iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣資安大會直擊：職涯經驗分享】從文科生到歐洲刑警組織資安顧問，就靠3信念克服難關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我現在定居荷蘭，是Palo Alto Networks Unit 42首席分析師，也是歐洲刑警組織資安顧問和歐盟網路安全局的威脅情資工作小組成員。」在資安領域工作10多年的鍾安娜，如此介紹自己。</p> <p>Palo Alto Network是國際知名資安大廠，歐洲刑警組織和歐盟網路安全局，更是處理跨國資安情資的重要機構。在這些組織擔任要角，鍾安娜坦言，自己出身與資安一點關係都沒有，是穩妥的社會學科文科生，也從未想過自己會進入資安產業，「甚至一待就是10幾年，還打算這樣繼續待下去。」但這一路並非一帆風順，而是充滿挑戰和挫敗，幾經跌撞才有今日的成就。她怎麼做到？</p> <p><span style="font-size:28px;"><strong>誤打誤撞進入資安界，尋找讓自己快樂的工作</strong></span></p> <p>大學唸政大外交的鍾安娜回憶，赴美取得國際關係碩士學位後，準備在當地找工作，但碰上金融海嘯，求職非常困難。在各種萬般無奈下，她緊守一個底線：鎖定跨國企業，勤投各產業履歷，應徵職位不設限，從編輯到顧問都嘗試。</p> <p>後來，她成功錄取一家跨國公司的翻譯職位，展開在資安界的第一份工作。這家公司是iSight Partners，專攻網路威脅情資，鍾安娜負責在北京翻譯文件，內容涵蓋IT政策和技術研究文章。雖然一開始諸多不懂，但她認為，這是挑戰也是契機。於是她開始研究相關資料，因緣際會接觸了開源情資（OSINT），不靠昂貴的工具和專門技術，也能用統計、理性思考等方法來研究網路威脅情資。</p> <p>鍾安娜向當時主管表明，自己正在進行OSINT研究，想成為一名資安研究員。後來，主管將她調回美國總部，職務順利轉為資安研究；她開始向高層回報研究結果、與客戶面對面簡報，甚至登上重量級駭客年會Black Hat Asia，講述自己的研究理論架構。她在這間公司一待就是5年半。對她來說，當時的生活、團隊和工作環境很自在，是一間可以待一輩子的公司，但「總覺得少了什麼。」鍾安娜解釋，那份工作讓她學會如何分析問題，卻不知道怎麼修補。</p> <p>於是，她開始尋找新的工作機會，隨後加入Uber全球詐騙情資團隊。她在那裡待了3年半，任何與釣魚、詐騙、供應鏈安全相關的議題，都是他們的工作內容，肩負偵查、引導、調查和恢復系統等責任。她也帶領跨國團隊收集地下市場資訊，利用自動化工具和AI來加速偵查、加強防護。雖然這份工作讓她十分振奮，但也勞心勞力。在多重考量下，鍾安娜決定邁向下一個階段。</p> <p>「第一階段誤打誤撞展開資安職涯，第二階段則是從分析到防禦到實做。而第三階段的目標是，讓自己快樂工作，」她說。離開Uber後，她加入Palo Alto Networks，搬到生活步調較緩的荷蘭阿姆斯特丹，重回資安研究工作。</p> <p>在那裡，她下班後有時間買菜下廚，也有空閒健身。這種身心平衡，是她現階段最珍視的事，「You live to work, not work to live.」鍾安娜認為，如果沒有健康，就不會有進步的動力。在工作上，她也找到讓自己快樂工作的方式，就是「作為資安工作的橋樑。」比如，檢視資安威脅時，她喜歡用建設性的方式，幫助使用者理解，在既有資源下找出改善問題的做法，而非一直強調危機。對鍾安娜來說，客戶走出簡報室後，心情能夠放輕鬆，就是一件令人開心的事。</p> <p><span style="font-size:28px;"><strong>3個信念：專注、敢開口和給人安全感</strong></span></p> <p>從文科生成為國際資安大廠首席分析師，回首來時路，鍾安娜總結3個她克服難關的信念，第一個就是「專注你想要的」。這種專注很重要，因為每個人身處的環境未必理想，若一直思考對環境的不滿，就會占據太多心力，應該要全神貫注、追求自己熱愛的事物。</p> <p>第二個信念是要開口要求。荷蘭有句諺語是「No是必然，只有當你開口詢問提出要求，才會得到Yes」，鍾安娜認為，No是常態，只有當自己大膽開口提出想法，Yes才會出現，也才能實現內心的想法。就像她在第一份工作時，勇敢開口，請主管幫助自己成為資安研究員。因此她鼓勵大家，勇敢開口追求自己想要的目標。</p> <p>第三個信念，則與資安職涯有關。「我想做一個給人安全感的資安人，」她解釋，說起資安，大眾容易聯想到IT技術，但真正要落實資安，還得靠強大的團隊、清楚的決策和順暢的溝通，才能建立起強而有力的防禦。資安就像場團隊的馬拉松，為讓人有安全感，「自己前進時，也得不斷幫助隊友前進。」鍾安娜繼續說：「甚至讓不同背景、不同單位的每個人，都要感到被尊重，」她的期許是，成為幫助他們完成資安使命的人。</p> </div></div></div>
2022/10/17 07:00作者王若樸https://www.ithome.com.tw/news/153606
【臺灣資安大會直擊：職涯經驗分享】資安專業不只是工具或知識，更要有落地實踐的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「談到資安專業職能，工具、知識本身是死的，真正能解決問題的態度、應變能力才是活的」，104資訊科技資安長孫明功分享他對資安人才職能的看法，資安職能的重要性不在知識，具備應變能力，解決企業的痛點才是關鍵。</p> <p>孫明功表示，身為資安人的宿命，要不停追求新的技術、解決方案，瞭解新的駭客攻擊手法，但更大的挑戰是如何去作取捨，資安最佳實踐的關鍵是如何落實，例如在企業內要實踐零信任、特權管理時，需要投入更多資源、人力及成本，資安人如何運用學到的經驗協助企業解決痛點、真正急迫問題，是一種不同層次的專業</p> <p>孫明功認為，資安的挑戰日新月異，在傳統資安戰場，需要不斷吸收學習知識，但更重要的是這些知識要能夠落地、實踐。</p> <p><span style="font-size:28px;"><strong>紅、藍、紫隊各有不同職能挑戰</strong></span></p> <p>他以紅隊、藍隊、紫隊概念為例，分享他對資安職能發展方向的看法。傳統上，紅隊屬於攻方，藍隊屬於守方，紫隊因為沒有制式定義，一般將資安攻守兩方間的仲裁角色歸類為紫隊，例如對資安情資的研究、資安事件的調查與應變。但是，孫明功對紫隊的定義是，凡是不屬於攻、守兩方的，可被歸類為紫隊，在這樣的定義下，不只是仲裁角色，資安管理也被歸類為紫隊。紅、藍、紫隊也衍生出不同的資安職能，例如檢測工程師、系統工程師、威脅分析顧問等等。</p> <p>藍隊扮演守方，雖然仍要瞭解「程式」，但就孫明功的觀察，藍隊的職能屬性更多傾向於和「系統」打交道，投入更多時間瞭解已開發完成的系統、解決方案，系統具備哪些功能、工作目標，確保系統持續運作不中斷、解決問題、調校效能，另方面，利用資安業者已開發的系統，架構資安防禦體系以抵擋入侵。</p> <p>至於扮演攻方的紅隊，如滲透測試、弱點掃描、源碼檢測，更進階的紅隊演練、模擬攻擊，從入侵系統、提權、竊取資料，雖然滲透入侵的過程中要瞭解系統，孫明功認為，紅隊背後更多是瞭解程式面應用，因此多和「程式」打交道，不只是產出弱點掃描報告，更需要和開發者溝通，協助瞭解漏洞的影響，同時提出建議，幫助找到平衡、經濟有效的緩解方法。</p> <p>除了需具備紅隊、藍隊一定程度的知識外，紫隊更重要的職能是和「人」打交道，主要為兩種人，一種人是駭客，瞭解攻擊手法、攻擊的動機，慣用的攻擊方式、工具等等，另一種人是對企業內部利害關係人的溝通，為提升企業資安治理、資安防禦，必需要說服老闆、同事投入更多資源，「這個說服的過程，和人打交道是很重要的職能挑戰」。</p> <p>紅隊、藍隊、紫隊分別和程式、系統、人打交道，可供資安人選擇職能發展方向參考。</p> <p><span style="font-size:28px;"><strong>疫情推升資安人才需求</strong></span></p> <p>孫明功也分享104職場力的觀察，資安人才市場數據，受到疫情推升數位化快速發展的影響，企業對資安人才需求，從2017年平均每月539個職缺，到2021年增加到1,326個，5年的時間成長了1.5倍。由於企業需求增加、專業度高，2021年資安工作者的月薪中位數為5.3萬元，和2017年的4.7萬元相比也成長12%，較同期其他產業表現較好。</p> <p>不同產業對資安人才的需求部分，軟體網路、金融、會計為資安人才需求的三大產業，尤以金融業為資安人才需求最大宗。此外，資安人才市場較不看重學歷，比較重視專業，44.5%不限科系。</p> <p>孫明功表示，看重專業甚於學歷的現象，在IT領域已有這個傾向，在資安更是明顯。企業對資安徵才看淡學歷，相對地反映出，更重視專業性及證照，包括求職者過去工作經驗，參與過什麼活動，以紅隊來說，過去曾發現哪些漏洞，以藍隊而言，曾負責哪些資安系統或設備。「這類專業領域精通，對資安人才是很重要的基礎」。</p> <p>根據104證照中心的熱搜資安類別資料，搜尋熱度較高的1、2名證照分別為CEH及ISO 27001，他建議如果有可將這兩個證照當成入門的目標。</p> <p>第3、4、5名熱門證照則是CISA、ECIH、CHFI。值得注意的是，設備廠商認證的證照，例如思科的CCNA/CCNP/CCIE，熱度甚至遠超過上述非設備類資安證照。</p> </div></div></div>
2022/10/17 07:00作者蘇文彬https://www.ithome.com.tw/news/153607
【臺灣資安大會直擊：職涯經驗分享】做資安研究員猶如打艾爾登法環，熱忱、操守和努力缺一不可
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>戴夫寇爾是一家年輕但知名的資安公司，不僅活躍於大型國際資安技術盛會，還2度拿下資安界奧斯卡獎Pwnie Awards。他們的資深資安研究員張亭儀，就是其中一次Pwnie Awards得獎人；她以戴夫寇爾工作5年多的經驗，來剖析資安研究員養成關鍵。</p> <p><span style="font-size:28px;"><strong>資安研究員有如打艾爾登法環，沒有明確目標和進度</strong></span></p> <p>「資安研究員是白帽駭客的一種職業選擇。」張亭儀點出，資安研究員專門鑽研前瞻技術和漏洞研究，一些資安公司會自行培養團隊來實踐，戴夫寇爾亦是。他們的研究團不只研究技術，也提供紅隊演練的技術資源，並在HITCON和Black Hat等國際大會上發表技術研究成果，來累積公司信譽。</p> <p>但，資安研究員的工作有哪些特點？</p> <p>張亭儀分享她的觀察。研究所剛畢業時，她面臨職涯選擇，將當時考慮的職缺歸納為3種，這3種也是有意從事資安職涯的學子們，畢業時會面臨的抉擇。</p> <p>她第一個考慮的工作是「碼農」，也就是科技公司工程師，薪資待遇不錯，但與自己感興趣的漏洞研究不甚相關。另一種是「獎金獵人」，是一種靠發掘資安漏洞維生的職業，高度符合自身興趣，但薪資來源不穩定。最後一種是資安研究員，既符合興趣，薪資也穩定，若發現漏洞，也可能獲得回報獎金。張亭儀最後選擇了資安研究員的職業。</p> <p>「做資安研究員，就像是在打艾爾登法環。」她以今年最夯的線上遊戲來比喻，這款線上動作角色扮演遊戲，沒有新手教學，也不會有循序漸進的攻略清單，玩家得靠自己看攻略、找任務和解任務。不只如此，遊戲世界的版圖遼闊，甚至沒有固定的地圖，玩家得自己拓荒。遊戲也沒有明確進度，玩家得自行掌握。甚至，遊戲中的怪物沒有等級之分，小怪也可能完勝玩家，這種面對高度未知的探索樂趣，正是這款遊戲熱賣千萬套的關鍵之一。</p> <p>「這就非常像資安研究員的角色，」張亭儀解釋，資安研究員目標不明確，也很難量化工作成果。要是沒找到漏洞，得面對強大的無力感；而且，資安研究員必須有自己的目標和研究方向，一路上得承受強烈的孤獨感。「但要是你喜歡自由、喜歡自行開拓研究，並享受孤獨，那就適合資安研究員的角色，」她說。</p> <p><span style="font-size:28px;"><strong>靠打怪練等、提升裝備、看攻略和打王來修煉</strong></span></p> <p>對資安研究員的角色有所了解後，另一個問題是如何提升自己的技能。</p> <p>張亭儀一樣以遊戲來比喻，第一步可從「刷小怪練等」開始，也就是找有興趣的小目標，或是從紅隊演練中，實際接觸的設備、軟體來進行漏洞研究。「有些小怪很強，」她認為，這些平時的小磨練，是資安研究員累積經驗和實力的最佳手段。</p> <p>另一個方法是「提升裝備」，比如自行撰寫或尋找現成的漏洞偵測工具，來更順暢進行研究。戴夫寇爾的資深資安研究員，也會將研究過的工具，在GitHub上開源，來供更多人使用。</p> <p>有更好的工具後，還得「查攻略」來追尋新技術，像是從Twitter、Reddit或部落格來獲得最新的資安技術資訊，來了解資安社群研究哪些漏洞、用什麼方法尋找漏洞，以及衡量自己能否跟上這些新技術。「這是資安研究員非常必要的歷程，」她強調。</p> <p>最後一件資安研究員要做的事，就是「打王」，也就是挑戰高難度的漏洞研究。比如，張亭儀曾與團隊一起研究微軟商用企業電子郵件服務Exchange的漏洞，也組隊參加全球白帽駭客的漏洞研究大賽Pwn2Own。這個大賽主辦單位會開出設備清單，讓參賽者研究漏洞，並在現場展示弱點攻擊（Exploits），看能否成功攻擊該設備。他們也在一次Pwn2Own競賽中，成功將一臺印表機的螢幕字樣，改為戴夫寇爾商標。</p> <p>除了提升技能，對張亭儀來說，資安研究員還有一個目標，也就是與世界各地的駭客交流。「有些人會成為直播主，」她舉例，有些人會參加國際資安盛會，如DEF CON、Black Hat等，在會議上發表自己的研究成果，有些則像她一樣成為部落客，將漏洞研究成果寫成部落文，來與全球駭客交流。「這很重要，」她解釋，作為資安研究員的願望是讓全球資安更安全，唯有堅守這個核心理念，「才能做對的事。」</p> <p><span style="font-size:28px;"><strong>熱忱、操守和努力缺一不可</strong></span></p> <p>但為什麼要堅守這個理念？</p> <p>這與張亭儀總結的資安研究員必備三大特質有關。作為一名資安研究員，首先要高度的熱忱，特別是對漏洞研究這個漫長的旅程，充滿活力與興趣，才能承受隨之而來的孤獨和無力感。</p> <p>再來，作為資安研究員必須要有操守。她分享，自己剛進戴夫寇爾的第2、3個月，就找到電子郵件軟體Exim的漏洞，且由於Exim有數十萬臺伺服器、用戶數量眾多，因此一有漏洞，就會造成重大影響。當時她沒多想，直接在Bugzilla回報平臺上，寫下漏洞解釋、附上PoC，也在部落格上發布相關技術文章。但她沒想到的是，該平臺一回報就會將訊息公開，產生不小風波外，她也因部落格文章收到購買漏洞的私訊。</p> <p>比如，曾有國外駭客在Twitter傳訊息給她，開價4比特幣（約臺幣200萬元），向她買Exim的漏洞。還另一位駭客開價更高達20萬美元（約臺幣600元），但她都拒絕。「因為我不知道這些人會怎麼用，會不會拿去傷害人，」張亭儀指出，這些金額雖然高，一旦接受，就違反成為資安研究員、要讓世界資安更安全的初衷。而操守，是白帽駭客該堅持的重要底線。</p> <p>最後一個特質是努力。她點出，天才是靠1%的天分和99%的努力而成，對需要熟稔技術的資安研究員來說，更是如此。起初她不相信這句話，以為靠天分學習技術，就能獲得不錯的成績，直到有天，她看見自己的主管Orange，就連慶功宴時，也趁空檔獨自滑手機、研究技術文章，她才意識到，連這麼厲害的駭客並非只靠天分，而是下了非常多的努力，才有今日的成就。努力這個特質，也成為張亭儀眼中，資安研究員必備的第三特質。</p> </div></div></div>
2022/10/17 07:00作者王若樸https://www.ithome.com.tw/news/153617
百年彰銀面臨各種資安威脅，設資安長兼顧企業營運安全
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於民國前七年的彰化銀行，是一家名符其實的百年老行庫，隨著部分公股銀行逐漸民營化，公股行庫勢必要擺脫以往聽命行事的作為，並積極朝向各種新興的金融科技應用，提供更新穎、更便民的金融服務，藉此贏得更多民眾的信賴。</p> <p>只不過，各種結合金融科技的新服務上線後，也同時面臨各種新興的資安威脅，金融業是臺灣主管機關監管相對嚴格的產業，率先要求資產規模一兆元以上的銀行，都必須設立獨立的資安專責單位，及設置相當層級的資安專責主管，其中，資安長的層級從原本協理層級以上位階，又擴大要求設置副總層級的資安長。</p> <p>在這個主管機關逐漸重視資安的過程中，彰銀副總經理兼資安長陳斌就是最好的見證者。</p> <p>陳斌本身就是彰銀的資深員工，從1993年進入彰化銀行工作迄今已經將近三十年，經歷資訊專業和業務營運的磨練，例如：資訊處、數位金融處以及海外分行經理人等職務。</p> <p>陳斌在2017年3月接任副總經理一職，負責督導數位金融處、資訊處；而資安部門直到2018年才成立，這也成為陳斌督導的業務範圍之一；此外，他也在今年3月29日正式接任資安長一職。</p> <p>接任資安長職務前，陳斌擔任資訊處長及資訊安全處的直屬督導副總多年，一直負責統籌全行資安政策推動及資源調度，再加上自身的經歷和多年的IT經驗，以及彰銀2008年導入ISO 27001資訊安全管理系統，資訊安全的基因已注入日常的IT維運，使得資訊和資安的工作流程結合在日常的工作營運中。所以，當他接任資安長時，沒有銜接上的困難。</p> <p>對陳斌而言，不同職務的歷練，讓他不僅熟悉彰銀各個部門的業務，擔任營運高階主管後，更能從營運角度協助制定相關營運策略，「而資安長更是必須在負責企業資訊與資料安全的前提下，同時確保企業營運的安全性。」他說。</p> <p><span style="font-size:28px;"><strong>資安長具備資安專業有加分，但態度和溝通力才是關鍵</strong></span></p> <p>陳斌接任資安長後的主要任務就是：統籌資安政策推動協調及資源調度。在資安政策推動上，應該洞悉整個企業面臨的資安風險，知道企業的風險容忍度及資安目標；在資源調度方面，則需要謹慎安排資安預算，將不可或缺的資安建設需求，列入優先採購項目。</p> <p>資訊處是陳斌最熟悉的部門，一路從工程師、科長、處長到後來擔任銀行資訊長，他認為，過往在資訊處所累積的資訊技術的經歷，有助於他在思考資安架構或面對資安事件等議題時，可以在最短時間內訂出方向、做出決策。</p> <p>之前包括數位金融處以及海外分行的歷練，有助於他對於資安政策的制定與推動上，可以做到兼顧資安與業務的需求，並藉由規畫適當的管控機制，讓各個部門站在同一陣線，從公司的角度出發，分析各種可能後果，理智的分析與溝通，確保全行達到最大利益，共同配合安全措施的推進。</p> <p>他強調，資安長重要的特質之一就是：跨部門溝通能力。因為，資安制度與策略推動，要大量的跨部門溝通，才能減少推動資安制度造成的衝擊，不管是對上溝通，包括董事長、總經理等，要爭取更好的資源投入資安；或是不同部門間的溝通協調，像是採購部門；或是對全行的資安宣導等，溝通能力都是不可或缺的必備技能；或是對外部溝通，例如F-ISAC或主管機關金管會等。</p> <p>由於資安長的工作範圍囊括管理面、政策面及技術面等，甚至於，資安也已經納入公司ESG公司治理的項目。陳斌認為，資安長對資安風險及資安範疇必須有一定的了解，要有足夠的「危機意識」，加上資安事件處理往往是「養兵千日、用在一時」，問題來了，也要有危機處理能力。</p> <p>他說：「資安長的資安專業可以接任後培養，具備資安專業的確會加分，但願意面對問題、不畏艱難、持續溝通的態度，才是稱職資安長的關鍵。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/450-%E6%8A%BD%E8%A8%80-%E9%99%B3%E6%96%8C_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 433px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>具備資安專業對資安長有加分，但願意面對問題、不畏艱難、持續溝通的態度，才是稱職資安長的關鍵特質。── 彰化銀行副總經理兼資安長陳斌</strong></span></span></p> <p><span style="font-size:28px;"><strong>一銀事件提升銀行業者的資安意識</strong></span></p> <p>在2016年爆發第一銀行的ATM盜領事件後，主管機關金管會要求，所有的銀行業者都必須立即強化ATM安全，當時陳斌正好擔任資訊處處長，面對這樣的資安任務，接手處理起來還算游刃有餘。他說，當時資安雖然還不是獨立的專責部門，但早就是不可或缺的組別。</p> <p>他回憶，在2016年爆發第一銀行ATM盜領事件，彰銀和其他銀行業者的想法應該都一樣，當下先求平安，之後才思考更長遠的資安改善計畫。</p> <p>陳斌表示，在一銀ATM盜領事件爆發後，公股銀行之間也會互相通報，當時短期的資安作為就是：限縮ATM提供服務的時間，當時也在討論，第二天晚上是否停止ATM的服務；暫時關掉軟體派送伺服器，先止血、避免有資安後遺症繼續延續。</p> <p>他說，後續中期的資安作為，就是花1到3個月強化資訊處的架構，重點在於限縮員工使用行為的方式，要求銀行員工要連線到重要系統時，必須到規畫好的連網專區使用電腦，做到專區、專機、專用；長期目標就是：調整資訊架構，將分行ATM系統獨立出來。</p> <p>陳斌坦言，不管是第一銀行的ATM盜領案件，或者是遠東銀行的SWIFT國際匯兌系統的資安事件，都讓臺灣金融業者真正意識到駭客的厲害，也讓主管機關金管會對金融業的資安更加警覺。</p> <p>他認為，這些資安事件的爆發，也提高臺灣銀行業者近年來對於資安的重視，甚至於，資安也成為企業社會責任（ESG）重要的一環。</p> <p><span style="font-size:28px;"><strong>金融釣魚簡訊事件，彰銀視同作戰</strong></span></p> <p>資安處成立後，和資訊處、其他業務單位都保持良好的互動關係，遇到突發的資安事件時，可以做到兼顧資訊安全和業務營運持續的雙贏局面。</p> <p>他說，最明顯例子就是，2021年春節前後，爆發詐騙集團偽冒銀行發送釣魚簡訊的資安事件，造成民眾大筆金額的損失，當時甚至傳出，有三十多名受害客戶的損失總額高達500萬元。</p> <p>陳斌坦言，銀行可以針對行內員工進行資安教育訓練，但無法對客戶進行資安教育訓練。</p> <p>這類資安事件透過大量發送釣魚簡訊，誤導民眾點擊偽冒的惡意連結後，連線到偽冒成各家網銀的釣魚網站。當民眾以為釣魚網站是真的網銀時，就會輸入真實網銀帳號、密碼，詐騙集團就可以藉此取得民眾真實的網銀帳密。</p> <p>另外，他也說，詐騙集團也透過詐騙手法，騙取用戶收到銀行發送、綁定信任裝置的一次性密碼（OTP）後，再藉此，將民眾的網銀帳戶，非法綁定到詐騙集團持有的手機裝置，進行非約定轉帳後，進而成功盜領民眾金錢。</p> <p>陳斌認為，這類資安事件有其急迫性，決定採取「先治標、再治本」的解決方式，藉此降低民眾的受害程度。</p> <p>在爆發偽冒銀行發送釣魚簡訊的詐騙案件後，陳斌當時便和督導的資訊處、資安處和數位金融處的三個處長商量，並參照從F-ISAC得到進一步的情資，確認釣魚簡訊的問題是發生在重新綁定OTP時所發生的資安事件。</p> <p>在彼此討論一輪後，陳斌當下決定，暫時停止OPT密碼重新綁定手機的服務，客戶若要重新綁定手機，必須要打電話到客服部門重新驗證身分後，才提供新的密碼綁定手機。</p> <p>陳斌說，這樣的治標作法雖然對客戶帶來些許的不方便，但因為可以立即降低客戶受害的可能性，效果立即可見。</p> <p>針對這次的釣魚簡訊事件，可以在不到一天內，就立即決定先暫時中止手機重新綁定OTP的服務，因應速度相當快，陳斌認為，這也是資訊處、資安處和相關業務單位彼此已經有合作默契，在兼顧資安、業務營運持續和客戶安全三贏局面下的結果。</p> <p><span style="font-size:28px;"><strong>資安長應重視同業發生的資安事件，做到防範於未然</strong></span></p> <p>因為是春節前夕爆發的資安事件，加上疫情影響，陳斌一接到相關資安事件的資訊時，很擔心行內客戶會成為下一波的受害者，第一時間便即時召開線上會議，聚集相關部門主管集思廣益、協助危機處理。</p> <p>先透過治標方式，避免行內客戶成為受害者後，接下來就要進行治本的工作。陳斌說，政府先前積極推動結合五大電信業者所提供的行動身分識別服務（Mobile ID），透過手機就可以進行實名認證，也可以作為網路上的身份證。</p> <p>他表示，Mobile ID的網路身分認證方式，可以擴及未來網路上所有的金融開戶、交易、轉帳及購物等行為，只要是需要核對個人身分來確認交易的行為，都可以輸入行動電話號碼，完成個人身分的查核與認證。陳斌指出，這也是彰銀目前積極推動的身分認證方式，未來應用範圍，必須看推出什麼金融服務。</p> <p>這起資安事件對陳斌帶來的啟示，便是：發生任何資安事件一定要先立即止血並積極通報，然後再深思相關的治本之道，把資安漏洞真正補好。</p> <p>他表示，沒有發生資安事件不代表沒有問題，看到他山之石的案例，例如此次的釣魚簡訊事件，雖然是其他同業受害，但不代表彰銀不會是下一個受害者，所以面對這種案例時，資安長一定要有足夠的警覺性和危機意識才行，才能真正做到防患於未然。</p> <p>陳斌表示，因為過往自己曾接受資訊和業務的雙重磨練，所以，對於這樣的資安事件警覺性相當高。但他也說，如果接任資安長的主管偏重營運安全時，專業的資安部門就必須扮演好稱職的資安幕僚角色，一旦發生這類資安事件時，就應該立即通報給督導資安的副總或是資安長，協助資安主管可以快速決策、因應。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></p> <p><strong> 彰化銀行副總經理兼資安長陳斌</strong></p> <p>學歷：交通大學資訊工程研究所、中央大學資訊管理研究所</p> <p>經歷：在彰銀工作近30年，從科長一路升任彰化銀行電子營運處處長、資訊處副處長及處長，並外派新加坡分行擔任分行副理及經理，回臺後升任副總經理，督導資訊、資安、數位金融、國際營運處、子行，以及秘書處，負責ESG業務及兼任發言人，並於2022年3月29日接任資安長一職</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>彰化銀行</strong></p> <p>成立時間：1905年6月5日</p> <p>公司地址：臺北市中山區中山北路二段57號</p> <p>業務種類：銀行業</p> <p>資本額：1,059.35億</p> <p>年營收：286.86億</p> <p>董事長：凌忠嫄</p> <p>總經理：周朝崇</p> <p>員工人數：6,680人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安部門檔案 </span></strong></span></p> <p>成立時間：2018年9月3日</p> <p>資安部門主管：呂耀茹</p> <p>資安部門人數：21人</p> <p>資安部門預算：逐年增加</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安角色與分工 </span></strong></span></p> <p>資安專責主管：負責監督和落實資訊安全政策與協調及推動資訊安全管理作業，並每年向董事會報告資安整體執行管理情形。</p> <p>資安管理科：發展、規畫及建置與資訊安全有關之處理程序，以逹成最佳內部控制</p> <p>資安技術科：執行與資訊安全有關之處理實務，以維護本行資訊環境與系統安全</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資安大事記 </span></strong></p> <p>2018年：9月正式成立資安專責部門，推動及維持資訊安全各類執行、管理與查核等工作之進行；導入防火牆政策管理工具</p> <p>2019年：建置資安日誌與事件管理系統(SIEM)，建立本行SOC機制</p> <p>2020年：成為金管會推動的F-ISAC（資安資訊分享及分析中心）會員，透過資安事件通報及情資分享，充分發揮資安聯防功效；導入端點惡意程式檢測系統（EDR）</p> <p>2021年：參加金管會主辦之2021金融資安攻防競賽（FINSEC DEFENSE攻防競賽）表現優秀，並獲邀參加經濟部工業局與臺灣駭客協會共同主辦的「HITCON DEFENSE 2021企業資安攻防大賽」，本行團隊於競賽中取得第三名佳績；導入新日誌保存系統（N-Cloud）及弱點管理系統</p> <p>2022年：汰換電子郵件過濾系統；汰換共用電腦個資盤點系統；汰換網頁應用系統防火牆；導入虛擬補丁防護機制；加強檔案異動管控；加入TWCERT/CC（臺灣電腦網路危機處理暨協調中心）強化資安聯防；擴充SIEM系統及資料庫稽核監控系統；優化網路架構，更新分行網路並強化資安防護；升級外部防火牆；針對IoT網段做隔離；升級資料外洩防護系統（DLP）；深化資安治理，設置副總層級資安長，並設置資安顧問增進經營階層對資安的監督能量；完成ISO 22301：2019轉版作業</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ren_wu_zhu_tu_.jpg" width="960" height="420" alt="" title=" 彰化銀行副總經理兼資安長陳斌　（攝影／洪政偉）" /></div></div></div>
2022/10/17 07:00作者黃彥棻https://www.ithome.com.tw/people/153627
從凹包到alpha shape
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在二維平面散布一組點，如果要建立一個殼（hull）來圍住這些點（三個點以上，因為兩點是退化為線），殼的頂點必須來自於被散布的點，此時，我們該怎麼做呢？</p> <p>將點看成是釘在板子上的釘子，要建立這樣的殼，最簡單的方式就是撐開橡皮筋至能涵蓋全部釘子，套上去之後，放開橡皮筋，自然而然地就能構成一個殼。</p> <p><span style="font-size:28px;"><strong>隨機散布點的殼</strong></span></p> <p>透過套橡皮筋的方式形成的殼，會是各種殼裡周長最小的殼，它一定是個凸多邊形，也就是邊不會自我相交，內角都小於或等於180度、內部沒有洞的多邊形，稱為convex Hul，中文常譯為「凸包」或「凸殼」。</p> <p>由於凸包目的明確，建立的殼就是凸多邊形，只有一種可能，在演算法上，已有不少實現方式，有興趣的人可參考<a href="https://bit.ly/3LaurzL" target="_blank">〈Convex Hull〉</a>裡的說明與範例。事實上，凸包有許多的應用，在一些場合裡，使用hull這個單字時，通常就是指建立凸包。</p> <p>使用一組點所建立而成的殼，也可以是凹多邊形，亦即至少有一個內角大於180度、小於360度、內部沒有洞的多邊形，稱為concave hull，中文常譯為凹包或凹殼；如果在一組點裡面，某些點明顯密集地構成線狀分布，許多人可能會想使用這些點來構成凹包，作為尋找輪廓線的方式之一。</p> <p>然而，從一組點建立凹包，有多種可能性，不同人依據其目的的差異，會有各自的包法，例如，方才談到「密集」的定義到底為何呢？在人類肉眼判斷下，每個人對密集的感受並不相同，也就是單就凹包這個詞而言，需要進一步的變數定義，才能確定性地對一組點建立凹包。</p> <p><span style="font-size:28px;"><strong>認識alpha shape</strong></span></p> <p>我們如果試著去搜尋凹包的演算，在找到的文件中，常會看到<a href="https://bit.ly/3qHVE3b" target="_blank">alpha shape</a>名詞。基本上，它是Herbert Edelsbrunner在1983年定義出來的，其中的alpha就是個決定形狀的變數，變數值會是個實數，在適當的點集合與alpha值下，確實能構成凹包形狀，而這也是為何它經常與凹包相伴出現的原因。</p> <p>不過，別誤會了，alpha shape並非用來定義凹包，因為「凸包必定是alpha shape」（然而alpha shape不一定是凸包）。</p> <p>實際上，alpha定義了一個半徑為1/alpha的圓（若alpha為負值，會是半徑-1/alpha圓的互補），從點集合建立的形狀，各邊會是點集合裡的兩個點構成，若用半徑為1/alpha的圓去套構成各邊的兩個點，不會有第三個點出現在圓內，這樣的形狀就是alpha shape。</p> <p>alpha變數可能是大於零、等於零或小於零的值，在alpha大於零的情況下，我們可以想像：有個半徑1/alpha的圓在點集合外滾動，alpha越大圓越小，滾出來的形狀就越能深入點集合，也就有可能構成不同形狀凹包，1/alpha越小圓越大，越難滾入點集合，小於某值時完全滾不進點集合時，滾出的形狀就是凸包，alpha為0時是個無限大的圓（一個無限大的半平面），滾出來的形狀必然就是凸包。</p> <p>這種構造alpha shape的方式被稱為滾球法，實作時通常指定圓半徑r，選擇點集合裡任兩點，如果距離大於限定的球直徑（r*2）可以直接略過（顯然球能滾入兩點之間），否則就找出半徑為r且兩點在圓周上的兩個圓形，若圓形內不包含點集合裡兩點外的其他點，這兩個點就構成alpha shape的邊，有興趣看看程式實作的話，大家可參考<a href="https://bit.ly/3eOsXil" target="_blank">〈ALPHA SHAPES〉</a>。</p> <p>然而，從演算法也可看出邊與邊連接後實際建立的形狀，可能會是有洞多邊形（因此方才說到，alpha shape並非用來定義凹包），甚至可能是分離的多個形狀，某些程度上會是分群（clustering），確實！也有人將alpha shape作為分群的方法之一。</p> <p>另一方面，不少文件會將圓半徑稱為alpha，嚴格來說，這並不符合alpha shape裡的alpha定義，只是就程式實作而言，無傷大雅，目的也可達到罷了。</p> <p><span style="font-size:28px;"><strong>Delaunay三角與alpha complex</strong></span></p> <p>若點集合的數量大，滾球法的演算會缺乏效率。從alpha shape的定義當中，我們可以知道，點集合構成的alpha shape是包含在凸包裡的形狀，那麼，我們有辦法從凸包得到alpha shape嗎？若我們朝這個方向去尋找方案，經常會談到Delaunay三角分割。</p> <p>我在先前專欄文章〈<a href="https://www.ithome.com.tw/voice/142956" target="_blank">Voronoi與Delaunay</a>〉談過，從點集合進行Delaunay三角分割後，每個三角形的外接圓不會包含頂點以外的其他點；另一個事實是，若將全部三角形進行聯集，會得到點集合的凸包，只不過若單純要建立凸包，求Delaunay三角之後再進行聯集，並沒有效率。</p> <p>然而，如果已經建立了Delaunay三角，若三角形的外接圓不大於某值就保留下來，最後留下的三角形在聯集後，看來似乎是個α shape，由於這時只需要判斷外接圓大小，速度比較快，對此，在<a href="https://bit.ly/3BE5469" target="_blank">〈alpha shape from the Delaunay triangulation〉</a>有個Python實作，可以參考看看。</p> <p>另一個方式是，對於Delaunay三角化後構成凸包的邊，若小於某長度，包含該邊的三角形就予以保留，由於有些邊界的三角形被去除，剩餘的三角形會有新的形狀邊界，這時依以上步驟重複迭代，直到沒有可去除的三角形，最後留下的三角形聯集，似乎也是個α shape，只不過這必須判斷哪些是邊是在凸包邊界，處理速度會變得稍慢，程式實作部分可參考<a href="https://bit.ly/3de4djo" target="_blank">〈淺議凹包算法〉</a>。</p> <p>嚴格來說，這些留下來的三角形，組成了alpha complex，維基百科條目〈Alpha shape〉提到：組成alpha complex的邊或三角形，若有能包含邊或三角形的圓，其半徑最大不能超過1/alpha；alpha complex與alpha shape非常相似，差別在於前者是由多邊形的邊組成，後者是由可構成圓弧的邊組成。</p> <p>Herbert Edelsbrunner在1995年表明，alpha shape與alpha complex在拓樸學上具有等價關係，而且，後續也使用alpha shape來代表alpha complex各細胞聯集後的結果；也就是說，就目的與定義而言，基於Delaunay三角求得alpha complex後予以聯集，是可以視為alpha shape。</p> <p>事實上，我們只要使用有效率的Delaunay三角分割演算，求alpha shape時的效率會比滾球法來得好，而方才兩種演算方式可視為取不同的alpha，過濾到不合格的三角形，得到的形狀也就不同</p> <p><span style="font-size:28px;"><strong>想要凹包？alpha shape？</strong></span></p> <p>確實地，在適當的點集合與alpha選擇下，無論是基於滾球法，或者是基於Delaunay三角分割，求得的alpha shape會是凹包；然而，正確來說，alpha shape是基於點集合，建立一組邊的方式，並不是專門用來建立凹包的方式。</p> <p>如果我們對於點集合的認識不夠（對資料沒有足夠瞭解），沒有選擇適當的alpha，單是想建立腦海裡想要的凹包，可能只是在賭運氣，畢竟也有可能我們需要的並非alpha shape。</p> <p>這就讓我想起先前專欄文章〈<a href="https://www.ithome.com.tw/voice/131409" target="_blank">別對問題存在幻想</a>〉最後談到的：如果從一開始就無法定義問題，或者對解決方案的定義不清不楚，計算後的執行結果不正確，也只是剛好而已。或許我們需要定義的變數不只是alpha，可能還有beta等其他變數呢！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E5%87%B9%E5%8C%85">凹包</a></div><div class="field-item even"><a href="/tags/alpha-shape">alpha shape</a></div></div></div>
2022/10/17 07:00作者林信良https://www.ithome.com.tw/voice/153629
2022臺灣資安大會特別報導：人才篇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1099-feng_mian_open-2022zi_an_da_hui_-ren_cai_pian_-960x420_kao_bei__0.jpg?itok=gU5vj-tD" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3成大型企業今年擴編資安團隊，招募數破4千人，3成企業更為阻擋網攻渴求資安老手，法遵要求1,300家上市櫃公司明年增設專責資安，資安人才將會更搶手</p> </div></div></div>
2022/10/17 07:00未署名https://www.ithome.com.tw/article/153634
Google釋出地理多樣性圖片說明資料集Crossmodal-3600
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出圖片說明評估資料集<a href="https://ai.googleblog.com/2022/10/crossmodal-3600-multilingual-reference.html">Crossmodal-3600</a>，該資料集可作為語言圖像說明的基準，使研究人員可以更可靠地研究該領域。Crossmodal-3600以36種語言，對世界各地不同的3,600張照片，加上261,375個人工生成的參考說明，研究人員提到，Crossmodal-3600的圖片說明品質很好，而且在不同語言中維持風格一致。</p> <p>替圖像自動產生說明是近年新興的機器學習領域，針對給定的圖像自動生成自然語言文字，這項工作有助改善視障用戶的可存取性，Google提到，目前用於圖像字幕的資料集主要以英文為主，只有少數資料集涵蓋有限數量的語言，而且這些資料集無法表現全球文化的豐富性和多樣性，也就阻礙了各種語言對圖片說明的研究。</p> <p>Crossmodal-3600包含36種語言，由人工手動對Open Images資料集中3,600張具地理多樣性的圖片，添加261,375個人工生成的參考說明。研究人員選擇英語之外的30種語言，大致根據網路內容所占的百分比，另外，他們還另外選擇了5種資源較少的語言，將英文當作基準，最終產生36種語言的圖片說明。</p> <p>Crossmodal-3600中的圖像使用具有後設資料的Open Images資料集，但因為有許多區域使用一種以上的語言，而且這些圖像並沒有良好地覆蓋部分區域，因此研究人員設計了演算法，來最大化所選圖像和目標語言區域之間的對應關係。</p> <p>Google在各語言區域都對應了100幅圖像，總共3,600張圖片用36種語言進行註解，每種語言平均有兩種註解，總共產生261,375個圖說。經過訓練的模型會先對圖片產生初始的圖說，Google再請註解者評估模型產生的說明，並且隨後要求註解者單獨對每張圖像，添加目標語言的描述性說明，Crossmodal-3600資料集便是由這些註解者編寫的說明組成。</p> <p>研究人員透過訓練4種圖片說明生成模型變體，並使用Crossmodal-3600資料集，比較CIDEr指標和人工評估的輸出，研究人員提到，CIDEr分數差異與人工評估有很強的關聯性，也就是說Crossmodal-3600可針對英語之外的語言，實現自動比較圖片說明品質。</p> </div></div></div>
2022/10/16 21:14作者李建興https://www.ithome.com.tw/news/153645
Dell公布邊緣運算管理軟體Project Frontier
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/dell-technologies-transforms-the-edge-with-project-frontier-software-platform-301647135.html" target="_blank">Dell上周公布邊緣運算營運軟體平臺Project Frontier</a>，配合該公司的強固型硬體產品，提供製造業邊緣運算應用的管理方案。</p> <p>在人工智慧（AI）應用、智慧工廠、VR/AR、大數據分析等應用帶動下，邊緣運算在企業間快速普及。從製造廠房、零售點到偏遠的風機等都部署了邊緣運算，但同時間企業也面臨大量資料管理但人力不足的困境。Dell引述市場分析機構IDC一項調查顯示，全球企業產生的資料每年以9倍成長，到2026年將來到221 exabytes，以有效方案簡化邊緣管理的需求應運而生。</p> <p>Dell的<a href="https://www.dell.com/en-us/dt/solutions/edge-computing/edge-platform.htm" target="_blank">Project Frontier</a>旨在提供邊緣運算環境的應用及基礎架構管理。Dell強調其特色為開放架構支援多種軟體、IoT框架、營運科技（Operational Technologies，OT）及多雲環境，有助於整合現有邊緣應用，並提供中央化管理、零接觸部署和裝置的上線（onboarding）。它內建的自動化機制可減少邊緣站點維運的IT需求。</p> <p class="rtecenter"><img alt="" src="https://www.dell.com/wp-uploads/2022/10/Project-Frontier-graphic-v6-640x331.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Dell</span></p> <p>這項方案也強調整合Dell的伺服器及儲存，以供應鏈安全措施確保從設計到部署的安全性，為應用、資料及基礎架構提供零信任防護。而邊緣運算和儲存硬體與應用的整合，也可強化安全性、降低維護需求。</p> <p>隨同Project Frontier的公布，Dell也宣布Dell認證製造邊緣設計（Dell Validated Design for Manufacturing Edge），將整合特定軟體業者，以加速系統整合商打造製造業的邊緣運算解決方案，以及客戶端部署的速度。現有合作軟體包括網路安全及設備漏洞管理方案Claroty、可以機器視覺提供生產追蹤的Cognex、提供感測器資料分析的Telit、支援工廠運作的數位雙生（digital twin）建構的XMPro等。</p> <p>同時間Dell也宣布搭配製造業邊緣運算管理的硬體產品，包括Dell最短小的多節點強固型伺服器Dell PowerEdge XR4000（下圖），2U機架的設計比一般資料中心短60%，可放在又熱又窄的機房內。此外為了用於在惡劣環境下蒐集資料，Dell提供了Latitude 7230強固型12吋平板搭載Intel 12代Core處理器，具抗沙抗塵、防水及Wi-Fi 6E雙頻支援等能力，還可配合條碼、智慧卡讀取器、GPS模組。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1014-Dell-Edge-Project%20Frontier-Dell%20PowerEdge%20XR4000.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Dell</span></span></p> <p>Project Frontier邊緣軟體平臺預計2023年問世，而Dell認證製造邊緣設計會在2023年初推出。二項硬體方面，PowerEdge XR4000伺服器及Latitude 7230平板將在今年年底上市。</p> </div></div></div>
2022/10/16 21:50作者林妍溱https://www.ithome.com.tw/news/153647
針對Power平臺低程式碼資產治理，微軟推託管環境簡化用戶管理工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudblogs.microsoft.com/powerplatform/2022/10/12/the-future-of-low-code-governance-with-managed-environments-for-power-platform/">微軟宣布正式推出Power平臺託管環境</a>，這是一套管理工具，可讓IT管理員大規模管理Power平臺。用戶僅需要滑鼠點按就能啟動託管環境，託管環境大幅提升Power平臺的可見性，使管理員能藉由每周摘要電子郵件，獲得整個組織應用程式使用匯總資訊，並且強化對低程式碼資產的控制。</p> <p>除了每周摘要，管理員還可以從管理中心主頁的洞察分析卡中，獲得諸如開發者、應用程式和流程等需要被注意的資訊，或是因為未遵守租戶規則而被下架的應用程式。Power平臺託管環境也提供授權報告，管理員可掌握環境中需要關注的授權以及正在使用的授權。</p> <p>管理員可利用應用程式共享控制，管理應用程式的使用權限，除了可以限制應用程式使用人數之外，還能夠透過安全群組來要求人員通過特定訓練，才能開發應用程式，該控制能力使管理員可以在人員入職時採取措施，藉由自定義入職體驗，確保應用程式開發流程符合規範，並將開發者引導至特定組織的內容與指南。</p> <p>Power平臺託管環境提供解決方案檢查工具，供管理員在應用程式搬遷到生產環境之前進行檢查，解決方案檢查工具能夠配置數十條安全、效能和可靠性規則，對違規的解決方案發布警告，或是限制解決方案匯入到託管環境。</p> <p>微軟提到，應用程式治理其中一個困難點在於，難以對所有人實行應用程式生命周期管理。開發者手動將解決方案從開發環境匯出並匯入到生產環境的過程，管理員會失去對應用程式的可見性和控制權。</p> <p>因此託管環境將會在Power平臺內建工作管線支援，開發者將可以使用應用程式生命周期管理自動化，將解決方案從開發環境搬遷至生產環境，過程對開發者不只更直覺，同時管理人員也有更高的可見性和完整稽核追蹤。</p> </div></div></div>
2022/10/16 21:09作者李建興https://www.ithome.com.tw/news/153644
【資安週報】2022年10月11日到10月14日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週的資安新聞中，又傳出針對微軟Exchange伺服器、Zimbra零時差漏洞入侵的消息，突顯企業電子郵件系統持續成為駭客組織的鎖定目標。此外，Fortinet的CVE-2022-40684漏洞修補通知亦成焦點，該公司相隔三日才公布於官方資安通告網站，並說明已有相關攻擊行動。</p> <p>在威脅趨勢上，滲透測試工具Brute Ratel C4出現破解版並在網路犯罪圈散布，最受注目，還有簡體中文管理介面Alchimist的C2框架與Insekt惡意軟體被揭露，以及名為Caffeine的網釣攻擊套件租賃服務（PhaaS）興起的消息。</p> <p>在國際的資安事件中，美國10多座機場網站遭DDoS攻擊，Toyota揭露一起關於委外管理與稽核不足的情形，以及三家澳洲公司近期接連揭露發生資安事件的消息，引發不小的關注。</p> <p>至於資安產業防護動向上，Google將推出的FIDO Passkey受到極大關注，以及半導體產業中的SEMI E187的設備資安標準的Reference Practice指引本週釋出。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153556"><span style="color: rgb(0, 0, 0);">【10月11日】資安業者Fortinet修補漏洞先私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</span></a></strong></h3> <p>為了能讓用戶儘速修補漏洞，IT業者往往會發布資安通告，讓用戶能儘速部署相關的更新程式或是韌體，但最近資安廠商Fortinet揭露這類訊息的方式令人意外，因為對於一個嚴重等級評分高達9.6的資安漏洞，他們並未先在自家網站公告，而是私下向部分使用者通知，有用戶將這訊息公布之後，大家才知道有這個漏洞。</p> <p>因外部廠商管理不當，不慎將用戶資料在網路上公開的情況也相當值得注意。汽車大廠Toyota最近就因為車輛管理系統T-Connect的原始碼公開，導致可存取使用者資料庫的帳密曝光，原因與他們配合的網站開發業者有關。</p> <p>以臉書登入（Log-in with Facebook）的功能相當常見，但也成為攻擊者騙取該社群網站帳號資料的手段！Meta表示他們找到400個惡意App，其共通點就是會要求使用者需要登入臉書帳號，而且，這些應用程式幾乎可從Google Play與蘋果App Store市集下載（現已全數移除）。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153595"><span style="color: rgb(0, 0, 0);">【10月12日】Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</span></a></strong></h3> <p>越南資安業者GTSC在9月底通報的Exchange零時差漏洞ProxyNotShell還沒有得到修補，現在傳出可能又有新的漏洞被用於攻擊行動！微軟傳出針對資安業者AhnLab揭露的勒索軟體LockBit攻擊行動進行調查並得到證實，背後的原因疑似就是與Exchange漏洞有關。</p> <p>上述的ProxyNotShell漏洞經過兩週仍未獲得修補，已讓不少人跳腳，但有漏洞接近一年都還沒有修補程式！研究人員去年11月通報的VMware vCenter Server的漏洞CVE-2021-22048，迄今不只尚未有修補程式，就連大改版vCenter Server 8.0仍存在相關漏洞。</p> <p>國際半導體產業協會SEMI Taiwan針對今年1月推出的半導體產線設備資安標準，他們最近發布了導入指南，並表示未來還會提供更為完備的標準實務指引。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153621"><span style="color: rgb(0, 0, 0);">【10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</span></a></strong></h3> <p>駭客看上近期小型企業面臨通貨膨脹，亟需資金周轉的情況發動網釣攻擊，假借美國政府的名義行騙。但值得留意的是，駭客利用了廣為人知的Google表單來騙取這些企業資料，而使得收信人可能因此降低戒心而上當。</p> <p>引起資安界高度關注，且認為駭客將會用於取代Cobalt Strike的滲透測試工具Brute Ratel C4，<a href="https://www.ithome.com.tw/news/153352#brc4">在網路犯罪圈出現了破解版本後</a>，已被勒索軟體駭客用於實際攻擊行動。</p> <p>在本週的資安公告中，SAP、西門子、Aruba都針對旗下產品發布例行修補，值得留意的是，這些資安通告裡，都提及了CVSS風險評分近滿分的重大漏洞，用戶應儘速套用更新軟體，或是採取緩解措施。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153639"><span style="color: rgb(0, 0, 0);">【10月14日】資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服務Caffeine</span></a></strong></h3> <p>網路攻擊者在APT攻擊中使用現成C2框架的趨勢增加，近來出現一個名為Alchimist的C2框架與Insekt惡意軟體，並是以GoLang程式語言開發，並具有簡體中文的管理介面，疑為中國駭客使用的新攻擊工具。而在此之前，資安業者也曾揭露最近中國駭客最近廣泛使用的Manjusaka，兩者有類似的特點，但研判打造的駭客組織並不相同。</p> <p>在網釣威脅持續嚴峻之下，背後黑色產業中所發展的網釣攻擊套件租賃服務（PhaaS），也持續有新的平臺誕生，近期一款名為Caffeine的PhaaS平臺，正被網路犯罪分子廣泛用於網釣攻擊活動。</p> <p>此外，近日國際間出現結合網釣與語音誘騙的手法，值得金融業及用戶留意，已有多家義大利金融業遭冒名。</p> </div></div></div>
2022/10/16 13:08作者羅正漢https://www.ithome.com.tw/news/153646
【資安日報】2022年10月14日，資安業者發現簡中介面的C2攻擊框架Alchimist、駭客使用新網釣攻擊套件租賃服…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路攻擊者在APT攻擊中使用現成C2框架的趨勢增加，近來出現一個名為Alchimist的C2框架與Insekt惡意軟體，並是以GoLang程式語言開發，並具有簡體中文的管理介面，疑為中國駭客使用的新攻擊工具。而在此之前，資安業者也曾揭露最近中國駭客最近廣泛使用的Manjusaka，兩者有類似的特點，但研判打造的駭客組織並不相同。</p> <p>在網釣威脅持續嚴峻之下，背後黑色產業中所發展的網釣攻擊套件租賃服務（PhaaS），也持續有新的平臺誕生，近期一款名為Caffeine的PhaaS平臺，正被網路犯罪分子廣泛用於網釣攻擊活動。</p> <p>此外，近日國際間出現結合網釣與語音誘騙的手法，值得金融業及用戶留意，已有多家義大利金融業遭冒名。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/2022/10/alchimist-offensive-framework.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現鎖定Mac、Linux與Windows的全新中文C2攻擊框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco Alchimist.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Cisco%20Alchimist.png" style="width: 320px; float: right;" /></a></p> <p>Cisco旗下Talos在13日揭露新威脅，他們發現使用中文敘述的C2攻擊框架Alchimist，包含名為Alchimist的C2工具，以及遠端管理功能的惡意軟體Insekt。特別的是，這個Alchimist具簡體中文網頁介面，且框架及所有文件都是以GoLang程式語言所撰寫，能跨平臺執行，鎖定Windows、Linux與Mac設備攻擊，且功能豐富。此外，該伺服器還含有名為fscan的內網掃描工具。研究人員除了解析Insekt RAT的惡意行為，也指出有許多跡象顯示，網路攻擊者正迅速採用現成的C2框架，來執行他們的行動。</p> <h3><a href="https://www.itnews.com.au/news/medibank-takes-systems-offline-after-cyber-incident-586417?utm_source=feed&utm_medium=rss&utm_campaign=iTnews+Technology+feed"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲Medibank保險公司遭網路攻擊，調查未經授權存取事件並關閉多項服務</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank Cyber Incident.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_Medibank%20Cyber%20Incident.JPG" style="width: 280px; float: right;" /></a></p> <p>澳洲<a href="https://www.medibank.com.au/livebetter/newsroom/post/medibank-cyber-incident">Medibank保險業者在13日公告</a>遭遇網路攻擊事件，內部網路檢測到異常活動，已立即採取應變措施，包括關閉一些客戶對系統的登入存取，以減少系統毀損或資料外洩的可能性，並指出ahm品牌的澳洲健康管理系統與國際國際學生政策管理系統將暫時停止服務，同時也說明，目前並未發現有敏感資料與客戶資料被存取的跡象。</p> <h3><a href="https://www.mandiant.com/resources/blog/caffeine-phishing-service-platform"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又出現新的網釣攻擊套件租賃服務Caffeine，開放註冊的特性將讓攻擊門檻更低</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-Mandiant-Caffeine.png" style="width: 280px; float: right;" /></p> <p>Mandiant研究人員在本月10日指出，新的Caffeine網釣攻擊套件租賃服務（PhaaS），正受到網路犯罪分子的青睞。</p> <p>在幾個月前，資安業者Resecurity曾揭露EvilProxy的面貌，這次Mandiant則指出，今年3月他們關注到名為Caffeine（咖啡因）的平臺服務，並持續進行追蹤，其最大特色就是任何擁有電子郵件地址的人都能註冊，無須經過審核就能使用，等於又再降低攻擊發動的門檻。而且該平臺具有直觀的操作介面，並提供多種功能，包括網路釣魚工具包，管理重新導向頁面，動態生成URL與活動追蹤等。隨著這類平臺的不斷出現，將促使技術能力低的網路犯罪分子，有能力發動更多網釣攻擊活動。</p> <h3><a href="https://www.threatfabric.com/blogs/toad-fraud.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">當心駭客利用網釣結合語音手法誘騙受害者安裝Android金融木馬的新趨勢，已有義大利網路銀行被鎖定</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14-ThreatFabric-TOAD.png" style="width: 280px; float: right;" /></p> <p>金融業及其用戶注意！在國際間，荷蘭行動資安業者ThreatFabric在12日公布一項研究，攻擊者不僅假冒銀行或官方執法單位名義，並結合網釣結合語音誘騙方式，目的是讓金融用戶自行安裝金融木馬。</p> <p>根據該公司最近的調查，他們發現針對多家義大利銀行及其客戶的攻擊行動。在網路上，出現偽冒成義大利金融服務業者與政府反詐騙服務單位的大量釣魚網站，目的是蒐集蒐集Email、PIN碼、手機號碼等個人資料，還會要求設定安全性問題，若用戶完成註冊，會有假客服人員來電指引受害者一步步上鉤——對方假借用戶需在手機上安裝必要的安全App的名義，要求用戶下載假安全App，實際上，則是安裝Android金融木馬Copybara。</p> <h3><a href="https://blog.cloudflare.com/cloudflare-ddos-threat-report-2022-q3/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TB級DDoS攻擊頻繁，臺灣第三季遭受攻擊流量增加20倍，網路媒體與網路產業最嚴重</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_163920_Cloudflare%20Q3%20DDoS.JPG" style="width: 280px; float: right;" /></p> <p>Cloudflare今年Q3的DDoS威脅報告出爐，當中指出臺灣與日本均出現這類攻擊大增的狀況，其中臺灣企業遭遇HTTP DDoS攻擊，較前一季成長2倍，遭受網路層DDoS攻擊的年增率更是達1,921%。</p> <p>值得注意的是，在8月初美國眾議院議長Nancy Pelosi訪臺之際，當時有臺灣數個政府網站遭DDoS攻擊的消息，不過，在此報告中，更明確指出臺灣本季受此危害較嚴重的受害產業類型，主要是線上媒體（50%）及網際網路（23%）等兩種業者。此外，本季最嚴重是針對微軟Minecraft遊戲服務器的2.5 Tbps流量攻擊，以及Mirai及其變種攻擊大增4倍的情況。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153589"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對軟體供應鏈推出安全解決方案Software Delivery Shield</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-14_164144_Google%20Software%20Delivery%20Shield.JPG" style="width: 280px; float: right;" /></p> <p>Google為了進一步幫助其用戶完善軟體供應鏈安全，11日正式宣布推出Software Delivery Shield全託管解決方案，其應用範圍橫跨多個Google雲端服務，從開發者工具到GKE、Cloud Code、Cloud Workstations、Cloud Build，一直到Artifact Registry、Cloud Deploy、Binary Authorization等，幫助保障供應鏈從開發到生產每個階段的安全。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/153615"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Android與Chrome今年將支援Passkey功能，無密碼時代近了</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153619"><span style="color: rgb(0, 0, 0);">【臺灣資安大會直擊】實現人盡其才，如何用才很重要</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153614"><span style="color: rgb(0, 0, 0);">資安需求已擴大，面對人才供給的挑戰，培育方向要更寬廣，不只重實務還要考量各種資安人才的養成</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.trendmicro.com/explore/glrans"><span style="color: rgb(0, 0, 0);">趨勢科技研究報告指出，超過七成的台灣企業供應鏈曾遭勒索病毒襲擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153621">【2022年10月13日】駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試工具BRC4入侵受害組織</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153595">【2022年10月12日】 Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> </div></div></div>
2022/10/14 16:27作者羅正漢https://www.ithome.com.tw/news/153639
微軟推出Microsoft Syntex供企業於工作流程整合內容AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Ignite大會上推出，能夠與企業工作流程整合的內容人工智慧服務<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2022/10/12/welcome-to-microsoft-syntexcontent-ai-integrated-in-the-flow-of-work/">Microsoft Syntex</a>，Syntex可讀取、標記、索引大量內容，並在搜尋、應用程式中作為可重複使用的知識，用戶可將其用於客戶交易、發票處理或是簽署合約等。</p> <p>Syntex是一個無程式碼人工智慧工具，能夠協助用戶理解和建構資訊，進而簡化業務工作流程，在處理表單這類高度結構化的內容，以及合約這類具有龐大文字量的文件，Syntex可以按照用戶建構的模型理解內容，並於Microsoft 365應用程式中，使用到Syntex摘要與翻譯等功能，在日常業務運用人工智慧加速工作流程。</p> <p>Syntex能夠協助用戶理解、標記並保護資訊，微軟提到，該服務整合Azure、AI Builder和其他來自微軟的人工智慧功能，快速分類文件並且使用擷取的資料進行分類，同時以敏感度和保留標籤來保護重要文件，標籤和分類都會整合到Microsoft Viva主題中，將內容轉化成知識。</p> <p>同時Syntex也具備完整自然語言處理功能，包括翻譯、總結，在需要創建合約、發票和信件時，Syntex可以運用現有的可用內容（下圖），自動生成模板和後設資料。Syntex也能處理圖像、音訊和影片這類多媒體，Syntex提供約1萬個開箱即用自動辨識物件，供用戶標記圖像，而光學字符辨識（OCR）功能則可以從SharePoint和Exchange圖像中自動擷取文字，用於最佳化搜尋和法遵目的。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/uploads/prod/sites/2/2022/10/CAAE-min.gif" style="width: 580px; height: 326px;" /></p> <p>音訊和影片可以運用Syntex進行轉錄，用戶藉由將音訊轉錄成文字，同樣能用於搜尋和法遵目的，另外，Syntex也結合Microsoft Stream技術，對影片產生28種語言的字幕。Syntex整合了微軟搜尋技術，以深度學習模型理解語意、處理問答和自然語言，微軟預告，在2023年，Syntex還會加入自然語言查詢、語意搜尋和常見問答功能。</p> <p>微軟提到，Syntex整合Microsoft Power Automate和Microsoft Power Platform，使用戶可以將AI Builder模型和非結構化文件模型，一起用於處理結構化和自由格式文件。針對企業中的各項業務，微軟將會推出業務應用整合擴充套件，使用戶可以將Microsoft 365當作Dynamics 365和其他第三方重要業務應用程式的內容平臺。</p> <p>Syntex的內容管理功能Protector，能夠讓用戶制定存取控制政策和文件庫安全性，確保核准的內外部資源才能存取敏感資料，且透過人工智慧提供資料治理報告，讓用戶快速發現資料使用異常。在明年微軟將會推出Syntex封存功能，供用戶建立規則，將較不重要的內容從SharePoint和Microsoft Teams轉移到成本更低的儲存中。</p> </div></div></div>
2022/10/14 16:02作者李建興https://www.ithome.com.tw/news/153638
資安你我有責，不只是資安人才的事
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣治安良好，是全世界公認最安全的國家之一，不過，在這份得來不易的安全感背後，也使得不少人失去警覺，2014年台北捷運發生隨機殺人事件之後，讓全民意識到搭乘令人信賴的大眾交通工具時，仍要時時注意周遭環境的變化，因為各種人為或天然的意外狀況有可能隨時發生。不過，隨著數位技術的普及，每個人身上都有許多數位資產需要保護，該關注的風險範圍已經變得更廣泛。</p> <p>舉例來說，搭乘捷運時，我們可能常看到有些乘客並不重視他們的身分安全，不少人為了方便刷卡，竟然大剌剌地將門禁卡，或是一卡通、悠遊卡這類電子票證，直接懸掛在背包最外側，而不需從口袋取出刷卡。然而，這麼一來，當他在路上或電扶梯行進時，那些證件就暴露在非常容易存取的位置，任何從他身後悄悄接近的人，可能只需輕輕一剪就能取走，或是用側錄設備擷取資訊，之後再設法進行盜刷或複製。</p> <p>財不露白的確是常識，一般人不會把錢包、證件直接掛在背包最外側，招搖過市，然而，在數位世界當中，由於身分、支付方式的整合，很多人在享受快速通關與交易便利的同時，卻可能不知道或忽略自我保護，而使得自己陷入高風險的狀態。</p> <p>事實上，對很多人而言，資安是別人的事，就像很多人會認為維持治安是警察的工作、守護健康是醫護人員的職責、確保國家安全是軍人的使命，然而，經歷兩年多來的COVID-19全球疫情洗禮，以及今年發生的烏克蘭戰爭，有越來越多人體會到我們自己也必須採取行動。</p> <p>就像過去這段疫情反覆爆發期間，臺灣民眾落實戴口罩、勤洗手、及早施打疫苗，配合入境居家檢疫與居家隔離的政策，而進出公共場所時，大家也都非常認真地拿出手機掃描QRCode，透過簡訊實聯制幫助政府做疫調。而在烏克蘭戰爭開打之後，出現民間團體發起急救防護的應變訓練互助活動，使得臺灣社會重新思考民防的重要性。</p> <p>國防部也正在研擬常備兵役延長役期，或許等到年底九合一地方選舉結束之後，政府相關的政策應該會更明朗，期盼在全民國防意識重新啟動的此刻，能夠創造出公私協防的新典範，而對於推動教官退出校園的轉型正義工程，或許也能將其引導至全民國防教育的實踐，徹底擺脫威權管教的角色扮演。</p> <p>當全民國防已成為共識，資安防護更是如此，而且，必須從每個人做起，隨著智慧型手機、物聯網設備的普及，大家不只是因為資安威脅造成的破壞而受到間接影響，更可能是網路攻擊、惡意軟體的直接目標。而且，現在所要強化的資安防護工作，並不只是安裝防毒軟體與架設防火牆，而是要有足夠的資安意識，以及保持良好的網路衛生習慣，在使用電腦、操作系統、進行線上交易的過程中，時時提高警覺、盡量避免高風險，注意是否出現異狀，才能提高自己的數位「免疫力」。</p> <p>事實上，資安人員就如同防疫醫護人員，他們的主要工作包含事前預防、事中調查、事後復原，若每個人的資安意識不足、網路衛生習慣不佳，一旦面臨數位疫情大爆發，就算有再多的人力、再強的技術，可能都不夠用或是無法及時復原。</p> <p>然而，如果每個人都謹守資安份際，是否就不需要那麼多資安人才？</p> <p>事實上，從傳統地下經濟發展到現在，資安威脅陸續出現越來越多的獲利管道，連一些國家也加入資助行列，甚至借鏡現今流行各種商業趨勢與活動，像是服務化（As a service）概念、漏洞懸賞獎金比賽，持續壯大營運模式，使得網路攻擊與惡意軟體的手法不斷翻新，而且，「層出不窮」一詞已無法概括其難纏之處，「無孔不入」更是讓所有人都感到頭痛的部分。</p> <p>因此，我們必須有足夠資安人力，設置與守護層層防線，才能持續掌握情資，根據威脅變化而能動態調整因應策略，身為受保護對象的我們，也能知道最優先落實的部分。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E7%B6%B2%E8%B7%AF%E8%A1%9B%E7%94%9F">網路衛生</a></div></div></div>
2022/10/14 13:26作者李宗翰https://www.ithome.com.tw/voice/153626
談API設計原則
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-web_apishe_ji_yuan_ze_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當一位開發者在思考軟體設計時，腦中迸出的會是一堆類別、方法、函式、模組、資料庫等技術概念；而UML、流程圖、一堆框框和箭頭則用於協助我們理解程式的邏輯，不論是技術概念還是流程圖，我們在使用這些工具的同時實際上也是在進行一場彼此的溝通與交流。</p> <p>同樣的，API的設計也是一種溝通，但不只是團隊內成員彼此的溝通，而是更大範圍的對外溝通，這些溝通我們又分成三個面向：</p> <p><strong>1. 網路面的溝通：</strong>API的設計過程中必然會涉及到通訊協議的選擇，而通訊協議的選擇對API的溝通效率有著顯著的影響，例如HTTP較適用於粗粒度的訊息交換，較不適合用於高密度通訊的場景，而像是MQTT（Message Queuing Telemetry Transport，訊息佇列遙測傳輸）則更適合細粒度的訊息交換，也就是高密度通訊場景。通訊協議影響了API的使用場景，我們在決定通訊協議時，應該要把應用場景中網路或設備可能會發生的效率問題也納入考量。</p> <p><strong>2. 開發者面溝通：</strong>對開發者而言，API的設計與文件就像是給他們的用戶介面，開發者透過文件才有辦法知道一支API的使用方式與時機，文件還能告訴開發者如何混搭不同的API操作，來達成更複雜的目的，對於開發者溝通，我們建議在API設計流程中盡早納入來自開發者的意見，才能設計出真正符合他們需求的API。</p> <p><strong>3. 市場面的溝通：</strong>透過API設計與文件，市場上的用戶、夥伴，以及開發人員才有辦法得知API具備那些數位能力，以及能幫他們達成什麼樣的目的，一個好的設計有助於API對市場面的溝通並促使人們善加利用他們。</p> <p>如何建立有效的溝通，是從事API設計時的重要課題，而API設計流程能幫助我們去思考不同角度的溝通需求。</p> <p><span style="font-size:28px;"><strong>檢視軟體設計原則</strong></span></p> <p>所謂的軟體設計，關注的是軟體元件間的組成架構與通訊，而程式碼註解、時序圖（sequence diagram）、設計模式等，則是人們用於彼此溝通的工具，程式的通訊與人際的溝通，他們具有相同的本質。</p> <p>API設計的基礎原則來自於軟體設計，差異在於API的交流對象更廣，不只侷限在組織內部，也擴及到外部的開發者，因此儘管模組化、封裝、低耦合、高內聚等這些軟體設計的概念也適用於API設計，開發者也早已熟悉，但下面我們會一一檢視將它們用於API設計時應額外考量的點。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>模組化</strong></span></span></p> <p>「模組」是軟體程式中最小的構成單元，模組由一系列的類別、方法、函式所構成，模組可對外提供局部（local）、公開（public）的API，透過 API實現某些特定的機能或商業能力，模組有時也被稱為元件或函式庫。</p> <p>大部分的程式語言都有提供模組化的特性，他們多半是用套件（package）或命名空間（namespace）來定義模組，當我們將那些彼此相關的程式碼歸納在同一個命名空間之下，這就是所謂的高內聚性（high cohesion），再透過程式語言的存取修飾器（access modifier）將模組內的實作細節隱藏起來。以Java 為例，它可以用public、protected、package、private這些關鍵字來設定一個模組的存取範圍，實現模組間的去耦合化（loose coopling）。</p> <p>當許多的模組整合在一起，即成為一個系統，而子系統則是介於系統與模組間的單位，它也被視為一個整合了幾個相關模組的大模組。</p> <p>模組與封裝的概念也同樣適用於Web API，它能幫助我們劃分每個API所擔負的功能，一方面確保了每支API的角色分明，一方面展現了API的數位能力，並且隱藏了內部細節，開發者將能更容易理解API，並且更快的對其上手。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>封裝</strong></span></span></p> <p>封裝用於隱藏元件的內部細節，我們會用範圍修飾器（scope modifier）來限定一個模組可被存取的範圍，把一個有對外API的模組將內部細節隱藏起來，就算內部實作被修改，但只要不改變對外的API特性，任何依賴此API的外部程式就不會受到任何影響，有時我們將封裝稱為資訊隱藏。</p> <p>封裝的概念在Web API被進一步的延伸，不僅是程式碼的實作細節被隱藏，包括Web框架、系統內的類別／物件、資料庫的設計等等也都被隱藏，形成更進一步的去耦合化，用戶只需要關心如何與API進行通訊，而不用去管API內部的那些實作細節，像是付款閘道內部是怎麼運作之類的，藉由封裝的機制，API用戶可以忽略那些內部細節，把心力投注在真正該重視的商業目標。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>高內聚低耦合</strong></span></span></p> <p>內聚性（cohesion）指的是一個模組中的程式碼只與該模組內的其他程式碼有關，不與模組外的程式碼相關，以避免產生出俗稱「義大利麵」式盤根錯節、低內聚性的程式碼。</p> <p>耦合性（coupling）是我們用來衡量模組間彼此獨立性的詞彙，高耦合的意思是兩個模組內的實作細節彼此高度依賴，反之低耦合指的是兩個元件的內部細節不互相依賴，彼此只透過外部的公開介面或程式語言的API溝通。</p> <p>Web API延續了這樣的概念，在API設計上我們也會將相關性高的API操作群集起來，並把API與API間的內部細節封裝起來，形成高內聚、低耦合的架構。</p> <p><span style="font-size:28px;"><strong>Resource-Based API設計</strong></span></p> <p>數位世界的文件、圖像，或者實體世界的人員、物件，我們都可統稱為實體，而資源可以用於表示一個實體或是一系列實體的集合，每個資源都會被賦予特有的名稱或識別代號，而有時候資源也指涉商業流程、工作流程等更抽象的概念。</p> <p>Resource-based API（以資源為基礎的API）關注的是網路兩端的資源互動行為，與內部的資料庫結構或程式物件無關，resource-based API為每種資源提供特定的資源行為，以及提供特定的格式，例如JSON或XML，讓外部程式，不論是Web app或手機app都能與資源進行互動。</p> <p><span style="color:#B22222;"><span style="font-size:20px;"><strong>資源≠資料模型</strong></span></span></p> <p>必須意識到的是，資源並不全然等於資料庫中的資料模型，資料庫的資料模型更著重在表達資料庫中的欄位、型別等資料結構上的規劃，以及讀寫效能、報表生產等的效率。</p> <p>儘管資料也是API的一部分，但API設計中的資料不應該全盤照抄資料庫的資料規劃，資料庫的資料有它自己的特殊需求，例如讀寫效能、儲存最佳化、查詢效能等，著重的是更底層的效能考量。</p> <p>如同人們對程式語言及框架的愛好不斷改變一般，人們對資料庫的選擇也不斷在變，一旦把API的資料直接取自底層的程式物件或資料庫，那麼一旦內部實作或欄位設計變更，那API的資料格式也必然得跟著變更，而這很有可能破壞既有的串接。</p> <p>在Web API設計上，我們追求的是交付正確的結果、好的使用體驗、選擇適當的通訊協定、避免被特定語言綁定等，因為API涉及的是跨系統間的資料交換，它應該盡可能地使用固定的資料格式，而底層的資料模型缺不具備這樣的特性，他們很可能會隨著不同的取用需求而不斷增減。</p> <p>雖然底層數據模型的決定的確可能會影響API的資料格式，但API在設計之時應盡量避免被特定的資料庫特性綁定。<span style="color:#696969;"><strong>（摘錄整理自《Web API設計原則》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98(11).jpg" style="width: 250px; height: 290px;" /></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <strong><span style="color: rgb(51, 153, 255);">Web API設計原則：API與微服務傳遞價值之道</span></strong></p> <p>James Higginbotham／著</p> <p>洪國梁／譯</p> <p>碁峰資訊出版</p> <p>定價：520元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Web%20API_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_James%20Higginbotham(2).png" style="width: 200px;" /></p> <p><span style="font-size: 14px;">圖片來源／James Higginbotham</span></p> <p><strong>James Higginbotham</strong></p> <p>James Higginbotham是開發者，也是架構師與顧問，在開發、部署應用程式、API等方面有超過25年的經驗，他的諮詢公司LaunchAny主要負責輔導企業數位轉型，經驗涵蓋銀行業、保險業、服務業、旅遊業以及航空業等，幫助企業將商業、產品、技術整合成模組化的架構，使企業成為可承載多元模組的戰略平台。</p> </div></div></div>
2022/10/14 13:29未署名https://www.ithome.com.tw/article/153628
蘋果將與高盛證券合作，推出高利率Apple Card儲蓄帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2022/10/apple-card-will-let-users-grow-daily-cash-rewards-while-saving-for-the-future/" target="_blank">蘋果周四（10/13）宣布</a>，將與高盛證券（Goldman Sachs）合作，推出高利率的Apple Card儲蓄帳戶，雖然蘋果尚未公布相關利率，但高盛證券在美國所推出的Marcus高利率儲蓄帳戶的年利率為2.15%。</p> <p>Apple Card是蘋果與高盛證券在2019年所推出的信用卡服務，這是針對iPhone用戶所設計的數位信用卡，可直接透過Apple Pay使用，強調安全、方便管理支出，以及消費回饋。蘋果也替Apple Card設計了實體卡片，但其象徵意義大過於實用價值，此外，即使蘋果當初野心勃勃地想把Apple Card推廣至全球市場，可迄今仍僅侷限於美國市場。</p> <p>Apple Card提供許多消費回饋，例如若是透過Apple Pay以Apple Card購買蘋果或特定品牌的商品，就能獲得3%的回饋；若以Apple Pay+Apple Card購買其它品牌則有2%的回饋，若是以Apple Card實體卡消費亦有1%回饋，相關回饋金額都將存放於Daily Cash，並自動轉至Apple Cash卡，可直接用來消費。</p> <p>而當Apple Card用戶設定了新的高利率儲蓄帳戶之後，即可讓Daily Cash自動轉存至該帳戶，或是把Apple Cash與其它銀行帳戶的款項轉至該高利率帳戶。且使用者隨時可將該帳戶的金額免費轉至Apple Cash進行消費。</p> <p>Apple Card高利率儲存帳戶並不收取任何管理費，也沒有最低存款或餘額要求，預計在數月後上線。</p> </div></div></div>
2022/10/14 14:01作者陳曉莉https://www.ithome.com.tw/news/153636
Q3微軟Minecraft遭到Mirai每秒2.5TB流量攻擊，針對臺灣的DDoS攻擊增加20倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/cloudflare-ddos-threat-report-2022-q3/" target="_blank">安全廠商Cloudflare指出</a>，幾個月前該公司阻擋了一波惡意程式Mirai殭屍網路針對微軟遊戲Minecraft伺服器高達2.5Tbps的DDoS攻擊。該公司也發現，針對臺灣的應用層及網路層DDoS攻擊，各成長了200%及20倍。</p> <p>Cloudflare在第三季DDoS威脅報告中說明，趨勢之一是Mirai及其變種攻擊次數大增405%。Mirai通常感染執行ARC處理器的智慧連網裝置為目標，藉以發動DDoS攻擊。公司當季偵測到數波超過1Tbps的DDoS攻擊，最大的一波攻擊對象是Minecraft名為Wynncraft的伺服器（下圖）。</p> <p class="rtecenter"><img alt="" src="https://blog.cloudflare.com/content/images/2022/10/1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>這波攻擊是由UDP及TCP洪水流量組成的多向攻擊，歷時約2分鐘，每秒HTTPS請求數（rps）達2,600萬次的攻擊則歷時15秒，Cloudflare表示，這波攻擊不但是上季最大，從位元速率（bitrate）角度看，也是該公司偵測到史上最大的攻擊。</p> <p>Cloudflare的資料顯示第二項趨勢是，上季東亞臺灣和日本遭到的DDoS攻擊增加。其中臺灣企業遭遇HTTP DDoS攻擊較前一季成長200%，較前一年也上升60%。</p> <p>8月初因美國眾議院議長Nancy Pelosi訪臺，引發臺灣數個政府網站遭DDoS攻擊，但根據Cloudflare報告，上季對臺灣的應用層HTTP DDoS攻擊中，以線上媒體（50%）及網際網路（23%）為最大受害產業。Cloudflare的資料顯示，攻擊來自全球各地，顯示是以使用殭屍網路發動。</p> <p>而在網路層DDoS攻擊方面，上季Cloudflare臺灣資料中心偵測的攻擊較一季增長207%，比起去年更成長為20倍（1,989%）。</p> <p>針對日本的應用層DDoS攻擊則季增105%。攻擊目標以網路媒體、業務服務及政府為最大比例。網路層DDoS也呈現驟增，季增和年增分別為278%及1,921%。</p> </div></div></div>
2022/10/14 12:15作者林妍溱https://www.ithome.com.tw/news/153632
臺大資管系教授、前NCC委員孫雅麗：企業建置5G專網不可忽視資通安全，5項安全議題要注意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「5G除了公眾網路，也是因應企業在數位轉型過程通訊需求的重要驅動力，5G的價值就在服務垂直應用領域」，臺灣大學資管系專任教授，過去曾任NCC委員的孫雅麗說。</p> <p>目前全球5G標準仍在演進中，現今的5G公眾服務主要基於3GPP R15標準，強調大頻寬（eMBB），孫雅麗表示，這是第一階段，更重要的是第二階段才是開啟5G的新紀元，2020年通過的3GPP R16，還有在今年6月通過的R17，高效能、可靠性、超低延遲及邊緣運算，才能真正發揮5G在垂直應用領域的價值。</p> <p>5G專網成為驅動企業轉型的重要通訊技術，除了各國投入企業專網，臺灣也不落人後。今年7月，NCC已公告行動寬頻專用電信網路的管理辦法草案，供企業未來申請專網使用頻段的依據，目前該草案正在公告階段，未來只要開放申請，企業就能依據管理辦法，向NCC申請專用頻段以建置5G專用網路。孫雅麗在NCC委員任內參與草案規畫，熟悉管理辦法草案的她從學者角度，看國內5G專網法規面、架構及資安挑戰。</p> <p>孫雅麗表示，德國、法國、香港、日本都有專用的頻段讓企業建置專用5G網路，臺灣目的是推動數位產業、數位經濟及數位企業。政府預計釋出的專用頻段為4.8到4.9GHz的100MHz頻寬，作為5G專網頻譜使用。目前已開放企業PoC驗證建置實驗網路，預估在今年底完成釋照。由於該頻段為和諧共用，必需確保互相不干擾正常運作。</p> <p><span style="font-size:20px;"><strong><span style="color:#B22222;">企業建置5G專網不可忽視資通安全</span></strong></span></p> <p>依據公告的行動寬頻專用電信網路管理辦法草案第4條，依專網設置用途分為公共服務網路、自用網路2種，其中申請自用網路需提出網路設置計畫，說明設置的目的、用途、應用情境、場域範圍、無線電頻率使用規畫等，其中也包括防干擾規畫，孫雅麗認為，干擾將是設置專網很重要的資安疑慮，如果有心人特意干擾台積電的專網，影響台積電的正常運作就會造成不小的損失。</p> <p>過去對專用電信網路不允許連接公眾電信網路，然而，NCC考量到數位時代，企業應用需要連接雲端運算、儲存等資源，因此草案開放專用電信網路可連接雲端。孫雅麗表示，企業建置專用電信網路自行使用，不只是涉及企業自己的利益，也關係到產業的穩定，專網使用國家的頻譜，也悠關國家的經濟、安全，因此草案也要求專頻專網的電信設備，必需符合國家安全考量。</p> <p>事實上，國內早在4G時代就基於國家安全，禁止國內電信業者採購中國的電信設備，後來隨著美中關係緊張，美國禁止電信商使用中興、華為等中國的設備，英國也宣佈禁用華為的5G設備。依據行動寬頻專用電信網路管理辦法草案，不只是電信商禁用中國的電信設備，國內企業建置5G專案也要考量國家安全。</p> <p>孫雅麗也提醒，專網的網路架構除了可連接雲端，尚有許多網路營運管理的問題，值得注意可能帶來的資安威脅及風險。</p> <p>因此在管理辦法草案中，要求設置自用網路者如為上市、上櫃公司，需提出資通安全維護計畫經主管機關審核，維護計畫需包括資通安全的目標及維護範圍、專責組織、風險評估、防護及控制措施、安全事件通報機制等，如果非上市櫃公司，只要檢具資通安全維護計畫供主管機關備查即可。</p> <p>由於使用無線頻譜資源建置網路，依法電信商需提出資通安全計畫，在企業專網管理辦法中，企業也不例外。</p> <p>孫雅麗表示，上市、上櫃企業需對股東負責，其正常運作不只是自身的利益、商譽，也關乎產業穩定、國家安全，提出資通安全維護計畫供主管機關審核，同時也呼應金管會對上市櫃公司要求設立資安長的政策。而相較於電信商提出資通安全維護計畫，內容要求較嚴格，有較多的項次，為了減輕企業申請專頻專網的負擔，NCC簡化企業申請建置專用電信網路的資通安全維護計畫項次，保留基本要求，例如對專網維運的最小安全風險評估、控管、安全事件通報機制。</p> <p>5G在垂直場域的應用之一是，工業物聯網在工廠自動化的應用，孫雅麗指出，自動化不是只有不開燈工廠，更重要的是追求智慧化，而工廠內的工具機對網路有高頻寬、低延遲的連線需求，才能達到彈性製造、無線連網的需要。過去，因為Wi-Fi訊號不夠穩定，斷訊可能導致工安或生產品質的問題，而4G在頻寬、延遲、移動及安全可能也無法滿足需求，因此過去大多使用有線的方式連網。</p> <p>「未來智慧製造趨勢有幾項要求，連線、即時監控、高穩定度，以及牽涉到營運所需要的安全」，孫雅麗說。企業使用的網路一旦遭入侵，不僅可能造成企業的財務、商譽損失，更可能影響到產業穩定、國家的安定及社會經濟，因此5G專網的安全也涉及國家安全。</p> <p>以一座強調時間延遲（time critical）設計的智慧工廠為例，部署IIoT 5G及MEC網路，各式各樣連網設備，例如工控系統、AGV、攝影機、AR/VR、員工穿戴裝置等，經由5G基地臺連到5G核網，再經由UPF（User Plane Function）連接邊緣雲MEC系統，由MEC上執行數個控制服務，包括AGV控制、機器手臂控制、影像AI分析、IIoT等。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>5項安全議題不可忽視</strong></span></span></p> <p>從此一IIoT 5G與MEC部署的案例來看，孫雅麗認為有5項相關安全議題值得關注，包括整合存取及身分管理、UPF的流量控制管理、持續即時監控營運及登入、第三方代管5G核網、第三方代管邊緣運算。</p> <p>整合存取及身分管理部分，5G專網在使用者端是利用SIM或eSIM認證終端設備5G接取的使用權，一旦SIM卡被抽出，使用在陌生的設備就可能造成安全問題，因此除了SIM卡認證，也要對終端設備進行認證，避免非授權設備透過SIM卡連至5G專網。更進一步強化專網的接取安全，還要對終端設備上的應用、邊緣運算上的應用進行認證，同時要一對一綁定，換言之，在終端設備上的某項應用，只能接收邊緣運算伺服器某項應用的指令，即不能有通過認證的終端設備連到不該連的邊緣運算伺服器及應用。</p> <p>UPF在5G中負責傳遞封包，是5G及下一代網路以服務為基礎（Service based architecture）架構的關鍵部分，UPF的使用者流量控制，負責封包路由及QoS服務品質控制的角色，控制資源管理、上傳分類，確保某些應用服務獲得高頻寬、低延遲的網路品質。</p> <p><strong>UPF在5G專網控制使用者流量、QoS的服務品質，在專網的資通安全重要性上不容忽視：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/is.jpg" style="width: 600px; height: 439px;" /></p> <p>孫雅麗指出，確保UPF的安全，應該避免非授權的終端設備或應用接取後端的MEC伺服器，反之亦然，後端的MEC伺服器如果被入侵，無法任意下指令讓機器手臂斷線，影響整個生產線。由於UPF的流量控制、路由組態設定，是透過MEC，經核網的SMF（Session Mgmt Func）來設定，因此要確保UPF的安全，需保護MEC到核網間所有元件的運作安全。確保所有元件不被入侵，包含終端設備不被偽造，中間的訊息交換安全。</p> <p>另外，因資安威脅無時無刻存在，5G專網必需要持續的即時監控營運及登入是否出現異常，包括時刻追蹤現在的組態設定是不是如預期的正常運作、偵測威脅，以及確認安全控管措施是否失效或是沒有完善之處，並評估安全團隊預防或快速應對資安威脅的能力。</p> <p>考量到企業可能缺乏經驗、技術建置及管理5G專網，行動寬頻專用電信網路管理辦法草案讓企業可委託第三方管理5G核網，孫雅麗指出，受委託的業者必需可信任，具備足夠的資安能力，且可以保護客戶的資料隱私，還有具管控能力，企業雖可委託第三方管理其5G核網，但並不是所有事都交給被委託廠商就好了，企業也要知道委外廠商如何防護專網安全，發生什麼異常情形等等。相同地，企業如將MEC邊緣雲委託第三方管理，也同樣必需委託給信賴的業者，知道委外業者如何確保邊緣雲安全、確保客戶資料隱私，以及具管控能力。</p> <p>她表示，5G專網對企業推動數位化而言，帶來的優勢以提升效率，被視為改變遊戲（Game Changer）的關鍵。5G專網在規畫、部署、運作、維運的複雜，企業計畫導入應該好好思考是否具備導入的能力，雖然市場上有專網服務商、設備供應商、系統整合商，甚至第三方代管，不論是否委外，導入專網的企業都應對專網的具備管控能力，企業不該忽視專網的安全，專網的安全不只對企業而言，對國家安全、整體社會經濟的穩定也很重要。</p> </div></div></div>
2022/10/14 12:24作者蘇文彬https://www.ithome.com.tw/news/153631
Netflix將在11月推出廣告版服務，每月6.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.netflix.com/en/news/announcing-basic-with-ads-us" target="_blank">全球最大影片串流平臺Netflix（網飛）本周宣布</a>，即將在今年11月3日於全球12個國家推出廣告版的串流服務Basic with Ads，平均每個小時的影片會有4~5分鐘的廣告，每月的訂閱費率為6.99美元，臺灣並未在第一波的推出名單中。</p> <p>Netflix的廣告版服務是為了推動用戶數的成長，<a href="https://www.ithome.com.tw/news/152017" target="_blank">該公司今年第二季的財報透露</a>，其全球付費用戶為2.2億，雖比去年同期增加5.5%，但比上一季少了97萬人。此外，Netflix原本預計要在明年初才會推出廣告版服務，現在則提前於今年11月上線。</p> <p><a href="https://help.netflix.com/en/node/24926/us" target="_blank">以美國的Netflix方案來看</a>，原本最便宜的Basic版是每月9.99美元，可供兩臺裝置使用的Standard版為15.49美元，支援4臺裝置的Premium版則是19.99美元，新增的Basic with Ads版則是6.99美元。</p> <p>Basic with Ads版只支援1個裝置觀看，影片品質最高為720p，但無法下載內容，因版權的限制而無法播放某些電影或電視節目，不過Netflix宣稱正在改善版權問題。</p> <p>至於在廣告的播放上，每則廣告的長度將會是15秒或30秒，會在影片開始前以及中間播放，平均一小時可能會出現4~5分鐘的廣告。</p> <p>為了吸引全球的廣告主，Netflix將會根據使用者所觀看的影片類型及國別來提供廣告服務，也能避免廣告在某些類型的影片中出現，亦將於明年第一季提供廣告驗證與受眾測量服務。</p> <p>首波支援廣告版服務的市場包括，加拿大、美國、墨西哥、巴西、英國、法國、德國、義大利、西班牙、日本、韓國與澳洲。</p> </div></div></div>
2022/10/14 12:27作者陳曉莉https://www.ithome.com.tw/news/153633
Microsoft Office將改名Microsoft 365
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為人熟知的生產力應用Microsoft Office，未來從商務、教育到消費者版本將改名為Microsoft 365，也會換上新的logo、新設計。但微軟表示還是會提供Office單機版及一次性的授權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1014-Microsoft%20Office%20to%20Microsoft%20365-2.png" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.ithome.com.tw/news/136662" target="_blank">微軟2年前宣布</a>Office 365改名為Microsoft 365，首度透露從品牌中捨棄「Office」字樣的意圖。<a href="https://www.microsoft.com/en-us/microsoft-365/microsoft-365-faqs" target="_blank">微軟官網FAQ頁說明</a>，過去幾年下來Microsoft 365已成為公司旗艦生產力套件，因此微軟將「創造新體驗以協助使用者從Microsoft 365獲得最大效用」。未來幾個月內，從雲端版、行動版及Windows桌機版Office都將成為Microsoft 365 App，也會換上新logo、新樣貌，也會增加新功能。</p> <p class="rtecenter"><img alt="" src="https://cdn-dynmedia-1.microsoft.com/is/image/microsoftcorp/Blade002_50-50_Image_1920x1222?resMode=sharp2&op_usm=1.5,0.65,15,0&wid=1920&qlt=100&fit=constrain" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p><a href="https://www.theverge.com/2022/10/13/23402155/microsoft-office-microsoft-365-rename-branding-changes" target="_blank">The Verge首先報導這項消息</a>。這次改名成為該公司歷來規模最大的品牌變更，將使用了30年的Microsoft Office退位，未來以Microsoft 365為主要品牌。</p> <p>詳細時程上，從今年11月起，Office.com會先改變，而在2023年1月開始推向Windows桌機版到行動版Office。這項變動將涵括商用、教育或消費個人版Office。</p> <p>未來Microsoft 365 App將成為使用Microsoft 365套件的起點。等到推出後，Microsoft 365 App將可在Microsoft365.com、Windows的Microsoft Store以及Google Play、Apple App Store下載。</p> <p>但微軟也說明，Office不會完全消失，除了熟悉的Word、Excel、PowerPoint和Outlook等元素還在，微軟也會繼續透過Office 2021及Office長期授權通道（LTSC，Long-Term Servicing Channel）提供一次性的授權給消費者或企業。而Office 365訂閱方案也沒有改變。</p> <p>對大部分用戶而言，從11月起品牌、Logo及視覺設計的變更會自動更新，使用者的現有帳號、個人設定、訂閱內容或檔案都不會受到影響。</p> <p>Microsoft 365 App和現有Office也將有操作上的不同。微軟說明，Microsoft 365 App下將以Create為起點新增文件或檔案，使用者可選擇以空白頁或建議的範本開始。這個模組目前在Windows、線上或行動版本已經存在，明年消費者版本也會新增範本。未來幾個月內微軟也會為所有版本Microsoft 365 App加入新App模組。</p> <p>下個月，Windows和線上消費者版Microsoft 365 App會加入新的歡迎頁，顯示用戶訂閱狀態及追蹤儲存用量。另外，原本商用版才有的My Content，下個月起也會推向消費用戶，包括線上和Windows 版。這項功能可讓使用者從單一介面一覽並存取所有內容，包括用戶自建或他人分享的檔案，不論檔案是儲存在何處。</p> <p>兩項功能今天就會加入到商用版中，包括線上及Windows版。一項是Feed，系統根據用戶專案內容及共事的人提供的相關內容，微軟說會以簡明扼要介面顯示。第二項是標籤功能，允許用戶為各種內容類型加入客製化標籤。</p> </div></div></div>
2022/10/14 11:36作者林妍溱https://www.ithome.com.tw/news/153630
微軟將把文字轉圖像模型DALL-E 2整合到Designer、Edge與Bing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2022/10/12/new-tools-from-microsoft-365-edge-and-bing-bridge-the-gap-between-productivity-and-creativity/" target="_blank">微軟本周宣布</a>，將把由OpenAI所建立的文字轉圖像模型DALL-E 2整合到新打造的Designer程式及Image Creator from Microsoft Bing 服務中，而未來亦會把Designer程式整合到Microsoft Edge，並針對Microsoft 365個人與家用訂閱用戶提供進階版的Designer。換句話說，未來不管是在Designer、Edge、Bing或Microsoft 365上，都可透過文字敘述來產生圖像。</p> <p>DALL-E是一個以文字描述就會自動產生圖像或藝術畫作的AI系統，今年4月發表的2.0版大幅改善了精確度、寫實度與解析度，OpenAI也在今年9月全面開放外界試用DALL-E 2。</p> <p><a href="https://designer.microsoft.com/?utm_source=m365&utm_medium=blog&utm_campaign=ceator_tools" target="_blank">新的Designer程式起源於PowerPoint</a>，它原本就是基於AI以根據使用者的內容型態提出範本建議，迄今已有超過80億張簡報是藉由Designer完成，現在微軟則利用DALL-E 2擴大Designer的能力，並將它打造成獨立程式，且即日起<a href="https://designer.microsoft.com/?utm_source=m365&utm_medium=blog&utm_campaign=ceator_tools" target="_blank">開放使用者申請預覽</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Designer-powered%20by%20-DALL%E2%88%99E%202%20by%20OpenAI-%E6%B8%AC%E8%A9%A6%E7%89%88-(5)-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Designer-powered%20by%20-DALL%E2%88%99E%202%20by%20OpenAI-%E6%B8%AC%E8%A9%A6%E7%89%88-600-2.png" style="width: 580px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Microsoft Designer（預覽），圖片來源／微軟</span></span></p> <p>根據微軟的規畫，一旦Designer程式正式推出，它將有免費的獨立程式版本，而更進階的功能則可透過Microsoft 365的個人與家用訂閱方案取得。</p> <p>微軟亦計畫將DALL-E 2整合到搜尋引擎Microsoft Bing中，建立全新的Image Creator服務，而且很快就會於特定市場展開Image Creator的預覽活動，未來使用者只要透過Bing Images標籤，或是Microsoft Edge邊欄上的Image Creator圖示即可存取該服務。</p> <p>另也準備把Designer整合到Microsoft Edge上，讓使用者在使用社交網站或其它視覺內容時，直接於瀏覽器上就能取得來自AI的設計建議。而<a href="https://blogs.microsoft.com/ai/from-hot-wheels-to-handling-content-how-brands-are-using-microsoft-ai-to-be-more-productive-and-imaginative/" target="_blank">DALL-E 2很快也會成為Azure OpenAI Service的功能之一</a>。</p> <p>總之，未來DALL-E 2在微軟產品中的應用幾乎隨處可見，使用者再也不需要從頭描繪一個圖像，而是只要透過任何天馬行空的文字描述，即可藉由AI系統產生客製化圖像。</p> <p>為了確保此一AI應用的安全性，OpenAI已移除了用來訓練DALL-E 2的資料集中，任何過於裸露與暴力的內容，而微軟則部署了過濾機制，以避免該應用產生違反微軟內容政策的圖像。</p> </div></div></div>
2022/10/14 10:47作者陳曉莉https://www.ithome.com.tw/news/153625
基於隱私安全考量，端對端加密通訊軟體Signal Android將移除SMS支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://signal.org/blog/sms-removal-android/">端對端加密通訊軟體Signal將取消Android版本的SMS支援</a>，而官方主要的考量點在於，以SMS發送的文字訊息並不安全，電信公司將能夠獲取其用戶資料與後設資料，且為了避免用戶混淆，因此決定在數月內停止SMS協定，並引導用戶間匯出SMS訊息。</p> <p>將Signal設定為預設的SMS應用程式的用戶，將受到移除SMS的影響。作為SMS預設應用程式，用戶會同時在Signal中接收、發送Signal和SMS訊息，因此用戶將會需要選擇新的預設SMS應用程式，並將想保留的SMS訊息從Signal匯出到新應用程式。</p> <p>Signal取消Android應用程式的SMS支援有數個理由，優先考量的是安全性和隱私，官方表示，純文字SMS訊息在本質是不安全的，會洩漏敏感的後設資料，並使電信公司取得使用者的資料，而隱私和安全是Signal的核心，因此支援SMS這項不安全的訊息傳遞協定，使得Signal介面出現缺口，也與Signal的價值觀與用戶期待不同。</p> <p>Signal支援SMS有其發展背景，SMS是過去行動裝置傳輸訊息的標準化通訊協定，Signal的前身是稱為TextSecure的Android應用程式，Signal加密協定稱為Axolotl，在Signal還未出現仍是TextSecure之時，就已經開始支援SMS，在經過一段時間的發展，Signal逐漸壯大，並且增加了iOS和桌面應用程式，從小型專案轉變成一個受到廣泛使用的私密訊息應用程式。</p> <p>為了減少原先使用者的轉換障礙，Signal Android則繼續支援傳輸純文字的SMS訊息，使這些使用者可以繼續使用Signal作為傳輸和接受大部分訊息，但是這也代表Signal Android上處理的部分訊息其實不受Signal隱私保護。</p> <p>官方表示，現在已經與當初Signal支援SMS的時代不同，當時資料計畫通常非常昂貴，並在許多世界角落也無法存取，但是現在資料計畫已經更便宜且普遍，相比起來，SMS訊息的成本貴上不少。也有部分使用者以為自己發送的是Signal訊息，實際上卻是SMS訊息，被電信公司收取高額費用，因此取消SMS支援將可減少這類問題。</p> <p>另外，在Signal介面中同時提供SMS和Signal訊息，有使用者體驗和設計問題，用戶可能誤會從Signal介面所發送的SMS訊息是安全且私密的，但事實並非如此，雖然Signal在應用程式中特別標記兩者之間得差異，但也只能以設計來避免誤解。</p> <p>官方經過多次討論，在以建構直覺且安全通訊程式的前提下，確定無法於Android中留下SMS支援。Signal Android用戶會開始在應用程式中收到通知，指引用戶匯出SMS訊息，並且可以選擇發送預設SMS信件，通知那些透過SMS通訊的聯絡人下載Signal。</p> </div></div></div>
2022/10/14 09:40作者李建興https://www.ithome.com.tw/news/153613
微軟擴展Azure混合雲權益，Windows Server授權涵蓋本地與邊緣Azure K8s服務使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudblogs.microsoft.com/windowsserver/2022/10/12/maximize-your-windows-server-investments-with-new-benefits-and-more-flexibility/">微軟在Ignite大會中宣布擴展Azure混合權益</a>，擁有Windows Server Assurance或是雲端解決方案供應商訂閱的用戶，將能夠在Windows Server和Azure Stack HCI上使用AKS（Azure Kubernetes Service），且不需要支付額外費用。</p> <p>這項更新將能夠讓用戶容器化應用程式，並在自己的環境中託管Kubernetes服務，使得在Azure和本地端部署更加一致。對於想現代化IT環境的用戶，Windows Server Datacenter Software Assurance使用戶可以無需支付額外費用使用Azure Stack HCI，用戶將能夠對其資料中心和邊緣基礎設施進行改造，在現代基礎設施上執行虛擬機器和容器工作負載。</p> <p>在今年10月1日，微軟更新全球客戶、合作夥伴的外包和託管條款，目的是要讓用戶可以更靈活地在虛擬化環境中使用授權軟體，像是可以在其他雲端供應商的基礎架構中，執行包括Windows Server等授權軟體，或是將Windows Server授權用於虛擬機器上。</p> <p>但是這些條款更新仍限制部分使用情境，像是用戶和應用程式供應商，無法將完整的容器化應用程式直接發布給終端用戶，為此，微軟在Ignite大會宣布，用戶將能夠根據更新後的終端用戶協定授權許可，重新發布Windows Container基礎映像檔，因此醫療、金融和製造等產業客戶和應用程式供應商，將可以更簡單地運用Windows容器現代化其應用程式。</p> </div></div></div>
2022/10/14 09:44作者李建興https://www.ithome.com.tw/news/153618
微軟推出雲端資料庫服務Azure Cosmos DB for PostgreSQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在其雲端資料庫服務Azure Cosmos DB提供PostgreSQL，目前<a href="https://devblogs.microsoft.com/cosmosdb/distributed-postgresql-comes-to-azure-cosmos-db/">Azure Cosmos DB for PostgreSQL</a>已經正式發布，可供用戶建構雲端原生關聯式資料庫應用程式。</p> <p>微軟貢獻PostgreSQL專案，並且在Azure Cosmos DB for PostgreSQL中使用最新的開源PostgreSQL版本，用戶可以用到完整且熟悉的PostgreSQL API。由於Azure帶來許多託管資料庫的優勢，包括用戶可以跨可用區域創建高可用配置，並將叢集分叉，或是恢復到特定時間點，甚至一鍵升級PostgreSQL和資料庫擴充套件。</p> <p>Azure Cosmos DB for PostgreSQL提供擴充套件Citus支援，用戶可以從免費試用計畫開始測試PostgreSQL應用程式，並隨著工作負載成長，再啟用分散式表格來擴展資料庫，並且利用跨區複製來降低延遲並提供全球可用性。</p> <p>Azure Cosmos DB for PostgreSQL的免費試用提供所有原生功能，像是JSON支援、索引、多資料類型和全文搜尋等，當PostgreSQL出現新版本，微軟也會在兩星期內提供新版，使用戶可以快速地使用到PostgreSQL新功能。</p> <p>透過整合PostgreSQL和雲端服務，能夠使PostgreSQL簡單存取Azure Blob儲存中的資料。過去用戶要在其他資料庫使用Azure Blob儲存中的資料，需要先將資料下載至另一個虛擬機器，再將其上傳到資料庫中，而透過pg_azure_storage擴充套件便可以直接和Azure Blob互通，以使用者定義的函式直接從Azure Blob儲存擷取資料。</p> <p>Azure Cosmos DB for PostgreSQL讓用戶可以在單節點伺服器上建構應用程式，如同常見的PostgreSQL使用情境，隨著應用程式對規模以及效能的要求增加，就可以啟用分散式表格，無縫擴展至多節點。</p> <p>另外，Azure Cosmos DB也讓啟用分散式表格的工作變得容易，過去用戶想使用Citus擴充套件創建分散式表格，需要選擇一個分片鍵值並且停止寫入操作，而Azure Cosmos DB for PostgreSQL使用Citus 11.1，可線上執行分散式表格和許多過去寫入阻塞操作。</p> </div></div></div>
2022/10/14 09:47作者李建興https://www.ithome.com.tw/news/153620
微軟Teams添加零安裝訊息附檔功能以強化協作能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟透過在Teams添加<a href="https://devblogs.microsoft.com/microsoft365dev/boost-your-microsoft-teams-app-experience-with-new-link-unfurling-capabilities/">零安裝訊息附檔（Zero-Install Link Unfurling）</a>，來強化用戶的協作體驗，現在用戶只要在Teams中貼上URL，訊息附檔就會出現應用程式豐富的互動式預覽，藉此提升應用程式的可見性和可用性。</p> <p>Teams用戶經常在會議中共享連結，交換有關工作、新聞和影片等內容，用戶通常在點擊連結後，需要切換到其他平臺瀏覽內容，但因為這種作法需要切換上下文，不只不直覺也會影響工作效率，因此Teams提供訊息附檔功能，Teams會直接展開連結，讓用戶只要貼上連結就會出現預覽，在會議同一上下文中瀏覽連結內容。</p> <p>訊息附檔的連結具有不同類型，通常用戶在Teams上共享連結時，Teams會檢查該連結是否可與Teams上的應用程式對應，並根據應用的需要處理身份驗證流程，當連結無法與應用程式配對，Teams便會透過基本操作創建網站預覽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Link-unfurling-image-1.png" style="width: 580px; height: 322px;" /></p> <p>而現在微軟在Teams進一步支援零安裝訊息附檔功能，只要用戶在Teams共享零安裝訊息附檔連結，無論用戶是否安裝對應的應用程式，Teams也能夠顯示豐富的資訊。這項新功能將可解決沒有安裝至Teams的應用程式，可以在用戶共享訊息附檔連結時提供無縫體驗，用戶不需要先安裝該應用程式才能獲取連結內容。</p> <p>對於應用程式開發人員來說，零安裝訊息附檔可以增加應用程式的可見性和可探索性，最終擴大用戶使用。零安裝訊息附檔由Teams管理員安全政策管理，因此當應用在該租戶層級被封鎖，則零安裝訊息附檔便無法提供預覽。</p> <p>另外，微軟也在Outlook加入訊息附檔功能，與Teams體驗類似，Outlook用戶將可以插入連結，Outlook會將連結展開顯示豐富且可操作的預覽卡，用戶無需切換上下文就可獲得額外的內容和工作流程。</p> </div></div></div>
2022/10/14 09:50作者李建興https://www.ithome.com.tw/news/153622
Solana平臺Mango Markets遭駭客盜走1億美元資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mangomarkets/status/1580053208130801664" target="_blank">Solana區塊鏈協定上的去中心化交易平臺Mango Markets本周二（10/11）坦承</a>，駭客藉由操弄市場上的MNGO加密貨幣價格，於幾分鐘之內讓MNGO價格大幅上漲，進而盜走了價值1億美元的加密貨幣資產。</p> <p><a href="https://twitter.com/joshua_j_lim/status/1579987648546246658" target="_blank">數位資產交易解決方案Genesis Global Trading衍生品負責人Joshua Lim試圖釐清駭客的攻擊手法</a>，指出駭客先是在Mango Markets上設立了存入500萬USDC的A帳號，並以該帳號的資產作為抵押出售4.38億個MNGO，再設立另一個存入500萬USDC的B帳號，繼之以B帳號的資產作為抵押，以每個0.0382美元的價格買下這4.38億個MNGO。</p> <p>隨後駭客即於市場上投入規模更大的金額來操縱MNGO的價格，讓它在短短的十幾分鐘內，上漲到0.91美元，使得B帳號的未實現利益達到4.23億美元，讓駭客得以從中借出價值1.16億美元的加密貨幣，而Mango Markets的餘額則直接變成赤字，也讓該平臺的流動性降至零。</p> <p>隨後MNGO價格亦快速跌至0.02美元，駭客用來做空的A帳號也獲利1,200萬美元，但此時的Mango Markets已無餘力支付。</p> <p>雖然Mango Markets呼籲駭客歸還所盜走的資產，但駭客似乎另有打算。Mango Markets為一去中心化的自治組織（Decentralized Autonomous Organization，DAO），代表它是透過投票來管理，擁有愈多MNGO加密貨幣的使用者便具備愈大的投票權，於是<a href="https://dao-beta.mango.markets/dao/MNGO/proposal/3WZ5DpZXDvNAK4JwPS1HDPzSinEJUGpBC4XXx9vPtnVS" target="_blank">駭客發起了一項提議</a>，要求Mango Markets以金庫中的7,000萬個USDC償還所有的壞賬，並放棄對壞賬帳戶的任何索賠，然後他就會歸還MSOL、SOL與MNGO，且Mango Markets亦不得進行任何刑事調查或凍結資金。</p> <p>諷刺的是，由於市場上的MNGO幾乎已被駭客清空，光是他自己投下的同意票就占了99.9%。</p> </div></div></div>
2022/10/14 10:04作者陳曉莉https://www.ithome.com.tw/news/153623
Amazon 2023年初將發射頭2顆Project Kuiper衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過將近3年的投資開發後，<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazons-project-kuiper-satellites-will-fly-on-the-new-vulcan-centaur-rocket-in-early-2023" target="_blank">Amazon日前（10/12）表示</a>，將在2023年初為低軌衛星連網服務Project Kuiper發射第一批衛星進行測試。</p> <p>這是Amazon 2020年宣佈投入100億美元推動Project Kuiper後的首個成果。Amazon目前獲得聯邦通訊管理委員會（FCC）3,236顆衛星的發射許可。</p> <p>Amazon頭2顆衛星Kuipersat-1、Kuipersat-2將在今年底前完成原型開發，預定明年初由聯合發射聯盟（United Launch Alliance，ULA）的Vulcan Centaur火箭載送並部署到近地軌道上。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/ac7b5e6/2147483647/strip/true/crop/1919x1080+1+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F60%2Fb4%2Ff0c733504e35b766ea738a1aab2b%2Fvulcan-launch-1-1920-x-1080.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>ULA是由洛克希德馬丁與波音的合資公司，該公司預定將為Project Kuiper提供47次載送服務。Vulcan Centaur 火箭將從佛羅里達州卡納維爾角太空軍基地發射，明年初一同由火箭載送的，除了Amazon Project Kuiper衛星外，還有美國民營公司Astrobotic為NASA開發的Peregrine登月車。</p> <p>Amazon指出，明年的原型任務將協助測試Kuiper Project衛星網路各組成部份整合運作的情況，為實驗室測試、場測及模擬結果加入真實數據。這次任務的發現將用於商用系統的設計、部署和營運計畫定案。</p> <p>為了Amazon衛星的正式部署，Project Kuiper團隊也將開始擴大生產。第一顆實際營運的衛星將會由ULA的Atlas V火箭載送，之後Amazon將開始使用Vulcan火箭及另兩家公司，包括Arianespace及Blue Origin更新的重量級火箭載送。</p> <p>Amazon已經訂購ULA、Arianespace及 Blue Origin三家公司92趟載送任務，以部署Amazon 3,236顆衛星，號稱是史上民間最大的發送載具訂單。Amazon還計畫委託ABL Space Systems的RS1火箭執行2次發送衛星原型的任務。</p> <p>Amazon表示，合作夥伴也已如火如荼投入運作，包括ULA在美國阿拉巴馬州生產載送衛星的火箭、Northrup Grumann在猶他州製造火箭推進器、Beyond Gravity在瑞典打造衛星分配器。</p> <p>去年Amazon 都還沒有衛星時，就<a href="https://www.ithome.com.tw/news/147522" target="_blank">和Verizon簽合作</a>，結合其進階LEO衛星系統和Verizon的行動網路及基礎架構，延伸Verizon的4G/5G網路服務。</p> <p>Amazon當然必須急起直追。對手Space X的Starlink已經在歐洲、南／北美及澳紐等地部署衛星寬頻上網服務，<a href="https://www.ithome.com.tw/news/152726" target="_blank">而且也和T-Mobile 合作</a>，預計明年底測試不用地面基地臺，由衛星直連5G手機的服務。</p> </div></div></div>
2022/10/14 10:12作者林妍溱https://www.ithome.com.tw/news/153624
Seagate超大15 PB資料湖平臺架構首度大公開，克服全球智慧工廠轉型帶來資料爆量的關鍵一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#3399ff;">【新加坡直擊】</span></strong>硬碟廠商Seagate近日首度公開自家高達15 PB資料湖（Data Lake）平臺架構，用來克服智慧工廠轉型帶來資料爆量的挑戰，目前在Seagate全球7座智慧工廠中，每天都增加50TB的資料，都已集中到該平臺用於分析使用，來協助工廠加速發展大數據、深度學習與AI應用。甚至Seagate不只是自用，未來更要將這套分析平臺透過雲端服務提供給企業來運用。</p> <p>Seagate資訊長Ravi Naik就表示：「PB級資料湖平臺的推出，不只是Seagate發展智慧製造多年累積重要成果，更是這家公司未來要從傳統儲存硬體製造商，轉型智慧製造服務供應商所跨出關鍵一步。」</p> <h2><strong>為何一座硬碟工廠會有這麼多資料？</strong></h2> <p>為何一座硬碟工廠會有這麼多資料？關鍵就在於，HDD硬碟生產製程十分複雜，單是硬碟中的資料儲存碟片（recording media），就需經過9道製程工序，從玻璃及鋁片裝盒、清洗，到表面塗層、潤滑、拋光以及多碟片寫入及封裝，每個製程中更包含5~6道加工步驟，每個步驟都不能容忍半點誤差，皆需達到奈米精度，更要通過上百項測試，包括溫度、功率、震動、噪音等，才能前往下一個工站。</p> <p>這還只是儲存碟片生產，不包括其它硬碟組件，如磁頭、馬達、主控晶片等，都需要經過上百、甚至上千道繁瑣的製程環節，最後再將這些零件統一送到組裝工廠進行組裝及測試，才完成最終成品。</p> <p>過去Seagate一年就要生產約上億顆硬碟，橫跨不同尺寸的儲存媒體，隨著產品規模不斷增長，工廠產線跟著演進，儲存容量更從早期數GB、上百GB到現在數十TB，對於製造挑戰也越大。</p> <p>尤其，硬碟生產過程中需要高度自動化和精密量測，確保製程品質，例如晶圓製程需要2,500個步驟，其中4成都是用在製程檢測程序，來確保生產品質。當生產硬碟數增加，儲存容量增加更快，先進奈米製程比例提高，光靠舊有生產模式，以及人工量測及檢測方式，已經無法應付，需要採取數據驅動的智慧製造生產模式，不只生產轉向自動化，更要智慧化。</p> <h2><strong>從5年前展開IT數位轉型，不只發展IT現代化，更從工廠全面改造做起</strong></h2> <p>所以，Seagate從5年前決定轉型，一邊發展IT現代化，IT基礎架構開始擁抱容器、雲端架構，AP應用也導入微服務，來加速轉型智慧工廠，另一方面，也從工廠改造著手，來打造智慧製造產線，希望能夠整合更精準智能控制、智慧化量測來優化生產品質，以及提升作業效率。</p> <p>Seagate發展智慧製造很重要的關鍵技術是AI，但是AI應用的發展高度仰賴大量的數據，為了取得更多數據，Seagate從2017年開始部署大量感測器到工廠中，單是一間工廠裡就部署了超過4千個IoT感測器，來取得生產過程中所有關鍵數據，不僅如此，Seagate在每座工廠中都導入不同大小的聯網機器人，來處理不同自動化生產任務，7座工廠合計就有超過3.5萬臺機器人，這群機器人執行任務過程中，也會即時上傳相關數據，用於數據分析。</p> <p>為了分析產線大量資料，Seagate導入Hadoop大數據分析平臺，希望透過數據分析找出提高生產效率更好的做法，後來更進一步使用這些生產數據，來訓練AI或機器學習模型，逐步發展工廠AI應用。</p> <p>Seagate從2019年開始在工廠導入AI，初期先運用到預防性機臺設備維護、故障分析等，來降低設備故障造成產線停擺的風險，後來擴大運用到生產環境，包括各製程的瑕疵檢測等，都開始結合AI電腦視覺、機器學習來提高不良品的檢出率，也透過AI優化品管作業。</p> <h3><strong>自建EdgeRX機器學習邊緣運算平臺，具備就近AI推論執行能力</strong></h3> <p>Seagate兩年前還打造一套機器學習邊緣運算平臺EdgeRX （內部專案名稱為Project Athena），能夠部署到工廠生產線上，來提供就近AI推論執行能力，來幫工廠更快出揪出製程的異常環節。這套平臺是由容器管理平臺Kubernetes和容器化微服務組成的叢集運算系統，不只可執行模型推論，也能直接在平臺上進行AI模型訓練，還能借助雲端快速擴充運算資源來加快AI學習。</p> <p>目前Seagate在各工廠都有採用，像是在硬碟磁頭製程中的AI瑕疵檢測，就是使用這套邊緣推論平臺，來加快AI反應時間，能做到每秒執行37次的推論，一天就能檢測超過300萬張圖片，相較於傳統需約200名作業員才能夠完成相同作業，作業上更顯得快速許多。</p> <p>人才是擴大轉型成果的戰力，2018年開始，Seagate大舉展開內部AI人才的培育，提高員工對AI 、機器學習等關鍵技術的掌握度。2年內就培訓了超過1,200人。</p> <p>經過這些年發展，Seagate轉型也取得不少成果，不只優化產品良率、生產效率也因此提升，如今，Seagate在全球7座工廠都已具備智慧製造執行能力。甚至這兩年，Seagate開始將這些年在內場域轉型成功經驗，轉變為對外部客戶提供的智慧製造服務，像是提供工廠數據儲存使用而發展出來的物件儲存雲端服務Lyve Cloud，以及後來因應工廠邊緣AI應用需求打造的機器學習邊緣運算平臺EdgeRX ，都是Seagate轉型和發展智慧製造的重要成果。</p> <p>Seagate最新更進一步公開自家智慧工廠使用的PB級資料湖平臺架構，這套資料湖平臺，是Seagate為了因應工廠轉型帶來爆量資料的挑戰而打造的一個開放資料湖分析平臺。</p> <p>Seagate從2017年展開智慧工廠轉型計畫後，資料量迅速增加，在這之前，這家公司10年合計資料量僅0.35PB，但到2017年，一間工廠一年生產的資料量就達到1.8 PB，這些資料包括了機臺感測器數據、訓練資料、推論資料、圖檔與影片，以及生產過程數據等等，到2022年時，資料量更翻倍成長達到3.6 PB，也成了Seagate所要面對的考驗。。</p> <p>為了解決這個問題，Seagate後來自建一個PB級資料湖平臺，也就是Lyve Cloud Analytics，能將所有工廠生產數據統一集中到這個平臺上管理，藉此來提供跨多廠一致的數據管理與分析服務。</p> <p>在這個資料湖平臺中，由平臺及服務層組成，在平臺層上，除了資料儲存是採用Seagate自己的Lyve Cloud服務，也整合其他開源方案，像是使用Kuberetes容器管理工具，用於運算與資源調度，也使用Prometheus的監控服務，還導入監控資料視覺化工具Grafana，用於加強資安與治理。在平臺之上還有服務層，Seagate整合DataOps維運、MLOps維運兩大服務，其中DataOps維運服務，就是Seagate內部的數據維運做法，包含資料服務、資料處理及資料提取。Seagate也把自家ML或AI團隊使用的MLOps經驗，帶到這個分析平臺中，簡化ML模型開發到維運的生命周期管理。</p> <p>在Lyve Cloud Analytics服務層中，還整合一個已經預先建好的分析加速器，可以運用到三種資料分析類型，包括IoT感測器數據、影像分析、表格資料分析等。另外該平臺上也有提供各種資料視覺化分析工具，幫助使用者更容易理解分析結果和數據的呈現。</p> <p>Ravi Naik也表示，這套PB級資料湖分析平臺是一個完整堆疊產品，涵蓋資料儲存、運算、DataOps 與MLOps服務功能，未來不只高科技製造行業能用，許多其他行業都能用，例如，媒體及娛樂產業等。</p> <p>不過Seagate目前未透露這套平臺何時將推出上線，只提到未來企業能使用Lyve Cloud取得分析服務，用於PB級資料分析與處理。但是Lyve Cloud目前只在美國、新加坡推出，尚未包含臺灣。</p> </div></div></div>
2022/10/14 03:36作者余至浩https://www.ithome.com.tw/news/153610
【資安日報】2022年10月13日，駭客濫用Google表單攻擊美國小型企業、勒索軟體Black Basta以滲透測試…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客看上近期小型企業面臨通貨膨脹，亟需資金周轉的情況發動網釣攻擊，假借美國政府的名義行騙。但值得留意的是，駭客利用了廣為人知的Google表單來騙取這些企業資料，而使得收信人可能因此降低戒心而上當。</p> <p>引起資安界高度關注，且認為駭客將會用於取代Cobalt Strike的滲透測試工具Brute Ratel C4，<a href="https://www.ithome.com.tw/news/153352#brc4">在網路犯罪圈出現了破解版本後</a>，已被勒索軟體駭客用於實際攻擊行動。</p> <p>在本週的資安公告中，SAP、西門子、Aruba都針對旗下產品發布例行修補，值得留意的是，這些資安通告裡，都提及了CVSS風險評分近滿分的重大漏洞，用戶應儘速套用更新軟體，或是採取緩解措施。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.inky.com/en/blog/fresh-phish-small-business-covid-19-grants-designed-for-disaster"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定美國小型企業的COVID-19補助網釣攻擊升溫，駭客濫用Google表單騙取受害者資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/INKY Fresh Phish SBA Covid Grants 101222-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/INKY%20Fresh%20Phish%20SBA%20Covid%20Grants%20101222-3.png" style="width: 300px; float: right;" /></a>美國小型企業管理局（Small Business Administration，SBA）去年提撥4,160億美元，協助6百萬小型公司渡過難關，但有人假借這類補助的名義騙取公司行號相關資料。</p> <p>資安業者Inky發現假冒SBA的釣魚郵件攻擊，駭客聲稱企業主只需填寫資料提供審核，若是符合資格將會獲得一筆COVID-19救濟金。一旦收信人依照指示點選申請按鈕，就會被引導至駭客建立的Google表單，研究人員指出，其內容很可能是從SBA實際的表單複製而來，難以看出異狀，然而若是收信人填寫相關資料並送出，駭客就能取得個資盜賣，或是洗劫銀行帳戶。</p> <p>研究人員指出，駭客濫用Google表單服務，不僅無須自行架設相關設施，流量往往被資安系統視為合法而逃過檢測，但收信人還是能從電子郵件內容的拼寫與文法錯誤察覺到不對勁的地方。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/j/black-basta-infiltrates-networks-via-qakbot-brute-ratel-and-coba.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Black Basta透過滲透測試工具Brute Ratel C4入侵受害組織</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/qakbot-brute-ratel-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qakbot-brute-ratel-13.png" style="width: 300px; float: right;" /></a>滲透測試工具Brute Ratel C4（BRC4）<a href="https://www.ithome.com.tw/news/153352#brc4">9月中旬遭到破解並在網路犯罪圈散布</a>，很快就有駭客用於攻擊行動。趨勢科技在9月上旬發現數起利用惡意軟體QBot（亦稱QakBot）的攻擊行動，其中部分駭客將其用來在受害電腦植入BRC4，然後利用此滲透測試工具來調查特權帳號及AD資料，接著投放另一款滲透測試工具Cobalt Strike進行橫向移動。研究人員根據駭客所使用的攻擊手法，判斷攻擊者的身分就是勒索軟體駭客Black Basta。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-commerce-manufacturing-execution-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布10月份例行修補公告，緩解兩個CVSS風險評分達9.6分的漏洞</span></strong></a></h3> <p>10月11日，SAP發布每月例行更新，總共公告了15組漏洞的資安公告，並提供修補程式。其中最嚴重的是CVE-2022-39802，存在於SAP製造執行系統Manufacturing Execution，為CVSS風險評分達到9.9分的路徑穿越漏洞，且會影響Work Instruction Viewer和Visual Test and Repair兩個附加元件運作，而使得所有類型的工作指引與工作模型無法呈現。</p> <p>另一個重大漏洞則是CVE-2022-41204．出現於該廠牌的電子商務平臺SAP Commerce，CVSS風險評分為9.6分，與登入表單有關，攻擊者可透過URL重新導向的方式挾持使用者帳號。</p> <h3><a href="https://claroty.com/team82/research/the-race-to-native-code-execution-in-plcs-using-rce-to-uncover-siemens-simatic-s7-1200-1500-hardcoded-cryptographic-keys"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子工控系統的全域私鑰恐遭利用，PLC設備資料可能被竄改</span></strong></a></h3> <p>資安業者Claroty揭露西門子工控系統漏洞CVE-2022-38465，存在於該廠牌的PLC控制器SIMATIC S7-1200與S7 -1500產品線，起因是該公司在上述設備裡使用了寫死的全域私鑰，攻擊者可用來繞過西門子的多種防護措施，並設置SIMATIC用戶端進行中間人攻擊，CVSS風險評分為9.3分。西門子獲報後已發布新版韌體予以修補。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/aruba-fixes-critical-rce-and-auth-bypass-flaws-in-edgeconnect/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Aruba針對SD-WAN系統修補3個網頁管理介面的重大漏洞</span></strong></a></h3> <p>Aruba於10月11日針對SD-WAN系統EdgeConnect Enterprise Orchestrator發布資安通告，修補CVE-2022-37913、CVE-2022-37914、CVE-2022-37915等CVSS風險評分達9.8分的重大漏洞，這些漏洞與網頁管理介面有關，可用來取得管理員權限，或是在系統底層執行任意命令。Aruba呼籲用戶應儘速更新，並表示目前尚未發現上述漏洞遭到利用的跡象。</p> <h3><a href="https://www.rapid7.com/blog/post/2022/10/06/exploitation-of-unpatched-zero-day-remote-code-execution-vulnerability-in-zimbra-collaboration-suite-cve-2022-41352/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zimbra修補已出現攻擊行動的RCE漏洞</span></strong></a></h3> <p>資安業者Rapid7於10月6日提出警告，他們發現有人鎖定電子郵件系統Zimbra發動攻擊，駭客針對的弱點是CVE-2022-41352，起因是該系統檢測電子郵件的防毒模組Amavis裡，所使用的元件cpio遭到濫用，攻擊者用來上傳任意檔案，並植入Shell Code．進而存取其他使用者帳號，此漏洞的CVSS風險評分達9.8分。</p> <p>研究人員指出，許多Linux版本提供的Zimbra仍採用cpio而曝險，這些版本包含了Oracle Linux 8、RHEL 8、CentOS 8等。Zimbra於10月10日發布9.0.0 P27予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2022/10/stable-channel-update-for-desktop_11.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 106.0.5249.119，修補6個高風險漏洞</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.oxeye.io/blog/vm2-sandbreak-vulnerability-cve-2022-36067"><span style="color: rgb(0, 0, 0);">沙箱元件vm2存在重大漏洞Sandbreak，可被用於RCE攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/toad-fraud.html"><span style="color: rgb(0, 0, 0);">語音網釣攻擊結合安卓惡意軟體，鎖定義大利銀行用戶而來</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.aquasec.com/private-packages-disclosed-via-timing-attack-on-npm"><span style="color: rgb(0, 0, 0);">私有NPM套件被用於計時攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153595">【2022年10月12日】 Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準導入指南正式發布</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> </div></div></div>
2022/10/13 18:03作者周峻佑https://www.ithome.com.tw/news/153621
資安需求已擴大，面對人才供給的挑戰，培育方向要更寬廣，不只重實務還要考量各種資安人才的養成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於全球所有國家而言，資訊安全都是至關重要的一環，臺灣更是如此，雖然資安的重要性，大家現在都有深刻體認，但事在人為，若要做好各個層面的資安，仍須有「人」來落實與推動，因此，資安人才絕對是促成資安的重要關鍵。</p> <p>資安人才備受重視之際，臺灣資安大會連續兩年，舉辦了Cyber Talent資安人才專區的活動，讓資安新鮮人，或是對資安有興趣的人，甚至是即將畢業的學子，都能更容易找出自己的發展方向。</p> <p>例如，藉由數十位資安職場上的專家，帶來資安職涯的經驗分享、資安人才成長的攻略盤點、資安能力養成的心法，以及資安產業趨勢的剖析。</p> <p>今年還新加入資安證照日的活動，ISIP教育部資安人才培育計畫也一同舉辦活動，邀請出身自AIS3與臺灣好厲駭的校友，暢談資安職涯的心路歷程。</p> <p>這些難得的知識與經驗分享，無非是要讓資安新血成就未來人才時，可廣泛從興趣、心態、專業技能與產業概況，更好的去考量自身發展。</p> <p>同時，現場不只上述內容，還包括職能培訓資源、資安人才交流，並有多家業者舉著徵才的大旗，不只是資安業者，還有科技業者、金融業者，都希望在這個臺灣最大的資安展會上，招兵買馬，希望補足自家的資安人才缺口。</p> <p>不只是需求面，從供給面來看，我們也注意到，今年4月，推動國內資安人才培育的面向，有了新的動作。例如，教育部在他們推動的先進資通安全人才培育計畫中，<a href="https://www.ithome.com.tw/news/151029">發展出「臺灣資安職務地圖」新興資安產業版的項目</a>，這是屬於「資安產業媒合與校友追蹤服務」子計畫的一環，其目的是協助此領域的求職與求才，希望補足以往資安領域職能發展的落差，建立更好共識，讓業界與學術界合作一起培養人才。</p> <p>顯而易見的是，政府正在持續擴大推動資安人才的培育計畫，而國際上，2019年美國NIST正式發布NICE網路人才安全框架，設法描繪各種資安工作角色的最低資安技能要求，如今，我國也希望讓不同資安領域人才的培育，可以更有系統性。</p> <p>但是，如何讓各界可以更深刻地關注資安人才重要性，以及了解資安人才急迫性這件事，我們認為同樣至關重要，因此，我們今年在臺灣資安職務地圖手冊推出之際，也詢問了國內專家學者的觀察與看法，希望讓各界都能體認到，資安人才是多麼重要，以及資安人才培育上的多種見解。</p> <h3><strong>「人」是資安最重要的關鍵</strong></h3> <p>資安工作的推行，人人有責！「資安是每一個人的責任，這與現在談疫情的狀況很相像，威脅容易擴散，但預防成本很高，企業與政府的責任也相當重大。」國安會諮詢委員李漢銘語重心長地表示。</p> <p>近年資安的重要程度，已經上升到國家層級，自從我國政府2017年發布「資安即國安」戰略，在在說明：位於民主前緣的臺灣已是國際資安攻防熱區，資安是無可迴避的嚴峻挑戰，但也是臺灣產業發展的絕佳機會。</p> <p>2021年政府繼續推動「資安即國安 2.0」，我們不僅從政策推動資安，強化國家與社會安全，同時也將目光放向資安產業的推動，藉此厚植國內資安實力，近期還有更多促進企業資安落實的政策，像是上市櫃公司設置資安長、專責主管與單位等。</p> <p>然而，這些重要工作的背後，都需仰賴資安人力與人才，才能延續國內的資安防護能量與優勢。</p> <p>面對國內資安人才議題，趨勢科技臺灣區暨香港區總經理洪偉淦特別提及俄烏戰爭的影響。他認為，2022年初發生俄羅斯進軍烏克蘭的戰事，不僅揭示新時代戰爭的樣貌，也說明網路威脅作戰方法的重要性已大幅提升。</p> <p>俄羅斯不只展開陸海空軍事行動，在網路上也發動DDoS與各種入侵攻擊手法，企圖讓對方關鍵基礎設施（CI）崩潰，同時，兩國也積極發動認知作戰，烏克蘭必須強調俄國暴行，俄國必須強調攻擊行動順利及將入侵合理正當化。</p> <p>洪偉淦強調：「從種種虛實整合的攻擊態勢來看，我們可以發現，網路行動的成本很低，效果卻很大，而我們更該反思的是，過去政府都會重視陸海空的國防投資，但在網路安全層面的國防投資，是否合乎比例？」。更重要的是，這不只是需要對資安投入更多資源，也需要更多資安人才來做這件事。</p> <p>就當前環境來看，對於政府與企業而言，隨著黑帽駭客的生態圈已經演化到非常成熟的程度，許多團體均懂得運用各種商業模式來壯大自己的規模，加上APT攻擊手法、加密技術濫用，以及虛擬貨幣的流行，再加上企業推動數位轉型，以及各國都在發展智慧城市、製造工廠、智慧醫療等各式議題，這也都意味著可受到攻擊的部分越來越廣泛，而隨著種種事件所帶來的衝擊越大，資安需求也就越高。</p> <p>顯然，在此態勢之下，資安人才不僅重要，也是眾所關注的焦點，同時，也具有很大的緊急性與迫切性。</p> <h3><strong>資安人才需求遍地開花，甚至希望從國外引進人才</strong></h3> <p>事實上，我國政府這兩年來推動上市櫃公司設置資安長、專責主管與單位，資安人才需求大增已迫在眉睫。</p> <p>現在臺灣的資安人才需求到底有多大？臺科大資管系特聘教授吳宗成表示：「資安演變至今，有理論型及實務型的資安，有政府及產業的資安，有技術、管理及法制的資安，有企業及個人的資安，雖非涇渭分明，仍是不一而足。」</p> <p>要解決各式各樣的資安問題，必須有完整契合的國家型產官學研團隊作為後盾，其背後也就是各式各樣的資安人才。</p> <p>再從威脅面來看，輔大特聘教授許見章教授同樣點出現今局勢，他說：「隨著新興應用與數位服務的不斷出現，新興的攻擊手法也隨之而來，但更關鍵的是，在軟體系統開發的面向上，還有很多是用傳統方式進行，造成開發的系統有很多漏洞，也產生了資安人才的需求。」</p> <p>許見章特別舉例，從臺灣求才網站可以搜尋到上千個資安相關職缺，這呈現了產業的實際需求，未來還會有更多職缺。</p> <p>而從國際上來看，真的是各界對於資安人才需求都極大，例如，美國陸軍在2022年8月底，也都宣布擴大招募網路作戰軍種，以抵禦外國政府透過網路發動的各式攻擊，當中需要非常多樣性的人才，其軍缺包含「網路及電子作戰官」、「網路作戰官」、「密碼情報分析師」、「網路防衛員」，還有「網路作戰專員」。</p> <p>然而，有這麼多需求的情況下，也呈現出資安人才不足的情況。4位產官學專家都表示，這樣的情況並不只是發生在臺灣，全球都面臨相同的態勢。</p> <p>因此，除了臺灣政府想要從國外引進人才，填補人才面的缺口，比臺灣先進的國家，也同樣想要引進更多資安人才，而這些需求現況，徹底反映現今資安人才的搶手程度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%87%8D%E8%A6%81%E6%80%A7.png" style="width: 600px;" /></p> <p><strong>這兩年來，金融與政府學校對於資安人才數量的需求持續擴大，去年平均現有資安人力已經來到9.5人與5.8人，今年新招募人數仍多，特別的是，一般製造業、高科技業、服務業與醫療業的人才缺口更高，今年預計平均新招募的人數比重高，都占現有資安人力7成以上，像是服務業就預計招募將近1倍的人力。</strong></p> <h3><strong>面對廣泛資安需求，資安人力培訓需要產官學合作</strong></h3> <p>在資安人才搶手的同時，如何解決資安人才缺口的議題，也成為政府、企業都在重視的問題，長久之計在於建構培育資安人才的體系，而這也早已成為國家政策焦點。</p> <p>儘管從7年前開始，教育部已持續推動「資訊安全人才培育計畫」，孕育頂尖資安技術人才，但如何滿足不同層面的龐大資安人才需求，是現今更大的挑戰。</p> <p>挑戰有哪些？該如何因應？</p> <p>論及資安人力培養目標，臺科大資管系特聘教授吳宗成指出，可分成下列三大類型：</p> <p>第一種是「資安人手」，不論透過在學或在職教育，可透過標準程序方式來培訓；第二種是「資安人才」，對於沒碰過的問題，可以想方法去解決，但這就不是按表操課即能培養；第三是「資安人物」，這類型可引導研究議題，並引領人才去追循，但也更難培養。</p> <p>再者，我們還要考量：是解決問題能力的人不足？還是執行資安工作的人不足？這會有不同方法與策略。</p> <p>而為了因應不同的資安人才需求，吳宗成表示，如今邁入第七年的AIS3新型態資安暑期課程，對資安有興趣的學生越來越多，自第三年起，課程做了很大的調整，不像之前只是單純強調為了吸引學生興趣，著重於駭客搶旗攻防賽（CTF），現在也強調團隊合作、企業資安防護，以及各式資安專題研究。</p> <p>輔大特聘教授許見章也指出，很多學生可能會問，修哪一門課對日後資安職涯發展有幫助？因此，我們需要了解資安人才分布與需求落差，並要了解每一種人才需要哪種技能與知識，才能有方向的知道如何培養資安人力。因此，他現在希望持續完備我國的資安職能地圖，讓踏入各種資安領域的人，都能盤點必要技能、職涯與職務。</p> <p>更進一步來看，要對應整體「資安產業」及「產業資安」的需求，擴大培訓的層面與規模，這不只是單方面的責任。</p> <p>國安會諮詢委員李漢銘強調，必須是政府、企業、學校、社群四者的通力合作，才能在資安領域培育出懂駭客攻擊的人才，懂防禦的人才，以及懂資安管理與規畫的人才。</p> <p>事實上，不只是一些國內資安公司根據自身需求，開啟資安人才培育計畫，自今年開始，部分國內企業也同樣關切這方面的需求，希望聯合建立資安專責人員的培訓計畫，當中目標包括資安主管核心能力養成，以及專業資安人才培訓整備。</p> <p>更特別的是，在一些關鍵領域，還會面臨不同的特殊挑戰，例如在金融、高科技、關鍵CI等，會需要具備相關領域Know How，因此不論透過在學或在職訓練，各方合作也將成為必然。</p> <p>畢竟，學界所教，也要與業界需求能夠吻合，因此，除了資安攻擊技術研究，對於企業基礎設施、網路的了解，以及AD環境、虛擬機器VM操作，對這些駭客常攻打的標的也要熟悉，是現在更關切的議題。</p> <p>當然，教育部在2019年也開始鼓勵4所大專院校，成立5個資安碩士班，後續，中山大學首先開設資訊安全碩士班，輔仁大學首先開設人工智慧與資訊安全學士學位學程。不僅如此，在這些資安領域當中，未來都需要創造一個正向循環的體系，才能確保資安新血的穩定輸出，能持續跟上市場需求。</p> <p>從資安業者角度來看，趨勢科技臺灣區暨香港區總經理洪偉淦亦提出建言，利用紅軍吸引人才投入資安領域，階段性任務已經達到，不過，接下來我們需要更廣泛的防禦人才。</p> <p>而且不只是上述層面，不同專業領域面向也有新的資安人才需求。例如，現在雲端架構與傳統地端環境不同，很多都是以API介接，而且，現在更強調Security as Code，因此，洪偉淦認為，未來雲端資安的人才，也要具備寫程式的本領，不見得是複雜的程式開發，但這樣的技能，日後有可能存在於很多資安職缺之中。</p> <p>再從市場面來看，多位專家都提到，除了激起大家投入資安的興趣，在需求攀升之下，薪資提升也會是人才投入資安的一大動力，這是相當務實的情況。而在企業對資安的投入意願大增下，也將帶動資安產業的薪資結構發展。</p> <p>由此來看，對於想要從事資安工作的社會新鮮人，或是想要跨入資安領域的在職人士，資安工作的機會廣又多，除了在自身領域的持續專精，拓展跨域能力也是為自己加分的項目與機會。</p> <h3><strong>非資安專業也能投身資安產業？</strong></h3> <p>換個角度，在資安需求高漲之下，原本非資安領域的人，是否也有機會跨足資安領域？</p> <p>以趨勢科技的經驗來看，除了企業本身需要資安人才，他們發展的資安產品也需要很多的研發人才──理解威脅的人要能針對防禦提出構想，設計成產品規格之後，也要有許多的RD研發人員、QA測試人員，才能將產品付諸實現，這些人才雖然與資安不直接相關，卻都是資安產業重要的一份子。</p> <p>再以關鍵CI領域為例，這是維繫國家正常運作最重要的部分，但光靠學校培育出這樣的資安人才，實務上，並不容易做到，對於本身具備關鍵CI知識的人，跨入資安也將有很大的機會。</p> <p>長期而言，具備跨領域的能力是大勢所趨，現在教育部推動高等教育的跨域學習，企業也很重視跨域人才。以金融業為例，由於這個領域需要懂業務流程、風險控制、稽核等，才能設計正確的資安流程與管理方法，因此，有金融業試著調動資訊團隊的人員去負責推動資安，透過輪調的方式，培養領域資安人才。</p> <p>從一般企業的角度來看，近期也越來越重視跨領域人才的招募。以台積電為例，或許過去他們很重視技術本位，需要電子、電機、光電、機械、物理、材料、化工的人才，但現在甚至對於文科出身的人才同樣有需求。企業對資安人才的需求亦龐大，而且不僅是傳統IT資訊系統的資安人才，更要有對應OT工控系統環境的資安人才。在台積電公布的2021年報也呈現這樣的需求，因為這當中就揭露他們雇用超過500名員工，專門負責資安相關業務。</p> <p>無論如何，資安人才需求與急迫性已經浮現，基於教育與學習的觀點，現在的家長應該也感受到這方面的需求，並逐漸認可這是現在與未來可以穩健投資的產業。</p> <p>甚至，我們不只要有各方面的資安專業，全民都該提升資安意識。吳宗成強調：「隨著資安慢慢從早期的專業化發展到普遍化的地步，現在資安已經與生活密不可分，人人都應該要有生活化資安的認知跟體驗，因此。每個人都該要有資安的認識，這是最基本資訊的使用能力之一，而資安認識的教育也非常重要。」</p> <h3><strong>培育多元資安人才已是大勢所趨</strong></h3> <p>最後，從臺灣資安大會的資安人才論壇的經驗分享來看，我們可以看到，這些資安專家與從業人員，有的來自資安公司，有的來自產業，有的來自顧問服務公司，有的來自政府單位，他們從事的工作，涵蓋資安技術、管理或治理層面，亦顯示資安人才需求多元的現況。而他們暢談與分享的這些經驗，其實也都是為了幫助國內資安人才的培育。無論如何，隨著政府大力推動資安及國安，以及企業投入資安的意願大增，人才培育已是不容忽視的關鍵，產官學界如果能夠在實務面進行進行更密切的合作，提供更多學習與工作資源，勢必可以吸引更多人加入資安行列。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%87%8D%E8%A6%81%E6%80%A7.png" style="width: 600px;" /></p> <p><strong>美國國家標準暨技術研究院（NIST）在2019年正式發布「NICE網路安全人才框架」，並推出NIST SP 800-181文件，當中結合「網路資訊安全教育國家計畫」（NICE），以及網路安全人力框架（CWF），描繪出各種資安工作角色的最低資安技能要求。</strong></p> <p><strong>在2020年11月發布SP 800-181第一版中，涵蓋7大類別，33個專業領域，畫分出52種工作角色，並定義4種與工作角色相關元件，包括930種任務（T0001~T0930）、374種技能（S0001~S0374）、628種知識（K0001~K0628），以及177種能力（A0001~A0177）。圖片來源：美國NIST</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%87%8D%E8%A6%81%E6%80%A7.JPG" style="width: 600px;" /></p> <p><strong>在教育部資安人才培育計畫的脈絡之下，由輔仁大學資訊工程系特聘教授許見章帶領的團隊，在今年建立臺灣本地適用的臺灣資安職務地圖，並以新興資安產業為起點，期望建構求才、求職共識，促進學界培養人才更符合實務需求。更多相關內容：</strong><strong style="vertical-align: top;">●</strong><strong><a href="https://www.ithome.com.tw/news/151029">臺灣積極發展資安職務地圖，促進產官學溝通對焦，新興資安產業版首登場</a>、</strong><strong style="vertical-align: top;">●</strong><strong><a href="https://www.ithome.com.tw/news/153616">臺灣資安職務地圖-2022新興資安產業版</a></strong></p> </div></div></div>
2022/10/13 16:16作者羅正漢https://www.ithome.com.tw/news/153614
臺灣資安職務地圖-2022新興資安產業版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去在資安領域的職能發展上，從學校到產業存在著落差，若能讓雙方能有更好的共識，將有利於投入資安的學子瞭解未來職涯發展，如今，為促進人才職涯與培訓，<a href="https://www.ithome.com.tw/news/151029">一個名為「臺灣資安職務地圖」的項目誕生</a>，將促進產官學溝通對焦，現階段已釋出新興資安產業版。</p> <p>這是「教育部先進資通安全人才培育計畫」（110年－113年）中，子計畫3「資安產業媒合與校友追蹤服務」中的一個項目，目的是協助此領域的求職與求才，並在CYBERSEC 2022 臺灣資安大會上，釋出臺灣資安職務地圖手冊，由iThome執行製作。</p> <p>相關內容請參考：<a href="https://www.ithome.com.tw/news/151029">臺灣積極發展資安職務地圖，促進產官學溝通對焦，新興資安產業版首登場</a>一文</p> <h2><strong>●臺灣資安職務地圖綜覽</strong></h2> <p><strong><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺灣資安人才重要性(1).JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E4%BA%BA%E6%89%8D%E9%87%8D%E8%A6%81%E6%80%A7(1).JPG" style="width: 600px;" /></a></strong></p> <p><b>（點擊圖片放大）</b></p> <h2><strong>●12大資安職務職能技能需求大解密</strong></h2> <p>職務職能一覽表：<a href="https://www.ithome.com.tw/news/153616#資安檢測工程師">資安檢測工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安產品工程師">資安產品工程師</a>　<a href="https://www.ithome.com.tw/news/153616#事件反應工程師">事件反應工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安鑑識工程師">資安鑑識工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安稽核工程師">資安稽核工程師</a>　<a href="https://www.ithome.com.tw/news/153616#滲透及漏洞測試工程師">滲透及漏洞測試工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安分析師">資安分析師</a>　<a href="https://www.ithome.com.tw/news/153616#資安顧問師">資安顧問師</a>　<a href="https://www.ithome.com.tw/news/153616#資安產品開發工程師">資安產品開發工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安工程師">資安工程師</a>　<a href="https://www.ithome.com.tw/news/153616#資安架構師">資安架構師</a>　<a href="https://www.ithome.com.tw/news/153616#資安專案經理">資安專案經理</a>　 </p> <p><img alt="" id="資安檢測工程師" name="資安檢測工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8801%E8%B3%87%E5%AE%89%E6%AA%A2%E6%B8%AC%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="資安產品工程師" name="資安產品工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8802%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="事件反應工程師" name="事件反應工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8803%E4%BA%8B%E4%BB%B6%E5%8F%8D%E6%87%89%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.JPG" style="width: 600px;" /></p> <p><img alt="" id="資安鑑識工程師" name="資安鑑識工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8804%E8%B3%87%E5%AE%89%E9%91%91%E8%AD%98%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安稽核工程師" name="資安稽核工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8805%E8%B3%87%E5%AE%89%E7%A8%BD%E6%A0%B8%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="滲透及漏洞測試工程師" name="滲透及漏洞測試工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8806%E6%BB%B2%E9%80%8F%E5%8F%8A%E6%BC%8F%E6%B4%9E%E6%B8%AC%E8%A9%A6%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安分析師" name="資安分析師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8807%E8%B3%87%E5%AE%89%E5%88%86%E6%9E%90%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安顧問師" name="資安顧問師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8808%E8%B3%87%E5%AE%89%E9%A1%A7%E5%95%8F%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安產品開發工程師" name="資安產品開發工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8809%E8%B3%87%E5%AE%89%E7%94%A2%E5%93%81%E9%96%8B%E7%99%BC%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安工程師" name="資安工程師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8810%E8%B3%87%E5%AE%89%E5%B7%A5%E7%A8%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安架構師" name="資安架構師" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8811%E8%B3%87%E5%AE%89%E6%9E%B6%E6%A7%8B%E5%B8%AB%EF%BC%89.jpg" style="width: 600px;" /></p> <p><img alt="" id="資安專案經理" name="資安專案經理" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%8812%E8%B3%87%E5%AE%89%E5%B0%88%E6%A1%88%E7%B6%93%E7%90%86%EF%BC%89.jpg" style="width: 600px;" /></p> <p> </p> <h2><strong>●資安職能對照檢索表</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能對照檢索表ALL）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A8ALL%EF%BC%89.jpg" style="width: 600px;" /></a></p> <h2><strong>●資安職能與「知識及技能」對照檢索表</strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能與「知識及技能」對照檢索表1）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E8%88%87%E3%80%8C%E7%9F%A5%E8%AD%98%E5%8F%8A%E6%8A%80%E8%83%BD%E3%80%8D%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A81%EF%BC%89.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/臺灣資安職務地圖-2022新興資安產業版（資安職能與「知識及技能」對照檢索表2）.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E8%81%B7%E5%8B%99%E5%9C%B0%E5%9C%96-2022%E6%96%B0%E8%88%88%E8%B3%87%E5%AE%89%E7%94%A2%E6%A5%AD%E7%89%88%EF%BC%88%E8%B3%87%E5%AE%89%E8%81%B7%E8%83%BD%E8%88%87%E3%80%8C%E7%9F%A5%E8%AD%98%E5%8F%8A%E6%8A%80%E8%83%BD%E3%80%8D%E5%B0%8D%E7%85%A7%E6%AA%A2%E7%B4%A2%E8%A1%A82%EF%BC%89.jpg" style="width: 600px;" /></a></p> </div></div></div>
2022/10/13 16:51作者羅正漢https://www.ithome.com.tw/news/153616
Android與Chrome今年將支援通行密鑰，無密碼時代近了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/bringing-passkeys-to-android-and-chrome.html" target="_blank">Google周三（10/12）宣布</a>，即日起開發者即可於Google Play Services測試版與Chrome Canary上測試通行密鑰（Passkey）功能，且相關產品的正式版將在今年出爐，此舉著眼於利用通行密鑰來取代傳統密碼作為行動程式及網站的登入憑證，宣告無密碼時代即將來臨。</p> <p>有別於密碼是由一連串的數字、字母或符號所組成，而且通常需要由使用者或密碼管理程式記住，通行密鑰則是一個不可見的加密實體，由一組金鑰對所組成，當中的公鑰可用來註冊網站或行動程式，另一個私鑰則存放在使用者裝置上，以通行密鑰來作為登入憑證既不需要再記住密碼，也更難被駭客破解或入侵。此外，由於通行密鑰是奠基在相關的產業標準上，因此得以跨平臺運作。</p> <p>Google則說明，使用者手機與電腦上的通行密鑰可透過雲端備份與同步，以防使用者在裝置遺失後被鎖住；使用者也能利用存放於手機上的通行密鑰來登入鄰近裝置上的程式或網站。</p> <p>本周Google的宣布意謂著使用者可於Android裝置上建立並使用通行密鑰，並與Google Password Manager同步；開發者則可利用WebAuthn API，於網站上打造對通行密鑰的支援。今年Google也會釋出針對原生Android程式所打造的API。</p> <p>對使用者而言，建立通行密鑰只需兩個步驟，一是確認通行密鑰的帳號資訊，二是展示自己的指紋、臉孔或螢幕鎖，之後要登入網站或服務時，只要選擇所要登入的帳號，再輸入指紋、臉孔或螢幕鎖即可。</p> <p>使用者亦可將儲存通行密鑰的手機當作實體金鑰，用它來登入鄰近裝置上的網站，例如Android用戶可用手機來登入身旁Mac裝置、Safari瀏覽器上某個支援通行密鑰的網站，同樣的，在Chrome支援通行密鑰之後，iOS裝置所儲存的通行密碼，也可用來登入Windows電腦上以Chrome瀏覽器所造訪的網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Passkeys%20in%20the%20Google%20Password%20Manager-Bringing%20passkeys%20to%20Android%20%26%20Chrome-3.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p><a href="https://www.ithome.com.tw/news/151318" target="_blank">蘋果今年6月就已在最新的macOS、iOS或iPadOS部署通行密鑰機制</a>，繼之於9月釋出的<a href="https://www.ithome.com.tw/news/153040" target="_blank">Safari 16上支援通行密鑰</a>，<a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟亦全面推動無密碼登入</a>，在Google、蘋果與微軟的推動下，不必再記住眾多密碼的時代理應指日可待。</p> </div></div></div>
2022/10/13 17:03作者陳曉莉https://www.ithome.com.tw/news/153615
【臺灣資安大會直擊】實現人盡其才，如何用才很重要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安人才的培育，5年前在臺灣駭客年會（HITCON）社群場主題演講上，臺灣科技大學資管系特聘教授吳宗成曾提出人手、人才、人物三種等級的區分，而在今年臺灣資安大會鴻海研究院展覽區，他在一場演講當中，以自己資安人生歷經的4個階段，帶著大家以另一種角度思考整體資安人才的角色，他的講題相當別開生面，叫做「我的資安人生：是當釘子？還是當鐵鎚？」</p> <p>一般人談到釘子與鐵鎚的關係，可能會先想到前者被後者鎚打，有種無奈、受傾軋的感覺，然而，吳宗成則是回歸它們的本質與作用，以此譬喻處於不同角色的資安人彼此不可或缺，都有其重要性，他期勉大家要經常思考自己目前處於何種角色階段，持續接觸新興科技進行鍛鍊，才能跟著環境、情境、年代的變化進步，而且，不要只是成為工具的使用者，要成為智慧的創造者。</p> <h3><span style="color:#FF0000;"><strong>想要完成工程，釘子、鐵鎚、工匠都很重要，缺一不可</strong></span></h3> <p>參加過大大小小的資安活動，吳宗成每年都在這些場合看到很多身懷高超技術的資安人，他都會注意哪些有哪些是很好的人才，然而他也經常在想一件事：臺灣有非常多頂尖的資安高手，每個「釘子」都非常厲害，如何能找到他們的用武之地？因此，他也問現場觀眾幾個關於釘子的簡單問題，希望大家也透過這個比喻去想想資安人才的問題。首先，我們可以思考釘子本身的功能，它們可能是用來固定、穿牆，把兩個不同材質的東西緊密結合，例如，我們可透過釘子把木板等材料結合在一起；接著，則是思考用途，想想如果我們手上有個全世界最強大的釘子，可以怎麼用？有的人會將它釘在一個特殊的牆壁上；再接下來，要去思考怎麼釘、用什麼工具幫忙釘。</p> <p>此時，多數人的選擇是用鐵鎚去釘，吳宗成也特別指名在場聽講的幾位創辦資安公司的業界專家，將他們比喻成「鐵鎚」，扮演敲擊釘子（督促資安人員研究與創新）的工具角色。</p> <p>接下來的情境，我們可以思考：一個好的釘子固然要搭配好的鐵鎚來敲擊，如果拿到一個全世界最好的釘子，以及一支全世界最棒的鐵鎚，下一步要怎麼釘？要釘出什麼？要釘到哪裡？</p> <p>至此，吳宗成引用一首美國搖滾歌手Todd Rundgren唱的歌《The Want of a Nail》，歌詞提到：少了一根釘子可能會讓你喪失一個世界，以此呼應與延伸上述的釘子與鐵鎚的思考，提醒大家資安領域每個看似不起眼的角色，其實都有唇齒相依的密切關聯，缺少其中一個，可能就會讓你輸掉戰爭、丟失了國家與世界，而這也跟為何臺灣主張「資安就是國安」是相同的道理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-1.jpg" style="width: 600px;" /></p> <h3><span style="color:#FF0000;"><strong>工法、手法、心法也要到位，才能充分發揮所長</strong></span></h3> <p>關於資安人才的角色，吳宗成也透過闡述鐵鎚與工匠的比喻，突顯這類資安人才的重要。</p> <p>首先是工法，在鐵鎚的使用上，我們要選擇好上手的，因為若拿到一個全世界最小的鐵鎚，並不好釘；若拿到全世界最強的鐵鎚，所用的釘子卻是一般的鐵釘，可能也不合用；若要釘脆弱的木板，我們使用鋼釘去釘，可能每次一釘下去，木板就必定會破掉。</p> <p>除此之外，如果使用太重的鐵鎚，我們往往不易施力，而使用太輕的鐵鎚，可能不易發揮鐵鎚的能力，因此，吳宗成說，當你成為鐵鎚式的資安人，要注意你在那個位置適不適合。並不是每個重要的資安人都是應該在那個位置的。</p> <p>接下來是手法與心法，對應到這個比喻就是指釘子該怎麼釘，而關鍵在於：要以忽急忽慢的頻率進行敲擊、扶好釘子、下手要筆直。若拿到10根釘子，10根都能垂直釘下去，那麼我們就會是好的工匠，若出現釘歪的狀況，釘子就無法發揮應有功能，我們必須要把釘子取出、重新進行以鐵鎚敲擊釘子的程序。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-2.jpg" style="width: 500px;" /></p> <p>因此，若就最單純的角度來看待資安人才，我們可能要去思考自己是不是一個好釘子、鐵鎚，所使用的釘子、鐵鎚是否恰當，而在搭配兩者時，我們也要設法去了解適合的用法。</p> <p>簡而言之，釘子很重要，鐵鎚很重要，打釘子的人心法也很重要，談到這裡，吳宗成有感而發地表示，資安確實是良心的事業，因為我們會看到很多系統的缺陷，因此當下會面臨的選擇是去補漏洞？或是去戳那個洞？還是先戳洞再補洞？所以很多人想成為釘子，但也必須要去想想自己要成為一個怎樣的釘子。</p> <h3><span style="color:#FF0000;"><strong>擴大能力布局，與時俱進持續磨練，期許自己從工具的使用者成為智慧的創造者</strong></span></h3> <p>回顧從25歲至今的40年資安人生，吳宗成區分為4個階段。在第一、二個階段是扮演釘子的角色，初期作為「鐵釘」，他在研究領域鑽研學術，從論文當中學到許多，開始教書之後，帶領很多技術能力很強的學生一起研究、幫忙學界，成為「鋼釘」；第三階段是扮演鐵鎚的角色，進行「打釘」，例如，找大家來幫忙修補程式漏洞，尋找驗證電動車資安的實驗方式；到了第四階段則是扮演工匠的角色，進行「造釘」，他在學校教書，培養資安人才，若大家在政府機關服務或一般企業，也需要這樣的能者來幫單位造釘，因為沒有釘子，我們就無法將手上的木板等材料，用釘子串接、固定在一起。</p> <p>事實上，當我們從負責技術的人員演變到負責管理的人員，要思考這時候要如何成為擘畫整個架構的師傅。所以，我們必須能夠找到釘子、會打釘子，這當中，很重要的是，怎麼拿那個鐵鎚，把好的、適當的釘子釘到一個位置。</p> <p>吳宗成表示，自己現在就是在造釘，告訴大家如何打釘、選鐵鎚、了解整個環境，也就是所謂的工法、手法、心法。他認為，每個人在職場都應該有自己的階段，要衡量自己到底目前是處於哪一個階段。</p> <p>除了思考角色定位，吳宗成也勉勵資安人注意三件事。首先是要了解臺灣資安的能量其實很大，我們已經有很多的「釘子」，當中有鐵釘、鋼釘，釘子都很優秀，就像臺灣的工業有很多隱形冠軍廠商。同時，我們也有鐵鎚，大家會想要找適當的鐵鎚來敲釘子，尋找能夠做好支撐、介接、牢固的人，這樣的人很重要。</p> <p>第二個期許是多接觸新興科技，像自駕車、無人機、5G，都有資安議題需要關注，身為釘子、鐵鎚、工匠，可以在這些領域磨練，以免生鏽、生疏。</p> <p>吳宗成發現，有很多新進資安領域的人仍從資通訊（ICT）的角度來關注，他認為，應該要把OT、工業控制、人工智慧、機器學習等技術，納入持續關注的資安議題範疇，這是因為新興科技的普及，會讓資安問題變得更複雜，讓資安難度更高。</p> <p>第三個則是成為智慧的創造者。吳宗成表示，有些資安問題只需用一般的釘子即可，有些可能需要用到鋼釘，甚至要以特殊的方式去釘，更重要的是，我們必須能夠「造釘」，不只是工具的使用者，而是成為智慧的創造者。</p> <p>而相關的典範早有前例，像是春秋時期的魯班、墨子，分別因發明重要工具與守城器具而著稱，明代科學家宋應星撰寫的《天工開物》也提供一些啟發，我們可以從中思考如何成為好的工程人、好的釘子，以及善用工具的方法。</p> <p>關於資安攻防，他建議學生研究到一定程度即可，接下來是如何找到認可的目標，創造新的事物，這樣才有辦法抵擋最新的資安威脅，跟著身處的環境與年代而進步。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nail%202022%20Cybersec-3.jpg" style="width: 600px;" /></p> </div></div></div>
2022/10/13 17:24作者李宗翰https://www.ithome.com.tw/news/153619
微軟雲端端點安全改叫Intune，Defender for Cloud新增開發安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近年積極強化雲端安全產品，而在Ignite 2022大會上，微軟也有數項宣布，包括雲端端點安全管理將改名Intune、Defender for Cloud新增2項功能、預覽Microsoft Entra身分管理新治理功能、以及可在勒索軟體發生時即時隔離受害裝置Microsoft 365服務。</p> <p><a href="https://learn.microsoft.com/en-us/mem/intune/fundamentals/whats-new" target="_blank">微軟宣布</a>從今天起，終端安全管理產品原本名稱Endpoint Manager不再使用，雲端整合端點管理產品將改名Microsoft Intune。而本地部署管理產品則叫Configuration Manager。Microsoft Intune也將成為日益壯大的端點管理產品線品牌。</p> <p><a href="https://techcommunity.microsoft.com/t5/endpoint-management-blog/reduce-your-overall-tco-with-a-new-microsoft-intune-plan/ba-p/3650725" target="_blank">微軟預計2023年3月推出進階端點管理方案</a>，涵括端點權限管理、情報自動化、資料分析洞見、遠端協助及自動化應用程式修補等，所有功能都會以Intune為基礎，並整合Azure Active Directory、Defender、Priva等產品。明年5月推出時，Microsoft 365、E3或E5授權用戶可免費獲得。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Intune%20product%20family.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>新增的功能方面，首先是Defender for Cloud。微軟去年11月整併2個產品線Azure Security Center與Azure Defender為Defender for Cloud，定位為多雲環境下企業安全態勢管理及負載防護，主要在尋找多雲環境中不安全的設定以強化整體安全，並提供應用程式防護。今年2月，<a href="https://www.ithome.com.tw/news/149529" target="_blank">微軟將Defender for Cloud防護擴及Google Cloud Platform</a>。</p> <p>昨日Ignite大會上，微軟宣布再以預覽版形式推出2項服務，分別是<a href="https://www.microsoft.com/zh-tw/security/business/cloud-security/microsoft-defender-devops?rtc=1" target="_blank">Defender for DevOps</a>及<a href="https://www.microsoft.com/zh-tw/security/business/cloud-security/microsoft-defender-cloud-security-posture-management?rtc=1" target="_blank">Defender Cloud Security Posture Management</a>（Defender CSPM）。前者是作為開發環境的統一管理介面，可讓企業在集中化控制臺上掌握多種開發環境，並可結合其他安全情報資訊，以排定整個程式碼漏洞修補的先後順序。目前Defender for DevOps已可支援GitHub和Azure DevOps，微軟表示未來還會再增加其他開發環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Defender%20for%20DevOps%EF%BC%88%E9%A0%90%E8%A6%BD%EF%BC%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Microsoft Defender for DevOps（預覽），圖片來源／微軟</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Defender%20Cloud%20Security%20Posture%20Management-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Microsoft Defender Cloud Security Posture Management (CSPM)，圖片來源／微軟</span></span></p> <p>Defender CSPM則是以現有Defender for Cloud態勢管理功能為基礎開發而成，涵蓋混合雲及多雲環境，結合微軟安全Defender for DevOps及攻擊路徑分析產品Defender External Attack Surface Management，協助排定重大威脅的掃除與矯治。</p> <p>此外，微軟也釋出身分管理產品線新功能。<a href="https://www.ithome.com.tw/news/151240" target="_blank">今年5月微軟宣布</a>身分及存取管理產品線Microsoft Entra。微軟在Entra去中心化身分管理子產品線下，釋出<a href="https://www.microsoft.com/zh-tw/security/business/solutions/identity-governance?rtc=1" target="_blank">身分治理（Identity Governance）服務預覽版</a>，提供員工（或使用者）從就職到離職身分的生命周期管理，可減少離職員工再存取公司資料的風險。它的生命周期工作流程（Lifecycle Workflow）服務可將權限管理這種高重覆性及零散的作業自動化，以補足現有產品，包括存取檢查、存取認證、權限管理及特權身分管理等。等這項功能正式上線後，微軟也會一併公布授權價格。</p> <p>最後，<a href="https://techcommunity.microsoft.com/t5/microsoft-365-defender-blog/what-s-new-in-xdr-at-microsoft-ignite/ba-p/3648872" target="_blank">微軟宣布Microsoft 365 Defender自動化攻擊阻斷服務以預覽版上線</a>。這項服務結合了XDR（延伸偵測與回應，extended detection and response）功能，整合來自端點、身分、電子郵件、文件、雲端App等的訊號，可在有勒索軟體或金融詐騙發生時即時偵測。一旦偵測到發生攻擊時，受影響的身分或端點會自動被隔離，防止惡意活動橫向移動，縮小攻擊面，讓資安單位得以調查並取回控制權。這項服務將可免費提供給Microsoft 365 E5授權用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Ignite%202022-Automatic%20Attack%20Disruption%20view%20in%20Microsoft%20365%20Defender-2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> </div></div></div>
2022/10/13 15:30作者林妍溱https://www.ithome.com.tw/news/153609
微軟發表可供組織解決混合辦公室的Places程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2022/10/12/introducing-microsoft-places-turn-your-spaces-into-places/" target="_blank">微軟在周三（10/12）的Ignite大會上發表了Places程式</a>，宣稱是個新的連網辦公室平臺，可用來解決後疫情時代的彈性辦公型態，未來將整合至Microsoft 365解決方案中的Outlook、Teams與Viva等應用，計畫近期內開放試用。</p> <p>後疫情時代的辦公環境仍呈多元樣貌，有些員工依舊在家上班，偶爾進辦公室與同事聯繫或協作，<a href="https://www.ithome.com.tw/news/140455" target="_blank">微軟也已將彈性工作場所當作未來的工作常態</a>，不過，有時進了辦公室卻發現公司沒人也令人沮喪，而微軟即藉由Places來協調同事之間的工作地點。</p> <p>Places的其中一項功能為混合調度（Hybrid Scheduling），可利用來自Outlook與Teams的資料讓使用者查看團隊成員或友好同事計畫在哪一天進公司，也能知道辦公室出勤率最高的日子，藉以調整自己進辦公室的時間。</p> <p>另一個智慧預訂（Intelligent Booking）功能則可用來尋找可使用且符合需求的工作空間，以用來同時進行面對面及遠距會議，還可在預訂會議時間之後，理解當天可能的交通狀態。</p> <p>至於Wayfinding可協助使用者依照地圖找到正確的會議室，而Hot Desk Booking則能根據友好同事的位置來選擇座位，還有一個得以號召同事來個臨時聚會的功能。</p> <p>辦公室主管則能透過Places所蒐集的資料以最佳化辦公室空間的利用，像是變更多餘小型會議室的用途，以支援已被超額預訂的協作室，或是在很少人進辦公室的時間減少樓層的使用，以節省能源並改善工作空間的體驗。</p> </div></div></div>
2022/10/13 15:40作者陳曉莉https://www.ithome.com.tw/news/153611
微軟更新Surface筆電與桌機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2022/10/12/introducing-new-surface-devices-that-take-the-windows-pc-into-the-next-era-of-computing/" target="_blank">微軟周三（10/12）更新了Surface裝置</a>，包括新款的二合一裝置Surface Pro 9，用來與蘋果MacBook Air較量的Surface Laptop 5，以及一體成型的桌上型電腦Surface Studio 2+。</p> <p><a href="https://www.microsoft.com/en-us/d/surface-pro-9/93vkd8np4fvk?activetab=pivot%3aoverviewtab" target="_blank">13吋的Surface Pro 9</a>號稱同時具備筆記型電腦的效能與平板電腦的彈性，重僅879公克，電池續航力長達15.5小時，採用Intel Evo第12代處理器，最低階配置的售價為999.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Pro%209-4.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><a href="https://www.microsoft.com/en-us/d/surface-laptop-5/8xn49v61s1bn?activetab=pivot:techspecstab" target="_blank">Surface Laptop 5</a>則有13.5吋及15吋兩個版本，皆採用觸控式螢幕，為標準的筆記型電腦，採用第12代Intel Core i5/i7處理器，前者重1,272公克，後者為1,545公克，電池續航力分別是18與17小時，前者最低階配置的售價999.99美元，後者則是1,299.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Laptop%205-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.microsoft.com/en-us/d/surface-studio-2-plus/8vlfqc3597k4#full-tech-specs" target="_blank">Surface Studio 2+</a>為高階一體成型桌上型電腦，配備28吋觸控式螢幕，配件包括滑鼠、鍵盤與觸控筆，採用第11代Intel Core H35處理器，內建32GB記憶體與1TB固態硬體，最低階配置的售價為4,499.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Surface%20Studio%202%2B%20(2).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>上述Surface裝置即日起在美國已開放預購，預計於10月25日出貨，至於臺灣市場的售價及上市日期則未定。</p> </div></div></div>
2022/10/13 15:48作者陳曉莉https://www.ithome.com.tw/news/153612
微軟更新Microsoft Edge，Edge Workspaces可供團隊透過分頁分享工作進度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周三（10/12）舉行的Ignite大會上<a href="https://blogs.windows.com/msedgedev/2022/10/12/ignite-2022-innovations-updates-microsoft-edge/#Workspaces" target="_blank">公布了Microsoft Edge瀏覽器的各種創新設計及改善</a>，其中最受矚目的是Edge Workspaces，它是一個以分頁呈現的專案工作空間，集結各種最新的檔案與連結，以讓專案成員都能存取最新資訊。</p> <p>微軟解釋，要讓一個專案的所有成員都維持在同樣的進度並不容易，因為這需要許多電子郵件或訊息的往返以更新彼此的資訊或檔案，但藉由Edge Workspaces便能透過每天都在使用的瀏覽器，輕易凝聚團隊。</p> <p>使用者可於Microsoft Edge瀏覽器上以一個新分頁建立工作空間，賦予該工作空間一個名稱，再於工作空間中集結與專案有關的檔案及網頁，且相關資訊都會自動更新及儲存，而只要分享此一工作空間的網址，就能讓所有專案成員參與並理解各元素的進度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Edge%20Workspaces-a%20shared%20set%20of%20browser%20tabs%20(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Microsoft%20Edge%20Workspaces-a%20shared%20set%20of%20browser%20tabs%20(3).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>值得注意的是，Edge Workspaces是建立在每名使用者的身分與權限上，因此，就算可存取特定的工作空間，若缺乏權限，亦無法存取該工作空間內的某些網站。</p> <p>目前Edge Workspaces仍處於預覽階段，<a href="https://learn.microsoft.com/en-us/DeployEdge/microsoft-edge-workspaces" target="_blank">使用者必須</a>擁有一個Azure AD租用戶，且必須使用Microsoft Edge 106或以上的版本，若要藉由群組原則啟用該服務，管理員除了必須使用Microsoft Edge 106及以上版本的瀏覽器之外，也得安裝Microsoft Edge 107的原則檔案。另也必須具備OneDrive for Business授權才能建立工作空間。</p> <p>Edge Workspaces預計要到明年才會正式上線。</p> <p>除了Edge Workspaces之外，Microsoft Edge也新增了即時字幕（Live Captions）功能，可自動分析瀏覽器中所播放的語音，並以文字呈現；也在網址列上新增即時解答（Instant Answers）功能，只要在網址列上輸入問題就能直接得到答案；還有一個特別的安全功能是在使用者於網址列上輸入拼字錯誤的網站時，就會立即警告使用者，以避免使用者遭到網釣攻擊。</p> <p class="rtecenter"><img alt="" src="https://support.content.office.net/en-us/media/8a363b0a-20bf-49e9-a699-a7e32ff2f34b.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">即時字幕（Live Captions）（圖片來源／微軟）</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-Edge%20version%20107-Website%20typo%20protection%20improvements.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> </div></div></div>
2022/10/13 13:36作者陳曉莉https://www.ithome.com.tw/news/153608
蘋果iCloud相簿儲存、Apple Music等服務，將可在Windows 11上執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ignite.microsoft.com/en-US/home" target="_blank">在微軟周三（10/12）的Ignite 2022大會上</a>，蘋果和微軟宣布iCloud相簿服務將可以在微軟平臺如Windows 11執行，而Apple Music及TV App也預計明年推出Windows版本。</p> <p><a href="https://blogs.windows.com/windows-insider/2022/10/12/updated-photos-app-for-windows-11-with-icloud-photos-now-rolling-out-to-windows-insiders/" target="_blank">微軟透過公司部落格宣布</a>iCloud Photos Library服務和Windows Photos App整合。過去Windows用戶若想在雲端備份，預設只能使用OneDrive，無法用iCloud。最新的整合讓用戶可用Windows 11內建的相簿App，搭配iCloud Photos Library相簿備份服務。微軟今天已將具備這項功能的Windows版Photos App 2022.31100.9001.0版，推給Dev通道的Insider測試方案用戶。</p> <p>使用者必須先下載<a href="https://apps.microsoft.com/store/detail/icloud/9PKTQ5699M62?hl=en-us&gl=us" target="_blank">iCloud for Windows版App</a>並登入，然後選擇和iCloud Photo Library同步。完成後就能在Windows 11讀取儲存在iCloud的相片及影片。</p> <p class="rtecenter"><img alt="" src="https://store-images.s-microsoft.com/image/apps.33080.14255546098955437.d82e1891-9884-4247-9135-ebf6c4b9c698.ff81058e-534c-435f-a559-6ce9c8599621" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／微軟</span></p> <p>其次是Apple Music及Apple TV明年將可在Windows電腦上執行。在此之前，適用於Xbox的Apple Music App今天已在<a href="https://www.microsoft.com/en-us/p/apple-music/9pp5m2pj95gx" target="_blank">Microsoft Store</a>上架。微軟預告，Windows PC版Apple Music和Apple TV App Beta版預計明年初在Microsoft Store上架，讓擁有蘋果音樂及Apple TV+服務訂閱服務的用戶，可在Windows PC上享受影音內容。</p> <p><a href="https://www.microsoft.com/en-us/p/apple-tv/9mw0zwqfh0m2#activetab=pivot:overviewtab" target="_blank">Xbox版Apple TV App則是2020年底就推出</a>。至於Apple Music將取代的iTunes App則仍然可在Windows PC上使用。</p> <p>對於向來不輕易開放其他平臺的蘋果而言，這次和Windows整合可說相當難得。微軟一些創新開發，例如可將手機內容映射到Windows PC上的Phone Link，就只有Android版，而許多人愛用的<a href="https://www.ithome.com.tw/news/153374" target="_blank">手機鍵盤SwiftKey</a>，微軟也從本月開始終止支援。</p> </div></div></div>
2022/10/13 12:09作者林妍溱https://www.ithome.com.tw/news/153600
Google針對軟體供應鏈推出安全解決方案Software Delivery Shield
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對軟體供應鏈安全Google推出<a href="https://cloud.google.com/blog/products/devops-sre/introducing-software-delivery-shield-from-google-cloud">Software Delivery Shield</a>，這是一個全託管軟體供應鏈安全解決方案，其提供了一組模組化功能，保護軟體供應鏈的每個階段。</p> <p>Software Delivery Shield覆蓋的範圍極廣，從開發者工具到GKE、Cloud Code、Cloud Build、Cloud Deploy、Artifact Registry、Binary Authorization等一系列Google雲端服務，其主要解決軟體供應鏈5大領域的安全問題，分別是應用程式開發、軟體供應、CI/CD、生產環境和政策，用戶可以根據需求，以及現有的環境和安全優先層級，逐步採用Software Delivery Shield。</p> <p>Software Delivery Shield的Cloud Workstations服務，能夠在Google雲端上提供全託管開發環境，開發人員可以透過瀏覽器隨時存取可自訂的開發環境，同時IT和安全管理人員，也能夠簡單地配置、擴展和保護Google雲端的開發環境。</p> <p>官方提到，Cloud Workstations可以透過強化應用程式開發環境的安全態勢，左移開發安全性。Cloud Workstations透過VPC服務控制、無本地儲存原始碼，以及強迫映像檔更新和IAM存取政策，能夠有效解決常見本地開發的痛點，像是程式碼洩漏、隱私風險和配置不一致等問題。</p> <p>Google也在Cloud Code IDE擴充套件新增Source Protect功能，Source Protect能夠在IDE中提供即時安全保護，辨識易受攻擊的相依項目和授權等問題，而藉由快速操作和回應，可讓開發人員即時調整程式碼，減少未來需要修復的機會。</p> <p>在保護軟體供應鏈上，企業普遍使用開源軟體成為具有挑戰性的問題，Software Delivery Shield使DevOps團隊可以在Artifact Registry安全地儲存、管理和保護構件，透過整合Container Analysis掃描主動偵測漏洞，Google也在該服務擴展支援的語言，且除了掃描基礎映像檔，還能夠對Maven和Go容器，以及非容器化Maven套件進行漏洞掃描。</p> <p>而Google在5月的時候所推出Assured Open Source Software（Assured OSS）服務，也成為Software Delivery Shield的重點部分，提供企業和開發商經Google漏洞檢查和簽章的開源套件。</p> <p>在CI/CD工作管線上，Cloud Build和Cloud Deploy都具有高精細IAM控制、VPC服務控制、隔離和臨時環境等安全功能，使DevOps人員更好地管理建置和部署過程，而對於生產環境中的應用程式，GKE則內建新的安全狀態管理功能，可辨識和解決叢集中的安全問題，Cloud Run的安全面板則新增顯示SLSA建置等級法遵資訊、建置出處和已發現漏洞等供應鏈安全資訊。</p> <p>另外，Software Delivery Shield還具有基於信任的政策引擎，以建立和驗證整個供應鏈的信任鏈，Binary Authorization功能提供部署時的安全控制，可以確保GKE和Cloud Run部署受信任的容器映像檔，安全團隊可以在開發過程要求受信任的權威機構對映像檔簽章，並在部署時強制驗證簽章，確保只有經過驗證的內容，可以整合進建置和發布程序，更嚴格地控制容器環境。</p> </div></div></div>
2022/10/13 09:25作者李建興https://www.ithome.com.tw/news/153589
Google發表雲端遊戲專用的Chromebook
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chromebooks/gaming-chromebooks/" target="_blank">Google周二（10/11）發表</a>了首批針對雲端遊戲所設計的Chromebook，這些Chromebook分別由宏碁、華碩及聯想所製造，價格不超過700美元，同時支援Nvidia、Amazon與微軟的雲端遊戲，Google並將它們戲稱為偽裝成Chromebook的終極遊戲機。</p> <p>其中，華碩的Chromebook Vibe CX55 Flip訂價為699美元，聯想的Ideapad Gaming Chromebook是679.99美元，宏碁Acer Chromebook 516 GE則是649美元。此外，它們都通過了遊戲評測平臺GameBench的測試，證明它們能夠提供流暢的遊戲體驗，每秒可顯示120個畫面，而且擁有遊戲機等級、低於85毫秒的輸入延遲。</p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image2.max-1100x1100.png" style="width: 600px;" /></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image3.max-1100x1100.png" style="width: 600px; height: 300px;" /></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Carousel_image1.max-1100x1100.png" style="width: 600px;" /></p> <p>儘管Google在宣布<a href="https://www.ithome.com.tw/news/153375" target="_blank">即將關閉自家Stadia遊戲串流服務</a>之後才發表雲端遊戲Chromebook似乎顯得有些奇怪，不過，這三款Chromebook將同時支援來自Nvidia、Amazon與微軟的雲端遊戲服務。</p> <p>它們都將預載Nvidia的GeForce NOW串流遊戲程式，Google亦與微軟合作以藉由可安裝的網路程式，讓Chromebook用戶可使用Xbox Cloud Gaming測試版，亦支援Amazon Luna雲端遊戲服務，估計可讓Chromebook用戶存取超過1,500款的遊戲機與PC遊戲；Google與Nvidia及Amazon的合作還包括3個月的免費試用，讓玩家得以存取近200款免費遊戲。</p> <p>Google試圖讓Chromebook跨出教育市場，除了陸續推出高階機種，開發雲端遊戲機種之外，日前亦與Framework Computer合作，<a href="https://www.ithome.com.tw/news/153193" target="_blank">發表了可升級的Framework Laptop Chromebook Edition</a>。</p> </div></div></div>
2022/10/13 09:37作者陳曉莉https://www.ithome.com.tw/news/153597
Google擴大Looker商業智慧系列產品線，將Data Studio更名為Looker Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/looker-next-evolution-business-intelligence-data-studio">Google宣布</a>以Looker品牌統一旗下的商業智慧產品，即日起Data Studio更名為Looker Studio，官方提到，透過該商業智慧套件，用戶將不只能使用儀表板，還可以在工作流程和應用程式添加智慧功能，以資料驅動做決策。另外，Google也運用自家雲端核心技術重新打造Looker，提供能與Google雲端服務深度整合的版本。</p> <p>Looker是Google在2020年買下的資料分析視覺化新創，其提供商業智慧、資料應用和嵌入式分析整合平臺，現在Google要進一步整合Looker和自家雲端技術，提供更加完整且一致的資料分析服務。</p> <p>經過更名的Looker Studio能夠讓用戶簡單地進行自助分析，目前支援800多個資料來源以及600個連接器，視覺化介面讓用戶只需要簡單地點擊滑鼠，不需要IT人員就能夠探索和分析不同來源的資料。不只如此，Looker Studio現在還可以存取Looker資料模型，使用戶透過Looker建模層探索可信資料，將運用臨時資料來源進行的自助分析，與在Looker中以受信任資料建置的模型相結合。</p> <p>Google將會繼續免費提供Looker Studio以支援廣泛多樣的使用案例，同時Google也還會提供Looker Studio Pro加入企業級功能，滿足企業對治理和法遵的需求。當用戶升級使用Looker Studio Pro便能擁有新的企業管理、團隊協作和SLA等功能，接下來Google還會增加更多功能，包括提供資料處理歷程和後設資料可見性的Dataplex整合。</p> <p>Google還發布基於Google雲端核心的Looker預覽版，這個新版本將會出現在Google雲端控制臺中，並與核心雲端基礎設施服務深度整合，包括重要安全和管理服務。</p> <p>Google也盡可能擴展Looker支援的服務，像是與Google Workspace深度整合，供用戶可以從原本的生產力工具中，獲得額外的分析功能，藉由試算表和其他文件程式就能存取組織中的資料，並獲得準確的分析結果。目前Looker與Google試算表整合正在預覽階段，預計將會在2023年正式發布。</p> <p>另外，Google也使Looker得以連接其他商業智慧工具，像是Tableau和視覺化工具，用戶能夠以這些工具分析來自Looker的可信資料，官方提到，Looker作為開放平臺，也與其他第三方提供更進一步的服務，從建模層延伸至用戶體驗，像是Looker與Sisu Data的合作，用戶將可以了解資料中不尋常的事件。</p> </div></div></div>
2022/10/13 09:41作者李建興https://www.ithome.com.tw/news/153596
【資安日報】2022年10月12日，Exchange傳出有新的零時差漏洞被用於攻擊行動、SEMI E187設備資安標準…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越南資安業者GTSC在9月底通報的Exchange零時差漏洞ProxyNotShell還沒有得到修補，現在傳出可能又有新的漏洞被用於攻擊行動！微軟傳出針對資安業者AhnLab揭露的勒索軟體LockBit攻擊行動進行調查並得到證實，背後的原因疑似就是與Exchange漏洞有關。</p> <p>上述的ProxyNotShell漏洞經過兩週仍未獲得修補，已讓不少人跳腳，但有漏洞接近一年都還沒有修補程式！研究人員去年11月通報的VMware vCenter Server的漏洞CVE-2021-22048，迄今不只尚未有修補程式，就連大改版vCenter Server 8.0仍存在相關漏洞。</p> <p>國際半導體產業協會SEMI Taiwan針對今年1月推出的半導體產線設備資安標準，他們最近發布了導入指南，並表示未來還會提供更為完備的標準實務指引。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/microsoft-exchange-servers-hacked-to-deploy-lockbit-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對7月被揭露的勒索軟體LockBit攻擊事故，駭客疑似利用新的零時差漏洞入侵Exchange，但有資安專家認為攻擊者利用的漏洞是ProxyNotShell</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exchange-image-14.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exchange-image-14.png" style="width: 300px; float: right;" /></a>資安業者AhnLab公布今年7月勒索軟體LockBit的攻擊行動（現已刪除），駭客入侵Exchange伺服器並部署Web Shell，進而取得AD管理員權限，但現在傳出駭客很可能利用了迄今尚未公開的漏洞發動攻擊。根據資安新聞網站Bleeping Computer的報導，微軟正在著手進行調查，這些駭客是否運用了<a href="https://www.ithome.com.tw/news/153387">越南資安業者GTSC揭露的ProxyNotShell</a>，也引發關注。</p> <p>AhnLab認為，這起事故的攻擊手法與GTSC公布的不同，Web Shell檔案名稱也不一樣，研判攻擊者很可能使用各自找到的漏洞來發動攻擊，但他們無法完全排除這些駭客運用ProxyNotShell可能性。這樣的說法引起資安專家討論。</p> <p>趨勢科技在9月20日列管3個Exchange漏洞，並於10月4日加入其網路防護產品的特徵碼，但是否與AhnLab揭露的事故有關？目前仍不得而知。</p> <h3><a href="https://www.ithome.com.tw/news/153567"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲IT服務業者Dialog遭駭，客戶及員工資料恐外洩</span></strong></a></h3> <p>9月下旬，新加坡電信（Singtel）旗下的澳洲電信業者Optus遭駭，該集團現在又傳出另一家子公司遭遇網路攻擊。新加坡電信於10月10日發出公告，他們旗下的澳洲IT服務業者Dialog於9月10日發生資安事故，他們偵測到數臺伺服器遭到外部未經授權存取，當下該公司關閉相關系統，並在2天後重新恢復運作。Dialog研判十多家客戶與上千名員工的資料可能外洩，他們在10月7日發現有人在暗網上公布部分資料，但不確定是否與此次事故有關。</p> <p>Dialog今年4月由新加坡電信的全資子公司NCS併購，是否與Optus遭駭有關？新加坡電信表示，Dialog、NCS、Optus的資訊系統皆完全獨立，且尚未有證據顯示兩起資安事故有所關聯。</p> <h3><strong style="font-size: 22px;"><a href="https://www.facebook.com/165bear/posts/472618001575929"><span style="color: rgb(0, 0, 0);">刑事警察局公告高風險賣場，生活市集入榜五周，近兩周最嚴重</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/310439413_472617961575933_3109729446816703360_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/310439413_472617961575933_3109729446816703360_n.jpg" style="width: 300px; float: right;" /></a>165反詐騙持續公布民眾通報的高風險賣場，針對解除分期詐騙手法及疑似個資外洩狀況示警，近期以網購平臺生活市集最嚴重，連續五周列於榜單，並且最近連續兩周排行第一。此外，還有幾家網購業者或商家下半年新入榜，例如，順發3C連兩周、旋轉拍賣更是達到9周，鞋全家福達7周，此外近期還有多間飯店入榜。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2022-patch-tuesday-fixes-zero-day-used-in-attacks-84-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布10月份例行更新，但眾所關注的ProxyNotShell修補並未一起釋出</span></strong></a></h3> <p>10月11日，微軟發布了10月份的每月例行更新（Patch Tuesday），這次總共修補了84個漏洞，其中有2個是零時差漏洞，一個已被用於攻擊行動，另一個則是細節遭到公開──前者為權限提升漏洞CVE-2022-41033，這項漏洞存在於Windows的COM+事件系統服務；後者則是Office資訊洩露漏洞CVE-2022-41043。</p> <p>但值得留意的是，<a href="http://www.ithome.com.tw/news/153387">越南資安業者GTSC於9月底公布的Exchange零時差漏洞「ProxyNotShell」</a>，本次微軟發布的Exchange更新軟體並未修補相關漏洞。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-vcenter-server-bug-disclosed-last-year-still-not-patched/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安廠商踢爆VMware vCenter Server漏洞拖了快1年仍修不好，最新推出的vSphere 8仍無法倖免</span></strong></a></h3> <p>資安業者CrowdStrike於去年11月揭露VMware vCenter Server的漏洞CVE-2021-22048，影響6.5至7.0版等所有版本，<a href="https://www.ithome.com.tw/news/151927#CVE-2021-22048">VMware直到8個月後才針對部分版本提供修補程式</a>，但不到兩個星期發現無法緩解漏洞，且影響功能運作而將其下架。</p> <p>但更離譜的是，此漏洞迄今已公布接近1年仍未提供修補程式──VMware近日更新上述的漏洞公告，原因是在10月11日發布大改版的VMware vCenter Server 8.0仍舊存在上述漏洞，IT人員仍需依照指示採取緩解措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.semi.org/zh/SEMI_E187-Specification_for_Cybersecurity_of_Fab_Equipment"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SEMI E187設備資安標準導入指南正式發布</span></strong></a></h3> <p>今年1月SEMI E187半導體產線設備資安標準規範出爐，在10月12日，國際半導體產業協會SEMI Taiwan宣布，推出SEMI E187 Reference Practice設備資安標準導入指南，目的是讓更多國內產業先了解標準內涵，未來還會進一步完備成為標準實務指引。</p> <p>基本上，在現階段的這份指南中，聚焦標準所涵蓋的4大層面，包括作業系統規範、網路安全相關、端點保護相關，以及資訊安全監控，讓國內產業可以了解這項標準只是最低要求，當中並藉由問與答的方式，讓這份指引更具可讀性。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/2022/10/11/polonium-targets-israel-creepy-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到駭客組織Polonium鎖定，被植入多種後門程式</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-solana-phantom-security-updates-push-crypto-stealing-malware/"><span style="color: rgb(0, 0, 0);">駭客以推送NFT錢包Phantom更新為由散布惡意軟體</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://blog.cyble.com/2022/10/06/fake-ransomware-infection-under-widespread/"><span style="color: rgb(0, 0, 0);">假的勒索軟體透過色情圖片散布，且可能會抹除受害電腦硬碟資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.mandiant.com/resources/blog/caffeine-phishing-service-platform"><span style="color: rgb(0, 0, 0);">新的Caffeine網釣攻擊工具訂閱服務更加明目張膽，駭客架設公開網站供買家下單</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153556">【2022年10月11日】資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶臉書帳號資料</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/12 18:20作者周峻佑https://www.ithome.com.tw/news/153595
幫助進入心流狀態的五感刺激法
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-zhao_hui_shen_du_zhuan_zhu_li_-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">遠流出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在日本經濟產業省的國家級專案中，Think Lab進行了一項實證實驗。我們透過智慧眼鏡量測五種感官刺激對專注力的影響程度，並展示能達到什麼樣的效果。結果顯示：實踐五感刺激的人其專注力提升了8.8%。而在五感之中，「視覺」「聽覺」和「嗅覺」更與專注程度息息相關。</p> <p><span style="font-size: 28px;"><strong>讓視覺最佳化的「照明亮度．色調」</strong></span></p> <p>一般辦公室的照明通常會採取「冷色系晝光色」。這樣的照明系統，特色在於多搭配所謂的「藍光」（Blue Light），而這其實是在模仿白天天空的光線。</p> <p>另一方面，家中的照明則多是模仿傍晚天空光線的「暖色系燈泡色（黃光）」。家裡原本就不是用來工作的地方，而是為了自己／與家人間的相處所打造的場所，因此才會採取適合進入「放鬆模式」的照明。</p> <p>人類的生理時鐘，是透過光線平衡與進食時間進行調整；一旦這些節奏被打亂的話，要切換工作模式也會變成難事一件。如果一整天都關在家裡遠端工作，卻一直沐浴在暖色系的光線底下，就有可能影響到專注力。</p> <p>這裡有一個想請你一定要嘗試一下的技巧，那就是「根據時段調整照明的顏色（色溫）」。</p> <p>最近有很多照明系統，能夠透過遙控器來調整色溫。只要利用這點，就能在工作途中、需要提高專注力的時段選擇「冷色系」；在結束工作、想放鬆之際將燈光切換成「暖色系」。</p> <p>這個技巧非常有效。我們進行了在不同照明下簡單工作兩天的實驗。在實驗中，我們將受試者分為兩群人：一群人在工作第一天有調光．調色，另一群人則沒有。隔天，我們發現這兩群人的專注程度產生了8.2％的差異。</p> <p>反過來說，如果是在晚上需要專注的時候，使用「冷色系」的照明應該也能發揮效果。以我的朋友為例子，當他必須熬夜認真生出一份企劃書的時候，就會把房間裡的燈全都關掉，並將電腦的亮度開到最大。只要讓房間變暗，瞳孔就會放大，進入眼睛中的藍光也會隨之增加，使人變得清醒。</p> <p>像這樣讓自己的腦袋清醒，使交感神經主導大腦，就能活化「理性腦」，以白天的狀態工作。然而，這並不是一個健康的方法。建議你只在「非不得已」的時候將其當作最後手段。</p> <p>這位朋友還會在想深入思考時使用「MacBook」，在從事單純工作或與人溝通時使用「Windows電腦」，根據不同情境採用不同設備。這樣的切換可以改變視覺，也有一定效果。因為人類的大腦，很大程度上是受視覺控制。</p> <p><span style="font-size: 28px;"><strong>讓視覺最佳化的「植物配置」</strong></span></p> <p>我們視野的120度內包含綠色的比例稱為「綠視率」（Green Looking Ratio）。研究顯示，當綠視率達到「10～15%」的時候，可以讓我們的專注程度達到最高。人類有87%的資訊都是從視覺取得。</p> <p>如果我們每天只能面對電腦、牆壁和桌子，視野中就只會充斥人造物品跟無機物質。如果每天持續這樣8小時以上，我們就會失去眼前的「餘裕」，感覺變得很差。</p> <p>我們之所以只要看到植物就會「感到平靜」，是因為植物為我們帶來了餘裕，使得副交感神經處於優位的緣故，創造出放鬆的狀態，我們就能在工作上維持更長時間的專注。這還有誘發「直覺腦」的附加效果，讓我們更容易發想出新點子。</p> <p>如果你感到創造力低落，不妨試試在桌子周圍放上一盆觀葉植物吧。</p> <p><span style="font-size: 28px;"><strong>讓聽覺最佳化的「自然背景聲」</strong></span></p> <p>專注的時候到底「該不該有聲音」，每個人習慣不同。我比較推薦的方法是「聽你用來思考的語言以外的語言的音樂」。舉個例子來說，如果你在思考日文的時候又一邊放日文歌，大腦裡的語言區就會忍不住去意識到它，讓你失去專注力。</p> <p>此外，還有一種叫做「白噪音」的聲音，它均勻地涵蓋了人類能聽到的所有頻率的聲音。研究表明，只要涵蓋到所有頻率，就會讓大腦難以去識別周圍的聲音，進而提升專注力。</p> <p>河流的潺潺流水聲和鳥鳴聲等「自然背景聲」，也有助於提高專注力。只要播放這些自然背景聲的「高解析度音樂」（Hi-Res Audio），就會很有效果。高解析度音樂有「遮蔽效應」（Masking Effect），可以將家庭生活的嘈雜聲響從工作模式中屏蔽掉。</p> <p><span style="font-size: 28px;"><strong>準備「提升專注力的香氣」，讓嗅覺最佳化</strong></span></p> <p>一般來說，「薄荷」或「迷迭香」的香氣有助於專注；想放鬆的時候，則推薦「薰衣草」的香氣。順帶一提，是否施放香氛，會讓專注力的持續時間產生「 5%左右」的變化。</p> <p>據說我們在工作時使用的五感，其中視覺占了87% ，聽覺則占了7%。也就是說，我們有94%的五感都在不斷接收刺激。因此，我才會用香氛「故意刺激」平常刺激不太到的嗅覺和觸覺，讓頭腦可以從工作模式中切換。</p> <p><span style="font-size: 28px;"><strong>藉由通風降低「二氧化碳的濃度」</strong></span></p> <p>雖然感覺和五感沒有直接關聯，但其實「通風」也是一個有效的方法。</p> <p>實驗表明，空間中的二氧化碳（CO2）濃度會影響專注力和工作表現。具體來說，室內的CO2濃度最好保持在800ppm以下；如果超過1000ppm，專注力就會中斷。最好的方法就是「每隔幾個小時就開一次窗戶」，讓二氧化碳的濃度不要太高。</p> <p><span style="font-size: 28px;"><strong>藉由「反覆動作」讓觸覺最佳化</strong></span></p> <p>造成人們無法持續專注的原因之一，就是「工作記憶低落」。所謂的「工作記憶」（Working memory），是用來暫存並處理作業時必要資訊的腦內系統。工作記憶如果持續運作，就會慢慢累積疲勞，讓系統漸漸無法正常運作，最後造成工作效率也跟著變低。</p> <p>我們都知道人不可能一整天都持續做同一件事情，專注力會隨著時間慢慢下降，這點在大腦機制上無可避免。不過，只要「恢復」我們的工作記憶，就能提升專注的持續力。</p> <p>能有效恢復工作記憶的方法，就是有益於大腦血液循環的「反覆運動」。一項以現任大學職員共一百二十九人為對象的實驗，發現在工作時嚼口香糖能有效降低壓力與疲勞，並抑制分心與粗心。除此之外，還有其他類型的反覆運動。「抖腳」其實也是一種反覆運動。據說這個動作可以讓副交感神經處於優位，使人平靜下來。</p> <p>另外，在工作的時候，你可能從來沒有意識過「觸覺」。但在我們切換大腦模式，試圖專注於眼前的事物時，其實都會應用到觸覺刺激。你可以透過「打開窗戶吹吹風」或「用涼感濕紙巾擦臉」等等，養成切換大腦的習慣。</p> <p>這裡還有一個重要的地方，那就是「乾淨的辦公桌」。如果你的眼中映入了當下應該專注的對象以外的資訊，你的專注力就會分散。待辦清單或行事曆也是一樣。「隨時都看得到」就代表「隨時都得去想它」。只在需要確認時才去查看你的待辦清單。並確保你的行事曆要放在自己不會一眼看到的地方。<strong>（本文摘錄自《找回深度專注力》，遠流出版提供）</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E5%9C%961_%E6%89%BE%E5%9B%9E%E6%B7%B1%E5%BA%A6%E5%B0%88%E6%B3%A8%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E9%81%A0%E6%B5%81%E5%87%BA%E7%89%88.png" style="width: 300px;" /></strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 書名 </span></strong></span> <span style="color: rgb(51, 153, 255);"><strong>找回深度專注力：43個科學化技巧，使你1小時的價值，高過他人1萬倍</strong></span></p> <p>井上一鷹／著；汫玲／譯</p> <p>遠流出版</p> <p>定價：360元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%89%BE%E5%9B%9E%E6%B7%B1%E5%BA%A6%E5%B0%88%E6%B3%A8%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%BA%95%E4%B8%8A%E4%B8%80%E9%B7%B9.png" style="width: 200px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／井上一鷹</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><strong>井上一鷹</strong></p> <p>JINS眼鏡公司執行董事。JINS MEME智慧眼鏡事業部業務管理負責人兼Think Lab董事。生於1983年。自慶應義塾大學理工學部畢業後，於Arthur D. Little策略顧問公司以知名製造業為中心，從事業務．技術管理和人事組織策略規劃。後加入JINS，兼任MEME事業部與Think Lab專案。曾任產品企劃部經理，後成為JINS MEME事業部負責人，並在之後成為Think Lab工作空間事業董事。</p> </div></div></div>
2022/10/12 16:42未署名https://www.ithome.com.tw/article/153579
防範暴力破解攻擊，微軟讓所有Windows版本都能鎖住本機系統管理員帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/kb5020282-account-lockout-available-for-local-administrators-bce45c4d-f28d-43ad-b6fe-70156cb2dc00" target="_blank">微軟近日宣布</a>，自今年October 11及之後的Windows累積更新，都將出現一個本機原則，可用來鎖住本機系統管理員的帳號，以防範暴力破解攻擊。</p> <p>微軟解釋，暴力破解攻擊一直是Windows機器遭到攻擊的前三大途徑之一，然而，目前的Windows裝置並不允許本機系統管理員的帳號被鎖住，因此，倘若缺乏適當的網路分割，亦不具備入侵偵測服務，本機系統管理員的帳號很可能就會受到無窮盡的暴力破解攻擊，直至駭客發現密碼為止。</p> <p>因此，微軟將針對主機系統管理員的帳號導入帳號封鎖功能，使用者只要透過主機電腦原則中的帳號封鎖原則進行設定，就能啟用它。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-windows-Account%20Lockout%20Policies-600.png" style="width: 590px;" /></p> <p>此外，微軟建議使用者亦應啟用其它帳號封鎖原則，以在10分鐘內執行10次的登入錯誤時，鎖住該帳號，且鎖住時間長達10分鐘，以提高駭客的攻擊門檻。</p> <p>既有的Windows裝置可藉由手動方式啟用上述原則，但舉凡是搭載Windows 11 22H2，或是在初始設定之前即部署October 11, 2022的新裝置，即會將上述原則當作預設值。但若是新裝置先進行設定，再部署10月的累積更新，那麼仍需手動設定。</p> <p>而本周微軟對於啟用本機系統管理員的新裝置，也訂定了更嚴格的密碼要求，規定密碼必須至少擁有4種特性中的3種，包括小寫、大寫、數字與符號，目的同樣是為了抵擋暴力破解攻擊。</p> <p>此一新的安全政策除了支援Windows Server 2022與Windows 11等新平臺之外，也支援各式Windows 10、Windows Embedded 8/8.1，以及Windows 7/Windows Server 2008/Windows Server 2008 R2的擴展安全更新（ESU）版本。</p> </div></div></div>
2022/10/12 16:46作者陳曉莉https://www.ithome.com.tw/news/153580
Google雲端推出採用客製化IPU的C3執行個體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的<a href="https://cloud.google.com/blog/products/compute/introducing-c3-machines-with-googles-custom-intel-ipu">執行個體C3</a>，該執行個體特殊之處在於搭載由Google客製的英特爾基礎設施處理單元（Intel Infrastructure Processing Unit，IPU），目前C3是第一個採用這種架構的機器類型，能更好地支援高效能運算和資料密集工作負載。</p> <p>官方提到，搭配Google先前推出的Hyperdisk區塊式儲存，與C2相比可提供達4倍的吞吐量和10倍的IOPS。</p> <p>C3是第一個採用Intel Xeon Scalable處理器和IPU處理器新架構的虛擬機器，這個IPU是由Google和英特爾共同設計的ASIC基礎設施處理單元，該執行個體除了會由處理器執行運算之外，還能以200Gb/s的速度將可程式化封包安全傳輸至IPU運算。</p> <p>C3新架構將運算執行個體大小和儲存效能分離，與上一代C2相比，採用Hyperdisk的C3虛擬機器可提供達4倍的吞吐量和10倍的IOPS，Google提到，用戶將不用為了獲得Hadoop和SQL Server資料工作負載的儲存效能，而選擇更大的運算執行個體。</p> <p>C3虛擬機器引入的系統單晶片硬體架構，帶來更好的安全性、隔離性和效能，在未來Google會利用該架構，繼續推出更多產品組合，包括支援原生裸機執行個體。</p> </div></div></div>
2022/10/12 15:14作者李建興https://www.ithome.com.tw/news/153575
傳聞英特爾將裁撤數千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-10-11/intel-is-planning-thousands-of-job-cuts-in-face-of-pc-slowdown#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）本周引述消息來源報導</a>，英特爾正計畫一次大規模的裁員行動，受到波及的人數可能有數千人之譜，最快會在本月底發布第三季財報時宣布。</p> <p>根據報導，這是英特爾為了因應個人電腦市場下滑所作出的決策，以節省企業成本，如行銷部等某些部門的裁員規模可能高達20%。</p> <p>疫情帶動的PC回暖趨勢已於今年第一季正式告終，今年前三季全球的PC出貨量皆呈現下滑趨勢，但這卻是英特爾最大的營收來源。在英特爾今年第二季所創下的153億美元營收中，就有77億美元來自於基於PC的客戶運算事業群，接近英特爾總營收的一半，另有46億美元來自資料中心與AI事業群，但這兩個英特爾主要業務的營收卻分別比去年同期下滑了25%與16%。</p> <p>此外，今年7月底時，英特爾的全球員工人數為12.8萬人，還高於去年同期的11.4萬人。</p> </div></div></div>
2022/10/12 15:38作者陳曉莉https://www.ithome.com.tw/news/153576
Google Cloud將開放加密貨幣支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.googlecloudpresscorner.com/2022-10-11-Google-Cloud-and-Coinbase-Launch-New-Strategic-Partnership-to-Drive-Web3-Innovation" target="_blank">Google Cloud與加密貨幣交易平臺Coinbase周二（10/11）宣布策略聯盟</a>，Coinbase承諾將使用Google Cloud運算平臺來處理大規模的區塊鏈資料，而Google Cloud則同意採用Coinbase Commerce服務，讓客戶以特定的加密貨幣支付Google Cloud費用。</p> <p>Google Cloud在今年1月成立了<a href="https://www.ithome.com.tw/news/149156" target="_blank">數位資產團隊</a>，鎖定企業的區塊鏈應用需求，一腳踩進Web3領域，繼之於今年5月傳出Google Cloud<a href="https://www.ithome.com.tw/news/150851" target="_blank">另成立了一個新團隊</a>，專門建置用來執行區塊鏈應用的各種服務，且誓言要讓Google Cloud成為區塊鏈開發者的首選平臺。<a href="https://cloud.google.com/web3" target="_blank">目前已有9家區塊鏈或Web3業者採用了Google Cloud</a>，而Coinbase更是美國最大的加密貨幣交易平臺。</p> <p>雙方在本周公布的是一個互惠協議，Coinbase成為Google Cloud的客戶，而Google也透過讓企業收取加密貨幣的Coinbase Commerce服務來協助推動加密貨幣產業。</p> <p>此外，未來Web3開發者也可透過Google BigQuery，查詢由 Coinbase Cloud Nodes所提供的、橫跨主要區塊鏈的加密貨幣公開資料集。</p> <p>Coinbase共同創辦人暨執行長Brian Armstrong表示，目前該平臺擁有超過1億的使用者與逾1.4萬的機構客戶，Google是該公司實現Web3生態系統的最佳合作夥伴，而Google Cloud執行長Thomas Kurian則說，Google希望能加速Web3的建置，而與Coinbase的合作則能更快達到該目標。</p> <p>不過，以加密貨幣支付Google Cloud費用的計畫是循序漸進的，初期僅允許Web3領域的客戶使用，也有限幣別，對於積極開拓Web3市場的Google而言，讓Web3客戶以加密貨幣支付費用似乎是必要的，並不確定Google未來是否會擴大實施範圍。</p> </div></div></div>
2022/10/12 14:48作者陳曉莉https://www.ithome.com.tw/news/153574
Meta虛擬化身終於有腳了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Meta元宇宙中所出現的虛擬化身（Avatar），迄今都是以只有上半身的飄浮狀態示人，不過，<a href="https://www.oculus.com/blog/vr-news-connect-2022-meta-quest-pro/" target="_blank">Meta在本周舉行的Meta Connect 2022上宣布</a>，這些虛擬化身終於要有腳了，並將率先出現在虛擬遊戲空間Horizon Worlds中。</p> <p>Meta表示，讓虛擬化身有腳聽起來好像只要啟動開關即可，但事實上必須花許多力氣才能辦到，倘若虛擬化身無法正確描繪，例如出現在錯誤的位置，那麼它將會分散使用者的注意力，甚至是讓使用者感到不安，特別是腳。如果使用者的腳置放在桌下，或只是在手臂之後，VR裝置便無法準確看到它們，而必須依靠預測。</p> <p>Meta說，它們花了很多的時間來確保Quest 2可以準確且可靠地將使用者的腳帶進VR，未來將先在Horizon Worlds中推出，之後將隨著技術的改善將其實現在各種VR場景中，開發者明年可望開始能讓有腳的虛擬化身出現在遊戲與程式中。</p> <p>此外，<a href="https://www.ithome.com.tw/news/152602" target="_blank">有鑑於Horizon Worlds中的虛擬化身曾招致太醜的批評</a>，Meta這次也特別強調會持續調整其外觀，讓它更好看、更有能力，也更能表現，還能客製化，讓它更逼真。</p> <p>目前Meta正在努力打造可替使用者設計精確虛擬化身的AI系統，未來使用者不必自行拼湊自己的虛擬化身，只要透過AI就能輕易創造，也可能允許使用者擁有不同的虛擬化身，區分上班與休閒的裝扮，或是提供卡通化的版本。</p> </div></div></div>
2022/10/12 12:46作者陳曉莉https://www.ithome.com.tw/news/153570
Google Workspace Smart Canvas功能再擴大，能在Docs及Meet中嵌入第三方App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周二舉行Google Cloud Next'22大會，<a href="https://cloud.google.com/blog/products/workspace/how-google-workspace-is-building-the-open-hybrid-work-platform" target="_blank">宣布生產力應用Workspace的Smart Canvas功能再擴展</a>，使Google Docs及Google Meet不只能編輯文件或執行視訊交談，也能整合第三方雲端應用程式。</p> <p>Google Workspace同時也宣布新主管Aparna Pappu，她在7月被任命為Workspace副總裁暨總經理，以接替離職的Javier Soltero。在此之前她長年主掌Google廣告部門，2017年轉到G Suite部門（Workspace前身）迄今。</p> <p>周二發表的新功能其中之一是Google Docs的智慧連結（smart chips）支援第三方應用程式。Smart chips是<a href="https://www.ithome.com.tw/news/144500" target="_blank">Google Workspace去年宣布Smart Canvas</a>的一項功能，只要在Google Docs加入@符號，就會列出相關資訊，例如提及一名公司同事時，@會帶出其所在地點、職稱或聯絡方式。而最新功能中，智慧連結將可加入第三方應用，用戶可以以@-mention指令，列出Google合作的第三方App的資訊，並將互動資訊和預覽插入到Google Docs中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Google%20cloud-workspace-Bringing%20smart%20chips%20to%20popular%20third-party%20applications-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google昨日宣布的第三方App合作夥伴包括：內容服務平臺雲端文件管理AO Docs、Atlassian、作業管理平臺Asana、協同介面設計平臺Figma、視覺協作平臺Miro、分析軟體Tableau和客戶支援平臺ZenDesk。</p> <p>這些廠商正在開發第三方智慧連結，Google說會在接下來幾周內開發與Google　Docs的整合，而在2023年1月推向所有Docs用戶。</p> <p>Workspace第二項新功能是推出Google Meet API及Google Meet外掛（add-on）SDK，旨在讓Google Meet可整合第三方App。Google今年已經先為Meet整合Google Docs、Sheets、Slides，後來又加入Miro，像是在Meet視訊時叫出Miro白板。現在，Google又推出Google Meet API及Google Meet外掛SDK，讓開發商可在自家App中整合Meet。此外，利用這個Meet API還能開發在第三方App中排定和啟動Meet會議。目前Figma和Asana都已經整合了Meet API。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Figma_meet_app_gif_sVzyC0f.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>Google Meet API會在未來幾個月內開放早期試用，Meet外掛SDK則在今年底前開放試用。</p> <p>Workspace第三項宣布是擴大Chat and Spaces API的功能。<a href="https://developers.googleblog.com/2022/05/Create%20Spaces%20and%20Add%20Members%20with%20the%20Google%20Chat%20API.html" target="_blank">今年5月Google首次釋出</a>Chat and Spaces API，讓第三方App用戶得以在重要或緊急情況時，自動將友人加入到Chat Spaces。</p> <p>現在Chat and Space API更進一步，讓第三方App建立Chat 1對1私訊或是群組交談，使用者也可以在這些App中直接讀寫Chat訊息，不用再跳出來。例如，用戶團隊若之前在Chat space討論專案，之後在某款App執行專案時，該App就會根據Chat對話歷史，建議相關連結或Docs文件。該App還會將Chat space交談內容複製到另一個space中，確保所有成員都能接到交談訊息。Asana和LumApps是第一批整合該API的第三方App。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Compress_gif_Lum_Apps.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2022/10/12 11:44作者林妍溱https://www.ithome.com.tw/news/153568
Meta發表要價1,499美元的高階VR裝置Quest Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/meta-quest-pro-price-release-date/" target="_blank">Meta周二（10/11）發表</a>了代號為Project Cambria的VR頭戴裝置Quest Pro，即日起開放預購，預計於10月25日出貨，它在美國的售價為1499.99美元，<a href="https://www.meta.com/tw/quest/quest-pro/" target="_blank">在臺灣則是1649.99美元</a>。</p> <p><a href="https://www.ithome.com.tw/news/151765" target="_blank">Meta所生產的VR裝置占了全球相關裝置出貨量的9成</a>，主要原因之一是其入門款裝置Quest 2先前售價只要299.99美元，就算是在今年8月<a href="https://www.ithome.com.tw/news/152140" target="_blank">調漲至399.99美元</a>，也是市場上最經濟實惠的VR產品。</p> <p>至於定位為高階機種的Quest Pro則配備了許多先進硬體與創新技術，它採用高通的Snapdragon XR2+ 平臺，有更好的效能與散熱能力，內建12GB的記憶體，256GB的儲存空間，以及10個高解析度的感應器；所使用的餅乾鏡可多次折疊光線，讓裝置尺寸變小，卻有更清晰的視覺效果；另也強調配戴上的舒適。</p> <p>此外，Quest Pro的攝影機可捕捉的像素是Quest 2的4倍，它也是Meta首款全彩的混合實境裝置，可望進一步減少實體與數位世界的差距。更特別的是，它有5個感應器是對內的，能夠捕捉使用者的臉部表情，或是追蹤使用者的眼神，而讓虛擬化身得以呈現真實的使用者神情，為了保障用戶隱私，該功能的預設值是關閉的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Meta%20Quest%20Pro-3.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Meta</span></span></p> <p>Meta從未公布其VR裝置銷售量，<a href="https://www.oculus.com/blog/vr-games-meta-connect-2022-marvel-iron-man/" target="_blank">但本周卻揭露</a>其Meta Quest Store迄今的遊戲與程式銷售營收為15億美元。根據Meta今年第二季的財報，攸關元宇宙業務的Reality Labs部門在該季的營收為4.5億美元，虧損了28億美元。</p> <p>Meta將在包括臺灣在內的逾20個國家銷售Quest Pro，臺灣市場的售價比美國貴了200美元。未來Meta仍會繼續銷售與更新入門款的Quest 2。</p> </div></div></div>
2022/10/12 12:02作者陳曉莉https://www.ithome.com.tw/news/153569
新加坡電信IT服務部門Dialog也遭駭，可能外洩客戶及員工資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼9月下旬的Optus後，<a href="https://www.singtel.com/content/dam/singtel/investorRelations/stockExchange/2022/867-sgx.pdf" target="_blank">新加坡電信（Singtel）本周公告</a>旗下IT服務業務Dialog也在9月間發生資安事件，可能已外洩10多名客戶，以及上千名員工資料。</p> <p>Dialog為澳洲IT服務顧問業者，今年4月才由新加坡電信全資子公司NCS收購。這是繼今年9月新加坡電信子公司Optus之後，第二家遭網路攻擊的澳洲業務部門。不過新加坡電信昨日指出Dialog系統與NCS、Optus及新加坡電信系統完全獨立，沒有證據顯示Optus和Dialog的事件之間有關聯。</p> <p>Dialog昨（11）日證實公司發生網路安全事件。該公司在9月10日偵測到數臺伺服器遭一個未獲授權的外部組織存取。事發時Dialog立即關閉系統，並在2天後重新回復伺服器上線運作。</p> <p>該公司判斷駭客可能存取了公司資料，影響10多家客戶，以及Dialog現任及前任員工約1,000人。雖然Dialog認為沒有證據顯示有非授權下載資料的情形，但在隨後的監控下，他們10月7日發現有「小部份樣本」，包括Dialog員工個資被公布在暗網上。不確定公開的資料是否來自9月中的駭客入侵。</p> <p>該公司表示已經通報主管機關調查，並提供影響人員必要的資訊和協助。</p> <p>相較之下，Optus資料外洩情形就嚴重得多，有210萬客戶個資外洩，包括120萬筆有效ID及生日、電話號碼、電子郵件信箱、地址等。上周一名19歲雪梨市民因企圖利用公開於暗網上的Optus用戶個資勒索受害者，<a href="https://www.theregister.com/2022/10/06/optus_blackmail_arrest/" target="_blank">而遭澳洲警方逮捕</a>。</p> </div></div></div>
2022/10/12 11:05作者林妍溱https://www.ithome.com.tw/news/153567
微軟、Meta合作將Teams、Office 365、Xbox雲端遊戲帶入VR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://tech.fb.com/ar-vr/2022/10/meta-connect-2022-keynote-recap-quest-pro/" target="_blank">微軟與Meta昨（11）日宣布合作</a>，讓微軟生產力應用程式Teams、Windows 365 App及XBox Cloud Gaming也能在Meta最新VR頭戴裝置上執行。</p> <p>微軟董事長暨執行長Satya Nadella及Meta執行長Mark Zuckerberg周二在Meta最新VR裝置Quest 2及高階版Quest Pro發表大會Connect上聯袂宣布，微軟商務協同應用程式及Xbox雲端遊戲平臺將推出適合在Quest VR裝置上執行的版本。</p> <p class="rtecenter"><img alt="" src="https://scontent.ftpe7-4.fna.fbcdn.net/v/t39.2365-6/311272511_482773337233802_3795872930018661043_n.png?_nc_cat=105&ccb=1-7&_nc_sid=ad8a9d&_nc_ohc=W5weLuvrgFMAX_rlwt1&_nc_ht=scontent.ftpe7-4.fna&oh=00_AT8W6fmg1ZllKl3IYEghc1kJRpYI8wZ-IIoichxVzdGeUw&oe=634A32E2" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>微軟的支援也讓Meta元宇宙（metaverse）裝置獲得重大支援。雖然另一方面，在虛擬實境上微軟和Meta還是存在競爭關係。<a href="https://www.ithome.com.tw/news/143014" target="_blank">微軟正在打造混合實境平臺Mesh</a>，讓企業員工可以透過自家裝置HoloLens以Teams及Office Apps執行虛擬會議、遠端協助、學習或私人聚會。</p> <p>在這項合作下，企業用戶將可以利用Quest VR裝置執行Teams視訊會議、傳送文字訊息或檔案。雙方說目前正在合作開發Meta Avatar及Microsoft Avatar，讓企業用戶也可以用虛擬分身在Meta的VR互動空間Horizon Workrooms舉行Teams沈浸式會議。Meta表示這項功能不久後就會推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Microsoft%20and%20Meta%20partner-VR-Teams-Meta-Quest-Pro-VR-headset-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>此外，Microsoft Windows 365 App，包括雲端版Windows也將可串流到Quest VR裝置上使用。Nadella表示，透過在Quest上支援Windows 365，用戶可安全獲得整個Windows使用體驗，包括Windows、以及個人化Windows App、檔案內容及設定。其中Office應用程式將可透過PWA（Progressive Web Aps）技術執行於Quest上，不過目前仍然還是2D版本。</p> <p>Nadella也宣布雲端遊戲平臺Xbox Cloud Gaming（Beta）版App將在Meta Quest Store上架，使Xbox Game Pass Ultimate訂閱服務用戶得以將遊戲串流到Quest 內的顯示螢幕上，並以Xbox控制器操作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Microsoft%20and%20Meta%20partner-VR-Xbox%20Cloud%20Gaming%20beta.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Meta</span></p> <p>其他較次要的商務應用整合包括，企業用戶可透過Microsoft 365 App和SharePoint及微軟其他生產力應用程式互動。Meta Quest也將支援微軟裝置管理工具Intune及Azure Active Directory，讓Quest裝置納入企業IT管理範疇。</p> <p>不過Meta的元宇宙願景是否能成功仍有待觀察。<a href="https://9to5mac.com/2022/10/07/horizon-worlds/" target="_blank">本月初媒體報導</a>，Meta的商務互動平臺Horizon Worlds還不夠吸引人，連自家員工都不愛用，迫使公司必須鼓勵員工多加使用。</p> </div></div></div>
2022/10/12 10:07作者林妍溱https://www.ithome.com.tw/news/153566
豐田汽車不慎把T-Connect服務金鑰公開在GitHub上，外洩近3萬車主資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://global.toyota/jp/newsroom/corporate/38095972.html" target="_blank">日本豐田汽車（Toyota Motor）上周披露</a>，該公司的承包商在把部分T-Connect服務程式碼上傳至GitHub的公開儲存庫時，不慎於程式碼中夾帶了存取金鑰，使得第三方得以存取該資料庫伺服器，造成296,019名車主的資料外洩，但外洩的只有這些車主的電子郵件與獨特的T-Connect管理號碼，至於姓名、電話或信用卡等資訊都未受到影響。</p> <p>根據Toyota的調查，此一含有存取金鑰的原始碼是在2017年12月，由開發T-Connect網站的承包商所上傳，雖然它違反了Toyota的資料處理規定，但Toyota一直到今年的9月15日才發現此事，當天即把該儲存庫設為私密。而在這期間，已有一第三方存取了該程式碼，可藉由程式碼中的金鑰存取資料伺服器。</p> <p>T-Connect為Toyota所打造的行動程式，支援Android與iOS裝置，可連結汽車上的資訊娛樂系統，並分享汽車位置、設定停車模式，還能偵測意外並主動回報，受害者必須曾是以電子郵件訂閱T-Connect服務的車主。</p> <p>雖然包括車主姓名或電話號碼等重要資訊並未外洩，但Toyota依舊提醒T-Connect用戶應該要提供警覺，以防駭客利用這些外洩的郵件帳號展開網釣攻擊。</p> </div></div></div>
2022/10/11 22:29作者陳曉莉https://www.ithome.com.tw/news/153565
Mozilla揭露改進macOS Firefox回應性的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hacks.mozilla.org/2022/10/improving-firefox-responsiveness-on-macos/">經過Mozilla的改進</a>，從Firefox 103版本開始，macOS上的Firefox更順暢，回應能力明顯提高，特別是用戶開啟許多頁籤，或是電腦忙於執行其他應用程式的時候，Firefox現在能更即時地回應用戶的操作，而官方解釋，這是透過調整記憶體分配器中鎖實做的方法達成的。</p> <p>Firefox在所有架構中使用高度自定義的jemalloc記憶體分配器版本，以達到Firefox最佳效能和記憶體使用，記憶體分配器必須為執行緒安全，而且為了提高效能，還需要為來自不同執行緒的大量平行請求提供服務，為了實現這件事，jemalloc在內部結構使用鎖。</p> <p>分配器中鎖實作方法和程式碼庫的其餘部分都不同，具體來說，創建和使用互斥鎖不能發出新的記憶體分配要求，因為這會導致分配器本身無限遞迴，所以分配器傾向使用底層作業系統的原生Thin Lock，而在macOS中，Firefox一直都是使用OSSpinLock的鎖實作。</p> <p>而OSSpinLock自旋鎖（Spin Lock）並非一般的互斥鎖，互斥鎖在被一個執行緒占用時，則使另一個試圖取得鎖的執行緒進入睡眠狀態，自旋鎖則是當執行緒要鎖定一個已經被鎖定的OSSpinLock實例，該執行緒會一直忙於輪詢該鎖，而非睡眠等待鎖釋放，這個行為被稱為自旋。</p> <p>Mozilla解釋，雖然自旋會消耗CPU周期和電力，但是讓執行緒睡眠卻會對效能產生更重大的影響，要將睡眠中的執行緒喚醒，需要兩次上下文切換，經歷將執行緒狀態存入記憶體和恢復的過程，而且在執行緒恢復時，可能會在不同核心上執行，該核心可能充滿不相關的資料。這些因素會讓執行緒採用互斥鎖比自旋鎖速度更慢。</p> <p>所以當執行緒試圖獲得的鎖僅會鎖定很短暫的時間，那讓執行緒短暫自旋可能是相對有利的，付出的成本也會低於睡眠。但自旋鎖缺點便是自旋太久會造成運算資源浪費，特別是當電腦負載本來就很重的時候，可能會降低已經擁有鎖的執行緒運作速度，進而造成更多執行緒需要鎖的機會，導致許多執行緒不停自旋。</p> <p>過去Firefox在macOS上使用的OSSpinLock，在負載輕的系統提供非常好的效能，但是在負載增加時表現不佳，其具有兩個最根本的缺陷，就是OSSpinLock會在使用者空間中自旋，並且從來不睡眠。</p> <p>使用者空間不會知道系統正執行多少負載，因此如果是在核心空間，那鎖就可以做出更加明智的決定，也就是當負載很高的時候便不自旋，官方提到，在執行緒無法獲得鎖的時候，不睡眠會使狀況更糟，特別是核心不知道存在等待鎖的執行緒，又另外喚醒正在爭奪同一個鎖的執行緒，產生更多的自旋和競爭，最終可能使Firefox當掉。</p> <p>Apple因為OSSpinLock的問題決定棄用該鎖實作，取而代之的是官方替代實作os_unfair_lock，但在Mozilla使用os_unfair_lock並進行自動化測試後，發現部分效能下降30％，而這個原因正是在os_unfair_lock中，執行緒不會因為爭用而自旋，反而立即進入睡眠，這使記憶體分配器效能更差。</p> <p>Mozilla進一步發現Apple函式庫有os_unfair_lock_with_options()自旋鎖可供使用，由於能夠於核心空間執行自旋，因此也就可以在適合的時機執行載入和調度。在使用新的自旋鎖後，Firefox在輕負載系統上的效能與OSSpinLock大致相同，在負載較重的系統能夠提供更好的回應，並且降低自旋造成的電力浪費。</p> </div></div></div>
2022/10/11 22:38作者李建興https://www.ithome.com.tw/news/153555
Jetbrains開發工具KMM進入Beta測試，使iOS與Android應用程式可共享相同邏輯程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過兩年的發展，Jetbrains可讓iOS和Android應用程式共用邏輯程式碼的開發工具<a href="https://blog.jetbrains.com/kotlin/2022/10/kmm-beta/">KMM（Kotlin Multiplatform Mobile）</a>脫離實驗階段進入Beta測試，開放給所有開發者使用，該工具目前已經被Philips、Netflix和VMWare等知名企業使用。</p> <p>KMM是一個可用於iOS和Android應用程式開發的SDK，供開發者維護雙平臺共用的網路、資料儲存和分析程式碼，也就是說，開發者可以對iOS和Android應用程式的邏輯運作，維護單一程式碼庫，同時還是能運用各平臺原生UI，和特定於iOS和Android裝置的功能。</p> <p>由於同一應用程式的iOS和Android版本，除了使用者介面有很大的不同外，在導覽邏輯、資料管理和身分驗證等邏輯通常相同，而KMM讓開發者可以共用這些運作邏輯，但又能在UI上保有各自特色。官方提到，KMM可協助開發者維持邏輯元素共用程式碼同步，同時又具有原生程式開發優勢，包括應用程式效能和完全取用iOS和Android SDK的能力。</p> <p>KMM經過調整記憶體管理、函式庫和專案配置方法，結束試驗階段進入Beta測試階段，而Google的Android團隊也公開了Jetpack的Kotlin Multiplatform預覽，可用的函式庫包括Collections和DataStore，另外，Touchlab也推出建置工具KMMBridge，讓開發者能夠藉由KMM更快速發布共用程式碼。</p> <p>KMM開發工具生態系包括適用Android Studio KMM套件，讓開發者可以使用熟悉的開發工具Android Studio，撰寫和除錯應用程式程式碼。而iOS的部分，Kotlin則與iOS的開發語言Objective-C和Swift互通，KMM透過套件整合CocoaPods相依管理器，與iOS開發程序緊密連結，使開發者可自由使用iOS平臺API。</p> <p>由於Kotlin與Objective-C、Swift的雙向互通性，因此Kotlin可以在Objective-C/Swift中使用，同時開發者也可以在Kotlin程式碼使用Objective-C框架與程式碼，甚是使用Swift函式庫中的API。</p> </div></div></div>
2022/10/11 22:43作者李建興https://www.ithome.com.tw/news/153564
AWS用戶現可使用Trn1執行個體高效訓練深度學習模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在正式推出在AWS re:Invent 2021大會上所發表的<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ec2-trn1-instances-for-high-performance-model-training-are-now-available/">Amazon EC2 Trn1執行個體</a>，Trn1採用AWS針對機器學習模型訓練所開發的客製化晶片Trainium，是AWS Inferentia推理晶片的第二代機器學習晶片，可高效能執行深度學習訓練工作負載。</p> <p>Trn1執行個體適用於自然語言處理、圖像辨識這類需要大規模分散式訓練的複雜深度學習應用程式，與之前專用於機器學習訓練和高效能運算的P4d執行個體相比，Trn1執行個體在BF16資料類型提供1.4倍的teraFLOPS，而TF32資料類型則有5倍teraFLOPS，節點間網路頻寬上升至4倍，使Trn1可以部署於EC2 UltraCluster中，作為超級電腦高速訓練複雜的深度學習模型。</p> <p>Trn1執行個體目前有兩種大小，可配置高達16個AWS Trainium晶片和128個vCPU，擁有高效能網路和儲存，支援資料和模型平行化分散式訓練政策。該執行個體擁有高達512 GB的高頻寬記憶體，TF32/FP16/BF16達3.4 petaFLOPS運算能力，且因為晶片間都以超高速NeuronLink互相連接，在跨多個Trainium晶片的工作負載可避免通訊成為效能瓶頸。</p> <p>AWS提到，Trn1執行個體是第一個搭載第二代800 Gbps Elastic Fabric Adapter（EFA）網路頻寬的EC2執行個體，支援高吞吐量網路通訊。與前一代相比，第二代EFA擁有更低的延遲和高達2倍的網路頻寬。Trn1執行個體還具有8 TB本地NVMe SSD儲存，供模型高速存取超大型資料集。</p> <p>針對大規模模型訓練，Trn1執行個體能夠整合Amazon FSx部署於EC2 UltraClusters中，而EC2 UltraClusters是以非阻塞PB級網路互連的超大規模叢集，使用戶藉由存取超級電腦，將原本需要數月的大型複雜模型訓練工作，縮短至數周甚至數月。</p> <p>由於Trainium和Inferentia共用相同的工具包，因此對已經使用過Inferentia的用戶，也能熟悉地開始使用Trainium，在模型訓練上，Neuron SDK提供編譯器、框架擴充、Runtime函式庫和開發者工具，除了AOT編譯之外，Neuron SDK還支援JIT編譯以加快模型編譯，並支援Eager除錯模式供用戶逐步執行。</p> <p>官方提到，要在Trainium上編譯和運作模型，用戶只需要更改腳本中數行程式碼就好，不需要調整模型本身或是轉換資料類型。用戶目前可以先在AWS美東北維吉尼亞，和美西奧勒岡地區啟用Trn1執行個體，與其他執行個體相同，也能以按需執行個體、預留執行個體、先占式執行個體，或以Savings Plan節省使用成本。</p> </div></div></div>
2022/10/11 22:19作者李建興https://www.ithome.com.tw/news/153554
【資安日報】2022年10月11日，資安業者Fortinet修補漏洞竟私下通知部分用戶、400個手機App竊取百萬用戶…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了能讓用戶儘速修補漏洞，IT業者往往會發布資安通告，讓用戶能儘速部署相關的更新程式或是韌體，但最近資安廠商Fortinet揭露這類訊息的方式令人意外，因為對於一個嚴重等級評分高達9.6的資安漏洞，他們並未先在自家網站公告，而是私下向部分使用者通知，有用戶將這訊息公布之後，大家才知道有這個漏洞。</p> <p>因外部廠商管理不當，不慎將用戶資料在網路上公開的情況也相當值得注意。汽車大廠Toyota最近就因為車輛管理系統T-Connect的原始碼公開，導致可存取使用者資料庫的帳密曝光，原因與他們配合的網站開發業者有關。</p> <p>以臉書登入（Log-in with Facebook）的功能相當常見，但也成為攻擊者騙取該社群網站帳號資料的手段！Meta表示他們找到400個惡意App，其共通點就是會要求使用者需要登入臉書帳號，而且，這些應用程式幾乎可從Google Play與蘋果App Store市集下載（現已全數移除）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://global.toyota/jp/newsroom/corporate/38095972.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">汽車大廠Toyota不慎把車輛管理系統的金鑰公開在GitHub上，恐外洩近30萬用戶資料</span></strong></a></h3> <p>日本汽車大廠豐田（Toyota）於10月7日發出資安通告，他們提供車主的車輛管理系統T-Connect，部分原始碼在GitHub公開，這些程式碼從2017年12月至2022年9月15日可被他人存取，內有資料伺服器的存取帳密，此伺服器存放了296,019名用戶資料，該公司於今年9月17日修改資料伺服器的帳密，來防堵用戶資料曝光的情況。</p> <p>豐田表示，目前尚未發現資料遭到盜用的跡象，但不能排除有他人存取的可能性。但為何會出現上述情況？該公司指出是外部的網站開發廠商不慎公開所致。</p> <h3><a href="https://www.tomshardware.com/news/intel-confirms-6gb-alder-lake-bios-source-code-leak-new-details-emerge"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英特爾證實Alder Lake處理器的BIOS原始碼外洩，但宣稱資料供漏洞懸賞所用</span></strong></a></h3> <p>根據電腦硬體新聞網站Tom's Hardware報導，有人在網路論壇4chan上，公開英特爾第12代Core系列處理器（Alder Lake）的BIOS相關資料，並透過ZIP檔案打包，解壓縮後檔案大小為5.86 GB，內容是Alder Lake的BIOS及UEFI開發文件與工具，這些資料不久後也被人上傳到GitHub。</p> <p>這起事故得到英特爾證實，該公司指出這些資料與抓漏獎勵專案Circuit Breaker有關，並非內部系統存在漏洞導致資料外洩。但資料從何外洩，以及駭客的動機為何？英特爾並未說明。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/adata-denies-ransomhouse-cyberattack-says-leaked-data-from-2021-breach/"><span style="color: rgb(0, 0, 0);">威剛傳出資料外洩，但該公司表示駭客掌握的是一年前事故的資料</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomhouse-adata-leak-page.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織RansomHouse於10月4日，聲稱攻擊臺灣記憶體大廠威剛科技，並偷到1 TB的資料。不過，威剛表示，根據他們的比對，這些駭客提供的檔案，<a href="https://www.ithome.com.tw/news/144910">來自去年勒索軟體駭客Ragnar Locker的攻擊事故</a>。雖然RansomHouse聲稱已經和威剛進行談判，但威剛表示，駭客並未留下勒索訊息。</p> <h3><strong style="font-size: 22px;"><a href="https://www.bleepingcomputer.com/news/security/2k-games-warns-users-their-stolen-data-is-now-up-for-sale-online/"><span style="color: rgb(0, 0, 0);">遊戲業者2K客服系統遭駭，玩家個資流入地下論壇</span></a></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2K_user_data_for_sale.png" style="width: 300px; float: right;" /></a>9月20日，遊戲業者2K證實客服系統遭到入侵，駭客透過該系統向玩家發送竊密軟體RedLine的連結，該公司於10月6日揭露進一步的調查結果，他們發現未經授權的外部人士，存取了客服系統部分資料，包含了玩家的姓名、電子郵件信箱、玩家ID、工單編號等，目前沒有跡象顯示玩家的密碼與金融資料外洩。資安新聞網站Bleeping Computer指出，駭客已將竊得的資料在地下論壇求售，但強調這批資料不含密碼。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153528"><span style="color: rgb(0, 0, 0);">幣安跨鏈橋遭駭，被盜走1億美元資產</span></a></strong></h3> <p>大型加密貨幣交易所幣安（Binance）於10月7日上午，傳出跨鏈橋BSC Token Hub遭到入侵，估計在攻擊行動裡造成1億美元損失，但該公司與社群合作，凍結其中的700萬美元加密貨幣。幣安執行長趙長鵬指出，此次駭客攻擊導致該系統產生大量幣安幣（BNB），再將其轉走。該公司暫停Beacon Chain（BEP2）與Smart Chain（BSC）之間的跨鏈交易，並針對後者進行修補，也公告禁止交易的黑名單網址。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153546"><span style="color: rgb(0, 0, 0);">逾10座美國機場的網站傳出遭俄羅斯駭客Killnet癱瘓</span></a></strong></h3> <p>根據CNN、ABC News、NBC等美國媒體報導，美東時間10月10日上午，亞特蘭大、紐約、芝加哥、洛杉磯、鳯凰城等城市，傳出14座機場的網站遭到DDoS攻擊而斷線，無法提供航班查詢服務。不過，這些機場發言人都表示，攻擊僅造成網站停擺，不影響飛航運作，內部系統也未受影響。而針對攻擊者的身分，俄羅斯駭客組織Killnet聲稱是他們所為，並於Telegram頻道列出打算發動攻擊的49個機場。</p> <h3><strong style="font-size: 22px;"><a href="https://about.fb.com/news/2022/10/protecting-people-from-malicious-account-compromise-apps/"><span style="color: rgb(0, 0, 0);">400個手機App竊取百萬用戶臉書帳號資料</span></a></strong></h3> <p>臉書的母公司Meta指出，他們發現有403個手機惡意程式濫用「以臉書登入（Log-in with Facebook）」的功能，竊取臉書用戶的帳密資料，且這些App幾乎都上架到Google Play與蘋果App Store市集，該公司估計有近百萬用戶受到影響，他們也向這些使用者發出資料外洩通知，前述的App通報給Google與蘋果後皆已下架。Meta提出警告，這些惡意App的共通特徵是提供了以臉書登入的按鈕，部分甚至在沒有登入臉書帳號的狀態下無法使用。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/153533"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補防火牆、網頁安全閘道RCE漏洞，但先私下通知部分用戶</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FeeZB-MXgAAGFhf.jpg" style="width: 200px; float: right;" /></a>資安業者Fortinet修補重大身分驗證繞過漏洞CVE-2022-40684，此漏洞影響執行FortiOS的防火牆，以及網頁安全閘道系統FortiProxy，CVSS風險評分為9.6分，影響7.0版以上的FortiOS或FortiProxy。但這次修補引起用戶關注的是，Fortinet約於10月7日先透過電子郵件通知特定用戶，而非在資安通告網站上發布公告，直到有人將這樣的通知信公布後外界才得知此事。</p> <p>事隔3日，Fortinet發布資安公告，指出該漏洞已被用於攻擊行動，影響範圍除FortiOS與FortiProxy外，亦包含交換器管理系統FortiSwitch Manager。</p> <h3><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-ikea-tradfri-smart-lighting/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IKEA智慧照明系統漏洞恐導致組態遭到重設、使用者失去調整亮度的能力</span></strong></a></h3> <p>資安業者Synopsys指出，IKEA TRÅDFRI智慧照明系統存在漏洞CVE-2022-39064，攻擊者可傳送特定的IEEE 802.15.4（Zigbee）訊號，使得燈泡閃爍，但若是重覆傳送相同的訊號，就有可能導致燈泡組態被重設，相關的網路與亮度配置都會被清除，最終所有燈泡都會以最高亮度發光，且使用者無法透過手機App或遙控器調整設定。類似的漏洞也存在於該廠牌的物聯網裝置閘道設備上，並以CVE-2022-39065列管。</p> <p>研究人員指出，攻擊者只需使用筆電與25美元的無線電裝置，並在距離設備100公尺內就能發動攻擊。IKEA表示，上述漏洞與Zigbee協定有關，很可能也會在其他物聯網裝置出現，但不會外洩此照明系統儲存的敏感資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.rapid7.com/blog/post/2022/10/06/exploitation-of-unpatched-zero-day-remote-code-execution-vulnerability-in-zimbra-collaboration-suite-cve-2022-41352/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子郵件系統Zimbra尚未修補的RCE漏洞已出現攻擊行動</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2022/10/vulnerabilities-in-google-android-could-allow-for-arbitrary-code-execution"><span style="color: rgb(0, 0, 0);">Google修補42個Android漏洞，其中3個為涉及高通無線模組的重大漏洞</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://checkmarx.com/blog/lofygang-software-supply-chain-attackers-organized-persistent-and-operating-for-over-a-year/"><span style="color: rgb(0, 0, 0);">駭客組織LofyGang鎖定開發者發動供應鏈攻擊，目標為信用卡資料</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153524">【2022年10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153503">【2022年10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153474">【2022年10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</a></strong></strong></strong></p> </div></div></div>
2022/10/11 17:48作者周峻佑https://www.ithome.com.tw/news/153556
Windows 11在組織內部的採用率仍低於3%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lansweeper.com/itam/is-your-business-ready-for-windows-11/" target="_blank">專門建置IT資產管理解決方案的Lansweeper上周公布</a>針對組織內部的Windows裝置掃描報告，顯示出在全球6萬個組織的3,000萬臺Windows裝置中，只有2.61%的比例安裝了Windows 11，還低於微軟已經終止支援的Windows 7（3.38%）。</p> <p>雖然微軟一年前便釋出了Windows 11，但組織的作業系統升級相對緩慢，因為許多組織的系統管理員都會等到新系統上線一陣子之後才決定是否升級，相較之下，針對一般Windows程式與遊戲提供廣告服務的<a href="https://reports.adduplex.com/#/r/2022-06" target="_blank">AdDuplex於今年6月的調查</a>則顯示，已有超過23%的Windows裝置已升級至Windows 11。</p> <p>依照Lansweeper的調查，組織內部的Windows裝置仍以Windows 10居多，占了81.87%，居次的則是Windows Server的8.79%，排名第三的是微軟已經終止支援的Windows 7，仍有3.38%，Windows 11則以2.61%位居第四。</p> <p>除了偵測組織內裝置所執行的Windows作業系統版本之外，Lansweeper也掃描了這3,000萬臺裝置是否具備Windows 11的最低系統需求，主要是處理器（CPU）、記憶體（RAM）與信賴平臺模組（Trusted Platform Module，TPM），發現在工作站中，只有57.26%的CPU、92.85%的記憶體，以及65.57%的TPM符合可安裝Windows 11的條件。</p> <p>Lansweeper指出，這意謂著組織可能還要展開許多工作才能實現Windows 11，因為此一新的作業系統具備更嚴格的系統要求，並建議擁有大量裝置的組織應藉由自動化工具來進行Windows 11的升級任務。</p> </div></div></div>
2022/10/11 15:50作者陳曉莉https://www.ithome.com.tw/news/153553
第三季全球PC出貨量下滑15%，蘋果逆勢成長40%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.idc.com/getdoc.jsp?containerId=prUS49755822" target="_blank">市場研究機構IDC本周公布了</a>今年第三季的全球PC市場調查報告，顯示後疫情時代的全球PC出貨量正持續下滑中，該季整體出貨量為7,430萬臺，比去年同期下滑了15%，但蘋果產品出貨量卻異軍突起，在該季成長了40.2%。</p> <p>COVID-19疫情使得人類的活動量大減，在家工作與上課的風潮讓全球PC出貨量經歷了長達兩年的兩位數成長，但此一成長力道<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49019122" target="_blank">在今年第一季正式告終</a>，今年第一季的PC出貨量下滑了5.1%，<a href="https://www.idc.com/getdoc.jsp?containerId=prAP49455522" target="_blank">第二季下滑15.3%</a>，第三季亦持續下滑15%。</p> <p>IDC的調查顯示，全球前三大PC製造商依序是聯想（市占率為22.7%）、HP（17.1%）與Dell（16.1%），它們今年第三季的出貨量全數衰退，分別下滑了16.1%、27.8%與21.2%，然而，第四名的蘋果卻逆勢成長了40.2%，取得13.5%的市占，該季蘋果電腦的出貨量超過1,000萬臺。</p> <p>IDC認為，需求的冷卻及供應不均是造成PC出貨量下滑的主因，但即便如此，今年第三季的PC出貨量仍遠高於疫情之前的水平。對於蘋果的表現，IDC研究經理 Jitesh Ubrani指出，這是因為蘋果增加了第三季的供應量，以彌補今年第二季中國封城所造成的訂單損失。</p> </div></div></div>
2022/10/11 13:16作者陳曉莉https://www.ithome.com.tw/news/153551
傳與俄羅斯過從甚密，德國聯邦資安辦公室主席可能被調職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據德國媒體《<a href="https://www.bild.de/politik/inland/politik-inland/nach-boehmermann-sendung-faeser-feuert-cyber-abwehrchef-81569028.bild.html" target="_blank">The Bild</a>》、《<a href="https://www.zdf.de/nachrichten/politik/schoenbohm-faeser-boehmermann-bsi-cyber-sicherheitsrat-100.html" target="_blank">ZDF</a>》與《<a href="https://apnews.com/article/russia-ukraine-technology-berlin-government-and-politics-b7d3c413308976c3ab05ca7fbb71e476" target="_blank">美聯社</a>》（AP）的報導，德國內政部長Nancy Faeser有意換掉德國聯邦資安辦公室（BIS）主席Arne Schönbohm，原因是懷疑Schönbohm與俄羅斯情報局過從甚密。</p> <p>BIS為德國的頂級聯邦機構，負責德國政府的電腦與通訊安全，涵蓋電腦程式安全、關鍵基礎設施的保護、網路安全、密碼學、反竊取，以及各種安全產品及安全測試實驗室的認證等，約有1,100名員工，Schönbohm自2016年2月便擔任BIS主席迄今。</p> <p>此外，Schönbohm在2012年在德國共同創立了Cyber Security Council，這是提供網路安全建議予德國政府組織、立法委員與企業的民間組織，然而，<a href="https://www.zdf.de/comedy/zdf-magazin-royale/zdf-magazin-royale-vom-7-oktober-2022-100.html" target="_blank">德國媒體的調查卻發現</a>，該組織有一家成員企業為俄羅斯資安業者的子公司，且其創辦人為俄羅斯情報機構（KGB）的前員工。Schönbohm即被懷疑透過Cyber Security Council與俄羅斯聯繫，且該俄羅斯企業可能利用其成員身分，於德國提供不安全的軟體。</p> <p>壓垮駱駝的最後一根稻草則是Schönbohm近日還參與了Cyber Security Council的年會，並上臺發表演說。</p> <p>儘管Schönbohm否認了與俄羅斯有所聯繫的指控，但根據德國媒體報導，Faeser有意撤銷Schönbohm在聯邦資安辦公室主席的身分，將他轉調至其它職位，而且也已延後原本要在周四發表的BSI管理報告。</p> </div></div></div>
2022/10/11 13:00作者陳曉莉https://www.ithome.com.tw/news/153550
【資安週報】2022年10月3日到10月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月初的資安新聞中，微軟Exchange伺服器的零時差漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082）最受關注，在資安業者的事件調查中才使此漏洞曝光，儘管微軟已公布緩解措施，又傳出緩解能被繞過的消息，以及一再釋出新的緩解對應的消息，讓企業人員疲於奔命。</p> <p>在攻擊態勢上，利用已知漏洞的問題不斷，較特別的是，關於利用驅動程式漏洞的攻擊有兩起，一是北韓駭客組織Lazarus成功利用了CVE-2021-21551漏洞，一是在勒索軟體BlackByte亦利用了自帶驅動程式攻擊手法（Bring Your Own Vulnerable Driver，BYOVD），在電腦植入具有漏洞的驅動程式用以提升權限。此外，本周美國公布了一份中國駭客最常利用漏洞的清單，共有20個，Log4Shell居於第一，Pulse Secure VPN漏洞CVE-2019-11510居於第二，當中大部分為2021年揭露的漏洞。</p> <p>在攻擊手法方面，受關注的包括：駭客組織Witchetty將惡意軟體埋藏在Windows圖案的BMP圖片檔案格式，以及有駭客打造針對微軟SQL Server的後門程式Maggie，還有，國家級駭客利用惡意軟體CovalentStealer及滲透測試工具Impacket鎖定國防單位入侵，這些攻擊行動相當值得留意。</p> <p>另外，還有一起美國FTC定罪判刑案件受關注，原因是2016年遭駭當時的Uber資安長蓄意隱瞞公司與FTC，這導致了駭客免於落網，之後駭客又得以成功入侵另家公司，美國司法部此舉，強調保護使用者，以及資安事件通報主管機關重要性。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153411"><span style="color: rgb(0, 0, 0);">【10月3日】駭客設置冒牌財星500大企業資安長LinkedIn帳號、前IT人員竄改企業的網域配置遭起訴</span></a></strong></h3> <p>有人假冒是財星500大企業的資安長，並設置LinkedIn帳號，且他們的經歷看起來相當完整而難辨真假，甚至使用者想要透過Google搜尋確認，有機會先看到假資安長的帳號。由於攻擊者很有可能利用這種帳號進行詐騙，大家關注資安長動態時要提高警覺。</p> <p>我們之前曾報導不少離職員工造成的資安事故，而最近美國司法部起訴的案件也是類似狀況，有IT人員離職後，利用尚未註銷的權限入侵前東家，再度突顯企業若未收回離職員工權限，恐釀大禍。</p> <p>Dell去年修補存在漏洞的驅動程式，如今被實際用於攻擊行動──駭客自行攜帶存在漏洞的驅動程式（<a href="https://www.welivesecurity.com/wp-content/uploads/2020/06/ESET_InvisiMole.pdf">BYOVD</a>），而能夠在受害電腦提升權限並停用防毒軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153457"><span style="color: rgb(0, 0, 0);">【10月4日】微軟針對Exchange零時差漏洞提出的緩解措施可被輕易繞過、美國防承包商遭勒索軟體BlackCat攻擊</span></a></strong></h3> <p>上週被資安業者揭露的Exchange零時差漏洞被命名為ProxyNotShell，微軟目前在提供正式修補之前，先公布緩解措施，但事隔數日，有研究人員發現，即使管理者採取微軟提供的措施，駭客還是可以繞過，並利用上述的零時差漏洞發動攻擊。</p> <p>由於微軟尚在製作ProxyNotShell修補程式，研究人員並未透露更詳細的資料，但有人竟然以此為誘餌，趁機以概念性驗證程式向資安人員行騙。</p> <p>又有美國國防承包商傳出遭到勒索軟體攻擊！這次受害的是為美國政府機關、國防部提供IT基礎設施的NJVC，但罕見的是，駭客聲稱竊得NJVC大量機密後不久，網站就無法存取。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153474"><span style="color: rgb(0, 0, 0);">【10月5日】電玩業者暴雪娛樂遭大規模DDoS攻擊、駭客透過YouTube頻道向中國用戶散布惡意Tor瀏覽器安裝程式</span></a></strong></h3> <p>近期Ubisoft、Rockstar、2K Games等多家遊戲公司遭到網路攻擊，駭客主要的目的，不是竊取玩家的帳號資料，就是鎖定未上市的遊戲開發資料，藉此牟取利益；而針對遊戲廠商發動的DDoS攻擊則較為少見。最近暴雪娛樂的新遊戲「鬥陣特攻2」正式上線，就因為伺服器遭到DDoS攻擊，玩家面臨無法登入遊戲的情況而抱怨連連。</p> <p>駭客利用YouTube頻道散布惡意程式的做法，之前不少是針對尋求遊戲破解的玩家而來，然而現在出現針對特定國家的攻擊行動──有人打著讓中國使用者能存取暗網的名義，散布帶有惡意程式的Tor瀏覽器。</p> <p>近期針對開發者的攻擊可說是相當頻繁，駭客主要大多是針對他們使用的套件下手，但假如攻擊目標是套件管理器，很可能影響更為嚴重。研究人員揭露他們發現的PHP套件管理器漏洞，並指出一旦遭到利用，攻擊者就可用於植入惡意軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153503"><span style="color: rgb(0, 0, 0);">【10月6日】新的ProxyNotShell緩解措施可被繞過、研究人員發現Akamai組態錯誤配置漏洞</span></a></strong></h3> <p>針對如何防堵Exchange零時差漏洞ProxyNotShell的緩解措施，有人先在10月3日發現微軟提供的方法可被繞過，並企圖改良，但現在被發現仍不夠周延，而出現了第3個版本的緩解措施。這樣在一個星期內出現數次修改Exchange配置的情況，恐怕使得IT人員疲於奔命。</p> <p>有研究人員找到Akamai組態配置錯誤的漏洞，幾乎該公司的客戶都可能受到影響。</p> <p>自帶驅動程式（BYOVD）的攻擊手法最近越來越常出現！我們週一報導北韓駭客利用含有漏洞的Dell驅動程式發動攻擊，現在勒索軟體駭客組織BlackByte也採取此種手法，利用微星舊版驅動程式來停用防毒軟體。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153524"><span style="color: rgb(0, 0, 0);">【10月7日】利用電信公司Optus外洩資料進行簡訊詐騙的青年遭到逮捕、Uber前資安長掩飾被駭事件罪名成立</span></a></strong></h3> <p>澳洲大型電信業者Optus資料外洩引起關注，但在此同時，有人竟動起歪腦筋，想要利用流出的資料來恐嚇取財。澳洲警方最近逮捕一名青年，原因就是他利用駭客公布的資料進行簡訊詐騙攻擊。這種青少年參與網路犯罪的情況越來越頻繁，相當值得家人留意。</p> <p>負責企業網路安全的資安長，竟想要私下付錢給駭客了事！Uber前資安長Joe Sullivan於2016年的資安事故知情不報，近日判決罪名成立。美國司法部指控，他隱匿事故使得另一家公司也遇害。</p> <p>思科針對旗下的協作系統Expressway、視訊會議系統TelePresence，修補兩個高風險漏洞，並呼籲用戶安裝更新程式。</p> </div></div></div>
2022/10/11 09:53作者羅正漢https://www.ithome.com.tw/news/153544