iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 30篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

未確實保留員工的通訊紀錄，SEC開罰16家金融業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）周二（9/27）指出，已向15家證券商及1家投資顧問公司開罰超過11億美元，原因是它們並未保存員工涉及工作內容的通訊紀錄，違反了美國的《證券交易法》（Securities Exchange Act of 1934 ）與《投資顧問法》（Investment Advisers of 1940）。</p> <p>有8家證券商（與5家關係企業）被罰款1.25億美元，包括美銀證券（BofA Securities）、巴克萊（Barclays Capital）、花旗（Citigroup Global Markets）、瑞信證券（Credit Suisse Securities ）、德意志銀行證券（Deutsche Bank Securities）、高盛（Goldman Sachs & Co. LLC）、瑞銀證券（UBS Securities ）與摩根史坦利（Morgan Stanley & Co. LLC）；而Jefferies及野村證券則分別被判罰5,000萬美元；Cantor Fitzgerald & Co則同意支付1,000萬美元的罰款。</p> <p>SEC主席Gary Gensler表示，金融仰賴的是信任，自1930年以來，這類的紀錄保存對於維護市場的完整性至關重要，隨著技術的變遷，業者更應只在官方頻道中討論業務內容，而且必須維護及保存通訊內容。然而，調查卻顯示，相關從業人員透過非官方管道通訊的現象非常普遍。</p> <p>遭到調查的業者蒐集了員工個人裝置上的通訊紀錄，發現從2018年1月到2021年9月間，這16家業者的員工經常利用個人裝置上的各種傳訊程式來討論公事，違反了聯邦證券的相關法令，而且涉及不同層級，包括高階經理人與主管，此外，這類的違規不僅是常態，這些證券商或投資顧問公司也未能合理監督以發現並制止相關行為。</p> <p>除了SEC之外，針對同樣的事情向業者開鍘的還有美國商品期貨交易委員會（CFTC），<a href="https://www.cftc.gov/PressRoom/PressReleases/8599-22" target="_blank">CFTC向11家業者總計開罰了逾7.1億美元</a>，且上述名單全數入列。</p> <p>上述遭到處分的業者皆已坦承不諱，亦已同意停止這類的行為並避免以後再犯。此事其實已有先例，去年12月時，<a href="https://www.ithome.com.tw/news/148464" target="_blank">摩根大通（JPMorgan Chase）也因此</a>分別遭到美國證券交易委員會（SEC）及美國商品期貨交易委員會（CFTC）判罰1.25億美元及7,500萬美元。</p> </div></div></div>
2022/9/28 16:15作者陳曉莉https://www.ithome.com.tw/news/153309
推動開發人員重視資安，叡揚舉辦首屆安全程式開發競賽
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體開發安全談了許多年，除了仰賴各式程式碼安全性檢測，但如何讓開發人員，能養成安全程式設計能力，仍面臨許多困難，最近有長期投入安全程式開發領域的國內業者，新引進相關培訓平臺，並藉著舉辦競賽的方式，鼓勵開發人員重視安全程式設計。</p> <p>今年8月底，叡揚資訊舉辦一項安全程式開發競賽，採臺北場、臺南場、線上場同步進行的方式，並分為社會組與學生組，共吸引4百多人前來挑戰。</p> <p>基本上，這場競賽活動分成兩個階段，參賽者可以先使用叡揚代理的Secure Code Warrior訓練平臺，進行21天的資安能力養成，再透過競賽進行比拚。</p> <p>就這場競賽的目的來看，不只是為了公益、產業，讓一般個人與學生，都能免費接觸與學習安全程式開發的知識，當然也是能夠推廣他們販售的企業產品服務，而活動最後還傳達了公司招募資安新人的訊息。</p> <h3><strong>競賽分8個難度級別，限時挑戰積分最高得冠</strong></h3> <p>比賽過程是如何進行？8月26日競賽當天，參賽者使用電腦進入Secure Code Warrior平臺，先選擇參與的競賽組別，以及自己使用的語言與框架，接下來，將看到共分8個級別難度的題目，並有一組加分題。基本上，難度越高，獲得積分也會越高。</p> <p>在1個小時的競賽中，透過即時積分排行榜，我們看到參賽者選用的程式語言不盡相同，包括Java Spring、python Basic、C#(.NET Core)、Java Basic、Pseudocode Basic等，最終，學生組由臺北場的歐家豪奪第一，贏得3千元獎金，社會組由線上場的李宜昌獲冠軍，贏得1萬元獎金。</p> <h3><strong>考驗識別漏洞與找出解決方案能力，參賽者在比賽中也能學習</strong></h3> <p>或許大家都很好奇，究竟是如何出題考驗程式開發人員？簡單來說，在每一級任務中，目標是保護系統免受攻擊，當中有不同內容的題組，每個題組首先會考驗識別漏洞類別，之後選出解決方案。</p> <p>而在競賽介面上，每個題組會有完整的程式碼內容，系統會將一些關鍵位置的程式碼做出標記，使用者可快速切換不同程式碼段落，並找出不同的標記位置，以評估程式碼內容，再讓玩家透過4選1的方式指認答案。</p> <p>最特別的是，要在測驗中同時提供認知對錯的教育特性，並不容易。這款產品具備了彈性的積分制度與提示說明，讓競賽過程中也能趁機學習新知。舉例來說，回答問題時，系統會顯示玩家有三條命，一次答對將獲得該題全部積分，第二次才答對的積分會減少，不僅如此，介面上還有提示的按鈕可用，參賽者能獲得一些答題上的幫助，例如，無法判別個別漏洞型態時，系統提示將因此提供4個答題選項的影片解說。儘管使用提示之後，答對所獲得的積分隨之減少，但這種機制能讓競賽者能有學習的機會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%8F%A1%E6%8F%9A%E8%88%89%E8%BE%A6%E9%A6%96%E5%B1%86%E5%AE%89%E5%85%A8%E7%A8%8B%E5%BC%8F%E8%A8%AD%E8%A8%88%E7%AB%B6%E8%B3%BD.jpg" style="width: 600px;" /></p> <p><strong>叡揚資安事業處資安開發二部經理陳宇馳解說競賽規則，例如，題組中會將關鍵的程式碼位置標示出，</strong><strong>考驗參賽者需要先識別漏洞類別，再選出相應的解決方案。</strong></p> <p>為何我們認為這樣的機制很特別？以iThome自身經驗為例，過去我們也曾設計名為「Phishing Buster釣魚剋星」的免費網頁遊戲，目的是要玩家識別釣魚郵件，而為了要提供寓教於樂的特性，因此我們在規畫上有兩大考量，第一，是題目難度要朝向不能只是為了考倒玩家，第二，是要設想玩家在答錯當下就能知道問題在哪，給予相關知識或說明，同時，這還要整體UI呈現方式的配合。這在資源、時間有限的情況下，要開發製作到能符合最高設想，或是找出成效更好的機制，非常不容易。</p> <p>而從這場競賽使用的商業平臺來看，在相關機制上都已經有著不錯的設計與規畫，這不僅僅是在介面的呈現，在競賽機制上，規畫了三次答題機會、彈性積分設計，以及提示的功能，如此將提供更細膩的層次，讓玩家在答錯、或對答案沒有頭緒時，能夠有更多學習的機會。</p> <p>無論如何，藉由這樣競賽的遊戲形式，鼓勵玩家接觸與學習資安，過去已有不少例子。舉例來說，每年在全球各地舉辦將近20場搶旗攻防賽（CTF）競賽，政府也有舉辦像是資安技能金盾獎的競賽活動，國內資安社群也曾舉辦企業實境資安攻防的HTICON Defense競賽。現在，在安全程式開發領域也出現這樣的競賽活動，激發玩家答題的鬥志，同時也增進自身在程式安全開發的意識與能力。</p> <p>最後，關於這項競賽活動，叡揚也希望明年能持續舉辦，讓更多國內開發人員不單只能依賴傳統上課方式，也能藉由遊玩、比賽形式，學習到安全程式開發的意識與能力。</p> </div></div></div>
2022/9/28 14:30作者羅正漢https://www.ithome.com.tw/news/153305
Celsius Network共同創辦人暨執行長離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾為全球最大加密貨幣借貸平臺之一的<a href="https://www.businesswire.com/news/home/20220927005812/en/Celsius-Network-CEO-Submits-Letter-of-Resignation" target="_blank">Celsius Network共同創辦人暨執行長Alex Mashinsky周二（9/27）遞出了辭呈</a>，且即日起生效，外界認為Mashinsky應是在債權人的要求下，才選擇於Celsius Network正經歷破產保護的階段離職。</p> <p>Celsius Network成立於2017年，在短短的幾年內就成為全球最大的加密貨幣借貸平臺之一，顛峰時期的資產超過100億美元，擁有170萬名註冊用戶及30萬名活躍用戶。然而，<a href="https://www.ithome.com.tw/news/151421" target="_blank">該公司忽然在今年6月中旬暫停所有的提款、交換及轉帳</a>，繼之裁撤18%員工（約200名），再於7月14日申請破產保護。</p> <p><a href="https://pacer-documents.s3.amazonaws.com/115/312902/126122257414.pdf" target="_blank">根據其申請文件</a>，Celsius Network說明該公司如何受到COVID-19疫情、俄烏戰爭，以及<a href="https://www.ithome.com.tw/news/150911" target="_blank">Luna與TerraUSD（UST）崩盤</a>的影響。</p> <p>Celsius Network表示，其實該公司早在Luna開始脫鉤時就撤回了所有的UST，損失僅有1,580萬美元，但Luna與UST崩盤所帶來的骨牌效應才是釀成大禍的元兇，因為許多持有Luna的加密貨幣業者及對沖基金受到更大的影響，例如更早提出破產保護的三箭資本（Three Arrows Capital，3AC），而Celsius即是三箭資本的債權人之一，借給3AC約7,500萬美元，就算清算了3AC的抵押品，依然損失了4,060萬美元。</p> <p>Luna與UST的崩跌也影響了stETH，自stETH開始脫鉤後，Celsius Network用戶便陸續自該平臺撤出以太幣，促使Celsius出售所持有的stETH來因應，更加劇市場狀況。加密貨幣產業的謠言四起再加上市場的恐慌，Celsius Network用戶今年5月在短短的5天內，就從該平臺提出逾10億美元。</p> <p>Celsius Network指出，在正常狀況下，該平臺具備足夠的流動性來支持100%的用戶提款，7天內可支援的提款亦高達7成，但擠兌的現象再加上加密貨幣價格下滑，使得Celsius Network應接不暇，而遭到債權人Tether清算，進而損失了9,700萬美元，一直到6月中旬，Celsius失去了持續借貸的能力，只得暫停提款與轉帳服務。</p> <p>申請破產保護的Celsius Network現有的資產為43.1億美元，但虧欠使用者的金額則是47.2億美元，所有債務約為55億美元。</p> <p>Mashinsky說，自從Celsius Network停止提款與轉帳服務之後，他一直努力不懈地企圖提出可行的計畫，以便將加密貨幣還給債權人，但執行長一職愈來愈令人分心，因而決定辭去該職務與所有管理職，僅保留董事身分，也會繼續協助該公司制定最佳還款計畫。</p> <p>Mashinsky的辭呈即日起生效，執行長及重組長職位則將由財務長Chris Ferraro接任。</p> <p>令人不勝唏噓的是，Celsius Network原本要在今年首度公開發行股票（IPO），但它現在面臨的卻是破產保護與組織重整，在短短的幾個月內即風雲變色。</p> </div></div></div>
2022/9/28 13:51作者陳曉莉https://www.ithome.com.tw/news/153304
Meta破獲首個源自中國的言論操作活動，目的是干擾美國期中選舉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/wp-content/uploads/2022/09/CIB-Report_-China-Russia_Sept-2022-1.pdf" target="_blank">Meta昨（27）日宣布</a>破獲了近日旗下網路平臺上意圖干擾美國期中選舉的言論操作活動，包括首個源自中國的行動。</p> <p>為了不讓過去幾次大選，特定人士透過Meta平臺散布影響選舉結果的事情重演，Meta在今年期中大選前特別加強查緝假資訊、假新聞的操作，並因此查緝分別來自中國及俄羅斯的言論操作。</p> <p>Meta發現的中國行動發生在去年秋天到今年，包含4波短時間操作，分別針對美國、捷克及其他地區的中、法語人士。在政治立場上，影響美國左、右政治光譜派，或者批評捷克在烏俄衝突的立場，及呼籲捷克攻府勿抹黑中國。</p> <p>這波行動涵括臉書、Instagram（IG）、推特及2個捷克陳情平臺，但貼文數量並不多，也沒有掀起太多論戰。有趣的是，操作者僅在中國的上班時間貼文。貼文帳號多數使用英語系女性名字，但使用男性頭像，而且大部分使用癟腳的英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Meta-Taking%20down%20coordinated%20inauthentic%20behavior%20from%20Russia%20and%20China-600-1.jpg" style="width: 292px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>這也是Meta第一次查獲源自中國、主打美國國內政治議題與捷克外交及烏克蘭政策的言論操作行動。但Meta也指出，無法推論這項行動和中國政府的關係。</p> <p>Meta自動偵測系統最後基於偽冒身分及散布不實言論等違法事項，移除了數個帳號及粉絲專頁。</p> <p>在俄國的行動方面，Meta稱是其在俄烏戰爭後最大且最複雜的言論操作。這波行動源自今年5月，主要針對德國、法國、義大利、烏克蘭及英國，論述集中在烏克蘭戰爭及對歐洲的影響。這波行動涉及臉書、IG、YouTube、Telegram，非政府組織Change.org和Avaaz，以及虛擬寫作社群服務Live Journal的假帳號，以及60多個冒充《明鏡周刊Spiegel》、《衛報 the Guardian》、德國《圖片報Bild》及義大利安莎通訊社（ANSA）新聞媒體的網站，顯示動用了大量技術和語言上的投資。為了支持這項行動，操作者仰賴社群平臺上的假帳號及廣告挹注財務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Meta-Taking%20down%20coordinated%20inauthentic%20behavior%20from%20Russia%20and%20China-600-2.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>一如中國案例，Meta自動系統偵測到這項行動的大部分帳號、粉絲專頁及廣告，最後將之移除。</p> </div></div></div>
2022/9/28 11:36作者林妍溱https://www.ithome.com.tw/news/153303
Google拒絕為歐洲電信業者負擔網路成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google高層本周指出，歐洲電信公司要Google、Amazon、Meta等網路巨擘支付基礎架構建設成本的作法，不但是過時想法、沒有效果，也忽略Google早就付出許多。</p> <p><a href="https://techandpoliticsforum.live.ft.com/agenda/session/938789" target="_blank">Google東歐、中東及非洲區營運業務總裁Matt Brittin本周在一場由《金融時報》及歐洲電信營運商協會（European Telecommunications Networks Operators’ Association，ETNO）主辦的論壇上</a>，針對歐盟近日為推動網路巨擘付費的法案運作行動做出回應。</p> <p><a href="https://www.reuters.com/technology/eu-consult-big-tech-contribution-telco-networks-by-end-q1-2023-2022-09-09/" target="_blank">路透社報導，歐盟電信主管機關本月稍早表示</a>將在明年初舉行一場諮商會議，以決定美國網路公司的「公平負擔」（fair share），以及審視是否推動相關的修法。</p> <p>Google高層指出，此類「寄件者付費」（sender-pays）模式不是什麼新想法，也危害開放網際網路的精神，10年前就有人推出類似的作法，但至今未看到有新數據顯示可改變市場局面。</p> <p>Brittin補充，Google早已經投資自行或和其他人合作打造網路基礎架構，已經減輕對寬頻網路業者的負擔。他說，Google已經替電信業者減去99%的流量，還拉近電信業者和用戶的距離。</p> <p><a href="https://www.itnews.com.au/news/google-opposes-european-demand-for-network-cost-sharing-585722" target="_blank">Google指出</a>，2021年該公司資本支出超過230億歐元，其中大部分用於興建基礎架構，包括歐洲的6座大型資料中心、20條海底光纖網路，以及歐洲在20處本地網路興建快取設備等。</p> <p>2011年，德意志電信、Orange、Telefonica等13家歐洲大型電信公司聯合提出這項政策主張。電信業者們認為，他們在5G及光纖網路等新式網路基礎架構上投注重大成本，但最後卻被Google、Amazon、Meta、蘋果及Netflix等大型網路公司用來提供服務及發送廣告，獲取巨額利潤。他們向歐盟遊說立法，迫使美國網路巨頭們負擔一定比例的有線及行動電信網路的建設及維運費用。</p> <p>事實上，不是所有電信業者都贊同這項主張。<a href="https://www.techradar.com/news/mvnos-fear-they-will-be-collateral-damage-of-eu-plans-to-make-big-tech-pay-for-networks" target="_blank">歐洲行動虛擬網路營運商（mobile virtual network operator，MVNO）認為</a>，主流電信公司的主張不只影響美國網際網路服務公司，他們也會遭殃，因為MVNO未擁有網路，卻得負擔成本，而這些錢還反過來強化主流電信公司的優勢市場地位，使弱勢的MVNO更難以競爭。MVNO揚言將杯葛這項立法行動。</p> </div></div></div>
2022/9/28 10:26作者林妍溱https://www.ithome.com.tw/news/153300
萊爾富將異業合作商業模式化為長期會員經營工具，系統整合是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺灣超商大戰，進入了激烈的會員經營肉搏戰，超商雙雄持續強化OMO顧客戰略。會員數剛破5百萬人的萊爾富也在7月加入戰局，展開三大新戰略，要靠特有的異業合作模式，發展長期會員經營工具，來實現異業消費者相互導流的目標。萊爾富數位商務處處長葉育堅近日透露了，萊爾富克服異業合作挑戰的2大關鍵。</p> <p>超商是所有行業中店面數及人流量規模最龐大的產業，常成為其他業者競相合作的對象，常見做法就是在超商通路銷售限量聯名商品的各類短期促銷活動。不過，萊爾富的異業合作模式不僅有這類短期促銷活動，還有另一種模式，旨在將消費者引導進會員行銷漏斗，以開發更多長期價值。</p> <p>「異業合作要深度，必須從系統面做起。」葉育堅點出，這樣的異業合作模式，有能力發展成長期會員經營工具的關鍵。萊爾富的做法是，在會員App長期販售異業優惠電子票券。</p> <p>優惠券是超商持續吸引消費者加入會員的誘因，日後也能用來挖掘更多顧客價值，而對合作業者來說，能直接將消費者引導到自家通路，行銷效果遠大於聯名商品。</p> <p>不過，葉育堅說，電子票券看似簡單，要確保服務品質及行銷可歸因，背後籌備工作其實相當繁複。尤其得克服兩個關鍵挑戰，「利潤分配談判及系統即時串接。」</p> <p>他以餐飲票券為例來解釋。首先是利潤分配問題。以臺灣餐飲票券市場行情來說，大型票券通路的抽成費用約占售價的12%到15%，但萊爾富並非大型票券平臺，行銷能力還沒受到市場肯定，再加上優惠票券為了提供更高折扣來吸引消費者，單價也不高。這些都會壓縮萊爾富商議利潤分配的空間。</p> <p>「萊爾富的策略是讓利，」葉育堅解釋，萊爾富很清楚自己的核心業務是線下超商，販售票券的最終目的不是為了賺抽成，而是要透過差異化服務，持續引導消費者成為會員並來店消費。「若能提高廠商合作意願和消費者購買意願，萊爾富願意壓縮票券收益。」</p> <p>讓利只是第一步，另一個挑戰是帳務系統必須即時同步。萊爾富餐飲票券的運作模式是，會員購買票券後，萊爾富收取票券款項，等到票券實際消費時，業者必須核銷票券，再向萊爾富請款。為了避免重複使用票券或消費者退貨，造成帳務混亂，萊爾富必須在票券消費核銷後，也立刻在自家系統上註銷票券，這就需要即時同步雙方帳務的能力。</p> <p>餐飲業者為了作業方便，往往要求萊爾富的核銷系統必須整合到業者的POS系統，技術不難，但得協調萊爾富IT與POS系統商的時程，光是協調排程可能長達半年，讓合作案停滯。因此，萊爾富也準備了Web app或外部終端機的票券核銷介面，作為替代方案來加速專案推進。</p> <p>為了籌備一個簡單的票券商業模式，葉育堅說，從合作模式確認、交易條件談定、到資訊系統串接及財務作業模式敲定等4個步驟，少則半年，長則一年才能完成。由於單一異業合作案利潤少、費時長，萊爾富有意模組化異業合作的商業模式，以利未來大量複製與推行。</p> <p>葉育堅坦言，規模差距會影響超商進入長期異業合作市場的意願。合作雙方規模差距越懸殊，不只合作業者的供給壓力越大，超商更會覺得帶來的效益過低，更難以談成雙方都滿意的合作條件。萊爾富曾與一家分店數60家的餐廳協商時，花了好幾個月才談成，也讓萊爾富的利潤低於市場行情。</p> <p>不過，萊爾富不只分店遠低於超商雙雄，所屬集團子公司也不多，難以仿效競爭對手進行大量集團內的合作來導流，「要拓展服務生態圈，一定得與異業合作。」他強調。</p> <p><strong>超商老三也能發揮通路優勢，不斷找到大量小「藍湖」商機</strong></p> <p>「容易做利潤又高的商業模式，早被同業做完了。」葉育堅說：「對萊爾富來說，沒有藍海，只有藍湖，甚至是藍池。」</p> <p>臺灣超商的通路數、人流量、業務多樣性以及總公司對分店的掌控力，都遠高於其他產業，就算資源不如超商雙雄豐富，葉育堅說，萊爾富也能開發大量差異化服務，甚至是創造一個生態圈體系，不斷占領小而巧的「藍湖」。</p> <p>例如，其中一項仍在商議階段的藍湖計畫是，萊爾富要進一步深化與餐飲POS系統商的合作，初期先整合POS系統商的外送功能，讓萊爾富分店成為餐飲業者外送的取貨地點，或在萊爾富會員App上加入POS系統商的外送功能按鈕，提供線上導流。</p> <p>對萊爾富而言，葉育堅說，這一步不只開啟了另一種異業合作的可能，更降低了與系統商下游餐飲業者合作的門檻，可以讓萊爾富離建構生態圈更進一步。</p> </div></div></div>
2022/9/28 10:37作者郭又華https://www.ithome.com.tw/news/153301
英特爾發表第13代Intel Core處理器及可與手機互通的Unison解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）於本周二（9/27）舉行的Intel Innovation大會上，<a href="https://www.businesswire.com/news/home/20220927005482/en/Intel-Launches-13th-Gen-Intel-Core-Processor-Family-Alongside-New-Intel-Unison-Solution" target="_blank">發表了第13代的Intel Core處理器家族</a>，以及讓英特爾電腦能夠與iPhone及Android手機互通的Intel Unison軟體解決方案。</p> <p>第13代的Intel Core處理器家族採用Intel 7的10奈米製程與x86效能混合架構，宣稱就算是在最嚴苛的多工任務中，都能呈現更好的系統效能，其單執行緒效能最多可提升15%，多執行緒則達41%，此一家族計畫推出22款處理器，本周所發表的6款中包含了旗艦版的Intel Core i9-13900K。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel%2013th%20Gen%20Intel%20Core%20Processor%20Family-2-300.png" style="width: 310px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／英特爾</span></p> <p>根據英特爾的說法，Intel Core i9-13900K為現階段全球最快的桌面處理器，具備24個核心與32個執行緒，時脈高達5.8 GHz，能夠帶來最佳的遊戲、串流與錄製體驗。新一代的英特爾處理器將於10月20日開始出貨。</p> <p>至於Intel Unison軟體通訊解決方案，則是來自於英特爾於去年底併購的以色列公司Screenovate。Screenovate主要開發允許不同裝置互動的通訊解決方案，<a href="https://www.ithome.com.tw/pr/92199" target="_blank">英特爾在2014年便曾投資Screenovate</a>，儘管英特爾並未公布交易金額，但外傳該交易價值1億美元。</p> <p>Intel Unison將創造英特爾PC及手機之間的無縫互動，包括傳送檔案，傳送文字訊息，讓電腦存取手機通訊錄，以及直接從電腦撥打或接電話，還能於電腦上收到及管理手機通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0928-Intel-Unison-1-600(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>英特爾今年就會在基於第12代Intel Core處理器的Intel Evo筆電上整合Intel Unison，包括由宏碁（Acer）、HP與聯想所推出的機種，明年初也會擴大到基於第13代Intel Core處理器的筆電產品。</p> </div></div></div>
2022/9/28 11:06作者陳曉莉https://www.ithome.com.tw/news/153302
微軟首席科學長Eric Horvitz警告將出現新的Deepfake威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟首席科學長Eric Horvitz在其最新的<a href="https://arxiv.org/pdf/2209.01714.pdf">Deepfake研究論文</a>中，提到需要注意兩種新型態的Deepfake威脅，分別是互動（Interactive）以及合成（Compositional）Deepfake，同時他也預測，不久之後將會出現實際應用這兩類Deepfake手法的攻擊，並且對社會產生成本高昂的影響。</p> <p>互動式Deepfake是利用多模態互動，來模仿具有真實互動行為的人，要建構互動式Deepfake系統，需要一組多模式互動技術，包括生成性人工智慧方法，以高傳真的方式渲染姿勢、表情，甚至是語音。</p> <p><a href="https://twitter.com/davisblalock/status/1573589080939458561">MosaicML研究科學家Davis Blalock則在推特</a>上，進一步說明了互動式Deepfake可能帶來的實際影響，Davis Blalock提到，互動式Deepfake並非靜態內容，可以讓人產生與真人交談的錯覺。攻擊情境可以發生在像是詐騙集團以晚輩身分撥打視訊給家中長輩，利用晚輩的長相和聲音騙取金錢等，惡意人士不只可以假扮成家人，也可以是任何熟人，但其背後實際上可能僅是一個機器人。</p> <p>另一種合成Deepfake，則是Eric Horvitz更為擔憂的攻擊手法，因為可以創造出更大規模，更有影響力的虛假訊息內容。有心人士可以利用Deepfake策略性的與真實世界事件搭配，創造出精心編造的故事，而Davis Blalock解釋，合成Deepfake可能被用來編造一場從未發生過的恐怖攻擊，或是虛構的醜聞，甚至透過人造證據以及真實世界的行動，使陰謀論更加可信。透過現成的數位廣告機制，還可以針對人們精準投放錯誤資訊。</p> <p>Eric Horvitz在論文中提到，政府、企業、研究人員以及各組織，應透過各種方式準備和防禦這兩類Deepfake威脅的興起。更為複雜的Deepfake應用將會提高人們對於新聞媒體的要求標準，同時閱聽人也需要培養媒體識讀素養，認識這些新威脅趨勢成為重要的事。另外，他也認為，可能需要建立一種驗證協定，在各種用例證明身分，並且在數位內容治理上，採用浮水印或是指紋，同時政府也需要制定法律監管，避免Deepfake技術被濫用等。</p> </div></div></div>
2022/9/27 22:15作者李建興https://www.ithome.com.tw/news/153294
研究人員於Google Play及App Store上發現逾80款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.humansecurity.com/newsroom/human-discovers-and-disrupts-ad-fraud-scheme-impacting-89-apps-with-more-than-13-million-downloads-from-google-play-and-apple-app-stores" target="_blank">資安業者Human Security本周揭露</a>，內部Satori威脅情報研究團隊近日分別在Google Play與App Store上發現80款Android程式及9款iOS程式被嵌入了廣告詐騙程式碼，Google與蘋果皆已於程式市集中清除了這些程式，而使用者則可透過Human Security所公布的列表，移除這些詐騙廣告費用的程式。</p> <p>Satori團隊表示，他們自2019年就開始追蹤同一批駭客的行動，當時駭客的首個行動為Poseidon，影響了逾40款Android程式，第二波行動Charybdis發生在2020年底，在手法上略有進步，但同樣鎖定Android程式，然而，今年發現的第三波行動Scylla卻同時感染了Android與iOS程式，且手法愈趨精進。</p> <p>針對Scylla所進行的分析顯示，駭客主要藉由仿冒熱門遊戲程式來吸引使用者下載，也在程式中夾帶用以矇騙廣告主的程式碼，讓廣告主誤將該程式視為廣告價值更高的露出平臺；此外，它還會出現奇怪的廣告行為，例如於手機首頁跳出廣告，或是秘密於程式中露出使用者看不見的廣告；甚至是偽造使用者的點擊，以讓廣告主支付更多的廣告費用。</p> <p>該團隊於Google Play與App Store中，所發現的89款廣告詐騙程式的總下載量為1,300萬次，這些程式雖然已遭Google及蘋果移除，但可能還留存於使用者的手機上，使用者可參考<a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla" target="_blank">Human Security所公布的程式列表</a>以移除它們。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; font-weight: 900; word-break: break-word; color: rgb(29, 28, 29); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; display: inline-flex; height: fit-content; width: fit-content;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" data-remove-tab-index="true" style="box-sizing: inherit; background-image: none; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; cursor: pointer; padding: 0px; font: inherit; margin: 0px; overflow: initial; text-align: initial; vertical-align: initial;" tabindex="-1" type="button"></button></span></span></p> </div></div></div>
2022/9/27 22:25作者陳曉莉https://www.ithome.com.tw/news/153298
微軟移植Commerce服務至.NET 6平臺，降低成本開銷同時提升穩定度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟從2019年開始，為了要把內部處理收入的系統Microsoft Commerce移上Azure，因此逐步將程式碼庫<a href="https://devblogs.microsoft.com/dotnet/microsoft-commerce-dotnet-6-migration-journey/">移植到.NET 6版本</a>，而這樣的升級改進整體服務品質指標，不只節省成本，也使得來自.NET Runtime的異常減少。</p> <p>Microsoft Commerce是一組服務的集合，這些服務處理各種微軟的收入，包括來自龐大的產品和服務、維護授權資訊，甚至替每個營運區域計算稅收等。Microsoft Commerce涵蓋700多個服務，服務有大有小並在可用性、可擴展性和法遵都有不同要求，其中最大規模的服務，每秒需要處理超過110萬次請求，並在數十萬個核心上運作。</p> <p>微軟在2019年的時候開始了這項搬遷計畫，考慮到要將Commerce搬上Azure，並且充分使用容器和Kubernetes，就需要轉向使用Linux，同時需要搬遷至.NET Core。這項搬遷工作其中最具代表性的工作，便是全球查詢服務GLS（ Global Lookup Service），因為GLS歷經了最長的搬遷旅程。</p> <p>GLS是一個分區服務，根據臨近程度映射微軟使用者到資料位置，微軟解釋，這是一個重要的基礎設施服務，支援著Xbox和微軟商店等消費商務場景。</p> <p>GLS是一種分散式大規模RESTful服務，部署於全球4個地區，全球每秒請求超過10萬次，該服務最初是用.NET Framework 4.6.2編寫並在Windows虛擬機器上運作，作為Commerce搬遷到Azure的一部分工作，GLS程式碼庫從.NET Framework 4.6.2升級至.NET Core 3.1、5，然後是.NET 6，現在已可容器化在AKS（Azure Kubernetes Service）上運作。</p> <p>微軟提到，Commerce各服務因差異，所以搬遷的時間都不一樣，但他們早期搬遷服務，花費的時間比晚期搬遷的服務要長得多，因為透過搬遷過程中的學習，使得搬遷過程越來越容易，部分從.NET Framework搬遷到.NET Core的服務，開發團隊可能會在搬遷過程執行額外的更新，使得測試和驗證的工作增加，但從5.0到6.0的遷移就更為直接，許多只需要更改幾行程式碼就可以獲得框架改進，時間通常不到一天。</p> <p>微軟在衡量搬遷成功與否主要關注成本，從.NET Framework搬遷到.NET Core 3.1，部分服務可節省成本達80％，vCore減少35％以上，另外，微軟也提到，他們有一項重要的服務，搬遷到.NET Core 3.1後，服務延遲降低約78％，同時明顯提升穩定性。GLS的搬遷呈現了相似的成本下降，與最先的.NET Framework與Windows虛擬機器配置相比，搬遷後vCore減少30％，延遲降低20％。</p> <p>.NET 5搬遷到.NET 6，GLS的改進主要體現於.NET指標上，像是即便保持相同RPS時，但是執行緒池中的執行緒數量下降，顯示執行緒管理效能變好，另外，升級也改進了連接管理，使得並行連接數下降，而且來自.NET Runtime的執行異常也隨之下降。</p> </div></div></div>
2022/9/27 22:45作者李建興https://www.ithome.com.tw/news/153296
Cloudflare發表鎖定手機安全的Zero Trust SIM與 Zero Trust for Mobile Op…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑑於自帶設備上班的BYOD（Bring Your Own Device）已蔚為風潮，手機數量更超越了個人電腦，<a href="https://www.businesswire.com/news/home/20220926005108/en/Cloudflare-Announces-the-First-Zero-Trust-SIM-for-Mobile-Devices---To-Better-Secure-Enterprises%E2%80%99-Corporate-Networks-and-Protect-Employees" target="_blank">資安業者Cloudflare本周發表</a>了鎖定手機安全的Zero Trust for Mobile Operators與Zero Trust SIM兩種零信任安全服務，前者著眼於與行動營運商建立安全合作關係，後者則是鎖定捍衛員工裝置安全的企業。</p> <p>這兩項服務都與Cloudflare的零信任網路即服務平臺Cloudflare One有關，該平臺是Cloudflare所打造的安全存取服務邊緣（Secure Access Service Edge，SASE），為一以零信任（Zero Trust）為基礎的安全服務，標榜不需要VPN便能安全地連結到各種資源，並可阻止網路釣魚、惡意軟體、勒索軟體及橫向移動。</p> <p><a href="https://blog.cloudflare.com/zero-trust-for-mobile-operators/" target="_blank">根據Cloudflare的說明</a>，Cloudflare One可成為行動營運商的全方位安全平臺，它具備能夠安全連結資料中心、分公司及私有雲的Magic WAN服務，以及可嚴格管理存取裝置及角色的Cloudflare Access服務，以及介於網際網路及企業網路之間的安全閘道，監控企業網路及外部雲端服務威脅的Cloud Access Security Broker，以及電子郵件威脅偵測服務Cloudflare Area 1等。</p> <p>至於<a href="https://blog.cloudflare.com/the-first-zero-trust-sim/" target="_blank">Zero Trust SIM則被Cloudflare稱為</a>全球首個基於零信任的SIM卡服務，它採用eSIM優先策略，可望成為Cloudflare One的下一個關鍵服務。</p> <p>Cloudflare指出，eSIM優先策略使它更容易大規模部署，可避免員工造訪網釣或其它惡意網站；由於每張SIM卡都只限於特定員工使用，能夠防範SIM卡交換或遭到複製的攻擊；還能嚴格管控存取權限。此外，Zero Trust SIM亦打算支援實體SIM卡。</p> <p>Zero Trust SIM預計幾個月後將率先於美國市場推出，這期間Cloudflare將會釋出更多有關Zero Trust SIM的技術細節。</p> </div></div></div>
2022/9/27 22:58作者陳曉莉https://www.ithome.com.tw/news/153299
Google加快無伺服器服務Cloud Run、Cloud Functions冷啟動時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/serverless/announcing-startup-cpu-boost-for-cloud-run--cloud-functions">Google改善無伺服器服務Cloud Run和Cloud Functions第二代的CPU啟動速度</a>，能夠大幅減少兩者的冷啟動時間，根據Google的測量，啟動時間可減少達一半，官方表示，藉由加速CPU啟動，也代表著有更多的CPU資源能夠動態分配給用戶的容器，並且更快地開始服務請求。</p> <p>冷啟動是在處理請求時所會遇到的延遲，這是因為系統需要時間啟動新的容器執行個體以服務新請求，像是當Cloud Run服務規模縮減到零個執行個體，在收到新請求時，就需要啟動一個新的執行個體處理該請求。</p> <p>除了從零到一的執行個體縮放事件外，冷啟動通常還會發生在配置服務單一並行請求，或是流量縮放事件期間。雖然最小執行個體可以消除從零到一執行個體所遇到的冷啟動，但因為流量會擴展到更多的執行個體，所以該方法並無法一體適用於所有冷啟動。</p> <p>Google現在透過加速CPU啟動，來減少每次冷啟動的時間，特別Java應用程式更是從該新功能顯著獲益，在Spring PetClinic應用程式加速50％，原生Spring搭配GraalVM服務加速47%，而一般的Java Cloud Functions也能夠加速23％。</p> <p>在私人預覽階段測試資料，Node.js的啟動時間減少高達30％，官方解釋，這樣的進展對Node.js來說已經是很大的改進，畢竟Node.js僅有單執行緒，所以加速會比Java略少。每一種語言、框架和程式碼庫都可以從這個新功能，獲得不同程度的好處。</p> </div></div></div>
2022/9/27 22:08作者李建興https://www.ithome.com.tw/news/153288
雲象聯手國泰醫院、臺大醫院打造大腸息肉即時偵測AI，獲智慧醫材認證下一步要導入健檢中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專攻醫療影像AI的雲象科技聯手國泰綜合醫院、臺大醫院，耗時4年、用將近40萬張腸道內視鏡影像開發出大腸息肉即時偵測AI，準確率95.8%，近日獲衛福部食藥署（TFDA）智慧醫材認證，已可進入市場。該專案先由國泰醫院專家奠定訓練資料的品質基礎，接著臺大醫院加入，雙院提供少見、醫師難以辨識的病灶影像來優化，模型最終達到近96%的準確率。國泰醫院行政副院長林朝祥透露，國泰醫院健檢中心已在試算，將導入這套AI至健檢中心，來提供更準確、更快速的大腸鏡檢查服務。臺大醫院院長吳明賢也表示，臺大醫院健檢中心也會跟進，用這套AI來輔助醫師、提供民眾更好的檢查服務。</p> <p><span style="font-size:22px;"><strong>雙醫學中心聯手，2階段訓練模型揪出難以辨識的息肉</strong></span></p> <p>臺灣大腸癌發生率居世界之冠，而大腸鏡檢查是有效降低大腸癌發生率和死亡率，但，醫師進行大腸鏡檢查、偵測腺瘤時，仍有可能遺漏病灶，比如因腸道轉彎或病人清腸不徹底，而沒發現微小病灶。</p> <p>為解決問題，在2018年啟動AI產學合作的國泰醫院，於當年與雲象展開大腸息肉偵測AI專案。國泰醫院消化內科主任洪志聖指出，當時，國泰醫院投入6名醫師，來先篩選自家品質較佳的腸道內視鏡照片和影像，作為訓練模型的資料。模型的目標是二元分類，揪出腸道中的腺瘤息肉。</p> <p>為進一步讓AI偵測更多類型的大腸息肉，國泰醫院和雲象在2021年與臺大醫院聯手，展開AI息肉偵測和息肉形態辨識，由國泰醫院和臺大醫院提供大腸息肉動態影像圖片，以及動態影像中截取的圖片來強化模型。比如，團隊從5至15分鐘的大腸鏡影片中，每秒切1張照片。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4602.jpg" /></p> <p>這些圖片可分為三種，包括一般背景正常的腸道、增生性息肉和腺瘤。其中，增生性息肉和腺瘤先由專科醫師分類判讀，再根據病理組織形態來貼標。</p> <p>有了這些資料，他們開始訓練殘差網路（Residual network），不斷循環訓練並優化參數。最終，訓練好的模型準確度達95.8%，召回率96.7%，可在大腸鏡檢查時，即時偵測並框出病灶。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4607.jpg" /></p> <p><strong><span style="font-size:22px;">腸道息肉偵測AI自動揪出微小息肉，目前多中心隨機分派試驗中</span></strong></p> <p>臺大醫院綜合診療部健康管理中心主任邱瀚模表示，大腸鏡檢查的終極目標是偵測早期癌來減少大腸癌死亡，以及偵測、切除癌前病變，來減少大腸癌發生。在臺灣，每年有40萬人次實行大腸鏡檢查，是國內最廣為實行的內視鏡檢查，可見其重要性。</p> <p>而用來判斷大腸鏡檢查的主要指標，包括盲腸到達率和腺瘤偵測率，其中，前者是指做到盲腸才徹底，後者的腺瘤偵測率，則是「大腸鏡的生命線，」邱瀚模引用國外研究，腺瘤偵測率每提升1%，將可降低鏡檢後發生大腸癌風險3%，死亡率甚至可以降低5%。這也是他們決定用AI輔助偵測的原因，來自動找出醫師難以辨識的息肉。</p> <p>目前，這款AI也於多家醫院測試，包括臺大醫院、臺大醫院癌醫中心分院、輔大醫院、彰化基督教醫院、新光醫院等，進行跨院區的隨機分派臨床試驗前瞻計畫。</p> <p>他點出臺大醫院下一步，不只要做息肉偵測，還要用於事後品質分析和病理部分，比如用AI來協助病理師判讀切片，完善AI大腸癌篩檢生態系。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4623.jpg" /></p> <p><span style="font-size:22px;"><strong>下一步要導入健檢中心，瞄準國際市場</strong></span></p> <p>目前，該AI整合軟硬體、可在各廠牌大腸鏡儀器中使用，且已獲TFDA認證，是合規的醫療AI產品。但對於市場規畫，如計價方式，團隊仍在討論中。</p> <p>不過，開發者之一的國泰醫院，其行政副院長林朝祥指出，國泰醫院正在試算計價，之後將導入這套AI系統至健檢中心。臺大醫院也表示，他們也計畫在健檢中心導入這套系統，來提供更快速、準確的檢查服務。</p> <p>另一方面，對雲象科技執行長葉肇元來說，2家醫學中心聯手科技公司打造醫療AI並獲智慧醫材認證，是難能可貴的模式，因為有別於多數智慧醫材開發，大多是用單一醫療機構的資料。雙醫學中心合作，代表醫院願意貢獻資料，提供大量、多元的資料來開發系統。這款經多中心打造的AI，準確率更高、可判斷的病灶也多元，更能推廣到國際市場。他期望，未來不只是由臺灣多中心打造，還要有跨國多中心加入，打造更優質的醫療AI。</p> </div></div></div>
2022/9/27 20:06作者王若樸https://www.ithome.com.tw/news/153297
【資安日報】2022年9月27日，中國駭客TA413利用後門程式Lowzero攻擊圖博人士、Zoom用戶成駭客散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是針對圖博人士的攻擊行動！有研究人員發現中國資助的駭客組織TA413發動的攻擊行動，這些駭客入侵受害組織的管道，先後運用了Sophos防火牆漏洞、MSDT元件漏洞Follina，並使用後門程式Lowzero進行網路間諜行動。在此之前，也有<a href="https://www.ithome.com.tw/news/152592#redalpha">名為RedAlpha的中國駭客組織</a>鎖定圖博社群而來。</p> <p>下載視訊會議軟體也要當心！資安業者揭露駭客以架設冒牌Zoom網站的方式，向受害者散布竊密軟體。這樣的情況，先前也有針對加密通訊軟體Telegram用戶的攻擊事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.recordedfuture.com/chinese-state-sponsored-group-ta413-adopts-new-capabilities-in-pursuit-of-tibetan-targets"><span style="color: rgb(0, 0, 0);">中國駭客TA413利用後門程式Lowzero攻擊圖博人士</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese_state_sponsored_group_ta413_adopts_new_capabilities_in_pursuit_of_tibetan_targets_figure5_ad30b808bd.png" style="width: 300px; float: right;" /></a>資安新聞網站Recorded Future揭露中國駭客組織TA413鎖定圖博組織與人士的攻擊行動，駭客利用Sophos防火牆重大RCE漏洞CVE-2022-1040，以及MSDT元件漏洞Follina（CVE-2022-30190）入侵受害組織，進而於電腦植入後門程式Lowzero。</p> <p>研究人員指出，有鑑於這些駭客在利用上述漏洞的期間，仍舊不時使用名為Royal Road的惡意RTF檔案產生器（該產生器利用微軟方程式編輯器2017至2018年的漏洞）發動攻擊，再加上他們發現至少有3組中國政府資助的駭客組織利用上述的Sophos防火牆漏洞，研究人員認為，這些駭客很可能透過相同管道取得多種作案工具。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/"><span style="color: rgb(0, 0, 0);">開啟網址連結下載Zoom視訊會議軟體要小心！駭客下手透過冒牌網站散布竊密程式</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3-Execution-Flow.png" style="width: 300px; float: right;" /></a>資安業者Cyble提出警告，視訊會議系統Zoom的用戶遭到鎖定，駭客架設冒牌的Zoom網站並引誘使用者下載應用程式，且這些網站所使用的網域都有zoom字串，如：zoom-download[.]host、zoomus[.]tech，而難以判斷真偽。</p> <p>研究人員指出，一旦受害者點選網站上的連結，將會下載存放於GitHub的壓縮檔Zoom.zip，經執行後就會在電腦上植入竊密軟體Vidar。研究人員呼籲用戶下載Zoom安裝程式之前應提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mend.io/resources/blog/popular-cryptocurrency-exchange-dydx-has-had-its-npm-account-hacked/"><span style="color: rgb(0, 0, 0);">DeFi業者開發的NPM套件被植入竊密軟體</span></a></strong></h3> <p>9月23日，原名為WhiteSource的開源程式碼安全業者Mend，發現去中心化（DeFi）平臺dYdX所持有的NPM帳號，上傳了數個套件的新版本，但這些套件都含有惡意程式碼，一旦用戶安裝，電腦就會被植入竊密軟體。</p> <p>究竟駭客如何竄改這些套件？研究人員推測，有可能透過其他攻擊事件偷到該公司的NPM帳密而得逞，並認為此起事故是供應鏈攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.sentinelone.com/labs/the-mystery-of-metador-an-unattributed-threat-hiding-in-telcos-isps-and-universities/"><span style="color: rgb(0, 0, 0);">駭客組織Metador鎖定中東與非洲的電信業者、ISP、大專院校發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Metador_8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Metador_8.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為Metador的駭客組織，該組織主要的攻擊範圍是中東與非洲，並針對電信業者、ISP、大專院校下手，這些駭客在攻擊的過程中會繞過受害組織的資安系統，並透過寄生攻擊（LOLBins）的方式，濫用Microsoft Console Debugger（CDB.EXE），將惡意軟體框架直接部署於記憶體內，目的是進行長期的間諜行動。研究人員總共發現兩款惡意軟體框架metaMain、Mafalda，也有鎖定Linux主機的惡意軟體。</p> <p>至於攻擊者的來源，該公司表示駭客使用英文和西班牙語，且實力雄厚，而能發展極為複雜的攻擊工具，但他們難以判斷攻擊者的身分。</p> <h3><strong style="font-size: 22px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中科院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></strong></h3> <p>國家中山科學研究院傳出洩露軍事機密，卻因為檔案遭到刪除而無法判斷受害情形。根據聯合新聞網、公視、自由時報等媒體的報導，中科院系統發展中心彭姓技術師涉嫌於2018年，複製機密資料於個人資料夾，內容包含國家機密事務人員名冊、無人登月機、雄三飛彈性能提升報告等，中科院隔年6月察覺此事祭出停權處分，但彭男仍在中科院服務至2020年底才離職。</p> <p>這起重大洩密案件原本由臺灣高等檢察署調查，卻因為彭男後來在2020年偷用同事帳號刪除相關資料，而無法認定竊取的資料是否涉及機密，最後由桃園地檢署以刪除公務電腦電磁紀錄罪起訴，一審判刑8個月。<a href="https://www.ncsist.org.tw/csistdup/news/NewsPublishDetail.aspx?PostNo=16569">中科院也發布新聞稿證實此事</a>，表示尊重司法判決，並承諾加強相關機密的保護措施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/bind-updates-patch-high-severity-vulnerabilities"><span style="color: rgb(0, 0, 0);">DNS軟體BIND存在漏洞，恐被用於DoS攻擊</span></a></strong></h3> <p>網際網路系統協會（ISC）於9月21日發布資安通告，他們針對旗下的DNS軟體Berkeley Internet Name Domain（BIND）修補6個漏洞，這些漏洞都有可能被用於遠端攻擊。該協會指出其中有4個漏洞為高風險層級，且會導致服務阻斷（DoS），這些漏洞是CVE-2022-2906、CVE-2022-3080、CVE-2022-38177，以及CVE-2022-38178。</p> <p>ISC發布BIND 9.16.33、9.18.7、9.19.5來修補上述漏洞。美國網路安全暨基礎設施安全局（CISA）也提出呼籲，DNS伺服器管理者要儘速檢視上述高風險漏洞的資安通告，並採取緩解措施。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/21/rewards-plus-fake-mobile-banking-rewards-apps-lure-users-to-install-info-stealing-rat-on-android-devices/"><span style="color: rgb(0, 0, 0);">伊朗駭客以銀行點數獎勵為幌子，針對印度安卓手機用戶散布惡意軟體</span></a></span></strong></p> <p><a href="https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員於Google及蘋果App市集上發現逾80款詐騙程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cyfirma.com/outofband/erbium-stealer-malware-report/"><span style="color: rgb(0, 0, 0);">竊密軟體Erbium假借遊戲破解或作弊工具散布</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153254">【2022年9月26日】微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者GitHub帳號</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> </div></div></div>
2022/9/27 18:10作者周峻佑https://www.ithome.com.tw/news/153295
Netflix於芬蘭建立自家的遊戲工作室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/building-our-internal-games-studios" target="_blank">Netflix周一（9/26）宣布</a>，正於芬蘭赫爾辛基建立自家的遊戲工作室，知名社交遊戲Zynga在芬蘭的前總經理Marko Lastikka將擔任Netflix遊戲工作室的總監，致力於打造Netflix的專屬遊戲。</p> <p>Netflix是在去年11月正式推出遊戲服務，既有的Netflix用戶都可免費執行遊戲，既無廣告，也無程式中購買項目。迄今Netflix已出手買下3家遊戲業者，依序是去年9月併購的Night School Studio、今年3月買下的Next Games，以及同月購入的Boss Fight Entertainment。</p> <p>截至今年第二季為止，Netflix已推出24種遊戲，惟所有遊戲皆僅支援行動裝置。</p> <p>Netflix表示，選擇在赫爾辛基設立自家的遊戲工作室，是因為此處匯集了許多頂尖的遊戲人才，而這也是Netflix於該城市的第二家遊戲工作室，因為Next Games也座落於此。目前Netflix麾下的4個遊戲工作室都有不同的強項及專精的領域，將會併肩打造迎合不同會員喜好的各種遊戲。</p> </div></div></div>
2022/9/27 15:26作者陳曉莉https://www.ithome.com.tw/news/153284
Go 1.19提供開發者更多運算資源控制能力，添加Runtime記憶體限制功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊公布在最新1.19版本的Runtime，<a href="https://go.dev/blog/go119runtime" target="_blank">添加了一個軟性記憶體限制功能</a>，讓開發者可以控制應用程式所使用的記憶體容量，使Runtime在應用程式負載尖峰時仍可以維持穩定運作。</p> <p>記憶體限制是一個Go社群長期要求的功能，過去Go的垃圾回收只有一個調校參數GOGC，GOGC供用戶調整Go垃圾回收GPU和記憶體額外開銷的權衡，官方解釋，他們過去之所以不願意在Go Runtime添加新的控制旋鈕，是因為每一個旋鈕都代表，在測試和維護的配置空間永遠增加一個新維度，這也會帶給Go開發人員額外的理解和使用負擔，因此他們傾向在Go Runtime盡量保持最少的配置。</p> <p>但現在Go團隊決定在Go 1.19版本的Runtime添加記憶體限制功能，他們解釋，記憶體不像是CPU時間可以替代，開發者可以稍待片刻以獲得更多的CPU時間，記憶體容量固定且有限。而記憶體限制可以解決兩個主要問題，第一，當應用程式的記憶體使用峰值不可預測時，原本的GOGC無法保護系統免於記憶體不足的風險，僅使用GOGC，Go Runtime無法確定目前有多少記憶體可以使用。</p> <p>但透過配置記憶體限制，Runtime可以掌握需要積極減少記憶體開銷的時機，因此可以更強健穩定的度過瞬間負載峰值期。</p> <p>第二個原因是，要避免在不使用記憶體限制的情況出現記憶體不足的錯誤，GOGC需要根據記憶體峰值進行調校，這代表Runtime要以較低的記憶體花費執行垃圾回收，就需要花費更多的CPU開銷，即便應用程式並未處在記憶體峰值期間，或是當時還有許多記憶體可供使用。</p> <p>而這個情況之所以會在容器化的應用中受到關注，因為程式會被放置在特定且隔離，事先預留記憶體的沙盒中執行，因此記憶體限制反而可以利用這個機制，提供負載峰值保護，使GOGC在CPU花費方面進行更積極的調整。</p> <p>Go團隊以容易使用和強健性，作為設計記憶體限制功能的核心思想，能夠限制應用程式中Go部分的所有記憶體占用，而非只是Go堆（Heap），因此用戶不用擔心Go Runtime的執行時開銷，同時Runtime也會根據記憶體限制調整記憶體清理政策，更主動地將記憶體還給作業系統，以回應記憶體壓力。</p> <p>但開發團隊提醒開發者，雖然記憶體限制是一個強大的工具，但仍必須謹慎使用，因為可能會讓應用程式出現垃圾回收不穩的情況，當應用程式花費太多的時間執行垃圾回收，導致沒有足夠的時間花在真正有意義的程序上，像是當記憶體限制太低，而無法滿足應用程式實際所需的記憶體量，Go應用程式便可能發生崩潰。</p> <p>在記憶體限制使用上，開發者需要考慮更多部分，可以參考官方新發布的垃圾回收指南，進一步了解垃圾回收成本以及操作辦法。</p> </div></div></div>
2022/9/27 15:56作者李建興https://www.ithome.com.tw/news/153286
蘋果證實已開始於印度生產iPhone 14
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果向《<a href="https://techcrunch.com/2022/09/25/apple-starts-manufacturing-iphone-14-in-india/" target="_blank">TechCrunch</a>》與《<a href="https://www.cnbc.com/2022/09/26/apple-starts-manufacturing-the-iphone-14-in-india.html" target="_blank">CNBC</a>》證實，已開始於印度組裝iPhone 14與iPhone 14 Plus，這兩家媒體亦引用JP Morgan的看法指出，今年底前蘋果就會把5%的iPhone 14產能轉移到印度。</p> <p>蘋果自2017年起就在印度組裝iPhone，但一直以來於當地組裝的都是舊款產品，一直到今年才於印度生產及組裝最新一代的iPhone，而蘋果的全球合作夥伴富士康也早就在印度設立了生產據點。</p> <p>根據報導，蘋果不僅會在印度生產iPhone 14，今年底也會開始於印度銷售由當地生產的iPhone 14。</p> <p>《TechCrunch》引用JP Morgan分析師的看法指出，蘋果正在減輕對中國iPhone產線的依賴，今年底前將把5%的iPhone產能移轉到印度，估計2025年會有25%的iPhone產能遷移到印度。</p> <p>不只是蘋果，外傳Google也正把Pixel手機的部分產能轉移到印度。</p> </div></div></div>
2022/9/27 16:05作者陳曉莉https://www.ithome.com.tw/news/153287
南韓要求國際刑警組織針對Terraform Labs共同創辦人Do Kwon發出紅色通緝令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，南韓政府周一（9/26）對外證實，已要求國際刑警組織（Interpol）針對 Terraform Labs共同創辦人Do Kwon發出紅色通緝令，不過，目前Interpol的通緝網站上尚未出現Kwon的名字。</p> <p>國際刑警組織陳列了兩種通緝令，一是該組織自行發出的在逃追緝令Interpol Wanted，另一即是因應各國檢察官要求所發出的紅色通緝令Red Notice，儘管Interpol的官網上尚未列出Kwon，但由於南韓政府已提出要求，因而也許只是時間上的問題，代表Interpol將於全球195個國家追捕Kwon。</p> <p>今年31歲的Kwon為Terraform Labs的共同創辦人，該實驗室打造了Terra演算法穩定幣生態體系，透過其姐妹幣Luna來維持與各種法幣的錨定，並另外發行了Terra USD（UST）穩定幣，然而，Luna與UST在今年5月大崩盤，市場估計投資人在一周內就損失超過420億美元，由於Kwon為南韓公民，也吸引了許多南韓投資人，相關加密貨幣的崩盤造成許多南韓投資人破產，甚至自殺，也讓Kwon惹來了官司。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-Do%20Kwon-Terra-%E7%BF%BB%E6%94%9D%E8%87%AATerra%E5%AE%98%E6%96%B9YouTube%E5%BD%B1%E7%89%87.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Terraform Labs共同創辦人Do Kwon，翻攝自Terra官方YouTube影片</span></span></p> <p>南韓並未公布Kwon詳細的罪責，目前浮上檯面的指控主要為龐式騙局及涉嫌稅務詐欺，不過，南韓政府積極追捕Kwon，自<a href="https://www.ithome.com.tw/news/151063" target="_blank">5月針對Luna與UST展開調查</a>後，<a href="https://www.ithome.com.tw/news/151557" target="_blank">6月開始限制Terraform Labs員工出境</a>，<a href="https://www.ithome.com.tw/news/153056" target="_blank">9月對Kwon發出逮捕令</a>，現在則要求國際刑警組織於全球追捕Kwon。</p> <p>根據外電的報導，南韓政府原本以為Kwon人在新加坡，但新加坡政府則說Kwon已經出境。</p> <p>另一方面，就算頻頻躍上媒體版面，而且遭到通緝的消息也被公開，但Kwon依然偶而會透過自己的Twitter發聲。例如<a href="https://twitter.com/stablekwon/status/1571197156907679745" target="_blank">他在9月18日時表示</a>，他並沒有逃跑，而且願意配合任何有興趣溝通的政府，就算是在遭到國際刑警組織通緝的消息曝光當天，<a href="https://twitter.com/stablekwon/status/1574444990209695745?s=20&t=7DORi3-sDlfUmruASD5aWw" target="_blank">Kwon還向友人表示</a>他正在自己的客廳寫程式。</p> <p>不過，已有開發者打造了Kwon已被國際刑警組織逮捕的NFT圖像，<a href="https://opensea.io/assets/ethereum/0x495f947276749ce646f68ac8c248420045cb7b5e/11977247104236830903620032448768692251618424234655551842068702732377149931521" target="_blank">並放在OpenSea上兜售</a>。</p> <p><a href="https://cryptobriefing.com/do-kwon-wanted-195-countries-what-happens-next/" target="_blank">專門報導加密貨幣消息的《Crypto Briefing》分析</a>，Terra區塊鏈所引發的骨牌效應衝擊了Three Arrows Capital與其它加密貨幣業者，牽連了廣大的投資人，或許也是加密貨幣市場不振的原因之一，使得Kwon成為加密貨幣產業的頭號公敵，且在加密貨幣問世迄今13年以來，歷經了多次的興衰，卻沒有一次像Terra般引起各國監管機關的廣泛重視。</p> <p>例如最近美國國會議員正在草擬的《穩定幣法案》（Stablecoin Bill ），就打算針對類似UST抵押方式的穩定幣祭出兩年的禁令。</p> </div></div></div>
2022/9/27 15:11作者陳曉莉https://www.ithome.com.tw/news/153278
相準年輕消費者，Walmart推元宇宙服務Walmart Land與Universe of Play
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://corporate.walmart.com/newsroom/2022/09/26/walmart-jumps-into-roblox-with-launch-of-walmart-land-and-walmarts-universe-of-play" target="_blank">全球最大零售業者Walmart周一（9/26）宣布</a>，已與元宇宙遊戲平臺Roblox合作，在該平臺上建立了Walmart Land及Walmart's Universe of Play兩項元宇宙服務，外界將其視為Walmart吸引年輕人及測試元宇宙水溫的策略。</p> <p>不管是Walmart Land或Universe of Play都是以遊戲的型態表現，但Walmart Land主要提供互動式的音樂體驗，舉辦虛擬演唱會，擁有虛擬試衣間，還有對照實體世界的虛擬商店；而Universe of Play則是以玩具為主，集結Walmart所銷售的各種熱門玩具，並將它們嵌入遊戲中。</p> <p class="rtecenter"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/61fc282/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F2d%2F04%2F663ef70744a2934f274ac4e6fe4c%2Fwalmart-land-house-of-style-experience-close-up.jpg" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Walmart Land示意圖，圖片來源／Walmart</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://cdn.corporate.walmart.com/dims4/WMT/e22aed3/2147483647/strip/true/crop/1600x900+0+0/resize/880x495!/quality/90/?url=https%3A%2F%2Fcdn.corporate.walmart.com%2F56%2Fcd%2Fe390b7384c318874d28644548787%2Fwalmart-universe-of-play-on-roblox.jpg" style="width: 550px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;">Universe of Play示意圖，圖片來源／Walmart</span></span></p> <p>Walmart行銷長William White表示，Roblox是全球成長最快也是最大的元宇宙平臺，而Walmart也有許多客戶滯留在Roblox平臺，使得該公司決定於這些客戶的遊戲世界中打造創新體驗。</p> <p><a href="https://www.cnbc.com/2022/09/26/walmart-enters-the-metaverse-with-roblox.html" target="_blank">White亦向《CNBC》透露</a>，Roblox將成為Walmart進入元宇宙的試驗場，期待能夠吸引新一代的消費者，特別是25歲左右或是更年輕的Z世代。</p> <p>Amazon所帶來的衝擊，再加上COVID-19疫情改變了人們的購物習慣，Walmart一直積極介入數位時代，不僅於TikTok、Twitter及YouTube上舉辦直播購物活動，也與媒體集團Meredith合作打造食譜，還開發了AR工具以讓消費者得以於虛擬世界中擺放Walmart所銷售的家具。</p> <p>Walmart Land與Universe of Play雖然建立於元宇宙平臺上，但任何裝置都可存取這兩項服務，不僅限於Oculus Rift或HTC Vive，它們還支援PC、Mac、iOS、Android、Amazon裝置及Xbox遊戲機。</p> </div></div></div>
2022/9/27 13:25作者陳曉莉https://www.ithome.com.tw/news/153273
俄羅斯授予前NSA爆料者史諾登公民身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名爆料者史諾登（Edward Snowden）在流亡俄羅斯多年後，本周一獲得該國政府授予公民身分。</p> <p><a href="http://publication.pravo.gov.ru/Document/View/0001202209260013?index=4&rangeSize=1" target="_blank">俄國政府本周發布一份由普丁簽署的總統令</a>，公布包含史諾登在內等75名獲得公民身分的外國人士。</p> <p>史諾登於2013年在香港向《衛報》和《華盛頓郵報》爆料美國國安局（NSA）震驚全球的大規模監聽計畫「稜鏡」，包括監聽德國前總理梅克爾在內的數百萬人士電話號碼及發展多種進階駭客工具，遭到美國政府以間諜罪名起訴，即長年流亡俄羅斯。他在2020年獲得俄國永久居留權。</p> <p>2020年史諾登和美國籍妻子Lindsay Mills生下一子，當時全球新冠疫情爆發，各國封鎖國境，<a href="https://twitter.com/Snowden/status/1323024457645105153" target="_blank">他表示</a>為了不再和家人分開，決定申請雙重公民身分。</p> <p>現年39歲的史諾登2019年曾說如果能獲得公平審判的機會，就會回到美國。但是<a href="https://www.nbcnews.com/feature/edward-snowden-interview/pentagon-papers-whistleblower-snowden-wont-get-fair-trial-n118561" target="_blank">2015年一份五角大厦爆料文件顯示</a>，他不可能獲得公平審判。</p> <p><a href="https://www.bbc.com/news/technology-54013527" target="_blank">2020年美國上訴法院判決NSA的電話監聽計畫違法</a>。<a href="https://www.ithome.com.tw/news/139598" target="_blank">當年川普卸任前曾說考慮將史諾登納入特赦名單</a>，但最終因司法部等單位反對而未實施。</p> <p>但史諾登本人對獲得俄羅斯公民身分一事未公開評論。<a href="https://www.securityweek.com/russia-gives-citizenship-ex-nsa-contractor-edward-snowden" target="_blank">報導指出</a>，目前和史諾登同住在俄羅斯的Lindsay Mills也獲得了俄羅斯護照。</p> </div></div></div>
2022/9/27 09:42作者林妍溱https://www.ithome.com.tw/news/153267
Apple Pay Later傳因技術問題擴大推出要延到明年春天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的先買後付（Buy Now Pay Later，BNPL）服務可能真的要再晚點了，<a href="https://www.macrumors.com/guide/mark-gurman/" target="_blank">《彭博新聞》報導</a>，Apple Pay Later碰上技術問題，可能要延到明年春天才能擴大推出。</p> <p>報導指出，業界流傳，蘋果推廣Apple Pay Later時遇上「重大」技術工程問題，導致無法如期今年在美國以外地區推出，可能得等到2023年春天隨同iOS 16.4問世。</p> <p><a href="https://www.ithome.com.tw/news/151316" target="_blank">6月初蘋果在WWDC 2022隨同iOS16、macOS Ventura發表Apple Pay Later服務</a>。Apple Play Later內建於iOS 中的Apple Wallet，方便使用者以Apple Wallet管理、追蹤消費狀況。只要能使用Apple Pay支付都可使用。這項服務允許消費者設定6周期間的4期分期付款，還享有無息及無額外費用的好處。Apple Pay Later也被視為蘋果開闢新服務營收的最新嘗試。</p> <p><a href="https://www.ithome.com.tw/news/152942" target="_blank">不過蘋果在9月公布iOS 16正式版時</a>，卻不見Apple Pay Later。這也使得迄今蘋果自己的BNPL服務仍然只在美國配合萬士達卡（Mastercard）網路完成支付。</p> <p>如果消息成真，意謂著美國以外的消費者下個月也無緣一睹Apple Pay Later。<a href="https://9to5mac.com/2022/09/24/apple-october-event-what-to-expect/" target="_blank">10月的蘋果產品發表大會上</a>，蘋果預計將正式釋出 iPadOS 16、MacOS Ventura及最新iPad與Mac電腦。</p> </div></div></div>
2022/9/27 09:51作者林妍溱https://www.ithome.com.tw/news/153268
Zoom用戶成下手目標，遭冒牌網站散布竊密程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom是許多人視訊會議愛用的工具。<a href="https://blog.cyble.com/2022/09/19/new-malware-campaign-targets-zoom-users/" target="_blank">安全專家警告</a>近日有一波針對Zoom用戶的攻擊，透過冒充Zoom網站向用戶散布竊密程式。</p> <p><a href="https://twitter.com/idclickthat/status/1569350142230204421" target="_blank">近日有研究人員觀察到</a>，網路上有人製作並散布儼然Zoom官方網站的連結，點入後也看不出有什麼異樣，都允許使用者下載Zoom官方應用程式，包括/zoom-download[.]host、/zoom-download[.]space、/zoom-download[.]fun、/zoomus[.]host、/zoomus[.]tech及/zoomus[.]website。若非研究人員說明，幾乎無從判斷這些網站是惡意網站。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/09/Figure-1-Fake-Zoom-Site.png?w=936&ssl=1" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cyble</span></span></p> <p>安全公司Cyble分析，當用戶不疑有他點入上述連結，會被進一步重導向到https[:]//github[.]com/sgrfbnfhgrhthr/csdvmghfmgfd/raw/main/Zoom.zip，並於背景下載惡意程式名為 zoom.zip、download.php等檔案。一經執行會在用戶電腦暫存檔植入像是Zoomin~1.exe、或decoder.exe等二進位檔。</p> <p class="rtecenter"><img alt="" src="https://i0.wp.com/blog.cyble.com/wp-content/uploads/2022/09/Figure-2-%E2%80%93-Backend-Site-Redirects.png?w=581&ssl=1" style="width: 581px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cyble</span></p> <p>安全廠商分析後判斷，這些網站散布的都是名為Vidar的竊密程式。Vidar專門竊取受害者電腦裏的銀行資訊、儲存密碼、IP位置、瀏覽器上網紀錄、登入帳密及加密貨幣錢包等。而在資訊到手後，還會執行指令，從用戶電腦反安裝以消除跡證。</p> <p>至於這些外洩的資料何去何從，安全廠商判斷最後會被賣到網路黑市，因為這些外洩資料提供了敲開受害電腦大門的門路。</p> <p>研究人員相信這波攻擊是鎖定Zoom用戶，建議Zoom用戶在下載任何可執行檔前，都要留意網站的合法性。</p> <p>此外研究人員也建議所有用戶不要從warez/torrent網站下載盜版軟體，或開啟來路不明的連結或郵件附檔、使用多因素驗證及強密碼、開啟電腦及手機的自動防毒軟體升級等。</p> </div></div></div>
2022/9/27 10:03作者林妍溱https://www.ithome.com.tw/news/153269
Google雲端容器分析開始支援Java和Go套件掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/java-and-go-vulnerability-scanning-support">Google雲端的容器掃描API現在會自動掃描Maven和Go套件中的漏洞</a>，官方提到，只要啟用容器掃描API，該API就會掃描上傳到構件註冊表（Artifact Registry）儲存庫的Java和Go語言套件，以尋找存在的漏洞。目前該功能尚在公開預覽階段。</p> <p>該功能建立於現有Linux作業系統的漏洞檢測功能之上，提供用戶對其應用程式更深入的安全分析。容器掃描API會針對每個映像檔逐一分析，並且在結果列表中顯示漏洞總數，用戶可以藉由點擊進一步取得漏洞的CVE編號，當有可用的資料，系統也會提供用戶漏洞修復資訊。同時用戶還可以透過gcloud CLI或是API取得漏洞資訊。</p> <p>Google解釋，這個新功能是利用現有的按需功能掃描Java和Go語言套件，並在推送到構件註冊表自動掃描，該語言是對既有Linux作業系統掃描的補充。這個掃描功能也可以和Pub/Sub通知結合一起使用，以觸發針對漏洞和其他後設資料的操作，像是對需要收到漏洞訊息的人發送電子郵件。</p> </div></div></div>
2022/9/26 22:34作者李建興https://www.ithome.com.tw/news/153253
Google開源專門存放N維資料的可擴展儲存TensorStore
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了一個專為存儲和操作N維資料設計的C++、Python開源軟體函式庫<a href="https://ai.googleblog.com/2022/09/tensorstore-for-high-performance.html">TensorStore</a>，其提供一個統一的API，讓用戶讀取各種陣列格式，像是zarr和N5，TensorStore原生支援多種儲存系統，並且具有強ACID保證，能夠以非同步API支援針對高延遲遠端儲存的高吞吐量存取。</p> <p>TensorStore的出現，是要解決機器學習迅速發展，對大規模資料集的存取需求，許多先進的機器學習應用程式，皆需要用到多維資料集，像是在空間網格上測量大氣，並對天氣進行建模，或是醫學成像3D掃描等，而這些應用即便僅需要一個資料集，但規模也會屬於TB或是PB等級。</p> <p>研究人員提到，要使用這類大型資料集極具挑戰，因為用戶可能以不規則區間，或是不同的規模讀取和寫入資料，並且還可能需要用到大量的機器。</p> <p>而Google所開發的TensorStore，可用於儲存像是具有數十億立體像素（Voxel）的蒼蠅大腦3D圖像，TensorStore提供使用者簡單Python API，能夠輕鬆載入和操作大型資料庫，並以NumPy陣列存取小批次資料。</p> <p>在用戶真正請求特定資料切片之前，TensorStore不會存取或是在記憶體中儲存實際資料，所以能夠支援用戶載入和操作任意大小的基礎資料集，不需要將整個資料集搬到記憶體中，就能夠使用與標準NumPy操作相同的語法進行索引和操作。TensorStore針對進階索引功能提供廣泛的支援，包括轉換、對齊和產生虛擬檢視表等。</p> <p>研究人員提到，處理和分析大型數值資料集，需要大量的運算資源，透過平行化GPU和加速器核心實作，這些資源通常分散在眾多機器上。TensorStore的基本目標，便是要能夠對單個資料集進行安全平行處理，使這些資料集不會因為平行存取模式，而產生損壞或是不一致，但又同時維持高效能。在Google資料中心的實驗，隨著CPU數量的增加，TensorStore的高效能特性使讀寫效能可以幾乎呈現線性成長。</p> <p>另外，TensorStore可以透過配置記憶體快取和非同步API，允許程式在執行其他工作時，在後臺繼續進行讀取和寫入操作，而當多臺機器同時存取同一個資料集時，TensorStore藉由樂觀並行控制（Optimistic Concurrency）技術，保持並行操作的安全性，且不會明顯影響效能。TensorStore也對單個Runtime的所有個別操作提供強ACID執行。</p> <p>由於TensorStore整合諸如Apache Beam和Dask等平行運算函式庫，因此TensorStore的分散式運算，與企業現有資料處理工作流程高度相容。TensorStore的用例包括語言模型，可在訓練過程高效讀取和寫入模型參數，另外也能用於大腦映射上，儲存用於描繪大腦神經的高解析度映射圖。</p> </div></div></div>
2022/9/26 22:40作者李建興https://www.ithome.com.tw/news/153255
臺中榮總自建3D場景，用VR強化醫護核災演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2011年，福島核災事故發生，臺中榮總也自2011年開始，強化核災救治能力。臺中榮總核醫科放射師陳耀文指出，中榮因應核災救治有三步驟，首先是書面計畫，定清楚所有作業程序，再來是桌上演練，進行模擬推演。這麼做，能幫助醫護迅速理解處理程序，但仍缺少實務經驗。所以，下一步是實際演練，來增加相關人員經驗，但中榮得負擔動員的高昂成本。</p> <p>比如，演練動員需要50多坪的場地，得管制空間、鋪設防水墊，也得準備救護車、相關偵檢器等設備，而人力上，則得納入醫師、護理師、輻防員、工務與總務人員共30名，總體動員成本得花上將近50萬元。</p> <p><span style="font-size:22px;"><strong>自建VR核災演練</strong></span></p> <p>但中榮發想，也許能先借助VR進行輻射演練，來降低實體演練的昂貴成本。但由於市面上沒現成的VR核災訓練軟體，中榮找上東海大學，跨團隊打造核輻射災害救治演練VR，用4階段來開發。首先是確立程序，也就是輻射災害的啟動與處置流程，再來是設計建模，團隊用建模軟體SketchUp打造1比1的場景和人物建模，再用遊戲製作引擎Unity，根據腳本打造演練流程。接著，他們也設計體驗回饋機制，透過測試者當下的回饋來優化程式，最後則是正式演練和評估。</p> <p>在操作演練上，會由不同場景和腳本組成，比如當患者送至醫院時，救護車先抵達門口檢傷區，由醫護進行人員、病患和救護車偵測，這是第一個場景。再來是送入院內醫療除污區，也就是第2個場景，搭配不同腳本，來讓醫護人員進行相關處置。完成後，患者會送至第3個場景：後送區，來將患者送至中榮收治病房，進行後續照護。這些就是演練內容。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%99%A4%E6%B1%A1%E5%8D%80.png" /><br /> 這套VR核災演練有不同場景、角色和人物供受訓人員使用，比如場景部分有檢傷區、醫療除污區、後送區等。</p> </blockquote> <p>陳耀文解釋，為了讓所有人員都能訓練到，這款VR核災應變演練還有場景、角色和任務的選擇。像是，場景部分有檢傷區、除污區和後送區可選擇，角色部分則有3種場景的醫師、護理師，以及輻防員等8種可選，而任務部分有4種選項，如醫療除污、採集檢體、輻射偵測和數值回報。</p> <p>他也分享受試者的回饋，共10位測試人員，包括放射師、護理師和醫師，其中2位放射師參與過實際演練。受試者全數認為VR演練能幫助他們了解角色工作，8成認為環境逼真、引導清晰，但互動性普通，有待改善的則是暈眩狀況，所有受試者皆出現頭戴VR裝置演練一段時間後頭暈，特別是在檢驗救護車輪胎的輻射值，得來回移動，造成暈眩。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%91%E8%AD%B7%E8%BB%8A.png" /><br /> 在VR演練中，受訓人員得手持裝置、戴VR裝置來回移動，量測輻射值，但也容易造成頭暈。這是受試者的共同困擾。</p> </blockquote> <p><span style="font-size:22px;"><strong>未來要擴充更多演練情境</strong></span></p> <p>對中榮來說，VR演練的好處是可重複練習，且不受時間、空間限制，可低成本、高效率演練。但陳耀文強調，VR演練並非要完全取代實際演練，而是相輔相成，比如在1次實地演練後，以VR演練來加強受訓人員技能，不必一直仰賴實體演練。</p> <p>甚至，中榮不只要用VR演練加強核災，還要藉現有模組，進一步延伸發展其他VR災害演練，像是急救、毒化災、火災，或是救治大量傷患的場景。陳耀文點出，在既有核災演練基礎下，模組容易擴充、搭配不同情境腳本，來快速開發不同演練場景。</p> </div></div></div>
2022/9/26 18:39作者王若樸https://www.ithome.com.tw/news/153266
【資安日報】2022年9月26日，微軟SQL Server遭到勒索軟體Fargo鎖定、駭客假冒CI/CD平臺竊取開發者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客鎖定特定的應用系統，做為入侵受害企業的管道，這樣的現象越來越頻繁。例如，有資安業者指出，名為Fargo的勒索軟體針對微軟SQL伺服器而來，駭客看上的就是這種資料庫系統可能沒有及時修補，或是使用弱密碼，而容易對其發動攻擊。</p> <p>開發者遭到鎖定的情況近期也相當氾濫，但現在有人同時針對兩種系統的用戶發動攻擊。有人自9月中旬針對採用持續開發及持續整合平臺CircleCI、程式碼代管平臺GitHub的用戶發動釣魚郵件攻擊，並要求收信人透過CircleCI帳號存取GitHub，進而竊取受害者的程式碼。</p> <p>協作平臺Atlassian Confluence的重大漏洞CVE-2022-26134再度遭駭客利用！研究人員發現將Confluence伺服器用於挖礦的攻擊行動，值得留意的是，這次駭客也運用了Linux漏洞PwnKit部署挖礦程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://asec.ahnlab.com/en/39152/"><span style="color: rgb(0, 0, 0);">微軟SQL Server被勒索軟體Fargo盯上！駭客疑似針對弱密碼與尚未修補的漏洞發動攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/감염된파일리드미.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EA%B0%90%EC%97%BC%EB%90%9C%ED%8C%8C%EC%9D%BC%EB%A6%AC%EB%93%9C%EB%AF%B8.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Fargo（亦稱Mallox）鎖定微軟SQL伺服器的攻擊行動，駭客先是透過命令提示字元（CMD）與PowerShell，來執行此資料庫的處理程序，下載由.NET編譯而成的惡意程式，進而在主機上植入更多作案工具。上述的惡意程式亦會產生BAT批次檔並於暫存資料夾執行，來關閉特定的處理程序及服務。接著，勒索軟體Fargo藉由注入名為AppLaunch.exe的應用程式執行，並加密主機的檔案。</p> <p>研究人員認為，駭客很可能是針對SQL伺服器進行暴力破解攻擊，或是利用尚未修補的漏洞下手，得以入侵受害組織，他們呼籲企業應使用高強度的密碼，並更新SQL伺服器軟體等措施，來防堵相關攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-stealing-github-accounts-using-fake-circleci-notifications/"><span style="color: rgb(0, 0, 0);">盜取開發者的GitHub帳號有新手法，攻擊者鎖定CI/CD平臺下手</span></a></strong></h3> <p><a href="https://discuss.circleci.com/t/circleci-security-alert-warning-phishing-attempt-for-login-credentials/45408">持續開發及持續整合平臺CircleCI提出警告</a>，有人自9月15日開始，假冒CircleCI的名義發動釣魚郵件攻擊，宣稱該公司更新服務合約，收信人必須依照指示，透過CircleCI的帳號來登入程式碼代管平臺GitHub，才能繼續使用相關服務，一旦依照指示操作就有可能受害。CircleCI指出，駭客使用的網域是circle-ci[.]com（較合法網域多了破折號），要用戶提高警覺。</p> <p>事隔數日，<a href="https://github.blog/2022-09-21-security-alert-new-phishing-campaign-targets-github-users/">GitHub也於22日提出警告</a>，表示相關攻擊行動仍持續發生，並表示駭客一旦得逞，就有可能迅速透過VPN下載程式碼儲存庫的所有內容。經調查後該公司已為受到影響的使用者重設密碼，並移除駭客設置的帳密。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/atlassian-confluence-vulnerability-cve-2022-26134-abused-for-cryptocurrency-mining-other-malware.html"><span style="color: rgb(0, 0, 0);">Atlassian Confluence重大漏洞再度遭到利用！駭客將其搭配PwnKit發動挖礦攻擊</span></a></strong></h3> <p>研究人員於6月發現鎖定協作平臺Atlassian Confluence的零時差漏洞CVE-2022-26134（CVSS風險評分為9.8分）攻擊行動，Atlassian也很快就予以修補，但事隔3個月，最近又有駭客看上這項漏洞並將其用於攻擊行動。</p> <p>資安業者趨勢科技指出，他們偵測到鎖定此協作平臺的攻擊行動，駭客針對尚未修補漏洞的主機下手，進而濫用Java處理程序竄改環境變數、防火牆政策，然後透過Wget或Curl並搭配PwnKit漏洞（CVE-2021-4034），於受害主機部署挖礦軟體。研究人員認為，駭客很有可能將CVE-2022-26134用於其他攻擊行動，呼籲IT人員應儘速安裝修補程式。</p> <h3><strong style="font-size: 22px;"><a href="https://https://thehackernews.com/2022/09/london-police-arrested-17-year-old.html"><span style="color: rgb(0, 0, 0);">攻擊Uber的駭客可能另有其人，有研究人員指出英國警方逮捕的青少年涉嫌發動相關攻擊</span></a></strong></h3> <p>9月23日，英國警方宣布逮捕一名居住於牛津郡的17歲青少年，原因是他涉嫌從事駭客行為，這名青少年涉及兩項電腦不當使用的罪名，並符合兩種無法交保的條件而遭到起訴。</p> <p><a href="https://twitter.com/vxunderground/status/1573294842649911298">根據資安研究團隊VX Underground掌握的資訊</a>，這名青少年就是攻擊車輛共乘媒合平臺Uber、電玩業者Rockstar的駭客。根據Uber的調查，攻擊者的身分是駭客組織Lapsus$，但這名駭客是否為該組織的成員？英國警方並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153244"><span style="color: rgb(0, 0, 0);">澳洲大型電信業者Optus遭駭，逾900萬客戶資料外洩</span></a></strong></h3> <p>澳洲第二大電信業者Optus於9月22日遭到網路攻擊，並表明駭客的目標是該公司客戶資料。根據<a href="https://www.wsj.com/articles/cyberattack-on-optus-potentially-exposes-millions-of-customer-accounts-11663920097">華爾街日報</a>、<a href="https://www.theguardian.com/australia-news/2022/sep/24/optus-cyber-attack-company-opposed-changes-to-privacy-laws-to-give-customers-more-rights-over-their-data">衛報</a>的報導，最嚴重的情況可能是當地所有客戶（約970萬至980萬人）資料遭到外洩。Optus指出，可能外流的資料包括客戶姓名、生日、電話號碼、電子郵件信箱，但密碼與付款資料不受影響，行動網路與家用網路的服務都未遭到波及。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce"><span style="color: rgb(0, 0, 0);">Sophos修補已遭利用的防火牆RCE漏洞</span></a></strong></h3> <p>資安業者Sophos於9月23日發布資安通告，指出旗下的防火牆解決方案存在程式碼注入漏洞CVE-2022-3236，這項漏洞出現在使用者入口網站與網站伺服器管理控制面板（Webadmin），一旦遭到利用攻擊者就能執行遠端程式碼（RCE）。該公司發布18.5 MR5、19.0 MR2，以及19.5 GA版防火牆軟體予以修補，並指出已有部分南亞組織遭到攻擊，他們已通報這些受害組織。</p> <h3><strong style="font-size: 22px;"><a href="https://www.securityweek.com/microsoft-issues-out-band-patch-flaw-allowing-lateral-movement-ransomware-attacks"><span style="color: rgb(0, 0, 0);">尚未修補的端點裝置管理系統漏洞遭到公開，微軟緊急提供更新程式</span></a></strong></h3> <p>微軟於9月20日，針對端點裝置管理系統Endpoint Configuration Manager（原System Center Configuration Manager，SCCM）發布額外更新KB15498768，主要是修補CVE-2022-37972，CVSS風險評分為7.5分，影響2103至2207版，並表示漏洞細節已經遭到公開，但尚未發現遭到利用的跡象，呼籲用戶要儘速修補。</p> <p>究竟相關的漏洞細節是如何外流？微軟並未進一步說明。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://udn.com/news/story/7320/6639973"><span style="color: rgb(0, 0, 0);">中山科學研究院技師下載軍事機密，並在被逮捕前刪除相關資料</span></a></span></strong></p> <p><a href="https://ssu.gov.ua/novyny/sbu-neitralizuvala-khakerske-uhrupovannia-yake-zlamalo-maizhe-30-mln-akauntiv-hromadian-ukrainy-ta-yes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭警方逮捕竊取3千萬個帳號兜售的駭客組織成員</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cybereason.com/blog/threat-analysis-report-abusing-notepad-plugins-for-evasion-and-persistence"><span style="color: rgb(0, 0, 0);">駭客組織StrongPity濫用開源記事本程式Notepad++的外掛元件來規避偵測</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153218">【2022年9月23日】勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35萬個開源專案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153164">【2022年9月21日】資安業者Imperva緩解持續長達4小時的大規模DDoS攻擊、駭客鎖定Oracle WebLogic伺服器挖礦</a></strong></strong></strong></p> </div></div></div>
2022/9/26 16:15作者周峻佑https://www.ithome.com.tw/news/153254
Sophos修補已被開採的防火牆漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce" target="_blank">資安業者 Sophos上周五（9/23）修補</a>了一個位於 Sophos Firewall中的安全漏洞CVE-2022-3236，這是個遠端程式攻擊漏洞，而且已被實際開採，受害者為東南亞地區的幾個特定組織。</p> <p>此一漏洞存在於Sophos Firewall中的User Portal and Webadmin，這是一個程式碼注入漏洞，允許駭客自遠端執行程式，影響Sophos Firewall 19.0 MR1與之前的版本。Sophos已經直接聯繫了這幾家被駭客鎖定的組織。</p> <p>Sophos表示，該公司已修補了此一漏洞，由於Sophos Firewall的預設為自動安裝修補程式，因此未變更該預設值的客戶不必執行額外的動作，至於其它的暫時性解決方案則是避免User Portal and Webadmin曝露在WAN中，只要關閉WAN存取該服務的能力即可。</p> </div></div></div>
2022/9/26 14:53作者陳曉莉https://www.ithome.com.tw/news/153252
澳洲第二大電信業者Optus遭駭，數百萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.optus.com.au/about/media-centre/media-releases/2022/09/optus-notifies-customers-of-cyberattack" target="_blank">澳洲第二大電信業者Optus在9月22日坦承</a>遭到網路攻擊，駭客鎖定的目標是該公司的客戶資料，<a href="https://www.wsj.com/articles/cyberattack-on-optus-potentially-exposes-millions-of-customer-accounts-11663920097?mod=djemalertNEWS" target="_blank">而《華爾街日報》（ Wall Street Journal，WSJ）則報導</a>，最壞的狀況是Optus的980萬名客戶的資料外洩了。</p> <p>Optus為新加坡電信（Singtel）的全資子公司，也是澳洲的第二大電信業者，於澳洲提供行動及家用網路服務。</p> <p>Optus表示，可能外洩的資料包括客戶的姓名、生日、電話號碼、電子郵件帳號，以及部分客戶的地址、駕照號碼或護照號碼，但支付資訊或密碼並未遭到危害。</p> <p>此外，Optus強調駭客的目標為客戶資料，因此不管是行動或家用網路服務都未遭到波及，傳訊及語音服務亦保持完整，並維持正常運作。</p> <p>《華爾街日報》引述Optus高階主管Kelly Bayer Rosmarin的說法指出，最糟的狀況是駭客存取了980萬名客戶的資料，但他們相信真正被存取的資料並沒有那麼多。</p> <p>在察覺被駭客入侵的當下，Optus立即通知了澳洲的網路安全中心、澳洲聯邦警察、澳洲資訊專員辦公室，以及其它相關的主管機關，以共同調查此一駭客事件，並以簡訊與郵件通知用戶，也提醒用戶該公司不會於通知郵件中嵌入超連結，切勿點選訊息中宣稱來自Optus的超連結，並呼籲用戶小心網釣郵件或電話。</p> </div></div></div>
2022/9/26 13:40作者陳曉莉https://www.ithome.com.tw/news/153244
【資安週報】2022年9月19日到9月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周資安新聞中，Uber傳出遭駭事件已證實，駭客於竊得承包商員工帳密後，並在多次嘗試登入之下，導致不斷收到多因素認證通知的員工最終允許；勒索軟體駭客BlackCat近日攻擊手法有新變化，會利用Eamfo惡意程式竊取企業Veeam備份資料中的帳密。</p> <p>在漏洞消息方面，最受關注的是，Python程式語言的Tarfile模組中，依然存在15年前的CVE-2007-4559漏洞，尚未修補，初估有35萬個專案曝險，揭露的資安業者Trellix已提供相關檢測工具Creosote。</p> <p>還有一些資安威脅的趨勢演變值得關注，包括出現長達4個小時的DDoS攻擊，以及Domain Shadowing攻擊的一種DNS劫持攻擊手法，外界普遍難以偵測並開始氾濫。此外，傳出勒索軟體LockBit製作工具流出的消息，若被其他駭客利用，將對防守者帶來更多威脅。</p> <p>對於中國惡意挖角臺灣人才與竊密的情形，最近法務部調查局特別示警，指出自2021年專案偵辦以來，已查獲至少40起惡意挖角與竊取機密的案件。</p> <p>在資安推動上，在國內，本周臺灣資安大會2022於南港展覽館登場，不僅是總統蔡英文連續四年蒞臨，副總統賴清德也首度光臨巡視臺灣資安館及重要臺灣廠商， 8月出任數位發展部部長的唐鳳亦是連兩日參與。</p> <h2 class="rtecenter"><strong>本週重大資安新聞<br /> <a href="https://www.ithome.com.tw/news/153233#uber"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F1.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#blackcat"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F2.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#python"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F3.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#trade_secret"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F4.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#CYBERSEC2022"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F8.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#president"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F9.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#lockbit"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F5.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#jpmorgan"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F6.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#chrome"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F7.jpg" style="width: 550px;" /></a><br /> <a href="https://www.ithome.com.tw/news/153233#NPA"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F10.jpg" style="width: 550px;" /><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7_F11.jpg" style="width: 550px;" /></a></strong></h2> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-hacked-internal-systems-breached-and-vulnerability-reports-stolen/" id="uber" name="uber" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">將帳密寫死在指令碼釀新禍！有駭客透過網釣取得這類資訊而滲透Uber的特權管理系統</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcvh_tEXkAMsCN4.jpg" style="width: 300px; float: right;" /></a>車輛共乘媒合平臺Uber傳出在9月15日遭到網路攻擊，年僅18歲的駭客向媒體、資安人員表示，他先針對該公司員工進行社交工程攻擊，竊得相關帳密後存取Uber的內部網路環境。</p> <p>這名駭客聲稱能夠存取該公司的AWS控制臺、VMware ESXi的虛擬機器，Google Workspace的管理儀表板等，駭客還在Uber所屬的Slack頻道上向該公司員工表示，Uber已經遭到入侵，結果許多員工以為是開玩笑而不予理會，一名員工透露IT部門要求他們暫時停止使用Slack；此外，員工上網似乎都會被導向色情網站。</p> <p>隔日，Uber證實遭到入侵，但強調他們旗下的服務皆不受影響。研究人員Corben Leo表示，駭客是假冒Uber的IT人員向員工進行攻擊，得逞後通過VPN存取該公司內部環境，找到PowerShell指令碼並挖掘出特權管理系統Thycotic的管理員帳號，進而取得該公司各式系統帳號。根據紐約時報的報導，駭客疑似存取了Uber的資料庫與原始碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/uber-links-breach-to-lapsus-group-blames-contractor-for-hack/"><span style="color: rgb(0, 0, 0);">Uber指控遭駭事故疑為駭客組織Lapsus$所為，承包商的帳號遭冒用</span></a></strong></h3> <p><a href="https://www.ithome.com.tw/news/153130#uber">車輛共乘媒合平臺Uber上週末傳出遭駭</a>，經過調查後，該公司於9月19日指稱，攻擊者就是駭客組織Lapsus$，這些駭客竊得承包商員工的帳密而得逞。Uber指出，此起事故是1名承包商人員的個人裝置感染了惡意程式，導致帳密外流，駭客利用多因素驗證轟炸的手法，使得該名員工最後放行，讓駭客能入侵Uber。</p> <p>隨後，這些駭客存取了多名員工的帳號，進而得到Google Workspace、Slack的管理員權限，同時重新設定Uber的OpenDNS組態，從而導致該公司員工上網被導向色情圖片，就連存取內部網站也無法倖免。</p> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-ransomware-ttps" id="blackcat" name="blackcat"><span style="color: rgb(0, 0, 0);">備份資料成為駭客竊取使用者帳密的新目標，勒索軟體BlackCat鎖定Veeam備份軟體竊取資料</span></a></strong></h3> <p>資安業者賽門鐵克指出，今年8月勒索軟體駭客BlackCat所使用的攻擊工具，針對雙重勒索的做法上出現變化。該組織使用的資料外洩模組Exmatter，限縮只針對17種格式的檔案下手，並具備破壞檔案的能力；再者，這些駭客也採用名為Eamfo的惡意程式，來竊取Veeam備份資料裡面的帳密。</p> <p>研究人員指出，駭客為了避免防毒軟體干擾攻擊行動，他們將Exmatter的程式碼重新改寫，而能躲過偵測；同時，駭客也運用名為GMER的Rootkit掃描工具刪除特定的處理程序。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153206" id="jpmorgan" name="jpmorgan"><span style="color: rgb(0, 0, 0);">摩根史坦利廢棄硬碟與伺服器洩露客戶資料，遭罰3,500萬美元</span></a></strong></h3> <p>摩根史坦利旗下部門因報銷公司的舊資料系統不當，導致高達近1,500萬名客戶資料曝險，主管機關美國證券交易委員會（SEC）將祭出3,500萬美元罰款。</p> <p>本案源於2015年該公司關閉財富管理部門MSSB時，未能妥善處理包含客戶重要個資的系統。當時他們聘請不具資料銷毀能力的清運公司，來處理報銷的數千個硬碟和伺服器，卻沒有監督此清運業者的執行過程，使得上述存放客戶個資的設備遭到轉賣，相關資料也隨之曝險。MSSB並未證實上述的調查結果，但將會向支付SEC罰款。</p> <h3><strong style="font-size: 22px;"><a href="https://www.otto-js.com/news/article/chrome-and-edge-enhanced-spellcheck-features-expose-pii-even-your-passwords"><span style="color: rgb(0, 0, 0);">瀏覽器拼字檢查功能未將密碼排除在外，而導致密碼上傳到Google與微軟</span></a></strong></h3> <p>專精JavaScript安全的資安業者otto提出警告，用戶若是啟用網頁瀏覽器Chrome的進階拼字檢查（Enhanced Spellcheck）功能，以及Edge的拼寫檢查元件Microsoft Editor，瀏覽器就有可能將網站表單裡輸入的資料傳送給Google或是微軟，假如是密碼欄位，且使用者點選了「顯示密碼」按鈕，就會將密碼傳送出去。</p> <p>研究人員指出，這是兩家公司為了改善翻譯結果，將使用者輸入的資料回傳到伺服器進行分析，但這樣的機制也會回傳用戶點選明文顯示的密碼，他們將這種威脅稱為「拼字劫持（Spell-Jacking）」，並挑選超過50個網站進行測試，結果高達96.7%的網站，都會把使用者輸入的資料傳送給Google或微軟，也有73%會送出密碼，而約有20％網站不會送出密碼的原因，則是因為沒有提供顯示密碼的功能。</p> <p>該公司呼籲網站管理者，應在特定欄位加上關閉拼字檢查的指令，來因應瀏覽器拼字檢查功能將用戶資料回傳到Google或微軟的情況。Google、微軟並未針對此事做出回應。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cna.com.tw/news/asoc/202209160249.aspx" id="trade_secret" name="trade_secret"><span style="color: rgb(0, 0, 0);">中國企業挖角臺灣高科技產業、竊密，1年查獲40起</span></a></strong></h3> <p>法務部調查局於9月16日指出，自民國110年專案偵辦中國對臺灣人才挖角的情況，他們查獲至少40起惡意挖角與竊取機密的案件。</p> <p>經分析發現，中國企業往往轉由第三地地區投資公司的名義，刻意掩飾身分或資金來源，再到臺灣從事惡意挖角與竊密，這樣的情況，顯示這些不法行為並非僅是單純的經濟競爭，而有可能危及國家安全。調查局指出，中國企業挖角的目標多為臺灣的IC設計人才，他們將持續偵辦相關案件，來確保臺灣高科技產業的發展。</p> <h3><strong style="font-size: 22px;"><a href="https://www.imperva.com/blog/record-25-3-billion-request-multiplexing-attack-mitigated-by-imperva/"><span style="color: rgb(0, 0, 0);">DDoS不只規模大、還可能持續數小時之久而產生暴量存取請求！資安業者Imperva揭露已出現持續長達4小時的攻擊</span></a></strong></h3> <p>過往的DDoS攻擊多半是瞬間出現大量請求或是請求，但現在也有長時間的攻擊行動。資安業者Imperva於6月27日緩解鎖定中國電信業者的攻擊行動，駭客透過17萬個裝置製造請求，但值得留意的是，雖然此起事故的最大瞬間流量為每秒390萬次請求（RPS），不若Cloudflare同月公布的事故達到2,600萬次RPS高峰，此起攻擊行動卻持續了長達4個小時，該公司總共攔截253億次請求（平均頻率為180萬次RPS）。</p> <p>研究人員表示，這種長時間攻擊的手法相當少見，考量到攻擊的成本，超過1個小時的攻擊行動只占十分之一，4個小時的DDoS攻擊幾乎可說是鮮少發生。</p> <h3><strong style="font-size: 22px;"><a href="https://unit42.paloaltonetworks.com/domain-shadowing/"><span style="color: rgb(0, 0, 0);">研究人員找到1.2萬個遭駭客濫用的影子網域</span></a></strong></h3> <p>資安業者Palo Alto Networks指出，影子網域攻擊（Domain Shadowing）近期變得相當氾濫，在今年4月至6月，他們就偵測到12,197個被用於此種攻擊的網域，研究人員表示，這種網域相當難以識別，在VirusTotal裡，上述的1.2萬個網域僅有200個被視為帶有攻擊意圖。</p> <p>影子網域攻擊是DNS挾持（DNS Hijacking）的其中一種手法，駭客破壞合法網域的DNS伺服器，進而代管自己的子網域，並將子網域用於攻擊，從而濫用遭駭網域的良好聲譽，使得駭客設置的惡意網站能繞過資安系統的檢查。研究人員呼籲用戶在填寫帳密時必須提高警覺，切勿因為防毒軟體或是瀏覽器沒有將網站表示有害就掉以輕心。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-builder-leaked-online-by-angry-developer-/" id="lockbit" name="lockbit" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit的製作工具遭到該集團的開發者流出</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/builder.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/builder.jpg" style="width: 300px; float: right;" /></a>資安研究團隊3xp0rt、VX-Underground指出，有人在推特上散布勒索軟體LockBit 3.0（LockBit Black）的產生器，資安新聞網站Bleeping Computer取得此勒索軟體產生器，並向多名研究人員確認，證實確實是此駭客組織所持有的檔案。VX-Underground和駭客組織LockBit取得聯繫，對方聲稱是對組織心懷不滿的開發者所洩露，原因是不滿該組織的高層。</p> <p>但無論流出的管道為何，這些檔案很可能被其他駭客利用，對防守者帶來更大的威脅。</p> <h3><strong style="font-size: 22px;"><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Fake-and-Legitimate-websites-of-the-National-Tax-Agency-.jpg"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者LastPass針對8月遭駭透露更多調查結果</span></a></strong></h3> <p>密碼管理解決方案業者LastPass遭到入侵，駭客盜走部分程式碼與獨家技術資料，現在該公司揭露進一步的分析結果。</p> <p>LastPass於9月15日指出，駭客發動攻擊的過程共有4天，且在成功通過多因素驗證流程後冒充該公司的開發人員。經過分析原始碼與檢查正式版軟體，LastPass表示並未找到被駭客注入惡意程式碼的跡象。關於原始碼沒有遭竄改，該公司認為，主要是開發環境與正式環境採取實體隔離的措施，使得正式環境得以保全。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/new-york-ambulance-service-discloses-data-breach-after-ransomware-attack/"><span style="color: rgb(0, 0, 0);">紐約救護車業者證實遭到攻擊，疑勒索軟體Hive所為</span></a></strong></h3> <p>根據資安新聞網站Bleeping Computer的報導，美國紐約救護車業者Empress EMS通知客戶，他們在7月14日遭到勒索軟體攻擊，駭客於5月26日入侵該公司的內部網路環境，然後在加密檔案的前一天外洩部分資料，當中含有病人姓名、服務日期，以及保險資料等。該公司向美國衛生與公共服務部通報，有318,558人受到影響。</p> <p>至於攻擊者的身分，勒索軟體駭客組織Hive在7月底聲稱是他們所為，資安新聞網站DataBreaches上週末揭露了更多與該組織有關的資訊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/american-airlines-discloses-data-breach-after-employee-email-compromise/"><span style="color: rgb(0, 0, 0);">美國航空員工電子郵件帳號遭駭，旅客資料外洩</span></a></strong></h3> <p>9月16日，美國航空（American Airlines）通知客戶，駭客入侵部分員工的電子郵件帳號，進而存取旅客的個人資訊，包括姓名、生日、住家地址、電話號碼、電子郵件位址、駕照號碼、護照號碼，以及特定醫療訊息，目前並無證據顯示上述個資遭到濫用。</p> <p>該公司向資安新聞網站Bleeping Computer透露，駭客透過網釣攻擊盜取員工的電子郵件帳號，郵件裡含有少數員工與旅客的資訊。究竟有多少旅客受到影響？該公司並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=136ed025-eddf-46f3-a839-506100ed5e8b" id="NPA" name="NPA" style="background-size: 16px;"><span style="color: rgb(0, 0, 0);">刑事局破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，逮捕參與境外詐騙的工程師及共犯</span></a></strong></h3> <p>內政部警政署刑事警察局在9月18日破獲國內首宗詐騙釣魚網站及攔截簡訊系統開發商，查扣偽冒政府機關App的惡意程式原始碼，並在2021年8月與2022年6月，逮捕陳姓工程師、巫姓主嫌及3名共犯，扣押13,512顆泰達幣（USDT），約相當於新臺幣42萬元。</p> <p>這次事件之所以浮上檯面，主要是因為刑事局印尼聯絡組接獲資安業者網路安全調查報告，而發現侵害泰國、中國、越南等惡意釣魚網站的散布來源是臺灣，後續由駐美西、泰國聯絡官協助追查而破獲，而這也是我國打擊網路犯罪在國際交流合作上的重大突破。</p> <h3><strong style="font-size: 22px;"><a href="https://cofense.com/blog/threat-actors-abuse-linkedin-slink-to-bypass-secure-email-gateways"><span style="color: rgb(0, 0, 0);">駭客以LinkedIn的付費版功能散布惡意連結，藉此規避偵測</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LinkedIn-Smart-Link-phishing.png" style="width: 300px; float: right;" /></a>社群網站提供企業用戶來追蹤客戶的URL分享功能，也成為駭客用來規避偵測的攻擊工具！資安業者Confense發現有人利用LinkedIn提供的Smart Link功能來發動釣魚郵件攻擊，假冒斯洛伐克郵政公司的名義，通知收件人需要支付寄送包裏的費用。一旦收信人依照指示點選連結，就會被引導到釣魚網站，要求刷卡付費，藉此騙取受害者的信用卡資料。</p> <p>Smart Link為付費版LinkedIn帳號的功能，主要是提供使用者分享廣告連結，並追蹤其成效，但駭客濫用之後，不只能繞過郵件安全系統的防護，還能確認攻擊是否有效，進而調整攻擊手法。研究人員警告，濫用此種URL成效追蹤服務的攻擊日後可能會變得相當氾濫，呼籲使用者要提高警覺。</p> <h3><strong style="font-size: 22px;"><a href="https://auth0.com/blog/top-insights-from-our-2022-state-of-secure-identity-report/"><span style="color: rgb(0, 0, 0);">帳號填充攻擊流量占所有登入行為的三分之一</span></a></strong></h3> <p>身分驗證管理解決方案業者Okta針對今年第一季的身分安全態勢提出他們的觀察，當中特別提及帳號填充（Credential Stuffing）攻擊變得更加氾濫，在該公司處理的登入請求中，有34%驗證請求流量是這種攻擊，達到了100億次的記錄。換言之，平均每3次嘗試登入的行為就有一次是帳號填充攻擊。</p> <p>研究人員指出，由於攻擊者往往會在很短的時間裡，集中嘗試大量帳密組合，遭到鎖定的系統很可能會承受10倍負載，進而影響一般使用者。該公司呼籲組織不只要使用多因素驗證，還應該採取主動查核的機制來因應。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/threat-analysis-malicious-npm-package-mimicks-material-tailwind-css-tool"><span style="color: rgb(0, 0, 0);">出現命名模仿特定CSS框架的冒牌NPM套件，夾帶指令碼以散布惡意軟體</span></a></strong></h3> <p>資安業者ReversingLabs發現惡意NPM套件material-tailwindcss，這個套件約自9月15日出現，一旦受害者將其安裝到開發環境，電腦就會下載以密碼保護的ZIP檔案，內容是能夠執行PowerShell指令碼的可執行檔，目前已被下載320次。</p> <p>這個套件的名稱，是模仿名為Material Tailwind的CSS框架，而很有可能讓開發者上當。為了避免研究人員分析，駭客還在指令碼內加入休眠的機制，並在執行時先檢查能否連線到Google.com等合法網域。</p> <h3><strong style="font-size: 22px;"><a href="https://www.trendmicro.com/en_us/research/22/i/a-post-exploitation-look-at-coinminers-abusing-weblogic-vulnerab.html"><span style="color: rgb(0, 0, 0);">駭客鎖定Oracle WebLogic伺服器來發動挖礦攻擊</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig 2_A Post-exploitation Look at Coinminers Abusing WebLogic Vulnerabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%202_A%20Post-exploitation%20Look%20at%20Coinminers%20Abusing%20WebLogic%20Vulnerabilities.png" style="width: 300px; float: right;" /></a>趨勢科技發現，使用惡意軟體Kinsing的駭客，利用CVE-2020-14882與CVE-2020-14883，攻擊尚未修補的Oracle WebLogic伺服器，然後透過Java處理程序竄改防火牆政策，甚至將其停用，然後也停用SELinux防護機制，並偵測及封鎖阿里雲、百度、騰訊雲（QCloud）的代理程式，最終使用Wget下載Kinsing來進行挖礦。附帶一提，為了能長期在受害伺服器上運作，駭客還以crontab建立下載指令碼排的工作排程。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-steal-162-million-from-wintermute-crypto-market-maker/"><span style="color: rgb(0, 0, 0);">加密貨幣造市商Wintermute遭竊1.62億美元</span></a></strong></h3> <p>加密貨幣造市商Wintermute於9月20日證實遭到入侵，使得他們在去中心化金融（DeFi）業務損失1.62億美元。該公司表示，他們願意將這起事故當作白帽事件（意即不打算追究法律責任）來處理，希望駭客能和他們聯繫。</p> <p>雖然損失慘重，但Wintermute強調，集中金融（CeFi）與場外交易（OTC）等業務不受影響，且該公司仍有能力提供貸款。而究竟Wintermute如何遭駭？研究人員認為，駭客很可能利用以太坊虛擬網址產生器Profanity的弱點入侵。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/MsftSecIntel/status/1570911625841983489"><span style="color: rgb(0, 0, 0);">駭客組織DEV-0796發起點擊詐騙活動，濫用受害電腦來賺取廣告利潤</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fcz_zHIX0AEczh2.jpg" style="width: 300px; float: right;" /></a>微軟安全情資中心發現攻擊範圍極為廣泛的點擊詐騙（Click Fraud）行動，駭客組織DEV-0796透過惡意廣告或是在YouTube影片留言散布惡意連結，引誘受害者下載ISO或DMG檔案，進而在瀏覽器暗中植入惡意套件，或是NW.js（原node -webkit），最終將這些電腦用於點擊詐騙，駭客從而賺得廣告收入。值得留意的是，不論是執行Windows或macOS作業系統的電腦，都有可能受害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-sells-stolen-starbucks-data-of-219-000-singapore-customers/"><span style="color: rgb(0, 0, 0);">星巴克22萬新加坡客戶資料流入暗網</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/starbucks-hacking-forum-post.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，知名連鎖咖啡店星巴克的新加坡客戶資料流入暗網，駭客於9月10日在地下論壇聲稱竊得219,675筆資料，內含客戶的姓名、性別、出生日期、行動電話號碼、電子郵件信箱、居住地址，這些受影響人士的身分，主要是星巴克行動裝置App的用戶，上述資料駭客求售3,500美元。</p> <p>新加坡新聞媒體海峽時報（The Straits Times）指出，當地星巴克已經向受影響的客戶發出通知，並呼籲所有的客戶最好重設密碼來避免帳號遭到濫用。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bbc.com/news/technology-62937678"><span style="color: rgb(0, 0, 0);">越南駭客聲稱取得飯店集團IHG的密碼庫存取權限，並破壞資料</span></a></strong></h3> <p>洲際飯店集團（InterContinental Hotels Group，IHG）遭到網路攻擊．現在有人聲稱是發動攻擊的駭客，並向媒體表示破壞IHG資料只是因為好玩，也展示與之相關的螢幕截圖，且獲得IHG證實。</p> <p>根據英國廣播公司（BBC）的報導，有自稱是TeaPea的越南駭客透過加密通訊軟體Telegram表示，這起事故是他們所為，先是鎖定員工發動釣魚郵件攻擊並於電腦植入惡意軟體，進而入侵IHG網路環境，並存取密碼資料庫，接著先後發動勒索軟體攻擊、資料破壞軟體（Wiper）攻擊。</p> <h3><strong style="font-size: 22px;"><a href="https://www.mandiant.com/resources/blog/dprk-whatsapp-phishing"><span style="color: rgb(0, 0, 0);">北韓駭客透過即時通訊軟體WhatsApp，針對媒體散布惡意版PuTTY</span></a></strong></h3> <p>資安業者Mandiant揭露北韓駭客UNC4034的攻擊行動，駭客以提供Amazon職缺為由，透過即時通訊軟體WhatsApp向媒體公司的員工進行聯繫，然後傳送ISO檔案amazon_assessment.iso，其內容包含了被植入木馬程式的SSH連線軟體PuTTY。</p> <p>駭客疑似要求受害者透過上述SSH連線工具進行操作，然後在受害電腦部署名為Daveshell的惡意Shell Code，並於記憶體內執行，最終植入後門程式Airdry.v2。由於上述木馬化的PuTTY具備原始版本的所有功能，而使得受害者難以察覺異狀，研究人員呼籲使用者應檢查該程式是否具有合法簽章。</p> <h3><strong style="font-size: 13px;"> </strong></h3> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html" id="python" name="python"><span style="color: rgb(0, 0, 0);">存在15年的Python漏洞恐影響35萬個開源專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，程式語言Python的Tarfile模組裡存在CVE-2007-4559，此為目錄遍歷（Directory Traversal）漏洞，已存在長達15年，當時認為CVSS風險評分僅有6.8分而沒有得到修補。</p> <p>但研究人員指出，攻擊者很容易利用此漏洞來執行任意程式，甚至是控制受害裝置。研究人員初步挑選257個專案進行調查，結果約有6成存在相關漏洞，所有使用Tarfile的開源專案有588,840個，粗估有逾35萬個專案曝險。該公司提供能檢測此漏洞的程式碼Creosote，供專案團隊確認是否受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api" id="chrome" name="chrome"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></strong></h3> <p>資安研究員Michał Bentkowski發現，Chormium專案的程式碼裡存在原型污染（Prototype Pollution）漏洞，而有機會讓攻擊者繞過名為Sanitizer的API。這個API是內建於此瀏覽器的程式庫，用途是在使用者控制的輸入來源中，移除潛在的惡意程式碼，研究人員指出，此API在8月發布Chrome 105預設啟用，使得此漏洞影響的範圍變得相當廣。</p> <p>該名研究員以特製的SVG圖檔來進行概念性驗證，一旦瀏覽器載入此圖檔物件，就會執行研究人員的JavaScript程式碼。此漏洞在研究人員揭露後引起Chromium社群的熱烈討論，並探討著手緩解的做法。</p> <h3><strong style="font-size: 22px;"><a href="https://onekey.com/blog/security-advisory-netgear-routers-funjsq-vulnerabilities/"><span style="color: rgb(0, 0, 0);">Netgear路由器存在任意程式碼執行漏洞，與採用的第三方線上遊戲加速模組有關</span></a></strong></h3> <p>資安業者Onekey發現，多款Netgear旗下路由器、Orbi無線網路系統，存在可被用於執行任意程式碼的漏洞CVE-2022-40619、CVE-2022-40620，這些漏洞與上述設備採用的線上遊戲加速模組FunJSQ有關，原因是此模組的更新流程不安全，FunJSQ僅對接收到的更新套件進行雜湊值核對，但更新套件沒有搭配簽章保護，使得攻擊者有可能利用相關弱點在設備的WAN連接埠執行任意程式碼。</p> <p>Netgear獲報後著手修補，並強調沒有其他緩解措施，呼籲用戶應儘速安裝新版韌體。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153139" id="president" name="president"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蔡英文總統出席臺灣資安大會，強調做資安不能單打獨鬥，需透過公私聯防與國際合作，並加速完善聯防體系</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/16814932994656.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/16814932994656.jpg" style="width: 300px; float: right;" /></a>【臺灣資安大會直擊】第八屆臺灣資安大會於9月20日～9月22日假南港展覽館二館舉辦，總統蔡英文再度到場致詞，並肯定臺灣資安大會活動的舉行，已經成為亞太地區最具規模、也是實體活動的展會，這已是蔡總統第四度到場，除了一再展現政府與臺灣資安產業攜手做資安的態度，並持續強調聯防的重要性，也強調政府正加速完善聯防體系，同時，8月上任數位發展部部長的唐鳳也現身開幕典禮，並前往臺灣資安館展區觀展</p> <h3><a href="https://www.ithome.com.tw/news/153159" id="CYBERSEC2022" name="CYBERSEC2022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣資安大會2022登場，期許資安人員不僅是數位世界的救災人員，更是世界的守護者</span></strong></a></h3> <p>【臺灣資安大會直擊】臺灣資安大會在今日20日舉行，這場為期三天的活動，現場不只進行250場以上的議程與座談，還有多達300以上的國內外資安業者參與，在今日早上大會開幕儀式中，主辦單位臺灣資安大會主席暨iThome總編輯吳其勳表示，駭客攻擊威脅是日益嚴峻，甚至擾亂社會秩序，在資安生態圈扮演各自角色的大家，每一個人，也就是在網路世界守護家園、守護世界</p> <h3><a href="https://www.ithome.com.tw/news/153174"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位部長唐鳳揭露打造堅韌安全的智慧國家的3目標、4大策略</span></strong></a></h3> <p>【臺灣資安大會直擊】在9月21日舉行的CYBERSEC 2022臺灣資安大會第二日活動現場，連續兩天出席、8月底上任數位發展部的唐鳳部長，不僅顯現促進公私協力的積極態度，並於上午致詞時強調，臺灣要推動社會韌性、產業韌性與應變韌性，更要推動全民數位韌性，政府也將會協助各行各業面對各種資安的挑戰。<br /> 此外，原行政院資安處推動的第六期國家資通安全方案（110年至113年），如今數位發展部將接續進行，在這次大會上，唐鳳部長自就任來首公開說明，會透過旗下數位產業署、資通安全署，持續進行四項主要工作，不論是：資安產業發展的吸引全球高階人才，培植自主創新的能量，以及提升關鍵基礎設施韌性、善用前瞻科技主動抵禦，還有提升民間防護能量，期望讓臺灣數位轉型過程資安也同樣跟上</p> <h3><a href="https://www.ithome.com.tw/news/153220"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國際冷熱戰交織，資安漏洞與勒索軟體成為國家級網攻關鍵軍火</span></strong></a></h3> <p>【臺灣資安大會直擊】因俄羅斯攻打烏克蘭，以及美國聯邦眾議院議長裴洛西訪臺引發中國抗議，值此全球新冷戰雙邊對立的局面，TeamT5杜浦數位安全創辦人暨執行長蔡松廷在2022臺灣資安大會上，解析資安漏洞在網路戰扮演的角色，以及勒索軟體攻擊受此情勢影響的狀況，置身於這樣高度危險的環境之下，他認為，掌握威脅情資與強化協同防禦將是能否抵禦威脅的關鍵</p> <h3><a href="https://www.ithome.com.tw/news/153223"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金融資安行動方案推動2年，金管會提出4大防護要點，並透露下個推動重點聚焦零信任與身分驗證框架</span></strong></a></h3> <p>【臺灣資安大會直擊】確保金融服務不中斷，是我國金融資安行動方案推動上的最重要目標，在2022臺灣資安大會的金融資安論壇上，金管會揭露金融資安行動方案推動現況與未來，不僅是要促僅整體產業強化資安，讓金融業也更安全，受關注的是，對於金融業接下來可望有兩個推動重點，分別是零信任戰略及金融身分驗證框架與標準，同時強調第三方供應商風險監控重要性，並鼓勵業者通過ISO 22301國際持續營運管理標準。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/22/malicious-oauth-applications-used-to-compromise-email-servers-and-spread-spam/"><span style="color: rgb(0, 0, 0);">微軟Exchange伺服器遭植入惡意OAuth應用程式，並被用於散布垃圾郵件</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://sansec.io/research/magento-2-template-attacks"><span style="color: rgb(0, 0, 0);">電商平臺Magento重大漏洞CVE-2022-24086遭到利用，被用於植入木馬程式</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-high-severity-flaws-business-one-businessobjects-grc"><span style="color: rgb(0, 0, 0);">SAP修補BusinessOne、BusinessObjects、GRC高風險漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></span></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/bitdefender-releases-free-decryptor-for-lockergoga-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Bitdefender提供勒索軟體LockerGoga解密工具</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.advintel.io/post/advintel-s-state-of-emotet-aka-spmtools-displays-over-million-compromised-machines-through-2022"><span style="color: rgb(0, 0, 0);">殭屍網路Emotet被用於散布勒索軟體BlackCat、Quantum</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hive-ransomware-claims-attack-on-new-york-racing-association/"><span style="color: rgb(0, 0, 0);">紐約賽馬協會傳出遭勒索軟體Hive攻擊</span></a></span></strong></p> <p><a href="https://www.recordedfuture.com/russia-nexus-uac-0113-emulating-telecommunication-providers-in-ukraine"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Sandworm假冒電信業者，向烏克蘭散布惡意軟體</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://cofense.com/blog/credential-phishing-targeting-government-contractors-evolves-over-time"><span style="color: rgb(0, 0, 0);">駭客假冒美國政府機關，鎖定Microsoft 365用戶發動網釣攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-264a"><span style="color: rgb(0, 0, 0);">針對阿爾巴尼亞政府7月遭駭，美國表示伊朗駭客埋伏長達14個月才動手</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/revolut-hack-exposes-data-of-50-000-users-fuels-new-phishing-wave/"><span style="color: rgb(0, 0, 0);">金融科技業者Revolut資料外洩，5萬客戶受到影響</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/webworm-espionage-rats"><span style="color: rgb(0, 0, 0);">Webworm駭客組織改造舊版木馬程式來發動攻擊</span></a></span></strong></p> <p><a href="https://www.vice.com/en/article/4ax459/pro-ukraine-hacktivists-claim-to-have-hacked-notorious-russian-mercenary-group"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭IT軍隊聲稱入侵俄羅斯傭兵集團</span></span></strong></a></p> <p><a href="https://thehackernews.com/2022/09/malicious-npm-package-caught-mimicking.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織匿名者癱瘓伊朗政府網站，目的是抗議警方對婦女執法過當</span></span></strong></a></p> <h3><strong><span style="font-size: 20px;"><a href="https://arstechnica.com/information-technology/2022/09/twitter-pranksters-derail-gpt-3-bot-with-newly-discovered-prompt-injection-hack"><span style="color: rgb(0, 0, 0);">GPT-3推特機器人存在即時注入漏洞而被迫關閉</span></a></span></strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/ares-banking-trojan-learns-old-tricks-adds-defunct-qakbot-dga"><span style="color: rgb(0, 0, 0);">金融木馬Ares利用與QBot相同的DGA手法攻擊墨西哥</span></a></span></strong></p> <p><a href="https://blog.aquasec.com/new-malware-in-the-cloud-by-teamtnt"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體TeamTNT劫持伺服器進行挖礦，企圖破解比特幣的加密演算法</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gta-6-source-code-and-videos-leaked-after-rockstar-games-hack/"><span style="color: rgb(0, 0, 0);">電玩業者Rockstar遭駭，駭客聲稱竊得測試版遊戲的影片與原始碼</span></a></span></strong></p> <p class="rtecenter"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/153233"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 600px;" /></a></span></span></strong></p> </div></div></div>
2022/9/26 11:54作者羅正漢https://www.ithome.com.tw/news/153233
伊朗切斷網路，美國擴大當地網路服務許可，Starlink啟用當地衛星通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名22歲的伊朗女性Mahsa Amini在9月中旬因頭巾問題遭到當地警方逮捕，並在3天後去世，在伊朗掀起了近年來最大的一波暴動與抗議活動，促使伊朗政府切斷了當地的網路，美國則在上周五（9/23）更新對伊朗的一般許可（General License，GL），<a href="https://home.treasury.gov/news/press-releases/jy0974" target="_blank">鼓勵科技業者於伊朗提供通訊服務</a>，SpaceX執行長馬斯克（Elon Musk）旋即響應，<a href="https://twitter.com/SecBlinken/status/1573327474951438337" target="_blank">宣布要在伊朗啟用Starlink衛星通訊服務</a>。</p> <p>美國財政部指出，伊朗政府在9月21日切斷了境內800萬用戶中的大多數民眾所存取的網路服務，以避免全球觀看當地的暴力鎮壓行動，美國決定採取行動支持伊朗的資訊自由流動，同時讓伊朗民眾得以存取正確的資訊，因而放寬了對伊朗的許可，將授權技術業者提供更多的網路平臺與服務。</p> <p>原因之一是伊朗已正式宣布，在全國街頭恢復平靜之前，都會持續限制境內的網路存取。<a href="https://netblocks.org/reports/internet-disrupted-in-iran-amid-protests-over-death-of-mahsa-amini-X8qVEwAD" target="_blank">根據NetBlocks的網路偵測</a>，其實伊朗政府從9月19日起便中斷了部分的網路服務，9月21日開始限制境內的Instagram及WhatsApp存取服務，當天更全面關閉當地的行動網路，之後伊朗的網路服務便斷斷續續。<a href="https://twitter.com/CloudflareRadar" target="_blank">至於Cloudflare的數據則顯示</a>，伊朗政府已連續第五天關閉當地的網路服務。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FdCIvUyWAAc3ZMg?format=jpg&name=large" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／NetBlocks</span></span></p> <p>伊朗原本就是美國制裁的重點國家之一，要在伊朗提供服務必須獲得許可，這次美國擴大了許可的範圍，讓社交媒體、協作平臺及視訊會議都能於伊朗提供服務，也放行那些可抵制伊朗網路審查與監控的通訊工具，以及允許防毒、反追蹤及VPN業者在當地提供服務。</p> <p>在美國國務卿Antony Blinken於Twitter宣布此事時，馬斯克很快就回應，宣稱要在伊朗啟用Starlink衛星通訊服務。在俄羅斯於今年2月全面入侵烏克蘭並破壞當地的通訊服務時，<a href="https://www.ithome.com.tw/news/149581" target="_blank">SpaceX也在烏克蘭啟用Starlink衛星服務來應急</a>，並送出了終端設備。</p> <p>馬斯克並未揭露於伊朗啟用Starlink的細節，然而，<a href="https://twitter.com/OliverLinow/status/1573631111464456193" target="_blank">《德國之聲》（DW）的網路自由專家Oliver Linow卻認為</a>，目前Starlink對伊朗的局勢並無幫助。</p> <p>Linow所持原因包括Starlink需要具備擁有衛星天線的設備才能使用，只適用於固定接受，但伊朗關閉了當地的行動網路，所以無法用手機傳遞訊息；由於使用者必須要採用特殊設備，使得它不適用於大多數的民眾，就算可啟用的人得以藉由Wi-Fi與他人分享，但也是危險的；而私人的衛星天線也很可能會被警方拆除，或是用戶身分被揭露。</p> </div></div></div>
2022/9/26 10:52作者陳曉莉https://www.ithome.com.tw/news/153237
保護小型書商，法國設定線上購書最低運費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politico.eu/wp-content/uploads/2022/09/23/20220923_MC_CP_Tarification_livraison_livres.pdf" target="_blank">法國政府上周五（9/23）宣布</a>，已接受法國電信與郵政監理機關（Arcep）的提議，將替線上購書的運費設下門檻，只要購書金額低於35歐元，就必須向消費者收取至少3歐元的運費，以保障小型書商。</p> <p>外界將此事視為法國抵禦Amazon的作法之一。因為諸如Amazon等大型的線上購書平臺，經常以幾乎免運的價格來吸引消費者，但一般的書商並無法承擔此一成本，特別是在消費者僅訂購少量圖書的狀況下，因此，為了保護實體書商免受大型電子商務業者的威脅，法國經濟部及文化部決定接受該提議。</p> <p>其實法國早在6年前就規定線上訂購書籍不得免運，但Amazon等業者利用了該法令的漏洞，僅向消費者要求幾毛錢的運費，但某些獨立書店為了維持利潤，有時購書運費會達到7歐元。</p> <p>法國政府則選了一個中間值。這兩個部門的部長表示，許多其它商品的線上購物運費都設在3歐元，代表這是消費者可接受的運費價格，而35歐元的購物金額則是為了鼓勵消費者一次購買多本書，為一良性的生態轉型。</p> <p>法國政府將會先起草該提議的行政命令，再將它提交給歐盟，可望於蒐集公眾意見並發表的6個月後正式實施。</p> </div></div></div>
2022/9/26 11:06作者陳曉莉https://www.ithome.com.tw/news/153241
微軟緊急修補SCCM遭公開的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-37972" target="_blank">微軟上周五針對端點配置管理員（Endpoint Configuration Manager）釋出例外更新</a>，以修補一個已經公開的安全漏洞。</p> <p>最新修補的漏洞編號CVE-2022-37972，位於原名System Center Configuration Manager（SCCM）的端點配置管理員（Endpoint Configuration Manager），後者是管理企業網路環境下桌機、伺服器和筆電的本地部署管理產品。微軟是針對Endpoint Configuration Manager 2103到2207版，釋出KB15498768更新以修補漏洞。</p> <p>該漏洞風險值7.5，屬於重要（important）。微軟未說明漏洞細節，僅表示已經遭到公開，所幸尚未有開採情形。<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-37972" target="_blank">通報本漏洞的Trimarc Security研究人員Brandon Colley表示</a>正和微軟合作修補程式，因而未透露漏洞技術詳情。</p> <p><a href="https://www.prajwaldesai.com/sccm-hotfix-kb15498768-ntlm-fallback-update/" target="_blank">不過研究人員Prajwal Desai指出</a>，KB15498768更新與NTLM後援連線（connection fallback）有關，最新更新可在「Allow connection fallback to NTLM」選項關閉時，防止任何欲通過NTLM驗證使用「client push installation 」的企圖。Client push installation是可讓管理員在一臺或一群電腦上安裝用戶端軟體的一種方法，這意謂最新更新可防止駭客在企業一群用戶端安裝惡意程式碼。</p> <p>KB15498768更新是經由端點配置管理員或SCCM 控制臺的更新與服務（Updates and Servicing）節點推送。由於這次更新僅推送給2103以後的版本用戶，微軟也鼓勵2103以前版本用戶升級到較新版本。此外，微軟說，管理員也可以停用client push installation方法以減少機器曝險。</p> </div></div></div>
2022/9/26 09:39作者林妍溱https://www.ithome.com.tw/news/153235
英國警方逮捕駭入Uber、Rockstar的青少年駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/CityPolice/status/1573281533665972225" target="_blank">上周五（9/23）英國倫敦警方宣布</a>，<a href="https://www.ithome.com.tw/news/153118" target="_blank">已經逮到兩周前疑似駭入</a>Uber及遊戲業者Rockstar Games的青少年駭客。</p> <p>倫敦警方是在周四透過推特帳號公布，在英國國家網路犯罪小組協助下，已逮捕一名住在牛津郡、涉嫌駭入網路的17歲青少年。目前該青少年仍然在警局拘留中。</p> <p><a href="https://twitter.com/CityPolice/status/1573553836802936833" target="_blank">倫敦警方周六說明</a>，該青少年已被以2項違反交保條件及2項電腦不當使用罪名起訴，他也在當天在青年法院受審。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FdZgzAzXgAA_wcG?format=jpg&name=medium" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／倫敦市警局</span></span></p> <p>但根據<a href="https://twitter.com/vxunderground/status/1573294842649911298" target="_blank">資安網站VX Underground</a>公布的資訊，被逮者就是分別在9月15日及9月19日駭入知名叫車平臺Uber及遊戲業者Rockstar Games的駭客。</p> <p>兩周前一名少年在抓漏獎勵方案平臺HackerOne自曝駭入Uber，且已存取Uber多項內部系統，包括AWS、Google Cloud Platform、vSphere及Slack。而約莫在同一周內他還自稱駭入尚未上市的《俠盜獵車手Grand Theft Auto 6》製作公司Rockstar Games網路，還公布數十支GTA 6影片。</p> <p><a href="https://www.ithome.com.tw/news/153141" target="_blank">Uber調查則顯示</a>，攻擊該公司的駭客組織就是今年駭入微軟與三星的Lapsus$。</p> <p>Lapsus$於2021年因駭入巴西衛生部外洩數十萬筆資料聞名，除了三星和微軟，也駭入Ubisoft、EA、Vodafone、Okta、Nvidia等知名企業。</p> <p>彭博新聞報導，Lapsus$首腦是一名住在牛津大學附近的16歲少年，而該青少年很早就因駭入多家企業網路勒索而成為百萬富翁。</p> <p><a href="https://www.ithome.com.tw/news/150099" target="_blank">英國警方今年3月曾逮捕</a>Lapsus$相關的7名青少年。雖然倫敦警方並未證實是否逮捕這名青少年，但最後該名16歲人士並未包含在遭英國警方起訴的2人中。</p> </div></div></div>
2022/9/26 10:05作者林妍溱https://www.ithome.com.tw/news/153236
Starlink網速隨用戶數增多降低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技鉅子馬斯克的衛星連網服務愈來愈受歡迎，<a href="https://www.ookla.com/articles/starlink-hughesnet-viasat-performance-q2-2022" target="_blank">但一項研究顯示</a>，在用戶日漸增多的同時，Starlink的連網速度卻見下滑。</p> <p>研究機構Ookla本周公布今年第2季所有衛星連網服務的效能報告，這份報告涵括歐洲、大洋洲、北美與南美洲，包含Starlink、HughesNet及Viasat三家業者的效能資料，其中特別分析Starlink過去一年在加拿大、法國、德國、紐西蘭、美國及英國連網速度表現。</p> <p>這項報告顯示，從去年第2季以來，隨著用戶增多，Starlink在美、英、紐、加拿大、法國及德國的下載速度中位數跌了9%到54%不等。Starlink的上傳速度也退步了，在所有觀測的國家都呈現下滑。</p> <p>延遲情況則大多持平。唯獨在紐西蘭減少23毫秒。Starlink在美國的延遲中位數是所有業者中最低的，為48毫秒。</p> <p>雖然速度有所下滑，但研究人員說，對一般應用而言，Starlink還是相當夠用。例如在北美下載速中位數至少都有60Mbps，在多數連網裝置上，已足以執行大部份任務，像是看串流影片、下載遊戲，或和親友視訊聊天。</p> <p>甚至對許多國家來說，Starlink的速度稱得上十分驚人。例如Starlink在波多黎各和墨西哥的下載速中位數居北美第一、二，分別是112.22Mbps及80.17Mbps，這數據還高過兩國的固網（各為74.8Mbps及45.50Mbps）。在墨西哥，Starlink上傳網速甚至高過固網（14.48Mbps vs. 12.20Mbps）。</p> <p>同樣地，在歐洲16個國家，Starlink下載速度中位數優於固網，而且10個國家的Starlink速度甚至超過100Mpbs。此外在希臘及奧地利，Starlink上傳網速中位數超過固網業者總和（分別為19.34 Mbps vs. 5.14 Mbps，以及17.14 Mbps vs. 15.90 Mbps）。</p> <p>此外，巴西Starlink（128.38 Mbps）是南美唯一超過固網業者網速總和的服務。澳洲Starlink的下載網速中位數甚至大幅超越固網（102.76 Mbps vs. 51.46Mpbs）。</p> <p>而今年以後，Starlink用戶數恐怕還會更多。<a href="https://www.ithome.com.tw/news/153074" target="_blank">Space X 上個月宣布</a>和T-Mobile合作，在電信業者無法抵達的盲區由Starlink提供服務，讓一般5G手機就能連上衛星，Space X預計在明年底前測試服務，為此Space X也將採用更強大的Starlink 2.0衛星。</p> <p><a href="https://www.ithome.com.tw/news/152726" target="_blank">上周微軟也宣布</a>了和Space X Starlink合作的Azure Orbital Cloud Access，該服務可透過Starlink衛星網路連結Azure服務及資料中心。</p> </div></div></div>
2022/9/26 09:15作者林妍溱https://www.ithome.com.tw/news/153234
【手冊驗證不足、缺乏全局判斷、無必斷備案的三大教訓】日本KDDI七二大斷訊教訓的3堂課
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本第二大電信公司KDDI在7月29日公布七二全國大斷訊事故調查報告，每個看到報告的人，第一時間都想問，為何一個設定出錯，會造成如此嚴重災情？在日本三千萬名KDDI用戶連3天沒網路也不能打電話，KDDI這起當機事故，更是日本有史以來最大規模的一次通訊中斷事故。</p> <p>但是，如果進一步深入探究，這一起重大通訊中斷事件，不單是人為疏失那麼簡單，更是一連串連鎖反應影響加乘下的結果，可從3大面向來看，也是造成KDDI大規模又長期災情的三個教訓。</p> <p><span style="font-size:28px;"><strong><span style="color:#B22222;">教訓1</span>：過度依賴紙本手冊，又沒有更有效驗證方式來防呆</strong></span></p> <p>KDDI事故發生後，隔天上午的記者會中，由負責技術統籌的KDDI技術管理總部本部長吉村和幸親自解釋，引發全日本這起電信大斷訊事故的源頭，就是VoLTE系統在全國IP傳輸網路中的設備發生故障。這臺設備，是KDDI在東京都多摩地區設置的核心路由器，用來連接行動網路與該地區VoLTE網路節點很重要的通訊設備。</p> <p>事故當時，KDDI正在對核心路由器進行硬體變更，將舊的核心路由器更換成新版本，KDDI發現後立即切換回原本的舊版本設定，事後也展開調查。經過幾天，KDDI排除硬體故障，研判是路由器設定出錯。7月29日更詳細的事故調查結果出爐，確定設定失誤的肇因，是現場作業人員拿錯維護手冊，才在新路由器中選了錯誤的設定。</p> <p>一般來說，電信營運商遇到重要系統或設備更新，通常會先在測試環境經過測試驗證確認沒問題後，才部署到正式環境中，包含制定完整更新步驟、步驟失敗的回復機制，以及所有檢驗清單的測試等。在制定更新步驟中，維護手冊就是維運人員用來維護或更新設定的那本操作手冊。</p> <p>但是，KDDI有兩本維護手冊，一本是新程序手冊，用來設定新型路由器，另一本舊程序手冊則適用於舊型。維護人員需依據機型的新舊，來決定使用哪一本手冊。舊程序手冊中描述的指令，只適於舊機型，不能用在新機型。</p> <p>但是，在這次釀災的更新時，維修人員拿了舊手冊來設定新款路由器，甚至當事人沒有發現手持的手冊不是新版，而是舊版本，就用了舊款設定來設定新機款。</p> <p>這就導致，這臺核心路由器一啟用就出狀況，這個人為設定失誤，造成了路由配置出錯，才出現了非預期的狀況，只能傳送上行資料，而下行資料就不通，造成通訊失靈。</p> <p>這是一起人為操作失誤的事故。使用了舊版手冊，才造成這次設定出錯的原因。KDDI過去也曾發生過因為維護手冊內容的錯誤，而導致設定出錯的大規模災情事故，事後訂定了一整套確保手冊內容正確性的驗證和檢查程序，不論新版或舊版手冊的內容雖然各自都正確無誤，但是，這些維護手冊只有實體而沒有數位化，僅靠人員目視判斷所拿的手冊版本是否符合要設定的設備款式，而沒有採用系統化的檢驗，就沒有第二道確認機制，阻止這類拿錯手冊的風險。</p> <p>KDDI過度依賴紙本手冊，但又沒有一套更有效的驗證方式，才導致設定出錯。這正是KDDI得到的第一個教訓。</p> <p>但是，設定出錯只是導火線，就算造成單點故障，還是可以透過高可用架構、冗餘設計等做法來避災，然而，此事故並非單點故障，而是由滾雪球般的多點事故，還有更致命的原因，放大了這次的災情。</p> <p><span style="font-size:28px;"><strong><span style="color:#B22222;">教訓2</span>：過於聚焦單點故障，缺乏整體判斷錯失救援時機</strong></span></p> <p>KDDI在路由器故障後15分鐘，就退回舊版設定試圖恢復運作，但是，這決定沒有解決問題，反而引發更大的連鎖反應，從單一地區VoLTE網路節點壅塞，擴大到多個地區VoLTE節點也跟著壅塞，進而衍變成全國大規模災情。</p> <p>造成連鎖性災情的關鍵點，是用戶資料庫的重新註冊行為。由於手機連上VoLTE系統須先註冊才能啟用通話功能，這些註冊資料都會寫入到用戶註冊資料庫中。在退回舊版設定後重啟設備時，多摩地區所有手機都必須重新註冊才能通話，但同時註冊對用戶資料庫帶來爆量寫入和查詢請求，塞爆了這個全國性的資料庫，進而影響了更多地區的手機註冊行為，引發一連串的連鎖反應，產生了訊令風爆（Signaling Storm）的危機，也就是，不同層網路之間的狀態不一致，導致大量終端裝置重複註冊引發連鎖效應，造成整個系統崩饋。</p> <p>從KDDI事後數據顯示，當時流量不到幾分鐘就突然暴增7倍，只要1分鐘就能塞爆VoLTE系統。</p> <p>這種訊令風爆也是所有電信業者最擔心、也最不想遇到的災情類型，因此許多大型電信商都會有一個何時會發生訊令風暴的判斷依據，來提早發現可能的問題，避免造成更嚴重的海嘯災情。</p> <p>但是，KDDI一開始沒有判斷出這次是訊令風爆危機，以為只是單點故障的災情，因而錯失了阻斷這場風暴的黃金時機，如果能更早發現，在還沒對系統運作造成全面影響前，就先啟用用戶分批進入系統的程序，或許就有機會可以把災情降到最低。</p> <p>KDDI雖然後來開始採取分流措施，希望將流量導到其餘地區VoLTE網路節點，來抑制壅塞災情擴大，但是，分流緩解機制，不僅沒有發揮作用，反而造成了其他地區的VoLTE節點跟著塞爆。</p> <p>但是，用原有設定重啟後的壅塞原因，已經不是原本的設定出錯，而是資料庫塞爆後不斷大量重新註冊的連鎖效應，KDDI沒有設想到這個解決單點壅塞問題，才讓災情迅速延燒到全日本。KDDI坦言，對特殊單點故障會造成惡性連鎖反應，誤以為只要繼續透過分流機制，就能緩解壅塞。</p> <p>KDDI只瞄準單點故障來解決，缺乏整體性評估，正是導致這起事故的另一個關鍵因素。KDDI正是因為欠缺全局的思考，事故當下沒有發現一個小地方出錯，會大大影響到其他地方出問題，要避免類似情況發生，就不能只看單點或局部的影響，必須看整體影響，才有機會在產生連鎖反應前阻擋其發生。</p> <p>一個人為設定出錯，造成一連串的連鎖錯誤而當機，才導致了這起大規模又長期的災情。</p> <p><span style="font-size:28px;"><strong><span style="color:#B22222;">教訓3</span>：參考歷史災情應變老是不夠，沒有思考全面必斷的極端備案</strong></span></p> <p>日本這4年就出現3起這種大規模通訊故障事件，只是不同家電信公司，KDDI這次參考了去年其他家電信公司的事故經驗設計，來設想應變對策，但碰上這次事故，不論是規模或複雜度都是前所未見，以致於難以或無法套用。</p> <p>原因是，KDDI以往只是不斷預估規模，依據過去歷史經驗、災情規模來思考對策，但沒有進一步考慮到徹底解決不了的情況，應該採取什麼樣的對策。遇到這次事故超出KDDI原本預期的災情時，應變機制就會慢半拍。</p> <p>KDDI以往對大規模電信災情的應變對策，都是以因應爆量的思維為前提，但是，當災情大到無法掌握，像這次事故，就不能還是像以前採取緩解式的解法，而是必須設想一個電信徹底斷線的解法，甚至必須要有徹底通訊中斷的備案，也就是營運不中斷強調的韌性。</p> <p>好比說採用壓測因應方式，就是以因應爆量的思維為前提，盡量模擬最大的壓力，依據量來做反應，但是壓測永遠會有不足，實際發生狀況總是會比壓測高更多。相較之下，採用混沌工程因應方式，就是以韌性或斷線思維為前提，預設就是會遇到當機，甚至全面通訊中斷的狀況，來思考因應對策。</p> <p>尤其，進到5G時代，電信網路架構走向軟體定義架構，雖然可以讓電信服務更有彈性、可程式化控制，但是，發生單一營運商大當機的機率也大幅提升。不論是5G基地臺、核網功能現在幾乎全面軟體化，跑在通用伺服器上，和以前都是電信專屬設備、由專家操作的做法有很大不同。當電信網路架構越來越像企業IT架構，以前企業會遇到的軟體出錯問題，同樣電信業者也會遇得到，也因此更容易有服務中斷風險。</p> <p>對於電信商來說，現在必須要轉變思維，從以前是因應爆量的思維現在要改為因應斷線來思考，要用斷線思維來考慮備援，而不是用壓測或爆量思維來考慮備援。這也是從KDDI事故學到的第三個教訓。</p> <p>正因為沒記取這三個教訓，才釀成重大災情，<a href="https://www.ithome.com.tw/news/153210" target="_blank">但如果想知道更多的事故細節，得從7月2日這一天開始說起</a>。<a href="https://www.ithome.com.tw/news/153210" target="_blank"><span style="color:#3399ff;"><strong>（請見：＜日本KDDI大當機事件過程追追追＞報導）</strong></span></a></p> <p><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ＜日本KDDI事故＞完整報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color:#3399ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-feng_mian_p1-open-zhi_hao_.jpg?itok=q5mJj-Fn" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/26 07:00作者余至浩https://www.ithome.com.tw/news/153208
持續優化電票與電支資料整合，一卡通靠掌握會員樣貌深化體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月，國內電子支付、電子票證市場迎來新變革，新版電子支付機構管理條例上路，整併電子票證與電子支付管理條例，國人熟悉的悠遊卡、一卡通、iCash愛金卡等電子票證併入電子支付，因應電子票證、電子支付兩法合一，電子票證也改稱為「儲值卡」。</p> <p>電票、電支兩法合一，為傳統電子票證業者帶來新挑戰，2014年就推出電子票證的一卡通，雖然在電子票證市場僅次於悠遊卡，為第二大電子票證業者，順應兩法合一，一卡通搶先其他電子票證業者，於2018年與Line Pay聯手推出Line Pay 一卡通（即現在的一卡通Money），正式跨入電子支付領域，與玉山銀行、街口支付、歐付寶等其他業者競逐電子支付市場。</p> <p>不到5年的時間，一卡通已在電子支付市場取得一席之地，電支用戶數在今年突破500萬人，每個月儲值金額連續9個月破百億，轉帳金額破60億元，成為僅次於街口支付的第二大電子支付業者，今年6月也獲得櫃買中心核准為公開發行公司。根據金管會統計資料，到了今年7月為止，一卡通的電支用戶數達到510萬人，以國內電子支付帳戶數1,779萬來看，每3名電子支付用戶接近有1人使用一卡通Money。</p> <p>除了電子支付，一卡通過去8年長期經營的儲值卡業務，累積發行超過3,500萬張，提供的小額付費、搭乘交通運具，為民眾日常生活使用的儲值卡之一，相較於單純只有電支一項業務的其他業者，具有儲值卡、電子支付的一卡通，在用戶的經營上有更多的彈性。</p> <p>「一卡通同時擁有電支、電票，兩者整合性愈高，能提供更好的使用體驗。」一卡通技術維運群副總經理闕大順說。</p> <p>笑稱自己過去職涯是斜槓人生的闕大順，自高醫公衛研究所畢業後，沒有從事相關工作，而是一腳踏入金融業，在建華銀行任職，隨著建華銀行後來改名為永豐銀行，他參與銀行核心系統開發，後來進入台北富邦銀行，為了嘗試更多挑戰，加入純網銀將來銀行的籌備工作，參與銀行從無到有的準備過程，去年6月北漂的他回到高雄加入一卡通票證，今年6月正式擔任副總經理帶領IT團隊。</p> <p><span style="font-size:28px;"><strong>加速電票、電支的整合應用</strong></span></p> <p>一卡通由於電票、電支採用異質資料庫，電票採用DB2，電支則是MS SQL，為了更好的整合運用電票、電支的資料，闕大順到職後，先在技術維運群的專案辦公室工作，一方面協助IT和其他部門的溝通，另方面協助電票、電子的整合性應用。</p> <p>除了與銀行聯名卡、敬老卡、博愛卡、學生卡之外，一般的電子票證並沒有強制用戶記名，因此一卡通推動電票、電子整合性應用面臨的首要挑戰，便是讓不同票卡記名，將相同ID的不同票卡資料歸整，才能將用戶資訊歸戶。</p> <p>在歸戶過程中他們發現了一個大問題，很多資料仍採用老舊的方式蒐集，部分卡片因為端末提供的資訊不完整，無法直接改為記名卡片，例如由客運業者協助銷售的定期票，以紙本方式提供民眾填寫實名資訊，再人工輸入系統，但有時因手寫字跡難以辨認或其他原因，資料登打不完整，導致記名的困難。</p> <p>對人力吃緊的客運業者來說，要額外提供紙本蒐集消費者資料，還要協助登打資料，相當頭痛。一卡通希望優化記名資料蒐集過程，也同時解決業者痛點，正考慮開發端末設備介面，讓消費者在購卡時將資訊直接回填給一卡通，如此一來，省略客運業者協助資料登打的過程或可能發生的錯誤，也改善資料不完整的問題。</p> <p>闕大順表示，歸戶工作持續進行，持續根據資料使用單位的需求，來調整歸戶邏輯，調整疊代到今年第二季上線。不只是電票，也要將電支一起歸戶，目前正籌畫從會員管理的角度，將客戶當成會員經營。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8A%BD%E8%A8%80(4).jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>一卡通技術維運群副總經理闕大順表示，IT應主動接觸使用者，而不是被動等到使用者反映，如果事先發現問題主動詢問使用者，就不易發生問題。</strong></span></span></p> <p><span style="font-size:28px;"><strong>整合電票、電支資料更深入瞭解客戶樣貌</strong></span></p> <p>一卡通將電票完成歸戶之後，下一步是要將電票、電支的異質資料庫做整合。「唯有將異質資料庫整合，將客戶的帳戶資料，包括儲值票卡資料、電支交易資料，才能360度側寫客戶的交易模式，」闕大順表示。</p> <p>然而，考量到必需維持系統的穩定，加上電票、電支資料庫過去留下的技術債，直接兩種資料庫同質化是不切實際的想法，因此，他們將兩個資料庫的資料都各自抄寫到ETL伺服器，讓這個伺服器來扮演類似數據中臺的前身，先整合資料，這麼一來，讓使用單位不再需要自行整合。</p> <p>不過，一卡通馬上碰到新的難題，過去在電票、電支各自的資料庫可以做到即時抄寫，但要抄寫兩邊的資料，高達好幾億筆資料需要整理，考量效能效益，改採取近即時的做法，差幾分鐘將較即時的資料秒寫過去。</p> <p>闕大順表示，整合兩邊資料後，才有機會發展資料市集。目前正在測試驗證中，預計今年底完成，明年第一季開放業務單位使用。</p> <p>電票、電支資料整合架構完成後，為未來的數據運用分析打下基礎。</p> <p>闕大順表示，過去，如果需要看客戶近一年的交易歷程，得從電票、電支兩邊各自撈出資料，因資料量很大，撈取資料的時間很久，再進一步作資料整合，如果需要某個族群的資料，花費的時間將更久。</p> <p>現在資料合併後，使用資料才有比較好的效能，例如客戶使用電票固定上下班，使用電支購買麵包，將時間軸拼湊起來，以前則要一兩個星期才能拼湊出原貌。資料歸整後，未來再導入第三方貼標機制，就能看到更豐富的會員樣貌，從各個維度進行分析，從中挖掘數據的價值。「數據是我們重要的石油，數據為王，這是一定要做。」闕大順堅定地說。</p> <p>目前電子支付業者主要向商家收取手續費，還需投入經費補貼行銷費用，例如回饋點數、發紅包等手段，以吸引消費者使用，但是隨著整體用戶規模越來越大，除了既有電支業者的競爭之外，還有全盈支付、全支付等新進業者的投入，除非提高補貼的經費，否則相同的補貼帶動的效果愈來愈有限。</p> <p>因此一卡通寄望未來透過電票、電支的整合數據分析運用，從中找出增加營收的機會，例如，針對特定的消費族群，與商家合作導客消費，進而收取導客費用等等。</p> <p>但對於數據如何運用、變現，和第三方合作運用數據的商業模式，一卡通仍在摸索中，仍需和主管機關溝通。</p> <p><span style="font-size:28px;"><strong>因應7x24維運服務強化系統穩定</strong></span></p> <p>從電子票證業者轉型為電子支付，一卡通也從票證公司朝金融科技服務公司前進，在主管機關要求下，必需提高系統穩定度，特別是7x24不中斷服務所帶來挑戰。</p> <p>闕大順直言，過去，經營電票沒有那麼多的線上即時需求，頂多是儲值票卡，成為電子支付業者後，為了確保電支系統的穩定，和銀行一樣，需要三班的機房人員來監控系統，但從電票跨入電支帶來的改變，如同前任副總所說，對於一卡通IT來說，就像一夜之間轉大人一樣。</p> <p>過去，他們不知道7x24服務要應付哪些情形，後來發現，為了確保服務不中斷，需要建立更多的預警機制、監控機制及完善的備援機制。以前只要一臺主機就能提供服務，現在需要多臺主機一起分攤交易的負載。</p> <p>現在一卡通強化對系統的監測，除了應用服務系統的健康狀態，還擴大到網路、硬體的健康狀態，例如AP的負載、CPU、記憶體的資源使用情形，甚至是簡訊發送。</p> <p>一卡通更將應用在電子支付系統的監測機制，應用在電票的儲值卡系統上，來改善一卡通儲值卡系統的穩定度。</p> <p>闕大順指出，儲值卡（電子票證）從2014年推出至今，雖然穩定，但電子儲值仍有許多斷點，例如檔案傳送發生異常，或是中間程序發生問題，就會導致資料斷點。</p> <p>為了解決這個問題，他們後來建立監測機制，當發生檔案或資料傳送異常情形，就能及早找出問題點予以解決。</p> <p>去年一卡通發生兩次異常事件，紅包事件、5倍券綁定事件，其中5倍券因祭出的加碼優惠吸引大量使用者湧入綁定，導致系統因為流量暴增出現異常，為該公司帶來警訊。</p> <p>所以在去年董事會特別通過一筆預算，以優化系統架構，提升對更大量的交易負載能力，同時也因應主管機關要求，審慎評估未來行銷活動可能的爆量需求，該公司也期待未來能夠開放使用雲端，透過雲端的資源彈性調整，改善系統穩定。</p> <p><span style="font-size:28px;"><strong>加強IT與業務單位的溝通</strong></span></p> <p>闕大順到職後除了規畫推動電票歸戶、電票與電支數據的整合應用，另一項任務是協助改善IT部門和業務單位的溝通。</p> <p>儘管一卡通在2018年、2019年導入溝通協作平臺、敏捷開發，但IT部門和需求單位在溝通上仍有落差，IT對於提出的需求不知道效益在哪，或是業務單位變更需求，抱怨IT部門沒有滿足其需求等等。</p> <p>闕大順以過去的工作經驗為例，在金融業大概可分為3種腦，使用者腦、IT腦、財會腦，這3種腦雖然同樣講國語，但常因為聽不懂而吵架，因此溝通協調相當重要。例如使用單位希望增加一個欄位，IT考慮要修改程式、變動資料庫而直接拒絕，省略中間的溝通說明，讓使用單位跳腳，也造成IT和其他單位的緊張關係。</p> <p>他認為，專案愈大時間愈長，使用單位看到開發成果，可能不符合當下的需求，可以將專案的顆粒度縮小，並增加IT和業務單位的溝通頻次，例如一周一次，甚至包括主管一起參與會議，隨時掌握需求的變動，借此改善IT和業務單位的溝通。</p> <p>闕大順認為，IT是首先落地的單位，業務部門的所有想法或需求，第一個落地都要通過IT，有任何問題IT先知道，溝通相當重要，「IT應主動接觸使用者，而不是被動等到使用者反映，事先發現問題主動詢問使用者，就不易發生問題」。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> IT經理人小檔案 </span></span></strong></p> <p><strong>一卡通技術維運群副總經理闕大順</strong></p> <p>學歷：高雄醫學大學公共衛生研究所</p> <p>經歷：2003年進入永豐銀行，任職將近13年，2016年加入台北富邦銀行，2年後投入純網銀，參與將來銀行籌備工作，後續擔任將來銀行協理，2021年6月加入一卡通，剛開始進入技術研發群專案辦公室，後來成為技術研發群代理副總，今年6月升任技術維運群副總經理</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>一卡通票證</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E4%B8%80%E5%8D%A1%E9%80%9A-%E5%9C%963.jpg" style="width: 250px;" /></strong></p> <p>地址：高雄市前鎮區中安路1號4樓</p> <p>成立時間：2014年</p> <p>主要業務：電子票證及電子支付機構業務</p> <p>員工數：225人</p> <p>年營收：5.17億元</p> <p>董事長：廖泰翔代理董事長</p> <p>總經理：鄭鎧尹</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 資訊部門檔案 </span></span></strong></p> <p>資訊部門主管職稱：一卡通技術維運群副總經理</p> <p>資訊部門主管姓名：闕大順</p> <p>資訊部門人數：72人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2014年：一卡通電子票證系統上線</p> <p>2015年：一卡通推出全臺首發OTA電子票證</p> <p>2016年：發行IPASS 3.0雙介面CPU電子票證</p> <p>2018年：Line Pay iPASS電子支付系統上線。與高捷合作推出動態QR Code乘車碼</p> <p>2019年：組織改組。啟動轉型敏捷開發</p> <p>2021年：與高雄市政府、LINE、智慧點訂餐平台、計程車業者以及餐飲業者共同推出「高雄好家載」</p> <p>2022年：與高雄市政府合作推出「數位安心餐食券」</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu__9.jpg" width="960" height="420" alt="" title="一卡通技術維運群副總經理闕大順" /></div></div></div>
2022/9/26 07:00作者蘇文彬https://www.ithome.com.tw/people/153209
【一個手冊設定失誤加上連鎖效應，導致災情迅速擴散】日本KDDI大當機事件過程追追追
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本第二大電信商KDDI，突然在7月2日凌晨發生VoLTE語音系統大當機，3千萬名用戶超過兩天半不能打電話，也無法上網，甚至氣象廳緊急宣布在颱風艾利來襲期間無法提供完整氣象資訊。數千通報案電話無法打通，不只偏遠山上登山者受傷無法通報，差點危及性命，超過5家醫院聯繫不上外科醫生，無人能幫重病患者進行緊急手術。</p> <p>突如其然的日本全國大當機，不只打亂許多人的生活步調，連帶也讓許多企業的營運大受影響，不少仰賴網路提供的服務都中斷，也導致系統故障出問題。</p> <p>這起通訊當機事件，不只是KDDI成立22年來最嚴重的通訊故障事故，更是日本史上最大規模的電信服務中斷事故。</p> <p>4周後，KDDI公布了事故調查結果，造成當機事故的導火線，竟是拿錯維護手冊。為何一個錯誤，造成了日本史上最大規模的中斷事故，高達2,278萬戶無法使用VoLTE通話、765萬戶無法上網，彷佛回到沒有網路和手機的時代。這得先從7月2日凌晨發生的事，開始講起。</p> <p><span style="color:#FFFF00;"><span style="font-size:20px;"><strong><span style="background-color:#696969;"> 2022年 </span> <span style="background-color:#696969;"> 7月2日 </span> <span style="background-color:#696969;"> 01:35 </span></strong></span></span></p> <p>KDDI營運中心監測到異常飆高的流量警訊，顯示位於東京都多摩市區的VoLTE語音服務系統出現異常，KDDI發現後，開始調查出錯原因。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 01:50 </span></strong></p> <p>初步檢查，發現事故源頭是多摩VoLTE系統在全國傳輸網路中的中繼路由器設備，當時正在進行新舊硬體更換作業，但更換過程中，因不明原因出錯而導致通訊故障。</p> <p>KDDI盤點初步災情，多摩地區語音通話只有部分地區中斷，其餘地區的語音通訊仍維持正常，由於無法確定故障是硬體或人為失誤造成，診斷出問題後，KDDI於是決定將設備回復到更換前的正常狀態，嘗試來恢復通訊。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:00 </span></strong></p> <p>KDDI成立這次事故對策總部，來因應後續可能的影響。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:17 </span></strong></p> <p>故障設備退回舊版設定無效，災情開始擴大。</p> <p>依照KDDI原有的系統設計，單一VoLTE的網路節點出現壅塞時，可以透過傳輸網路分散式架構，將流量導向其他站點的VoLTE的網路節點（全部共有18座VoLTE節點），來達到分散流量的目的。</p> <p>但是，KDDI發現，切換到舊版設定後，多摩VoLTE系統的負載仍舊沒有下降，語音通訊依舊困難。這個退回前版的做法，沒有發揮效果，反而造成其他VoLTE的節點壅塞，災情開始擴大。</p> <p>不只更多VoLTE節點出狀況，連KDDI的用戶註冊資料庫也開始出現塞爆的情況。</p> <p>手機連上VoLTE系統時須先註冊才能啟用通話功能，這些註冊資料都會寫入到用戶註冊資料庫中，但在退回舊版設定後，這個資料庫的查詢量突然暴增，甚至壅塞，進而影響了更多手機的註冊行為。</p> <p>不只多摩地區，KDDI在日本各地的VoLTE語音服務接連出現異常，無法或難以通話，越來越多用戶反應手機不能打電話，也無法上網（Android品牌手機裝置占多數）。這起斷訊事故從單一地區的語音通訊中斷，擴大為全國規模的通訊中斷事故。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 02:52 </span></strong></p> <p>第一次公告。發布全國語音和數據通訊故障事故的通知，影響旗下au手機品牌的通訊服務和使用au線路提供相關服務的MVNO業者（如UQ mobile）。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 03:00 </span></strong></p> <p>KDDI開始實施分階段的流量管制措施，將網路流量限制在50%，造成KDDI在國內的語音通話或數據通訊功能，變得更難或無法使用。另一方面，嘗試透過控制VoLTE與網路各節點對數據及語音的連線請求，與重啟VoLTE系統呼叫處理流程方式管控進出流量，試圖減輕整體VoLTE的負載。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 12:00 </span></strong></p> <p>電信斷訊災情逐漸蔓延到許多產業，不只銀行戶外ATM無法使用，物流業者更新包裹配送資訊系統大當機，汽車業者車聯服務也故障不能用，許多靠網路提供服務的業者也開始無法使用。其他影響還包括公車刷卡付費的驗票機、電子站牌無法使用，就連政府119緊急電話，氣象局天氣預報資訊都出狀況。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 15:22 </span></strong></p> <p>KDDI從行動網路層斷開了PGW數據封包網路閘道器，以此來比對用戶資料庫中的欄位資料，來修正資料不匹配的狀態。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 17:31 </span></strong></p> <p>KDDI擴大修正不同層網路（包括行動網路、IP傳輸網、VoLTE系統）之間因網路壅塞產生的資料不一致。KDDI公告，行動緊急電話開始難以使用。總務省當晚指派一名代表擔任KDDI事故的聯絡窗口。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月3日 </span> <span style="background-color: rgb(105, 105, 105);"> 01:00 </span></strong></p> <p>經過一天限流後，KDDI決定展開復原作業階段，因為VoLTE系統和用戶資料庫壅塞導致資料不匹配，評估需較長修復時間，KDDI決定先恢復數據通訊，讓行動用戶可以先上網。從1：00開始作業，3點時初步完成修復15%數據通訊。不過，災情仍舊持續蔓延，KDDI公告，家用電話、家用VoLTE小型基站、SMS簡訊收發等，也開始無法使用。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 10:00 </span></strong></p> <p>日本總務大臣金子恭之在臨時記者會上，稱KDDI的通訊故障為重大事故，KDDI依法須於30天內向總務省提交事故檢討報告。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 11:00 </span></strong></p> <p>KDDI完成日本西部通訊修復工作</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 11:02 </span></strong></p> <p>召開第一次事故說明會。KDDI社長高橋誠和KDDI技術管理總部本部長吉村和幸，出面說明事故過程和無法恢復通訊的理由。KDDI初步排除硬體故障的可能，研判是路由器設定過程出錯。KDDI也在記者會澄清，這起事件無關3G網路退場，也沒有受轉換5G行動網路的影響。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 17:30 </span></strong></p> <p>KDDI完成東部的通訊修復工作。但是，在進行網路測試和驗證時，KDDI發現，在限制流量的情況下，用來提供語音服務的各地區VoLTE系統和用戶資料庫的負載仍然超重，壅塞情況沒有得到控制。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月4日 </span> <span style="background-color: rgb(105, 105, 105);"> 07:00 </span></strong></p> <p>KDDI公告全國數據通訊已大部分恢復。但語音通訊仍難以使用。</p> <p><span style="color:#FFFF00;"><span style="font-size:20px;"><strong><span style="background-color:#696969;"> 12:18－13:18 </span></strong></span></span></p> <p>經過KDDI一天調查，終於查明原因。有6座VoLTE交換器系統故障，持續向用戶資料庫重傳過多不必要的訊令，導致用戶資料庫持續負載過重，阻礙了語音訊通訊的恢復。KDDI最後改用非預期的斷網措施，才解決了這個問題。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 14:51 </span></strong></p> <p>KDDI解除流量管制。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 16:00 </span></strong></p> <p>全國語音通話和數據通訊幾乎已恢復先前水平。為求謹慎，KDD決定多觀察一天，預計在隔日事故對策會議上進行最終確認，確定服務使用狀況和網路流量一切正常。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 20:00 </span></strong></p> <p>召開第二次事故說明會。KDDI說明恢復狀況和後續事故原因調查，以及擬定未來防範對策。KDDI也公布受事故影響的行業，涵蓋物流運輸、銀行、汽車、交通、氣象單位及政府機構等</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月5日 </span> <span style="background-color: rgb(105, 105, 105);"> 15:36 </span></strong></p> <p>公告完全恢復正常。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月28日 </span></strong></p> <p>KDDI向日本國務省提交事故檢討報告書。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 7月29日 </span></strong></p> <p>召開第三次事故說明會。KDDI解釋事故發生詳細原因，也公布第一份通訊故障調查報告，坦言，中繼路由器的設定出錯。KDDI也宣布要成立一個「加強通訊基礎設施和客戶支援對策委員會」的組織（以高橋誠和董事會成員組成），來提出防範類似事故再發生的對策。在這個組織下設立四大工作小組，將協同各部門強化作業品質、營運、設備及客戶支援。</p> <p>KDDI報告指出，這次發生通訊故障的中繼路由器，屬於傳輸網路中的核心路由器（core router），是用來連接行動網路和VoLTE語音通訊系統很重要的網路通訊設備。</p> <p>這起7月2日凌晨的事故，KDDI正在進行多摩市在全國傳輸網路中的核心路由器汰換作業，卻因為一個設定出錯，竟然造成大規模長期的通訊中斷災情。為何一開始就設定出錯？這是許多人第一個疑問。KDDI坦承，這是在更換成新的核心路由器時，不小心誤用了舊的工作程序手冊來設定所導致的指令錯誤。</p> <p>執行維護作業程序時，KDDI通常會參考兩種工作程序手冊，一種是舊程序手冊，一種是新程序手冊，分別對應到新舊工作環境，新環境下的程序手冊用於設定新產品，舊環境的程序手冊設定舊產品。操作人員會依照手冊中的程序操作來完成路由表中的路徑變更。每本手冊的程序及操作步驟也都經過測試環境、正式環境的驗證。</p> <p>當時，KDDI原本正在安裝新的核心路由器，來取代舊設備，作業上，應該要使用新的程序手冊來替這臺新路由器設備做設定，但操作人員卻誤用了只能用在舊設備工作環境中使用的舊手冊來設定，設定時也沒有發現指令錯誤，就完成了設定程序。</p> <p>這就導致，在這次事件中，新的核心路由器一啟用就發生通訊故障，只允許轉發從終端裝置接收到的資料，但遇到VoLTE系統從反方向回傳的資料就無法處理，因為人為設定失誤，造成路由配置不正確，只能傳送上行資料，下行資料就不通。</p> <p>手冊拿到舊的版本，是造成設定出錯的原因。KDDI本來也有一套事前檢查程序，確保整個維護和更新作業流程沒有問題，在這個流程中，也有包含手冊項目的檢查，但僅以目視檢查來確認手冊是否正確，沒有採取更嚴謹的系統來檢驗，才導致了這次的設定出錯。</p> <p>但是設定出錯，並不是造成這起事故擴大為全國災情的主因，而是發生設定出錯後，KDDI錯估了通訊故障可能引起的連鎖反應造成系統崩潰的風險。</p> <p>依照VoLTE的系統設計，正常作業時，用戶終端裝置每50分會自動向VoLTE重新註冊，以保持始終連網，但是，就在KDDI發現設定出錯而緊急回復至舊版設定時，因為先前斷線，VoLTE系統向所有終端裝置發起了重新註冊的請求，所以，全部終端裝置都在同時間重註冊，造成多摩這座VoLTE系統迅速壅塞。接著因為啟動分流措施，其餘VoLTE節點也跟著出狀況。</p> <p>各地VoLTE節點接連傳出壅塞災情，也造成用戶註冊資料庫的查詢迅速增加而塞爆，加上網路中其他設備（如PGW）也出現大量重傳，導致用戶資料庫與VoLTE連線不一致，引起VoLTE系統的重置，重置後又引起重註冊，造成網路內的重傳迅速增加，成了加速系統崩潰的催化劑。</p> <p>從KDDI事後數據顯示，當時流量不到幾分鐘就突然暴增7倍，只要1分鐘就能塞爆VoLTE系統，就算把流量導向下一座，下一座也很快會被塞爆。</p> <p>KDDI坦言，對特殊網路條件下的擁塞緩解的考量不足，是造成這次大規模故障的原因。</p> <p>不只要應變大規模災情來減災，事故第二天進到災害復原的階段，對KDDI更是另一大艱困挑戰。</p> <p>在恢復策略上，KDDI先恢復全國數據通訊，並根據地理位置來分區，依序復原西部和東部地區通訊。KDDI從7月3日凌晨1:00展開數據通訊復原作業後，也在當天早上11:00、下午17:30就恢復這兩個區域的數據通訊。</p> <p>但進到語音恢復作業時，KDDI馬上就遇到了挑戰，因為當時，語音通訊仍處於塞爆的狀態，直到7月3日下午數據通訊修復，仍沒有獲得明顯改善，加上這個時候，日本正面臨颱風艾利步步進逼，為了加快復原速度，他們按原訂計畫展開語音通訊恢復作業，因為不像恢復數據通訊那樣，是災情控制後才進行恢復，這也大大增加了KDDI恢復作業執行的難度。</p> <p>另一方面，從恢復流程及機制來看，由於不同網路層之間存在複雜交互作用，使得語音通訊比數據通訊復原要複雜許多，所以，KDDI才決定一開始先恢復數據通訊服務，加上這次同時遇到多節點VoLTE壅塞、用戶資料庫壅塞和各層網路之間的狀態不一致所帶來的多重考驗，這也讓語音通訊復原的挑戰加劇。</p> <p>KDDI在2013年時也曾遭遇過重大通訊中斷事故，去年更從其他家電信公司的事故經驗中，來模擬這種大規模中斷情境下的恢復策略，但碰上這次事故，不論是規模或複雜度都是前所未見，以致於難以或無法套用。</p> <p>在搶修復原過程中，KDDI還要應付大規模壅塞後衍生的新問題，例如誤用了壞掉的備份對VoLTE系統做還原，有6座VoLTE系統出現異常，導致又多花了一天找原因，而延誤到恢復進度，直到7月4日中午發現原因後採斷網解決才恢復運作。</p> <p>之後經過一天反覆測試確認所有語音、數據通訊都正常，才在隔天15:36宣布全面恢復。</p> <p>KDDI強調，維護工作考量不足、對大規模又長期網路壅塞的應變考量不足，是造成這次大規模又長時間通訊中斷的原因。KDDI也提出補償方案，說明對用戶的賠償金額及其範圍。若以合約加上道歉退款的金額來計算，賠償總額為73億日元。</p> <p><strong style="color: rgb(255, 255, 0); font-size: 20px;"><span style="background-color: rgb(105, 105, 105);"> 8月3日 </span></strong></p> <p>收到事故調查報告隔幾日，國務省對KDDI及旗下沖繩行動電話公司給予書面行政指導，要求採取各種措施防止類似事故再發生。11月10日前匯報執行情況，之後每3個月完成進度檢討報告。</p> <p><span style="font-size:28px;"><strong>KDDI作業面對策：</strong></span></p> <p>事故發生後兩周，完成所有工作手冊管理規則和批准辦法的徹底檢查。7月底前完成對作業風險評估、標準限制。</p> <p><span style="font-size:28px;"><strong>KDDI系統面對策：</strong></span></p> <p>事故發生一周後，重建立一套用來解決長期網路壅塞的恢復程序和相關機制。7月底導入新的壅塞檢測工具，不只提供異常偵測通報，也能詳細掌握各站點VoLTE系統的壅塞變化情況。8月下旬完成開發壅塞復原工具，並重新審視和規畫大規模通訊中斷下的壅塞緩解設計，以此制定新對策。</p> <p><span style="font-size:28px;"><strong>KDDI客戶支援面對策：</strong></span></p> <p>重新檢視事故後的資訊公開流程並提出改進作法，也強化對於用戶資訊揭露與訊息公告提供的優化做法。9月底前全面實施。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>KDDI語音通訊系統大當機過程示意圖</strong></span></span></p> <p><strong><span style="color:#696969;">事故過程：</span></strong><strong><span style="color:#696969;">7月2日凌晨1:35，在東京都多摩市一座VoLTE語音交換器系統，用來連接該系統與行動網路的新款核心路由器發生通訊故障</span><span style="color:#B22222;">①</span><span style="color:#696969;">，KDDI監測到異常流量，雖緊急切回舊設備卻引起大量終端與其他設備的重複註冊，導致多摩的VoLTE系統壅塞</span><span style="color:#B22222;">②</span><span style="color:#696969;">。KDDI隨後啟動分流機制，卻阻止不了災情持續擴大，連帶使得其他的VoLTE節點也塞爆</span><span style="color:#B22222;">③</span><span style="color:#696969;">。多處VoLTE節點發生壅塞後，對用戶資料庫的寫入和查詢迅速增加而出現壅塞</span><span style="color:#B22222;">④</span><span style="color:#696969;">。KDDI於2:52正式對外公告語音和數據通訊全面故障，並分階段實施流量管制。KDDI在隔天7/3凌晨1:00展開復原作業，於傍晚完成恢復東、西地區的數據通訊，但復原語音通訊過程中遇到多處VoLTE系統出現異常。經過一天調查，KDDI在7/4 13:18將有問題的VoLTE系統斷開</span><span style="color:#B22222;">⑤</span><span style="color:#696969;">才恢復運作。經過一天測試驗證，最後順利在7/5 15:36公告全面恢復正常</span><span style="color:#B22222;">⑥</span><span style="color:#696969;">。</span></strong><span style="color: rgb(105, 105, 105);">資料來源：iThome整理，2022年9月</span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/KDDI%E5%A4%A7%E7%95%B6%E6%A9%9F-BOX%E5%9C%96%E8%A1%A8-%E8%B6%85%E9%80%A3%E7%B5%90%E5%A4%A7%E5%9C%96.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KDDI%E5%A4%A7%E7%95%B6%E6%A9%9F-BOX%E5%9C%96%E8%A1%A8-%E7%B8%AE%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ＜日本KDDI事故＞完整報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(51, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-feng_mian_p1-open-zhi_hao_.jpg?itok=q5mJj-Fn" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/26 07:00作者余至浩https://www.ithome.com.tw/news/153210
【專訪數位發展部部長唐鳳】2年發展多元異質網路因應大規模斷訊，更要確保社會和產業數位韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本在7月初爆發史上最大規模電信通訊中斷事故<a href="https://www.ithome.com.tw/news/153210" target="_blank"><span style="color: rgb(51, 153, 255);"><strong>（請見：＜日本KDDI大當機事件過程追追追＞報導）</strong></span></a>，從這起事故也反映出，即使是像日本這樣的大型電信公司，也可能會因為一個通訊設備更新失誤，就造成如此大規模又長期的災情，也意謂著，電信網路不再像以前那麼可靠，只要遇到更新就有發生中斷的風險，而且影響不是數小時或一天，甚至有斷3天的風險。</p> <p>對於臺灣而言，電信網路是很重要的關鍵基礎設施之ㄧ，數位發展部（以下稱數位部）8月成立後，更把強化通訊網路的韌性，視為未來重要的政策推動方向。若是遇上這類事故，臺灣如何借鏡日本經驗，不只從防範，甚至是強化韌性的角度，來思考應變對策。我們也採訪到數位部部長唐鳳，親自來解答。</p> <p><span style="font-size:28px;"><strong>Q：臺灣已將日本KDDI事故視為案例，來思考對策了嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 是。日本這起事故跟烏克蘭一樣，都是大規模長期災害事故，只是兩者造成的原因不同，不論是什麼原因，我認為，以我們多元異質的通訊韌性，要能做到不只恢復同樣的可用性，還能預先因應許多未知的新狀態。所以，才思考用非同步軌道衛星來進行概念性驗證。</p> <p><span style="font-size:28px;"><strong>Q：臺灣面對長期大規模電信中斷災情時，該如何應變？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 要靠演練劇本，來精進臺灣的防護計畫。像是原有演練劇本中，就包含了大規模長期災情的防護，不論是地震、颱風等，也會蒐集當年度關注的情境，放入演習設計。去年，就有電信業者以混合方式在演練劇本中加入各種情境，包含天災、資安、人為恐攻、海纜斷裂、北部飛航管制停擺、新型態GPS訊號干擾攻擊等。</p> <p>更進一步來說，我們的目的是，發展一整套劇本的演練，涵蓋了災害防護、資安、人為攻擊情境等，例如這次日本KDDI事故也可以考慮納入未來的演練劇本，按不同的劇本，來測試我們自己橫向組合的能力。也就是說，我們是以整體系統韌性為演練標的，每次演練不只考慮電信核心網路節點，也會包含語音通訊需求、數據設施的需求，以及各種劇本所牽涉到的其他機關的需求等，比照原本CIP（關鍵基礎設施保護）整體演練的做法，我們會持續強化這點。</p> <p dir="ltr">先前座談會上，電信業者都表達支持，主動提出更多想法，像是希望作為樞紐地位的重要基地臺運作能不受斷電影響，因為這些基地臺一旦斷電無法提供服務，影響不只是經濟層面，也有國安問題。產業署後來向台電、經濟部洽詢，獲得滿正面的回應。業者正在盤點基地臺重要性的分級。</p> <div> </div> <p><span style="font-size:28px;"><strong>Q：未來1年，會舉辦產官學聯合的大規模營運不中斷演練嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 視實際需要。就像高科技製造業有資安聯盟、資安長，數位部會由產業署去了解產業的需求，盡可能透過媒合方式，來確保政府原有排定的演練中，也能整合業者的力量，來發揮最大綜效。關於這個部分，產業署之後會向大家報告。</p> <div> </div> <p><span style="font-size:28px;"><strong>Q：非同步衛星至少2年後才實現，這段期間臺灣如何因應這類大規模又長期的災情？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 之前研議過開放全面漫遊。8月成立數位部之前，NCC已經對這種災害中的緊急通訊進行研議，設想如何督導電信業者開放全面漫遊，避免發生單一業者發生網路障礙時，就無法使用行動網路。不過，當時的想定，屬於國防層次的情況才會啟動，就像烏克蘭那樣，遇到行動核網、基地臺全面遭人為破壞。</p> <p>在俄烏戰事發生後，我認為，大家在政治上已經覺得這件事有必要，也有貫徹意志，來展開測試。</p> <p>在規畫上，臺灣目前會先從前期的演練階段開始，先確定技術上可行，而且各家行動業者提出的配套（如電力供應等）也能確保無虞後，接下來才進入後期階段，像是程序上是否需由總統發布緊急命令，或是相關資費討論等。</p> <p dir="ltr">還有，開啟漫遊時，有多少可用頻寬，哪些屬於應變必須保留的頻寬，作為應變資訊的傳播，包含特定的視訊會議、網路電話或直播系統，或是必須保持一定可用性，至於休閒用途需求就不一定需要那麼即時。</p> <div> </div> <p><span style="font-size:28px;"><strong>Q：非同步衛星的加入，對臺灣通訊網路韌性帶來什麼影響？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 透過非同步衛星網路，臺灣未來面對大規模災難應變時，將可以提供必要通訊服務。例如偏遠地區或重要設施，原先只收得到某家電信商的訊號，假使對方斷線，影響規模又還沒到國安層級，無法啟動全面漫遊時，未來就可以考慮採用非同步衛星來通訊。</p> <p>我們預計先在全臺部署700個點，進行PoC測試，將在地面架設接收站，接收衛星傳送訊號，來提供無線網路服務，未來設置地點，除了關鍵基礎設施，也會考慮到對通訊服務來說，較不可或缺、不能中斷的地點來設置，並視測試情況機動調整。另外，還會擬定一些必須的應變訊息，以便能夠在大型災害出現時快速傳播，針對使用的傳播管道、傳遞方式，未來會結合語音、視訊、文字訊息等形式來進行測試。</p> <p><span style="font-size:28px;"><strong>Q：多元異質網路會是臺灣強化通訊網路韌性的重要發展方向？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 是。多元異質網路正是我們現在強調的概念，不只從單一電信關鍵基礎設施的角度來看，而是考慮到例如全臺所有行動網路都斷線，或是全部海纜都斷裂，要能在這類極端例子中設法提供網路服務的角度來思考。也就是說，多元異質指的是，必須準備多種備案來因應大規模失靈，如非同步衛星，或讓VoLTE和VoWiFi可以互為備援等，平常就得知道有多種選項可用。這種因應做法，也能套用到電信關鍵基礎設施防護計畫4階段，包含預防、減災、應變及復原。可以將多元異質部署，作為預防的一部分，也是減災和應變可用的工具，甚至在逐步復原過程中，還能用於確保原服務不中斷等。不論是啟動備援，進行調度、盡速復原，都可以與多元異質方案互相連結。</p> <p><span style="font-size:28px;"><strong>Q：在電信設施營運不中斷上，臺灣目前的韌性能力如何？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 目前有一些能耐。像非同步衛星還在前期測試，我們的目標是，從明年到後年年底的前瞻計畫兩年期執行完成前，就要具備有這樣的能耐，接下來將逐步透過演練來確保核心的能耐，經由演練來補強自己的不足之處。</p> <p> </p> <p><span style="font-size: 28px;"><strong>Q：臺灣4G、5G語音通話日後全面改用VoLTE服務之後，目前有哪些復原和備援嗎？</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 由於臺灣3G已經快落日，我們將會確保行動語音還是繼續保有網路韌性，必要時會提供適當誘因，來強化網路涵蓋，確保在沒有衝擊、沒有爭議的情況下，順利完全移轉到VoLTE服務。另外，演練方面，因為是以整體演練來思考應變對策，目前也包含VoLTE、VoWiFi方面的防護演練，此外，也有結合語音、數據設施，跟核網節點進行合併演練。</p> <p><strong><span style="font-size:28px;">Q：數位部的數位韌性策略，和以前NCC的策略有何不同？</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 數位部未掛牌前，NCC按照行政院國土安全辦公室和電信管理法的規定，來辦理通傳領域的關鍵基礎設施防護業務。數位部成立後，除了持續推動之外，數位韌性司會從不同角度來考慮，將各種極端的情境納入想定設計（如行網斷線或海纜斷掉等），也將結合多元異質網路的想定（比如非同步衛星、VoWiFi、全面漫遊等）。</p> <p><strong><span style="font-size:28px;">Q：數位部將會如何實現全民數位韌性？</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> A </span></strong></span> 一方面是確保這些重要的電信營運服務不中斷，另一個重點也要確保產業、社會的數位韌性需求，不只是技術上的應變而已。</p> <p>例如產業署就能接軌有這方面需求的產業，來加入政府部門共同演訓或策畫。同樣地，社會方面也會有需求，像這屆總統盃黑客松的卓越團隊中，就有民間和內政部合作開發防空避難應用就是一例，只要一查就能即時知道附近避難資訊、交通情況，還結合空拍機能提供附近周邊設施被摧毀的狀況等資訊。這就不是政府來反應，而是由感興趣的公民參與。</p> <p>這也是我們在烏克蘭戰爭中看到的實際情況，許多無人機愛好者或民間人士因此整合到他們自己的訊息流裡，這就是全民數位韌性的體現，包含社會韌性、產業韌性、應變韌性三者的結合。但一開始沒有事前演練，若真的發生緊急狀況時，銜接上就有問題。</p> <p><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ＜日本KDDI事故＞完整報導 </span></strong></span></a><a href="https://www.ithome.com.tw/article/153214" target="_blank"><span style="color: rgb(51, 153, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-feng_mian_p1-open-zhi_hao_.jpg?itok=q5mJj-Fn" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2022/9/26 07:00作者余至浩https://www.ithome.com.tw/news/153212
【日本最大電信災情！KDDI事故的三堂課】電信關鍵基礎設施大斷線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/960-feng_mian_p1-open-zhi_hao_.jpg?itok=q5mJj-Fn" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年7月2日凌晨1點35分，KDDI的VoLTE語音服務出現異常壅塞，這才發現有臺路由器故障，但沒人想到，這個設定出錯，竟造成了日本史上最大規模的中斷事故，3天後才恢復。</p> </div></div></div>
2022/9/26 07:00作者余至浩https://www.ithome.com.tw/article/153214
構造謝爾賓斯基三角
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="https://bit.ly/3SUqIts" target="_blank">謝爾賓斯基三角（Sierpinski triangle）</a>，是由波蘭數學家謝爾賓斯基在1915年提出的碎形圖案，最基本的構造方式是透過幾何來處理，而我在先前專欄文章〈<a href="https://www.ithome.com.tw/voice/110732" target="_blank">遞迴、碎形與數學</a>〉就談過作法：可以畫一個實心三角形，去掉邊長中點形成的三角形，接著針對新的小實心三角形、不斷重複以上的動作，之後就能夠產生謝爾賓斯基三角。</p> <p><span style="font-size:28px;"><strong>幾何／L-system／細胞自動機</strong></span></p> <p>使用程式碼描述謝爾賓斯基三角，顯得有點囉嗦，如果我們使用先前專欄<a href="https://www.ithome.com.tw/voice/137795" target="_blank">〈碎形與L-system〉</a>談過的L-system，此時，可以從公理（axiom）F-G-G出發，使用規則F->F-G+F+G-F與G->GG來衍生，等到衍生結束之後，以F替代G，最後依衍生出來的符號串——F是前進、+、-與左轉、右轉來繪圖，就能繪製謝爾賓斯基三角。</p> <p>談到碎形，略為接觸過電腦繪圖的開發者，應該都會繪製碎形樹，例如，<a href="https://bit.ly/3ArbPYo" target="_blank">〈tree〉</a>是我基於p5.js的碎形樹實作，那麼，你有辦法將碎形樹變成謝爾賓斯基三角嗎？其實，這並不困難，只要每次衍生三個分支，而分支之間的角度為120度，以及每次新分支會是上一次遞迴分支的一半長度，依此處理之後，就能得到謝爾賓斯基三角。</p> <p>原理並不難理解，畢竟120度分支會構成正三角形，至於每次新分支是上一分支的一半長度，這不就是對應取三角形邊長一半的意思嗎？有興趣看看p5.js實作的人，可以參考我寫的<a href="https://bit.ly/3dBZhEA" target="_blank">〈TT Transformer〉</a>。</p> <p>對於直角座標，如果x座標、y座標使用(x?y)運算，其中的?，可以是+、-、*、/、^、&、|、%等運算子，將得到的數字在(x,y)處畫出來——圖片可參考<a href="https://bit.ly/3Cbwnp1" target="_blank">〈x?y〉這則推文</a>，我們即可觀察到謝爾賓斯基三角嗎？使用&運算而x&y為0的圖案就是了，在<a href="https://bit.ly/3pun6AQ" target="_blank">〈Matplotlib散佈圖〉</a>裡的謝爾賓斯基三角，就是這麼畫出來的。</p> <p>基於位元邏輯運算得到謝爾賓斯基三角，並不是偶然，而是一種細胞自動機的變化，我在先前專欄文章<a href="https://www.ithome.com.tw/voice/139532" target="_blank">〈細胞自動機〉</a>也談過，1983年英國電腦科學家Stephen Wolfram發表的基本細胞自動機（Elementary cellular automaton），在規則90時所畫出來的圖案，就是謝爾賓斯基三角。</p> <p><span style="font-size:28px;"><strong>巴斯卡三角／河內塔</strong></span></p> <p>謝爾賓斯基三角的構造方式如此多元，甚至可能藏在意想不到之處，例如，在<a href="https://bit.ly/3zUFxDC" target="_blank">巴斯卡三角</a>裡，也隱含著謝爾賓斯基三角。我們可以試著將巴斯卡三角裡每個數字，繪製在一個圓（或方格），然後去掉2倍數的圓，就能得到謝爾賓斯基三角。</p> <p>其實，我們也可以去掉巴斯卡三角裡3或4或5的倍數，這可以得到不同的圖樣，有興趣了解的人，可參考<a href="https://bit.ly/3Cbjk73" target="_blank">〈Pascal's Triangle Patterns〉</a>。</p> <p>或許跟謝爾賓斯基三角有著最神祕關係的，就是1883年法國數學家Edouard Lucas提出的河內塔吧！若有三個柱子、三個盤子，使用(abc)來表示小、中、大三個盤子，分別在a、b、c柱子，例如小中大盤都在1柱，就使用(111)代表當時河內塔的狀態，小中大盤各在2、1、1柱，就使用(211)表示，小中大盤各在3、1、1柱，就使用(311)。</p> <p>由於(111)可以轉移至(211)或(311)，相對地，(211)、(311)都可以轉移至(111)，而(211)與(311)彼此間也可以轉換，若將可轉換的狀態間連線，能夠構成以下的三角形：</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/hanoi-tower-4.jpg" style="width: 218px;" /></p> <p>如果將河內塔全部的狀態轉換，依以上方式連線，構成的河內塔狀態轉移圖，就會是謝爾賓斯基三角；若有n個盤子，可以用n位數來表示從小至大的四個盤子，分別在哪個柱子上，例如，(2111)表示最小的盤子在2號柱，另三個盤子在1號柱……，那麼狀態轉移圖會變得更大，也就是得到一個更大的謝爾賓斯基三角，若你想看到呈現的形狀與關係的圖片，可參考<a href="https://bit.ly/3R6FmfN" target="_blank">〈河內塔〉</a>。</p> <p><span style="font-size:28px;"><strong>混沌遊戲</strong></span></p> <p>如果想玩個不插電遊戲來畫出謝爾賓斯基三角，巴斯卡三角是個不錯的方式；另一種方式是丟骰子，首先點出三角形的三個頂點ABC，隨機在三角形內部選一點p0，然後開始丟骰子（如果得到1或2，選擇頂點A，3或4選B，5或6選C），在選擇的頂點與點p0間取中點畫出p1，繼續丟骰子，在選擇的頂點與點p1間取中點畫出p2，丟骰子，在選擇的頂點與點p2間取中點畫出p3……</p> <p>如果努力不懈地丟骰子，畫出來的點會逐漸形成謝爾賓斯基三角的圖樣，我們可以在<a href="https://bit.ly/3QMVpil" target="_blank">〈Chaos Game - Numberphile〉</a>看到這個過程。其實，丟骰子只是個隨機選取頂點的過程，而這個不插電的遊戲稱為<a href="https://bit.ly/3PpvsEt" target="_blank">混沌遊戲（Chaos game）</a>。</p> <p>被稱為混沌的原因，是因為最初的點是隨機選取的，而每次也是隨機選取頂點，乍看似乎會得到個混沌不明的結果，最後卻得到了謝爾賓斯基三角。基本上，這個遊戲可以擴展至三維，使用第四個頂點構成正四面體，每次隨機選取四個頂點之一，其餘步驟同上，如此一來，就可以構成謝爾賓斯基四面體（Sierpinski Tetrahedron）。</p> <p>其實，混沌之中並不完全是混沌，畢竟這裡隱含著每次迭代時的固定規則，若使用一般化來表示，對任一點進行pk，透過迭代函式f可得到pk+1點，也就是pk+1=f(pk)，這稱為迭代函式系統（iterated function system, IFS），而迭代函式系統是產生碎形的一種方式。</p> <p>當然，在混沌中，並不是任何規則都會收斂成某個圖樣（或稱為狀態），例如，方才的玩法對於正方形的四個頂點，並不會產生碎形，然而，若我們試著在選取頂點時加些規則（或稱為限制），就有可能產生碎形（可參考<a href="https://en.wikipedia.org/wiki/Chaos_game" target="_blank">維基百科〈Chaos game〉的圖片</a>）。</p> <p>如果混沌裡的規則（也就是迭代函式）可以收斂至某個狀態，該狀態被稱為迭代函式系統的吸引子（attractor）或不動點（fixed point）。對此，你是否想到類似的系統呢？我在先前專欄文章〈<a href="https://www.ithome.com.tw/voice/149092" target="_blank">淺談反應擴散系統</a>〉、〈<a href="https://www.ithome.com.tw/voice/151846" target="_blank">實現差別生長演算</a>〉談過的，就是類似的概念！</p> <p><span style="font-size:28px;"><strong>不同角度而息息相關</strong></span></p> <p>為何河內塔狀態轉移圖會出現謝爾賓斯基三角？關於數學上的道理，你可以參考〈<a href="https://bit.ly/3JYasUi" target="_blank">Sierpinski Gasket and Tower of Hanoi</a>〉；從另一角度來看，狀態轉移是自動機的範疇，而基本細胞自動機規則90可以繪出謝爾賓斯基三角，河內塔狀態轉移圖看似謝爾賓斯基三角，好像也就可以理解了。</p> <p>類似地，混沌遊戲可以繪出謝爾賓斯基三角，也可以從數學上證明，有興趣可參考<a href="https://bit.ly/3JZXJjW" target="_blank">〈Chaos Game〉</a>；或者應該說，碎形、自動機、混沌理論、人工生命、人工智慧等，都是彼此息息相關，從不同角度解釋某些現象的課題，能夠發現同一現象的不同構造方式，正是探索電腦科學最美妙的過程。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E8%AC%9D%E7%88%BE%E8%B3%93%E6%96%AF%E5%9F%BA%E4%B8%89%E8%A7%92">謝爾賓斯基三角</a></div><div class="field-item even"><a href="/tags/sierpinski-triangle">Sierpinski triangle</a></div><div class="field-item odd"><a href="/tags/%E5%B7%B4%E6%96%AF%E5%8D%A1%E4%B8%89%E8%A7%92">巴斯卡三角</a></div><div class="field-item even"><a href="/tags/%E6%B7%B7%E6%B2%8C%E9%81%8A%E6%88%B2">混沌遊戲</a></div><div class="field-item odd"><a href="/tags/%E8%87%AA%E5%8B%95%E6%A9%9F">自動機</a></div></div></div>
2022/9/26 07:00作者林信良https://www.ithome.com.tw/voice/153229
【Container周報第152期】臺灣3成大型企業擁抱容器，新版K8s登場終於淘汰PodSecurityPolicy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2022/8/15～9/15 精選容器新聞</strong></p> <h3><strong><span style="color:#FF0000;">#容器化比例、#CIO大調查</span><br /> 臺灣3成大型企業已經擁抱容器技術，平均21.4％應用系統容器化</strong></h3> <p>在今年iThome CIO大調查中，也首度調查企業內部應用容器化的比例。有35.4%的企業已經擁抱容器技術，比去年的比例28.3%提高了不少，這也反映出越來越多企業積極擁抱雲原生技術的態勢。以產業別來看，又以服務業和醫療業擁抱容器技術的企業比例較高，都超過了四成。不過，多數企業仍屬於輕度容器化的企業，只有4.1%企業將年要將過半應用容器化，甚至有1%企業今年底希望達到完全容器化的程度。服務業和一般製造業是重度容器化較高的產業，一般製造業主要是希望用容器來解決老舊系統轉移到新設備的相容問題，而出現了較多的重度容器化企業。企業平均已經將21.4%的內部應用容器化，以服務業比重最高，今年底預估可以達到25.4％，等於每四套系統就有一套放到容器環境中執行。</p> <h3><strong><span style="color:#FF0000;">#臨時性容器、#Kubernetes新版</span><br /> 新版K8s 1.25來了，PodSecurityPolicy安全控管機制完全退場</strong></h3> <p>K8s在8月發布了1.25新版，這次包括了40項強化，15項新功能進入了Alpha版，10項升級到Beta，而有13項終於進入了穩定的正式版。但也有2項功能淘汰。PodSecurityPolicy終於完全退場，這是從1.21版開始展開退場的一項功能，到了1.25版完全移除了。進而取而代之的新功能是Pod Security Admission，也在1.25版進入正式穩定版，可以更容易控管短期性或臨時性的容器。</p> <p>另外，臨時性容器的功能也進入穩定版，可以在現有Pod叢集中增加一個附帶時限的臨時性容器，方便測試或除錯之用。1.25版也可以管理本地端臨時性的儲存空間，可以確保一定容量作為跨Pod的共用儲存功能之用。前一版因為Golang的漏洞而延後發布，這次也重新更新了所有Golang的相依性。</p> <h3><strong><span style="color:#FF0000;">#容器管理、#VM管理</span><br /> 混合雲平臺Anthos正式支援虛擬機器，可以通管容器和VM</strong></h3> <p>混合雲平臺Anthos正式支援虛擬機器，使用者可在同一個Google雲端連結平臺，包括企業自家資料中心或是邊緣網路，執行VM和容器環境。Anthos VM Runtime運用了開源虛擬化技術KubeVirt，在裸機上整合Kubevirt與Anthos，供用戶將虛擬機器轉移到Anthos上，Google雲端提供命令列、API和控制臺管理工具，能簡單管理虛擬機器，也能將虛擬機器日誌和指標整合到營運套裝，使用包括儀表板和警示功能等。另外也強化網路功能，支援虛擬機器多網路介面和IP/MAC綁定功能，實現與Kubernetes pod相容的虛擬機器移動性，同時加入VLAN整合，可套用L4 Kubernetes網路政策，在本地端實現類VPC的微分割功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B9%E5%99%A8%E5%9C%961.png" /></p> <h3><strong><span style="color:#FF0000;">#K8s管理、#Telemetry</span><br /> GKE提供K8s控制平面指標供用戶更全面掌控叢集運作狀態</strong></h3> <p>GKE服務推出更多遙測資料，新加入Kubernetes控制平面指標，來協助Kubernetes服務故障時，更快速排除。Kubernetes控制平面指標可以用來監控API伺服器，追蹤API伺服器的負載、回傳錯誤的請求比例，以及請求的回應延遲等狀況，apiserver_storage_objects指標有助於監控API伺服器的負載程度，特別是用戶使用自定義控制器，可以按資源標籤細分指標，找出存在問題的Kubernetes自定義資源或是控制器。Kubernetes控制平面指標也可以協助用戶了解叢集運作狀況。這些控制平面與監控服務Cloud Monitoring整合，用戶不需要額外收集指標或是抓取配置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B9%E5%99%A8%E5%9C%962-k8s%E6%8E%A7%E5%88%B6%E9%9D%A2%E6%9D%BF.jpg" /></p> <h3><strong><span style="color:#FF0000;">#Grafana、#AKS</span><br /> Azure新推資料視覺化Grafana服務，AKS也有開箱即用儀表板</strong></h3> <p>Azure正式推出Grafana服務，提供最新Grafana 9功能，並改進警示功能，還支援區域冗餘和API金鑰。用戶可以利用Grafana監控Azure雲端上的服務和應用程式。監控服務Azure Monitor便加入了數個新的開箱即用儀表板，像是可用性測試地圖儀表板、負載平衡儀表板。Azure容器服務也整合新的開箱即用儀表板，新的聚合檢視圖儀表板按資源組、環境和區域描繪容器應用地圖，可以查看應用程式所使用的CPU和記憶體等資源，以及重新啟動和網路流量等指標，以監控容器應用程式的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B9%E5%99%A8%E5%9C%963-AKS.png" /></p> <h3><strong><span style="color:#FF0000;">#可觀察性、Pub/Sub</span><br /> GCP推出Pub/Sub指標儀表板，提高訊息服務的可觀察性</strong></h3> <p>Google訊息服務Pub/Sub添加全新指標儀表板，將原本分散在各處的資源監控和使用狀況的指標，集中到單一儀表板上，方便瀏覽。使用戶能夠更清楚地掌握Pub/Sub的使用狀態，從點擊Google雲端控制臺中的主題和訂閱頁面，便可以存取這些儀表板，可以同時讓用戶監控主題以及訂閱，包括單一主題以及訂閱儀表板。像是在單一訂閱主題的監控儀表板，能夠看到三大複合指標，分別是交付指標、發布確認增量（Publish to ack delta），以及拉取確認增量（Pull to ack delta）</p> <h3><strong><span style="color:#FF0000;">#混合雲、#Outposts、#EKS</span><br /> EKS現在可以本地部署，AWS混合雲解決方案Outposts終於支援了</strong></h3> <p>AWS混合雲機櫃Outposts開始可以提供Amazon EKS本地叢集，可以讓企業在本地機房的Outposts上，完整部署EKS叢集。包括Kubernetes控制平面和工作節點都會在Outposts機器本地運作，如此即便Outposts的網路連接暫時中斷，叢集也能夠繼續正確運作，同時使用者還可以在斷網期間操作叢集，執行像是創建、更新和擴展應用程式等工作。本地叢集和雲端中的EKS服務相同，並且都會自動部署最新安全修補程式，EKS本地叢集和AWS雲上的收費相同，目前已經在美東、美西、歐洲、中東和南美洲地區上線，亞洲地區則有首爾和東京地區可用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B9%E5%99%A8%E5%9C%964.png" /></p> <h3><strong><span style="color:#FF0000;">#.NET 7、#容器開發</span><br /> 微軟無伺服器服務Azure Functions搶先支援.NET 7</strong></h3> <p>今年年底時，微軟要正式發布的.NET 7，現在仍在候選版本階段。新版提供更好地支援雲端原生場景，並且以容器簡化開發工作，還有包括程式碼生成、原生AOT編譯以及可觀察性等新功能。想要嚐鮮.NET 7的開發者，現在已經可以在Azure Functions和Visual Studio 2022預覽版中試用。Azure Functions v4開始提供.NET 7 Runtime，這對於那些想要用到最新.NET Runtime功能，在Azure建置無伺服器服務的開發者，都可以方便地以.NET 7開發程式，且不需要花費心力處理大規模部署，以及底層基礎設施配置。</p> <p><strong>更多容器新聞</strong></p> <ul> <li>MLOps平臺Charmed Kubeflow新版強化資料處理與模型追蹤功能</li> <li>Google雲端無伺服器資料複製服務Datastream開始支援BigQuery</li> </ul> <p>@資料來源：iThome整理，2022年9月</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2022/9/24 13:26作者王宏仁https://www.ithome.com.tw/news/153231
Apache OpenNLP整合ONNX Runtime現可高效執行Transformer模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟和Apache OpenNLP專案，在<a href="https://blogs.apache.org/opennlp/entry/accelerate-hugging-face-transformer-models">OpenNLP中整合ONNX Runtime</a>，於Java服務和應用程式提供經加速的自然語言處理（NLP）推理運算，也就是說，除了OpenNLP自己的模型格式之外，現在透過添加ONNX Runtime，來支援包括ONNX以及其他模型格式。</p> <p>Apache OpenNLP是一個Java自然語言處理開源機器學習函式庫，被許多知名開源應用程式使用，包括Apache Solr、Apache UIMA和Apache Lucene等，同時也被應用在許多商業專案和學術研究中。而ONNX Runtime則是機器學習模型跨平臺加速器，提供高效能運算，並且和各種硬體、開發環境相容，適用於當前主流深度學習框架所訓練的模型。</p> <p>Apache OpenNLP的發展要追溯到2000年代初期，其運用最大熵值和基於感知器（Perceptron）的演算法，進行語句偵測、標記化（Tokenization）、語言偵測和命名實體偵測等自然語言處理任務。</p> <p>雖然最大熵值和感知器模型訓練方法不需要用到GPU，額外成本相對較低，但是訓練出來的模型，卻無法與使用Transformer架構的現代化自然語言處理模型效能相比，Apache OpenNLP團隊提到，儘管有許多自然語言處理開發已經轉移到Python生態系，但是Java開發人員也還是需要各種強大的自然語言處理功能，畢竟Java仍然是熱門的程式語言之一。</p> <p>在2022年初Apache OpenNLP 2.0專案發布，目的是要縮小OpenNLP與現代深度學習自然語言處理模型的差距。而在Apache OpenNLP中整合ONNX Runtime，便可以不需要重複模型訓練工作，就能達成此一目標。</p> <p>在Apache OpenNLP 2.0中，像是Hugging Face Hub中基於Transformer的模型，可以轉換成ONNX，並且從Apache OpenNLP透過ONNX Runtime直接使用，或是用戶也能使用Python生態系喜歡的工具訓練模型，之後再以Apache OpenNLP使用該模型。</p> <p>Apache OpenNLP不提供任何模型訓練和評估功能，所有的訓練和評估工作，都需要使用者以其他工具和框架完成，同時Apache OpenNLP也不會要求用戶，應用特定的工具和框架創建和評估模型。另外，在Apache OpenNLP也不需要進行任何模型再訓練，當用戶已經利用外部工具準備好模型，只需要將其匯出成ONNX，便可以直接在Apache OpenNLP使用，並且也不會再需要外部服務，因此能夠簡化應用程式架構。</p> <p>除了文件分類和命名實體辨識等任務外，開發團隊提到，在之後的版本，會繼續對諸如詞性標註和語言偵測等自然語言處理功能，提供OpenNLP介面的ONNX Runtime實作。</p> </div></div></div>
2022/9/23 22:26作者李建興https://www.ithome.com.tw/news/153224
Google雲端防火牆添加新政策結構、IAM治理標籤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/announcing-new-firewall-policies-and-iam-governed-tags" target="_blank">Google雲端更新其防火牆服務</a>，加入全球（Global）網路防火牆政策、地區（Regional）網路防火牆政策，以及IAM治理標籤（IAM-governed Tag）新功能，官方提到，這些功能讓用戶可以藉由全球分散式雲端原生防火牆服務，達到零信任網路狀態。</p> <p>過去Google在組織以及資料夾層級，提供階層防火牆政策，而現在Google要引入全新的網路防火牆政策結構，其區分為全球以及地區兩種，官方提到，新結構將改進過去的VPC防火牆規則結構。與階層網路防火牆政策類似，新的政策結構也是扮演防火牆的規則容器角色，一旦政策與VPC網路相關聯，網路防火牆政策中定義的規則便會強制執行。</p> <p>同一個網路防火牆政策可以關聯多的VPC網路，但每個VPC網路只能有一個全球網路防火牆政策，每一個地區關聯一個地區防火牆政策。全球網路防火牆政策提供一個全球防火牆配置結構，來符合Google雲端VPC網路分布全球的特性，適用於部署VPC網路所有Google雲端地區的工作負載，而地區網路防火牆政策就只針對單一目標地區，因此用戶在使用時要指定目標區域，防火牆配置資料就只會應用在特定地區的工作負載，不會傳播到其他Google雲端地區。</p> <p>而新增的IAM治理標籤又被稱為資源管理器標籤，是一種新型的標籤資源，具有經強化的安全性，可用於像是虛擬機器執行個體等各種Google雲端資源。新的網路防火牆政策能夠與IAM治理標籤整合使用，全球與地區網路防火牆政策都支援IAM治理標籤，作為微切分（Micro-Segmentation）的手段。</p> <p>與之前的網路標籤不同，IAM治理標籤經IAM權限嚴格控制，所以不會有未經授權人員存取的風險，藉由IAM權限，IAM治理標籤允許用戶根據邏輯分組定義個別的網路防火牆政策，並且透過精細的授權控制，在組織內委派群組管理。</p> <p>透過這些新功能，企業就可以將虛擬機器分配給邏輯名稱，並委派給像是應用程式開發人員、資料庫管理員或營運團隊等組織內其他團隊。</p> <p>Google解釋，因為過去網路安全和微切分的原因，建議使用VPC網路規則、網路標籤和服務帳戶保護工作負載，但因為網路標籤不包含內建的IAM治理，因此可能被添加到任何虛擬機器執行個體中，進而存在內部威脅參與者濫用標籤的可能性。</p> <p>即便服務帳戶有更好的IAM控制，但每個虛擬機器只能關聯一個服務帳戶，這限制了多維度工作負載的靈活存取要求，而且要更改服務帳戶，就要關閉並重新建立虛擬機器，對於生產工作負載並不理想。</p> <p>因此Google網路防火牆服務的更新，不只可以簡化規則管理，並且讓企業根據需求，實施更細緻的IAM控制，並在同一個專案中跨VPC網路共享和附加防火牆配置，大幅簡化配置和管理工作。</p> </div></div></div>
2022/9/23 22:33作者李建興https://www.ithome.com.tw/news/153225
【臺灣資安大會直擊】金融資安行動方案推動2年，金管會提出4大防護要點，並透露下個推動重點聚焦零信任與身分驗證框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自兩年前，金融監督管理委員會（簡稱金管會）推出金融資安行動方案，讓原本就受高度監管的金融機關，能隨著威脅、技術的變化與發展，持續強化精進資安，並作為各金融機構檢討資安策略、管理制度及防護技術等遵循的指引，特別的是，在最近一年內，國內的資安推動上還有重大發展，因為金融監督管理委員會正式將資安觀念與提升，從金融業擴大到上市櫃公司，金管會副主委邱淑貞昨日（22日）於2022臺灣資安大會金融安全論壇致詞時表示，未來更期望的是，不論是否為上市櫃公司，隨著大家對資安的重視，以及總體資安的提升，讓大家能夠有資安才有業務，有業務才能持續成長，金融客戶也能得到更多保護。</p> <p>同時，金管會資訊服務處處長林裕泰也出席論壇，不僅揭露金融資安行動方案推動兩來年的成果，也透露金管會日後規畫的考量重點，其中網路安全零信任戰略，以及金融身分驗證框架級標準的建構，將是兩大重點。</p> <h3><b>業務所及之處，資安都得跟上，帶動整體產業資安提升將有助於金融資安的防護</b></h3> <p>對於金融科技未來的發展，在金融資安行動方案持續推動的同時，金管會副主委邱淑貞表示，在過去一兩年內，包括最近的地震、前陣子的停電，以及疫情讓企業的整個業務發展，大幅發展到非面對面的型態，所有金融機構的前中後臺也大幅改變，以及居家上班、異地辦公都讓資安也跟著重新布局考慮，不過，在這些真實而非演習的試煉之下，讓我們必須提升資安，因此金融業的資安加強了，面對未來各種環境上的變化，整體任性的能力也又加強。</p> <p>而這些真實的試煉，也期望從金融業帶到各行各業，是整個資安體系提升很大的契機。不過，她也特別點出4個要點，盼金融業能多加重視。</p> <p>首先，是業務到哪裡，資安到哪裡。這裡強調的是，隨著業務型態的發展，金融機構對資料的管理政策，同樣要嚴謹覆蓋。</p> <p>她表示，金融業是一個高度使用資訊數位化的產業，沒有電腦如何查詢客戶的存款，加上現在大量App應用、雲端分析之下，客戶資料的保護都會是重要課題。而且去年，金管會開啟了金融業跨金融機構共同使用客戶資料的大門，並提供相關指引，但共同合作的金融機構，要如何保護客戶資料，將是金融業者與資安長必須去了解的。</p> <p>第二，對客戶身分認證機制，要有防護能力。對金融機構來說，雙因素認證要是基本防護，如果身分驗證不嚴謹，後面的交易是否為本人就不清楚，這是很大的風險，就像是近年釣魚網站威脅持續嚴峻，金融機構除了要告訴客戶如何使用服務，對於防護這些身分被竊取的偵測，也要逐步加強，才能保護客戶。這也是因為近年證券業遭受到撞庫攻擊的威脅。</p> <p>第三，對於偵測監測事件發生，到恢復正常營運，這樣的基本功，需瑤逐步加強。過往企業資安資源上的配置，集中在事件發生前，現在慢慢配置到事前的偵測，事中的監控，需視資安能力與技術發展，調整資源配置。</p> <p>最後，就是公私協力，各行各業一起提升，整個資安聯防才會真的有效。</p> <p>邱淑貞強調，金融機構除了自身的資安防護，同時也會有賴於許多產業，不論是與財金資訊的連線，財金資訊也要做好安全，還需要足夠的備援電力，以及電信業協助清洗DDoS攻擊流量，還有系統開發維護的合作委外廠商，以及跨業行銷的合作機構，因此，需要共同將資安水準提高，才會維持整體的資訊安全。</p> <h3><b>零信任、金融身分驗證有望成日後推動重點方向</b></h3> <p>對於金融資安行動方案的發展，金管會資訊服務處處長林裕泰表示，兩年前已提出八大重點推動項目，如今有了不少成果，他並透露金管會了當前關注的重點議題，也就是未來所需的新推動方向，或是需要加速應對的威脅風險。</p> <p>當中有哪些是新的重點？舉例來說，在強化新興科技的資安防護面向上，除了要陸續增修訂新興金融科技資安自律規範，包括App、雲端服務、開放銀行、網路身分驗證，供應鏈風險評估，同時，他們也在持續關注攻擊樣態與事件，包括Deepfake、IoT安全等，將考量納入資安資訊規範。同時，林裕泰引用了2022 iThome CIO大調查的金融業企業資安風險圖來說明，除了普遍關注的資安威脅，也要注意新進的熱門威脅，像是以第三方為跳板的攻擊，以及在客戶端發生的資安事件，他認為，這也是與近兩年威脅現況改變有關。</p> <p>更受關注的是，林裕泰特別提到了兩個推動重點，一是零信任戰略，一是金融身分驗證。</p> <p>就前者而言，兩年前，零信任戰略有在關注、但不明確，近年來，不僅歐盟、美國當成網路防護的戰略，在國內，行政院也將開始推動A級機關導入，因此，現在看來時勢已到，金管會也希望未來藉由政策推動，讓此方面的進展能往前跨進一步；就後者而言，身分驗證在金融業運用廣泛，只是過去並沒有統一的驗證標準，隨著現今在不同業務有很多運用方式與變形，因此金管會正在與銀行公會討論，建立多元金融身分驗證框架級標準，希望不只是金融業用上，其他產業也能用得上。要如何進行？目前以國際標準ISO 29115的數位身分驗證等級為參照。</p> <p>在強化資安演練廣度與深度方面，今年最近動向是，預計將新辦理重大資安事件桌面演練，而就目前規畫來看，不會僅止於紙上談兵，將會安排複合式的情境，考驗演練者在短時間內能否最好反應，包括做什麼事情、調度什麼樣的資源，以事件擴大時面對公關媒體的反應。</p> <p>此外，其餘多項演練計畫也會持續進行，包括連續多年進行的DDoS攻擊演練，而網路攻防演訓今年規模亦擴大，採聯隊方式進行，讓更多金融機構可以共同參與，強化基本應變能力；今年還有一項新嘗試，是入侵與攻擊模擬演練，差異是參考鎖定金融業攻擊的APT組織手法製作演練劇本，其實已有金融機構會自己進行這樣的演練，但金管會也藉由這樣的推動，要讓更多業者參與。</p> <h3><b>需重視第三方供應商風險監控，並鼓勵金融機構取得</b><strong>國際持續營運管理標準</strong><strong>ISO 22301</strong></h3> <p>在落實災害應變復原運作機制方面，林裕泰提到一個新面向，主要是參考歐盟今年5月發布數位營運韌性法案（Digital Operational Resilience Act，DORA），當中強調隨著整個數位轉型或是金融發展樣態發展，特別需要注意第三方供應商風險監控，因此，林裕泰強調，整個韌性的模擬演練，未來也必須要把供應商放到整體金融服務環境裡面來考量。</p> <p>此外，自2020到2022年來以來，金管會推動金融資安治理成熟度評估，從銀行業、保險業推動到證券業，除了希望金融業瞭解，最基礎的成熟度層級只是最基本的要求，更期待的是，有業者能帶頭拉高成熟度等級，促進彼此激勵。不過，雖然成熟度評估是很好的方式，但要證明資安做得有效，取得國際標準還是有效溝通方式，較特別的是，他們現在鼓勵金融機構，可以去取得國際持續營運管理標準ISO 22301，根據金管會在2022年6月統計，其實目前國內已有不少業者採取行動，包括10家銀行業、5家證券業與5家保險業，已經通過驗證。</p> <p>至於ISO 27001驗證的要求，已經算是基本，目前金融業者通過數量已經算是相當多，計有32家銀行業、38家保險業，以及25家證券業。</p> <p>無論如何，今年金管會在推動金融機構強化資安上，看起來已經逐漸做到先求有再求好的階段，之後將更進一步建立有效共通基準，促進好還要更好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E6%96%BC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%AD%E9%9C%B2%E9%87%91%E8%9E%8D%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88%E6%9C%80%E8%BF%91%E9%80%B2%E5%B1%95.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>隨著2020年8月金融資安行動方案推動以來，當時已公布將聚焦於8大重點：包括：（一）結合監理工具提供鼓勵誘因，（二）行速金融機構重視資安的組織文化，（三）強化新興科技的資安防護，（四）系統化培育金融資安專業人才，（五）以戰代訓－強化資安演練廣度與深度，（六）金融資安聯防 F-ISAC/F-SOC，（七）建構資源共享的資安應變機制，（八）落實災害應變復原運作機制。如今兩年施行下來，已有多項成果。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E6%96%BC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%AD%E9%9C%B2%E9%87%91%E8%9E%8D%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88%E6%9C%80%E8%BF%91%E9%80%B2%E5%B1%95.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>金管會資訊服務處處長林裕泰表示，在強化新興科技的資安防護面向，近來他們正關注兩大推動重點，零信任戰略是其一，前兩年此方面尚覺得虛無飄渺，但如今國際間已有美國、歐盟等國家政府推動規畫，因此就現在時間點來看已經可行，未來也希望藉由政策的推動，來推進這方面的發展。</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E6%96%BC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%AD%E9%9C%B2%E9%87%91%E8%9E%8D%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88%E6%9C%80%E8%BF%91%E9%80%B2%E5%B1%95.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在零信任之外，金管會日後另一重點是要推動多元金融身分驗證框架及標準，畢竟現今金融業的身分驗正在不同業務上，有很多運用方式甚至變形的運用，因此金管會與銀行公會正持續討論，參照國際標準ISO 29115，建立多元這方面的框架，希望不只是金融業能用，跨產業也能運用。</strong></span></p> <h3><strong>已有73家金融業設副總級資安長，加入F-SOC成員至今年9月已有40家</strong></h3> <p>若以最近一年的推動成果來看，在型塑金融機構重視資安的組織文化方面，如今成果顯著。例如，之前要求金控設副總層級資安長，後續擴大所以本國銀行、純網銀，以及一定規模的保險與證券期貨都要，目的就是讓資安長能夠由上而下調動各種資源，來支持組織資安的發展，目前的成果，計有40家銀行、11家保險公司，以及22家券商設置副總層級資安長：另外，鼓勵金融業遴聘具資安背景的董事、顧問，或設置資安諮詢小組，也有相當多金融業行動，目前也已有58家金融機構這麼做。</p> <p>不僅如此，要求設置資安長、資安主管與專責單位的要求，今年也已經從只金融機關，擴大到上市櫃公司，將要求不同級別公司，逐步在三年內實施。林裕泰指出，在祭出這項法令後，民間也因此出現了資安主管聯盟、資安長聯誼會等，促進跨業資安長交流是金管會所樂見，也希望讓金融業資安長可以有更深化的交流，以及討論金融資安政策。</p> <p>此外，在資安聯防F-ISAC/F-SOC方面，隨著F-ISAC會員早已逼近400家，過去大家可能擔心，加入會員只是單方面接收情資，聯防效果不明顯，現在其實已有許多會員分享，例如，在今年1到8月間，就有90則是來自會員的分享，情資類型包含：釣魚郵件情資、偽冒我國金融機構寄送釣魚情資、偽冒我國金融機構網站或App、可疑IP位址、勒索軟體、大量異常連線、疑是資料外洩、國際事件情、漏洞情資，各類型情資現在也都有會有來自會員的分享。</p> <p>而且，為了促進會員分享，今年建構情資管理分析的平臺，並隨著7月發布的情資分享辦法出爐，從雜湊值、IP位址、網域名稱、網路／主機產物（HTTP Header或Mail Header分析資訊、攻擊者於主機留下特定字串或值），一直到攻擊工具，以及攻擊手法TTP，定義出情資影響力，期望提升情資分享動能，也讓會員分享速度可以更提升。</p> <p>另外，在F-ISAC下所建置的二線F-SOC，至2022年9月為止，已有40家金融機構加入。而且，近年也在嘗試將MITRE ATT&CK技術手法，與資安部署上可偵測到的面向去做對照，也就是將攻擊手法與可監控設備對應，目的是希望讓SOC能有效運作，因為很多惡意行為沒被偵測，很可能是資安設備沒有做到正確的偵測，或是資安事件分析的平臺沒有適當的規則而導致，透過對照表將能更快找出應該調整的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E9%87%91%E7%AE%A1%E6%9C%83%E6%96%BC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E6%8F%AD%E9%9C%B2%E9%87%91%E8%9E%8D%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88%E6%9C%80%E8%BF%91%E9%80%B2%E5%B1%95.jpg" style="width: 600px;" /></p> <p><strong>為了讓資安聯防達到更好效果，最近一年多來，在F-ISAC的規畫下，也嘗試將MITRE ATT&CK技術手法對應到可監控設備，其目的是希望讓SOC能夠更有效去運作。</strong></p> </div></div></div>
2022/9/23 18:22作者羅正漢https://www.ithome.com.tw/news/153223
微軟正式釋出Windows 11 22H2
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2022/09/20/available-today-the-windows-11-2022-update/" target="_blank">微軟本周三（9/21）正式於逾190個國家釋出</a>Windows 11 22H2（Windows 11 2022 Update），這是Windows 11的功能性更新，上一個版本為去年10月釋出的Windows 11 21H2。</p> <p>Windows 11 22H2強化了檔案總管（File Explorer）功能，它開始支援標籤（Tab）功能，允許使用者透過新標籤來開啟不同的文件夾；新的檔案總管首頁還能快速存取最近、最常用或是被標記的檔案。另也更新照片程式，提供更簡單的管理與瀏覽經驗，也能輕易將照片備份到OneDrive上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Windows%2011-Tabs-in-File-Explorer-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>此外，當使用者執行複製（Copy）功能時，系統將會提供相對應的建議，例如當複製電話號碼時，它會建議你透過Teams或Skype撥打電話。還有一個Taskbar Overflow功能，可一次檢視因空間不足而無法呈現於工作列上的所有程式。</p> <p>Windows 11 22H2亦有新的即時字幕（Live Captions）功能，這是個無障礙服務，可替電腦上播放的任何音訊添增字幕，但目前僅支援英文。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Windows%2011%202022%20Update-Windows%2011%2022H2-System%20wide%20live%20captions-(1)-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>針對企業用戶的改善則有智慧應用程式控制（Smart App Control），它會封鎖任何不可靠或未經簽署的應用程式、腳本檔案或惡意巨集，可在執行之前預測程式的安全性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0923-Windows%2011%202022%20Update-Windows%2011%2022H2-Smart%20App%20Control-JPG(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>Windows Hello企業版則新增存在感應（Presence Sensing）功能，當裝置具備存在感應器時，只要使用者一接近就能安全登入，離開就會鎖住裝置。</p> <p>Windows用戶可透過Windows Update檢查是否已可取得最近的更新，以升級至Windows 11 22H2。</p> </div></div></div>
2022/9/23 21:28作者陳曉莉https://www.ithome.com.tw/news/153226
Visual Studio擴充套件也開始支援Arm64
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼微軟Visual Studio 2022開始原生支援Arm64裝置，供開發者在Arm處理器上建置和除錯Arm64應用程式之後，現在微軟進一步擴展對Arm64的支援，<a href="https://devblogs.microsoft.com/visualstudio/now-introducing-arm64-support-for-vs-extensions/">對開發者編寫的Visual Studio擴充套件提供Arm64支援</a>。</p> <p>這代表擴充套件的作者，可以在新開發或是現有擴充套件添加Arm64支援，官方提到，這個過程很簡單，只要三步驟就能夠升級，首先使用最新的NuGet套件管理器和VSSDK建構工具，並在VSIX清單添加arm64和VS 2022標記，最後在建置配置選擇AnyCPU就能完成更新。</p> <p>而擴充套件作者可以在既有的amd64擴充套件版本，於同一個條目中另外發布Arm64擴充套件，使用者便可以在網頁瀏覽器中的擴充套件市集，選擇下載適合CPU架構的擴充套件，不過在Visual Studio的擴充套件管理器中，就只會看到和Visual Studio實例相容的版本。</p> </div></div></div>
2022/9/23 21:34作者李建興https://www.ithome.com.tw/news/153216
Proton VPN宣布移除印度伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著印度要求VPN業者紀錄使用者個資的網路安全指令，即將於本周日（9/25）正式上線，<a href="https://protonvpn.com/blog/servers-india/" target="_blank">瑞士業者Proton VPN周四（9/22）宣布</a>，已移除位於印度的伺服器。未來使用者可透過國際伺服器或新的Smart Routing伺服器來取得印度IP。</p> <p>印度的電腦緊急應變小組（Computer Emergency Response Team，CERT）在4月所發布的網路安全指令中，要求當地所有的VPN業者、資料中心及雲端服務供應商都必須蒐集並存放使用者資料長達5年，且得在必要時提供給當局，倘若違反規定將會被判刑一年。業者可能蒐集的使用者資訊包括姓名、地址、電子郵件帳號、電話號碼、用來註冊VPN服務的IP位址與時間戳、用來連結印度VPN伺服器的IP位址與時間戳，以及每名客戶所獲得的所有IP位址。</p> <p>該指令原本要在6月27日生效，之後延後到9月25日，但在這期間，包括ExpressVPN、Private Internet Access、IPVanish、TunnelBear、Surfshark及Nord Security等原本在印度經營的VPN業者，都已關閉印度伺服器。</p> <p>Proton VPN表示，該公司完全無意遵守印度此一大規模的監控法令，這令它們別無選擇，只得移除印度的VPN伺服器，因為該公司從不記錄使用者的IP位址、瀏覽器紀錄、DNS查詢，或任何危及使用者隱私的資訊。此外，與使用印度境內的伺服器相較，不管是透過國際伺服器或Smart Routing伺服器來取得印度IP，並沒有太大的差別，主要的差別在於這些伺服器實際上位於新加坡，而非印度。</p> </div></div></div>
2022/9/23 21:42作者陳曉莉https://www.ithome.com.tw/news/153227
Niantic發布網頁瀏覽器用Lightship增強實境視覺定位系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者可以在8th Wall網頁擴增實境開發平臺，使用Niantic所開發的視覺定位系統<a href="https://nianticlabs.com/news/lightship-vps-web/?hl=en">Lightship VPS for Web</a>，開發網頁擴增實境應用，官方提到，該功能提供公分級的精準度，並且讓開發者存取地理位置的3D網格，因而能表現出虛擬物件與真實世界相互遮蔽、符合物理且真實的互動。用戶可以先從8th Wall的Discovery Hub中，試用Lightship VPS的範例。</p> <p>Niantic宣布在8th Wall平臺上推出網頁版的Lightship VPS，這代表網頁也能夠普遍成為開發擴增實境應用程式的平臺，官方解釋，他們首創的瀏覽器技術，可以將WebAR內容錨定在指定的地理位置，並且使虛擬物件能夠和所在真實世界互動，將現實事件和數位世界相連接。</p> <p>網頁Lightship VPS能夠將日常地理位置，轉換成提供數位體驗的地方，透過擴增實境賦予該位置新的意義，官方表示，這種數位體驗將能夠驅動人流到特定位置，像是公園的雕像，甚至城市中的店面，使企業能以全新的方式取悅和吸引客戶。同時企業也能夠串連數個具有VPS物件的位置，創造多地點體驗，像是擴增實境尋寶或是大地遊戲。</p> <p>Niantic強調，Lightship VPS使用Niantic擴增實境的地圖，能夠以公分級精準度錨定內容，並可直接在用戶的行動瀏覽器中運作，不需要下載其他應用程式。</p> <p>另外，Lightship VPS for Web還提供開發人員在擴增實境場景，存取位置的3D網格，無論是iOS或是Android，甚至是不支援LiDAR的裝置都沒問題，官方強調，這項顛覆遊戲規則的新功能，能夠用來建構遮擋和符合物理規則的WebAR體驗，在虛擬和真實事件中，增加更進階、逼真的互動。</p> <p>開發者可以自己在Niantic的擴增實境地圖中添加VPS位置，或是直接使用官方所提供，超過10萬個VPS位置來建構擴增實境應用，這些VPS位置不只有街景和公共地標，還包括公園、小路、當地企業等公共場所，官方提到，因為社群貢獻了數百萬個地理位置的資訊、照片和掃描物件，這些資料讓Lightship VPS足夠提供在地化服務，可以在一天中的不同時間，一年中的不同季節，都能確保VPS物件良好運作。</p> </div></div></div>
2022/9/23 21:58作者李建興https://www.ithome.com.tw/news/153217
DeepMind發表更安全的聊天機器人Sparrow
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下的人工智慧子公司<a href="https://www.deepmind.com/blog/building-safer-dialogue-agents" target="_blank">DeepMind在本周發表了更安全的聊天機器人Sparrow</a>，DeepMind替Sparrow制定了規則，即時利用Google搜尋來尋找答案，亦透過人類與Sparrow的對話來改善機器人的對話內容。</p> <p>DeepMind表示，近來各種大型語言模型（Large Language Model，LLM）已在問答、摘錄或對話等任務上頗有成效，其中，對話是一個特別有趣的任務，因為它具備靈活且互動的交流，然而，基於LLM的聊天機器人還是會出現不準確、虛構、歧視或鼓勵不安全行為的對話，為了讓聊天機器人更安全，必須藉由人類的回應來學習，採用基於人類參與者的強化學習，而Sparrow即是最新的產物。</p> <p>Sparrow為一概念性驗證與研究模型，目的是讓聊天機器人得以更有用、更正確也更無害。因此，DeepMind透過人類的回饋來強化Sparrow學習，其中之一是向人類展示不同模型對同一問題的答案，並選出人類最喜歡的答案，也讓人類持續以中性或敵對等方式與Sparrow互動，同時持續擴大用來訓練Sparrow的資料集。</p> <p>DeepMind團隊還替Sparrow建立了簡單的規則，確保Sparrow的行為是安全的。例如當人類要求Sparrow教他如何靠電線短路來發動汽車時，Sparrow會說這可能違法而拒絕回答；或者當人類問及Sparrow有關個人的問題時，Sparrow會坦承自己不是人類。而這是因為DeepMind所制定的規則中，有一則是禁止聊天機器人假裝自己是人類。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/deepmind-media/DeepMind.com/Authors-Notes/sparrow/sparrow_fig_2.svg" style="width: 355px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DeepMind</span></span></p> <p>雖然即便經過訓練，Sparrow在人類特意誘導它打破規定時，Sparrow還是會有8%的凸槌機率，但最初的對話模型凸槌機率是Sparrow的3倍。</p> <p>DeepMind對Sparrow現有的期望，是打造一個得以遵守規範卻又靈活的對話機制，同時也強調，現階段所制定的都只是初步的規則，更完整的規則牽涉到更多的主題，並需要專家來協助，包括立法者、社會科學家及倫理學家等，也必須納入多元用戶及受影響族群的意思，此外，目前的Sparrow是以英文為主，未來的研究將會納入其它的語言及文化，以於不同的文化背景中達到類似的成果。</p> </div></div></div>
2022/9/23 22:07作者陳曉莉https://www.ithome.com.tw/news/153228
【資安日報】2022年9月23日，勒索軟體BlackCat鎖定備份系統竊取資料、存在15年的Python漏洞恐影響35…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客採用雙重勒索的手法，在加密檔案之前竊取資料來要脅受害者可說是不時傳出，但現在攻擊者也試圖從中找到其他有價值的資料。例如，有資安業者發現，勒索軟體BlackCat在加密檔案前不只會竊取電腦檔案，還會從備份系統試圖盜取帳密資料。</p> <p>與程式語言有關的漏洞很可能影響廣泛。資安業者發現存在於Python長達15年的漏洞，迄今尚未修補，他們估計至少有35萬個開源軟體專案存在相關風險。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/noberus-blackcat-ransomware-ttps"><span style="color: rgb(0, 0, 0);">備份資料成為駭客竊取使用者帳密的新目標，勒索軟體BlackCat鎖定Veeam備份軟體竊取資料</span></a></strong></h3> <p>資安業者賽門鐵克指出，今年8月勒索軟體駭客BlackCat所使用的攻擊工具，針對雙重勒索的做法上出現變化。該組織使用的資料外洩模組Exmatter，限縮只針對17種格式的檔案下手，並具備破壞檔案的能力；再者，這些駭客也採用名為Eamfo的惡意程式，來竊取Veeam備份資料裡面的帳密。</p> <p>研究人員指出，駭客為了避免防毒軟體干擾攻擊行動，他們將Exmatter的程式碼重新改寫，而能躲過偵測；同時，駭客也運用名為GMER的Rootkit掃描工具刪除特定的處理程序。</p> <h3><strong style="font-size: 22px;"><a href="https://blog.reversinglabs.com/blog/threat-analysis-malicious-npm-package-mimicks-material-tailwind-css-tool"><span style="color: rgb(0, 0, 0);">出現命名模仿特定CSS框架的冒牌NPM套件，夾帶指令碼以散布惡意軟體</span></a></strong></h3> <p>資安業者ReversingLabs發現惡意NPM套件material-tailwindcss，這個套件約自9月15日出現，一旦受害者將其安裝到開發環境，電腦就會下載以密碼保護的ZIP檔案，內容是能夠執行PowerShell指令碼的可執行檔，目前已被下載320次。</p> <p>這個套件的名稱，是模仿名為Material Tailwind的CSS框架，而很有可能讓開發者上當。為了避免研究人員分析，駭客還在指令碼內加入休眠的機制，並在執行時先檢查能否連線到Google.com等合法網域。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153206"><span style="color: rgb(0, 0, 0);">摩根史坦利廢棄硬碟與伺服器洩露客戶資料，遭罰3,500萬美元</span></a></strong></h3> <p>摩根史坦利旗下部門因報銷公司的舊資料系統不當，導致高達近1,500萬名客戶資料曝險，主管機關美國證券交易委員會（SEC）將祭出3,500萬美元罰款。</p> <p>本案源於2015年該公司關閉財富管理部門MSSB時，未能妥善處理包含客戶重要個資的系統。當時他們聘請不具資料銷毀能力的清運公司，來處理報銷的數千個硬碟和伺服器，卻沒有監督此清運業者的執行過程，使得上述存放客戶個資的設備遭到轉賣，相關資料也隨之曝險。MSSB並未證實上述的調查結果，但將會向支付SEC罰款。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><strong style="font-size: 22px;"><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/tarfile-exploiting-the-world.html"><span style="color: rgb(0, 0, 0);">存在15年的Python漏洞恐影響35萬個開源專案</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/python-tarfile.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix提出警告，程式語言Python的Tarfile模組裡存在CVE-2007-4559，此為目錄遍歷（Directory Traversal）漏洞，已存在長達15年，當時認為CVSS風險評分僅有6.8分而沒有得到修補。</p> <p>但研究人員指出，攻擊者很容易利用此漏洞來執行任意程式，甚至是控制受害裝置。研究人員初步挑選257個專案進行調查，結果約有6成存在相關漏洞，所有使用Tarfile的開源專案有588,840個，粗估有逾35萬個專案曝險。該公司提供能檢測此漏洞的程式碼Creosote，供專案團隊確認是否受到影響。</p> <h3><strong style="font-size: 22px;"><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-in-chromium-bypassed-sanitizer-api"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器傳出原型污染漏洞，恐導致特定防護API被繞過</span></a></strong></h3> <p>資安研究員Michał Bentkowski發現，Chormium專案的程式碼裡存在原型污染（Prototype Pollution）漏洞，而有機會讓攻擊者繞過名為Sanitizer的API。這個API是內建於此瀏覽器的程式庫，用途是在使用者控制的輸入來源中，移除潛在的惡意程式碼，研究人員指出，此API在8月發布Chrome 105預設啟用，使得此漏洞影響的範圍變得相當廣。</p> <p>該名研究員以特製的SVG圖檔來進行概念性驗證，一旦瀏覽器載入此圖檔物件，就會執行研究人員的JavaScript程式碼。此漏洞在研究人員揭露後引起Chromium社群的熱烈討論，並探討著手緩解的做法。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.microsoft.com/security/blog/2022/09/22/malicious-oauth-applications-used-to-compromise-email-servers-and-spread-spam/"><span style="color: rgb(0, 0, 0);">微軟Exchange伺服器遭植入惡意OAuth應用程式，並被用於散布垃圾郵件</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://sansec.io/research/magento-2-template-attacks"><span style="color: rgb(0, 0, 0);">電商平臺Magento重大漏洞CVE-2022-24086遭到利用，被用於植入木馬程式</span></a></span></strong></p> <p><a href="https://thehackernews.com/2022/09/malicious-npm-package-caught-mimicking.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織匿名者癱瘓伊朗政府網站，目的是抗議警方對婦女執法過當</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153192">【2022年9月22日】駭客以LinkedIn的付費版功能散布惡意連結、勒索軟體LockBit的製作工具遭到外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153164">【2022年9月21日】資安業者Imperva緩解持續長達4小時的大規模DDoS攻擊、駭客鎖定Oracle WebLogic伺服器挖礦</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153155">【2022年9月20日】臺灣資安大會Cybersec 2022隆重登場、Uber遭駭疑為駭客組織Lapsus$所為</a></strong></strong></strong></p> </div></div></div>
2022/9/23 17:31作者周峻佑https://www.ithome.com.tw/news/153218
MedTech雙周報第11期：衛福部年底前將公告電子病歷上雲細節，含雲端廠商資安驗證標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資安驗證標準 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部年底前將公告電子病歷上雲細節</strong></span></p> <p>衛福部在7月公告新版醫療機構電子病歷製作及管理辦法，允許醫療院所委外建置電子病歷資訊系統、得以使用雲端服務來處理電子病歷資料。該辦法雖訂出大方向，但相關細節仍未定義。</p> <p>有鑑於此，衛福部醫事司司長劉越萍日前透露，衛福部資訊處將於年底前揭露更多細節，包括針對新辦法第6條第2、3項，也就是醫療機構得委託大專校院、依法登記或立案之法人、機構或團體建置及管理電子病歷系統，符合3項情形可免簽訂書面契約，衛福部將提出更多免簽訂說明，並針對這些委外機構需通過的資安驗證，提供具體說明。</p> <p>此外，衛福部資訊處屆時也將公告，雲端廠商需符合的中央主管機關資安驗證標準（也就是第8條第3項說明），並提供辦法第18條電子病歷交換平臺的交換格式、簽章與時戳及其他相關事項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1663548142533.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距診療辦法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療法人投資限制 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 法規鬆綁 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部下半年法規鬆綁瞄準遠距診療、醫療法人投資限制，預計明年上路</strong></span></p> <p>衛福部常務次長石崇良日前點出下半年修法重點，也就是通訊診察治療辦法（簡稱通訊診療辦法）和醫療法。其中，通訊診療辦法鬆綁是為進一步推動遠距醫療，將針對適用情境、實施項目、開放處方和簡化行政程序等4大面向修法，比如將原本的5種特殊情形，擴大為10種通訊診療情境（如慢性病長期用藥、長期照護、居家醫療、國際醫療）、納入新項目（如詢問病情、診察、診斷、開立檢查檢驗單、會診、開立處方）。他表示，最快9月、最遲10月就會預告草案，經60天預告、收集各方意見後，預計年底前公告正式辦法，明年1月1日正式上路。</p> <p>而醫療法則針對第35條鬆綁，要納入3種例外，不受財團法人及醫療法人醫院投資單一公司資本額20％上限的限制，包括：投資標的使用之主要營業技術為醫療法人提供、以醫療法人研發之智慧財產作價入股生技醫藥公司、政策契合事業，如國血國用、醫療廢棄物處理及再利用、數位醫療、國際醫療、再生醫療、精準醫療等。其中，醫療法人是指醫療財團法人和社團法人醫院，以及大學附設醫院，第35條放寬之後，可望促進醫療法人將研究成果商品化，甚至促進衛福部想推動的次世代醫療資訊系統（HIS）整合。<a href="https://youtube.com/watch?v=2bL_qTm7CE0&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=4442">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-09-23%20at%205_39_26%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距照護中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國際醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺中榮總成立遠距照護中心，下一步要整合國際醫療、遠距藥事 </strong></span></p> <p>臺中榮總發展遠距醫療多年，在全臺中榮醫療資訊系統（HIS）整合的基礎下，進一步成立遠距照護中心，打造AIoT-5G視訊平臺，來連結埔榮、嘉義2處分院，白河、嘉義等4座榮家和泰安、谷關等3座急救醫療站與2家合作醫院，提供24小時即時線上問診、會診、提早檢傷服務。</p> <p>臺中榮總皮膚科主任陳怡如揭露遠距照護中心的發展模式，該中心由4個組別組成，包括居家照護醫療組、遠距會診諮詢組、資訊工程組和健康照護管理組，第1組進行的工作有慢性病管理、心律不整和高齡監控、出院後照護，接下來將新添早期篩檢。第2組負責偏鄉遠距會診、緊急傷病指導等工作，未來要納入國際醫療和遠距藥事這兩大工作，健康照護管理組目前則結合院內24小時諮詢中心，來提供諮詢服務，未來會進一步推廣應用。<a href="https://youtube.com/watch?v=rdmBEX5sHxE&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=5891">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-09-23%20at%205_42_36%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核災 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 演練 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺中榮總自建3D場景，用VR強化醫護核災演練</strong></span></p> <p>鑑於福島核災事故，臺中榮總自2011年開始強化處理核災治療的能力。臺中榮總核醫科放射師陳耀文表示，中榮發想，也許能先借助VR進行輻射演練，來避免實體演練高昂的動員成本。但由於沒有現成的VR核災訓練軟體，他們找上東海大學，跨團隊聯手打造核輻射災害救治演練VR，用4階段來開發。</p> <p>首先是確立程序，也就是輻射災害的啟動與處置流程，再來是設計建模，團隊用建模軟體SketchUp打造1比1的場景和人物建模，再用遊戲製作引擎Unity，根據腳本打造演練流程。接著，他們設計了體驗回饋機制，透過測試者當下的回饋來優化程式，最後就是正式演練和評估了。</p> <p>在演練操作上，由不同場景和腳本組成，比如當患者送至醫院時，救護車先抵達門口檢傷區，由醫護進行人員、病患和救護車偵測，這是第一個場景。再來是送入院內醫療除污區，也就是第2個場景，搭配不同腳本，來讓醫護人員進行相關處置。完成後，患者會送至第3個場景：後送區，來將患者送至中榮收治病房，進行後續照護。這些就是演練內容，對中榮來說，VR演練可重複練習，且不受時間、空間限制。但陳耀文強調，VR演練並非要完全取代實際演練，而是相輔相成，比如提高VR演練次數、降低實地演練次數，來強化受訓人員的處理經驗。甚至，中榮不只要用VR演練加強核災，還要藉現有模組，進一步延伸發展其他VR災害演練，像是急救、毒化災、火災，或大量傷患的場景。<a href="https://youtube.com/watch?v=FAqlQwSqbSg&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=11270">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-09-22%20at%201_25_13%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BTC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保沙盒 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療創新 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BTC建議推動健保沙盒、醫療IT系統革新</strong></span></p> <p>今年度行政院生技產業策略諮議委員會議（BTC）9月7日落幕，委員代表張鴻仁總結BTC建言，要針對加速創新醫材進入市場，推動健保沙盒，由政府編列預算，讓已通過TFDA的創新產品（特別是智慧醫療與精準醫療產品），在健保平臺試行一段時間，同時進行成本效益分析，若產品表現優異，將正式納入健保給付。此外，BTC也建議發展分散式臨床試驗、推動聯邦式學習來加速驗證。</p> <p>在資料治理部分，則要建立健康大數據的退出機制，並推動整合醫療資訊規格。BTC也提倡革新醫療IT系統，支持衛福部推動次世代醫療資訊系統（HIS）、發展雲端電子病歷系統。最後，BTC也建議國家扶植全球性健康大數據公司，並推動發展遠距醫療平臺標準、開放虛擬診所。<a href="https://www.ithome.com.tw/news/152975">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 次世代HIS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>衛福部揭露次世代HIS推動方向</strong></span></p> <p>衛福部部長薛瑞元日前透露，衛福部計畫推動次世代數位醫療平臺，來解決臺灣醫院醫療系統各自為政的痛點。他解釋，醫療ICT產品的推廣痛點為商業模式，因為，臺灣光是醫學中心就有19家，其中可能十幾家的HIS都不相容，等於ICT業者與某家醫院研發出的好系統，沒多少其他醫院能用，得重新客製化寫一套才行。</p> <p>為解決醫院系統各自為政的痛點，衛福部計畫推動次世代數位醫療平臺，選出符合資格的醫院，作為領頭羊，來讓其他醫院來整合。如此一來，就能將原本的10幾套系統減少為4、5套，讓平臺間的溝通更容易，降低導入困難度。「這是我們初步的想法，」薛瑞元表示，衛福部有雛形計畫後，就會向國科會報告，並找國發會來一起推動次世代數位醫療平臺。<a href="https://www.ithome.com.tw/news/152737">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健康資訊管理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健保申報 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>石崇良：HIS應升級為健康資訊管理系統</strong></span></p> <p>衛福部常務次長石崇良出席中榮國際智慧醫療高峰會表示，疫情加速醫療數位轉型，臺灣也應發展智慧醫療照護，包括將醫療資訊系統（HIS）升級為將康資訊管理系統。他解釋，HIS過去是以健保申報為主的資訊系統，「現在要升級為健康資訊管理系統，要同時能提供研發、臨床使用和管理，不再只是健保申報導向的HIS，」他強調，這樣的系統要以雲端技術打造，作為以病人為中心的智能醫院系統。這種自動化、數位化的醫療系統，可產生更有價值的醫療服務，因此，「發展次世代醫療系統是下一步轉型關鍵，」石崇良說。<a href="https://youtube.com/watch?v=2bL_qTm7CE0&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=4442">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 都蘭診所 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 在宅醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>都蘭診所推動臺東遠距在宅會診，要建立在宅醫療醫師網路</strong></span></p> <p>都蘭診所自成立以來就在臺東力推遠距在宅會診，所長余尚儒指出，有別於常見的五官科/急診遠距會診和疫情之下的視訊診療，遠距在宅會診是指，將醫療服務帶入民眾的生活，比如到家中、廟口或文健站替民眾遠距看診，讓看診地點有更大的彈性，不只限於衛生所。</p> <p>自2020年開始，都蘭診所也與國衛院展開在宅醫療計畫與基礎建設，像是訓練臨床人員操作超音波、鼻咽內視鏡等居家醫療儀器，並配置5G遠距醫療設備和網路基礎建設。完成後，他們在2021年展開示範，導入行動醫療車、5G遠距會診網和建置線上遠距教學平臺等，由行動醫療車提供多種檢查儀器，如超音波、心電圖、即時血液分析和內視鏡，即時提供病患和家屬檢測結果和衛教。</p> <p>在宅醫療發展至今，余尚儒也有不少心得，比如，在地端醫師得先熟悉儀器操作、強化現場操作信心。接下來，余尚儒要建立醫師網路，來讓更多醫療院所和專科診所投入在宅醫療。<a href="https://youtube.com/watch?v=rdmBEX5sHxE&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=751">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-09-19%20at%201_23_03%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 宏碁智醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaMD </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 落地 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>宏碁智醫：政府可成立智慧醫療產業推動辦公室，加速SaMD落地</strong></span></p> <p>衛福部食藥署自去年5月成立智慧醫材專案辦公室，輔導了不少醫院、學研機構和企業取得智慧醫材SaMD認證，今年邁入第2年，業界也有不少建議。比如宏碁智醫，他們已有2項成熟的醫療AI產品，不僅取得臺灣TFDA認證，也整合至數十家醫療機構並佈局海外。</p> <p>宏碁智醫總經理許銀雄日前於中榮國際智慧醫療高峰會中點出，在發展智慧醫療這條漫長的旅程中，取得許可證核准只是第一步，還得考量如何打進市場。他認為，除了廠商自行努力，政府也可協助產業，「也許能成立智慧醫療產業推動辦公室，來加速產品落地，能讓智慧醫療發展更成功，」他說。<a href="https://youtube.com/watch?v=2bL_qTm7CE0&feature=share&utm_source=EKLEiJECCKjOmKnC5IiRIQ&t=13344">（詳全文）</a></p> <p>圖片來源／衛福部、臺中榮總</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></p> <p><strong>1. 友達頤康開發非接觸式監測系統，瞄準長照領域</strong></p> <p><strong>2. 印度展開國家級醫療資料集建置工作</strong></p> <p>資料來源：iThome整理，2022年9月</p> </div></div></div>
2022/9/23 18:00作者王若樸https://www.ithome.com.tw/news/153222
守護世界安全，就從資安做起
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本應該於5月17日到19日舉行的2022臺灣資安大會，今年因為5月初出現COVID-19確診病例暴增，因而延期至9月20日到22日，關於這場年度資安大活動的宗旨，因為9月18日花東地區發生6.8級大地震，臺灣資安大會主席暨iThome總編輯吳其勳在開幕典禮時，先向救災人員致謝，後續談到資安人員就是數位世界的救災人員，肩負的職責不只是保護電腦系統與網路，阻擋駭客與惡意軟體攻擊，同時也是守護家園、守護這個我們賴以為生的世界。</p> <p>不過，隨著資安威脅持續進化，不論企業與國家有多麼強大，都難以憑藉一己之力去抵抗，唯有團結眾人之力、強化協同合作，才能構築更強健的防禦體系，他期勉大家各自扮演好自己的角色，壯大資安生態圈，因為，每個人都是這個世界的守護者。</p> <p>為了表示對資安的重視，在活動首日開幕時，總統蔡英文率領多位政府資安高層參加，包含國安會秘書長顧立雄、行政院副院長沈榮津、國安會諮詢委員李漢銘、數位發展部長唐鳳、國家通訊傳播委員會主任委員陳耀祥，總統也期許大家攜手努力，將臺灣打造成為堅韌、安全、可信賴的智慧國家。</p> <p>大會第二天上午，副總統賴清德蒞臨現場，參觀產、官、學、研界展示，瞭解各廠商與單位資安防護及自主研發能量的成果。這天一早，數位發展部部長唐鳳也首度在臺灣資安大會發表主題演講，她以單位內部落實最小權限的經驗為例，強調資安要有良好的風險管理，每個人須隨時意識到自己有可能是破口、成為風險，而這正是數位發展部強調全民數位韌性的「全民」意涵。</p> <p>在今年臺灣資安大會上，涵蓋議題相當廣泛，以技術而言，包括：5G、雲端、工控、密碼學、人工智慧、供應鏈、勒索軟體、電動與自駕車，以及紅隊、藍隊；以產業與企業而言，有金融業、製造業、上市櫃、資安治理，綜合來看，零信任（Zero Trust）仍然是許多資安業界專家最普遍談到的概念，當然，應用到不同技術與業務應用領域時，所需要關注的部分也會有一些差異。</p> <p>不過，或許是經歷過COVID-19疫情兩年多的洗禮，今年大家對於零信任概念都提出更深刻而直接的闡釋。例如，奧義智慧科技共同創辦人叢培侃在大會首日主題演講提到，我們看待資安的方式已由傳統的「信任」、關注從外部攻入（Outside in）的威脅，轉為「假設自己被入侵」，攻擊態勢變成由內而外（Inside Out）。的確！將「內部無法避免被滲透」視為預設的防禦角度，更有助於確保安全性，進一步避免各種信任死角成為攻擊的可乘之機。</p> <p>而在大會第二天ExtraHop亞太區系統工程副總裁朱孟穎的主題演講，也提到類似論點。關於如何避免資安事件衍生為嚴重洩漏機敏資料的事故，他表示，首先，我們應該要有侵入後（Post-Compromise）的心態，傳統仰賴防火牆與入侵防禦系統總是著重在保護與預防的角度，然而，重點已不在是否可能遭到入侵，而是何時發生（It’s not if, but when），因為，無論導入了多麼優異的資安產品，用戶本身時常是提升資安防護的瓶頸，所以關鍵是一旦出現小型的侵入活動，能否及時、快速偵測，使其不要繼續擴散，避免後續演變成大量資料竊取、外露的狀況，而這個態度也是務實的，因為對於企業與組織對於防護需求的規畫，會有更切合實際的對應。</p> <p>在零信任資安論壇中，安永諮詢服務企業資安架構總監謝佳龍提到「假設入侵（Assume Breach）」，這也是理解零信任概念的最佳寫照之一，因為在這樣的觀點之下，所有的存取都是有風險的，每次都需經過驗證才能確保其可信。</p> <div class="media_embed" height="314px" width="560px"> <iframe allow="autoplay; clipboard-write; encrypted-media; picture-in-picture; web-share" allowfullscreen="true" frameborder="0" height="314px" scrolling="no" src="https://www.facebook.com/plugins/video.php?height=314&href=https%3A%2F%2Fwww.facebook.com%2Fithomeonline%2Fvideos%2F1091516198138791%2F&show_text=false&width=560&t=1180" style="border:none;overflow:hidden" width="560px"></iframe></div> <p></p> <div class="media_embed" height="314px" width="560px"> <iframe allow="autoplay; clipboard-write; encrypted-media; picture-in-picture; web-share" allowfullscreen="true" frameborder="0" height="314px" scrolling="no" src="https://www.facebook.com/plugins/video.php?height=314&href=https%3A%2F%2Fwww.facebook.com%2Fithomeonline%2Fvideos%2F1049775812351347%2F&show_text=false&width=560&t=0" style="border:none;overflow:hidden" width="560px"></iframe></div> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div></div></div>
2022/9/23 14:36作者李宗翰https://www.ithome.com.tw/voice/153211
存在15年的Python漏洞影響35萬個開源專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html" target="_blank">由FireEye與McAfee Enterprise合併而成的資安業者Trellix本周警告</a>，熱門程式語言Python的Tarfile模組中含有一個15年前就被發現的安全漏洞CVE-2007-4559，當初這個風險等級只被列為6.8的目錄遍歷（Directory Traversal）漏洞並未被修補，然而，研究人員卻發現它很輕易就可用來執行程式，估計波及逾35萬個開源專案。</p> <p>Tarfile為Python中的預設模組，因此，該漏洞廣泛存在於任何使用Python的框架中，從Netflix、AWS、Intel、Google到Meta，或是各種與機器學習、自動化及容器化有關的應用程式，駭客只要上傳一個由兩到三行程式碼產生的惡意程式，就能允許駭客執行任意程式，或是控制目標裝置。</p> <p>Trellix的安全研究人員Kasimir Schulz指出，他們是在調查另一個漏洞時，無意間遇到CVE-2007-4559，原本以為它是個新的零時差安全漏洞，沒想到是2007年就被揭露的老舊漏洞；此一在過去並未受到重視的漏洞，在大多數的狀況下，卻允許駭客藉由寫入檔案而執行程式。</p> <p>Trellix團隊已成功攻陷了基於Python的Spyder IDE與Polemarch中的CVE-2007-4559漏洞。</p> <p>為了估算CVE-2007-4559漏洞的規模，研究人員選出了257個最有可能含有該漏洞的儲存庫，發現當中有175個含有CVE-2007-4559，比例為61%，而在GitHub上的專案中，於Python程式碼中包含輸入Tarfile的專案總計有588,840個，若以61%來計算，那麼有超過35萬個開源專案含有該漏洞，且此一估計並未納入封閉專案。</p> <p><a href="https://github.com/advanced-threat-research/Creosote" target="_blank">Trellix也打造了一個Python腳本程式Creosote</a>來尋找CVE-2007-4559漏洞，該工具適用於Python 3.9及之後的版本，並同時支援Windows、Linux及macOS。</p> <p class="rtecenter"><a href="http://github.com/advanced-threat-research/Creosote" target="_blank"><img alt="" src="https://opengraph.githubassets.com/482e3699c8ba99fb4289642f8aefee9143c9caa9c10055f33e9a8b7d4d6a4ddd/advanced-threat-research/Creosote" style="width: 500px;" /></a></p> </div></div></div>
2022/9/23 14:13作者陳曉莉https://www.ithome.com.tw/news/153215
摩根史坦利報銷系統洩露客戶資料，遭罰3,500萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根史坦利旗下部門因報銷公司的舊資料系統不當，致高達近1,500萬名客戶資料曝險，被主管機關美國證券交易委員會（Security and Exchange Commission，SEC）罰款3,500萬美元。</p> <p><a href="https://www.sec.gov/news/press-release/2022-168" target="_blank">SEC指出</a>摩根史坦利（Morgan Stanley）旗下財富管理機構Smith Barney（MSSB）在保護客戶可辨識身分資料（personal identifying information，PII）上，在5年期間出現多項失誤，影響公司近1,500萬客戶資料。MSSB已經同意支付罰金和SEC達成和解。</p> <p>本案起於2015年MSSB關閉財富管理部門時，未能妥善處理包含客戶重要個資的系統，而且不只一次。MSSB聘請了一家不具資料銷毁專業的倉儲及清運公司報銷數千臺硬碟和伺服器，而且又未能監督這家清運業者的行為。這些機器中，部分包含未加密的客戶PII。</p> <p>在SEC命令下，MSSB調查發現，這批伺服器和硬碟之後被這家業者賣給了第三方廠商，最後輾轉賣到了拍賣網站。MSSB最後尋回部分裝置，並在其中發現了數千筆未加密客戶資料，但是大部分機器都未能尋獲。</p> <p>MSSB另外還發現一些地區分公司在換新伺服器、報銷舊機器時，也曝露了客戶資料。經過資料比對，他們發現有42臺存有未加密客戶PII及消費者報告資訊的伺服器不知去向。此外，調查也顯示，這些伺服器並非沒有加密功能，而是使用單位多年來都未啟用。</p> <p>SEC執法部門主任Gurbir Grewal指出，MSSB本案的失誤令人震驚，客戶將個資交託給這些金融專業人員，期待這些這資料能獲得保護，但MSSB卻嚴重失職，這些敏感個資若未善加保護，可能流入不肖人士之手，為投資人帶來災難性後果。</p> <p>MSSB並未承認或否認這些調查結果，但同意支付SEC罰款。</p> <p>事實上，2016年1,500萬名客戶已對摩根史坦利提起集體控訴。<a href="https://www.ithome.com.tw/news/148716" target="_blank">雙方今年1月初達成</a>初步和解協議，並請求紐約法院同意。根據報導，受影響的客戶可獲得至少2年的詐欺保險賠償，並可申請最高10,000美元的現金補貼。</p> </div></div></div>
2022/9/23 10:30作者林妍溱https://www.ithome.com.tw/news/153206
駭客入侵遊戲業者2K Games客戶支援中心，對玩家發送釣魚訊息企圖竊資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名遊戲開發商2K Games客戶支援中心近日被駭，遭駭客用來散布惡意程式，以便竊取玩家電腦的資料。</p> <p><a href="https://twitter.com/2KSupport/status/1572320721333796865" target="_blank">本周2K Games警告用戶</a>，要玩家留意重設已儲存的帳號密碼。</p> <p class="rtecenter"><a href="http://twitter.com/2KSupport/status/1572320721333796865" target="_blank"><img alt="" src="https://pbs.twimg.com/media/FdIBXRBXkAA4ehk?format=jpg&name=medium" style="width: 450px;" /></a></p> <p>2K Games是美國遊戲發行商Take-Two Interactive旗下的遊戲品牌，與Rockstar Games和美商藝電體育部門（EA Sports）齊名。2K Games發行過多款熱門遊戲，包括《NBA》系列、《文明帝國》、《邊緣禁地》等。</p> <p>2K Games說明，該公司本周三發現，該公司外部廠商存取其客戶支援中心的存取憑證遭未授權人士非法存取，該名攻擊者已經對數名玩家發送包含惡意連結的訊息。這家遊戲業者要玩家不要開啟任何宣稱來自公司客戶支援中心帳號的連結。</p> <p>在一樁受害案例中，攻擊者向玩家發送假的支援回覆訊息，訊息中包含一個檔案下載連結，以下載檔名為2K Launcher.zip的檔案。<a href="https://www.malwarebytes.com/blog/news/2022/09/2k-games-helpdesk-abused-to-spread-redline-malware" target="_blank">安全廠商MalwareBytes分析</a>，這檔案一經執行會下載名為Red Line的惡意程式。Red Line是一種木馬程式，專門從系統剪貼簿竊取銀行帳戶資訊，以及竊取上網紀錄、電子錢包位址、VPN密碼、cookies及瀏覽器儲存的密碼等。過去Red Line經常藉由冒充知名軟體或破解版軟體以感染使用者。</p> <p>除了要求用戶重設（先前儲存的）所有帳號密碼外，2K Games也呼籲用戶啟用多因素驗證、安裝信譽良好的防毒軟體，並檢查帳號下是否已被人加入信件轉送的規則或是任何資訊變更。</p> <p>上周Rockstar也遭駭客入侵，公布多支未上市遊戲的影片，<a href="https://www.ithome.com.tw/news/153118" target="_blank">犯案者疑似是駭入Uber</a>及今年初入侵微軟、三星的駭客組織Lapsus$。</p> </div></div></div>
2022/9/23 10:59作者林妍溱https://www.ithome.com.tw/news/153207
高效能WebAssembly Runtime Wasmtime 1.0正式發布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bytecode Alliance正式發布WebAssembly Runtime <a href="https://bytecodealliance.org/articles/wasmtime-1-0-fast-safe-and-production-ready">Wasmtime 1.0</a>，官方提到，事實上Wasmtime在1年前就已經達到生產就緒的狀態，但因為他們希望Wasmtime不只是能夠運作，還要兼具高效能的特性，因此花了許多時間<a href="https://www.ithome.com.tw/news/152999">改進執行速度</a>。</p> <p>Wasmtime由Bytecode Alliance主導開發，為一個針對WebAssembly和WASI的獨立最佳化Runtime，其優點是能在網頁之外執行WebAssembly程式碼，並且能被當作命令列公用程式，或是作為函式庫嵌入到大型應用程式。</p> <p>雖然WebAssembly當初是為了讓程式碼可以在瀏覽器中高效能運作而創建，不過WebAssembly卻也在瀏覽器外發展許多使用案例，而要在瀏覽器外執行WebAssembly，就需要像是Wasmtime這類Runtime。用戶可以將Wasmtime用於微服務、第三方擴充系統、資料庫、事件處理、可信任執行環境，以及可移植客戶端等用例。</p> <p>官方提到，他們計畫每個月會發布一個Wasmtime新版本，而Wasmtime每個版本號都會增加主要版本號，並且保持Wasmtime版本號與特定語言嵌入的版本號相同，像是wasmtime-py 7.0用戶就能確定使用的是Wasmtime 7.0。</p> <p>雖然Bytecode Alliance是一個中立的非營利組織，但是近期卻遭到AssemblyScript開源專案爆料過於固執己見。AssemblyScript不只移除WASI（WebAssembly System Interface）支援，還抨擊Bytecode Alliance不採納其他開源組織的建議，所制定的WASI對開放標準有害，特別是傷害WebAssembly的規範，認為Bytecode Alliance消失對WebAssembly和網頁的發展更好。</p> </div></div></div>
2022/9/23 09:31作者李建興https://www.ithome.com.tw/news/153203
美國再點名二家中國電信業者為國安威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://docs.fcc.gov/public/attachments/DOC-387393A1.pdf" target="_blank">美國聯邦通訊委員會（FCC）本周</a>再將2家中國電信業者，包括中國聯通（China Unicom）與太平洋網路（Pacific Networks）及其全資美國子公司信通（ComNet）列為美國的國安威脅。</p> <p>FCC下的公共安全與國土安全局（Public Safety and Homeland Security Bureau）將這兩家公司的通訊設備及服務，加入到國安威脅名單中，成為繼華為、中興之後，最新一批被指為威脅美國國家安全的中國電信業者。</p> <p>早在今年1月及3月，FCC就已經以威脅國安為由撤銷<a href="https://www.ithome.com.tw/news/149138" target="_blank">中國聯通</a>及太平洋網路及信通在美國提供州際和國際通訊服務的經營許可。FCC主席Jessica Rosenworcel指出，在與國安合作夥伴協力下，FCC進一步將兩家公司加入國安威脅的涵蓋名單，對這些業者關上大門，突顯全美國政府保護美國網路安全及隱私的決心。</p> <p>美國去年10月先行撤銷了中國電信在美的經營許可，<a href="http://www.ithome.com.tw/news/148216" target="_blank">而中國電信在上訴失敗後</a>，已在今年1月被迫退出美國市場。</p> <p>其他被美國列入國安威脅名單的業者還有海康威視（Hikvision）、海能達（Hytera）、監控設備商大華（Dahua）、中國電信及中國移動美國子公司，以及俄羅斯安全軟體商卡巴斯基。卡巴斯基則是在今年俄烏戰爭後，於3月間被FCC列入清單中。外國廠商一旦被美國政府指控為國安威脅，就幾乎不可能有上訴成功的可能。</p> </div></div></div>
2022/9/23 10:08作者林妍溱https://www.ithome.com.tw/news/153205
Cockroach Labs推出關聯式資料庫CockroachDB無伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主打韌性如同打不死蟑螂般的關聯式資料庫CockroachDB推出新產品，現在用戶除了自己建置CockroachDB資料庫，也可以選用<a href="https://www.cockroachlabs.com/blog/announcing-cockroachdb-serverless/">CockroachDB無伺服器服務</a>，同時官方也釋出工具讓用戶能夠簡單地搬遷，並能夠搭配第三方開發工具整合。</p> <p>CockroachDB在去年10月的時候，開始無伺服器服務測試，該服務提供許多資料庫進階功能，包括變更資料擷取（Change Data Capture，CDC）、備份與恢復、管理API，以及99.99％正常運作時間等。現在官方宣布CockroachDB無伺服器服務正式推出，無論是生產應用程式、原型設計還是開發環境的測試，都能建構於該資料庫服務上。</p> <p>開發公司Cockroach Labs是由3個從Google離職的員工所創辦，他們依照Google Spanner資料庫白皮書開發了CockroachDB資料庫，CockroachDB擁有極大的可擴展性，可雲端跨區提供極高容錯能力，官方提到，當前雲端時代應用程式對於敏捷性、可靠性和可擴展性的高要求，PostgreSQL或MySQL傳統資料庫的複雜配置已經不敷使用，可能限制用戶的速度與敏捷性。</p> <p>官方自詡CockroachDB為下一代PostgreSQL，而現在所提供的無伺服器版本，基於使用和擴展定價，免除用戶部署、維護和擴展的麻煩。</p> <p>同時CockroachDB還發布一個稱為Molt的工具，要供用戶簡單地從其他資料庫搬遷到CockroachDB中，與CockroachDB同樣的命名邏輯，Molt（蛻皮）是昆蟲生命周期中的階段，用來表示該工具能夠將舊資料庫搬遷到CockroachDB上，執行資料庫自動架構（Schema）轉換、架構創建以及資料載入等工作，相當於昆蟲蛻皮迎來新生命過程。</p> <p>Molt的自動架構轉換、架構創建功能，可讓用戶不需要手動檢查和編輯架構，就能將舊資料庫的資料轉移到CockroachDB上，而在CockroachDB架構就緒後，用戶可以使用AWS搬遷工具DMS，將資料載入到CockroachDB中。</p> <p>另外，現在CockroachDB也整合熱門開發工具，像是CockroachDB與Vercel網頁託管平臺便可以結合使用，開發者可以利用該平臺存取CockroachDB無伺服器服務，在邊緣提供良好的網頁體驗。Vercel是開發知名框架Next.js的公司。</p> <p>用戶也能夠結合HashiCorp Terraform與CockroachDB的管理API，以程式開發方法執行各種資料庫操作，像是自動化資源配置和基礎設施工作流程。CockroachDB也有新的企業級安全功能，供用戶運用HashiCorp Vault的Dynamic Secrets，簡化資料庫憑證和加密金鑰安全管理。</p> <p>原為開源專案的CockroachDB，在2019年為了要預防類似AWS分叉ElasticSearch專案的事件發生，因此自2019年的CockroachDB 19.2版本開始，從原本的Apache 2.0（Apache License version 2），更改使用寬鬆的商業原始碼授權（Business Source License，BSL），避免雲端供應商在沒有購買授權許可的情況下，以CockroachDB提供商業服務。</p> </div></div></div>
2022/9/23 09:12作者李建興https://www.ithome.com.tw/news/153202
Google雲端供用戶自定義組織政策增強GKE安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在其雲端推出<a href="https://cloud.google.com/blog/products/identity-security/introducing-custom-organization-policy-for-gke-in-preview">自定義組織政策（Custom Organization Policy）</a>功能，並且現在與GKE整合，用戶不需要支付額外費用就能使用。組織政策服務提供一種基於政策的方法，簡化跨Google雲端資源和專案的政策管理，使企業法遵與安全團隊，能夠對不同產品、環境和團隊維持一致的監督治理。</p> <p>政策是一種意圖的陳述，像是「所有叢集必須被設定成自動升級」，而在Google的組織政策服務中，政策限制（Policy Constraint）用來定義意圖，而政策則是應用限制到特定的資源，像是專案或是資料夾，而現在推出的自定義組織政策，能夠讓用戶編寫自己定義的限制，擴展原本的組織政策服務功能。</p> <p>自定義組織政策讓用戶能夠整合，並且自定義政策管理，進而跨多個服務、產品和團隊，維護一致的配置和安全標準，Google提到，雲端解決方案通常是許多部分的組合，要進行整體性的安全保護工作，需要多個團隊和利益關係人深入協作。</p> <p>而自定義組織政策可以簡化這個過程，其提供單一框架簡單管理組織層次架構中的政策實施，組織政策支援內建政策限制，並與GKE還有其他Google雲端服務整合。GKE用戶能夠透過自定義組織政策獲得更多的靈活性，定義和執行針對業務團隊需要的政策，而自定義組織政策的行為，就如同內建的組織政策一樣，可以整合到CI/CD工作流程，以程式碼交付政策更改。</p> <p>Google提到，雖然GKE以最佳安全實踐作為預設，提供一個可靠的基準，但是企業在稽核期間，可能會須執行特定要求以證明其安全性，此時自定義組織政策便能派上用場，而且該功能也能夠讓企業設置護欄，在遵循預設之外，還可應用企業自己的最佳實踐。</p> <p>自定義組織政策這項功能不需要安裝額外的叢集元件，用戶僅需要在YAML檔案中自定義政策限制，並使用雲端殼層或是API，將其應用到Google雲端資源中即可，官方提到，GKE內建組織政策服務，可以減輕安全團隊管理套件生命周期的負擔，並讓管理員輕鬆創建新政策限制。</p> <p>當前不少企業開始尋求政策解決方案來編寫工程標準，替開發人員設置護欄，透過自動化方法，持續將法遵與安全性設置整合到開發上游，而GKE自定義組織政策就能夠協助定義和實施GKE叢集和節點池的工程標準。組織政策功能以結構化語法，使得限制和政策保持高度可讀，Google表示，這大幅減少企業開發人員入職和學習時間，同時也能縮減花費在相關文件維護工作的時間。</p> </div></div></div>
2022/9/22 20:58作者李建興https://www.ithome.com.tw/news/153201
影子網域愈來愈普及且並不容易偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unit42.paloaltonetworks.com/domain-shadowing/" target="_blank">資安業者Palo Alto Networks本周提醒</a>，駭客愈來愈常利用影子網域（Domain Shadowing）來從事不法行動，卻只有少數業者偵測到這些惡意網域。</p> <p>影子網域屬於DNS劫持的一種，駭客企圖入侵既有的網域，再於這些合法、已經營多年的網域上偷偷地建立子網域，再利用這些子網域進行網釣攻擊或作為殭屍網路的架構。在網釣攻擊的場景中，駭客可以影子網域作為網釣郵件的網域名稱，或是把它當作引導惡意流量的中介點，也能直接作為代管網釣活動的網站，此外，它也可在殭屍網路行動中作為與C&C通訊的代理網域。</p> <p>為了得以充分且長期利用這些影子網域，駭客通常在成功入侵網域之後，依然努力維持該網域的正常運作，只是偷偷地建立眾多的子網域（影子網域）來從事非法行動。在Palo Alto Networks最近發現的兩個遭駭的網域中，其主要網站的IP分別來自美國與澳洲，但擁有奇怪名稱的子網域IP卻皆來自俄羅斯。</p> <p>更值得注意的是，即使這些邪惡的影子網域愈來愈普及，被偵測到的比例卻很低。Palo Alto Networks利用機器學習技術，在今年4月至6月間偵測到了12,197個影子網域，但在VirusTotal上卻只有200個被偵測到是惡意的，顯示其偵測率低於2%。</p> </div></div></div>
2022/9/22 20:54作者陳曉莉https://www.ithome.com.tw/news/153204