iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

伊朗將利用人臉辨識技術來找出不戴頭巾的女性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗總統 Ebrahim Raisi在8月15日通過一項加強監管女性服飾的法令，而根據<a href="https://www.theguardian.com/global-development/2022/sep/05/iran-government-facial-recognition-technology-hijab-law-crackdown" target="_blank">《衛報》（The Guardian）</a>的報導，伊朗的勸善懲惡（Promoting Virtue and Preventing Vice）部長Mohammad Saleh Hashemi Golpayegani近日接受媒體採訪時透露，伊朗正計畫以人臉辨識技術來找出於公共場所不戴頭巾或不遵循規定的女性。</p> <p>伊朗是在1979年強制要求女性配戴頭巾，不過，當地的女性逐漸突破相關限制，更在今年7月12日的頭巾與貞潔日（Hijab and Chastity Day）發動了全國性的抗議活動，她們在社交網路上刊登了於街道上、公車或火車上拋頭露臉的照片及影片，主張穿著自由。</p> <p>但在此一抗議活動之後，伊朗官方即開始逮捕、拘留她們，或是強迫她們在電視上道歉，更在8月15日簽署了更嚴格的頭巾與貞潔法，除了原先的頭巾與服裝限制之外，額外祭出了罰款規定，於網路上發布不戴頭巾的照片則可能會被剝奪半年至一年的社會權利，且倘若為政府員工，只要是社交網站上的檔案照片不符規定就會被開除。</p> <p>除了新規定之外，伊朗政府也計畫於公共場所部署人臉辨識技術，以辨識違規的女性，以新的技術來從事老式的暴力極權控制。</p> </div></div></div>
2022/9/6 13:08作者陳曉莉https://www.ithome.com.tw/news/152904
9月29日起，幣安將自動把USDC等穩定幣轉成BUSD
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺<a href="https://www.binance.com/en/support/announcement/e62f703604a94538a1f1bc803b2d579f" target="_blank">Binance（幣安）在周一（9/5）宣布</a>，為了強化流動性與資本效率，自世界協調時間9月29日凌晨3點（臺北時間同日早上11點）起，該平臺就會自動將用戶帳戶中既有、或是新存入的USDC、USDP與TUSD等穩定幣，以1:1的比例全數自動換成Binance USD（BUSD）。</p> <p>未來使用者依然可繼續存入USDC、USDP或TUSD，只是存進去後就會被轉成BUSD；同樣的，使用者還是可提出USDC、USDP或TUSD，只是在提款的當下直接由BUSD以1:1轉成所要提出的幣別。</p> <p>此外，幣安亦將停止相關穩定幣的現貨交易、期貨交易與融資。</p> <p>根據<a href="https://coinmarketcap.com/" target="_blank">CoinMrketCap</a>的統計，目前全球規模最大的穩定幣為USDT（Tether），市值為675億美元，居次的是USDC的518億美元，BUSD則以194億美元位居第三。雖然有人猜測幣安此舉是為了擠下第二名的USDC，不過目前看來雙方仍有一定的差距。</p> </div></div></div>
2022/9/6 12:15作者陳曉莉https://www.ithome.com.tw/news/152903
LG發表整合智慧電視的NFT市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lgnewsroom.com/2022/09/lg-tvs-turn-living-room-into-digital-art-gallery-with-new-nft-platform/" target="_blank">LG本周宣布</a>非同質化代幣（NFT）市集<a href="https://www.lgartlab.com/" target="_blank">LG Art Lab</a>，讓消費者可以經由LG智慧電視買、賣NFT。不過目前僅在美國推出這項服務。</p> <p>這項宣布是實現LG今年初公布智慧電視產品將加入NFT功能的承諾。消費者可透過執行WebOS 5.0作業系統的LG智慧電視，以其LG Art Lab App買賣NFT。</p> <p>LG最新交易市集是建立在Hedera Network獨特的安全網路Hedera Hashgraph基礎之上，執行身分認證。LG是在2020年加入Hedera Hashgraph治理委員會，打造分散式身分識別技術。這個委員會成員還包括Google、IBM、德意志電信等知名業者。</p> <p>這個平臺提供QR Code，消費者可利用手機讀取、再以LG電子錢包Wallypto購買NFT。購入後消費者即可在LG Art Lab的Marketplace上交易，或是在My Collection一覽手中的NFT。使用者可在LG電視主頁下載這款App。</p> <p>LG預計在本月22日推出第一批NFT，以及新平臺功能名為Drops，該功能可允許創作者預覽展示其數位作品及基本介紹。另一名為Live Drops的功能則可即時通知使用者剛下架的NFT以便入手。</p> <p>另一南韓電子巨人三星則是年初已<a href="https://www.ithome.com.tw/news/148697" target="_blank">宣布</a>三大系列智慧電視可供消費者買、賣NFT。</p> </div></div></div>
2022/9/6 11:50作者林妍溱https://www.ithome.com.tw/news/152902
美FTC傳調查Amazon的iRobot、OneMedical收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon近2個月接連買下掃地機器人業者iRobot及醫療服務商One Medical，媒體報導，美國聯邦交易委員會（Federal Trade Commission，FTC）將著手調查這兩樁收購案。</p> <p>Amazon先是在7月間<a href="https://www.ithome.com.tw/news/152071" target="_blank">宣布</a>斥資39億美元買下有實體診所及線上醫療服務業者One Medical，成為該公司金額最高的收購案。次月再<a href="https://www.ithome.com.tw/news/152354" target="_blank">宣布</a>以17億美元收購掃地機器人Roomba的供應商iRobot。</p> <p>在iRobot案方面，<a href="https://www.politico.com/news/2022/09/02/amazons-ftc-problem-keeps-growing-with-irobot-one-medical-probes-00054749" target="_blank">Politico</a>引述消息人士報導，FTC是在兩周前接獲Amazon通報這樁收購案後考慮調查。FTC歷來陸續關切Amazon的收購案，其新任主席Lina Khan更是知名的反托拉斯學者，對Amazon、Meta等科技大廠的市場競爭行為嚴加審視。</p> <p>消息人士指出，FTC可能即將正式啟動iRobot案的調查。調查重點包括這樁收購是否將強化Amazon在連網裝置，以及更廣泛的零售市場的市占率，以及相對於直接競爭對手的威脅。</p> <p>Amazon也提供家用機器人名為Astro，此外還有Ring智慧門鈴、Echo系列智慧助理及顯示器等。此外，一如許多隱私權人士，FTC也擔心，經由Roomba等掃地機器人蒐集到的消費者家中地圖與生活習慣等資訊，可能讓Amazon比競爭業者掌握更多優勢。</p> <p>在One Medical方面，《<a href="https://www.wsj.com/articles/ftc-investigating-amazon-deal-to-buy-one-medical-network-of-health-clinics-11662157363" target="_blank">華爾街日報</a>》及《Politico》引述消息人士報導，FTC想調查這項收購為Amazon帶來的效益。One Medical是會員制的醫療服務業者，FTC已經透過諮詢保險公司及業者，了解它手上的用戶個資以及收購這家公司將讓Amazon獲得多少競爭優勢。</p> <p>此外，FTC也想了解，Amazon是否是為了消滅對手而出手收購。<a href="https://www.bloomberg.com/news/articles/2022-08-24/amazon-plans-to-shut-down-primary-care-and-telehealth-service" target="_blank">彭博</a>報導，Amazon在宣布收購One Medical後，就計畫把業務重疊的線上醫療服務部門Amazon Care關掉。但該公司當時表示，關閉舊服務，是因為未能提供夠好的客戶服務。</p> <p>Amazon、iRobot和One Medical都拒絕對傳聞做出評論，但Amazon重申將確保客戶的資料隱私。</p> </div></div></div>
2022/9/6 10:45作者林妍溱https://www.ithome.com.tw/news/152895
Meta因侵犯青少年隱私，被愛爾蘭判罰逾4億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭的資料保護委員會（Data Protection Commission，DPC）在上周裁決，Meta旗下的Instagram因外洩青少年資料，違反《歐盟通用資料保護規則》（EU General Data Protection Regulation，GDPR），<a href="https://www.politico.eu/article/instagram-fined-e405m-for-violating-kids-privacy/" target="_blank">而判罰4.05億歐元</a>，成為GDPR史上罰款第二高的案例，迄今的最高紀錄是<a href="https://www.ithome.com.tw/news/145975" target="_blank">Amazon的目標式廣告</a>被判罰7.46億歐元。</p> <p>DPC是自2020年9月開始調查Instagram如何處理青少年的資料，該委員會目前僅對外證實了罰款金額，詳細的裁決內容預計下周才會公布。</p> <p>不過，根據媒體報導，Instagram受罰的原因為該平臺當時允許13至17歲的青少年經營商業帳號，這類帳號的預設值是公開的，因而曝露了青少年的電子郵件帳號與電話號碼。</p> <p>其實<a href="https://www.ithome.com.tw/news/145911" target="_blank">Meta已在去年改變了此一措施</a>，只要是16歲（某些國家是18歲）以下的青少年申請Instagram帳號，預設即會是私人帳號，亦即僅允許粉絲看到該帳號所張貼的文章，而且無法留言。</p> </div></div></div>
2022/9/6 11:05作者陳曉莉https://www.ithome.com.tw/news/152896
ChromeOS 105添加觸控模擬控制，提升Android遊戲遊玩體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromeos.dev/en/posts/game-controls-for-android-games">ChromeOS 105針對支援的Android遊戲添加新的控制方法</a>，來確保原本僅提供觸控方式控制的Android遊戲，能夠在ChromeOS擁有較好的遊戲體驗。目前遊戲控制僅針對搖桿、單按鈕、多按鈕遊戲，以及2048這類滑動遊戲。</p> <p>ChromeOS用戶現在可以透過Google Play存取Android遊戲，但因為行動裝置Android遊戲都是以觸控居多，並沒有針對ChromeOS的鍵盤和滑鼠進行最佳化，導致即便ChromeOS支援了Android遊戲，但實際上不少遊戲仍無法正常遊玩的窘境。因此Google從ChromeOS 105開始，推出遊戲控制功能Alpha測試版，該遊戲控制將鍵盤按壓轉換成模擬觸碰事件，以縮小純觸控Android遊戲在ChromeOS上體驗差異。</p> <p>大多數的ChromeOS用戶皆使用滑鼠和鍵盤操作應用程式，但Google Play中許多應用程式在設計時，只考慮到觸控操作，這樣的差別對遊戲來說，成了一個重要的問題，因為遊戲通常需要快速移動和點擊按鈕，這些很難使用滑鼠來執行，透過將鍵盤按鍵轉換成觸控事件，遊戲控制功能可讓玩家以鍵盤，操作螢幕上的按鈕和虛擬搖桿，彌補有限的遊戲體驗。</p> <p>但Google提到，新的遊戲控制功能並無法取代，開發人員在應用程式中添加鍵盤和滑鼠支援的需求。要在手機、平板、桌機和大螢幕裝置上提供最佳和一致的遊玩方法，Google仍建議開發人員需要支援多種輸入模式，包括滑鼠、鍵盤和遊戲搖桿，遊戲控制功能僅是克服ChromeOS遊戲障礙的一種方法。</p> <p>目前Google釋出的僅是Alpha測試版本，Google先添加必要的元素，以及針對少數預選遊戲啟用鍵盤支援，提供包括自定義按鍵配置、顯示/隱藏按鍵配置，以及停用特定遊戲的控制功能，在用戶第一次啟用支援遊戲控制的遊戲時，介面會出現一個覆蓋圖層，顯示可用鍵盤模擬的各種觸控按鍵。</p> <p>遊戲控制可以將鍵盤輸入轉換為點擊動作，並模擬常用於螢幕虛擬搖桿的觸控和拖動操作，Google特別強調，這個版本僅解決部分遊戲的特定操作問題，但是對於遊戲內的對話和選單導航，用戶仍需要使用滑鼠進行操作，另外，該遊戲控制也沒有解決遊戲在部分視窗大小，或是調整大小時出現的預期外行為。</p> </div></div></div>
2022/9/6 01:26作者李建興https://www.ithome.com.tw/news/152891
微軟更新VS Code Python擴充套件，改進Jupyter筆記本的IntelliSense支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布最新<a href="https://devblogs.microsoft.com/python/pvsc-sept-2022/">9月VS Code Python擴充套件更新</a>，這個版本更新重點包括除了改進Jupyter筆記本的IntelliSense支援外，還新加入了Flake8擴充套件，另外，Unittest和筆記本圖像貼上功能也在這個版本獲得改進。</p> <p>由於語言伺服器協定的更新，加入了對筆記本的支援，因此現在Python使用語言伺服器Pylance時，對帶有Python核心的Jupyter筆記本，IntelliSense將提供更好的支援。當開發者在筆記本檔案編寫Python程式碼的時候，不僅可以獲得更好的自動完成建議，也可以使用重構功能，像是擷取變數、擷取方法以及自動匯入。</p> <p>微軟分離Python擴充套件功能發布獨立擴充套件的工作持續進行，在pylint、black和isort之後，現在又有一個新擴充套件Flake8，這也是一個使用語言伺服器協定提供linting支援的擴充套件，開發者現在就可以從市集中安裝這個新的擴充套件，官方提到，Flake8能夠與Pylint一起使用，兩者不會互相衝突。</p> <p>Python擴充套件新版本改進Unittest的運作，同時用戶現在也可以方便地將圖片檔案和螢幕截圖，貼上到筆記本的Markdown單元格中，雖然是簡單的小功能，卻能夠在編寫筆記本時更方便。</p> </div></div></div>
2022/9/6 01:27作者李建興https://www.ithome.com.tw/news/152893
【資安日報】2022年9月5日，8億筆中國民眾人像與車牌資料曝露在網路上、Google修補瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個週末有許多資料外洩事故發生，其中針對中國的大量資料曝光情況，相當引人注目，這些資料包含了人臉與車牌的高解析度照片，數量達到了8億筆，僅次於6月10億中國民眾資料庫外流的規模。</p> <p>疫情嚴重影響到民眾生計，不少國家政府也針對這樣情況提供補助，而在臺灣，以防疫補助為幌子的詐騙行動在8月變得極為猖獗，值得留意的是，資安業者指出，駭客用於詐騙的網域多半都有gov、gov.tw的字串，而可能讓民眾以為就是隸屬政府的網域，降低戒心填寫相關資料上當。這使得該公司提出識別真假網域的方法。</p> <p>Google於上週末修補了電腦版瀏覽器的零時差漏洞CVE-2022-3075，其他基於Chromium平臺開發的瀏覽器也可能會受到影響，使用者應留意相關公布並儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/30/china-database-face-recognition/"><span style="color: rgb(0, 0, 0);">8億中國車牌、人臉資料曝露在公開網路上，為期數個月之久</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/vehicles-plates-xinai-.jpg" style="width: 300px; float: right;" /></a>繼6月有10億中國民眾個資出現於地下論壇，且內含犯罪記錄與就醫情形，引發全球關注，又有大量中國民眾的資料曝露在網際網路。根據新聞網站TechCrunch的報導，資安研究員Anurag Sen在阿里雲代管的伺服器上發現曝露在網際網路的資料庫，曝露時間長達數個月，直到8月相關存取才被封鎖。內容包含了民眾臉部照片，以及在車道路口拍下的車牌號碼，都是高解析度的照片。其中，這些個資會被留存的原因，主要是民眾進入工地或辦公室洽公進行登記。</p> <p>此資料庫隸屬位於杭州的Xinai Electronics，資料量總共超過8億筆。研究人員表示，他還發現有人在資料庫留下勒索訊息，但不清楚資料是否有外流或是遭到破壞的情形。TechCrunch通報後，該公司已悄悄關閉存取權限。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.trendmicro.com.tw/?p=73912"><span style="color: rgb(0, 0, 0);">臺灣防疫補助詐騙網址數量8月爆增，已超越上半年總和</span></a></strong></h3> <p>資安業者趨勢科技提出警告，他們發現臺灣與防疫補助有關的詐騙攻擊，在8月份出現大幅增加的現象，與之相關的網址數量較7月多出20倍，且超過今年上半總和。該公司指出，今年8月出現665種與防疫補助相關的變種假網域，如：gov[.]com、wsflsgov[.]tw等，他們呼籲民眾收到相關簡訊應優先檢查網址，並透過政府網站直接申請相關業務，才能減少受騙上當的機會。</p> <h3><strong style="font-size: 22px;"><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi"><span style="color: rgb(0, 0, 0);">俄羅斯大型計程車叫車系統Yandex Taxi遭駭，莫斯科交通大亂</span></a></strong></h3> <p>獨立新聞記者Russian Market在9月1日發現，俄羅斯大型計程車叫車系統Yandex Taxi疑似遭駭，攻擊者叫了大量計程車到莫斯科市的同一條街道上，使得當地交通大亂。Yandex也在3日向新聞網站The Verge證實確有此事，並表示當時街道壅塞現象約在1小時後得到疏通。</p> <p>而對於此起事故的攻擊者身分，駭客組織匿名者（Anonymous）聲稱是他們所為，並表示此次攻擊是與烏克蘭政府號召的IT軍隊聯手，為Operation Russia攻擊行動的一部分。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/irs-data-leak-exposes-personal-info-of-120-000-taxpayers/"><span style="color: rgb(0, 0, 0);">美國國稅局不慎披露12萬報稅民眾個資</span></a></strong></h3> <p>9月2日，美國國稅局表示，有部分應視為機密的990-T表單，不慎在免稅組織搜尋服務（TEOS）曝光。華爾街日報（WSJ）指出，這些敏感資料約影響12萬人，疑似在去年美國國稅局開始提供990-T的電子表單就出現，與程式撰寫有關，直到現在才被國稅局員工察覺，該單位開始進行補救，移除不應公開的文件，並重新提供TEOS服務。</p> <h3><strong style="font-size: 22px;"><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/"><span style="color: rgb(0, 0, 0);">三星美國分公司遭駭，客戶個資外洩</span></a></strong></h3> <p>三星於9月2日發布資安通告，他們的美國分公司內部網路環境在7月遭不明人士存取，導致客戶姓名、生日、聯絡方式等個資外洩，並強調社會安全碼（SSN）、金融卡資料則不受影響，不過，對於外洩資料筆數、受害人數，或是攻擊者入侵的管道，該公司並未揭露。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/google-chrome-emergency-update-fixes-new-zero-day-used-in-attacks/"><span style="color: rgb(0, 0, 0);">Chrome、Edge瀏覽器已遭用於攻擊行動的漏洞獲得修補</span></a></strong></h3> <p>Google於9月2日針對Chrome電腦版發布105.0.5195.102版更新，當中主要修補了CVE-2022-3075，此漏洞在8月30日獲報，與Mojo程式庫的資料驗證不充分有關，且已經出現攻擊行動。</p> <p>由於這項漏洞很可能影響所有採用Chromium打造的網頁瀏覽器，Edge、Brave、Vivaldi等瀏覽器已發布對應的更新檔案來緩解漏洞。CVE-2022-3075是今年Chrome的第六個零時差漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-defender-falsely-detects-win32-hivezy-in-google-chrome-electron-apps/"><span style="color: rgb(0, 0, 0);">微軟防毒軟體誤將Chrome、Edge瀏覽器當作病毒</span></a></strong></h3> <p>根據科技部落格BornCity的報導，微軟於9月4日發布的防毒軟體Microsoft Defender威脅情報更新檔1.373.1508.0版，竟將同廠牌的瀏覽器Edge識別為惡意軟體，並標示為Behavior:Win32/Hive.ZY威脅。</p> <p>經過使用者互相討論後，發現Chrome與以Chromium為基礎的瀏覽器，以及採用Electron應用程式框架開發的軟體，如WhatsApp、Spotify、Discord，都被微軟的威脅情報視為惡意程式。微軟已發布新的威脅情報定義檔修補上述誤判現象。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/10930/6588209"><span style="color: rgb(0, 0, 0);">數位發展部編列1.3億推動國防資安國產化</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3146465/nsa-cisa-odni-release-software-supply-chain-guidance-for-developers/"><span style="color: rgb(0, 0, 0);">美國針對軟體開發者提供軟體供應鏈安全指南</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://koreajoongangdaily.joins.com/2022/09/04/entertainment/television/Korea-Hacking-The-Ministry-of-Sports-Culture-and-Tourism/20220904124247692.html"><span style="color: rgb(0, 0, 0);">南韓政府經營的YouTube頻道遭駭，變成加密貨幣詐騙網站</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152863">【2022年9月2日】上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram用戶發動網釣攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> </div></div></div>
2022/9/5 17:15作者周峻佑https://www.ithome.com.tw/news/152892
Cloudflare還是把Kiwi Farms下架了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供雲端服務代管與安全服務的Cloudflare，<a href="https://blog.cloudflare.com/kiwifarms-blocked/" target="_blank">終於在周日（9/4）宣布</a>封鎖了備受爭議的Kiwi Farms。不過，根據Cloudflare的說法，外界的輿論壓力並非是Cloudflare封鎖Kiwi Farms的直接原因，而是Kiwi Farms上的偏激言論已對生命造成緊急威脅。</p> <p>成立於2013年的Kiwi Farms是一個美國論壇，專門討論與騷擾網路人物與社群，且目標經常是女性、少數民眾、同志暨跨性別（LGBTQ）社群，或是神經多樣性（Neurodiversity）族群，該論壇不僅肉搜這些目標對象，也會展開有組織的煽動與跟蹤行為，透過散布假消息來搞亂目標對象的生活，或是駭進目標對象的網路帳號。有人將Kiwi Farms稱作是騷擾活動的溫床，外界亦將某些自殺事件歸因於Kiwi Farms。</p> <p>Kiwi Farms用戶最近嚴重騷擾的對象之一是加拿大的跨性別擁護者Clara Keffal Sorrenti，駭客入侵了Sorrenti的Uber帳號，並訂購了價值數百美元的食物，還有人向警方報案，宣稱Sorrenti即將展開大規模槍擊行動，就算她逃往歐洲依然被跟蹤，Kiwi Farms的使用者張貼了她所居住的地方，還附上威脅訊息。</p> <p>Kiwi Farms用戶騷擾的對象並不僅限於Sorrenti，Sorrenti與其支持者在兩周前組織了「把Kiwi Farms下架」（Drop Kiwi Farms）的活動，呼籲Cloudflare與其它平臺封鎖Kiwi Farms。</p> <p>Kiwi Farms並非Cloudflare的代管客戶，而是Cloudflare的安全客戶。目前全球有超過20%的網站使用Cloudflare所提供的安全服務，且絕大多數都僅使用免費服務，由Cloudflare協助它們防禦網路攻擊。</p> <p>Cloudflare原本並不同意封鎖Kiwi Farms，<a href="https://blog.cloudflare.com/cloudflares-abuse-policies-and-approach/" target="_blank">指出該公司的代管服務與安全服務的政策是不同的</a>，前者有許多對代管內容的限制，但後者的原則是：任何形式的網路攻擊都應被丟進垃圾桶。</p> <p>依據Cloudflare的看法，終止對Kiwi Farms的服務就如同要求消防隊不應替道德低落的住家滅火一樣，不管是對實體還是網路世界，這都是一個危險的先例，長期還可能對弱勢與邊緣化社群造成重大傷害。</p> <p>不過，支持Sorrenti的使用者愈多，Kiwi Farms用戶便愈偏激，在騷擾升級到生命威脅時，Cloudflare才決定封鎖Kiwi Farms。</p> <p>Cloudflare表示，Kiwi Farms經常張貼令人反感的內容，但這並不足以讓該平臺封鎖它，在一個守法的世界，就算是違法內容也不應透過諸如DDoS攻擊等非法手段來壓制它，這兩周以來該平臺已主動聯繫不同地區的執法機構，提醒可能有潛在的犯罪事件，有鑑於威脅的發展快過於警方的調查，讓Cloudflare決定採取行動。</p> <p>Cloudflare強調，這是因為此案涉及迫在眉睫的生命安全所採取的緊急行動，該平臺對安全服務的政策仍是一致的，這是一個棘手的案例，亦不應被視為先例，法律程序才是處理網路非法內容的正確途徑。</p> <p><a href="https://kiwifarms.net/threads/community-driven-happenings-feed-version-2.114933/" target="_blank">目前使用者已無法藉由Cloudflare基礎設施造訪Kiwi Farms網站</a>，但Kiwi Farms隨時可能透過其它服務東山再起。至於代管Kiwi Farms服務的FiberHub也可能成為Drop Kiwi Farms活動的下一個遊說目標。</p> </div></div></div>
2022/9/5 16:05作者陳曉莉https://www.ithome.com.tw/news/152888
以Rust重新實作讓Tor更安全，官方釋出新專案Arti
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Tor官方釋出一個用Rust重新實作的Tor版本<a href="https://blog.torproject.org/author/nickm/">Arti 1.0.0</a>，目前這個版本已經可用於生產環境。Arti與C客戶端Tor具有類似的隱私度、可用性和穩定性，而嵌入器（Embedder）API也接近完全穩定階段。</p> <p>用戶現在已經可使用Arti代理連接Tor網路，匿名化網路連接，官方提醒，不建議用戶使用傳統網路瀏覽器指向Arti，因為網路瀏覽器會洩漏許多隱私和可識別資訊，最好使用Tor瀏覽器。</p> <p>從2020年Tor官方就已經開始著手以Rust實作Tor協定，而之所以要用Rust重寫Tor，官方解釋，在2001年的時候，C是一個合理的選擇，但他們逐漸發現C的限制，像是C鼓勵以不必要的低階方法，解決程式開發問題，而且要安全地使用C，需要付出許多心力，也由於這些限制，C語言的開發速度總是比期望更慢。</p> <p>還有另一個重要原因，C實作發展這麼多年，早已成為一個不那麼模組化的設計，幾乎所有東西都連結在一起，而這使得程式碼分析和進行安全性改進都變得困難。而轉向以Rust開發，是這些問題的好解方，在2017年的時候，官方就曾嘗試在C Tor程式碼庫中添加Rust，希望有一天能逐步替換程式碼。</p> <p>因為C Tor實作不夠模組化，但要獲得Rust帶來的好處，需要一次重寫整個模組，而非僅重寫單一函式，但能夠被隔離出來用Rust重寫的模組，大部分微不足道，真正需要更換的部分又全部交織在一起，因此要在不破壞程式碼穩定性的情況下，要逐步替換成Rust實作，官方認為是不可能的工作。</p> <p>在2020年，Tor共同創辦人Nick Mathewson開始著手Rust Tor專案，隨後更名Arti作為Tor官方專案，並獲得Zcash Community Grants的資助，使得Tor公司得以聘雇更多的開發者加入開發，歷經數個測試版本，現在終於達到1.0.0里程碑。</p> <p>從開發語言改變來看，官方提到，在每個可比較的開發階段，以Rust實作碰到的臭蟲，都比C開發階段少得多，會遇到的錯誤幾乎都是語意或是演算法錯誤，也就是真正的程式語言開發問題，而非是使用Rust語言及其工具所遭遇到的問題。</p> <p>Rust以學習梯度陡聞名，而且編譯器非常嚴謹，官方提到，一般而言，只要Rust程式碼可以通過編譯測試，在相同條件下，就可能比C程式碼更加正確。雖然是第二次建構Tor，類似功能開發速度本來就會比較快，但官方強調，部分速度提升是因為Rust更具表達式語意，且更可用的函式庫生態系，但主要還是歸功於Rust安全性所帶來的信心。</p> <p>不過Rust還是有一些缺點，像是雖然Rust可移植性比C更好，但還是需要處理作業系統之間的差異，另外，因為Rust的標準函式庫並不會預設安裝在目標系統上，也因此增加二進位檔案的大小，雖然透過使用平臺原生TLS實作改進支援，已經足以消除這個問題，但是仍有一些工作要進行。</p> <p>比起C Tor，官方發現Arti更吸引貢獻者，獲得的程式碼貢獻量更大且摩擦更小，由於Rust強大的類型系統、API文件支援和安全性，極大程度幫助新的貢獻者入手。</p> </div></div></div>
2022/9/5 16:20作者李建興https://www.ithome.com.tw/news/152886
美國國稅局不慎披露12萬民眾的個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.irs.gov/newsroom/irs-statement-on-forms-990-t" target="_blank">美國國稅局上周指出</a>，某些應視為機密的990-T表格（Form 990-T）不小心在免稅組織搜尋（Tax Exempt Organization Search，TEOS）服務中曝光了，<a href="https://www.wsj.com/articles/irs-says-it-exposed-some-confidential-taxpayer-data-on-website-11662145232?mod=djemalertNEWS" target="_blank">而《華爾街日報》（The Wall Street Journal，WSJ）則說</a>，這曝露了約12萬名美國人的報稅資料。</p> <p>990-T表格為免稅實體的營業稅申報表格，適用的對象包括免稅組織、政府實體與退休帳戶，用來申報與支付收入中任何與免稅無關的稅賦，可能是投資、房地產或其它資產，但只有慈善機構的990-T表格必須公開，而隸屬於個人的退休帳戶則是機密。</p> <p>然而，國稅局卻在TEOS中允許使用者下載大批屬於個人的990-T表格資料，包含納稅人姓名、聯絡資訊與特定收入，但並未含有社交安全碼、詳細個人資訊或是完整個人所得申報內容。</p> <p>根據《華爾街日報》的報導，此一錯誤是在美國國稅局於去年開始支援990-T電子表格時就出現的，為程式撰寫問題，並在最近幾周才被員工發現。</p> <p>美國國稅局則展開了亡羊補牢的行動，除了已移除這批文件外，也通知那些經常使用該服務的組織刪除不應出現的文件，並準備補上正確的文件。</p> </div></div></div>
2022/9/5 16:40作者陳曉莉https://www.ithome.com.tw/news/152890
Zoom讓用戶使用自有金鑰加密雲端資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對部分具有獨特監管需求企業，視訊會議軟體<a href="https://blog.zoom.us/zoom-customer-managed-key/">Zoom推出客戶管理金鑰（Customer Managed Key，CMK）</a>，使得企業能夠使用自有金鑰來保護重要資訊維持法遵。</p> <p>在2020年4月的時候，Zoom遭踢爆其所宣稱的的端對端加密，僅有文字通訊功能，不適用視訊和音訊，而Zoom也在之後的5.0版本，緊急對所有帳戶啟用AES 256位元GCM加密演算法強化加密安全性。</p> <p>Zoom試圖添加更多的安全性功能，來增加其視訊會議服務對用戶所提供的安全性，特別是醫療保健和金融服務等受嚴格監管的行業，而CMK則是讓用戶使用自己的加密金鑰，以保護特定儲存在Zoom Cloud基礎設施的資料。</p> <p>用戶使用自有的金鑰，可以加密的Zoom資產包括雲端錄音、語音郵件、行事曆存取令牌，以及微軟Teams存取令牌等，而目前用戶自有的金鑰，需要託管在AWS金鑰管理服務（KMS）中，才能使用CMK功能。</p> </div></div></div>
2022/9/5 16:58作者李建興https://www.ithome.com.tw/news/152889
微軟Microsoft Defender更新後誤將Edge及Chrome當作威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周日（9/4）釋出Microsoft Defender 1.373.1508.0安全情報更新，不料卻有不少Windows用戶發現，該更新似乎把Chrome、Microsoft Edge、WhatsApp或Spotify都誤判為Behavior:Win32/Hive.ZY威脅。</p> <p><a href="https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/Hive.ZY&ThreatID=2147830806" target="_blank">根據微軟的說明</a>，此一新的Behavior:Win32/Hive.ZY是用來偵測潛在的惡意程式檔案，使用者在下載或是收到郵件檔案時，開啟前應先確保它們來自可靠來源。</p> <p><a href="https://borncity.com/win/2022/09/04/windows-defender-meldet-flschlich-behaviourwin32-hive-zy-4-9-2022/" target="_blank">Windows暨科技部落格《BornCity》報導</a>，Behavior:Win32/Hive.ZY已成為許多論壇的熱門話題，眾多Windows用戶都遭遇類似的問題，在開啟特定程式時跳出Behavior:Win32/Hive.ZY警告，包括Chrome、Edge、WhatsApp、Discord及Spotify。</p> <p>歸類後則顯示，所有基於Chromium的瀏覽器，或是任何採用Electron框架的應用程式，都會被誤判。</p> <p>微軟似乎發現了此事，已於同一天再釋出1.373.1537.0以修補該臭蟲，Windows用戶可藉由Windows Security中的病毒與威脅防護，來檢查及安裝新版本。</p> <p> </p> </div></div></div>
2022/9/5 14:22作者陳曉莉https://www.ithome.com.tw/news/152885
Google、微軟分別修補已遭開採的瀏覽器零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google和微軟上周分別發布最新版Chrome及Edge，以修補瀏覽器中一個已經有開採活動的高風險漏洞。</p> <p><a href="https://chromereleases.googleblog.com/2022/09/stable-channel-update-for-desktop.html" target="_blank">Google表示</a>，Windows、macOS及Linux三個主要平臺的Chrome穩定通道已經更新到版本105.0.5195.102，將在未來幾天或幾周內部署到用戶端，呼籲用戶儘速安裝。</p> <p>Google說明，新版本修補編號CVE-2022-3075的高風險漏洞，出於Mojo的資料驗證不足。Mojo是Chromium中用於進程間或進程內模組間通信（IPC）的runtime函式庫。新漏洞8月底由外部研究人員通報，Google沒有多做解釋細節，只說得知網路上已出現針對CVE-2022-3075的開採程式。</p> <p>這項漏洞也會影響Chromium為核心的Edge瀏覽器。為此，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-3075" target="_blank">微軟也釋出 Edge 最新版105.0.1343.27版</a>。事實上，<a href="https://www.ithome.com.tw/news/152569" target="_blank">新加坡網路安全主管機關警告</a>，基於Chromium的瀏覽器包括Brave、Opera和 Vivaldi都已更新到最新版本。</p> <p>Google 也曾在2020年4月修補了Mojo元件的沙箱逃逸漏洞，能讓攻擊者在Chrome用戶電腦上執行惡意程式碼。而這也是Chrome今年修補的第6個零時差漏洞，其他漏洞分別在<a href="https://www.ithome.com.tw/news/150121" target="_blank">2、3</a>、<a href="https://www.ithome.com.tw/news/150434" target="_blank">4</a>、<a href="https://www.ithome.com.tw/news/152097" target="_blank">7</a>、<a href="https://www.ithome.com.tw/news/152569" target="_blank">8</a>月安全更新中修補。</p> <p><a href="https://lapcatsoftware.com/articles/clipboard.html" target="_blank">Google上周才被安全廠商Lapcat Software揭露</a>，在Chrome 104版存在一個可讓惡意網站在不需用戶同意下覆寫系統剪貼簿內容的漏洞。不過本漏洞還未獲得Google的證實。</p> </div></div></div>
2022/9/5 13:18作者林妍溱https://www.ithome.com.tw/news/152882
印度法院要求Telegram揭露盜版者個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/09/02/telegram_court_ip/" target="_blank">上周印度法院要求Telegram</a>必須揭露於該平臺上散布盜版內容的使用者個資，宣稱盜版者不受隱私法令或言論自由的保護。</p> <p>此案的控方為一名專門撰寫各科考題及講義的Neetu Singh，Singh先前即曾要求Telegram封鎖那些專門散布其盜版內容的頻道，Telegram也從善如流地關閉了這些頻道，但新的盜版頻道卻依然每天出現，使得Singh請求法院要求Telegram揭露相關頻道的使用者個資，從IP位址、電話號碼、電子郵件帳號，以及所使用的裝置等。</p> <p>Telegram則說，依據其隱私政策，只有在用戶涉及恐怖主義或行動時，才能揭露使用者個資，此外，Telegram的伺服器位於新加坡，且資料是加密的，只有在新加坡法院的要求下才能解密。</p> <p>然而，印度法院的法官Prathiba Maninder Singh指出，盜版並不受到隱私法令或言論自由法令的保護，同時他也不認為此事與Telegram伺服器位置有關，因而要求Telegram在兩周內交出用戶個資。</p> </div></div></div>
2022/9/5 14:00作者陳曉莉https://www.ithome.com.tw/news/152884
聯想公布定位為顯示器的智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯想推出針對娛樂與遠端工作用的<a href="https://news.lenovo.com/pressroom/press-releases/glasses-t1-wearable-display-for-gaming-streaming-privacy-on-the-go/" target="_blank">消費型智慧眼鏡Lenovo Glasses T1</a>，定位為搭配手機或平板的顯示器，預計今年底先於中國市場問世。</p> <p>Glasses T1相容於多數搭載USB-C介面的Windows、MacOS及Android裝置，也可透過聯想或蘋果推出的轉接頭連結iOS裝置的Lightning介面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-%20Lenovo%20Glasses%20T1-600.png" style="width: 450px;" /></p> <p> </p> <p>聯想智慧眼鏡主打具備1080p micro-OLED螢幕，各為解析度1920x1080，可將遊戲或娛樂影音內容，從較小螢幕的智慧型手機、或平板串流至Lenovo Glass T1眼鏡上，享受更寬廣的視覺體驗，而低耗電設計可支援數小時的使用。另一方面，用戶也可以在外工作時將敏感內容串流到隱私螢幕上，可避免機密資訊為旁人讀取。</p> <p>如果用戶剛好用的是聯想Motorola手機，則可以透過Ready For App簡化和這隻智慧眼鏡的整合使用。</p> <p>Lenovo Glass T1預計今年底先在中國上市，2023年起在其他市場開賣，屆時才會公布價格。</p> <p>聯想去年初已宣布了可支援擴增實境（AR）應用的<a href="https://www.lenovo.com/us/en/p/smart-devices/virtual-reality/thinkreality-a3/wmd00000500?orgRef=https%253A%252F%252Fwww.google.com%252F" target="_blank">智慧眼鏡ThinkReality A3</a>，在美國售價為1,500美元。</p> </div></div></div>
2022/9/5 12:37作者林妍溱https://www.ithome.com.tw/news/152881
三星美國系統7月遭駭，客戶姓名、生日等個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/us/notice-us-customer-information-cybersecurity/" target="_blank">三星周五公告</a>，該公司美國分公司部分系統於7月遭不明人士存取，導致為數不詳的客戶姓名、生日、聯絡方式等個資外洩。</p> <p>三星是在8月初偵測到系統異常，而在8月4日前後確定此事，證實部分客戶個資受影響。三星表示已強化受影響的系統，已和外部安全業者合作進行調查。該公司也在上周通知受影響的用戶。</p> <p>三星表示，這次事件「可能影響」客戶姓名、聯絡方式及人口學資料、生日、產品註冊資訊。這些資訊是三星為提供相關產品和服務而蒐集。但這家電子業巨人強調客戶社會安全碼、信用卡或簽帳卡號不受影響。</p> <p>三星表示，在調查過程中，用戶不必有什麼特別動作，但建議用戶小心帳號是否有可疑活動，並留意任何詢問個資的網頁，也不要點選不明郵件附件或連結。</p> <p>這也是三星今年證實的第二宗資料外洩。三月間因駭入Nvidia、微軟而聲名大噪的青少年駭客集團<a href="https://www.ithome.com.tw/news/150067" target="_blank">Lapsus$，也曾經駭入這家南韓電子業大廠</a>，並宣稱取得包括Galaxy裝置原始碼在內的機密資料，這些駭客並公布了三星190GB的資料檔案。</p> </div></div></div>
2022/9/5 11:46作者林妍溱https://www.ithome.com.tw/news/152879
俄國最大叫車軟體遭駭，造成鬧區交通大亂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯最大叫車軟體Yandex Taxi上周遭駭，大量計程車同時被叫到同一個地方，造成莫斯科鬧區交通大亂。</p> <p><a href="https://twitter.com/runews/status/1565319649683804160" target="_blank">當地媒體上周報導</a>，俄羅斯最大計程車Yandex Taxi的叫車App遭不明人士駭入，把所有計程車同時叫到莫斯科車水馬龍的大街Kutuzov Prospect上同一目的地，大量計程車造成的壅塞令莫斯科市交通大亂。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Someone hacked <a href="https://twitter.com/hashtag/YandexTaxi?src=hash&ref_src=twsrc%5Etfw">#YandexTaxi</a> and ordered all available taxis to Kutuzov Prospect in Moscow</p> <p>Now there is a huge traffic jam with taxis.</p> <p>It‘s like James Bond movie. <a href="https://t.co/IatuAEtA2i">pic.twitter.com/IatuAEtA2i</a></p> <p>— Russian Market (@runews) <a href="https://twitter.com/runews/status/1565319649683804160?ref_src=twsrc%5Etfw">September 1, 2022</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p><a href="http://twitter.com/runews/status/1565319649683804160" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Russian Market on Twitter</span></span></a></p> <p><a href="https://www.theverge.com/2022/9/3/23335694/hackers-traffic-jam-russia-moscow-ride-hailing-app-yandex-taxi" target="_blank">Yandex也在周日對《The Verge》證實</a>，子公司Yandex Taxi於9月1日遭到擾亂服務的攻擊，數十臺計程車司機接到大量發出的叫車訊息到Kutuzov Prospect大街所在的區域。但Yandex指這場混亂只持續不到一小時，該公司也升級偵測與防範攻擊的演算法，以防止未來此事重演。</p> <p><a href="https://twitter.com/YourAnonTV/status/1565786732901048323" target="_blank">知名駭客組織Anonymous主動出面承認此事是其所為</a>。Anonymous表示這是該組織與烏克蘭IT軍隊合作發動名為Operation Russia的網路攻擊行動的一環。</p> <p>俄烏戰爭自3月爆發以來，西方與俄羅斯陣營的駭客相互發動攻擊行動。在戰火持續7個月期間，站在西方陣營的駭客組織Anonymous陸續駭入<a href="https://www.ithome.com.tw/news/149630" target="_blank">俄羅斯政府單位及國家電視臺網站</a>、衛星系統、國有油管業、<a href="https://www.ithome.com.tw/news/150157" target="_blank">石油業設備業者網路</a>，公布大量內部機密資料，也曾駭入企業的多處<a href="https://www.ithome.com.tw/news/149982" target="_blank">攝影機</a>及<a href="https://www.ithome.com.tw/news/149630" target="_blank">印表機</a>以公布抗議俄羅斯軍事行動的訊息。</p> </div></div></div>
2022/9/5 12:07作者林妍溱https://www.ithome.com.tw/news/152880
美國科羅拉多州把美術比賽冠軍頒給以AI創作的作品，惹爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國科羅拉多州博覽會在今年的美術（Fine Art）競賽中，把數位藝術類別的冠軍頒給了Jason Allen，由於Allen的畫作是由AI圖像自動生成系統Midjourney所產生的，而惹來了爭議。</p> <p>這幅畫作名為《歌劇院空間》（Théâtre D’opéra Spatial），利用Midjourney合成具備華麗巴洛克風格的裝飾與人物，以及詭異又磅礴的氣氛。</p> <p class="rtecenter"><a href="https://commons.wikimedia.org/wiki/File:Th%C3%A9%C3%A2tre_D%E2%80%99op%C3%A9ra_Spatial.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jason%20Allen%20via%20Midjourney-Public%20domain-via%20Wikimedia%20Commons-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://commons.wikimedia.org/wiki/File:Th%C3%A9%C3%A2tre_D%E2%80%99op%C3%A9ra_Spatial.jpg" target="_blank">Jason Allen via Midjourney, Public domain, via Wikimedia Commons</a></p> <p>雖然Allen得獎的類別為數位藝術，但仍受到許多創作者的批評，例如<a href="https://twitter.com/GenelJumalon/status/1564651635602853889" target="_blank">視覺效果藝術家Genel Jumalon認為</a>這真的太糟糕了。底下則充斥著許多認同Jumalon觀點的留言，指出以AI創作的人不應稱為藝術家；質疑Allen連數位畫筆都沒拿就得了冠軍；還有人認為大家正在見證藝術的死亡，並說倘若連創意都無法自絕於機器之外，那麼各種高技能的工作也將會被機器淘汰。</p> <p>但也有少數聲援Allen的民眾，包括說他獲得「數位藝術」類別的首獎是實至名歸，也有人呼籲應該要將AI創作獨立成一個藝術類別。</p> <p>Allen所使用的Midjourney是由同名的實驗室所開發的AI專案，藉由創作者的文字就能自動生成圖像，類似<a href="https://www.ithome.com.tw/news/150301" target="_blank">OpenAI的DALL-E 2</a>，英國新聞期刊《經濟學人》（The Economist）今年6月號的封面便是利用該系統產生，<a href="https://www.midjourney.com/home/" target="_blank">Midjourney也在今年7月開放外界試用</a>。</p> <p>至於Allen則說，他利用Midjourney創作了超過100幅的作品，挑選了其中的3幅列印並參賽，最喜歡的那一幅獲得了首獎，之後他也打算公布所使用的文字敘述。</p> </div></div></div>
2022/9/5 10:40作者陳曉莉https://www.ithome.com.tw/news/152875
EFF：美國警方藉由資料掮客私下追蹤嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會<a href="https://www.ithome.com.tw/news/152774" target="_blank">（FTC）甫於本周控告</a>蒐集行動裝置位置資料的資料掮客Kochava侵犯使用者隱私，<a href="https://www.eff.org/deeplinks/2022/06/what-fog-data-science-why-surveillance-company-so-dangerous" target="_blank">電子前線基金會（Electronic Frontier Foundation，EFF）緊接著就點名另一家資料掮客Fog Data Science</a>，指控該公司提供給警方的Fog Reveal服務，可在未取得法院搜索票的情況下追蹤民眾的生活。</p> <p>Fog與Kochava的業務類似，它蒐集了全美2.5億手機的即時位置資料，估計每天會產生150億個位置訊號，包括裝置的經緯度、時間戳與裝置ID，除了將相關資料出售給廣告主之外，還特別替警方設計了Fog Reveal訂閱服務，年費介於6,000~9,000美元之間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Fog%20Data%20Science%20by%20%E9%9B%BB%E5%AD%90%E5%89%8D%E7%B7%9A%E5%9F%BA%E9%87%91%E6%9C%83%20(EFF)-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／電子前線基金會（EFF）</span></span></p> <p>Fog Reveal服務每月可執行100次的查詢，包括區域搜尋與裝置搜尋，前者可用來蒐集某個時刻在某個地點所出現的所有裝置ID，後者則可用來追蹤特定裝置ID的位置。因此，即使這些資料都是匿名的，但警方將可藉由比對位置資料來得知裝置主人的身分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0905-Fog%20Data%20Science%20by%20%E9%9B%BB%E5%AD%90%E5%89%8D%E7%B7%9A%E5%9F%BA%E9%87%91%E6%9C%83%20(EFF)-600-2.png" style="width: 512px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／電子前線基金會（EFF）</span></p> <p>更值得爭議的是，Fog並未要求警方在查詢之前必須取得法院的搜索票，代表這些警察客戶任何時候都可查詢曾聚集在某處的裝置，或是追蹤某個裝置的足跡，而這是違反美國憲法《第四修正案》的。</p> <p>EFF呼籲美國立法者應該要立即採取行動，禁止美國政府機構購買於公開市場上出售的地理位置資料，也需要建立更全面的消費者資料保護法令，同時封鎖網路上的行為定向廣告，才能減少這類掮客的存在。</p> </div></div></div>
2022/9/5 11:04作者陳曉莉https://www.ithome.com.tw/news/152876
Meta開源可加速並簡化資料管理系統開發的統一執行引擎Velox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源與英特爾、字節跳動與Ahana共同開發的統一執行引擎<a href="https://engineering.fb.com/2022/08/31/open-source/velox/">Velox</a>，這是一個加速資料管理系統並簡化其開發的函式庫，Velox目前仍在開發中，但是已經被驗證可提高資料管理系統的效率和一致性，Meta認為，Velox有助於整合和統一資料管理系統，因此希望開源社群加入專案貢獻，加速函式庫開發和採用。</p> <p>在Meta有數十個資料運算引擎，組成龐大的基礎設施生態系，以支撐Meta所提供的產品和服務，這些引擎處理著不同的工作負載，包括SQL分析、串流處理以及資料擷取等，而且在人工智慧和機器學習用例快速發展下，特徵工程、資料預處理和其他用於機器學習和服務的引擎和函式庫隨之增加。</p> <p>Meta提到，雖然資料運算引擎有其相似之處，但是引擎大多是獨立發展，這種碎片化讓維護和改善這些系統變得困難，而且執行這些工作負載的硬體也會逐漸更新，最終導致系統具有不同的功能集和不一致的語義，降低整體資料功能集的生產力。</p> <p>為了要解決這個問題，Meta打造了Velox來建構更高效的基礎設施架構，Meta提到，這是一個最新的統一執行引擎，目的是要加速資料管理系統，並且簡化開發。Velox統一了資料運算引擎常見的資料密集元件，但同時又可擴充和適應不同的計算引擎，其擴展原本僅能在個別引擎進行的最佳化，並且實現一致語義框架，如此能夠減少重複工作，提高重用性同時增加了效率和一致性。</p> <p>Meta進一步解釋，資料運算引擎皆由相似的邏輯元件組成，包括語言前端、中介表示、最佳化程式、Runtime和執行引擎，而Velox提供建構執行引擎所需要的模塊，包括所有在單個主機執行的資料密集操作，像是表示式評估、聚合、排序和聯合等，簡言之就是資料平面。</p> <p>Velox透過統一函式庫整合資料運算系統的執行引擎，能夠讓資料運算系統更具適應性，目前Meta已於十幾個資料系統整合Velox，包括Presto、Spark和TorchArrow，還有各種內部串流處理平臺、資料擷取系統和用於特徵工程的機器學習系統等。Meta希望透過建構開源社群來支援Velox專案，並且統一各資料運算引擎孤島，模糊機器學習基礎設施和傳統資料管理系統之間的界線。</p> </div></div></div>
2022/9/5 11:09作者李建興https://www.ithome.com.tw/news/152868
【iThome 2022 CIO大調查(下) 政府與學校IT趨勢】大幅強化資安投資，政府機關加碼AI、Cloud兼顧數…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_-1p-wen_bin_-zheng_fu_xue_xiao_960zhu_tu_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年政府與學校的IT預算為1億5,233萬元，較2021年成長5.1%，從CIO們對今年的前10大IT目標來看，資安仍然是大多數政府與學校CIO的目標之一，高達8成的CIO的今年目標就是強化資安，顯示政府機關面臨日益頻繁的駭客攻擊風險，如何提升資安防護已是政府與學校面臨的重大挑戰。</p> <p>然而，公部門的轉型腳步沒有停滯，近6成的CIO今年仍將持續推動數位轉型，而為了支援機關業務的變革，屬於後勤性質的IT也要跟上腳步，包括推動IT現代化、確保IT穩定與一致、加快IT反應能力與彈性、用AI強化分析與決策、推動資料治理都是10大目標之一，接近半數或半數以上CIO將其列為重要的工作。值得一提的是，這兩年在疫情衝擊之下，強化數位韌性也成為重要課題，甚至在全球趨勢興起下，公部門也開始重視ESG，首次進入前10大目標中。</p> <p>從八大重點投資來看，呼應前面10大目標，今年對數位轉型的投資雖小幅下滑2.1%，但是在強化資安的目標之下，政府與學校對資安的投資金額今年大增2成，從1,672萬元增加至 2,009萬元。</p> <p>至於Big Data方面的投資大幅下滑27.6%，可能已完成資料蒐集、分析的基礎工作，相對地，對AI機器學習、Cloud、邊緣運算（IoT）的投資都有增加，尤其是對AI機器學習的投資增幅31.9%最高，對Cloud也增加24%、邊緣運算（IoT）則是15.8%。</p> <p>政府與學校導入AI的目的，包括優化內部流程、優化營運決策、解決人力不足問題，讓員工從事更有價值的工作，並累積AI經驗及實力。目前僅有1成7已在產品或服務採用AI，3成4規畫導入AI，尚處於技術測試及驗證階段，還有2成7有興趣採用，正在規畫但還沒進行。</p> <p>至於對Cloud的投資，一方面呼應加快IT反應能力及彈性的目標，另方面也是因應新常態的IT對策之一，從調查中可以看到，除了強化遠端工作能力、工作場所的數位化，提高IT上雲比重被視為重要的對策。此外，這次調查也發現政府與學校CIO對ESG永續發展的做法，除了加速內部作業的無紙化、提升機房節能省電耗電，另一個做法就是提高上雲比重。</p> <p>從今年將採用前10大科技來看，大數據分析、AI/ML、敏捷開發、Kubernetes、多雲混合雲等仍受青睞，顯示政府學校推動數位轉型，內部IT也追求現代化，以迎合資源的彈性運用、快速開發及部署需求，值得一提的是，FIDO網路身分識別、區塊鏈進入前10名，其中FIDO更排名第2，僅次於大數據分析，FIDO受到高度重視的原因可能和內政部結合FIDO推出行動自然人憑證有關，以生物辨識取代密碼，滿足身分識別與使用的便利性，提高公部門採用FIDO的意願。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E6%96%87%E5%BD%AC-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E3%80%90%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者蘇文彬https://www.ithome.com.tw/article/152828
【iThome 2022 CIO大調查(下) 服務業IT趨勢】持續加碼轉型，服務業大力發展數位通路經營顧客數據
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_-1p-you_hua_-fu_wu_ye_960zhu_tu__0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從iThome 2022 CIO大調查結果可見，今年服務業格外積極加碼數位轉型，投入轉型的預算比去年大幅增加了近5成，比整體企業平均高出近900萬元。疫情持續延燒，大幅改變了消費和生產型態，仰賴與客戶接觸的服務業，也逐漸找到因應新常態的方向：發展新服務通路、積極經營顧客關係，來累積更多顧客數據，作為優化業務和行銷的重要參考。</p> <p>連續2年疫情，許多過去完全沒有線上業務，重度依靠實體通路的服務業者，遭受嚴重打擊。為了彌補線下通路的損失，從今年調查可以看到，比起其他產業，服務業CIO更重視發展電商模式和提升業績，將這2項目作為今年目標的CIO比例，幾乎高出其他產業1倍。</p> <p>新常態的考驗下，服務業IT也比其他產業更欲增強與業務部門合作，還要增加數位通路的投資，將商業模式與產品更數位化和服務化。服務業者不是要放棄線下轉攻線上，而更想要兼顧或者整合兩種截然不同的通路型態。約17%的服務業者今年要發展OMO策略，強化實體與數位通路整合，在前端，整合全通路面向消費者的業務，以提升服務品質，甚至導流顧客到不同通路以增加消費頻率，後端系統上，則要整合財務、顧客管理等系統，以在服務重心逐漸偏向全通路的同時，掌握企業營運情況。</p> <p>服務業的新常態IT對策中，有一項採用率遠高於其他產業的項目，就是增加顧客大數據的投資。通路多元化帶來的挑戰，就是顧客數據會分散在不同的接觸點，增加數據梳理難度。越是依賴數位通路，雖然帶來更多潛在顧客，相對也帶來了更多的潛在競爭者。為了在競爭更激烈、規模更大的市場中獲客及留客，服務業者需要深度了解客群特徵，才能強化經營策略的差異化競爭力。在麗緻餐飲集團服務16年的前資訊部經理林峻正表示，為了掌握客群樣貌，再加上近年第三方數據用於行銷逐漸失靈，服務業者開始建置顧客數據平臺等數據蒐集技術或服務。</p> <p>服務業今年另一大IT投資重點是行動應用，預算比去年多了16%。隨著顧客數據經營的重要性提升，更多服務業者開始重視行動應用的跨通路數據蒐集功能。行動應用不只可以累積顧客瀏覽行為和訂單內容等個人化資訊，也能觀察消費者偏好的通路或服務項目，作為未來發展的參考。不過，餐旅業者薰衣草森林資訊管理部經理張志豪提醒，若自家行動應用在消費者裝置的留存率跟使用率不高，可以考慮尋找替代方案，例如通訊平臺，作為新的顧客接觸點，來彌補顧客數據的缺口。</p> <p>另一個服務業值得觀察的趨勢是，採用雲端技術的企業占比高達72.3%，比整體產業平均比例高出約15%，其中，54.5%的企業上雲程度較輕，AP上雲比例不到一半。因疫情重創營收的服務業，更加重視成本控管，由於初期建置成本較低，財務彈性讓更多服務業願意開始上雲，也成了新常態發展線上服務的重要基礎建設。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91(1).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91(2).png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E5%8F%88%E8%8F%AF-%E6%9C%8D%E5%8B%99%E6%A5%AD%E3%80%90%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者郭又華https://www.ithome.com.tw/article/152829
薰衣草森林整合多業態系統，將IT難題轉為會員精準行銷助力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們連一個月賣幾杯咖啡都不知道，山裡一下雨就怕網路斷線，怕得冒雨修一整天的網路！」薰衣草森林資訊管理部經理張志豪至今記憶猶新，他剛到職時，公司軟硬體老舊到連日常營運都難以維持。</p> <p>創立超過20年的薰衣草森林是中部的熱門景點，不只休閒農場，後來更發展出了複合式餐廳、婚宴會場、民宿、青年旅館、選物零售店等不同的經營型態，多達8個品牌。</p> <p>雖然薰衣草森林據點不到30處，但涵蓋了園區、婚宴、零售、餐飲及住宿等5種很不一樣的業態。張志豪指出，業態不同，對資訊系統的功能需求大相逕庭，例如餐飲業必備劃位功能，而住宿業仰賴訂房管理。甚至，單一品牌涉及多種業態時，例如園區內有餐廳和紀念品銷售，系統還得更彈性。</p> <p>由於業態需求太多元，2017年時，薰衣草森林有意更換前端POS及後端ERP系統時，遲遲無法找到一套可以適用這5種業態的系統，也難以和廠商有效溝通繁多的客製化需求。張志豪就是此時進入薰衣草森林，首要任務就是負責導入新系統。但是，他沒有料想到，薰衣草森林的IT困境，遠不只如此。</p> <p><span style="font-size:28px;"><strong>系統過時導致日常工作繁複，日常工作繁複又拖延系統更新進度</strong></span></p> <p>到職後，張志豪才發現「追帳」是公司一大難題。總公司的會計常常會遇到前線回傳的財務資料錯誤或缺漏，必須聯繫營運現場釐清狀況，才能再到財務系統手動修正紀錄。因為涉及營運現場、會計部門及IT部門三個單位的溝通，追帳一次得花1到2周。可是，錯帳情況每天發生，導致待處理的錯帳問題堆積如山，大幅拖累其他日常工作。薰衣草森林當時IT只有2人，支援追帳的處理嚴重影響了新系統導入進度。</p> <p>錯帳頻繁最大原因是，當時的POS沒有串接ERP，資料需要手動拋轉，且途徑相當複雜。張志豪以園區帳務舉例，POS資料要先集中到園區內伺服器，再往總公司拋轉，然後才能儲存到ERP系統歸檔。拋轉途徑複雜，常常又遇到網路斷線，導致錯漏百出。帳務錯漏的起因是資訊系統老舊，但繁複的追帳作業又拖慢了新系統導入，形成了雞生蛋、蛋生雞的難解關係。張志豪坦言，那時相當煎熬，但是，「除了堅持推動軟硬體改革，別無他法。」</p> <p><span style="font-size:28px;"><strong>翻新網路硬體建設，耗費2年在深山中架設光纖網路及Wi-Fi</strong></span></p> <p>薰衣草森林4個觀光園區是當時的營收主力，維持日常營運跟帳務正確尤其重要，然而這四處園區位於偏鄉，網路最容易發生問題。以山上園區為例，網路訊號全靠一條同軸電纜提供，隨著園區內擴大服務，電纜越鋪越密，形成了錯綜複雜的地下網絡。可是，張志豪坦言，電纜的缺點是，一旦下大雨、打雷，網路設施就可能故障，IT就得親自上山。為了清查數百公尺長網路線的故障範圍，IT必須冒著風雨，花上一整天，來回測試所有網絡節點。網路硬體問題，不僅讓薰衣草森林的資訊系統錯誤百出，日常維護工作也成了IT人員的惡夢。</p> <p>為了根治網路問題，張志豪決定重新架設網路線路，改用光纖取代同軸電纜。然而園區的位置越偏遠，光纖網路架設的成本就越高，薰衣草森林與網路供應商花了超過1年，才翻新所有園區的網路建設，並同步架設Ｗi-Fi網路，為線上訂劃位等未來數位應用布局。</p> <p><span style="font-size:28px;"><strong>釐清各品牌資訊系統需求及痛點，整合多業態前後端系統</strong></span></p> <p>薰衣草森林先前汰換系統碰壁的主要問題是，難以跟廠商準確溝通複雜的系統客製需求，因此張志豪從釐清各品牌IT需求著手。不過，困難的是，薰衣草森林旗下各品牌分別由各自獨立的事業處管理，導致各自的資訊相當零碎，又不易在跨品牌間流通。缺乏資訊完整全貌，公司又時逢人事變動，難以找到熟知全局的關鍵人物。</p> <p>張志豪只好一一到每個品牌訪談大量員工，自己從中拼湊資訊。過程中，張志豪遇到兩大問題，分別是各品牌對特定用詞定義不同，以及各品牌的使用者數據缺乏統一的系統參數，這不只讓他更難解讀集團營運的整體狀態，也不容易對外溝通系統開發需求。</p> <p>用詞定義問題，以不同業態對來客數的定義為例，餐廳會用實際到店數來計算來客，紀念品店卻用開立的發票數來計算，一家人來園區吃飯購物，卻在兩家店計算的來客數完全不同，會帶來製作整體營運報表時的整合困難。張志豪說，「關鍵用詞若只用概略意義來溝通，得出來的資訊系統需求會大幅偏離實情。」</p> <p>第二個問題是跨品牌參數統一的挑戰，由於不同品牌管理和營運各自獨立，過去沒有從集團角度來設計資訊系統，缺乏了一套通用的編碼規則。例如，同樣都是黑咖啡的品項，在餐廳的系統代碼是G2，到了園區咖啡廳卻用T1來紀錄，當這兩處的銷售資料回傳到總公司製作報表時，因為代碼不同而被視為兩種不同的商品，增加了數據解讀的複雜度。當時在舊系統出現許多這類問題，不只增加報表解讀難度，總公司也難以盤點中央倉庫和各地存貨，來交叉比對產銷存數據的正確性。</p> <p>花了一番功夫，彙整出各品牌的用語定義及系統使用習慣，才逐步掌握了每個品牌的業務細節及系統需求。整理出各方需求後，張志豪發現只有住宿業的系統需求和基礎建設，與其他業態差距較大，因此決定先整合住宿業以外的4種業態，重啟系統客製專案，由原供應商調整POS系統，再找來國外ERP產品，進行報表的本地化法遵調整及系統串接，才於2020年完成POS和ERP的導入。張志豪當初臨危受命的任務，歷經兩年半終於告一段落。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-CIO-2P-%E5%8F%88%E8%8F%AF-%E8%96%B0%E8%A1%A3%E8%8D%89%E6%A3%AE%E6%9E%97.png" style="width: 480px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span><br /> <span style="font-size: 20px;"><strong>薰衣草森林資訊部管理部經理張志豪認為，IT最重要的責任就是確保日常營運順利，如果系統跟網路不穩定，公司只會停滯不前。</strong></span></span></p> <p><span style="font-size:28px;"><strong>線下業績衰退，疫情中緊急數位轉型，發展線上通路及顧客關係</strong></span></p> <p>薰衣草森林軟硬體建設相繼落成，公司日常營運順利許多，尤其POS跟ERP直接串聯後，錯帳情況便鮮少發生。然而，薰衣草森林卻開始面臨業績衰退問題，隨即而來的疫情，更是讓大部分線下通路的業績直接歸零。2020年的薰衣草森林，只有一個簡單的電商網站，沒有App，也沒有任何數位行銷手段，張志豪形容，那時公司好像從沒有網路的平行世界，突然被拉回現實。</p> <p>線下業績大幅衰退，薰衣草森林不得不展開數位轉型，但如何執行，只有線下經驗的他們毫無頭緒。後來，他們偶然發現，自家民宿有家合作旅行社，竟然在疫情影響下，依然能帶來穩定的客源。張志豪很好奇，一問才知道，這家旅行社主打瑜珈行程，薰衣草森林高層才發現，自家民宿有一群瑜珈愛好者的穩定客群。</p> <p>「原來我們不認識自己的客人，也不知道如何與他們溝通。」張志豪恍然大悟，也因此，他找到了兩大轉型方向，一是打造會員系統來接觸顧客，二是優化線上顧客接觸點，讓顧客更容易發現薰衣草森林的品牌。</p> <p>張志豪強調，數位轉型最重要的前提是高層主管的認同，因此，他們舉辦了多場事前會議，與高階主管溝通來獲得對轉型計畫的支持後，才開始著手打造會員制度跟系統。張志豪甚至找來多位高階主管到處參訪，從手搖飲料店、健身房以及服飾品牌等異業企業，向他們學習會員經營思路和做法，作為發展自家會員經營的基礎。</p> <p>薰衣草森林發展會員制度的目標是，讓會員跨品牌相互導流，來增加消費頻率。他們也從會員系統介面著手，強化線上與線下通路會員數據的搜集，匯入到後端CRM資料庫統一分析，作為行銷和產品開發參考。</p> <p>服務業常用App作為向會員行銷和溝通的窗口，不過，張志豪指出，薰衣草森林顧客平均回訪周期長達兩年，App在顧客手機中的留存率一定不高。因此，他們最後決定不用App，改用通訊軟體Line官方帳號功能來打造會員服務入口，也導入商用顧客行銷服務，進行會員資料貼標分析及行銷。從此，「我們只要專心經營會員，不用說服顧客下載App，更不用維護App。」他說。</p> <p>挑選CRM廠商時，張志豪才發現當年與POS廠商的合約已經包含了CRM。考量到成本跟系統相容性，薰衣草森林決定採用原廠商CRM作為會員資料庫。然而，儘管CRM容易與自家同廠商的POS系統串接，卻難以和薰衣草森林的電商系統及通訊軟體進行串接。為此，薰衣草森林又找了數據服務商，打造中臺串接CRM、通訊軟體及電商系統，這才完成所有系統的資料拋轉路徑，將數據蒐集點完整覆蓋所有通路。</p> <p>除了打造新的會員單一窗口後，薰衣草森林也積極優化顧客線上接觸點，包括各品牌的官網以及Google公開資訊。張志豪認為，線上接觸點就是顧客找到自己的管道，必須資訊清晰、操作容易。對使用者體驗不佳的品牌官網，張志豪要求品牌事業處重新設計，甚至直接淘汰只提供最基本資料的簡單官網，轉而直接在Google商家資料處更新，確保顧客有單一準確的資訊來源，甚至連在Google地圖上的園區定位點，都重新定位到營運處正門口。這些看似簡單的小動作優化，是引導顧客的重要環節，讓顧客更容易找到想到訪的品牌，甚至可以避免顧客在山上迷路，而留下園區難找的負面印象。</p> <p><span style="font-size:28px;"><strong>下一步要強化會員跨品牌間的導流</strong></span></p> <p>薰衣草森林新一代會員系統在2022年6月上線，各品牌線上接觸點整頓完成，住宿業系統也在期間完成更新，以利後續串接至其他系統，達成了第一階段的數位轉型目標。會員系統上線2個月，就以30%人流捕獲率（訪客成為會員的比例）累積了超過2萬名的會員。張志豪說，下一步除了要持續優化接觸點，更要強化會員制度的跨品牌導流功能。</p> <p>張志豪透露，未來各品牌都要開發會員兌換品項，如民宿住宿券、餐飲抵用券等，來吸引顧客使用會員功能，更能透過獎品讓會員接觸旗下其他品牌，實現跨品牌導流及累積會員數據。</p> <p>累積足量會員數據後，薰衣草森林將進行進階會員分析及精準行銷，也計畫開發跨品牌的旅遊行程和商品組合，依據會員喜好進行智慧推薦。多業態特性不再是資訊系統開發的負擔，而將成為創造會員客製化、多元化體驗的優勢。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT經理人小檔案 </span></strong></span></p> <p><strong>薰衣草森林資訊管理部經理張志豪</strong></p> <p>學歷：政治大學資訊管理系</p> <p>經歷：曾在台灣大哥大服務6年，期間擔任資訊工程師，累積系統程式開發經驗。於2013年至越南美豐鞋業擔任越南當地資訊主管，歷時3年半。2017年至薰衣草森林任職，先完成新ERP、POS系統導入，而後全力推動集團數位轉型。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/26_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%96%B0%E8%A1%A3%E8%8D%89%E6%A3%AE%E6%9E%97_%E5%AE%98%E7%B6%B2.jpg" style="width: 400px;" /></p> <p><strong>薰衣草森林</strong></p> <p>成立時間：2001年</p> <p>主要業務：旅遊園區、民宿、生活選品、婚宴莊園、餐飲</p> <p>員工數：270人</p> <p>董事長：王村煌</p> <p>資訊部門主管職稱：資訊管理部經理</p> <p>資訊部門主管姓名：張志豪</p> <p>直屬主管：董事長王村煌</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門人數：2人</p> <p>IT預算：200~500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2020年1月：集團新ERP及POS系統上線</p> <p>2021年2月：導入新人事薪資系統</p> <p>2021年5月：民宿新線上訂房及管理系統上線</p> <p>2021年7月：新電商系統上線</p> <p>2021年9月：導入Google Workspace</p> <p>2021年12月：旅遊園區餐廳導入線上訂劃位系統</p> <p>2022年6月：推出森旅人會員制度，以Line做為會員溝通介面，整合線下實體門市POS、線上電商及CRM系統。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-cio-2p-you_hua_-xun_yi_cao_sen_lin_.jpg" width="960" height="420" alt="" title="薰衣草森林資訊管理部經理張志豪　（攝影／洪政偉）" /></div></div></div>
2022/9/5 07:00作者郭又華https://www.ithome.com.tw/people/152834
【iThome 2022 CIO大調查(下) IT對焦新挑戰】聚和靠IT因應兩面向的挑戰，將分5階段達到ESG低碳轉型…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣今年進到後疫新常態，2年來歷經疫情多次起伏，如今每日確診人數維持2～3萬人不等，加上全臺近四分之一的人口染疫，防疫政策跟著調整，走向與疫情共存的新常態，不只民眾，許多企業開始學習與COVID-19病毒共存。</p> <p>身為40年本土老牌化工廠，聚和國際早在本土疫情爆發前，就展開數位轉型旅程，這段期間導入非接觸式門禁刷臉，生產線也結合AGV與機械手臂等自動化設備，搭配AOI瑕疵檢測，來達成檢驗、封裝到搬運的全自動流程，後來順利幫助這家公司度過了疫情的難關。</p> <p>進到2022年，面對不同以往的新常態，聚和國際資訊中心協理王邦畯就表示，今年將持續推動數位轉型，強化全公司遠端工作能力，仍是今年後疫新常態的首要重點，但他強調，這麼做的原因，不是要所有人全面改為居家辦公，而是要做好因應疫情變化的準備，以便隨時調整成遠端辦公的工作模式，來維持企業營運。</p> <p>疫情下的共存，遠距工作成為常態，許多員工改為遠端工作、遠端會議頻率也大幅升高，所以，對於資安強化，成為聚和資訊部門今年因應新常態另一項IT考驗，來確保遠端連線安全，乃至終端裝置安全存取等，避免資安破口。</p> <p>除了應對新常態的改變，王邦畯今年還有另一項IT挑戰需克服，就是運用IT因應ESG目標實現低碳，甚至是零碳轉型。這也與今年iThome CIO大調查中的趨勢不謀而合。</p> <p>王邦畯解釋，化工廠雖不像鋼鐵、石化業首當其衝，但聚和許多國際客戶，都因為ESG永續目標，開始對供應商提出減碳需求，也因為國際趨勢如此，所以，「我們必須要跑在前頭」他說。</p> <p>王邦畯將聚和低碳轉型過程分5階段，有前期準備、碳排放盤查、碳足跡分析、碳減量，以及外部抵換機制，來抵銷碳排，以此達到碳中和的目標。</p> <p>2年前，聚和IT先從建置能源管理系統做起，透過系統即時掌握設備能耗來調整用電，逐步減少碳排。接著全面展開碳盤查工作，像是在主要耗電設備上安裝感測器，透過各種數據蒐集，來進行碳足跡盤查計算，今年初更取得國際認證，包含ISO14064溫室氣體盤查及ISO 14067碳足跡盤查。經過盤查後，聚和在範疇一、二與範疇三的碳排量占比，約為6比4。完成碳盤查後，今年接著進到數據分析、碳減量的執行階段。</p> <p><span style="font-size:28px;"><strong>由資訊長高度參與ESG委員會決策</strong></span></p> <p>身為聚和數位轉型的重要推手，王邦畯今年一方面持續推動內部數位轉型，另一方面，也將數位轉型計畫對齊ESG目標。他表示，低碳轉型過程中，各類碳盤查會產生龐大資訊量，如何透過數據蒐集、分析及監測，來達到減碳目標，必須高度仰賴IT。</p> <p>也因此，聚和推動ESG減碳過程中，不論是設定減量目標、推動策略和執行方案，都由IT部門主導，王邦畯還因此加入經營高層組成的ESG委員會，協助公司制定長期永續策略，更由他擔任召集人，在每個月定期會議中，提出改善永續對策。這是在一般製造業少見的做法，只有在高科技製造業較為常見。</p> <p>接下來，王邦畯還要建置碳排放儀表板，透過視覺化儀表板來掌握各種設備、生產項目產生的碳排量變化，不只方便查看，也用於落實各項減量目標。</p> <p>而這些年來，聚和IT團隊為了提高工廠製程良率，所打下的資料科學應用基礎，在今年也獲得更深、更廣的應用，像是用於節能減碳上，結合AI數據分析提供更好的改善方案。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者余至浩https://www.ithome.com.tw/news/152835
【iThome 2022 CIO大調查(下) IT對焦新挑戰】高雄市靠資訊向上集中強化資安，將導混合雲提升資源調度彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高雄市府這兩年投入最多的是強化資安，高雄市政府資訊中心主任劉俊傑表示，尤其是勒索病毒攻擊興起，如果沒有強化資安，不只是企業無法營運，政府機關也無法正常運作，危害到整個組織的營運，因此強化資安列為高雄市政府IT投資的重點。</p> <p>傳統上，公務機關多向外部廠商採購防火牆等軟硬體設備，但劉俊傑認為，資安最大問題還是管理面，如果沒有灌輸人員資安的意識，駭客就有可趁之機，強化員工資安意識相當重要，「管理做不好，買再好的設備都沒有用」，劉俊傑說。</p> <p><span style="font-size:28px;"><strong>資訊向上集中強化資安</strong></span></p> <p>為了強化資安，高雄市政府的做法是推動資訊向上集中，將原本各局處的主機、網路都收到資訊中心統一納管，過去，市府各局處有小機房，各自營運管理，各自申請網路，往往造成管理上的困難，有些資訊人員不足的單位，甚至只使用簡易的防火牆，難以阻擋現在的資安攻擊。因此資訊中心將所有對外網路，從各局處的小機房統一集中到市府的大機房，透過專線連接網際網路。劉俊傑指出，集中管理後，根據統計，資安事件明顯少很多。</p> <p>高雄市去年開始規畫從虛擬機器改為私有雲架構，目前正在做管理的訓練，未來由資訊中心負責管理資源的大水庫，畫分小水庫給各局處使用，由各單位再進行更細的資源分配。相較於原有純虛擬化做法，所有VM得由資訊中心開通和管理，導入雲架構後，可以改為分層負責管理。</p> <p>劉俊傑表示，從一臺臺實體主機，到虛擬化、到現在採用私有雲架構，相同經費，可執行的虛擬機器較以前多了2倍，閒置資源可以如同共享單車、汽車般共享共用。為了更有效運用私有雲的資源，也朝結合公有雲的混合雲架構發展，例如在疫情期間，市府網站在特定時段流量特別高，未來借助公有雲，流量高時改用公雲，可以更充分運用私雲資源，可靠度也更好。</p> <p>下一步是推動軟體向上集中，例如由資訊中心建置網站模板，讓較小的單位例如區公所，不需自己花經費做網站，可使用網站模板。另外，過去各局處各自建置AI文字客服，現在也由資訊中心統一建置，目前高雄市1999的文字客服即由資訊中心提供。先前各局處自有小腦，集中後變成一顆AI大腦，中心現已訓練出6、7個局處的文字問答，預計明年會上線，透過試辦讓民眾協助訓練。</p> <p>向上集中更全面的管理，以一致的保護、規則強化資安管理。第三步是人員向上集中，鑑於中央成立數位發展部，未來高雄市可能調整組織，使資訊單位躍升為一級機關，實現人員向上集中。</p> <p>儘管建立妥善管理制度很重要，但他認為，落實制度的的關鍵還是在人，如果人員便宜行事，不照章辦事，還是會產生風險。另外，智慧城市的轉型關鍵之一是，資料的蒐集整理，過去各單位IT各自營運，造成資料取得不易，未來人員向上集中，更容易取得資料來分析，供市府高層決策。「智慧城市的發展，科技導入是一部分，另一部分來自資料整合，整合不同領域的資料、分析後產生新的知識」。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者蘇文彬https://www.ithome.com.tw/news/152836
【iThome 2022 CIO大調查(下) IT對焦新挑戰】拜耳加速系統上雲腳步，擁抱新常態試元宇宙水溫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>問及今年的IT重點工作，臺灣拜耳資訊部資深經理錢令儀直截了當地說：「上雲和數位轉型！」</p> <p><span style="font-size:28px;"><strong>將共通系統全數上雲，藉數位工具加速轉型</strong></span></p> <p>以上雲來說，拜耳今年的目標是，將各國分部通用、影響層面大的系統先搬上公有雲，再將各地的在地AP上雲。臺灣拜耳目前已有5成系統上雲，像是員工差旅費用管理系統SAP Concur、視訊和虛擬桌面等系統，而管理企業資源最重要的ERP系統，也正搬遷上雲中。</p> <p>將共用系統上雲，不只能節省成本、彈性擴充，還方便營運管理。比如，拜耳各國分公司可將特定主機搬至美國或德國分部的雲端來集中管理，免除自行管理的人力成本。這對委外開發模式，也有便利管理的好處。</p> <p>甚至，拜耳意識到，上雲是維持企業持續營運的關鍵之一。錢令儀點出，拜耳不只要在疫情間維持業務營運，也往前一步思考，要在其他危機爆發時也維持業務營運。他們走訪發現，只要系統上雲且網路暢通，物流等所有作業就能順利進行，不必回歸紙本作業。另一個維持企業營運關鍵的網路設備，拜耳則關注臺灣主管機關對低軌衛星的開放動態。</p> <p>同時，疫情也加速了拜耳數位轉型進程。他們一改過去鼓勵各地發起數位轉型的模式，今年統一由總部引進數位工具和技術，再導入各分部。比如，總部部署AI情境式防護工具，可透過情境模擬找出潛在惡意帳號，來先行防範，今年該工具也將部署至臺灣分公司。其他例子還有AI客服、RPA流程自動化工具等。</p> <p><strong style="font-size: 28px;">擁抱遠距辦公新常態，試用元宇宙方案</strong></p> <p>這次疫情，也促使拜耳擁抱遠距辦公新常態，允許員工一周可在家工作2、3天。但這也意味著，拜耳得優化網路通訊和線上會議體驗，像是藉助VR來提高與會者專注度。因為，他們發現，進行遠端大型電話會議時，與會者容易分心。為解決問題，拜耳今年開始試用Meta元宇宙解決方案，要用VR來讓會議更有臨場感，提高與會者專注力。這項技術，首先用於拜耳高階主管會議中。</p> <p>同樣為了讓線上會議和通訊更順暢，拜耳除提升全球分部的網路速度，也導入不少遠端會議設備，並改善系統，如增加客戶關係管理系統CRM的遠端通話功能，方便業務拜訪客戶、發送相關資訊。而且，他們也在系統中導入BI工具，要來強化客戶分析。</p> <p>不只從軟硬體因應疫後新常態，拜耳還進一步將新常態融入辦公文化中。錢令儀分享，今年開始，拜耳開放員工遠端跨域辦公，比如，居住臺灣的員工不必舉家搬遷至德國，也能進行德國分部的工作，甚至，居住臺北的員工也不必移動，就能執行臺中據點的工作。這麼做，更能善盡人才所長。</p> <p>在臺灣拜耳今年新啟用的辦公室中，還有其他新常態元素。比如，辦公座位全採開放式座位，以無固定座位的設計，方便遠距員工進公司辦公。為提高辦公設備使用率，新辦公室也採用不少環控系統，如會議室管控系統，可透過平板裝置調整燈光、聲音外，還有報到功能，能將使用者逾期未到的會議室釋出供他人使用，解決過往使用率不佳的問題。</p> <p>就連辦公室燈光設計，也講究使用效率。因為，新辦公室燈光是根據上下班時間設置，若員工需要加班，就得另外按「加班燈」按鈕，才能繼續辦公。錢令儀指出，這些新辦公室設備是拜耳IT的重點投資；這些作法，也呼應了這兩年熱烈討論的ESG精神。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王若樸https://www.ithome.com.tw/news/152841
【iThome 2022 CIO大調查(下) IT對焦新挑戰】四個智能化攻使用者體驗，光田要由外而內推IT現代化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年受疫情衝擊，「醫療服務需求變化快速、要求即時，驅使醫院聚焦IT現代化。」這是光田綜合醫院資訊部部長林政杰的第一線觀察，也為iThome 2022 CIO大調查醫療業IT趨勢下了貼切的註解。</p> <p>他點出，多數醫院系統老舊，難以招架疫情間頻繁更新的健保政策，因此，醫院將目光轉向微服務、容器、雲端等IT現代化技術，要來加速IT反應力。但對光田醫院來說，「IT現代化是我們想做的事，但不是首要目標，」林政杰解釋，微服務這類技術雖能優化IT管理工作、對IT人員很有感，但對醫護、民眾使用者來說，功能面的優化才更有感。</p> <p><span style="font-size:28px;"><strong>攻使用者體驗，要實現4個智能化</strong></span></p> <p>因此，光田醫院鎖定使用者體驗，將4個智能化列為今年首要目標，特別是醫療照護智能化和就醫環境智能化。醫療照護智能化是指，以病人為中心的數據整合，比如將病人檢驗檢查報告、會診資料等資料整合起來，即時提供給第一線臨床醫護，作為治療決策參考，解決過去需至不同系統撈資料的痛點。林政杰補充，光田醫院未來也將隨衛福部政策，來推動採用國際醫療資料交換標準FHIR，促進資料互通和整合。</p> <p> </p> <p>而就醫環境智能化，則要改造病患服務，要藉數位工具打造虛實整合的虛擬醫院架構，來銜接病患在家到醫院看診的歷程。比如透過行動應用、雲端和RPA流程自動化等技術，來優化病人就診前的照護服務。</p> <p>其他智能化目標，還包括行政流程、經營管理的改善。為實現這些目標，光田醫院將採用上述技術，像是以行動開發技術，來打造臨床端和行政管理端服務，又或藉RPA優化IT管理工作，由AI先判讀資訊，再觸發一連串自動化作業，來節省IT人力。</p> <p>這4個智能化對光田醫院來說很重要，因為，他們將在明年底、後年初開幕新院區，屆時將以新模式服務內外部顧客。而今年力推的4個智能化目標，就會是光田醫院很關鍵的練兵經驗。</p> <p>除了4個智能化，隨著新版電子病歷管理辦法上路，光田醫院今年還要落實全面無紙化，不只將病歷無紙化，也鎖定內部管理單位，要開發系統來降低紙張使用。</p> <p><span style="font-size:28px;"><strong>IT要由外而內推動現代化，AI持續採合作模式</strong></span></p> <p>今年，光田醫院的IT策略是「核心系統自行打造、周邊系統委外。」林政杰特別強調，這些委外開發的新系統，將採用新架構、新技術（如微服務、容器），他希望由廠商帶頭，把新IT技術和觀念帶入院內，以這種由外而內的方式，讓IT人員邊做邊學、累積IT現代化經驗，進一步促進內部技術升級。</p> <p>對於各醫院大力投資的AI，他坦言，光田醫院資源不如醫學中心豐沛，難以建置多個AI中心和硬體設備，來一條龍式打造AI系統。因此，他們將繼續採取與廠商、學術機構合作的模式，針對臨床需求來打造AI應用，既低成本也能解決實務問題。</p> <p>但他也觀察到，近年醫界面臨AI落地和回收成本問題，比如醫院大力投資、研發醫療AI，卻可能連同科醫師都不願意用，難以在院內擴大使用，更遑論擴展到不同醫院。也因此，光田醫院AI策略除了瞄準臨床實務需求，也將鎖定較易落地的行政、管理領域，來提高AI落地率。</p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王若樸https://www.ithome.com.tw/news/152845
【iThome 2022 CIO大調查(下) 各產業IT投資和人力總論】三大產業今年IT預算破億，金融與服務業上雲投資…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-feng_mian_-2p-dou_zi_-itzong_lun_-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業新常態的挑戰，今年進入新的「與疫共存」階段，再一次加速各產業數位轉型的腳步，IT現代化成了對抗新常態，快速因應市場變化，掌握新機會的關鍵。服務業、醫療業，甚至是一般製造業今年IT投資的成長力道，高於向來最積極發展IT的金融，反映出這些產業加碼投資，來跟上IT現代化浪頭的企圖。</p> <p>IT投資規模年年都是金融業居冠，今年金額再度創新高，平均超過了10億元。服務業、政府與學校今年IT預算也雙雙超過1億元。</p> <p>進一步細看企業在8大IT重點的投資，金融業數位轉型投資雖然居冠，但和去年相比，金融數位轉型投資其實下滑了1成多，因為，金融業逐漸從擴大轉型規模，開始邁向精煉和收穫成果的階段，也因此樽節了非必要的投資。反倒是服務業今年數位轉型投資比去多了5成，高科技業者也增加了3成，這都反映出這兩個產業今年大步轉型的野心。</p> <p>雲端投資最多的產業是金融和服務業，零接觸挑戰加速企業發展數位服務和數位通路，服務業去年受到疫情快速轉向線上電商發展，今年持續加碼雲端投資，小幅增加近1成。金融業上雲策略則略有不同，考量法遵和資料安全，不會全面上公雲，而是轉而聚焦多雲混合雲架構，也有更多金融業者今年更積極嘗試雲原生架構，從指標性服務開始練手和驗證雲原生架構，為日後有能力彈性上下雲調度來做準備，也讓金融雲端投資比去年翻了一倍。</p> <p>除了錢，人也是IT戰力另一項重要資源。金融業平均IT規模多達224.2人，開發人力也超過百人。服務業IT團隊則以51.4人，不到金融業IT人力的四分之一。製造業則開始提高開發人力的比重，不論一般製造或高科技均達到6成之多，製造業更加重視自行開發的能力，才能因應新常態帶來的種種突發性開發需求。整體來看，IT人力在企業組織中仍是少數，平均只有5%員工是IT人力，就算金融業較高，也只有7.6%。要像新加坡星展銀行那樣，為了讓科技成為企業關鍵競爭力，高達三分之一是IT人力，超過1萬名IT人，臺灣企業仍有不小的距離。</p> <p>超過4成企業今年要擴編IT，平均一家企業有7.2個資訊職缺，金融業對IT人才的需求更是迫切，近7成金融業要找IT人，平均提供了20個資訊職缺。以兩千大企業來估算，今年大型企業IT職缺需求至少超過了1萬人，讓原本就不足的IT人才更加搶手。企業IT技術的未來性和IT職涯發展性，都成了吸引優秀IT人才的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/files/600(2)-BIG-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" onclick="window.open(this.href, '', 'resizable=yes,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=yes,dependent=no,width=1462,height=480'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(4)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(5)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(6)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(7)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(8)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(9)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(10)-%E5%B0%81%E9%9D%A2-2p-%E8%B1%86%E5%AD%90-IT%E7%B8%BD%E8%AB%96.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王宏仁https://www.ithome.com.tw/article/152871
【iThome 2022 CIO大調查(下) 金融業IT趨勢】更多金融積極擁抱雲原生，ESG成CIO爆紅新挑戰
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-feng_mian_-1p-dou_zi_-jin_rong_it-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融數位轉型的重頭戲就是IT現代化，為了支援更多數位通路和無所不在的新金融需求，越來越多金融機構展開關鍵系統汰換、瘦身甚至是架構轉型。國泰金控靠雲原生技術成功打造出新中臺架構，或像玉山銀行用微服務自行開發的新一代核心系統順利上線，這兩個實例都強化了金融業者對雲原生技術的信心，容器、Kubernetes、微服務架構等技術，成了臺灣多家金融者推動IT現代化的首選。金融業今年更是加速導入雲原生技術，也帶動了相關雲端投資和相關技術的採用。</p> <p>受限法規要求，金融全面上公雲仍有諸多侷限，但今年將有意採用多雲混合雲架構的金融業者，從去年9.1%，增加到今年的15.9%，等於是，每七家，就有一家金融機構今年決定開始採用混合雲架構。這個架構調整作法，帶動了金融在雲端的投資金額，今年足足比去年翻了一倍，達到1,335萬元之多。</p> <p>不過，相較於金融業今年平均高達10億元的IT預算，這個雲端投資規模相對還是偏低，這意味了，不少金融業者對於混合雲架構和雲原生技術的採用，多處於嘗試和驗證階段。例如，第一銀行選定在核心系統中提供的外匯匯入服務，嘗試改用雲原生技術和架構來建置，要驗證雲架構和DevSecOps流程的可行性，也趁機強化自家團隊和委外廠商的能力，來為中期核心瘦身或長期逐步轉核開始做準備。</p> <p>甚至，有少數銀行看得更遠，已經開始強化自家大規模雲端服務的維運能力，今年有9.1%的金融業者，計畫要採用源自Google的SRE（網站可靠性工程）方法論，這個比例比去年多了三成，更凸顯出，雲原生成為金融IT現代化的主流目標。</p> <p>另一個今年突然竄紅的CIO話題是ESG。高達43.2%的金融業CIO，將ESG列為今年的年度工作目標，甚至比數位轉型更受到關注。2成多金融業者將CIO納入企業永續發展委員會，參與各項ESG績效設計和推動，近3成金融業因此調整數位轉型計畫來對齊ESG目標。</p> <p>對金融業而言，ESG的挑戰來自第三方溫室氣體排放的認列影響，也就是範疇3的溫室氣體如碳排放量。雖然金融業自家直接或使用外部能源間接產生的溫室氣體排放量，遠低於製造業，可是在範疇三的認列方式上，會將金融業投融資對象，依照投資金額占對方資產的比例，讓金融業者來認列對方的溫室氣體排放量，像玉山銀行在2020永續報告書中就估算，投融資活動帶來的碳排放量高達91.6萬噸，遠高於玉山自身營運產生的2.5萬噸碳排量。不過，IT如何因應ESG，多以作業無紙化或發展更多數位服務為主，也有2成企業提高上雲比重來因應。要如何更有效因應範疇3的挑戰，仍舊是許多金融CIO的新課題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(1)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(2)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(3)-%E5%B0%81%E9%9D%A2-1p-%E8%B1%86%E5%AD%90-%E9%87%91%E8%9E%8DIT.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷執行說明 </span> </strong></span><span style="color: rgb(105, 105, 105);"><strong>CIO大調查執行期間從2022年7月1日到29日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學IT與資安主管進行線上問卷調查，有效問卷416家，其中69.3%填答者為企業IT最高主管。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/152873" target="_blank"><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/5 07:00作者王宏仁https://www.ithome.com.tw/article/152872
【iThome 2022 CIO大調查(下)】各產業數位轉型加速，IT大步邁向雲原生
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1093-feng_mian_-1_open-960x420_kao_bei_.jpg?itok=rYOw_pk0" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新常態加速各產業數位轉型和IT現代化腳步，三大產業今年的IT預算規模破億，金融、服務和高科技業紛紛加碼雲端投資，微服務促使醫療業擁抱DevOps，ESG成CIO新焦點，更加速企業數位化和上雲腳步，雲原生技術成了IT現代化的新主流</p> </div></div></div>
2022/9/5 07:00未署名https://www.ithome.com.tw/article/152873
【資安週報】2022年8月29日到9月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期國內有不少DDoS攻擊的消息，先前<a href="https://ctee.com.tw/news/finance/696276.html">有幾家銀行業也遭遇</a>，幸因清洗流量加大並未導致網頁癱瘓，但國內第三方支付<a href="https://www.ithome.com.tw/news/152801">藍新金流因DDoS攻擊發生資安事故</a>，在8月中下旬發生數次金流平臺服務不穩定或服務中斷情形，由於針對金融服務的DDoS攻擊，比起針對一般網站的攻擊影響更嚴重，值得政府單位與金融相關業者密切關注。</p> <p>在漏洞修補方面，近期Atlassian修補了Bitbucket伺服器與資料中心的一項RCE重大漏洞，其CVE風險評分達9.9分，WordPress在8月30日亦修補一項高風險的SQL注入漏洞。此外，研究人員揭露Linux核心漏洞DirtyCred細節，其中CVE-2021-4154的漏洞，Debian、Ubuntu與Red Hat在今年3月修補，CVE-2022-2588漏洞在8月上半已經釋出修補新版。</p> <p>另外要注意的是，本周美國CISA在8月25日將10個已知漏洞，列入已遭成功利用的高風險漏洞（Known Exploited Vulnerabilities）名單，提醒組織應優先處理，當中有一個關於台達電子DOPSoft 2軟體的漏洞CVE-2021-38406，由於該產品生命週期結束，由於已有攻擊行動，因此呼籲工控系統用戶盡速移除。</p> <p>在國際資安態勢上，近來位於南歐的蒙特內哥羅，其關鍵CI與政府系統疑遭俄羅斯駭客團體攻擊，以及南美智利政府機關疑遭遇RedAlert或Conti勒索軟體攻擊，都發生政府機關服務中斷的情況。</p> <p>Twilio資安事件有後續消息，該公司確定有163個客戶受到影響，而針對駭客竊取MFA之簡訊OTP驗證碼的活動，資安業者Group-IB與雲端身分驗證Okta也公布其掌握到的相關消息。</p> <h2 class="rtecenter"><strong>本週重大資安新聞</strong></h2> <p class="rtecenter"><strong><a href="https://www.ithome.com.tw/news/152867#藍新"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#BianLian"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#F3"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Twilio"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Delta"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Montenegro"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#MODA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ArmyCyber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#ScanBox"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/152867#Deepfake"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></strong></p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/152801" id="藍新" name="藍新"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">藍新金流在兩週內遭遇數波DDoS攻擊，國內至少十多家線上平臺揭露期間暫時無法交易或付款</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-26_214105(1).png" style="width: 220px; float: right;" /></p> <p>在8月26日藍新科技公司發布公告，說明藍新金流因IDC機房遭受數波來自海外惡意攻擊，導致金流服務暫時中斷，事實上，這已經是藍新金流最近兩周內第六次因DDoS攻擊導致服務中斷或不穩的情形，以至於業者的因應有效性，格外受到外界關注，同時有多家線上中小型平臺表示交易付款受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/" id="BianLian" name="BianLian"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.microsoft.com/security/blog/2022/08/25/mercury-leveraging-log4j-2-vulnerabilities-in-unpatched-systems-to-target-israeli-organizations/"><span style="color: rgb(0, 0, 0);">伊朗駭客利用IT服務管理系統的Log4Shell漏洞，攻擊以色列組織</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-mercury-attack-chain.png" style="width: 300px; float: right;" /></a>駭客利用Log4Shell漏洞發動攻擊的情況，有許多事故都針對VMware Horizon遠距工作平臺而來，但有攻擊者將目標轉向存在相同漏洞的其他應用系統。微軟的研究人員指出，伊朗駭客組織MuddyWater（亦稱Mercury）在針對以色列企業的攻擊行動中，透過IT服務管理系統系統SysAid的Log4Shell漏洞進行滲透，然後使用惡意PowerShell程式碼來投放Web Shell。</p> <p>接著，駭客試圖取得受害電腦的管理員權限，使用Mimikatz來竊取帳密，並以WMI和遠端管理工具RemCom進行橫向移動，最終使用隧道工具Ligolo將竊得的資料傳送到C2。研究人員公布入侵指標（IoC）供企業識別相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws" id="F3" name="F3"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/26/twilio-breach-authy/" id="Twilio" name="Twilio"><span style="color: rgb(0, 0, 0);">Twilio證實163個組織受到8月初攻擊事件影響</span></a></strong></h3> <p>雲端服務業者Twilio於8月初遭駭，經過2星期的調查後，該公司確定有163個組織受到影響，其中有93個使用者的雙因素驗證應用程式Authy帳號遭到挾持，駭客將其用於註冊額外的裝置，Twilio已移除駭客登錄的裝置，並呼籲Authy用戶儘速檢查帳號是否出現可疑存取行為，以及確認註冊的裝置名單。</p> <h3><strong style="font-size: 22px;"><a href="https://sec.okta.com/scatterswine"><span style="color: rgb(0, 0, 0);">駭客利用雲端服務Twilio的漏洞竊取Okta帳密資料</span></a></strong></h3> <p>針對Twilio遭駭的事故，資安業者Group-IB指出與名為0ktapus的大規模攻擊行動有關，駭客專門鎖定採用Okta身分驗證解決方案的組織下手，竊取雙因素驗證的簡訊OTP驗證碼犯案，Okta也透露他們所了解的情況。</p> <p>8月25日，Okta發出公告指出，發起上述攻擊行動的駭客能透過Twilio主控臺，存取少量使用者的電話號碼，以及內含OTP密碼的簡訊內容。駭客至少存取了38個與Okta有關的電話號碼。Okta也發現，駭客會打電話給目標組織的員工，甚至是這些員工的家人。</p> <h3><strong style="font-size: 22px;"><a href="https://techcrunch.com/2022/08/25/doordash-customer-data-breach-twilio/"><span style="color: rgb(0, 0, 0);">美國餐點外送業者DoorDash傳出資料外洩，疑與Twilio攻擊事件有關</span></a></strong></h3> <p>又有企業聲稱資料外洩與Twilio的攻擊事故有關！8月25日，美國餐點外送業者DoorDash發出公告，他們發現有人能透過外部供應商竊得的帳密，取得DoorDash內部工具的存取權限，曝光的資料包含訂餐者的姓名、送餐地址、電話號碼、電子郵件信箱，以及員工的姓名、電話號碼、電子郵件信箱。</p> <p>雖然上述公告沒有提及外部供應商的身分，但DoorDash向新聞網站TechChunch透露，Twilio員工遭到網釣簡訊而導致公司資料外洩的事故，與DoorDash的資料外洩有關，引發外界聯想。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cisa-vulnerability-delta-ics-software-exploited-attacks" id="Delta" name="Delta"><span style="color: rgb(0, 0, 0);">美國CISA提出警告，台達電子ICS軟體漏洞已被用於攻擊行動</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於8月25日，將10個漏洞列入已被用於攻擊行動的名單，其中，罕見地出現與工控系統（ICS）有關的漏洞CVE-2021-38406，此漏洞存在於台達電子DOPSoft 2軟體，為越界寫入漏洞，CVSS評分為7.8分。由於DOPSoft 2產品生命週期已經結束，台達電子不會進行修補，並建議客戶轉換其他的解決方案，CISA呼籲用戶應儘速移除DOPSoft 2。</p> <h3><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國CISA在8月25日公布10項已知漏洞開始被攻擊者成功利用，呼籲組織盡速因應</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/20220902周報已知成功利用漏洞.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20220902%E5%91%A8%E5%A0%B1%E5%B7%B2%E7%9F%A5%E6%88%90%E5%8A%9F%E5%88%A9%E7%94%A8%E6%BC%8F%E6%B4%9E.jpg" style="width: 600px;" /></a></p> <h3><strong style="font-size: 22px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/chasing-currents-espionage-south-china-sea" id="ScanBox" name="ScanBox"><span style="color: rgb(0, 0, 0);">中國駭客組織鎖定澳洲政府官員，以ScanBox惡意軟體發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScanBox-attack-chain.jpg.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint與資誠聯合會計師事務所（PwC）的威脅情報中心聯手，揭露中國駭客組織TA423（亦稱APT40、Leviathan、Red Ladon）在今年4月至6月的攻擊行動，駭客假冒澳洲媒體，鎖定當地政府機關、新聞媒體，以及在南海維護風力渦輪發電機的重工業廠商，以病假、使用者研究，以及合作請求等名義寄送釣魚郵件，目的是投放惡意程式框架ScanBox，進而對目標組織進行偵察。</p> <p>ScanBox框架可載入多種攻擊模組，包含鍵盤側錄器、瀏覽器指紋收集器等。研究人員認為，這起攻擊行動是TA423自2021年3月以來的第3階段情蒐任務。</p> <h3><strong style="font-size: 22px;"><a href="https://www.binance.com/en/blog/community/scammers-created-an-ai-hologram-of-me-to-scam-unsuspecting-projects-6406050849026267209" id="Deepfake" name="Deepfake"><span style="color: rgb(0, 0, 0);">駭客透過Deepfake假冒大型加密貨幣交易所幣安的高階主管</span></a></strong></h3> <p>加密貨幣交易所幣安（Binance）公關長Patrick Hillmann表示，有人以Deepfake手法，利用他受訪的影片來製作全像圖（Hologram），對加密貨幣專案團隊發送Zoom會議通知來進行詐騙。Patrick Hillmann強調他的工作不涉及交易平臺專案的上架，也不認識這些專案的團隊。</p> <p>但不只Patrick Hillmann，駭客假冒幣安員工在推特、LinkedIn、Telegram行騙的情況大幅增加，對此，<a href="https://www.binance.com/zh-TW/official-verification">該公司提供了Binance Verify網站</a>，讓用戶可透過對方的電子郵件信箱、電話號碼、推特帳號等資料進行確認。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cybercriminals-apparently-involved-russia-linked-attack-montenegro-government" id="Montenegro" name="Montenegro"><span style="color: rgb(0, 0, 0);">南歐蒙特內哥羅當地政府疑遭勒索軟體Cuba攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png" style="width: 300px; float: right;" /></a>8月26日，蒙特內哥羅的政府系統與關鍵基礎設施遭到網路攻擊，美國大使館指出這起事故可能會擾亂當地交通、公營事業，以及電信服務的運作，蒙特內哥羅指控攻擊是多個俄羅斯駭客組織所為。</p> <p>事隔數日，勒索軟體Cuba聲稱他們在8月19日入侵該國議會，竊得了財務資料，以及銀行員工個資、資產負債表等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-claims-attack-on-portugals-flag-airline/"><span style="color: rgb(0, 0, 0);">葡萄牙航空公司疑遭勒索軟體Ragnar Locker攻擊</span></a></strong></h3> <p>8月26日，大型葡萄牙航空公司TAP Air Portugal證實遭到網路攻擊，但表示不影響飛航安全，旅客資料也沒有出現異常存取的情況。該公司於30日再度公告，上述網路攻擊導致網站與應用系統無法使用。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Ragnar Locker於31日宣稱，這起攻擊事故是他們所為，並竊得數百GB的資料。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/leading-library-services-firm-baker-and-taylor-hit-by-ransomware/"><span style="color: rgb(0, 0, 0);">大型圖書館書商Baker & Taylor遭勒索軟體攻擊</span></a></strong></h3> <p>大型圖書館供應商Baker & Taylor於8月23日，傳出因伺服器故障，導致所有系統及應用程式受到影響，該公司於29日證實是勒索軟體攻擊事故。Baker & Taylor表示，他們在23日就發現書籍搜尋系統Title Source 360、電子資料交換服務EDI、辦公室電話系統、服務中心無法使用，24日聘請外部專家協助。不過，該公司並未透露勒索軟體名稱，也沒有駭客宣稱是他們所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securonix.com/blog/golang-attack-campaign-gowebbfuscator-leverages-office-macros-and-james-webb-images-to-infect-systems/"><span style="color: rgb(0, 0, 0);">檔案挾帶的方式出現新手法！連資安人員都可能以為是憑證，而沒有發現惡意軟體的蹤跡</span></a></strong></h3> <p>資安業者Securonix揭露惡意軟體攻擊行動Go#Webbfuscator，駭客透過釣魚郵件夾帶惡意Word檔案，目的是要在受害電腦植入以Go語言打造的惡意程式，但駭客藏匿惡意程式的方式相當特別，他們運用韋伯太空望遠鏡（James Webb Space Telescope）所拍攝的SMACS 0723星系團照片，並將此惡意軟體偽裝成憑證檔案，而未曾被防毒軟體發現異狀。此惡意程式的主要功能為長駐受害電腦，讓駭客可藉由C2伺服器控制。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/malicious-cookie-stuffing-chrome-extensions-with-1-4-million-users/"><span style="color: rgb(0, 0, 0);">5個惡意Chrome擴充套件濫用網站Cookie，一旦使用者購物，駭客就能向電商網站收取傭金</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/0011.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0011.png" style="width: 300px; float: right;" /></a>資安業者McAfee揭露5個會濫用受害者上網行蹤記錄的Chrome擴充套件：Netflix Party、Netflix Party 2、Full Page Screenshot Capture – Screenshotting、FlipShope – Price Tracker Extension，以及AutoBuy Flash Sales，這些套件總共已被下載140萬次，其中最多人下載的是Netflix Party，達到80萬次。</p> <p>研究人員指出，駭客的目的是經由監控受害者瀏覽電子商務網站，竄改Cookie，讓網站認為使用者是透過推薦連結存取，而使得駭客能在受害者購物中抽成。由於這些擴充套件也確實具備Chrome Web Store市集上宣稱的功能，而使得用戶難以察覺有異，但因為這些擴充套件會衍生用戶隱私曝露的疑慮，使得研究人員呼籲用戶在安裝擴充套件時要更加小心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.esentire.com/security-advisories/hacker-infrastructure-used-in-cisco-breach-discovered-attacking-a-top-workforce-management-corporation-russias-evil-corp-gang-suspected-reports-esentire"><span style="color: rgb(0, 0, 0);">思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊</span></a></strong></h3> <p>針對思科5月下旬遭駭的資安事故，該公司認為發動攻擊的駭客組織包含了UNC2447、Lapsus$，以及勒索軟體駭客閰羅王，但似乎還有其他駭客組織參與。</p> <p>資安業者eSentire指出，隸屬於Evil Corp的駭客組織UNC2165，在1個月前對他們客戶發動攻擊，其基礎設施與思科事故裡所使用的相同，因而引起他們注意並進一步調查。而在思科的攻擊事故裡，研究人員發現了名為HiveStrike的Cobalt Strike基礎設施，而這是勒索軟體駭客組織Conti前成員架設，用於散布FiveHands與Conti勒索軟體。</p> <p>究竟這兩個組織執行了那些攻擊行動？研究人員認為，有可能Evil Corp與Conti旗下的組織進行合作，或是Evil Corp取得初始存取思科內部網路環境的管道，再由Conti旗下、使用勒索軟體Hive的駭客發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ic3.gov/Media/Y2022/PSA220829"><span style="color: rgb(0, 0, 0);">美國警告DeFi平臺漏洞成駭客竊取加密貨幣的主要目標</span></a></strong></h3> <p>美國聯邦調查局（FBI）於8月29日提出警告，攻擊者偏好鎖定去中心化金融（DeFI）平臺，挖掘智慧合約的安全漏洞來竊取加密貨幣。該單位看到數起攻擊行動，例如，有人發現DeFi平臺代幣橋（Token Bridge）的簽名驗證漏洞，進而將該平臺的資產提領一空，導致3.2億美元損失。FBI呼籲投資人與DeFi平臺業者應嚴加防範，並提供相關預防措施。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">下載免費工具也可能成為駭客的攻擊目標！駭客以提供實用軟體為由，逐步控制受害電腦並進行挖礦</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nitrokod-attack-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Check Point指出，有個開發人員Nitrokod製作了不少Windows電腦版的應用程式，如：Google Translate Desktop、Mp3 Download Manager等，乍看之下這些軟體擁有網站上描述的功能，且在Google搜尋排行相當前面，亦有軟體下載網站Softpedia、Uptodown予以推薦。</p> <p>但研究人員發現，這些「應用程式」在部署到受害電腦後，埋伏一個月後才會下載XMrig挖礦軟體，而這段埋伏的過程裡，駭客會經由6個階段，慢慢下載相關工具、停用防毒軟體、對Windows防火牆加入例外規則等。研究人員呼籲使用者應儘量從服務提供者取得應用程式，來防範這種攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布多種竊密軟體，已出現用戶加密錢包遭盜款的災情</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/twitter-direct-messages.jpg" style="width: 300px; float: right;" /></a>研究人員Iamdeadlyz發現，駭客假借名為Cthulhu World遊戲測試的名義，在推特上尋求願意測試的玩家，並宣稱玩家能獲得以太坊作為報酬，但實際上是為了散布竊密軟體。</p> <p>一旦玩家依照指示操作，駭客的遊戲網站便會將他們引導到下載測試版的網頁，並要求玩家輸入特定序號。然而這些序號實際上代表了不同的竊密軟體：AsyncRAT、RedLine Stealer，以及Raccoon Stealer。已有受害者因電腦被植入上述竊密軟體，加密貨幣錢包遭到清空。駭客疑似複製Alchemic World遊戲網站的大部分內容，且有Discord群組，而讓玩家難以分辨真假，使得Alchemic World再度呼籲玩家要提高警覺。</p> <div> <h3><strong style="font-size: 22px;"><a href="https://securelist.com/kimsukys-golddragon-cluster-and-its-c2-operations/107258/"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky鎖定南韓政治人物下手，並進行一連串檢查機制迴避資安人員調查</span></a></strong></h3> <p>卡巴斯基揭露北韓駭客組織Kimsuky的攻擊手法，該組織專門鎖定南韓組織下手，以地緣政治相關的主題進行釣魚郵件攻擊，但與許多攻擊行動不同的是，這些駭客會先利用C2伺服器確認目標後，才對受害者傳送惡意文件，收信人開啟檔案後，指令碼會把受害者的IP位址傳送至另一個C2伺服器驗證，駭客再度確認完才會進一步行動。這一波攻擊行動Kimsuky的主要目標，是與政治及外交有關的南韓實體，以及政治人物、外交官、記者、脫北者等。</p> </div> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html"><span style="color: rgb(0, 0, 0);">Atlassian修補CI/CD解決方案的重大漏洞</span></a></strong></h3> <p>Atlassian針對旗下的持續整合及持續部署（CI/CD）解決方案Bitbucket發布資安通告，該系統存在指令注入漏洞CVE-2022-36804，一旦攻擊者利用這項漏洞，就有可能在具備程式碼儲存庫或是私有Bitbucket存取權限的情況下，發送惡意HTTP的呼叫來執行任意程式碼，CVSS風險評分為9.9分。</p> <p>受影響的範圍涵蓋了Bitbucket的Server及Data Center元件，6.10.17以上的版本都可能存在相關風險。該公司已發布新版軟體，並呼籲用戶儘速安裝，或暫時關閉公開的儲存庫來降低風險。此外，由Atlassian代管的服務不受影響。</p> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/blog/dirty-cred-what-you-need-to-know/"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg" style="width: 300px; float: right;" /></a>美國西北大學的研究人員揭露名為DirtyCred的Linux核心漏洞，該漏洞已存在長達8年，為記憶體釋放後濫用（UAF）的漏洞，攻擊者可用來提升權限。此漏洞涵蓋CVE-2021-4154與CVE-2022-2588兩個弱點，擁有類似另一個漏洞Dirty Pipe（CVE-2022-0847）的特性，能針對Linux與Android作業系統發動攻擊，但最大的不同之處在於，DirtyCred可被用於逃逸容器的攻擊，再者，駭客利用該漏洞的難度也較Dirty Pipe低。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上進行概念性驗證（PoC）攻擊，並於執行CentOS 8與Ubuntu 20.04作業系統的主機裡，透過此漏洞成功提升權限。他們呼籲使用者要留意Linux開發團隊的公告，並儘速安裝修補軟體。</p> <h3><a href="https://www.wordfence.com/blog/2022/08/wordpress-core-6-0-2-security-maintenance-release-what-you-need-to-know/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress修補高風險SQL注入漏洞</span></strong></a></h3> <p>8月30日，WordPress開發團隊發布6.0.2版，總共修補3個漏洞，其中包含CVSS風險評分達8.0分的高風險漏洞（尚未有CVE編號），此漏洞與WordPress提供的書籤（Bookmarks）有關，有可能被用於SQL注入攻擊。資安業者Wordfence表示，駭客要利用該漏洞的難度相當高，不只需要管理者權限，在WordPress預設組態的配置下也難以利用，但網站很有可能會因為部署了外掛程式或佈景主題而曝險。研究人員呼籲網站管理者應儘速檢查WordPress是否已經升級。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/ArmyChiefCyber/status/1563295564380250113" id="ArmyCyber" name="ArmyCyber"><span style="color: rgb(0, 0, 0);">美國陸軍公開招募有志人士加入陸軍網路作戰單位</span></a></strong></h3> <p>在今年初爆發的俄羅斯進軍烏克蘭的戰事，使得各國不只在意陸海空戰力，網路戰力也越顯重要，美國陸軍為了因應總統拜登的強化資安政策，在8月底也宣布公開招募網路作戰軍種，以抵禦外國政府透過網路發動的各式攻擊，此一編制從2009年起，特別是這次公開擴大招募，當中軍缺包含「網路及電子作戰官」、「網路作戰官」、「密碼情報分析師」、「網路防衛員」，還有「網路作戰專員」，同時美國陸軍也將提供相關訓練課程，包括網路作戰技能、IT安全認證、電腦鑑識、惡意程式分析，以及駭客訓練等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.youtube.com/watch?v=_JdCv9uJ-T0" id="MODA" name="MODA"><span style="color: rgb(0, 0, 0);">我國數位發展部8月27日正式成立</span></a></strong></h3> <p>經過兩年多籌備的數位發展部（MODA）於8月27日舉行揭牌儀式，總統蔡英文、行政院院長蘇貞昌皆到場見證。而預計要在掛牌這天公布的人事任命，也在網站揭露，<a href="http://moda.gov.tw/ACS/aboutus/director-general/975">其中的資通安全署長將由國發會資訊管理處長謝翠娟擔任</a>，資通安全署旗下將設立綜合規劃組、通報應變組、輔導培訓組、稽核檢查組、法規及國合組，以及秘書室、人事室、政風室、主計室等部門。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152815"><span style="color: rgb(0, 0, 0);">數位發展部公布資通安全署副署長人選</span></a></strong></h3> <p>數位發展部資通安全署署長確認由原國發會資訊處處長謝翠娟擔任，兩位副署長名單在今天（9月1日）公布，其中一位為原行政院資通安全處副處長林春吟，另外一位副署長則是臺灣科技大學資訊工程學系教授鄭欣明。</p> <h3><a href="https://www.ithome.com.tw/news/152824"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部提前瞻計畫，要驗證以非同步軌道衛星強化我國通訊網路韌性的可行性</span></strong></a></h3> <p>為因應天災、戰爭導致國內通訊網路中斷，這方面數位韌性的提升，一直是國內關注的焦點，最近數位發展部提出一項新計畫，主因是我國尚未開放非同步軌道衛星提供商用服務，如今則將開始規畫相關PoC概念驗證，將於全球700處與3個國外站點，設置非同步軌道衛星設備，目的是希望在海纜或行固網通訊系統受破壞或失能時，能確保必要應變訊息能緊急通訊傳遞。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://security.googleblog.com/2023/08/Announcing-Googles-Open-Source-Software-Vulnerability-Rewards-Program%20.html"><span style="color: rgb(0, 0, 0);">Google針對旗下開源軟體祭出抓漏獎勵</span></a></strong></h3> <p>為了強化旗下的開源軟體安全，Google於8月30日宣布推出抓漏獎勵計畫Open Source Software Vulnerability Rewards Program（OSS VRP），初期範圍涵蓋Bazel、 Angular、Golang、Protocol buffers，以及Fuchsia等軟體，獎金從100美元至31,337美元。</p> <p>OSS VRP不只適用於Google經營的開源軟體，也包含這些專案涉及的相依項目。該公司偏好徵求的漏洞類型，主要為能夠造成供應鏈攻擊的弱點，或是軟體設計不良的瑕疵等。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年臺灣資安相關支出將達到近9億美元</span></strong></h3> <p>市場調查機構IDC發布對於全球資安支出有關的調查，預計2022年亞太區（不含日本）的資安解決方案及服務支出，將超過310億美元，較2021年增加15.5%，並預計到2026年，相關投資會達到576億美元。企業投資成長的主要原因與網路攻擊增加、混合工作模式盛行，以及法規遵循等。其中，臺灣資安相關支出在2022年將達到8.94億美元，並在2026年出現18%複合成長率。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://security.googleblog.com/2022/08/announcing-open-sourcing-of-paranoids.html"><span style="color: rgb(0, 0, 0);">Google開源加密物件漏洞測試工具Paranoid</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/22/dissecting-iban-clipper/"><span style="color: rgb(0, 0, 0);">惡意軟體IBAN Clipper挾持電腦的剪貼簿，盜取銀行帳號資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://permiso.io/blog/s/down-with-idp-impersonate-me/"><span style="color: rgb(0, 0, 0);">研究人員發現在雲端環境冒充Okta使用者的攻擊手法</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.talosintelligence.com/2022/08/modernloader-delivers-multiple-stealers.html"><span style="color: rgb(0, 0, 0);">惡意軟體ModernLoader被用於投放竊密軟體、挖礦軟體、RAT</span></a></span></strong></p> <h3><strong style="font-size: 13px;"><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/"><span style="color: rgb(0, 0, 0);">安卓版抖音App弱點恐讓攻擊者挾持用戶帳號</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/apple/apple-backports-fix-for-actively-exploited-ios-zero-day-to-older-iphones/"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 12.5.6，修補iPhone 5s的零時差漏洞CVE-2022-3289</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/29/mini-stealer-possible-predecessor-of-parrot-stealer/"><span style="color: rgb(0, 0, 0);">駭客免費提供竊密軟體Mini Stealer給其他網路罪犯</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://research.checkpoint.com/2022/check-point-research-detects-crypto-miner-malware-disguised-as-google-translate-desktop-and-other-legitimate-applications/"><span style="color: rgb(0, 0, 0);">為了埋藏攻擊意圖，駭客入侵受害電腦一個月後才部署挖礦軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-cthulhu-world-p2e-project-used-to-push-info-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以測試遊戲為幌子，散布竊密軟體AsyncRAT、RedLine Stealer、Raccoon Stealer</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/nelnet-servicing-breach-exposes-data-of-25m-student-loan-accounts/"><span style="color: rgb(0, 0, 0);">IT服務業者Nelnet Servicing遭駭，250萬學生貸款資料恐曝光</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.png" style="width: 600px;" /></span></span></strong></p> </div></div></div>
2022/9/2 18:17作者羅正漢https://www.ithome.com.tw/news/152867
Twilio遭駭波及163家企業，背後很可能是一起針對身分驗證服務業者而來的大規模供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端客戶溝通系統Twilio最近面臨資安事故，為此在8月7日公告。他們表示，有人透過網路釣魚簡訊（SMS phishing，Smishing），拿到該公司員工帳密，進而存取內部網路並偷取客戶資料。攻擊者假借密碼過期或是班表變更的理由，要求員工點選簡訊連結進行處理，而能成功騙取部分員工的帳號資料。</p> <p>事隔數日，另一家雲端服務業者Cloudflare，也傳出員工遭類似攻擊而帳密遭竊，但因搭配使用硬體Token而倖免於難。經過兩個星期的調查，這起網路釣魚攻擊行動受害對象，可能不只Twilio與他們的163個客戶，有些資安業者指出，先前針對Okta客戶的供應鏈攻擊，可能是這起事故的源頭。</p> <h3><span style="color:#0000CD;"><strong>Twilio、Cloudflare皆傳出員工遭到釣魚簡訊攻擊</strong></span></h3> <p>透過SMS簡訊對雲端通訊服務業者用戶進行網釣的事故，最初曝光源於8月7日有一家這類廠商Twilio發布公告，坦承在8月4日這天，察覺部分客戶的帳號資料遭未經授權存取，滲透管道是攻擊者用網釣簡訊，誘導員工不小心提供自己登入系統內部的所需資訊。</p> <p>令人難辨真假的是，這些簡訊所列出的URL網址，都使用與該公司有關的網域名稱，像是http[:]//twilio-okta.com/、http[:]//twilio-sso.com/，目的可能是為了降低Twilio員工的戒心，使其不疑有他地依照指示輸入帳密。接著，駭客再將取得的這些員工帳號，用來存取Twilio的客戶資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/twilio-sms-okta.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/twilio-sms-okta.png" style="width: 580px;" /></a></p> <blockquote><p>雲端客戶溝通系統Twilio表示，他們的員工收到圖中的網釣簡訊，而不慎上當提供帳密資料，導致該公司內部的系統遭到入侵。值得留意的是，駭客使用了含有Twilio名稱的網域，而使得員工難以察覺異狀。<span style="color:#808080;"><strong>圖片來源／Twilio</strong></span></p> </blockquote> <p>與許多企業遭駭事故的因應方式不同，Twilio不只通報了執法單位，尋求鑑識公司協助調查，該公司也通知發送網釣簡訊的電信服務商，以及釣魚網站的主機代管業者，請求撤銷駭客的帳號。值得留意的是，該公司表示有其他公司也遭到類似攻擊，但通報電信業者與主機代管業者，由其撤銷駭客的帳號與網域後，這些駭客很快就另起爐灶，進行新的攻擊行動，令人防不勝防。</p> <p>上述的資安通告公布兩天之後，雲端服務業者Cloudflare也反映他們先前面臨類似狀況，7月下旬也遭遇類似的攻擊。</p> <p>Cloudflare表示，他們的安全團隊在7月20日接獲員工通報，表示自己收到以T-Mobile電話號碼寄送的SMS簡訊，內容指出員工的工作排程已經更新，請收訊者瀏覽Cloudflare-Okta.com網站檢視行事曆。</p> <p>而且，更奇怪的是，短短1分鐘內，就有76名員工收到這類簡訊，同時，有部分員工的家人也收到簡訊。整體而言，Cloudflare至少有3名員工上當，所幸這些人使用該公司配發的硬體Token，導致駭客無法得逞。</p> <p>根據Cloudflare的調查，這個釣魚網站用的網域名稱，在簡訊發送的40分鐘之前才申請，由於此網域名稱尚未正式公開，使得Cloudflare的網域監控機制無法發揮作用。一旦員工輸入帳密，釣魚網站就會將資料經由Telegram後送給駭客，並進一步要求員工提供OTP驗證碼。假如駭客通過雙因素驗證，就有可能透過遠端桌面軟體AnyDesk控制受害者裝置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-chain.png" style="width: 580px;" /></a></p> <blockquote><p>類似的網釣攻擊也發生在雲端服務業者Cloudflare，駭客先透過惡意簡訊引誘企業員工上當，目的是促使他們在釣魚網站輸入自己的帳密，當駭客側錄到相關資料，會用來入侵受害企業的內部環境。<span style="color:#808080;"><strong>圖片來源／Cloudflare</strong></span></p> </blockquote> <p>雖然Cloudflare在此起攻擊事件算是全身而退，但資安團隊還是封鎖了惡意網域，並重設受害員工的帳密，以及通報網域註冊業者與主機代管業者。</p> <h3><span style="color:#0000CD;"><strong>採用Twilio服務的企業證實遭駭</strong></span></h3> <p>Twilio傳出遭駭後，有些客戶的使用者也被波及。例如，8月17日，即時通訊軟體Signal表示，他們採用Twilio的服務，進行電話號碼的驗證，結果卻有1,900名Signal用戶受影響，而且，駭客有可能用遭外洩的用戶電話號碼，接收或發送這些Signal帳號的訊息。</p> <p>駭客疑似透過Twilio客戶支援控制臺，存取上述Signal用戶資料，並搜尋了其中3個電話號碼，其中之一是已被用於註冊新的Signal帳號。所幸此款即時通訊軟體的通訊記錄，都儲存在用戶裝置上，而未受到這起事故影響。</p> <p>隔了一週之後，美國餐點外送業者DoorDash發出公告，疑似也跟Twilio遭駭的事故有關。</p> <p>DoorDash發現有人能透過外部供應商竊得的帳密，取得內部工具的存取權限，曝光的資料包含訂餐者的姓名、送餐地址、電話號碼、電子郵件信箱，以及員工的姓名、電話號碼、電子郵件信箱。</p> <p>雖然上述公告未提及外部供應商的實際身分，但DoorDash向新聞網站TechChunch透露，Twilio員工遭到網釣簡訊攻擊而導致公司資料外洩的事故，與DoorDash的資料外洩有關，此話一出，引發外界聯想。</p> <h3><span style="color:#0000CD;"><strong>鎖定身分驗證服務業者的大規模供應鏈攻擊</strong></span></h3> <p>經過2星期的調查後，Twilio在8月24日，確定有163家企業或組織受到影響。</p> <p>其中有93個使用者的雙因素驗證程式Authy帳號遭挾持，駭客將其用於註冊額外的裝置，Twilio已移除駭客登錄的裝置，並呼籲Authy用戶儘速檢查帳號是否出現可疑存取行為，以及確認註冊的裝置名單。</p> <p>關於Twilio、Cloudflare員工陸續遭網釣簡訊攻擊的狀況，有研究人員認為案情不單純，他們發現背後可能是一起大規模攻擊行動。</p> <p>在Twilio公布受害規模後，資安業者Group-IB揭露名為0ktapus的網路釣魚攻擊，駭客自今年3月開始，鎖定使用Okta身分驗證解決方案的企業下手，駭客不只試圖取得用戶帳密，用戶收到的雙因素驗證（2FA）的驗證碼，也被用於第二階段的攻擊行動。</p> <p>根據Group-IB的分析，總共有130個組織受害，攻擊者竊得近1萬筆帳密資料，且大部分都針對美國企業而來，有114個美國組織、5,503筆帳密資料。研究人員指出，不只Twilio、Cloudflare的事故，就連行銷管理業者MailChimp、Klaviyo遭駭，都與0ktapus有關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/0ktapus-geo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0ktapus-geo.png" style="width: 580px;" /></a></p> <blockquote><p>根據資安業者Group-IB的調查，有130家採用Okta解決方案的企業遭到網釣攻擊，其中大部分受害的企業（114家），總部都位於美國。<span style="color:#808080;"><strong>圖片來源／Group-IB</strong></span></p> </blockquote> <p>而且，資安業者Group-IB提出的這份說法，後續也得到Okta證實。Okta進一步指出，發起此波攻擊行動的駭客能透過Twilio主控臺，存取少量使用者的電話號碼，以及內含OTP密碼的簡訊內容。</p> <p>Okta分析駭客足跡與受影響的用戶，而這裡觀察到的結果顯示，駭客透過Twilio控制臺搜尋了38組電話，而它們幾乎都隸屬於同一個組織，意味著這是個極度針對性的攻擊。</p> <p>依據這樣的狀況而言，Okta推測，駭客事先可能就已透過其他網釣活動，取得這些使用者的帳密，並觸發基於簡訊的多因素認證，企圖藉入侵Twilio系統找到相關的OTP密碼。這些駭客鎖定的攻擊對象，包括科技業者、電信業者，以及與加密貨幣有關的組織，而駭客採用的網域名稱註冊、網站代管服務，都能接受比特幣付款。</p> <p>對此，Okta也呼籲，企業應採用更嚴謹的身分驗證政策，封鎖陌生網域的存取，並部署使用者異常行為的偵測系統。文☉周峻佑</p> </div></div></div>
2022/9/3 00:06作者周峻佑https://www.ithome.com.tw/news/152870
零售IT雙周報第7期：統一超商開始測試短程機器人外送及偏鄉無人機外送服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0821~0903)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人機物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#偏鄉物流</span></span></strong></p> <p><strong>統一測試短距離外送機器人及偏鄉無人機送貨服務</strong></p> <p>統一超商10月將在高雄軟體科技園區開始測試無人外送服務，由工研院AMR（Autonomous Mobile Robot，自主移動機器人）外送食物至附近商辦大樓內。此AMR一趟最多能載送24份餐點，不僅可以於室內外移動，還能自行呼叫並搭乘電梯。統一超商表示，此技術最多能節省70%外送員人力成本。</p> <p>統一集團也將於2022年第4季開始，結合中光電智能機器人技術，測試偏鄉無人機送貨服務。當消費者下單購買7-Eleven及統一旗下藥妝店康是美的商品，貨品會透過同集團物流服務黑貓宅急便的車隊集運到停機坪，再由中光電無人機運送到收貨據點。由於運送成本較高，此模式在送貨跟收貨端分別採取集運跟統一收貨據點的作法。統一超商表示，此服務預計先導入偏遠地區及露營區域，未來也要結合公益計畫，服務偏鄉購物不便的居民。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#無人收銀</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#餐廳應用</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#智慧倉儲管</span></strong></span></p> <p><strong>美國連鎖餐廳在店內設置無人收銀商品區，節省人力還能分析消費數據</strong></p> <p>美國連鎖娛樂及餐飲複合式餐廳Dave & Buster's在店內<a href="https://www.getzippin.com/blog/the-worlds-first-in-restaurant-checkout-free-experience?utm_campaign=Thought%20Leadership%20and%20trends&utm_content=219603359&utm_medium=social&utm_source=twitter&hss_channel=tw-1027293789616885760">利用Zippin無人收銀技術，嵌入自助商品區</a>，以節省人力並活化餐廳內動線。此技術能支援店家隨時更換商品品項，也會在存貨不足時通知商家補貨。此解決方案還會蒐集並分析店內消費數據，不僅能作為進貨及行銷參考，對於Dave & Buster's這類店面較大的娛樂餐廳來說，還可以了解店內各服務的熱門程度，做出相應動線優化。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#通訊軟體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物流程優化</span></span></strong></p> <p><strong>印度連鎖超市Jiomart將在Whatsapp聊天室中推出線上購物功能</strong></p> <p>印度大型連鎖超市<a href="https://twitter.com/rutujax/status/1564225555335036928?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1564225555335036928%7Ctwgr%5E0f66431826cdf96fc809a99b332a2a1f4c7e39ab%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fretailtechinnovationhub.com%2Fhome%2F2022%2F8%2F30%2Fmeta-launches-grocery-shopping-on-whatsapp-with-jiomart">Jiomart進軍Meta旗下通訊軟體Whatsapp通路</a>。消費者對Jiomart號碼發送指令，就會在聊天室中開啟商品目錄。整個購物流程從瀏覽商品目錄到下單結帳，都在Whatsapp內完成，無須跳轉到其他App或網頁。</p> <p>儘管Jiomart 有自己的行動應用，但下載數量仍在千萬級別，相對的，Whatsapp在印度已經有近5億使用者，有望接觸更多潛在消費者。Meta表示，這次與Jiomart的合作也是首次在End-to-end聊天室提供完整購物體驗的作法。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#新型宅配</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;"> #智慧車庫</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#宅配防盜</span></strong></span></p> <p><strong>Walmart推出新型外送服務，能將貨物送到消費者車庫冰箱中</strong></p> <p>美國零售巨頭Walmart跟智慧居家系統商myQ合作，<a href="https://newsroom.myq.com/2022-08-25-myQ-Smart-Technology-Will-Soon-Expand-Walmart-InHome-Deliveries-to-the-Garage">推出送貨到車庫服務</a>。過去，為了避免貨物放在家門口遭竊，收貨通常需要留人在家，相當不便。新型外送模式下，myQ會提供Walmart外送員一次性車庫鐵門開啟權，讓外送員可以直接把貨送到室內，但又不會直接進屋。若貨品中有生鮮食品，外送員還能幫忙放進冰箱，並在離開前消毒。</p> <p>myQ號稱自家服務已經被20%美國家庭採用，普及率相當高。甚至，如果沒有採用myQ服務的消費者想使用Walmart車庫外送功能，myQ還會免費改造消費者車庫門禁系統，以支援此外送功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時庫存</span></span></strong></p> <p><strong>分店存貨也納入即時庫存的調度，進一步強化Levi's電商平臺的供貨能力</strong></p> <p>服飾品牌Levi's用即時庫存管理技術，<a href="https://www.levistrauss.com/2022/08/22/machine-learning-makes-it-easier-to-get-the-denim-you-want/?utm_campaign=boost&utm_source=unzipped&utm_medium=organic_social">優化電商平臺系統尋找現貨的功能</a>。過去若配送中心缺貨，消費者就無法在電商平臺上購買該品項。現在Levi's電商平臺將能同步搜尋實體店面的即時庫存資訊，在配送中心缺貨時，從實體店面調貨。</p> <p>另外，Levi's也透過智慧訂單管理系統，來降低配送中心工作量。若消費者短時間內下了多個訂單，此系統會將訂單合併為一個訂單處理，在揀貨、包裝、運送上，省下重複作業的程序。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#創作者行銷</span></span></strong></p> <p><strong>開店平臺Shopify推出創作者跟商家的行銷媒合平臺</strong></p> <p>不少社群媒體平臺會打造行銷媒合平臺，讓外部廣告主能接洽社群媒體上的創作者。現在，代表廣告主的開店平臺巨頭Shopify也<a href="https://news.shopify.com/connecting-creators-with-shopifys-millions-of-merchants-introducing-shopify-collabs">推出行銷媒合平臺</a>，吸引外部平臺創作者到Shopify尋找業配合作對象。</p> <p>此平臺的運作模式是，創作者到平臺上透過業主分類，尋找到符合自己客群品牌，並取得業配商品的網路連結。若消費者透過此連結購買商品，創作者就會獲得分潤。</p> <p><strong>#智慧物流 #線上超市 #智慧進銷存管理</strong></p> <p><strong>美國外送平臺Doordash導入進貨建議技術，來優化自家線上超市送貨效率</strong></p> <p>美國外送平臺Doordash使用零售供應鏈技術商Relex的進貨建議系統，<a href="https://www.relexsolutions.com/news/relex-and-doordash-partner-to-provide-ai-driven-supply-chain-optimization/">優化自家線上超市送貨效率</a>。沒有實體店面的生鮮超市要進行外送服務，通常是從配送中心出貨。若單一配送中心無法提供訂單上所有品項，外送員就需要前往多個配送中心取貨，大幅降低效率。此技術利用機器學習技術分析個別配送中心進銷存紀錄，來預測進貨需求，以降低缺貨發生頻率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI語音接單</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#得來速優化</span></span></strong></p> <p><strong>靠AI幫忙賣麵包，美國連鎖麵包店Panera Bread得來速用語音辨識取代人力接單</strong></p> <p>美國分店數超過2,000家的連鎖麵包店Panera Bread<a href="https://www.businesswire.com/news/home/20220829005536/en/">開始測試AI接單服務</a>，透過語音辨識等技術在得來速車道取代人力接單，Panera Bread員工只需偶爾在AI系統出錯時接手。</p> <p>因應疫情新常態，Panera Bread近月相繼採取節省勞動成本的科技解決方案，包括自動煮咖啡機以及零接觸App點餐等做法。</p> <p>資料來源：iThome整理，2022年9月</p> <p>責任編輯：郭又華</p> </div></div></div>
2022/9/2 20:02作者郭又華https://www.ithome.com.tw/news/152869
【資安日報】2022年9月2日，上千個iOS應用程式曝露系統服務者的AWS帳密、駭客以藍勾勾驗證引誘Instagram…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳密寫死（Hard-coded）在軟體的程式碼內，一旦有人將其反組譯，就能用來存取系統服務業者的內部系統。有研究人員發現近2千個內含AWS帳密資料App，然而出乎許多人意料的是，絕大多數都是iOS應用程式。</p> <p>過往駭客針對臉書的藍勾勾機制來騙取臉書用戶帳號的情況，現在也在Instagram的用戶上演！有資安業者揭露針對Instagram的釣魚郵件攻擊行動，一天最多有上千封這類攻擊郵件。</p> <p>勒索軟體BianLian的危害有擴大的趨勢！繼資安業者Cyble揭露此勒索軟體後，另一家資安業者也公布他們的發現，並提供較為完整的攻擊鏈。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/mobile-supply-chain-aws"><span style="color: rgb(0, 0, 0);">上千個iOS、Android應用程式曝露系統服務者的AWS帳密</span></a></strong></h3> <p>開發人員將特定雲端服務帳密資料寫死在應用程式的程式碼中，一旦有人將其反組譯，就有可能任意存取、破壞系統服務業者的雲端服務帳號。根據資安業者賽門鐵克的調查，有1,859個App內含開發者的AWS帳密資料、Token，而可能導致系統業者或是用戶曝險，但值得注意的是，上述軟體大部分都是適用於iOS裝置的App，僅有37個是安卓App。</p> <p>研究人員發現，有77%（約1,430個）內含的Token，可讓攻擊者直接存取AWS虛擬私有雲服務，亦有47%（約874個）的Token可被用於存取已上線服務的AWS S3相關檔案。</p> <h3><strong style="font-size: 22px;"><a href="https://www.vadesecure.com/en/blog/instagram-phishing-campaign-hackers-exploit-social-verification"><span style="color: rgb(0, 0, 0);">算準許多人想當網紅，駭客以藍勾勾驗證為誘餌，鎖定Instagram用戶發動網釣攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Insta phishing 9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insta%20phishing%209.png" style="width: 300px; float: right;" /></a>臉書、Instagram都有驗證徽章機制，也就是所謂的「藍勾勾」，擁有此標章，代表此帳號服務業者確認為真實的名人或是企業所有，但這樣的機制也變成駭客向用戶發動攻擊的誘餌。資安業者Vade發現有人針對Instagram用戶發動釣魚郵件攻擊，信件內容宣稱用戶符合擁有驗證徽章的資格，要求進行驗證，一旦收信人照做，Instagram帳號就有可能遭到挾持。</p> <p>這起攻擊行動很可能在7月22日開始，當天達到超過1千封釣魚信的規模。研究人員認為，這樣的規模代表駭客可能是採取針對性攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://redacted.com/blog/bianlian-ransomware-gang-gives-it-a-go/"><span style="color: rgb(0, 0, 0);">勒索軟體BianLian透過Exchange伺服器、SonicWall的VPN入侵受害組織</span></a></strong></h3> <p>自7月出現的勒索軟體BianLian（音近似「變臉」），<a href="https://www.ithome.com.tw/news/152704#bianlian">在8月底有資安業者揭露其罕見的加密檔案手法後</a>，資安業者Redacted提出新的發現──使用此勒索軟體的駭客，主要入侵受害組織的管道，包含針對含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN系統，一旦成功進入受害組織的內部環境，駭客廣泛使用寄生攻擊（LoL）手法進行偵察和橫向移動。研究人員指出，從成功入侵到加密檔案，駭客很可能會埋伏長達6個星期。</p> <p>而在9月1日，這些駭客聲稱已有20個組織受害，該組織網站使用標籤（Tag）將受害組織分門別類，這樣的做法在駭客的網站上並不常見。</p> <h3><strong style="font-size: 22px;"><a href="https://www.csirt.gob.cl/noticias/alerta-de-seguridad-cibernetica-incidente-en-servicio-publico/"><span style="color: rgb(0, 0, 0);">智利證實政府機關遭勒索軟體攻擊，部分服務被迫中斷</span></a></strong></h3> <p>智利電腦緊急應變小組（CSIRT）發布資安通告，指出當地政府機關於8月25日遭到勒索軟體攻擊，駭客針對Windows伺服器與VMware ESXi伺服器下手，將事件記錄檔案LOG、可執行檔EXE、程式庫DLL，以及多種ESXi檔案（vmdk、vmsn、vmem等）進行加密，導致該國政府機構的營運受到影響。</p> <p>而對於攻擊來源，智利電腦緊急應變小組認為有可能與勒索軟體RedAlert或是Conti有所關連，<a href="https://www.bleepingcomputer.com/news/security/new-ransomware-hits-windows-linux-servers-of-chile-govt-agency/">威脅情報分析師Germán Fernández表示</a>，這很可能是過往未曾出現的勒索軟體駭客組織所為。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152864"><span style="color: rgb(0, 0, 0);">蒙特內哥羅遭勒索軟體攻擊攻擊，美國出手協助</span></a></strong></h3> <p>根據<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/">新聞網站Balkan Insight的報導</a>，位於南歐的蒙特內哥羅遭遭到一系列的網路攻擊，該國政府的資安負責人Dusan Polovic指出，有10個單位、150臺電腦遭到危害，駭客向他們勒索一千萬美元。</p> <p>對此，也傳出<a href="https://www.intellinews.com/fbi-to-help-montenegro-deal-with-cyber-attacks-255143/">美國聯邦調查局派出團隊前往當地協助調查</a>。雖然勒索軟體Cuba宣稱是他們發起的攻擊行動，並公布竊得的資料，但<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament">蒙特內哥羅政府於8月31日表示</a>，Cuba公布的都是公開資料，且這些機關的系統於21日就已恢復正常。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152831"><span style="color: rgb(0, 0, 0);">Chrome剪貼薄功能存在漏洞，恐被用於竊密</span></a></strong></h3> <p>資安研究Jeff Johnson指出，網頁瀏覽器Chrome存在剪貼簿的漏洞，起因是Chrome在104版要求使用者輸入的API出現異常，一旦惡意網站開發者利用這種臭蟲，就有可能在使用者瀏覽網頁的過程，暗中將特定內容寫入受害電腦的剪貼簿，像是惡意網址，或是加密貨幣錢包等。研究人員亦製作網站來提供概念性驗證。</p> <p>Chromium開發社群約於6月就察覺此漏洞，但似乎尚未得到修補──剛推出的105版也存在同樣的弱點。研究人員強調，雖然他針對Chrome進行調查，但相關弱點也可能存在於Firefox、Safari上。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ambionics.io/blog/hacking-watchguard-firewalls"><span style="color: rgb(0, 0, 0);">研究人員揭露WatchGuard防火牆數個漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-streaming-platform-confirms-data-breach-affecting-75m-users/"><span style="color: rgb(0, 0, 0);">俄羅斯串流影音平臺證實資料外洩，750萬用戶受到波及</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.neopets.com/account/breachnotice20220829.phtml"><span style="color: rgb(0, 0, 0);">網路遊戲Neopets遭駭調查結果出爐，攻擊者入侵IT系統時間長達一年半</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152817">【2022年9月1日】思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核心漏洞DirtyCred</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152781">【2022年8月30日】駭客以測試遊戲為幌子散布竊密軟體、美國警告台達電子ICS軟體漏洞已被用於攻擊行動</a></strong></strong></strong></p> </div></div></div>
2022/9/2 16:07作者周峻佑https://www.ithome.com.tw/news/152863
Nvidia取得高階GPU出口中國的許可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152819" target="_blank">美國政府在8月26日</a>針對AMD與Nvidia的高階GPU祭出了出口限制，要求業者在出口相關產品至中國與俄羅斯之前，必須取得許可，以避免相關GPU被部署在軍事用途上，不過，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001045810/000104581022000151/nvda-20220831.htm" target="_blank">Nvidia周四（9/1）曝光的SEC文件顯示</a>，已取得出口A100與H100的許可。</p> <p>被美國點名的高階GPU包括AMD的MI100及MI200，以及Nvidia的A100與H100，其中，Nvidia的A100為既有產品，H100則是尚在開發的產品，而且有部分的研發位於中國。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001045810/000104581022000146/nvda-20220826.htm" target="_blank">在上周（8/26）SEC文件中</a>，Nvidia坦承此一限制可能會造成該公司4億美元的銷售損失，影響H100的上市時程，也可能迫使Nvidia把特定的營運移出中國。周三的消息讓Nvidia當天股價大跌7.67%，以139.37美元作收。</p> <p>但Nvidia在隔天提交的SEC文件中，則說美國政府已允許Nvidia繼續執行開發H100所需的出口、再出口或國內轉讓，並在明年3月以前支援美國客戶所需的A100出口，以及於明年9月1日以前可透過Nvidia的香港公司履行A100與H100的訂單。</p> <p>不過，Nvidia並未揭露此一許可的範圍與規模，是否滿足了之前這兩項高階晶片的潛在營收預估，或是所占比例。</p> </div></div></div>
2022/9/2 16:04作者陳曉莉https://www.ithome.com.tw/news/152862
蒙特內哥羅政府遭勒索軟體攻擊，美國出手協助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>位於亞得里亞海東岸的蒙特內哥羅（Montenegro）在8月20日遭到駭客入侵，<a href="https://www.bleepingcomputer.com/news/security/montenegro-hit-by-ransomware-attack-hackers-demand-10-million/" target="_blank">該國公共行政部部長Maras Dukaj本周對外表示</a>，駭客向該國提出1,000萬美元的贖金，且<a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/" target="_blank">外傳美國已派出FBI團隊前往協助調查</a>。</p> <p><a href="https://balkaninsight.com/2022/09/01/montenegro-sent-back-to-analog-by-unprecedented-cyber-attacks/" target="_blank">根據專門報導東南歐新聞的《Balkan Insight》</a>，蒙特內哥羅遭到一系列的網路攻擊，蒙特內哥羅的資安負責人Dusan Polovic則向外界表示，有10個政府組織的150臺工作站被危害，而且駭客所使用的惡意程式在黑市叫價10萬至250萬美元。</p> <p>包括蒙特內哥羅的政府官員在內，有不少人猜測相關攻擊是由俄羅斯所主導，因為蒙特內哥羅不僅是北約成員國，而且在歐美制裁俄羅斯時積極配合。然而，勒索軟體集團Cuba本周即將蒙特內哥羅列入受害者名單，並開放外界下載所盜來的各種文件。</p> <p>不過，<a href="https://www.skupstina.me/en/articles/communique-regarding-information-published-in-the-media-about-hacker-group-cuba-ransomware-claiming-to-possess-data-from-parliament" target="_blank">該國政府在8月31日發出聲明</a>，指出Cuba所公布的文件，都是政府原本就開放外界存取的文件，並非什麼機密文件。蒙特內哥羅還強調，駭客在20日所發動的攻擊，已被該國的資訊部門阻止，系統在21日就恢復正常。</p> </div></div></div>
2022/9/2 16:25作者陳曉莉https://www.ithome.com.tw/news/152864
自然語言生成圖像模型Dall-E現具有延伸繪製原圖以外內容的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧研究組織OpenAI更新自然語言生成圖像模型Dall-E，加入<a href="https://openai.com/blog/dall-e-introducing-outpainting/">Outpainting</a>功能，該功能會基於給定圖像的風格和視覺元素，延伸繪製原始圖像邊界以外的內容，使用者也能以自然語言描述，引導圖中的故事往新方向發展。</p> <p>用戶可以利用Dall-E新的Outpainting功能，擴展原始圖像，像是OpenAI所舉的範例《戴珍珠耳環的少女》，除了頭像之外，更延伸繪製了下半身以及所處空間，Outpainting考慮了該圖片現有視覺元素，包括陰影、反射和材質，使繪製後的圖像與原圖風格一致。</p> <p>官方提到，目前有超過100 萬人在使用 DALL·E，而作為創造藝術的工具，Outpainting將能夠更進一步擴展使用者創造力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(103).jpg" style="width: 580px; height: 621px;" /></p> </div></div></div>
2022/9/2 16:28作者李建興https://www.ithome.com.tw/news/152860
USB 4 Version 2.0將帶來80 Gbps的傳輸能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20220901005211/en" target="_blank">USB推廣組織（USB Promoter Group）本周宣布</a>，即將來臨的USB 4 Version 2.0規格將達到最高80 Gbps的傳輸能力。</p> <p>USB應用論壇（USB Implementers Forum，USB-IF）是在2019年8月發表USB 4 Version 1.0規格，這個版本的USB協定已需要配備USB-C連接器，其電力輸送亦必須支援USB Power Delivery（USB PD），最少要支援20 Gbps的傳輸能力，最高則可達40 Gbps。</p> <p>新的USB 4 Version 2.0最高傳輸能力則可達80 Gbps，它基於新的實體層架構，使用既有的40 Gbps USB Type C被動纜線，以及新的80 Gbps USB Type C主動纜線；新規格也將更新USB資料架構，以讓USB 3.2的資料傳輸速度可超過20 Gbps，並將DisplayPort及PCIe規格升級到最新版本。此外，USB 4 Version 2.0將向後相容於USB 4 Version 1.0、USB 3.2、USB 2.0與Thunderbolt 3。</p> <p>USB推廣組織主席Brad Saunders表示，新的USB 4規格可達到兩倍的資料傳輸效能，將替USB Type C生態體系迎來更高的功能性，受益最大的解決方案包括高效能的顯示器、儲存裝置，以及基於USB的集線器與擴充埠。</p> <p>不管是USB 4 Version 2.0或是USB Type-C與USB Power Delivery（USB PD）規格的更新，都預計於今年11月舉行USB DevDays之前就會發表。</p> </div></div></div>
2022/9/2 16:52作者陳曉莉https://www.ithome.com.tw/news/152866
微軟打包票.NET 7超級快！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 7候選版本發布在即，微軟.NET團隊開發者Stephen Toub按過去慣例<a href="https://devblogs.microsoft.com/dotnet/performance_improvements_in_net_7/">大篇幅介紹.NET 7的效能改進</a>。.NET 7的7,000多個拉取請求中，有1,000個與效能相關，Stephen Toub詳細介紹了其中500個大幅影響效能的拉取請求。</p> <p>微軟在每個.NET版本都強調效能改進，因此也有開發者對此產生質疑，甚至是認為.NET 6的效能已經提升到一個程度，.NET 7是否還有效能提升的空間，Stephen Toub給的答案是肯定的，.NET 7的開發目標跟過去版本一樣，效能仍然是貫穿整個堆疊的焦點，無論是針對效能而明確創建的功能，還是非效能相關的功能，效能仍然是設計和實作的重點。</p> <p>Stephen Toub強調.NET 7的速度非常快，Runtime和核心函式庫加入了1,000個效能相關的拉取請求，而且在ASP.NET Core、Windows Forms和Entity Framework也有各種改進，他打包票.NET 7是有史以來最快的.NET，他甚至提到，當開發者被經理問到為什麼要升級到.NET 7，可以直接回答「.NET 7 is super fast.」</p> <p>Stephen Toub所做的基準測試在Windows 11 64位元系統上進行，對於.NET支援的Linux和macOS，他表示在不同的平臺上，也都能獲得類似的結果。</p> <p>但Stephen Toub也表示，一定有人不同意他的說法，所以花了大篇幅講解這1,000個效能相關拉取請求中的500個，讓有興趣的人可以理解.NET 7的實作方法、各種決策的原因以及評估下的權衡，而該篇部落格獲得許多開發者的正面回應。</p> <p>有開發者回應到，.NET 7運作快速固然是好事，但是當開發者寫的程式碼本身執行效能不佳，那便失去.NET 7帶來的效益，Stephen Toub則回應，微軟正嘗試將最佳實踐以及避免故障的設計封裝到分析器中，降低開發者程式碼遭遇這些問題的可能性。</p> </div></div></div>
2022/9/2 16:54作者李建興https://www.ithome.com.tw/news/152865
英國準備針對微軟與動視暴雪併購案展開深度調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在7月啟動對微軟與動視暴雪（Activision Blizzard）併購案的初步調查之後，周四（9/1）宣布此一交易可能造成競爭問題，限期業者在5個工作天內提出有效的提案，否則即會進入第二階段的深度調查。</p> <p>CMA指出，微軟、Sony與任天堂為全球三大遊戲機業者，在過去20年來顯少出現新的競爭對手，而動視暴雪擁有許多最暢銷與知名的遊戲，像是《決勝時刻》（Call of Duty）或《魔獸世界》（World of Warcraft），該機構擔心，一旦微軟買下了動視暴雪，將會損害最近或未來的競爭對手，例如讓它們無從存取動視暴雪的遊戲。</p> <p>CMA還擔心，微軟為許多領域的主要供應商，像是遊戲機（Xbox）、雲端平臺（Azure）與桌面作業系統（Windows），這些都是雲端遊戲成功的重要因素，取得動視暴雪資產的微軟也許會破壞新興雲端遊戲市場的競爭。</p> <p>總之，現在CMA要求微軟與動視暴雪要在5個工作天內提供必要的說明與提案，以解決CMA的疑慮，否則就會進入由獨立專家參與的第二階段調查。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/09/01/gaming-everyone-everywhere/" target="_blank">微軟遊戲執行長Phil Spencer當天就回應了CMA</a>。Spencer說，遊戲機並不是人們玩遊戲的唯一選擇，現階段全球最大也成長最快的遊戲領域是在行動平臺，而微軟必須擁抱玩家的選擇，把更多的遊戲帶到行動平臺上。</p> <p>然而，將遊戲移植到行動平臺需要新能力，動視暴雪即具備行動遊戲的專業知識；微軟也希望讓玩家可藉由微軟的雲端遊戲串流技術，自任何平臺存取由動視暴雪所開發的遊戲機遊戲。這些承諾不僅可釋放行動遊戲，也會替其它遊戲的開發者建立新的發行管道。Spencer亦承諾，《決勝時刻》新版本誕生的同一天就會支援PlayStation，將繼續讓人們可於不同的平臺上執行遊戲。</p> </div></div></div>
2022/9/2 15:47作者陳曉莉https://www.ithome.com.tw/news/152861
雲端混亂時代
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到數位化、數位轉型，每個人因為所處的IT發展階段不同，心中自有一把尺來定義，然而，若單就目前而言，雲端服務應是目前企業IT最關注的技術，從早期思考公有雲、私有雲、混合雲的使用，到現在多雲環境並存並用是常態，該如何選雲、上雲、用雲、管雲、跨雲、換雲、下雲，都將會是大家越來越常面臨的議題。</p> <p>然而，面對新技術的導入，必須去用並不等於懂得如何用，因此失控失序狀況，正在許多公司上演。這樣的轉型挑戰，也發生在IT廠商身上，他們同樣需設法因應、甚至進行大幅度路線調整、產品與技術的擴充，以及市場生態系統與廠牌形象的重新塑造。</p> <p>舉例來說，長期推動伺服器虛擬化平臺發展的VMware，這幾年以來，也積極在雲端服務布局。他們目前已拉攏了6大公有雲業者，為其提供VMware解決方案服務，讓用戶能夠在這些環境上，繼續使用熟悉的軟體定義資料中心軟體平臺，例如，vSphere與VMware Cloud Foundation。</p> <p>而在雲端原生應用的支援，他們藉由2019年併購Pivotal，逐步踏入平臺即服務（PaaS）領域，之後更大力推動K8s這類容器即服務平臺（CaaS）的發展，最終促成了Tanzu系列的產品線，並且也讓vSphere 7結合K8s，讓伺服器虛擬化與雲端原生軟體技術得以交融。</p> <p>除了提供可建置IT基礎架構的軟體平臺與雲端部署，VMware本身也經營SaaS型態軟體代管雲端服務，以VMware Cloud作為主要的品牌識別，陸續將旗下的IT管理軟體上雲，以及透過併購其他SaaS公司等方式，提供基於雲端服務而成的系統管理解決方案。</p> <p>除此之外，VMware在2012年併購網路虛擬化廠商Nicira，2014年買下企業行動管理廠商Airwatch，以及2019年併購資安廠商Carbon Black，而分別開展出軟體定義網路NSX與SD-WAN，整合數位辦公平臺與既有桌面虛擬化應用的Workspace ONE，以及強化整體資安防護的Carbon Black系列產品與管理服務。</p> <p>經過多年來的產品線擴張與持續併購新創廠商，VMware這段期間不斷強調的發展策略，主要是能夠支援任何雲端服務、任何應用程式、任何設備。到了今年，VMware終於決定提出新主張，而8月底舉行的全球用戶大會的名稱異動，就顯露出這個企圖。</p> <p>因為沿用17年的VMworld，突然在今年3月宣布改為Explore。我認為，這反映他們期許自己轉型成更有能力的IT廠商，不再受限於VM、伺服器虛擬化等技術的範疇，似乎有意將發展重心轉向為主動的「探索」，協助企業與組織用戶開創更多的可能性，而不只是扮演技術支援的角色。</p> <p>或許是因為公司本身就是長期處於因應雲端服務需求而持續轉型的狀態，在這次Explore大會上，VMware執行長Raghu Raghuram對於雲端服務的運用，特別提出三階段的發展策略，以此呼應與展現他們實際的體悟，以及對於未來商機的期許。</p> <p>VMware的分法相當簡單好記，那就是將上雲的過程，定為：雲端優先（Cloud First）、雲端混亂（Cloud Chaos）、雲端智慧（Cloud Smart），而許多企業現在就處於前兩個階段。</p> <p>事實上，用Chaos來形容目前企業上雲一團亂的狀況相當貼切，尤其是這兩年COVID-19疫情的影響之下，很多公司為了維持正常辦公與溝通，難以堅持IT集中控管的政策，不得不放寬員工使用雲端服務，然而，一些副作用現在也開始受到大家的重視，例如：資安風險提高、浮濫使用資源而衍生龐大的成本支出等問題，都必須設法改善。此時，顯然僅靠企業本身來克服這些挑戰是相當困難的，會需要廠商的幫忙，之後，理論上，可趨向有效管理的狀態，使企業能夠更懂得如何妥善運用雲端服務，又可避免安全性不足、資源浪費等狀況的發生。</p> <p>透過這樣簡化到極致的發展狀態畫分，其實勝過技術與管理人員的千言萬語，或許這也是VMware自身經歷轉型過程的最佳寫照，以及未來期許。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%84%AA%E5%85%88">雲端優先</a></div><div class="field-item even"><a href="/tags/cloud-first">Cloud First</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%B7%B7%E4%BA%82">雲端混亂</a></div><div class="field-item even"><a href="/tags/cloud-chaos">Cloud Chaos</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%99%BA%E6%85%A7">雲端智慧</a></div><div class="field-item even"><a href="/tags/cloud-smart">Cloud Smart</a></div><div class="field-item odd"><a href="/tags/covid-19">COVID-19</a></div></div></div>
2022/9/2 12:00作者李宗翰https://www.ithome.com.tw/voice/152833
5G趨勢月報第34期：聯發科測試新晶片，5G手機可連接衛星通訊；T-Mobile與Space X聯手要擴大手機涵蓋範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>07/27~08/26精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科完成新晶片測試，可讓5G手機連接衛星通訊</strong></span></p> <p>聯發科近期宣布完成5G NR NTN（Non-Terrestrial Networks）衛星通訊功能的晶片測試，在實驗室中成功連線，未來可望讓智慧型手機連接衛星通訊。</p> <p>這項測試遵循3GPP Rel-17定義的功能和程序，使用具有5G NR NTN衛星網路功能的行動通訊晶片，搭配羅德史瓦茲的衛星模擬器、工研院開發的測試基地臺，模擬在600公里高度下、每小時移動2.7萬公里的低軌衛星。</p> <p>聯發科指出，5G NR NTN衛星網路可提供更完整的全球覆蓋，當地面網路無法觸及的地區，透過智慧型手機實現5G衛星通訊服務，整合5G地面網路及衛星形成無縫銜接的通訊網路，讓智慧型手機用戶不需新配件就能使用。未來，可望擴大5G連接的可用性，應用在通訊、交通、農業、車隊、物聯網等。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Space X</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>T-Mobile</b></span></font></p> <p><span style="font-size:22px;"><strong>Space X與T-Mobile聯手，要用低軌衛星擴大手機訊號覆蓋範圍</strong></span></p> <p><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/TMobile.jpg" style="width: 600px; height: 469px;" /></strong></span></p> <p>Space X與T-Mobile合作推動衛星到蜂巢網路（satellite to cellular）服務，該服務將結合Space X第2代Starlink衛星與T-Mobile的中頻5G頻譜。T-Mobile聲稱這項服務將相容於絕大多數的智慧型手機，如果計畫順利進行，用戶將可期待幾近覆蓋全美國，包含領海的服務。</p> <p>在美國仍有許多地方，可能因為山脈或沙漠等地形限制，或是法令對土地使用的限制，例如國家公園，因而缺乏行動通訊服務覆蓋。雙方合作目的在這些先前手機訊號無法提供的地區，也能使用通訊服務。</p> <p>雙方計畫建立一個新網路，從Starlink的衛星上使用T-Mobile涵蓋全國的中頻頻段，T-Mobile表示，這項從衛星到蜂巢網路的新服務，讓用戶在可看到天空的任何地方都能得到幾乎完整的覆蓋。透過這項服務，文字訊息傳送可涵蓋美國大陸、夏威夷或阿拉斯加部分地區、波多黎各及領海，甚至是T-Mobile訊號之外的地區，待2023年底Space X發射衛星之後，在特定地區推出測試版服務，剛開始可傳送SMS、MMS及特定參與的通訊App。之後，將提供全面的語音、數據覆蓋。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>IDC</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>企業服務</b></span></font></p> <p><strong><span style="font-size:22px;">IDC：亞太區5G企業服務2026年將達80億美元規模，企業FWA、網路切片服務合占近60億美元</span></strong></p> <p><strong><span style="font-size:22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/IDC(1).jpg" style="width: 600px; height: 663px;" /></span></strong></p> <p>隨著5G網路逐漸普及,5G企業服務市場也快速成長。IDC最新報告指出,亞太地區不含日本,5G服務收入將從2021年的1.06億美元,成長至2026年約80億美元規模,年複合成長率達137%。</p> <p>IDC將5G企業服務分為4類,MNO 5G專網託管服務(不包括設備租賃)收入、企業FWA固定無線接取收入、MEC邊緣雲服務收入、網路切片服務收入。從2021年到2026年5G企業服務中,企業FWA將達到30.5億美元,其次是網路切片達到28.7億美元,MEC邊緣雲服務為15.3億美元,5G專網託管服務為5.8億美元。</p> <p>IDC指出,電信業全面發展 5G 企業服務需要3到5年時間,領先企業決定採用5G之前,也同樣需要時間進行概念驗證和試驗。就目前觀察的趨勢,專網在亞太地區所有國家均受關注,網路切片最初將部署於工廠、倉庫、智慧機場,最終可能在智慧港口、智慧體育場、智慧校園、交通樞紐等落地。另外,5G FWA在一些國家,可作為臨時性網路接取的應變措施,或是特定建物、偏遠的聚落無法使用光纖的替代方案,包括澳洲、印度、香港、紐西蘭、菲律賓、馬來西亞、泰國和越南正計畫部署。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G用戶</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>NCC</b></span></font></p> <p><strong><span style="font-size:22px;">國內5G開臺滿2年，5G用戶數逾560萬</span></strong></p> <p>國內5G開臺已滿2年，NCC近期公布最新5G用戶數統計數據，國內5G用戶數已達到567.18萬，普及率為24.46%，相當於每4人就有1人為5G用戶。</p> <p>以同樣開臺2年時間作為比較基準，4G在2014年開臺後，4G用戶數就突破1,400萬，普及率超過6成；對照之下，5G開臺2年後，用戶數成長速度，不如4G剛開臺的盛況。</p> <p>根據TWNIC近期公布的2022臺灣網路報告，臺灣的行動寬頻普及率首次超越固網寬頻，其中5G行動上網方面，近2成受訪者未來一年有意申辦5G。該報告進一步調查民眾未採用5G的原因，以「現有3G/4G/WiFi已夠用」居多，其次是「合約尚未到期」、「費用太高」等等。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>開放網路</b></span></font></p> <p><strong><span style="font-size:22px;">英國政府投入近3千萬美元加速開放網路研究</span></strong></p> <p>英國政府近期宣布一項計畫，以2,500萬英鎊，將近3千萬美元展開未來開放網路研究挑戰（Future Open Networks Research Challenge），學術及產業界合作，申請資金投入未來網路的開放架構及可互操作（interoperable），例如Open RAN。</p> <p>2,500萬英鎊是英國政府2.5億英鎊開放網路基金的一部分，該基金的目的是支持可互操作方案的研究，以改善英國的國家電信網路、降低部署成本，同時讓新創業者得以和現有業者競爭。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>嘉義</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠距醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>阿里山鄉啟動5G遠距醫療，民眾免到大醫院就能線上看</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/db83acdf-1df6-437f-8200-c697501f752b(1).jpg" style="width: 600px; height: 400px;" /></p> <p>嘉義阿里山鄉近期啟動5G遠距醫療，阿里山鄉衛生所完成5G網路建設，偏鄉民眾到衛生所看診，由衛生所家醫科醫師初步判定，並使用相關檢查設備檢查視力、耳腔，就可透過5G將影像送至大型醫院，由專科醫師線上問診、解說病情，降低當地交通不便，民眾可就近獲得治療及照護。</p> <p>根據嘉義縣衛生局的統計，110年阿里山鄉前十大死因第一名為惡性腫瘤，當地糖尿病、腦血管疾病、慢性肝病、肝硬化、腎炎等高於嘉義縣平均。男性前列腺癌、女性乳癌等死亡率也高於全國山地鄉，偏鄉醫療的便利性不足。</p> <p>這項遠距醫療服務結合3所醫院的專科醫師來提供診療服務，奇美醫院每周限定時段提供遠距眼科服務，嘉義基督教醫院提供眼科、耳鼻喉科、皮膚科服務，聖馬爾定醫院在石棹醫療站提供眼科、皮膚科遠距醫療。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>西班牙</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><strong><span style="font-size:22px;">西班牙將投入2億歐元，補助發展5G與6G技術</span></strong></p> <p>為加速5G產業應用，以及下一代6G技術的發展，西班牙政府近期宣布將以2億670萬歐元，補助相關業者投入5G應用及6G技術研究。</p> <p>其中在5G的產業應用方面，包括工業物聯網、連網車輛、數位健康醫療、數位化農業、智慧觀光旅遊等，以加速西班牙產業的數位化發展。超過一半的資金將投入6G技術研究，補助研究機構相關的研究計畫。西班牙政府寄望藉由這項計畫，能讓該國得以成為5G應用與6G技術領先國家。</p> <p> </p> <p>圖片來源／聯發科、T-Mobile、嘉義縣政府、IDC</p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.遠傳結合5G專網、自動化倉儲設備推出5G智慧倉儲物流方案</strong></p> <p><strong>2.華碩、英特爾、台灣大哥大聯手推5G AI Ready平臺，為5G應用開發助攻</strong></p> <p>資料來源：iThome整理，2022年8月</p> </div></div></div>
2022/9/2 11:30作者蘇文彬https://www.ithome.com.tw/news/152858
皇家加勒比海郵輪將全面部署Starlink服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在測試2個月Space X衛星連網服務Starlink後，本周知名郵輪業者<a href="https://www.rclinvestor.com/press-releases/release/?id=1613" target="_blank">皇家加勒比海集團（Royal Caribbean Group）宣布</a>將在所有郵輪上，正式導入這項服務。</p> <p><a href="https://www.ithome.com.tw/news/151742" target="_blank">SpaceX 7月初宣布</a>獲得美國通訊主管機關聯邦通訊委員會（FCC）許可，允許Starlink的地面基地臺安裝於飛機、火車、汽車等會移動的交通工具上，隨後推出<a href="https://www.ithome.com.tw/news/151874" target="_blank">海上衛星連網服務Starlink Maritime</a>。</p> <p>新服務是Space X 4種方案之一，月租費高達5,000美元，包含硬體設備費用至少10,000美元，可能還包含其他費用。除了標準版外，還另外有企業版Starlink Business和汽車版Starlink for RV。</p> <p>皇家加勒比海二個月前是以旗下「海洋自由」（Freedom of Seas）測試Starlink Maritime服務，該公司表示「獲得極正面迴響」，也使其決定擴大部署到皇家加勒比海國際、名流郵輪（Celebrity Cruise）及銀海郵輪（Silversea Cruise）的現有及未來船隻上。</p> <p>根據<a href="https://www.theverge.com/2022/8/30/23329610/royal-caribbean-spacex-starlink-cruise-ships-celebrity-silversea" target="_blank">皇家加勒比海公司提供的地圖</a>，目前這項服務僅能在包括北美、歐洲、澳洲、紐西蘭，以及巴西及智利等地沿海地區提供連線。這家郵輪公司說會立即擴大部署這項服務，預定2022年擴大到北半球，2023年初擴及南半球其他地區。</p> <p><a href="https://www.ithome.com.tw/news/152726" target="_blank">上周Space X和美國電信業公司T-Mobile聯合宣布</a>，將開發以手機直接連結衛星，不需地面基地臺的服務。新服務預定2023年底以測試版推出。</p> </div></div></div>
2022/9/2 10:09作者林妍溱https://www.ithome.com.tw/news/152847
Dell將推出整合Nvidia DPU、GPU的PowerEdge AI伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-and-dell-technologies-deliver-new-data-center-solution-for-zero-trust-security-and-the-era-of-ai" target="_blank">Dell與Nvidia本周宣布</a>，Dell將推出執行Nvidia最新一代BlueField資料處理器（Data Processing Unit，DPU）及GPU的PowerEdge伺服器，以執行支援AI訓練、AI推論以及其他大量資料分析的任務。新機器預定今年底問世。</p> <p>Dell與Nvidia是在本周<a href="https://blogs.nvidia.com/blog/2022/08/30/nvidia-vmware-new-era-enterprise-computing/" target="_blank">VMware Explore 2022</a>上宣布這項消息。最新Dell PowerEdge伺服器除了執行Nvidia BlueField DPU與GPU外，也會整合Nvidia AI Enterprise分析軟體，並支援VMware下一版虛擬化平臺vSphere 8。</p> <p>DPU是為處理特定資料任務而設計的晶片，像是資料加密、AI和網路導流，目的在藉由分擔這些任務，減輕CPU及GPU的負載。<a href="https://www.ithome.com.tw/pr/147164" target="_blank">VMware於2020年和Nvidia合作Project Monterey</a>，推動vSphere虛擬化平臺支援BlueField DPU。</p> <p><a href="https://www.ithome.com.tw/review/144740" target="_blank">Nvidia去年6月推出BlueField-2 DPU</a>整合2019年收購的Mellanox的SmartNIC技術ConnectX-6 Dx，搭配Arm v8架構的中央處理器核心A72，可提供200Gb/s的網路傳輸能力</p> <p>Nvidia指出，現今企業應用如AI不斷產生大量資料，加上現代虛擬化和容器式應用是由眾多分散式微服務組成，運算需求大幅提高，也增加對CPU運算的負擔。藉由讓vSphere 8可在BlueField DPU上執行，將可把作業負載卸載至DPU處理，加快網路和安全服務的執行速度，同時確保處理效能、減低延遲性。vSphere 8預計今年10月推出。</p> <p>整合vSphere、Nvidia BlueField DPU及GPU的Dell PowerEdge，也取得Nvidia AI Enterprise的認證。NVIDIA AI Enterprise是Nvidia提供的雲端原生AI與資料分析軟體，可以部署在企業資料中心與公有雲上提供AI分析。</p> <p class="rtecenter"><a href="https://www.nvidia.com/en-us/data-center/products/ai-enterprise/vmware/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0902-NVIDIA%20AI%20Enterprise%20for%20VMware.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>Nvidia也提供測試環境LaunchPad，讓有興趣的潛在客戶先行測試AI、資料科學任務等應用。</p> </div></div></div>
2022/9/2 09:51作者林妍溱https://www.ithome.com.tw/news/152846
微軟披露可挾持TikTok及抖音帳號的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/" target="_blank">微軟本周披露了</a>一個同時波及國際版TikTok與東南亞版本抖音的安全漏洞，此一編號為CVE-2022-28799的安全漏洞僅影響Andoid平臺上的行動程式，將允許駭客挾持使用者的帳號。</p> <p>根據微軟的說明，CVE-2022-28799可用來繞過Android版TikTok與抖音上的深度連結驗證機制。駭客得以強迫程式載入一個任意的URL至WebView，讓該URL存取WebView附加的JavaScript Bridge，進而賦予駭客存取功能。</p> <p>因此，使用者只要點選一個特製的惡意連結，駭客就能挾持使用者的帳號，存取或竄改使用者的個人檔案與機密資訊，例如公布私人影片、擅自傳送訊息或上傳影片等。</p> <p>微軟提醒，從程式設計的角度來看，以JavaScript作為介面將帶來嚴重風險，一個被破解的JavaScript介面可能會允許駭客利用程式的ID與權限來執行程式，因此建議開發者社群衡量相關風險，同時採取額外的預防措施來保護WebView，包括以白名單來過濾載入WebView的網域，以及使用預設的瀏覽器來開啟非白名單上的網址等。</p> <p>不管是國際版的TikTok或是東南亞版的抖音都受到此一漏洞的影響，估計波及15億的Android用戶。微軟是在今年2月發現並提報了該漏洞，TikTok則在收到漏洞細節的一個月內就修補了，目前尚未傳出遭到開採的報告。</p> </div></div></div>
2022/9/2 00:28作者陳曉莉https://www.ithome.com.tw/news/152830
Meta開發讀腦AI，以非侵入式方法推測受試者腦中所想單字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/ai-speech-brain-activity/">Meta最新開發的模型</a>，可在3秒的大腦活動中，從793個單字字彙表中，解碼出相對應的語音片段，前10名單字的準確率高達73％，研究人員提到，這已經是人們每天常用字彙的一大部分。</p> <p>這項研究的目標是要開發一個人工智慧模型，以非侵入性的方式，從大腦的活動中解碼語音。之所以這項研究很重要，是因為全世界每年都有數千萬人，因為創傷性腦損傷使他們無法說話、打字或是手勢進行交流，因此如果發展出非侵入性從大腦活動解碼語言的技術，這些人便可更方便地與其他人交流。</p> <p>解碼大腦活動是腦神經科學家一直努力的方向，但是到目前為止，大部分的研究都仰賴侵入式的方式記錄大腦活動，雖然這些裝置比無創的方法能夠紀錄更清晰的訊號，但是卻需要神經外科介入。無創的方法提供一種更為安全且可擴展的解決分案，能夠使更多人的人受益，但是研究人員表示，無創方法的挑戰很大，因為紀錄大腦活動包含許多雜訊，且因為各種原因，在每個人頭上安裝感測器的位置都不同，每個人的紀錄會有很大的差異。</p> <p>研究人員以比對學習技術訓練深度學習模型，再用該模型對齊大腦活動紀錄和語音。研究人員使用FAIR團隊所開發的開源自監督學習模型wave2vec 2.0，並用這個模型來辨識聽有聲讀物受試者大腦中的語音表達。</p> <p>這項研究所使用的非侵入性紀錄技術，包括腦電圖（EEG）和腦磁波儀（MEG），其分別紀錄神經元活動所引起的電場和磁場波動，這兩個系統每秒可以使用數百個感測器，拍攝大約1,000個宏觀大腦活動的快照。</p> <p>Meta使用了來自學術機構4個開源的腦電圖和腦磁波儀資料集，其中含有169名健康受試者150小時的腦部紀錄，研究人員將這些資料輸入到一個大腦模型中，但因為腦電圖和腦磁波儀紀錄有很大的個體差異，影響的因素包含大腦解剖結構、神經功能作用的位置和時間差異，還有紀錄時感測器安裝的位置，因此大腦模型的功能便是將這些腦部訊號轉換到一個通用空間中。</p> <p>wav2vec 2.0則能夠從語音，自動生成與大腦一致的語音表示，最後，Meta的架構會學習將大腦模型的輸出和語音的深度表示對齊，如此就能比對出大腦的訊號對應的語音。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe11-2.fna.fbcdn.net/v/t39.2365-6/10000000_5379183562162289_1856090431948873174_n.gif?_nc_cat=103&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=e7zd15KhBjEAX83SZmO&_nc_ht=scontent.ftpe11-2.fna&oh=00_AT9sV_bF4IupmUTdqCShGNW_VZMK2v8tIoDyehs_OnzeLg&oe=6315526E" style="width: 580px;" /></p> <p>Meta所發展的這個人工智慧系統可以執行零樣本分類，也就是分析一個大腦活動片段，並從大量新的音訊片段中，推斷受試者聽到的對應片段，研究人員提到，這是一個重要的成果，因為其證明人工智慧能夠在接收語音時，成功解碼存在雜訊的大腦活動紀錄。</p> <p>不過這項研究工作僅是最終目標的一小部分，要實現讓腦創傷患者交流，需要推進研究到語音生成，但目前已經讓人工智慧能夠更好地理解人類大腦。Meta研究人員藉由公開這項研究成果，以推進該領域的研究。</p> </div></div></div>
2022/9/2 00:29作者李建興https://www.ithome.com.tw/news/152820
微軟於Azure雲端正式推出資料視覺化全託管Grafana服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布對用戶全面推出<a href="https://azure.microsoft.com/zh-tw/blog/elevate-your-visualizations-with-azure-managed-grafana-now-generally-available/">Azure Managed Grafana</a>，這是一個託管服務，用戶可以不需要管理基礎設施，就能在Azure平臺原生執行Grafana，由於微軟與Grafana Labs緊密合作，在系統面深度整合，讓用戶可以簡單地監控應用程式和虛擬機器。</p> <p>除了微軟在今年4月推出Azure Managed Grafana預覽所包含的功能之外，在正式版本微軟還加入多項新功能，像是添加最新的Grafana 9功能，並且改進警示功能，還支援區域冗餘和API金鑰。</p> <p>除此之外，Grafana也和Azure服務整合，用戶可以利用Grafana監控Azure雲端上的服務和應用程式。監控服務Azure Monitor便加入了數個新的開箱即用儀表板，像是可用性測試地圖儀表板，便可以在地圖介面監控應用程式的可用性，而負載平衡儀表板則可以監控所有Azure負載平衡資源重要的效能指標，如負載平衡器、應用程式閘道，以及流量管理器。</p> <p>Azure Monitor日誌提供釘選到Grafana的功能，讓用戶可以直接在Grafana儀表板中，查看Azure Monitor日誌的圖表和查詢。另外，Azure容器服務也整合新的開箱即用儀表板，新的聚合檢視圖儀表板按資源組、環境和區域描繪容器應用地圖，用戶可以從這個儀表板，查看應用程式所使用的CPU和記憶體等資源，以及重新啟動和網路流量等指標，以監控容器應用程式的效能。</p> </div></div></div>
2022/9/2 00:37作者李建興https://www.ithome.com.tw/news/152822
Chrome 104含有一個可寫入剪貼簿的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://lapcatsoftware.com/articles/clipboard.html" target="_blank">一名開發者Jeff Johnson本周警告</a>，Chrome 104含有一個臭蟲，允許任何網站寫入剪貼簿，Johnson還設計了一個示範網站，只要Chrome用戶造訪該站，系統剪貼簿的內容就會被置換成Johnson的版本。</p> <p>系統剪貼簿可用來暫時存放使用者所剪下來的文字內容，並在需要時直接貼上，它支援絕大多數的應用程式，包括各大瀏覽器，只不過，要存放內容時必須執行各種快捷鍵，例如按下滑鼠右鍵、或是點擊，或是箭頭等，總是要有些動作，然而，Chrome 104要求使用者輸入動作的機制壞掉了，於是，各網站都可以利用此一臭蟲，在使用者造訪時，靜悄悄地把特定內容寫入剪貼簿。</p> <p>資安專家擔心，這樣的臭蟲可能會讓駭客於剪貼簿中加入惡意連結，或者是寫入自己的加密貨幣錢包以盜轉款項。</p> <p><a href="https://webplatform.news/" target="_blank">Johnson在8月28日的時候打造了一個網站</a>來展示該臭蟲，只要使用者造訪了該站，完全不必點選其它功能，再於記事本中執行「貼上」功能，就會出現Johnson所撰寫的內容，警告這是一個不需獲得使用者同意就能寫入剪貼簿的臭蟲。</p> <p><a href="https://bugs.chromium.org/p/chromium/issues/detail?id=1334203" target="_blank">Chromium社群早在今年6月就發現了此一臭蟲，</a>原本外界預期Google很快就會修補它，不過，<a href="https://www.darkreading.com/vulnerabilities-threats/google-fixes-24-browser-vulnerabilities-with-chrome-105-version" target="_blank">根據《Dark Reading》的報導</a>，本周才釋出的Chrome 105似乎仍存在著此一臭蟲。</p> </div></div></div>
2022/9/2 00:41作者陳曉莉https://www.ithome.com.tw/news/152831
微軟NoSQL資料庫Azure Cosmos DB現可添加快取加速讀取、降低成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/cosmosdb/announcing-integrated-cache-general-availability/">NoSQL資料庫服務Azure Cosmos DB可以透過整合快取，來降低讀取工作負載的成本和延遲</a>，微軟提到，除了加速和降低成本之外，添加快取可以簡化用戶的架構和應用程式複雜性。這個整合快取內建在Azure Cosmos DB專用的閘道器中，用戶需要對應用程式進行小幅度調整才能使用，但官方提到，這項調整不會造成應用程式的額外執行成本，就能獲得傳統快取的所有好處。</p> <p>整合快取可以降低許多工作負載的資料庫成本，如果不需要更新快取，無論查詢的複雜性，或是回傳的資料大小，提供讀取服務則花費0 RU（Request Unit）。RU是Azure Cosmos DB的效能貨幣，抽象化執行Azure Cosmos DB資料庫作業所需要的系統資源。</p> <p>微軟解釋，這對於相對靜態的資料讀取工作負載來說更為有利，當資料讀取的頻率比更新的頻率更高，則使用快取便有潛在的好處。在短時間內多次執行相同資料點讀取或是查詢工作負載，也能因設置快取獲得到好處，像是大型文件或複雜查詢導致高昂讀取成本的工作負載，或是在一個或多個物理分區中，因為重複讀取而有熱分區的工作負載。</p> <p>Azure Cosmos DB整合快取具有網路隔離功能，可確保資料安全，用戶能夠以虛擬網路、IP過濾器和私密連結來配置專屬閘道器，另外，用戶也可以使用完整易讀的指標來監控快取使用狀況。</p> </div></div></div>
2022/9/2 00:50作者李建興https://www.ithome.com.tw/news/152832
數位發展部提前瞻計畫，要驗證以非同步軌道衛星強化我國通訊網路韌性的可行性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>颱風、地震或發生戰爭可能導致國內通訊網路中斷，為提升我國通訊網路的數位韌性，數位發展部擬驗證非同步軌道衛星強化我國通訊網路的數位韌性，確保必要的應變訊息仍可在國內外傳遞。</p> <p>數位發展部部長唐鳳今天（9/1）線上對外說明，數位部提出的2項新第四期前瞻計畫，其中一項為「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，唐鳳指出，在緊急狀況發生時，導致我國海纜或行動網路、固定網路系統受到破壞，仍可透過非同步軌道衛星，來確保必要的應變訊息對國內國外傳遞，例如視訊會議、語音、直播等。</p> <p>由於我國尚未開放非同步軌道衛星提供商用服務，因此數位部規畫以PoC概念驗證方式，在國內各縣市的700多處，以及3個國外的站點，設立非同步軌道衛星設備，以驗證非同步軌道衛星在臺灣提供緊急應變通訊服務的可行性。數位部編列2023、2024年兩年共5.5億元預算來執行這項前瞻計畫。</p> <p>唐鳳表示，電信服務為關鍵基礎設施，為提升服務的韌性，除了要求業者演練外，數位部提出強化通訊網路數位韌性前瞻計畫的目的，是為了因應不論哪種原因，只要導致海纜或行固網失能或是被破壞，實證能切換到非同步軌道衛星，當緊急應變時，不需要等待設定就能立刻運用非同步軌道衛星，確保應變訊息能夠被緊急通訊。</p> <p>這項前瞻計畫尚在初始階段，因此唐鳳並沒有說明，未來數位部推動這項前瞻計畫，可能合作的非同步軌道衛星業者。</p> <p>數位部另一項提出的前瞻計畫則是「通訊傳播創新科技應用發展及基礎環境建置計畫」，該計畫目的是完備通播創新應用的基礎環境，這個鼓勵創新應用的基礎環境，包含法規、沙盒、獎勵制度等，以完善臺灣的通訊傳播應用服務的強韌性，邁向智慧國家發展。</p> <p>唐鳳指出，這項計畫將提升社會價值暨產值100億元，帶動通傳創新應用投資約30億元，至少提出10項制度或政策方向調適建議，數位部的具體做法，包括至少廣徵100項構想，其中至少10件讓民眾有感的案件，至少10件與5G應用有關的案件，還有推動10項通過可用性、韌性驗證的服務創新，促成20家業者參與分散式數據（非個資）交換機制發展創新應用，還有8案跨境鏈結提供服務的案例。</p> <p>這項前瞻計畫目的包括完備通傳創新應用基礎、提供民眾有感的應用服務創新商業模式、鏈結跨境應用，2023年與2024年2年預算為13億元。</p> </div></div></div>
2022/9/1 18:41作者蘇文彬https://www.ithome.com.tw/news/152824
Arm狀告高通與Nuvia違反授權協議及侵犯商標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.arm.com/en/company/news/2022/08/arm-files-lawsuit-against-qualcomm-and-nuvia-for-breach-of-license-agreements-and-trademark-infringement" target="_blank">半導體設計業者Arm在本周三（8/31）狀告高通（Qualcomm）及高通旗下的晶片設計公司Nuvia</a>，聲稱這兩家業者違反授權協議，並侵犯了Arm的商標，要求被告履行合約義務，並銷毀某些Nuvia的設計。最大原因可能是買下Nuvia的高通，有機會成為Arm的競爭對手。</p> <p>Arm為一處理器架構與設計的開發商，並不直接生產或銷售晶片，而是將所發展的技術授權予各家業者，由業者自行打造所需的晶片。至於<a href="https://www.ithome.com.tw/news/142235" target="_blank">高通在去年1月以14億美元買下的晶片設計新創Nuvia</a>，則著眼於高效能的晶片設計，特別是資料中心，Nuvia的3名創辦人都曾是蘋果或Google的半導體大將，有著驚人的產業背景，在2020年8月所發表的第一代處理器Phoenix的評測就超越了蘋果、英特爾、AMD與高通。</p> <p><a href="https://www.axios.com/2022/08/31/qualcomm-sued-by-chipmaker-arm" target="_blank">根據《Axios》所張貼的訴狀</a>，Nuvia在2019年取得了Nvidia的智慧財產授權，可根據Arm架構來設計客製化的處理器核心，並變更Arm的原有設計，此一授權也包含Nuvia可在基於Arm的產品上使用Arm商標，但Nuvia並沒有轉讓該授權的權限。</p> <p>不過，在高通買下了Nuvia之後，高通持續使用Nuvia所取得的Arm授權開發產品，即便是在Arm在今年3月1日終止了Nuvia的授權許可之後，高通依然不斷對外宣稱自Nuvia轉移至高通的產品將加入廣大的Arm生態系統中。</p> <p>由於高通為Arm的主要客戶之一，與高通翻臉對Arm並無太大的好處。然而，從訴狀中也可看出Arm擔心高通成為該公司直接的競爭對手。</p> <p>Arm說，高通在2018年以前也曾向該公司取得授權，以開發資料中心伺服器專用的伺服器，但失敗了，且一直到去年初，高通的未來產品規畫皆無客製化處理器，高通顯示是想藉由購買Nuvia的客製化晶片來補足此一缺口，只是並未取得Arm的同意，且如此一來，高通也不必再向Arm購買晶片設計了。</p> <p>另一方面，高通執行長Cristiano Amon去年也曾對外表示，高通準備在今年起就會對外銷售來自於Nuvia的筆電晶片，可能會對Arm造成負面影響，但倘若未來Arm能再開發出優於高通的CPU，那麼高通也可以選擇再向Arm取得授權。</p> <p>總之，Arm要求高通應銷毀Nuvia的某些設計，同時提供補償予Arm。</p> </div></div></div>
2022/9/1 16:36作者陳曉莉https://www.ithome.com.tw/news/152821
【資安日報】2022年9月1日，思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊、研究人員揭露Linux核…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科<a href="https://www.ithome.com.tw/news/152446#cisco">在8月10日公布遭到勒索軟體閰羅王（Yanluowang）入侵的攻擊事故</a>，並指出還有UNC2447與Lapsus$兩組駭客參與其中。最近有資安業者提出新的發現，指出勒索軟體駭客組織Evil Corp、Conti的旗下成員也可能涉及此次事故，而使得整個態勢變得更加複雜。</p> <p>勒索軟體攻擊開發中國家，並癱瘓關鍵基礎設施的情況再添一例！位於南歐的蒙特內哥羅（Montenegro）日前遭到網路攻擊，現在有勒索軟體駭客宣稱是他們所為，而在此之前，Conti攻擊哥斯大黎加也出現類似的情形。</p> <p>研究人員揭露了名為DirtyCred的Linux核心漏洞相當值得留意，此漏洞具備Dirty Pipe的部分特質，但駭客利用的難度較低，且能用於逃逸容器攻擊，他們呼籲使用者應儘速安裝修補程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.esentire.com/security-advisories/hacker-infrastructure-used-in-cisco-breach-discovered-attacking-a-top-workforce-management-corporation-russias-evil-corp-gang-suspected-reports-esentire"><span style="color: rgb(0, 0, 0);">思科遭駭勒索軟體駭客Evil Corp和Conti疑參與攻擊</span></a></strong></h3> <p>針對思科5月下旬遭駭的資安事故，該公司認為發動攻擊的駭客組織包含了UNC2447、Lapsus$，以及勒索軟體駭客閰羅王，但似乎還有其他駭客組織參與。</p> <p>資安業者eSentire指出，隸屬於Evil Corp的駭客組織UNC2165，在1個月前對他們客戶發動攻擊，其基礎設施與思科事故裡所使用的相同，因而引起他們注意並進一步調查。而在思科的攻擊事故裡，研究人員發現了名為HiveStrike的Cobalt Strike基礎設施，而這是勒索軟體駭客組織Conti前成員架設，用於散布FiveHands與Conti勒索軟體。</p> <p>究竟這兩個組織執行了那些攻擊行動？研究人員認為，有可能Evil Corp與Conti旗下的組織進行合作，或是Evil Corp取得初始存取思科內部網路環境的管道，再由Conti旗下、使用勒索軟體Hive的駭客發動攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/cybercriminals-apparently-involved-russia-linked-attack-montenegro-government"><span style="color: rgb(0, 0, 0);">蒙特內哥羅疑遭勒索軟體Cuba攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cuba_ransomware_Montenegro.png" style="width: 300px; float: right;" /></a>8月26日，蒙特內哥羅的政府系統與關鍵基礎設施遭到網路攻擊，美國大使館指出這起事故可能會擾亂當地交通、公營事業，以及電信服務的運作，蒙特內哥羅指控攻擊是多個俄羅斯駭客組織所為。</p> <p>事隔數日，勒索軟體Cuba聲稱他們在8月19日入侵該國議會，竊得了財務資料，以及銀行員工個資、資產負債表等。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomware-claims-attack-on-portugals-flag-airline/"><span style="color: rgb(0, 0, 0);">葡萄牙航空公司疑遭勒索軟體Ragnar Locker攻擊</span></a></strong></h3> <p>8月26日，大型葡萄牙航空公司TAP Air Portugal證實遭到網路攻擊，但表示不影響飛航安全，旅客資料也沒有出現異常存取的情況。該公司於30日再度公告，上述網路攻擊導致網站與應用系統無法使用。根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客Ragnar Locker於31日宣稱，這起攻擊事故是他們所為，並竊得數百GB的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.rezilion.com/blog/dirty-cred-what-you-need-to-know/"><span style="color: rgb(0, 0, 0);">研究人員揭露Linux核心漏洞DirtyCred細節</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux-chart-1.jpg" style="width: 300px; float: right;" /></a>美國西北大學的研究人員揭露名為DirtyCred的Linux核心漏洞，該漏洞已存在長達8年，為記憶體釋放後濫用（UAF）的漏洞，攻擊者可用來提升權限。此漏洞涵蓋CVE-2021-4154與CVE-2022-2588兩個弱點，擁有類似另一個漏洞Dirty Pipe（CVE-2022-0847）的特性，能針對Linux與Android作業系統發動攻擊，但最大的不同之處在於，DirtyCred可被用於逃逸容器的攻擊，再者，駭客利用該漏洞的難度也較Dirty Pipe低。</p> <p>研究人員在美國黑帽大會（Black Hat USA 2022）上進行概念性驗證（PoC）攻擊，並於執行CentOS 8與Ubuntu 20.04作業系統的主機裡，透過此漏洞成功提升權限。他們呼籲使用者要留意Linux開發團隊的公告，並儘速安裝修補軟體。</p> <h3><a href="https://www.wordfence.com/blog/2022/08/wordpress-core-6-0-2-security-maintenance-release-what-you-need-to-know/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress修補高風險SQL注入漏洞</span></strong></a></h3> <p>8月30日，WordPress開發團隊發布6.0.2版，總共修補3個漏洞，其中包含CVSS風險評分達8.0分的高風險漏洞（尚未有CVE編號），此漏洞與WordPress提供的書籤（Bookmarks）有關，有可能被用於SQL注入攻擊。資安業者Wordfence表示，駭客要利用該漏洞的難度相當高，不只需要管理者權限，在WordPress預設組態的配置下也難以利用，但網站很有可能會因為部署了外掛程式或佈景主題而曝險。研究人員呼籲網站管理者應儘速檢查WordPress是否已經升級。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/152815"><span style="color: rgb(0, 0, 0);">數位發展部公布資通安全署副署長人選</span></a></strong></h3> <p>數位發展部資通安全署署長確認由原國發會資訊處處長謝翠娟擔任，兩位副署長名單在今天（9月1日）公布，其中一位為原行政院資通安全處副處長林春吟，另外一位副署長則是臺灣科技大學資訊工程學系教授鄭欣明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/08/31/vulnerability-in-tiktok-android-app-could-lead-to-one-click-account-hijacking/"><span style="color: rgb(0, 0, 0);">安卓版抖音App弱點恐讓攻擊者挾持用戶帳號</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/apple/apple-backports-fix-for-actively-exploited-ios-zero-day-to-older-iphones/"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 12.5.6，修補iPhone 5s的零時差漏洞CVE-2022-3289</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/08/29/mini-stealer-possible-predecessor-of-parrot-stealer/"><span style="color: rgb(0, 0, 0);">駭客免費提供竊密軟體Mini Stealer給其他網路罪犯</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152810">【2022年8月31日】惡意Chrome擴充套件竊取受害者上網資料、駭客入侵受害電腦一個月後才部署挖礦軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152781">【2022年8月30日】駭客以測試遊戲為幌子散布竊密軟體、美國警告台達電子ICS軟體漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/152727">【2022年8月29日】伊朗駭客利用IT服務管理系統Log4Shell漏洞攻擊以色列組織、Twilio公布遭駭事故的受影響規模</a></strong></strong></strong></p> </div></div></div>
2022/9/1 14:11作者周峻佑https://www.ithome.com.tw/news/152817
美國要求Nvidia與AMD不得出口高階GPU至中國與俄羅斯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/ShanghaiMacro/status/1564967875865063424" target="_blank">中國資產管理公司Clocktower Group本周揭露了一份文件</a>，顯示美國已要求AMD及Nvidia禁止銷售高效能GPU予中國，而<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1045810/000104581022000146/nvda-20220826.htm" target="_blank">Nvidia向美國證券交易委員會（SEC）提交的文件</a>證實了此事，而且禁售國家還包括俄羅斯。至於AMD亦向媒體承認收到了類似的通知。</p> <p>根據來自中國的文件，美國要求AMD不得出口MI100及MI200等高階GPU至中國，Nvidia被禁運至中國的產品則是A100與H100。而上述產品都是可應用在資料中心或超級電腦的高效能GPU。</p> <p>雖然美國政府並未公布發布此一消息，但Nvidia在提交給SEC的文件中指出，該公司在8月26日收到美國政府的通知，要求即日起不得再出口A100與H100至中國、香港與俄羅斯，禁令還包括了任何採用這兩款GPU的AI工作站DGX或其它系統，更擴及未來Nvidia所開發的、任何效能達到或超越A100的產品。</p> <p>美國政府向Nvidia表示，此一禁令主要是為了解決這些產品被應用在中國及俄羅斯軍方的風險。不過，Nvidia並沒有位於俄羅斯的客戶。</p> <p>Nvidia坦承，之前便與中國客戶討論相關產品的銷售，但現在無法確定能否獲得美國政府的出售許可，估計將會影響該公司今年第三季的財報表現，所涉及的金額約為4億美元。</p> </div></div></div>
2022/9/1 15:32作者陳曉莉https://www.ithome.com.tw/news/152819
Safari網頁瀏覽器引擎WebKit專案儲存庫搬遷至GitHub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源網頁瀏覽器引擎WebKit專案在6月的時候，凍結了版本控制系統Subversion樹，並將管理和原始碼<a href="https://webkit.org/blog/13140/webkit-on-github/">轉移到了GitHub</a>上，採用Git來進行專案開發協作。官方提到，搬遷的原因除了Git本身的多項優點之外，軟體開發者普遍更喜歡Git。</p> <p>Git分散式的特性使多個開發人員，甚至是多個組織可以在單一專案上協作，Git的本地更改紀錄，使分支之間的移動提交或是回退變更更為簡單快速。</p> <p>Apple WebKit團隊的軟體工程師Jonathan Bedard認為，Git的作者和提交者模型，能夠良好地應用在像是WebKit這種大型軟體專案編寫和管理程式碼的複雜方法，Git本地提交訊息記錄和Git Log，限制提交歷史紀錄在儲存庫的特定位置，這代表著大型專案不用在每次提交時，都要簽入（Check in）過時的ChangeLog檔案。</p> <p>WebKit專案原本就已經在使用Git，許多開發人員也早已經習慣在git-svn鏡像備份工作，Jonathan Bedard提到，由於Git在軟體工程中普遍受到歡迎，也就代表WebKit專案大部分新的貢獻者會傾向使用Git。將WebKit搬遷到專門的Git，不只能夠與現有工具和流程相配合，WebKit團隊也會有更多與Git良好整合的工具和服務可以選擇。</p> <p>不過採用Git也有需要克服的挑戰，WebKit的缺點之一是Git雜湊並非自然排序，但WebKit團隊認為可以簡單推斷儲存庫中提交順序的能力，是WebKit零容忍效能回歸政策的重要關鍵。</p> <p>因此WebKit在工作流程中導入提交識別碼（Commit Identifier）的機制，在主分支上，提交識別碼是提交所擁有的祖先數量計數，而主分支上其他分支的提交識別碼，則是主分支祖先的數量加上該分支的祖先數量，如此便能計算出每個提交的順序。</p> <p>雖然處理排序需要額外的工作，但是採用Git仍然利大於弊，因為WebKit專案的貢獻和回饋來自全世界的開發者，Jonathan Bedard表示，GitHub擁有龐大的開發人員社群，特別是網頁開發者，有利於WebKit專案與他們密切合作改進引擎。</p> <p>而且因為GitHub方便的API，使得WebKit專案人員只要些微修改現有基礎設施，就能夠建構進階的提交自動化機制，並提供一個更先進且安全的平臺，來審查和回饋新的程式碼變更。</p> </div></div></div>
2022/9/1 14:40作者李建興https://www.ithome.com.tw/news/152818
數位發展部資通安全署副署長敲定，臺科大資工系教授鄭欣明接任副署長一職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部有兩個重要的署級機關，其中，資通安全署署長確認由原先國發會資訊處處長謝翠娟接任後，今天（9月1日）也公開另外兩位副署長名單，其中一位由原先行政院資通安全處副處長林春吟接任外，另外一位則由長期關注5G/6G網路安全、物聯網系統安全、惡意程式分析、人工智慧安全的臺灣科技大學資訊工程學系教授鄭欣明接任。</p> <p>鄭欣明過去八年來主持教育部資訊安全人才培育計畫、每年舉辦AIS3（新型態資安暑期課程）暑期營隊，以及規畫相關資安競賽如 MyFirstCTF, AIS3 EOF 等，多年來，相關的資安人才培育計畫已經培養超過千名的資安英才。</p> <p>包括數位發展部以及資通安全署在相關人才晉用規定都大幅放寬，根據數位發展部資通安全署組織法規定，資安署設置副署長2人，職務列簡任第十二職等，其中一人必要時，得比照專科以上學校副教授或教授之資格聘任，其退休、撫卹比照教師相關規定辦理，並由數位發展部核定之。</p> <p>鄭欣明表示，借調公文日期到2026年7月31日，面對手邊負責的AIS3與CCoE（資安卓越中心）的專案，他指出，可能會因為有角色扮演衝突的問題，都會由其他老師接手；其他AIS3下半年活動只剩臺灣資安大會以及EOF大活動，雖然會換專案主持人，但在專案助理都非常嫻熟的情況下，問題不大。而資安卓越中心資安人才培育的部份，則由臺大圖資系助理教授鄭瑋接手；至於網路威脅實驗室原本就是陽明交通大學資工系教授黃俊穎主責，也不會因為他的借調而有太大的問題。</p> <p>數位發展部資通安全署在人才聘用上都面臨傳統公務體系人員缺乏資安專業技能，外聘人才則會因為政府體系缺乏薪資誘因而難以吸引到真正的高手。此次四十五歲的鄭欣明以學界借調方式擔任資安署副署長，可以補強公務體系高階技術專業人力的缺口，因此和數位發展部部長唐鳳都是四十多歲的青壯年，在衝勁上也讓人期待。</p> <p> </p> </div></div></div>
2022/9/1 12:12作者黃彥棻https://www.ithome.com.tw/news/152815
Snap正式宣布組織重整與裁員20%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/152792" target="_blank">在傳出裁員的消息之後</a>，Snap周三（8/31）<a href="https://newsroom.snap.com/restructuring-and-refocusing-our-business" target="_blank">正式宣布組織重整</a>，也證實將裁撤20%的員工。</p> <p>Snap共同創辦人暨執行長Evan Spiegel表示，由於每季營收成長趨緩，為了避免虧損擴大，將進行業務重整，聚焦於三大核心策略，分別是社群成長、營收成長，以及擴增實境（AR），因此，與這些領域無關的專案都將結束，或是大幅減少投資，於是不得不裁撤20%的人力。</p> <p>根據Snap的規畫，決定關閉的團隊包括Snap Originals、Minis、Games與Pixy，也將漸次淘汰Zenly與Voisey等獨立程式。</p> <p><a href="https://s25.q4cdn.com/442043304/files/doc_financials/2022/q2/Snap-Inc.-Q2-2022-Earnings-Release-vF.pdf" target="_blank">Snap今年第二季的財報</a>透露了該公司擁有6,446名員工，包括全職、兼職或約聘員工，20%接近1,300名員工。Spiegel表示，該公司的總員工數在裁員後依然高於去年同期。去年第二季時Snap的員工數為4,043人。</p> <p>同一天Snap也宣布將拔擢工程副總裁Jerry Hunter擔任該公司的營運長，未來Hunter將同時負責Snap的營運與工程部門。</p> </div></div></div>
2022/9/1 12:12作者陳曉莉https://www.ithome.com.tw/news/152816
Visual Studio新擴充套件可上色大括號，方便開發者理解巢狀結構程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去曾發布超過150個Visual Studio擴充套件的微軟Visual Studio首席產品經理<a href="https://twitter.com/mkristensen/status/1562525432972705793?s=20&t=E6wAJXnumPMTsjDEK7mJuQ">Mads Kristensen</a>，現在他在推特發布最新力作<a href="https://marketplace.visualstudio.com/items?itemName=MadsKristensen.RainbowBraces&ssr=false#overview">Rainbow Braces</a>，該擴充套件只有一個簡單的功能便是上色括號，讓開發者可以地簡單地理解巢狀程式碼。</p> <p>在Visual Studio之前，這項功能先出現在VS Code，不過在VS Code中上色括號屬於核心功能，但是在Visual Studio上卻是效能可能較慢的擴充套件形式出現，而且並非以官方的名義提供。這個名為Rainbow Braces的擴充套件，會偵測成對的括號進行著色，方便開發者辨識這些括號涵蓋的範圍，除了大括號，Rainbow Braces也可作用於括號與中括號。</p> <p>這項Rainbow Braces擴充套件的開發想法，出自於社群的回饋，該回饋提到VS Code早就已經提供括號著色的功能，但是該功能卻一直沒有出現在Visual Studio上，因此Mads Kristensen著手開發該擴充套件。</p> <p>當初VS Code內建的括號著色功能，也是始於社群開發的擴充套件，在2016年的時候，一個用戶名為CoenraadS的開發者，在市集發布了Bracket Pair Colorizer擴充套件，該套件安裝量超過600萬，是市集中下載次數最多的套件前10名，但第一版有嚴重的效能和準確度的問題，因此為了讓擴充套件更順暢，CoenraadS再次於2018年發布擴充套件更新Bracket Pair Colorizer 2。</p> <p>雖然CoenraadS針對效能更新發布了第二個主要版本，但是該擴充套件仍存在效能問題，因為擴充套件所使用的API和資訊限制，會使得該擴充套件在更新大型檔案括號顏色時特別緩慢，尤其是在檔案中存在數萬甚至數十萬大括號時，擴充套件總需要耗費一些時間才能精確地配對括號並且著色。</p> <p>微軟解釋，雖然他們也想提高擴充套件的效能，但是渲染器和擴充套件主機間的非同步通訊，嚴重限制了括號著色的速度，這個限制無法被克服。因此微軟後來便將這個功能移入VS Code核心，括號上色的效能獲得大幅改善，時間縮短到不到一毫秒，在特定的案例中，甚至快了超過10,000倍。</p> <p>不過，目前Visual Studio上括號上色的功能，仍是以擴充套件的形式釋出，且僅支援Visual Studio 2022，Mads Kristensen也在問答中提到，目前並不打算提供舊版本的支援，要在更舊版本的Visual Studio上使用，可能就需要複製儲存庫，自己做一些修改。</p> <p>VS Code好用的擴充套件功能逐漸移植到Visual Studio上，像是VS Code上能夠著色不同實例的Peacock擴充套件，現在微軟也正研究，開發適用於Visual Studio的UI範式和配色方法，推出實驗性配色擴充套件，觀察開發者的反應。</p> </div></div></div>
2022/9/1 10:30作者李建興https://www.ithome.com.tw/news/152807
.NET SDK將內建支援輸出容器映像檔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/announcing-builtin-container-support-for-the-dotnet-sdk/">微軟宣布容器將是.NET SDK支援的輸出類型之一</a>，也就是說，開發者只要使用dotnet publish指令，就可以創建應用程式的容器化版本。官方提到，這項功能對於本地端開發、CI工作管線和執行特定指令用例將會很方便。</p> <p>容器是綑綁應用程式的好方法，也是目前在雲端發布和執行應用程式的熱門形式，容器映像檔主要由兩部分組成，一部分是包含如何執行應用程式的JSON後設資料，另一部分則是表示檔案系統的tarball檔案列表，在.NET 7中，微軟透過在.NET Runtime添加數個API，以處理tarball檔案和串流，如此便可簡單地以程式開發方法操作容器映像檔。</p> <p>官方提到，這種方法已經在Java生態系中的Jib和Ko for Go等專案成功運作，而.NET中的konet也獲得很好的回饋。以簡單工具生成容器映像檔的方法越來越流行，微軟基於這概念，在現有建置邏輯無縫整合容器映像檔創建功能，以C#實作，整合到.NET SDK中，使得.NET團隊可以直接在現有的工作流程中使用到新功能。</p> <p>由於微軟提供了一些設定的預設值，因此開發者不需要碰觸到編寫Dockerfile的複雜工作，但是可以在MSBuild屬性和項目中，自定義生成映像檔的各部分。</p> <p>微軟所使用的基礎映像檔為Debian Linux發行版，開發者也可以使用像是Alpine或Ubuntu等發行版，不過會需要手動更改基礎映像檔屬性配置，微軟提到，他們認為使用基於Debian的Runtime映像檔版本，能夠廣泛相容大多數應用程式。</p> <p>由於現在這個以SDK建置容器映像檔的功能，還在預覽階段，因此仍然有一些限制，像是目前僅支援Linux-x64映像檔部署場景，Windows映像檔和其他架構的支援，雖然都在官方開發計畫中，但還需要再等等。</p> <p>微軟也還未實現身份驗證支援，無法推送到遠端的註冊表，官方提到，該功能在他們優先開發列表中，與此同時，微軟建議開發者可以先將映像檔推送到本地Docker守護行程，再使用docker tag和docker push推送映像檔到目的地。另外，目前微軟也尚未實作部分映像檔後設資料的自定義，因此更完整的自定義功能之後才會提供。</p> <p>微軟預計在.NET 7的候選版本發布階段，就會完成添加新的圖像後設資料，並且支援推送映像檔到遠端註冊表，同時也會支援Windows映像檔。</p> </div></div></div>
2022/9/1 09:54作者李建興https://www.ithome.com.tw/news/152800
藍新金流在兩週內遭遇數波DDoS攻擊，國內至少十多家線上平臺期間暫時無法交易或付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為國內知名第三方支付服務商的藍新科技，在8月中下旬，發生了多起服務異常情形，特別是在8月26日中午，又開始傳出其服務可能遭遇DDoS攻擊的消息，直到約12小時後，才宣布恢復正常運作。這應是遭遇了DDoS攻擊，事實上，在最近兩周時間內，藍新科技曾揭露遭遇DDoS攻擊、海外惡意攻擊，總計共有六波攻擊導致服務受影響，其中以26日的攻擊流量特別高，影響時間也最長。</p> <p>在此同時，也導致使用該公司金流平臺服務的多家廠商都受暫時影響，像是NFT區塊鏈錢包Qubic無法交易，表演劇團直播的觀眾抖內受影響，燒賣研究所等多家線上課程平臺的會員無法購買課程，線上一番賞平臺無法儲值等。</p> <p>比起普遍靜態網站遭遇DDoS攻擊，金融服務遭遇此類攻擊的影響更嚴重。回顧近年DDoS攻擊對國內金融服務的衝擊，<a href="https://www.ithome.com.tw/news/111875">在2017年國內證券業者集體遭遇DDoS攻擊</a>最是引發關注，因為是多家業者同時間遭遇攻擊，以第三方支付業者而言，<a href="https://www.ithome.com.tw/news/145796">綠界科技在2021年9月，也曾公告遭遇3波影響較大的攻擊</a>，導致多家採用他們金流、物流與發票服務的廠商受影響，這次藍新科技的狀況也是如此，連帶造成國內許多平臺金流相關服務都受影響，然而，藍新科技目前並未清楚說明影響範圍。而且，這樣的狀況竟持續兩週依然發生，業者的因應方式備受關注，同時也值得國內相關業者，以及金融監管單位注意。</p> <h3><strong>在8月12日到26日期間，共遭遇了6波DDoS攻擊</strong></h3> <p>關於這次事件，以金流服務為主的藍新科技公司，該集團扮演串接各種付款工具的線上金流第三方支付角色，近年也開始逐步切入線下金流整合市場。該公司目前仍為未上市公司，最近，他們為了簡化組織架構，在今年9月1日將合併旗下百分之百轉投資的藍新金流公司，之後將以藍新科技為存續公司。</p> <p>關於近日藍新接連遭遇網路攻擊事件，在藍新金流的官方網站上，有了較詳細的揭露，當中公布了至少遭遇6波較嚴重DDoS攻擊，均導致平臺服務受到影響。</p> <p>首先，8月12日就發生兩波攻擊，藍新金流當日曾兩度發布公告，說明在早上9時05分到10時12分，以及晚間6時10分到10時30分，遭遇來自海外的DDoS攻擊；到了8月16日下午4時40分又遭遇這樣的攻擊，這次藍新科技表示，開始啟動反制攻擊機制，可能是新採用了DDoS流量清洗的解決方案以緩解攻擊，但仍向用戶說明，這段期間可能發生部分時段金流交易服務與官網服務不穩定的情況。</p> <p>只是，該公司在8月19日，以及8月25日晚間9時15分仍持續公布消息，表示遭受攻擊，因此將不定期針對部分海外IP位址予以封鎖，但這也導致海外消費者可能無法付款的情況。</p> <p>到了26日下午3時55分，改由藍新科技透過臉書粉絲專頁發布服務異常公告，說明他們的IDC機房遭受數波海外惡意攻擊，導致金流平臺交易不穩定或中斷，直到晚間11點50分才表示恢復正常。</p> <p>同日晚間，藍新金流於<a href="https://www.newebpay.com/info/news/news_detail?post_data=4a2db959adc9b07312d8294932748470f1bbe519c16b773bca9f4aceeda5c0af">官方網站上提出更多說明，指出此波攻擊強度及方式再次升級</a>，因此藍新工程團隊與IDC資安專家持續採用多種手段來防護，同時，當中也提及官方網站同樣在此波攻擊範圍之內，因此未能在第一時間公布消息，這應該也是他們改由粉絲專頁發布相關資訊的主要原因。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）藍新金流遭DDoS攻擊而服務中斷，連帶多家業者服務受影響.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%97%8D%E6%96%B0%E9%87%91%E6%B5%81%E9%81%ADDDoS%E6%94%BB%E6%93%8A%E8%80%8C%E6%9C%8D%E5%8B%99%E4%B8%AD%E6%96%B7%EF%BC%8C%E9%80%A3%E5%B8%B6%E5%A4%9A%E5%AE%B6%E6%A5%AD%E8%80%85%E6%9C%8D%E5%8B%99%E5%8F%97%E5%BD%B1%E9%9F%BF.jpg" style="width: 600px;" /></a></p> <p><span style="color:#808080;"><strong>藍新金流在8月12日公布遭遇DDoS攻擊，並且當日發生兩次金流服務中斷情形。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）藍新金流0812遭DDoS攻擊(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%97%8D%E6%96%B0%E9%87%91%E6%B5%810812%E9%81%ADDDoS%E6%94%BB%E6%93%8A(1).png" style="width: 600px;" /></a></p> <p><span style="color:#808080;"><strong>在8月12日、8月16日、8月19日、8月25日、8月26日，藍新金流近期總共發布6次遭受DDoS攻擊、來自海外惡意攻擊，導致服務受影響的公告。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-26_214105.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-26_214105.png" style="width: 450px;" /></a></p> <p><span style="color:#808080;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）藍新金流0812遭DDoS攻擊.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%97%8D%E6%96%B0%E9%87%91%E6%B5%810812%E9%81%ADDDoS%E6%94%BB%E6%93%8A.png" style="width: 600px;" /></a></strong></span></p> <p><strong style="color: rgb(128, 128, 128);">藍新金流官方網站在8月26日說明近期網路攻擊事件，並指出當日面對的攻擊強度與方式再次升級。</strong></p> <h3><strong>多家業者受影響，因使用的金流服務中斷導致無法結帳或交易</strong></h3> <p>然而，我們從多家受影響的服務業者發布的資訊來看，在26日中午12點開始，藍新金流就已經發生異常，意味著這一日的服務受影響情形，可能長達12小時。</p> <p>在8月26日，有不少商家紛紛發布消息。例如，在中午12時50分左右，網路媒體數位時代與經理人月刊MANAGERtoday的臉書粉絲專頁，他們分別發出公告，向其線上學習平臺報名者說明，因平臺採用的藍新金流服務系統異常，結帳功能無法運作，只能請報名者先填寫表單。</p> <p>在電商學習平臺「燒賣研究所」的官方網站上，同日也發佈緊急公告，向報名課程的會員說明，由於藍新金流服務系統異常，部分付款選項無法運作，因此不建議使用前三種付款方式（信用卡、ATM轉帳，以及WEBATM網路轉帳），建議報名課程的學員，先選擇第四項的另一ATM轉帳付款方式。</p> <p>此外，還有多家業者受藍新金流服務中斷，使得他們服務受到影響，因此在26日於公司官方網站或其臉書粉絲專頁上，向用戶發出緊急公告，包括：主機代管業者捕夢網通知其用戶，因藍新金流系統異常，導致無法線上繳款與超商繳款；品學堂公告其閱讀理解數位學習系統金流系統異常，暫時無法訂閱、轉換方案或取消訂閱；景岳生物科技公司通知用戶，其線上購物線上刷卡無法運作；王可樂日語線上平臺通知學員，受影響期間將無法付款購買課程；NFT區塊鏈錢包Qubic也受影響，發布Qubic緊急維修公告，交易功能無法使用。</p> <p>綜觀近期各方廠商的相關公告內容，藍新金流在26日發生的服務中斷情況最為嚴重，因此，我們也詢問藍新科技，關於這次DDoS因應的實際狀況，但從本週一聯繫至截稿前，仍未獲得回應。</p> <p>而且，關於影響範圍，我們從藍新金流公司官方網站服務項目來看，他們的服務包括了整合收款服務、應用金流服務、物流服務、商店加值服務與技術串接服務。但是，在上述的藍新金流公告中，他們並未清楚表明旗下有哪些服務遭遇衝擊，主動揭露的資訊較為有限，反倒是在受影響業者的說明中，可以發現更多資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-30_164205(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-30_164205(1).png" style="width: 450px;" /></a></p> <p><strong><span style="color:#808080;">從近期廠商公布訊息來看，例如，在8月13日，勇氣即興的表演劇團，就在其</span><a href="https://www.facebook.com/GutsImprov/posts/6186423951386393"><span style="color:#808080;">臉書粉絲專頁</span></a><span style="color:#808080;">上表示，12日藍新金流系統不穩定，影響抖內贊助者的情形。</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_205808.png" style="width: 450px;" /></p> <p><span style="color:#808080;"><strong>從近期廠商公布訊息來看，例如，在8月12日晚間10點，線上一番賞平臺<a href="https://www.facebook.com/Kujihunter/posts/162941512952233">KujiHunter就在其臉書粉絲專頁</a>指出，因藍新金流因網路攻擊服務暫停，向用戶說明無法儲值的狀況。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-27_211157.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_211157.png" style="width: 450px;" /></a></p> <p><span style="color:#808080;"><strong>在8月26日，有多家中小平臺業者受藍新金流影響，例如，在<a href="https://www.facebook.com/QubicWallet/posts/365010371778925/">Qubic的臉書粉絲專頁上，發布了Qubic緊急維修公告</a>，說明藍新金流系統異常，導致交易功能無法使用。Qubic為MaiCoin集團旗下金融技術公司「AMIS 帳聯網」推出。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_104105.png" style="width: 600px;" /></p> <p><span style="color:#808080;"><strong>品學堂閱讀理解數位平臺在8月26日發布公告，指出藍新金流發生異常，暫時無法訂閱、轉換方案或取消訂閱。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_104503.png" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>景岳生物科技在26日於其官方網站發布公告，指出因藍新金流服務異常，導致景岳公司的線上購物刷卡無法運作。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_175449.png" style="width: 295px;" /> <a href="https://s4.itho.me/sites/default/files/images/2022-08-27_214805.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_214805.png" style="width: 295px;" /></a></p> <p><span style="color:#808080;"><strong>在8月26日12時50分左右，網路媒體<a href="https://www.facebook.com/bnextmedia/posts/10160366116744284">數位時代</a>與<a href="https://www.facebook.com/managertoday/posts/10159624733186348">經理人月刊MANAGERtoday</a>的臉書粉絲專頁，他們分別發出公告，指出BXNET平臺因採用的藍新金流服務系統異常，結帳功能無法運作，只能請報名者先填寫表單。這也顯示8月26日的服務中斷，至少從當日中午12時就開始。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-08-27_170630.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_170630.jpg" style="width: 450px;" /></a></p> <p><span style="color:#808080;"><strong>電商學習平臺「燒賣研究所」在其<a href="https://www.shumai.com.tw/information/news&news_id=12">官方網站</a>與臉書粉絲專頁，向其會員說明部分付款選項因藍新金流系統異常，建議用戶先選擇另一ATM轉帳的選項。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-08-27_104660.png" style="width: 450px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在26日下午2時6分，在「<a href="https://www.facebook.com/wangcolaneko/posts/5735888236443455">王可樂日語」臉書粉絲專頁</a>上，向其學員公告其日語教室線上平臺系統暫時無法提供金流服務，原因是其合作的金流廠商藍新公司遭攻擊。後續有學員回應貼文表示，上午使用正常，也有學員回應，下午購買課程時，並無法完成付款。</strong></span></p> <p><font color="#808080"><b>其他還可以找到受影響的中小線上平臺業者，包括方格子、</b></font><span style="color:#808080;"><strong>哆奇玩具、臺灣感染誌協會等。</strong></span></p> </div></div></div>
2022/8/31 17:09作者羅正漢https://www.ithome.com.tw/news/152801