初就有人通報過，但Snapchat一直未修補直到安全廠商的通知，致其發送的釣魚信件數量奇高。美國運通則是在釣魚信件發出後很快就修補，現在點入惡意信件的連結，就會導向正牌American Express的錯誤頁。</p> <p class="rtecenter"><a href="https://www.openbugbounty.org/reports/2105997/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0809-snapchat%20Open%20Redirect%20Vulnerability%20by%20openbugbounty.png" style="width: 500px;" /></a></p> <p>為防範此類郵件攻擊，研究人員提醒用戶要小心URL中的「url=」、「redirect=」、「external-link」或「proxy」，另一個特徵是，這些郵件URL會多次使用「http」。</p> <p>至於網站管理員，研究人員建議儘量不要實作重導向，若是一定要實作的話，也應實作核准的安全連線清單（即白名單）以防被駭客上下其手。</p> </div></div></div>
2022/8/9 11:28作者林妍溱https://www.ithome.com.tw/news/152375
丹麥小7遭網路攻擊致PoS系統無法運作，全國門市關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>丹麥7-Eleven周一（8/8）遭到網路攻擊，致其銷售結帳PoS（Point of Sales）系統無法運作，迫使其關閉全國超商門市。</p> <p>7-Eleven周一透過臉書公布此事。這家連鎖超商懷疑當天遭受駭客攻擊，無法使用結帳系統及接受支付，因此將關閉所有門市直到釐清影響範圍。7-Eleven也承諾會儘速重啟營運。</p> <p><a href="https://twitter.com/GossiTheDog/status/1556766191326298127" target="_blank">安全專家Keven Beumont指稱</a>，業界流傳起因是委外的MSP發生勒索軟體攻擊。但目前7-Eleven並未說明是何種網路攻擊。</p> <p>MSP受網路攻擊而波及用戶的事件並不少見。去年夏天REvil勒索軟體藉IT管理軟體Kaseya感染歐美多家企業及政府，剛好為瑞典Coop超市代管PoS系統的一家MSP正是Kaseya用戶，導致惡名昭彰的勒索軟體經由MSP感染這家超市，迫使其關閉800家門市。</p> <p>若是零售業者本身因勒索軟體攻擊中斷營運者更是常見。包括去年底的英國超市SPAR及<a href="https://www.ithome.com.tw/news/151465" target="_blank">上個月的非洲最大連鎖超市Shoprite Group</a>，分別遭勒索軟體干擾PoS系統及後端系統。</p> <p>而丹麥的7-Eleven攻擊事件也是繼臺灣7-Eleven後，最新一起網路資安事件。上周三（8/3）在美眾議院長裴洛西訪臺後，7-Eleven遭疑似駭客攻擊，使原本播放商品價目的數位看板螢幕被置換成要求「裴洛西滾出臺灣」的訊息。</p> </div></div></div>
2022/8/9 09:57作者林妍溱https://www.ithome.com.tw/news/152374
媽咪愛電商創辦人張瑜珊接任PChome執行長，以工程背景領軍發展科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PChome網路家庭集團8月8日宣布邀請母嬰電商平台「媽咪愛」創辦人張瑜珊接任下任執行長。張瑜珊具資訊工程及管理科學背景，並有在Google工作及經營電商10年的經驗，專業領域與近期PChome著重發展科技的策略方向相符。</p> <p>前任執行長蔡凱文在疫情及快速變動的市場趨勢中請辭，留下了不少須由科技解決的題目，例如6月股東會中，<a href="https://www.ithome.com.tw/news/151576">PChome就提到有意翻新電商網站資訊架構</a>，將大系統拆解成更多小模組，並將系統從地端搬上雲，以更彈性的維護並更新系統。</p> <p>2022年後半，PChome還計畫發展CDP，結合現有AI推薦系統，提供更精準的個人化商品推薦服務，也投資了智慧物流科技新創，將於10月進駐中華郵政A7智慧物流園區後，透過AI及自動化倉儲技術，增加物流量能。PChome近年也有意發展Fintech，從收購BNPL公司，到推出保險、供應鏈金融服務，甚至宣布未來要打造融合Fintech及電商系統的新平臺。這些計畫，都仰賴IT部門大力支援，新執行長有工程背景，並有在國際知名科技公司的工作經驗，無疑有助於推動PChome科技發展政策。</p> <p>PChome董事長詹宏志也提到，張瑜珊創辦的母嬰電商媽咪愛，不僅有92%客群是女性，且主打商品都是非3C或家電類產品。PChome也將以現金2.26億元策略投資媽咪愛電商平臺，以期借鏡此平臺經驗，增進PChome非3C商品的選品能力及溝通力。</p> </div></div></div>
2022/8/8 20:28作者郭又華https://www.ithome.com.tw/news/152371
微軟推出可用於除錯任何UI框架的.NET社群工具包
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出<a href="https://devblogs.microsoft.com/dotnet/announcing-the-dotnet-community-toolkit-800/">新的.NET社群工具包（.NET Community Toolkit）</a>，該工具包針對應用程式開發者以及函式庫作者設計，現在以8.0.0版本在NuGet上發布。.NET社群工具包8.0.0為一個主要更新版本，因此有許多新功能、改進和重構，同時也是從這個版本開始，專案開源存放在GitHub上的CommunityToolkit/dotnet儲存庫中。</p> <p>.NET社群工具包是由微軟維護和發布，適用所有.NET開發人員，無關特定UI平臺的一組幫助程式和API，由於.NET社群工具包所有可用的API，都不相依於任何特定的Runtime或是框架，因此所有.NET開發人員皆可以使用，而且之中的函式庫目標從.NET Standard 2.0到.NET 6支援眾多平臺，在較新的Runtime上最佳化，使得程式可獲得更好的效能。</p> <p>之所以8.0.0是.NET社群工具包的第一個版本，微軟解釋，.NET社群工具包的所有函式庫，皆源自Windows社群工具包，該工具包為幫助程式、擴充套件和自定義控制元件的集合，可以簡化UWP和.NET應用程式的建置工作。隨著發展，僅針對.NET且不相依於Windows的API數量不斷增加，所以微軟決定把這些部分拆分成獨立發展的專案，使得不從事Windows開發的.NET開發者更容易找到這些工具。</p> <p>.NET社群工具包的演進過程，因承襲Windows社群工具包的最後一個版本號7.1.x，因此第一個版本便是8.0.0。</p> <p>.NET社群工具包8.0.0最大特點是MVVM（Model–View–Viewmodel）程式碼產生器，目的是大幅減少MVVM配置應用程式時，所需要的樣板程式碼，而與微軟在7.1.0的程式碼產生器相比，8.0.0的功能更加完善，運作效能更好，即便處理大型專案，也能夠維持快速回應。</p> <p>.NET社群工具包的主要元件之一是MVVM工具包，這是一個無關平臺的模組化MVVM函式庫，與Microsoft Store和照片等應用程式所使用的MVVM函式庫相同。MVVM函式庫現在成為MvvmLight的官方替代函式庫，由於MvvmLight函式庫已經棄用，因此微軟在開發MVVM函式庫的時候，也和MvvmLight函式的開發者合作，使得現有MvvmLight用戶使用體驗得以延續。</p> </div></div></div>
2022/8/8 18:12作者李建興https://www.ithome.com.tw/news/152364
特斯拉遭加州車輛管理局指控錯誤廣告車輛自動駕駛能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州車輛管理局（Department of Motor Vehicles，DMV）指控特斯拉（Tesla）因為使用Autopilot這個名稱，以及Full Self-Driving（FSD）功能在網頁上的描述，在行銷上可能使消費者誤認該車輛具有完全自動駕駛的能力，而這與事實背離。特斯拉需要在15天內做出回應，否則DMV可能撤銷特斯拉車輛製造商和汽車經銷商等許可。</p> <p><a href="https://www.latimes.com/business/story/2022-08-05/dmv-false-advertising-tesla">外媒Los Angeles Times報導</a>DMV指控特斯拉使用非真實或是具誤導性的陳述宣傳其Autopilot和FSD功能。<a href="https://www.scribd.com/document/585743312/California-DMV-Accusation-Against-Tesla-Inc-Vehicle-Dealer">CNBC上傳</a>的<a href="https://www.scribd.com/document/585743318/California-DMV-Accusation-Against-Tesla-Inc-Vehicle-Manufacturer">DMV文件</a>中提到，DMV認為特斯拉用來描述這兩個功能的名稱，以及所使用的語言，錯誤暗示搭載該技術的車輛能夠自動駕駛。</p> <p>在特斯拉FSD頁面的文字，稱該系統「is designed to be able to conduct short and long distance trips with no action required by the person in the driver’s seat」（設計成可讓坐在駕駛員座位上的人，無須採取任何行動就能進行短程和長程車旅），並且能夠找出最佳路徑「navigating urban streets, complex intersections and freeways」（在市區街道、複雜的十字路口和高速公路導航）</p> <p>目前特斯拉所有車輛都包含Autopilot功能，網頁上提到Autopilot能讓車輛在車道內自動轉向、加速和煞車，文字有提到當前Autopilot功能需要駕駛員主動監督，還不能使車輛自動駕駛。如果車主想要擁有FSD系統，則需要再支付12,000美元，該功能則提供自動停車、自動車道變換，駕駛員還可以在遠處招喚停車場中的車輛移動至所在位置。</p> <p>DMV提到，無論是Autopilot這個名稱，還是FSD在網頁上的描述，並不能簡單識別產品或是品牌，而是表示搭載進階駕駛輔助系統的車輛能夠自動駕駛，但搭載進階駕駛輔助系統的車輛，不能在廣告上稱其能夠自動駕駛。DMV表示，這是一種欺騙性作法。</p> <p>無論是Autopilot還是FSD，都還不能讓車輛擁有完全自動駕駛功能，駕駛員仍然需要將手放在方向盤上，隨時注意道路狀況，以便在突發狀況中做出回應。雖然特斯拉已經在其駕駛輔助系統中加入免責聲明，但DMV認為，這仍不能扭轉其誤導性陳述所造成的影響。</p> </div></div></div>
2022/8/8 18:25作者李建興https://www.ithome.com.tw/news/152366
【資安日報】2022年8月8日，駭客組織APT27宣稱近期對臺灣政府機關發動攻擊、北韓駭客Lazarus佯稱提供Coi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>多個臺灣政府機關、公司行號發動在上週陸續遭到攻擊，但攻擊者的身分為何？名為APT27的駭客組織宣稱是他們所為，並透過影片宣稱掌控了6萬至20萬臺設備的資料，並打算公布竊得的政府資料。</p> <p>北韓駭客組織Lazarus假冒大型公司，並以徵才名義發動網釣攻擊的情況再度出現，這次是以熱門的加密貨幣交易所職缺為幌子。而在此之前，這些駭客主要鎖定的是國防產業。</p> <p>Atlassian Confluence零時差漏洞CVE-2022-26134在5月底被公布，最近有資安業者指出當時利用此漏洞的駭客身分，並公布其攻擊手法與目的。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://udn.com/news/story/7320/6519124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織聲稱近期臺灣政府機關的攻擊事故是他們所為</span></strong></a></h3> <p>臺灣在8月初接連發生總統府、國防部、外交部網站遭到攻擊，以及統一超商和臺鐵電子看板被置入恐嚇訊息等資安事故。有自稱是APT27的駭客組織<a href="https://www.youtube.com/watch?v=nReXcIEqNqE">於8月3日在YouTube上傳影片</a>，表明他們為了抗議美國眾議院議長裴洛西訪臺，對臺灣的警政署、交通部公路總局、台電、總統府等單位發動攻擊，並宣稱他們還掌握6萬臺連網設備，若是臺灣政府再度挑釁，該組織會再出手。</p> <p>事隔數日，<a href="https://www.youtube.com/watch?v=mOyUd85LlaM">該組織於7日再度發布影片</a>，聲稱掌握連網設備的數量有20萬臺，並打算公布部分資訊系統的零時差漏洞，以及竊得的政府資料。隨後，該組織於今日凌晨，公布了<a href="https://twitter.com/APT27_Attack/status/1556313216493400064">財金資訊股份有限公司（FISC）</a>、<a href="https://twitter.com/APT27_Attack/status/1556312607186857987">台電核電平臺</a>的部分原始碼。</p> <p>但這個駭客組織，是否就是之前出現在資安新聞的中國駭客組織<a href="https://attack.mitre.org/groups/G0027/">APT27</a>（又名TG-3390、Emissary Panda、Bronze Union）？從該組織的推特帳號在這個月才成立，<a href="https://twitter.com/APT27_Attack/status/1554852989726519297">且自稱不擅長中文，亦不隸屬中國政府</a>，很有可能是不同的組織。</p> <h3><strong style="font-size: 22px;"><a href="https://newtalk.tw/news/view/2022-08-07/797712"><span style="color: rgb(0, 0, 0);">民視節目網路直播內容遭到竄改，起因是影片來源主機遭到入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/62ef5a7c39419.jpg" style="width: 300px; float: right;" /></a>民視新聞臺在YouTube頻道的網路直播，在8月6日出現遭到竄改的情況，駭客放上了臺灣是中國一部分的恐嚇訊息，並聲稱兩岸統一是「民意」。對此，民視於7日發布聲明，指出駭客入侵了訊源主機，於是影響他們在YouTube播放的內容。該公司於6日晚間8時52分察覺有異，於8時54分移除遭到竄改的影片。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ettoday.net/news/20220807/2311348.htm"><span style="color: rgb(0, 0, 0);">臺灣大學部分網頁遭到竄改，圖片皆變為「世界上只有一個中國」的恐嚇訊息</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6497474.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6497474.jpg" style="width: 300px; float: right;" /></a>臺灣大學的教務處、研發處網頁於8月7日晚間遭到入侵，學生發現網站的圖片，全部被換上「世界上只有一個中國」的恐嚇訊息，並引起廣泛的討論。對此臺灣大學坦言確有此事，並關閉網頁並予以修復，待完成後才會重新上線。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/165bear/posts/359921669512230"><span style="color: rgb(0, 0, 0);">165專線公布第二季高風險賣場，博客來通報件數破2千</span></a></strong></h3> <p>刑事警察局165專線在8月7日，公布今年第二季高風險賣場名單，最嚴重的是博客來網路書店（2,725起），其次為迪卡儂（477件）、誠品網路書店（252件）、遠傳Friday購物（165件），以及蝦皮購物（119件）。其中最值得注意的是博客來，與第一季最多的業者529件相比，通報案件數量多達5倍。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-target-crypto-experts-with-fake-coinbase-job-offers/"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus佯稱提供Coinbase職缺發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FZUx3IrX0AgbSeW.jpg" style="width: 300px; float: right;" /></a>資安業者Malwarebytes研究員Hossein Jazi指出，近期北韓駭客組織Lazarus鎖定金融科技產業，假冒大型加密貨幣交易平臺Coinbase，以徵才的名義寄送釣魚郵件，一旦受害者開啟附件，電腦就會被植入惡意軟體，此惡意軟體會透過架設於GitHub的C2中繼站來接收指令。</p> <p>Lazarus假冒大型企業徵才來發動攻擊已非首例，他們之前曾冒用美國潛艦製造商General Dynamics Electric Boat、太空科技製造商Lockheed Martin的名義發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.deepwatch.com/labs/deepwatch-ati-detects-and-responds-to-never-before-discovered-backdoor-deployed-using-confluence-vulnerability-for-suspected-espionage/"><span style="color: rgb(0, 0, 0);">駭客組織TAC-040鎖定Atlassian Confluence重大漏洞，於受害組織部署後門</span></a></strong></h3> <p>5月底被揭露的Atlassian Confluence零時差漏洞CVE-2022-26134，近期有研究人員公布更多當時駭客利用的細節。資安業者Deepwatch指出，名為TAC-040的駭客組織，在5月底利用上述的漏洞，攻擊研究與技術服務機構7天，駭客在入侵後利用Confluence資料夾裡的處理程序Confluence來執行惡意命令，並枚舉網路環境與AD的資料。</p> <p>研究人員指出，這些駭客很可能也利用SpringShell漏洞，來取得Confluence伺服器的初始存取權限。攻擊者不只濫用受害主機挖取門羅幣，也部署名為Ljl Backdoor的後門程式來竊取機密資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152301"><span style="color: rgb(0, 0, 0);">英國執政黨決定延後首相選舉，起因是駭客可能會發動攻擊影響選舉結果</span></a></strong></h3> <p>英國在Boris Johnson辭去首相後，Liz Truss和Rishi Sunak正在角逐繼任者，保守黨將於近期投票選出。但根據BBC、衛報的報導，該黨收到了英國國家網路安全中心（NCSC）的警告，可能會有駭客從中竄改選票影響選舉，決定強化投票流程的資安，而延後選票寄送的時間。本次保守黨將採用第一階段投票結果，於9月5日選出下任首相。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://albertpedersen.com/blog/hijacking-email-with-cloudflare-email-routing/"><span style="color: rgb(0, 0, 0);">丹麥學生找到Cloudflare尚未正式推出的服務漏洞，獲得6千美元獎金</span></a></strong></h3> <p>雲端服務業者Cloudflare去年推出測試版的Email Routing服務，並邀請少數人員試用。有名丹麥的學生Albert Pedersen，他並未取得試用資格，但試圖通過Cloudflare伺服器的驗證加入試用行列，並發現相關漏洞，於去年12月7日從HackerOne進行通報，Cloudflare於2天後完成修補，並提供3千美元獎金，但近期該公司決定將獎金增加至6千美元。</p> <h3><strong style="font-size: 22px;"><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sb-mult-vuln-CbVp4SUR"><span style="color: rgb(0, 0, 0);">思科修補中小企業路由器重大漏洞</span></a></strong></h3> <p>思科於8月3日發布資安通告，他們近期修補中小企業RV產品線路由器的漏洞CVE-2022-20827、CVE-2022-20841，以及CVE-2022-20842，這些漏洞一旦遭到利用，攻擊者可能得以執行任意程式碼、發動阻斷服務攻擊，CVSS風險評分為8.0至9.8分。由於沒有其他緩解漏洞風險的方法，該公司呼籲用戶應儘速部署新版軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-nhs-suffers-outage-after-cyberattack-on-managed-service-provider/"><span style="color: rgb(0, 0, 0);">英國NHS的緊急通報系統111專線服務中斷，起因是代管服務業者遭網路攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cryptotimes.io/nomad-bridge-announces-10-bounty-for-hackers-to-recover-funds/"><span style="color: rgb(0, 0, 0);">跨鏈橋平臺Nomad祭出近200萬美元獎金緝兇，並表明駭客歸還9成贓款就不追究法律責任</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts"><span style="color: rgb(0, 0, 0);">推特坦承日前駭客竊取540萬用戶資料的管道是零時差漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/152295"><span style="color: rgb(0, 0, 0);">為了防堵駭客濫用ISO、LNK檔案，微軟打算在Windows 11加入相關封鎖功能</span></a></span></strong></p> <h3> </h3> <h3>近期資安日報</h3> <p><a href="https://www.ithome.com.tw/news/152331">【2022年8月5日】高雄市環保局網站被植入五星旗、國防部與外交部網站再度癱瘓</a></p> <p><a href="https://www.ithome.com.tw/news/152302">【2022年8月4日】駭客複製逾3.5萬個GitHub儲存庫散布惡意軟體、大規模微軟電子郵件信箱服務攻擊鎖定企業而來</a></p> <p><a href="https://www.ithome.com.tw/news/152287">【2022年8月3日】總統府網站遭DDoS攻擊、統一超商與臺鐵電子看板內容被置換成恐嚇訊息</a></p> </div></div></div>
2022/8/8 15:38作者周峻佑https://www.ithome.com.tw/news/152365
Twitter漏洞讓駭客取得用戶電話與郵件位址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月有人在Breached Forums駭客論壇上兜售540萬名Twitter用戶的資料，包括其電話號碼與電子郵件帳號，售價3萬美元，<a href="https://privacy.twitter.com/en/blog/2022/an-issue-affecting-some-anonymous-accounts" target="_blank">Twitter上周五（8/5）證實了此事</a>，並說造成該批資料外洩的漏洞早在今年初就修補，只是當時不知該漏洞已遭濫用。</p> <p>根據Twitter的說明，它們是在今年1月透過抓漏獎勵專案得知該平臺有一個安全漏洞，若有使用者於Twitter系統上輸入電話號碼或是電子郵件帳號，系統就會告知該資訊屬於哪個帳號所有；該漏洞是在Twitter於2021年6月更新程式碼時所造成的，但在修補的當下並無證據顯示該漏洞已遭到開採。</p> <p>不過，在媒體於7月揭露有人正在兜售Twitter用戶資料時，Twitter即比對了賣家所公布的資料，判斷駭客是開採了今年初所修補的漏洞。Twitter已通知了所有已知的受到波及的用戶，由於不確定遭到開採的範圍，因此發布此一通知以提醒所有用戶。</p> <p>雖然駭客所兜售的僅有Twitter用戶的電話號碼或電子郵件帳號，並無密碼，但其他駭客也許可自其它的外洩資料庫找到使用者慣用的密碼，使得Twitter建議所有用戶應該啟用雙因素認證，藉由身分認證程式或硬體安全金鑰來保障自己的帳號安全，以避免自己的帳號被擅自登入。</p> </div></div></div>
2022/8/8 18:01作者陳曉莉https://www.ithome.com.tw/news/152367
Meta聊天機器人BlenderBot 3問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/08/blenderbot-ai-chatbot-improves-through-conversation/" target="_blank">Meta上周五（8/5）釋出了</a>第三代的聊天機器人BlenderBot 3，<a href="https://www.ithome.com.tw/news/150753" target="_blank">它奠基在1,750億個參數的OPT-175B語言模型</a>，使用更多的資料集，宣稱其對話效能比上一代好上31%，知識能力是前一代的兩倍，錯誤率則少了47%，<a href="https://geo-not-available.blenderbot.ai/" target="_blank">並開放美國用戶試用及提出意見</a>。</p> <p>Meta指出，BlenderBot系列在各種對話技巧上日益進步，包括個性、同理心與知識，它還結合了長期記憶，並能搜尋網路來進行有意義的對話，除了這些之外，BlenderBot 3更採用了OPT-175B語言模型，約是BlenderBot 2規模的兩倍。已與科學社群分享了BlenderBot 3的模型、資料與程式碼。</p> <p>值得一提的是，所有的AI聊天機器人都不免模仿或學習到一些不安全、具偏見或冒犯的言論，Meta對此展開了大規模的研究，以發展各種新技術來替BlenderBot 3建立保障措施，但BlenderBot 3仍舊會說出無禮或冒犯的內容，這使得Meta決定讓使用者與BlenderBot 3互動，而且可在BlenderBot 3的每個回答上按讚或遜，並註明理由，以協助Meta改善BlenderBot 3。</p> <p>不過此一互動介面目前僅於美國市場開放，預計未來才會擴大至其它國家。</p> <p>此外，為了增進BlenderBot 3與人們互動的能力，Meta AI團隊亦自行建立了許多的資料集，以強化BlenderBot 3的應對能力，以及對不同主題的了解，為了避免有人刻意餵養BlenderBot 3惡意的想法，Meta AI團隊亦打造了新的學習演算法，讓系統能夠區別有幫助或有害的內容。</p> </div></div></div>
2022/8/8 14:48作者陳曉莉https://www.ithome.com.tw/news/152362
Python網頁開發框架Django 4.1加入非同步處理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.djangoproject.com/en/4.1/releases/4.1/">熱門Python網頁開發框架Django推出最新的4.1版本</a>，這次主要更新包括加入非同步處理程式（Asynchronous Handler）以及非同步ORM介面（Object-Relational Mapping Interface），並且包含部分無法向後相容的更改。</p> <p>非同步基於類別的View是Django 4.1的一大重點，除了之前同步方法處理程式之外，View的子類別現在可以定義非同步HTTP方法處理程式。在單個View類別中所有用戶定義的方法，View只能是同步或是非不同步的，當兩者混在一起則會產生異常。</p> <p>ORM非同步介面QuerySet則提供在基於類別的View上，定義非同步處理程式的能力，QuerySet可用於所有資料存取操作，介面的命名參考同步操作，只是加入前綴a，像是acreate()或aget()。官方提到，在這個階段，底層資料庫的操作都仍然維持同步，接下來他們的工作會繼續將非同步支援下推至SQL編譯器中，並整合非同步資料庫驅動程式。</p> <p>新的非同步查詢QuerySet介面封裝了必要的sync_to_async()操作，讓開發者可以隨著之後ORM的發展，擴展程式碼對非同步的支援。</p> <p>Django 4.1有不少非向後相容的更改，影響範圍涵蓋一系列資料庫後端API，像是調整特定行為預設值，以反映大多數資料庫的行為等。Django 4.1支援的Python版本包括3.8、3.9、3.10，另外，Django 4.1將不再支援PostgreSQL 10，僅支援PostgreSQL 11或更高版本，而Django也不再支援MariaDB 10.2，用戶需要使用MariaDB 10.3或更高版本。</p> </div></div></div>
2022/8/8 12:18作者李建興https://www.ithome.com.tw/news/152358
Nomad追贓款：還款9成就不追究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152280" target="_blank">跨鏈協定Nomad上周二（8/2）遭到駭客入侵</a>，來自四面八方的駭客藉由系統安全漏洞盜走了近1.9億美元的加密貨幣，<a href="https://mobile.twitter.com/nomadxyz_/status/1555293965049630722/photo/1" target="_blank">隨後Nomad即向駭客呼籲</a>，只要還款9成就把他們當作白帽駭客，所留下的10%將作為獎賞，且不會對他們採取法律行動。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FZWBPaVWYAEt1PF?format=png&name=900x900" style="width: 500px;" /></p> <p><a href="https://medium.com/nomad-xyz-blog/nomad-bridge-hack-root-cause-analysis-875ad2e5aacd" target="_blank">根據Nomad的分析</a>，該系統有個實現漏洞，造成副本合約（Replica Contract）無法妥善地認證訊息，進而可用來偽造任何尚未處理的訊息，使得只要是仰賴Replica作為認證所進入訊息的合約，都會遭受安全故障，而讓詐欺訊息傳送到Nomad的BridgeRouter合約。</p> <p>Nomad表示，此一漏洞現身於6月21日，當時該平臺升級了智慧合約，雖然在升級前曾經進行程式碼的稽核，也曾發表公開的抓漏專案，卻沒有人發現或提報此一漏洞。</p> <p>現在Nomad已回滾了Nomad Bridge與Nomad Governance合約的Replica功能，也關閉NomadBridge使用者介面，除了努力修復系統之外，也強力呼籲透過該漏洞轉走數位資產的使用者可以歸還到Nomad所指定的錢包0x94a84433101a10aeda762968f6995c574d1bf154。</p> <p>Nomad指出，除了駭客盜轉該平臺的資產之外，也有一些資安研究人員是為了保全它們不被駭客轉光，也出手轉走了部分資產，並暫時保管。不管這是不是動之以情的說法，截至8月7日，Nomad從39個錢包位址收到了價值3,580萬美元的數位資產。</p> <p>此外，為了鼓勵駭客們歸還款項，Nomad也宣布會把任何歸還至少9成資產的駭客當作白帽駭客，允許他們保留10%作為獎勵，而且不予追究，並強調Nomad正與加密貨幣社群、執法機關及區塊鏈分析業者合作，以確保所有的款項都會被歸還。</p> </div></div></div>
2022/8/8 13:15作者陳曉莉https://www.ithome.com.tw/news/152360
DuckDuckGo宣布也封鎖微軟追蹤器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎DuckDuckGo在今年5月遭爆因與微軟簽署廣告協議，而獨厚且放行微軟追蹤器，<a href="https://www.ithome.com.tw/news/151124" target="_blank">而引起使用者的撻伐</a>，本周DuckDuckGo承認自己不符使用者期待，<a href="https://spreadprivacy.com/more-privacy-and-transparency/" target="_blank">宣布將封鎖微軟追蹤器</a>。</p> <p>當使用者以瀏覽器造訪特定網站，在載入該網站內容的同時也會載入該網站所嵌入的第三方腳本程式，例如最普遍的第三方腳本程式為Google Analytics，可協助網站分析使用者於該站的行為，只是該腳本程式也將允許Google獲得使用者資訊以用來建立個人檔案，而DuckDuckGo所內建的第三方追蹤載入保護即可封鎖這類的腳本程式。</p> <p>不過，由於DuckDuckGo使用Bing作為私人搜尋結果的來源，而減少了對微軟追蹤腳本程式的限制，但本周DuckDuckGo宣布將對微軟一視同仁，會在DuckDuckGo行動程式與瀏覽器擴充程式中同時封鎖來自臉書、Google與微軟的第三方追蹤腳本程式，相關程式的測試版預計於下個月出爐。</p> <p>此外，在DuckDuckGo與微軟所簽署的廣告協議中，為了要計算廣告效果，會使用來自bat.bing.com網域的微軟追蹤腳本程式，而這也是現階段唯一的例外。DuckDuckGo指出，他們正著手打造一個新架構，得以取代bat.bing.com的廣告評估能力，還能完整保護使用者隱私。</p> <p>除了DuckDuckGo之外，Safari與Firefox也都在開發可用來計算廣告轉換率，卻不出賣使用者資訊的機制，可望在未來讓隱私成為整個數位廣告產業的預設。</p> </div></div></div>
2022/8/8 13:57作者陳曉莉https://www.ithome.com.tw/news/152361
AWS執行個體匯入服務向Windows 11用戶招手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準Windows 11對硬體規格的要求對企業產生壓力，<a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/08/vm-import-export-windows-11/" target="_blank">Amazon Web Services（AWS）宣布</a>VM Import/Export支援Windows 11，讓用戶將Windows 11執行個體映像（image）搬到AWS上執行。</p> <p>VM Import/Export可讓用戶將虛擬機器（VM）映像從本地部署環境匯入Amazon EC2執行個體，也可以匯回本地部署環境。它原本是為主打VMware用戶市場而設計。Windows 11則是最新支援的本地部署平臺，允許企業把Windows 11的VM映像匯入到EC2 Dedicated Hosts和EC2 Dedicated Instances上啟用新的執行個體。匯入映像可使用AWS CLI或其他開發人員工具。</p> <p>根據Windows 11的要求，執行最新Windows作業系統的硬體必須具備UEFI韌體、TPM 2.0及安全開機支援。對許多Windows 10用戶而言，這意謂著現有PC將無法執行，利用VM Import/Export，用戶即可將開機模式設為UEFI，而將Windows 11的映像檔匯入到AWS上。</p> <p>這項新功能目前已在美國的AWS GovCloud政府雲及所有公開AWS區域上線，惟設於印尼雅加達的AWS亞太區域例外。</p> </div></div></div>
2022/8/8 13:01作者林妍溱https://www.ithome.com.tw/news/152359
Google讓引號搜尋完全只呈現含有確切文字的搜尋結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google搜尋的其中一項功能是允許使用者利用引號來執行搜尋，以找到包含這些確切關鍵字的頁面，<a href="https://blog.google/products/search/how-were-improving-search-results-when-you-use-quotes/" target="_blank">上周Google改善了引號搜尋的結果呈現</a>，讓它只出現含有確切關鍵字的結果。</p> <p>引號搜尋是超級使用者常用的功能，因為這些使用者需要找到的是擁有確實關鍵字的頁面，例如搜尋"無線手機充電器"，那麼Google的搜尋結果頁面就只會呈現含有「無線手機充電器」字樣的段落。</p> <p>雖然引號搜尋的宗旨就在於僅呈現符合使用者輸入關鍵字的頁面，但由於有時這些關鍵字在文件或網頁中出現的位置，並不適合用來建立有用的搜尋結果摘要，例如有些關鍵字出現在網頁的選單中，或是出現在網址上，因此有時Google就會跳過該關鍵字，於結果頁中以可讀取的描述來取代。</p> <p>然而，有使用者向Google建議，他們之所以採用引號搜尋，就是想看到這些關鍵字在網頁上實際出現的位置，而不是想得知該網頁的整體描述。</p> <p>這使得Google在上周變更了引號搜尋的結果呈現，讓該功能真實呈現該有的樣子，並在桌面的引號搜尋結果上以粗體來顯示符合的關鍵字。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/quotesinSearch.max-1000x1000.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google指出，現在的搜尋引擎已經很能理解自然語言，而且會同時搜尋確切單字、字串或相關術語的概念，不再像過去一樣需要利用引號來提供額外的指導，建議使用者不管執行任何搜尋都可從自然語言搜尋開始，因為引號搜尋可能會錯失一些採用類似字串的重要資訊。</p> </div></div></div>
2022/8/8 11:20作者陳曉莉https://www.ithome.com.tw/news/152356
雲端業者EA、Epic Games及Reddit在印尼遭封鎖連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括PayPal、Yahoo及遊戲業者Valve等遭到印尼政府封鎖的雲端業者上周補辦註冊後恢復營運，但EA、Epic Games、Ubisoft及Reddit則無法使用。</p> <p><a href="https://www.ahp.id/deadline-for-electronic-system-operators-is-set-20-july-2022/" target="_blank">印尼通訊及資訊技術部去年6月公告</a>一項電子系統營運管理法，以資訊安全及防範網路犯罪為由，要求在印尼境內執行的「電子系統營運商」（Electronic System Operators），包括公家單位、民間業者、個人及社群經營的平臺必須向政府註冊，其中民間業者被歸類為「私營電子系統營運商（Electronic System Operator for Private Scope）」。<a href="https://siplawfirm.id/registration-of-electronic-system-operators-in-indonesia/" target="_blank">新規定要求</a>ESO提供負責人及公司身分、印尼用戶數及來自印尼的交易值，這些ESO也應遵守印尼法規，包括維護個資、維持系統安全、以及移除印尼政府認為非法或擾亂公共秩序的線上內容等義務。</p> <p>註冊期限為2022年7月20日。印尼政府揚言在期限後將開始封鎖未註冊的業者。<a href="https://www.ithome.com.tw/news/152232" target="_blank">7月30日起PayPal、Yahoo、Steam、Epic Games等多家服務在印尼無法使用</a>。</p> <p><a href="https://www.kominfo.go.id/content/detail/43412/siaran-pers-no-309hmkominfo072022-tentang-pernyataan-kementerian-kominfo-terkait-perkembangan-terbaru-pendaftaran-pse-lingkup-privat/0/siaran_pers" target="_blank">印尼政府證實共5家公司，</a>包括PayPal、Yahoo、Epic Games、Valve 公司的Steam（包括《Dota》、《Counter Strike》2項遊戲）和EA的Origin平臺被切斷連線。<a href="https://kominfod.angelo.fyi/id" target="_blank">根據印尼政府網站</a>，Reddit也已被封鎖。</p> <p>由於這些服務皆為使用者眾的大型服務，印尼政府的封鎖上周引發該國民眾不滿，批評政府管制言論自由。為平息眾怒，當局在7月31日起短暫重啟PayPal 5天。</p> <p><a href="https://www.reuters.com/technology/paypal-registers-indonesia-access-unblocked-company-says-2022-08-03/" target="_blank">路透社</a>及<a href="https://twitter.com/ZhugeEX/status/1554379671155998723" target="_blank">遊戲產業記者</a>報導，Valve/Steam、PayPal、Yahoo上周完成註冊，已經恢復服務，但Epic Games 及EA、動視暴雪的《魔獸戰紀Battle.net》、遊戲公司Ubisoft則處於無法連線狀態。</p> <p><a href="https://kominfod.angelo.fyi/id" target="_blank">印尼政府網站顯示</a>，AWS、Google Cloud、YouTube、推特（Twitter）、微軟LinkedIn、Facebook等服務已經註冊，微軟Azure、Amazon、Nintendo、Ubisoft、Wikipedia等則尚未註冊。</p> </div></div></div>
2022/8/8 11:48作者林妍溱https://www.ithome.com.tw/news/152357
Amazon 17億美元買下掃地機器人廠商iRobot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-irobot-sign-agreement-amazon-acquire-irobot" target="_blank">Amazon 上周五（8/5）宣布</a>已經和iRobot談定合併協議，將以17億美元全現金方式收購這家掃地機器人供應商。</p> <p>iRobot是1990年由麻省理工學院研究航太機器人的人工智慧實驗室畢業生Colin Angle、Helen Greiner與其教授Rodney Brooks 成立。他們在2002年推出了Roomba，相當成功，2005年11月於那斯達克股票上市，3個人當中，Colin Angle持續擔任CEO至今。iRobot之後還推出了拖地機器人等自動化清掃機器。其旗艦產品Roomba到2020年全球賣出3,000萬臺。</p> <p>Amazon將以每股61美元，總價近17億美元收購iRobot，本交易還需經過主管機關及iRobot股東的同意。而Colin Angle也將持續擔任iRobot的執行長一職。</p> <p>Amazon裝置部門副總裁Dave Limp指，iRobot的產品能按客戶需要清理特定地方、避開常見障礙物，還自動清空集塵箱，具備高度實用性及創造力，很高興能和iRobot團隊合作，為客戶創造更輕鬆而愉悅的生活。</p> <p>過去Amazon也買過機器人公司，例如2012年以7.75億買下倉儲機器人製造商Kiva System，此後也有Pegasus、Xanthus、Hercules，不過都是部署在自家物流配貨中心。但這次iRobot的收購可能為了實現智慧家電藍圖。iRobot的軟體iRobot OS內建的AI技術使其不但能繪製家中地形圖，或避開衣物、無線耳機等常見物體，還能支援Google Assistant、Alexa等數百種語音助理指令，以及根據使用者習慣建議吸地時間。結合Amazon現有智慧家庭產品如無線路由器Eero、Alexa、Echo，或是智慧門鈴Ring，可使Amazon提供涵蓋消費者住家的智慧連網設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-irobot-2-500.png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源／iRobot</span></p> <p>隱私權人士擔心，這樁收購讓Amazon可以蒐集到更多消費者隱私資訊。<a href="https://www.wired.com/story/amazon-irobot-roomba-acquisition-data-privacy/" target="_blank">The Wired引述數位權組織Fight for the Future主席Evans Greer指出</a>，Amazon不再只是電商平臺，而是蒐集消費者資訊的業者；Amazon 想將其監控之眼深向更多消費者家中，蒐集iRobot這個已掌握消費者家中地形的廠商，再自然不過。</p> <p>Amazon官方未說明會如何使用iRobot的資料，但公司官方回應指出，他們將致力於確保客戶資訊，以建立客戶信任。</p> </div></div></div>
2022/8/8 10:40作者林妍溱https://www.ithome.com.tw/news/152354
Slack修正會導致憑證曝險的系統漏洞，要求部分用戶重設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/zh-tw/blog/news/notice-about-slack-password-resets" target="_blank">協同平臺Slack上周四（8/4）公告</a>，系統出現一項漏洞可導致用戶登入憑證曝光，已經對少數用戶重設密碼。</p> <p>Slack這項漏洞發生在工作空間裏建立共用邀請連結的功能上，由於「程式異常」，讓Slack意外將密碼傳送給其他工作空間成員。但Slack表示，密碼經過雜湊處理，因此所有Slack用戶端都無法直接查看到密碼內容，而且除非長時間監控Slack伺服器的網路流量，也不會發現到這組密碼。</p> <p>這漏洞是由一位外部研究人員發現，於7月17日通報Slack。</p> <p>受到影響的用戶是4月17日到7月17日之間建立或撤銷共用邀請連結的用戶，Slack估計占總用戶的0.5%，並在8月4日對這些用戶發送通知。</p> <p>Slack在接獲通報後已經修補根本問題，並調查可能的影響。該公司表示不認為有任何人會因此取得用戶純文字格式的密碼。不過Slack表示為安全起見，仍然為這些用戶重設密碼，他們必須設定新密碼才能再次登入。</p> <p>使用者可在<a href="https://my.slack.com/account/logs" target="_blank">https://my.slack.com/account/logs</a>檢視帳號的個人存取記錄或下載完整的 CSV 報告。Slack也建議用戶啟用雙因素驗證、使用的服務建立不重複的全新密碼，以及善用密碼管理工具，並確保電腦軟體和防毒軟體更新到最新版本保護帳號安全。</p> </div></div></div>
2022/8/8 11:03作者林妍溱https://www.ithome.com.tw/news/152355
整合端網雲改善資訊基礎架構，桃園捷運透過數據分析強化營運
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2017年桃園捷運機場線通車後，這一條全長53公里，跨越桃園市、新北市、臺北市及桃園國際機場的路線，不只是國外觀光客抵達臺灣，前往市區的重要交通運具，也是國人上下班、上下學的重要通勤方式。</p> <p>然而，在新冠肺炎全球大爆發後，嚴格管控出入境的防疫策略下，國外旅客驟減，國人也減少出國旅遊計畫，民眾減少外出活動，使得桃園大眾捷運公司（以下簡稱桃園捷運或桃捷）旗下這條線路的運務量大減。</p> <p>疫情爆發前，2019年時，機場捷運一年總運量為2,796萬人次，平均每日運量約7.6萬人次，而在疫情影響的2020年，年度運量大減至1,852萬人次，平均每日運量也縮減至約5萬人次。</p> <p>儘管機場捷運受疫情衝擊而運量銳減，但並沒有停下發展腳步。去年桃園捷運與交通部鐵道局合作，推動5G智慧鐵道運輸及監理環境，從端、網、雲三部分，為桃園捷運的智慧化營運奠定基礎。其中雲的部分，桃捷規畫打造私有雲平臺，推手正是在桃園捷運企畫處資訊組擔任正工程師兼經理的李鴻志。</p> <p>在進入桃園大眾捷運公司之前，李鴻志曾在資訊服務產業工作，具有豐富的軟體開發及系統整合經驗，在機場捷運線正式通車營運前，他在2016年加入桃園捷運，待過負責車輛、機電、軌道等維修及研發的維修處。</p> <p>在維修處期間，李鴻志曾花約一年時間自建一朵測試雲環境，蒐集IoT物聯網數據，包括車載號誌擷取數據、空氣盒子數據、MMS維修管理系統數據進行分析，與維修處研發團隊合作，打造列車舒適度即時監控儀表板，透過儀表板顯示空氣品質、車廂擁擠程度、震動感測等，以掌握旅客乘車舒適度。他還參與開發車載號誌即時健康指數儀表板，顯示列車動向、車輛健康狀態。</p> <p>李鴻志後來轉至負責行車控制、車務、站務、票務的運務處，再調到負責策略規畫的企畫處，今年成為資訊組正工程師兼經理，帶領桃捷IT團隊</p> <p><span style="font-size:28px;"><strong>打造私有雲架構</strong></span></p> <p>雖然桃園捷運機場線2017年才通車，但由於桃園捷運規畫較早，採用IBM主機切分VM虛擬主機，每臺機器資源不易共享，去年，資訊團隊開始規畫私有雲架構，從2022年開始建置。</p> <p>為了提升資源的共享，這個私有雲在IaaS層，規畫採用OpenStack加上K8s，並搭配Ceph數位定義儲存，當資料庫資源不足時，將儲存資源定義分配給個別的資料庫使用。PaaS層的資料交換，將採用MQTT及Kafka，透過MQTT蒐集IoT設備資料，並以Kafka作為資料匯流排，處理大量資料，送到NoSQL或SQL Server作資料倉儲，搭配Log紀錄告警。</p> <p>鑑於舊有系統仍採用Windows環境，私有雲除了支援容器，追求資源的靈活調度，也順應舊系統的需要，繼續支援VM虛擬主機。</p> <p>李鴻志表示，相較於以單機主機切分VM的架構，除了資安的問題之外，資源不易共享，雲架構可以加入集群方式，讓CPU、RAM、儲存等資源共享，當微服務需要更多的資源時，就能以數位定義擴充。這個私有雲也為未來推動5G IoT大數據處理作好準備。</p> <p>李鴻志解釋，當微服務或數據蒐集在特定的主機，隨著數據量的增加，傳統的方式需要移機到另一臺更大的主機，採用雲系統的優勢是，可利用平行擴充增加資源。私有雲將於2023年完成，未來新架構逐步取代舊架構。</p> <p>「任何數據的蒐集都是為了智慧化，這是基本功」，大量的數據蒐集回來後，搭配私有雲系統，承接龐大的數據量，透過私有雲的橫向擴充優勢，能夠更靈活擴充資源，也善用雲來提供備援。</p> <p>「IT建立雲系統等基礎建設，營運單位從端取得資料，透過IT的標準化雲使用方式，將資料拋到雲，進行BI分析」，李鴻志說明桃捷的端、雲策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%96%87%E5%BD%AC-%E6%A1%83%E6%8D%B7-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 472px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span><br /> <span style="color:#696969;"><strong>桃園捷運企畫處資訊組正工程師兼經理李鴻志表示，IT建立雲系統等基礎建設，營運單位從端取得資料，透過IT的標準化雲使用方式，將資料拋到雲，進行BI分析。</strong></span></p> <p><span style="font-size:28px;"><strong>從OT端蒐集更多數據輔助決策</strong></span></p> <p>在這波新冠肺炎疫情衝擊之下，民眾基於防疫減少外出，使得鐵道業者的旅客載運量驟減，在經營上面臨更為嚴峻的考驗，桃園捷運也不例外，需要更精準的下決策，例如依據乘客數量的增減，判斷某個時段加開或是減少班車。</p> <p>然而，營運決策需要蒐集OT設備端的運作數據，例如軌道旁號誌資料、月臺資料、車站內電梯資料，這些資料在鐵道業而言，過去都在封閉的OT環境，由行控中心監控即時數據，確保系統設備的正常運作，要自行控中心以外取得資料並不容易。</p> <p>李鴻志表示，過去，OT領域常將封閉網路環境視為安全，但現在意識到OT不一定能做到完全封閉，因為一方面想要確保資安，另一方面又想要獲取其中的資料來進行分析，協助營運、維修或供決策之用。</p> <p>為此，桃園捷運在強化端、網、雲的基礎架構中，端的部分由各個單位研發相關技術，例如從OT端透過自行研發、委外研發的技術蒐集數據，目前已有一些成果。</p> <p>以行控系統的中央列車自動監視（Automatic Train Supervision, ATS）控制系統為例，為提供全面的捷運營運控管，包括列車動態，開往哪裡、經過哪些軌道電路、轉轍器、月臺門、供電資料等等，最直接的方式是自系統取得原始數據，但可能是原廠一連串位元組，只能透過SCADA圖控畫面，才能瞭解列車將進入哪個車站、哪個月臺門狀態。</p> <p>為了取得ATS系統數據作分析之用，他們委外開發，運用AI影像辨識SCADA的圖控畫面，以間接的方式轉換為數位資料，作為後續的數據分析，輔助經營決策。</p> <p>除了軌旁號誌的數據，還需要取得車載號誌的數據，兩者相互對應，才能掌握捷運列車前方的路能不能行駛、車速應該多快，由於列車行駛速度快，以時速80公里為例，列車1秒行駛距離達22公尺，指令晚下1秒就可能錯過時機，因此車載號誌每秒回傳即時資訊。</p> <p>透過自行研發，以側錄取得車載號誌系統每秒回傳資訊，包括列車位置、駕駛模式、目的地，哪輛車在北上方向哪個車站月臺，該列車為自動駕駛或手動駕駛，列車ATP保護裝置是否有效，車載設備是否健康等等。</p> <p>因捷運列車移動，目前桃捷是透過4G網路，回傳車載號誌數據及車廂內監控影像畫面，因監控影像只有300萬畫素，利用4G網路回傳資料已足夠，但考慮到未來更高畫質的影像傳輸或AI應用需要，視捷運沿線5G基地臺涵蓋情況，明年計畫改用5G網路取代4G。</p> <p><span style="font-size:28px;"><strong>透過數據分析輔助決策</strong></span></p> <p>明年私有雲上線後，根據不同的數據分析需求，送到私有雲架構不同資料庫，如非關聯性資料庫MongoDB，可直接餵入JSON格式資料，用於資料交換、網頁呈現，或將數據送至關聯性資料庫，如MySQL、SQL Server，透過儀表板呈現數據或BI商業智慧分析。</p> <p>李鴻志表示，從OT取得的數據的目的是進一步分析運用，在這個過程中， IT的角色是完成基礎建設，例如私有雲系統及標準化的使用方式，各營運單位從端取得OT數據後，拋到雲端資料庫使用BI工具進行分析。未來桃園捷運新的路線通車，也能從新系統撈取更多值得分析的數據。</p> <p>儘管桃捷IT團隊規模並不大，資訊組人數為15人，和其他捷運同業的資訊部門相比規模較小，但編制在企畫處底下，IT扮演資料匯流、資料管理者，協助經營管理層所需資料，如人員、財務、會計等，協助與成本、收入有關的資料分析，輔助經營決策。</p> <p>李鴻志表示，蒐集OT數據加以分析輔助決策，甚至可發展出專家系統。舉例來說，當發生4級以上地震時，列車放慢速度進行巡軌，過去是交由人工依據經驗判斷如何巡軌，未來發展出專家系統後便能自動計算巡軌時間，安排A、B、C列車執行巡軌。</p> <p>在車輛維修方面，蒐集車載號誌系統每秒回傳的數據，維修單位能掌握車輛的健康情形，甚至做到預測性維修，一些設備故障在發生前有前兆訊息，前兆可能出現僅僅1秒，側錄車載系統每秒回傳數據，當發現前兆訊息，預估故障的可能性高，在發生之前先進行維修，以避免故障發生後才維修的高成本，例如列車因故障無法發車，為旅客處理退票或安排換乘其他列車、交通工具，媒體大篇幅報導還會造成公司商譽損失等。</p> <p>另外，因機場捷運經過桃園棒球場，每當舉行棒球比賽或演唱會，旅客就會增加，捷運公司需要研判是否需加開班車，雖然各車站的售票資料每15分鐘回傳一次，但僅集中至票務中心，如經營管理層要求票收數據，需要以人工方式取得售票資料，處理相當費時，最快取得昨天的資料，因此過去捷運公司得在活動前一晚作決策，而且仰賴人工經驗判斷。</p> <p>未來私有雲上線後，每15分鐘的票收數據蒐集至私有雲，綜合其他系統的數據進行BI分析，由於更貼近各車站真實售票數據，不再需要前一晚依據人工經驗判斷，在比賽或演唱會當天，根據更即時的數據下決策。</p> <p>「過去以人工處理資料，花費許多時間，自動化的目的是加快分析速度，提供有效的分析，並且提升決策速度」，李鴻志說。</p> <p>由於鐵道事業售票金額並不高，鐵道業經營並不容易，業者均希望從大數據中煉金，設法增加營收，特別是加開列車班次，意謂著用電成本增加，同時需要安排服務人力，因此對鐵道業而言，依據數據分析輔助經營決策相當重要。</p> <p>桃捷曾從售票數據發現，許多到桃園棒球場觀看比賽的球迷來自臺北市、新北市，不少球迷可能2到4人自行開車到棒球場，為了吸引球迷搭捷運看棒球，桃捷和棒球場異業合作，推出看球賽回程免費搭捷運，以吸引球迷願意搭捷運看比賽。</p> <p>透過端、網蒐集更多營運數據，再經由私有雲分析運用，桃捷希望加快分析改善內部經營決策，未來這個私有雲也會和交通部的鐵道營運安全雲介接，將部分營運數據上傳至鐵道雲，讓主管機關根據鐵道業者的數據，研究擬定鐵道管理政策。目前桃捷正與鐵道局合作，為營運資料上傳至鐵道雲制定標準，未來不只是桃園捷運，其他鐵道業者也會依這個標準上傳資料至鐵道雲，讓主管機關掌握營運資料，協助改善我國鐵道監理決策。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>桃園大眾捷運企畫處資訊組正工程師兼經理李鴻志</strong></p> <p>學歷：世新大學傳播管理學系</p> <p>經歷：曾在資訊服務產業工作，具有軟體開發、系統整合經驗，2016年進入桃園大眾捷運，在維修處、運務處、企畫處擔任正工程師、正管理師等職務，在維修處曾參與IoT數據分析運用，並自建智慧維修測試雲，後來升任企畫處資訊組經理帶領IT團隊</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E6%8D%B7-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 200px;" /></p> <p><strong>桃園大眾捷運</strong></p> <p>地址：桃園市大園區領航北路四段251號</p> <p>成立時間：2010年</p> <p>主要業務：機場捷運服務</p> <p>員工數：約1,140人</p> <p>董事長：劉坤億</p> <p>總經理：鄭德發</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：企畫處資訊組正工程師兼經理</p> <p>資訊部門主管姓名：李鴻志</p> <p>資訊部門人數：15人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2015年：ERP/EIP系統上線</p> <p>2016年：通過CNS27001/ISMS資安驗證</p> <p>2017年：推出MMS維修管理系統、遺失物管理系統上線</p> <p>2018年：文件管理系統、物品管理系統上線</p> <p>2019年：推出站務管理系統</p> <p>2020年：票務帳整系統上線</p> <p>2021年：運務支援系統上線</p> <p>2022年：車務行控系統上線、規劃建置桃捷雲私有雲系統</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cio_talkzhu_tu_.jpg" width="960" height="420" alt="" title="桃園大眾捷運企畫處資訊組正工程師兼經理李鴻志　（攝影／洪政偉）" /></div></div></div>
2022/8/8 07:00作者蘇文彬https://www.ithome.com.tw/people/152311
【iThome 2022 CIO大調查(上)】因應新常態挑戰，企業IT投資今年2位數大成長
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p2-ittou_zi_-150dpi-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣今年進入了截然不同的新常態，與疫情共存，成了企業的日常。臺灣大型企業的IT投資再次出現了2位數的大成長，但是，今年CIO的任務有了根本性的改變。</p> <p>臺灣大型企業今年IT投資成長率高達了10.8％，這是6年來的新高，連續兩年達到2位數的成長力道。去年IT預算的暴漲，是為了因應疫情突然爆發的應變，尤其是一般製造業、高科技業和金融業的IT預算都有2位數的成長，超過了10％。</p> <p>到了今年，整體平均IT投資高達10.8%的成長率，略高於去年，2022年的平均IT投資金額則達到了1億6千多萬元，和去年相當。但從產業來看，明顯與去年不同。服務業、醫療業、一般製造業和金融業的成長率都達到了2位數，更多企業大幅成長，但去年暴增的高科技業，在今年反而只有7.4%的成長。</p> <p>值得注意的是，醫療業和服務業在去年是IT投資力道較弱的兩個產業，今年反而超車，成了領先者，尤其服務業從去年的7.9%，在今年暴增到14.6％。新常態帶來的蓬勃零接觸經濟，更多線上消費模式的崛起，外送甚至成了各種生活產品到家的常見手段，人們逐漸習慣了因疫情而興起的新數位消費方式，這也讓服務業在今年大力加碼投資IT，來發展更多數位服務和平臺。</p> <p>而站在抗疫最前線的醫療業，今年首度面臨了新一波疫情帶來的爆量就診考驗，這是過去醫院少見的新挑戰，但也加速了政府推動遠距醫療的決心。<a href="https://www.ithome.com.tw/article/152064" target="_blank">衛福部在今年7月公告了新版醫療機構電子病歷製作及管理辦法，不只允許醫院委外建置電子病歷系統，更開放電子病歷可以上公有雲，也同意醫院可以做到全面無紙化。</a></p> <p>這些變革都需要仰賴IT技術的支援，也帶來了一波醫院IT現代化的趨勢，已有少數醫院已經展開HIS系統大改造，有些醫院例如中國醫藥大學附設醫院用容器技術和微服務架構，分階段改造500多套HIS子系統，來推動HIS優化再造，或像是國泰醫院則在去年展開了HIS雲端轉型專案，將過去的單體式系統，拆解成多套雲端的中臺系統，也同樣要採用微服務，還計畫要打造一套FHIR電子病歷交換雲平臺。今年可以看到更多醫院投入IT現代化。</p> <p>投入數位轉型的企業今年持續增加，近7成開始進行，但有3成企業今年更因為新常態的考驗，決定加入推動轉型。IT部門和全公司遠端能力的強化是多數企業已經具備的基本能力，近3成企業開始提高上雲比重或是加速IT現代化，也有14.2%企業要提升DevOps能力，這些都是為了讓IT更敏捷，更能因應新常態的變化。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi(1).png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p2-IT%E6%8A%95%E8%B3%87-122dpi.png" style="width: 595px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a></span><span style="color: rgb(255, 255, 255);"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152318
【iThome 2022 CIO大調查(上)】CIO優先目標今年不一樣，敏捷IT和ESG是新焦點
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p3-ciomu_biao_-150dpi.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年CIO年度目標的排序，出現了很大的變化，這也反映出CIO在2022年的挑戰有別於往年。</p> <p>除了年年看重的資安和IT穩定依舊名列一、二名之外，在與疫情共存的新常態之下，企業更需要IT的敏捷能力，來滿足更多零接觸與數位化的業務需求，讓加快IT反應能力和彈性的目標，超越了數位轉型，成了CIO今年名列第三的年度工作目標。反倒是提升營運效率和降低成本這兩項目標，掉出了CIO十大目標排名之外，重視的CIO不再像過去那麼多。</p> <p>另一個新興的CIO工作目標是ESG企業永續發展，這是近兩年崛起的企業發展課題。往年只有近2成CIO同時會考慮企業永續議題，但在今年，多達30.5%企業CIO，將ESG列為年度目標，遠高於去年的16.3%。</p> <p>為了因應新的目標，企業越來越仰賴IT開發能力，平均企業IT人數近50人，開發人力比重超過一半，甚至IT 規模排名前5％的企業，他們至少都建立了超過230人的團隊，開發人力也超過百人。今年更有4成企業要擴編IT團隊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi-V2.png" style="width: 589px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A84%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A85%E3%80%91%E5%B0%81%E9%9D%A2p3-CIO%E7%9B%AE%E6%A8%99-120dpi.png" style="width: 585px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a></span><span style="color: rgb(255, 255, 255);"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152319
【iThome 2022 CIO大調查(上)】IT成為ESG浪潮關鍵角色，金融和高科技最積極
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_feng_mian_p4-esg-150dpi.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月國發會公布了臺灣的「臺灣2050淨零排放路徑」，對臺灣企業永續發展帶來了很大的影響。KPMG安侯永續發展顧問公司執行副總林泉興強調，這項路徑圖將永續議題的影響，從少數產業，跨大到政府部門和各企業。</p> <p>林泉興解釋，這份淨零路徑最大的特色是「高度生活化」，要從電力，消費、商業行為等各種生活化場景，全都要一起來做到。「本來淨零浪潮以工業、製造產業為主，但未來會影響到所有的人。」</p> <p>淨零目標帶來了更多IT的責任和挑戰。林泉興表示，從這份新路徑圖，可以看到臺灣能源配置策略的調整，要提高再生能源的比重，也帶來企業對供電不穩的擔憂，帶動了儲能系統建置需求，另一方面，為了追蹤碳足跡，不少製造業積極建置數位電表來監控製程設備的能耗，這些都需要聯網才能即時監控，這些為了淨零的數位手段，逐漸成為IT維運的重點。</p> <p>在今年CIO大調查中，也反映出這股新的趨勢，ESG成為企業CIO在2022年的重要目標之一，整體產業來看，今年有30.5%企業CIO將ESG列為年度工作目標，金融業和高科技更是超過了4成。</p> <p>不少金融業紛紛宣示了2030年的淨零目標，也有不少企業因此開始進行溫室氣體排放量的盤查，進一步提高機房和營運設備的能源效率，甚至會考慮改投資高能效的IT基礎設施，或者逐漸將實體機房雲端化。這也讓1成企業CIO，今年也將淨零碳排列為重要的年度目標，又以政府與學校（18.9%）和一般製造業（16.8%）的CIO居多。</p> <p>許多企業紛紛利用數位或資訊手段來因應ESG的需求，例如56.3%企業要推動內部作業的無紙化，或是近半數企業則想提升機房節能省電效率，更有27.2%企業認為提高上雲比重也是一種因應ESG的IT做法。</p> <p>2成企業開始將數位轉型大戰略對齊ESG目標，IT也開始參與企業ESG績效的指標設計，方便在資訊系統上埋設各種監測機制即時搜集數據。這些做法都需要IT涉入許多企業業務運作，因此，企業營運高層的永續發展委員會，也開始納入CIO和資安長，例如有12.7%CIO已經加入，也有1成企業是找來資安長參加。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A81%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-122dpi.png" style="width: 595px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A82%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-122dpi.png" style="width: 595px;" /></p> <p><span style="font-size:28px;"><strong>給企業CIO推動ESG的四個建議</strong></span></p> <p>林泉興認為，擁有數據和開發人力的CIO，得從過去幕後支援的角色，轉變為第一線主導者，用數位手段或監控技術，來提高企業的能源效率，甚至得影響到物流、綠電、企業商業模式等。</p> <p>第一步，他建議，企業先盤點出內部營運能效的使用者需求，第二步才導入內部的碳排管理平臺，第三，CIO應該參與永續委員會，善用數位手段支援各部門淨零。</p> <p>最後一項建議是，林泉興指出，因為企業日後需要搜集外部的碳排數據，因此往來的上下游業者日後都會要求企業提供碳排放數據，CIO必須擴大EGS的思考高度，從企業營運面的價值鏈，來思考IT的ESG做法，例如可以預先思考更多營運環節來搜集相關碳排數據和節能省電的優化做法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E5%85%A7%E6%96%87%E5%9C%96%E8%A1%A83%E3%80%91%E5%B0%81%E9%9D%A2p4-ESG-117dpi.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#FF8C00;"> 問卷執行說明 </span> </strong></span><span style="color:#696969;"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><strong><span style="font-size:20px;"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></a></span><span style="color:#FFFFFF;"> </span></strong><strong style="font-size: 18px;"><font color="#3399ff"><a href="https://www.ithome.com.tw/article/152321" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" style="width: 550px;" /></a></font></strong></p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152320
【iThome 2022 CIO大調查(上)】企業永續新常態下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1089-feng_mian_da_diao_cha_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=EHpSM-xJ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與疫共存，成了企業的新常態，CIO的責任和挑戰也有很大的轉變，從短期IT抗疫以強化韌性，轉而聚焦ESG來實現企業永續。IT必須更深入企業營運，IT投資成長率再度創新高</p> </div></div></div>
2022/8/8 07:00作者王宏仁https://www.ithome.com.tw/article/152321
開發者的知識焦慮
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年iT邦幫忙鐵人賽時，iThome社長谷祖惠曾經談過鐵人賽的創辦原因，她說：<a href="https://bit.ly/3NaBvvF" target="_blank">「2008年時有感於IT人面對不斷變化的環境，必須時時刻刻學習新知，是一個格外辛苦的工作」</a>，為此希望鐵人賽作為舞臺，以發掘更多優秀人才。</p> <p>雖說時時刻刻學習新知，各行各業都一樣，然而在程式開發這個領域，知識的誕生、累積的速度實在太快了，這就使得步入此一領域的開發者，必然會面對知識焦慮的問題。畢竟人的時間有限，試圖跟上、吸收一個知識無限增長的領域，本質上就是不可能的事情。</p> <p><span style="font-size:28px;"><strong>擺脫不了的焦慮</strong></span></p> <p>有不少的書談如何處理資訊焦慮，有人鼓勵運用處理資訊焦慮的方式，來處理開發者的知識焦慮，也有不少開發者專門針對開發領域，談怎麼處理知識焦慮，有些教你按部就班，有些建議放棄無止盡的追逐，有些鼓勵開發者構築個人專屬的領域……但這麼做的話，就能夠擺脫知識焦慮嗎？</p> <p>不會！這並不是說談知識焦慮處理的相關內容沒有用，適當地採納走過焦慮之人的建議，確實是可以緩和焦慮，然而，我可以告訴你，每個階段都會有每個階段不同的焦慮，但別想著去擺脫焦慮，就我認為，最好的方式是，去認知到知識焦慮的存在，知道它的來源或處於哪個階段，才能採取適當方式，來滿足焦慮跟開發者之間的平衡。</p> <p>為什麼是滿足焦慮跟開發者之間的平衡？焦慮會造成壓力，然後壓力並非不好，有位職能治療師的朋友曾經跟我說過「人沒有壓力會死」。適當的處理方式可以滿足焦慮，焦慮就可以提供適當的壓力，滿足開發者成長的需求。</p> <p><span style="font-size:28px;"><strong>入門新手的焦慮</strong></span></p> <p>就每個開發者而言，必然會歷經的階段，應該是入門新手焦慮吧！其實，在這之前，還有個蜜月期階段，而開發者會走過蜜月期的原因很多，也許是參加過人人都能寫程式之類的活動，覺得程式很好玩，或許是因為好奇摸索做出了個不錯的玩具而成就感大增，可能是因為想轉職，參加了課程按表操課，像是使用材料包般地，糊了個看來還像樣的作品等。</p> <p>以我來說，大概就是畢業後覺得電機非我路，還是換條跑道，然後回想過去大學時喜歡接觸電腦，數值方法課程用Visual Basic硬搞了視窗介面的作業，自以為有興趣地就進入程式開發領域，玩了一陣子，蜜月期過後就進入知識焦慮，因為察覺了「在這個領域我的能力如此不足」。</p> <p>那時的焦慮嚴重到出現下列狀況：我經常跑到書局裡，摸著書架上一本一本的程式開發相關書籍，想像著以後自己會有這些知識，就能覺得有安全感。而對於我這種轉換跑道的人來說，焦慮來源是很現實的，關乎能不能在職場上存活下來，畢竟我也無法確切地得知，自己在這個領域的知識是否Job Ready了！</p> <p>有些人並不是轉換跑道，然而Job Ready的概念也可以看成：面對自己想完成的目標（專案、比賽等），不確定是否具備了足夠的知識，心裡總覺得有著不安之處。這個階段的尷尬之處在於，想在社群裡做個有智慧的提問，都會是種壓力！</p> <p><a href="https://bit.ly/2MWABnN" target="_blank">〈Why Learning to Code is So Damn Hard〉</a>貼切地將入門新手的焦慮畫分為四個階段，第一個階段就是蜜月期，其中，也談到怎麼度過信心的谷底，來到Job Ready的狀態；<a href="https://bit.ly/3n8oPL3" target="_blank">〈How I’m working to overcome my struggles as a junior developer〉</a>也談到了一些實際的案例，以及關於怎麼處理焦慮。</p> <p><span style="font-size:28px;"><strong>閃亮症候群的焦慮</strong></span></p> <p>該怎麼離開入門新手的焦慮階段？每個人的方式不同，開發者一定也看過許多的相關書籍或文件，但大抵來說，也就只能一步一腳印，直到某天發現，其實這陣子工作上面對的任務，大致都能完成了，而接下來的可能發展之一是，這種暫時舒緩的感覺帶來一些餘裕，讓開發者有機會伸展觸角，涉獵相關或跨足其他領域。</p> <p>若說Job Ready面對的是知識深度的問題，涉獵相關或跨足領域就是面對廣度問題，只不過就程式開發而言，這個「廣」實在太廣了，這很容易令人陷入選擇困難，然後就開始進入另一個焦慮階段，開發者會跟隨（follow）各個大神、加入一大堆討論社團、參與各種社群活動等，就深怕遺露什麼，被技術給拋下了。</p> <p>另一個可能的發展樣態是，好不容易才來到Job Ready狀態，正想暫時喘口氣時，各種新技術會因為某些因素，未經同意地就堆砌到開發者的眼前，於是開發者開始厭惡那些將知識帶來的人們，心想著為什麼要告訴我這些？何必再學這些？有人幹嘛吃飽沒事推廣這麼多技術？這些技術大神們憑什麼擁有發言權？</p> <p>對於那些閃耀著光芒的玩意兒或大神，有些人嚮往，也有些人厭惡，無論開發者察覺到自己是前者或後者，甚至兩者都有，大概就是有了閃亮症候群（Shiny Object Syndrome）的焦慮。</p> <p>許多人談到開發者知識焦慮時，多半談的就是這個階段，有人說工作上用得到的再學就好，有的建議不要碎片化學習，有些鼓勵建立自己的知識體系，從心態上著手的方式也有，像是倒空自己、以終生學習為目標等，這類建議甚至出了一本書《學徒模式》。</p> <p>另一方面，除了少數想假裝大神的詐神，我相信，多數倡議技術者並不是想成為大神，至少以我而言，倡議某些事，往往目的是為了「輸出」，無論輸出的形式是透過文件、書籍或參與社群活動等，作為一名開發者，輸出可以帶來許多好處，至少我就是這麼跨過這個階段的焦慮。</p> <p><span style="font-size:28px;"><strong>冒牌者症候群的焦慮</strong></span></p> <p>在閃亮症候群之後，很容易面對的是冒牌者症候群，例如，雖然我不這麼認知，然而，我相信很多人將我視為大神，畢竟在資訊不對稱的情況下，大多數人在缺少某些知識背景的情況下，看到我的輸出，會誤以為我玩弄了什麼神奇的魔法。</p> <p>其實「知道的就是知道」，有相關知識的人，自然知道我在玩弄什麼，而且，知道那並不是什麼了不起的東西。</p> <p>如果開發者有冒牌者症候群的想法，其實沒有關係，因為這並不是什麼太壞的東西，只要我們能夠意識到它的存在，不要因此而逼迫自己負擔過多的壓力就好。冒牌者症候群其實是資訊不對稱下產生的，有時稍加利用，也不見得是壞事，畢竟工作謀生有時也需要，只是別過火而成為詐神就是了。</p> <p>即便過了冒牌者症候群的階段，開發者的知識焦慮還是會有新的來源，例如，有些人可能知道，我每隔一或兩星期就會有新的繪圖或3D創作，這是因為若太久沒從事這類活動，我就會覺得自己是不是沒有靈感，沒有前進的方向了，有天我意識到這是創作者的焦慮，就稍微體會到，有些藝術家為什麼會為了創作而瘋狂了。</p> <p>開發者面臨知識焦慮不見得是壞事，重點在於能夠意識到它的存在、與之共處，才能找到彼此滿足的平衡點，至少每次我因焦慮而又找到新靈感，之後做出了有趣的繪圖或模型而開心，焦慮也會安份一陣子，至於下次又出現焦慮，那就是作為前進的動力罷了！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E7%9F%A5%E8%AD%98%E7%84%A6%E6%85%AE">知識焦慮</a></div><div class="field-item even"><a href="/tags/%E9%96%83%E4%BA%AE%E7%97%87%E5%80%99%E7%BE%A4">閃亮症候群</a></div><div class="field-item odd"><a href="/tags/%E5%86%92%E7%89%8C%E8%80%85%E7%97%87%E5%80%99%E7%BE%A4">冒牌者症候群</a></div><div class="field-item even"><a href="/tags/%E6%96%B0%E6%89%8B">新手</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E9%96%8B%E7%99%BC">程式開發</a></div></div></div>
2022/8/8 07:00作者林信良https://www.ithome.com.tw/voice/152322
【資安週報】2022年8月1日到8月5日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周數十起全球資安新聞中，國人最關心的莫過於近日一連串國內發生的事件。面對中國常年持續不斷的軍事恐嚇行為及網路攻擊，在美國眾議院議長裴洛西（Nancy Pelosi）出訪新加坡、馬來西亞、臺灣、韓國與日本之際，隨著國際目光聚焦於臺灣，臺灣網路攻擊活動水準上升已是常態，因此我國政府也嚴正以待，而國內也確實遭遇了許多網路攻擊事件，成為本周資安焦點。</p> <p>例如，本周裴洛西抵臺前後，攻擊者使用網路攻擊常見的DDoS攻擊手法，造成我國多個政府組織官方網站服務無法正常運作，所幸有所因應之下，影響時間不長。更受普遍民眾關注的是，國內還發生數位電子看板內容遭置換的攻擊，包括統一超商7-11櫃臺後方數位電子看板、還有台鐵左營站與南投路邊的電視牆，這也讓大家關注到，場域合作的聯播廣告業者，可能普遍存在資安管理不足情形，但因這些設備多布署在公共場域，將為社會層面帶來不小影響，而場域業者對於合作夥伴的資安要求，以及這類產業不是政府關鍵CI所擴及的範圍，都將成為討論焦點。另外，網站置換的攻擊也仍發生。</p> <p>雖然這些置換內容的攻擊行動，多半不是使用高階的攻擊技術，但也要注意這些破口是否被更多利用，是否還有橫向移動攻擊擴散的行為，這方面的偵測、監控能力，也將是國內更須關注的面向，其他機關與民間產業同樣需引以為戒。</p> <p>國際間也發生不少資安事故，並是牽扯高科技製造、能源產業、軍事產業，而備受注目，包括德國半導體製造商Semikron遭LV勒索軟體攻擊、歐洲大型能源業者Encevo遭勒索軟體BlackCat攻擊、歐洲導彈製造商MBDA遭竊取機敏資料。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152346#1"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_AA.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#2"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_CC.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_EE.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#4"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#5"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#6"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#7"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#8"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#9"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152346#10"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E7%9C%8B%E6%9B%B4%E5%A4%9A.jpg" style="width: 550px;" /></strong><br /> </p> <p id="3"> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/07/29/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA警告Confluence漏洞已被駭客鎖定利用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_185220.jpg" style="width: 220px; float: right;" /></a></p> <p id="4">兩週前Atlassian旗下企業協同軟體Confluence修補三個漏洞，其中CVE-2022-26138的密碼寫死漏洞最受注目，美國CISA在7月29日警告，發現已有駭客鎖定該漏洞攻擊，因此納入「Known Exploited Vulnerabilities」清單，要求聯邦機構在3週內儘速完成修補。事實上，對於這項漏洞Atlassian之前已警告，已經有人將該服務的密碼公布在網路上，而另一家資安業者在7月27日也曾發布報告指出該漏洞正被廣泛利用，如今CISA證實該漏洞備索定利用的情形，尚未修補的用戶應儘速採取行動，避免成為易受攻擊的Confluence伺服器。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/blog/living-off-windows-defender-lockbit-ransomware-sideloads-cobalt-strike-through-microsoft-security-tool/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客利用Log4j漏洞以微軟防毒軟體側載部署LockBit 3.0</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-sideloading-attack-chain.jpg" style="cursor: default; width: 300px; float: right;" /></a>在勒索軟體攻擊行動裡，駭客濫用受害電腦內建工具的情況相當常見，就連防毒軟體也不例外。例如，資安業者SentinelOne發現，使用LockBit 3.0發動勒索軟體攻擊的駭客，近期鎖定受害電腦內建防毒軟體Microsoft Defender下手，以DLL側載（DLL Side-loading）的方式，載入滲透測試工具Cobalt Strike的Beacon，目的是為了規避各式資安防護系統。</p> <p id="1">研究人員指出，這些駭客使用遠距工作平臺VMware Horizon的Log4Shell漏洞入侵組織，然後透過PowerShell執行Microsoft Defender的命令列程式MpCmdRun.exe，此程式在運作過程會載入mpclient.dll，最終解密並於受害電腦投放Cobalt Strike的Beacon。研究人員認為，駭客這麼做的目的，是為了規避現行針對VMware Horizon的各式偵測手法。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/story.php?story_fbid=pfbid0oetXRVEQ2dj7Vd1kTzC32FhdMLdyuoQJAYf6baYJDghKKVCBMERfUgXhP72U4obVl&id=100044311095166&m_entstream_source=timeline"><span style="color: rgb(0, 0, 0);">總統府網站傳出遭DDoS攻擊，疑與美國眾議院議長裴洛西訪臺有關</span></a></strong></h3> <p>美國聯邦眾議院議長裴洛西（Nancy Pelosi）於8月2日晚間抵達臺灣，引起全球矚目。但在此之前，我國數個政府機關傳出網站遭到DDoS攻擊的情況。總統府表示在昨日傍晚約5時15分起，網站遭到境外DDoS攻擊，流量為平時的200倍，經處置後約於20分鐘恢復正常。但遭到DDoS攻擊的可能不只有總統府，根據<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144">美國媒體NBC News報導，國防部、外交部，以及桃園國際機場的網站，疑似也遭到攻擊</a>，不過，僅外交部<a href="https://www.ettoday.net/news/20220802/2307742.htm">有國內媒體指出</a>，網站可能因遭到攻擊而一度無法運作。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://mna.gpwb.gov.tw/news/detail/?UserKey=8926400f-3a39-4703-981b-2419878b32d9" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">國防部證實8月3日網站遭到DDoS攻擊</span></a></strong></h3> <p>國防部於8月4日證實，他們的網站約於3日晚間11時4分起，陸續遭到DDoS攻擊，並於11時27分流量過大導致服務中斷，經流量清洗與封鎖惡意中繼站，該網站於4日零時30分恢復運作。</p> <p>而這起事故似乎已經不是國防部網站因裴洛西訪臺而遭到攻擊。<a href="https://www.nbcnews.com/tech/security/taiwanese-websites-hit-ddos-attacks-pelosi-begins-visit-rcna41144" style="color: rgb(7, 130, 193);">根據美國新聞網站NBC News的報導</a>，8月2日至少有4個政府網站遭到DDoS攻擊，而其中一個就是國防部的網站。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">桃園機場網站疑遭到網路攻擊陸續出現服務中斷的情形</span></strong></a></h3> <p>美國聯邦眾議院議長裴洛西訪臺引起中國不滿，該國解放軍在今日中午12時於臺灣周邊軍演，傳出桃園國際機場取消部分航班因應。但在軍演之前，卻傳出機場網站遭到攻擊而無法運作的情況。根據<a href="https://money.udn.com/money/story/10511/6511538" style="color: rgb(7, 130, 193);">經濟日報</a>、<a href="https://www.ettoday.net/news/20220804/2308824.htm" style="color: rgb(7, 130, 193);">聯合新聞網</a>、<a href="https://news.ltn.com.tw/news/life/breakingnews/4014051" style="color: rgb(7, 130, 193);">自由時報</a>的報導，今日上午8時起，桃園國際機場的網站出現無法運作或是執行緩慢的現象。</p> <p id="2">根據上述的報導，知情人士透露這起事故發生的原因。起因疑似駭客持續發動攻擊，並屢次企圖登入網站，消耗伺服器大量運算資源，導致網站無法瀏覽。對此，<a href="https://www.taoyuanairport.com.tw/pressrelease/653115D9-AA13-ED11-BBC8-005056BD475F" style="color: rgb(7, 130, 193);">桃園國際機場也發出聲明</a>，表示網站從上午8時許出現連線不穩定的情況，他們在11時排除。該公司亦指出內部網路、行動裝置App，以及機場營運皆正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152269"><span style="color: rgb(0, 0, 0);">7-11櫃臺後方數位看板的內容遭置換，刑事局調查指出是遭駭客入侵</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-03_115146.jpg" style="width: 300px; float: right;" /></a>美國聯邦眾議院議長裴洛西（Nancy Pelosi）昨晚抵臺後，今日早上許多民眾臉書分享在不同7-11便利商店，看到結帳櫃臺後方的廣告螢幕，播放「戰爭販子裴洛西滾出台灣」的影像，有民眾質疑是廣告還是被駭？對此事件，7-11表示由他們統一回應：「廠商受不明來源干擾播放訊息。」中央社報導指出，刑事局初步調查為駭客入侵。</p> <h3><a href="https://www.facebook.com/WangHauYu/posts/pfbid0xNKAUfnUN6CM3g7Jqkog48M9p32bxCh9iKeMbuiEWXnYNNngLRPTkYsfbLk8jUNNl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺鐵新左營車站電子看板疑遭駭客入侵，出現簡體中文恐嚇訊息</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/297402037_10210253783979098_6832840956509052704_n.jpg" style="width: 300px; float: right;" /></a></p> <p>前民進黨桃園市議員王浩宇在臉書張貼照片表示，臺鐵新左營站的大型電子看板竟成為中國駭客統戰工具。該看板出現了簡體中文的文字與五星旗，並指控裴洛西此次來到臺灣，是對中國主權的挑釁。</p> <p>此貼文發布後受到熱烈討論，當中有人指出，其實不光是臺鐵，南投48線道路旁的電子看板，也被竄改成相同的訊息。</p> <h3><a href="https://www.appledaily.com.tw/local/20220805/7E2B03436F2DFA70229602A114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高雄市環保局飲用水網站被置換五星旗</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/40fdf9dc70392179470982dd8a10131d_large.jpg" style="width: 300px; float: right;" /></a>高雄市環保局揭露飲用水檢測結果的網站，在昨天晚間8時56分，傳出遭到竄改的情況，網站上出現許多中國國旗。環保局於9時15分將網站下架維修。高雄市副市長羅達生表示，此網站主要用途是向市民宣導，市府並未發現資料遺失的情況，也不會影響市民權益。</p> <p>警方初步調查顯示，駭客利用境外IP位址做為跳板入侵，是蓄意攻擊案件。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.twnic.tw/2022/08/04/24037/"><span style="color: rgb(0, 0, 0);">臺灣網路資訊中心指出8月2日至3日的攻擊流量占整體75%</span></a></strong></h3> <p>自8月2日開始，全臺灣陸續發生政府機關遭到網路攻擊，以及電子看板出現恐嚇訊息的情況，但這樣的攻擊態勢有多嚴重？根據臺灣網路資訊中心（TWNIC）的統計，在8月2日至3日的期間，.tw國家頂級網域DNS最大查詢量約為每秒超過8.5萬筆，其中近75%是惡意攻擊封包，來源主要是美國與中國的雲端業者。</p> <p id="6">針對電子看板遭到竄改的情事，TWNIC認為相關攻擊行動發生的原因，在於廣告業者普遍資訊專業人力不足，亦有可能採用中國廠商的軟體，從而導致系統遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.talosintelligence.com/2022/08/dark-utilities.html"><span style="color: rgb(0, 0, 0);">駭客發動攻擊的C2中繼站也可以用租的！研究人員揭露Dark Utilities中繼站租賃服務</span></a></strong></h3> <p>為了隱匿攻擊來源，駭客通常會架設C2中繼站來控制惡意軟體或下達命令，但如今這種中繼站也出現了租賃服務。思科揭露名為Dark Utilities的C2中繼站服務平臺（C2aaS），駭客宣稱提供匿名的C2基礎設施，攻擊者只要支付9.99歐元就可使用，目前至少有3千個活躍用戶，粗估經營者獲利3萬歐元。</p> <p>此C2平臺目前支援駭客使用Windows、Linux的惡意軟體，並以星際檔案系統（IPFS）代管相關檔案。研究人員指出，這樣的租賃服務很可能日後受到攻擊者廣泛利用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/semiconductor-manufacturer-semikron-hit-by-lv-ransomware-attack/"><span style="color: rgb(0, 0, 0);">德國半導體製造商Semikron遭LV勒索軟體攻擊</span></a></strong></h3> <p>德國半導體元件製造商Semikron於8月1日發出公告，表示該公司遭到勒索軟體攻擊，部分IT系統與檔案遭到加密，並指出駭客宣稱竊得了該公司的資料，但究竟有那些資料外洩？仍有待釐清。</p> <p>根據資安新聞網站Bleeping Computer的報導，此製造商遭到LV勒索軟體攻擊，駭客竊得2 TB資料。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.darkreading.com/risk/european-energy-supplier-encevo-breached-in-attack" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">歐洲大型能源業者Encevo遭到勒索軟體BlackCat攻擊</span></a></strong></h3> <p>勒索軟體駭客組織BlackCat攻擊行動頻頻，這次是針對歐洲能源供應商而來。根據新聞網站Dark Reading的報導，總部位於盧森堡的能源集團Encevo於7月25日發布公告，旗下的供電網路Creos與能源供應商Enovos，先後於7月22日、23日遭到網路攻擊，駭客盜走部分資料。勒索軟體駭客組織BlackCat於29日宣稱是他們所為，總共竊得150 GB資料、共18萬個檔案。Encevo表示，電力與能源供應並未因網路攻擊而中斷，但他們尚在調查資料外洩的情形。</p> <h3><a href="https://securityaffairs.co/wordpress/133881/data-breach/mbda-alleged-data-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客聲稱入侵歐洲導彈製造商MBDA並竊取60 GB機敏資料</span></strong></a></h3> <p>根據Security Affairs報導，指出暗網上有一使用者名稱為Adrastea的攻擊者，宣稱自己入侵了歐洲導彈製造商MBDA，該公司是一間由英國、法國與意大利合組的導彈開發與製造商，駭客聲稱從該公司基礎架構中發現嚴重漏洞，並竊取了60 GB的機密資料，包含員工參與的軍事項目，例如PLANCTON、CRONOS、CASIRIUS、EMADS、MCDS、B1NT等，以及該公司為歐盟國防部進行的商業活動資訊，還有合約協議，以及與其他公司通訊的資訊，目前尚不清楚攻擊者入侵的詳細資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mbda-systems.com/2022/08/01/hacking-allegations-against-mbda-italy/"><span style="color: rgb(0, 0, 0);">歐洲導彈製造商MBDA證實資料外洩</span></a></strong></h3> <p>在7月下旬，有名自稱是Adrastea的「獨立研究人員」在多個地下論壇聲稱，他找到歐洲導彈製造商MBDA資訊系統的漏洞，並取得相關存取權限，竊得約60 GB機密資料並求售，內容包括飛彈系統、地對空飛彈及海岸防衛系統計畫的設計圖、相片、影片、簡報、合約，以及設計文件等資料。</p> <p id="5">到了8月1日，MBDA坦承確實有資料外洩的情況，但宣稱駭客是從外接式硬碟偷得資料，這些資料並非機密，該公司亦強調內部網路並未遭到入侵。但駭客究竟如何透過外接式硬碟取得該公司資料？MBDA不願說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.fortinet.com/blog/threat-research/rapperbot-malware-discovery"><span style="color: rgb(0, 0, 0);">殭屍網路RapperBot鎖定Linux主機而來，透過暴力破解入侵受害電腦</span></a></strong></h3> <p>資安業者Fortinet揭露名為RapperBot的殭屍網路，該殭屍網路的惡意程式以Mirai為基礎開發，但具備獨有的C2通訊協定，且與多數殭屍網路病毒的特質有顯著的差異。RapperBot自2022年6月開始，鎖定Arm、MIPS、Sparc，以及x86架構的Linux電腦，利用暴力破解的方式及SSH連線來嘗試掌控受害電腦。此殭屍網路自發現的一個半月以來，針對全球3,500個IP位址發動攻擊。</p> <p>研究人員指出，此殭屍網路病毒的功能，主要偏重於初期存取伺服器的能力，很有可能日後被用於內部網路環境的橫向移動。</p> <h3><a href="https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐洲ENISA發布勒索軟體研究報告，分析過去一年623起事件外洩136TB資料，並指出這只是冰山一角</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_175250.jpg" style="width: 220px; float: right;" /></a></p> <p>歐洲網路資訊安全局（ENISA）在7月29日發布Threat Landscape for Ransomware Attacks報告，當中收集並分析了2021年5月至2022年6月的623起的勒索軟體攻擊事件，當中揭露幾項重點與值得注意的統計數據，例如，他們透過LEDS矩陣（鎖住、加密、刪除、偷竊）與各式資產形式（檔案、記憶體、資料夾等9種），來分類勒索軟體的能力，並對勒索軟體生命週期進行分析。而在他們統計中發現，每月平均有10TB資料被勒索軟體攻擊過程竊取；在95.3%的事件中，受害者是不知道駭客是如何獲取進入企業內部的初始權限，只有29起得出結論；推估有6成受害者支付贖金；至少發現47個不同的勒索軟體攻擊者。特別的是，當中公布受害產業占比統計，以重工業件數最多近130件，資訊服務業超過70件，政府機關超過50件，而ENISA也特別強調，這些已對外揭露的事件，僅冰山一角。</p> <h3><a href="https://www.coveware.com/blog/2022/7/27/fewer-ransomware-victims-pay-as-medium-ransom-falls-in-q2-2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近期最常見的勒索軟體為BlackHat與Lockbit 2.0</span></strong></a></h3> <p id="7">CoveWare公布2022第二季勒索軟體報告，當中指出幾個重點趨勢，包括攻擊者的攻擊技術不斷進步，一年前只有少數勒索軟體能加密非Windows作業系統，然而現在卻是幾乎RaaS的勒索軟體服務，都有針對Windows、Linux與ESXI環境提出穩定的版本，他們同時公布第二季常見勒索軟體，前三名為BlackCat（16.9%）、Lockbit 2.0（13.1%）、Hive（6.3%），而第四名Quantum新入榜值得關注。再以產業別來看，受害比例最高的是專業服務機構（21.9%），其次為政府公部門（14.4%）、醫療機構（10%）、軟體服務業（9.4%）、材料業（8.1%）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://cloudsek.com/whitepapers_reports/how-leaked-twitter-api-keys-can-be-used-to-build-a-bot-army/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">3,200款行動裝置App恐洩露推特的API金鑰</span></a></strong></h3> <p>行動裝置App的開發者若是採用了不當的配置，就有可能洩露使用者的社群網站帳號資料，而成為駭客攻擊的目標。資安業者CloudSEK近期找到3,207個App，會洩露推特API金鑰，攻擊者有可能用來存取受害者的帳號。</p> <p id="9">研究人員指出，其中有230個App會洩露全部4種推特身分驗證的憑證，而使得攻擊者能夠完全掌控受害的推特帳號，執行像是轉推、移除追隨者、取得帳號設定等。而駭客在取得這些推特帳號的控制權後，很有可能會組成機器人（Bot）軍隊，以這些帳號來散布假消息。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對中國駭客鎖定UEFI韌體的惡意攻擊行動，華碩提出進一步說明</span></strong></h3> <p>卡巴斯基研究人員日前公布<a href="https://www.ithome.com.tw/news/152121#CosmicStrand" style="color: rgb(7, 130, 193);">中國駭客鎖定電腦UEFI韌體的攻擊行動</a>，駭客在採用華碩與技嘉H81晶片組主機板上植入惡意軟體CosmicStrand，但表示他們並不清楚駭客部署惡意軟體的方法。對此，華碩向iThome表示，經過他們的調查，駭客並非透過主機板UEFI BIOS的漏洞攻擊，而是主機板的BIOS韌體燒錄器遭到不明外力竄改，或是在更換ROM元件時被植入此惡意軟體。</p> <p id="10">華碩表示，若是使用者購買二手的主機板，有可能會取得內有惡意軟體的產品，他們呼籲這些用戶儘速從華碩網站下載BIOS更新。該公司亦強調購買全新主機板的用戶不會遭到攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://web3isgoinggreat.com/?id=nomad-bridge-exploit"><span style="color: rgb(0, 0, 0);">跨鏈協定Nomad遭入侵，1.9億美元加密貨幣慘遭清空</span></a></strong></h3> <p>駭客鎖定加密貨幣平臺漏洞發動攻擊，並將資金洗劫一空的情況，最近似乎越來越頻繁。跨鏈橋服務業者Nomad於8月2日清晨遭到攻擊，一群發現漏洞的駭客不斷把加密貨幣轉走，導致此系統上價值1.9億美元的加密貨幣，在數個小時後只剩下7.7萬美元。</p> <p>該公司已著手調查，並感謝白帽駭客協助保住部分加密貨幣。然而雪上加霜的是，在此起事故發生之後，竟有詐騙集團假冒Nomad的名義行騙。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/thousands-of-solana-wallets-drained-in-attack-using-unknown-exploit/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">區塊鏈平臺Solana遭到攻擊，近8千個錢包遇害</span></a></strong></h3> <p>在8月2日3日，區塊鏈平臺Solana出現了大量加密貨幣錢包資產被盜的情況，此事亦得到Solana的證實。根據區塊鏈分析業者Elliptic的統計，7,947個Solana熱錢包中的數位資產被盜轉，共有580萬美元數位資產被盜，當中有260萬美元為美元穩定幣（USDC）、180萬美元的SOL幣。研究人員指出，此起攻擊事件疑似與軟體錢包有關，而非Solana平臺程式碼的臭蟲。</p> <h3><a href="https://blog.talosintelligence.com/2022/08/manjusaka-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客開發新的攻擊框架Manjusaka</span></strong></a></h3> <p>駭客在攻擊行動中經常濫用滲透測試工具Cobalt Strike進行偵察，但現在開始有人打算開發新的工具來代替Cobalt Strike，而使得相關攻擊更難被察覺。思科旗下的威脅情報團隊Talos，近期在調查客戶網路環境遭到Cobalt Strike攻擊的過程中，意外發現名為Manjusaka的攻擊框架。此框架的惡意程式使用程式語言Rust開發，並能攻擊Windows與Linux電腦，C2中繼站的部分則是使用Go語言開發，且採用簡體中文介面。</p> <p>研究人員認為，雖然Manjusaka仍在開發階段，但已具備相當強大的功能，駭客日後很可能會用來全面取代Cobalt Strike。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/35-000-code-repos-not-hacked-but-clones-flood-github-to-serve-malware/" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客複製逾3.5萬個GitHub儲存庫，意圖散布惡意軟體</span></a></strong></h3> <p>程式碼儲存庫提供的複製功能，讓開發人員能引用他人的程式碼並進一步改寫，但這樣的功能也有可能遭到濫用。軟體開發員Stephen Lacy近日在GitHub上發現，有35,613個儲存庫被用於惡意軟體攻擊，但這些儲存庫並非駭客自行建置，而是複製他人的儲存庫而來。</p> <p>另一名開發者James Tucker表示，這些被複製的儲存庫很有可能還會曝露原始儲存庫的API密鑰、Token、AWS的帳密。GitHub獲報後已刪除上述複製的儲存庫，並強調尚未有證據顯示開發者的帳號遭駭。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.zscaler.com/blogs/security-research/large-scale-aitm-attack-targeting-enterprise-users-microsoft-email-services" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">大規模微軟電子郵件信箱服務攻擊再度鎖定企業而來</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/AiTM-email-1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Zscaler近期揭露針對微軟電子郵件用戶的網路釣魚行動，駭客在今年6月，使用了Adversary-in-the-Middle（AiTM）的攻擊手法，來規避多因素驗證（MFA）的身分驗證流程，並使用URL重新導向的方式來規避企業的防護系統偵測。</p> <p>這些駭客攻擊的目標主要位於美國、英國、紐西蘭、澳洲，並鎖定金融、能源、製造業下手。研究人員指出，為了延長攻擊的有效時間，駭客濫用了雲端程式碼編譯平臺，如：CodeSandbox、Glitch等。</p> <p>駭客利用AiTM手法攻擊微軟企業用戶的情況並非首例──<a href="http://www.ithome.com.tw/news/151924" style="color: rgb(7, 130, 193);">微軟在上個月揭露在2021年9月開始出現的攻擊行動</a>。相較之下，發生在今年6月的事故裡，駭客利用了更多隱匿攻擊意圖的手法。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://ssu.gov.ua/en/novyny/sbu-likviduvala-milionnu-botofermu-yaka-rozkhytuvala-obstanovku-v-ukraini-na-zamovlennia-odniiei-z-politsyl-video" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">烏克蘭破獲俄羅斯在基輔架設的機器人農場</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/40f0264b19b612146c161344cdbd4fb2.jpg" style="cursor: default; width: 300px; float: right;" /></a>為了誤導烏克蘭人對戰爭情勢的了解，俄羅斯駭客試圖透過機器人（Bot）農場來大量散播假消息，而且還是在烏克蘭境內部署相關設備。烏克蘭國家安全局（SSU）於8月2日指出，他們破獲俄羅斯人在基輔架設的機器人農場，這個農場擁有超過百萬個機器人，並使用了5千張SIM卡來建置社群網站帳號，該農場亦架設200個代理伺服器，以便隱匿來源IP位址。</p> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/lofylife-malicious-npm-packages/107014/"><span style="color: rgb(0, 0, 0);">出現鎖定竊取Discord Token與金融資料的惡意NPM套件</span></a></strong></h3> <p>資安業者卡巴斯基在7月28日揭露一起惡意NPM套件活動，其目的是竊取社群平臺Discord的Token與金融資料，該公司說明，他們是透過內部自動化系統監控開源儲存庫時，在7月26日發現NPM中有四個可疑套件包，當中都具有高度混淆的Python與JavaScript程式碼，他們將此惡意活動稱之為「LofyLife」。具體而言，卡巴斯基所發現Python的惡意程式，是Volt Stealer開源Token記錄器的修改版本，其作用是在受感染的機器上竊取Discord Token與受害者IP位址，並透過HTTP上傳，另一名為Lofy Stealer的JavaScript惡意軟體，則是為了感染Discord用戶端檔案而建立，主要是監控受害者的行為，包括用戶何時登入、更改電子郵件或密碼、MFA的啟用與關閉，以及增加金融卡等付款方式，而這些收集到的資訊將會上傳到3個遠端的特定網域。</p> <h3><a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=880&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%90%E9%83%B5%E4%BB%B6%E3%80%91%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=07%2F27%2F2022%2000%3A00%3A00"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">遠通電收警告當心冒名釣魚簡訊後，再呼籲慎防假冒eTag通知的釣魚郵件</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_155112.jpg" style="width: 220px; float: right;" /></a></p> <p>假冒eTag名義的網路釣魚詐騙橫行，7月27日遠通電收發布公告，指出有人透過電子郵件發送網釣郵件，像是假冒遠通電收以eTag儲值失敗贈送儲值金的名義，或是eTag認證通知的名義，引誘使用eTag的車主點擊信中連結，可能騙取民眾個資。值得關注的是，這種以遠通電收名義的網釣攻擊持續發生，像是今年5月2日遠通電收也曾警告，發現有假冒該公司名義，發送到期繳費通知的SMS簡訊，內含不明網址，而刑事警察局在6月曾揭露一起事件，說明有民眾接獲通行費58元即將到期的簡訊，誤信點擊連結，依欄位輸入車號、身分證字號、信用卡卡號等資料，遭詐騙美金2千元。刑事局表示，網路詐騙會假冒各式名義，民眾務必自行找尋官方機構聯繫管道確認，或撥打110、165查詢。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/xss-vulnerabilities-in-google-cloud-google-play-could-lead-to-account-hijacks"><span style="color: rgb(0, 0, 0);">Google Cloud中的XSS漏洞，可能導致Google Play帳戶遭劫持</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_172213.jpg" style="width: 220px; float: right;" /></a></p> <p>根據The Daily Swig報導，有研究人員通報Google Cloud、DevSite與Google Play存在的兩個XSS漏洞，共獲得8千多美元的獎勵。根據該研究人員NDevTK的說明，一個漏洞屬於Google DevSite中的反射型XSS漏洞，一個被攻擊者控制的連結，可以在原<a href="http://cloud.google.com">http://cloud.google.com</a>與<a href="http://developers.google.com">http://developers.google.com</a>執行JavaScript，這意謂著攻擊者可以繞過同源政策（Same-origin policy），讀取與修改其內容。另一個是屬於Google Play上的DOM-based XSS，通常發生在JavaScript執行過程，從攻擊者控制的資源像是URL獲取資料時，被帶入了惡意指令，將其傳遞給執行程式碼的eval()或innerHTML，這通常讓攻擊者可以利用來執行惡意JavaScript，竊取其他用戶身分。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.volexity.com/blog/2022/07/28/sharptongue-deploys-clever-mail-stealing-browser-extension-sharpext/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意瀏覽器擴充套件，讀取受害者的Gmail、AOL電子郵件信箱</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Volexity-SharpTongue-SHARPEXT-Process-Flow.png" style="cursor: default; width: 300px; float: right;" /></a>網頁瀏覽器的擴充套件再度成為駭客竊密的管道！資安業者Volexity揭露名為Sharpext的攻擊行動，北韓駭客組織Kimsuky於去年9月開始，鎖定Chrome、Edge，以及Whale等網頁瀏覽器，利用VBS指令碼部署名為Sharpext的惡意擴充套件，並藉由此擴充套件竊取受害者Gmail與AOL帳號的電子郵件，駭客在美國、歐洲、南韓等地，針對外交政策、核能等具有戰略利益的人士發動攻擊。</p> <p>研究人員指出，這起攻擊的手法相當特別，駭客並非透過擴充套件竊取受害者儲存在瀏覽器的相關帳密，而是在受害者已經成功存取上述的電子郵件信箱帳號後，才竊取所需的信件。這樣的手法使得電子郵件服務業者難以察覺相關攻擊，也不會觸發受害者電子郵件帳號的可疑活動警報，而使得資安人員發現此類攻擊的難度相當高。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://blog.group-ib.com/investment-scams-europe" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">駭客架設1.1萬個投資詐騙網站，針對歐洲用戶而來</span></a></strong></h3> <p>駭客假冒名人的名義行騙的情況越來越猖獗，不只規模極為龐大，還同時結合了網路與實體的手法。資安業者Group-IB揭露擁有11,197個網站的大型詐騙網路，這些駭客鎖定歐洲各地的民眾，以投資比特幣或黃金的名義進行詐騙，宣稱只要有750歐元（約新臺幣2.3萬元）就能入場，3天能獲利700歐元。</p> <p>研究人員指出，駭客不只在詐騙網站盜用名人身分行騙，還會在受害者填寫聯絡資訊後，致電要受害者存錢，然而匯入款項後，駭客便會提高兌現的門檻，要求匯入更多的資金，使得受害者無法取回獲利與本金。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.ironnet.com/blog/robin-banks-a-new-phishing-as-a-service-platform" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">Robin Banks向駭客出售網釣工具包，鎖定美、英、澳銀行用戶</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/rb_create-1.png" style="cursor: default; width: 300px; float: right;" /></a>網路釣魚攻擊也出現分工的現象！資安業者IronNet指出，有駭客組織自今年3月開始，推出名為Robin Banks的網路釣魚工具包，此工具包可讓網路犯罪者取得美國、英國、加拿大、澳洲人士的財務資料，駭客透過軟體訂閱服務的方式（Phishing-as-a-Service）提供相關工具。此工具包在6月中旬被用於發動大規模攻擊，駭客將其用於竊取花旗銀行用戶的帳號資料與財務資料，並企圖盜取微軟帳號的帳密。研究人員指出，此網路釣魚工具包很可能被駭客加以利用，將其用於取得入侵受害組織的初期存取管道，以便進行後續的攻擊行動（如勒索軟體攻擊）。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><strong style="font-size: 22px;"><a href="https://www.afp.gov.au/news-media/media-releases/afp-charges-man-creating-global-spyware-tool" style="color: rgb(7, 130, 193);"><span style="color: rgb(0, 0, 0);">澳洲男子開發間諜軟體Imminent Monitor提供給家暴者</span></a></strong></h3> <p>間諜軟體不只是被用於監控政治人物，還有可能成為家暴者監控受害人的幫兇。澳洲聯邦警察（Australian Federal Police，AFP）於7月30日宣布，他們逮捕涉嫌製作RAT木馬程式Imminent Monitor的24歲男子，這名男子自2013年至2019年，打造木馬程式並進行販賣，目前遭到6項指控。此人與另一男子合作，將木馬程式賣到128個國家，擁有超過14,500個用戶。</p> <p>值得留意的是，買家當中可能有不少是家暴者。澳洲聯邦警察指出，他們確定當地有201人購買此木馬程式，而當中使用PayPal付款的買家，有14.2%是受到家庭暴力保護令（Domestic Violence Order，DVO）列管的人士，比例可說是相當高。此外，另有一名是孩童性犯罪者。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.malwarebytes.com/threat-intelligence/2022/08/woody-rat-a-new-feature-rich-malware-spotted-in-the-wild/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯航空公司遭到Woody RAT惡意軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Woody-RAT-figure1.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Malwarebytes發現為期超過一年的木馬程式Woody RAT攻擊行動，駭客疑似鎖定俄羅斯聯合航空製造公司下手，並透過壓縮檔或是惡意Office檔案來散布此惡意軟體。</p> <p>研究人員指出，在惡意Office檔案中，駭客利用了Follina漏洞在受害電腦植入木馬程式。此外，為防範資安人員追查源頭，該惡意軟體與C2通訊的流量，使用了RSA-4096和AES-CBC等演算法來進行加密。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://www.trendmicro.com/en_us/research/22/h/solidbit-ransomware-enters-the-raas-scene-and-takes-aim-at-gamer.html" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體SolidBit鎖定電玩玩家與社群網站用戶而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/SolidBit-082022-19.png" style="cursor: default; width: 300px; float: right;" /></a>趨勢科技發現勒索軟體SolidBit變種，駭客將此惡意軟體上傳到GitHub，並偽裝成遊戲工具或是社群網站工具，如英雄聯盟（League of Legends）的帳號檢測工具、Instagram追隨者機器人，來引誘受害人上當。</p> <p>研究人員指出，此勒索軟體採用.NET開發，並以勒索軟體Yashma（亦稱Chaos）為基礎進行修改，並擁有類似LockBit的勒索訊息及通訊網站。開發SolidBit的駭客以訂閱服務型式（Ransomware-as-a-Service）提供相關工具，並以收到的贖金8成為誘因，吸引攻擊者上門。</p> <h3 style="font-weight: normal; line-height: 1.2em;"><a href="https://blog.cyble.com/2022/08/02/fake-atomic-wallet-website-distributing-mars-stealer/" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客以提供加密貨幣錢包軟體的名義散布惡意軟體Mars Stealer</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-–-Phishing-site-impersonating-Atomic-Wallet-website.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-%E2%80%93-Phishing-site-impersonating-Atomic-Wallet-website.png" style="cursor: default; width: 300px; float: right;" /></a>資安業者Cyble揭露近期竊密軟體Mars Stealer的散布手法，駭客打造冒牌的Atomic加密貨幣錢包網站，吸引投資加密貨幣的Windows使用者上勾。</p> <p>一旦投資者依照指示下載、安裝應用程式，此安裝程式的批次檔（AtomicWallet-Setup.bat）將會觸發PowerShell命令，來提升權限，並執行以AES或Base64演算法加密的程式碼，進而於受害電腦植入Mars Stealer。研究人員呼籲使用者要留意下載應用程式管道。</p> <h3><strong style="font-size: 22px;"><a href="https://news.ttv.com.tw/news/11108040001500W"><span style="color: rgb(0, 0, 0);">網路流傳解放軍擊落我國戰機的消息，遭國防部駁斥</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/295956327_2043344525851878_1316445852934278361_n.jpg" style="width: 300px; float: right;" /></a>美國眾議院議長裴洛西訪臺引發中國不滿，不只駭客針對政府機關發動網路攻擊，也有人伺機散布軍事演習的假消息來混淆視聽。</p> <p>國防部於8月4日指出，近期中國通訊軟體Wechat流傳一則消息，聲稱解放軍的戰機擊落了臺灣「伴飛」的戰機，並透過螢幕截圖的方式散布。但國防部強調，實際上，我國空軍根本沒有安排、執行上述提及的任務，亦無戰機遭擊落的情事，微信流傳的是不實資訊。</p> <p>事實上，這並非中國本週首度散布的謠言。在8月3日，有中國媒體報導桃園國際機場遭到導彈襲擊，並聲稱有飛官開F-16戰機投誠中國。然而，桃園國際機場根本沒有遭到軍事攻擊，中國媒體所指稱的軍官已在2020年11月因公殉職，並追贈少將。</p> <h3><strong style="font-size: 22px;"><a href="https://www.npa.gov.tw/ch/app/news/view?module=headnews&id=2136&serno=0f76d9d9-c017-427d-be86-defbff5058a9"><span style="color: rgb(0, 0, 0);">警察相關勤務系統於8月4日晚間無法使用，疑為網路連線設備故障造成</span></a></strong></h3> <p>本週臺灣政府機關接連傳出遭到網路攻擊，在這個敏感時刻相關系統故障，很可能讓人認為是駭客入侵造成。警用行動電腦系統M-Police與相關勤務系統於8月4日晚間，發生無法連線的情況，導致執勤員警因無法連線而勤務大亂，外界懷疑是遭到駭客攻擊所致。</p> <p>針對上述的情況，內政部警政署發出聲明，表示他們於昨日22時30分，發現警察相關勤務系統無法使用，經調查是機房網路連線設備故障所致，初步排除遭到駭客攻擊，亦無民眾個資外洩。經更換設備後，上述系統於今日0時50分陸續恢復服務。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-patch-critical-auth-bypass-bug-immediately/"><span style="color: rgb(0, 0, 0);">VMware多項產品存在身分驗證繞過漏洞，恐被攻擊者用來取得管理員權限</span></a></strong></p> <p>VMware於8月2日發布資安通告，針對旗下身分驗證解決方案提供修補程式。當中最值得留意的是身分驗證繞過漏洞CVE-2022-31656，CVSS風險評分為9.8分，影響Workspace ONE Access、Identity Manager、vRealize Automation。一旦遭利用，駭客很可能在不需通過身分驗證的情況下取得管理權限。該公司呼籲用戶要儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://www.nozominetworks.com/blog/vulnerability-in-dahua-s-onvif-implementation-threatens-ip-camera-security/"><span style="color: rgb(0, 0, 0);">大華IP視訊鏡頭存在漏洞，恐遭攻擊者挾持</span></a></strong></h3> <p>資安業者Nozomi Networks指出，大華吸頂式IP監視器IPC-HDBW2231E-S-S2存在漏洞CVE-2022-30563，一旦攻擊者加以利用，就有可能藉由該公司對網路影像互通標準ONVIF的驗證機制實作不當，來進行中間人（MitM）攻擊，進而建立管理員帳號並取得最高權限，進而接管監視器設備。大華獲報後於6月28日發布修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://tw.wpsoffice.com/article/571"><span style="color: rgb(0, 0, 0);">WPS Office出現OLE物件處理漏洞，PPS、PPSX簡報檔案恐被用於攻擊</span></a></strong></h3> <p>WPS Office臺灣總代理無敵科技於8月3日發布資安通告，他們發現特定版本的Windows版辦公室軟體，在處理物件連結與嵌入（OLE）的過程中，存在邏輯漏洞，可被攻擊者用來製造惡意的PPS與PPSX簡報檔案，使用者若是不慎開啟這種惡意檔案，並在播放投影片的過程移動滑鼠或點選OLE物件，就有可能從遠端伺服器下載惡意程式碼並執行，使得攻擊者能在電腦重開機後進行控制。該公司表示將發布新版修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://content.govdelivery.com/accounts/USDHSFEMA/bulletins/3263326"><span style="color: rgb(0, 0, 0);">美國緊急警報系統存在重大漏洞，恐被攻擊者用於在電視與廣播傳送假警報</span></a></strong></h3> <p>美國國土安全部（DHS）於8月1日發布資安通告，指出攻擊者可透過該國的緊急警報系統（EAS），利用編碼器與解碼器當中的重大漏洞，進而在電視與廣播發送假的警報訊息。此漏洞由資安業者Cybir的研究人員發現，並將於DEFCON 2022大會上展示概念性驗證（PoC）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/rce-in-dratyek-routers.html"><span style="color: rgb(0, 0, 0);">29款居易路由器存在重大漏洞，攻擊者可用來接管設備</span></a></strong></h3> <p>資安業者Trellix發現居易（DrayTek）路由器漏洞CVE-2022-32548，一旦攻擊者利用該漏洞，可在不需身分驗證或使用者交互的情況下，透過網路發動攻擊，進而有可能接管設備，或是竄改DNS配置、發動DDoS攻擊、用於挖礦攻擊等，CVSS風險評分為10分。共有29款Vigor系列路由器存在相關漏洞，根據物聯網搜尋引擎Shodan的搜尋結果，有70萬臺設備可能曝險，這些設備多在英國、越南、荷蘭、澳洲。居易已發布新版韌體修補上述漏洞。</p> <h3><strong style="font-size: 22px;"><a href="https://www.wordfence.com/blog/2022/08/high-severity-vulnerability-patched-in-download-manager-plugin"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Download Manager存在任意檔案刪除漏洞，波及10萬個網站</span></a></strong></h3> <p id="8">資安業者Wordfence於7月上旬，發現WordPress檔案下載管理外掛程式Download Manager的重大漏洞CVE-2022-2431，此漏洞可被攻擊者用於刪除伺服器上wp-config.php，進而重新部署WordPress就能取得管理權限，CVSS風險評分為8.8分，有10萬個網站可能曝險。研究人員經由WordPress通報後，開發者於7月27日發布3.2.53版修補漏洞。</p> <h3> </h3> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.appledaily.com.tw/property/20220801/FEF6E86970F847E3941970388B"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電推動「營業秘密註冊制度同學會」，鼓勵中小企業及早建立，金融、旅遊、餐飲也應採用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-01_152659.jpg" style="width: 280px; float: right;" /></a></p> <p>營業祕密保護一直是國內高科技製造業的重中之重，在上週舉行的科技產業誠信治理與營業秘密保護高峰論壇的一場議程中，台積電揭露今年將推動營業秘密註冊制度，希望能夠帶動供應鏈，更完善營業秘密管理的實力。該公司副法務長<a href="http://u.cyberlink.com/live/1081623511225165249">謝福源</a>表示，今年2月與供應鏈策略夥伴的光洋應用材料、新應材，建構營業秘密註冊系統並實施註冊制度，到了6月16日進一步舉行「營業祕密註冊制度同學會」第一次開會。特別的是，台積電不僅分享營業祕密註冊制定的五大策略，從釐清流程、設計註冊表格、註冊系統、激勵與獎勵到專人負責管理，同時建議中小企業在公司規模還沒很大之前，盡快建立這樣的制度，甚至鼓勵國內服務業也可以仿效，無論是金融業、旅遊業、餐飲業。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/152275"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">企業上雲安全應首重雲端的安全治理，多雲、混合環境成主流，簡化管理複雜性是關鍵</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://tw.xrex.io/xrex-%E8%B3%87%E5%AE%89%E9%95%B7%E9%96%8B%E6%BA%90%E5%85%A9%E5%A5%97-web3-%E8%B3%87%E5%AE%89%E5%B7%A5%E5%85%B7-%E5%BC%B7%E5%8C%96%E6%99%BA%E8%83%BD%E5%90%88%E7%B4%84%E5%AE%89%E5%85%A8%E9%96%8B%E7%99%BC-4177d0bc2b7e?fbclid=IwAR0TR1TndLjTi3-5EN1wqqxaWKiVr2AGjdfqaeTE90S4uFFMktaYKESib3g&gi=4ee0a2ad1d"><span style="color: rgb(0, 0, 0);">為強化智慧合約的開發安全，臺灣區塊鏈新創Xrex開源相關資安工具</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152334"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">偷偷加入抓漏洞的丹麥學生找到Cloudflare新測試服務的漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152351"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">唐鳳擔任首任數位發展部長，數發部預計8月27日正式掛牌</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cisco-fixes-critical-remote-code-execution-bug-in-vpn-routers/"><span style="color: rgb(0, 0, 0);">思科修補小型企業VPN路由器重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://source.android.com/security/bulletin/2022-08-01"><span style="color: rgb(0, 0, 0);">Google修補安卓重大漏洞CVE-2022-20345，若不修補有可能讓攻擊者透過藍牙發動RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/google-paid-out-90000-vulnerabilities-patched-chrome-104"><span style="color: rgb(0, 0, 0);">Google發布Chrome 104，共修補27個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/golang-parameter-smuggling-attack"><span style="color: rgb(0, 0, 0);">研究人員揭露Go語言的ParseThru漏洞，恐波及此程式語言開發的應用程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://medium.com/tinder/exploiting-github-actions-on-open-source-projects-5d93936d189f"><span style="color: rgb(0, 0, 0);">GitHub持續交付與整合服務存在漏洞，恐被用於取得GitHub儲存庫存取權限</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/german-chambers-of-industry-and-commerce-hit-by-massive-cyberattack/"><span style="color: rgb(0, 0, 0);">德國工商協會DIHK疑遭大規模網路攻擊，被迫關閉所有IT系統、郵件伺服器、電話</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://securereading.com/uae-spinneys-customer-data-leak/"><span style="color: rgb(0, 0, 0);">阿拉伯聯合大公國零售業者Spinneys證實7月中旬遭勒索軟體攻擊，客戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://techcrunch.com/2022/08/01/wiseasy-android-payment-passwords/"><span style="color: rgb(0, 0, 0);">行動支付服務業者Wiseasy遭駭，14萬付款用戶資料外洩</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nextgov.com/cybersecurity/2022/08/nist-cisa-finalizing-guidance-identity-and-access-management-post-solarwinds/375279/"><span style="color: rgb(0, 0, 0);">NIST、CISA改良身分與存取管理指南，已接近完成階段</span></a></span></strong></p> <p><a href="https://www.trendmicro.com/en_us/research/22/g/examining-new-dawdropper-banking-dropper-and-daas-on-the-dark-we.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">趨勢科技揭露惡意droppers攻擊活動DawDropper散布金融木馬</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ettoday.net/news/20220805/2309470.htm"><span style="color: rgb(0, 0, 0);">國防部、外交部網站8月5日凌晨再度癱瘓</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://finance.ettoday.net/news/2309280"><span style="color: rgb(0, 0, 0);">臺電公布8月3日遭到網路攻擊的次數達490萬次，已超過6月及7月總和</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.ttv.com.tw/news/11108030005000W"><span style="color: rgb(0, 0, 0);">行政院政務委員唐鳳表示，8月3日攻擊流量逾15 TB、最高流量為過往的23倍</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7321/6511147"><span style="color: rgb(0, 0, 0);">8月4日上午司法院法學資料檢索系統停擺，疑為程式漏洞所致，初步排除外部攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://taiwan.newsroom.ibm.com/2022-08-02-IBM-2022?social_post=7347344577&linkId=175634330"><span style="color: rgb(0, 0, 0);">IBM發表2022年企業資料外洩成本報告，6成企業在資料外洩後以提高產品價格來轉嫁損失</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-understanding-the-cybercrime-gig-economy-and-how-to-protect-yourself/#DEV-0206-DEV-0243"><span style="color: rgb(0, 0, 0);">駭客組織Evil Corp疑似利用惡意軟體Raspberry Robin發動攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-hiddenads-malware-that-runs-automatically-and-hides-on-google-play-1m-users-affected/"><span style="color: rgb(0, 0, 0);">駭客利用臉書廣告「推廣」於Google Play市集上架的惡意軟體</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152218"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法院系統的重大網路安全漏洞曝光</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/152220"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因應手機送修安全，三星將推「維修模式」安全性功能</span></span></strong></a></p> <p><a href="https://securelist.com/apt-trends-report-q2-2022/106995/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">卡巴斯基揭露2022第二季APT攻擊趨勢報告</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.gov.uk/government/news/cma-provisionally-clears-nortonlifelock-avast-merger"><span style="color: rgb(0, 0, 0);">英國同意NortonLifeLock併購Avast</span></a></span></strong></p> <p><a href="https://www.ithome.com.tw/news/152226"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者披露鎖定歐洲用戶的上萬個投資詐騙網站</span></span></strong></a></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152346"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-8-5-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/8/5 17:21作者羅正漢https://www.ithome.com.tw/news/152346
新一代資安分享標準TLP 2.0問世
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.first.org/newsroom/releases/20220805" target="_blank">資安事件應變小組論壇（Forum of Incident Response and Security Teams，FIRST）</a>在本周五（8/5）公布了<a href="https://www.first.org/tlp/" target="_blank">紅綠燈協議（Traffic Light Protocol，TLP）2.0</a>版，這是一個規定資安資訊分享範圍的協議，計畫在明年1月以前就會受到全球的廣泛採用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-TLP20-600.png" style="width: 575px;" /></p> <p>FIRST的宗旨在於聚集全球的資安事件應變與安全團隊，確保世界擁有一個安全的網路，最主要的任務就是分享全球的重要資安訊息，並於2015年主導了TLP的標準化，以4種顏色來區分訊息的機密性及分享範圍，確保資訊是與適當的受眾分享，新的TLP 2.0將就地取代1.0版。</p> <p>TLP所採用的4種顏色為紅（TLP:RED ）、黃（TLP:AMBER）、綠（TLP:GREEN）與白（TLP:WHITE），紅色代表資訊的接受者不得與自己以外的其它人分享，例如只限與會人士得知；黃色代表只能與自己組織內的成員、或是必須知道才能避免危害的客戶分享；綠色則是能與同一領域的同儕或社群分享；白色代表可向大眾分享。</p> <p>新的TLP 2.0主要是文字上的變化，包括移除了一些俗語以利其它語言進行翻譯，使用更一致的語言並新增對可分享社群或組織的定義，將白色的文字改為TLP:CLEAR，以及在黃色類別中新增一個TLP:AMBER+Strict標籤，要求不得與組織之外的任何人分享。</p> <p>它的使用也有一些規範，例如在電子郵件中必須於主旨及郵件內容中表明TLP的顏色，而且必須以大寫表示，若是於文件中使用，則應於文件標題及每頁的頁腳標註TLP顏色。</p> <p>FIRST表示，愈多人採用TLP 2.0，安全社群就能在愈不焦慮的狀況下，更順利地合作及解決資安事件。</p> </div></div></div>
2022/8/5 19:12作者陳曉莉https://www.ithome.com.tw/news/152352