iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 04:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Momo雙11流量預計提升2成，提升系統乘載及物流量能嚴陣以待
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子商務年度主戰場雙11節即將到來，電商巨頭Momo總經理谷元宏今日（10/25）表示，去年雙11檔期營收是平日的3.5倍，儘管今年消費者在電商消費的意願較為疲軟，仍預期有數倍於平日的營收。他並透露今年對於IT和物流挑戰的預期和應對方法。</p> <p>每年雙11必經的課題，就是系統是否足以承載活動檔期流量。「Momo從8、9月起，就開始進行承載測試和系統擴充。」谷元宏說，今年系統有信心承載比平日高出30%以上的流量，不過今年預期流量成長大概只有20%左右。他說明，今年網站流量並沒有減少，只不過因為通膨、解封等因素，讓流量轉換率下降，因此在促銷檔期間，主要提升的不會是流量，而是成交訂單量。</p> <p>成交訂單量大增，對物流造成的壓力便會隨之提升。谷元宏不諱言，認為雙11期間，訂單履行效率勢必會下降，但Momo積極投資的物流設施和人力會有助於舒緩物流壓力。相較於去年，Momo倉儲空間提升了18％，包含19座主倉及32座衛星倉，自有車隊規模也成長了7至8成，能負擔20%到25%的訂單物流。雙11檔期間，Momo還租用了4萬個棧板，並聘請更多外部車隊人力，來應對增量的運送需求。</p> <p>谷元宏還提到了中區及南區大型物流中心布局情況。南區物流中心預計明年Q4上線，中區物流中心則因為尋找土地費時較久，時程有所延緩，最終定址在彰化縣和美鎮，計畫於2023年開工，2026年完成。</p> <p>今年雙11活動，Momo下重本砸了破億新臺幣用於行銷，其中許多項目都與自家平臺代幣Mo幣有關。關於Mo幣生態圈拓展現況，谷元宏說，目前外部用途多為台灣大哥大帳單折抵，其他通路的使用情境仍在開發中。不過，由於Mo幣目前使用率超過80%，且大部分使用情境都在自家電商平臺，因此Momo對於開發生態圈一事並不著急。目前與富邦合作發行的聯名卡發行量超過70萬張，是帶動Mo幣發行的主要動力。</p> </div></div></div>
2022/10/25 22:35作者郭又華https://www.ithome.com.tw/news/153811
【資安日報】2022年10月25日，巴基斯坦組織遭駭客SideWinder發動後門程式攻擊、蘋果修補已被用於攻擊的iO…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴基斯坦組織遭到駭客SideWinder鎖定，並透過後門程式來發動攻擊，不過，駭客並非直接攻擊特定的組織，而是入侵當地政府機關的網站，來做為散布後門程式的管道。</p> <p>攻擊者假借提供漏洞的概念性驗證程式為由，將惡意程式上傳至程式碼儲存庫GitHub散布的情況，不時有事故傳出，但這樣的情況究竟有多嚴重？根據荷蘭萊登大學的分析，他們找到了近5千個遭到濫用的儲存庫。</p> <p>蘋果發布iOS 16.1與iPadOS 16，但值得留意的是，當中修補了已出現攻擊行動的漏洞CVE-2022-42827，使用者應儘速套用更新程式。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.zscaler.com/blogs/security-research/warhawk-new-backdoor-arsenal-sidewinder-apt-group-0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴基斯坦組織遭駭客SideWinder鎖定，利用WarHawk後門程式發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SideWinder-APT-website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SideWinder-APT-website.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露駭客組織SideWinder的攻擊行動，該組織約自今年9月入侵巴基斯坦國家電力監管局（NERPA）網站，用來散布後門程式WarHawk。駭客上傳了ISO映像檔，內容包含了Windows捷徑檔、PDF檔案，以及加料的瑞昱驅動程式安裝程式（RtlAudioDriver.exe）或公用程式MSbuild.exe。</p> <p>一旦受害者執行捷徑檔，將會同時開啟PDF檔案與可執行檔，後者將會於受害電腦植入WarHawk。此後門程式包含滲透測試工具Cobalt Strike的惡意模組，並會檢查是否在巴基斯坦時區，然後將自己的處理程序，以<a href="https://attack.mitre.org/techniques/T1574/013/">KernelCallBackTable的注入攻擊手法</a>，注入到記事本處理程序執行。</p> <h3><a href="https://arxiv.org/abs/2210.08374"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近5千個GitHub儲存庫被用於存放假的概念性驗證攻擊程式，成散布惡意軟體溫床</span></strong></a></h3> <p>荷蘭萊登大學進階電腦科學研究所（LIACS）指出，GitHub上的概念性驗證（PoC）攻擊程式，平均每10個就有一個是惡意軟體。研究人員透過IP位址、可執行檔分析等手法，針對47,313個存放PoC檔案的儲存庫進行分析，結果發現，4,893個為惡意程式，其中大部分宣稱是2019至2021年漏洞的PoC工具。而這些被散布的惡意程式類型也相當廣泛，包含了RAT木馬程式、滲透測試工具Cobalt Strike等。研究人員已向GitHub通報，但這些儲存庫目前尚未完全移除。</p> <h3><a href="https://blog.checkpoint.com/2022/10/24/online-shoppers-beware-scammers-most-likely-to-impersonate-dhl/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DHL是今年第3季駭客最愛冒用的品牌</span></strong></a></h3> <p>資安業者Check Point公布對於今年第3季網路釣魚態勢的觀察，在駭客偏好冒用的品牌當中，最多的是物流業者DHL（22%），其次則是微軟（16%），LinkedIn則占11%。研究人員指出，有別於今年上半LinkedIn占據半數（第1季52%、第2季45%），DHL一舉成為第3季攻擊者的最愛，很有可能與佯稱包裹無法送達的網釣攻擊氾濫有關。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/archive-sidestepping-self-unlocking-password-protected-rar/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Emotet透過自解RAR壓縮檔散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/6a18ac3670c2db4af3468d96d3e85fb597e6825f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6a18ac3670c2db4af3468d96d3e85fb597e6825f.png" style="width: 300px; float: right;" /></a>攻擊者為了規避資安系統的偵測，很可能利用密碼保護的壓縮檔來打包作案工具，但這種手法需要受害者互動，如今駭客運用了更為複雜的方式來進行。資安業者Trustwave揭露近期的殭屍網路Emotet攻擊行動，駭客假借發票的名義寄送釣魚郵件，並挾帶RAR自解壓縮檔，而這個檔案內有另一個以密碼保護的RAR自解壓縮檔、批次檔，以及做為誘餌的圖片或PDF文件檔案。</p> <p>一旦受害者開啟此自解壓縮檔，該檔案就會執行內部的批次檔，來解壓縮第二個以密碼保護的自解壓縮檔案，進而在受害電腦植入Emotet，或是挖礦程式CoinMiner、木馬程式QuasarRAT等。</p> <h3><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">16款廣告點擊惡意App被下載超過2千萬次</span></strong></a></h3> <p>資安業者McAfee揭露廣告點擊詐騙程式的攻擊行動，該詐騙程式埋藏於16款App並上架於Google Play市集，這些App的功能相當廣泛，包含了手電筒、QR Code掃描工具、相機、單位轉換程式等，總共被下載逾2千萬次。一旦使用者安裝這些App，手機就會發出HTTP請求，下載遠端配置組態，繼而註冊Firebase雲端通訊（FCM）接收程式。</p> <p>研究人員指出，駭客這麼做的目的，是為了掩飾手機被用於廣告詐騙，在使用者不知情的狀況下耗用大量頻寬及電力，模仿使用者存取特定網站來為駭客製造廣告收入。Google獲報後已下架上述16款App。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/tommyleaks-and-schoolboys-two-sides-of-the-same-ransomware-gang/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又有駭客使用外洩的勒索軟體LockBit產生器犯案！研究人員揭露勒索軟體TommyLeaks、SchoolBoys</span></strong></a></h3> <p>資安研究團隊MalwareHunterTeam先後於9月上旬、10月上旬發現勒索軟體TommyLeaks、SchoolBoys的攻擊行動，但根據資安新聞網站Bleeping Computer的調查，這兩個勒索軟體背後的駭客其實是同一組人馬，且SchoolBoys是透過<a href="https://www.ithome.com.tw/news/153192#lockbit-builder">之前外流的LockBit產生器</a>打造而成。但為何駭客會使用兩個不同名稱的勒索軟體犯案？研究人員表示原因仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-new-zero-day-used-in-attacks-against-iphones-ipads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補已被用於攻擊的iOS零時差漏洞CVE-2022-42827</span></strong></a></h3> <p>蘋果於10月24日發布iOS 16.1與iPadOS 16，總共修補了20個漏洞，其中的越界寫入漏洞CVE-2022-42827已出現遭到攻擊者積極利用的情況，此為今年蘋果修補的第9個零時差漏洞。該漏洞發生的原因與軟體界外寫入資料有關，一旦駭客利用該漏洞，就有可能以核心的權限執行任意程式碼。受影響的設備包含了iPhone 8以上機種、歷代iPad Pro、第3至5代iPad Air、第5代以上的iPad，以及第5代iPad mini。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/exploited-windows-zero-day-lets-javascript-files-bypass-security-warnings/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MoTW零時差漏洞可讓惡意JavaScript指令碼繞過Windows內建的安全檢查機制</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://guardiosecurity.medium.com/dormant-colors-live-campaign-with-over-1m-data-stealing-extensions-installed-9a9a459b5849"><span style="color: rgb(0, 0, 0);">惡意Chrome擴充套件Dormant Colors挾持瀏覽器，載入惡意指令碼</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cuba-ransomware-affiliate-targets-ukrainian-govt-agencies/"><span style="color: rgb(0, 0, 0);">烏克蘭政府機關遭勒索軟體Cuba鎖定</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/pendragon-car-dealer-refuses-60-million-lockbit-ransomware-demand/"><span style="color: rgb(0, 0, 0);">英國汽車經銷商Pendragon遭勒索軟體LockBit攻擊</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153798">【2022年10月24日】 Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> </div></div></div>
2022/10/25 14:18作者周峻佑https://www.ithome.com.tw/news/153807
RedHat釋出AWS版雲端RHEL for Workstations
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.redhat.com/en/blog/red-hat-enterprise-linux-workstations-now-available-amazon-web-services" target="_blank">Red Hat本周宣布</a>釋出可在AWS上執行的工作站OS版本，名為Red Hat Enterprise Linux（RHEL）for Workstations。</p> <p>RHEL for Workstations是專門設計給執行高運算需求的桌機應用，如動畫、電腦輔助設計與工程、科學研究、醫療影像等的專用平臺。透過這新服務的推出，可提供想要工作站即服務（workstation-as-a-service）的企業用戶完整的RHEL for Workstations，又能支援多種硬體執行個體，並在無需投資部署硬體情況下借用AWS強大效能。</p> <p><a href="https://aws.amazon.com/tw/about-aws/whats-new/2022/10/red-hat-enterprise-linux-rhel-workstation-aws/" target="_blank">AWS表示</a>提供這項服務的關鍵是RHEL Workstation Amazon Machine Images（AMI），是以RHEL version 8.6結合AWS的桌機虛擬化軟體NICE DCV為基礎開發，支援Nvidia Tesla及GRID驅動程式。EC2 AMI讓多種不同OS，包括Windows、macOS及Linux版部署在AWS上。而利用RHEL for Workstations on AWS，企業可以選擇適合他們的OS及機器，在AWS上進行3D渲染、醫療影像、網路運算、或飛行模擬等耗運算效能的作業。</p> <p>RHEL for Workstations for AWS現在已在所有AWS商用區域上線，用戶可以在AWS Marketplace中的GPU執行個體取得。分成2種驅動程式版本，包括RHEL for Workstations 8.6 for GPU-based Instances - GRID driver，以及RHEL for Workstations 8.6 for GPU-based Instances - TESLA driver。兩種都是透過AWS的桌面雲端視覺化協定NICE DCV執行。</p> <p>RHEL for Workstations on AWS可獲得AWS provides tier 1及tier 2支援。已訂閱Red Hat Cloud Access服務的用戶，可免費獲得RHEL for Workstations，取得Red Hat支援服務。</p> <p><a href="https://aws.amazon.com/tw/blogs/aws/amazon-workspaces-introduces-ubuntu-desktops/" target="_blank">AWS也在本月初公布</a>Ubuntu on AWS的服務。</p> </div></div></div>
2022/10/25 15:34作者林妍溱https://www.ithome.com.tw/news/153808
微軟Windows on Arm開發人員裝置Project Volterra出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsdeveloper/2022/10/24/available-today-windows-dev-kit-2023-aka-project-volterra/" target="_blank">微軟昨（24）日宣布</a>提供開發人員在Arm平臺上開發Windows App的裝置Project Volterra，以Windows Dev Kit 2023為名正式出貨。</p> <p><a href="https://www.ithome.com.tw/news/151111" target="_blank">微軟是在5月Build大會上公布Project Volterra</a>。微軟強調，Windows Dev Kit 2023讓開發人員將App整個開發過程在一臺小型裝置上完成，又能獲得所有Windows on Arm開發的必要工具。</p> <p>Windows Dev Kit 2023售價599美元，目前出貨地區8個市場，包括美、英、中、日、德、法、澳洲及加拿大等。</p> <p>在硬體規格上，Windows Dev Kit 2023搭載Snapdragon 8cx第三代運算平臺，使用Qualcomm Neural Processing SDK，可為開發提供AI功能。此外還搭載32GB RAM和512GB快閃儲存，並內建Wi-Fi 6、乙太網路、3個USB-A及2個USB-C傳輸埠，並有個Mini Display傳輸埠可外接顯示器。一臺Project Volterra最多可同時外接3臺螢幕，包含2個4K 60Hz的高畫質螢幕。</p> <p class="rtecenter"><img alt="" src="https://learn.microsoft.com/zh-tw/windows/arm/images/windowsdevkit2023-side.png" style="width: 582px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>除了簡化在Arm平臺上的開發流程，Project Volterra也讓開發人員運用NPU硬體加速AI及機器學習（ML）應用負載，其跨平臺的開源ONNX Runtime推論引擎，可以從PyTorch和TensorFlow等常見機器學習框架執行AI/ML模型，但又不影響App效能。</p> <p>微軟5月時宣布了一些開發Arm原生App的工具鏈，分別已來到正式版及測試版階段。昨日微軟正式推出的工具包括<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-framework-481/" target="_blank">.NET Framework 4.8.1</a>隨Windows 11 2022 更新釋出，以及Azure VM和Arm64EC。而Visual Studio 2022 17.4、原生支援Arm的Windows App SDK以及Libraries（VC++ Runtime）及Toolchain（.NET7）昨日釋出預覽版，預計年底正式推出。</p> <p>為了讓更多App可在Windows on Arm執行，微軟已經將自己Teams、Microsoft 365、Edge、Microsoft Defender for Endpoint（MDE）、OneDrive移植到上面。而支援的第三方應用包括Adobe Photoshop、Adobe Lightroom、Zoom、HP Smart Universal Print驅動程式、VPN軟體如Palo Alto、Cisco Anyconnect、F5 Big-IP、OpenVPN，安全產品如Crowdstrike Falcon、Panda Security、ESET端點防毒、Sophos Intercep，以及標竿測試軟體如PassMark PerformanceTest、Nexthink Collector等。</p> <p>微軟並指出，利用Windows 11模擬技術，開發人員也可以在Windows Dev Kit上不用修改而執行x64和x86應用程式。</p> </div></div></div>
2022/10/25 12:26作者林妍溱https://www.ithome.com.tw/news/153806
Meta股東Altimeter Capital發表公開信，督促Meta裁員20%及縮減元宇宙開發成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>握有Meta約0.1%股權的Altimeter Capital創辦人<a href="https://medium.com/@alt.cap/time-to-get-fit-an-open-letter-from-altimeter-to-mark-zuckerberg-and-the-meta-board-of-392d94e80a18" target="_blank">Brad Gerstner周一（10/24）發表了公開信</a>，宣稱Meta體質已過於膨脹，且股價下滑超過市場平均，督促Meta應減少20%的人力，將年度支出從300億美元縮減到250億美元，且每年對元宇宙的投資不應超過50億美元。</p> <p>Gerstner說，他一直是Meta的堅定支持者，畢竟該公司曾有預見未來的成功紀錄，然而，Meta已經到了缺乏節制的階段，有太多的人力、太多的想法，以及太少的急迫性，當成長是容易時，這些缺點會被忽略，但當成長變慢且技術產生變化時，此一狀況卻有可能致命。</p> <p>在過去的18個月中，Meta股價下滑了55%，但大型科技股的平均跌幅為19%，Meta的市盈率（P/E ratio）從23倍降至12倍，交易價格不到同行平均市盈率的一半，此一股價的下滑不僅是因市場情緒低落，也因投資人對Meta失去了信心。但Gerstner認為，市場對Meta的看法掩蓋了真相，因為Meta去年的營業利潤超過450億美元，也在人工智慧與沈浸式3D技術上擁有領先能力，只是現在Meta需要恢復它的魔力，瘦身的時候到了。</p> <p>於是，Gerstner建議Meta應該要至少減少20%的人力支出，將年度資本支出從300億美元縮減到250億美元，且每年對元宇宙與Reality Labs的投資不應超過50億美元，以讓自由現金流（Free Cash Flow，FCF）每年可翻倍至400億美元。</p> <p>事實上，Meta的員工人數在過去4年內從2.5萬人增加到8.5萬人，年度資本支出從2018年的150億美元增加到2022年的300億美元，而且不包括大型的元宇宙投資，Gerstner說，該資本支出甚至超過了蘋果、特斯拉、Twitter、Snap與Uber的總和。</p> <p>此外，Gerstner也認為Meta對元宇宙的強調混淆了投資人對該公司的認知。一來人們對元宇宙感到疑惑，二來Meta對AI的投資規模其實大過於元宇宙，但元宇宙卻得到最多的關注。倘若Meta每年對元宇宙的投資只有10~20億美元，那麼可能一點都不是問題，但Meta卻宣布每年將投入100~150億美元，且可能需要10年才能看到成果，就算依照矽谷的標準，針對未知的未來投入超過1,000億美元仍是規模很大且可怕的。</p> <p>總之，Gerstner認為Meta應向其它大型科技業者看齊，每年投入元宇宙的支出不應超過50億美元，讓長期的投資報酬率變得更確實，以讓明年的FCF可至少增加200億美元，使其FCF的營收比重能與Google、微軟及蘋果更一致。</p> <p>Meta則尚未針對此一公開信作出回應。</p> </div></div></div>
2022/10/25 10:39作者陳曉莉https://www.ithome.com.tw/news/153804
蘋果調漲Apple Music與Apple TV+費率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://9to5mac.com/2022/10/24/apple-music-tv-prices-going-up/" target="_blank">《9to5Mac》周一（10/24）報導</a>，蘋果已於當天調漲了美國市場的Apple Music、Apple TV+與Apple One費率，漲幅介於9%~40%之間，雖然目前臺灣市場的費率未變，但《9to5Mac》認為國際市場之後應該也會看到類似的費率調整。</p> <p>以美國市場來看，Apple Music的個人方案的每月費率將從9.99美元調漲至10.99美元，家庭方案則會從14.99美元漲至16.99美元，個人年度費率則是從99美元漲至109美元；Apple TV+調漲的幅度較大，每月費率從4.99美元調漲至6.99美元，年度費率是從49.99美元漲至69美元。</p> <p>整合Apple Music、Apple TV+、Apple Arcade與iCloud+的Apple One個人方案則是從每月14.95美元漲至16.95美元，家庭方案自19.95美元漲至22.95美元，Premier方案從29.95美元漲至32.95美元。</p> <p>至於臺灣的相關服務目前尚未看到調漲，Apple Music的學生方案為每月70元新臺幣，聲控方案是75元新臺幣，個人方案為150元新臺幣，家庭方案是240元新臺幣；Apple TV+每月費率是170元新臺幣；Apple One個人方案每月是315元新臺幣，家庭方案為每月395元新臺幣。</p> <p>蘋果向《9to5Mac》表示，Apple Music費率的調漲肇因於授權成本的增加，同時也讓歌手與詞曲創作者可獲得更多的收入；至於Apple TV+一開始的低價則是因為內容不多，現則隨著內容的增加而漲價。</p> <p>除了蘋果之外，<a href="https://www.ithome.com.tw/news/153750" target="_blank">YouTube也打算自11月調漲YouTube Premium家庭方案</a>，從每月17.99美元漲至22.99美元，漲幅超過25%，但其它方案的費率維持不變。</p> </div></div></div>
2022/10/25 11:07作者陳曉莉https://www.ithome.com.tw/news/153805
macOS Ventura、 iOS 16.1、iPadOS 16.1正式釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/153714" target="_blank">上周向開發人員釋出RC版</a>後，蘋果於周一（10/24）正式向所有用戶釋出<a href="https://www.apple.com/tw/newsroom/2022/10/macos-ventura-is-now-available/" target="_blank">macOS 13 Ventura</a>、<a href="https://www.apple.com/tw/newsroom/2022/10/ipados-16-is-available-today/" target="_blank">iPad OS 16.1</a>、iOS 16.1的正式版本。</p> <p>符合資格的iPad及iPhone用戶，可以經由「設定」＞「一般」＞「軟體更新」的路徑升級到最新版本。而Mac電腦用戶則需循「偏好」＞「軟體更新」下載安裝macOS 13。</p> <p>macOS 13 Ventura及iPadOS 16.1都具備名為Stage Manager的多視窗、多應用程式管理功能（下圖），可以支援多工作業。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/ipad/standard/Apple-iPadOS-16-family-overview_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>iPadOS 16.1首度加入Weather App、可客製化工具列，Safari也支援更安全的Passkey功能。而Ventura的互通相機（Continuity Camera）功能（下圖）則允許Mac電腦用戶以鄰近的iPhone手機為其Webcam，方便自製YouTube影片或更靈活使用攝影機。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/availability/Apple-macOS-Ventura-Continuity-Camera_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>新版macOS的FaceTime提供了接力（Handoff）功能（下圖），可在不同iOS及Mac裝置間順暢串流影像，使影片觀賞或視訊不會隨用戶走動而中斷。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/availability/Apple-macOS-Ventura-Handoff_big.jpg.large.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>iOS 16.1則有多項不錯的功能。其中包括用戶可自訂鎖定螢幕或是以主頁作為鎖定螢幕畫面。新增的Live Activities方便用戶可即時更新或追蹤不停變動的資訊，像是運動賽事比分、股價或是Uber車輛即時位置。在最新iOS上，用戶也可以用Messages、WhatsApp或Line來傳送Wallet App儲存的數位鑰匙，像是飯店門鎖、車門鎖等。iOS 16.1也支援Matter智慧家庭協定，這個產業標準協定讓AI語音助理如Siri，也能呼叫控制非蘋果Homekit的Alexa、Google Assistant-based裝置。此外美國地區的iPhone現在可支援潔淨能源充電，減少用戶的碳足跡。</p> <p>最後，iOS 16.1、macOS 13 Ventura、iPadOS 16.1都加入iCloud共享Photo Library功能，方便用戶和其他最多5名家人朋友共用雲端相簿。</p> </div></div></div>
2022/10/25 09:48作者林妍溱https://www.ithome.com.tw/news/153802
Google Chrome將在明年2月終止對Windows 7/8.1的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著微軟即將在明年的1月10日，<a href="https://learn.microsoft.com/en-US/lifecycle/faq/extended-security-updates" target="_blank">終止對Windows 7的延伸安全更新（Extended Security Update，ESU）</a>與<a href="https://support.microsoft.com/en-us/windows/windows-8-1-support-will-end-on-january-10-2023-3cfd4cde-f611-496a-8057-923fba401e93" target="_blank">對Windows 8的延伸支援</a>，<a href="https://support.google.com/chrome/thread/185534985/sunsetting-support-for-windows-7-8-1-in-early-2023?hl=en" target="_blank">Google本周宣布</a>，預計於明年2月7日釋出的Chrome 110，便會正式終止對這兩個Windows版本的支援。</p> <p>Google表示，未來在Windows 7/8.1的裝置上，舊版Chrome依然可繼續運作，只是無法再接收更新，鼓勵Windows用戶在此一日期之前升級到Windows 10或更新的作業系統，以確保能持續接收Chrome的功能與安全更新。</p> <p>由於Windows 7是個相對熱門的Windows版本，使得微軟特別為它提供了延伸安全更新，但Windows 8.1並沒有同等的待遇，微軟預計於明年1月10日同時終止對這兩個作業系統的支援。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據 Statcounter的統計</a>，現階段最受歡迎的Windows作業系統為Windows 10的71.87%，Windows 11以13.56%居次，Windows 7仍有10.68%的市占率，而Windows 8.1則僅剩2.7%。</p> </div></div></div>
2022/10/25 08:54作者陳曉莉https://www.ithome.com.tw/news/153801
鎖定物聯網應用，Ubuntu 22.10 Kinetic Kudu更新開發工具鏈與功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical釋出最新<a href="https://ubuntu.com/blog/canonical-releases-ubuntu-22-10-kinetic-kudu">Ubuntu 22.10 Kinetic Kudu版本</a>，更新重點在於改善企業開發人員和IT管理員體驗，針對物聯網生態系更新工具鏈和應用程式。</p> <p>這個Ubuntu新版本加入了管理工具Landscape 22.10 Beta測試版，讓用戶可以更簡單地在各種架構上運作和管理Ubuntu，從伺服器到桌面上的Ubuntu，管理員都可以進行監控、管理、修補和查看法遵報告。現在於Arm或是以Arm處理器為基礎的電腦，都可以安裝Landscape Server，包括公有雲上的Ampere Altra的ARM64虛擬機器和Raspberry Pi都沒問題，另外，這個版本還支援RISC-V處理器和硬體，Landscape能夠被簡單地部署成移植式管理系統。</p> <p>官方更新Ubuntu 22.10中的工具鏈，包括Ruby、Go、GCC和Rust等開發人員工具，該版本中的OpenSSH預設使用systemd Socket啟動模式，也就是說，在接收傳入連接請求之前，系統不會啟動sshd，官方提到，這種機制減少Ubuntu Server在較小裝置、虛擬機器和LXD容器上所使用的記憶體。</p> <p>Ubuntu 22.10還附帶了一項新的debuginfod服務，可以協助開發人員和管理員，除錯Ubuntu所附帶的程式。</p> <p>同時，新版本Ubuntu現在已經在各種微控制器上支援MicroPython，而且因為Ubuntu繪圖堆疊更新，因此開發者現在可以不需要Raspberry Pi專用驅動程式，就可以在桌面會話（Session）之外，使用諸如QT等框架運作基於Raspberry Pi的圖形應用程式。官方解釋，這補充了Raspberry Pi一系列嵌入式顯示器的擴展支援，包括Inky eInk HAT系列、Hyperpixel系列和Raspberry Pi官方的觸控螢幕。</p> <p>由於Ubuntu 22.10所附加新的GNOME 43，包括GTK4主題皆獲得效能提升，用戶也可以在快速配置中，更迅速地存取常用項目，像是Wi-Fi、藍芽、深色主題和電源配置。</p> </div></div></div>
2022/10/24 21:43作者李建興https://www.ithome.com.tw/news/153794
Google雲端針對微服務提供gRPC可觀察性資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在對自家雲端平臺上，和連接到Google雲端上的工作負載，提供<a href="https://cloud.google.com/blog/products/networking/introducing-grpc-observability-for-microservices">gRPC新的可觀察性功能</a>，收集而來的gRPC（Remote Procedure Call）工作負載遙測資料，包括日誌、指標和追蹤，可供Google雲端其他操作套件使用，了解系統問題使用戶可進一步做出調整。</p> <p>gRPC是一個開源高效能遠端程序呼叫框架，可以在各種環境中運作，透過負載平衡、追蹤、健康檢查和身分驗證等支援，在資料中心內和跨資料中心的微服務發揮重要作用，另外，gRPC還可以將裝置、行動應用程式和瀏覽器，連接到公有雲的後端服務。</p> <p>Google提到，由於gRPC所扮演的獨特角色，可以提供整個系統完整的端到端檢視圖。gRPC可觀察性資料包括重要的RPC事件日誌、RPC事件指標，同時也能掌握RPC分散式追蹤，官方解釋，當上游提供RPC時，伺服器可能需要創建多個RPC到自己的後端，而分散式追蹤協助使用者了解這些RPC之間的關係，以及每個RPC的延遲，和整個系統發生的關鍵事件。</p> <p>現在當開發者對二進位檔案啟用gRPC可觀察性功能時，gRPC函式庫會將日誌記錄、指標和追蹤資料，回報給Google雲端操作套件，用戶便可以利用Google雲端控制臺，將可觀察性資料匯出，供其他工具進一步分析，而gRPC可觀察性也可對關鍵gRPC事件提供日誌和資訊，協助開發人員了解這些事件發生的脈絡，掌握當時正在呼叫的gRPC服務、事件發生位置，後設資料的具體內容和Payload等。</p> <p>gRPC可觀察性提供了數個指標，像是RPC往返延遲、單位時間RPC完成數量，以及網路發送與接受的位元組數。這些指標都可以運用重要參數進行分組，特定平臺的指標也包括在內，像是GKE平臺上，開發人員可以透過命名空間、容器和Pod資訊欄位，挖掘更加細緻的統計資料，並辨識出更多的問題。</p> <p>開發人員可以配置RPC採樣率，採樣決策能夠跨系統傳播，因此無論RPC實際發生所在，開發人員都可以掌握完整、端到端分散式追蹤。</p> </div></div></div>
2022/10/24 21:47作者李建興https://www.ithome.com.tw/news/153795
Google跨平臺資料儲存引擎BigLake開始支援Iceberg開放格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/announcing-apache-iceberg-support-for-biglake">Google擴展跨平臺資料儲存引擎BigLake支援，現在用戶也可以使用Apache Iceberg格式</a>，建構開放格式資料湖。Apache Iceberg是一種熱門的開源表格格式，提供企業資料倉儲的許多功能，包括交易DML、架構演變和用於效能最佳化的後設資料等。</p> <p>而BigLake是一種儲存引擎，供用戶可以在Google雲端儲存上，以Parquet等開放格式儲存資料，並且使用BigQuery和Spark等開源框架，以精細度存取控制來使用資料。</p> <p>Iceberg的開放規範讓用戶可以對多個查詢引擎，使用同一份儲存在物件儲存中的資料副本，Google提到，在Iceberg社群不斷壯大的情況下，Iceberg儼然已成為資料湖泊的開放標準，可用於混合分析工作負載，以及提供跨雲端平臺的互通性。</p> <p>開源分析引擎運用Iceberg創建表格，也能夠使用BigQuery進行讀取，像是在Spark創建表格，也可以使用BigQuery查詢。由於Apache Spark已經對Iceberg提供豐富支援，Google雲端用戶可以使用Dataproc執行Spark，或是使用BigQuery對Spark的內建支援，處理託管在Cloud Storage的表格，官方提到，無論用戶以哪一種方式使用Spark，BigLake都可以自動對這些表格提供查詢。</p> <p>企業管理能夠提供終端用戶Iceberg表格，而不需要授予用戶存取底層儲存桶的權限，透過BigLake進行委派，進而簡化了存取和治理，管理員設置能運用精細度存取控制，像是資料遮蔽或是資料列保護等，進一步保護Iceberg表格。</p> <p>在GCP上執行Iceberg好處不受限於這些核心功能，Google提到，用戶還可以運用原生BigQuery和GCP整合，在Analytics Hub安全地交換Iceberg資料，資料提供者可以在Google雲端儲存共享Iceberg表格，而其他資料消費者可以使用任何相容的查詢引擎來使用資料。</p> <p>用戶還可以使用Cloud DLP探索、偵測和保護PII資料，並使用BigLake的精細度安全模型保護敏感資料，滿足工作負載的法遵要求。另外，用戶可以透過BigQueryML，將機器學習工作負載，擴展到儲存在Google雲端儲存上的Iceberg表格，在儲存於BigQuery之外的資料上實作人工智慧。</p> </div></div></div>
2022/10/24 21:49作者李建興https://www.ithome.com.tw/news/153796
【資安日報】2022年10月24日，Text4Shell漏洞傳出攻擊行動、駭客偽造沙烏地阿拉伯政府網站誘當地民眾獻出個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apache於10月13日，針對9月底修補的Commons Text重大漏洞Text4Shell提出警告，並引起許多研究人員的高度關注，原因是這項漏洞很可能會帶來類似Log4Shell的災難，事隔不到一個星期，數家資安業者已觀察到積極探測漏洞的攻擊行動。</p> <p>VMware於今年4月修補身分管理系統Workspace ONE Access的重大漏洞，最近2個多月以來，已經用於攻擊行動，像是部署勒索軟體、挖礦程式、殭屍網路病毒。</p> <p>網路釣魚攻擊日益囂張，現在有人把壞腦筋動到沙烏地阿拉伯民眾！根據資安廠商的調查，出現利用假造的政府入口網站進行網釣攻擊的活動，對方不只竊取受害者的個資，也將洗劫他們的銀行帳戶。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://thehackernews.com/2022/10/hackers-started-exploiting-critical.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache Commons Text重大漏洞Text4Shell傳出相關攻擊行動</span></strong></a></h3> <p>Apache修補Commons Text程式庫重大漏洞CVE-2022-42889（亦稱Text4Shell），並於10月13日發布資安通告，很快就有駭客嘗試尋找可被攻擊的目標。自10月18日開始，資安業者Wordfence、Zscaler、Checkmarx提出警告，已有攻擊者開始在網路上進行掃描，研究人員認為，雖然此程式庫漏洞不像Log4Shell那麼容易被利用，但要是攻擊者成功運用，將有可能引發嚴重的RCE攻擊事故。</p> <h3><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware身分驗證管理系統的重大漏洞遭到利用，被用於部署多種惡意程式</span></strong></a></h3> <p>資安業者Fortinet提出警告，VMware身分驗證管理系統Workspace ONE Access（原Identity Manager）近期遭到鎖定，駭客針對今年4月修補的漏洞CVE-2022-22954（CVSS風險評分為9.8分），約自8月開始部署殭屍網路病毒Mirai的變種、勒索軟體RAR1Ransom，以及挖礦程式GuardMiner。</p> <p>研究人員指出，其中駭客散布RAR1Ransom與GuardMiner的攻擊行動同時針對Windows與Linux電腦而來，該工具套件會在Windows電腦上部署勒索軟體RAR1Ransom，並會在Linux主機上植入挖礦軟體GuardMiner。</p> <h3><a href="https://cloudsek.com/threatintelligence/phishing-campaign-targeting-the-saudi-government-service-portal-absher/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯政府入口網站遭仿冒，對當地民眾進行網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-21203-1.png" style="width: 300px; float: right;" /></a>資安業者CloudSEK發現，有人假冒沙烏地阿拉伯政府的名義，建置假的當地政府入口網站Absher，藉由網釣簡訊要求民眾更新帳號資訊，一旦受害者依照指示操作，攻擊者就會要求他們存取假的Absher登入網站，並要求輸入手機收到的4位數OTP驗證碼，通過上述身分驗證後，就會要求受害者填寫註冊表單，隨後又會要綁定銀行帳戶，不僅竊取這些民眾的個資，還可能會將他們的銀行帳戶存款洗劫一空。</p> <h3><a href="https://www.securityweek.com/irans-nuclear-agency-says-email-server-hacked"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗原子能源組織郵件伺服器傳出遭駭，疑與當地女權抗議活動有關</span></strong></a></h3> <p>9月下旬伊朗婦女瑪莎；阿米尼（Mahsa Amini）死亡，引發當地民眾抗議，如今也出現相關的網路攻擊事故。根據法新社（AFP）的報導，名為Black Reward的駭客組織，於10月21日要脅公布德黑蘭核能計畫機密資料，要求政府釋放所有的政治犯，以及在示威中遭逮捕的人士，並於隔日公開部分文件。伊朗原子能源組織（AEOI）於10月23日證實，他們位於波斯灣沿岸的布什更爾核電廠郵件伺服器，遭到境外流量攻擊，外洩的電子郵件內容，包含了與其他組織的技術交流。</p> <h3><a href="https://www.cisa.gov/uscert/ncas/alerts/aa22-294a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Daixin鎖定美國醫療機構下手</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Daixin_ransom_note.png" style="width: 300px; float: right;" /></a>美國網路安全暨基礎設施安全局（CISA）、美國衛生及公共服務部（HHS）、美國聯邦調查局（FBI）聯手發布資安通告，名為Daixin的勒索軟體組織自今年6月開始，針對當地醫療機構的多種系統發動攻擊，並竊取病人健康資訊（PHI）及個人資料（PII）。駭客透過VPN伺服器進行入侵，一旦進入受害組織內部環境，就會利用遠端桌面連線（RDP）或SSH連線進行橫向移動，進而設法提升權限後再加密檔案。</p> <h3><a href="https://www.straitstimes.com/singapore/data-of-alleged-26m-carousell-accounts-being-sold-on-dark-web-hacking-forums"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">旋轉拍賣傳出資料外洩，260萬名用戶資料流入暗網</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/carou20leak20censor_7.png" style="width: 300px; float: right;" /></a>根據新加坡海峽時報（The Straits Times）報導，網路市集旋轉拍賣（Carousell）於10月21日證實，他們在本月14日察覺資料外洩的跡象，估計有195萬名用戶受到影響。事隔數日，該報引述星期日泰晤士報的調查指出，駭客在暗網上以1千美元的價格，兜售該市集260萬名用戶個資，這筆資料的檔案大小約2 GB，於10月12日上傳，內容包含受害者的ID、姓名、電子郵件信箱、手機號碼、國籍等資料。駭客聲稱相關資料是透過某個漏洞取得，目前已賣給5個買家。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.helpnetsecurity.com/2022/10/21/cve-2022-20822-cve-2022-20959/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科公告身分驗證系統的2個漏洞，但僅修補1個，另1個預計1個月後修補，恐造成防護空窗期</span></strong></a></h3> <p>思科針對旗下的身分驗證系統Identity Services Engine於10月19日發布2則資安通告，揭露該系統存在的漏洞CVE-2022-20822及CVE-2022-20959，前者是路徑遍歷漏洞，攻擊者可藉由發送特定的HTTP請求來利用漏洞，進而讀取或刪除系統上需要高權限才能存取的檔案；後者則是跨網站指令碼（XSS）漏洞，攻擊者可引誘管理員點擊惡意連結來達成目的，並存取敏感資訊。</p> <p>思科已針對CVE-2022-20959發布修補程式，但另一個漏洞的修補程式則預計要下個月才開始提供。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://borncity.com/win/2022/10/21/metro-gruppe-doch-opfer-eines-cyberangriffs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">餐飲批發業者Metro遭到網路攻擊，IT系統服務中斷</span></span></strong></a></p> <p><strong><span style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/blackbyte-exbyte-ransomware"><span style="color: rgb(0, 0, 0);">勒索軟體BlackByte透過洩密工具Exbyte外流受害組織資料</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/typosquat-campaign-mimics-27-brands-to-push-windows-android-malware/"><span style="color: rgb(0, 0, 0);">惡意軟體Ermac假冒27個品牌，引誘Windows、Android使用者下載</span></a></span></strong></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153764">【2022年10月21日】 WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> </div></div></div>
2022/10/24 18:30作者周峻佑https://www.ithome.com.tw/news/153798
Google開源可供企業評估軟體安全性的工具GUAC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對軟體供應鏈攻擊，Google開源<a href="https://security.googleblog.com/2022/10/announcing-guac-great-pairing-with-slsa.html">GUAC（Graph for Understanding Artifact Composition）</a>專案，這是Google與Kusari、普渡大學和花旗共同合作創建的免費工具，其匯集許多不同軟體安全後設資料來源，並且將其匯總成圖資料庫，正規化實體身分以及映射之間的標準關係，使用者透過查詢該圖，便可獲得軟體SBOM、出處、專案計分卡和漏洞等資訊。</p> <p>GUAC主要由4部分組成，分別是收集、擷取、定序（Collation）與查詢。GUAC可以連接自各種軟體安全後設資料來源，收集包括公開資料OSV，或是來自企業內部的儲存庫，或是來自資料供應商的第三方資料，並根據構件、專案、資源、漏洞、儲存庫和開發人員資料，擷取相關的資料。</p> <p>從不同上游資料來源擷取後設資料後，GUAC會藉由實體辨識碼、走訪相依項目和隱性實體關係，將其組合整理成一個連貫的圖，用戶便可以查詢圖內實體和實體相關的後設資料，像是當用戶查詢特定構件，GUAC能回傳SBOM、出處、建構鏈、專案計分卡、漏洞和最近的生命周期事件等資訊。</p> <p>組織中的CISO或是法遵人員，能夠依靠GUAC推論組織的風險，Google提到，已經有越來越多上游供應鏈提供豐富的證明和後設資料，以支援更高層次的推論和分析，但是軟體消費者、營運商，比較難將這些資料收集成軟體資產統一檢視圖。</p> <p>要掌握漏洞的爆炸半徑等複雜問題，Google表示，使用者需要追蹤元件和產品組合間，所有內容之間的關係，這可能橫跨數百個資料來源和數千個後設資料檔案，在開源生態系統中，文件的資料更可能高達數百萬個。</p> <p>而GUAC大規模聚合軟體安全後設資料，並且經過整合後賦予其意義，供使用者查詢操作，主動發現軟體供應鏈中最脆弱的環節，或是存在風險的相依關係，在部署應用程式之前，也能夠驗證其是否符合組織安全政策，當有新的漏洞發布時，組織也能在第一時間查詢圖，找出受漏洞影響的構件。</p> <p>GUAC目前在GitHub上開源，該專案仍處於早期階段，其所提供的概念性驗證，可供使用者擷取SLSA、SBOM和記分卡文件，並支援軟體後設資料簡單查詢和探索。接下來GUAC的開發工作，將著重於擴展當前功能，並且支援新的檔案類型。</p> </div></div></div>
2022/10/24 15:48作者李建興https://www.ithome.com.tw/news/153793
GCP新資料戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1100-feng_mian_p1-open-dou_zi_-960x420_kao_bei_.jpg?itok=O7roZXmu" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GCP第三度戰略調整，這次瞄準數位轉型核心，也就是資料。以組織全世界資訊起家的Google，要重新靠資料技術力對決，搶攻企業多雲跨雲需求，關鍵就是大數據分析王者BigQuery</p> </div></div></div>
2022/10/24 13:10作者王宏仁https://www.ithome.com.tw/article/153755
McAfee揭露安裝數達2,000萬的16款廣告詐騙程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/" target="_blank">資安業者McAfee近日揭露</a>，有一新的Clicker廣告詐騙程式藉由16款行動程式成功潛入Google Play，而這些程式的總安裝數量估計達到2,000萬次。</p> <p>Clicker惡意程式是以非法的廣告收入為目標，通常是偽裝成使用者的合法廣告點擊行為，而可能破壞行動廣告的生態體系。被嵌入新版Clicker的程式多是熱門類別，如手電筒程式、二維條碼讀取程式、相機程式、單位轉換工具，或是任務管理員等。</p> <p class="rtecenter"><img alt="" src="https://www.mcafee.com/blogs/wp-content/uploads/2022/10/dx2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／McAfee</span></span></p> <p>在使用者安裝其中一款程式並開啟之後，它就會執行HTTP請求，以下載一個遠端配置，繼之註冊Firebase雲端傳訊（Firebase Cloud Messaging，FCM）接收程式，以接收推播訊息，看起來像是設計精良的Android程式，但研究人員卻發現，駭客只是利用遠端配置與FCM技術來掩飾它們的廣告詐騙功能。</p> <p>當程式接收到FCM訊息且符合特定條件之際，Clicker即會造訪該訊息所遞送的網站，並於背景模仿使用者行為以瀏覽這些網站，將在使用者不知情的狀況下使用大量頻寬或耗費電力，同時替駭客創造廣告收入。</p> <p>Google已在McAfee的知會下將它們全數自Google Play上移除。</p> </div></div></div>
2022/10/24 12:10作者陳曉莉https://www.ithome.com.tw/news/153791
研究人員釋出可將黑白照變彩色的AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典AI研究人員公布一個免費網站<a href="https://palette.fm/" target="_blank">Palette.fm</a>能將上傳的黑白照片，利用機器學習技術變成彩色。</p> <p>這個網站是瑞典研究人員<a href="https://www.emilwallner.com/" target="_blank">Emil Wallner</a>研究5年的成果，他對<a href="https://arstechnica.com/information-technology/2022/10/colorize-black-and-white-photos-with-palette-fm-an-ai-powered-online-tool/" target="_blank">Ars Technica</a>說，他這個網站利用深度學習模型分類圖片，以引導它後續對照片或圖片的上色過程。他透露其AI模型利用圖片和產生的文字，以產生相應的色彩。</p> <p>以其網站上的一幅清宮貴妃圖為例，AI模型會先產出文字，包括王位、女子、蕾絲、模特兒等。若使用者選擇基礎色彩風格，AI模型則為生成「模特兒、王位、女子和座位；色彩小幅對比」等文字，以及彩色的清宮圖。網站另外也提供了20多種風格可選擇。</p> <p>使用者必須將其圖片上傳，研究人員強調不會儲存用戶的相片。</p> <p>愈來愈多人利用AI為古早圖片及影片、甚至雕像賦予現代生命，例如<a href="https://www.ithome.com.tw/news/135678" target="_blank">一名攝影師利用AI技術</a>將一部125年前電影剛誕生時期的黑白影片畫質提升成4K畫質。另外<a href="https://www.techbang.com/posts/80745-how-can-designers-use-ai-and-photoshop-to-turn-statues-of-ancient-roman-emperors-into-lifelike-faces" target="_blank">有人則以AI將古代英雄或帝王的雕像轉成活生生人臉</a>。</p> </div></div></div>
2022/10/24 12:29作者林妍溱https://www.ithome.com.tw/news/153792
【資安週報】2022年10月17日到10月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週資安新聞中，以Apache軟體基金會（ASF）呼籲用戶盡速更新，以修補CVE-2022-42889漏洞的消息最受注目，因為有研究人員指出這樣的漏洞，有可能會引發類似Log4Shell的效應。</p> <p>在威脅趨勢上，勒索軟體危害是最大焦點，本周新聞中就有多項消息，例如，烏克蘭、波蘭物流業者，澳洲保險業，印度藥廠，以及日本兩家科技業者都是新的受害者，甚至德國報社集團旗下多間媒體的紙本電子作業都停擺；另外，在勒索軟體攻擊態勢上，有研究人員揭露，近期勒索軟體Venus鎖定遠端桌面連線服務的行動，以及勒索軟體Magniber利用夾帶惡意JavaScript指令檔方式以及迂迴手段發動攻擊的行動。</p> <p>不過也有好消息，勒索軟體DeadBolt被國際執法單位與資安業者智取，成功拿回150個解密金鑰，9成NAS設備受害者有機會解密。</p> <p>還有值得關注的一些威脅，像是印度Tata Power發電廠遭網路攻擊，關鍵基礎設施安全防護受注目；哥倫比亞警方遭駭導致跨國合作緝毒曝光，甚至危及澳洲臥底警探身分；通常為國家級駭客使用的UEFI惡意程式，近期有駭客正在兜售一款BlackLotus；竊密軟體Ducktail透過記憶體內執行PHP指令碼，竊取瀏覽器的帳密資料與受害者臉書帳號。</p> <p>國內方面，行政院修正禁用中國資通產品條例受關注，擴大進用範圍並要求例外使用需經2為資安長同意。</p> <p> </p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153666"><span style="color: rgb(0, 0, 0);">【10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</span></a></strong></h3> <p>又是因政府機關保護資料不力，而使得跨國合作的其他單位也跟著受害！根據澳洲媒體的報導，該國警方查緝哥倫比亞跨國走私毒品的相關資料，因哥倫比亞政府遭駭而流入駭客論壇。類似的事件已非首例──今年9月，<a href="https://www.ithome.com.tw/news/152998#emgfa">葡萄牙武裝部隊參謀總部（EMGFA）遭到網路攻擊</a>，導致與北大西洋公約組織（NATO）有關的文件外洩。</p> <p>惡名昭彰的勒索軟體DeadBolt，自今年初不斷針對NAS設備發動攻擊，在執法單位與資安業者通力合作之下，傳出了好消息。荷蘭警方成功向駭客取得逾150個解密金鑰，有望解鎖9成受害的NAS設備。</p> <p>駭客利用惡意指令檔對受害電腦下手，且藉由迂迴的手段發動攻擊的情況，也相當值得留意。近期的勒索軟體Magniber、竊密軟體Ducktail攻擊行動，分別透過經過混淆處理的JavaScript與PHP指令碼，來攻擊一般使用者。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153685"><span style="color: rgb(0, 0, 0);">【10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</span></a></strong></h3> <p>在本日的資安新聞裡，勒索軟體攻擊占大多數，且橫跨製造業、生技業者、媒體、金融業。其中，涉足半導體、汽車、醫療產業的日本科技業者大宮化成遭勒索軟體LockBit攻擊的事故相當值得留意，因為這起事故很可能波及相關產業的上下游供應鏈。</p> <p>能埋藏在電腦UEFI韌體的惡意程式，過往有數起攻擊事故傳出，攻擊者身分往往是國家級駭客。但最近有人開始在駭客論壇兜售此種攻擊軟體而引起研究人員高度關注。研究人員認為，一旦駭客買到這種惡意軟體，很有可能用於自帶驅動程式（BYOVD）攻擊。</p> <p>Fortinet於一個禮拜前優先向部分用戶以電子郵件通報重大漏洞的做法惹議，該公司也對此提出說明，並提供入侵指標供企業檢查是否遇害。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153707"><span style="color: rgb(0, 0, 0);">【10月19日】Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</span></a></strong></h3> <p>Apache針對旗下的程式庫Commons Text，在9月底修補重大漏洞CVE-2022-42889，並於近日提出警告。這個漏洞引起不少研究人員高度關注，但原因為何？有資安專家指出，由於有許多Java專案都採用這個程式庫，嚴重程度很可能直逼Log4Shell。</p> <p>滲透測試工具Cobalt Strike近日發布更新，原因是修補一項9月下旬修補不全引發的RCE漏洞CVE-2022-42948。軟體開發商表示，這項漏洞涉及該工具所使用的框架。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153732"><span style="color: rgb(0, 0, 0);">【10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</span></a></strong></h3> <p>香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。</p> <p>駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。</p> <p>微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。</p> <h3><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/153764"><span style="color: rgb(0, 0, 0);">【10月21日】WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></a></strong></h3> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> </div></div></div>
2022/10/24 10:01作者羅正漢https://www.ithome.com.tw/news/153772
VMware Workspace ONE Access重大漏洞遭濫用植入多種惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/threat-research/multiple-malware-campaigns-target-vmware-vulnerability" target="_blank">安全研究人員警告</a>，VMware身分管理方案Workspace ONE Access一項半年前發現並修補的重大漏洞已經遭到濫用，被植入多項惡意程式。</p> <p>VMware Workspace One Access原名Identity Manager，<a href="https://www.ithome.com.tw/news/150450" target="_blank">今年4月VMware公布並修補</a>了編號CVE-2022-22954的漏洞，可被攻擊者透過傳送帶有惡意指令的訊息，發動指令注入攻擊，為一項風險值9.8的重大漏洞。</p> <p>從4月後，一直有針對這個平臺的攻擊行動。不過這些行動主要目的是刺探受害者敏感資料，像是密碼和主機檔案。但在8月間，Fortinet研究人員發現更危險的活動，他們發現有人分別部署Mirai變種、勒索軟體以及採礦軟體攻擊VMware平臺。其中Mirai變種鎖定Linux-based網路裝置。由於Mirai主要手段是阻斷服務及暴力破解，研究人員也解碼出攻擊者使用的密碼，其中除了1234、guest、root、administrator、system等常見預設帳號外，也可見到hikvision、QuestModem、Vstarcam（威視達康）、3Com等受歡迎的網路設備品牌的預設帳號。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1024-CVE-2022-22954-mirai.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Fortinet</span></span></p> <p>研究人員另外還發現一波分別針對Windows及Linux裝置發動的攻擊，其中在Windows運用PowerShell行程下載勒索門羅幣（Monero）的RAR1Ransom勒索軟體，而針對Linux裝置，則利用Python函式庫curl、wget及urlopen等指令下載GuardMiner木馬程式，以挖取門羅幣。</p> <p>研究人員呼籲企業用戶儘速安裝更新版的VMware軟體，並注意網路環境中任何可疑的行動。</p> </div></div></div>
2022/10/24 11:06作者林妍溱https://www.ithome.com.tw/news/153782
IBM公布使用Z16相同核心的AI SoC晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/ibm-artificial-intelligence-unit-aiu" target="_blank">IBM上周宣布</a>一款用於AI模型訓練的單系統（SoC）晶片，名為AIU（Artificial Intelligence Unit）。</p> <p>IBM研究AI硬體中心研究人員說，AI大約在10年剛開始發展時，研究人員的任務很單純，只是訓練能識別動物的模型，這只要數百萬張照片，以及運算硬體跑上一長段時間就能訓練出一個深度學習模型。但今天深度學習模型的工作已經從辨識貓狗變成翻譯語言、從醫療影像偵測出腫瘤，以及其他高深的任務。</p> <p>除了任務變得困難，研究人員也面臨運算資源不足的挑戰。現在執行AI建模的伺服器都搬上了雲端或邊緣裝置，像是手機及物聯網感測器等速度不那麼快的硬體。這也促使IBM開發AI專用晶片。</p> <p>IBM的AI硬體中心2019年成立，預計每年要將AI硬體效率提升2.5倍。計畫到2029年，要訓練出比三年前速度快1,000倍的AI模型。AIU則是該中心公布第一款AI專用晶片。</p> <p>AIU是IBM第一款作為深度學習專用、可程式化的ASIC（application-specific integrated circuit，特定應用積體電路）。AIU的核心其實和<a href="https://www.ithome.com.tw/news/150272" target="_blank">IBM最新大型主機z16 Telum晶片</a>AI加速技術類似。AIU具備32運算核心，以及230億顆電晶體，幾乎等同Telum晶片（具225億顆電晶體），更厲害的是Telum的電晶體為7奈米大小，AIU則用上了更進階、小至5奈米的電晶體。</p> <p>IBM強調其AI專用晶片有兩大特點，一是使用IBM近似運算（approximate computing）的技術，將32位元浮點運算降到1位元，透過降低精度達到提升資料運算速度。其AIU在浮點計算及整數表示（integer representation），使AI模型執行更快、不耗記憶體。其次，這款AI晶片版圖（layout）是為簡化AI工作流程而設計，且可直接將資料由一個運算引擎送到另一個，節省大量耗能。</p> <p>另一方面，AIU也設計成像顯示卡一樣容易使用，可輕易從PCIe插槽插入任何電腦或伺服器。</p> <p>IBM未說明AIU推出時程，只表示希望很快能公布。</p> </div></div></div>
2022/10/24 11:43作者林妍溱https://www.ithome.com.tw/news/153786
Jony Ive繼任者Evans Hankey也要離開蘋果了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2022-10-21/apple-s-industrial-design-chief-evans-hankey-is-leaving-three-years-after-ive#xj4y7vzkg" target="_blank">《彭博社》（Bloomberg）上周引述消息來源報導</a>，在2019年接任Jony Ive，成為蘋果硬體設計負責人的Evans Hankey即將離職。而蘋果也對外證實了此事。</p> <p>蘋果最有名的硬體設計師為Jony Ive，他在1992年就加入蘋果，一直到2019年才離開蘋果，當時的頭銜是蘋果的首席設計師。隨後Ive創立了新的設計公司LoveFrom，並繼續替蘋果提供設計服務，雙方的合作於今年7月終止。</p> <p>至於Hankey原本為Ive麾下人馬，在Ive離職之後成為蘋果的硬體設計負責人，為蘋果的工業設計副總裁。根據報導，蘋果已於內部宣布此事，而Hankey則告知同事，她暫時還會待在蘋果半年左右。目前蘋果尚未找到Hankey的繼任人選。</p> <p>另一方面，蘋果則在聲明中表示，該公司的設計團隊匯集了來自全球的專家與創意人士，而且此一資深的設計團隊擁有許多具備數十年經驗的強大領導者。言外之意是就算沒有Hankey，也能繼續前進。</p> </div></div></div>
2022/10/24 09:24作者陳曉莉https://www.ithome.com.tw/news/153769
Telegram要在TON區塊鏈上拍賣使用者名稱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://t.me/durov/194" target="_blank">Telegram創辦人Pavel Durov近日宣布</a>，準備在TON區塊鏈上拍賣Telegram的使用者名稱。</p> <p>Telegram在2018年以私募方式，向全球171名投資者募集了17億美元的資金，以用來開發TON區塊鏈，並發行Gram加密貨幣，但美國證券交易委員會（SEC）在2019年控告Telegram沒註冊就發行Gram，違反《證券法》（Securities Act），隔年法院便發布臨時禁令，禁止Telegram交付Gram。這使得Telegram在2020年5月<a href="https://www.ithome.com.tw/news/137590" target="_blank">宣布放棄TON區塊鏈專案</a>，並退款給投資人。</p> <p>然而，在Telegram放棄TON之後，有一群名為NewTON的開源開發者扛起了繼續打造該區塊鏈的任務，也遵循TON的最初設計，<a href="https://ton.org/en" target="_blank">該團隊在2021年5月更名為TON Foundation</a>，成為一個專門開發與支持TON區塊鏈的非營利社群。TON區塊鏈所使用的加密貨幣為Toncoin，目前的價格約為1.38美元。</p> <p>今年8月，TON社群舉辦了TON網域名稱拍賣大會，<a href="https://t.me/toncoin/522" target="_blank">總計售出2,184個網域名稱</a>，創下240萬個Toncoin的交易規模。當中價值最高的是wallet.ton，得標價格是215,250個Toncoin，第二與第三名則依序是200,000個Toncoin的casino.ton ，以及157,500個Toncoin的bank.ton。</p> <p>Durov則打算如法炮製，在TON上拍賣Telegram的使用者名稱，他相信全球的7億使用者應該會對保留使用者、群組與頻道名稱感興趣，除了可出售數百萬個t.me位址之外，所有4個字母的用戶名稱都可出售，像是@bank、@club或@game等。</p> <p>Durov表示，這將帶來一個新的平臺，讓使用者名稱的所有權人得以交易這些資產，其所有權受到區塊鏈的保障，類似非同質化代幣（NFT）的智慧合約。此外，Telegram生態體系的其它元素，涵蓋頻道、貼紙及表情符號等，未來都可能出現在該市集。</p> <p>為了迎接使用者名稱的拍賣大會，<a href="https://t.me/s/username" target="_blank">Telegram祭出了相關智慧合約的抓漏獎勵計畫</a>，鼓勵研究人員找出智慧合約中的安全漏洞，獎金自200美元~5萬美元不等，提報期限為10月25日。</p> </div></div></div>
2022/10/24 09:30作者陳曉莉https://www.ithome.com.tw/news/153770
Gmail垃圾郵件過濾大小眼，美共和黨控告Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://variety.com/2022/digital/news/republicans-sue-google-spam-filter-1235411855/" target="_blank">The Variety</a>》、《<a href="https://www.reuters.com/world/us/republican-national-committee-sues-google-over-email-spam-filters-2022-10-22/" target="_blank">路透社</a>》等媒體報導，距美國期中選舉不到一個月，美國共和黨全國委員會（Republican National Committee，RNC）上周控告Google的Gmail垃圾郵件過濾機制不公平，害它大批募款信件被當垃圾郵件封鎖，致其損失數百萬美元捐款。</p> <p>共和黨向加州聯邦法院提出的文件聲稱，Google的Gmail將該委員會向潛在捐款及支持者寄發的數百萬封電子郵件，被大量掃進用戶的Gmail垃圾信件匣中，害它募不到款。共和黨委員會相信它至少已損失了7.5萬美元捐款，長期下來可能高達數百萬美元。</p> <p>共和黨指出，該黨發送的信件被當垃圾郵件封鎖的量多過民主黨，這個不公平的對待已經持續10個月，並且幾經溝通與調整均不見改善。共和黨人相信Gmail的垃圾郵件掃瞄是基於共和黨的政治立場和觀點，要求法院對Gmail垃圾郵件過濾發出禁制令，並且向Google提出金額不詳的金錢賠償。</p> <p>路透社引述Google官方否認這項指控。Google表示，一如該公司多次重申，Gmail的郵件篩選並不只依據政治立場，也反映使用者的行動。此外Google幾個月前也對選舉行銷人員提供訓練和指引，這場訓練主要在教他們怎麼做不會被當垃圾郵件封鎖，也得到聯邦選舉委員會的核准。<a href="https://www.theverge.com/2022/8/11/23301554/google-gmail-spam-filters-republicans-gop-trump" target="_blank">Google方面指出</a>共和黨全國委員會並未參加這些訓練，甚至連申請都沒有。</p> <p>但Google表示會持續修正，以便提高電子郵件的到達率，同時減少垃圾郵件。</p> </div></div></div>
2022/10/24 09:41作者林妍溱https://www.ithome.com.tw/news/153771
希捷擁抱IT現代化加速轉型，靠資料湖平臺克服PB級數據挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進希捷（Seagate）新加坡的智慧工廠，光是一層樓就有數十條生產線，從入口處門窗往內看，一片片玻璃碟片（recording media）串成的碟盤，正準備裝入盒中，送進裡面進行加工，製程一站接一站，一個製程少說5～6道加工步驟，每個步驟都不能容忍半點誤差，直到封裝完成準備出貨。品管人員只需掃描碟盒包裝上的條碼，生產過程的所有記錄，就能立刻秀在電腦螢幕上，在哪一臺機臺生產、經過哪些測試，甚至每一種IoT感測器蒐集的數據，都一目了然。</p> <p>過去5年來，Seagate在這間工廠內運用大量IoT、AI技術，整合更精準智能控制、智慧化量測來優化生產品質與提升作業效率。這一片片記錄碟片是生產硬碟很重要的關鍵元件。這些生產流程、關鍵製程，正一步步改變，讓工廠轉向不只自動化，更要智慧化。不只這座工廠，Seagate目前全球工廠中都已導入智慧製造應用。一手主導這家40年硬碟製造大廠轉型的關鍵人物，就是Seagate資訊長Ravi Naik。</p> <p>這家跨國老牌硬碟大廠，全球擁有7座生產工廠，每年要生產上億顆硬碟，但不像工廠製程技術不斷翻新，走向先進製程，這家公司過去採用的IT技術並未完全跟上，甚至用的還是十多年前的老舊ERP系統，直到5年前，因為數位轉型開始出現轉變，不只擁抱現代化IT，更為工廠轉型而大舉上雲，還要借重DataOps與MLOps維運做法，加速邁向工業4.0智慧工廠。</p> <p><span style="font-size:28px;"><strong>老牌硬碟廠五年前開始轉型，從IT現代化改造做起</strong></span></p> <p>但是，硬碟製造不像是一般的製造業，Seagate的生產模式高度集中，不論是硬碟中的資料儲存碟片、讀寫磁頭、馬達、主控晶片等，都是自己一手包辦，由旗下全球7座工廠生產。由於不同元件生產所需製造技術與流程差異極大，甚至單一元件生產，至少需要數百到上千道製程與檢測程序，來確保生產品質，使得硬碟生產更加複雜。</p> <p>尤其，Seagate生產的產品相當廣泛，橫跨不同尺寸的儲存產品，從消費性產品、企業級產品，到儲存系統等都有，儲存容量更從早期數GB、上百GB，發展到現在數十TB，對於生產製造的挑戰也越大。</p> <p>正因為如此，Seagate在2017年決定展開數位轉型，找來了前SanDisk資訊長Ravi Naik領軍，這位曾幫助SanDisk成功轉型的IT大將，也被賦予重任，要帶領IT團隊幫助這家40年硬碟廠展開轉型。</p> <p>Ravi Naik上任的第一件事，就是將現有資料中心、技術架構、軟體堆疊整併，以便將IT現代化，支援新的製造需求；同時，對於IT組織、人員及其技能進行重整。他表示，透過這樣的方式，因此省下上億美元支出。</p> <p><span style="font-size:28px;"><strong>因應業務快速成長，決定汰換沿用多年的老舊ERP系統</strong></span></p> <p>他和資訊團隊前後花了1年半來整併IT與簡化團隊，接著展開了關鍵系統的汰換，將ERP系統全面翻新，導入SAP S/4HANA ERP來取代舊有Oracle ERP，這也是Seagate歷年來最重要的一次ERP系統全面大改造。</p> <p>由於Seagate近幾年積極拓展應用市場，不只產品種類更加多元，營運模式也從傳統硬碟產品銷售，轉而推出雲端硬碟儲存與分析服務，甚至未來還要轉型成為智慧製造服務供應商，開始提供跨產業解決方案，但Seagate這套用了超過25年的老舊ERP系統，早已面臨系統瓶頸，無法支撐公司未來營運成長，甚至阻礙Seagate朝向智慧製造轉型。</p> <p>所以，Ravi Naik兩年前開始評估汰換舊版ERP，改導入新一代ERP，大幅簡化業務流程，也要幫助這家公司加速推動新業務。經過2年多開發與建置，Ravi Naik表示，新系統預計明年中上線。</p> <p>為了推動IT現代化，Seagate這些年不只展開了關鍵系統的汰換、瘦身，甚至是架構轉型，新一代IT基礎架構開始擁抱容器、混合多雲架構，來打造更靈活、彈性的基礎架構，AP應用也導入微服務，讓應用程式跟著現代化。</p> <p><span style="font-size:28px;"><strong>結合IoT、AI應用打造智慧製造產線，提高生產效率和品質</strong></span></p> <p>這些年，Ravi Naik一邊推動IT現代化的改造，來加速內部IT轉型，另一方面，也從工廠改造著手，結合IoT、AI應用來打造智慧製造產線，希望能夠整合更精準智能控制、智慧化量測來優化生產品質，以及提升作業效率。</p> <p>2020年時，Seagate展開工廠轉型，在全球工廠中導入IoT系統、IoT設備與感測器，單是一間工廠裡就部署了超過4千個IoT感測器，來取得生產過程中所有關鍵數據，更配置上萬臺聯網機器人分布在全球7間工廠中，能即時上傳生產參數。為了分析這些數據，Seagate建置Hadoop大數據分析平臺，開始透過數據分析找出提高生產效率更好的做法。不僅如此，這些數據後來也成為工廠發展AI應用、優化ML模型的關鍵。</p> <p>2019年在工廠中開始導入AI，從預防性機臺設備維護、故障分析，到各製程的瑕疵檢測等，都開始結合AI電腦視覺、機器學習做應用，像是提高不良品的檢出率，也透過AI優化品管作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-Seagate%20-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.png" style="width: 425px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span><br /> <strong>Seagate資訊長Ravi Naik表示，為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。</strong></span></p> <p><strong style="font-size: 28px;">為了加速工廠轉型，生產機臺改用VM全面實現工廠虛擬化</strong></p> <p>不只導入IoT 、AI技術打造智慧化產線，就連工廠內的生產機台現在改成虛擬化的方式運作，全面實現虛擬化工廠。他們使用伺服器虛擬化技術，將每一臺機臺設備虛擬化後，全部改以VM方式來執行原有的生產任務，甚至一些應用轉為容器化微服務應用。如今這家公司全球工廠皆達到99%虛擬化。</p> <p>Ravi Naik表示，這麼做的目的，就是要確保工廠能夠全天運作，以維持產線不中斷。例如其中一臺機臺設備上VM故障，系統就能自動將原本正在執行的任務，轉移到其他不受影響的VM上來接續執行。他強調：「為了發展智慧工廠，不只進行IT現代化改造，OT工廠導入虛擬化和微服務應用，更是加速工廠轉型的關鍵。」</p> <p><span style="font-size:28px;"><strong>打造超大15 PB級資料湖分析平臺</strong></span></p> <p>但是發展智慧製造短短不到幾年，Seagate的全球工廠資料數量呈現爆炸式成長，平均一天就要新增50 TB的資料，用於數據分析及發展各種AI、深度學習應用，這也成為了Seagate IT所要面對一大挑戰。</p> <p>Seagate從2017年啟動數位轉型計畫後，馬上就遇到資料爆量的考驗。單座工廠一年就累積1.8 PB的資料，到今年數量更翻倍成長，這些資料有機臺感測器數據、訓練資料、推論資料、圖片與影像，以及生產過程數據等。</p> <p>為了克服資料爆量的難題，資訊團隊2020年開始打造以Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬碟工廠每天製造相關資料，這個資料湖打造的分析平臺，也成了Seagate所有分析資料的主要來源。</p> <p>但是，要存取工廠中的數十TB數據，若是全部透過網路傳送到這個資料湖中，沒辦法很快傳完，所以，他們依據工廠對資料需求的迫切性，來決定哪些資料優先放進資料湖中，例如有立即性分析需求的數據，就會透過高速網路將資料傳送到資料湖平臺中，以便能夠快速拿來分析運用，至於沒有立即需求的數據，就不一定要採用這個方式，而是先存放在本地行動儲存設備中，隔一段時間後，再將資料搬進資料湖中。</p> <p>Ravi Naik表示，目前這套資料湖平臺採用多雲混合雲架構來部署，能根據在平臺上執行不同工作負載，來跑在不同大型公雲上，但是對於需要大量資料的工作負載，例如儲存量超過1PB的，就會放在自家原生雲端環境Lyve Cloud來執行，並結合K8s容器管理。Seagate後來更把這套PB級資料湖分析平臺，轉為變成對外部企業提供的解決方案。</p> <p>Ravi Naik表示：「PB級資料湖平臺的推出，不只是Seagate發展智慧製造多年累積的重要成果，更是這家公司未來要從傳統儲存硬體製造商，轉型成為智慧製造服務供應商所跨出的關鍵一步。」</p> <p><span style="font-size:28px;"><strong>為提高資料運用效率，開始實踐自動化DataOps維運做法</strong></span></p> <p>不光是建造大型資料湖平臺，隨著工廠資料的數量、種類和速度迅速增長，Seagate的數據管理和維運方式也更加自動化，提高資料運用效率，甚至還引進DataOps 維運做法，來加以實踐。</p> <p>為何DataOps對智慧製造發展如此重要？Ravi Naik解釋，智慧製造雖是由多種技術來推動，當中最重要的環節就是數據，只有掌握數據以後，才有能力發展智慧製造。這些數據來自各種工廠設施，舉凡製造系統、監控攝影機到各種IoT感測器都包含在內，這些數據蒐集起來後，會全部放進一個大型資料湖中，然後從這些數據中建立關聯性，「但是，建立關聯過程非常複雜，所以，DataOps就很重要。」他說。</p> <p>Ravi Naik進一步說明，DataOps是把不同設備元件中的數據整合在一起的過程，然後將這些數據關聯組合起來，並制定出一套標準，讓各種分析工具都能從它身上取得必要數據進行分析，更進一步來說，DataOps其實就是一種數據蒐集、搬移和組織的數據維運能力。</p> <p>像是發展智慧製造過程中，Seagate一開始的做法也是將蒐集到的生產數據拿來分析並從中持續學習，然後藉由數據累積，開始結合DataOps維運做法，讓這些數據能夠容易被使用，甚至能結合進階分析工具做運用，進而逐步實現工廠智慧化。</p> <p>從技術實作角度來看，他表示，實踐DataOps之前，企業必須要具備生產各種關鍵製造數據的手段，才能夠將這些數據蒐集起來做運用，如此一來，才能夠開始做DataOps。</p> <p>Ravi Naik接下來還將透過建模來統一全球工廠流程及工具。由於不同硬碟元件生產需要不同應用與生產技能，以往各廠之間就像是一座高聳又封閉的穀倉（silo），彼此各自獨立，資訊也不互通。但他表示，以後就沒有這個問題，通過跨廠建立共同的流程與工具，以後從全球工廠取得的數據，就能提供各工廠來運用，甚至在供應鏈上，各廠之間也能彼此配合。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>Seagate執行副總暨資訊長 Ravi Naik</strong></p> <p>學歷：印度孟買大學電機學士</p> <p>經歷：歷練多家IT公司管理者和IT主管，從HP、3Com到Mercury Interactive等，2007年加入SanDisk，在他任職10年間，不只擔任IT主管一手推動IT轉型，也全面翻新ERP，2017年開始擔任Seagate資訊長，負責協助這家老牌硬碟廠推動IT現代化轉型，邁向智慧工廠。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;"> 公司檔案 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%20Seagate%20-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／余至浩</span></span></p> <p><strong>Seagate Technology</strong></p> <p>總部：美國加州佛利蒙市</p> <p>網址：<a href="http://www.seagate.com">www.seagate.com</a></p> <p>成立時間：1979年</p> <p>主要業務：硬碟、資料儲存系統的生產製造等</p> <p>員工數：超過40,000人（2022年）</p> <p>年營收：約106.8億美元（2021年）</p> <p>執行長：Dave Mosley</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：Seagate資訊長</p> <p>資訊部門主管姓名：Ravi Naik</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2017年：啟動數位轉型計畫，開始整併現有資料中心、技術架構、軟體堆疊與簡化團隊等，來發展現代化IT</p> <p>2018年：導入混合多雲架構，開始將本地端應用搬上公有雲</p> <p>2019年：FIS工廠資訊系統推出上線，從舊有設備中將資料轉移至硬盤記錄碟生產廠中的FIS</p> <p>2020年：規畫導入SAP S/4HANA ERP取代舊系統，大幅簡化業務流程、打造Hadoop為基礎的15 PB資料湖分析平臺，用於儲存與處理硬盤記錄碟生產廠製造的相關數據、用於硬盤記錄碟生產廠的MIS製造資訊系統推出上線、展開工廠轉型</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-seagate-tu_1-she_ying_-yu_zhi_hao_.jpg" width="960" height="420" alt="" title="Seagate執行副總暨資訊長 Ravi Naik 　（攝影／余至浩）" /></div></div></div>
2022/10/24 07:00作者余至浩https://www.ithome.com.tw/people/153749
GCP多雲戰略的下一步，以多雲資料倉儲為核心打造通用資料雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資料是數位轉型的核心，」Google Cloud執行長 Thomas Kurian在2022年度Next大會開場演講的這句話，點出了GCP戰略的新方向，這是GCP的第三次戰略目標大調整。</p> <p><span style="font-size:28px;"><strong>GCP三度戰略大轉向</strong></span></p> <p>2015年Google決定從廣告公司模式，轉型以雲端營收為主的雲端公司。 Google設立雲端部門，在2016年正式跨入企業雲端市場至今，經過了三次戰略大轉向。每一次戰略轉向，都更加聚焦，從廣告消費市場轉向企業級雲端市場，從通吃各式各樣的企業到專攻數位轉型企業，現在第三階段的戰略則是再次縮小標靶，瞄準企業數位轉型的核心，也就是資料。</p> <p>GCP成立最初三年，是第一個階段，Google要以創新技術的優勢，來搶攻企業雲端市場的各種需求。</p> <p>GCP首位主管虛擬化女王Diane Greene在2016年第一次Next大會上公布了3大技術發展戰略：資安、AI和新一代雲端技術，來搶攻企業雲端市場。</p> <p>例如要靠Kubernetes來加速任何企業上雲，或是以TensorFlow 打造人人都能用的機器學習平臺服務等高度創新的產品，想要靠技術吸引所有的企業買單，但這個做法，花了3年，仍舊無法提高GCP在雲端市場的占比。</p> <p>2019年，虛擬化女王退場，改由Google Cloud現任執行長Thomas Kurian接棒，這位曾在資料庫龍頭創下年營收350億美元的關鍵推手，帶領GCP不再只考慮自家技術，而是轉換成顧客視角，來尋找新的產品策略，GCP戰略也進入了新的第二階段，發展戰略轉為瞄準企業的數位轉型歷程。</p> <p>從這一年開始，GCP不再過度強調自身技術的創新，產品策略轉為要提供企業顧客這五大能力，包括了可管理超大規模資料的能力、聰明分析的能力、開發應用程式的能力、AI和ML能力和支援協作模式的改變。瞄準企業多雲需求的Anthos，就在Thomas Kurian宣布下正式推出。</p> <p>瞄準企業數位轉型需求和多雲管理平臺兩大新對策，也順利打開了GCP在大型企業中的口碑和影響力，吸引到不少大型企業顧客的採用。後續每一年，Thomas Kurian的Next開場演講，都必定揭露更多大型企業實例，今年也不例外，甚至甚至在主力產品發布之前，Thomas Kurian一口氣先揭露了不同產業的知名企業採用實例，來強調GCP在企業市場逐漸累積的影響力。</p> <p>從顧客需求的角度出發，GCP也不再只聚焦自家這朵雲，從2019年開始將產品策略轉向多雲混合雲，這是Thomas Kurian當年一上任就提出的大方向。</p> <p>GCP多雲戰略先從基礎架構跨雲展開，當Anthos產品線逐漸成熟之後，也順利延伸到其他公雲和企業本地機房之後，仍然繼續發展，延伸到邊緣、電信等特定應用場景下的混合雲架構，這兩年仍持續更新。</p> <p><span style="font-size:28px;"><strong>2021年揭露資料分析戰略藍圖，全力打造通用的資料雲</strong></span></p> <p>不過，GCP的戰略再度轉向，在2021年展開了第三階段的新戰略，也就是Thomas Kurian提到的數位轉型的核心「資料」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%961-%E8%B3%87%E6%96%99%E6%88%B0%E7%95%A5%E8%97%8D%E5%9C%96(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求，今年Next大會大舉展現多項資料分析的新產品。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>產品重心從基礎架構多雲混合雲，邁向資料跨雲架構</strong></span></p> <p>以組織全世界資訊為願景起家的Google，相當清楚資料真正的價值，也擁有管理超大規模資料的頂尖技術，一直想把這種能力，變成一種產品，</p> <p>但要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」這個Thomas Kurian 最新揭露的Open Data Cloud 新戰略。</p> <p>Google決定全力發展企業雲端市場初期，重心是IT基礎架構和AI，BigQuery雖然持續發展，但不是第一優先，也一直都停留在結構化資料分析平臺的定位。直到2021年，資料雲成了GCP首要新戰略，Google Cloud產品總監Sudhir Hasbe在去年Next大會上就公布了一份Google Data Cloud的資料分析戰略藍圖，要打造一個通用的資料平臺，通吃各種企業需求。</p> <p>在這個資料分析戰略藍圖，涵蓋了資料搜集、資料處理、資料儲存、資料分析、資料活化、資料賦權六大類產品線，最終再整合到一個支援多雲混合雲的單一管理平臺，最終目標就是要打破資料孤島。</p> <p>Google從2021年1月開始全力發展這張藍圖所不足的產品和功能，去年推出了第一個核心展品，可部署到其他公雲的BigQuery Omni。這項產品奠定了Google資料雲的多雲架構基礎之後，將BigQuery的體驗，帶到了其他公雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/p2%E5%9C%962-BigQuery%E7%82%BA%E6%A0%B8%E5%BF%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90GCP.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">GCP要以BigQuery為核心，來管理和整合企業分散在不同公有雲上的資料，去年先推出BigQuery Omni，將BigQuery的體驗，帶到了其他公雲。</span></strong><span style="color: rgb(105, 105, 105);">圖片來源／GCP</span></p> <p>今年，Google進一步開始大力升級BigQuery，第一步就是推出十年來最大升級，支援非結構化資料。BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用各種AI產品。</p> <p>不只如此，GCP也開始強化BigQuery與GCP資料產品線和AI產品線整合，例如可以整合Vertex AI，開始將MLOps流程帶到BigQuery。BigQuery更積極強化對各種商用資料庫或其他公雲資料平臺的整合，來擴大其影響力。</p> <p>「BigQuery正是Data Cloud的核心。」Brian Welcker強調：「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」</p> <p>GCP也正在打造一套分散式資料治理通用平臺Dataplex，去年發表了預覽版，今年底即將增Data Lineage資料血統追溯功能，可以從資料搜集，分析到機器學習歷程，來追蹤每一項機器學習所用資料的完整血統關係。「資料和AI的下一個挑戰是擴大規模後的信心，需要更強的資料治理和統一的治理做法。」Brian Welcker透露。</p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153752
BigQuery十年最大升級，終於通吃非結構化資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Next大會最重要的產品發布就是BigQuery大升級，這個在2010年首度亮相，2011年正式推出的史上第一款Serverless雲端資料倉儲，發布了10年來最大一次的功能升級，終於開始支援非結構化資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-2010%E7%99%BC%E8%A1%A8%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 550px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>早在2010年的Google IO大會上，Google就展示了最早的BigQuery服務，可以提供結構化資料的機器學習預測，隔年正式推出。</strong>圖片來源／GCP</span></p> <p>GCP從去年開始展開BigQuery產品線的升級，推出了多雲部署版本BigQuery Omni，可以將BigQurey部署到其他公雲，如AWS和Azure上，來提供跨多雲的單一大數據分析平臺能力，而不用像過去得將所有資料集中到GCP才能使用BigQuery。但這一步，只是BigQurey產品大升級的前奏。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E8%B7%A8%E5%A4%9A%E9%9B%B2%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery成為Google發展通用資料平臺的關鍵，去年先推出BigQuery Omni將BigQuery體驗帶入到其他公有雲，今年開始展開BigQuery各項升級和強化。</strong>圖片來源／GCP</span></p> <p>到了2022年1月，BigQuery更開始跨出結構化資料的範疇，正式支援半結構化資料JSON資料格式，引起各界高度關注。因為JSON是Web應用最常用的資料格式，這一步讓GCP超強的大數據分析工具，可以直接匯入、原生處理各種Web應用、行動App產生的第一手資料，更容易成為各類Web應用的主要分析資料集散中心。</p> <p><span style="font-size:28px;"><strong>關鍵升級1：今年開始支援非結構化資料</strong></span></p> <p>沒想到，GCP對BigQuery布局不只如此，到了10月Next大會，更進一步宣布BigQuery將開始支援非結構化資料，從圖片、聲音、影片、串流影像到龐大的Log檔案，通通都可以支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%961-%E6%94%AF%E6%8F%B4%E9%9D%9E%E7%B5%90%E6%A7%8B%E5%8C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px; height: 338px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery今年開始支援非結構化資料，可以用SQL指令建立工作流程，提供非結構化資料進行查詢、合併、預測、治理和共享等處理。</strong>圖片來源／GCP</span></p> <p>BigQuery推出了物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，儲存到欄位式的資料表中，也能用來建立SQL指令所設計的工作流程，近一步提供查詢、合併、預測、治理和共享等處理方式，讓企業DBA或開發人員以慣用的SQL指令來處理非結構化的資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%89%A9%E4%BB%B6%E8%A1%A8%E6%A0%BC-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>BigQuery推出物件表格（Object Tables）預覽版，可以將非結構化資料原始檔案和相關的後設資料，包括圖片、聲音、影片等儲存到欄位式的資料表上使用SQL指令。</strong>圖片來源／GCP</span></p> <p>BigQuery研發負責人Google Cloud產品總監Brian Welcker指出，BigQuery支援非結構化資料最大的價值是，可以強化Google的AI技術優勢，直接用BigQuery SQL來運用Google各種AI產品。</p> <p>BigQuery是第一個將運算和儲存徹底分開的資料倉儲服務，來提供高可用性和擴充性，特色是支援SQL相容語法指令，提供欄或列等級的精細存取控制、顧客自管加密金鑰等安全性。</p> <p>目前，BigQuery資料用量達到PB級的企業，超過了1百家，BigQuery平均每一秒要處理110TB的顧客資料，所搭配的記憶體式分析BI引擎，每個月查詢次數超過了30億次。</p> <p>但是，過去10年來，BigQuery一直有一個最大的不足，就是只能支援結構化資料。因為許多電腦視覺、語音辨識、語言翻譯、自然語言處理等AI成熟應用，大多是以非結構化資料為主要素材，過去，要使用GCP上這類影音相關AI，得使用GCP其他雲端儲存服務來保存訓練資料。資料分散多套平臺，想要統一權限管理、管理政策、資料治理，開發者或維護團隊得到不同平臺上，使用不同的機制來建立同樣的政策，版本維護和政策同步也相當麻煩，更提高了配置錯誤的風險。</p> <p>不只是管理機制的複雜化，非結構化資料的儲存服務往往由基礎架構維運團隊負責，而而結構化資料則由資料團隊負責，想要建立一個通吃兩類資料的分析模型，需要兩組維運團隊合作，更添加了組織分工的成本和協作溝通的複雜度。</p> <p>許多資料倉儲大廠，早在多年前，就紛紛從結構化資料，開始支援非結構化資料，就是為了將各種資料集結到單一資料倉儲系統中來統一治理，但是BigQuery遲遲沒有支援，直到今年。</p> <p>透過這個BigQuery新發表的Object Tables功能，可以將儲存在Gogole儲存Bucket上的各種類型的物件，以資料表的形式呈現在BigQuery中，可以使用SQL指令查詢這些完整的物件後設資料，也可以建立SQL工作流程，能簡化增量處理作業，建立物件資料表後也可以提供顆粒度更細緻（例如按資料欄位控制）的權限控制機制，也能安全的共享這些非結構化資料。</p> <p>另外，也可以直接在BigQuery中套用GCP現成的AI框架和機制來訓練這些非結構化資料，甚至直接使用內建或訓練好的機器學習模型來推論。例如直接用真實房屋屋內照片結合出租紀錄，建立一個用真實屋內設備來預測出租結果的模型。</p> <p>「 Google資料雲戰略的目標是，建立一個開放、整合和智慧的資料生態圈，來加速企業顧客的創新。」Brian Welcker指出：「BigQuery正是Data Cloud的核心。」</p> <p>因此，不只是擴大所支援的資料類型，GCP更早從去年就開始陸續布局，各種擴大BigQuery資料接觸面、資料流通力的機制，要以BigQuery來打造更完整的資料生態圈。目前已經累計超過800家資料雲合作廠商。</p> <p><span style="font-size:28px;"><strong>關鍵升級2：強化與商用資料庫的遷移和互通機制</strong></span></p> <p>今年初發表的BigQuery遷移服務，也在10月的Next大會中正式GA，可以支援12種資料來源的轉移作業，包括了Teradata資料倉儲、IBM Netezza、Oracle 資料庫和Amazon Redshift。這是GCP用來吸引企業搬遷舊有資料倉儲上雲的重要手段。</p> <p>另外，GCP的變動資料擷取服務Datastream也開始支援BigQuery，目前是預覽版，可以將多個企業級資料庫的串流資料的變動，將資料和Schema即時複製擷取到BigQuery中，不需要另外的處理程序，來強化BigQuery對於即時OLTP資料的分析能力。可以支援甲骨文資料庫、MySQL資料庫、PostgreSQL（預覽版）和AlloyDB。這也是另一個用來打通BigQuery與現有商用資料庫間的重要資料互通機制，可以快速複製現有資料庫的即時資料。</p> <p><span style="font-size:28px;"><strong>關鍵升級3：支援JSON強化Log大數據分析</strong></span></p> <p>支援Log資料分析也是BigQuery今年的主打特色，除了原本就提供的Storage Write API資料匯入服務，可以提供到每秒百萬次操作不影響查詢效能的能力，來搜集各種即時串流的Log資料，另外，新增了對原生JSON資料型態的支援，能夠直接匯入json文件來產生以欄位儲存的表格，也提供了新的文字搜尋索引，可以對龐大的JSON等log資料進行精確搜尋，快速找出符合特定文字模板的資料列，「這是媲美在草叢中找針的精準搜尋能力。」Brian Welcker這樣比喻。</p> <p><span style="font-size:28px;"><strong>關鍵升級4：視覺化SQL除錯和優化工具</strong></span></p> <p>SQL查詢是BigQuery最大賣點，但要從複雜的SQL指令來了解執行指令的運作情況和效能瓶頸，對DBA來說是一大挑戰，GCP這次大會中，也發表了一款SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題，例如產生查詢指令的運作流程圖，來了解不同查詢任務之間的資料流向，來找出影響效能的瓶頸。</p> <p>「這是用來管理所有查詢、診斷、比較同類查詢和優化查詢的一站式工具。」Brian Welcker補充。</p> <p>另外，過去在Google Workspace商用付費版本才提供的Connected sheets功能，可以用Google Sheets試算表直接連結BigQuery，來讀取資料進行分析，現在變成了免費功能，個人版也能連結BigQuery，以分析人員或業務人員熟悉的操作介面，來存取BigQuery上的分析報表和數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9F%A5%E8%A9%A2%E9%99%A4%E9%8C%AF%E5%B7%A5%E5%85%B7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-GCP.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>SQL查詢除錯工具Query Inspetor預覽版，可以用視覺化方式來除錯、解決SQL查詢指令的效能問題。</strong>圖片來源／GCP</span></p> <p><span style="font-size:28px;"><strong>關鍵升級5：將GCP全套MLOps工具帶進BigQuery</strong></span></p> <p>BigQuery早在2018年就內建整合了機器學習功能推出BigQuery ML，可以用標準SQL查詢指令，在BigQuery中訓練ML模型，雖然在這次Next大會上，沒有太多更新，但是，這次也推出了一個殺手級的連結機制，可以將BigQuery ML的模型，整合到 Vertex AI平臺的模型儲存庫。</p> <p>Vertex AI是Google去年推出的全託管式機器學習平臺，將一系列Google內部所用的機器學習工具和框架，組合成了一套AI訓練服務平臺，也包括了一系列的MLOps工具，涵蓋了訓練資料管理、ML訓練、雛形開發、實驗、模型部署，甚至是模型解釋，以及模型上線後的監控，可以提供端到端到維運的完整ML應用生命周期管理。</p> <p>例如提供了像Vertex Model Monitoring、ML Metadata與Pipelines這些MLOps工具，可以用來建立自助式的ML模型，以及提高重複利用率。BigQuery ML新增了一項與 Vertex AI模型儲存庫的連結機制，可以將BigQuery ML訓練出來的模型，自動註冊到這個儲存庫，來進行管理、追蹤、版本控管，甚至可以儲存BigQuery ML模型的後設資料和各種runtime相依性作為日後重複部署之用。</p> <p>不只如此，建立連結之後，還能將BigQuery ML的模型，整合到Vertex AI模型評估和部署機制上，來進行離線評估或上線的追蹤，也可以統一管理在BigQuery的機器學習模型發布流程，從模型審查、核准、發布甚至是到退版都能管理。換句話說，雖然只是ML儲存庫的連結，但這一步等於將Vertex AI的全套企業級MLOps管理平臺，帶進了BigQuery資料倉儲。</p> <p><span style="font-size:28px;"><strong>關鍵升級6：同一套SQL支援更多種類分析任務</strong></span></p> <p>使用SQL指令來完成各種分析任務是BigQuery最大的賣點，Google也不斷擴充SQL指令可以完成的任務，一方面，除了強化BigQuery機器學習開發流程之外，GCP在幾年前所併購的ETL資料處理工具Dataform，現在終於整併到BigQuery產品線中，推出了新的預覽版，可以提供一個類SQL的語言稱為SQL X來撰寫各種資料轉換工作流程，管理各種不同的ETL資料處理流程，也能搭配GitHub進行版本控管，引進軟體開發流程來強化資料分析團隊的協作，這個產品可以強化BigQuery資料前處理能力。</p> <p>在強化查詢指令的功能上，BigQuery SQL也開始支援Spark串流分析運算，可以將Spark程式寫成Store Procedure，然後直接在BigQuery中執行Spark的任務，也能套用同樣的資安和治理政策，例如套用GCP IAM權限，或是套用與BigQuery上同樣的精細權限控管（欄或列）設定等。</p> <p>在結構化資料當道的時候，BigQuery 曾經被譽為最強的大數據分析工具之一，但隨著AI技術成熟，各種非結構資料暴增，非結構化資料成了企業分析需求的大宗，各家雲端儲存服務、資料湖和資料倉儲系統也紛紛跟進，形成多家競逐，各有擅長的態勢。</p> <p>GCP今年開始大力押寶BigQuery，BigQuery 在推出11年之後，終於跨入了非結構化資料場域，後發能否再度搶下頭名，這正是GCP新資料戰略接下來的考驗。</p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 新策略 </span></span> <span style="color:#3399ff;">搶攻SRE、SecOps和NetOps維運大數據需求</span></strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會上，BigQuery除了大規模翻新產品功能之外，在產品推廣策略上，也鎖定了企業最常見的大數據分析應用場景，就是維運大數據分析需求。</strong></span></p> <p><span style="color:#696969;"><strong>Google Cloud產品經理Christopher Crosbie指出，今年特別要瞄準企業三大維運場景的Log分析需求，一種是DevOps和SRE場景，想要觀察和了解各種AP的行為，加快除錯速度來縮短系統當機的復原時間（MTTR），第二種是SecOps場景，企業想要從龐大資安Log中，更容易調查與資安相關的攻擊事件資料。最後一類是IT網路維運（NetOps），需要整合各方資料來提供更完善的網路洞察。</strong></span></p> <p><span style="color:#696969;"><strong>但是，企業要處理的Log資料需求和類型非常多元，常會運用不同的Log分析系統，來處理上述不同類型的需求。但是Christopher Crosbie指出，Log系統越多套，會衍生不少問題，例如，資料經過越多系統，到達最終系統會產生延遲問題，其次，不同系統或處理機制對資料可能有不同的轉換處理，會導致缺乏清楚的單一資料正確來源，當要套用ML訓練時，要整合多套資料來源的串接，容易導致ML流程的斷裂，對維運團隊而言，也得經常在不同系統間切換和轉移資料，更增加工作流程的複雜。</strong></span></p> <p><span style="color:#696969;"><strong>BigQuery在邁向通吃各類資料和各種分析需求的大戰略之下，也想要成為通吃不同類型Log分析需求的單一大數據平臺，早在1年前，GCP先推出了Stroage Wirte API，可以快速將各類Log資料來源寫入到BigQuery中，GCP宣稱可以達到每秒100萬筆寫入操作，也不會影響查詢效能。</strong></span></p> <p><span style="color:#696969;"><strong>在今年Next大會，Google Cloud產品總監Brian Welcker就表明，BigQuery要推出Log大數據分析，除了原本的Stroage Wirte API之外，再加上了原生JSON資料類型支援正式GA，也新推出了龐大資料的搜尋索引功能。</strong></span></p> <p><span style="color:#696969;"><strong>Christopher Crosbie表示，不只可以支援從多種資料類型批次轉換成JSON，也可以跟Dataflow、JDBC、Biglake Tables整合，將SQL查詢結果快速輸出成JSON來提供他用。而搜尋索引則不需要知道原本的資料結構，也能搜尋結構化或非結構化的獨特資料，也提供時序性資料的最近幾筆查詢條件的優化，例如最近30筆，可以用於Log分析常用最新變化查詢之用。</strong></span></p> <p><span style="color:#696969;"><strong>Google還在自家Cloud Logging服務下，用BigQuery打造了一個新的Log分析預覽版，可以用來彙整來自各種雲端環境的Log分析，可以利用SQL語法來處理和分析這些雲端Log。</strong></span></p> </div></div></div>
2022/10/24 07:00作者王宏仁https://www.ithome.com.tw/news/153753
美國CISA力挺FIDO無密碼身分認證機制，成新世代多因素認證標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153766
美國CISA力挺FIDO無密碼身分認證機制，將成多因素認證唯一標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年十月，美國白宮都將推動一整個月的「網路安全意識月」（Cybersecurity Awareness Month），身為美國國土安全部的網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）總監Jen Easterly更是積極四處奔波，希望可以提升美國民眾的資安意識。</p> <p>她也於日前（10月18日）公開發文並且於推特錄製影片表示，將力挺FIDO（Fast Identity Online）聯盟推動的支援指紋等生物辨識及FIDO載具的無密碼數位身分認證機制，希望可以取代目前各行各業常使用的簡訊OTP（一次性密碼）的MFA（多因素認證）機制，讓FIDO成為新世代的數位身分認證機制。</p> <p><strong>駭客已經可以繞過傳統多因素認證機制</strong></p> <p>在美國網路安全意識月的重點，其中有一個就是：希望每個人可以確保使用網路各種服務的安全性，包括電子郵件、銀行、各種社交媒體以及需要經過線上驗證身分的各種服務的帳號安全性，並針對相關的線上服務啟動MFA認證機制，而美國總統拜登在去年便下令，要求美國聯邦政府以及所屬機關構，都必須積極推動多因素認證，而FIDO則是被大力推廣的無密碼數位身分認證機制。</p> <p>Jen Easterly表示，有許多行業或是技術領先的業者，都已經率先推動或強制要求使用者採用多因素認證機制，確保線上服務使用者的安全性。但她也引述一份頂尖資訊服務業者的數據指出，只有四分之一的企業客戶已經註冊多因素認證服務；而已經註冊的企業客戶中，更只有大概三分之一的系統管理員（system administrators），使用多因素認證機制確保其數位身分認證的安全性。</p> <p>不過，採用多因素認證機制並不是萬能，過去幾年也陸續發生資安事件，有一些駭客已經可以繞過傳統的多因素認證機制，例如臺灣也曾經發生過的釣魚簡訊，或是其他身分認證App、推送通知等認證機制。</p> <p>她認為，這些繞過MFA的工具包（Toolkit）可以降低駭客的攻擊成本，像是憑證釣魚（Credential phishing）等事件也越來越常見，只要駭客願意花時間、金錢和心力，早晚都可以駭入企業內部，而企業內的每一個人都可能是受駭者。</p> <h2><strong>FIDO私鑰存在使用者端的裝置上，難被駭客破解</strong></h2> <p>因為已經有駭客可以繞過這些傳統的MFA機制，勢必要有新的認證機制取代，而由PayPal、英飛凌，以及Google和微軟等科技大廠組成的FIDO聯盟，則重新打造一個可以對抗網路釣魚的多因素認證機制，而FIDO通訊協定可以應用在現有的作業系統、網路瀏覽器、手機和平板電腦中，也有許多線上服務和各種企業都積極採用並推動FIDO無密碼身分認證機制。</p> <p>Jen Easterly指出，沒有百分之百的安全，再安全的MFA機制都可能遭到破解，不過，因為FIDO無密碼身分認證機制是將公鑰存放在FIDO伺服器中，解密的私鑰則是存放在使用者端的作業系統、瀏覽器、手機或是平板電腦等，「如果員工遭到釣魚郵件的攻擊，駭客因為無法取得使用者端儲存的FIDO私鑰，攻擊也不會成功。」她說。</p> <p>Jen Easterly也鼓勵所有企業的執行長，應該要確保FIDO會在企業系統導入的藍圖內，她更認為，未來FIDO將是多因素認證唯一的標準，企業應該積極跟上這股FIDO浪潮。</p> </div></div></div>
2022/10/21 19:30作者黃彥棻https://www.ithome.com.tw/news/153767
【資安日報】2022年10月21日，WordPress推出6.0.3版修補16個漏洞、惡意軟體Ursnif要求受害者文…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress最近發布了6.0.3版，當中修補了16個漏洞，但值得留意的是，其中一項漏洞最有機會被利用，原因是攻擊者不需通過身分驗證就能發動攻擊。</p> <p>駭客為了降低受害者的警覺，近年來也會利用一些使用者經常會遇到的真人與機器人程式驗證機制，讓大家誤以為會查核身分的網站就是合法網站。例如，近期發動的Ursnif惡意軟體攻擊，駭客就將惡意檔案放在需要輸入CAPTCHA驗證碼的網頁。</p> <p>小心線上轉檔服務也成為駭客傳播惡意軟體的管道！有人架設冒牌的文件格式轉換服務網站，雖然此網站提供上傳功能，但若是照做，使用者很可能會在電腦裝上竊密軟體。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.mandiant.com/resources/blog/rm3-ldr4-ursnif-banking-fraud"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Ursnif要求受害者文件輸入驗證碼來降低警覺</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ldr4-ursnif-fig4.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期新的惡意軟體Ursnif變種（LDR4版），研究人員在6月下旬觀察到被用於攻擊行動，駭客主要以人才招募為幌子寄送釣魚郵件，要求收信人點選連結下載Excel檔案。一旦收信人照做，就會被引導至下載網頁，該網頁會要求輸入CAPTCHA驗證碼才能取得。若是收信人開啟此Excel檔案，電腦將會被植入Ursnif。</p> <p>這個惡意程式的用途也有所變化。研究人員表示，過往版本Ursnif的主要功能是金融木馬，新的LDR4則是後門程式，駭客很有可能藉此散布勒索軟體或其他惡意程式。</p> <h3><a href="https://blog.cyble.com/2022/10/14/online-file-converter-phishing-page-spreads-redline-stealer/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上轉檔網站也有假的！有人以提供免費轉檔服務散布竊密程式RedLine Stealer</span></strong></a></h3> <p>提供將不同格式文件轉換的網站，現在也成為駭客假冒的對象！資安業者Cyble揭露散播竊密軟體RedLine Stealer的攻擊行動，駭客設置了冒牌的Convertio轉檔網站，一旦使用者依照指示上傳想要轉換的檔案，並選擇輸出格式，該網站就會提供ZIP壓縮檔案，但若是使用者下載到電腦解壓縮，只會看到LNK捷徑檔YourConvertedFile.lnk。</p> <p>一旦執行，電腦就會透過批次檔執行PowerShell命令，在系統內建防毒軟體Microsoft Defender的排除清單當中，加入可執行檔、批次檔，以及C磁碟機，讓系統對這些檔案與儲存位置停止惡意檔案的掃描，然後再下載帶有PDF檔案圖示的YourConvertedFile59417.exe並執行，進而在受害電腦植入RedLine Stealer。</p> <h3><a href="https://healthitsecurity.com/news/3m-advocate-aurora-health-patients-face-phi-exposure-tied-to-tracking-pixels"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">又是網站廣告成效追蹤器肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病人資料</span></strong></a></h3> <p>在美國擁有26家醫院的非營利醫療照護系統Advocate Aurora Health，發出公告坦承發生外洩病患資料的事故，起因是為了改善服務而使用Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知所有病人（約300萬人）。該機構發現，安裝在MyChart、LiveWell及其他預約工具中的追蹤程式，會將特定的病患資訊回傳這些追蹤程式的製造商。</p> <p>而類似的情況已非首例，今年8月，<a href="https://www.ithome.com.tw/news/152683#novanthealth">美國醫療保健供應商Novant Health就因Meta Pixel程式碼配置不當</a>，將132萬名病人健康資料曝露給Meta及其合作夥伴。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/oldgremlin-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織OldGremlin鎖定俄羅斯Linux主機，發動勒索軟體攻擊</span></strong></a></h3> <p>勒索軟體駭客組織OldGremlin自2020年開始鎖定俄羅斯發動攻擊，過往都是加密Windows電腦，但最近該組織也對Linux主機下手。資安業者Group-IB在調查今年發生的攻擊行動中，發現OldGremlin的主要目標是一臺Linux伺服器，駭客使用了勒索軟體TinyCrypt的變種版本，而這個變種與Windows版本採用的演算法相同，都是使用AES演算法並以RSA-2048非對稱金鑰加密檔案。</p> <p>除此之外，研究人員也發現駭客的入侵手段仍是寄送釣魚郵件，但從原本將惡意軟體挾帶於附件，如今變成引誘受害者從檔案共享服務下載，而難以察覺異狀。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.wordfence.com/blog/2022/10/patch-now-the-wordpress-6-0-3-security-update-contains-important-fixes/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress推出6.0.3版，修補16個漏洞</span></strong></a></h3> <p>內容管理系統WordPress於10月17日發布6.0.3版，當中總共修補了16個漏洞，有4個達到高風險等級。資安業者Wordfence指出，其中最容易被利用的漏洞，是可透過媒體庫SQL注入的跨網站指令碼（XSS）漏洞，CVSS風險評分達8.8分（尚未取得CVE編號），原因是攻擊者不需經過身分驗證就能利用。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/brazil-arrests-suspect-believed-to-be-a-lapsus-gang-member/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">巴西警方逮捕疑似駭客組織Lapsus$成員</span></strong></a></h3> <p>巴西聯邦警察於8月啟動黑雲行動（Operation Dark Cloud），緝拿2021年橫行巴西政府單位的駭客組織Lapsus$成員，最近有了新的成果，他們於10月19日宣布逮捕了其中一名成員，不過並未公布嫌犯姓名、年齡，或是其他資訊。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/153728"><span style="color: rgb(0, 0, 0);">上櫃公司大拓日本子公司遭勒索軟體攻擊</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://www.welivesecurity.com/2022/10/20/domestic-kitten-campaign-spying-iranian-citizens-furball-malware/"><span style="color: rgb(0, 0, 0);">伊朗民眾遭到安卓FurBall間諜軟體鎖定</span></a></span></strong></p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/new-malicious-clicker-found-in-apps-installed-by-20m-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">16款點擊惡意App被下載超過2千萬次</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153732">【2022年10月20日】中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯誤導致客戶資料外洩</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> </div></div></div>
2022/10/21 16:57作者周峻佑https://www.ithome.com.tw/news/153764
Stack Overflow力推離線版本支援無法上網的開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stack Overflow推出了<a href="https://stackoverflow.blog/2022/10/20/introducing-the-overflow-offline-project/">Overflow Offline新計畫</a>，並與非營利組織Kiwix合作，確保這個離線版能夠維持更新，且讓需要的人輕鬆取得，該專案開源接受社群貢獻，將繼續提高可讀性，並縮小容量使終端用戶可以更容易使用。</p> <p>Stack Overflow在2019年秋天啟動這個專案，在之前一直是由Kiwix獨立更新離線版本的Stack Overflow，並且也已經將Stack Overflow發送給許多用戶，但是從2018年開始，Kiwix沒辦法再更新Stack Overflow離線版本，所以官方在過去兩年開始提供財務和技術支援，重新使Kiwix能夠繼續這些工作，並且提高教育資源在他們平臺的可用性。</p> <p>Kiwix建立了一支稱為Sotoki（Stack Overflow to Kiwix）的爬蟲程式，可以從180個Stack Exchange網站的更新。這個專案在新冠肺炎疫情期間一度中止，但現在已經有階段性成果可以發表，且希望往後能以開源專案的形式繼續發展。</p> <p>即便現在的網路如此普遍且發達，但仍有許多環境無法自由的存取網路，Overflow Offline計畫的合作組織之一Unlocked Labs便是其中一個例子，Unlocked Labs支援了美國密蘇里州監獄的程式開發教育，使無法自由上網的受刑人，在監獄中可以獲得更多教育機會。</p> <p>在科學界也有離線Stack Overflow的需求，像是遠在南極的研究站，研究人員透過觀測微中子來研究宇宙，他們需要編寫大量的Python程式碼，在需要對叢集進行重大變更的時候，常會遭遇問題，便需要Stack Overflow尋求解決辦法。</p> <p>Overflow Offline還有一個用例是在網路資源不足的地區，協助學生完成回家作業，像是喀麥隆共和國網路覆蓋率只有34％，幾乎沒有大學能夠負擔為學生提供免費Wi-Fi的費用，學生平常只能使用自己昂貴的行動網路上網，Overflow Offline能夠離線存放在教育資源儲存裝置EduAirBox中，供學生下載使用。</p> </div></div></div>
2022/10/21 16:28作者李建興https://www.ithome.com.tw/news/153760
Meta Pixel肇事！美國醫療照護系統Advocate Aurora Health外洩300萬病患資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國擁有26家醫院的非營利醫療照護系統<a href="https://www.advocateaurorahealth.org/pixel-notification/" target="_blank">Advocate Aurora Health在本周坦承</a>，該系統因為使用了Google與Meta等第三方的網路追蹤技術，而外洩了病患的資料，為了謹慎起見，已通知300萬名所有病患。</p> <p>Advocate Aurora Health說明，該系統會在特定網站或應用中嵌入Meta Pixel或來自Google的追蹤程式，以記錄網站與使用者的互動，藉以評估病患的偏好與趨勢，並用來改善服務。</p> <p>然而，Advocate Aurora Health卻發現安裝在MyChart、LiveWell及其它預約工具中的追蹤程式，會將特定的病患資訊回傳給這些追蹤程式的製造商。</p> <p>所回傳的資料多寡或型態則根據使用者的瀏覽器品牌、瀏覽器配置、有否具備Facebook與Google帳號、是否登入而有所不同，可能牽涉到使用者的IP位址、使用時間、預約位置、與他人透過MyChart的通訊、名字、醫療編號或有否保險等。但可能外洩的資料並未包含社會安全碼或金融資訊。</p> <p>事實上，這應該只是Meta Pixel所引起的外洩風波之一。非營利的媒體組織<a href="https://www.ithome.com.tw/news/151490" target="_blank">《The Markup》</a>曾於今年6月踢爆，美國前一百大醫院中，有33家醫院的網站安裝了Meta Pixel，而且會把使用者的資訊回傳給Meta。</p> <p>上周，美國另一醫療照護系統<a href="https://www.wakemed.org/about-us/news-and-media/wakemed-news-releases/wakemed-notifies-patients-of-potential-data-privacy-incident" target="_blank">WakeMed Health and Hospitals</a>也點名Meta Pixel使得它們外洩了病患資料。</p> <p>從Advocate Aurora Health的說法來看，涉及外洩資料的並不只是Meta Pixel，也包括其它品牌的追蹤程式，但至少並未發現有任何病患資料因此而遭到濫用。此外，遭到波及的醫療系統或醫院皆已自系統上移除這些追蹤程式。</p> </div></div></div>
2022/10/21 16:34作者陳曉莉https://www.ithome.com.tw/news/153763
微軟開放高階著色器語言HLSL計畫程序，期望社群貢獻語言功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/opening-hlsl-planning/">微軟宣布</a>要透過引進新的公共語言功能計畫程序，來擴展高階著色器語言HLSL社群，新程序託管在GitHub上，希望借助社群的力量發展新的語言功能。這是開發團隊參考Rust和Swift開放語言設計流程，而做出的決定。</p> <p>在2017年初，DirectX著色器編譯器（DirectX Shader Compiler，DXC）在GitHub上開源，而DXC是以Clang的LLVM 3.7作為基礎，其支援強大的開發和語言工具，使HLSL能夠包含許多重要的功能，包括C++模板和運算子重載。</p> <p>在今年的時候，HLSL編譯器團隊宣布替Clang提供HLSL支援，這項決定將推進開源軟體開發，並且強化HLSL工具和語言的發展，而現在微軟又進一步開放HLSL計畫程序，期望透過社群的力量來改進HLSL，相當於釋出一小部分HLSL發展的決策權。</p> <p>但是微軟在這部分有一些但書，官方強調，並非所有HLSL功能都可以經過這個程序決定，添加到HLSL的部分功能，由微軟內部團隊根據與硬體供應商協調的保密協議進行，這些功能就不會公開在GitHub上。</p> <p>另外，微軟在這個程序引入了一個目標聲明，使社群能專注於語言發展，這項目標聲明可能因每個版本改變，以符合產業不斷變化的需求。開發者有兩種方式可以參與貢獻，其一是針對儲存庫提交GitHub問題，而對於想要在設計語言功能扮演更積極角色的開發者，可以使用模板編寫提案並提交拉取請求。</p> <p>新程序的提案會提交到新的HLSL-Specs儲存庫，新合併的提案會從「值得考慮」狀態開始，微軟提到，這些提案必須對用戶有用，且和即將推出的HLSL版本目標一致。值得考慮的提案經批准後會合併到儲存庫中，進行更廣泛的協作，當功能描述完成後，提案還會廣泛徵求貢獻者和微軟合作夥伴的回饋。</p> <p>被接受的提案不一定會在特定的版本發布，微軟會視情況推延並且重新評估，當功能與HLSL語言發展目標不一致，且未來不太可能改變時，微軟便會拒絕提案，並且針對提案提供詳細的拒絕說明，以便相同提案在未來重新被提出，有更多資料可供參考。</p> </div></div></div>
2022/10/21 16:37作者李建興https://www.ithome.com.tw/news/153761
Cloud CDN供用戶自定義快取鍵以增進CDN效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/cloud-cdn-launches-dynamic-compression-and-custom-cache-keys">Google更新Cloud CDN工具與功能</a>，使用戶能進一步微調網頁服務效能。Cloud CDN現在開始預覽動態壓縮功能，CDN服務將會自動減少從邊緣傳輸到客戶端的回應大小，即便來源伺服器沒有壓縮，Cloud CDN也會主動壓縮這些資源，官方提到，在流行的CSS和Javascript檔案上，動態壓縮可以將回應大小縮小60％到80％。</p> <p>無論是對網頁服務或是終端用戶，都可以從動態壓縮功能獲益，透過縮減CSS和Javascript資源內容大小，可以減少第一次內容繪製和頁面載入時間，而且當網頁具有大量可壓縮的內容，透過動態壓縮功能，還可節省快取流量出口成本。</p> <p>Cloud CDN目前可以對HTML、CSS、Javascript、JSON、HLS播放列表，以及DASH清單等網頁資源，執行gzip和Brotli壓縮。</p> <p>Cloud CDN還讓用戶可以自定義快取鍵，以提高CDN效能。Google解釋，當請求到達CDN邊緣時，請求會映射至快取鍵，並且與快取中的項目進行比較，在預設情況下，CDN使用URI的協定、主機、路徑和查詢字串來定義快取鍵。</p> <p>而自定義快取鍵新功能可以讓用戶更好地控制快取行為，以提高快取命中率和來源分流，Cloud CDN支援命名標頭和Cookie作為快取鍵，官方提到，當用戶的網頁服務實作A/B或金絲雀測試，命名Cookie將可派上用場。</p> <p>另外Cloud CDN針對Cloud Storage的URI參數允許清單，讓用戶可以實現快取破壞（Cache Busting），官方解釋，這是一種快取政策，即便舊版本快取仍處於活躍狀態，終端用戶也能夠存取到快取資源中最新的版本，透過將版本查詢參數加入到允許列表中，用戶就不需要明確配置使舊快取失效。</p> </div></div></div>
2022/10/21 16:40作者李建興https://www.ithome.com.tw/news/153762
微軟Azure測試中小企業DDoS防護服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/enterprisegrade-ddos-protection-for-smbs-now-available-in-preview/" target="_blank">微軟本周宣布將測試</a>為中小企業設計的雲端DDoS攻擊防護方案Azure DDoS IP保護（DDoS IP Protection）。</p> <p>微軟指出，不只是大型企業會遭到DDoS攻擊，中小企業也是網路歹徒的目標，然而不同於大型企業，中小企業往往欠缺對抗DDoS攻擊的預算及人員。</p> <p>微軟在上周Ignite大會上首度宣布將原本適用於大型企業的Azure DDoS IP保護，另設計出適合中小企業的SKU。未來針對大型企業的DDoS防護方案，將由Azure DDoS Protection Standard改名為Azure DDoS網路保護（Azure DDoS Network Protection），Azure DDoS IP保護則專指中小企業用的版本。</p> <p>現在這項方案以預覽版上線。微軟宣稱中小企業版DDoS IP保護以可負擔的價位提供企業DDoS防護。</p> <p>Azure DDoS IP保護SMB版提供和大型企業版同樣的核心功能，包括L3/L4層自動攻擊偵測和緩解、幾近即時的記錄量測及警示、緩解流程紀錄、可為企業應用適應性調校（adaptive tuning）的緩解規則。它還可和微軟其他安全服務，如Azure Firewall Manager、統一管理介面Sentinel及Defender for Cloud緊密整合。</p> <p class="rtecenter"><a href="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" target="_blank"><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/cf8bc522-5e83-4a10-9d88-2baaec2ec365.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟說，Azure DDoS IP保護可為個別公開IP位址提供DDoS防護，因此對只有幾個公開IP位址的中小企業來說相當適用。之前大型企業版僅提供100個公用IP資源為單位的定價，每100個IP每月2,944臺幣，超出者每月每個IP 29.5臺幣。</p> <p>這項方案目前僅在美、歐、南非、中東及澳、日、韓上線。<a href="https://azure.microsoft.com/pricing/details/ddos-protection" target="_blank">價格方面</a>，DDoS IP保護以要保護的公用IP位址計價。臺灣地區的單一公用IP授權價要到11月1日才會公布。</p> <p>微軟現在開放企業試用，預計2023年2月1日才開始收費。目前僅透<a href="http://preview.portal.azure.com" target="_blank">過Azure預覽入口網站</a>登入試用，很快會開放從Azure Portal登入。</p> </div></div></div>
2022/10/21 14:35作者林妍溱https://www.ithome.com.tw/news/153758
Windows Subsystem for Android將支援Android 13
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2022/10/20/update-to-windows-subsystem-for-android-on-windows-11-october-2022/" target="_blank">微軟本周針對Dev與Beta頻道更新</a>了Windows 11上的 Windows Subsystem for Android（WSA），並悄悄地<a href="https://github.com/microsoft/WSA" target="_blank">於GitHub上公布WSA的未來發展藍圖</a>，透露出它將支援Android 13，也會有傳檔、捷徑、子母畫面，以及預設的本地網路存取功能。</p> <p class="rtecenter"><a href="http://github.com/microsoft/WSA" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1021-Windows%20Subsystem%20for%20Android%20Developers-Future%20Roadmap%20on%20GitHub.png" style="width: 550px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>WSA將允許使用者於Windows裝置上執行Android程式，現在主要與Amazon合作，<a href="https://apps.microsoft.com/store/detail/windows-subsystem-for-android%E2%84%A2-with-amazon-appstore/9P3395VX91NR?hl=en-us&gl=us" target="_blank">Windows 11用戶可透過Microsoft Store</a>安裝Amazon Appstore，在安裝Amazon Appstore的過程中，系統即會提醒使用者安裝WSA。微軟已於全球31個國家支援Amazon Appstore的下載及安裝，提供逾2萬種的Android程式。</p> <p>現在的WSA所支援的Android版本為Android 12.1（Android 12L），本周的更新改善了剪貼簿的穩定性、圖像串流的安全性、多執行緒效能，以及升級至Chromium WebView 105與執行Linux核心的安全更新等。</p> <p>而在未來的WSA藍圖中，除了將支援Android 13之外，新增的傳檔功能可望讓使用者於Android容器與Windows之間互傳檔案。</p> <p>迄今微軟並未透露究竟有多少Windows用戶下載並安裝了Amazon Appstore與WSA。</p> </div></div></div>
2022/10/21 14:50作者陳曉莉https://www.ithome.com.tw/news/153759
Google擅自蒐集人臉及語音辨識資料，遭德州控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.texasattorneygeneral.gov/sites/default/files/images/press/The%20State%20Of%20Texas's%20Petition%20(Google%20Biometrics).pdf" target="_blank">德州檢察長Ken Paxton本周控告Google侵犯當地的隱私法令</a>，在未取得德州民眾的同意下，就透過 Google Photos、Google Assistant與Nest Hub Max等服務或裝置，蒐集數百萬民眾的人臉及語音辨識資料。</p> <p>Paxton於訴狀中指出，至少自2015年起，Google便擅自蒐集德州民眾的資料，許多德州民眾並沒有意識到提供自己的獨特個人特徵，會對Google的營收帶來貢獻，不僅如此，這些個人生物特徵的擴散亦具危險性，因為它們是獨特的，倘若遭竊並不能簡單地刪除或替換。</p> <p>至於Paxton認為Google違反當地隱私法令的具體行為之一，<a href="https://support.google.com/photos/answer/11965565?hl=en" target="_blank">為Google Photos中所提供的人臉分組（Face Grouping）功能</a>，系統會偵測相簿中的人臉，之後建立人臉模型，再把同樣或類似的人臉聚集在一起，亦即可根據人臉特徵進行自動化分類。</p> <p>另一個例子則是已被應用在汽車、手機、平板電腦或智慧家庭裝置的語音助理Google Assistant。Paxton指出，當使用者啟用Google Assistant時，Google會紀錄所聽到的聲音，並加以分析，以建立用戶的聲音檔案，也會用來優化Google Assistant的反應，且Google透過聲音就能識別說話的對象。</p> <p>或許Google會在提供聲音辨識服務之前詢問使用者，但訴狀指出，Google所紀錄的不只是Google Assistant用戶的聲音，舉凡是偶然經過或出現聲音的朋友、孩子、客人或父母的聲音都會被紀錄。</p> <p>德州認為Google為了自己的商業利益而濫用當地使用者的個人資訊，是故意違反該州的《取得或使用生物識別法令》（Capture or Use of Biometric Identifier Act）。</p> </div></div></div>
2022/10/21 12:10作者陳曉莉https://www.ithome.com.tw/news/153756
資助烏克蘭太燒錢？SpaceX開設捐贈Starlink選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克旗下SpaceX將開設捐贈方案，計畫以此推動公益用途的Starlink服務部署。</p> <p>上周提供非洲轉帳服務App的Chipper.com在推特宣傳，近日捐款幫助烏干達學校或醫院架設Starlink，引發馬斯克（Elon Musk）回應問道，有沒有其他人願意捐贈，以便將Starlink部署於有需要的地方。<a href="https://twitter.com/elonmusk/status/1581903277347999744" target="_blank">他隨後推文宣布</a>，SpaceX決定為Starlink增加捐贈選項。</p> <p>不確定這項宣布是否和資助烏克蘭衛星連網服務有關。今年3月俄烏戰事爆發之際，<a href="https://www.ithome.com.tw/news/149581" target="_blank">SpaceX宣布</a>免費提供Starlink作為受戰事影響地區人員的對外通訊管道。但上周<a href="https://edition.cnn.com/2022/10/13/politics/elon-musk-spacex-starlink-ukraine/index.html" target="_blank">CNN報導</a>，SpaceX政府業務主管9月間致函美國國防部，希望對方能提供每月數千萬的財務支持，否則SpaceX對烏克蘭的免費Starlink僅提供到今年底，理由是該公司從今年3月到年底已投入1.2億美元，未來12個月更將達到4億美元。</p> <p><a href="https://twitter.com/elonmusk/status/1578433482757271552" target="_blank">馬斯克對此也說明</a>，為了提供烏克蘭免費服務，SpaceX迄今已投入8千萬美元，年底可能超過1億美元。不過消息見報後，<a href="https://twitter.com/elonmusk/status/1581345747777179651" target="_blank">馬斯克上周又改口說</a>雖然SpaceX仍然處於虧損狀態，但該公司還是會繼續提供服務。</p> <p>在公布Starlink捐贈選項同時，馬斯克仍然表明烏克蘭地區的開銷很大，<a href="https://twitter.com/elonmusk/status/1582098412501364736" target="_blank">他說</a>，目前送往烏克蘭的地面基地臺已經達25,300個，但其中僅10,630個是有付費的。</p> <p>另一方面，媒體報導，<a href="https://www.theguardian.com/world/2022/oct/17/pentagon-starlink-ukraine-musk-funding" target="_blank">美國國防部</a>已經考慮要撥款。<a href="https://www.ft.com/content/73a4b1b8-b266-40f2-af66-ea9f69a40a7e" target="_blank">此外《金融時報》報導</a>，歐盟也考慮出資。<a href="https://twitter.com/elonmusk/status/1582097354576265217" target="_blank">但根據馬斯克的說法</a>，SpaceX已經撤回對國防部的資金申請。</p> </div></div></div>
2022/10/21 12:26作者林妍溱https://www.ithome.com.tw/news/153757
搶進聽覺輔助器市場的破壞者們
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-itshu_zhai_-1p-ce_lue_zhuan_zhe_dian_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>若干年前，葛洛夫（Andy Grove）在他的經典之作《10倍速時代》中，介紹策略轉折點（strategic inflection point）的概念，指出「策略轉折點是指一個企業的基本構成要素即將發生變化的時候。」許多人的確是以這樣的方式體驗到轉折點──就在此刻一切出現不可逆的變化。</p> <p>然而，探究策略轉折點真正的本質後，就會看見不同的故事。情況類似於海明威的《太陽依舊升起》（The Sun AlsoRises）中，小說人物邁克回答自己是如何破產的。「先是漸漸的，」邁克描述，「接著突然發生。」轉折點指的是商業環境發生變化，大幅改變你的活動中的某個元素，造成原本理所當然的假設，開始搖搖欲墜。</p> <p>想像一下，有一個部門僅服務五分之一的潛在顧客。現在再想像，有一個重大改變將造成競爭者不必冒多少險，就能以利潤極高的方式，滿足剩下的需求。想像一下，那個部門的年營收大約是80億美元，而過了轉折點後，營收將是5倍。換句話說，轉折點發威時，競爭者要是夠聰明、富有遠見，身處正確的位置，就能搶占400億左右的營收。</p> <p><span style="font-size:28px;"><strong>聽力障礙的潛在市場</strong></span></p> <p>剛才描述的是真實存在的部門，也就是製造、開醫囑與驗配助聽器的事業。如果以協助有需要的民眾取得助聽器的標準來看，這個部門表現得相當不理想。研究人員指出，55歲至74歲能受益於助聽器的成人，80%沒有助聽器。就算有，許多人根本不戴。</p> <p>這一塊的健康照護市場生態有多不便。首先，助聽器價格不菲。然而，錢不是唯一的問題。美國的傳統助聽器事業由「食品藥物管理局」（FDA）管理，而現任者又牢牢把控著技術。聽力師、遊說聯盟，以及屈指可數的幾家製造助聽器的公司，嚴重限制了聽力患者擁有的選項。現有的助聽器公司堅稱，對所有的患者來講，「黃金標準」才是最好的。如同某位觀察家所言，意思就是說你一定得過五關斬六將，接受一連串的診斷評估後，才能購買助聽器，包括耳鏡與骨導測試、噪音辨識語音測試、真耳測試／語音地圖（real-ear measurement/speech mapping）、聽力復健，以及實地選配助聽器。許多人就算有辦法走完這套流程，他們也感到有夠麻煩。</p> <p>最後還有社會汙名的問題。民眾不喜歡戴助聽器的原因是擔心「顯老」。儘管證據強烈顯示他們需要聽力協助，要承認這種事很難。傳統型的助聽器通常外型醜陋突兀，有的甚至很吵，反正跟酷沾不上邊就對了。</p> <p>戴不戴助聽器不是小事。約翰霍普金斯醫院（JohnsHopkins）的佛朗克•林（Frank Lin）所做的研究發現，聽力喪失涉及發展中的失智症、社交隔離的風險上升，甚至與跌倒風險增加有關。未矯正的聽力喪失會讓最終的治療更難成功。此外，試圖聽清別人在說什麼，還會增加大腦的認知負荷，這顯然是牽一髮而動全身的社會與健康問題。</p> <p><span style="font-size:28px;"><strong>蓄勢待發的轉折點</strong></span></p> <p>助聽器事業的商業模式問題重重，然而自FDA在1977年將助聽器列為醫療器材後，那個模式就幾乎不曾變過。助聽器先前通常被視為消費品，而部分品味不佳又誤導民眾的廣告和名人推薦，又強化了助聽器的市場定位。同一時間，通常將耳內式助聽器（需要放進個人的耳朵）交給聽力師銷售的做法，開始成為常態。由於市面上出現誤導人的宣稱，再加上一些不太理想的做法，利益團體開始提出警訊，促使FDA將助聽器列為醫療器材，必須遵守高度嚴格的製造與驗配規範。</p> <p>高度受到管制（與高利潤）的助聽器事業目前的轉折點，源自2003年的兩份FDA公民請願書。FDA的公民請願書，本意是為了方便個人與社群組織請求改變健康照護政策的流程。請願書本身並未立刻影響到助聽器的管理方式，但象徵著民意發生變化，推動相關器材走向「老花眼鏡」目前的做法，也就是隸屬於非處方藥項目，不需要處方箋便能販售的矯正鏡片。</p> <p>不過，市場既存者不會坐以待斃。美國聽力學會（American Academy of Audiology）等團體建議，凡是能放大聲音的裝置都該納入FDA規範。按照字面的意思，那麼就連耳塞式耳機與頭戴式耳機，所有的東西都得納入管制。</p> <p>儘管有著學會這方的勢力，消費者承受的成本與態度強硬的既存者，引發立志改革體系的特殊結盟。學會煞費苦心保留的監管架構，在2017年首度開始動搖。在典型的克里斯汀生風格的破壞中，新型技術證實已經「夠好」，正在觸及能受惠於聽力改善的客層。這就是克里斯汀生經常談的「與不使用競爭」（competing with non-use）。</p> <p><span style="font-size:28px;"><strong>破壞者搶進聽覺輔助產品版圖</strong></span></p> <p>雖然不是在販售助聽器──天啊，絕無此事──市場上不乏廠商提供業界所謂的「個人聲音放大器」（personalsound amplification product，PSAP）。這類產品不受FDA管制，只要想買就能買。更讓傳統的助聽器廠商擔憂的是，許多PSAP聽力輔助應用，效果其實不差，甚至更勝一籌。</p> <p>舉例來說，經典的擴音器與抗噪耳機製造商Bose，目前製造一款叫「Hearphone」的產品，售價在500美元左右。雖然這項產品的廣告，聽起來非常像是瞄準聽力受損的民眾（「我們希望協助您聽清對話中的每一個字」），Bose一度強調那些裝置「絕不是助聽器」，以避開FDA的監管。然而，Bose在2018年取得製造無需處方的自驗配助聽器許可，其他龍頭廠商也紛紛湧進市場，包括三星的Gear IconX耳機與蘋果的AirPods等等。那樣的無線耳機能讓你聽音樂、替運動計時，還恰巧可以連至手機或其他裝置上的聽覺功能app。此外，數十家新公司也帶著協助工具，進入輔助產品市場，例如：Fennex、Petralex與Here One。在新創公司方面，Eargo這項產品的靈感來自飛蠅釣，打造出真正的助聽器，你可以自行挑選，網路上即可購買，價格與人們較為熟悉的電子產品差不多。</p> <p><span style="font-size:28px;"><strong>從80億到400億美元的市場</strong></span></p> <p>不過講真的，為了一個向來乏人問津的市場，需要那麼激動，花費那麼大的力氣嗎？</p> <p>嗯⋯⋯專家預測，即便是在目前必須接受監管的制度下，聽覺輔助產品事業在2019年可達80億美元。有的人說到了2023年會超過90億，而這正是策略轉折點值得留意的地方。從前很麻煩又昂貴的物品，如果變得方便又便宜，結果通常是需求暴增。從統計數字推論一下便可得知，聽力需要協助的人士，今日僅五分之一擁有助聽器，那麼等過了轉折點，人人皆可取得能自行調整、外觀又低調的聽覺輔助產品後，市場一下子可能是5倍大，或達400億。</p> <p>此外，如同智慧型手機改變民眾的手機使用方式，聽覺輔助產品的用例可能產生相當巨大的改變。</p> <p>正如今日每個人可能不只擁有一副眼鏡，民眾有可能不只購買一副助聽耳機。或許星期五晚上出門用餐戴的助聽耳機，外型與功能不同於星期日下午參加運動比賽的助聽耳機，甚至在家看電視也戴不一樣的。某樣東西一旦價格夠便宜，將有無限的可能性。<strong><span style="color:#696969;">（本文摘錄整理自《策略轉折點競爭優勢》，天下雜誌出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/300_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.png" style="width: 299px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span> </span></strong><span style="color: rgb(51, 153, 255);"><strong>策略轉折點競爭優勢</strong></span></p> <p>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）／著</p> <p>許恬寧／譯</p> <p>天下雜誌出版</p> <p>定價：450元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%AD%96%E7%95%A5%E8%BD%89%E6%8A%98%E9%BB%9E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／天下雜誌出版</span></p> <p><strong>莉塔．岡瑟．麥奎斯（Rita Gunther McGrath）</strong></p> <p>麥奎斯是全球知名強調企業進取創業精神的策略、創新與成長專家。她長期任教於哥倫比亞大學商學院，持續名列Thinkers50前十大管理思想家，同時是耶魯執行長高峰會（Yale CEO Summit）、Innosight執行長高峰會（Innosight CEO Summit）、達沃斯世界經濟論壇（World Economic Forum）等企業活動爭相聘請的講者。</p> </div></div></div>
2022/10/21 12:50未署名https://www.ithome.com.tw/article/153751
提升隱形防護力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於資安防護的作法，過去我們多次談到能見度（Visibility）的重要性，強調知己知彼的意義，不僅要掌握外部威脅態勢，也要有自知之明，須了解與管理自身的弱點與攻擊面（Attack Surface），這是「明（Visible）」的策略，但其實我們也能應用「暗（Invisible）」的策略，這裡所指的並不是主動攻擊駭客與惡意軟體組織、以攻為守，而是善用「內隱」的作法推動資安。</p> <p>這樣的觀念相當有意思，我們是最近從Google Cloud聽到的。在他們年度用戶大會Next臺灣媒體聚會上，臺灣技術副總林書平介紹今年新推出的資安解決方案之際，特別提到他們的隱形安全防護（Invisible Security）原則，包含技術、營運、人才、風險等四大面向，蘊含該公司對於資安的理念與展望，並以此突顯與其他業者的差異。</p> <p>在技術層面上，他們強調資安應該要從附加（Bolt-on）轉為預設啟用，讓資安能夠嵌入、深入產品與服務當中，實現工程等級的改良，這部分可呼應許多資安界領袖所提倡的「始於安全設計（Security by Design）」；在營運方面上，資安應該要從手動轉為自動，將原本分散各處、片段化進行個別人工的處理，提升為自動化作業，甚至能夠實現自治（Autonomic）；在人才方面，資安應該從專門走向普及，降低進入門檻與使用困難性，讓更多人都能參與、投入；在風險方面，資安應該從責任的共享走向風險的共享，的確，在資安的領域，大家不應該只是在找出誰該為何事負責，而是充分體認彼此是命運共同體，強化合作。</p> <p>面對前三個層面，整個資安界都有共識，堪稱是主流價值，至於風險的共享，其實也不難想像，但這無疑是超越了現行雲端服務業者長期對客戶傳達的資安觀念。事實上，雲端廠商過往總是強調雙方須共同承擔雲端安全的「責任」，這種說詞相當刺耳，然而，若是以共同承擔「風險」來溝通彼此須緊密合作的必要性，相信會贏得更多客戶的支持。</p> <p>關於這樣的資安願景，Google Cloud最早應該是在去年7月舉辦的資安高峰會提出，在這一年多來，他們也陸續併購了Siemplify、Mandiant等知名的資安公司，推出多種解決方案，例如，網路入侵偵測系統Cloud IDS、資安維運服務Chronicle、開源軟體資安服務Assured Open Source Software、機密協同運作服務Confidential Space、軟體供應鏈安全服務Software Delivery Shield，同時，也持續更新零信任資安服務BeyondCorp Enterprise，以及防自動化詐欺服務reCAPTCHA Enterprise。</p> <p>關於隱形防護的思考，我們除了可借鏡Google Cloud提出的這個觀念，透過改變功能設計、操作方式、人力資源，以及合作模式，過往在網路安全防護的應用上，我們也看到廠商陸續實作出一些技術，也能呼應所謂的隱形防護。</p> <p>舉例來說，在企業級端點防護系統的市場，隨著網路威脅的日益猖獗，許多防毒軟體廠商開始將個人防火牆、主機型入侵防禦系統（HIPS），內建在他們的產品當中，有些會提供所謂的匿蹤模式（Stealth Mode），避免被惡意軟體發動的網路掃描找到，而使得個人電腦的IP位址與開放的通訊埠曝光。</p> <p>另外，為了以系統化的方法來因應猖獗多年的進階持續性攻擊（APT），在資安領域當中，除了大家所熟知的沙箱檢測防護（Sandboxing）之外，也陸續出現蜜罐（Honeypot），以及欺敵（Deception）等誘捕系統，透過設下誘餌，及早捕捉駭客活動的蹤跡，廣義而言，這些也可說是一種隱形防護的策略。</p> <p>綜合這些看法，企業思考資安防護對策時，無論是儲備外顯的防禦與應變機制，或是累積各種內隱的深層強化與厚植實力，這些都是必須一起考量的，才能充分因應各種挑戰。雖然攻擊來臨時，總是處於敵暗我明的狀態，讓人擔憂自己處於相對失利的位置，不過，若策略運用得宜，我們仍可讓攻擊方白費工夫，徒勞無功，進而知難而退。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E8%83%BD%E8%A6%8B%E5%BA%A6">資安能見度</a></div><div class="field-item even"><a href="/tags/%E9%9A%B1%E5%BD%A2%E5%AE%89%E5%85%A8%E9%98%B2%E8%AD%B7">隱形安全防護</a></div><div class="field-item odd"><a href="/tags/invisible-security">Invisible Security</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2022/10/21 11:13作者李宗翰https://www.ithome.com.tw/voice/153745
巴西警方逮捕一名駭客組織Lapsus$成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.br/pf/pt-br/assuntos/noticias/2022/10/pf-prende-brasileiro-suspeito-de-integrar-organizacao-criminosa-internacional" target="_blank">巴西聯邦警察本周宣布</a>，年初駭入Nvidia、三星等知名公司的駭客組織Lapsus$一名成員，上周遭到警方逮捕。</p> <p>巴西警方是在8月間啟動一項名為黑雲行動（Operation Dark Cloud）的計畫，以調查並緝拿2021年間駭入多個巴西政府單位的駭客組織Lapsus$成員。2021年底Lapsus$因駭入巴西衛生部而成名，該群駭客不但外洩數十萬筆資訊，也駭入該國疫苗接種證明網站。之後還接連入侵巴西經濟部、聯邦高速公路警局、及審計長辦公室等十多個政府組織、以及巴西郵電總局。此外當地及南美多家知名企業也遭Lapsus$毒手。</p> <p>不過Lapsus$真正為人所知的是<a href="https://www.ithome.com.tw/news/150067" target="_blank">今年3月間入侵Nvidia、三星、微軟、Ubisoft等全球大企業</a>。和一般駭客不同，這群駭客會在作案後透過Telegram頻道公布受害公司的系統擷圖，還會事先公布欲駭入的對象名單，<a href="https://www.ithome.com.tw/news/149841" target="_blank">並以重金利誘這些公司的員工作為其內應</a>。</p> <p>安全研究人員追查發現Lapsus$是一群青少年，可能分處於英國及巴西，並研判Lapsus$首腦是一名住在牛津的16歲青少年等。<a href="https://www.ithome.com.tw/news/150099" target="_blank">英國警方於3月間逮捕7名疑似與Lapsus$有關的青少年</a>。</p> <p>巴西警方並未公布嫌犯的姓名、年紀或其他資訊。警方只說明，Lapsus$涉嫌入侵電腦、擾亂電信、電報及電話設備、以及腐化未成年人及洗錢等行為。</p> </div></div></div>
2022/10/21 11:58作者林妍溱https://www.ithome.com.tw/news/153754
馬斯克傳想裁掉近75%的推特員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.washingtonpost.com/technology/2022/10/20/musk-twitter-acquisition-staff-cuts/" target="_blank">《華盛頓郵報》報導</a>，正準備完成收購社交平臺推特（Twitter）的馬斯克，計畫裁減推特近75%的員工以刪減營運成本。</p> <p>媒體取得一份馬斯克近日對投資人簡報的相關文件，顯示馬斯克將採取激烈的手段，裁減推特7,500名人力的75%，以利收購進行。</p> <p>在推特董事會使出官司手段後，<a href="https://www.ithome.com.tw/news/153462" target="_blank">馬斯克本月初</a>宣布將以4月預定的每股54.2美元，總價440億美元收購推特。根據雙方協議，馬斯克必須在10月28日之前完成收購。</p> <p>馬斯克最早曾對投資人說明這家社交平臺的潛力規模超過目前價值，他計畫三年內將推特營收翻倍。而被迫買下推特後，馬斯克似乎有些許不甘。在本周的特斯拉財報會議上，<a href="https://www.theverge.com/2022/10/20/23414347/elon-musk-tesla-earnings-twitter-cybertruck-fsd-twitter" target="_blank">馬斯克談及推特時指出</a>，自己和投資人都覺得在推特收購上出價過高。</p> <p>但報導指出，就算公司持有人不是馬斯克，推特也計畫精簡人力。管理階層計畫年底前裁減25%的人力，以節省8億美元薪資成本。此外推特也打算縮減基礎架構，包括關閉一座提供每日2億用戶服務的資料中心。</p> <p>而這也說明了何以推特管理階層急於將公司賣給馬斯克，以免自己要當裁員的壞人。但是這麼大規模的裁員勢必影響推特現有平臺安全性及秩序。報導引述一名曾在推特負責垃圾郵件管理的前員工指出，如果員工數裁到馬斯克希望的規模，可能讓推特用戶面臨被駭風險，以及平臺將出現大量暴力、色情內容，而且可能經常斷線或出現錯誤。</p> <p>不過對馬斯克而言，公司獲利及營收才是重點。<a href="https://www.cnbc.com/2022/10/19/tesla-tsla-earnings-q3-2022-.html" target="_blank">馬斯克的特斯拉本周公布財報</a>，受景氣轉冷影響，雖然公司獲利33億美元較去年同期成長，但營收及出貨量未達市場預期。外界相信，大環境因素才是馬斯克在推特收購案上反悔的主因。</p> <p>消息人士指出，推特收購案協議順利進行中，沒有意外的話，本月底馬斯克就會成為推特的新老闆。</p> </div></div></div>
2022/10/21 10:28作者林妍溱https://www.ithome.com.tw/news/153743
YouTube Premium家庭方案漲價了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Flyinace2000/status/1583211803299188736" target="_blank">YouTube Premium用戶最近開始收到漲價通知</a>，顯示YouTube Premium家庭方案即將開始漲價，從每月17.99美元漲至22.99美元，漲幅為25%，此一價格調漲策略似乎未波及其它方案，也未遍及所有市場，而是從美國、加拿大、英國、阿根廷、土耳其及日本起漲。</p> <p>YouTube在2014年即開始推出付費服務，當時名為Music Key，並在2015年更名為YouTube Red，再於2018年改為YouTube Premium，此一付費訂閱服務提供無廣告的YouTube Music與YouTube影片播放服務，還有離線與背景播放功能，其學生方案的每月訂閱費用為6.99美元（臺灣是109元新臺幣），個人方案為11.99美元（179元新臺幣），可供6人使用的家庭方案則是17.99美元（269元新臺幣）。</p> <p>根據外電報導，有些使用者被要求自下個月就要支付更高的費率，有些已訂閱數年的忠實用戶，則一直到明年4月才適用於新費率。</p> <p><a href="https://blog.youtube/news-and-events/50-million/" target="_blank">YouTube曾於去年9月揭露</a>，其全球YouTube Music/Premium訂閱用戶已達5,000萬，之後即未再更新相關數據。</p> </div></div></div>
2022/10/21 11:06作者陳曉莉https://www.ithome.com.tw/news/153750
Android 13 Go版本來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在今年8月15日<a href="https://blog.google/products/android/android-13/" target="_blank">發布了Android 13正式版</a>，專供低階手機使用的<a href="https://blog.google/products/android/android-13-go-edition/" target="_blank">Android 13 Go版本則在本周問世</a>，同時Google也宣布全球已有2.5億人口使用Go版的Android手機。</p> <p>Android Go是瘦身版的Android作業系統，它的執行更輕盈也更省資料，以讓原始設備製造商（OEM）可打造更輕濟實惠的入門級裝置，造福更多的使用者，在Google首度於2017年推出Android 8的Go版時，手機的最低記憶體需求只有512MB，但隨著需求擴充與零件價格的下跌，如今支援Android 13 Go版的手機，已必須具備至少2GB的記憶體空間。</p> <p>但每年Google仍會持續優化Go版Android的資源使用，或是改善這些低階手機的能力，例如Android 12 Go版就具備更快的程式啟用、更長的電池續航力、更容易的程式分享，也提供更多的隱私控制。</p> <p>至於今年的Android 13 Go版則嵌入了Google Play System Updates，以讓Go裝置隨時接收各種重要的軟體更新，而不必等到裝置製造商釋出更新；也新增了Material You讓Go版用戶可客製化手機桌面；亦有諸如通知權限（Notification Permissions）與程式語言偏好（App Language Preferences）等Android 13的功能。採用Android 13 Go版的手機可望於明年上市。</p> </div></div></div>
2022/10/20 21:59作者陳曉莉https://www.ithome.com.tw/news/153736
Firefox讓用戶可預設啟用隱私視窗，並且加入新的瀏覽紀錄頁面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/privacy-online-just-got-easier-with-todays-firefox-release/">Firefox新版本</a>添加的隱私設定，進一步強化用戶的瀏覽安全，還增加了Firefox View新功能，提供用戶跨裝置瀏覽體驗，另外，新版本也提供新配色和背景，供用戶配置喜歡的瀏覽器外觀。</p> <p>Firefox添加了一個快捷按鈕，讓用戶在桌面新增隱私視窗捷徑，供用戶可以隨時快速地進入隱私視窗，官方還更新隱私視窗的標誌和外觀。現在隱私視窗會預設使用深色主題，以配色讓用戶更清楚，何時處於隱私視窗模式。</p> <p>Firefox View新功能則提供了一個全新的Firefox瀏覽紀錄頁面，在桌面裝置上，用戶可以看到25個最近關閉的頁籤，且在同步行動裝置後，Firefox View會呈現其他裝置最近瀏覽的3個頁籤，該功能可以進一步改善用戶的網頁瀏覽流程與體驗，快速獲得重要的資訊。</p> <p>官方也更新了PDF瀏覽器和文字辨識功能，用戶現在可以直接在PDF編輯器中進行編輯，以支援需要編輯PDF文件並列印後寄回的情境，而對於macOS 10.15和以上版本的用戶，將可以更方便地使用系統的文字辨識功能，更新後的Firefox可讓用戶瀏覽圖片並直接複製文字，不需要手動輸入，該功能還與內建的macOS螢幕閱讀器和VoiceOver相容。</p> </div></div></div>
2022/10/20 22:04作者李建興https://www.ithome.com.tw/news/153727
Oracle推出MySQL湖邊小屋服務HeatWave Lakehouse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Oracle鎖定競爭對手的資料分析和儲存產品，推出了湖邊小屋分析服務<a href="https://www.oracle.com/be/news/announcement/ocw-oracle-announces-mysql-heatwave-lakehouse-2022-10-18/">Oracle HeatWave Lakehouse</a>，官方提到，該服務在400 TB工作負載上的查詢效能是Snowflake的17倍，同時也是Redshift的6倍，而針對物件儲存上的400 TB資料，其查詢速度是Redshift的8倍，並且是Snowflake的2.7倍。</p> <p>MySQL HeatWave Lakehouse是MySQL HeatWave的最新功能，而MySQL HeatWave則是Oracle在MySQL資料庫基礎上，整合交易處理、分析、機器學習和自動化雲端服務的產品，MySQL HeatWave跨資料倉儲和資料湖分析，不需要用戶執行額外的ETL工作。</p> <p>資料湖邊小屋技術是結合傳統資料倉儲交易的資料，以及儲存和分析半結構化資料的資料湖技術，透過整合這兩個資料來源，企業可以更深入地分析業務資料，Oracle提到，在資料更加即時的同時，也使得來自資料湖的分析更具價值。</p> <p>但是過去MySQL用戶在分析時，常需要將資料從MySQL資料庫搬移到另一個資料庫進行分析，這額外的步驟增加了成本、複雜性和時間資源，導致企業無法進行即時分析，MySQL HeatWave則在交易發生時就將其移入到分析引擎中，因此能更即時地分析資料。</p> <p>MySQL HeatWave Lakehouse建構在HeatWave大規模橫向擴展架構之上，最多可擴充至512個節點，處理物件儲存中各種格式的資料，包括CSV和Parquet，甚至是Aurora和Redshift備份。官方提到，MySQL HeatWave Lakehouse在產業標準基準測試中，比起競爭對手的雲端資料庫服務，可以提供更好的資料查詢和載入速度。在單個查詢中，用戶可以查詢MySQL資料庫中的交易性資料，並且使用標準MySQL語法將其與物件儲存中的資料相結合。</p> <p>Oracle同時還宣佈了MySQL Autopilot，基於企業工作負載需求以機器學習提供自動化功能，可進一步提高MySQL HeatWave效能，而MySQL HeatWave Lakehouse的Autopilot功能，將針對自動模式推斷、自適應資料採樣、自動載入和自適應資料流等功能，在增加效能的同時減少管理工作，官方提到，Autopilot藉由運用機器學習和最佳化技術，可改善資料查詢、載入和壓縮等工作。</p> <p>企業可依需求，在公有雲和本地端執行MySQL HeatWave，資料團隊能將資料從本地MySQL OLTP應用程式複製到雲端執行MySQL HeatWave，包括OCI、AWS和Azure，而想要將資料留在本地端的企業，可以在自家資料中心營運OCI，並且執行MySQL HeatWave。MySQL HeatWave現在更新使用最新的MySQL資料庫，預計在2023年全面上市。</p> </div></div></div>
2022/10/20 22:11作者李建興https://www.ithome.com.tw/news/153729
Uber成立廣告部門，預期2024年可帶進10億美元廣告營收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.uber.com/news-events/news/press-release-details/2022/Uber-Launches-Dedicated-Advertising-Division-To-Serve-The-Worlds-Biggest-Brands/default.aspx" target="_blank">Uber本周宣布</a>，已正式設立了廣告部門，將由去年向Amazon Advertising挖角來的Mark Grether領軍。<a href="https://s23.q4cdn.com/407969754/files/doc_presentations/2022/Uber-Investor-Day-Transcript_February-10-2022-(2).pdf" target="_blank">Uber曾於今年2月舉行的Investor Day上表示</a>，該公司的廣告業務到2024年將成長至10億美元。</p> <p>其實Uber早就展開各項廣告服務，包括在超過30個市場的Uber Eats上推出餐廳贊助計畫，而且參與該計畫的餐廳也已超過17萬家；或者是在Uber駕駛的車頂上安裝廣告，目前在美國也有超過3,000輛汽車於車頂安裝廣告版面，此一模式除了可替Uber帶進更多的廣告收入之後，駕駛的收入也增加了20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-uber-advertising-AD-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Uber</span></span></p> <p>雖然Uber尚未於財報上揭露廣告營收，但Grether透露，去年Uber便已創下1.41億美元的廣告營收。</p> <p>步入廣告市場的Uber優勢在於該公司擁有第一手的消費者資料，且全球每月用戶超過1.22億。除了Uber Eats及車頂廣告之外，Uber也提供電子郵件廣告、菜單廣告，以及最新推出的旅程廣告（Journey Ads）。</p> <p>旅程廣告出現在Uber程式中，是以使用者的每次旅程作為銷售單位，可在使用者等車與搭車的空檔中由單一廣告主遞送不同的廣告，也允許使用者直接點選廣告來購物。此外，Uber還會根據使用者的目的地來出售廣告，例如目的地是機場或特定品牌的商店，那麼廣告主就能據此購買廣告版位。</p> <p>姑且不論旅程廣告的效果如何，已有法律專家認為該服務有侵犯用戶隱私之嫌。</p> </div></div></div>
2022/10/20 22:54作者陳曉莉https://www.ithome.com.tw/news/153737
Google Play服務中的TensorFlow Lite現已成為Android官方指定機器學習引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2022/10/latest-updates-on-androids-custom-ml.html">Google宣布更新Android自定義的機器學習堆疊</a>，這是一組在Android上部署自定義機器學習功能的基本API和服務。</p> <p>由於裝置上機器學習的各種優點，包括離線可用、更低的延遲、更好的隱私和更低的推論成本，因此比起以伺服器為基礎的機器學習，能夠提供更好的效能。開發人員在Android上建構機器學習應用時，有兩個方法可選，第一種是使用生產就緒，帶有預訓練和最佳化的機器學習模型SDK，當開發者想要有更多的控制，就可以選擇部署自己的自定義機器學習模型和功能。</p> <p>Google現在更新Google Play服務中的TensorFlow Lite，作為Android官方機器學習推理引擎，Google由於想要取代獨立的TensorFlow Lite，因此在Google I/O 2021大會中，宣布於Google Play服務中推出TensorFlow Lite早期存取預覽。</p> <p>而從發布到現在，Google Play服務中的TensorFlow Lite，已經透過數萬個應用程式，每月對數十億個用戶提供服務。在上個月，Google在Play服務中發布TensorFlow Lite穩定版，而現在，Google將其預設為Android官方機器學習推論引擎。</p> <p>在Google Play服務中使用TensorFlow Lite的好處是，可以縮小二進位檔案的容量，並透過自動更新獲得效能改進，同時也更容易與Android自定義機器學習堆疊之後的API和服務更新整合。</p> <p>另外，TensorFlow Lite Delegates現在也透過Google Play服務發布。在數年前，Google發布的GPU委派和NNAPI委派，讓開發者可以使用GPU、DSP或NPU等特殊硬體，而GPU和NNAPI委派現在則是透過Google Play服務發布。</p> <p>在不少進階用例，開發人希望可以直接使用自定義委派，因此Google也正與硬體廠商合作，藉由Google Play服務來擴大自定義委派存取。官方提到，因為硬體的差異，要針對最佳化硬體加速配置，在執行時對所有Android使用者，挑選最佳TensorFlow Lite Delegates有其困難。</p> <p>為了解決這個困難，Google正在建立一個新的API，使應用程式可以在執行時，替TensorFlow Lite模型安全地最佳化硬體配置，目前這個功能正在早期存取階段，開發者需要額外申請才能使用，官方預計會在明年初時公開發布。</p> </div></div></div>
2022/10/20 22:59作者李建興https://www.ithome.com.tw/news/153735
知名廣告封鎖列表EasyList遭大量印度劣質瀏覽器存取導致服務異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幾乎受全部廣告封鎖軟體採用的<a href="http://adguard.com/en/blog/easylist-filter-problem-help.html">廣告過濾器列表EasyList，近期遭遇持續的大流量存取</a>，造成眾多廣告封鎖軟體存取這份容量不大的txt檔需耗時約5分鐘，而EasyList維護者正在尋求專業資安人員協助。</p> <p>每個廣告封鎖軟體都需要使用過濾列表，並依據規則來封鎖廣告，而EasyList是一個由社群共同運作的專案，是目前全世界最受歡迎的廣告過濾器列表，幾乎所有使用封鎖軟體使用者，都曾使用過EasyList或是其衍伸產品。</p> <p>但從9月底的開始，EasyList的存取流量突然暴增，從原本每日數TB瞬間增加10到20倍，而根據調查，這些流量的源頭來自印度的Android裝置，而封鎖軟體Adguard在去年也遭遇相同的問題，經過調查也是遭具有廣告攔截功能的應用程式濫用導致。</p> <p>Adguard提到，這兩個事件的原因都很類似，是一個具有廣告封鎖功能的開源Android瀏覽器，在印度被幾個非常流行的瀏覽器分叉，但問題是，這個開源瀏覽器有一個設計缺陷，會在每次啟動時，自動重新下載過濾器更新，在Android裝置上每天會發生數次，即便瀏覽器在後臺運作，瀏覽器仍會嘗試執行更新。</p> <p>當Adguard去年遭遇這種情況，採用的解決方案是直接阻擋這些失控的流量，但儘管如此，Adguard每月都還是需要提供約100 TB的拒絕存取頁面。Adguard曾嘗試聯絡其中兩個瀏覽器開發人員，但是問題並沒有獲得解決，甚至變得更糟糕。</p> <p>EasyList託管在GitHub上並且使用CloudFlare代理，但是因為EasyList是一個社群專案，因此僅能使用CloudFlare非企業功能，暴增的EasyList流量使現在所有對EasyList檔案的請求都受到限制，導致不少廣告封鎖軟體都無法下載過濾器更新，這個問題可能迫使EasyList必須要更改網域名稱，否則有問題的瀏覽器會繼續使用easylist.to。</p> <p>廣告封鎖軟體現在都採取相對應的措施，Adguard採用自己的伺服器來託管列表，而其他廣告封鎖軟體則是切換到鏡像網域。不過，EasyList遭濫用的根本問題仍然沒有被解決，這些有問題的瀏覽器可能還會對新的鏡像網域產生DDoS流量。</p> <p>由於EasyList社群無法支付CloudFlare企業方案的費用，更改網域或許是一個選擇，但會影響數百個仰賴EasyList的開源專案，因此目前社群正尋求安全研究人員協助解決。</p> </div></div></div>
2022/10/20 21:46作者李建興https://www.ithome.com.tw/news/153724
上櫃公司大拓-KY子公司遭遇資安事件，日本大拓公布初步調查並說明是遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年於臺灣櫃買中心掛牌的蓋曼群島商日本大拓（Daito Me Holdings Co., Ltd）、上櫃其他電子業者大拓-KY，該公司在本月17日，於臺灣證交所發布重大訊息，揭露發生資安事件的狀況。</p> <p>關於大拓-KY，該公司主要經營電機、電子零件代理，以及工廠自動化設備與嵌入式電腦的組裝製品業務。</p> <p>根據該公司的重大訊息內容，說明事件發生於旗下百分百持股的子公司──日本大拓公司（Daito Me Co., Ltd），他們在偵測到內部資訊系統遭病毒攻擊後，資安團隊已於第一時間啟動防禦機制，以及備援作業。</p> <p>在事件因應上，該公司表示，將持續與外部資訊公司共同合作處理，並且也已經通報日本政府執法部門。目前，內部資訊系統陸續回復運作中。</p> <p>至於事件影響上，他們現階段的評估是，對於日常營運、財務無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_112918.JPG" style="width: 600px;" /></p> <p><strong>最早成立於1957年的日本大拓公司（ダイトーエムイー株式会社），在2014設立蓋曼群島商日本大拓為母公司，並於2016年在臺掛牌。近日日本大拓公司發生資安事件，並於官方網站公告說明初步調查現況，而蓋曼群島商日本大拓也在臺灣證券交易所發布重大訊息。</strong></p> <p>值得注意的是，雖然該公司在資安事件重大訊息的揭露上，內容相當有限，不過，我們從大拓-KY官方網站（<a href="http://daito-me.com.tw/">Daito Me Holdings Co., Ltd</a>）的<a href="http://www.daito-me.com/">日文版</a>，可以看到子公司日本大拓公司近期發布兩起公告：<a href="http://www.daito-me.com/news/cate2-2/">10月7日的一起事故發生消息通知</a>，以及<a href="http://www.daito-me.com/news/cate2-2/20221017/">10月17日的初步調查結果報告</a>。</p> <p>根據該公司的事故公告內容顯示，日本大拓公司是在10月7日事發當下，就公告說明發生系統故障情形，影響訂貨流程，並表示將進行調查系統故障的原因、影響範圍與恢復時間。</p> <p>而在後續發布的初步事故調查報告中，當中對外揭露了他們遭遇的是勒索軟體攻擊，並說明其因應作為。而該公司發布事故調查報告的17日這天，大拓-KY也於臺灣證券交易所發布重大訊息說明。</p> <p>根據初步事故調查報告的內容，當中指出該公司在調查原因後，於10月7日凌晨12時30分左右時，確認他們發生遭遇勒索軟體攻擊的狀況。</p> <p>而為了因應這起事件，他們表示關閉其網路，並與外部資安專家合作下，正在盡力了解該事件造成的損害，恢復系統並防止這樣的事件再次發生。</p> <p>同時，該公司也說明，內部資訊系統已陸續回復運作，並將深入調查原因以強化安全，並說明事件有後續發展或新的事實，將會依據調查結果持續更新消息。</p> <h2><strong>2022-10-17 大拓-KY子公司</strong><strong>資安事件小檔案</strong></h2> <table border="0" cellpadding="0" cellspacing="0" style="width: 547px;" width="547"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">網路攻擊事件類型</td> <td style="width: 378px;">公告中表示說明子公司日本大拓資訊系統遭受病毒攻擊 </td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事中應變措施</td> <td style="width: 378px;">10月17日發現狀況，啟動防禦機制與復原作業，已通報日本政府執法單位。<font color="#ff0000">於凌晨12時30分確認遭攻擊</font></td> </tr> <tr height="48"> <td height="48" style="height: 48px;">初步調查結果</td> <td style="width: 378px;">目前透露資訊非常有限，未公布感染病毒名稱，被入侵管道，以及感染方式等。<span style="color: rgb(255, 0, 0);">這次事件確定遭勒索軟體攻擊</span></td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件影響範圍</td> <td style="width: 378px;">僅提及資訊系統</td> </tr> <tr height="24"> <td height="24" style="height: 24px; width: 170px;">事件對營運的影響</td> <td style="width: 378px;">對營運、財務無重大影響</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">事後復原與檢討</td> <td style="width: 378px;">內部資訊系統陸續回復運作中，亦同步檢視並強化現有的基礎架構，全面提升網路安全等級以保護資料安全及完整性。。</td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">對外公告資安事件</td> <td style="width: 378px;">在10月17日發布於臺灣證券交易所重大訊息 <span style="color:#FF0000;">同日於公司官方網站發布事件調查初步報告，說明資安事件及調查情形</span></td> </tr> <tr height="48"> <td height="48" style="height: 48px; width: 170px;">該公司背景資訊</td> <td style="width: 378px;">年報<a href="https://doc.twse.com.tw/pdf/2021_8455_20220616F04_20221020_194952.pdf">連結</a></td> </tr> <tr height="24"> <td colspan="2" height="24" style="height: 24px;"> 資料來源：iThome整理，2022年10月(紅字部分為查詢該公司網站後得知的資訊)</td> </tr> </tbody> </table> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-10-20_110800.JPG" style="width: 600px;" /></p> <p> </p> </div></div></div>
2022/10/20 16:56作者羅正漢https://www.ithome.com.tw/news/153728
【資安日報】2022年10月20日，中國駭客APT41利用Spyder Loader後門埋伏香港政府、微軟伺服器配置錯…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>香港政府也是中國駭客APT41監控的對象！由於駭客利用特定的後門程式發動攻擊，研究人員針對此後門程式與手法進行比對，此為該組織大規模網路間諜行動的其中一環。</p> <p>駭客打造的後門程式竟出現了幾乎無法被偵測出來有害的情況！有人透過提供職缺申請表的名義散布此惡意軟體，較為罕見的是後門程式會將自己登錄為作業系統更新程序，而能規避偵測。</p> <p>微軟因其中一臺伺服器配置不當，使得超過6.5萬家企業客戶資料也隨之曝光，很有可能是有史以來最嚴重的B2B資料外洩事故。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/spyder-loader-cuckoobees-hong-kong"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41利用惡意軟體Spyder Loader埋伏香港政府超過一年</span></strong></a></h3> <p>資安業者賽門鐵克揭露中國駭客組織APT41（亦稱Winnti）的攻擊行動，專門針對香港的政府機關而來，駭客利用名為Spyder Loader的後門程式，在受害組織的網路活動一年以上。研究人員根據上述的惡意軟體進行分析，認為這次發現為<a href="https://www.ithome.com.tw/news/150805#CuckooBees">今年5月揭露網路間諜行動Operation CuckooBees</a>的一部分。</p> <h3><a href="https://securelist.com/diceyf-deploys-gameplayerframework-in-online-casino-development-studio/107723/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客DiceyF鎖定東南亞的網路賭場部署惡意框架</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/DiceyF-06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DiceyF-06.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為DiceyF的駭客組織，該組織自2021年11月，針對東南亞的網路賭場部署惡意框架GamePlayerFramework，該框架由另一款惡意軟體PuppetLoader改寫而成，具備下載惡意酬載、啟動惡意軟體、遠端存取功能、鍵盤側錄等能力，一旦成功入侵受害電腦，此框架就會每20秒向C2伺服器發送訊號，而C2一次可發出多達15個命令，且下載到此惡意框架的外掛元件都不會儲存到磁碟，使得受害者檢測更加困難。</p> <h3><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員發現幾乎不可能偵測的PowerShell後門程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerShell-backdoor-2.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach揭露一支Windows後門程式，此軟體為PowerShell指令碼，並具備自我偽裝機制，幾乎「無法偵測」，可能有百名使用者受害。這支後門程式被包裝在Word檔案Apply Form.docm，假借提供LinkedIn申請表單的名義，透過精準釣魚攻擊散布，檔案來自約旦，但不確定攻擊者的身分。研究人員指出，此惡意文件包含巨集，觸發後會下載指令碼，並將此指令碼註冊成Windows Update排程工作，藉此避過資安系統的偵測。攻擊者主要目的是竊取受害電腦資料，其次才是列舉AD用戶、RDP帳號。</p> <h3><a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟伺服器配置錯誤導致大規模外洩！逾6.5萬家企業資料因此曝險</span></strong></a></h3> <p>錯誤設定的問題過往總是出在雲端服務用戶身上，如今竟然連專業的雲端業者自己也出現這類問題！資安業者SOCRadar於10月19日披露，他們偵測到Azure Blob Storage的配置錯誤，導致111個國家、逾6.5萬家企業的資料外洩，很可能是史上最嚴重的B2B資料外洩事件。這起事故完全是因為一臺伺服器的錯誤配置造成，該伺服器內含多臺SQL Server資料庫與各式檔案，總計約有2.4 TB的資料量，日期介於2017年至2022年的8月。研究人員在9月24日通報，微軟也證實此事，但強調非安全漏洞，獲報後已修復相關配置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/10/18/cisa-releases-two-industrial-control-systems-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對研華、日立能源工控系統發布資安通告</span></strong></a></h3> <p>美國網路安全暨基礎設施安全局（CISA）於10月18日，針對研華軟體管理平臺R-SeeNet、日立能源（Hitachi Energy）資產效能管理軟體APM Edge等2項工業控制系統的漏洞提出警告。與R-SeeNet相關的部分，是CVSS風險評分6.5分的路徑穿越漏洞CVE-2022-3385，以及CVSS風險評分達9.8分的記憶體堆疊溢位漏洞CVE-2022-3386、CVE-2022-3387，一旦遭到利用，攻擊者可遠端刪除系統資料或執行程式碼（因此這些弱點也是RCE漏洞）。CISA針對APM Edge的部分，則是公告了30個漏洞，最嚴重的為8.2分，若是遭到利用，有可能導致該系統無法存取。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><strong><span style="font-size: 20px;"><a href="https://www.ithome.com.tw/tech/153719"><span style="color: rgb(0, 0, 0);">Fortinet修補重大漏洞已有攻擊行動，1.7萬臺設備曝險，臺灣653臺全球第三</span></a></span></strong></p> <p><strong><span style="font-size: 20px;"><a href="https://news.pts.org.tw/article/605266"><span style="color: rgb(0, 0, 0);">臺北市政府推出熊好券2.0，冒牌網站隨之出現</span></a></span></strong></p> <p><a href="https://cybernews.com/news/hackers-stole-data-from-kingfisher-insurance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國保險業者Kingfisher遭勒索軟體LockBit攻擊，泄洩1.4 TB資料</span></span></strong></a></p> <p><a href="https://www.idealwine.info/update-to-idealwine-customers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國網路酒商iDealwine遭到網路攻擊，客戶資料恐外洩</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153707">【2022年10月19日】 Apache修補Commons Text重大漏洞、滲透測試工具Cobalt Strike出現重大RCE漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153685">【2022年10月18日】日本科技公司大宮化成遭勒索軟體LockBit攻擊、駭客兜售UEFI惡意軟體BlackLotus</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153666">【2022年10月17日】澳洲警方跨國緝毒機密因哥倫比亞政府遭駭外流、荷蘭警方取得155個勒索軟體DeadBolt解密金鑰</a></strong></strong></strong></p> </div></div></div>
2022/10/20 17:58作者周峻佑https://www.ithome.com.tw/news/153732
國內11家飯店明年示範導入機器人，靠機器人迎賓、消毒環境、為客房送物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在未來，以機器人取代人力，執行高重覆性的工作將愈來愈普及。經濟部工業局、資策會今天與緯創資通、博鈞科技等多家廠商共同舉辦「服務型機器人旅宿應用示範團隊啟動大會」，促成業者與11家飯店合作，明年示範導入機器人。</p> <p>參與示範的業者除了崇友實業、三菱等電梯業者加入，主要分為兩個團隊，一隊由博鈞科技、亞洲光學等業者合作，將在明年3月陸續於5家飯店，包括福爾摩沙酒店聯盟草悟道酒店、台南維悅酒店、台北玩行旅、台中港酒店、台中神木谷假期大飯店導入服務型機器人，在飯店導入自動送物機器人。</p> <p>另一隊則由緯創資通、台灣微軟、Nvidia、和煜科技等組隊，明年4月在台北美崙、淡水福容飯店、六福萬怡酒店、新竹安捷國際酒店、日月潭力麗溫德姆酒店、高餐大群會館，共6家飯店導入迎賓機器人、客房配送機器人、環境消毒機器人。</p> <p><strong>由左至右分別為：迎賓接待機器人、消毒機器人、客房送物機器人：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20221020_112553.jpg" style="width: 600px; height: 450px;" /></p> <p>以飯店導入客房配送機器人為例，機器人的下方為AMR自主移動機器人，當旅客要求客房送物服務時，飯店人員將物品放置機器人後，便能從管理後檯派工給機器人，以緯創資通的配送機器人為例，利用Azure進行機器學習訓練，結合機器人的Nvidia Jetson平臺為邊緣運算，讓機器人在物品、旅客混雜的飯店環境裡自主移動。</p> <p>當機器人要搭乘電梯到其他樓層時，發送訊息至後檯，再由後臺介接機電系統呼叫電梯，緯創資通表示，當電梯門開啟時，如同人類一般，機器人會準備進入電梯內，辨別電梯內乘客位置，並依據讓位情形，判斷是否有空間搭乘，如果電梯內人員太擁擠，再等待下一部電梯。當抵達客房時，機器人撥打客房電話通知已抵達門口，旅客再以密碼或房卡，開啟機器人身上的箱蓋取物。</p> <p>緯創資通現場展示3款機器人，它們支援Wi-Fi、4G或5G通訊，包括配備紫外線燈及AMR的環境消毒機器人，可連續10小時執行環境消毒作業，迎賓機器人提供導覽、接待服務，另一款客房配送機器人，用以取代傳統人工配送物品，宣稱可提升20%的服務效率。</p> <p>亞洲光學與博鈞科技則展示自動送物機器人，根據不同飯店的送物作業設計流程，同樣以AMR自主移動，利用內建的紫外線燈為配送物品消毒，根據環境、時間及人流，執行單趟多次配送，抵達客房時，支援Line Bot到達通知、無接觸身分驗證取物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%81%E7%89%A9.jpg" style="width: 300px; height: 400px;" /></p> <p>博鈞科技表示，在24小時營業的飯店業，機器人可完成約7成的客房物品配送工作，同時降低2到3成的旅客等待時間。</p> <p> </p> <p> </p> </div></div></div>
2022/10/20 18:11作者蘇文彬https://www.ithome.com.tw/news/153730
英特爾揭露新一代Thunderbolt，將奠基於USB 4 Version 2.0標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著USB應用論壇（USB Implementers Forum，USB-IF）<a href="https://www.businesswire.com/news/home/20221017006047/en/USB-IF-Announces-Publication-of-New-USB4%C2%AE-Specification-to-Enable-USB-80Gbps-Performance" target="_blank">在本周發布了USB 4 Version 2.0的正式規格</a>，<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-leads-industry-next-generation-thunderbolt.html" target="_blank">英特爾（Intel）亦揭露其新一代Thunderbolt介面的特色</a>，表示新版Thunderbolt將提供80 Gbps的雙向傳輸能力，<a href="https://www.theverge.com/2022/10/19/23411752/intel-thunderbolt-next-generation-usb-4-version-2-specs?scrolla=5eb6d68b7fedc32c19ef33b4" target="_blank">但《The Verge》認為</a>，Thunderbolt 5的功能與USB 4 Version 2.0相去不遠，已不如以往吸引人。</p> <p>Thunderbolt是英特爾與蘋果共同開發的硬體介面，單個介面就能同時支援資料、影像與電力的傳輸，目前的版本為Thunderbolt 4，Thunderbolt與USB標準的介面及纜線是相容的，但Thunderbolt通常會有更快的傳輸及充電速度。英特爾尚未公布新一代Thunderbolt的名稱，外界暫時以Thunderbolt 5稱之。</p> <p>依照英特爾的說法，Thunderbolt 5是基於USB 4 Version 2.0及DisplayPort 2.1規格所設計，它將帶來80 Gbps的雙向頻寬，是Thunderbolt 4的兩倍，支援最新的DisplayPort 2.1，也有兩倍的PCI Express資料吞吐量，相容於既有的1米被動纜線，也相容於前一代的Thunderbolt、USB及DisplayPort，另對於密集影片的使用，所支援的最高頻寬則可達到120 Gbps。</p> <p class="rtecenter"><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2022-10/newsroom-intel-next-gen-thunderbolt-3.jpg.rendition.intel.web.1648.927.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／英特爾</span></span></p> <p>雖然Thunderbolt 5的官方名稱與規格細節要到明年才會出爐，但看起來它就是以更多的頻寬，來強化對高解析度螢幕、遊戲及備份大量檔案的支援能力。</p> <p>至於《The Verge》認為Thunderbolt 5可能失去其必要性的原因，在於USB 4 Version 2.0已提供了類似的能力。因為此一最新的USB規格也具備120/40 Gbps的傳輸能力，亦支援DisplayPort 2.1與 PCI Express 4，當兩者的差距愈來愈小，Thunderbolt最終可能失去其優勢。</p> </div></div></div>
2022/10/20 15:49作者陳曉莉https://www.ithome.com.tw/news/153725
Meta AI讓閩南語可與英文對話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/10/hokkien-ai-speech-translation/" target="_blank">Meta本周發表了一個全新的AI系統</a>，可讓福建話（Hokkien，閩南語）直接與英文對話，<a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank">且Meta創辦人暨執行長祖克柏（Mark Zuckerberg）更與主導該系統、來自臺灣的工程師Peng-Jen Chen共同進行了示範</a>。</p> <p class="rtecenter"><a href="https://www.facebook.com/TechatMeta/videos/572626654618826/?t=67" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-zuckerberg%20Hokkien.png" style="width: 271px;" /></a></p> <p>大多數的語音翻譯系統都仰賴轉錄，但在全球常用的逾7,000種語言中，大約有一半主要是以口語為主，它們缺乏標準的書寫格式，於是Meta打造了全球首個口語語言AI翻譯系統，把一種語言的口語直接翻譯成另一種語言的口語，讓講福建話的使用者可以跟英文使用者溝通。</p> <p>這是Meta通用語音翻譯（Universal Speech Translator，UST）專案的一部分，該專案著眼於開發新的AI方法，期待那些以口語為主的語言，都能夠產生即時的口語翻譯，而Meta的首選語言即是福建話。</p> <p>Peng-Jen Chen成長於臺灣，講的是中文，但他父親來自臺灣南部，主要說福建話，雖然中文與福建話是相關的，但彼此之間的對話仍有一定的隔閡。Peng-Jen Chen表示，他希望他的父親能夠以福建話與任何人溝通無礙。</p> <p>根據統計，全球約有數千萬民眾說的是福建話，有2,800萬來自中國，1,350萬來自臺灣，馬來西亞有200萬，新加坡為150萬，還有100萬的菲律賓人。</p> <p>為了讓福建話變成英文，研究人員是以中文寫下福建話與英文，再將它們從中文翻譯成英文及福建話，再將成對的句子加到用來訓練AI模型的資料中。</p> <p>目前該系統只能翻譯單個句子，預計很快就會開源。</p> </div></div></div>
2022/10/20 14:50作者陳曉莉https://www.ithome.com.tw/news/153722
安全軟體開發有新實踐指引，NIST SSDF正受資安業者關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體供應鏈安全毫無疑問是近年最受關注的資安議題之一，在近期最受關注的開源軟體安全性之前，長年以來，資安界就有持續提倡的安全軟體開發生命週期（SSDLC），再加上後起的軟體物料清單（SBOM），其發展同樣是備受關注，然而，在眾說紛紜、各行其是的狀況下，大家都期待出現有公信力的組織，能訂出廣受認可的標準，使這類議題能夠持續推行。</p> <p>現在我們終於看到出現這樣的軟體開發安全框架，其全名為：Secure Software Development Framework，簡稱SSDF，由美國國家標準暨技術研究院（NIST）訂定，足以成為實踐上的重要參考，今年2月新出爐，已引起資安業者關注。例如，提供物聯網設備資安檢測服務的安華聯網科技，持續關注NIST相關標準發展之餘，也在今年臺灣資安大會介紹SSDF，該公司軟體工程師暨資安研究員楊力學（Aspen Yang）談及此框架內容，也解析當中重點。</p> <h2><strong>NIST發布 SSDF 1.1，提供降低軟體漏洞風險的方針</strong></h2> <p>關於安全軟體開發生命週期，有不少資深的IT人員都知道它的重要性，畢竟，軟體驅動一切，每個軟體都有資安風險，若要確保安全性，需在開發過程的每個環節，落實相關的設計與驗證。</p> <p>目前有不少著名的安全軟體開發流程的標準或方法論，可做為推動這項工作實務上的借鏡。</p> <p>例如，微軟發布的安全開發生命週期（MS SDL），由OWASP發布的軟體保障成熟度模型（OWASP SAMM），算是最為知名。近年也看到國內有在談Synopsys發布的軟體安全建構成熟度模型（BSIMM）等。</p> <p>而從產業面來看，也有一些實例，但可能比較不那麼為人所熟知，像是楊力學就提到，在支付卡產業安全領域的PCI SSLC，以及在工控安全標準IEC 62443-4-1當中，其實也都有相關需求規範。</p> <p>特別的是，現在美國NIST也針對這個領域提出實踐框架，其全名是Secure Software Development Framework（SSDF），也就是NIST SP 800-218，這份文件歷時近兩年完成，最終審定1.1版正式發布，當中針對減少軟體漏洞及網路風險的重要行動，做出通盤介紹。</p> <h2><strong>框架本身具通用性，可在開發流程彈性運用</strong></h2> <p>NIST SSDF有何特點？簡單來說，就是適用廣泛，具通用性與彈性。</p> <p>在這場介紹中，我們可以了解它的一些特性，而我們也直接檢視了<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">NIST SSDF的文件</a>，當中的內容亦有充分的說明。</p> <p>根據NIST指出，要確保正在開發的軟體足夠安全，就要將安全軟體開發的實踐，增加到每個軟體開發生命週期（SDLC）模型之中。</p> <p>而SSDF本身就是提供基本、健全的安全軟體開發實踐，定義安全軟體開發的通用語言，並且是高層次的框架，因此並不會規定每項實踐要如何進行，重點在於實踐的結果，而不是這樣做的工具、技術與機制，所以，不論規模大小或網路安全水準高低，任何部門、組織都可以使用SSDF。</p> <p>關於SSDF這方面特性的意義，楊力學也做出具體整理，例如，SSDF支援多樣SSDLC標準因而具有延展性，也就是說，大家可依照參照的SSDLC標準進行文件化，適用範圍可大可小，而且，該框架並不會只針對專門程式語言、軟體開發流程框架、實作軟體、開發環境與維運環境，因此可以整合現有工具鏈與工作流程。此外，能適用IT、ICS、CPS與IoT領域開發的軟體。</p> <h2><strong>將安全軟體開發分4大構面，20項實踐</strong></h2> <p>整體而言，SSDF使用類似NIST CSF的表格形式來呈現。在表格的最左側，就是框架的4大構面，各欄則是組成要素與結構，包括：實踐（Practices）、工作（Tasks）、概念實施範例（Notional Implementation Examples ），以及參考資訊（References）。</p> <p>對於NIST SSDF的實踐內容，楊力學有更清楚的說明。他表示，在這份實踐文件中，主要有4大構面：組織要做的準備，保護軟體，產出良好安全的軟體，回應弱點。</p> <p>由於有了4大構面的區分，他認為，這突顯當前環境存在一些觀念偏差。很多人可能誤以為，要讓軟體程式開發增加安全，只要做源碼檢測、程式碼審核，但事實上不是這樣，要做的事其實是更多樣的，而從SSDF的框架即可看出。</p> <h3><span style="color:#0099ff;"><strong>1.組織要做的準備</strong></span></h3> <p>首先，在組織要做的準備上，有5個實踐項目，分別是：定義軟體開發的安全需求，實施角色與職責，實施支援工具鏈，定義與使用軟體的安全標準查核表，以及實施與維護軟體開發的安全環境。</p> <p>在此當中，楊力學指出，把安全需求定義清楚，是最重要的工作。他並引用一張Open Security Architecture的分類圖，指出當中著重在「安全架構」與「控制措施」，並概要列舉出常見SSDLC在這兩者之下，會需要實作的資安需求，常見有13項，包含：安全架構與安全設計、資安控制措施、軟體弱點辨識、以不可逆方式保存密碼、進行身分認證、權限設計與授權管理、用金鑰加解密、機密敏感性檔案處理、安全連接與通訊、安全傳輸檔案、簽署資料、驗證資料完整性，以及數位證據保存。</p> <p>綜觀這裡的5個實踐，不僅是定義安全需求，準備工作也涵蓋到要有軟體安全標準的查核表，以及實施與維護。</p> <h3><strong><span style="color:#0099ff;">2.保護軟體</span></strong></h3> <p>其次，在保護軟體上，主要分3個實踐，簡單來說，可聚焦在3個概念：首先，要防範未經授權的存取與竄改，並且是所有狀態的程式碼；其次，是提供機制驗證軟體釋出的完整性；最後，是每次的軟體釋出都進行庫存與保護。</p> <p>尤其是最後一點，楊力學強調，因為，其中一個工作項目的內容，就是關於蒐集、維護每個軟體所有元件的出處資料，也就是目前相當熱門的軟體物料清單（SBOM）。</p> <p>而這裡主要可以分成兩個重點來看，分別是SBOM報告格式，以及弱點可利用性資訊交換標準（VEX）。對此，他也引用美國CISA對於SBOM的介紹，指出近年美國國家電信暨資訊管理局（NTIA），已經提供相當多關於SBOM介紹、導入、技術資源、PoC教訓等文件，其中在SBOM 報告格式要求方面，主要有三種選擇，分別是ISO/IEC 5962:2021的SPDX、NIST的SWID，以及OWASP的CycloneDX。</p> <p>還有更重要的是，要將SBOM跟弱點結合在一起，因此需要VEX這樣的機制配合。如此一來，SBOM才真正有作用，可以使得供應鏈資安變得透明化。</p> <h3><span style="color:#0099ff;"><strong>3.產出良好安全的軟體</strong></span></h3> <p>在產出良好安全的軟體上，這裡有9個實踐項目，楊力學認為，這是整個文件中最重要的部分。</p> <p>除了軟體設計要能與資安需求相符並緩解資安風險，以及複驗軟體設計，也要驗證第三方軟件是否符合安全要求。</p> <p>並且，在可行情況下使用現有安全可靠的軟體，也就是不要重複造輪；程式設計本身在撰寫程式碼時，也要堅持安全設計原則；在使用直譯器、編譯器及Build流程中，要將這些流程的組態設定提高安全性，以提高可執行檔，以及系統載入執行期間的安全性。他並舉例，C語言與C++語言會面臨很多這方面的問題。</p> <p>接下來，進行程式碼審核，審查與分析人工可讀的程式碼以識別弱點；然後是測試可執行程式碼以識別弱點，並透過自動化方式降低檢測漏洞的資源與成本；最後是軟體的預設值，必須是安全的組態。</p> <h3><span style="color:#0099ff;"><strong>4.回應弱點</strong></span></h3> <p>最後，在回應弱點上，主要有3個實踐項目，包括：於現有的基礎持續辨認與確認弱點，評估、訂定優先順序與修復弱點，以及分析弱點以辨認根因。</p> <p>對於弱點的認知，除了普遍熟知的CVE漏洞編號，美國MITRE從2005年發展出的CWE通用弱點列表，許多人同樣都很熟悉，一直是軟體安全相關領域研究人員的重要參考。</p> <p>這方面楊力學也用了CWE來舉例，鼓勵軟體工程師在學習上，可由此瞭解現在軟硬體弱點的根因，事實上，有了根本原因才會產生弱點，有弱點才會有可利用性。</p> <p>同時，他也簡單說明，實務上會產生軟硬體弱點的5大原因，包括隕石式開發流程的緊急要求、未導入安全開發流程、開發與維運人員缺乏資安領域知識、人力資源不足，以及一時粗心，都是容易造成問題的主因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></p> <p><strong>在NIST SSDF框架中，第一個要實踐的工作，就是將安全需求定義清楚，安華聯網科技軟體工程師暨資安研究員楊力學藉由OSA分類圖，說明應著重於「安全架構」與「控制措施」，並列舉出13項SSDLC常見需要實作的資安需求。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20SSDF.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST SSDF的「保護軟體」構面中，有項實踐的工作是關於軟體物料清單（SBOM）。這裡有兩點需要注意，一是SBOM報告格式，現今主流有SPDX、SWID與CycloneDX，另一是弱點可利用性資訊交換標準（VEX），需要搭配才能讓SBOM發揮作用。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SSDF.JPG" style="width: 600px;" /></p> <p><strong>經過這場介紹後，<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf">我們也實際了解NIST SSDF（SP 800-218）文件的內容</a>，這裡使用了類似NIST CSF的表格形式呈現，從內容架構來看，除了分為4大構面，20項實踐，並統計出共有47項工作。</strong></p> <p><strong>舉例來說，在第一個構面「組織要做的準備」（PO）中，共有5個實踐項目，若以第一個實踐「定義軟體開發的安全需求」（PO.1）來看，又分成3項工作，第一項工作是「識別並記錄組織軟體開發基礎設施與流程的所有安全要求，並隨著時間的推移維護這些要求」（PO.1.1）。</strong></p> <p><strong>值得注意的是，會後我們向楊力學確認相關資訊時，他也特別提到一點，就是這當中有4個工作項目，在白皮書經審定公告為標準後，已移動到其他實踐。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST SSDF_參考資訊.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20SSDF_%E5%8F%83%E8%80%83%E8%B3%87%E8%A8%8A.JPG" style="width: 600px;" /></a></p> <p><strong>要如何具體實踐這些內容？NIST建議，可查閱框架所提的實施範例，以及參考資訊，同時，使用者也應獲取有關實施這些實踐的額外資訊。而我們發現，這裡的參考資訊內容，已包括數個標準與指引，以其中一項實踐工作為例，參照的資訊就有：BSA FSS、BSIMM、IEC 62443、MS SDL、NIST CSF、OWASP SAMM、PCI SSLC、SC AGILE、SC FPSSD、SC SIC、SP 800-53、SP 800-160、SP 800-161、SP 8001-181等，還有美國總統拜登行政命令EO 14028。</strong></p> <p><strong>不過，在這些標準與指引當中，我們對於SC FPSSD、SC AGILE、SC SIC較為陌生，因此也請楊力學協助說明，他表示，像是SC FPSSD，指的就是Safe Code組織（<a href="https://safecode.org">https://safecode.org</a>）的SSDLC標準。</strong></p> </div></div></div>
2022/10/20 14:52作者羅正漢https://www.ithome.com.tw/news/153723
研究人員發現幾乎無法偵測到的PowerShell後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.safebreach.com/resources/blog/safebreach-labs-researchers-uncover-new-fully-undetectable-powershell-backdoor/" target="_blank">安全廠商近日發現一隻</a>會自我偽裝而幾乎「完全偵測不到」（fully undetectable）的Windows後門程式，而且可能已經用以鎖定近百個受害者。</p> <p>這隻後門程式包含在一份冒充LinkedIn工作申請Word文件，名為Apply Form.docm，透過精準釣魚攻擊散布，這個Word檔案是在今年8月由不知名的駭客在約旦上傳。研究人員判斷，這PowerShell後門程式這次攻擊大約成功鎖定了約100名受害者。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SafeBreach</span></span></p> <p>SafeBreach Labs研究人員指出，惡意Word 文件包含巨集程式，下載後的script程式會自我註冊成Windows Update行程的一部份，偽裝成Windows合法排定任務而避過安全工具的檢查。它同時建立2支PowerShell script，一支向外部C&C伺服器下載指令並指派受害者編號，另一支則執行指令。</p> <p class="rtecenter"><img alt="" src="https://www.safebreach.com/wp-content/uploads/2022/10/Figure-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SafeBreach</span></p> <p>原本這2支script都是經過混淆（obsfucated）無法讀取，但研究人員利用script以可預測順序為受害者編號這點，得以解讀出受害者的機器識別碼以及其指令內容。研究人員根據惡意程式指派的編號判斷，應該有近100人受害。</p> <p>他們發現攻擊者主要以竊取受害電腦資料為主，其次是清空資料夾、列舉本地用戶、移除公用資料夾／帳號／電腦或IP的檔案、以及列舉AD使用者及RDP用戶端。</p> <p><a href="https://www.theregister.com/2022/10/18/fully_undetectable_windows_powershell_backdoor/" target="_blank">研究人員指出</a>，這隻惡意程式偽裝手法很高明，關閉巨集功能是可以封堵一項攻擊管道，但是若攻擊者使用其他入侵管道進入用戶電腦，則仍然難以發現而得以達到監視竊聽用戶之目的。</p> </div></div></div>
2022/10/20 13:52作者林妍溱https://www.ithome.com.tw/news/153720
Fortinet新修補漏洞已有多起攻擊，逾1萬7千臺Fortinet設備恐曝險，臺灣635臺居第三
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu_960_fortinetxin_xiu_bu_lou_dong_yi_you_duo_qi_gong_ji_tu_pian_lai_yuan_shadowserver.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全設備商Fortinet近日一項漏洞修補消息，由於業者通知用戶的方式有別於以往，再加上後續出現多起攻擊發生的態勢，所以引發了大家關注。</p> <p>這起事件的起因，主要是Fortinet通知用戶，修補CVE-2022-40684漏洞，而這漏洞的性質，屬於HTTP/HTTPS管理介面的驗證繞過漏洞，其CVSS風險評分達9.6分，主要影響了他們旗下的三款產品線，分別是:FortiOS、FortiProxy、FortiSwitchManager。</p> <p>只是，在這次漏洞修補通知過程中，<a href="https://www.ithome.com.tw/news/153533">Fortinet先在10月6日以電子郵件聯繫特定用戶，說明釋出CVE-2022-40684修補</a>，呼籲他們儘速更新防火牆及網頁安全閘道產品，或採取緩解措施，信中並指出，這項通知僅提供特定用戶，並強調內容極度機密，不可對外分享，日後才會公告。</p> <p>到了10月10日，Fortinet在自家網站的PSIRT資安公告區，公開說明上述漏洞CVE-2022-40684的更新修補已經釋出了，當中提及他們注意到已出現成功利用此漏洞的情形。此外，同日還有針對另外5個漏洞的更新修補公告。</p> <p>然而，在10月6日的隔天，就有用戶將CVE-2022-40684漏洞訊息公開，張貼於社群網站及客戶支援論壇，而且，接下來，許多媒體也都在官方公告前就報導此事，等於在廠商正式公告前，相關消息早已曝光。</p> <p>這也使得<a href="https://www.ithome.com.tw/news/153674">Fortinet在10月14日，又再更新CVE-2022-40684漏洞的資訊</a>中，不僅說明發生多起攻擊、公布相關IoC，也提到他們這次改變慣常的通知流程，是希望客戶能在對外發布公告之前，加強其安全態勢。</p> <p>對於這樣的通知，我們也詢問臺灣Fortinet為何出現這樣的狀況，他們表示，此事件的通知模式並非常態，主要期望幫用戶爭取更多的反應時間。</p> <p>但從結果來看，Fortinet這次低調的漏洞修補通知，其實在隔日就公諸於世，早於正式公告。因此，此作法的效果及影響，是否不如一開始就直接公開揭露，成為外界議論焦點。</p> <p>此外，我們再向臺灣Fortinet了解狀況，以確認事件經過。問題包括：是否可以說是攻擊者先找出這個漏洞利用，因此Fortinet發現後趕緊修補漏洞，在釋出更新後，決定在發布產品安全性更告知前，先行通知特定用戶更新，以爭取反應時間。以及是否所有受影響的用戶都先收到通知？還是企業若想要能先收到通知，需達到何種條件？目前正等待臺灣Fortinet回覆。</p> <h3><strong>多家業者對未修補用戶示警</strong></h3> <p>對於CVE-2022-40684漏洞被鎖定攻擊的情形，從Fortinet在10月14日所公布的資訊來看，之所以在6日調整了通知流程，是因為當時發現此漏洞遭濫用的一個實例，而到了14日，他們在公告提到，因為此重大漏洞的關係，已發生多起攻擊。</p> <p>該公司指出，在6日的早期對特定用戶進行祕密示警之下，已在他們設置的誘捕系統中，發現網路上有掃描受影響的設備，利用漏洞下載配置檔並安裝惡意管理員帳戶。</p> <p>另外值得關注的是，針對此漏洞進行攻擊，其他資安業者及組織也揭露各自的發現。例如，<a href="https://viz.greynoise.io/tag/fortios-authentication-bypass-attempt?days=3">資安業者GreyNoise表示</a>，關於CVE-2022-40684的攻擊，他們的系統每天都偵測到上百個IP位址，對網路進行相關的掃描；<a href="https://twitter.com/Shadowserver/status/1581019923450847232">Shadowserver基金會也發布報告</a>，他們發現全球有17,415臺設備，易受鎖定CVE-2022-40684漏洞利用攻擊，應該要被修補，且不應將管理介面暴露於網際網路上，而從各國來看，美國與印度的暴露數量最多，分別都有超過3千4百臺、 1千7百臺的規模，臺灣有635臺，位居第三。文☉林妍溱、羅正漢</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/fortinet">Fortinet</a></div><div class="field-item odd"><a href="/tags/cve-2022-40684">CVE-2022-40684</a></div><div class="field-item even"><a href="/tags/%E6%BC%8F%E6%B4%9E%E4%BF%AE%E8%A3%9C">漏洞修補</a></div></div></div>
2022/10/20 12:39作者羅正漢https://www.ithome.com.tw/tech/153719
微軟伺服器配置錯誤，外洩客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-single-misconfigured-data-bucket/" target="_blank">資安業者SOCRadar周三（10/19）披露</a>，該公司的雲端安全模組（Cloud Security Module）持續掃描公開網路環境中的安全漏洞或不當配置，偵測到微軟Azure Blob Storage的一項配置錯誤而外洩了來自111個國家逾6.5萬家企業的資料，而這應是史上最嚴重的B2B外洩事件之一。<a href="https://msrc-blog.microsoft.com/2022/10/19/investigation-regarding-misconfigured-microsoft-storage-location-2/" target="_blank">微軟已證實此事</a>，但說SOCRadar誇大了外洩規模。</p> <p>根據SOCRadar的說法，這6.5萬家企業的機密資料會外洩都是因為單一伺服器的配置錯誤所造成，該伺服器含有許多SQLServer資料庫與各式檔案，總計約有2.4TB的資料量，資料日期介於2017年至2022年的8月，所外洩的包括執行證明（Proof-of-Execution，PoE）、工作說明書（Statement of Work，SoW）、使用者資訊、產品訂單、專案細節、個人可識別資訊（Personally Identifiable Information，PII），或者還有些文件可能含有智慧財產。估計有超過33.5萬封電子郵件、13.3萬個專案，以及54.8萬個使用者的資料曝光</p> <p>SOCRadar是在9月24日發現此事並通知微軟，雙方於本周同時對外公布。SOCRadar也提供了一個免費搜尋工具，讓企業輸入公司名稱以查詢自己是否受到該外洩事件的影響。</p> <p>微軟則解釋，此一意外肇因於微軟生態體系中某個沒在使用的端點不小心配置錯誤，得以讓未經授權的使用者存取微軟與潛在客戶之間的某些商業交易資料，涵蓋姓名、電子郵件帳號、電子郵件內容、企業名稱與電話號碼，或許還有某些微軟與客戶之間用來交流的附加檔案。</p> <p>微軟表示，這並非安全漏洞，在收到SOCRadar的通知之後已快速變更並保全其配置，且不管是客戶帳號或系統都未被入侵，並已逐一通知受影響的客戶，正努力改善內部程序以避免類似的事件再度發生。</p> <p>微軟雖然感謝SOCRadar的知會，但也批評SOCRadar過於誇大了資料外洩的規模，因為該資料集含有許多重複的資訊，包括電子郵件、專案及使用者，且SOCRadar在得知微軟回應後仍堅持使用原來的數字。</p> <p>對於SOCRadar提供外洩企業的免費搜尋工具，微軟亦感到不滿，指出這類的工具應該要顧及資料保護及隱私，應該有合理的身分認證系統來確認查詢人的資格，以及限制搜尋結果的範圍。</p> <p>其實SOCRadar的掃描工具不僅找到配置錯誤的微軟伺服器，也發現了其它外洩的公開儲存庫，只是外洩規模都不如微軟。</p> </div></div></div>
2022/10/20 11:46作者陳曉莉https://www.ithome.com.tw/news/153718
Space X推出飛機版衛星連網服務Starlink Aviation
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克的Space X繼推出海上版及汽車版衛星連網服務後，<a href="https://www.starlink.com/aviation" target="_blank">本周再公布</a>用於機艙的衛星連網服務Starlink Aviation，預計明年年中上市，強調為旅客提供高速、低延遲性的上網服務。</p> <p>Starlink Aviation安裝於機艙內，宣稱每架飛機提供高達350Mbps的連網頻寬，讓所有乘客都能同時獲得串流等級的連網服務。該服務延遲性僅20毫秒，使用者可以享受過去機上連網做不到的事，像是視訊、線上遊戲、連VPN及其他高數據傳輸率的活動。<a href="https://twitter.com/elonmusk/status/1582576552797081607" target="_blank">馬斯克今日也在推特上</a>推銷這項服務，說這項服務讓機上乘客上網像在家中</p> <p>這項服務強調全球涵蓋率，因為Starlink的衛星星群為全球最大，覆蓋面橫跨陸地、海洋及極區，因此用戶整個航程都可享受到高傳輸頻寬。</p> <p>Starlink Aviation將是由航空公司或飛機持有者採購以提供給乘客，月租費為12,500 到25,000美元不等，Space X強調不需綁長約，且簡易好安裝，停機率低，能整合於其他維修檢測流程。這項服務現在提供預購，預計2023年中開通。</p> <p>客戶還需花150,000美元購買Starlink Aviation套件，包含空中基地臺Aero Terminal、電源、2個無線AP及線束組。而核心的空中基地臺Aero Terminal包含具有波束控制功能的相位陣列天線，可提供穩定性、備援能力及效能。Space X也提供了Starlink Aviation支援的航空器機型清單。</p> <p><a href="https://www.ithome.com.tw/news/151742" target="_blank">Space X今年7月獲得美國聯邦通訊委員會許可</a>後，開始將其Starlink推向遊輪、飛機、火車與汽車。今年4月SpaceX分別和夏威夷航空及提供私人專機的JSX航空簽約，透過結合Starlink，使航空公司可在飛機上部署Wi-Fi服務。</p> </div></div></div>
2022/10/20 11:09作者林妍溱https://www.ithome.com.tw/news/153716
macOS 13 Ventura、iPadOS 16將在10月24日釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伴隨著<a href="https://www.ithome.com.tw/news/153698" target="_blank">新款iPad及iPad Pro</a>的公布，蘋果本周也公布作業系統<a href="https://www.apple.com/in/macos/ventura/" target="_blank">macOS 13 Ventura</a>及<a href="https://www.apple.com/newsroom/2022/10/apple-introduces-next-generation-ipad-pro-supercharged-by-the-m2-chip/" target="_blank">iPadOS 16</a>將在10月24日釋出正式版。</p> <p>最新版Mac電腦及iPad作業系統都是在今年6月的<a href="https://www.ithome.com.tw/news/151318" target="_blank">WWDC 2022上首度公布</a>。按照蘋果慣例，新作業系統會在當年秋天新裝置上市後一周釋出。在向大眾釋出正式版之前，蘋果昨日針對開發人員釋出<a href="https://developer.apple.com/documentation/macos-release-notes/macos-13-release-notes" target="_blank">macOS Ventura</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iPadOS16.1</a>、<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-16_1-release-notes" target="_blank">iOS 16.1</a>、<a href="https://developer.apple.com/documentation/safari-release-notes/safari-16_1-release-notes" target="_blank">Safari 16.1</a>以及watch 9.1、tvOS16.1的RC（release candidate）版本以及釋出公告（release note），邀請開發人員上傳為最新版作業系統打造的App。</p> <p>將在下周公布的macOS 13 Ventura及iPadOS 16，蘋果已經經由多次beta版向大眾介紹過。Ventura新增的Stage Manager以更靈活方式在不同App和視窗間切換又不致混淆（下圖）。接續互通相機（Continuity Camera）功能讓Mac用戶得以利用鄰近的iPhone作為電腦的網路攝影機，Ventura並為FaceTime提供了接力（Handoff）功能，可在不同iOS及Mac裝置間順暢串流影像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1020-Stage%20Manager-Stage%20Manager(1).png" style="width: 600px;" /></p> <p>macOS 13 Ventura支援硬體包括iMac 2017年機種及以後版本、iMac Pro 2017年機種、MacBook Air 2018年機種及以後版本、MacBook Pro 2017年機種及以後版本、Mac Pro 2019年機種及以後版本、Mac Studio 2022年機種及以後版本、Mac mini 2018年機種及以後版本，以及MacBook 2017年機種及以後版本。</p> <p>iPadOS 16亦主打強化多工作業能力。同樣地，iPad也新增Stage Manager方便用戶在iPad上執行多個App或視窗。這項功能原本只支援去年M1版iPad Air及iPad Pro，隨著新作業系統推出，也將延伸到更多機種。可安裝iPadOS 16的iPad包括iPad Pro全系列、iPad Air 3代以後、iPad 5以後及iPad mini 5以後。</p> </div></div></div>
2022/10/20 09:48作者林妍溱https://www.ithome.com.tw/news/153714
Windows Terminal現成為Windows 11預設終端工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows Terminal經過多次更新，隨著最新的Windows 11 22H2版本發布，成為<a href="https://devblogs.microsoft.com/commandline/windows-terminal-is-now-the-default-in-windows-11/">Windows 11預設命令工具</a>，這代表所有命令應用程式現在都會自動以Windows Terminal啟動。用戶需要使用Windows Terminal 1.15以上版本，才能使預設行為生效。</p> <p>在Windows設定中隱私和安全的開發人員頁面，還有Windows Terminal設定的啟動頁面，可以調整Windows Terminal預設。Windows Terminal作為Windows 11預設工具的行為，只會在用戶使用讓Windows決定（Let Windows decide）的選項才會發揮作用，如果用戶已有配置預設終端，則此項更新不會覆蓋用戶的偏好。</p> <p>藉由使用Windows Terminal，用戶可以擁有多個命令列配置檔案，這些檔案和命令列應用程式相關聯，根據用戶偏好單獨設定，當用戶使用WSL或是Visual Studio，Windows Terminal會自動產生配置檔案。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/commandline/wp-content/uploads/sites/33/2022/10/terminal-settings-2048x1213.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>Windows Terminal支援分頁和多窗格，可供用戶靈活使用，使工作流程更加順暢，Windows Terminal終端還提供豐富的操作，讓用戶能夠控制與終端的互動，同時微軟也提供了命令面板，使用戶能夠更簡單地尋找這些功能，另外，Windows Terminal終端也提供大量的自定義選項，像是背景、配色主題和透明度等設定。</p> </div></div></div>
2022/10/20 08:58作者李建興https://www.ithome.com.tw/news/153706
Ansible Playbook語法太複雜？Red Hat讓AI幫忙寫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat和IBM研究院共同發表了<a href="https://www.businesswire.com/news/home/20221018006095/en/Red-Hat-and-IBM-Research-Advance-IT-Automation-with-AI-Powered-Capabilities-for-Ansible">Project Wisdom</a>，這是一項針對Ansible和IT自動化，運用自然語言處理技術的社群專案，Project Wisdom可以依據自然語言輸入，自動產生Ansible Playbook語法，以實現高度IT自動化，也使不同背景和技能的IT人員，能更容易地實現IT自動化。</p> <p>Project Wisdom源自IBM AI for Code專案中人工智慧基礎，讓用戶能夠以簡單的英文句子作為輸入，人工智慧模型會解析句子並且建構請求的自動化工作流程，編寫成Ansible Playbook以自動化IT任務，官方提到，與其他人工智慧程式碼編寫工具不同的地方在於，Project Wisdom並非用於應用程式開發，而是專注於解決因為企業混合雲應用增加，隨之而來的IT複雜性。</p> <p>Project Wisdom的目標，是填補Ansible YAML程式碼與人類自然語言之間的差距，用戶只要使用英文語句，人工智慧就可以產生語法正確且功能強大的自動化程式碼，協助通常僅在本地端作業的系統管理員，透過使用自然語言就可以輕易生成，跨網域在其他環境執行建置、配置和操作任務的Playbook指令。</p> <p>而不熟悉雲端平臺的開發者也能夠藉由使用Project Wisdom，增加對雲端配置應用程式的熟悉度，官方還提到，Project Wisdom使跨部門新人在建立基礎知識的同時，就已經可以立即生成可用的內容，無需仰賴過去傳統的教學模式。</p> <p>Red Hat和IBM研究院承諾，Project Wisdom及基礎人工智慧模型的程式碼庫，將會持續向社群公開，而來自Red Hat和IBM研究院的Ansible專家，將會是微調人工智慧模型的主要人員，Ansible社群將扮演主題專家和測試人員的角色。</p> </div></div></div>
2022/10/20 09:03作者李建興https://www.ithome.com.tw/news/153708