iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

臺灣資安職務地圖-2022新興資安產業版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去在資安領域的職能發展上，從學校到產業存在著落差，若能讓雙方能有更好的共識，將有利於投入資安的學子瞭解未來職涯發展，如今，為促進人才職涯與培訓，<a href="https://www.ithome.com.tw/news/151029">一個名為「臺灣資安職務地圖」的項目誕生</a>，將促進產官學溝通對焦，現階段已釋出新興資安產業版。</p> <p>這是「教育部先進資通安全人才培育計畫」（110年－113年）中，子計畫3「資安產業媒合與校友追蹤服務」中的一個項目，目的是協助此領域的求職與求才，並在CYBERSEC 2022 臺灣資安大會上，釋出臺灣資安職務地圖手冊，由iThome執行製作。</p> <p>相關內容請參考：<a href="https://www.ithome.com.tw/news/151029">臺灣積極發展資安職務地圖，促進產官學溝通對焦，新興資安產業版首登場</a>一文</p> <h2><strong>●臺灣資安職務地圖綜覽</strong></h2> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺灣資安人才重要性(1).JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%87%8D%E8%A6%81%E6%80%A7(1).JPG" style="width: 600px;" /></a></strong></p> <p><b>（點擊圖片放大）</b></p> <h2><strong>●12大資安職務職能技能需求大解密</strong></h2> <p>職務職能一覽表：<a href="https://www.ithome.com.tw/news/153616#資安檢測工程師">資安檢測工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安產品工程師">資安產品工程師</a>　<a href="https://www.ithome.com.tw/news/153616#事件反應工程師">事件反應工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安鑑識工程師">資安鑑識工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安稽核工程師">資安稽核工程師</a>　<a href="https://www.ithome.com.tw/news/153616#滲透及漏洞測試工程師">滲透及漏洞測試工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安分析師">資安分析師</a>　<a href="https://www.ithome.com.tw/news/153616#資安顧問師">資安顧問師</a>　<a href="https://www.ithome.com.tw/news/153616#資安產品開發工程師">資安產品開發工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安工程師">資安工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安架構師">資安架構師</a>　<a href="https://www.ithome.com.tw/news/153616#資安專案經理">資安專案經理</a>　 </p> <p><img alt="" id="資安檢測工程師" name="資安檢測工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8801%E8%B3%87%E5%AE%89%E6%AA%A2%E6%B8%AC%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="資安產品工程師" name="資安產品工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8802%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="事件反應工程師" name="事件反應工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8803%E4%BA%8B%E4%BB%B6%E5%8F%8D%E6%87%89%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="資安鑑識工程師" name="資安鑑識工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8804%E8%B3%87%E5%AE%89%E9%91%91%E8%AD%98%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安稽核工程師" name="資安稽核工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8805%E8%B3%87%E5%AE%89%E7%A8%BD%E6%A0%B8%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="滲透及漏洞測試工程師" name="滲透及漏洞測試工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8806%E6%BB%B2%E9%80%8F%E5%8F%8A%E6%BC%8F%E6%B4%9E%E6%B8%AC%E8%A9%A6%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安分析師" name="資安分析師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8807%E8%B3%87%E5%AE%89%E5%88%86%E6%9E%90%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安顧問師" name="資安顧問師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8808%E8%B3%87%E5%AE%89%E9%A1%A7%E5%95%8F%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安產品開發工程師" name="資安產品開發工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8809%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81%E9%96%8B%E7%99%BC%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安工程師" name="資安工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8810%E8%B3%87%E5%AE%89%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安架構師" name="資安架構師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8811%E8%B3%87%E5%AE%89%E6%9E%B6%E6%A7%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安專案經理" name="資安專案經理" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8812%E8%B3%87%E5%AE%89%E5%B0%88%E6%A1%88%E7%B6%93%E7%90%86%EF%BC%89.jpg" style="width: 600px;" /></p> <p> </p> <h2><strong>●資安職能對照檢索表</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能對照檢索表ALL）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A8ALL%EF%BC%89.jpg" style="width: 600px;" /></a></p> <h2><strong>●資安職能與「知識及技能」對照檢索表</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能與「知識及技能」對照檢索表1）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E8%88%87%E3%80%8C%E7%9F%A5%E8%AD%98%E5%8F%8A%E6%8A%80%E8%83%BD%E3%80%8D%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A81%EF%BC%89.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能與「知識及技能」對照檢索表2）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E8%88%87%E3%80%8C%E7%9F%A5%E8%AD%98%E5%8F%8A%E6%8A%80%E8%83%BD%E3%80%8D%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A82%EF%BC%89.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/10/13 16:51作者羅正漢https://www.ithome.com.tw/news/153616
Android與Chrome今年將支援通行密鑰，無密碼時代近了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/bringing-passkeys-to-android-and-chrome.html" target="_blank">Google周三（10/12）宣布</a>，即日起開發者即可於Google Play Services測試版與Chrome Canary上測試通行密鑰（Passkey）功能，且相關產品的正式版將在今年出爐，此舉著眼於利用通行密鑰來取代傳統密碼作為行動程式及網站的登入憑證，宣告無密碼時代即將來臨。</p> <p>有別於密碼是由一連串的數字、字母或符號所組成，而且通常需要由使用者或密碼管理程式記住，通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。此外，由於通行密鑰是奠基在相關的產業標準上，因此得以跨平臺運作。</p> <p>Google則說明，使用者手機與電腦上的通行密鑰可透過雲端備份與同步，以防使用者在裝置遺失後被鎖住；使用者也能利用存放於手機上的通行密鑰來登入鄰近裝置上的程式或網站。</p> <p>本周Google的宣布意謂著使用者可於Android裝置上建立並使用通行密鑰，並與Google Password Manager同步；開發者則可利用WebAuthn API，於網站上打造對通行密鑰的支援。今年Google也會釋出針對原生Android程式所打造的API。</p> <p>對使用者而言，建立通行密鑰只需兩個步驟，一是確認通行密鑰的帳號資訊，二是展示自己的指紋、臉孔或螢幕鎖，之後要登入網站或服務時，只要選擇所要登入的帳號，再輸入指紋、臉孔或螢幕鎖即可。</p> <p>使用者亦可將儲存通行密鑰的手機當作實體金鑰，用它來登入鄰近裝置上的網站，例如Android用戶可用手機來登入身旁Mac裝置、Safari瀏覽器上某個支援通行密鑰的網站，同樣的，在Chrome支援通行密鑰之後，iOS裝置所儲存的通行密碼，也可用來登入Windows電腦上以Chrome瀏覽器所造訪的網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passkeys%20in%20the%20Google%20Password%20Manager-Bringing%20passkeys%20to%20Android%20%26%20Chrome-3.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p><a href="https://www.ithome.com.tw/news/151318" target="_blank">蘋果今年6月就已在最新的macOS、iOS或iPadOS部署通行密鑰機制</a>，繼之於9月釋出的<a href="https://www.ithome.com.tw/news/153040" target="_blank">Safari 16上支援通行密鑰</a>，<a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟亦全面推動無密碼登入</a>，在Google、蘋果與微軟的推動下，不必再記住眾多密碼的時代理應指日可待。</p> </div></div></div>
2022/10/13 17:03作者陳曉莉https://www.ithome.com.tw/news/153615
【臺灣資安大會直擊】實現人盡其才，如何用才很重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安人才的培育，5年前在臺灣駭客年會（HITCON）社群場主題演講上，臺灣科技大學資管系特聘教授吳宗成曾提出人手、人才、人物三種等級的區分，而在今年臺灣資安大會鴻海研究院展覽區，他在一場演講當中，以自己資安人生歷經的4個階段，帶著大家以另一種角度思考整體資安人才的角色，他的講題相當別開生面，叫做「我的資安人生：是當釘子？還是當鐵鎚？」</p> <p>一般人談到釘子與鐵鎚的關係，可能會先想到前者被後者鎚打，有種無奈、受傾軋的感覺，然而，吳宗成則是回歸它們的本質與作用，以此譬喻處於不同角色的資安人彼此不可或缺，都有其重要性，他期勉大家要經常思考自己目前處於何種角色階段，持續接觸新興科技進行鍛鍊，才能跟著環境、情境、年代的變化進步，而且，不要只是成為工具的使用者，要成為智慧的創造者。</p> <h3><span style="color:#FF0000;"><strong>想要完成工程，釘子、鐵鎚、工匠都很重要，缺一不可</strong></span></h3> <p>參加過大大小小的資安活動，吳宗成每年都在這些場合看到很多身懷高超技術的資安人，他都會注意哪些有哪些是很好的人才，然而他也經常在想一件事：臺灣有非常多頂尖的資安高手，每個「釘子」都非常厲害，如何能找到他們的用武之地？因此，他也問現場觀眾幾個關於釘子的簡單問題，希望大家也透過這個比喻去想想資安人才的問題。首先，我們可以思考釘子本身的功能，它們可能是用來固定、穿牆，把兩個不同材質的東西緊密結合，例如，我們可透過釘子把木板等材料結合在一起；接著，則是思考用途，想想如果我們手上有個全世界最強大的釘子，可以怎麼用？有的人會將它釘在一個特殊的牆壁上；再接下來，要去思考怎麼釘、用什麼工具幫忙釘。</p> <p>此時，多數人的選擇是用鐵鎚去釘，吳宗成也特別指名在場聽講的幾位創辦資安公司的業界專家，將他們比喻成「鐵鎚」，扮演敲擊釘子（督促資安人員研究與創新）的工具角色。</p> <p>接下來的情境，我們可以思考：一個好的釘子固然要搭配好的鐵鎚來敲擊，如果拿到一個全世界最好的釘子，以及一支全世界最棒的鐵鎚，下一步要怎麼釘？要釘出什麼？要釘到哪裡？</p> <p>至此，吳宗成引用一首美國搖滾歌手Todd Rundgren唱的歌《The Want of a Nail》，歌詞提到：少了一根釘子可能會讓你喪失一個世界，以此呼應與延伸上述的釘子與鐵鎚的思考，提醒大家資安領域每個看似不起眼的角色，其實都有唇齒相依的密切關聯，缺少其中一個，可能就會讓你輸掉戰爭、丟失了國家與世界，而這也跟為何臺灣主張「資安就是國安」是相同的道理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-1.jpg" style="width: 600px;" /></p> <h3><span style="color:#FF0000;"><strong>工法、手法、心法也要到位，才能充分發揮所長</strong></span></h3> <p>關於資安人才的角色，吳宗成也透過闡述鐵鎚與工匠的比喻，突顯這類資安人才的重要。</p> <p>首先是工法，在鐵鎚的使用上，我們要選擇好上手的，因為若拿到一個全世界最小的鐵鎚，並不好釘；若拿到全世界最強的鐵鎚，所用的釘子卻是一般的鐵釘，可能也不合用；若要釘脆弱的木板，我們使用鋼釘去釘，可能每次一釘下去，木板就必定會破掉。</p> <p>除此之外，如果使用太重的鐵鎚，我們往往不易施力，而使用太輕的鐵鎚，可能不易發揮鐵鎚的能力，因此，吳宗成說，當你成為鐵鎚式的資安人，要注意你在那個位置適不適合。並不是每個重要的資安人都是應該在那個位置的。</p> <p>接下來是手法與心法，對應到這個比喻就是指釘子該怎麼釘，而關鍵在於：要以忽急忽慢的頻率進行敲擊、扶好釘子、下手要筆直。若拿到10根釘子，10根都能垂直釘下去，那麼我們就會是好的工匠，若出現釘歪的狀況，釘子就無法發揮應有功能，我們必須要把釘子取出、重新進行以鐵鎚敲擊釘子的程序。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-2.jpg" style="width: 500px;" /></p> <p>因此，若就最單純的角度來看待資安人才，我們可能要去思考自己是不是一個好釘子、鐵鎚，所使用的釘子、鐵鎚是否恰當，而在搭配兩者時，我們也要設法去了解適合的用法。</p> <p>簡而言之，釘子很重要，鐵鎚很重要，打釘子的人心法也很重要，談到這裡，吳宗成有感而發地表示，資安確實是良心的事業，因為我們會看到很多系統的缺陷，因此當下會面臨的選擇是去補漏洞？或是去戳那個洞？還是先戳洞再補洞？所以很多人想成為釘子，但也必須要去想想自己要成為一個怎樣的釘子。</p> <h3><span style="color:#FF0000;"><strong>擴大能力布局，與時俱進持續磨練，期許自己從工具的使用者成為智慧的創造者</strong></span></h3> <p>回顧從25歲至今的40年資安人生，吳宗成區分為4個階段。在第一、二個階段是扮演釘子的角色，初期作為「鐵釘」，他在研究領域鑽研學術，從論文當中學到許多，開始教書之後，帶領很多技術能力很強的學生一起研究、幫忙學界，成為「鋼釘」；第三階段是扮演鐵鎚的角色，進行「打釘」，例如，找大家來幫忙修補程式漏洞，尋找驗證電動車資安的實驗方式；到了第四階段則是扮演工匠的角色，進行「造釘」，他在學校教書，培養資安人才，若大家在政府機關服務或一般企業，也需要這樣的能者來幫單位造釘，因為沒有釘子，我們就無法將手上的木板等材料，用釘子串接、固定在一起。</p> <p>事實上，當我們從負責技術的人員演變到負責管理的人員，要思考這時候要如何成為擘畫整個架構的師傅。所以，我們必須能夠找到釘子、會打釘子，這當中，很重要的是，怎麼拿那個鐵鎚，把好的、適當的釘子釘到一個位置。</p> <p>吳宗成表示，自己現在就是在造釘，告訴大家如何打釘、選鐵鎚、了解整個環境，也就是所謂的工法、手法、心法。他認為，每個人在職場都應該有自己的階段，要衡量自己到底目前是處於哪一個階段。</p> <p>除了思考角色定位，吳宗成也勉勵資安人注意三件事。首先是要了解臺灣資安的能量其實很大，我們已經有很多的「釘子」，當中有鐵釘、鋼釘，釘子都很優秀，就像臺灣的工業有很多隱形冠軍廠商。同時，我們也有鐵鎚，大家會想要找適當的鐵鎚來敲釘子，尋找能夠做好支撐、介接、牢固的人，這樣的人很重要。</p> <p>第二個期許是多接觸新興科技，像自駕車、無人機、5G，都有資安議題需要關注，身為釘子、鐵鎚、工匠，可以在這些領域磨練，以免生鏽、生疏。</p> <p>吳宗成發現，有很多新進資安領域的人仍從資通訊（ICT）的角度來關注，他認為，應該要把OT、工業控制、人工智慧、機器學習等技術，納入持續關注的資安議題範疇，這是因為新興科技的普及，會讓資安問題變得更複雜，讓資安難度更高。</p> <p>第三個則是成為智慧的創造者。吳宗成表示，有些資安問題只需用一般的釘子即可，有些可能需要用到鋼釘，甚至要以特殊的方式去釘，更重要的是，我們必須能夠「造釘」，不只是工具的使用者，而是成為智慧的創造者。</p> <p>而相關的典範早有前例，像是春秋時期的魯班、墨子，分別因發明重要工具與守城器具而著稱，明代科學家宋應星撰寫的《天工開物》也提供一些啟發，我們可以從中思考如何成為好的工程人、好的釘子，以及善用工具的方法。</p> <p>關於資安攻防，他建議學生研究到一定程度即可，接下來是如何找到認可的目標，創造新的事物，這樣才有辦法抵擋最新的資安威脅，跟著身處的環境與年代而進步。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-3.jpg" style="width: 600px;" /></p> </div></div></div>
2022/10/13 17:24作者李宗翰https://www.ithome.com.tw/news/153619
微軟雲端端點安全改叫Intune，Defender for Cloud新增開發安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近年積極強化雲端安全產品，而在Ignite 2022大會上，微軟也有數項宣布，包括雲端端點安全管理將改名Intune、Defender for Cloud新增2項功能、預覽Microsoft Entra身分管理新治理功能、以及可在勒索軟體發生時即時隔離受害裝置Microsoft 365服務。</p> <p><a href="https://learn.microsoft.com/en-us/mem/intune/fundamentals/whats-new" target="_blank">微軟宣布</a>從今天起，終端安全管理產品原本名稱Endpoint Manager不再使用，雲端整合端點管理產品將改名Microsoft Intune。而本地部署管理產品則叫Configuration Manager。Microsoft Intune也將成為日益壯大的端點管理產品線品牌。</p> <p><a href="https://techcommunity.microsoft.com/t5/endpoint-management-blog/reduce-your-overall-tco-with-a-new-microsoft-intune-plan/ba-p/3650725" target="_blank">微軟預計2023年3月推出進階端點管理方案</a>，涵括端點權限管理、情報自動化、資料分析洞見、遠端協助及自動化應用程式修補等，所有功能都會以Intune為基礎，並整合Azure Active Directory、Defender、Priva等產品。明年5月推出時，Microsoft 365、E3或E5授權用戶可免費獲得。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Intune%20product%20family.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>新增的功能方面，首先是Defender for Cloud。微軟去年11月整併2個產品線Azure Security Center與Azure Defender為Defender for Cloud，定位為多雲環境下企業安全態勢管理及負載防護，主要在尋找多雲環境中不安全的設定以強化整體安全，並提供應用程式防護。今年2月，<a href="https://www.ithome.com.tw/news/149529" target="_blank">微軟將Defender for Cloud防護擴及Google Cloud Platform</a>。</p> <p>昨日Ignite大會上，微軟宣布再以預覽版形式推出2項服務，分別是<a href="https://www.microsoft.com/zh-tw/security/business/cloud-security/microsoft-defender-devops?rtc=1" target="_blank">Defender for DevOps</a>及<a href="https://www.microsoft.com/zh-tw/security/business/cloud-security/microsoft-defender-cloud-security-posture-management?rtc=1" target="_blank">Defender Cloud Security Posture Management</a>（Defender CSPM）。前者是作為開發環境的統一管理介面，可讓企業在集中化控制臺上掌握多種開發環境，並可結合其他安全情報資訊，以排定整個程式碼漏洞修補的先後順序。目前Defender for DevOps已可支援GitHub和Azure DevOps，微軟表示未來還會再增加其他開發環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Defender%20for%20DevOps%EF%BC%88%E9%A0%90%E8%A6%BD%EF%BC%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Microsoft Defender for DevOps（預覽），圖片來源／微軟</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Defender%20Cloud%20Security%20Posture%20Management-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Microsoft Defender Cloud Security Posture Management (CSPM)，圖片來源／微軟</span></span></p> <p>Defender CSPM則是以現有Defender for Cloud態勢管理功能為基礎開發而成，涵蓋混合雲及多雲環境，結合微軟安全Defender for DevOps及攻擊路徑分析產品Defender External Attack Surface Management，協助排定重大威脅的掃除與矯治。</p> <p>此外，微軟也釋出身分管理產品線新功能。<a href="https://www.ithome.com.tw/news/151240" target="_blank">今年5月微軟宣布</a>身分及存取管理產品線Microsoft Entra。微軟在Entra去中心化身分管理子產品線下，釋出<a href="https://www.microsoft.com/zh-tw/security/business/solutions/identity-governance?rtc=1" target="_blank">身分治理（Identity Governance）服務預覽版</a>，提供員工（或使用者）從就職到離職身分的生命周期管理，可減少離職員工再存取公司資料的風險。它的生命周期工作流程（Lifecycle Workflow）服務可將權限管理這種高重覆性及零散的作業自動化，以補足現有產品，包括存取檢查、存取認證、權限管理及特權身分管理等。等這項功能正式上線後，微軟也會一併公布授權價格。</p> <p>最後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-defender-blog/what-s-new-in-xdr-at-microsoft-ignite/ba-p/3648872" target="_blank">微軟宣布Microsoft 365 Defender自動化攻擊阻斷服務以預覽版上線</a>。這項服務結合了XDR（延伸偵測與回應，extended detection and response）功能，整合來自端點、身分、電子郵件、文件、雲端App等的訊號，可在有勒索軟體或金融詐騙發生時即時偵測。一旦偵測到發生攻擊時，受影響的身分或端點會自動被隔離，防止惡意活動橫向移動，縮小攻擊面，讓資安單位得以調查並取回控制權。這項服務將可免費提供給Microsoft 365 E5授權用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Ignite%202022-Automatic%20Attack%20Disruption%20view%20in%20Microsoft%20365%20Defender-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> </div></div></div>
2022/10/13 15:30作者林妍溱https://www.ithome.com.tw/news/153609
微軟發表可供組織解決混合辦公室的Places程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2022/10/12/introducing-microsoft-places-turn-your-spaces-into-places/" target="_blank">微軟在周三（10/12）的Ignite大會上發表了Places程式</a>，宣稱是個新的連網辦公室平臺，可用來解決後疫情時代的彈性辦公型態，未來將整合至Microsoft 365解決方案中的Outlook、Teams與Viva等應用，計畫近期內開放試用。</p> <p>後疫情時代的辦公環境仍呈多元樣貌，有些員工依舊在家上班，偶爾進辦公室與同事聯繫或協作，<a href="https://www.ithome.com.tw/news/140455" target="_blank">微軟也已將彈性工作場所當作未來的工作常態</a>，不過，有時進了辦公室卻發現公司沒人也令人沮喪，而微軟即藉由Places來協調同事之間的工作地點。</p> <p>Places的其中一項功能為混合調度（Hybrid Scheduling），可利用來自Outlook與Teams的資料讓使用者查看團隊成員或友好同事計畫在哪一天進公司，也能知道辦公室出勤率最高的日子，藉以調整自己進辦公室的時間。</p> <p>另一個智慧預訂（Intelligent Booking）功能則可用來尋找可使用且符合需求的工作空間，以用來同時進行面對面及遠距會議，還可在預訂會議時間之後，理解當天可能的交通狀態。</p> <p>至於Wayfinding可協助使用者依照地圖找到正確的會議室，而Hot Desk Booking則能根據友好同事的位置來選擇座位，還有一個得以號召同事來個臨時聚會的功能。</p> <p>辦公室主管則能透過Places所蒐集的資料以最佳化辦公室空間的利用，像是變更多餘小型會議室的用途，以支援已被超額預訂的協作室，或是在很少人進辦公室的時間減少樓層的使用，以節省能源並改善工作空間的體驗。</p> </div></div></div>
2022/10/13 15:40作者陳曉莉https://www.ithome.com.tw/news/153611
微軟更新Surface筆電與桌機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2022/10/12/introducing-new-surface-devices-that-take-the-windows-pc-into-the-next-era-of-computing/" target="_blank">微軟周三（10/12）更新了Surface裝置</a>，包括新款的二合一裝置Surface Pro 9，用來與蘋果MacBook Air較量的Surface Laptop 5，以及一體成型的桌上型電腦Surface Studio 2+。</p> <p><a href="https://www.microsoft.com/en-us/d/surface-pro-9/93vkd8np4fvk?activetab=pivot%3aoverviewtab" target="_blank">13吋的Surface Pro 9</a>號稱同時具備筆記型電腦的效能與平板電腦的彈性，重僅879公克，電池續航力長達15.5小時，採用Intel Evo第12代處理器，最低階配置的售價為999.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Pro%209-4.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><a href="https://www.microsoft.com/en-us/d/surface-laptop-5/8xn49v61s1bn?activetab=pivot:techspecstab" target="_blank">Surface Laptop 5</a>則有13.5吋及15吋兩個版本，皆採用觸控式螢幕，為標準的筆記型電腦，採用第12代Intel Core i5/i7處理器，前者重1,272公克，後者為1,545公克，電池續航力分別是18與17小時，前者最低階配置的售價999.99美元，後者則是1,299.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Laptop%205-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.microsoft.com/en-us/d/surface-studio-2-plus/8vlfqc3597k4#full-tech-specs" target="_blank">Surface Studio 2+</a>為高階一體成型桌上型電腦，配備28吋觸控式螢幕，配件包括滑鼠、鍵盤與觸控筆，採用第11代Intel Core H35處理器，內建32GB記憶體與1TB固態硬體，最低階配置的售價為4,499.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Studio%202%2B%20(2).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>上述Surface裝置即日起在美國已開放預購，預計於10月25日出貨，至於臺灣市場的售價及上市日期則未定。</p> </div></div></div>
2022/10/13 15:48作者陳曉莉https://www.ithome.com.tw/news/153612
微軟更新Microsoft Edge，Edge Workspaces可供團隊透過分頁分享工作進度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周三（10/12）舉行的Ignite大會上<a href="https://blogs.windows.com/msedgedev/2022/10/12/ignite-2022-innovations-updates-microsoft-edge/#Workspaces" target="_blank">公布了Microsoft Edge瀏覽器的各種創新設計及改善</a>，其中最受矚目的是Edge Workspaces，它是一個以分頁呈現的專案工作空間，集結各種最新的檔案與連結，以讓專案成員都能存取最新資訊。</p> <p>微軟解釋，要讓一個專案的所有成員都維持在同樣的進度並不容易，因為這需要許多電子郵件或訊息的往返以更新彼此的資訊或檔案，但藉由Edge Workspaces便能透過每天都在使用的瀏覽器，輕易凝聚團隊。</p> <p>使用者可於Microsoft Edge瀏覽器上以一個新分頁建立工作空間，賦予該工作空間一個名稱，再於工作空間中集結與專案有關的檔案及網頁，且相關資訊都會自動更新及儲存，而只要分享此一工作空間的網址，就能讓所有專案成員參與並理解各元素的進度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Edge%20Workspaces-a%20shared%20set%20of%20browser%20tabs%20(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Edge%20Workspaces-a%20shared%20set%20of%20browser%20tabs%20(3).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>值得注意的是，Edge Workspaces是建立在每名使用者的身分與權限上，因此，就算可存取特定的工作空間，若缺乏權限，亦無法存取該工作空間內的某些網站。</p> <p>目前Edge Workspaces仍處於預覽階段，<a href="https://learn.microsoft.com/en-us/DeployEdge/microsoft-edge-workspaces" target="_blank">使用者必須</a>擁有一個Azure AD租用戶，且必須使用Microsoft Edge 106或以上的版本，若要藉由群組原則啟用該服務，管理員除了必須使用Microsoft Edge 106及以上版本的瀏覽器之外，也得安裝Microsoft Edge 107的原則檔案。另也必須具備OneDrive for Business授權才能建立工作空間。</p> <p>Edge Workspaces預計要到明年才會正式上線。</p> <p>除了Edge Workspaces之外，Microsoft Edge也新增了即時字幕（Live Captions）功能，可自動分析瀏覽器中所播放的語音，並以文字呈現；也在網址列上新增即時解答（Instant Answers）功能，只要在網址列上輸入問題就能直接得到答案；還有一個特別的安全功能是在使用者於網址列上輸入拼字錯誤的網站時，就會立即警告使用者，以避免使用者遭到網釣攻擊。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/8a363b0a-20bf-49e9-a699-a7e32ff2f34b.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">即時字幕（Live Captions）（圖片來源／微軟）</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Edge%20version%20107-Website%20typo%20protection%20improvements.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> </div></div></div>
2022/10/13 13:36作者陳曉莉https://www.ithome.com.tw/news/153608
蘋果iCloud相簿儲存、Apple Music等服務，將可在Windows 11上執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ignite.microsoft.com/en-US/home" target="_blank">在微軟周三（10/12）的Ignite 2022大會上</a>，蘋果和微軟宣布iCloud相簿服務將可以在微軟平臺如Windows 11執行，而Apple Music及TV App也預計明年推出Windows版本。</p> <p><a href="https://blogs.windows.com/windows-insider/2022/10/12/updated-photos-app-for-windows-11-with-icloud-photos-now-rolling-out-to-windows-insiders/" target="_blank">微軟透過公司部落格宣布</a>iCloud Photos Library服務和Windows Photos App整合。過去Windows用戶若想在雲端備份，預設只能使用OneDrive，無法用iCloud。最新的整合讓用戶可用Windows 11內建的相簿App，搭配iCloud Photos Library相簿備份服務。微軟今天已將具備這項功能的Windows版Photos App 2022.31100.9001.0版，推給Dev通道的Insider測試方案用戶。</p> <p>使用者必須先下載<a href="https://apps.microsoft.com/store/detail/icloud/9PKTQ5699M62?hl=en-us&gl=us" target="_blank">iCloud for Windows版App</a>並登入，然後選擇和iCloud Photo Library同步。完成後就能在Windows 11讀取儲存在iCloud的相片及影片。</p> <p class="rtecenter"><img alt="" src="https://store-images.s-microsoft.com/image/apps.33080.14255546098955437.d82e1891-9884-4247-9135-ebf6c4b9c698.ff81058e-534c-435f-a559-6ce9c8599621" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>其次是Apple Music及Apple TV明年將可在Windows電腦上執行。在此之前，適用於Xbox的Apple Music App今天已在<a href="https://www.microsoft.com/en-us/p/apple-music/9pp5m2pj95gx" target="_blank">Microsoft Store</a>上架。微軟預告，Windows PC版Apple Music和Apple TV App Beta版預計明年初在Microsoft Store上架，讓擁有蘋果音樂及Apple TV+服務訂閱服務的用戶，可在Windows PC上享受影音內容。</p> <p><a href="https://www.microsoft.com/en-us/p/apple-tv/9mw0zwqfh0m2#activetab=pivot:overviewtab" target="_blank">Xbox版Apple TV App則是2020年底就推出</a>。至於Apple Music將取代的iTunes App則仍然可在Windows PC上使用。</p> <p>對於向來不輕易開放其他平臺的蘋果而言，這次和Windows整合可說相當難得。微軟一些創新開發，例如可將手機內容映射到Windows PC上的Phone Link，就只有Android版，而許多人愛用的<a href="https://www.ithome.com.tw/news/153374" target="_blank">手機鍵盤SwiftKey</a>，微軟也從本月開始終止支援。</p> </div></div></div>
2022/10/13 12:09作者林妍溱https://www.ithome.com.tw/news/153600
Google針對軟體供應鏈推出安全解決方案Software Delivery Shield
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對軟體供應鏈安全Google推出<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，這是一個全託管軟體供應鏈安全解決方案，其提供了一組模組化功能，保護軟體供應鏈的每個階段。</p> <p>Software Delivery Shield覆蓋的範圍極廣，從開發者工具到GKE、Cloud Code、Cloud Build、Cloud Deploy、Artifact Registry、Binary Authorization等一系列Google雲端服務，其主要解決軟體供應鏈5大領域的安全問題，分別是應用程式開發、軟體供應、CI/CD、生產環境和政策，用戶可以根據需求，以及現有的環境和安全優先層級，逐步採用Software Delivery Shield。</p> <p>Software Delivery Shield的Cloud Workstations服務，能夠在Google雲端上提供全託管開發環境，開發人員可以透過瀏覽器隨時存取可自訂的開發環境，同時IT和安全管理人員，也能夠簡單地配置、擴展和保護Google雲端的開發環境。</p> <p>官方提到，Cloud Workstations可以透過強化應用程式開發環境的安全態勢，左移開發安全性。Cloud Workstations透過VPC服務控制、無本地儲存原始碼，以及強迫映像檔更新和IAM存取政策，能夠有效解決常見本地開發的痛點，像是程式碼洩漏、隱私風險和配置不一致等問題。</p> <p>Google也在Cloud Code IDE擴充套件新增Source Protect功能，Source Protect能夠在IDE中提供即時安全保護，辨識易受攻擊的相依項目和授權等問題，而藉由快速操作和回應，可讓開發人員即時調整程式碼，減少未來需要修復的機會。</p> <p>在保護軟體供應鏈上，企業普遍使用開源軟體成為具有挑戰性的問題，Software Delivery Shield使DevOps團隊可以在Artifact Registry安全地儲存、管理和保護構件，透過整合Container Analysis掃描主動偵測漏洞，Google也在該服務擴展支援的語言，且除了掃描基礎映像檔，還能夠對Maven和Go容器，以及非容器化Maven套件進行漏洞掃描。</p> <p>而Google在5月的時候所推出Assured Open Source Software（Assured OSS）服務，也成為Software Delivery Shield的重點部分，提供企業和開發商經Google漏洞檢查和簽章的開源套件。</p> <p>在CI/CD工作管線上，Cloud Build和Cloud Deploy都具有高精細IAM控制、VPC服務控制、隔離和臨時環境等安全功能，使DevOps人員更好地管理建置和部署過程，而對於生產環境中的應用程式，GKE則內建新的安全狀態管理功能，可辨識和解決叢集中的安全問題，Cloud Run的安全面板則新增顯示SLSA建置等級法遵資訊、建置出處和已發現漏洞等供應鏈安全資訊。</p> <p>另外，Software Delivery Shield還具有基於信任的政策引擎，以建立和驗證整個供應鏈的信任鏈，Binary Authorization功能提供部署時的安全控制，可以確保GKE和Cloud Run部署受信任的容器映像檔，安全團隊可以在開發過程要求受信任的權威機構對映像檔簽章，並在部署時強制驗證簽章，確保只有經過驗證的內容，可以整合進建置和發布程序，更嚴格地控制容器環境。</p> </div></div></div>
2022/10/13 09:25作者李建興https://www.ithome.com.tw/news/153589
Google發表雲端遊戲專用的Chromebook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chromebooks/gaming-chromebooks/" target="_blank">Google周二（10/11）發表</a>了首批針對雲端遊戲所設計的Chromebook，這些Chromebook分別由宏碁、華碩及聯想所製造，價格不超過700美元，同時支援Nvidia、Amazon與微軟的雲端遊戲，Google並將它們戲稱為偽裝成Chromebook的終極遊戲機。</p> <p>其中，華碩的Chromebook Vibe CX55 Flip訂價為699美元，聯想的Ideapad Gaming Chromebook是679.99美元，宏碁Acer Chromebook 516 GE則是649美元。此外，它們都通過了遊戲評測平臺GameBench的測試，證明它們能夠提供流暢的遊戲體驗，每秒可顯示120個畫面，而且擁有遊戲機等級、低於85毫秒的輸入延遲。</p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image2.max-1100x1100.png" style="width: 600px;" /></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image3.max-1100x1100.png" style="width: 600px; height: 300px;" /></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image1.max-1100x1100.png" style="width: 600px;" /></p> <p>儘管Google在宣布<a href="https://www.ithome.com.tw/news/153375" target="_blank">即將關閉自家Stadia遊戲串流服務</a>之後才發表雲端遊戲Chromebook似乎顯得有些奇怪，不過，這三款Chromebook將同時支援來自Nvidia、Amazon與微軟的雲端遊戲服務。</p> <p>它們都將預載Nvidia的GeForce NOW串流遊戲程式，Google亦與微軟合作以藉由可安裝的網路程式，讓Chromebook用戶可使用Xbox Cloud Gaming測試版，亦支援Amazon Luna雲端遊戲服務，估計可讓Chromebook用戶存取超過1,500款的遊戲機與PC遊戲；Google與Nvidia及Amazon的合作還包括3個月的免費試用，讓玩家得以存取近200款免費遊戲。</p> <p>Google試圖讓Chromebook跨出教育市場，除了陸續推出高階機種，開發雲端遊戲機種之外，日前亦與Framework Computer合作，<a href="https://www.ithome.com.tw/news/153193" target="_blank">發表了可升級的Framework Laptop Chromebook Edition</a>。</p> </div></div></div>
2022/10/13 09:37作者陳曉莉https://www.ithome.com.tw/news/153597
Google擴大Looker商業智慧系列產品線，將Data Studio更名為Looker Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/looker-next-evolution-business-intelligence-data-studio">Google宣布</a>以Looker品牌統一旗下的商業智慧產品，即日起Data Studio更名為Looker Studio，官方提到，透過該商業智慧套件，用戶將不只能使用儀表板，還可以在工作流程和應用程式添加智慧功能，以資料驅動做決策。另外，Google也運用自家雲端核心技術重新打造Looker，提供能與Google雲端服務深度整合的版本。</p> <p>Looker是Google在2020年買下的資料分析視覺化新創，其提供商業智慧、資料應用和嵌入式分析整合平臺，現在Google要進一步整合Looker和自家雲端技術，提供更加完整且一致的資料分析服務。</p> <p>經過更名的Looker Studio能夠讓用戶簡單地進行自助分析，目前支援800多個資料來源以及600個連接器，視覺化介面讓用戶只需要簡單地點擊滑鼠，不需要IT人員就能夠探索和分析不同來源的資料。不只如此，Looker Studio現在還可以存取Looker資料模型，使用戶透過Looker建模層探索可信資料，將運用臨時資料來源進行的自助分析，與在Looker中以受信任資料建置的模型相結合。</p> <p>Google將會繼續免費提供Looker Studio以支援廣泛多樣的使用案例，同時Google也還會提供Looker Studio Pro加入企業級功能，滿足企業對治理和法遵的需求。當用戶升級使用Looker Studio Pro便能擁有新的企業管理、團隊協作和SLA等功能，接下來Google還會增加更多功能，包括提供資料處理歷程和後設資料可見性的Dataplex整合。</p> <p>Google還發布基於Google雲端核心的Looker預覽版，這個新版本將會出現在Google雲端控制臺中，並與核心雲端基礎設施服務深度整合，包括重要安全和管理服務。</p> <p>Google也盡可能擴展Looker支援的服務，像是與Google Workspace深度整合，供用戶可以從原本的生產力工具中，獲得額外的分析功能，藉由試算表和其他文件程式就能存取組織中的資料，並獲得準確的分析結果。目前Looker與Google試算表整合正在預覽階段，預計將會在2023年正式發布。</p> <p>另外，Google也使Looker得以連接其他商業智慧工具，像是Tableau和視覺化工具，用戶能夠以這些工具分析來自Looker的可信資料，官方提到，Looker作為開放平臺，也與其他第三方提供更進一步的服務，從建模層延伸至用戶體驗，像是Looker與Sisu Data的合作，用戶將可以了解資料中不尋常的事件。</p> </div></div></div>
2022/10/13 09:41作者李建興https://www.ithome.com.tw/news/153596
【資安日報】2022年10月12日，Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越南資安業者GTSC在9月底通報的Exchange零時差漏洞ProxyNotShell還沒有得到修補，現在傳出可能又有新的漏洞被用於攻擊行動！微軟傳出針對資安業者AhnLab揭露的勒索軟體LockBit攻擊行動進行調查並得到證實，背後的原因疑似就是與Exchange漏洞有關。</p> <p>上述的ProxyNotShell漏洞經過兩週仍未獲得修補，已讓不少人跳腳，但有漏洞接近一年都還沒有修補程式！研究人員去年11月通報的VMware vCenter Server的漏洞CVE-2021-22048，迄今不只尚未有修補程式，就連大改版vCenter Server 8.0仍存在相關漏洞。</p> <p>國際半導體產業協會SEMI Taiwan針對今年1月推出的半導體產線設備資安標準，他們最近發布了導入指南，並表示未來還會提供更為完備的標準實務指引。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-servers-hacked-to-deploy-lockbit-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對7月被揭露的勒索軟體LockBit攻擊事故，駭客疑似利用新的零時差漏洞入侵Exchange，但有資安專家認為攻擊者利用的漏洞是ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exchange-image-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exchange-image-14.png" style="width: 300px; float: right;" /></a>資安業者AhnLab公布今年7月勒索軟體LockBit的攻擊行動（現已刪除），駭客入侵Exchange伺服器並部署Web Shell，進而取得AD管理員權限，但現在傳出駭客很可能利用了迄今尚未公開的漏洞發動攻擊。根據資安新聞網站Bleeping Computer的報導，微軟正在著手進行調查，這些駭客是否運用了<a href="https://www.ithome.com.tw/news/153387">越南資安業者GTSC揭露的ProxyNotShell</a>，也引發關注。</p> <p>AhnLab認為，這起事故的攻擊手法與GTSC公布的不同，Web Shell檔案名稱也不一樣，研判攻擊者很可能使用各自找到的漏洞來發動攻擊，但他們無法完全排除這些駭客運用ProxyNotShell可能性。這樣的說法引起資安專家討論。</p> <p>趨勢科技在9月20日列管3個Exchange漏洞，並於10月4日加入其網路防護產品的特徵碼，但是否與AhnLab揭露的事故有關？目前仍不得而知。</p> <h3><a href="https://www.ithome.com.tw/news/153567"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲IT服務業者Dialog遭駭，客戶及員工資料恐外洩</span></strong></a></h3> <p>9月下旬，新加坡電信（Singtel）旗下的澳洲電信業者Optus遭駭，該集團現在又傳出另一家子公司遭遇網路攻擊。新加坡電信於10月10日發出公告，他們旗下的澳洲IT服務業者Dialog於9月10日發生資安事故，他們偵測到數臺伺服器遭到外部未經授權存取，當下該公司關閉相關系統，並在2天後重新恢復運作。Dialog研判十多家客戶與上千名員工的資料可能外洩，他們在10月7日發現有人在暗網上公布部分資料，但不確定是否與此次事故有關。</p> <p>Dialog今年4月由新加坡電信的全資子公司NCS併購，是否與Optus遭駭有關？新加坡電信表示，Dialog、NCS、Optus的資訊系統皆完全獨立，且尚未有證據顯示兩起資安事故有所關聯。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/165bear/posts/472618001575929"><span style="color: rgb(0, 0, 0);">刑事警察局公告高風險賣場，生活市集入榜五周，近兩周最嚴重</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/310439413_472617961575933_3109729446816703360_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/310439413_472617961575933_3109729446816703360_n.jpg" style="width: 300px; float: right;" /></a>165反詐騙持續公布民眾通報的高風險賣場，針對解除分期詐騙手法及疑似個資外洩狀況示警，近期以網購平臺生活市集最嚴重，連續五周列於榜單，並且最近連續兩周排行第一。此外，還有幾家網購業者或商家下半年新入榜，例如，順發3C連兩周、旋轉拍賣更是達到9周，鞋全家福達7周，此外近期還有多間飯店入榜。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2022-patch-tuesday-fixes-zero-day-used-in-attacks-84-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布10月份例行更新，但眾所關注的ProxyNotShell修補並未一起釋出</span></strong></a></h3> <p>10月11日，微軟發布了10月份的每月例行更新（Patch Tuesday），這次總共修補了84個漏洞，其中有2個是零時差漏洞，一個已被用於攻擊行動，另一個則是細節遭到公開──前者為權限提升漏洞CVE-2022-41033，這項漏洞存在於Windows的COM+事件系統服務；後者則是Office資訊洩露漏洞CVE-2022-41043。</p> <p>但值得留意的是，<a href="http://www.ithome.com.tw/news/153387">越南資安業者GTSC於9月底公布的Exchange零時差漏洞「ProxyNotShell」</a>，本次微軟發布的Exchange更新軟體並未修補相關漏洞。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-vcenter-server-bug-disclosed-last-year-still-not-patched/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安廠商踢爆VMware vCenter Server漏洞拖了快1年仍修不好，最新推出的vSphere 8仍無法倖免</span></strong></a></h3> <p>資安業者CrowdStrike於去年11月揭露VMware vCenter Server的漏洞CVE-2021-22048，影響6.5至7.0版等所有版本，<a href="https://www.ithome.com.tw/news/151927#CVE-2021-22048">VMware直到8個月後才針對部分版本提供修補程式</a>，但不到兩個星期發現無法緩解漏洞，且影響功能運作而將其下架。</p> <p>但更離譜的是，此漏洞迄今已公布接近1年仍未提供修補程式──VMware近日更新上述的漏洞公告，原因是在10月11日發布大改版的VMware vCenter Server 8.0仍舊存在上述漏洞，IT人員仍需依照指示採取緩解措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/SEMI_E187-Specification_for_Cybersecurity_of_Fab_Equipment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI E187設備資安標準導入指南正式發布</span></strong></a></h3> <p>今年1月SEMI E187半導體產線設備資安標準規範出爐，在10月12日，國際半導體產業協會SEMI Taiwan宣布，推出SEMI E187 Reference Practice設備資安標準導入指南，目的是讓更多國內產業先了解標準內涵，未來還會進一步完備成為標準實務指引。</p> <p>基本上，在現階段的這份指南中，聚焦標準所涵蓋的4大層面，包括作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，讓國內產業可以了解這項標準只是最低要求，當中並藉由問與答的方式，讓這份指引更具可讀性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/2022/10/11/polonium-targets-israel-creepy-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到駭客組織Polonium鎖定，被植入多種後門程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-solana-phantom-security-updates-push-crypto-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以推送NFT錢包Phantom更新為由散布惡意軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/10/06/fake-ransomware-infection-under-widespread/"><span style="color: rgb(0, 0, 0);">假的勒索軟體透過色情圖片散布，且可能會抹除受害電腦硬碟資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mandiant.com/resources/blog/caffeine-phishing-service-platform"><span style="color: rgb(0, 0, 0);">新的Caffeine網釣攻擊工具訂閱服務更加明目張膽，駭客架設公開網站供買家下單</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/12 18:20作者周峻佑https://www.ithome.com.tw/news/153595
幫助進入心流狀態的五感刺激法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-zhao_hui_shen_du_zhuan_zhu_li_-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">遠流出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在日本經濟產業省的國家級專案中，Think Lab進行了一項實證實驗。我們透過智慧眼鏡量測五種感官刺激對專注力的影響程度，並展示能達到什麼樣的效果。結果顯示：實踐五感刺激的人其專注力提升了8.8%。而在五感之中，「視覺」「聽覺」和「嗅覺」更與專注程度息息相關。</p> <p><span style="font-size: 28px;"><strong>讓視覺最佳化的「照明亮度．色調」</strong></span></p> <p>一般辦公室的照明通常會採取「冷色系晝光色」。這樣的照明系統，特色在於多搭配所謂的「藍光」（Blue Light），而這其實是在模仿白天天空的光線。</p> <p>另一方面，家中的照明則多是模仿傍晚天空光線的「暖色系燈泡色（黃光）」。家裡原本就不是用來工作的地方，而是為了自己／與家人間的相處所打造的場所，因此才會採取適合進入「放鬆模式」的照明。</p> <p>人類的生理時鐘，是透過光線平衡與進食時間進行調整；一旦這些節奏被打亂的話，要切換工作模式也會變成難事一件。如果一整天都關在家裡遠端工作，卻一直沐浴在暖色系的光線底下，就有可能影響到專注力。</p> <p>這裡有一個想請你一定要嘗試一下的技巧，那就是「根據時段調整照明的顏色（色溫）」。</p> <p>最近有很多照明系統，能夠透過遙控器來調整色溫。只要利用這點，就能在工作途中、需要提高專注力的時段選擇「冷色系」；在結束工作、想放鬆之際將燈光切換成「暖色系」。</p> <p>這個技巧非常有效。我們進行了在不同照明下簡單工作兩天的實驗。在實驗中，我們將受試者分為兩群人：一群人在工作第一天有調光．調色，另一群人則沒有。隔天，我們發現這兩群人的專注程度產生了8.2％的差異。</p> <p>反過來說，如果是在晚上需要專注的時候，使用「冷色系」的照明應該也能發揮效果。以我的朋友為例子，當他必須熬夜認真生出一份企劃書的時候，就會把房間裡的燈全都關掉，並將電腦的亮度開到最大。只要讓房間變暗，瞳孔就會放大，進入眼睛中的藍光也會隨之增加，使人變得清醒。</p> <p>像這樣讓自己的腦袋清醒，使交感神經主導大腦，就能活化「理性腦」，以白天的狀態工作。然而，這並不是一個健康的方法。建議你只在「非不得已」的時候將其當作最後手段。</p> <p>這位朋友還會在想深入思考時使用「MacBook」，在從事單純工作或與人溝通時使用「Windows電腦」，根據不同情境採用不同設備。這樣的切換可以改變視覺，也有一定效果。因為人類的大腦，很大程度上是受視覺控制。</p> <p><span style="font-size: 28px;"><strong>讓視覺最佳化的「植物配置」</strong></span></p> <p>我們視野的120度內包含綠色的比例稱為「綠視率」（Green Looking Ratio）。研究顯示，當綠視率達到「10～15%」的時候，可以讓我們的專注程度達到最高。人類有87%的資訊都是從視覺取得。</p> <p>如果我們每天只能面對電腦、牆壁和桌子，視野中就只會充斥人造物品跟無機物質。如果每天持續這樣8小時以上，我們就會失去眼前的「餘裕」，感覺變得很差。</p> <p>我們之所以只要看到植物就會「感到平靜」，是因為植物為我們帶來了餘裕，使得副交感神經處於優位的緣故，創造出放鬆的狀態，我們就能在工作上維持更長時間的專注。這還有誘發「直覺腦」的附加效果，讓我們更容易發想出新點子。</p> <p>如果你感到創造力低落，不妨試試在桌子周圍放上一盆觀葉植物吧。</p> <p><span style="font-size: 28px;"><strong>讓聽覺最佳化的「自然背景聲」</strong></span></p> <p>專注的時候到底「該不該有聲音」，每個人習慣不同。我比較推薦的方法是「聽你用來思考的語言以外的語言的音樂」。舉個例子來說，如果你在思考日文的時候又一邊放日文歌，大腦裡的語言區就會忍不住去意識到它，讓你失去專注力。</p> <p>此外，還有一種叫做「白噪音」的聲音，它均勻地涵蓋了人類能聽到的所有頻率的聲音。研究表明，只要涵蓋到所有頻率，就會讓大腦難以去識別周圍的聲音，進而提升專注力。</p> <p>河流的潺潺流水聲和鳥鳴聲等「自然背景聲」，也有助於提高專注力。只要播放這些自然背景聲的「高解析度音樂」（Hi-Res Audio），就會很有效果。高解析度音樂有「遮蔽效應」（Masking Effect），可以將家庭生活的嘈雜聲響從工作模式中屏蔽掉。</p> <p><span style="font-size: 28px;"><strong>準備「提升專注力的香氣」，讓嗅覺最佳化</strong></span></p> <p>一般來說，「薄荷」或「迷迭香」的香氣有助於專注；想放鬆的時候，則推薦「薰衣草」的香氣。順帶一提，是否施放香氛，會讓專注力的持續時間產生「 5%左右」的變化。</p> <p>據說我們在工作時使用的五感，其中視覺占了87% ，聽覺則占了7%。也就是說，我們有94%的五感都在不斷接收刺激。因此，我才會用香氛「故意刺激」平常刺激不太到的嗅覺和觸覺，讓頭腦可以從工作模式中切換。</p> <p><span style="font-size: 28px;"><strong>藉由通風降低「二氧化碳的濃度」</strong></span></p> <p>雖然感覺和五感沒有直接關聯，但其實「通風」也是一個有效的方法。</p> <p>實驗表明，空間中的二氧化碳（CO2）濃度會影響專注力和工作表現。具體來說，室內的CO2濃度最好保持在800ppm以下；如果超過1000ppm，專注力就會中斷。最好的方法就是「每隔幾個小時就開一次窗戶」，讓二氧化碳的濃度不要太高。</p> <p><span style="font-size: 28px;"><strong>藉由「反覆動作」讓觸覺最佳化</strong></span></p> <p>造成人們無法持續專注的原因之一，就是「工作記憶低落」。所謂的「工作記憶」（Working memory），是用來暫存並處理作業時必要資訊的腦內系統。工作記憶如果持續運作，就會慢慢累積疲勞，讓系統漸漸無法正常運作，最後造成工作效率也跟著變低。</p> <p>我們都知道人不可能一整天都持續做同一件事情，專注力會隨著時間慢慢下降，這點在大腦機制上無可避免。不過，只要「恢復」我們的工作記憶，就能提升專注的持續力。</p> <p>能有效恢復工作記憶的方法，就是有益於大腦血液循環的「反覆運動」。一項以現任大學職員共一百二十九人為對象的實驗，發現在工作時嚼口香糖能有效降低壓力與疲勞，並抑制分心與粗心。除此之外，還有其他類型的反覆運動。「抖腳」其實也是一種反覆運動。據說這個動作可以讓副交感神經處於優位，使人平靜下來。</p> <p>另外，在工作的時候，你可能從來沒有意識過「觸覺」。但在我們切換大腦模式，試圖專注於眼前的事物時，其實都會應用到觸覺刺激。你可以透過「打開窗戶吹吹風」或「用涼感濕紙巾擦臉」等等，養成切換大腦的習慣。</p> <p>這裡還有一個重要的地方，那就是「乾淨的辦公桌」。如果你的眼中映入了當下應該專注的對象以外的資訊，你的專注力就會分散。待辦清單或行事曆也是一樣。「隨時都看得到」就代表「隨時都得去想它」。只在需要確認時才去查看你的待辦清單。並確保你的行事曆要放在自己不會一眼看到的地方。<strong>（本文摘錄自《找回深度專注力》，遠流出版提供）</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E5%9C%961_%E6%89%BE%E5%9B%9E%E6%B7%B1%E5%BA%A6%E5%B0%88%E6%B3%A8%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%A0%E6%B5%81%E5%87%BA%E7%89%88.png" style="width: 300px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>找回深度專注力：43個科學化技巧，使你1小時的價值，高過他人1萬倍</strong></span></p> <p>井上一鷹／著；汫玲／譯</p> <p>遠流出版</p> <p>定價：360元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%89%BE%E5%9B%9E%E6%B7%B1%E5%BA%A6%E5%B0%88%E6%B3%A8%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%95%E4%B8%8A%E4%B8%80%E9%B7%B9.png" style="width: 200px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／井上一鷹</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>井上一鷹</strong></p> <p>JINS眼鏡公司執行董事。JINS MEME智慧眼鏡事業部業務管理負責人兼Think Lab董事。生於1983年。自慶應義塾大學理工學部畢業後，於Arthur D. Little策略顧問公司以知名製造業為中心，從事業務．技術管理和人事組織策略規劃。後加入JINS，兼任MEME事業部與Think Lab專案。曾任產品企劃部經理，後成為JINS MEME事業部負責人，並在之後成為Think Lab工作空間事業董事。</p> </div></div></div>
2022/10/12 16:42未署名https://www.ithome.com.tw/article/153579
防範暴力破解攻擊，微軟讓所有Windows版本都能鎖住本機系統管理員帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00" target="_blank">微軟近日宣布</a>，自今年October 11及之後的Windows累積更新，都將出現一個本機原則，可用來鎖住本機系統管理員的帳號，以防範暴力破解攻擊。</p> <p>微軟解釋，暴力破解攻擊一直是Windows機器遭到攻擊的前三大途徑之一，然而，目前的Windows裝置並不允許本機系統管理員的帳號被鎖住，因此，倘若缺乏適當的網路分割，亦不具備入侵偵測服務，本機系統管理員的帳號很可能就會受到無窮盡的暴力破解攻擊，直至駭客發現密碼為止。</p> <p>因此，微軟將針對主機系統管理員的帳號導入帳號封鎖功能，使用者只要透過主機電腦原則中的帳號封鎖原則進行設定，就能啟用它。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-windows-Account%20Lockout%20Policies-600.png" style="width: 590px;" /></p> <p>此外，微軟建議使用者亦應啟用其它帳號封鎖原則，以在10分鐘內執行10次的登入錯誤時，鎖住該帳號，且鎖住時間長達10分鐘，以提高駭客的攻擊門檻。</p> <p>既有的Windows裝置可藉由手動方式啟用上述原則，但舉凡是搭載Windows 11 22H2，或是在初始設定之前即部署October 11, 2022的新裝置，即會將上述原則當作預設值。但若是新裝置先進行設定，再部署10月的累積更新，那麼仍需手動設定。</p> <p>而本周微軟對於啟用本機系統管理員的新裝置，也訂定了更嚴格的密碼要求，規定密碼必須至少擁有4種特性中的3種，包括小寫、大寫、數字與符號，目的同樣是為了抵擋暴力破解攻擊。</p> <p>此一新的安全政策除了支援Windows Server 2022與Windows 11等新平臺之外，也支援各式Windows 10、Windows Embedded 8/8.1，以及Windows 7/Windows Server 2008/Windows Server 2008 R2的擴展安全更新（ESU）版本。</p> </div></div></div>
2022/10/12 16:46作者陳曉莉https://www.ithome.com.tw/news/153580
Google雲端推出採用客製化IPU的C3執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的<a href="https://cloud.google.com/blog/products/compute/introducing-c3-machines-with-googles-custom-intel-ipu">執行個體C3</a>，該執行個體特殊之處在於搭載由Google客製的英特爾基礎設施處理單元（Intel Infrastructure Processing Unit，IPU），目前C3是第一個採用這種架構的機器類型，能更好地支援高效能運算和資料密集工作負載。</p> <p>官方提到，搭配Google先前推出的Hyperdisk區塊式儲存，與C2相比可提供達4倍的吞吐量和10倍的IOPS。</p> <p>C3是第一個採用Intel Xeon Scalable處理器和IPU處理器新架構的虛擬機器，這個IPU是由Google和英特爾共同設計的ASIC基礎設施處理單元，該執行個體除了會由處理器執行運算之外，還能以200Gb/s的速度將可程式化封包安全傳輸至IPU運算。</p> <p>C3新架構將運算執行個體大小和儲存效能分離，與上一代C2相比，採用Hyperdisk的C3虛擬機器可提供達4倍的吞吐量和10倍的IOPS，Google提到，用戶將不用為了獲得Hadoop和SQL Server資料工作負載的儲存效能，而選擇更大的運算執行個體。</p> <p>C3虛擬機器引入的系統單晶片硬體架構，帶來更好的安全性、隔離性和效能，在未來Google會利用該架構，繼續推出更多產品組合，包括支援原生裸機執行個體。</p> </div></div></div>
2022/10/12 15:14作者李建興https://www.ithome.com.tw/news/153575
傳聞英特爾將裁撤數千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-10-11/intel-is-planning-thousands-of-job-cuts-in-face-of-pc-slowdown#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，英特爾正計畫一次大規模的裁員行動，受到波及的人數可能有數千人之譜，最快會在本月底發布第三季財報時宣布。</p> <p>根據報導，這是英特爾為了因應個人電腦市場下滑所作出的決策，以節省企業成本，如行銷部等某些部門的裁員規模可能高達20%。</p> <p>疫情帶動的PC回暖趨勢已於今年第一季正式告終，今年前三季全球的PC出貨量皆呈現下滑趨勢，但這卻是英特爾最大的營收來源。在英特爾今年第二季所創下的153億美元營收中，就有77億美元來自於基於PC的客戶運算事業群，接近英特爾總營收的一半，另有46億美元來自資料中心與AI事業群，但這兩個英特爾主要業務的營收卻分別比去年同期下滑了25%與16%。</p> <p>此外，今年7月底時，英特爾的全球員工人數為12.8萬人，還高於去年同期的11.4萬人。</p> </div></div></div>
2022/10/12 15:38作者陳曉莉https://www.ithome.com.tw/news/153576
Google Cloud將開放加密貨幣支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.googlecloudpresscorner.com/2022-10-11-Google-Cloud-and-Coinbase-Launch-New-Strategic-Partnership-to-Drive-Web3-Innovation" target="_blank">Google Cloud與加密貨幣交易平臺Coinbase周二（10/11）宣布策略聯盟</a>，Coinbase承諾將使用Google Cloud運算平臺來處理大規模的區塊鏈資料，而Google Cloud則同意採用Coinbase Commerce服務，讓客戶以特定的加密貨幣支付Google Cloud費用。</p> <p>Google Cloud在今年1月成立了<a href="https://www.ithome.com.tw/news/149156" target="_blank">數位資產團隊</a>，鎖定企業的區塊鏈應用需求，一腳踩進Web3領域，繼之於今年5月傳出Google Cloud<a href="https://www.ithome.com.tw/news/150851" target="_blank">另成立了一個新團隊</a>，專門建置用來執行區塊鏈應用的各種服務，且誓言要讓Google Cloud成為區塊鏈開發者的首選平臺。<a href="https://cloud.google.com/web3" target="_blank">目前已有9家區塊鏈或Web3業者採用了Google Cloud</a>，而Coinbase更是美國最大的加密貨幣交易平臺。</p> <p>雙方在本周公布的是一個互惠協議，Coinbase成為Google Cloud的客戶，而Google也透過讓企業收取加密貨幣的Coinbase Commerce服務來協助推動加密貨幣產業。</p> <p>此外，未來Web3開發者也可透過Google BigQuery，查詢由 Coinbase Cloud Nodes所提供的、橫跨主要區塊鏈的加密貨幣公開資料集。</p> <p>Coinbase共同創辦人暨執行長Brian Armstrong表示，目前該平臺擁有超過1億的使用者與逾1.4萬的機構客戶，Google是該公司實現Web3生態系統的最佳合作夥伴，而Google Cloud執行長Thomas Kurian則說，Google希望能加速Web3的建置，而與Coinbase的合作則能更快達到該目標。</p> <p>不過，以加密貨幣支付Google Cloud費用的計畫是循序漸進的，初期僅允許Web3領域的客戶使用，也有限幣別，對於積極開拓Web3市場的Google而言，讓Web3客戶以加密貨幣支付費用似乎是必要的，並不確定Google未來是否會擴大實施範圍。</p> </div></div></div>
2022/10/12 14:48作者陳曉莉https://www.ithome.com.tw/news/153574
Meta虛擬化身終於有腳了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Meta元宇宙中所出現的虛擬化身（Avatar），迄今都是以只有上半身的飄浮狀態示人，不過，<a href="https://www.oculus.com/blog/vr-news-connect-2022-meta-quest-pro/" target="_blank">Meta在本周舉行的Meta Connect 2022上宣布</a>，這些虛擬化身終於要有腳了，並將率先出現在虛擬遊戲空間Horizon Worlds中。</p> <p>Meta表示，讓虛擬化身有腳聽起來好像只要啟動開關即可，但事實上必須花許多力氣才能辦到，倘若虛擬化身無法正確描繪，例如出現在錯誤的位置，那麼它將會分散使用者的注意力，甚至是讓使用者感到不安，特別是腳。如果使用者的腳置放在桌下，或只是在手臂之後，VR裝置便無法準確看到它們，而必須依靠預測。</p> <p>Meta說，它們花了很多的時間來確保Quest 2可以準確且可靠地將使用者的腳帶進VR，未來將先在Horizon Worlds中推出，之後將隨著技術的改善將其實現在各種VR場景中，開發者明年可望開始能讓有腳的虛擬化身出現在遊戲與程式中。</p> <p>此外，<a href="https://www.ithome.com.tw/news/152602" target="_blank">有鑑於Horizon Worlds中的虛擬化身曾招致太醜的批評</a>，Meta這次也特別強調會持續調整其外觀，讓它更好看、更有能力，也更能表現，還能客製化，讓它更逼真。</p> <p>目前Meta正在努力打造可替使用者設計精確虛擬化身的AI系統，未來使用者不必自行拼湊自己的虛擬化身，只要透過AI就能輕易創造，也可能允許使用者擁有不同的虛擬化身，區分上班與休閒的裝扮，或是提供卡通化的版本。</p> </div></div></div>
2022/10/12 12:46作者陳曉莉https://www.ithome.com.tw/news/153570
Google Workspace Smart Canvas功能再擴大，能在Docs及Meet中嵌入第三方App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周二舉行Google Cloud Next'22大會，<a href="https://cloud.google.com/blog/products/workspace/how-google-workspace-is-building-the-open-hybrid-work-platform" target="_blank">宣布生產力應用Workspace的Smart Canvas功能再擴展</a>，使Google Docs及Google Meet不只能編輯文件或執行視訊交談，也能整合第三方雲端應用程式。</p> <p>Google Workspace同時也宣布新主管Aparna Pappu，她在7月被任命為Workspace副總裁暨總經理，以接替離職的Javier Soltero。在此之前她長年主掌Google廣告部門，2017年轉到G Suite部門（Workspace前身）迄今。</p> <p>周二發表的新功能其中之一是Google Docs的智慧連結（smart chips）支援第三方應用程式。Smart chips是<a href="https://www.ithome.com.tw/news/144500" target="_blank">Google Workspace去年宣布Smart Canvas</a>的一項功能，只要在Google Docs加入@符號，就會列出相關資訊，例如提及一名公司同事時，@會帶出其所在地點、職稱或聯絡方式。而最新功能中，智慧連結將可加入第三方應用，用戶可以以@-mention指令，列出Google合作的第三方App的資訊，並將互動資訊和預覽插入到Google Docs中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Google%20cloud-workspace-Bringing%20smart%20chips%20to%20popular%20third-party%20applications-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google昨日宣布的第三方App合作夥伴包括：內容服務平臺雲端文件管理AO Docs、Atlassian、作業管理平臺Asana、協同介面設計平臺Figma、視覺協作平臺Miro、分析軟體Tableau和客戶支援平臺ZenDesk。</p> <p>這些廠商正在開發第三方智慧連結，Google說會在接下來幾周內開發與Google　Docs的整合，而在2023年1月推向所有Docs用戶。</p> <p>Workspace第二項新功能是推出Google Meet API及Google Meet外掛（add-on）SDK，旨在讓Google Meet可整合第三方App。Google今年已經先為Meet整合Google Docs、Sheets、Slides，後來又加入Miro，像是在Meet視訊時叫出Miro白板。現在，Google又推出Google Meet API及Google Meet外掛SDK，讓開發商可在自家App中整合Meet。此外，利用這個Meet API還能開發在第三方App中排定和啟動Meet會議。目前Figma和Asana都已經整合了Meet API。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Figma_meet_app_gif_sVzyC0f.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google Meet API會在未來幾個月內開放早期試用，Meet外掛SDK則在今年底前開放試用。</p> <p>Workspace第三項宣布是擴大Chat and Spaces API的功能。<a href="https://developers.googleblog.com/2022/05/Create%20Spaces%20and%20Add%20Members%20with%20the%20Google%20Chat%20API.html" target="_blank">今年5月Google首次釋出</a>Chat and Spaces API，讓第三方App用戶得以在重要或緊急情況時，自動將友人加入到Chat Spaces。</p> <p>現在Chat and Space API更進一步，讓第三方App建立Chat 1對1私訊或是群組交談，使用者也可以在這些App中直接讀寫Chat訊息，不用再跳出來。例如，用戶團隊若之前在Chat space討論專案，之後在某款App執行專案時，該App就會根據Chat對話歷史，建議相關連結或Docs文件。該App還會將Chat space交談內容複製到另一個space中，確保所有成員都能接到交談訊息。Asana和LumApps是第一批整合該API的第三方App。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Compress_gif_Lum_Apps.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2022/10/12 11:44作者林妍溱https://www.ithome.com.tw/news/153568
Meta發表要價1,499美元的高階VR裝置Quest Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/meta-quest-pro-price-release-date/" target="_blank">Meta周二（10/11）發表</a>了代號為Project Cambria的VR頭戴裝置Quest Pro，即日起開放預購，預計於10月25日出貨，它在美國的售價為1499.99美元，<a href="https://www.meta.com/tw/quest/quest-pro/" target="_blank">在臺灣則是1649.99美元</a>。</p> <p><a href="https://www.ithome.com.tw/news/151765" target="_blank">Meta所生產的VR裝置占了全球相關裝置出貨量的9成</a>，主要原因之一是其入門款裝置Quest 2先前售價只要299.99美元，就算是在今年8月<a href="https://www.ithome.com.tw/news/152140" target="_blank">調漲至399.99美元</a>，也是市場上最經濟實惠的VR產品。</p> <p>至於定位為高階機種的Quest Pro則配備了許多先進硬體與創新技術，它採用高通的Snapdragon XR2+ 平臺，有更好的效能與散熱能力，內建12GB的記憶體，256GB的儲存空間，以及10個高解析度的感應器；所使用的餅乾鏡可多次折疊光線，讓裝置尺寸變小，卻有更清晰的視覺效果；另也強調配戴上的舒適。</p> <p>此外，Quest Pro的攝影機可捕捉的像素是Quest 2的4倍，它也是Meta首款全彩的混合實境裝置，可望進一步減少實體與數位世界的差距。更特別的是，它有5個感應器是對內的，能夠捕捉使用者的臉部表情，或是追蹤使用者的眼神，而讓虛擬化身得以呈現真實的使用者神情，為了保障用戶隱私，該功能的預設值是關閉的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Meta%20Quest%20Pro-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Meta</span></span></p> <p>Meta從未公布其VR裝置銷售量，<a href="https://www.oculus.com/blog/vr-games-meta-connect-2022-marvel-iron-man/" target="_blank">但本周卻揭露</a>其Meta Quest Store迄今的遊戲與程式銷售營收為15億美元。根據Meta今年第二季的財報，攸關元宇宙業務的Reality Labs部門在該季的營收為4.5億美元，虧損了28億美元。</p> <p>Meta將在包括臺灣在內的逾20個國家銷售Quest Pro，臺灣市場的售價比美國貴了200美元。未來Meta仍會繼續銷售與更新入門款的Quest 2。</p> </div></div></div>
2022/10/12 12:02作者陳曉莉https://www.ithome.com.tw/news/153569
新加坡電信IT服務部門Dialog也遭駭，可能外洩客戶及員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼9月下旬的Optus後，<a href="https://www.singtel.com/content/dam/singtel/investorRelations/stockExchange/2022/867-sgx.pdf" target="_blank">新加坡電信（Singtel）本周公告</a>旗下IT服務業務Dialog也在9月間發生資安事件，可能已外洩10多名客戶，以及上千名員工資料。</p> <p>Dialog為澳洲IT服務顧問業者，今年4月才由新加坡電信全資子公司NCS收購。這是繼今年9月新加坡電信子公司Optus之後，第二家遭網路攻擊的澳洲業務部門。不過新加坡電信昨日指出Dialog系統與NCS、Optus及新加坡電信系統完全獨立，沒有證據顯示Optus和Dialog的事件之間有關聯。</p> <p>Dialog昨（11）日證實公司發生網路安全事件。該公司在9月10日偵測到數臺伺服器遭一個未獲授權的外部組織存取。事發時Dialog立即關閉系統，並在2天後重新回復伺服器上線運作。</p> <p>該公司判斷駭客可能存取了公司資料，影響10多家客戶，以及Dialog現任及前任員工約1,000人。雖然Dialog認為沒有證據顯示有非授權下載資料的情形，但在隨後的監控下，他們10月7日發現有「小部份樣本」，包括Dialog員工個資被公布在暗網上。不確定公開的資料是否來自9月中的駭客入侵。</p> <p>該公司表示已經通報主管機關調查，並提供影響人員必要的資訊和協助。</p> <p>相較之下，Optus資料外洩情形就嚴重得多，有210萬客戶個資外洩，包括120萬筆有效ID及生日、電話號碼、電子郵件信箱、地址等。上周一名19歲雪梨市民因企圖利用公開於暗網上的Optus用戶個資勒索受害者，<a href="https://www.theregister.com/2022/10/06/optus_blackmail_arrest/" target="_blank">而遭澳洲警方逮捕</a>。</p> </div></div></div>
2022/10/12 11:05作者林妍溱https://www.ithome.com.tw/news/153567
微軟、Meta合作將Teams、Office 365、Xbox雲端遊戲帶入VR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.fb.com/ar-vr/2022/10/meta-connect-2022-keynote-recap-quest-pro/" target="_blank">微軟與Meta昨（11）日宣布合作</a>，讓微軟生產力應用程式Teams、Windows 365 App及XBox Cloud Gaming也能在Meta最新VR頭戴裝置上執行。</p> <p>微軟董事長暨執行長Satya Nadella及Meta執行長Mark Zuckerberg周二在Meta最新VR裝置Quest 2及高階版Quest Pro發表大會Connect上聯袂宣布，微軟商務協同應用程式及Xbox雲端遊戲平臺將推出適合在Quest VR裝置上執行的版本。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/311272511_482773337233802_3795872930018661043_n.png?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=W5weLuvrgFMAX_rlwt1&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT8W6fmg1ZllKl3IYEghc1kJRpYI8wZ-IIoichxVzdGeUw&oe=634A32E2" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>微軟的支援也讓Meta元宇宙（metaverse）裝置獲得重大支援。雖然另一方面，在虛擬實境上微軟和Meta還是存在競爭關係。<a href="https://www.ithome.com.tw/news/143014" target="_blank">微軟正在打造混合實境平臺Mesh</a>，讓企業員工可以透過自家裝置HoloLens以Teams及Office Apps執行虛擬會議、遠端協助、學習或私人聚會。</p> <p>在這項合作下，企業用戶將可以利用Quest VR裝置執行Teams視訊會議、傳送文字訊息或檔案。雙方說目前正在合作開發Meta Avatar及Microsoft Avatar，讓企業用戶也可以用虛擬分身在Meta的VR互動空間Horizon Workrooms舉行Teams沈浸式會議。Meta表示這項功能不久後就會推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Microsoft%20and%20Meta%20partner-VR-Teams-Meta-Quest-Pro-VR-headset-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>此外，Microsoft Windows 365 App，包括雲端版Windows也將可串流到Quest VR裝置上使用。Nadella表示，透過在Quest上支援Windows 365，用戶可安全獲得整個Windows使用體驗，包括Windows、以及個人化Windows App、檔案內容及設定。其中Office應用程式將可透過PWA（Progressive Web Aps）技術執行於Quest上，不過目前仍然還是2D版本。</p> <p>Nadella也宣布雲端遊戲平臺Xbox Cloud Gaming（Beta）版App將在Meta Quest Store上架，使Xbox Game Pass Ultimate訂閱服務用戶得以將遊戲串流到Quest 內的顯示螢幕上，並以Xbox控制器操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Microsoft%20and%20Meta%20partner-VR-Xbox%20Cloud%20Gaming%20beta.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>其他較次要的商務應用整合包括，企業用戶可透過Microsoft 365 App和SharePoint及微軟其他生產力應用程式互動。Meta Quest也將支援微軟裝置管理工具Intune及Azure Active Directory，讓Quest裝置納入企業IT管理範疇。</p> <p>不過Meta的元宇宙願景是否能成功仍有待觀察。<a href="https://9to5mac.com/2022/10/07/horizon-worlds/" target="_blank">本月初媒體報導</a>，Meta的商務互動平臺Horizon Worlds還不夠吸引人，連自家員工都不愛用，迫使公司必須鼓勵員工多加使用。</p> </div></div></div>
2022/10/12 10:07作者林妍溱https://www.ithome.com.tw/news/153566
豐田汽車不慎把T-Connect服務金鑰公開在GitHub上，外洩近3萬車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://global.toyota/jp/newsroom/corporate/38095972.html" target="_blank">日本豐田汽車（Toyota Motor）上周披露</a>，該公司的承包商在把部分T-Connect服務程式碼上傳至GitHub的公開儲存庫時，不慎於程式碼中夾帶了存取金鑰，使得第三方得以存取該資料庫伺服器，造成296,019名車主的資料外洩，但外洩的只有這些車主的電子郵件與獨特的T-Connect管理號碼，至於姓名、電話或信用卡等資訊都未受到影響。</p> <p>根據Toyota的調查，此一含有存取金鑰的原始碼是在2017年12月，由開發T-Connect網站的承包商所上傳，雖然它違反了Toyota的資料處理規定，但Toyota一直到今年的9月15日才發現此事，當天即把該儲存庫設為私密。而在這期間，已有一第三方存取了該程式碼，可藉由程式碼中的金鑰存取資料伺服器。</p> <p>T-Connect為Toyota所打造的行動程式，支援Android與iOS裝置，可連結汽車上的資訊娛樂系統，並分享汽車位置、設定停車模式，還能偵測意外並主動回報，受害者必須曾是以電子郵件訂閱T-Connect服務的車主。</p> <p>雖然包括車主姓名或電話號碼等重要資訊並未外洩，但Toyota依舊提醒T-Connect用戶應該要提供警覺，以防駭客利用這些外洩的郵件帳號展開網釣攻擊。</p> </div></div></div>
2022/10/11 22:29作者陳曉莉https://www.ithome.com.tw/news/153565
Mozilla揭露改進macOS Firefox回應性的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2022/10/improving-firefox-responsiveness-on-macos/">經過Mozilla的改進</a>，從Firefox 103版本開始，macOS上的Firefox更順暢，回應能力明顯提高，特別是用戶開啟許多頁籤，或是電腦忙於執行其他應用程式的時候，Firefox現在能更即時地回應用戶的操作，而官方解釋，這是透過調整記憶體分配器中鎖實做的方法達成的。</p> <p>Firefox在所有架構中使用高度自定義的jemalloc記憶體分配器版本，以達到Firefox最佳效能和記憶體使用，記憶體分配器必須為執行緒安全，而且為了提高效能，還需要為來自不同執行緒的大量平行請求提供服務，為了實現這件事，jemalloc在內部結構使用鎖。</p> <p>分配器中鎖實作方法和程式碼庫的其餘部分都不同，具體來說，創建和使用互斥鎖不能發出新的記憶體分配要求，因為這會導致分配器本身無限遞迴，所以分配器傾向使用底層作業系統的原生Thin Lock，而在macOS中，Firefox一直都是使用OSSpinLock的鎖實作。</p> <p>而OSSpinLock自旋鎖（Spin Lock）並非一般的互斥鎖，互斥鎖在被一個執行緒占用時，則使另一個試圖取得鎖的執行緒進入睡眠狀態，自旋鎖則是當執行緒要鎖定一個已經被鎖定的OSSpinLock實例，該執行緒會一直忙於輪詢該鎖，而非睡眠等待鎖釋放，這個行為被稱為自旋。</p> <p>Mozilla解釋，雖然自旋會消耗CPU周期和電力，但是讓執行緒睡眠卻會對效能產生更重大的影響，要將睡眠中的執行緒喚醒，需要兩次上下文切換，經歷將執行緒狀態存入記憶體和恢復的過程，而且在執行緒恢復時，可能會在不同核心上執行，該核心可能充滿不相關的資料。這些因素會讓執行緒採用互斥鎖比自旋鎖速度更慢。</p> <p>所以當執行緒試圖獲得的鎖僅會鎖定很短暫的時間，那讓執行緒短暫自旋可能是相對有利的，付出的成本也會低於睡眠。但自旋鎖缺點便是自旋太久會造成運算資源浪費，特別是當電腦負載本來就很重的時候，可能會降低已經擁有鎖的執行緒運作速度，進而造成更多執行緒需要鎖的機會，導致許多執行緒不停自旋。</p> <p>過去Firefox在macOS上使用的OSSpinLock，在負載輕的系統提供非常好的效能，但是在負載增加時表現不佳，其具有兩個最根本的缺陷，就是OSSpinLock會在使用者空間中自旋，並且從來不睡眠。</p> <p>使用者空間不會知道系統正執行多少負載，因此如果是在核心空間，那鎖就可以做出更加明智的決定，也就是當負載很高的時候便不自旋，官方提到，在執行緒無法獲得鎖的時候，不睡眠會使狀況更糟，特別是核心不知道存在等待鎖的執行緒，又另外喚醒正在爭奪同一個鎖的執行緒，產生更多的自旋和競爭，最終可能使Firefox當掉。</p> <p>Apple因為OSSpinLock的問題決定棄用該鎖實作，取而代之的是官方替代實作os_unfair_lock，但在Mozilla使用os_unfair_lock並進行自動化測試後，發現部分效能下降30％，而這個原因正是在os_unfair_lock中，執行緒不會因為爭用而自旋，反而立即進入睡眠，這使記憶體分配器效能更差。</p> <p>Mozilla進一步發現Apple函式庫有os_unfair_lock_with_options()自旋鎖可供使用，由於能夠於核心空間執行自旋，因此也就可以在適合的時機執行載入和調度。在使用新的自旋鎖後，Firefox在輕負載系統上的效能與OSSpinLock大致相同，在負載較重的系統能夠提供更好的回應，並且降低自旋造成的電力浪費。</p> </div></div></div>
2022/10/11 22:38作者李建興https://www.ithome.com.tw/news/153555
Jetbrains開發工具KMM進入Beta測試，使iOS與Android應用程式可共享相同邏輯程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過兩年的發展，Jetbrains可讓iOS和Android應用程式共用邏輯程式碼的開發工具<a href="https://blog.jetbrains.com/kotlin/2022/10/kmm-beta/">KMM（Kotlin Multiplatform Mobile）</a>脫離實驗階段進入Beta測試，開放給所有開發者使用，該工具目前已經被Philips、Netflix和VMWare等知名企業使用。</p> <p>KMM是一個可用於iOS和Android應用程式開發的SDK，供開發者維護雙平臺共用的網路、資料儲存和分析程式碼，也就是說，開發者可以對iOS和Android應用程式的邏輯運作，維護單一程式碼庫，同時還是能運用各平臺原生UI，和特定於iOS和Android裝置的功能。</p> <p>由於同一應用程式的iOS和Android版本，除了使用者介面有很大的不同外，在導覽邏輯、資料管理和身分驗證等邏輯通常相同，而KMM讓開發者可以共用這些運作邏輯，但又能在UI上保有各自特色。官方提到，KMM可協助開發者維持邏輯元素共用程式碼同步，同時又具有原生程式開發優勢，包括應用程式效能和完全取用iOS和Android SDK的能力。</p> <p>KMM經過調整記憶體管理、函式庫和專案配置方法，結束試驗階段進入Beta測試階段，而Google的Android團隊也公開了Jetpack的Kotlin Multiplatform預覽，可用的函式庫包括Collections和DataStore，另外，Touchlab也推出建置工具KMMBridge，讓開發者能夠藉由KMM更快速發布共用程式碼。</p> <p>KMM開發工具生態系包括適用Android Studio KMM套件，讓開發者可以使用熟悉的開發工具Android Studio，撰寫和除錯應用程式程式碼。而iOS的部分，Kotlin則與iOS的開發語言Objective-C和Swift互通，KMM透過套件整合CocoaPods相依管理器，與iOS開發程序緊密連結，使開發者可自由使用iOS平臺API。</p> <p>由於Kotlin與Objective-C、Swift的雙向互通性，因此Kotlin可以在Objective-C/Swift中使用，同時開發者也可以在Kotlin程式碼使用Objective-C框架與程式碼，甚是使用Swift函式庫中的API。</p> </div></div></div>
2022/10/11 22:43作者李建興https://www.ithome.com.tw/news/153564
AWS用戶現可使用Trn1執行個體高效訓練深度學習模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在正式推出在AWS re:Invent 2021大會上所發表的<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-trn1-instances-for-high-performance-model-training-are-now-available/">Amazon EC2 Trn1執行個體</a>，Trn1採用AWS針對機器學習模型訓練所開發的客製化晶片Trainium，是AWS Inferentia推理晶片的第二代機器學習晶片，可高效能執行深度學習訓練工作負載。</p> <p>Trn1執行個體適用於自然語言處理、圖像辨識這類需要大規模分散式訓練的複雜深度學習應用程式，與之前專用於機器學習訓練和高效能運算的P4d執行個體相比，Trn1執行個體在BF16資料類型提供1.4倍的teraFLOPS，而TF32資料類型則有5倍teraFLOPS，節點間網路頻寬上升至4倍，使Trn1可以部署於EC2 UltraCluster中，作為超級電腦高速訓練複雜的深度學習模型。</p> <p>Trn1執行個體目前有兩種大小，可配置高達16個AWS Trainium晶片和128個vCPU，擁有高效能網路和儲存，支援資料和模型平行化分散式訓練政策。該執行個體擁有高達512 GB的高頻寬記憶體，TF32/FP16/BF16達3.4 petaFLOPS運算能力，且因為晶片間都以超高速NeuronLink互相連接，在跨多個Trainium晶片的工作負載可避免通訊成為效能瓶頸。</p> <p>AWS提到，Trn1執行個體是第一個搭載第二代800 Gbps Elastic Fabric Adapter（EFA）網路頻寬的EC2執行個體，支援高吞吐量網路通訊。與前一代相比，第二代EFA擁有更低的延遲和高達2倍的網路頻寬。Trn1執行個體還具有8 TB本地NVMe SSD儲存，供模型高速存取超大型資料集。</p> <p>針對大規模模型訓練，Trn1執行個體能夠整合Amazon FSx部署於EC2 UltraClusters中，而EC2 UltraClusters是以非阻塞PB級網路互連的超大規模叢集，使用戶藉由存取超級電腦，將原本需要數月的大型複雜模型訓練工作，縮短至數周甚至數月。</p> <p>由於Trainium和Inferentia共用相同的工具包，因此對已經使用過Inferentia的用戶，也能熟悉地開始使用Trainium，在模型訓練上，Neuron SDK提供編譯器、框架擴充、Runtime函式庫和開發者工具，除了AOT編譯之外，Neuron SDK還支援JIT編譯以加快模型編譯，並支援Eager除錯模式供用戶逐步執行。</p> <p>官方提到，要在Trainium上編譯和運作模型，用戶只需要更改腳本中數行程式碼就好，不需要調整模型本身或是轉換資料類型。用戶目前可以先在AWS美東北維吉尼亞，和美西奧勒岡地區啟用Trn1執行個體，與其他執行個體相同，也能以按需執行個體、預留執行個體、先占式執行個體，或以Savings Plan節省使用成本。</p> </div></div></div>
2022/10/11 22:19作者李建興https://www.ithome.com.tw/news/153554
【資安日報】2022年10月11日，資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了能讓用戶儘速修補漏洞，IT業者往往會發布資安通告，讓用戶能儘速部署相關的更新程式或是韌體，但最近資安廠商Fortinet揭露這類訊息的方式令人意外，因為對於一個嚴重等級評分高達9.6的資安漏洞，他們並未先在自家網站公告，而是私下向部分使用者通知，有用戶將這訊息公布之後，大家才知道有這個漏洞。</p> <p>因外部廠商管理不當，不慎將用戶資料在網路上公開的情況也相當值得注意。汽車大廠Toyota最近就因為車輛管理系統T-Connect的原始碼公開，導致可存取使用者資料庫的帳密曝光，原因與他們配合的網站開發業者有關。</p> <p>以臉書登入（Log-in with Facebook）的功能相當常見，但也成為攻擊者騙取該社群網站帳號資料的手段！Meta表示他們找到400個惡意App，其共通點就是會要求使用者需要登入臉書帳號，而且，這些應用程式幾乎可從Google Play與蘋果App Store市集下載（現已全數移除）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://global.toyota/jp/newsroom/corporate/38095972.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">汽車大廠Toyota不慎把車輛管理系統的金鑰公開在GitHub上，恐外洩近30萬用戶資料</span></strong></a></h3> <p>日本汽車大廠豐田（Toyota）於10月7日發出資安通告，他們提供車主的車輛管理系統T-Connect，部分原始碼在GitHub公開，這些程式碼從2017年12月至2022年9月15日可被他人存取，內有資料伺服器的存取帳密，此伺服器存放了296,019名用戶資料，該公司於今年9月17日修改資料伺服器的帳密，來防堵用戶資料曝光的情況。</p> <p>豐田表示，目前尚未發現資料遭到盜用的跡象，但不能排除有他人存取的可能性。但為何會出現上述情況？該公司指出是外部的網站開發廠商不慎公開所致。</p> <h3><a href="https://www.tomshardware.com/news/intel-confirms-6gb-alder-lake-bios-source-code-leak-new-details-emerge"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英特爾證實Alder Lake處理器的BIOS原始碼外洩，但宣稱資料供漏洞懸賞所用</span></strong></a></h3> <p>根據電腦硬體新聞網站Tom's Hardware報導，有人在網路論壇4chan上，公開英特爾第12代Core系列處理器（Alder Lake）的BIOS相關資料，並透過ZIP檔案打包，解壓縮後檔案大小為5.86 GB，內容是Alder Lake的BIOS及UEFI開發文件與工具，這些資料不久後也被人上傳到GitHub。</p> <p>這起事故得到英特爾證實，該公司指出這些資料與抓漏獎勵專案Circuit Breaker有關，並非內部系統存在漏洞導致資料外洩。但資料從何外洩，以及駭客的動機為何？英特爾並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/adata-denies-ransomhouse-cyberattack-says-leaked-data-from-2021-breach/"><span style="color: rgb(0, 0, 0);">威剛傳出資料外洩，但該公司表示駭客掌握的是一年前事故的資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織RansomHouse於10月4日，聲稱攻擊臺灣記憶體大廠威剛科技，並偷到1 TB的資料。不過，威剛表示，根據他們的比對，這些駭客提供的檔案，<a href="https://www.ithome.com.tw/news/144910">來自去年勒索軟體駭客Ragnar Locker的攻擊事故</a>。雖然RansomHouse聲稱已經和威剛進行談判，但威剛表示，駭客並未留下勒索訊息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/2k-games-warns-users-their-stolen-data-is-now-up-for-sale-online/"><span style="color: rgb(0, 0, 0);">遊戲業者2K客服系統遭駭，玩家個資流入地下論壇</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png" style="width: 300px; float: right;" /></a>9月20日，遊戲業者2K證實客服系統遭到入侵，駭客透過該系統向玩家發送竊密軟體RedLine的連結，該公司於10月6日揭露進一步的調查結果，他們發現未經授權的外部人士，存取了客服系統部分資料，包含了玩家的姓名、電子郵件信箱、玩家ID、工單編號等，目前沒有跡象顯示玩家的密碼與金融資料外洩。資安新聞網站Bleeping Computer指出，駭客已將竊得的資料在地下論壇求售，但強調這批資料不含密碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153528"><span style="color: rgb(0, 0, 0);">幣安跨鏈橋遭駭，被盜走1億美元資產</span></a></strong></h3> <p>大型加密貨幣交易所幣安（Binance）於10月7日上午，傳出跨鏈橋BSC Token Hub遭到入侵，估計在攻擊行動裡造成1億美元損失，但該公司與社群合作，凍結其中的700萬美元加密貨幣。幣安執行長趙長鵬指出，此次駭客攻擊導致該系統產生大量幣安幣（BNB），再將其轉走。該公司暫停Beacon Chain（BEP2）與Smart Chain（BSC）之間的跨鏈交易，並針對後者進行修補，也公告禁止交易的黑名單網址。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153546"><span style="color: rgb(0, 0, 0);">逾10座美國機場的網站傳出遭俄羅斯駭客Killnet癱瘓</span></a></strong></h3> <p>根據CNN、ABC News、NBC等美國媒體報導，美東時間10月10日上午，亞特蘭大、紐約、芝加哥、洛杉磯、鳯凰城等城市，傳出14座機場的網站遭到DDoS攻擊而斷線，無法提供航班查詢服務。不過，這些機場發言人都表示，攻擊僅造成網站停擺，不影響飛航運作，內部系統也未受影響。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為，並於Telegram頻道列出打算發動攻擊的49個機場。</p> <h3><strong style="font-size: 22px;"><a href="https://about.fb.com/news/2022/10/protecting-people-from-malicious-account-compromise-apps/"><span style="color: rgb(0, 0, 0);">400個手機App竊取百萬用戶臉書帳號資料</span></a></strong></h3> <p>臉書的母公司Meta指出，他們發現有403個手機惡意程式濫用「以臉書登入（Log-in with Facebook）」的功能，竊取臉書用戶的帳密資料，且這些App幾乎都上架到Google Play與蘋果App Store市集，該公司估計有近百萬用戶受到影響，他們也向這些使用者發出資料外洩通知，前述的App通報給Google與蘋果後皆已下架。Meta提出警告，這些惡意App的共通特徵是提供了以臉書登入的按鈕，部分甚至在沒有登入臉書帳號的狀態下無法使用。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153533"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆、網頁安全閘道RCE漏洞，但先私下通知部分用戶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg" style="width: 200px; float: right;" /></a>資安業者Fortinet修補重大身分驗證繞過漏洞CVE-2022-40684，此漏洞影響執行FortiOS的防火牆，以及網頁安全閘道系統FortiProxy，CVSS風險評分為9.6分，影響7.0版以上的FortiOS或FortiProxy。但這次修補引起用戶關注的是，Fortinet約於10月7日先透過電子郵件通知特定用戶，而非在資安通告網站上發布公告，直到有人將這樣的通知信公布後外界才得知此事。</p> <p>事隔3日，Fortinet發布資安公告，指出該漏洞已被用於攻擊行動，影響範圍除FortiOS與FortiProxy外，亦包含交換器管理系統FortiSwitch Manager。</p> <h3><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-ikea-tradfri-smart-lighting/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IKEA智慧照明系統漏洞恐導致組態遭到重設、使用者失去調整亮度的能力</span></strong></a></h3> <p>資安業者Synopsys指出，IKEA TRÅDFRI智慧照明系統存在漏洞CVE-2022-39064，攻擊者可傳送特定的IEEE 802.15.4（Zigbee）訊號，使得燈泡閃爍，但若是重覆傳送相同的訊號，就有可能導致燈泡組態被重設，相關的網路與亮度配置都會被清除，最終所有燈泡都會以最高亮度發光，且使用者無法透過手機App或遙控器調整設定。類似的漏洞也存在於該廠牌的物聯網裝置閘道設備上，並以CVE-2022-39065列管。</p> <p>研究人員指出，攻擊者只需使用筆電與25美元的無線電裝置，並在距離設備100公尺內就能發動攻擊。IKEA表示，上述漏洞與Zigbee協定有關，很可能也會在其他物聯網裝置出現，但不會外洩此照明系統儲存的敏感資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2022/10/06/exploitation-of-unpatched-zero-day-remote-code-execution-vulnerability-in-zimbra-collaboration-suite-cve-2022-41352/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra尚未修補的RCE漏洞已出現攻擊行動</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2022/10/vulnerabilities-in-google-android-could-allow-for-arbitrary-code-execution"><span style="color: rgb(0, 0, 0);">Google修補42個Android漏洞，其中3個為涉及高通無線模組的重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://checkmarx.com/blog/lofygang-software-supply-chain-attackers-organized-persistent-and-operating-for-over-a-year/"><span style="color: rgb(0, 0, 0);">駭客組織LofyGang鎖定開發者發動供應鏈攻擊，目標為信用卡資料</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153474">【2022年10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</a></strong></strong></strong></p> </div></div></div>
2022/10/11 17:48作者周峻佑https://www.ithome.com.tw/news/153556
Windows 11在組織內部的採用率仍低於3%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lansweeper.com/itam/is-your-business-ready-for-windows-11/" target="_blank">專門建置IT資產管理解決方案的Lansweeper上周公布</a>針對組織內部的Windows裝置掃描報告，顯示出在全球6萬個組織的3,000萬臺Windows裝置中，只有2.61%的比例安裝了Windows 11，還低於微軟已經終止支援的Windows 7（3.38%）。</p> <p>雖然微軟一年前便釋出了Windows 11，但組織的作業系統升級相對緩慢，因為許多組織的系統管理員都會等到新系統上線一陣子之後才決定是否升級，相較之下，針對一般Windows程式與遊戲提供廣告服務的<a href="https://reports.adduplex.com/#/r/2022-06" target="_blank">AdDuplex於今年6月的調查</a>則顯示，已有超過23%的Windows裝置已升級至Windows 11。</p> <p>依照Lansweeper的調查，組織內部的Windows裝置仍以Windows 10居多，占了81.87%，居次的則是Windows Server的8.79%，排名第三的是微軟已經終止支援的Windows 7，仍有3.38%，Windows 11則以2.61%位居第四。</p> <p>除了偵測組織內裝置所執行的Windows作業系統版本之外，Lansweeper也掃描了這3,000萬臺裝置是否具備Windows 11的最低系統需求，主要是處理器（CPU）、記憶體（RAM）與信賴平臺模組（Trusted Platform Module，TPM），發現在工作站中，只有57.26%的CPU、92.85%的記憶體，以及65.57%的TPM符合可安裝Windows 11的條件。</p> <p>Lansweeper指出，這意謂著組織可能還要展開許多工作才能實現Windows 11，因為此一新的作業系統具備更嚴格的系統要求，並建議擁有大量裝置的組織應藉由自動化工具來進行Windows 11的升級任務。</p> </div></div></div>
2022/10/11 15:50作者陳曉莉https://www.ithome.com.tw/news/153553
第三季全球PC出貨量下滑15%，蘋果逆勢成長40%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.idc.com/getdoc.jsp?containerId=prUS49755822" target="_blank">市場研究機構IDC本周公布了</a>今年第三季的全球PC市場調查報告，顯示後疫情時代的全球PC出貨量正持續下滑中，該季整體出貨量為7,430萬臺，比去年同期下滑了15%，但蘋果產品出貨量卻異軍突起，在該季成長了40.2%。</p> <p>COVID-19疫情使得人類的活動量大減，在家工作與上課的風潮讓全球PC出貨量經歷了長達兩年的兩位數成長，但此一成長力道<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49019122" target="_blank">在今年第一季正式告終</a>，今年第一季的PC出貨量下滑了5.1%，<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49455522" target="_blank">第二季下滑15.3%</a>，第三季亦持續下滑15%。</p> <p>IDC的調查顯示，全球前三大PC製造商依序是聯想（市占率為22.7%）、HP（17.1%）與Dell（16.1%），它們今年第三季的出貨量全數衰退，分別下滑了16.1%、27.8%與21.2%，然而，第四名的蘋果卻逆勢成長了40.2%，取得13.5%的市占，該季蘋果電腦的出貨量超過1,000萬臺。</p> <p>IDC認為，需求的冷卻及供應不均是造成PC出貨量下滑的主因，但即便如此，今年第三季的PC出貨量仍遠高於疫情之前的水平。對於蘋果的表現，IDC研究經理 Jitesh Ubrani指出，這是因為蘋果增加了第三季的供應量，以彌補今年第二季中國封城所造成的訂單損失。</p> </div></div></div>
2022/10/11 13:16作者陳曉莉https://www.ithome.com.tw/news/153551
傳與俄羅斯過從甚密，德國聯邦資安辦公室主席可能被調職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據德國媒體《<a href="https://www.bild.de/politik/inland/politik-inland/nach-boehmermann-sendung-faeser-feuert-cyber-abwehrchef-81569028.bild.html" target="_blank">The Bild</a>》、《<a href="https://www.zdf.de/nachrichten/politik/schoenbohm-faeser-boehmermann-bsi-cyber-sicherheitsrat-100.html" target="_blank">ZDF</a>》與《<a href="https://apnews.com/article/russia-ukraine-technology-berlin-government-and-politics-b7d3c413308976c3ab05ca7fbb71e476" target="_blank">美聯社</a>》（AP）的報導，德國內政部長Nancy Faeser有意換掉德國聯邦資安辦公室（BIS）主席Arne Schönbohm，原因是懷疑Schönbohm與俄羅斯情報局過從甚密。</p> <p>BIS為德國的頂級聯邦機構，負責德國政府的電腦與通訊安全，涵蓋電腦程式安全、關鍵基礎設施的保護、網路安全、密碼學、反竊取，以及各種安全產品及安全測試實驗室的認證等，約有1,100名員工，Schönbohm自2016年2月便擔任BIS主席迄今。</p> <p>此外，Schönbohm在2012年在德國共同創立了Cyber Security Council，這是提供網路安全建議予德國政府組織、立法委員與企業的民間組織，然而，<a href="https://www.zdf.de/comedy/zdf-magazin-royale/zdf-magazin-royale-vom-7-oktober-2022-100.html" target="_blank">德國媒體的調查卻發現</a>，該組織有一家成員企業為俄羅斯資安業者的子公司，且其創辦人為俄羅斯情報機構（KGB）的前員工。Schönbohm即被懷疑透過Cyber Security Council與俄羅斯聯繫，且該俄羅斯企業可能利用其成員身分，於德國提供不安全的軟體。</p> <p>壓垮駱駝的最後一根稻草則是Schönbohm近日還參與了Cyber Security Council的年會，並上臺發表演說。</p> <p>儘管Schönbohm否認了與俄羅斯有所聯繫的指控，但根據德國媒體報導，Faeser有意撤銷Schönbohm在聯邦資安辦公室主席的身分，將他轉調至其它職位，而且也已延後原本要在周四發表的BSI管理報告。</p> </div></div></div>
2022/10/11 13:00作者陳曉莉https://www.ithome.com.tw/news/153550
【資安週報】2022年10月3日到10月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月初的資安新聞中，微軟Exchange伺服器的零時差漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082）最受關注，在資安業者的事件調查中才使此漏洞曝光，儘管微軟已公布緩解措施，又傳出緩解能被繞過的消息，以及一再釋出新的緩解對應的消息，讓企業人員疲於奔命。</p> <p>在攻擊態勢上，利用已知漏洞的問題不斷，較特別的是，關於利用驅動程式漏洞的攻擊有兩起，一是北韓駭客組織Lazarus成功利用了CVE-2021-21551漏洞，一是在勒索軟體BlackByte亦利用了自帶驅動程式攻擊手法（Bring Your Own Vulnerable Driver，BYOVD），在電腦植入具有漏洞的驅動程式用以提升權限。此外，本周美國公布了一份中國駭客最常利用漏洞的清單，共有20個，Log4Shell居於第一，Pulse Secure VPN漏洞CVE-2019-11510居於第二，當中大部分為2021年揭露的漏洞。</p> <p>在攻擊手法方面，受關注的包括：駭客組織Witchetty將惡意軟體埋藏在Windows圖案的BMP圖片檔案格式，以及有駭客打造針對微軟SQL Server的後門程式Maggie，還有，國家級駭客利用惡意軟體CovalentStealer及滲透測試工具Impacket鎖定國防單位入侵，這些攻擊行動相當值得留意。</p> <p>另外，還有一起美國FTC定罪判刑案件受關注，原因是2016年遭駭當時的Uber資安長蓄意隱瞞公司與FTC，這導致了駭客免於落網，之後駭客又得以成功入侵另家公司，美國司法部此舉，強調保護使用者，以及資安事件通報主管機關重要性。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153411"><span style="color: rgb(0, 0, 0);">【10月3日】駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置遭起訴</span></a></strong></h3> <p>有人假冒是財星500大企業的資安長，並設置LinkedIn帳號，且他們的經歷看起來相當完整而難辨真假，甚至使用者想要透過Google搜尋確認，有機會先看到假資安長的帳號。由於攻擊者很有可能利用這種帳號進行詐騙，大家關注資安長動態時要提高警覺。</p> <p>我們之前曾報導不少離職員工造成的資安事故，而最近美國司法部起訴的案件也是類似狀況，有IT人員離職後，利用尚未註銷的權限入侵前東家，再度突顯企業若未收回離職員工權限，恐釀大禍。</p> <p>Dell去年修補存在漏洞的驅動程式，如今被實際用於攻擊行動──駭客自行攜帶存在漏洞的驅動程式（<a href="https://www.welivesecurity.com/wp-content/uploads/2020/06/ESET_InvisiMole.pdf">BYOVD</a>），而能夠在受害電腦提升權限並停用防毒軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153457"><span style="color: rgb(0, 0, 0);">【10月4日】微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p>上週被資安業者揭露的Exchange零時差漏洞被命名為ProxyNotShell，微軟目前在提供正式修補之前，先公布緩解措施，但事隔數日，有研究人員發現，即使管理者採取微軟提供的措施，駭客還是可以繞過，並利用上述的零時差漏洞發動攻擊。</p> <p>由於微軟尚在製作ProxyNotShell修補程式，研究人員並未透露更詳細的資料，但有人竟然以此為誘餌，趁機以概念性驗證程式向資安人員行騙。</p> <p>又有美國國防承包商傳出遭到勒索軟體攻擊！這次受害的是為美國政府機關、國防部提供IT基礎設施的NJVC，但罕見的是，駭客聲稱竊得NJVC大量機密後不久，網站就無法存取。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153474"><span style="color: rgb(0, 0, 0);">【10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</span></a></strong></h3> <p>近期Ubisoft、Rockstar、2K Games等多家遊戲公司遭到網路攻擊，駭客主要的目的，不是竊取玩家的帳號資料，就是鎖定未上市的遊戲開發資料，藉此牟取利益；而針對遊戲廠商發動的DDoS攻擊則較為少見。最近暴雪娛樂的新遊戲「鬥陣特攻2」正式上線，就因為伺服器遭到DDoS攻擊，玩家面臨無法登入遊戲的情況而抱怨連連。</p> <p>駭客利用YouTube頻道散布惡意程式的做法，之前不少是針對尋求遊戲破解的玩家而來，然而現在出現針對特定國家的攻擊行動──有人打著讓中國使用者能存取暗網的名義，散布帶有惡意程式的Tor瀏覽器。</p> <p>近期針對開發者的攻擊可說是相當頻繁，駭客主要大多是針對他們使用的套件下手，但假如攻擊目標是套件管理器，很可能影響更為嚴重。研究人員揭露他們發現的PHP套件管理器漏洞，並指出一旦遭到利用，攻擊者就可用於植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153503"><span style="color: rgb(0, 0, 0);">【10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</span></a></strong></h3> <p>針對如何防堵Exchange零時差漏洞ProxyNotShell的緩解措施，有人先在10月3日發現微軟提供的方法可被繞過，並企圖改良，但現在被發現仍不夠周延，而出現了第3個版本的緩解措施。這樣在一個星期內出現數次修改Exchange配置的情況，恐怕使得IT人員疲於奔命。</p> <p>有研究人員找到Akamai組態配置錯誤的漏洞，幾乎該公司的客戶都可能受到影響。</p> <p>自帶驅動程式（BYOVD）的攻擊手法最近越來越常出現！我們週一報導北韓駭客利用含有漏洞的Dell驅動程式發動攻擊，現在勒索軟體駭客組織BlackByte也採取此種手法，利用微星舊版驅動程式來停用防毒軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153524"><span style="color: rgb(0, 0, 0);">【10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</span></a></strong></h3> <p>澳洲大型電信業者Optus資料外洩引起關注，但在此同時，有人竟動起歪腦筋，想要利用流出的資料來恐嚇取財。澳洲警方最近逮捕一名青年，原因就是他利用駭客公布的資料進行簡訊詐騙攻擊。這種青少年參與網路犯罪的情況越來越頻繁，相當值得家人留意。</p> <p>負責企業網路安全的資安長，竟想要私下付錢給駭客了事！Uber前資安長Joe Sullivan於2016年的資安事故知情不報，近日判決罪名成立。美國司法部指控，他隱匿事故使得另一家公司也遇害。</p> <p>思科針對旗下的協作系統Expressway、視訊會議系統TelePresence，修補兩個高風險漏洞，並呼籲用戶安裝更新程式。</p> </div></div></div>
2022/10/11 09:53作者羅正漢https://www.ithome.com.tw/news/153544
10多座美國機場網站被疑似俄羅斯駭客攻擊斷線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://edition.cnn.com/2022/10/10/us/airport-websites-russia-hackers/index.html" target="_blank">CNN</a>》、《<a href="https://abcnews.go.com/Technology/cyberattacks-reported-us-airports/story?id=91287965" target="_blank">ABC News</a>》、《<a href="https://www.nbcnews.com/tech/security/us-travel-websites-knocked-offline-russian-hacker-group-calls-attack-rcna51482" target="_blank">NBC</a>》等美國媒體報導，美東時間周一（10/10）早上10多座美國機場網站遭攻擊斷線數小時，一個俄羅斯駭客組織宣稱犯案。駭客並列出其他準備攻擊的30多座目標機場。</p> <p>報導指出，包括亞特蘭大、紐約、芝加哥、洛杉磯、鳯凰城等城市、有14座公共機場網站遭到分散式阻斷攻擊（DDoS）斷線，無法提供飛機航班查詢及其他服務。</p> <p><a href="https://abcnews.go.com/Technology/cyberattacks-reported-us-airports/story?id=91287965" target="_blank">紐約拉瓜迪亞機場管理中心告知媒體</a>攻擊發生在周一清晨3:00，歷時僅15分鐘。美國最大機場之一的亞特蘭大哈特斯菲爾德傑克森（Hartsfield-Jackson）國際機場攻擊發生在早上10:30，芝加哥歐海爾國際機場（O'Hare International Airport）則斷線數小時。洛杉磯國際機場斷線事件也發生在凌晨，但約早上9:00恢復上線。</p> <p>這些機場發言人都表示，攻擊僅造成公眾網站暫停服務，不影響飛航運作，內部系統也未受影響。</p> <p>一個名為Killnet的俄語駭客組織周一在其Telegram頻道上宣稱犯案，<a href="https://twitter.com/Cyberknow20/status/1579448353976647687/photo/2" target="_blank">並貼出</a>49座攻擊的目標機場。Killnet也號召其他駭客組織加入其行動。</p> <p><a href="https://twitter.com/Cyberknow20/status/1579448353976647687/photo/3" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-killnet-russia%20hacker-USA%20airports-CyberKnow%20on%20Twitter-600.jpg" style="width: 600px;" /></a></p> <p><a href="https://twitter.com/Cyberknow20/status/1579448353976647687/photo/3" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CyberKnow on Twitter</span></span></a></p> <p>Killnet是一群由親普丁的俄國駭客組成，曾在今年以DDoS攻擊航太設備廠商<a href="https://www.ithome.com.tw/news/152534" target="_blank">洛克希德馬丁（Lockheed Martin）</a>、<a href="https://www.ithome.com.tw/news/151355" target="_blank">義大利南部一個市政府</a>、以及<a href="https://www.nbcnews.com/tech/security/colorado-state-websites-struggle-russian-hackers-vow-attack-rcna51012" target="_blank">美國柯羅拉多及肯塔基州政府網站</a>。</p> <p>美國網路安全暨基礎架構安全管理署（CISA）及運輸安全署（Transportation Security Administration，TSA）目前已持續監控。CNN引述CISA表示，根據調查，這波事件不致波及機場運作。</p> </div></div></div>
2022/10/11 09:50作者林妍溱https://www.ithome.com.tw/news/153546
遠距上班拒開攝影機被解聘，員工成功求償7.5萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家美國公司在荷蘭分公司的一名員工，因為不願意根據公司的要求，在遠距上班時一直開著攝影機而被革職，使得該名員工告上了法院，<a href="https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBZWB:2022:5656" target="_blank">並成功獲得了7.5萬歐元的補償</a>。</p> <p>被告上法院的是美國的軟體開發公司Chetu，在全球約有2,600名員工，根據法院文件，控方是在2019年1月進入Chetu荷蘭分公司，擔任業務代表，每月薪資為3,297歐元，再加上8%的假期獎金，平均每月約4,000歐元的佣金，以及一年約3,700歐元的獎金。</p> <p>控方自進入Chetu以來一直在家工作，連荷蘭分公司的辦公室都沒進去過，但到了今年的8月23日，他收到一封來自總公司的電子郵件，要求他參加「矯正及預防措施」（Corrective Action Program）的虛擬課程，而且立即生效，其中的一個要件就是工作日必須整天都登入，而且要打開與分享攝影機。</p> <p>由於控方並未照作，使得Chetu再於8月25日發了一封郵件提醒他，他則回應說對於一天9個小時都透過攝影機被監控感到不舒服，而且此事侵犯了他的隱私，因此他並沒有打開攝影機，不過，公司原本就能監控他筆電上的所有活動，而且他也分享了自己的螢幕。</p> <p>當Chetu又寄出兩次提醒，而控方又以類似的原因拒絕時，他即在8月26日收到被革職的通知，原因是「拒絕工作與不服從。」</p> <p>這使得控方決定提出訴訟，宣稱Chetu沒有立即解僱他的正當理由，將他革職的原因似乎只是因為他不想開啟9小時的攝影機以讓Chetu得以控制他，然而，一天開啟9小時的攝影機是不成比例且在荷蘭是不被允許的，此外，Chetu從他電腦上所安裝的軟體就知道他在上班，他並未拒絕工作，指控Chetu缺乏將他革職的緊急原因。</p> <p>荷蘭法院的判決於上周出爐，<a href="https://nltimes.nl/2022/10/09/dutch-employee-fired-us-firm-shutting-webcam-awarded-eu75000-court" target="_blank">根據《NL Times》的計算</a>，包括薪資與罰款，Chetu必須支付約7.5萬歐元予控方。</p> <p><a href="https://techcrunch.com/2022/10/09/ixnay-on-the-webcams/" target="_blank">《TechCrunch》則分析</a>，Chetu在美國佛羅里達州或許可以因為同樣的原因合法解聘員工，只是全球的勞工法令並不一致，才會在荷蘭栽了跟斗。</p> </div></div></div>
2022/10/11 10:33作者陳曉莉https://www.ithome.com.tw/news/153547
英特爾證實Alder Lake晶片近6G資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tomshardware.com/news/intel-confirms-6gb-alder-lake-bios-source-code-leak-new-details-emerge" target="_blank">英特爾本周一證實</a>Alder Lake晶片的韌體資料遭人公開，但表示是本來就要提供外界漏洞檢查的程式碼。</p> <p><a href="https://www.tomshardware.com/news/intels-alder-lake-bios-source-code-reportedly-leaked-online" target="_blank">《Tom's Hardware》周末（10/8）報導</a>英特爾第12代Core行動處理器，代號Alder Lake的 BIOS資料上周五遭人張貼公布在公開網路論壇4chan上，之後又有複製版本上傳到GitHub上。<a href="https://twitter.com/vxunderground/status/1578575040647266304" target="_blank">而後由資安公司VX Underground發現</a>。</p> <p>英特爾公司指出，這些UEFI程式碼相信並非是因公司內部系統有任何新的安全漏洞而外洩，因為在該公司內部系統並不是以混淆（obfuscation）作為資安防護。</p> <p>英特爾說這些程式碼是名為Circuit Breaker專案的抓漏獎勵方案的一部分，鼓勵任何找到漏洞的研究人員透過該方案與之聯繫。英特爾也說會將外洩情形通知研究社群及客戶。</p> <p>上傳的資料是一個2.8GB的ZIP檔，解壓縮後成為5.86GB的資料夾。當中包含Intel Alder Lake平臺及晶片組的BIOS/UEFI開發檔案、文件和工具。其中一份檔案檔為「Lenovo Feature Tag Test Information」，以及其他聯想集團聯寶（LC Future Center）公司的資料。</p> <p><a href="https://twitter.com/_markel___/status/1578690635539677184" target="_blank">《Tom's Hardware》引述研究人員Mark Ermolov的分析</a>，說明這批外洩資料包含重要程式碼才有的模型特定寄存器（Model Specific Registers，MSR），以及Intel 開機安全技術Boot Guard的簽章金鑰，此外還有BootGuard及信賴執行技術（Trusted Execution Technology，TXT）中的ACM（Authenticated Code Modules）。</p> <p>不過媒體分析，既是用於抓漏方案，英特爾應該已拿掉最敏感的程式碼。此外，許多主機板及電腦品牌商也都開發了英特爾晶片的韌體，這些技術並非太獨特或先進，也可減低這次資料外洩的影響程度。</p> <p>外洩是由誰所為，以及外洩管道、動機為何，目前尚未獲得英特爾說明。</p> <p>晶片廠商資料向來是駭客最愛的目標之一。今年三月<a href="https://www.ithome.com.tw/news/149674" target="_blank">Nvidia</a>和<a href="https://www.ithome.com.tw/news/149725" target="_blank">三星</a>也遭到Lapsus$入侵內部網路，並分別竊走近1TB及190GB資料。</p> </div></div></div>
2022/10/11 09:53作者林妍溱https://www.ithome.com.tw/news/153543
百萬臉書用戶遭逾400個Android及iOS App竊取帳號憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/10/protecting-people-from-malicious-account-compromise-apps/" target="_blank">Meta發現</a>，有400多個包括Android和iOS版惡意應用程式利用Log-in with Facebook功能竊取用戶的臉書登入憑證，估計有約100萬用戶受到影響。</p> <p>Meta的臉書團隊上周五（10/7）公布針對Google Play Store和蘋果App Store的App安全研究結果。他們發現，有403個Android和iOS惡意App目的在竊取臉書登入資訊及帳號，他們並根據收到的遙測資料（telemetry）判定哪些用戶帳號資料外洩。</p> <p><a href="https://www.itpro.co.uk/security/data-breaches/369276/meta-notifies-1-million-facebook-accounts-compromised-mobile-apps" target="_blank">Meta惡意程式偵測工程部門總監David Agranovich對媒體表示</a>，已向近100萬受影響的用戶發出資料外洩通知。</p> <p>這些App往往冒充消費者有興趣的App誘使他們下載執行。其中以相片編輯最多，占42.6%，其次是商用工具、電話工具程式（如音樂播放程式）、遊戲、VPN，以及少部分生活風格App。許多這些App還會冒充知名品牌，以提高使用者上鈎的機率，不乏冒充Meta廣告工具或Meta商務版的惡意App。</p> <p>這些惡意程式另一個特徵是包含「以臉書登入」（Log-in with Facebook）的按鍵，吸引用戶填入臉書帳號及密碼。還有數款App在用戶填入臉書帳密之前無法使用任何功能。</p> <p>在Meta通知下Google和蘋果已經完成調查，並將這400多款App從官方App商店移除。</p> <p>Meta提醒，如果App在用戶不提供帳密前無法使用，或是功能名實不符者都要要小心。用戶下載前也應讀取使用者評價，包括負評內容。</p> <p>要是用戶懷疑自己下載了詐騙App，Meta建議用戶重設密碼、啟用雙因素驗證，並且開啟登入警示以防自己帳號遭人存取。</p> <p> </p> </div></div></div>
2022/10/10 21:08作者林妍溱https://www.ithome.com.tw/news/153536
美國擴大對中國晶片出口限制，即日生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bis.doc.gov/index.php/documents/about-bis/newsroom/press-releases/3158-2022-10-07-bis-press-release-advanced-computing-and-semiconductor-manufacturing-controls-final/file" target="_blank">美國商務部工業及安全局（Bureau of Industry and Security，BIS）上周五（10/7）針對中國</a>公布了有關先進運算與半導體製造的新出口限制，且有關半導體製造的限制規定即日起生效，對於美國人不得支援中國半導體製造或設備的規定在10月12日生效，涉及先進運算與超級電腦的限制則會在10月21日生效，這不僅將對中國產業造成重大影響，專家認為長期而言也將同時波及中國與美國的創新。</p> <p>此次BIS主要更新了兩項規定，一是針對特定先進運算晶片、超級電腦與被列在實體名單中的對象祭出出口限制，二則是針對特定的半導體製造與特定IC交易執行出口限制。</p> <p>BIS認為，這些項目與能力可被中國用來製造先進的軍事系統，包括大規模的殺傷性武器；也被中國用來改善軍事決定、規畫、後勤與自動化軍事系統的速度與準確性，或是被用在人權的侵犯上。此外，若有其它外國政府違反BIS的規定，也可能被納入美國的實體名單（Entity List），影響企業存取美國技術的能力。</p> <p>負責出口管理的商務部助理部長Thea D. Rozman Kendler表示，中國已投入資源來開發超級電腦能力，亦尋求於2030年成為全球AI霸主，中國正利用相關能力來監控與追蹤自己的人民，以及推動軍事的現代化。美國的行動可望保護美國國家安全與外交政策利益，同時釋出「美國技術領導能力攸關價值與創新」的訊息。</p> <p>具體而言，新的規定將某些先進與高效能的晶片及採用相關晶片的電腦產品加到商業控制清單（Commerce Control List，CCL）中，對於被應用在超級電腦中的項目增加新的許可要求，擴大出口限制到某些國外產品的產品，以及位於實體名單中的28家中國組織，也針對運往中國半導體廠所需的生產設備增加了新的許可要求，例如14或16奈米及以下非平面電晶體架構（FinFET或GAAFET）的邏輯晶片，18奈米半間距或更小的NAND快閃記憶體，具備128層或更多的NAND快閃記憶體。</p> <p>對於此一針對中國所實施的範圍更大的半導體防堵政策，<a href="https://www.ft.com/content/3bab2b03-0cd9-4e91-86ab-dcda499fb231" target="_blank">《金融時報》（Financial Times，FT）引用</a>全球顧問公司Albright Stonebridge中國與科技專家Paul Triolo的看法指出，這些新規則所引發的效應將席捲半導體與相關產業，它不僅會對採用美國硬體來部署AI演算法的中國企業帶來深遠影響，而需要時間顯現的整體影響至少會同時讓中國與美國的創新趨緩。</p> </div></div></div>
2022/10/10 21:22作者陳曉莉https://www.ithome.com.tw/news/153537
IKEA智慧燈泡、閘道器有漏洞，可被遠端搞鬼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-ikea-tradfri-smart-lighting/" target="_blank">安全廠商發現</a>IKEA自有智慧燈泡及閘道器存在安全漏洞，可讓有心人士從遠端發送訊息，造成燈泡閃爍等異常狀況。</p> <p>安全廠商Synopsys旗下網路安全研究中心發現IKEA TRÅDFRI智慧照明系統的漏洞，編號CVE-2022-39064。攻擊者可以傳送一個變造過IEEE 802.15.4 （Zigbee）的訊框，造成TRÅDFRI閃爍。</p> <p>若他們重播或重覆傳送同一訊框多次，就能造成這個燈泡執行出廠重設，而這會使燈泡喪失Zigbee網路的配置資訊，及現有亮度設定。在此之後，所有燈泡都會以全亮度發光，而且使用者完全無法控制燈光，不論是IKEA Home Smart App或TRÅDFRI的遙控器都不行。</p> <p>研究人員指，變造過的Zigbee訊框是非授權廣播訊息，這意謂著所有在無線電波範圍內的有漏洞裝置都將曝險。</p> <p>此外，研究人員指出，CVE-2022-39064也和另一項漏洞<a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-ikea-tradfri-smart-lighting-gateway/" target="_blank">CVE-2022-39065</a>有關，<a href="https://www.ikea.com.tw/zh/products/connectivity-and-control/connectivity-and-control/tradfri-art-30445260" target="_blank">後者是位於TRÅDFRI智慧照明閘道器</a>。和前一項漏洞類似，攻擊者可以傳送IEEE 802.15.4（Zigbee）訊框，造成TRÅDFRI閘道失去回應能力，無法以IKEA App或TRÅDFRI遙控器操作。雖然把燈泡手動解除再加回網路，或是關閉閘道電源再重啟可以解除攻擊，但是攻擊者也可以隨時重製攻擊。</p> <p>CVE-2022-39064及CVE-2022-39065風險值分別為7.1和6.5。受影響的產品包括IKEA Trådfri LED燈泡1732G11所有版本，或是IKEA Trådfri閘道器E1526 韌體17.44版本以前。</p> <p>目前沒有能解決CVE-2022-39064的更新軟體，IKEA釋出的V-2.3.091軟體只能解決部分改造的訊框攻擊。但CVE-2022-39065，IKEA倒是已釋出軟體V-1.19.26版解決。</p> <p>Synology研究主管Jonathan Knudsen指出，攻擊者只要一臺筆電和一臺25美元的無線電裝置就能發動攻擊，他們只要在目標物周遭10到100公尺之內就能發動攻擊。</p> <p><a href="https://www.theregister.com/2022/10/08/buggy_ikea_smart_bulbs/" target="_blank">不過IKEA對媒體指出</a>，這兩個漏洞並不會導致Trådfri閘道器或其他IKEA智慧裝置的敏感資訊外洩，或是為客戶帶來安全風險。IKEA也說，這些漏洞是出於Zigbee協定設定問題，因此也能複製在其他已知產品上。</p> </div></div></div>
2022/10/10 20:08作者林妍溱https://www.ithome.com.tw/news/153534
Linux核心5.19.12可能造成Intel GPU筆電LCD螢幕損害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日釋出的Linux核心5.19.12引發部分用戶Intel筆電螢幕閃爍或發強光的問題。英特爾警告這問題可能損害LCD螢幕，使用Intel GPU的筆電儘速移除。</p> <p><a href="https://gitlab.freedesktop.org/drm/intel/-/issues/7013" target="_blank">一名用戶表示</a>，安裝了上周釋出的Linux後，<a href="https://www.youtube.com/watch?v=TcfgMWBFsE0" target="_blank">他的筆電螢幕開始快速閃爍白光</a>，好像夜店燈光一般。</p> <p><a href="https://lore.kernel.org/all/[email protected]/" target="_blank">英特爾工程師Ville Syrjälä說明</a>，在檢視了log後，該公司相信是面板電源序列延遲的問題，可能損害LDD面板。英特爾建議移除這版更新，儘速安裝最新穩定版，該公司並建議使用Intel GPU的筆電不要執行5.19.12版核心。</p> <p>英特爾表示，修正問題i915 Intel GFX驅動程式的Linux核心5.19.13版已經釋出。</p> <p>Linux發行版核心5.19於7月釋出，不過<a href="https://www.theregister.com/2022/10/06/intel_linux_gpu_laptop_displays/" target="_blank">《The Register》</a>報導，大部分穩定版可能還未升級到這個核心版本。而且即使要升級，應該會直接升級到6.0版。</p> </div></div></div>
2022/10/10 20:19作者林妍溱https://www.ithome.com.tw/news/153535
Fortinet低調修補可遠端攻擊的防火牆、代理伺服器安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全設備商Fortinet上周通知部分用戶更新產品軟體，以修補影響防火牆及網頁代理伺服器（web proxy）的重大風險漏洞。</p> <p>Fortinet上周並未透過主要的安全公告網站，而只以電子郵件通知特定用戶編號CVE-2022-40684的漏洞，並被用戶貼上<a href="https://twitter.com/Gi7w0rm/status/1578398457227878407" target="_blank">公開社群網站</a>及<a href="https://community.fortinet.com/t5/Fortinet-Forum/Need-information-on-CSB-221006-1/td-p/225974?lightbox-message-images-226005=12487i005F7070E0D6C5EC" target="_blank">客戶支援論壇</a>。Fortinet強調內容只供用戶讀取，內容極度機密。Fortinet說過幾天才會公告給更多用戶。</p> <p class="rtecenter"><a href="http://twitter.com/Gi7w0rm/status/1578398457227878407" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1010-fortinet-CVE202240684%20-Gitworm%20on%20Twitter.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Gitworm on Twitter</span></span></p> <p>CVE-2022-40684為HTTP/HTTPS管理介面的驗證繞過漏洞。由於這項漏洞可遠端濫用，Fortinet強烈建議所有用戶立即更新軟體。Fortinet將最新漏洞風險值列為9.6 ，屬於重大風險漏洞。</p> <p>最新漏洞影響產品包括FortiOS 7.0.0到7.0.6，以及7.2.0到7.2.1，和FortiProxy 7.0.0到7.0.6，以及7.2.0。Fortinet建議用戶升級到FortiOS 7.0.7或7.2.2版，以及FortiProxy 7.0.7及7.2.1以後版本解決。<a href="https://docs.fortinet.com/document/fortigate/7.2.2/fortios-release-notes/289806/resolved-issues" target="_blank">根據Fortinet文件</a>，若安裝7.2.2版，可同時解決FortiOS及FortiProxy問題。</p> <p>如果用戶無法及時更新，Fortinet提醒也應立即關閉面向HTTPS管理介面。用戶可以透過防火牆規則功能關閉。</p> <p>目前CVE-2022-40684是否已遭濫用不得而知。不過Fortinet軟體經常成為駭客攻擊對象，<a href="https://www.ithome.com.tw/news/140491" target="_blank">2020年</a>及<a href="https://www.ithome.com.tw/news/143629" target="_blank">2021年</a>美國等政府皆警告，有國家駭客濫用這家廠商的軟體漏洞攻擊企業及政府機關。</p> </div></div></div>
2022/10/10 19:50作者林妍溱https://www.ithome.com.tw/news/153533
AI趨勢周報第199期：逢甲大學打造國產AI避震系統，更開發全球首款道路缺陷樣本資料庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0930～1006)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">逢甲大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子避震系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 道路缺陷 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>逢甲大學打造國產AI避震系統，更開發全球首款道路缺陷樣本資料庫</strong></span></p> <p>在國科會4年資助下，逢甲大學副教授林昱成團隊打造出國產自駕車電子避震系統，結合AI道路缺陷感知系統和AI決策控制晶片系統，可即時辨識車前20公尺的6種道路缺陷（適用於車速100km/hr以下），讓避震系統根據不同路況來動態調控，更通過ISO26311乘坐舒適性測試，滿足乘車體驗和車輛操作穩定性要求。該系統的出現，意味著臺灣有能力自產車電尖端感知和控制技術，也代表國產技術融入車輛產業供應鏈。</p> <p>進一步來說，為訓練道路缺陷感知AI，團隊收集了常見的6種道路缺陷影像作為訓練資料，包括坑洞、人孔蓋、減速坡、積水、伸縮縫、水坑，共89,723張照片，打造出全球首套道路缺陷樣本資料庫（TPDID），未來還能延伸應用至東南亞複雜的交通情況。團隊也透露，未來也可透過道路缺陷感測，即時將缺陷資訊通報給道路養護單位，提高道路修補效率。</p> <p>另一方面，團隊開發出的強化學習決策控制系統，能根據道路缺陷偵測結果來調整避震系統。比如，當車輛行經坑洞或減速坡時，系統會動態調整避震器，來提高乘坐舒適性和懸吊耐久性。此外，這兩套AI系統所搭配的硬體零組件皆為國產，如電磁閥可調阻尼驅動電路、空氣彈簧驅動電路；這些系統也已導入Nissan系列車種。<a href="https://www.nstc.gov.tw/folksonomy/detail/77e7ec0d-010c-4f6f-8454-b15678579dcd?l=ch">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-10-10%20at%201_51_26%20PM.png" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-10-10%20at%202_03_50%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 矩陣乘法 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 演算法 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind新AI系統可找出更快的矩陣乘法新演算法</strong></span></p> <p>DeepMind打造一款AI系統AlphaTensor，以擊敗全球三大棋藝AI的AlphaZero為基礎，可用來找出更有效率的矩陣乘法演算法。DeepMind認為，AlphaZero不只可用在遊戲上，也能用來解決懸而未決的數學問題。</p> <p>AlphaTensor是AlphaZero的延伸，AlphaZero是個完全未經訓練的神經網路，經自我對戰來進行強化學習，而奠基於此的AlphaTensor，一開始也未被灌輸任何既有的矩陣乘法演算法，而是藉自我學習，來重新發現歷史上各種快速的矩陣演算法，且最終超越人類，找到比現今更快的演算法。不只如此，DeepMind也用AlphaTensor來替特定的硬體尋找最佳演算法，像是Nvidia V100 GPU與Google TPU v2，而AlphaTensor也在同樣的硬體上，在乘以更大矩陣的速度上比常用的演算法快了10%~20%。<a href="https://www.deepmind.com/blog/discovering-novel-algorithms-with-alphatensor">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/633c31b82381e038cc3a90ea_633c1d0f5ed3f701034748c5_MM_Fig2.svg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裝置端訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手MIT打造邊緣運算新方法，在裝置用新資料微調模型只需256KB記憶體</strong></span></p> <p>IBM與MIT發表一系列邊緣運算輕量級技術，在裝置端微調預訓練模型只需256KB記憶體。團隊表示，一般來說，小型IoT設備難以直接利用裝置端感測器搜集的新資料，來更新模型；這包含兩個問題：類神經網路量化圖因混雜的單精度和缺乏正規化，而難以優化，另一個是硬體資源（如記憶體和算力）不足以用於反向運算。</p> <p>為解決問題，團隊先設計稀疏更新（Sparse Update）演算法，來跳過不重要的層與子張量梯度運算，再用自建的訓練系統Tiny Training Engine來實作。該系統修剪了反向運算張量，來支援稀疏更新，並將執行時間的自動微分卸載到編譯時間。團隊表示，他們的框架可用於IoT裝置（如SRAM只有256KB的微型控制器），來透過遷移學習執行視覺辨識任務，所使用的記憶體是現有框架的百分之一，但準確度與雲端訓練、部署在邊緣的tinyML應用程式VWW一樣。特別是，這款框架不僅能讓IoT裝置推論模型，還能讓模型在裝置端，根據新資料來微調，實現不間斷的學習。<a href="https://arxiv.org/abs/2206.15472">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-10-10%20at%201_48_18%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 漢莎航空 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 準點率 </span></strong></span></p> <p><span style="font-size:22px;"><strong>漢莎航空運用深度學習預測瑞士白斯風提高航班準點率</strong></span></p> <p>漢莎航空與Google公開新一波合作成果，透過預測機場跑道的風速，來提高航班準點率，不只降低營運損失，也提升乘客體驗。風的大小和風向對機場運作有重大影響，在瑞士有種白斯風（BISE），又冷又乾，會嚴重影響航班時刻、迫使飛機改道，甚至導致航班延誤、取消。</p> <p>這種狀況在蘇黎世機場特別嚴重，不只對漢莎航空造成數百萬美元的損失，同時也會引發乘客不滿。於是，漢莎航空和Google採用Meteoswiss模擬資料，也就是瑞士多個氣象站過去5年來收集的氣象測量值，以每10分鐘的解析度，獲得風向、速度、壓力、溫度和濕度等天氣資料，以及氣象站位置海拔高度等資訊。但因為白斯風並非直接可用的變數，因此團隊設計跑道周圍的順風速度作為代理目標變數，當此數值高於特定閾值，就表示跑道會出現白斯風。</p> <p>雙方也在Google全託管機器學習平臺Vertex AI建立專案，實驗結果顯示，新系統給出的預測，優於漢莎航空原有的啟發式演算法，且隨著預測的時間加長，出現了明顯的效能差異，新系統能夠獲得更高的召回率和精確度。漢莎航空計畫將這個預測白斯風實驗性專案，整合到營運決策支援套件中，供蘇黎世克洛滕機場營運控制中心使用。<a href="https://cloud.google.com/blog/products/ai-machine-learning/how-lufthansa-reduce-flight-delays-with-google-cloud-ml">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/2_Lufthansa.1000065320000935.max-2000x2000.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文字轉影片 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen Video </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Phenaki </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表兩款文字轉影片工具</strong></span></p> <p>Meta上周才發表文字轉影像AI系統，Google近日也推出兩款文字轉影片工具：<a href="https://imagen.research.google/video/">Imagen Video</a>和<a href="https://phenaki.github.io/">Phenaki</a>，分別主打影片品質和長度。其中，Imagen Video是以Google先前開發的Imagen文生圖模型為基礎，採串連擴散模型來產出高解析度的影片。具體方法是先透過自然語言預訓練模型T5嵌入使用者輸入的文字，再由一個基本的影片擴散模型，以每秒3幀的速度產生一個解度析為24x48的16幀影像，之後再用多個TSR與SSR模型，最終產生每秒24幀、總長128幀且解析度高達1280x768的5.3秒影片。</p> <p>至於Phenaki則可產出總長數分鐘的影片，只是影像品質不如Imagen Video。Phenaki可將一段特定長度的提示文字，轉換為任意長度的影片。不過，Phenaki產出影片非常貼近文字敘述，且Google認為它不僅可用來產生描述單個概念的影片，還能可根據一系列文字，產生連貫的多個影片。有鑑於用來訓練Imagen Video的資料中可能含不適當的內容，Google目前不打算開源該模型。<a href="https://imagen.research.google/video/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202022-10-10%20at%201_56_43%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加速推論 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AITemplate </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta開源可加速程式碼執行的推論系統AITemplate</strong></span></p> <p>Meta最近開源一款服務AITemplate（AIT），可將深度神經網路轉為C++程式碼，來加速模型推論。AIT是一個Python框架，目前支援Nvidia、AMD的GPU，未來也可能支援英特爾GPU產品。</p> <p>Meta AI研究院指出，目前AI業者的高效能GPU推論解決方案選擇非常有限，且AI正式部署流程需要快速開發，因此他們開發一套加速系統，來解決問題。AITemplate有2大特色，分別是高效能，以及統一、開放與靈活。它在Nvidia TensorCore GPU和AMD MatrixCore GPU上執行各主要模型的效能，都達到Roofline FP16，如ResNet、MaskRCNN、BERT、VisionTransformer與Stable Diffusion等。此外，它適用於Nvidia GPU或AMD GPU的FP16深度神經網路模型，且完全開源。這意味著AITemplate在Nvidia與AMD的GPU上執行各種AI模型時，可達到近似於原生硬體的效能，相較於PyTorch中的Eager模式，AITemplate在Nvidia CPU的效能改善了12倍，在AMD GPU上改善了4倍。<a href="https://ai.facebook.com/blog/gpu-inference-engine-nvidia-amd-open-source/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI權利法案 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OSTP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 退出權 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美發布AI權利法案藍圖，5大指引保障人民權利</strong></span></p> <p>美國白宮科技政策辦公室（OSTP）最近發布AI權利法案藍圖，要來引導AI與其它自動化系統的設計、發展與部署，保障美國人民的權利。該法案最終目標在於，利用AI推動進步和保護人類之間取得平衡。該法案藍圖包含5大保護原則，也就是建立安全與有效的系統、避免演算法歧視、保護個人隱私、闡明自動化系統的依據與用途，以及允許使用者退出。OSTP希望，此一藍圖在AI系統建置之前，就嵌入對人類的保護，讓被邊緣化的社群於開發過程中擁有發言權，也讓設計者可確保AI技術能嘉惠所有人。<a href="https://www.whitehouse.gov/ostp/news-updates/2022/10/04/blueprint-for-an-ai-bill-of-rightsa-vision-for-protecting-our-civil-rights-in-the-algorithmic-age/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 吳恩達 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 迭代 </span></strong></span></p> <p><span style="font-size:22px;"><strong>吳恩達：迭代是開發ML產品的關鍵</strong></span></p> <p>AI專家吳恩達指出，打造AI產品的一大關鍵是迭代。因為，開發機器學習系統，本身就是一個高度迭代的過程，比如先建立一個雛形，再做實驗衡量其表現，接著分析結果，以此為基礎、打造更好的系統。甚至在資料收集、訓練模型、開發系統等階段，都得不斷重複這個輪迴，直到產品成形。</p> <p>他點出，開發ML系統需要迭代是因為，剛展開一個專案時，開發者並不知道會從資料中找到什麼奇怪或讓人驚豔的結果，因此需要一直探索，才能做出改善模型的好決策。再來，嘗試不同模型既快速又低成本。特別是，迭代在3種情況下更能體現好處：當開發者面對不確定性或風險時，又或是在建置系統、可提供有意義的回饋來降低不確定性或風險時，以及每次迭代的成本不高時。</p> <p>這也是吳恩達推崇「最小可行性產品」（MVP）的原因，因為它講求用最低成本快速推出一項產品，與開發軟體一樣，可幫助開發者在開發過多無用的功能前，透過使用者回饋先來修正產品。<a href="https://www.deeplearning.ai/the-batch/issue-165/">（詳全文）</a></p> <p>圖片來源／逢甲大學、Google、IBM、DeepMind</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 特斯拉推出人形機器人，最快明年量產</strong></p> <p><strong>2. Google打造音檔生成AI系統AudioLM</strong></p> <p>資料來源：iThome整理，2022年10月</p> </div></div></div>
2022/10/10 14:02作者王若樸https://www.ithome.com.tw/news/153532
馬可夫鏈與生成藝術
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不知道現代人，還有沒有寫日記的習慣？以前的日記裡，我總覺得有個無聊的欄位，那就是用來記錄當日的天氣，或許簡單地寫個晴、陰或雨。如果某人一直保持寫日記的習慣，有天心血來潮，將多年來的天氣記錄做了個統計，然後各自計算出前天是晴、陰、雨之一的情況下，隔天是晴、陰、雨的機率，心裡想著，這樣不就可以根據今天的天氣，預測隔天的天氣狀況嗎？</p> <p>顯然地，這種方式的假設是，某日的天氣狀態，只受到前一日的天氣狀態影響。天氣預測當然不是這麼簡單（不過可能有某種程度的準確率）；然而，對於某些隨機過程確實有可能，「在給定現在狀態及所有過去狀態情況下，未來狀態的條件機率分布僅依賴於當前狀態」，這種性質稱為<a href="https://bit.ly/3pYcUAS" target="_blank">馬可夫性質（Markov property）</a>。</p> <p><span style="font-size: 28px;"><strong>認識馬可夫鏈</strong></span></p> <p>馬可夫性質的名稱，是從俄國數學家Andrey Markov而來，對於一個隨機過程，X(t)表示t時間的狀態（或稱為發生的事件），X(t)、X(t+1)、X(t+2)……，關於這樣的過程，我們稱為馬可夫過程（Markov process）或是<a href="https://bit.ly/2OHZzIz" target="_blank">馬可夫鏈（Markov chain）</a>。</p> <p>為了簡單地表示馬可夫鏈的隨機過程，通常會使用狀態轉移圖，在每個轉移標示轉移機率，看來就像個非確性有限狀態機，例如方才的天氣案例，可用圖來表示具有三個狀態的馬可夫鏈：</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Markov%20process-600.png" style="width: 400px;" /></p> <p>圖中可以看到有九個方向的轉移，這樣的轉移，若以當日狀態晴、陰、雨為縱軸，隔日狀態晴、陰、雨為橫軸，將對應的轉移機率逐一填入構成矩陣，就是馬可夫矩陣（Markov matrix）或轉移機率矩陣（transition probability matrix），如果有某天晴、陰、雨的機率分布矩陣（例如[0.2,0.6,0.2]），乘上馬可夫矩陣，就可以得到隔日的機率分布矩陣。</p> <p><span style="font-size: 28px;"><strong>馬可夫鏈L-system？</strong></span></p> <p>從網路上搜尋馬可夫鏈相關文件，就會有更多的名詞了，例如方才談到天氣預測當然不是這麼簡單，也就是單純從日記本裡的歷史資訊得到的馬可夫鏈，只是外部觀察到的現象，然而，內部可能會有隱藏的狀態（氣壓、溫度等更多狀態），這就有了隱馬可夫模型（Hidden Markov model）……不過，到底馬可夫鏈可以用來做什麼呢？</p> <p>就統計相關領域而言，它是一種機率論，若搜尋相關資料，我們多半會看到在經濟、金融、社會科學等方面的探討，常應用於時間序列方面的資料分析，像是基於已知的歷史資料進行觀察、預測，或進一步地模擬取樣等。</p> <p>只不過對我而言，統計、機率之類的文件或話題，始終難以感到有趣，但不知為何，這次我耐著性子繼續看相關資料，然後漸漸有點似曾相似的感覺：怎麼覺得我寫過類似概念的程式呢？原來，我在先前專欄文章〈碎形與L-system〉最後談到：在看到可展開的符號時，若能根據機率決定是否將符號展開，就會是隨機（Stochastic）L-system。</p> <p>確實，試著搜尋一下「markov chain generated art」，就能找到許多基於馬可夫鏈來進行生成藝術的資料，像是馬可夫鏈圖片產生器之類，因此，我想到，可否基於L-system的符號，也來個馬可夫鏈L-system呢？</p> <p>這需要建立符號轉移的馬可夫鏈，也就是需要一連串符號的歷史過程，例如，我們可以觀察許多棵碎形樹的生長模式，以L-system的符號記錄生成過程，然後讓程式讀入這些符號串，統計每個符號後跟隨的符號機率，而有了馬可夫鏈之後，接下來可以使用任一符號作為初始，並且基於馬可夫鏈來產生下個符號，而在多次迭代後基於生成新的符號串，也就能根據此符號串繪製更隨機的碎形樹了。</p> <p>如果想用程式驗證一下概念，我們可以先寫個L-system產生器，然後生成碎形樹的符號串，後續讓程式讀入這些符號串，進行方才的馬可夫鏈等過程，若你有興趣了解，可以參考我寫的<a href="https://bit.ly/3B2geBk" target="_blank">〈Coral〉程式</a>，因為更為隨機，看來不像樹了，更像是珊瑚。</p> <p><span style="font-size: 28px;"><strong>假文產生器</strong></span></p> <p>另一個相關例子是Reddit，它是娛樂、社交等各式主題的討論區網站，裡頭有個r/SubredditSimulator子版（subreddit），裡頭的發文使用者全都是機器人，卻也討論地有模有樣，就像個鄉民模擬系統，每篇發文或評論顯示的使用者（機器人）名稱，其實可以看出機器人的訓練來源是哪個子版，而不同子版訓練出來的機器人，發文的風格各有特色。</p> <p>而在<a href="https://bit.ly/3qjgKVL" target="_blank">〈What is /r/SubredditSimulator?〉</a>裡，我們可以看到，機器人的訓練是基於馬可夫鏈。其實，我也是在閒逛網站時，在<a href="https://bit.ly/3AEY3Ai" target="_blank">〈Markov chain-based text generator in Python〉</a>看到馬可夫鏈這個名稱，因而產生興趣而做了進一步探索。</p> <p>基於馬可夫鏈來作為假文產生器的概念，出發點非常簡單，因為，閱讀一篇文章的過程，就是逐字逐句進行，也就是個時間序列的過程。以英文來說，我們可以根據空白或標點符號切割整篇文章，然後讀入每個切割後的子字串，統計每個子字串後跟隨的各種子字串之機率，建構出馬可夫鏈。</p> <p>有了馬可夫鏈之後，接下來，我們可以使用任一子字串作為初始，基於馬可夫鏈產生下個子字串，將這些子字串連起來，就像一篇有模有樣的假文了；或許更簡單一些，我們可以針對每n個字元來切割字串（n-grams），如此一來，還可以產生各式各樣的文字，不同的n會產生不同的結果。</p> <p>Daniel Shiffman的<a href="https://bit.ly/2LHQZbv" target="_blank">〈Programming from A to Z〉</a>系列，是有關文字資料處理的一系列線上教學，其中<a href="https://bit.ly/3KC5ixE" target="_blank">〈N-Grams and Markov Chains〉</a>就談到馬可夫鏈，裡面也有逐步的p5.js程式碼建構過程，說明如何實現簡單的假文產生器，有興趣的人可以看看。</p> <p><span style="font-size: 28px;"><strong>更多的生成應用</strong></span></p> <p>那麼，我們可否基於馬可夫鏈，訓練一個繪圖機器人呢？如果將二維的像素降為一維，然後像假文產生器那樣，以每n個像素為一組，看看後續會出現哪一組像素，這種作法是可以建立馬可夫鏈，<a href="https://bit.ly/3RbKaRh" target="_blank">〈Can we generate images with Markov Chains?〉</a>就談到了這個作法。</p> <p>不過，降維會失去資訊，像是失去鄰接的上、下像素的訊息，可能要搭配卷積網路之類的預處理，才更能模仿來源圖片的風格。如果不想那麼複雜的話，我倒是想到了波函數塌縮演算，因為它的演算流程中，建立權重的方式，某些程度上，也是個類似建立馬可夫鏈的過程。</p> <p>顯然馬可夫鏈是個生成藝術可運用的方向，<a href="https://bit.ly/3efDcfH" target="_blank">〈生成式藝術與算法創作〉</a>是一系列講述生成藝術與演算方向的文件，其中<a href="https://bit.ly/3TuoAcn" target="_blank">〈08-馬可夫模型〉</a>，談到了音樂創作方面的應用，畢竟音樂也可看成是時間序列資料，文中列出了基於馬可夫鏈生成的Illiac Suite弦樂四重奏，可以聽聽看是什麼感覺，或許你會訝異，這竟然沒有太大的違和感呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%A6%AC%E5%8F%AF%E5%A4%AB%E9%8F%88">馬可夫鏈</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E8%97%9D%E8%A1%93">生成藝術</a></div><div class="field-item even"><a href="/tags/markov-chain">Markov chain</a></div><div class="field-item odd"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div></div></div>
2022/10/10 07:00作者林信良https://www.ithome.com.tw/voice/153490
【資安月報】2022年9月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一個多月來，我們看到許多入侵事件都與駭客突破雙因素驗證防護有關，包括：駭客使用語音網釣，使用簡訊網釣手法的社交工程手法，竊取到多因素驗證MFA的簡訊OTP驗證碼，像是Twilio的資安事件，甚至是不斷嘗試觸發MFA通知的這種轟炸手法，讓員工不小心去同意，像是Uber遭駭的事件，都一再突顯駭客持續不斷使用各種社交工程手法，來作為穿透企業防護的起點，以及多因素驗證須採更安全的強式驗證（Strong Authentication）、實體安全金鑰的重要性。當然，Uber事件也顯示更多議題，包括駭客幾乎取得最高權限管理者身分而接管整個企業的重要系統。</p> <p>對於勒索軟體的橫行，早已是許多企業都重視的威脅，而在今年我們在9月公布的<a href="https://www.ithome.com.tw/article/153106">2022年iThome CIO資安大調查的可能遭遇資安風險結果</a>中，也顯現出持續居高不下的趨勢，不論是在過去一年與未來一來最容易遭遇的資安風險調查項目中，持續有近5成企業CIO與高階資安主管這麼認為，不僅顯示比例沒有下降的趨勢，同時，其排名是逐年上升一名，今年甚至居於第一，超過社交工程與駭客所帶來的風險。</p> <p>事實上，從國際消息來看，今年來，勒索軟體攻擊事件是不斷發生，也持續有事件被揭露，國內雖然沒有大型事件曝光於外界，但其實仍然是一直都有攻擊事件發生。</p> <p>例如，在9月初，我們就注意到光學器材製造業、運動成衣製造商、磁磚業者、IT服務業者等國內公司，出現於LockBit 3.0在暗網上所公布的受害者名單上，並揚言不付贖金會將竊取得的資料公開，月底也又有科技廠商列於名單之上。</p> <p>若以過去經驗來看，我們曾詢問過被揭露在名單上的工程業者，他們表示的確有勒索加密攻擊，但範圍不嚴重，並有備份與復原機制，對營運沒有造成很大的影響，因此沒有對外公告資安事件。但是否有些企業災情嚴重，或是有機敏資料沒有妥善加密保護被竊取，並不得而知。</p> <p>而在9月底、10月初，我們又獲知<a href="https://www.ithome.com.tw/news/153515">國內陸續有建築設計公司的設計圖檔遭勒索軟體</a>惡意加密。無論如何，很多事件雖然沒有一一曝光，勒索軟體對國內企業的危害仍然持續，受害苦主是持續增加。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/152867"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年8月29日到9月2日</strong></span></a></h3> <p><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/152867"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-2-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.png" style="width: 400px; float: right;" /></a></span></span></strong></p> <p>近來國內有不少DDoS攻擊的消息，先前有幾家銀行業遭遇，幸因清洗流量加大並未導致網頁癱瘓，近期國內第三方支付藍新金流也因DDoS攻擊發生資安事故，在8月中下旬發生數次金流平臺服務不穩定或服務中斷情形受關注。</p> <p>在漏洞修補方面，近期Atlassian修補了Bitbucket伺服器與資料中心的一項RCE重大漏洞，其CVE風險評分達9.9分，WordPress在8月30日亦修補一項高風險的SQL注入漏洞。此外，研究人員揭露Linux核心漏洞DirtyCred細節，其中CVE-2021-4154的漏洞，Debian、Ubuntu與Red Hat在今年3月修補，CVE-2022-2588漏洞在8月上半已經釋出修補新版。另外要注意的是，本周美國CISA在8月25日將10個已知漏洞，列入已遭成功利用的高風險漏洞（Known Exploited Vulnerabilities）名單，提醒組織應優先處理，當中有一個關於台達電子DOPSoft 2軟體的漏洞CVE-2021-38406，由於該產品生命週期結束，由於已有攻擊行動，因此呼籲工控系統用戶盡速移除。</p> <p>在國際資安態勢上，近來位於南歐的蒙特內哥羅，其關鍵CI與政府系統疑遭俄羅斯駭客團體攻擊，以及南美智利政府機關疑遭遇RedAlert或Conti勒索軟體攻擊，都發生政府機關服務中斷的情況。Twilio資安事件有後續消息，該公司確定有163個客戶受到影響，而針對駭客竊取MFA之簡訊OTP驗證碼的活動，資安業者Group-IB與雲端身分驗證Okta也公布其掌握到的相關消息。</p> <h3><a href="https://www.ithome.com.tw/news/152976"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月5日到9月9日</strong></span></a></h3> <p><a href="https://www.ithome.com.tw/news/152976" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-9-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 400px; float: right;" /></a></p> <p>在本週資安新聞中，勒索軟體DeadBolt再度鎖定攻擊威聯通NAS攻擊，該勒索軟體在今年1月就曾鎖定威聯通、華芸NAS設備攻擊，這次則利用相片管理套件Photo Station的漏洞入侵；去年出現的Mirai變種殭屍網路MooBot，資安業者Palo Alto Network表示，最近該殭屍網路病毒鎖定D-Link路由器攻擊，除了利用兩個早年修補的已知漏洞，還包括今年的CVE-2022-26258、CVE-2022-28958這兩個RCE漏洞入侵，對於相關漏洞修補，用戶需密切注意。此外，CVE-2022-3075零時差漏洞影響所有基於Chromium的瀏覽器，Google近期釋出修補並說明已有攻擊行動，用戶需儘速檢查是否更新。另外，資安業者趨勢科技指出，關於臺灣防疫補助有關的詐騙攻擊在8月呈現大幅增加的情形，比上半年問題嚴重受關注。</p> <p>在威脅態勢上，網釣攻擊套件服務的變化受關注。在2019年，我們即看到有資安業者指出網釣即服務（Phishing-as-a-Service，PaaS）及網釣套件的盛行，讓業餘駭客也能以低成本取得可閃避安全偵測能力的網釣套件，並有8成7套件包含至少一項規避偵測的技術，近日又有資安業者揭露此類消息，揭露一個駭客組織打造、名為EvilProxy的網釣套件租用服務，當中不僅可針對攻擊蘋果、微軟、Google、臉書、推特等服務的帳號發動攻擊，還可對開發者常用的GitHub、PyPI、NPM帳號攻擊，此外，上月微軟曾揭露可繞過多因素認證的大規模網釣活動，在這個EvilProxy服務也提供類似的能力，可將釣魚網站以代理伺服器方式設在用戶連線至目標網站之間，竊取使用者的憑證與期間Cookie，得以規避雙因素驗證並劫持受害者帳號。</p> <p>抖音、微信資料庫在9月5日傳出遭駭，疑似外洩資料被人放到某駭客論壇，後續業者是否認此消息，也有不少專家給出意見，究竟情況如何受國際關注。</p> <h3><a href="https://www.ithome.com.tw/news/153110"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月12日到9月16日</strong></span></a></h3> <p><a href="https://www.ithome.com.tw/news/153110" style="text-align: center;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-09-17-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome10%E5%A4%A7.jpg" style="width: 400px; float: right;" /></a></p> <p>本周最受關注的資安新聞，包括勒索軟體DeadBolt攻擊活動，最近危害加劇，近期受害設備最多是美國、德國與義大利，而臺灣數量為第4多；鎖定PyPI套件開發者的網釣攻擊，最近又傳出這樣的消息；近一年來許多勒索軟體在技術手法上，採部分加密、間歇式加密的情形增加，有資安業者分析此現象並認為可能會有更多勒索軟體仿效。此外，月前思科公布5月遭遇駭侵事件，當時勒索軟體駭客組織閰羅王（Yanluowang）聲稱是他們所為，如今思科確認該組織最近洩漏的資料，是當時從公司網路所竊取。</p> <p>在漏洞修補上，微軟本月修補63個漏洞，並特別提醒有三個漏洞最值得留意，首先是CVE-2022-37969漏洞，已有攻擊行動鎖定這個零時差漏洞，此前亦有多家資安業者通報微軟，另兩個一是涉及TCP/IP的CVE-2022-34718漏洞，一是涉及IKE的CVE-2022-34721漏洞，特別的是，我們注意到，微軟本月修補的這68個漏洞，其平均CVSS風險評分，高達7.76分，是至少近3年來所未見的高平均分，而近13個月的平均分為7.19。</p> <p>另外，有兩個WordPress外掛程式，存在零時差漏洞並且都已有攻擊行動，其中WPGateway的零時差漏洞CVE-2022-3180，先前開發者尚未修補，用戶需注意開發者的修補動向及暫時停用，而BackupBuddy的漏洞CVE-2022-31474已獲得修補，用戶須盡速更新。6月揭露的Mitel MiVoice網路電話系統重大漏洞CVE-2022-29499，最近又一起利用事件。</p> <p>在國內方面，近期有兩大議題受關注，分別是半導體產線資安標準有了新進展，以及營業秘密保護方面，經濟部智慧財產局發布《營業秘密保護實務教戰手冊3.0》，甚至台積電也將營業秘密註冊制度與系統擴大推廣到更多供應夥伴。</p> <h3><a href="https://www.ithome.com.tw/news/153233"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月19日到9月23日</strong></span></a></h3> <p><strong style="text-align: center;"><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"><a href="https://www.ithome.com.tw/news/153233"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-9-23-%E8%B3%87%E5%AE%89%E9%80%B1%E5%A0%B1iThome%E9%87%8D%E5%A4%A7%E8%B3%87%E5%AE%89%E6%96%B0%E8%81%9E.png" style="width: 400px; float: right;" /></a></span></span></strong></p> <p>本周資安新聞中，Uber傳出遭駭事件已證實，駭客於竊得承包商員工帳密後，並在多次嘗試登入之下，導致不斷收到多因素認證通知的員工最終允許；勒索軟體駭客BlackCat近日攻擊手法有新變化，會利用Eamfo惡意程式竊取企業Veeam備份資料中的帳密。</p> <p>在漏洞消息方面，最受關注的是，Python程式語言的Tarfile模組中，依然存在15年前的CVE-2007-4559漏洞，尚未修補，初估有35萬個專案曝險，揭露的資安業者Trellix已提供相關檢測工具Creosote。</p> <p>還有一些資安威脅的趨勢演變值得關注，包括出現長達4個小時的DDoS攻擊，以及Domain Shadowing攻擊的一種DNS劫持攻擊手法，外界普遍難以偵測並開始氾濫。此外，傳出勒索軟體LockBit製作工具流出的消息，若被其他駭客利用，將對防守者帶來更多威脅。</p> <p>在資安推動上，在國內，本周臺灣資安大會2022於南港展覽館登場，不僅是總統蔡英文連續四年蒞臨，副總統賴清德也首度光臨巡視臺灣資安館及重要臺灣廠商， 8月出任數位發展部部長的唐鳳亦是連兩日參與。</p> <h3><a href="https://www.ithome.com.tw/news/153433"><span style="color:#B22222;"><strong style="font-size: 22px;">【資安週報】2022年9月26日到9月30日</strong></span></a></h3> <p>從9月底最後一周的資安新聞來看，中國駭客APT41、TA413的攻擊行動相當值得留意，其中前者運用了具備多種檔案格式特徵的CHM檔案來發動攻擊，而使得將其透過不同的應用程式開啟，會出現完全不同的執行結果。</p> <p>關於企業遭到入侵的事故，在這一周期間，澳洲大型電信業者Optus遭到攻擊，不過，事隔兩天，駭客聲稱因執法單位的壓力，刪除竊得的資料；Uber指控資料外洩的攻擊者是駭客組織Lapsus$，但現在有資安研究人員認為，英國警方逮捕的一名17歲青少年才是主謀。</p> <p>本周駭客作案工具遭到外流的情況，也有越來越頻繁的現象！日前流出的勒索軟體LockBit 3.0產生器，如今有駭客將其製作名為Bl00dy的勒索軟體；再者，另一個引起研究人員關注，認為駭客很有可能拿來取代Cobalt Strike的滲透測試工具Brute Ratel C4（BRC4），現在傳出遭到破解且大肆在網路犯罪圈散布的情況。</p> <p>在重大漏洞部分，Exchange Server這一周再度傳出零時差漏洞，並出現攻擊行動，微軟雖然提出了緩解措施，但尚未提供修補程式。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151838">2022年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151486">2022年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/150928">2022年4月資安月報</a></h3> <p> </p> </div></div></div>
2022/10/9 17:40作者羅正漢https://www.ithome.com.tw/news/153504
幣安跨鏈橋遭駭，被盜走1億美元的資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大加密貨幣交易平臺<a href="https://twitter.com/cz_binance/status/1578171072067031042" target="_blank">幣安（Binance）10月7日上午傳出跨鏈橋BSC Token Hub遭到駭客入侵</a>，估計損失價值1億美元的加密貨幣，已與社群合作凍結了當中的700萬美元。</p> <p>BSC Token Hub為BNB Beacon Chain（BEP2）與BNB Chain（BEP20或BSC）之間的橋樑。幣安創辦人暨執行長趙長鵬指出，駭客的攻擊造成它產生了額外的幣安幣（BNB），已要求所有驗證節點暫時停止幣安智能鏈（Binance Smart Chain，BSC），並估計有價值1億美元的加密貨幣資產受到影響，約占<a href="https://www.binance.com/en/blog/ecosystem/20th-bnb-burn-%7C-5-year-insights-from-cz-1933408361958482499" target="_blank">上次所銷毀幣安幣</a>的1/4。</p> <p class="rtecenter"><a href="http://twitter.com/cz_binance/status/1578171072067031042" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-BSC%20Token%20Hub-exploit.png" style="text-align: center; width: 550px;" /></a></p> <p>約莫在同一時間，BNB Chain也<a href="https://www.reddit.com/r/bnbchainofficial/comments/xxjkpy/temporary_pause_of_bsc/" target="_blank">在Reddit上</a>說明了此事，表示用戶的資金是安全的，且加密貨幣社群已凍結了相關的移轉，自BSC被轉出的資產介於1億~1.1億美元之間，當中約有700萬美元已被凍結。</p> <p>在這期間，幣安不僅暫停Beacon Chain與Smart Chain之間的跨鏈交易，也針對BSC釋出<a href="https://github.com/bnb-chain/bsc/releases/tag/v1.1.15" target="_blank">修補程式</a>，列出多個禁止交易的黑名單地址。</p> </div></div></div>
2022/10/8 00:23作者陳曉莉https://www.ithome.com.tw/news/153528
VS Code Python擴充套件添加新的創建環境指令，方便用戶創建開發虛擬環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出最新<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-october-2022-release/">2022年10月的VS Code Python和Jupyter擴充套件</a>更新，這個版本加入了許多讓開發者方便的小功能，並且預覽最新的autopep8擴充套件，供用戶獨立安裝使用。</p> <p>Python擴充套件新增了一個新的創建環境命令，該命令會自動替Python工作區創建一個虛擬環境或是Conda環境，用戶可以藉由命令面板觸發命令，並選擇要使用venv或Conda環境創建新的虛擬環境，以及選擇需要的直譯器。</p> <p>該命令還會安裝專案資料夾中requirements/dependencies檔案所列出的必要套件，像是requirements.txt、pyproject.toml或environment.yml，官方提到，他們希望透過這個新功能來簡化環境創建過程，並鼓勵透過運用環境來編寫最佳實踐。</p> <p>微軟持續新增擴充套件，最新預覽的擴充套件稱為autopep8，與pylint、black、isort和flake8擴充套件相同，autopep8使用語言服務器協定來提供格式支援，由於這個擴充套件內含最新的pypi autopep8套件，因此不需要Python環境就可以安裝。</p> <p>現在Python檔案中使用# %%標記的單元格，都可以在編輯器中折疊，這項功能可讓程式變得簡潔容易查看，用戶也不需要在瀏覽Python檔案時，不停地滾動頁面跨越大量程式碼。另外，用戶還可以在筆記本編輯器中，添加標籤和參數化筆記本單元格，該功能可以運用papermill或nbconvert等筆記本參數化功能，直接從筆記本創建出投影片。</p> </div></div></div>
2022/10/8 00:30作者李建興https://www.ithome.com.tw/news/153525
Google地圖平臺加入可高度客製化的進階圖標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google地圖平臺透過讓用戶使用可高度客製化的<a href="https://cloud.google.com/blog/products/maps-platform/announcing-highly-customizable-higher-performance-markers">進階圖標（Advanced Markers）</a>，強化地圖使用體驗，官方提到，進階圖標是許多開發人員要求的功能，而現在透過Maps JavaScript API的進階圖標功能，便能夠滿足這項功能需求。開發者現在可以利用可高度客製、高效能圖標，來豐富用戶體驗並且展示品牌特色。</p> <p>Google地圖上經典的紅色圖釘圖示，現在可供開發人員自定義，藉由進階圖標中的PinView新類別，可以利用程式碼更改預設的顏色、背景、圖標和輪廓。使用案例涵蓋讓店家藉由修改圖標，來反映其品牌代表色，或是物流公司也可以透過更改標記顏色，即時反應包裹和車輛狀態。</p> <p>Google也讓開發者可以直接使用SVG和PNG圖檔創建自定義圖標，並且運用CSS動態配置進階圖標的樣式和動畫，像是更改大小、透明度、位置和顏色，藉此在地圖中創建動態圖標體驗。開發者能夠以自定義HTML元素來回應用戶的操作，並且使用CSS靈活配置樣式，藉以創建過去必須運用複雜圖層才能建構的效果，像是房地產公司可用於標記房產價格或是地產面積等資訊。</p> <p>官方提到，進階圖標的載入速度，要比傳統圖標更快，並且支援更快的平移和縮放功能。即使是大量的進階圖標標記，現在Google地圖也能夠快速載入，另外，Google也進行了許多輔助功能改進，使開發者可以輕易地針對螢幕閱讀器或是鍵盤終端用戶創建產品，終端用戶可以完全利用鍵盤選取以及拖放圖標，螢幕閱讀器則會自動選取圖標標題，而圖標也會自動預設為輔助功能角色（Accessibility Role）。</p> </div></div></div>
2022/10/8 00:32作者李建興https://www.ithome.com.tw/news/153526
Google發表Pixel 7系列手機與首款智慧手錶Pixel Watch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周四（10/6）發表了新一代的Pixel 7系列手機，包括6.3吋的Pixel 7，以及6.7吋的Pixel 7 Pro，還有首次推出的智慧手錶Pixel Watch，皆於即日起開放預購，最低階售價分別是599美元（18,990元新臺幣）、899美元（26,990元新臺幣）及349.99美元（10,900元新臺幣），兩款裝置在臺灣與美國都預計於10月13日出貨。</p> <p><a href="https://blog.google/products/pixel/pixel-7-pixel-7-pro/" target="_blank">Pixel 7系列</a>採用支援機器學習與人工智慧的Tensor G2處理器與Titan M2安全晶片，內建Android 13，支援螢幕指紋辨識解鎖，亦支援人臉辨識解鎖，今年也會在特定市場允許Pixel 7系列用戶免費使用VPN by Google One服務。</p> <p class="rtecenter"><img alt="" src="https://lh3.googleusercontent.com/9i3hFqvoBVIBzZtIz1Zvtcbd7kRPIpZaSOMhuq5N3LSZm_BE6xYWjncr_Fys4uetXt0E9t5x8Nl4-dRmxkgChamtlGtPdkC8RUI" style="width: 512px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Google%20Tensor%20G2.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://www.gstatic.com/subscriptions/img/ppnsecurity_optimized_d0dc78b2b7a0505c2c1d7f387dd02622.webp" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>智慧型手機已經發展到一個很難再有突出創新的時代，而Google則強調Pixel 7系列依然帶來了更好的相機，它採用新一代的Super Res Zoom，既可於遠處拍攝高畫質的畫面，亦有3公分的近拍功能，更特別是的基於機器學習技術的Photo Unblur（下圖），可讓模糊照片變得清晰，還能以Magic Eraser工具除去照片中多餘的物件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-%20Photo%20Unblur-Google%20Pixel%207.png" style="width: 532px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>比起Pixel 7系列，Google本周的發表更吸睛的應該是首款智慧型手錶<a href="https://blog.google/products/pixel/google-pixel-watch/" target="_blank">Google Pixel Watch</a>，它的防水能力為5ATM，可於淺水中游泳，標榜既舒適又耐用。此外，它深度整合了來自Fitbit的健康功能，提供心率追蹤、40種鍛鍊模式與睡眠偵測等。</p> <p>Pixel Watch搭載Wear OS 3.5，可透過語音或Google Home程式控制智慧家庭裝置，亦能安裝Adidas Running、Calm、Spotify及MyFitnessPal等程式，它不僅相容於Google Pixel手機，也相容於其它採用Android 8.0以上的手機，其電池續航力為24小時。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1008-Google%20Pixel%20Watch-Google%20Home%20app-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2022/10/8 00:58作者陳曉莉https://www.ithome.com.tw/news/153529
微軟開源未來農場工具包支援永續農業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院啟動稱為<a href="https://blogs.microsoft.com/ai/microsoft-open-sources-its-farm-of-the-future-toolkit/">Project FarmVibes</a>的專案，透過發展一套針對農場應用的技術，以支援永續農業發展，主要包含人工智慧演算法、無限網路連接技術、無人機資料收集和聊天機器人等技術，目前微軟先開源FarmVibes.AI演算法，供農民得以資料驅動農業發展。</p> <p>農業發展是造成氣候變遷的重要產業，也是最受氣候變遷影響的產業，農業大量利用土地資源，並且砍伐森林，同時消耗全球約70％的淡水資源，但同時又受到因氣候變遷，所產生的極端氣候等事件影響。</p> <p>微軟希望透過實踐永續農業，包括除碳以及協助農民因應極端氣候變遷所帶來影響，但是過去缺乏農場資料使得進展有限，碳排估算方法成本又非常高，而微軟Project FarmVibes的目的，便是要建構農民可負擔的數位技術，來估算農場碳排放量、預測天氣變化並且實行可改善土壤健康同時營利的管理實踐。</p> <p>微軟研究院與美國華盛頓東部的農場合作，在超過3,000公頃的農地上試驗Project FarmVibes。廣闊的農地上首要解決的是網路連接問題，除了衛星資料外，他們還需要利用來自農地土壤感測器以及空中無人機收集的資料，而這些都需要網路連接傳輸。</p> <p>Project FarmVibes中的FarmVibes.Connect便是可將網路，擴展到偏遠地帶和農村其他區域的無線網路技術，FarmVibes.Connect藉由使用電視空白頻道頻譜提供寬頻，農民只要電視天線就能發射無線電訊號，像是Wi-Fi路由器一般，使無線電訊號覆蓋廣大的農地，並且將收集來的資料應用在FarmVibes.AI。</p> <p>FarmVibes.AI是該專案的另一個重要成果，該演算法可以預測農民使用化肥、除草劑的量，以及施用地點，藉由預測田地的溫度和風速，演算法可以算出種植作物和噴藥的時間和地點，FarmVibes.AI能根據不同土壤水分含量，建議播種的理想深度，以及使農民透過不同耕種方法和作物，將碳留在土壤中。</p> <p>Project FarmVibes的工具還包括FarmVibes.Edge，其運用智慧技術壓縮無人機所收集的大量資料，無人機會空拍田間的雜草以及一些田間小路，FarmVibes.Edge則會將照片壓縮成足夠小的圖像，透過FarmVibes.Connect上傳到雲端。</p> <p>該專案已經在示範農場獲得初步的成果，像是根據演算法推薦的農藥噴灑方法，節省與該年農作賺取相同的金額，另外，當倉庫的感測器偵測到二氧化碳含量增加，農民便會透過打開風扇吹散水器，來保護收成的農作，同時透過感測器追蹤作物，以確認作物被運往正確的目的地。</p> <p>雖然Project FarmVibes中的工具，將一一在GitHub上開源，但是多數農民不會從GitHub上下載並使用這些工具，因此這項專案更重要的部分，是微軟希望促進學術和產業合作夥伴，將這些研究轉化成可供所有農民使用的工具，包括發展中國家的小農們。</p> </div></div></div>
2022/10/7 23:46作者李建興https://www.ithome.com.tw/news/153523
【資安日報】2022年10月7日，利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲大型電信業者Optus資料外洩引起關注，但在此同時，有人竟動起歪腦筋，想要利用流出的資料來恐嚇取財。澳洲警方最近逮捕一名青年，原因就是他利用駭客公布的資料進行簡訊詐騙攻擊。這種青少年參與網路犯罪的情況越來越頻繁，相當值得家人留意。</p> <p>負責企業網路安全的資安長，竟想要私下付錢給駭客了事！Uber前資安長Joe Sullivan於2016年的資安事故知情不報，近日判決罪名成立。美國司法部指控，他隱匿事故使得另一家公司也遇害。</p> <p>思科針對旗下的協作系統Expressway、視訊會議系統TelePresence，修補兩個高風險漏洞，並呼籲用戶安裝更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://thehackernews.com/2022/10/19-year-old-hacker-arrested-for-using.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲警方逮捕利用Optus外洩資料進行簡訊詐騙的19歲青年</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-arrested.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-arrested.jpg" style="width: 300px; float: right;" /></a>澳洲聯邦警察（AFP）逮捕居住於雪梨的19歲青年，原因是該人涉嫌利用電信業者Optus外洩的個資，向受害人發送簡訊進行勒索，恐嚇必須將2千美元匯入指定帳號，若不從個資將被用於各式詐騙。</p> <p>APF指出，該名青年的資料來源，就是自稱optusdata的人士於駭客論壇公布的10,200筆樣本資料，他們在青年家裡找到犯案用的手機，這部手機約向93名Optus用戶發送簡訊，不過目前似乎沒有人轉帳給他。這名青年涉及意圖利用電信網路犯罪及濫用身分資訊，最高可處10年及7年徒刑。</p> <h3><a href="https://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-convicted-federal-charges-covering-data-breach"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">隱匿公司被駭還和歹徒私下協商，Uber前資安長罪名成立</span></strong></a></h3> <p>Uber首任資安長Joe Sullivan因2016年前試圖隱瞞公司被駭，還和駭客協議以免事件曝光，在2020年遭到起訴，近日美國聯邦陪審團判決出爐，此人阻撓聯邦交易委員會（FTC）調查及知情不報兩項罪名成立。這也是第一宗公司高層因被駭面臨刑事責任的案件。</p> <p>根據調查指出，2016年Uber遭駭，駭客於同年11月找上Joe Sullivan，要求支付10萬美元換取駭客刪除竊得資料，但Joe Sullivan不僅沒有向FTC通報，也並未通知Uber用戶，還要求屬下對外宣稱絕無此事，並付款給駭客及簽定保密協議。此事直到Uber新任管理團隊2017年11月接手後才曝光。</p> <p>美國司法部認為，駭客因Joe Sullivan隱瞞，得以成功入侵另一家公司Lynda.com（現為LinkedIn Learning）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-279a"><span style="color: rgb(0, 0, 0);">美國公布中國駭客最常利用的20大漏洞，Log4Shell一舉超越各式應用系統重大漏洞</span></a></strong></h3> <p>針對中國政府資助的駭客經常用於攻擊行動的漏洞，美國國安局（NSA）、網路安全及基礎設施安全局（CISA）、聯邦調查局（FBI）公布他們自2020年至今的統計結果，其中最常被利用的漏洞是Log4Shell（CVE-2021-44228），其次是2019年公布的Pulse Secure VPN漏洞CVE-2019-11510。</p> <p>值得留意的是，這些漏洞有17個CVSS風險評分為9.8分以上的重大漏洞，且超過半數可被用於RCE攻擊。而根據漏洞被公布的時間，大部分是在2021年揭露，但前述的SSL VPN漏洞，以及Citrix ADC漏洞CVE-2019-19781，已經公布超過2年，迄今仍屢遭駭客濫用，顯示有許多組織尚未修補。</p> <h3><strong style="font-size: 22px;"><a href="https://twitter.com/Balgan/status/1573363247239278594"><span style="color: rgb(0, 0, 0);">Atlassian旗下CI/CD解決方案的重大漏洞已出現攻擊行動</span></a></strong></h3> <p>美國網路安全暨基礎設施安全局（CISA）於9月30日，將Atlassian旗下的CI/CD系統Bitbucket漏洞CVE-2022-36804，列入已被用於攻擊的漏洞清單，並要求聯邦政府必須在10月21日完成修補。此漏洞為CVSS風險評分達9.9分的重大漏洞，為命令注入臭蟲，影響6.10.17版以上的版本，Atlassian於8月底發布新版軟體予以修補。在美國政府公告之前，資安保險業者Coalition在9月20日，偵測到掃描該漏洞的攻擊行動。</p> <h3><strong style="font-size: 22px;"><a href="https://www.reuters.com/technology/lloyds-london-investigates-possible-cyber-attack-2022-10-05/"><span style="color: rgb(0, 0, 0);">英國保險交易所勞合社疑遭到網路攻擊</span></a></strong></h3> <p>根據路透社的報導，位於英國倫敦的法人團體──保險交易所勞合社（Lloyd's of London）疑似遭到網路攻擊，並著手進行調查。該組織發言人表示，他們已經通知相關人士與組織。而該組織遭到攻擊的原因，很可能與之前表態支持對俄羅斯實施制裁有關。</p> <h3><strong style="font-size: 22px;"><a href="https://research.checkpoint.com/2022/bumblebee-increasing-its-capacity-and-evolving-its-ttps/"><span style="color: rgb(0, 0, 0);">惡意軟體Bumblebee會依據受害電腦所屬網路環境，下載不同的作案工具</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Bumblebee-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bumblebee-2.png" style="width: 300px; float: right;" /></a>資安業者Check Point指出，惡意軟體Bumblebee會根據受害電腦是否加入網域，而影響其後續執行的工作。研究人員指出，假如受害電腦看起來加入了網域，那麼Bumblebee將會收到命令，下載後期利用工具（如滲透測試工具Cobalt Strike）或Shell Code，然後以注入的方式執行；但如果是沒有加入網域的電腦，Bumblebee將會部署竊密軟體或金融木馬，並執行自我刪除。針對上述的發現，企業應採取相關的端點防護措施。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-sqpsSfY6"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補網路通訊系統的嚴重漏洞</span></strong></a></h3> <p>思科針對旗下的協作系統Expressway、視訊會議系統TelePresence發布資安通告，指出Expressway系列軟體與TelePresence視訊通訊伺服器，當中的API及網頁管理介面存在漏洞CVE-2022-20814、CVE-2022-20853，可被攻擊者繞過身分驗證，或是進行跨網站請求偽造（CSRF）攻擊，兩個漏洞的CVSS風險評分皆為7.4分。由於沒有其他的緩解措施，該公司呼籲用戶要儘速部署更新軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.jamf.com/blog/jamf-threat-labs-macos-archive-utility-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布能繞過Gatekeeper的macOS漏洞CVE-2022-32910細節</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/cloud-security/proofpoint-analyzes-potentially-dangerous-functionality-microsoft-sway-enables"><span style="color: rgb(0, 0, 0);">微軟簡報展示服務Sway遭到濫用，駭客將其用於網釣與惡意軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.scmagazine.com/analysis/ransomware/family-medical-reports-informs-234k-patients-of-possible-data-compromise"><span style="color: rgb(0, 0, 0);">美國Family Medical Center遭駭，23萬病人資料恐遭到外流</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153474">【2022年10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153457">【2022年10月4日】微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體BlackCat攻擊</a></strong></strong></strong></p> </div></div></div>
2022/10/7 16:49作者周峻佑https://www.ithome.com.tw/news/153524
Cloudflare供用戶一鍵替主機名添加TLS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare現在讓用戶一鍵替網域中的每個子網域頒發單獨的TLS憑證，這個稱為<a href="https://blog.cloudflare.com/total-tls-one-click-tls-for-every-hostname/">Total TLS</a>的新功能，可以讓用戶的子網域獲得額外的TLS憑證覆蓋，確保安全連接不出錯。</p> <p>在預設的情況下，所有Cloudflare用戶都會獲得一個免費的TLS憑證，這是Cloudflare在2014年發布的Universal SSL功能，該憑證會涵蓋該網域的Apex和Wildcard，官方解釋，雖然Universal SSL對大多數的用戶已經足夠，但對於部分擁有更深子網域的用戶可能不夠。</p> <p>為此，Cloudflare又建構了Advanced Certificate Manager，供用戶對主機名頒發憑證，也就是當Universal SSL不足，用戶便可以使用Advanced Certificate的UI或是API，來請求涵蓋像是a.b.c.example.com這類更深的子網域，Cloudflare允許用戶可以在Advanced Certificate上放置50個主機名。</p> <p>但是這困擾之處在於，用戶需要提供Cloudflare需要保護的主機名，透過使用Advanced Certificate的API，設定需要保護的主機名，但官方提到，這個過程容易出錯，也並非是容易擴展的方法。</p> <p>事實上，Cloudflare作為DNS供應商，便會知道用戶有哪些子網域需要保護，因此Total TLS便是對Cloudflare網路代理其流量的每個子網域，都能夠自動頒發TLS憑證。Total TLS提供一鍵操作按鈕，啟用之後會對用戶網域中每個經代理的DNS紀錄，自動頒發TLS憑證，如此用戶就能方便地添加任意數量的DNS紀錄和子網域，且不用擔心漏掉沒有被TLS憑證覆蓋。</p> <p>Total TLS為Advanced Certificate Manager底下的功能，將Cloudflare作為權威DNS供應商的網域用戶，便可以透過Cloudflare儀表板或API啟用該功能，並且選擇Let's Encrypt或Google Trust Services等憑證頒發機構。另外，Cloudflare還提供了TLS憑證覆蓋可見性，對於用戶創建、查看或編輯經代理的DNS紀錄，對欠缺的TLS憑證覆蓋發出警告，避免出現沒有安全連接的錯誤。</p> </div></div></div>
2022/10/7 16:34作者李建興https://www.ithome.com.tw/news/153517
2022臺灣資安大會特別報導：企業篇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1098-feng_mian_-1-open-2022zi_an_da_hui_-shang_-960x420_kao_bei_.jpg?itok=fTA1fHZf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經COVID-19疫情洗禮，以及今年俄烏戰爭、中國抗議美國國會議長訪臺的網路攻擊，匯集產官學界之力而舉行的臺灣資安大會更顯重要，因為資安升級勢在必行，才能保障所有企業與組織辛苦推動的數位轉型成果</p> </div></div></div>
2022/10/7 15:03未署名https://www.ithome.com.tw/article/153507
【臺灣資安快訊】國內接連有建築設計公司遭遇勒索軟體攻擊，相同產業公司最近需格外注意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>據可靠消息指出，臺灣近期在9月到10月之間，接連有建築設計公司遭遇勒索軟體攻擊，並傳出災情的狀況，其中一家公司透露內部設計圖檔遭到惡意加密，所幸大多數都有備份，只有近期一些檔案因為尚未備份而需要重新繪製。在此波攻擊當中，駭客的勒索方式甚至是以每張圖檔勒索1比特幣（目前價格為19961美金，依今日匯率換算約63萬）的方式來要脅。</p> <p>為何同期間有多家建築設計公司遇駭？目前尚未得知駭客是否利用相同手法或管道來攻擊，因此，相關產業除了注意此一威脅態勢，勢必也要更密切監控電腦與網路的異常，做好妥善備份、離線備份，及保護好機密圖檔資料不被竊取。若是企業非常憂心，或是讓繪圖工作站不連網，但也要注意傳輸時的安全防護。</p> </div></div></div>
2022/10/7 13:44作者羅正漢https://www.ithome.com.tw/news/153515
Atlassian Bitbucket重大風險漏洞遭駭客開採
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月間Atlassian Bitbucket被揭露有個風險值9.9的重大漏洞，本周美國政府資安主管機關警告用戶小心惡意活動。舊版軟體用戶將面臨無更新可下載的困境。</p> <p>Bitbucket是一Git儲存庫管理及CI/CD平臺，可以代管服務或本地部署方式提供。<a href="https://www.ithome.com.tw/news/152738" target="_blank">8月底獨立安全研究人員@GrandPew揭露編號CVE-2022-36804漏洞</a>，影響本地部署的Bitbucket Server及Data Center版本的漏洞。它是一個指令注入漏洞，發生在這2項軟體的多項API端點，可讓具備公開儲存庫或讀取私有Bitbucket權限的攻擊者，藉由傳送惡意HTTP呼叫開採，並執行任意程式碼。Atlassian將該漏洞風險等級列為9.9。</p> <p><a href="https://twitter.com/Balgan/status/1573363247239278594" target="_blank">上周安全廠商SolveCyberRisk發現本漏洞在9月20日起有開採活動跡象</a>，攻擊來源位於東南亞地區及美國。</p> <p class="rtecenter"><a href="http://twitter.com/Balgan/status/1573363247239278594" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-CVE-2022-36804-Atlassian%20Bitbucket-SolveCyberRisk.png" style="width: 500px;" /></a></p> <p><a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog" target="_blank">而後美國網路安全暨基礎架構管理署（CISA）也更新已知遭開採漏洞的清單</a>，列入CVE-2022-36804，呼籲政府機關及企業組織應儘速修補。</p> <p>本漏洞影響執行在Server及Data Center版6.10.17以後的執行個體。<a href="https://jira.atlassian.com/browse/BSERV-13438" target="_blank">Atlassian已針對現在還支援的7.0.0到8.3.0版本釋出更新</a>。但是6.10.17到7.0.0之間則處於曝險狀態，而且不會有修補程式。</p> <p class="rtecenter"><a href="https://confluence.atlassian.com/security/august-2022-atlassian-security-advisories-overview-1155155092.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-CVE-2022-36804-Atlassian%20Bitbucket-patch-2.png" style="width: 600px;" /></a></p> <p>CISA同時警告Exchange Server及Sophos防火牆也正遭受攻擊。遭開採的漏洞包括<a href="https://www.ithome.com.tw/news/153387" target="_blank">上周越南資安業者GTSC發現的</a>Exchange Server「伺服器端請求偽造」漏洞（Server Side Request Forgery，SSRF）CVE-2022-41040、遠端程式碼執行（RCE）漏洞CVE-2022-41082，以及Sophos 防火牆程式碼注入漏洞<a href="https://www.ithome.com.tw/news/153252" target="_blank">CVE-2022-3236</a>。</p> </div></div></div>
2022/10/7 14:12作者林妍溱https://www.ithome.com.tw/news/153516
6家機器人公司誓言不讓通用機器人武器化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bostondynamics.com/open-letter-opposing-weaponization-general-purpose-robots?hsCtaTracking=4cd4cac1-5e6f-483f-863d-aed0d2815fc8%7C51fc089f-7fc3-4d28-a4e2-432b87394acd" target="_blank">6家機器人公司在本周發表了公開信</a>，宣誓不會把通用的行動機器人或相關軟體武器化，也不會支持其他人這樣做，並歡迎其它業者或領域加入此一陣營。這6家機器人公司分別是Boston Dynamics、Agility Robotics、ANYbotics、Clearpath Robotics、Open Robotics與Unitree Robotics。</p> <p>這些機器人公司表示，新一代的機器人不僅更容易操作、更自動化、更便宜，適應力也更強，而且可導航至過去無法靠自動化或遠端控制進入的區域，然而，新技術除了帶來新的能力以外，也造就了被濫用的可能性，有些人可能會利用它們來侵犯公民權利，或是威脅、傷害與恐嚇其他人，其中一個領域就是武器化。</p> <p>倘若讓這些自動化或可遠端控制、被廣泛使用且可進入辦公及生活空間的機器人配戴武器，將會引起新的傷害風險，以及嚴重的道德問題，也會波及大眾對機器人技術的信任。</p> <p>因此，這6家業者誓言不會武器化它們所製造的通用型行動機器人，不管是在硬體或軟體上，也會儘可能地檢查客戶的應用，避免自家產品被武器化，同時將探索與開發可減輕被武器化風險的技術。</p> <p>其中，<a href="https://www.bostondynamics.com/resources/blog/ethical-approach-mobile-robots-our-communities" target="_blank">在2020年將8成股權賣給南韓現代汽車集團的Boston Dynamics表示</a>，該公司一向反對自家機器人被武器化，其銷售條款便明確禁止把該公司的產品當作武器，或讓它們能夠作為武器使用，也會深入了解客戶的預期應用，協助客戶以安全、有效及合乎道德的方式部署行動機器人。</p> <p>不讓通用機器人武器化之所以必須立誓，是因為坊間已有人利用既有的機器人來承載武器，例如<a href="https://twitter.com/sonicmega/status/1549651495997476864" target="_blank">今年7月在Twitter上便流傳一段影片</a>，影片中的機器狗揹負著不斷掃射的衝鋒槍，而俄羅斯今年8月的軍火展上，也有開發人員<a href="https://twitter.com/ralee85/status/1559179458329956354" target="_blank">讓機器狗馱著反坦克的火箭推進榴彈（RPG）</a>，而讓機器人製造商作出了反武器化的承諾。</p> </div></div></div>
2022/10/7 12:35作者陳曉莉https://www.ithome.com.tw/news/153512
美國公布最常被中國駭客開採的20個安全漏洞，Apache Log4j居首位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-279a" target="_blank">美國國安局（NSA）、網路安全及基礎設施安全局（CISA）與聯邦調查局（FBI）本周連袂公布了自2020年迄今，最常遭到中國駭客利用的20個安全漏洞列表</a>，位居首位的即是存在於Apache Log4j日誌框架中的CVE-2021-44228漏洞，而涉及Pulse Secure VPN的CVE-2019-11510，與位於GitLab CE/EE的CVE-2021-22205則分居二、三名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1007-CISA-Top%20CVEs%20used%20by%20China-cyber%20since%202020.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源／CISA</span></span></p> <p>NSA、CISA與FBI表示，由中國支持的駭客集團積極針對美國與盟國網路，以及軟體及硬體業者展開攻擊，它們利用已知的安全漏洞來入侵各組織，以竊取智慧財產，或是滲透機密網路。</p> <p>這些駭客集團持續利用虛擬網路來混淆視聽，並鎖定面對全球網路的應用程式以建立初期造訪權限，進而伺機建立持久性，並橫向移動至其它內部網路。</p> <p>在此次所公布的20個安全漏洞中，有超過10個允許遠端程式執行，當中有17個漏洞的CVSS風險評分高達9.8或以上，多數漏洞是在2021年被揭露。而CVE-2019-11510以及存在於Citrix ADC中的CVE-2019-19781則是在2019年就被修補，但迄今仍屢遭駭客濫用，顯示有許多組織尚未修補。</p> <p>美國建議全球各大組織應該儘快修補系統，採用可抵擋網釣攻擊的多因素認證，要求所有帳號採用強大密碼，於網路邊緣封鎖老舊及未使用的協定，置換所有生命周期已終止的裝置，遷移至零信任安全模式，針對對外部網路提供服務的系統進行記錄，並監控異常活動紀錄。</p> </div></div></div>
2022/10/7 12:47作者陳曉莉https://www.ithome.com.tw/news/153513
GovTech月報第11期：臺北市警用無人機隊正式成軍；歐盟提AI責任指令，保障AI受害者求償權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0903~1003)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺北市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-dd874147-7fff-fc34-70a5-dfa0616fdd3a"><span style="font-family: Arial; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; vertical-align: baseline; white-space: pre-wrap;">臺北市警用無人機隊成軍</span></span></strong></span></p> <p>臺北市警察局近期成立無人機隊，目前已有5架無人機，22名取得飛行證照的隊員，市警局強調這些無人機可抗5級強風，並具備夜間攝影功能，未來除了用於大型活動蒐證，搭配人流偵測功能，2023年將新增2架具紅外線熱顯像功能無人機，同時擴大飛手。</p> <p>北市現有的無人機，配備10倍紅學鏡頭，可支援4K攝影，並透過4G LTE傳輸影像。臺北市警局指出，利用無人機隱匿、快速、機動特性，可以進入人員難以抵達的地點，透過空中俯瞰視野，有利於偵辦案件或維安，也能提供資料給指揮官，提高任務執行效率。未來更可結合市警局CCTV、PCam、無線微波，建立不同視角的影像，加強活動維安工作。</p> <p>利用無人機搭配AI辨識，可辨識物件如車輛，進行交通的車流分析，當車流出現壅擠時，調派警員疏導交通，或是利用無人機空中巡視水庫，取締非法的釣客，以及大型活動維安或犯罪現場偵辦指揮等。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">歐盟</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> </strong></p> <p><span style="font-size:22px;"><strong>歐盟提AI指令，保障AI過失損害的求償權利</strong></span></p> <p>隨著AI人工智慧技術普及，如果因為AI的不當行為導致受害者權益受損該如何求償？這關係到AI應用的發展，明定其責任義務，以避免相關的紛爭。歐盟近期提出AI責任指令（AI Liability Directive），針對因為AI造成的損失，保障受害者可向業者求償的權利。</p> <p>歐盟新提出的AI責任指令，規定因AI供應商、開發者、AI用戶過失而造成損失時，受害者得請求賠償的公平機會。該指令提供兩項保障，一為保障受害者的求償權利，以因果推論降低受害者舉證責任，例如受害者可證明因某人不遵守規定造成損害，且可能和AI有因果關係，法院可推論因破壞規定造成傷害；其次是當發生損害時，協助受害者存取證據，由法院要求業者提供AI系統的資訊，以追究其責任。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">交通部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> </strong></p> <p><strong><span style="font-size:22px;">交通部公路總局展示AI無人機橋梁檢測應用</span></strong></p> <p>交通部近期舉行無人機創意應用競賽，交通部公路總局第二區養護工程處與工研院資通所、黎明工程顧問現場展示AI智慧無人機橋梁檢測技術，結合AI、自行開發的環境感知、無人機操控系統，以無人機取代傳統人工橋樑檢測，減少人員作業風險、縮短作業時間。</p> <p>這項應用事先規畫好無人機的橋樑檢測飛行路徑，包括橋側、橋底、墩柱、帽梁檢測，以無人機自動避障貼近橋樑執行自動巡檢，即時回傳影像畫面，由AI對橋樑劣化進行影像快篩分析、評等，匯整檢測報告，同時將蒐集到的橋樑劣化影像，作為後續AI應用分析及橋檢數據使用。</p> <p>交通部曾在2021交通科技產業政策白皮書中曾提及，將擴大導入無人機輔助橋梁檢測作業，作為2025年無人機創新應用里程碑，而近期臺灣因為花東地區強震導致橋樑、道路損壞或有安全疑慮，極需重新檢測安全性，交通部也寄望無人機用於跨河、跨山谷的樑橋檢測上。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新北市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資源回收</span></font> </strong></p> <p><span style="font-size:22px;"><strong>新北市年底完成AI資源回收分選廠房，未來一年可處理1.2萬噸資源回收物</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20220926115325293784.jpg" style="width: 600px; height: 450px;" /></p> <p>傳統以人工方式處理的資源回收物，可望透過科技加速處理。新北市將五股垃圾山整治為綠地後，將建置具有AI資源回收處理的分選廠房，預計今年底將完工，未來每年可處理五股、三重、蘆洲地區約1.2萬噸家戶資源回收物，同時可望減少1,560噸雜質。</p> <p>以人工方式分類資源回收物，不僅需要較大的佔地，並且屬於勞力密集工作，需要不少人力來作業處理，而新科技的運用，以自動輸送帶及人工初步整理，以光分選機、磁選機快速分選資源回收物，搭配第一座國產開發AI人工智慧回收系統，加速分類作業，可將資源回收物分類為56類。</p> <p>新北市環保局表示，相較於人工處理，透過自動化的分選，除了降低雜質外，資源再利用率提升13%，並減輕焚化爐處理量，相當於減少273噸碳排放量。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">行動支付</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">悠遊卡</span></font> </strong></p> <p><span style="font-size:22px;"><strong>推動無現金支付生態，柯文哲：未來北市將全面推動校內行動支付</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/eebacd33-37d8-41e9-be08-f5f44fcd4f72%20(1).jpg" style="width: 600px; height: 400px;" /></p> <p>臺北市長柯文哲近期在悠遊卡活動時表示，過去訪問愛沙尼亞，了解到要建構一個智慧城市，最重要的是如何建立個人識別系統，因此北市推出一卡（悠遊卡）、一通（台北通）、一付（悠遊付），但現在悠遊卡一年交易金額約600億元，其中400億元仍採用現金加值，北市正思考如何讓一卡、一通、一付的使用過程都能在手機上完成。</p> <p>朝向此願景前進，悠遊卡近期推出的第2代卡片超級悠遊卡，除了單筆消費金額從1,500元提高到1萬元，悠遊付App增加值機功能，讓NFC手機充當加值機，為1.5代或2代悠遊卡加值，並且可綁定直系親屬悠遊卡進行遠端加值。</p> <p>柯文哲表示，無現金支付的生態建立，臺北市會由內而外，由公而私推動，北市國小至高中約有22萬名學生，未來將全面推行校內行動支付，先在校內養成無現金支付習慣後，帶動學校周邊的商家跟進。臺北市的學生證、敬老卡、愛心卡已支援NFC手機加值功能，員工證未來也將納入。</p> <p>過去幾年在COVID-19疫情影響下，民眾使用非接觸的無現金交易意願大增，臺北市積極推動非現金支付，2017年推出臺北市政府智慧支付平臺，即串接不同系統支援北市各種規費的線上支付，例如水費、停車費，市立學校的學雜費、市立醫院的醫療費等。</p> <div> </div> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺中市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技執法</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺中市靠電眼取締行車亂丟垃圾，兩個月開罰80件</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9B%A3%E8%A6%96%E5%99%A8%E5%8F%96%E7%B7%A0%E4%BA%82%E4%B8%9F%E5%9E%83%E5%9C%BE-%E7%A7%91%E6%8A%80%E5%9F%B7%E6%B3%95.jpg" style="width: 600px; height: 355px;" /></p> <p>臺中市政府為維護環境整潔，環保局近來採用科技執法，利用電眼來取締開車隨手亂扔垃圾的違法行為，近兩個月執法下來，取締約80件，罰鍰約11.7萬元。</p> <p>臺中市環保局主要在國道、台74下匝道或沿線高架橋下方以及轄內重要道路等，容易亂丟垃圾的地點，由市府各區清潔隊利用移動式監視器，以車追人進行取締。不只是開車亂扔垃圾的行為，臺中市環保局也以監視器影像取締其他行為，例如在垃圾收運點，在收運車未抵達前，隨意棄置垃圾，或是路人隨意丟垃圾、吐痰、煙蒂等。</p> <p>臺中市環保局表示，汽車駕駛停等紅燈時，隨意開車窗扔垃圾，導致分隔島垃圾增加，在道路車流量大時，增加清潔人員的工作風險，透過監視器取締，減少人力負擔，並提升稽查成效，未來監視器架設位置也會滾動調整。</p> <div> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臺南市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font> </strong></p> <p><span style="font-size:22px;"><strong>臺南市建271處淹水感應器，開放App查詢市區淹水災情</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/f25f9ed6-1a24-41ec-8b26-d9ce71f65da8%40710x470.jpg" style="width: 696px; height: 470px;" /></p> <p>颱風季節短時間內的驟雨，導致市區淹水災情，臺南市政府導入物聯網技術防災，在全市33個行政區、共271處設置淹水感應器，除了市府防災單位可第一時間監控市區各地災情，民眾也能透過台南水情即時通App查詢。</p> <p>臺南市府根據歷年來容易淹水或是重要的觀察點，其次是人員不易抵達的地點或救災量能不足之處，設置淹水感應器，以減輕救災單位、志工或民眾的負荷，第一時間蒐集到的資料供研判災情，並記錄淹水消退的情形，後續作為研究因應對策。</p> <p>民眾除了透過App查詢各地淹水情形，當淹水到達警戒值時，App也會推播訊息給民眾，透過通報機制，提醒民眾及早防範災情。</p> <div> </div> <div> <p>圖片來源／新北市政府、臺南市政府、臺北市政府、臺中市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.桃園市政府與中華電信、桃園醫院聯手，建置5G緊急救護系統</strong></p> <p><strong>2.屏東縣政府消防局與民間業者聯手，以AI提升電話派遣效能</strong></p> <p>資料來源：iThome整理，2022年9月</p> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2022/10/7 11:21作者蘇文彬https://www.ithome.com.tw/news/153469
研究人員發現Akamai組態錯誤配置漏洞，從該公司客戶獲得逾5萬美元獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩名研究人員Jacopo Tediosi、Francesco Mariani發現，Akamai在處理HTTP標頭的錯誤配置，有可能讓攻擊者得以利用任意內容來毒化快取。研究人員指出，這項弱點是結合了HTTP挾持與逐節點（hop-by-hop）標題濫用手法，將影響使用Akamai服務的大多客戶，包含美國國防部、PayPal、Airbnb、微軟、蘋果等，攻擊者可利用這項漏洞隨意竄改受害公司的網站外觀及行為。</p> <p><a href="https://miro.medium.com/max/1100/1*GKJ2g3pufizPZyFKiIrc8g.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_GKJ2g3pufizPZyFKiIrc8g_.gif" style="width: 580px;" /></a></p> <blockquote><p>研究人員Jacopo Tediosi、Francesco Mariani為了對他們發現的漏洞進行概念性驗證，他們使用了PayPal網域架設新的快取網頁，但經過漏洞利用後，內容被置換成Akamai另一家客戶電信業者Sky Mobile網站上的robots.txt。（點選圖片可觀看研究人員製作的GIF動畫）</p> </blockquote> <p>這兩名研究人員首先於3月下旬通報Akamai，該公司於4月初著手修補。但不幸的是，該公司沒有打算提供報酬。於是，研究人員決定也向Akamai的客戶通報此事，結果他們從資安業者Whitejar、PayPal、Airbnb、凱悅飯店分別獲得5,000美元、25,200美元、14,875 美元、4,000美元。</p> <p>研究人員表示，雖然他們想到了變通的方法而沒有做白工，但因為Akamai沒有漏洞懸賞制度，其他研究人員若是找到該公司系統的漏洞，很可能因為無法獲得報酬而不予通報，甚至將漏洞賣給黑市。</p> </div></div></div>
2022/10/7 11:28作者周峻佑https://www.ithome.com.tw/news/153511
掩飾公司被駭還和歹徒交易，Uber前資安長被定罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Uber前資安長Joe Sullivan因2016年試圖隱瞞公司被駭，還和駭客協議以免事件曝光，<a href="https://www.justice.gov/usao-ndca/pr/former-chief-security-officer-uber-convicted-federal-charges-covering-data-breach" target="_blank">本周被美國聯邦陪審團判決阻撓聯邦交易委員會（FTC）調查及知情不報兩項罪名成立</a>。</p> <p><a href="https://www.ithome.com.tw/news/139542" target="_blank">Sullivan在2020年遭美國司法部起訴</a>，而在本周由法院做出判決。這也是第一宗公司高層因被駭面臨刑事責任的案件。</p> <p>本案起於Sullivan處理2014和2016年Uber兩起受駭案件不當。Sullivan 是在2015年4月被Uber從臉書挖角。當時Uber向FTC揭露一樁2014年發生的資料外洩案，駭客駭入該公司客戶資料庫，存取近5萬客戶的個資，包括姓名及駕照資訊。作為公司CSO，Sullivan也在FTC調查時配合調查、對主管機關說明及赴FTC作證。</p> <p>而在2106年FTC調查期間，Uber又被駭了。2016年11月駭客透過電子郵件找上Sullivan，聲稱取得近5，700萬Uber用戶個資以及60萬筆司機駕照號碼。駭客要求Uber支付10萬美元以換取他們刪除資料。</p> <p>證據顯示，Sullivan得知2016年被駭一事全未通報FTC及其他主管機關，或是Uber用戶，而是設法掩蓋。他要求此事「絕不能公開」還要求屬下對外宣稱沒有調查一事。之後Sullivan安排付款給駭客，還和駭客簽定保密條款，要求他們承諾不得對外洩露此事，即使他那時還不知道駭客真名。2016年底Uber在他安排下，付給駭客10萬美元的比特幣。2017年1月，Uber終於知道駭客身分，Sullivan又再要求駭客以真名重新簽定保密協定。</p> <p>Sullivan不但未向Uber律師、法務長以及FTC說明第2次被駭，以及和駭客的交易，連在2017年秋天Uber新管理團隊著手調查2016年被駭一案時，Sullivan也未誠實相告。在新CEO問及時，Sullivan謊稱Uber僅在得知駭客身分時才付款，他還從屬下準備的報告，將駭客取得客戶可辨識身分資料，以及大量用戶資料一事刪除。</p> <p>但2017年11月Uber新管理團隊終究還是得知此事，並向FTC通報，導致一年前的事件曝光。兩名勒索Uber的駭客於落網，被以串謀電腦詐欺控起訴，也在2019年10月認罪，目前正等待判刑。美國司法部認為，由於獲得Sullivan協助隱瞞，使駭客又得以成功駭入另一家公司Lynda.com並勒索贖金。</p> <p>美國司法部長Stephanie Hinds指出，科技公司蒐集和儲存大量用戶資訊，應該要善加保護，並且在發生駭客竊取資訊時通知客戶和相關主管機關。Sullivan卻刻意向主管機關FTC隱瞞資料外洩，其所為造成駭客免於落網。司法部不允許這些公司主管重視自身和公司名譽多於保護使用者，此舉已經違法。</p> <p>法院將擇日宣判Sullivan的刑期。</p> </div></div></div>
2022/10/7 10:17作者林妍溱https://www.ithome.com.tw/news/153509
【臺灣資安大會直擊】資安態勢：企業未來一年應關注勒索軟體、開源軟體、元宇宙和電動車安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>【臺灣資安大會直擊】</strong>在日前舉行的臺灣資安大會上，趨勢科技核心技術部資深協理暨VicOne威脅研究副總裁張裕敏觀察指出，未來一年必須持續關注的嚴重資安風險包括：勒索軟體對企業的危害，開源軟體隱藏的安全性風險，以及新興科技包括元宇宙以及電動車帶來的資安威脅。</p> <div id="contentsContainer"> <div id="contents"><qowt-section id="E185" named-flow="FLOW-2" qowt-eid="E185"> <p id="E256" is="qowt-word-para" qowt-eid="E256" qowt-entry="undefined" qowt-lvl="undefined">大家如何看待資安事件？張裕敏表示，有些人根據被攻擊對象的不同區分，例如：一般使用者、程式開發者、企業、工控設備和新興科技業者有所不同；也有人從造成的危害來區分，例如：資料外洩、APT（進階持續性威脅）攻擊、軟體漏洞、後門木馬、勒索軟體和組織犯罪等不同風險。</p> <p id="E280" is="qowt-word-para" qowt-eid="E280" qowt-entry="undefined" qowt-lvl="undefined">但不管是了解攻擊造成的危害，或是應該如何進一步防禦，他認為，攻擊對象和造成的危害兩者之間的關係都是正相關，像是資料外洩可能是因為駭客找到單一軟體漏洞；但駭客又可以透過這個軟體漏洞包裝成惡意程式或後門木馬；這些惡意程式遭到犯罪組織利用後，可以用來進行APT攻擊或者是部署勒索軟體，導致企業資料外洩。</p> <p id="E297" is="qowt-word-para" qowt-eid="E297" qowt-entry="undefined" qowt-lvl="undefined">此外，企業外洩的資料不只是個資而已，還包括程式的原始碼、企業網路架構等，駭客又可以從中發現軟體潛在漏洞，藉此找到一些外界難以發現硬體密碼裝置或韌體等，也因為這些惡的循環，造成這幾年來資安事件越來越多。他說：「只要有哪一個環節可以切斷，都可以遏止這些惡循環持續惡化。」</p> <p id="E332" is="qowt-word-para" qowt-eid="E332" qowt-entry="undefined" qowt-lvl="undefined">張裕敏表示，企業的實體和虛擬世界隔閡正在快速消弭，但有許多企業在數位轉型的同時，資安防護措施卻仍舊在原地踏步，導致企業面對不斷發生的資安風險預警和各式資安攻擊應接不暇。他認為，在擁抱各種數位科技的同時必須同步考量資安風險，積極檢視現行的資安策略和既有的防護機制，是否足以因應相關的資安風險，企業才能夠在面對各種資安威脅下，仍能保持正常維運。</p> <h2 id="E365" is="qowt-word-para" qowt-eid="E365" qowt-entry="undefined" qowt-lvl="undefined"><strong>切斷勒索軟體惡循環，企業拒絕支付贖金為上策</strong></h2> <p id="E373" is="qowt-word-para" qowt-eid="E373" qowt-entry="undefined" qowt-lvl="undefined">勒索軟體其實是老問題，還有許多企業正在遭受類似的攻擊，張裕敏表示，許多企業通常是因為資料被駭客偷走、丟在網路上後，企業才驚覺原來已經遭駭；或者是公司系統被加密導致工廠生產線停工後，企業才知道已經中了勒索軟體。</p> <p id="E390" is="qowt-word-para" qowt-eid="E390" qowt-entry="undefined" qowt-lvl="undefined">他進一步解釋，這個惡的循環通常是駭客偷走企業資料後，精準掌握企業網路架構，也清楚企業內存在的網路或系統漏洞，趁機植入很難被發現的後門或木馬程式，甚至是可以針對企業開發的程式碼埋藏惡意程式等，這樣惡的循環，一般很難被企業內的IT或資安人員察覺。</p> <p id="E416" is="qowt-word-para" qowt-eid="E416" qowt-entry="undefined" qowt-lvl="undefined">為了切斷這樣惡的循環，張裕敏建議，首先，企業一旦被駭客勒索加密系統檔案後，千萬不要支付贖金，因為，在許多地下駭客論壇的討論中，臺灣是世界公認，支付勒索贖金最爽快國家排名第一名，這也讓許多駭客組織紛紛鎖定臺灣企業進行勒索。他表示，一旦企業願意支付贖金的比例降低後，整體被勒索軟體威脅的比例就會減少，畢竟，還是有許多企業支付贖金後，被加密的檔案仍無法順利解密。</p> <p id="E447" is="qowt-word-para" named-flow="FLOW-3" qowt-eid="E447" qowt-entry="undefined" qowt-lvl="undefined">張裕敏也說，這些進行勒索加密的駭客組織本身誠信問題也頗受質疑，像是此次烏俄戰爭中，有駭客組織內部因為俄羅斯人和烏克蘭人鬧分裂，便毀約將過往承諾企業不公開的資料再度公布在網路上，也對企業造成二度傷害。</p> <p></p></qowt-section></div> </div> <div id="contentsContainer"> <div id="contents"><qowt-section break-before="" indexed-flow="SI7" named-flow="FLOW-2" qowt-eid="E185"> <p id="E460" is="qowt-word-para" qowt-eid="E460" qowt-entry="undefined" qowt-lvl="undefined">其次，他鼓勵被勒索加密的企業應該尋求資安公司協助解密，像是趨勢科技本身或是有一些非營利組織，也提供很多解密金鑰可以自行下載，以趨勢科技為例，目前已經協助一億多個檔案順利解密。</p> <p id="E477" is="qowt-word-para" qowt-eid="E477" qowt-entry="undefined" qowt-lvl="undefined">第三，企業一旦遭到勒索軟體加密系統和檔案後，在回復系統運作和檔案解密後，第一時間要更新重要帳號密碼和Token（令牌），立即修補各種程式的漏洞，並進行攻擊路徑的釐清和阻斷。</p> <p id="E501" is="qowt-word-para" qowt-eid="E501" qowt-entry="undefined" qowt-lvl="undefined">第四，這也是被勒索加密後能否順利恢復企業運作的關鍵：備份。張裕敏觀察指出，很多企業是直到被勒索後才發現，原來每天的備份其實都沒有備份成功，雖然系統會顯示已經完成備份，但直到要進行資料復原時才發現，備份資料其實是空白的。</p> <p id="E515" is="qowt-word-para" qowt-eid="E515" qowt-entry="undefined" qowt-lvl="undefined">第五，重新檢視AD（目錄服務）∕AAD（Azure Active Directory）的設定機制是否有問題，畢竟，許多駭客進入企業內網只要拿到AD權限後，就可以順利攻擊企業內其他系統。張裕敏觀察推測，以勒索軟體的猖獗程度，未來一年仍是對企業造成重大危害的資安威脅之一，不可忽視。</p> <h2 id="E554" is="qowt-word-para" qowt-eid="E554" qowt-entry="undefined" qowt-lvl="undefined"><strong>鼓勵企業使用軟體物料清單，確保開源軟體漏洞影響範圍</strong></h2> <p id="E562" is="qowt-word-para" qowt-eid="E562" qowt-entry="undefined" qowt-lvl="undefined">商業軟體會定期更新，但開源軟體卻有許多潛藏的資安風險，張裕敏表示，開源軟體號稱免費，但並沒有人持續管理，如此就會有問題產生。</p> <p id="E580" is="qowt-word-para" qowt-eid="E580" qowt-entry="undefined" qowt-lvl="undefined">以之前對企業帶來重大影響的Log4j開放原始碼漏洞而言，就對企業資安帶來許多重大威脅，相關影響遍及各種企業經常使用的應用程式與服務，例如：Apache Struts、Apache Solr、Apache Druid、Apache Dubbo、Elasticsearch 和 VMware vCenter等，甚至連電動車特斯拉（Tesla）和相關電動車充電樁都受到影響。而且，Log4j也影響許多企業常用的套件，像是：Apache Tomcat、WordPress、npm/python套件，影響幾乎無所不在。</p> <p id="E644" is="qowt-word-para" qowt-eid="E644" qowt-entry="undefined" qowt-lvl="undefined">張裕敏表示，開源軟體有一些盲點值得關注，像是開源軟體雖然號稱程式碼開放，有漏洞都可以公開檢測，但事實上，除了駭客之外，願意無償、持續性積極檢測開源軟體漏洞的專家並不多。</p> <p id="E646" is="qowt-word-para" qowt-eid="E646" qowt-entry="undefined" qowt-lvl="undefined">此外，許多開源軟體架構龐大，經常會直接引用其他人撰寫的函式庫，等到各個函式庫彼此串接後，一旦發生資安漏洞，有時候會很難察覺到底是哪一個套件或是函式庫造成的風險，也不容易確認影響範圍到底有多大。</p> <p id="E668" is="qowt-word-para" qowt-eid="E668" qowt-entry="undefined" qowt-lvl="undefined">張裕敏表示，像是Wordpress本身可能沒有漏洞，但是外掛程式（Plug In）有漏洞，這個外掛程式本身是用Python套件開發出來的，但追查後才發現，真正的漏洞其實是在npm的套件上。他說，很多人誤以為開源軟體因為開放程式碼，所以會有專家幫忙看漏洞，但事實上，開源軟體一旦某個環節被駭客加料後，大部分的人都沒有能力追查或檢驗。</p> <p id="E710" is="qowt-word-para" qowt-eid="E710" qowt-entry="undefined" qowt-lvl="undefined">其實企業或多或少都會使用到各種的開源軟體，因此，張裕敏認為，所有企業都必須要清楚，有哪些產品使用了哪一些開源軟體套件，供應商使用了哪些開源軟體套件，也必須清楚各種軟體授權（License）狀況，尤其有些開源軟體的授權是作者自行定義的，有些條件相當特別，例如，某個開源軟體套件的授權，是要求使用過該軟體套件每年要送咖啡給作者；另外，也需要關注許多生產線上所使用的開源軟體何時有新版？何時要升級？以及軟體升級後，會不會造成生產線當機、停擺等後遺症。</p> <p id="E754" is="qowt-word-para" named-flow="FLOW-28" qowt-eid="E754" qowt-entry="undefined" qowt-lvl="undefined">他也建議企業用戶面對開源軟體的使用，注意五大事項，首先，必須進行軟體資產盤點，確實清查企業內部到底使用的多少開源軟體；其次，利用各種弱點管理和稽核工具，找出企業內部使用開源軟體的弱點有多少，進一步掌握漏洞修補的進度。</p> <p></p></qowt-section></div> </div> <div id="contentsContainer"> <div id="contents"><qowt-section break-before="" indexed-flow="SI8" named-flow="FLOW-2" qowt-eid="E185"> <p id="E761" is="qowt-word-para" qowt-eid="E761" qowt-entry="undefined" qowt-lvl="undefined">第三，當開源軟體發現零時差（0-Day）漏洞，或是漏洞已經公布一段時間（N-Day）的漏洞時，可以先行評估是否可以透過虛擬修補（Virtual Patch）的方式協助阻擋惡意程式的蔓延擴散，讓企業對於開源軟體弱點有更好的處置手段。</p> <p id="E780" is="qowt-word-para" qowt-eid="E780" qowt-entry="undefined" qowt-lvl="undefined">第四、企業使用的開源軟體，都要提供軟體物料清單（Software Bill of Materials，SBOM）。張裕敏表示，從去年開始，美國白宮要求開始要求許多軟體供應商一定要提供軟體物料清單（SBOM）的資料，軟體業者這幾年為了可以有效且系統化的管理軟體套件，以及控管容易遭受攻擊的套件，開始使用免費或商業軟體去做軟體掃描，希望可以知道套件修補的相依性，知道使用的軟體有多少弱點，確定修補漏洞影響範圍以及是否要修補等等。</p> <p id="E824" is="qowt-word-para" qowt-eid="E824" qowt-entry="undefined" qowt-lvl="undefined">第五，產出標準的SBOM報表。張裕敏提到，企業內使用的軟體有商業軟體、開源軟體以及自行開發的軟體，可以結合弱點管理做更大規模的管控，產出符合SPDX（Software Package Data Exchange）、CycloneDX或是Software Identification (SWID) Tags的SBOM報告格式。他認為，所有企業或多或少都會使用到開源軟體的情況下，相關的資安問題只會越來越嚴重，企業對此開源軟體漏洞的風險不可等閒視之。</p> <h2 id="E853" is="qowt-word-para" qowt-eid="E853" qowt-entry="undefined" qowt-lvl="undefined"><strong>元宇宙架構複雜，社交領域詐騙事件層出不窮</strong></h2> <p id="E860" is="qowt-word-para" qowt-eid="E860" qowt-entry="undefined" qowt-lvl="undefined">張裕敏表示，駭客也關注許多新興科技，包括元宇宙及電動車的安全，將是未來一年最嚴重的新興科技資安威脅。</p> <p id="E866" is="qowt-word-para" qowt-eid="E866" qowt-entry="undefined" qowt-lvl="undefined">他進一步指出，元宇宙架構很複雜，從底層5G、雲端的基礎架構（Infrastructure），到人機介面（Human Interface）、區塊鏈的去中心化（Decentralization）、空間運算（Spatial Computing）、創作者經濟（Creator Economy）、發現（Discovery）、以及體驗（Experience）領域，每一個架構會對應到原有的資安風險，像是5G、Wi-Fi底層架構就對應到傳統的駭客風險；人機介面則牽涉到手機安全領域；其他的像是牽涉到區塊鏈安全、VR安全、各式各樣金融犯罪風險、社交詐騙領域和DeepFake（深偽）技術領域會遇到的風險，這些都是元宇宙會發生的資安風險。</p> <p id="E955" is="qowt-word-para" qowt-eid="E955" qowt-entry="undefined" qowt-lvl="undefined">他表示，區塊鏈智能合約遭遇到的攻擊，是大家最擔心的部分，可能的攻擊手法包括：51%算力攻擊、整數溢位、雙花攻擊、黑洞位址、Re-Entrancy重入漏洞、委託調用問題、Call injection、三明治攻擊、重放攻擊、提前交易漏洞、短地址攻擊、假充值問題、日蝕攻擊、亂數不夠亂帶來的風險、例外處理不當、合約建構者問題、exception disorder、時間戳記相依性、King of the Ether DOS以及女巫攻擊。</p> <p id="E1016" is="qowt-word-para" qowt-eid="E1016" qowt-entry="undefined" qowt-lvl="undefined">他說，大家都承認區塊鏈程式很好寫，但因其對資安不重視，很容易造成一次幾億美金的高額損失。他強調，今年有許多高科技和銀行業者推出的服務中，會把區塊鏈精神和便利性放進去，他也提醒，在開發智能合約軟體應用的時候，必須要特別稽核，確保安全性。</p> <p id="E1036" is="qowt-word-para" qowt-eid="E1036" qowt-entry="undefined" qowt-lvl="undefined">元宇宙在社交詐騙領域中會遇到許多詐騙手法，像是周杰倫價值一千八百萬臺幣的「無聊猿」NFT，就因為一個釣魚網址而被騙；另外，也有很多詐騙份子會利用智能合約的投資欺矇投資人，謊稱只要投資就會獲利，但事實上，從冷熱錢包、網站、智能合約甚至到論壇，全都是假的，這也成為元宇宙中常見的一種社交詐騙手法。</p> <p id="E1052" is="qowt-word-para" qowt-eid="E1052" qowt-entry="undefined" qowt-lvl="undefined">另外，張裕敏也手持一顆「實體」比特幣表示，現在有很多詐騙就是傳統詐騙手法結合新興科技的新名詞進行詐騙，只存在虛擬世界的比特幣，搖身一變成為價值數萬元的交易標的，也造成這類社交詐騙事件層出不窮。</p> <p></p></qowt-section></div> </div> <div id="contentsContainer"> <div id="contents"><qowt-section break-before="" indexed-flow="SI10" named-flow="FLOW-2" qowt-eid="E185"><template id="headerTemplates"></template><template id="footerTemplates"></template> <p id="E1068" is="qowt-word-para" qowt-eid="E1068" qowt-entry="undefined" qowt-lvl="undefined">面對元宇宙浪潮下的資安防護建議，張裕敏直言，區塊鏈安全領域的背後，其實就是開源軟體安全問題，也可以透過一些安全指引提升智能合約的安全性。再者，針對社交詐騙領域的防護，除了持續不斷的資安意識宣導，也可以結合釣魚郵件防治以及辨識假身分的方式來降低相關風險。</p> <p id="E1086" is="qowt-word-para" qowt-eid="E1086" qowt-entry="undefined" qowt-lvl="undefined">第三，面對深偽技術領域的資安風險，張裕敏認為，要辨識互動對象是否是「真人」，還是透過深偽技術偽造出來的對象，就可以透過AI（人工智慧）方式協助偵測；第四，元宇宙中的傳統駭客領域、手機安全領域，以及金融犯罪領域的防護方式，就可以透過底層架構的防駭方式，結合企業防駭和法規規範的方式做防護。</p> <p id="E1126" is="qowt-word-para" qowt-eid="E1126" qowt-entry="undefined" qowt-lvl="undefined">最後的VR安全領域，張裕敏表示，在VR世界（例如用VR裝置進入虛擬世界）看到的虛擬人物，理論上都是對應真實世界的人，但駭客可以使用欺騙的方式建立假的人物，或是真的虛擬人物但戴上假的面具等，而這個虛擬人物卻又是真正或交易的實體，所以如果沒有偵測fake identify（身分偽冒）機制，就很容易被駭客誤用來詐騙。</p> <p id="E1142" is="qowt-word-para" qowt-eid="E1142" qowt-entry="undefined" qowt-lvl="undefined">此外，他也說，為了確保VR安全，必須做到偵測與預防VR虛擬世界的各種資安狀況，例如，需設法避免虛擬商店遭駭、避免虛擬商店的標籤被駭客偷改，或是虛擬商店的QR Code（二維條碼）遭到駭客置換等，作為相關的防護手段。</p> <h2 id="E1172" is="qowt-word-para" qowt-eid="E1172" qowt-entry="undefined" qowt-lvl="undefined"><strong>電動車資安從汽車安全本身擴及汽車供應鏈安全</strong></h2> <p id="E1179" is="qowt-word-para" qowt-eid="E1179" qowt-entry="undefined" qowt-lvl="undefined">全世界95％各種零件都是臺灣研發製造，如果臺灣汽車零件供應商停擺，也會影響全球車廠的製造，包括電動車在內。</p> <p id="E-214" is="qowt-word-para" qowt-eid="E-214" qowt-entry="undefined" qowt-lvl="undefined">不過，張裕敏指出，對駭客而言，電動車是一個很好攻擊的標的，例如，電動車從外界連線的部份，從2G、3G、4G到Wi-Fi都可以攻擊；各式感測器（Sensor）從胎壓、煞車、前端偵測的各種偵測感測器，駭客都可以採用中間人攻擊（Man In The Middle）；此外，車子內部有一個OBD II的插槽，駭客還可以設計一個惡意的OBD II去控制車子等，上述都是駭客可以攻擊電動車的標的。</p> <p id="E1228" is="qowt-word-para" qowt-eid="E1228" qowt-entry="undefined" qowt-lvl="undefined">他也說，這兩年駭客攻擊汽車的資安事件呈現指數型成長，像是有19歲駭客發現特斯拉雲端機制有問題；也有駭客可以針對Honda的十款車進行遠端操控打開車門；或者是，豐田汽車整個廠房因為供應商遭到勒索軟體加密而導致停工；歐盟正在檢測電動車充電樁的安全性，而臺灣正在建置電動車充電樁，也會面臨同樣的資安問題，例如，駭客可以在充電樁植入RCE（遠端程式碼執行）惡意程式，另外也有很多駭客正在研究，如何把充電樁作為回頭攻擊電動車的跳板。</p> <p id="E1288" is="qowt-word-para" qowt-eid="E1288" qowt-entry="undefined" qowt-lvl="undefined">張裕敏指出，去年他曾經警示車廠供應鏈安全問題，而實際遇到的案例就是，駭客剛把惡意程式藏在某些程式中，幸好就被他們發現；但今年問題更多，主要是因為全世界車廠供應鏈遭到駭客攻擊的數量增加，像是今年6月，就有21家汽車相關的業者遭到駭客攻擊。</p> <p id="E1307" is="qowt-word-para" qowt-eid="E1307" qowt-entry="undefined" qowt-lvl="undefined">他也說，駭客攻擊汽車的手段是無所不用其極，不只攻擊汽車，同時也攻擊汽車供應商、經銷商、系統設計業者、元件設計業者、晶片設計業者、煞車和輪胎等，這些都是被攻擊標的。目前趨勢科技也觀察到，有駭客先布局、把漏洞掌握在手上，然後對外發布消息要求車商付錢，倘若車商不付錢，就會製造大規模車禍。</p> <p id="E1342" is="qowt-word-para" qowt-eid="E1342" qowt-entry="undefined" qowt-lvl="undefined">也因此，對於電動車的資安防護也是當務之急。張裕敏表示，對於電動車三大防護策略，首先是做到車內網路安全防護（in-vehicle network protection），傳統汽車連網是透過CAN-Bus，將來是連上網路，而特斯拉則有自己專屬的汽車網路。再者，就是做到整車安全防護（whole car protection），畢竟，能夠阻擋從外界攻擊到內部攻擊，兩者合起來就是做到整車安全。</p> <p id="E-1027" is="qowt-word-para" named-flow="FLOW-43" qowt-eid="E-1027" qowt-entry="undefined" qowt-lvl="undefined">第三，落實車聯網安全防護（connected car protection），他強調，車聯網和智慧城市及智慧交通都有關係，汽車如何將把訊息傳到智慧城市的中控中心；傳到車廠的後端平臺，讓後端平臺可以即時了解電動車是否遭到駭客攻擊，相關紅綠燈交通運作如何配合、避免造成交通事故等等，目前已經可以在部分歐美國家中實現。</p> <p></p></qowt-section></div> </div> <div id="contentsContainer"> <div id="contents"><qowt-section break-before="" indexed-flow="SI11" named-flow="FLOW-2" qowt-eid="E185"> <p id="E1423" is="qowt-word-para" qowt-eid="E1423" qowt-entry="undefined" qowt-lvl="undefined">此外，張裕敏認為，電動車是新興科技的一環，要落實相關的資安防護，也必須引進新的防護觀念，像是從汽車設計的過程中，就落實資安防護的Secure by Design（預設內建資安）；因為使用很多開源軟體，也必須引進軟體物料清單（SBOM）。</p> <p id="E-1143" is="qowt-word-para" qowt-eid="E-1143" qowt-entry="undefined" qowt-lvl="undefined">另外，他說，也必須落實各種法規遵循，例如：ISO 21434、WP29、R155和R156等，真正做到確保safety（安全）和security（資安）；也可以加速部署汽車Automotive IDPS，建置Vehicle SOC（汽車資安中心），並做到弱點掃描、滲透測試以及軟體的模糊測試（fuzz test）等相關的技術稽核。文⊙黃彥棻</p> <p></p></qowt-section></div> </div> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E5%9C%962-%E8%B6%A8%E5%8B%A2-%E9%9B%BB%E5%8B%95%E8%BB%8A-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px; height: 338px;" /></p> <blockquote><p>電動車是新興科技威脅中必須關注的議題，以往駭客會鎖定攻擊汽車本身的漏洞，現在駭客攻擊對象已經擴及到整個汽車供應鏈業者。<br /> 圖片來源：趨勢科技</p> </blockquote> <p> </p> </div></div></div>
2022/10/7 10:32作者黃彥棻https://www.ithome.com.tw/news/153510
【臺灣資安大會直擊：企業實戰篇】老牌化工廠靠三大資安防護措施降低OT聯網的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為40多歲老牌化工廠，曾以「N次貼」揚名國際的聚和國際，近幾年積極展開數位轉型，邁向智慧工廠，但這段期間，為了蒐集產線生產數據，用於數據分析加速轉型，導致產線上越來越多設備開始聯網，使得以往封閉的工廠OT環境，曝露在資安風險之下，這也成了聚和國際資訊中心協理王邦畯所要面對的考驗，決定開始打造產線的資安防線。</p> <p>王邦畯表示，以往聚和的工廠生產系統，皆採實體隔離的網路環境，資安風險相對較低，但近幾年因推動數位轉型，使得過去這些封閉的生產系統開始連上網際網路，因而增加了被駭客攻擊的風險。</p> <p>尤其，他強調，聚和的國際大型客戶對資安稽核十分要求，所以對於聚和來說，平時就必須持續強化資安防護能量，如此一來，才能提高供應商的評級，來獲得更多的訂單。</p> <p>但對於屬於中小企業的聚和而言，投入資安防護的資源總是有限，所以王邦畯採取的策略是，先找出內部資安體系較薄弱的地方來切入，作為資安加強或改善的防護重點，並也透過政府補助案取得資金挹注，來幫助他們陸續完成產線資安升級。</p> <p><span style="font-size:28px;"><strong>先從IT端的資安強化著手，接著建立OT端的資安防線</strong></span></p> <p>經過盤點後，聚和提出的資安策略和改善架構，先從IT端的資安強化著手，接著展開OT端的資安防線的建立，到資安團隊的建立與威脅監控的分析，「我們的願景是，資安上要能強化自身完善，與供應鏈聯防的目標。」他說。</p> <p>首先，在IT系統端，聚和一開始優先導入供應鏈身分辨識零信任機制，包括強化身分認證，落實存取控制，來確保數據交換的安全。</p> <p>王邦畯以遠端連線服務來舉例，以往不論是供應商或海外子公司存取相關內網服務，都是使用VPN廠商的服務，但因為該服務架設在外網，容易產生資安風險，讓駭客有可乘之機。後來，王邦畯採取三道防護措施作為改善的對策，分別是結合加密連線的VPN通道，搭配雙因子認證，還有使用桌面虛擬化VDI做遠端存取控制，才解決這個問題。</p> <p>聚和接下來也強化OT和IT端的端點防護，包括導入入侵偵測及入侵防禦系統來加強各端點的保護，並優先運用在郵件安全防護上。</p> <p>王邦畯表示，過往公司經常收到大量隱匿的釣魚信件，以及惡意連結郵件，令人防不勝防，但經過幾年改善後，他們依照資安縱深防禦的概念，建立起三道防線，首先是把郵件服務搬上雲，減少對外連接的通道，也藉由雲服務廠商的防護，作為第一道阻擋關卡；其次，他們導入 SPAM ADM防禦模組來強化惡意信件的攔截，後來還導入了能偵測和防護APT攻擊的端點防護軟體，防止APT滲透攻擊。</p> <p>就算遇到資訊系統有漏洞，聚和現在也能夠迅速將該漏洞修補，王邦畯表示，因為資訊團隊導入了一套自動化機制，能管理端點安全與組態更新，提升漏洞修補的效率，不像以往都是透過有限資訊人力，以手動方式進行修補，容易會有疏漏的地方，反而造成重大資安風險。</p> <p><span style="font-size:28px;"><strong>靠3大工控資安防護措施，來降低OT設備聯網的資安風險</strong></span></p> <p>在工控資安防護上，王邦畯也祭出三大資安防護措施，來降低OT設備或裝置聯網的資安風險。</p> <p>首先是建立OT設備聯網作業辦法，明確定義出相關上線程序，像是如AOI等OT設備聯網之前，必須在OT和IT層之間設置防火牆，也必須完成掃毒及網段隔離程序，才能夠上線使用。</p> <p>其次，是增加OT端的防護設備來加強防護，例如OT閘道防護設備等，以便在遇到異常的狀況時，能將遭駭災情限縮在局部範圍內，防止損害繼續擴大。最後，是強化OT端的端點防護功能，像是導入具預防APT攻擊能力的防毒系統等。</p> <p>不僅如此，王邦畯也要求徹底落實OT實體防毒，不只制定OT設備聯網作業程序，要求工廠各產線來全面落實，也會定期抽查，對於所有新添購的OT聯網裝置、設備皆需提供無毒證明，或是經過完整掃毒，確認安全無虞後，才能夠在產線上使用。</p> <p>此外，在供應鏈資安防護的強化上，除了透過增加資安稽核項目的方式，要求供應商配合，聚和還聯合上下游供應鏈建立資安協防機制，來加強防堵資安破口，平時也會透過舉辦資安工作坊的形式，讓彼此有共識、能夠團結合作，來落實資安聯防，降低資安風險。</p> <p>為了加快資安事件應變能力，聚和也建立資安團隊，負責處理資安問題，並加強威脅監控分析能力、建立資安應變程序、強化稽核監控等。</p> <p>除了建立資安防護機制之外，王邦畯強調，備份與災害還原機制的重要性，是資安的最後一道防線。</p> <p>像是資安演練，聚和過去只完成ERP系統還原演練，所以遇到駭客攻擊時，就可能因為其他系統無法恢復，而導致營運受影響，就算事後想要做資安事故分析，也常常因為效能和硬體空間不足，無法取得完整Log記錄檔案，以致於難以有效追溯，但現在這個問題已經解決。</p> <p>王邦畯表示，目前已制定完整資安事故的演練程序，不光只是ERP演練而已，還強化資安事件蒐集Log的能力，還與視覺化儀表板結合，能呈現不同資安事件面貌，更快找到異常發生的前期預兆。同時，他們還使用SecPaaS企業資安評級工具找出資安弱點，幫助公司制定相關的對策，並且做好資安事件通報的機制。</p> </div></div></div>
2022/10/7 07:00作者余至浩https://www.ithome.com.tw/news/153483
【臺灣資安大會直擊：企業實戰篇】威強電資安先從ISO認證做起，更設立CSIRT團隊把關資安體質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有3,000名員工、營運遍布28國的ODM大廠威強電，專攻AIoT，應用領域不只工廠自動化、智慧建築、智慧零售，還有交通和醫療器材。如此龐大的企業，如何落實資安管理？</p> <p><span style="font-size:28px;"><strong>產品系統與IT環環相扣，資安原則是零信任</strong></span></p> <p>威強電集團以工業電腦起家，威強電集團資訊服務處副總暨資安長張素碧指出，集團旗下有6家子公司，各自負責資通訊、網通、電信5G和醫療等業務。在應用領域上，產品更與IT密不可分，比如在工廠自動化部分，就有AI驅動的品質分級系統、工業用機器人、自動光血檢測儀（AOI），在智慧零售部分，則有AI人流管理系統、電視牆顯示器和廣告數位看板。</p> <p>不只對外，成立25年的威強電，內部還有許多使用已久的IT系統，像是企業的核心管理系統ERP、倉庫管理系統WMS、生產管理系統MES，以及管理客戶關係的CRM系統和管理供應商的SRM系統。這些系統除了內部使用，也會與合作廠商溝通，再加上，威強電還有坐落於不同國家的生產基地、物流中心和子公司，這些都是集團資安管理得顧及的。「特別是這兩年因疫情在家辦公，資安管理得走出辦公室和工廠，」張素碧強調：「這等於，我們得用零信任、無邊界的方式來管理資安。」</p> <p><span style="font-size:28px;"><strong>ISO27001認證先從核心系統導入，再逐步擴大到全集團</strong></span></p> <p>威強電因應這項資安管理挑戰的方式是，先從市面最完整的資安管理系統檢驗標準ISO27001下手。張素碧表示，集團自2013年開始規畫ISO27001取證，經過1年準備，在2014年取得認證2013新版認證，至今8年，每年都通過認證。</p> <p>但並非一開始就將所有系統都納入驗證範圍，而是先以核心系統練兵，如基礎建設、機房、電子郵件系統等，近幾年再將擴大範圍至全集團系統。</p> <p>不只ISO27001，這幾年雲端資安和個資保護意識抬頭，威強電也分別導入ISO27017和ISO27018，來驗證自家雲端服務資安和雲端服務個資保護能力。</p> <p>但，為何一家製造業要自己導入ISO27001？張素碧解釋，威強電IT大多與原廠委託設計ODM代工相關，許多國外客戶對資安的要求高，因此，威強電早一步做好資安防護，一但客戶提出資安稽核要求，威強電就能順利通過。</p> <p>身為集團資訊長，張素碧也兼任資安長。她指出，臺灣企業設置資安長的動能，來自金管會修正的「公開發行公司建立內部控制制度處理準則」，分三級要求上市櫃公司設立資安長和資安專責人員。但由於資安長和資訊長人才稀缺，「這2個角色可以是同一個人，」她自己就是這樣的例子，既要維持營運，也要兼顧資安控管，可說是相輔相成。</p> <p><span style="font-size:28px;"><strong>成立內部資安小組CSIRT和產品資安小組PSIRT</strong></span></p> <p>取得ISO認證，是資安管理的基本功，但張素碧認為，資安不能只靠自己做，還得加入聯防、交換情資，才能落實資安防護。</p> <p>其中，CERT（電腦緊急應變小組）就是一種區域聯防組織，針對資安事件提供應變處置和訊息交換服務，達到區域聯防目的。目前在臺灣，CERT可分為國家級、領域級和關鍵基礎設施服務提供者建置的CERT，另外也有不分領域的TWCERT組織，來提供會員資安情資。威強電也在2019年加入至今，張素碧點出，TWCERT好處是提供每周、每月的資訊通報，因這些資訊已經過篩選和驗證，威強電可直接用來判斷，這些漏洞是否影響公司、是否需因應。</p> <p>另一種組織是CSIRT（電腦資安事件應變小組），是企業內部第一線處理資安事件的團隊，也是企業與資安社群的連接窗口。他們平時負責資安威脅偵測，爆發資安事件時，也會進行資安事件鑑識與調查。CSIRT找出資安事件的根因後，會強化企業的資安防護能力，也會分析與網路犯罪有關的事件和威脅，制定行動計畫來降低風險。</p> <p>威強電在2018年開始建置CSIRT，「是個日常組織，也就是平時就在監控情資，而非等到資安事件爆發才處理。」和ISO驗證模式一樣，張素碧表示，威強電CSIRT也是從臺灣一家公司開始做起，後來擴展到全球，甚至美國、上海分部每周都會參加CSIRT會議，來盤點當周資安動態。</p> <p>還有一種與CSIRT相仿的組織是PSIRT（產品資安事件應變小組），也就是企業內部針對產品、解決方案、零組件和服務，來識別所面臨的資安漏洞和相關資安風險，並評估、處理。威強電也有PSRIT，雖然它專注於產品安全性，但涉及企業應用時，就會與CSIRT合作，共享相關資源。</p> <p><span style="font-size:28px;"><strong>CSIRT每周盤點IT系統風險</strong></span></p> <p>張素碧也進一步分享威強電CSIRT的工作日常。他們得確認每周或每雙周公司的資安狀況，比如CSIRT得每周判斷防火牆訊息，找出高風險因子。其次，他們每周也會檢視公司端點狀況，像是手機、筆電、PC等設備，並導入斷電偵測與回應軟體EDR來輔助，找出是否存在高風險因子，如病毒、勒索軟體等。「每周作業看似枯燥，但久了就會成日常，否則等到事件發生再反應，就來不及了，」她說。</p> <p>網路偵測也是CSIRT的另一個責任。他們導入網路偵測與回應軟體NDR，來輔助監測企業內使用者的設備狀況。當IT捕獲異常資訊後，就會交由CSIRT分析，再找相關單位（如使用者、產品單位）溝通。</p> <p>再來，CSIRT也負責員工的資安管理工作，這是張素碧眼中最重要的工作，尤其是社交工程演練。因為，員工很容易被以假亂真的詐騙訊息搞混，比如，他們曾收到十分相似Paypal的付款通知，還列出該使用者的消費明細。因此，威強電CSIRT每周進行釣魚郵件演練，針對不同員工發送釣魚郵件，對新進人員或曾上鉤過的職員，演練次數更為頻繁。</p> <p>除了人員管理，CSIRT也負責補漏。因為，光做資安防護，還是難以避免既有系統產生的重大漏洞。CSIRT收到重大漏洞訊息後，會先識別，判斷該產品、弱點系統是否為公司使用的，以及產品影響範圍、嚴重程度，再來安排修補計畫，比如修補時間與服務運作時間錯開等。</p> <p>CSIRT另一個工作則是合規，包括ISO相關認證，以及各領域的產品資安驗證。比如，威強電有家美國醫療業客戶要求，除了得通過ISO認證，還得符合美國食藥局（FDA）相關規範，才能過關。</p> <p><span style="font-size:28px;"><strong>以第三方檢測為強化手段</strong></span></p> <p>除了基礎工作，張素碧也分享威強電CSIRT進一步加強之處，首先是委託第三方進行資安檢測，至少要1年1次。威強電同時也採購掃描工具，來自行檢測安全性、改善問題。</p> <p>再來，CISRT還定期委託第三方作業，請配合的資安研究員，偵測集團對外服務是否有漏洞或需改善之處。另一方面，CSIRT也會不定期進行滲透測試和紅隊演練，來強化資安力。</p> <p>不只如此，CISRT每年還會不定期進行客戶資安稽核，讓客戶檢核威強電的資安環境。張素碧坦言，這種稽核比ISO稽核更有挑戰，因為客戶在意產品是否在足夠安全的環境下生產，因此會格外仔細檢核。</p> <p>這些做法都是威強電加強資安的手段。不過，今年，ESG企業永續發展成為企業資訊長的重要目標之一，張素碧透露，威強電不只讓IT參與ESG績效討論，也跟進國際腳步，將資安治理和資安長角色納入其中，遵循國內外ESG法遵發展。</p> </div></div></div>
2022/10/7 07:00作者王若樸https://www.ithome.com.tw/news/153484