iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年11月10日，SAP修補BusinessObjects與SAPUI5漏洞、兩大處理器業者修補旗下…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週有許多的IT業者發布例行修補。例如，SAP公布兩個重大漏洞與緩解方式，分別出現在商業智慧軟體BusinessObjects，以及應用程式開發框架SAPUI5。</p> <p>處理器大廠Intel、AMD也著手修補旗下產品，以Intel而言，風險程度最為嚴重的漏洞是CVE-2021-33164；AMD的部分，則是能觸發Spectre V2的推測執行漏洞CVE-2022-23824。</p> <p>打造間諜軟體的業者利用手機零時差漏洞發動攻擊的行動，已有數起，且很有可能存在超過一年以上才被發現。Google的研究人員發現三星去年修補的漏洞，在2020年就有間諜軟體商用於製作相關工具，而且發動了攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.sucuri.net/2022/11/massive-ois-is-black-hat-redirect-malware-campaign.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress惡意軟體攻擊1.5萬個網站，將瀏覽者導向惡意網站</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_qa_site_ois.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站的惡意軟體攻擊，此惡意軟體自今年9月，透過將ois[.]is存取受害網站的使用者，重新導向至冒牌的問答網站，其目的很可能是讓攻擊者的網站左右搜尋引擎結果。根據研究人員的調查，約有1.5萬個網站被植入惡意軟體，這些網站都被植入約2萬個檔案，這些檔案被用於製造垃圾搜尋結果。</p> <p>研究人員指出，駭客所使用的網域多達1,137個，且攻擊伺服器隱匿於Cloudflare的服務之後，而難以追查來源。究竟駭客如何入侵受害網站？研究人員推測是透過存在漏洞的WordPress外掛程式，或者是經暴力破解管理員密碼而得逞。</p> <h3><a href="https://www.trendmicro.com/en_us/research/22/k/hack-the-real-box-apt41-new-subgroup-earth-longzhi.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41附屬組織利用惡意程式Symatic攻擊臺灣政府、關鍵基礎設施、醫療保健產業</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-earth-longzhi-apt41-subgroup.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Longzhi（亦稱GroupCC）的攻擊行動，其特徵是駭客使用了自製的Cobalt Strike載入工具「Symatic」，該組織隸屬中國駭客APT41。</p> <p>研究人員自2020年開始共觀察到2波攻擊行動，從2020年5月至2021年2月主要是針對臺灣的政府、關鍵基礎設施、醫療保健產業，亦有中國銀行業者遭到鎖定；而第2波約自2021年8月至今年6月，範圍擴及泰國、馬來西亞、印尼、巴基斯坦、烏克蘭，駭客針對的產業也更廣，涵蓋國防、航空、保險，以及都市開發業者。</p> <p>值得留意的是，駭客在第2波攻擊行動當中，不斷對上述Cobalt Strike載入工具改版，透過多執行緒強化運作效率，並改良誘餌文件檔案，來讓更多人上當。研究人員發現，駭客為了停用防毒軟體，他們使用名為ProcBurner和AVBurner的作案工具，搭配微星舊版驅動程式RTCore64.sys，以便發動自帶驅動程式（BYOVD）攻擊。</p> <h3><a href="https://googleprojectzero.blogspot.com/2022/11/a-very-powerful-clipboard-samsung-in-the-wild-exploit-chain.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">間諜軟體供應商鎖定三星手機漏洞下手，製作攻擊程式</span></strong></a></h3> <p>Google旗下的威脅情報團隊Project Zero，近日揭露三星去年3月修補的手機漏洞CVE-2021-25337、CVE-2021-25369、CVE-2021-25370，並指出在此之前，有專門提供間諜軟體的網路安全廠商在利用這些漏洞。</p> <p>研究人員指出，上述漏洞都存在於三星專屬元件，且已被串連，攻擊者藉此提升權限，並繞過手機的安全防護機制，然後將惡意軟體植入受害手機，這樣的攻擊行動在2020年底出現。上述漏洞存在於部分Galaxy S10、A50、 A51手機，影響搭載Exynos版SOC、執行Linux核心4.14.113版的機種。</p> <h3><a href="https://www.zimperium.com/blog/the-case-of-cloud9-chrome-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體IceXLoader感染全球數千臺電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/IceXloader_2chain.png" style="width: 300px; float: right;" /></a>資安業者Minerva揭露近期惡意軟體IceXLoader的攻擊行動，駭客透過釣魚郵件挾帶ZIP壓縮檔附件，進而於受害電腦部署此惡意軟體，一旦IceXLoader成功進駐，攻擊者將其用於收集受害電腦的系統資訊，並傳送木馬程式DarkCrystal RAT及挖礦軟體。研究人員調查駭客所使用的C2伺服器，發現已有數千臺電腦受害，於是，逐一通知受害企業。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-businessobjects-sapui5"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補旗下商業智慧軟體BusinessObjects、應用程式開發框架SAPUI5</span></strong></a></h3> <p>在11月份例行修補裡，SAP總共發布了14個漏洞修補程式，當中最為嚴重的漏洞為CVE-2022-41203，CVSS風險評分達到9.9分，存在於商業智慧軟體BusinessObjects，與未受信任資料的反序列化不安全有關，資安業者Onapsis指出，起因是該套件反序列化過程並未針對已處理的資料進行驗證，而影響此系統的機密性、完整性，以及可用性。</p> <p>另一個重大漏洞為CVE-2021-20223，存在於應用程式開發框架SAPUI5的SQLite元件，CVSS風險評分為9.8分。駭客一旦取得最低的權限，就有機會利用此漏洞攻擊SAPUI5。</p> <h3><a href="https://www.securityweek.com/intel-amd-address-many-vulnerabilities-patch-tuesday-advisories"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel、AMD修補晶片漏洞</span></strong></a></h3> <p>11月8日，Intel、AMD發布資安通告，修補旗下眾多產品的漏洞。</p> <p>Intel總共發布24筆資安通告，修補超過50個漏洞，其中有7筆通告涉及提升權限的高風險漏洞，受到影響的產品範圍，包含部分處理器的BIOS韌體、NUC的BIOS韌體、XMM 7560數據機軟體、資料中心管理系統軟體（DCM）、伺服器主機版，以及主動管理技術（AMT）的SDK等，最嚴重的是NUC漏洞CVE-2021-33164，CVSS風險等級為8.2分。</p> <p>AMD本次發出4則資安通告，總共涉及10個漏洞，其中的CVE-2022-23824與處理器的推測執行漏洞有關，能夠用於觸發Spectre V2（CVE-2017-5715）。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/lenovo-fixes-flaws-that-can-be-used-to-disable-uefi-secure-boot/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">聯想修補可被用於關閉UEFI安全開機的漏洞</span></strong></a></h3> <p>資安業者ESET揭露向筆電廠商聯想通報的3個漏洞CVE-2022-3430、CVE-2022-3431、CVE-2022-3432，這些漏洞存在於該廠牌ThinkBook、Yoga、IdeaPad系列筆電，一旦遭到利用，攻擊者可停用筆電的UEFI安全開機機制，從而繞過作業系統的安全防護措施，以便部署惡意軟體。研究人員指出，這些漏洞源於聯想不慎納入早期開發階段的驅動程式，而使得UEFI安全開機的配置有可能被任意更動。</p> <p>聯想獲報後，修補了CVE-2022-3430與CVE-2022-3431，對於位處終止支援機種的CVE-2022-3432，將不予處理。</p> <h3><a href="https://support.apple.com/en-us/HT213505"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果修補可被用於執行任意程式碼的iOS及iPadOS漏洞</span></strong></a></h3> <p>蘋果於11月9日發布iOS 16.1.1與iPadOS 16.1.1，當中修補了兩個漏洞CVE-2022-40303、CVE-2022-40304，都與libxml2函式庫中的整數溢位有關，一旦遭到利用，攻擊者有可能遠端造成應用程式非預期停止，或是執行任意程式碼。</p> <h3><a href="https://portswigger.net/daily-swig/prototype-pollution-bug-exposed-ember-js-applications-to-xss"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">建置NPM套件的框架Ember.js存在原型汙染漏洞，恐被用於跨網站指令碼攻擊</span></strong></a></h3> <p>資安研究員Masato Kinugawa發現NPM套件建置框架Ember.js框架的原型汙染（Prototype Pollution）漏洞，攻擊者可以利用屬性函數，來跨越（traverse）物件的原型，並竄改JavaScript應用程式的其他元件，包含所有其他派生的基礎物件，進而發動跨網站指令碼（XSS）攻擊。此外，這種原型汙染漏洞，也很可能被拿來搭配其他漏洞來運用。</p> <p>Ember.js開發團隊獲報後，於11月2日發布4.81.、4.4.4、3.28.10、3.24.7版予以修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.c4isrnet.com/cyber/2022/11/08/pentagon-to-unveil-zero-trust-cyber-strategy/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部即將公布零信任戰略</span></span></strong></a></p> <p><a href="https://www.facebook.com/isc2TaipeiChapter/posts/pfbid031hTDF8YuK7pUNan43NFdGxQiLBAjgqnpBbG6q3BMAeJjckyk7RJFuYR7HtGeQNA1l"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣國際資安認證專家協會正式成立</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/medibank-warns-customers-their-data-was-leaked-by-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank證實勒索軟體駭客已洩露竊得資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/us-states-announce-16m-settlement-experian-t-mobile-over-data-breaches"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對Experian、T-Mobile資料外洩事故，美國各州以1,600萬美元達成和解</span></span></strong></a></p> <p><a href="https://portswigger.net/daily-swig/passport-saml-auth-bypass-triggers-fix-of-critical-upstream-xmldom-bug"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">NPM套件Passport-SAML出現輸入驗證漏洞，恐觸發XMLDOM物件出錯</span></span></strong></a></p> <p><a href="https://www.securityweek.com/google-patches-high-severity-privilege-escalation-vulnerabilities-android"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補高風險層級的Android權限提升漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月9日】沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9鎖定Chrome而來</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月8日】加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomware寫入隨機資料破壞檔案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> </div></div></div>
2022/11/10 17:19作者周峻佑https://www.ithome.com.tw/news/154124
Apple發布iOS 16.1.1和iPadOS 16.1.1更新，修補兩個Libxml2函式庫整數溢位漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple發布最新的iOS 16.1.1與iPadOS 16.1.1，新版本修復多個臭蟲並提供重要更新，<a href="https://support.apple.com/en-us/HT213505">官方說明安全更新修補兩個Libxml2漏洞</a>，這兩個漏洞編號分別為CVE-2022-40303和CVE-2022-40304，皆是由Google Project Zero所發現。</p> <p>這兩個整數溢位漏洞使得惡意攻擊者，可遠端造成應用程式意外關閉，甚至是任意程式碼執行，現在Apple藉由改進輸入驗證，來解決程式整數溢位的問題。可安裝iOS 16.1.1和iPadOS 16.1.1更新的裝置，包括iPhone 8及更新的機型，還有iPad Pro、iPad Air和iPad mini等裝置。</p> <p>iOS 16.1.1在iOS 16.1發布後的兩個禮拜就立刻推出，修補這兩個重要漏洞。Libxml2是Apple作業系統中用來解析XML文件的函式庫，在<a href="https://news.ycombinator.com/item?id=33539148">HackerNews網路論壇</a>便有用戶提出質疑，即便Apple可以簡單並緊急地修補這兩個漏洞，但更值得注意的是，為什麼Apple作業系統核心函式庫會出現這類型漏洞？並推測有更多的Apple裝置也受影響，只是Apple尚未發布作業系統更新。</p> </div></div></div>
2022/11/10 16:09作者李建興https://www.ithome.com.tw/news/154122
政府自建專用短網址服務登場，助公部門傳播資訊，使民眾易於辨認正確的政府官方網頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往短網址服務雖然便利，但同時也會出現不易識別真實網域，而被假冒名義的社交工程手法誘入惡意網站遭到詐騙，或是個資被騙取的問題，最近數位發展部開發出政府專用的自建短網址服務，期望讓政府傳播公共資訊時，能享有短網址的便捷優勢，並讓民眾可以更容易識別政府網站。</p> <p>根據<a href="https://moda.gov.tw/press/press-releases/2780">數位發展部在10月26日宣布</a>的消息，政府專用短網址服務上線後，已有數位部與幾個政府單位試用，方便民眾辨認政府官方網頁的短網址，如今此服務將擴大試辦，將提供給更多政府機關使用，並持續接收意見回饋以調整。</p> <p>舉例來說，10月12日中央疫情指揮中心發布新聞連結時，已開始使用政府短網址服務。在此之前，該單位用社群平臺將政府網站資訊分享民眾時，普遍使用的是bit.ly這類商業及免費短網址服務。</p> <h3><strong>假冒政府名義的釣魚詐騙不斷，政府短網址有利識別</strong></h3> <p>短網址的好處很明顯，例如，不會因網址超長而破壞美觀，因此，許多機關或企業人員，在社群平臺轉貼網站連結時，會使用這樣的服務。短網址服務所發展的流量分析功能，也得以運用在行銷科技，有些行銷人員甚至可對不同傳播管道設定短網址，即可檢視點擊次數與來源，做到流量分析，而不用麻煩IT人員，因而受青睞。</p> <p>然而，短網址的風險問題，過去以來也一再受關注，原因是：收到連結者不易看出真實網域，無法判斷安全性，同時也常出現假冒以政府名義的訊息，透過夾帶短網址來包裝惡意網站，藉機行騙。</p> <p>例如在疫情嚴重期間，民眾屢屢向衛生福利部通報，表示收到以指揮中心或疾病管制署名義發送的詐騙信件或簡訊，內容出現不明短網址連結。</p> <p>對於政府而言，現在有了數位發展部最新推出的政府自建短網址服務，有望解決這樣的問題。對於所有的民眾而言，只要認明<strong>「<a href="https://gov.tw/">https://gov.tw/</a>」+3碼</strong>，可用較簡易方法識別相關網址，減少不慎存取冒名政府名義的詐騙或釣魚網站風險。</p> <p>具體來看，這個短網址服務的網址是<a href="https://url.gov.tw/">https://url.gov.tw/</a>，從其使用介面來看，在申請縮網址的功能上，是供政府機關人員使用，功能相當簡單，主要就是貼上要轉換的原始網址，且網域名稱必須是gov.tw，之後再輸入機關人員的電子郵件信箱，就可以進行申請程序。</p> <p>同時，這個網站也提供政府短網址查詢服務，這個功能是所有民眾均可輸入網址檢驗，確認縮短的原始網址是來自政府的網站而我們也正向數位發展部詢問，申請機制背後運作與所需等待時間，以及後臺是否提供流量分析功能等。</p> <p>整體而言，對於民眾來說，除了過去認明「gov.tw」網域名稱結尾的URL網址，現在也可認明「gov.tw/」開頭的連結。</p> <p>然而，認明gov.tw開頭的網址之餘，實際判斷上，仍有些細節要注意，這主要是因為，有些網域會在網址前方串連其他名稱，但是，這並非政府所用域名，進而產生可乘之機。因此，如果我們要更加縝密表達這樣的注意方式，應該要大家認明網址的格式要加上/，例如「gov.tw/」開頭。</p> <p>原因是:有些攻擊者所偽造的惡意網站或釣魚網站，可能會用「gov.tw.xxxx.xxx.xx」，因此後面部分才是真實網域，若光是認明gov.tw開頭仍有風險。畢竟從數年前開始，<strong><a href="https://www.ithome.com.tw/news/112748#battlenet">已有攻擊者會利用這種偽裝形式</a></strong>，因此，現階段在政策宣導上，還可以將內容調整得更精確。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖A）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96A%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>近年許多假冒國內政府機關官方名義的訊息中，會將惡意連結用短網址來包裝，現在了數位發展部則在採納網路意見之下，推出自建「政府專用短網址服務」。基本上，現在民眾在識別政府網站時，除了可認明以「gov.tw」網域名稱結尾的URL網址，現在也可認明「<a href="https://gov.tw/">https://gov.tw/</a>」開頭的連結。不過要注意，官方宣導上提到要認明<a href="https://gov.tw">https://gov.tw</a>開頭的網址，更精確說法應為<a href="https://gov.tw/">https://gov.tw/</a>開頭。</strong></span></p> <h3><strong>數位發展部採納網路意見，一個月內打造完成</strong></h3> <p>這次政府專用短網址服務上線營運，放眼全球各國，並不多見，畢竟，市面上多的是商業及免費的短網址服務，但政府自建的好處很多，因為民眾看到政府傳播資訊時，可明確知道縮網址背後的原始網址，是轉接到政府官方網站。同時，還能避免短網址服務網址隔一段時間之後可能失效，甚至導向錯誤網站的情形。</p> <p>為何數位發展部會特別打造出政府專用短網址服務？原來，是因為數位部部長唐鳳接收到社群平臺上留言的意見，才讓這項服務得以推出。</p> <p>在數位發展部臉書粉絲專頁上，我們看到行政院農業委員會水土保持局總工程司陳振宇於9月16日留言，他建議數位部能夠開發政府的短網址服務，因為每次看到政府公文或發布消息，是使用民間業者的短網址服務，看起來覺得怪，也有風險。</p> <p>唐鳳看到這個意見後，也回應這是很好的建議，並請同仁開始著手研究。於是，這項服務在一個月內開發完成。</p> <h3><strong>面對短網址被攻擊者濫用情形，民間團體與地方政府早有行動</strong></h3> <p>不僅如此，關於這樣的提議，其實在幾年前就開始有所推動發展。</p> <p>例如，陳振宇表示，兩年多前他就曾向政府提出建議，不過當時未能如期發展，這次他看到數位發展部在臉書分享新業務，抱著再試一次的心情，看看新的數位發展部成立後，能否解決這個問題，沒想到很快就看到進展。</p> <p>另外，我們也注意到，之前國內就有民間團體想要做這件事。國內的Lihi.io短網址服務就是一例，在2020年5月，Lihi.io在其後臺新增加一個TaiwanGov.com的短網址新網域，僅限於轉換政府與學術界結尾的官方網址，像是.gov.tw與.edu.tw，並開放給任何人都能使用，目的也是為了讓國內民眾，只要看到TaiwanGov.com/這樣的短網址，就可以識別出是臺灣政府或學校的網站。</p> <p>在政府建構縮網址服務方面，在2017年，台南市政府同樣有這樣的行動，他們在其圖片資料庫平臺p.tainan.gov.tw上，原先為了方便圖片分享，因而提供了短網址的功能，後來為了因應民間短網址不易識別的資安風險問題，因此他們也將此附加功能，進一步作為市府單位發布官方資訊連結之用。</p> <p>無論如何，隨著數位發展部開發出政府專用的自建短網址服務，不僅是政府自建，而且更為統一讓各級機關使用，有助於解決近年威脅態勢上，有許多假冒政府名義訊息夾帶民間短網址，使國內民眾不易識別政府網站的問題，提供新一種識別方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）政府專用短網址服務登場(1).JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4(1).JPG" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>數位發展部之所以打造政府專用的短網址服務，起因是9月16日有民眾在社群平臺上留言建議，數位發展部部長唐鳳看到後也肯定此一建議。</strong></span></p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2A）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962A%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>在10月12日，中央流行疫情指揮中心透過衛生福利部的臉書粉專發布訊息時，首次開始試用政府專用短網址服務，而過往機關人員則是會使用民間短網址服務來傳播政府資訊。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><strong><a href="https://www.cdc.gov.tw/Bulletin/Detail/oGThi1auOiVDKcRYQ1KhnQ?typeid=9"><span style="color: rgb(105, 105, 105);">中央流行疫情指揮中心指出</span></a><span style="color: rgb(105, 105, 105);">，疫情期間出現很多假冒指揮中心或疾病管制署等國內政府機關官方名義的訊息，內含不明短網址連結的詐騙釣魚信件或簡訊，</span></strong><span style="color: rgb(105, 105, 105);"><strong>使得指揮中心需要一再宣導民眾要當心</strong><strong>，現在則可讓新聞稿的短網址連結以「政府專用短網址」取代，讓民眾比較容易區分。</strong></span></p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖B）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96B%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 380px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（主圖C）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96C%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 215px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>由數位發展部打造的政府專用短網址服務，網址是<a href="https://url.gov.tw/">https://url.gov.tw/</a>，主要供政府機關人員使用短網址申請功能，之後將可得到<a href="https://gov.tw/XXX">https://gov.tw/XXX</a>的短網址。而一般民眾則可使用短網址查詢功能，貼上短網址即可反查出原始網址。</strong></span></p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>提供一個可識別政府網站的短網址，在2020年已經有這樣的構想，而且是民間業者發起。主因是疫情期間出現很多假冒國內政府機構訊息並夾帶不明短網址行騙的威脅，因此來自國內的Lihi.io短網址服務，他們在2020年5月就開始提供一項服務，只限於將政府與學術界結尾的官方網址（gov.tw與.edu.tw），縮短為<a href="https://TaiwanGov.com/">https://TaiwanGov.com/</a>這樣的短網址，其用意也是希望便於國內民眾識別政府官方網站。</strong></span>，</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）政府專用短網址服務登場.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E6%94%BF%E5%BA%9C%E5%B0%88%E7%94%A8%E7%9F%AD%E7%B6%B2%E5%9D%80%E6%9C%8D%E5%8B%99%E7%99%BB%E5%A0%B4.JPG" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>政府發展短網址服務的應用已有前例，過去台南市政府為其圖片資料庫平臺p.tainan.gov.tw的圖片分享，就附加了圖片短網址功能，目的是便於圖片分享，在2017年又因為短網址風險的問題，將此附加短網址功能，用於市府單位發布官方資訊連結之用。</strong></span></p> </div></div></div>
2022/11/10 15:09作者羅正漢https://www.ithome.com.tw/news/154119
Cloud周報第159期：不畏景氣影響，第三季全球雲端基礎設施服務市場呈現逆勢成長，達570億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（11/03～11/09）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 製造業上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料備分備援 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>臺灣製造業上雲比例逾5成，遠端辦公、備份備援為首要雲端應用</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(3)(1).png" style="width: 600px; height: 292px;" /></p> <p>雲端服務供應商CloudMile近日公布2022智造轉型大調查，在這份報告中針對國內400多家不同規模的製造業進行調查，其中也包含雲端採用調查，可提供製造業者未來上雲參考。</p> <p>根據該調查指出，臺灣製造業目前已有超過5成雲端採用率，遠端辦公、備分備援為製造業首要雲端應用。各別來看，科技製造業者前三大雲端使用需求，為運算與儲存、備分與備援，以及數據與資料分析。調查指出，6成科技製造業者將雲端作為資料備分與災難備援的選擇，即使是自建機房的業者，計畫在雲端採用備分備援的比例也有逼近5成。</p> <p>至於一般製造業的前三大雲端使用需求，與科技製造業相似，但還多了遠距辦公工具的使用需求，來因應疫情帶來混合辦公需求。</p> <p><strong> </strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端量子運算 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Azure Quantum雲端量子運算服務新增Rigetti量子電腦，可以支援高達80個量子位元的運算任務</strong></span></strong></p> <p>微軟近日擴充Azure雲端量子運算服務Azure Quantum，除了原本支援的Honeywell Quantum Solutions和IonQ量子硬體之外，使用者現在能使用量子運算系統商Rigetti提供的量子電腦來開發或執行量子應用程式。</p> <p>Rigetti原本僅透自家Quantum Cloud Services （QCS）提供量子運算服務，用戶現在可以經由Azure取得該服務，並按需付費。目前在Azure Quantum上提供兩種Rigetti量子電腦硬體，一個是提供80個量子位元的Aspen-M-2 80-qubit多晶片量子處理器，以及40個量子位元的Aspen-11 40超導QPU，這也意味著，研究人員或開發者現在也能透過Azure在80量子位元處理器上開發和執行量子和古典電腦混合應用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ERP上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 商船三井 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>日本大型海運商船三井為轉型積極上雲，全面升級改用雲端版ERP，加快拓展全球航運版圖</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/main.jpg" style="width: 600px; height: 214px;" /></p> <p>日本大型海運公司商船三井（MOL）近來展開轉型計畫而積極上雲，第一步就是把關鍵的ERP系統搬上雲，這也是這家公司今年數位轉型重要的戰略之一，協助其加快拓展全球航運版圖。</p> <p>商船三井今年提出Rolling Plan 2022戰略，除了擬定三大業務戰略，包括投資組合戰略、環境戰略和地域戰略，還要加速推動數位轉型，作為這家公司提高組織營運效率的改革基礎。</p> <p>作為數位轉型第一步，商船三井決定先從ERP系統改造做起，不只重新翻新ERP，更導入SAP S/4HANA Cloud，來打造雲端ERP系統，用來支撐未來公司營運成長。這套系統自今年4月啟用上線後，商船三井表示，可以幫助這家公司來因應未來更加靈活且彈性的業務轉型。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Amazon第三季業績下滑逼近5成，僅AWS雲端業務持續獲利</strong></span></strong></p> <p>亞馬遜（Amazon）近日公布了今年第三季財報，該季淨營收為1,271億美元，成長15%，不過營業利潤（operating income）只有25億元，比去年同期下滑了48%，每股盈餘為0.28美元，也讓該公司當天盤後股價大跌1成。</p> <p>雲端服務AWS仍然是Amazon主要獲利的支柱，AWS本季營收為205億美元，成長27.5%，營業利潤為54億美元，高於去年同期的49億美元，是Amazon目前唯一仍保持獲利的核心業務。相較之下，Amazon在北美電子商務營收和國際電子商務的營收雖有增長，但都呈現虧損的狀態，Amazon的北美電子商務營收為788億美元，增長20%，但虧損4.1億美元，而國際電子商務營收為277 億美元，相較去年去下滑達5%，虧損24.7億美元。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">三大公雲 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>第三季全球雲端基礎設施服務市場較去年同期增長2成，達570億美元</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(1)(1).jpg" style="width: 600px; height: 420px;" /></p> <p>市場研究機構Synergy Research Group<a href="https://www.srgresearch.com/articles/q3-cloud-spending-up-over-11-billion-from-2021-despite-major-headwinds-google-increases-its-market-share">今年第三季的調查顯示</a>，儘管受到美元強勢造成全球通膨危機和中國市場限制政策的衝擊，全球雲端市場仍呈現逆勢成長，本季企業在全球雲端基礎設施服務支出逾570億美元，比去年同期增加了24%。</p> <p>從市占率來看，三大公雲業者中，亞馬遜AWS依舊以34％的市占獨占鰲頭，微軟Azure則以21％的市占緊追其後，至於Google Cloud的市占也有成長達11％。單是三家業者加總的市占就達到66%，高於一年前的 61%。</p> <p>從三家公雲業者最近公布的財報也反應出相似的態勢，該季雲端營收也都比起去年約有20∼38％的成長，但不像AWS、Azure兩家仍維持獲利狀態，Google Cloud本季營收雖有增長，依舊持續虧損達6.99億美元，但虧損規模已低於去年同期的6.4億美元。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Deloitte </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>搶攻金融市場大餅，AWS攜手顧問管理公司Deloitte合推雲端數位銀行解決方案出</strong></span></strong></p> <p>雲端巨頭AWS最近找上了知名顧問管理公司Deloitte合作，雙方將展開長期合作來共推新解決方案，協助金融業加快推出數位銀行服務，也要幫助銀行IT朝向現代化轉型。</p> <p>基於雙方合作，Deloitte推出名為BankingSuite的統一平臺，這是一個銀行即服務解決方案，可提供企業發展下一代銀行平臺。這套平臺使用了許多AWS 的雲端服務，像可以利用Amazon Connect用於提供雲端聯絡中心服務，客戶行銷通訊服務也能結合Amazon Pinpoint做管理，安全方面也能使用身分識別和存取管理服務Amazon Cognito加強用戶端的安全管控。目前已有Western Union採用該方案。</p> <p> </p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">混合雲平臺漏洞 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>VMware修補自家混合雲平臺Cloud Foundation重大風險漏洞，防止遠端惡意程式碼執行</strong></span></strong></p> <p>虛擬化廠商VMware近日修補自家混合雲平臺Cloud Foundation兩項漏洞，包含屬於重大風險漏洞的遠端程式碼執行RCE漏洞，以及XML外部實體攻擊漏洞，則屬於中度風險的漏洞。</p> <p>其中編號CVE-2021-39144的RCE漏洞存在VMware Cloud Foundation中的開源函式庫XStream中。VMware說明，攻擊者可透過內建XStream的授權終端在VMware Cloud Foundation（NSX-V）執行輸入序列化，而在目標裝置上以root權限遠端執行惡意程式碼。這二項漏洞影響Cloud Foundation 3.11及以前版本， VMware建議用戶應儘速安裝更新版軟體。</p> <p><strong> </strong></p> <p><strong><strong>圖片來源／Synergy Research Group、CloudMile、商船三井</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.Gartner預測2023年全球公有雲支出仍將成長20.7%，達到5,918億美元</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.Google正式關閉文字、影音聊天應用服務Hangouts，改由Google Chat接手</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.Amazon Neptune雲端圖形資料庫代管服務新增無伺服器選項</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>4.Google預告明年旗下區塊鏈節點代管服務Blockchain Node Engine將支援Solana區塊鏈</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2022年11月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2022/11/10 15:10作者余至浩https://www.ithome.com.tw/news/154120
Google VPN新增對Windows與macOS的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內建於Google One 2TB方案中的Google VPN服務，即日起將新增對Windows與macOS的支援，且<a href="https://support.google.com/googleone/answer/7582172#zippy=%2Cwhich-google-one-plans-include-vpn-by-google-one" target="_blank">目前支援Google VPN的市場</a>已擴大至包括臺灣在內的22個國家。</p> <p><a href="https://www.ithome.com.tw/news/123160" target="_blank">Google One的前身為Google Drive</a>，<a href="https://one.google.com/about/plans?hl=zh_TW" target="_blank">更名後的Google On</a>e仍舊提供15GB的免費儲存空間，100GB基本版的每月費率為16.25美元，200GB標準版為22.5美元，2TB的進階版則是82.5美元，除了免費版之外的Google One版本最多都可支援6人使用，且進階版進一步整合了VPN服務。</p> <p>Google One進階版是在2020年11月<a href="https://www.ithome.com.tw/news/140862" target="_blank">首次新增VPN服務</a>，但當時只在少數市場推出，也只支援Android裝置，但Google陸續擴大服務市場及所支援的平臺，<a href="https://www.ithome.com.tw/news/149178" target="_blank">今年2月新增對iOS的支援</a>，也擴大至18個市場，現在則進一步支援Windows及macOS裝置，並拓展至包括臺灣在內的22個市場。</p> <p>Google並未明文公告Google VPN的進展，是<a href="https://9to5google.com/2022/11/09/google-one-vpn-mac-windows/" target="_blank">《9to5google》</a>率先揭露了此事，<a href="https://one.google.com/about/vpn/howitworks" target="_blank">惟Google已於服務介紹中表明</a>Google VPN將同時支援Android、iOS、Windows及macOS。</p> <p>根據《9to5google》的報導，有些使用者即日起已可下載支援Windows及macOS的Google VPN程式，其他人可能要在未來幾天才能下載。</p> </div></div></div>
2022/11/10 15:41作者陳曉莉https://www.ithome.com.tw/news/154121
幣安收購FTX告吹，全球加密貨幣震盪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>幣安創辦人暨執行長趙長鵬<a href="https://www.ithome.com.tw/news/154101" target="_blank">才在前一天表示</a>要出手買下岌岌可危的FTX，<a href="https://twitter.com/binance/status/1590449161069268992" target="_blank">隔天幣安就宣布</a>，由於FTX的問題已超出幣安的能力範圍，已決定不收購FTX。此一消息讓全球除了穩定幣以外的主要加密貨幣價值全都下滑，比特幣、以太幣及幣安幣的跌幅都超過9%，FTT的價格則再從5美元跌至2.4美元。</p> <p>FTX是由麻省理工學院物理系畢業的Sam Bankman-Fried（SBF）與另一名同伴Gary Wang在2019年共同創立，在短短3年內就成為全球前五大加密貨幣交易平臺，SBF還另外創辦了加密貨幣做市商Alameda Research。在<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》於11月2日</a>踢爆Alameda Research擁有大量由FTX所發行的FTT加密貨幣資產，兩者關係過於緊密之後，<a href="https://www.reuters.com/business/finance/crypto-exchange-ftx-saw-6-bln-withdrawals-72-hours-ceo-message-staff-2022-11-08/" target="_blank">《路透社》</a>旋即引用FTX內部備忘錄指出，FTX在上周六、日及本周一出現了擠兌現象，用戶在3天內領出了60億美元。之後要自FTX提款即出現壅塞狀況。</p> <p>全球最大加密貨幣交易平臺幣安曾是FTX的股東之一，但已於2020年出脫FTX持股，換得價值約21億美元的FTT與BUSD，幣安創辦人趙長鵬在SBF的求助下，<a href="https://www.ithome.com.tw/news/154101" target="_blank">原本有意併購FTX</a>，替該平臺解決流動性問題，然而，隔天幣安即以公司名義發表了聲明，決定放棄FTX收購案。</p> <p>幣安表示，在進行企業盡職調查，以及看到有關FTX不當處理客戶資金並遭到美國執法機構調查之後，該公司已決定不收購FTX；一開始它們希望能夠提供流動性來支援FTX的客戶，不過，FTX的各種問題已非幣安能夠控制或有能力協助的。</p> <p>幣安還說，每次有特定產業出現大型業者的失敗，受苦的總是一般使用者，加密貨幣生態體系在過去幾年已愈來愈穩定，相信那些濫用用戶資金的業者遲早會被自由市場淘汰。該平臺也認為監管框架的發展，將讓加密貨幣生態體系更加茁壯。</p> <p>至於趙長鵬則僅是轉推幣安的官方推文，並說這是個令人傷心的一天。</p> <p>令幣安卻步的原因之一是美國監管機關已對FTX展開調查的消息。<a href="https://www.bloomberg.com/news/articles/2022-11-09/us-probes-ftx-empire-over-handling-of-client-funds-and-lending#xj4y7vzkg?leadSource=uverify%20wall" target="_blank">《彭博社》</a>（Bloomberg）引述消息來源報導，美國證券交易委員會（SEC）及商品期貨交易委員會（CFTC）正在調查FTX是否不當處理客戶資產，以及追查FTX與SBF所掌控的其它加密貨幣公司的關係。</p> <p><a href="https://www.ft.com/content/4982c7e9-5dd7-4e99-9430-eface0db4a8c" target="_blank">《金融時報》</a>（Financial Times，FT）取得了趙長鵬對內的備忘錄，表示FTX的狀況並不代表幣安勝利了，因為這將讓監管機關針對交易平臺的審查更為嚴格。</p> <p>目前雖然不知FTX或整個加密貨幣生態體系的命運將會如何，但全球主要加密貨幣的價格普遍受到影響，比特幣、以太幣及幣安幣的跌幅都超過9%，至於FTT的價格從5日的24美元、7日的22美元、8日的5美元一直到9日只剩下2.3美元。</p> </div></div></div>
2022/11/10 14:23作者陳曉莉https://www.ithome.com.tw/news/154117
美政府再追加6千萬美元，發展Aurora超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應氣候變遷及綠色能源的開發需求，美國能源部近日獲得美國政府撥款，其中有將近6,000萬美元將投入在<a href="https://www.anl.gov/article/inflation-reduction-act-funding-accelerates-nextgeneration-supercomputing-energy-efficiency" target="_blank">超級電腦Aurora的潔淨能源研究專案</a>。</p> <p>美能源部上周獲得拜登政府在《降低通膨法案》（Inflation Reduction Act of 2022，IRA）中獲得15億美元補助。該法案預計投入3,700億美元於溫室氣體減排及能源安全，被視為是美國史上單一最大的氣候與能源投資。這15億美元將用於推進能源部轄下國家實驗室的相關研究。</p> <p>在這15億中，有5,400萬美元將用於打造Aurora exascale等級的超級電腦，這電腦是位於能源部下的阿貢國家實驗室（Argonne National Laboratory，ANL）的先進運算設施（Leadership Computing Facility）。Aurora預計明年完成建置，將成為全球最快的超級電腦，它將協助多項高運算任務，像是有效潔淨能源、新藥開發，以及環保電子與國家安全加密技術的研發。</p> <p>這也是Aurora近年獲得最大筆的經費。能源部於2015年投入2億美元，於2018年啟動結合三座國家實驗室，包括橡樹嶺（Oak Ridge）、ANL及勞倫斯利佛摩（Lawrence Livermore）國家實驗室之力打造Aurora的計畫。<a href="https://www.anl.gov/article/12-million-award-helps-argonne-steer-manufacturers-toward-supercomputing" target="_blank">去年秋天</a>ANL也在Aurora計畫上獲得了120萬美元的撥款，投入《能源創新高效能運算》（High Performance Computing for Energy Innovation，HPC4EI）計畫，啟動4項能源製程及材料開發的研究。</p> <p><a href="https://www.anl.gov/article/4-science-advances-coming-in-the-exascale-era" target="_blank">ANL上個月表示</a>，Aurora預定將推動高解析度大腦連結體（connectome）建構、視覺化癌症細胞擴散、核融合能源電漿擾動預測、以及尋找宇宙構成元素的研究。</p> <p>美國也需要在超級電腦上加把勁。Aurora連同橡樹嶺國家實驗室領先運算機構正在打造的<a href="https://www.ithome.com.tw/news/151216" target="_blank">Frontier</a>，美國將擁有兩座運算速度達exascale的超級電腦，但傳聞中國早已經有2座exascale等級的超級電腦。<a href="https://www.ithome.com.tw/news/146394" target="_blank">美能源部也在去年宣布</a>第三座Exascale超級電腦Polaris的打造計畫。</p> </div></div></div>
2022/11/10 12:01作者林妍溱https://www.ithome.com.tw/news/154114
Meta裁員1.1萬人，祖克柏坦承誤判情勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/11/mark-zuckerberg-layoff-message-to-employees/" target="_blank">Meta本周宣布</a>將裁員超過1.1萬人，同時計畫削減支出及凍結招聘直到2023年第1季。執行長祖克柏（Mark Zuckerberg）道歉，坦承因誤判情勢而導致過度投資。</p> <p>這是Meta繼9月傳出<a href="https://www.ithome.com.tw/news/153179" target="_blank">第一波</a>人事精簡後的第二次裁員，也是該公司第一次大規模裁員。裁撤的1.1萬人占Meta總員工數8.7萬的13%。</p> <p>Meta執行長祖克柏說明，這是因為疫情期間的好表現，使其錯估局勢。他指出，COVID-19期間全球轉向線上活動，電子商務蓬勃發展，他和許多人一樣認為這股動能可持續到疫情結束，因而決定大幅增加投資。但結果不僅電子商務回歸平淡，還遇上了大環境衰退、競爭轉趨激烈，以及廣告收入減少，導致營收衰退超出他的預期。他說這一切是他的責任。</p> <p>為了縮減開支，之前Meta已經試過其他方法，包括將資源集中在少數高成長領域，像是AI引擎、廣告與企業平臺，以及元宇宙，還削減了預算、福利，以及辦公室面積，但仍不足以彌補營收漏洞。</p> <p>這波裁員影響包括Meta旗下Facebook、WhatsApp、Instagram等各應用程式及研發元宇宙軟硬體的Reality Labs，程度則因公司策略而有差異。美國地區的Meta員工可拿到16周的基本離職金，外加在職每滿1年多2周的薪水，以及剩餘有薪假、健康保險等福利。</p> <p>展望未來，祖克柏表示，確保公司精簡及效率是首要之務，為此，該公司將再凍結聘僱到第一季。他將檢視各部門業務績效與營運效率，以及大環境因素以決定是否重新啟動招募。雖然AI基礎架構是Meta的重點，但基礎架構支出也會減少。此外，他表示也會再大幅組織重整，確保各應用程式部門及Reality Labs的運作更有效率。</p> <p>Meta今年不但在第二季首度出現營收下滑，還連續兩季衰退，今年以來，Meta股價已跌了70%，市值也縮水了7,000億美元。</p> <p>全球景氣不佳，所有產業都感受到衝擊，但是Meta衰退幅度比其他科技公司更大。<a href="https://www.theverge.com/2022/11/9/23448926/meta-layoffs-2022" target="_blank">《The Verge》</a>分析，Tiktok的競爭、蘋果App追蹤透明度政策及一系列隱私權限制壓縮其廣告收入，而元宇宙似乎更是難以彌補的錢坑。雖然Meta砸下數百億美元開發元宇宙軟、硬體，但虛擬社交平臺Horizon Worlds卻出師不利，用戶僅20萬，連自家員工都不太想用，<a href="https://www.theverge.com/2022/10/6/23391895/meta-facebook-horizon-worlds-vr-social-network-too-buggy-leaked-memo" target="_blank">迫使公司主管得強力動員</a>。</p> <p>Meta是近日最新大規模裁員的矽谷公司。<a href="https://www.ithome.com.tw/news/153939" target="_blank">推特</a>上周被新老闆馬斯克（Elon Musk）裁撤了據信50%的員工，Google、<a href="https://www.ithome.com.tw/news/153697" target="_blank">微軟</a>、英特爾、蘋果也都啟動裁員，其他還包括<a href="https://www.ithome.com.tw/news/154029" target="_blank">叫車服務Lyft</a>、影片分享軟體Snap等。</p> <p><a href="https://techcrunch.com/2022/11/08/salesforce-confirms-it-has-laid-off-hundreds-of-employees/" target="_blank">Salesforce</a>也在昨日證實將裁員數百人。</p> </div></div></div>
2022/11/10 10:08作者林妍溱https://www.ithome.com.tw/news/154112
三星手機3項漏洞曾遭惡意軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://googleprojectzero.blogspot.com/2022/11/a-very-powerful-clipboard-samsung-in-the-wild-exploit-chain.html" target="_blank">Google今年初發現</a>三星手機作業系統3項漏洞遭到惡意軟體入侵，經通報後，三星已在3月間修補漏洞。</p> <p>Google Project Zero研究員Maddie Stone及威脅分析小組（Threat Analysis Group，TAG）Clement Lecigne今年初發現3個已被利用的漏洞串，全數集中在三星的客製化元件。研究人員判斷，攻擊樣本是來自一家開發間諜軟體的商業公司於2020年底開發而成，為一JNI原生函式庫檔案。可能是隨同某個惡意App中下載，但研究人員並未找到函式庫使用的是哪個App。</p> <p>3項漏洞分別是發生在剪貼簿元件的任意檔案讀寫CVE-2021-25337、sec_log元件的核心資訊洩露漏洞CVE-2021-25369及DPU驅動程式的使用已釋放記憶體（use-after-free）漏洞CVE-2021-25370。</p> <p>其中CVE-2021-25337為當中最高風險的漏洞，CVSS風險值7.1。攻擊程式以SELinux的untrusted app（第三方程式）權限執行，但卻使用SELinux的system_server權限開啟檔案。照理說正常情況下是無法執行的，但三星客製的剪貼簿工具（SemClipboardProvider）具有系統使用者權限，卻同時發生欠缺存取控管的漏洞，致使惡意程式得以讀寫本機上的特定檔案。</p> <p>其他二個則屬於中度風險漏洞，其中CVE-2021-25369為sec-log檔的存取控制不當，使敏感的核心資訊洩露到使用者空間（userspace）。而CVE-2021-25370則為DPU驅動程式對檔案描述符（file descriptor）處理的實作不當，導致記憶體毁損及核心錯誤（CVE-2021-253）。兩者風險值分別為5.5及4.4。</p> <p>今年初的攻擊程式主要鎖定三星作業系統核心4.14.113搭載Exynos SoC處理器的手機。除了中國、美國等少數其他地方使用Qualcomm SoC處理器外，大部分銷售機種如歐洲及非洲都是搭載Exynos SoC。而使用該版核心的三星手機，主要是2020年年底出貨的，包括Galaxy S10、A50及A51。</p> <p><a href="https://security.samsungmobile.com/securityUpdate.smsb" target="_blank">三星已經在今年3月釋出修補程式</a>。研究人員也呼籲用戶儘速更新到最新版本核心。</p> </div></div></div>
2022/11/10 10:50作者林妍溱https://www.ithome.com.tw/news/154113
Nvidia開源最新物理模擬引擎PhysX 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia現在開源最新的物理模擬引擎<a href="https://developer.nvidia.com/blog/open-source-simulation-expands-with-nvidia-physx-5-release/">PhysX 5 SDK</a>，開發者已經可以在GitHub儲存庫取得SDK更新，PhysX 5與PhysX 4使用相同的開源授權，使相關產業可繼續用於模擬工作流程和應用程式中。PhysX 5 SDK在GPU和CPU功能都有新功能，提供更好的碰撞偵測和自定義幾何形狀功能。</p> <p>PhysX過去被大量應用在遊戲和動畫上，但PhysX是目前主要的物理引擎，其內建強大的模擬引擎，可被用於各種需要物理模擬的應用上，像是機器人、自動駕駛和工廠自動化等場景，尤其是下一代機器人應用程式，PhysX能夠以即時速度進行高傳真模擬運算。</p> <p>用於流體模擬的Flow函式庫和爆炸模擬的Blast函式庫，雖然在技術上不仰賴PhysX，但是在這次更新中，已成為PhysX產品家族的一部分，並且使用共同授權，Flow已經和PhysX SDK綑綁在同一個儲存庫中，Blast之後也會加入。</p> <p>PhysX 5 SDK現在支援粒子模擬特效Flex函式庫功能，包括基於有限元素模型的可變形物體動力學，以及用於液體、布料和充氣這類物體基於位置的動力學，經過最佳化後已經可以在GPU上運算，並且添加更先進的碰撞偵測功能。PhysX 5新的CPU功能，讓開發者可以自定義幾何形狀，官方解釋，這代表PhysX 5現在支援圓柱體或是隱性基於塊狀結構的世界。大型模擬的CPU和GPU平行運算效能，也在PhysX 5獲得明顯提升。</p> <p>Nvidia表示，PhysX角色的演變，帶來了一些根本性的技術變化。過去PhysX是一個最佳化的遊戲物理引擎，用於各種主機的遊戲開發上，但現在也已經被大量用作機器人、深度學習、視覺效果的高傳真GPU加速物理模擬引擎，因此Nvidia決定不再提供遊戲主機埠口，但授權允許社群可以繼續進行創建和維護。</p> <p>PhysX 5現在也成為Pixar通用場景描述（Universal Scene Description，USD）Physics標準的關鍵參照實作，USD Physics描述了Nvidia與Pixar共同開發的場景物理屬性，這個合作讓創作者可以更簡單地將物理用於場景中，並且促使更多工具採用模擬行為。</p> </div></div></div>
2022/11/10 09:23作者李建興https://www.ithome.com.tw/news/154102
Nvidia顯示卡驅動程式已支援DirectX最新GPU壓縮格式GDeflate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在DirectX I/O API DirectStorage 1.1開始支援GPU解壓縮技術，而<a href="https://developer.nvidia.com/blog/accelerating-load-times-for-directx-games-and-apps-with-gdeflate-for-directstorage/">Nvidia在其Game Ready驅動程式526.47版本中的GPU加速儲存技術RTX IO開始提供DirectStorage 1.1支援</a>，這代表Nvidia的顯示卡現在可以運用GPU壓縮格式GDeflate來加速遊戲資產解壓縮，大幅降低載入時間，進一步提升遊戲世界的場景豐富度。</p> <p>GDeflate是一個由Nvidia、微軟和IHV合作夥伴共同開發的GPU壓縮格式，能夠讓應用程式從NVMe裝置的龐大吞吐量獲益，消除I/O工作管線中的CPU瓶頸。傳統應用程式在CPU上進行解壓縮，因此CPU通常成為整體效能瓶頸，導致吞吐量低於未壓縮串流處理的吞吐量，這不僅無法充分利用系統的I/O資源，還占用其他需要CPU資源的CPU周期。</p> <p>傳統的資料壓縮技術，僅適用於很少變化的遊戲內容，像是在遊戲關卡中會重複使用的貼圖，這類資產在打包時被壓縮，並在玩家遊戲時按需解壓縮。大多數的資料壓縮方法都是針對CPU設計，而其序列執行的特性，使得這些方法難以用於現代化平行架構，因此也無法滿足加速解壓縮的需求。</p> <p>在I/O技術進展下，終端用戶系統上可用的I/O頻寬明顯提高，PCIe Gen3或Gen4 NVMe裝置能夠提供高達7 GB/s資料頻寬，以GeForce RTX 4090 GPU的24 GB記憶體為例，只要3秒多就能夠填滿。Nvidia提到，要跟上這些系統I/O的速度，資料壓縮技術必須大幅進步，在CPU上解壓縮資料不再實際，浪費大量的CPU資源在輔助任務上，拖慢整個系統速度，最終成為I/O子系統的瓶頸。</p> <p>GDeflate是一種針對高吞吐量GPU最佳化的新型資料平行壓縮解決方案，不只能夠在GPU快速解壓縮，支援最快速的NVMe裝置，釋放CPU用於執行其他重要任務，並且還可移植到各種資料平行架構中使用。</p> <p>GDeflate作為DirectStorage 1.1標準GPU解壓縮功能，未來遊戲引擎將受益於GDeflate，得以大幅減少遊戲內容載入時間，現在開始於Nvidia Game Ready驅動程式526.47版本中提供，微軟也正與AMD、英特爾合作，提供支援GDeflate的驅動程式。</p> </div></div></div>
2022/11/10 09:26作者李建興https://www.ithome.com.tw/news/154103
歐盟深入調查微軟與動視暴雪併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_22_6578" target="_top">歐盟執委會（European Commission，EC）周二（11/8）宣布</a>，已針對微軟併購動視暴雪（Activision Blizzard）一案展開深入調查，擔心此一併購案將減少遊戲產業及PC作業系統的競爭。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟於今年1月宣布</a>，將以687億美元買下動視暴雪，動視暴雪為歐美最大的遊戲業者，而這也是微軟史上最大的併購案。根據微軟的規畫，把動視暴雪納入麾下將可加速行動、PC、遊戲機及雲端等微軟遊戲業務的成長，也會成為微軟元宇宙的建置區塊。</p> <p>英國競爭與市場管理局（Competition and Markets Authority，<a href="https://www.ithome.com.tw/news/152861" target="_blank">CMA）已於今年9月對此案展開第二階段的調查</a>，預計於明年3月1日發布正式報告。</p> <p>EC對此一交易的考量與CMA類似，認為微軟與動視暴雪都同時是PC、遊戲機與行動裝置的遊戲出版商，而且微軟還提供Xbox遊戲機與相關服務，也是Windows作業系統及Azure服務的供應商，初步調查顯示該交易將明顯減少遊戲機與PC遊戲市場的競爭，涵蓋遊戲訂閱服務與遊戲串流服務。</p> <p>例如在微軟獲得動視暴雪的掌控權之後，可能會限制外界存取動視暴雪遊戲的能力，特別是熱門的AAA級遊戲，例如抬高第三方遊戲訂閱服務業者存取動視暴雪遊戲的門檻。減少市場競爭的結果就是消費者可能必須忍受更高的價格、相對低的品質，以及更少的創新。</p> <p>不只是遊戲市場，EC還顧慮此一併購案可能危及PC作業系統的競爭。指出倘若微軟結合自家與動視暴雪的遊戲，並透過雲端串流到Windows平臺，等同於阻止玩家購買非Windows電腦。</p> <p>EC針對此案的調查結果將於明年3月23日出爐。</p> </div></div></div>
2022/11/10 09:30作者陳曉莉https://www.ithome.com.tw/news/154110
Google機器學習新研究InfiniteNature-Zero，可生成任意長度飛越自然地景的影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究出能夠不斷生成3D自然地景的技術<a href="https://ai.googleblog.com/2022/11/infinite-nature-generating-3d.html">InfiniteNature-Zero</a>，系統只要透過觀看照片，就能夠學習生成豐富的3D環境景物。InfiniteNature-Zero僅使用單張圖片，生成高解析度、高品質的飛越地景的畫面，研究人員表示，這是前所未有的突破性能力。</p> <p>InfiniteNature-Zero可用於遊戲和虛擬實境生成新內容，像是在無限自然場景進行沈浸式飛行。研究人員將這個研究問題稱為無限景色生成，透過給定場景單張景色照，使系統能夠生成相片級，通過該場景任意長度，並受用戶控制的3D路徑畫面。</p> <p>研究人員提到，無限景色生成非常具有挑戰性，因為系統需要在山脈這類大型地標的另一側生成新內容，並且渲染出逼真且高解析度內容。難以使用影片作為訓練資料的原因，是由於研究人員難以找到具有正確相機運動的高品質影片，而且單個影片影格的美學水準，通常也難以跟刻意捕捉的照片相提並論。</p> <p>InfiniteNature-Zero是這個研究的初期成果，研究人員運用渲染、調整並重複循環策略，設計一種從靜態照片集，學習生成無限景色的方法。用單一照片訓練一個模型生成場景穿越影片，其中一個重要的設計，是照片與渲染的圖像會成為一個循環的相機路徑（下圖），也就是第一張照片與最後一張合成照片是相同的，這一個訓練約束，限制模型學習生成中間缺少的景色，並且提高圖像解析度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(26).png" style="width: 580px; height: 237px;" /></p> <p>研究人員在InfiniteNature-Zero，使用可從網路上大量取得的風景照片集進行訓練，並且使用對抗網路生成高品質圖像，最後添加了一個經過訓練的元件，生成高品質天空區域，提高最終結果的真實度。</p> </div></div></div>
2022/11/10 09:33作者李建興https://www.ithome.com.tw/news/154108
Disney眾頻道的全球訂閱用戶再度超越Netflix
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼公司（The Walt Disney Company，Disney）<a href="https://thewaltdisneycompany.com/the-walt-disney-company-reports-fourth-quarter-and-full-year-earnings-for-fiscal-2022/" target="_blank">周二（11/8）公布截至今年10月1日的2022財年第四季財</a>報，該季迪士尼創下201.5億美元的營收，成長9%，淨收入為1.62億美元，成長1%。同時迪士尼旗下Disney+、Hulu與ESPN+頻道的總訂閱用戶達到2.35億，再度超越<a href="https://www.ithome.com.tw/news/153701" target="_blank">Netflix的2.23億</a>。此外，<a href="https://thewaltdisneycompany.com/ad-supported-disney-subscription-tier-to-launch-in-the-u-s-on-december-8/" target="_blank">Disney+的低價廣告版</a>也即將在12月8日上線，屆時兩大影片串流平臺的競爭將更形激烈。</p> <p>該季Disney+的訂閱用戶數為1.64億，成長39%，ESPN+為2,430萬，成長42%，Hulu為4,720萬，成長8%。</p> <p>201.5億美元的營收主要來自Disney Media and Entertainment Distribution與迪士尼樂園，前者占了127.25億美元，下滑3%，營業利潤為8,300萬美元，下滑91%；後者為74.25億美元，成長36%，營業利潤則高達15.14億美元，成長超過100%。</p> <p>Disney Media and Entertainment Distribution營收又分為傳統的電視網路（Linear Networks）、串流服務（Direct-to-Consumer，DTC）及內容銷售與授權。其中，電視網路營收為63.35億美元，下滑5%，有17.35億美元的營業利潤；而串流服務的營收為49.07億美元，成長8%，但虧損了14.74億美元，更甚去年同期6.3億美元的虧損；內容銷售與授權則占17.36億美元，下滑15%，虧損1.78億美元。</p> <p>從迪士尼的財報中不難看出，正在替該公司賺錢的仍舊是傳統的電視網路與迪士尼樂園，串流還是個燒錢的服務。</p> <p>不過，迪士尼執行長Bob Chapek表示，該季DTC服務新增了1,460萬名訂閱用戶，其中有1,210萬名訂閱戶的是Disney+，該服務只誕生3年卻有如此快速的成長，有賴於該公司大力投資以創造內容並推廣至全球市場的策略，他們期望DTC的虧損將會日益縮小，且Disney+將在2024財年實現獲利。</p> <p><a href="https://www.marketwatch.com/story/disney-overtook-netflix-as-the-streaming-leader-and-is-expected-to-widen-the-lead-11667763491" target="_blank">《MarketWatch》</a>引用Verve Group副總裁Corey Kulis的看法指出，Disney+的廣告版雖然晚<a href="https://www.ithome.com.tw/news/153633" target="_blank">Netflix</a>一個月上線，但它的表現應該會超越Netflix，畢竟Netflix需要重新建立廣告服務所需的技術、組織或尋找買家，但這些廣告資源迪士尼早就有了。</p> </div></div></div>
2022/11/10 09:46作者陳曉莉https://www.ithome.com.tw/news/154111
全支付年底挑戰300萬用戶，下一步要以服務增加用戶黏著度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全聯旗下全資子公司全支付在9月推出同名電子支付服務後，上線10天即突破100萬用戶，不到2個月突破200萬用戶，全聯積極搶攻電子支付市場，今年底將挑戰300萬用戶，並揭示下一步要以服務價值取代補貼競爭，增加用戶黏著度。</p> <p>全支付今年9月上線，原本目標是在上線一年後達到300萬目標，但在祭出獎金之下，全聯靠著門市人員地推部隊向顧客推廣，從PX Pay完成實名認證升級至全支付，上線僅52天就突破200萬用戶，用戶中男性佔比為34%，女性為66%，年齡以30到59歲佔比超過7成。從用戶數來看，全支付已成為僅次於街口支付、一卡通的第三大電支業者。</p> <p>在用戶數提前達標下，全聯總經理也是全支付董事的蔡篤昌表示，全支付短短時間成長之快，較PX Pay用戶成長快1倍以上，全支付接下來的發展，他提出3項目標，首先，全支付用戶達到200萬之後，年底將挑戰300萬用戶，其次是消費金額方面，10月全支付消費金額為24億元，可望站上第2名，年底有機會挑戰第1名。第3是，目前全聯以外的合作通路數為10萬，明年希望外通路能超過20萬。</p> <p>蔡篤昌指出，全聯消費客群以婆婆媽媽顧客為主，全支付現在會員約8成來自全聯地推部隊推廣而來，全支付用戶如果僅來自全聯，未來發展將會很辛苦，全支付未來努力的重點應提高對年輕用戶的經營，未來全支付如持續增加外通路，長遠目標是挑戰40萬個外通路，相信將可吸引更多年輕人，對未來全支付開發金融商品而言，年輕人將是最有潛力的用戶。他期許全支付未來能成為第一個能夠獲利的電子支付品牌。</p> <p>除了繼續衝擊用戶規模、外通路數量，吸引年輕用戶，全支付的下一步是，以服務價值取代補貼的競爭方式，增加用戶數黏著度。</p> <p>全支付總經理游金榮解釋，還是會推動行銷補貼，但不會以常態的方式推動，而是配合活動推出短期的行銷補貼，觀察用戶的使用情形，並吸引年輕的新用戶使用全支付。全支付用戶逾7成為30到59歲，為了吸引年輕族群使用，全支付也祭出促銷，針對年輕人喜愛消費的手搖飲提供消費回饋。</p> <p>對於電支產業獲利，游金榮表示，未來持續增加用戶規模之下，可帶動營收增加，以100萬用戶舉例，每月每位用戶消費金額5千元，每月消費金額即高達50億，約可帶來2,500萬元營收。未來，不只是交易手續費，也會增加服務價值增加用戶黏著度，例如今年8月底，全支付和網路券商好好證券合作，通過金管會核准「開戶身分認證及授權與款項收付」試辦，明年第一季雙方將試辦電子支付買基金，讓電子支付除了全聯購物、買手搖杯、搭計程車之外，也可用來購買基金。未來還會有其他金融服務加入全支付。</p> <p>這項合作是全支付第一個合作的金融服務，讓全支付用戶以實名制的電子支付帳戶取代銀行數位帳戶，作為身分認證、驗證及授權，買賣交易基金。對用戶來說，不需額外向銀行申辦數位帳戶，使用電子支付帳戶身分認證、授權，申購或贖回基金。</p> <p><strong>開發團隊為全力衝刺電支的幕後功臣</strong></p> <p>從9月開業，上線僅短短10天突破百萬，52天達到200萬用戶，目前約有10萬個合作通路數，展望明年用戶、合作通路成長至300萬用戶、20萬通路，研發團隊是全支付建立生態圈的幕後功臣之一。</p> <p>全支付剛開業，借助全聯門市人員向顧客積極推廣，包括既有PX Pay會員升級全支付，或是協助消費者註冊PX Pay後再升級至全支付，會員數快速增加，10天突破100萬，單日註冊會員高達數萬，甚至10萬，產生大量註冊流量。</p> <p>由於電子支付受金管會監管，金融服務異常除了受主管機關關切，消費者客訴，也會引起媒體報導、負面形象，因此該公司重視維持服務穩定，全支付技術部經理陳世樺指出，開業第一天，在媒體報導、綁定活動促銷下，流量最高衝至20到30Mbps，一度引起團隊注意，在流量監控、資源準備充足下，會員註冊沒有造成大問題。全支付針對高流量作好準備，除了壓力測試，也將交易、財務、會員系統切開，降低單一系統異常對整體的影響。</p> <p>全聯跨入電子支付，由於支付場域不再只限於全聯自己通路，還需與其他通路合作，同時還要與不同的銀行綁定，陳世樺表示，為了區分通路別、承載交易量，服務、程式都需要能快速擴充，因此採用Docker，利用Docker快速擴充的特性，以剛開業為例，為避免會員註冊流程爆量，導致註冊服務不穩定，將註冊流程服務增加20多臺機器，當流量恢復正常時，釋出機器資源到其他用途。</p> <p>而因應在支付生態中，需與不同銀行、通路業者合作，各個業者系統差異，導致開發的負擔增加，陳世樺表示，為了減輕工程師開發的負擔，運用可抽換的軟體設計架構，工程師針對每家銀行開發個別的核心邏輯，搭配相同的固定流程，以後增加新的合作銀行，只需開發核心邏輯，不需重新的從頭到尾開發，來減輕開發人員的負擔。</p> <p>目前全支付約有80多位員工，其中超過3分之1為技術研發團隊，未來隨著業務的擴大，該公司計畫再增加開發人員。</p> </div></div></div>
2022/11/9 19:04作者蘇文彬https://www.ithome.com.tw/news/154105
【臺灣資安大會直擊】合勤投控資安長游政卿分享6個轉化資安投資的策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>【臺灣資安大會直擊】</strong>很多人認為資安是必須持續投入資源的工作，即便法令要求企業對資安要有更多投入，甚至規定某些企業必須成立資安專責單位並設立資安長，但資安部門對某些企業而言，還是必須持續花錢的成本中心。</p> <p>合勤身為臺灣知名的網通設備業者，兼具網通產品的設計、生產製造、銷售和品牌，也是臺灣國防安全產業供應鏈業者之一，相較某些品牌產品代工的高科技業者而言，合勤投控資安長游政卿表示，「該公司很早就意識到，『資安』已經是該公司重要的競爭力。」</p> <p>至於資安如何成為合勤的競爭力呢？游政卿也以自家公司的實際案例解釋一番。他表示，德國電信提供用戶使用合勤公司的路由器，但在2016年11月28日的時候，遇到傀儡網路Mirai造成的大規模網路故障，導致90萬個合勤的路由器故障，約占德國電信總體路由器的4.5％，該公司也為此支付一大筆罰款，並且需要投入大量資源修補故障路由器的漏洞。</p> <p>為了修復產品的資安漏洞，合勤科技也在2017年4月，成立PSIRT（產品資安事件處理小組）團隊，做到將資安內建在產品設計初期的Security By Design（產品安全設計）。政策生效，合勤科技則在2018年名列德國電信的四大優秀供應商，不僅獲得客戶信任，並對公司帶來實際的營收獲利，更讓「資安」成為與同業相比的競爭優勢。</p> <p>也因為合勤科技有過血淋淋的親身經驗，游政卿也在臺灣資安大會的CISO Workshop中，分享他如何透過6種轉化資安投資的策略，成功將原本是「成本中心」的資訊暨產品安全部門轉型為「機會中心」，並且真正的把「資安」內化到公司所有的業務流程，成為該公司的競爭優勢。</p> <h2><strong>公司資安投資多寡，奠基在企業經營階層的信任</strong></h2> <p>游政卿表示，該公司在全球150個國家或地區，每年至少銷售二千萬臺設備，設備銷售數量越多，可以帶來的營收越高，而該公司在經歷德國電信路由器故障的事件後，對資安的投資也有更大的轉變。</p> <p>他指出，許多公司的經營階層認為，資安投資是公司的沉沒成本，看不到投資績效，因此，更喜歡把資源投入IT，熱衷於數位轉型，可以為公司營運帶來可見的營運效益。</p> <p>不過，合勤對資安投資的看法卻有所不同。游政卿以許多企業積極投入的數位轉型為例，其中就會遇到資料頻繁、廣泛、跨組織地流動，光是資料的安全性，就會面臨很多看不到的風險。不過，他說，安全是解決風險的，但是在風險變成事實之前的損失很難評估，因此，大多數公司都把安全看作一種成本。</p> <p>他也引述「2022 iThome CIO大調查」，2022年資安投資規模，政府和金融業的資安投資超過二千萬元，一般製造業和醫療業資安投資都低於五百萬元；但2022年各產業資安預算的成長率，則以高科技製造業成長6成最多，一般製造業也成長33％。</p> <p>游政卿表示，經營階層對資安投資的看法左右一家企業的資安投資，最核心的關鍵在於「掌握資源的人為什麼要信任你？」在上位者感到困惑和沮喪，雖然熱衷於參與數位轉型，但對於晦澀難懂的安全術語以及無感的管理指標並不理解。</p> <p>另外，經營階層對於資安投入龐大，不僅覺得投入的資金如同石沉大海，更重要的是，認為資安價值無法轉化為業務語言：金錢來衡量；高層面對各種資安威脅時，並不清楚針對其業務的主要威脅有哪些，更遑論是否知道現有防禦強度或是必需進行的投資。</p> <p>他表示，面對經營階層對資安種種不理解造成的惡性循環，資安長必須扮演一個折衝妥協的角色，獲得公司高層信任後，可以讓經營階層理解資安的價值，資安長則是公司內有能力處理風險的專家。他認為，資安必須以信任為基石，價值才能獲得認可；資安長必須具備處置風險的能力，能力才能獲得認可。</p> <p>游政卿指出，要把資安從原本追求提高效率、降低成本的成本中心，進一步轉變成高效找出降低成本、增加效率的機會中心，最後再發展成創造營收的利潤中心，可以透過6種策略方式，轉化企業的資安投資進程。</p> <h2><strong>策略一：運用商務表達方式，影響高階主管看法</strong></h2> <p>游政卿坦言，你無法改進自己不知道和不理解的東西，所以，必須把資安變成大家都聽得懂、看得懂的內容，所以，他會利用每週的定期會議，不僅持續洗腦高層對資安的認知，也會針對其他業務部門和相關的利害關係人持續溝通，務必讓公司上下都可以意識到，資安是全公司共同努力的目標。</p> <p>例如，為了確認董事會和經營階層的其他，他會因應公司營運發展需求，找出有利公司營運發展的法規遵循，例如：ISO 27001、GDPR、BSI TR-03148（歐洲資安iot符合標準）、CMMC 2.0（美國國防部資安成熟度模型認證）、EU ENISA、HIPAA、PCI DSS等，作為公司營運的參考指南。</p> <p>另外，他也會透過參考政府監管單位所制定的政策方向，例如：行政院資通安全管理法、金管會制定的金融資安行動方案等；或者是檢視外在環境事件風險，希望可以透過態勢感知、戰術技術、行為分析以及威脅情資等方式，可以在資安事件發生前做風險評估，在輕症時候就找到問題所在。</p> <p>此外，游政卿也會透過一些內部系統，掌握包括公司網站、網域、內網等現階段的安全性評估，以及相關法規遵守的程度為何。</p> <p>例如，針對公司官網的安全性評分，並清楚在同業的網站安全性評分為何；針對內網安全，找出高風險和中風險的資安事件並予以修補。網域安全風險則分成五大等級，合勤符合第三級的規範：網域具基本安全度，已無網域伺服器預設配置上的弱點。其他像是CMMC 1.0版以及CMMC 2.0版的要求，合勤屬於1.0版的第四級、2.0版的第二級～第三級中間。</p> <p>有系統數據的支持外，游政卿也說，還必須從商業角度證明，安全是創新中心。所以，他也從兩種層次來定義資安，一種是將安全分類，包括：邊界安全、終端安全、身分安全、應用安全、資料安全、安全管理以及安全服務等七類，並從價值描述、核心技術和解決方案來定義。</p> <p>另外一種則是將法規遵循獨立出來外，其他則是採用NIST CSF框架，並加上設備、應用程式、網路、資料和使用者來做定義。他說，不管採用哪一種安全定義或框架，重點都是：制定安全政策和業務戰略的人，彼此是合夥人，才能真正把資安落實到業務流程中，</p> <h2><strong>策略二：培養業務上的盟友</strong></h2> <p>游政卿認為，資安是公司從上到下都必須一起努力的目標，所以必須創造資安被需要的價值，也必須在不同部門中，建立深層強韌的商務鏈結。例如，董事會負責公司營運與治理、資訊安全與機密資訊保護；業務部門則負責客戶開發暨業務推廣、供應商的資安評鑑。</p> <p>其他的法務單位必須負責智權管理；產品開發部門則要落實產品安全管理；採購單位則必須承擔起供應鏈安全管理和外包產品安全；財務部門則要做到風險移轉管理。</p> <p>至於資訊技術部門貫穿各個部門的業務流程，則必須提供兼具效率及安全的數位服務，所以合勤集團負責資安的20人，都是之前資訊部門最優秀的成員挑選出來的。</p> <p>若以實際案例為例，業務部門負責客戶開發暨業務推展，合勤本身就是國防產業供應鏈的一環，目前最熱門的就是美國國防部推動的CMMC 2.0版的規範，「當CMMC 2.0版成為正式規範後，不符合相關資安規定的供應商，就不能成為國防產業供應鏈的一員。」他指出，像是合勤在進行風險評估時，也會採取美國SP-800-171第二版的規定，確保系統的安全性。</p> <p>針對產品開發部門，游政卿說，為了做到Secure By Design，從產品構思開發規畫階段，到產品規格專案計畫階段、產品整合測試階段、產品試產階段、產品試出階段到產品結案階段，都會針對產品進行相關的資安測試並提供相關安全報告，驗證該公司的產品已經具備一定的安全性。他表示，這樣的作法也讓該公司產品，比其他同業產品更受到客戶肯定。</p> <h2><strong>策略三：強調正面信息</strong></h2> <p>面對過去三年的疫情，也造成很多社會和產業的不安定。游政卿認為，不管是面對疫情下的新生活，有越來越多遠距工作的需求，或者是越來越多的供應鏈攻擊，甚至是各種資料安全威脅、雲端環境威脅、勒索軟體攻擊，或是駭客利用各種漏洞發動攻擊等，這些帶著恐懼、不確定性和懷疑的負面訊息，企業都必須要轉換為對業務及利害關係人的正面資訊，並試圖找出安全與效率的甜蜜點才行。</p> <p>他表示，身為公司資安長要做到讓業務、營運更安全，不會受到地區差異與外在威脅而中斷，企業對於資安推動才會更具信心，可以透過正面表列的方式，隨著時間和業務的推動，就可以做到確保風險、安全服務組合和價值描述的有效性。</p> <p>例如，要確保資料安全時，正面表列的方式就可以轉化成透過DLP「防止資訊洩漏」，透過PGP「防止資料修改」，透過VPN「防止資料洩漏」的方式，可以明確知道怎麼做可以有效確保資料安全時，企業內部也會更安心。；其他像是要確保身分安全時，就可以用MFA防止盜用及詐騙，用SSL防止盜用及詐騙。</p> <h2><strong>策略四：量化安全提供的價值，取得客戶信任</strong></h2> <p>如何量化安全，是所有企業資安長一直在努力的方向，游政卿認為，這可以從幾個方向來看，一種是，做好資安，可以幫公司省下多少錢；一種是，做好資安，可以幫公司增加多少營收；還有一種是，沒有做好資安，會對公司帶來多少損失。</p> <p>以2018年5月25日在歐盟生效的GDPR（個資保護規範）來看，一旦違法相關法規，造成客戶個資外洩，歐盟裁罰最高罰金為2千萬歐元，或者是全球總營業額的4％，像是資訊服務業者亞馬遜就被罰款7.46億歐元、WhatsApp罰款2.25億歐元，其他像是服飾業者H&M也被罰款3,500萬歐元，航空業者英國航空則被罰款2,200萬歐元。游政卿表示，這些企業因為違反歐盟個資保護法規所遭到的裁罰，其實都是只要有做好資安，就可以幫公司省下的費用。</p> <p>另外，游政卿也強調，營運中斷損失通常可以量化，但是機敏資訊竊取的損失，往往無法量化，像是，台積電在2018年8月因為勒索軟體造成停工三天，導致26億元的營運損失，這是可以量化的損失；其他像是金管會要求上市櫃公司發生重大資安事件時，都必須發佈重訊公告，這些資安事件如果造成營運中斷，也可以評估損失範圍。</p> <p>不過，游政卿認為，量化資安還是需要有好的量化工具，該公司便採用資安風險量化工具（Factor Analysis of Information Risk Methodology，FAIR）模型，將業務運營中斷、勒索贖金、法律費用、名譽受損、法規罰金、個資外洩等都列入模型參數中，並評估會對企業造成多大的影響。他笑說，這個工具因為涉及法規在內，在合勤內部是提供法務長作為跟董事會報告的內容。</p> <p>例如個資外洩項目包括：健康資訊（PHI）、個人識別資訊（PII）和信用卡資訊（PCI）等，預估造成的損失高達503萬美金，加上個資外洩每年發生頻率為20分之1，企業因為個資外洩遭到入侵的機率為1％，就可以透過這些數據，評估對企業造成的損失為何。</p> <h2><strong>策略五：讓安全成為商務競爭差異化要素</strong></h2> <p>德國是合勤很重要的市場，相關的法規都會影響到合勤的產品策略，像是德國便制定路由器技術指南Technical Guideline for Secure Broadband Routers（BSI TR-03148），提供路由器的安全級別，而所有在德國販售的產品都必須符合相關規範。</p> <p>游政卿說，德國政府資安監管單位聯邦資訊安全辦公室（BSI）便在2018年11月公布，合勤的路由器符合相關安全規範，可以在德國市場販售；2022年5月則公布合勤兩款產品已通過聯邦資訊安全辦公室（BSI）公布的Secure Broadband Routers（TR-03148）認證。</p> <p>游政卿指出，傳統的資安任務是為了確保公司免遭駭客攻擊，但現在的資安已經成為擴大業務的推動要素，產品交付、成本、品質、服務、企業社會責任甚至是產品安全資訊安全供應鏈安全都已經包括在內。</p> <p>他表示，把資安做好不只要內部員工配合，還包括外部客戶，為了把安全做好，有時候，資安長也必須具備公關的技能，要爭取更多資源、錢和時間投入資安，最好的情況就是，資安可以幫公司增加營收、把關產品安全性並降低違反法規遵循帶來的風險。</p> <h2><strong>策略六：轉型為資安新創公司</strong></h2> <p>合勤科技從2007年開始，就開始重視資安，有相關的資安事件，游政卿都會在第一時間通報給創辦人兼董事長朱順一，但當時的資安部門還是資訊部門內的一個重要的功能組別。</p> <p>為了因應各種外部的資安攻擊與威脅，合勤內部也慢慢追查許多中繼站和駭客贏為，同時為了企業內部營運需求，也提供許多資安服務，不管是網際網路資產暨曝險分析；弱點掃描、滲透測試、源碼檢測；Active Directory安全檢測；防毒、資安、網路設備日誌整合；Windows、Linux、MacOS和應用服務日誌整合；並提供包括：系統弱點、日誌、效能、系統組態、軟體資產等資訊收集器。</p> <p>有這些資安服務的提供，游政卿也說，合勤也在2017年將資安部門獨立為一家專門的資安新創公司黑貓資訊，透過機器學習和威脅情報分析，對企業營運管理提供資安管理儀表板、攻擊軌跡追蹤和事件報告分析，最後從人員紀律、網路、終端設備和應用服務，執行資安防護策略並追蹤效果。</p> <p>他表示，黑貓資訊成立SOC（資安維運中心），使用XDR針對電子郵件、端點、伺服器、網路及資安設備，蒐集並分析多個防護層的威脅偵測事件，提高IT系統維運、網路暨應用的管理效率，並做到提供自動偵測、關聯分析、威脅獵捕、根因分析。</p> <p>另外，針對SIEM（資安資訊與事件管理），提供應用程序、系統、服務器等集中式日誌管理，作為整個SOC的技術骨幹，並進一步做到即時關聯分析、溯源調查與研擬對策；也成立專職的安全運營（SecOps）團隊持續監控、分析和回應安全事件。</p> <p>游政卿強調，資安要做到老闆覺得「值錢」，讓老闆覺得每個階段都有被利用的價值，讓資安部門成為公司做生意和產品開發、法規規避最好的合作夥伴，企業就會更願意投資資安。</p> <p>他也說，資安長也要學會將風險和安全服務情況以量化圖表展現，向董事會、經營階層呈現產品暨網路安全的價值，證明資訊安全確實值錢，透過威脅態勢感知去保護數位資產，利用業務發展推動去獲取競爭優勢，最後就可以做到真正的「資訊安全」。</p> </div></div></div>
2022/11/9 18:47作者黃彥棻https://www.ithome.com.tw/news/154104
【資安日報】2022年11月9日，沙烏地阿拉伯遭駭客組織Justice Blade鎖定、惡意瀏覽器擴充套件Cloud9…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>先前<a href="http://www.ithome.com.tw/news/141753">SolarWinds鎖定IT業者下手並對政府機關與大型企業攻擊的事件</a>震驚全球，類似資安事故如今又再度出現在中東地區。駭客組織Justice Blade攻擊IT服務業者Smart Link BPO Solutions，目標是沙烏地阿拉伯與海灣阿拉伯國家合作委員會會員國的組織。</p> <p>這幾天也傳出親巴基斯坦駭客APT-36攻擊印度政府機關，引發關注。攻擊者以提供當地政府推出的雙因素驗證應用程式Kavach來散布後門軟體，但值得留意的是，駭客同時濫用Google廣告而使人上當。</p> <p>透過瀏覽器惡意擴充套件來發動攻擊的活動，最近又出現。研究人員發現名為Cloud9的惡意套件，Chrome使用者若是不慎安裝，所操作的電腦就有可能遭到控制。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/138213/hacking/justice-blade-targets-saudi-arabia.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">沙烏地阿拉伯遭駭客組織Justice Blade鎖定，透過IT服務業者發動供應鏈攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Justice-Blade-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Justice-Blade-1.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Security Affairs的報導，自稱是Justice Blade的駭客組織公布從IT服務供應商Smart Link BPO Solutions竊得的資料，內內含客戶關係管理系統（CRM）的記錄、個資、電子郵件、合約，以及帳密資料。駭客亦建立Telegram帳號及私人頻道，發送成功入侵的螢幕截圖與影片，此起攻擊很可能是鎖定特定目標的網路入侵活動，導致該公司AD、內部應用程式與服務受到波及。</p> <p>由於Smart Link BPO Solutions的客戶遍及沙烏地阿拉伯及海灣阿拉伯國家合作委員會（GCC）會員國的政府機關與主要企業，這起事故的後續影響有待觀察。在此之前，資安業者Resecurity曾在地下市集看到Smart Link BPO解決方案的多個帳號資料，他們研判Justice Blade很有可能從這些市集取得相關資料並發動攻擊。</p> <h3><a href="https://www.zscaler.com/blogs/security-research/apt-36-uses-new-ttps-and-new-tools-target-indian-governmental-organizations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府組織遭APT-36發動攻擊，駭客濫用Google廣告來散布後門程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/APT-36-Figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT-36-Figure-1.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露親巴基斯坦駭客APT-36（亦稱Transparent Tribe）的攻擊行動，駭客針對印度政府組織而來，假借提供當地政府的雙因素驗證（MFA）工具Kavach，並透過Google搜尋引擎最佳化（SEO）廣告，來散布後門程式LimePad，以竊取電腦資訊。</p> <p>一旦受害者執行了冒牌的Kavach安裝檔案，此安裝程式會先檢查電腦時區，確認位於印度標準時區（IST）才執行相關攻擊──先下載第二階段的Python指令碼，再執行實際的Kavach安裝程式來降低戒心，然後才經由Python指令碼下載後門程式。研究人員指出，駭客不光是在受害電腦植入後門程式，還設置冒牌的印度國家資訊中心（NIC）網站，來騙取受害者的帳密。</p> <h3><a href="https://www.cyfirma.com/outofband/unknown-nation-based-threat-actor-using-android-rat-to-target-indian-defence-personnel-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度國防人員遭到國家級駭客以安卓木馬攻擊</span></strong></a></h3> <p>資安業者Cyfirma揭露針對印度國防人員的攻擊行動，駭客約自2021年7月，透過Spymax RAT安卓木馬程式變種發動攻擊，一旦受害者依照指示安裝APK檔案，手機就會出現貌似Adobe Reader的應用程式，此App開啟後，內有與國防人員晉升相關的PDF檔案，藉此降低受害者的戒心。但在這個過程裡，駭客已部署了Spymax RAT進行跟蹤，並取得各式權限。</p> <p>研究人員指出，有鑑於駭客的目標是國防人員，且目的是竊密，他們推測攻擊者的身分是國家級駭客，但無法確認是那個組織所為。</p> <h3><a href="https://www.zimperium.com/blog/the-case-of-cloud9-chrome-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意擴充套件Cloud9鎖定Chrome而來，可讓攻擊者遠端控制受害電腦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2-installed-chrome-extension-on-google-chrome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2-installed-chrome-extension-on-google-chrome.jpg" style="width: 300px; float: right;" /></a>資安業者Zimperium揭露名為Cloud9的惡意瀏覽器擴充套件，駭客組織Keksec假借提供Adobe Flash Player軟體更新，或是提供其他應用程式的名義，透過惡意網站散布，針對以Chromium為基礎開發的瀏覽器下手。</p> <p>一旦使用者依照指示安裝此擴充套件，攻擊者就能進行系統資訊收集，並將電腦的運算能力用於挖礦，或是發動DDoS攻擊等，此外，駭客還能執行外部的JavaScript程式碼，甚至有可能進一步控制整臺電腦。研究人員指出，Cloud9由3個JavaScript程式碼檔案組成，功能與許多RAT相似，但比較特別之處在於，駭客也鎖定Firefox、IE、Edge的特定漏洞而來，企圖藉此自動部署惡意軟體，以便進行更嚴重的破壞。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-critical-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機發布11月份例行修補</span></strong></a></h3> <p>11月8日，西門子與施耐德電機發布本月份的資安通告，其中，前者有9則公告與本月修補的漏洞有關，總共涵蓋了30個漏洞，後者則是修補了3個漏洞。</p> <p>西門子這次的資安通告涉及多項產品，包含了電量測量儀Sicam Q100（CVSS風險評分為9.9分）、Wi-Fi無線網路基地臺Scalance W1750D（CVSS風險評分為9.8分）、無線CNC控制系統Sinumerik One及Sinumerik MC（CVSS風險評分為9.3分）等。</p> <p>施耐德電機則是針對網路視訊監控系統NetBotz著手修補，其中最嚴重的是CVE-2022-43376，CVSS風險評分為8.8分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-three-critical-auth-bypass-bugs-in-remote-access-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補遠端IT支援系統Workspace ONE Assist重大漏洞</span></strong></a></h3> <p>VMware針對旗下的遠端IT支援解決方案Workspace ONE Assist發布22.10版，當中總共修補3個重大漏洞，分別是身分驗證繞過漏洞CVE-2022-31685、身分驗證方法弱點CVE-2022-31686，以及存取控制弱點CVE-2022-31687，這些漏洞的CVSS風險評分都達到了9.8分，攻擊者一旦利用上述弱點，就可以不需通過身分驗證來提升權限，且無須使用者互動。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/citrix-urges-admins-to-patch-critical-adc-gateway-auth-bypass/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix修補ADC與VPN閘道系統的重大漏洞</span></strong></a></h3> <p>Citrix於11月8日發布資安通告，該公司針對Citrix ADC與Citrix Gateway修補3項漏洞CVE-2022-27510、CVE-2022-27513、CVE-2022-27516，攻擊者一旦加以利用，就有可能繞過身分驗證流程、接管遠端桌面，或是略過保護暴力破解機制。該公司指出，只有作為閘道設備使用的系統，也就是啟用SSL VPN的功能，或是部署為ICA Proxy模式並啟用身分驗證機制，才會受到上述漏洞影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2022-patch-tuesday-fixes-6-exploited-zero-days-68-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟11月例行修補緩解6個零時差漏洞，ProxyNotShell、MoTW漏洞終於有修補程式</span></strong></a></h3> <p>微軟11月8日發布每月例行修補（Patch Tuesday），總共修補了68個漏洞，其中6個是零時差漏洞。這些漏洞包含：越南資安業者9月底揭露的Exchange重大漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082），以及資安研究員Will Dormann於7月找到的MoTW漏洞CVE-2022-41091。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://asec.ahnlab.com/en/41450/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">殭屍網路病毒Amadey Bot被用於部署勒索軟體LockBit</span></span></strong></a></p> <p><a href="https://www.cleafy.com/cleafy-labs/the-android-malwares-journey-from-google-play-to-banking-fraud"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓銀行木馬Vultur透過Google Play市集散布，已被下載逾10萬次</span></span></strong></a></p> <p><a href="https://www.gendigital.com/blog/news/introducing-gen"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者NortonLifeLock與Avast合併，更名為Gen</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154086">【2022年11月8日】加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomware寫入隨機資料破壞檔案</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154039">【2022年11月4日】美國財政部傳出遭親俄駭客組織Killnet攻擊、勒索軟體Black Basta疑與駭客組織FIN7有關</a></strong></strong></strong></p> </div></div></div>
2022/11/9 16:35作者周峻佑https://www.ithome.com.tw/news/154100
微軟正式發布支援.NET 7、Arm64的Visual Studio 2022 17.4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-4/">Visual Studio 2022 17.4</a>更新，這是第一個正式支援Arm64的版本，並且提供IT管理員回退配置功能。此外，因應.NET 7的同時推出，Visual Studio 2022 17.4也正式支援.NET 7。微軟跨平臺的開發平臺.NET 7已經正式發布，這個新版本擁有更好的效能、C#語言升級，並且提供許多雲端原生和容器開發功能。</p> <p>微軟早在.NET 6，就已經對Arm64提供原生支援，而現在開發者可以使用.NET 7/6和.NET Framework 4.8.1建置Arm桌面應用程式。17.4是第一個原生支援Arm64的Visual Studio 2022正式版本，開發者可以使用Visual Studio 2022 17.4建置和除錯Arm64應用程式，支援的工作負載包括Windows視窗、WPF、Win UI 3、Win UI 2 和通用Windows平臺（UWP）等。微軟也將在之後Visual Studio 2022版本，加入對.NET MAUI的支援。</p> <p>微軟提醒，開發者啟動Arm64版本Visual Studio，在重新建置應用程式之前，應該確認將NuGet套件參照更新為支援Arm64的新版本。目前絕大多數NuGet套件已經可在Arm64上運作，開發者無需進行額外的更改。</p> <p>在開發工具的支援上，MSVC工具集已經支援Arm64一段時間，但是之前在Arm64裝置上執行時，編譯器會以模擬的方式運作，而現在用戶終於可以用到原生Arm64 MSVC編譯器工具集，包括C++程式碼分析功能，並維持支援目前MSVC所支援的所有平臺。</p> <p>Visual Studio擁有豐富的工具和功能集，支援每個開發階段，但有一些技術隨著時間變化，原本最初包含在Visual Studio中的部分獨立元件，可能比Visual Studio本身更早停止支援，停止支援代表著無法接受到更新，而變得不安全。在最新的Visual Studio中，使用者將能夠簡單地批次刪除不受支援的獨立元件，可按需或是永久，以手動或是程式開發方法移除這些元件。</p> <p>Visual Studio 2022 17.4加入了配置回退功能，讓用戶可以將Visual Studio恢復到之前安裝的Visual Studio版本，IT管理人員可以透過政策來禁用回退功能。另外，微軟長期服務頻道（LTSC）提供對17.4版本的支援，17.4是第三個LTSC版本，支援時間到2024年7月。</p> </div></div></div>
2022/11/9 16:20作者李建興https://www.ithome.com.tw/news/154099
幣安有意出手買下並解救FTX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為全球第四大加密貨幣交易平臺的FTX近日傳出了嚴重的擠兌與流動性問題，FTX在外尋求周轉方案，最終向競爭對手幣安（Binance）求助，<a href="https://twitter.com/cz_binance/status/1590013613586411520" target="_blank">幣安創辦人暨執行長趙長鵬則在周二（11/8）宣</a>布，有意買下FTX，但此事尚有變數。</p> <p>FTX事件始於<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》在11月2日的一則報導</a>，指出同樣由Sam Bankman-Fried（SBF）所創辦的FTX與做市商Alameda Research之間的關係過於緊密，主要是Alameda Research的資產負債表中有大量由FTX所發行的FTT加密貨幣，一旦FTX出現危機，便會對Alameda Research的流動性造成風險，可能引發骨牌效應，而Alameda Research也可能藉此操縱加密貨幣市場。</p> <p>根據《CoinDesk》的調查，在146億美元的Alameda Research淨資產中，就有52億美元與FTT有關，另有超過11億美元與Solana區塊鏈原生加密貨幣SOL有關，而SBF也是Solana的早期投資者。</p> <p>另一名分析師Dylan LeClair在11月2日時估算，Alameda Research帳面上擁有價值58億美元的FTT資產，但FTT的市值卻只有33.5億美元。</p> <p>相關報導現身的當下並未對FTT的價格造成衝擊，當時每枚FTT的價格約為25美元，就算趙長鵬因為不認同Alameda Research的作法，<a href="https://twitter.com/cz_binance/status/1589283421704290306" target="_blank">在11月6日宣布</a>要出清所持有的價值約21億美元的FTT與BUSD，以降低市場風險，也在<a href="https://twitter.com/carolinecapital/status/1589287457975304193" target="_blank">Alameda Research執行長Caroline Ellison很快即出面回應</a>，表示願意以每枚FTT 22美元的價格，買下趙長鵬的所有FTT而穩住了局勢，即使趙長鵬並未接受Ellison的提議，但FTT價格仍停留在22美元左右。</p> <p>然而，市場的負面情緒似乎已經開始發酵，<a href="https://www.coindesk.com/markets/2022/11/08/ftt-plummets-as-market-fears-possible-alameda-contagion/" target="_blank">《CoinDesk》在8日報導</a>，市場上看壞FTT的空方愈來愈多，FTX交易平臺上的穩定幣大規模外流，FTX所提供的借貸利率愈來愈高，還有用戶發現在FTX平臺上提款的速度變慢了，8日FTT的價格直接從22美元跌至5美元。</p> <p><a href="https://twitter.com/SBF_FTX/status/1590012124864348160" target="_blank">當天FTX創辦人SBF即宣布</a>，已與幣安達成策略性交易協議，該平臺正努力清除累積的提款要求，<a href="https://twitter.com/cz_binance/status/1590013613586411520" target="_blank">趙長鵬也旋即證實此事</a>，指出有意併購FTX，以協助解決流動性問題。</p> <p>不過，趙長鵬也坦承，這是個高度動盪的情況，將會隨時評估狀況，幣安可能隨時退出交易，也預期未來幾天FTT的價格仍會大幅波動。</p> <p><a href="https://www.theblock.co/post/184251/ftx-agrees-to-strategic-transaction-with-binance" target="_blank">《The Block》則引述消息來源報導</a>，在FTX與幣安達成協議之前，曾試圖說服其它創投業者投資該平臺，估值為100~200億美元。</p> </div></div></div>
2022/11/9 16:58作者陳曉莉https://www.ithome.com.tw/news/154101
微軟要在12月13日終止對Windows 10 21H1的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/reminder-end-of-servicing-for-windows-10-version-21h1/ba-p/3671327" target="_blank">微軟本周提醒</a>，於2021年5月釋出的Windows 10 21H1將於今年的12月13日終止服務，當天剛好是微軟的Patch Tuesday，也將是Windows 10 21H1用戶最後一次可取得的安全更新。</p> <p><a href="https://learn.microsoft.com/en-us/lifecycle/announcements/windows-10-21h1-end-of-servicing" target="_blank">所有的Windows 10 21H1版本在12月13日之後</a>，就無法再取得作業系統的品質或安全更新，涵蓋企業版、教育版、專業版或家用版等。</p> <p>此外，Windows Update將自動針對那些服務快要被終止的Windows 10 21H1家用及專業版執行功能更新，也會在接近終止日時自動將用戶系統升級到最新版的Windows 10，但所使用裝置符合Windows 11最低系統需求的用戶，也可選擇直接升級至Windows 11。</p> <p>在Windows 10 21H1之後還有兩個Windows 10版本，包括Windows 10 21H2與Windows 10 22H2，它們的服務終止日期分別落在2023年的6月與2024年的5月。</p> </div></div></div>
2022/11/9 12:32作者陳曉莉https://www.ithome.com.tw/news/154097
防毒業者NortonLifeLock和Avast合併後，改名為Gen
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由賽門鐵克消費防毒軟體部門演化而來的NortonLifeLock去年買下防毒公司Avast後，<a href="http://newsroom.gendigital.com/2022-11-07-Introducing-Gen-The-Company-to-Power-Digital-Freedom" target="_blank">本周宣布公司將改名為Gen Digital</a>。</p> <p>2019年博通以107億美元，買走賽門鐵克企業安全產品及品牌後，剩下的消費防毒產品諾頓，以及身分防護產品LifeLock成立了NortonLifeLock。<a href="https://www.ithome.com.tw/news/146133" target="_blank">去年8月這家公司宣</a>布以總價81億美元買下捷克防毒軟體公司Avast。這樁交易在今年9月終於<a href="https://techcrunch.com/2022/09/02/uk-clears-8-1b-merger-between-nortonlifelock-and-avast" target="_blank">獲得英國主管機關核准</a>。</p> <p>改名後的新公司名稱為Gen Digital，簡稱Gen。旗下包含防毒、磁碟管理與身分防護產品線，包括Norton、Avast、LifeLock、Avira、AVG、CCleaner 和ReputationDefender等。隨著公司改名，從11月8日起，該公司在那斯達克的股票代號也由NLOK改成為GEN。</p> </div></div></div>
2022/11/9 11:22作者林妍溱https://www.ithome.com.tw/news/154095
微軟修補6個已遭攻擊的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（11/8）的11月Patch Tuesday修補了逾60個安全漏洞，當中有6個已發現攻擊行動，它們分別是出現在Microsoft Exchange Server中的CVE-2022-41040與CVE-2022-41082，與Windows腳本語言有關的CVE-2022-41128，涉及Windows Mark of the Web（MOTW）的CVE-2022-41091，以及藏匿在Windows CNG Key Isolation Service中的CVE-2022-41125，與Windows Print Spooler 有關的CVE-2022-41073，前3項被微軟列為重大（Critical）漏洞，其它僅被視為重要（Important）漏洞。</p> <p>位於Microsoft Exchange Server的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040" target="_blank">CVE-2022-41040</a>為一權限擴張漏洞，<a href="https://www.zerodayinitiative.com/blog/2022/11/8/the-november-2022-security-update-review" target="_blank">趨勢Zero Day Initiative（ZDI）團隊表</a>示，它們在9月就購得該漏洞並提報微軟，隨後即發現它被用來攻擊，此外，ZDI建議微軟用戶本月最好一併修補所有與Exchange Server有關的漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1109-Microsoft%20Exchange%20Server-Nov-patch.png" style="width: 600px;" /></p> <p>另一個已遭攻擊的Exchange Server漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082" target="_blank">CVE-2022-41082</a>，它是個遠端執行漏洞，要成功利用該漏洞必須先經過身分認證，之後即可利用一個網路呼叫來觸發惡意程式碼。</p> <p>此次微軟所修補的Exchange Server漏洞還包括同樣被列為重大等級的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41080" target="_blank">CVE-2022-41080</a>，以及另外3個重要等級的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41123" target="_blank">CVE-2022-41123</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41078" target="_blank">CVE-2022-41078</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41079" target="_blank">CVE-2022-41079</a>。</p> <p>至於<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41091" target="_blank">CVE-2022-41091</a>則是資安業者<a href="https://www.ithome.com.tw/news/153680" target="_blank">0patch日前曾釋出非官方修補</a>的安全漏洞，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41091" target="_blank">根據微軟的說法</a>，駭客得以打造一個惡意檔案來閃過MOTW的防禦，而讓依賴MOTW的產品安全功能失效，例如Microsoft Office中的「受保護檢視」（Protected View）。</p> <p>除了這個已被利用的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41091" target="_blank">CVE-2022-41091</a>之外，此次微軟也修補了另一個MOTW漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41049" target="_blank">CVE-2022-41049</a>。</p> <p>微軟並未揭露太多與腳本程式有關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41128" target="_blank">CVE-2022-41128</a>漏洞細節，僅說駭客可以誘導使用者造訪一個惡意網站或伺服器，並能於受害系統上以使用者權限執行程式。ZDI團隊猜測該漏洞未來很可能會被駭客收錄在攻擊套件中。</p> <p>Windows CNG Key Isolation Service可針對私密金鑰與相關加密金鑰的操作進行程序隔離，藏匿於其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41125" target="_blank">CVE-2022-41125</a>是個權限擴張漏洞，成功的攻擊將可取得系統權限以執行任何程式。</p> </div></div></div>
2022/11/9 11:51作者陳曉莉https://www.ithome.com.tw/news/154096
Google、雷諾合作「軟體定義汽車」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.renaultgroup.com/wp-content/uploads/2022/11/partnership-renault-group-google_en.pdf" target="_blank">Google與法國雷諾汽車集團（Renault Group）昨（8）日宣布擴大既有合作</a>，雙方將合作打造「軟體定義汽車」（Software-Defined Vehicle），協助加速開發及新服務提供，同時雷諾汽車集團也將使用Google Cloud推動數位轉型。</p> <p>2018年雷諾汽車曾和日本車廠日產（Nissan）、三菱（Mitsubishi）合組一個集團，<a href="https://www.ithome.com.tw/news/125962" target="_blank">與Google簽定合作</a>，讓三車商2021年起出貨的新車都內建Android 作為車上資訊娛樂系統的底層作業系統，以及Google Maps導航、Google Play Store及Google Assistant，以存取及更新Google雲端服務。</p> <p>最新合作的只有Google和雷諾集團兩家公司，因此會受這次合作影響的，只會有雷諾旗下品牌，包括Renault、Dacia、Alpine和Mobilize。</p> <p>在內容方面，雙方合作將利用車內包括Android的軟體建構「軟體定義汽車」平臺，而在雲端則建立具備人工智慧（artificial intelligence，AI）功能的汽車數位分身（Digital Twin），這分身可方便將新服務持續更新到汽車上，以及建立新的車上（onboard）及車外（offboard）應用程式。雷諾最終要將所有營運系統搬上Google Cloud，推動數位轉型。</p> <p>雷諾相信，最新合作可協助該集團降低成本、改善效率、彈性以及汽車開發速度，並藉由持續性的軟體更新提供客戶服務。這次合作中，雷諾將利用Google Cloud整合「軟體定義汽車」，以管理與分析蒐集到的汽車資料，並且用於汽車軟體開發。目前雙方正在發展的第一批使用情境包括，預測式維修，及偵測和幾近即時修正車輛問題，或是開發符合車主開車行為、常用目的地（如充電站）的個人化車上服務，以及依據開車和使用建議保險模式。</p> <p>雷諾集團計畫透過結合「軟體定義汽車」平臺和雷諾的汽車資料平臺監控車輛使用狀況，以更了解車主需求、提供高度個人化的服務，或是符合安全及隱私法令規定。</p> <p>最後，雷諾集團和Google合作4年下來，已經在雲端代管所有廠區、產線、供應鏈資料，總計每天10億資料點。該集團昨日宣布Google為優先雲端合作夥伴，計畫進一步使用Google Cloud的機器學習和AI技術。</p> </div></div></div>
2022/11/9 10:52作者林妍溱https://www.ithome.com.tw/news/154092
台電數位轉型小成，四大電力核心業務開始AI化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">台電公司近日揭露內部數位轉型的階段性成果，已經開始將AI、大數據、數位分身、儲能等技術，大量運用在發、輸、配、售等電力系統應用的改善，不只配合政府能源轉型政策，還要結合3E（能源、經濟、環境）、循環經濟、生態環境、電力市場應用趨勢，打造能資源整合的生態系，加速台電數位轉型。</p> <p dir="ltr">負責台電前瞻技術研究和應用的主要單位，就是台電綜合研究所，最近在一場活動上公開展示台電內部前瞻技術研究和最新應用成果。</p> <p dir="ltr">台電綜合研究所所長鍾年勉表示，台電的數位化研究進程發展策略，是要接軌國內外前瞻技術，來發展台電在數位轉型技術上的演進，涵蓋六大面向研究重點，包括電能管理、智慧電網、發電營運、低碳發電、循環經濟和經營管理。</p> <h3 dir="ltr"><strong>台電數位轉型分三階段，目前大多仍在數位化、數位優化階段</strong></h3> <p dir="ltr">台電將內部數位轉型分三階段歷程，數位化、數位優化以及數位轉型，並可對應到發電、輸電、配電、售電共四大核心業務的轉型，經過這幾年發展，鍾年勉表示：「整體而言，目前台電正在數位化和數位優化的併行階段，但少部分已做到新商模，如配電，售電等。」</p> <p dir="ltr">從發、輸、配、售分別來看，目前台電在售電端轉型腳步最快，截至今年8月，台電在全臺已安裝173萬具AMI智慧電表，透過這些智慧電表能更快回傳家戶用電記錄，一天就可蒐集1億筆用電數據，這些數據也成了台電發展大數據的關鍵數據。</p> <p dir="ltr">家戶智慧電表推動一段時間後，台電開始利用這些智慧電表，結合HEMS居家能源管理系統，發展新的應用服務及商業模式，像是用電異常搭配智慧音箱裝置來調控家中家器用電等。鍾年勉表示，綜研所已將一些社區作為示範場域進行驗證，鳳山智慧綠社區就是其中之一，用來測試HEMS系統在智慧家庭相關應用，包含提供節電建議、用電預測分析、自動需量反應等。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%AE-PXL_20221018_075217381.jpg" style="width: 600px; height: 338px;" /></p> <p dir="ltr">不光是智慧家庭應用，台電也開始嘗試利用大數據與AI技術結合智慧電表，來發展產業動態指數，使用台電用戶用電數據、帳單資訊，以及結合外部資訊和產業資料，再經由大數據演算法產生產業動態指數，來作為未來各產業發展的參考。鍾年勉表示，這些產業動態指數可以透過數據介接，交由資料經銷商來販售，像提供給金融產業、政府或其他有需求的利害關係人，作為商業上使用。</p> <p dir="ltr">更進一步還要發展更多元電力大數據與AI應用，像是擷取電力使用特徵之後，可以透過用電分析了解獨居長者的生活作息是否改變，提供給照護單位能夠提早發現長者健康異常的狀況，鍾年勉表示，未來還可以串連高齡社會變化後的照護服務，甚至有機會發展成為居家照護新模式。</p> <p dir="ltr">在配電端部分，台電目前已在部分配電變電所部署巡檢機器人，來從事巡檢任務，除了可以預先設定巡檢目標與排程，交由機器人自動執行之外，中控中心也能從遠端遙控機器人至特定點檢测，掌握現場設施狀況。現階段已經可以取代部分維運人力。目前台電正在發展第二代巡檢機器人。</p> <p dir="ltr">相較於發電、售電轉型腳步稍快，輸電和發電應用目前仍停留數位化或數位優化階段，但也開始結合大數據、AI技術做運用。</p> <p dir="ltr">像在輸電應用上，鍾年勉也以落雷大數據分析為例，以往台電對輸電設備的保護及變電設施提供的落雷預警，都是透過統計分析來提供避雷警訊，後來加強數位化技術投資，不只將落雷資訊數位化、行動化，還導入大數據分析方法，來提高整體預警及預測準確度。</p> <p dir="ltr">綜研所還打造一套落雷偵測系統，能將偵測到的落雷資料回傳並儲存在落雷大數據資料庫，提供事故點定位、統計分析、風險評估，並可對於重要區域設定警戒區，提前發布參報等，藉此提升雷害防制效益。另外，在輸電設備資產管理上，台電開始以系統化結合行動點檢作業來提高作業效率，目前汐止超高壓變電所及中崙一次配電變電所已開始採用。</p> <p dir="ltr">高壓電塔的礙子維護則是另一個輸電應用例子。由於高壓電塔上的礙子，長久使用容易遭受鹽霧害污染，如果未能即時清理，嚴重時可能引發跳電危機。為了解決這個問題，綜研所幾年前開始導入AI建立輸電線路鹽霧害防制機制，他們利用深度學習模型萃取特徵推估礙子洩漏電流，幫助台電維護人員能更容易掌握電流外洩的變化趨勢，以便能提前預警，進而排定維護期程，避免跳電情況發生。</p> <p dir="ltr">最後在發電應用上，除了在電廠周邊結合PM2.5空氣污染監測，以及引進更有效的鍋爐資產管理的做法，來維持穩定供電之外，台電還有一些整合應用正在發展中，像是建立電力氣象地圖，以及在能源管理系統上結合數位分身技術，透過虛擬分身來模擬電力系統的運作狀況，作為日後大型微電網調控的參考依據。</p> <p>鍾年勉也透露，目前台電正在樹林區打造微電網平臺，這個微電網裡設有儲能系統、主變電站，還有跟市電連結的控制系統，以及PV智慧變流器、電動車與各式儲能。他表示，透過這座微電網已經可以提供計畫性和非計畫性的微電網併網與孤島運轉，未來更將把它打造成虛擬電廠，提供台電更多電能調度，因為經過標準化，符合IEC61850的微電網協定，未來能快速複製到其他微電網虛擬電廠。</p> </div></div></div>
2022/11/9 10:54作者余至浩https://www.ithome.com.tw/news/154093
推特將推另一個公眾機關及名人專用標誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於原有藍勾勾可能將失去榮耀象徵的作用，推特將推另一個為政府機關、企業、媒體及名人專用的識別標誌。</p> <p><a href="https://twitter.com/esthercrawford/status/1590109380338647040" target="_blank">推特產品部門表示</a>，許多人問到如何和其他有藍勾勾及驗證帳號的Twitter Blue訂閱用戶區隔，因此推特將推出為特定帳號而設計的「官方」標誌。</p> <p>未來，不是所有有藍勾勾的帳號都會有這個官方標誌，也無法花錢買到。只有政府部門帳號、營業企業、業務合作夥伴、主要媒體、出版商及一些公眾人物才拿得到這個標誌。此外，這新的Twitter Blue也不包含身分驗證功能，而是供已付費訂閱用戶選擇性加入。</p> <p>也就是說，這新的標誌就是原先的藍勾勾。目前這功能還在測試中。推特表示會持續實驗區隔不同帳號的作法。</p> <p>這新標誌是由<a href="https://twitter.com/nima_owji/status/1588154661139365888" target="_blank">研究人員Nima Owji上周發現</a>。當時推特新老闆馬斯克（Elon Musk）宣布以Twitter Blue作為身分驗證系統，讓任何人只要花每月7.99美元就可以證明自己的身分。</p> <p>不過許多人批評這不但讓原本「一勾難求」的榮耀感蕩然無存，也不具有有效的驗證作用。一些已有藍勾勾的名人將自己的推特帳號名改成了Elon Musk來突顯這個問題。</p> <p><a href="https://www.ithome.com.tw/news/154075" target="_blank">馬斯克隨即宣布</a>，亂改帳號名稱、惡搞他人的作法，未來推特將不再警告而逕自停權，冒充他人等情節重大者可能被永久停權。</p> <p>不過<a href="https://techcrunch.com/2022/11/08/twitter-will-add-an-official-badge-to-high-profile-accounts-in-lieu-of-verification/" target="_blank">《Techcrunch》報導</a>新標誌並非能立刻解決問題，因為要讓2億用戶認識及熟悉它，又得再花一段時間。</p> <p>推特新的Twitter Blue及新辨識系統何時上路還不確定。因應周二美國期中大選，推特為了防範經驗證過的帳號冒充選務機關或媒體放假消息以影響投票行為，刻意將時程延後。</p> </div></div></div>
2022/11/9 11:13作者林妍溱https://www.ithome.com.tw/news/154094
Looker Studio開放公開預覽，供用戶存取Looker模型執行資料分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google之前宣布整合商業智慧工具Looker與Data Studio，並將Data Studio更名為Looker Studio，現在這項整合進入<a href="https://cloud.google.com/blog/products/data-analytics/public-preview-of-looker-and-looker-studio-connector-now-available">公開預覽階段</a>，使用者現在可以從Looker Studio取用Looker資料模型，進行分析和探索。</p> <p>Looker與Looker Studio整合之後，用戶使用Looker連接器，便可以從Looker Studio存取Looker中受治理的資料。當Looker Studio連接至Looker，Looker Studio客戶便可以利用語義資料模型，透過業務資料目錄、預定義業務指標和內建轉換功能，簡化終端用戶所接受到的資料，Google提到，中央模型可讓用戶的計算和業務邏輯保持一致，在組織中提供單一事實來源。</p> <p>而在Looker Studio報告中存取Looker建模資料，則可讓用戶使用相同的工具，來創建仰賴特定資料和受治理資料的報告，並在同一個Git中集中定義和管理商業規則，運用Looker模型語言LookML創建Looker資料模型。另外，用戶也可以在Looker Studio中分析像是試算表、CSV文件和各種不受組織治理的資料，並將結果和Looker中受治理資料混合，產生新的分析結果。</p> <p>公開預覽新功能包括於Looker Studio資料面板支援欄位階層結構，當用戶在進行大型探索時，仍可以保持欄位良好組織性，資料面板能夠顯示資料夾結構，並以常見的方式組織欄位。同時，官方也以新方法顯示欄位描述，以提供更多的可見度，欄位描述將出現在資料面板和報告的表格，用戶能夠快速檢查Looker模型的描述資訊。</p> <p>用戶還可以從Looker中看到「以Looker Studio開啟」的選項，供快速創建指向該資料來源的Looker Studio報告。為了確保用戶能夠總是從底層資料庫取得最新資料，用戶在Looker Studio中更新資料，也會同時更新Looker快取中的資料。</p> <p>在這次的公開預覽版中，官方也強化了Looker Studio對Looker資料來源的限制，每個資料瀏覽者都需要使用自己的憑證，目前Looker Studio仍禁止資料下載和電子郵件排程功能，官方將會在之後，於Looker中整合這些權限管理。</p> </div></div></div>
2022/11/8 23:22作者李建興https://www.ithome.com.tw/news/154084
Google測試影片生成AI模型Imagen、公布Phenaki
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周在AI大會上宣布可將文字轉成影片的AI模型Imagen，將透過測試用App AI Test Kitchen開放特定國家用戶測試。此外，另一AI模型Phenaki產生的影片也首次問世。</p> <p><a href="https://twitter.com/sundarpichai/status/1587872629137948672" target="_blank">Google執行長Sundar Pichai貼出一段藍色汽球與長頸鹿的影片</a>，並說，這是Google首次分享以文字提示產生具有條理，並以Imagen Video系統增進品質的超高解析度影片。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/X5iLF-cszu0?start=1121" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><a href="https://www.ithome.com.tw/news/153491" target="_blank">Imagen、Phenaki是Google上個月公布的兩個文字轉影片的AI模型</a>，前者強調具有深刻語言理解能力，能生成相片等級影片，而後者則能將多段文字提示合成長度較長、包含不同場景的影片。不同於Imagen僅能生成數秒影片，Phenaki則可生成長數分鐘的影片。</p> <p>Imagen將透過AI Test Kitchen App開放給美、英、加拿大、澳洲、紐西蘭及肯亞的英語用戶測試。<a href="https://blog.google/technology/ai/join-us-in-the-ai-test-kitchen/" target="_blank">Google 8月宣布AI Test Kitchen App</a>，主要用於測試Google AI技術。Google第一批測試的技術是對話AI模型LaMDA（Language Model for Dialogue Applications）。</p> <p><a href="https://9to5google.com/2022/11/02/ai-test-kitchen-season-2/" target="_blank">9to5Google報導</a>，最新在AI Test Kitchen App測試的Imagen包含2個主題，一是City Dreamer，用戶輸入關於對城市想像的一連串文字提示，由Imagen生成影片。Wobble也是由用戶輸入文字提示讓Imagen生成影片，只是主題變成了怪物。</p> <p>Google希望能藉此挑戰OpenAI的 DALL-E 2、Stability AI的Stable Diffusion，或是Meta的Make-A-Video。<a href="https://www.ithome.com.tw/news/153341" target="_blank">OpenAI的DALL-E 2於9月正式開放</a>所有用戶試用。<a href="https://www.ithome.com.tw/news/153373" target="_blank">Meta的Make-A-Video</a>也已經在9月底開放給社群試用。</p> </div></div></div>
2022/11/8 23:44作者林妍溱https://www.ithome.com.tw/news/154087
聯發科發表新旗艦行動平臺天璣9200，搭載新晶片手機年底上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼天璣9000之後，聯發科今天（11/8）發表最新的天璣9200，為5G SoC系統單晶片，相較於天璣9000，CPU效能約提升10到12%之間，預期採用新平臺的手機將在2022年底上市。</p> <p>天璣9200採用台積電第2代4奈米製程，內含170億電晶體，搭配Armv9架構，八核心CPU內部採1+3+4，1個Cortex-X3超大核心，頻率達3.05GHz，3個Cortex-A715核心，4個負責一般工作負載的Cortex-A510核心，搭配8MB L3及6MB系統快取。聯發科強調高性能CPU核心皆支援64位元，多執行緒64位元運算提升App體驗。</p> <p>聯發科副總經理暨無線通訊事業部總經理徐敬全指出，和天璣9000相比，天璣9200在CPU單核效能提升12%，多核效能提升10%。在GPU方面，搭載Immortalis-G715，效能比前一代提升32%，強化在遊戲中的硬體光線追縱、渲染效果。</p> <p>另外，過去其他業者的高階行動平臺偏重效能提升，為人垢病的過熱問題，聯發科則強調新款天璣行動平臺的能效表現，運用新的晶片封裝設計，提升10%散熱能力，使CPU在最高效能之下，功耗比前一代最多可降低25%。</p> <p>在AI處理方面，天璣9200也搭載第6代APU，較前一代提升35%的AI效能，或是降低AI應用功耗，AI運算應用在相機的拍照功能上，搭配ISP影像處理器，例如辨識攝影主體、分析環境色彩、標註或調校色彩。也與遊戲開發商合作，針對遊戲負載變化自動調校，例如螢幕的刷新率、渲染效果，以兼顧手機的續航力。</p> <p>通訊方面，新平臺在5G可支援Sub-6GHz與毫米波頻段，並且支援速度更快的下一代Wi-Fi 7，宣稱下載速度可達6.5Gbps。</p> </div></div></div>
2022/11/8 18:10作者蘇文彬https://www.ithome.com.tw/news/154085
【資安日報】2022年11月8日，加拿大肉品供應商Maple Leaf Foods遭網路攻擊、Azov Ransomw…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加拿大肉品供應商Maple Leaf Foods於11月6日發出公告，表示他們因遭到網路攻擊而導致系統中斷，但此起事故發生的原因仍有待調查。</p> <p>資安新聞網站上週揭露名為Azov Ransomware的資料破壞軟體，現在有研究人員提出更多發現，並指出電腦遭此惡意程式感染後，駭客還會建立多個後門而難以追查行蹤。</p> <p>鎖定澳洲組織的網路攻擊攻擊行動近日陸續傳出，除日前遭駭的電信業者Optus、保險業者Medibank，如今連當地的科技業者、房仲業者、學校都無法倖免。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/maple-leaf-foods-suffers-outage-following-weekend-cyberattack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大肉品供應商Maple Leaf Foods遭網路攻擊，營運被迫中斷</span></strong></a></h3> <p>去年<a href="https://www.ithome.com.tw/news/144752">肉品供應商JBS遭到網路攻擊而導致營運中斷</a>，震驚全球，現在北美又發生類似狀況。加拿大企業Maple Leaf Foods於11月6日發出公告，表示他們因遭到網路攻擊而導致系統中斷，部分業務被迫暫停，該公司的資安專員與外部專家合作，來因應這起資安事故。該公司將與客戶及供應商合作，並部署業務持續營運計畫及實施變通辦法，以減少此起事故衝擊，儘可能持續提供相關食品。</p> <p>這起事故究竟如何發生？該公司正在調查，但仍無法確定事情發生的原因，目前也無駭客組織聲稱對這家公司發動攻擊。Bleeping Computer指出，目前尚無駭客組織聲稱對Maple Leaf Foods發動攻擊。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/azov-ransomware-is-a-wiper-destroying-data-666-bytes-at-a-time/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體Azov Ransomware每666位元組寫入隨機資料，並在受害電腦植入後門</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FgkLaTpX0AE67jk.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FgkLaTpX0AE67jk.png" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer揭露<a href="https://www.ithome.com.tw/news/153961#azov-ransomware">名為Azov Ransomware的資料破壞軟體（Wiper）</a>，駭客佯稱是由知名資安研究員及資安新聞媒體組成，聲稱是不滿克里米亞長期遭俄羅斯占領而發動攻擊，如今有研究人員揭露更多細節。</p> <p>資安業者Check Point指出，此惡意軟體確實如Bleeping Computer推測為資料破壞軟體，且在駭客指定啟動的時間（世界協調時間10月27日上午10時14分30秒）之前都處於休眠狀態，而難以察覺其攻擊意圖。而對於Azor Ransomware的運作方式，研究人員表示，是針對受害電腦的檔案每666個位元組寫入垃圾資料，然後跳過666個位元組後，再寫入666個位元組的垃圾資料，以此循環進行。</p> <p>此外，該惡意軟體還會在受害電腦上，將程式碼注入多個64位元可執行檔，以便將可執行檔改寫成後門程式進行控制。</p> <h3><a href="https://www.sentinelone.com/labs/socgholish-diversifies-and-expands-its-malware-staging-infrastructure-to-counter-defenders/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體SocGholish透過影子網域或公有雲基礎設施散布</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SocGholish_Expands3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SocGholish_Expands3.jpg" style="width: 300px; float: right;" /></a>駭客透過惡意軟體SocGholish發動攻擊的事故，<a href="https://www.ithome.com.tw/news/154000#socgholish">近期有針對逾200家美國新聞網站的供應鏈攻擊</a>，有資安業者指出，駭客自今年下半，擴大散布此惡意軟體的力道。</p> <p>資安業者SentinelOne表示，今年使用此惡意軟體的駭客，發動攻擊的管道主要是入侵合法網站，進而將惡意酬載散布到這些伺服器，之後再以偷渡式下載（Drive-by-download）來感染受害電腦。不過，他們發現駭客使用的「第2階段」伺服器，自今年下半數量開始出現大幅增加的現象。研究人員指出，今年上半駭客新架設21臺伺服器，但到了7月至10月，共增加73臺。</p> <p>這些伺服器大部分在歐洲，前述的73臺有逾三分之一（28臺）在荷蘭，英國、法國次之，值得留意的是，為規避偵測，駭客將這些伺服器架設於影子網域，亦有部分是建置於AWS的網域上。</p> <h3><a href="https://www.ironnet.com/blog/robin-banks-still-might-be-robbing-your-bank-part-2"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路釣魚工具訂閱服務Robin Banks捲土重來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/robinBanks2_7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/robinBanks2_7.png" style="width: 300px; float: right;" /></a>有人在今年7月推出了網路釣魚工具的訂閱服務Robin Banks，當時研究人員揭露後，雲端服務業者Cloudflare封鎖其基礎設施，使得Robin Banks中斷營運，但現在這些駭客調整其基礎設施後捲土重來。</p> <p>資安業者IronNet提出警告，他們近日發現Robin Banks再度提供服務的跡象，駭客採用俄羅斯的主機代管服務DDoS-Guard架設基礎設施，且宣稱其工具的功能更加強大。</p> <h3><a href="https://abnormalsecurity.com/blog/crimson-kingsnake-bec-group-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Crimson Kingsnake假冒法律事務所發動BEC攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/crimson-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/crimson-1.png" style="width: 300px; float: right;" /></a>資安業者Abnormal揭露名為Crimson Kingsnake的駭客組織攻擊行動，這些駭客自今年3月開始發動商業郵件詐騙（BEC）攻擊，佯稱是大型法律事務所的律師寄送郵件，並聲稱收信人所屬的公司一年前委請他們提供服務，但因未收到費用而寄帳單來請款。研究人員指出，駭客的信件幾可亂真，不僅使用法律事務所的商標，內容看起來也相當正式。</p> <p>值得留意的是，若收信人不願付款，這些駭客還會假冒公司高階主管，聲稱確有此事並授權員工處理付款事宜。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-threatens-to-release-stolen-medibank-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲保險業者Medibank被駭客下通諜，限期24小時支付贖金，該公司宣布拒絕付錢</span></strong></a></h3> <p>澳洲大型保險業者Medibank遭到勒索軟體攻擊，導致970萬保戶的資料遭竊，現在傳出駭客脅迫其限期付錢的狀況。Medibank於11月8日再度發布公告，表示他們得知駭客在資料外洩網站上預告，將在24小時後洩露從該公司竊得的資料，但向網路犯罪專家徵詢後，決定不向駭客付錢，原因是支付贖金仍難確保對方歸還資料，以及不將資料外流，而且，若是選擇付款，很有可能讓駭客食髓知味，讓澳洲變成駭客偏好的攻擊目標。</p> <h3><a href="https://7news.com.au/news/cyber-attack/victorians-data-at-risk-after-cyber-attack-on-tech-company-pnors-technology-group-c-8772485"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲科技集團Pnors遭到網路攻擊，維多利亞州居民個資恐外洩</span></strong></a></h3> <p>11月3日，澳洲科技集團Pnors表示，該集團旗下的數位檔案管理公司Datatime Services，以及企業IT管理業者Netway Networks遭到網路攻擊，導致該集團文件與資料收集業務、數位轉換，以及代管IT支援業務的客戶受影響，其中包含了政府部門。在此之前，駭客於10月29日凌晨，向該集團透露部分竊得的資料。</p> <p>該集團得知遭到攻擊後，已關閉所有內部系統，並採取隔離措施，暫停所有資料處理業務，目前尚未有遭竊資料被公布，同時，與當地政府聯手調查外洩的資料與波及的用戶數量。維多利亞州政府表示，民眾個資有可能因這起事故外洩。</p> <h3><a href="https://www.sbs.com.au/news/article/advocates-had-warned-of-the-dangers-of-a-real-estate-data-breach-it-just-happened/6mlieq0g0"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲房仲業者Harcourts遭到網路攻擊</span></strong></a></h3> <p>根據澳洲新聞網站SBS News報導，當地的大型房仲業者Harcourts近日向部分墨爾本客戶寄送通知郵件，坦承發生資料外洩事故。</p> <p>10月24日他們發現未經授權的第三方存取出租業務的資料庫，起因是外部供應商Stafflink的員工帳戶遭到入侵，察覺此事後，他們已封鎖此供應商員工的存取權限，但駭客仍有機會在短時間內接觸到租客、房東、仲介的個資。而關於個資可能因此受到影響的人數，該公司並未透露。</p> <h3><a href="https://itwire.com/business-it-news/security/lockbit-ransomware-gang-hits-melbourne-school-kilvington-grammar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲學院Kilvington Grammar證實資料外洩，勒索軟體LockBit聲稱是他們所為</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/kilvington.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kilvington.jpg" style="width: 300px; float: right;" /></a>根據科技新聞網站iTWire的報導，勒索軟體駭客組織LockBit於10月14日，聲稱攻擊澳洲學院Kilvington Grammar並竊得資料，並要求於24日前付款，否則將公布他們手上的檔案，此事一直沒有得到校方證實，但直到11月5日，傳出該校開始向家長通知資料外洩的消息，並表示駭客已經存取部分資料，但無法存取該校的主要資料庫。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.avanan.com/blog/abusing-microsoft-customer-voice-to-send-phishing-links"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Dynamics 365 Customer Voice遭到濫用，攻擊者用於語音詐騙</span></span></strong></a></p> <p><a href="https://www.securityweek.com/apple-rolls-out-xcode-update-patching-git-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果針對Xcode開發環境修補Git的漏洞</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154071">【2022年11月7日】製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行濫用日益明顯</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154039">【2022年11月4日】美國財政部傳出遭親俄駭客組織Killnet攻擊、勒索軟體Black Basta疑與駭客組織FIN7有關</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154000">【2022年11月3日】國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊、數百個美國新聞網站遭到供應鏈攻擊</a></strong></strong></strong></p> </div></div></div>
2022/11/8 18:10作者周峻佑https://www.ithome.com.tw/news/154086
Signal發表訊息會在24小時後自動銷毀的Stories功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>追隨著前人的腳步，加密傳訊程式Signal也在本周一（11/7）<a href="https://signal.org/blog/introducing-stories/" target="_blank">推出了可在24小時之後自動銷毀訊息的Stories功能</a>，現已支援Android及iOS平臺上的Signal程式，很快就會支援桌面版。</p> <p>迄今已有許多社交或即時傳訊平臺支援Stories或類似的功能，從Instagram、Facebook、TikTok、WhatsApp、Twitter到LinkedIn等，該功能最大的特色就是訊息會在24小時之後自動消失，因此很適合用來表達當下的心情或狀態，它不會一直留在平臺上，短暫、低風險，也可以當作不想有對話壓力的廣播服務。</p> <p class="rtecenter"><a href="https://signal.org/blog/images/stories-create.png" target="_blank"><img alt="" src="https://signal.org/blog/images/stories-create.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Signal</span></span></p> <p>Signal上的Stories允許使用者選擇所要發送訊息的對象，能夠以文字、照片或影片表達，而且不會出現訊息通知。</p> <p>Signal表示，除了上述特色之外，Stories也是Signal全球用戶最想要的功能之一。此外，Signal亦允許使用者關閉Stories功能，不要看到別人所發布的Stories訊息。</p> </div></div></div>
2022/11/8 16:58作者陳曉莉https://www.ithome.com.tw/news/154083
美國扣押了價值超過30億美元的逾5萬個比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/us-attorney-announces-historic-336-billion-cryptocurrency-seizure-and-conviction" target="_blank">現年32歲的James Zhong上周向美國法院坦承</a>，他在2012年時自暗網市集絲路（Silk Road）盜走了逾5萬個比特幣，違反美國的電信詐欺法令。美國司法部已於去年11月搜查Zhong家中時，扣押了當時價值超過33.6億美元的50,676個比特幣。</p> <p>絲路現身於2011年至2013年，為暗網中知名的犯罪市集，專門銷售各種非法物品與毒品，也被用來洗錢。然而，Zhong卻精心策畫了一場詐騙活動，他先建立了9個絲路帳號，這些帳號並沒有陳列任何商品或服務，也沒用來購買任何商品，單純只是用來詐騙。</p> <p>Zhong先在每個帳號存入200到2,000個不等的比特幣，接著快速執行一系列的提款，使得他得以領出比帳號中既有款項還多出許多倍的比特幣，例如他在2012年的9月19日存入了500個比特幣到某個絲路錢包，存入不到5秒，他就在同一秒中執行5次的取款動作，每次的款項都是500個比特幣。</p> <p>Zhong的手法讓他成功自絲路盜走了5萬個比特幣，由於他並沒有出售這些比特幣，使得他在比特幣於2017年進行硬分叉之際，又額外獲得了5萬個Bitcoin Cash，隨後他把Bitcoin Cash換成比特幣，讓所持有的比特幣數量達到53,500個。</p> <p>美國國稅局幹員在2021年11月9月突襲了Zhong的住家，在他的地下保險箱中與浴室櫥櫃裡爆米花罐子中的單板電腦找到了50,491個比特幣，以及價值174個比特幣的25個Casascius實物比特幣，還有散落在其它地方的比特幣，與超過66萬美元的現金。</p> <p>美國司法部總計扣押了50,676個比特幣，並未解釋如何在多年後找到當年詐騙絲路的駭客，更何況絲路也早已被下架。美國曼哈頓檢察官Damian Williams僅簡單地說，這應歸功於先進的加密貨幣追蹤技術及良好的老式辦案手法，讓執法機構得以追回這批犯罪所得。</p> <p>Zhong所觸犯的電信詐欺罪最高可被處以20年的牢獄之災，法官將於明年2月量刑。</p> </div></div></div>
2022/11/8 15:54作者陳曉莉https://www.ithome.com.tw/news/154079
祖克伯當年為何堅持成立臉書AI研究院
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-aizhi_zao_shang_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">時報出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬克奧瑞里歐．瑞桑多（Marc’Aurelio Ranzato）打電話給他在研究所時的指導教授楊立昆（Yann LeCun），尋求對臉書挖角一事的建議。楊立昆並不贊同。他在2002年時也曾遭遇類似情況。當時成立不過四年的谷歌想聘請楊立昆來主持研究部門，而他拒絕了，原因在於他對該公司的研發能力有疑慮。（那時谷歌只有600名員工。）</p> <p>楊立昆說道：「當時谷歌顯然處於向上攀升的正軌，但是它的規模仍無法負擔研發的工作。」同時，谷歌似乎比較著重短期目標，而非長期規劃。許多人其實把此一特質視為谷歌的優勢，它讓谷歌得以在短短六個月的時間內就把深度學習語音引擎安裝在安卓手機上，從而在市場上超越微軟與IBM。但是谷歌這種強調立竿見影成效的作風令楊立昆感到不安，現在他擔心臉書也是採行這樣的經營方式。「他們不做研究，」楊立昆告訴瑞桑多，「你要確定你從事的是研究工作。」</p> <p>不過，瑞桑多仍同意與臉書的人再次會面，這一回約在臉書總部，而在會面接近尾聲時，對方表示想為瑞桑多介紹另一個人。他們穿過園區來到另一棟大樓，走進一間玻璃帷幕的會議室，裡面坐著祖克柏。幾天之後，瑞桑多同意加入臉書。祖克柏承諾會設立一所從事長期研發的實驗室，並將瑞桑多的辦公桌安排在自己旁邊。</p> <p>自此之後，這個慣例成為祖克柏推動臉書進入從深度學習到虛擬實境等新科技領域的關鍵步驟。每一個新團隊都是坐在老闆旁邊。在一開始的時候，此舉惹惱了公司內的一些人。臉書其他智庫成員認為把從事長期研發的實驗室置於祖克柏身邊，有違該公司快速行動與打破陳規的文化，並且會在基層員工之間引發不滿。但是在臉書之中，祖克柏執掌大權，他既是創辦人也是執行長，而且不像其他企業的執行長，他在董事會控制了大部分的表決權。</p> <p>一個月後，祖克柏致電楊立昆，向他解釋公司的做法，並且請求他的幫助。楊立昆有些受寵若驚，尤其是聽到祖克柏表示曾拜讀他的研究論文。但是楊立昆表示他寧願在紐約大學做一位學者，除了建議之外他無法提供任何幫助。</p> <p>「我可以當你的顧問，」他說道，「但是也就這樣了。」他的立場一直未變。但是祖克柏鍥而不捨，因為臉書顯然已走進另一條死巷子。臉書仍無法找到合適的人選來主持人工智慧實驗室──一位對該領域頂尖科學家具有號召力的重量級人物。</p> <p>接著來到十一月下旬，瑞桑多告訴祖克柏，他要參加NIPS。「NIPS是什麼？」祖克柏問道。瑞桑多向他解釋，屆時會有數百位人工智慧科學家在太浩湖的一家大飯店齊聚一堂，祖克柏問他能否隨行。瑞桑多表示這樣看來有些奇怪，因為祖克柏的形象是一位流行文化偶像，不過他也表示，如果能安排他在太浩湖的會議中發表演說，或許能夠避免他不請自來的尷尬。於是祖克柏與會議主辦單位協商，安排了一場演說，不過他所做的不僅於此。他打聽到楊立昆會在NIPS開幕前一週於矽谷舉辦一場研討會，於是邀請這位紐約大學教授來他在的住所共進晚餐。</p> <p>晚餐席間，祖克柏向楊立昆解釋他對人工智慧在臉書中的宏大願景。他告訴楊立昆，未來，社交網路上的互動將由強大的科技自行主導。短期而言，這些科技可以辨識照片中的面孔、語音指令，以及翻譯語言。長期來說，「智慧代理人」或「網路機器人」會在臉書的數位世界中巡邏，接受與執行指令。需要班機訂位嗎？告訴網路機器人就行了。想訂花給老婆？網路機器人可以為你服務。楊立昆問道，臉書是否有任何不感興趣的人工智慧領域，祖克柏回答：「可能是機械人。」但是其他所有的科技──在數位世界的一切──都在其範圍之內。</p> <p><span style="font-size:28px;"><strong>提倡開放開源的祖克柏，讓AI界重量級人物點頭主持臉書人工智慧實驗室</strong></span></p> <p>還有一個更為重要的課題是祖克柏對於企業研發的哲學看法。楊立昆堅信「開放」──概念、演算法與技術必須能夠開放，與廣大的科學家、研究人員的社群分享，而非隔離在一家公司或一所大學之內。開放的主旨在於資訊的自由交換可以加速整體研發的腳步。大家互通有無，每一個人的工作都植基於另一人的工作之上。開放式的研究是學界在此一領域的職業倫理，但是大型網際網路公司往往把重要技術視為商業機密，嚴密保護。</p> <p>不過祖克柏解釋，臉書是一個大例外。臉書是成長於開源軟體的時代──軟體程式碼在網際網路上自由分享──該公司並將此一概念擴張至其整個科技帝國，甚至將其大型電腦數據中心的客製化硬體的規格與全球分享。祖克柏相信臉書的價值是使用其社交網路的人群，不是軟體或硬體。即使有了原料，也沒有人能夠複製，但是如果公司將其原料對外分享，別人就可以幫助改善其品質。楊立昆與祖克柏英雄所見略同。</p> <p>第二天，楊立昆參觀臉書總部，到了此刻，祖克柏不再客套，他說道：「我們需要你來臉書設立人工智慧實驗室。」楊立昆表示他有兩個條件：「我不會離開紐約，也不會離開我在紐約大學的教職。」祖克柏點頭同意，而且是毫不遲疑。</p> <p>2013年11月下旬，克萊蒙特．法拉貝特坐在他單房公寓的沙發上，正用筆記型電腦敲打程式碼，iPhone手機的鈴聲響起。螢幕上顯示「加州」。他接起手機，傳來一個聲音：「哈囉，我是臉書的馬克。」法拉貝特是紐約大學深度學習實驗室的研究人員。幾個星期之前，他曾接到來自另一位臉書主管的來電，讓他大感意外，但是儘管如此，他仍然沒有料到馬克．祖克柏竟會親自打電話過來。</p> <p>祖克柏以他直接又不拘禮節的方式告訴法拉貝特，他將參加NIPS會議，他們能否見面一聊。當時距離會議已不到一週，法拉貝特原本也不打算參加，但是他同意在會議前夕與祖克伯在赫拉斯飯店的頂樓套房會面。電話結束後，他趕忙訂購機票與旅館，但是他並不知道即將發生什事情，直到他走進赫拉斯的頂樓套房，看見誰坐在臉書創辦人暨執行長身後。這人是紐約大學教授楊立昆。</p> <p>祖克柏沒穿鞋子，在接下來的半個鐘頭，他只穿著襪子在室內走來走去，宣稱人工智慧是「下一件大事」，是「臉書的下一步」。臉書正在建立他們自己的深度學習實驗室。臉書幾天前才聘請楊立昆來主持這所實驗室。祖克柏正在為他的新投資招收人才。</p> <p>法拉貝特是里昂出生的科學家，專精影像識別，投注多年心血在神經網路訓練的晶片設計上，然而他只是當天下午走進赫拉斯頂樓套房與祖克柏會面的多位科學家之一而已。「他基本上要僱用每一個人，」法拉貝特說道，「他知道從事此一領域研發的所有人的名字。」</p> <p>當天晚上，臉書在飯店的一間舞會廳內舉辦私人派對，面對數十位工程師、電腦科學家和學者，楊立昆宣布臉書即將在曼哈頓設立一所人工智慧實驗室，距離他在紐約大學的辦公室不遠。這所實驗室稱作FAIR，亦即臉書人工智慧研究中心（Facebook Artificial Intelligence Research）的縮寫，臉書已聘僱紐約大學另一位教授來輔佐楊立昆，還有多位知名的科學家近期內也將加入他們，其中包括自谷歌挖來的三位研究人員。</p> <p>不過儘管追隨楊立昆多年、也都是法國同胞，法拉貝特並未同意加入臉書。當時他正和另外幾位科學家籌設自己的深度學習新創企業，稱做麥比特（Madbits），他決心完成他的心願。不過在六個月後，這家新公司甚至還沒有推出處女作，就被矽谷另一個社交網路巨擘推特收購。這場人才搶奪大戰愈演愈烈。<strong>（摘錄整理自《AI製造商沒說的祕密》，時報文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/350_AI%E8%A3%BD%E9%80%A0%E5%95%86_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%99%82%E5%A0%B1%E6%96%87%E5%8C%96.png" style="width: 292px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／時報文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> AI製造商沒說的祕密：企業巨頭的搶才大戰如何改寫我們的世界</strong></p> <p>凱德．梅茲（Cade Metz）／著；王曉伯／譯</p> <p>時報出版</p> <p>定價：500元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_AI%E8%A3%BD%E9%80%A0%E5%95%86_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Cade%20Metz.jpg" style="width: 200px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cade Metz</span></span><br /> <strong>凱德．梅茲（Cade Metz）</strong></p> <p>《紐約時報》科技記者，主跑人工智慧、自動駕駛車、機器人、虛擬實境、量子運算與其他新興領域。在《紐約時報》之前，他是《連線》雜誌的資深特約撰稿人。</p> <p>本書是根據他八年來在《連線》和《紐約時報》從事人工智慧報導時，對逾四百人所做的採訪，還有專為本書所做的上百次訪問。書中的大部分人物，他都採訪了不只一次，有些甚至是好幾次。為了說明與求證一些事件與細節，他也引用了許多公司和個人的資料與電子郵件。每一項事件與重大細節（例如收購價格），都獲得至少兩個資料來源的證實，而且往往更多。</p> </div></div></div>
2022/11/8 16:10未署名https://www.ithome.com.tw/article/154080
OpenSea釋出工具以讓NFT創作者可強制徵收版稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年朝氣蓬勃的非同質化代幣（Non-Fungible Token，NFT）隨著今年全球景氣的變動而迅速衰退，使得許多NFT市集為了吸引買家，不再替創作者強制徵收版稅，不過，<a href="https://opensea.io/blog/announcements/on-creator-fees/" target="_blank">全球最大NFT市集OpenSea決定帶頭改變這個現象</a>，將推出工具讓NFT創作者可強制徵收版稅。</p> <p>吸引大量藝術家或創作者投入NFT製造行列的最大原因之一就是它的版稅政策，它允許創作者設定作品銷售的分潤，通常介於5~10%之間，而且作品的每一次轉手交易，創作者都能收到版稅。</p> <p>然而，該政策並非強制性的，而且有賴NFT市集的支援，但當NFT的交易在今年出現明顯的下滑時，許多NFT市集為了吸引賣家，有的直接撤銷了分潤給創作者的版稅，有的則直接讓買家選擇是否願意支付版稅予作者，而OpenSea的觀察發現，在這些任選支付版稅與否的市集上，買家願意支付的比例不到20%。</p> <p>OpenSea指出，絕大多數NFT創作者現在所使用的商業模式，是由市集來決定版稅的支付與否，而非程式碼，但該平臺認為，是否強制徵收版稅的掌控權應該落在創作者手上，而非市集。</p> <p>因此，OpenSea將在周二（11/8）釋出一個工具，讓創作者所建立的新收藏都能強制徵收版稅，它只是一段簡單的程式碼，只要將它加入創作者的NFT合作中，不管該NFT未來透過哪些市集銷售，都會強制向買家徵收版稅。</p> <p>這只是一個初期的版本，且只針對新創立的收藏，對於既有的收藏或其它的版稅徵收方案，OpenSea則期望藉由整個社群的討論來解決。</p> </div></div></div>
2022/11/8 14:46作者陳曉莉https://www.ithome.com.tw/news/154077
GitHub Copilot被告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國律師事務所Joseph Saveri上周代表眾多的開發者，<a href="https://www.prnewswire.com/news-releases/joseph-saveri-law-firm-and-matthew-butterick-file-class-action-lawsuit-against-github-microsoft-and-openai-over-violations-of-open-source-licenses-arising-from-github-copilot-an-ai-based-product-301668255.html" target="_blank">對微軟、GitHub與OpenAI提出集體訴訟</a>，宣稱它們在2021年6月<a href="https://www.ithome.com.tw/news/145340" target="_blank">發表的GitHub Copilot</a>服務違反了《數位千禧年著作權法》（Digital Millennium Copyright Act，DMCA）、《不公平競爭法》（Unfair Competition Act），以及GitHub隱私聲明與服務條款，並向這些業者求償90億美元。</p> <p>GitHub Copilot為GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，以讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p><a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub Copilot在今年6月正式上線</a>，由AI充當開發者的結對工程師，月租費為10美元，但沒多久就惹來開發者的抗議，<a href="https://www.ithome.com.tw/news/151797" target="_blank">軟體自由保護組織Software Freedom Conservancy（SFC）在7月批評</a>，GitHub Copilot把開源社群的資產轉成獲利工具，甚至可能涉及授權軟體的侵占，<a href="https://www.ithome.com.tw/news/153682" target="_blank">10月則有一名開發者Tim Davis秀出證據</a>，指出GitHub Copilot使用了他應受版權保護的程式碼，當時一名律師Matthew Butterick及所屬的律師事務所Joseph Saveri，也已開始調查此一事件，並在上周正式提告。</p> <p>有鑑於GitHub是微軟的子公司，再加上微軟對OpenAI有10億美元的投資，為OpenAI的大股東，且GitHub Copilot是在微軟的Azure平臺上運作，使得微軟理所當然地也被列為被告之一。</p> <p><a href="https://www.documentcloud.org/documents/23264658-github-complaint" target="_blank">根據《BleepingComputer》所公布的訴狀</a>，GitHub Copilot忽略、違反或移除了至少數十萬軟體開發者所提供的授權，以前所未見的規模進行盜版；它在未遵守授權條款與商用法令的狀況下，從原告的大量材料中輸出文字。</p> <p>此外，被告在所產出的程式碼中剝奪了程式碼的歸屬、版權聲明與授權，既違反授權，也違反了原告的權利，業者把已被匿名的程式碼提供給Copilot用戶，彷彿它們是由Copilot所建立的；然而，在Azure上運作的Copilot，其實也只是簡單地複製那些可被追蹤至開源授權或開源儲存庫中的程式碼。</p> <p>總之，開發者質疑的是GitHub Copilot與OpenAI Codex以大量的公開程式碼來訓練AI模型，這些程式碼或許是開源的，卻是需要特定授權的，或至少是有歸屬的，但GitHub Copilot不僅未取得授權，還抹去這些程式碼的歸屬，當作是自己的資源而向其它開發者提供付費服務。</p> <p>原告認為，GitHub Copilot並不屬於合理使用，反而是不公平與不正當的，它的最終目的是把大量的開源碼資源關進由GitHub控制的付費牆內。</p> <p>Joseph Saveri以每次違規的最低法定損失為2,500美元來計算，向被告們求償90億美元。</p> </div></div></div>
2022/11/8 13:00作者陳曉莉https://www.ithome.com.tw/news/154076
使用者冒充嘲諷新認證制遭停權，馬斯克揚言強化推特帳號管制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克一直強調言論自由，不過上周卻因為新推認證制遭用戶嘲諷，威脅將強化推特帳號管制，包括已經直接將某些用戶停權。</p> <p><a href="https://www.ithome.com.tw/news/153964" target="_blank">上周馬斯克宣布</a>將新推改良的付費訂閱服務Twitter Blue，價格由原本的5美元調整為8美元，除了提供收藏文章、個人化帳號及外觀等服務，號稱將發言權還給付費的普羅大眾，還能藉用戶驗證擊敗假帳號。</p> <p>不過許多批評者認為「付費＝驗證身份」的邏輯根本行不通。<a href="https://www.theverge.com/2022/11/6/23443871/elon-musk-twitter-permaban-impersonation-parody" target="_blank">《The Verge》</a>報導，<a href="https://www.pennlive.com/news/2022/11/valerie-bertinelli-changes-name-to-elon-musk-on-twitter-to-prove-a-point.html" target="_blank">一些已經驗證身份的用戶將其帳號名稱改成了Elon Musk</a>，突顯推特的驗證系統根本無法檢查出誰是假帳號。<a href="https://www.rollingstone.com/culture/culture-news/twitter-suspends-accounts-parodying-elon-musk-1234625867/" target="_blank">媒體報導</a>，一些這麼做的知名人士，包括喜劇演員Kathy Griffin和Sarah Silverman帳號已經遭到封鎖或停權。</p> <p>推特既有服務條款的確有關於變更帳號名稱來嘲諷、惡搞（parody）他人的罰則，但這家平臺會在提出警告一次無效後，才會將之暫時停權，若涉及詐騙行為或冒充他人則會遭永久停權。</p> <p>馬斯克承認這已經跳過警告而直接施以處份。<a href="https://twitter.com/elonmusk/status/1589396236464898048" target="_blank">他周一說明</a>，過去推特會在停權之前先發出警告，但在推動大規模驗證後，將不再發出警告。他說是否曾遭停權也會被視作能否註冊Twitter Blue的條件之一。</p> <p>馬斯克並補充，未來任何推特名稱涉及冒充他人，又未清楚說明是「惡搞」（parody）行為的話，將會遭到永久停權的處份。此外，<a href="https://twitter.com/elonmusk/status/1589401231545741312" target="_blank">他還警告</a>已經驗證的用戶若變更推特帳號名，將會暫時喪失藍勾勾。</p> <p><a href="https://www.theverge.com/2022/11/7/23445476/elon-musk-twitter-user-growth-all-time-high-advertisers" target="_blank">《The Verge》</a>報導，推特則向廣告主掛保證，推特自馬斯克接手後，可獲利每日活躍用戶數（monetizable daily active users，mDAU）已經成長20%來到史上最高。儘管如此，但馬斯克上任後雷厲風行施行改革，包括可能達50%的裁員，已讓外界對這個社群平臺產生信任危機，擔心很快會充斥假新聞、仇恨、陰謀言論。全球最大廣告經紀公司IPG（Interpublic Group）在馬斯克完成收購後，建議客戶暫停在推特所有付費廣告至少一周。</p> <p>媒體報導，至少有9家知名企業已表示會在評估推特未來發展期間暫停投資，包括通用磨坊（General Mills）、奧迪、福斯汽車、食品業巨人億滋國際（Mondelez International）、藥廠輝瑞等。</p> </div></div></div>
2022/11/8 10:10作者林妍溱https://www.ithome.com.tw/news/154075
IBM新工具Business Analytics Enterprise，要讓企業打破BI資料孤島簡化規畫和分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM推出新軟體<a href="https://www.ibm.com/products/business-analytics-enterprise">Business Analytics Enterprise</a>，具備商業智慧規畫、制定預算、報告、預測和儀表板功能，使企業能夠打破資料孤島，各部門能夠跨商業智慧工具，進行更全面的資料分析。</p> <p>IBM提到，由於企業各團隊使用不同的分析和商業智慧工具，不同的系統形成了資料孤島，這可能增加跨部門共享資料和報告的複雜性。</p> <p>而IBM Business Analytics Enterprise的目標則是要解決跨資料孤島的分析挑戰，使團隊可以獲得正確的資料，像是銷售、人資和營運團隊，可以透過存取不同商業智慧和規畫工具的資料和分析，滿足最佳化銷售目標、勞動力預測和營運預測等需求。</p> <p>Business Analytics Enterprise建構在現有的IBM商業智慧解決方案中，並且包含Analytics Content Hub，使用戶能夠查看來自多供應商的規畫和分析儀表板。除了IBM Cognos Analytics with Watson、IBM Planning Analytics with Watson等工具，用戶也能夠將常見的商業智慧工具合併到同一個檢視圖中，該檢視圖能夠將來自各供應商的元素，組合到同一個儀表板中，以滿足企業的獨特需求。</p> <p>Business Analytics Enterprise讓用戶不需要編寫程式碼，就能夠跨多供應商探索、個人化和獲得分析內容推薦，簡單來說，Business Analytics Enterprise是一個分析平臺，集結了開箱即用的預測分析、報告、資料分析和資料整合功能。</p> <p>由於Business Analytics Enterprise演算法會以角色為基礎推薦內容，使用戶能在企業中，跨組織建立新故事、報告和儀表板，以做出更好的決策，而且隨著用戶點擊Analytics Content Hub中的材料，解決方案也會分析用戶使用模式，推薦符合用戶興趣的內容。</p> <p>IBM Cognos Analytics with Watson是一種應用人工智慧的商業智慧解決方案，其提供預測功能，使用戶可以對多因素和季節進行趨勢預測，另外，IBM Planning Analytics with Watson則是人工智慧規畫系統，能夠協助企業簡化財務和營運規畫，預計今年稍晚會在AWS上提供。</p> </div></div></div>
2022/11/7 22:39作者李建興https://www.ithome.com.tw/news/154072
ServiceNow推一系列IT管理新功能，試圖改善企業工作流程與工作空間生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>管理與自動化企業雲端解決方案廠商<a href="https://www.servicenow.com/blogs/2022/innovations-improve-workplace-productivity.html">ServiceNow</a>，以IT服務管理工具Now Platform Tokyo版本為基礎，增加多項新產品，改善企業員工和客戶體驗，並且針對電信和公部門提供量身訂製的解決方案。</p> <p>有鑒於第三方供應商和承包商，在企業生態系中扮演的角色日漸重要，ServiceNow提供Contractor Mobile應用程式協助承包商簡單管理日常工作，直接透過行動應用程式就能存取庫存和突發事件，官方表示，該應用獨特之處在於，即便裝置處於離線狀態，應用程式仍可以正確運作，承包商管理者也可以分配工作，並且關閉工作訂單。</p> <p>客服團隊通常很難檢視客服人員的服務，ServiceNow提到，調查並且收集客戶的回饋又是一個繁瑣的人工過程，ServiceNow針對這個問題推出Qualtrics XM Discover Connector，使團隊不需要調查即可收集用戶情緒。這是ServiceNow和Qualtrics合作所推出的解決方案，可以自動且即時分析虛擬客服人員的聊天和後設資料，紀錄每次互動的情緒、意圖和過程，提供改進客服人員的可用資訊。</p> <p>新的Service Mapping Plus則可以自動推薦服務，以簡化提供對應IT服務的過程。ServiceNow提到，組織仰賴技術藍圖提供對應的服務，IT團隊必須將服務對應到適合的技術，而這個過程通常勞力密集且耗費時間。Service Mapping Plus讓IT人員僅需要透過點擊滑鼠，就可分析網路流量，並找出重要業務服務的入口點，該解決方案透過機器學習技術自動化整個過程，節省IT團隊的資源並生成準確的對應。</p> <p>對電信和公部門，ServiceNow推出Service Request Playbook，以縮短非緊急請求的處理時間，該解決方案會運用智慧調度，排序公部門所接受的請求，並且透明化處理過程。官方提到，公部門和電信公司每天可能要處理數百和數千重要服務請求，客戶要求快速且精確的服務，但是在組織內部的庫存或是服務請求系統可能分開，在資料斷裂的情況，組織可能很難確認處理請求的可用時間與資源。</p> <p>Service Request Playbook能夠自動化處理，整合網路庫存與訂單管理，使組織可以更簡單地對進行設計和分配服務需要的資源。</p> <p>針對COVID-19疫情開始的工作趨勢變化，許多企業員工工作方式出現變化，ServiceNow現在推出Workplace Scenario Planning，來解決企業工作空間分配的問題，該功能提供管理團隊視覺化空間規畫，透過介面操作來設計和布局辦公空間，使管理團隊能夠最佳化空間使用，並且提高成本效率。</p> </div></div></div>
2022/11/7 22:42作者李建興https://www.ithome.com.tw/news/154074
【資安日報】2022年11月7日，製藥廠AstraZeneca傳伺服器帳密不慎暴露，中國漏洞揭露政策導致國家級駭客先行…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有資安業者發現知名製藥廠AstraZeneca的伺服器帳密，居然在程式碼儲存庫GitHub被公開，而使得部分用戶的資料可能曝光。該製藥廠已證實此事，但不願說明這些資料為何會被用於開發測試環境。</p> <p>中國在去年立法要求研究人員必須向政府通報漏洞，此舉讓外界認為當局很可能會將這些漏洞提供給國家級駭客運用。如今微軟的資安研究團隊提出相關的證據，並指出多項重大漏洞都是中國資助的駭客第一個用於攻擊行動。</p> <p>商用大數據搜尋與分析軟體廠商Splunk上週修補9個漏洞，其中4個被評為高風險等級。若不修補，這些漏洞可被用於執行遠端命令（RCE）、XML外部實體注入（XXE）、反射式跨網站指令碼（Reflected XSS）攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://techcrunch.com/2022/11/03/astrazeneca-passwords-exposed-patient-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">製藥廠AstraZeneca曝露病人個資，原因是疑似有開發人員不慎在GitHub上洩露帳密</span></strong></a></h3> <p>資安業者SpiderSilk向新聞網站TechChruch透露，有個開發者不慎在程式碼儲存庫GitHub上，曝露製藥廠AstraZeneca內部伺服器的帳密，一旦取得這些帳號資料，就能夠存取該公司的Salesforce客戶關係管理平臺，在這套CRM系統當中，存放了一些病人的資料，以及藥物處方費用儲蓄系統AZ&ME應用程式的部分資料。TechChruch向該製藥廠通報後，對方已關閉該儲存庫。</p> <p>AstraZeneca表示，此起事故是使用者錯誤造成，導致有人能夠透過開發者平臺能夠暫時存取到部分資料記錄，他們已在收到通報後，立即停用這些資料的存取，目前正著手調查根本原因，以及探究法規遵循層面的責任，然而，該公司並不願透露為何會將病人資料存放在開發測試環境裡，以及這些資料是否遭到異常存取。</p> <h3><a href="https://blogs.microsoft.com/on-the-issues/2022/11/04/microsoft-digital-defense-report-2022-ukraine/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">關於中國漏洞揭露政策導致國家級駭客先行利用零時差漏洞，微軟研究人員提出5個案例</span></strong></a></h3> <p>中國政府<a href="http://www.cac.gov.cn/2021-07/13/c_1627761607640342.htm">於去年9月1日實施《網路產品安全漏洞管理規定》</a>，要求發現網路系統安全漏洞的研究人員與組織，必須在2日內先向該國工業和信息化部通報，且不得將相關資訊透露給境外人士。這樣的政策，使得中國政府撐腰的駭客很可能會利用這些零時差漏洞發動攻擊，如今外界的疑慮也被證實。</p> <p>微軟於11月4日發布2022年數位防禦報告，當中提及在中國政府在實行上述的漏洞揭露法律後，有許多重大漏洞都是中國的國家級駭客首先利用，這些漏洞包含了檔案共享系統SolarWinds Serv-U的漏洞CVE-2021-35211、AD自助管理平臺Zoho ManageEngine ADSelfService Plus的CVE-2021-40539、服務臺Zoho ManageEngine ServiceDesk Plus的漏洞CVE-2021-44077、郵件伺服器系統Exchange的反序列化漏洞CVE-2021-42321，以及Atlassian Confluence漏洞CVE-2022-26134等。</p> <h3><a href="https://therecord.media/cyber-incident-at-boeing-subsidiary-causes-flight-planning-disruptions/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">波音日本子公司Jeppesen遭到網路攻擊事故，相關服務被迫中斷</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Jeppesen_20221107-1101-16089_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Jeppesen_20221107-1101-16089_.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站The Record的報導，波音旗下的日本子公司Jeppesen於11月3日於網站上公告，表示該公司提供的部分產品及服務面臨技術問題，客戶若需要協助，可透過網站聯繫，電話支援暫不提供。該公司亦指出，這起事故亦影響通知飛行員（Notice To Airmen，NOTAM）的服務。</p> <p>波音公司向The Record透露這是網路安全事故，正在復原相關服務的運作。旅遊專家Matthew Klint取得知情人士的說法，此起事件很可能是勒索軟體攻擊。</p> <h3><a href="https://securityaffairs.co/wordpress/138127/cyber-crime/cyberattack-blocked-trains-denmark.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">丹麥火車因網路攻擊而被迫停駛</span></strong></a></h3> <p>根據資安新聞網站Security Affair的報導，10月29日，專為丹麥鐵路經營者提供資產管理的業者Supeo遭到網路攻擊，導致當天早上該國各地的火車停止行駛，直到約下午1時才恢復。駭客針對此業者架設的Digital Backpack 2系統發動攻擊，這是提供火車司機以行動裝置存取重要訊息的系統。有專家推測這可能是勒索軟體攻擊。</p> <p>大型火車營運業者DSB則表示，Supeo向他們透露，駭客入侵了測試環境而引發這起事故。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/splunk-patches-9-high-severity-vulnerabilities-enterprise-product"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Splunk修補9個漏洞，其中4個為高風險等級</span></strong></a></h3> <p>Splunk於11月2日發布資安通告，表示他們針對Splunk Enterprise修補了9個漏洞，當中包含4個CVSS風險評分達8.8分的高風險漏洞，這些漏洞可被用於執行遠端命令（RCE）、XML外部實體注入（XXE）、反射式跨網站指令碼（Reflected XSS）等攻擊手法。</p> <p>其中，CVE-2022-43571、CVE-2022-43567為RCE漏洞，攻擊者一旦通過身分驗證，可能藉由儀表板產生PDF的元件，或是該系統發送警示訊息至行動裝置App的功能，以偽造請求來進行攻擊；CVE-2022-43570為XXE漏洞，一旦遭到利用，可導致Splunk Web嵌入不正確的文件檔案而出錯；CVE-2022-43568是反射式跨網站指令碼漏洞，存在於啟用Splunk Web功能的Splunk Enterprise，攻擊者可發送含有特定搜尋參數的JSON檔案來利用。因應這些資安問題，Splunk推出9.0.2、8.2.9、8.1.12版Splunk Enterprise，供用戶進行修補。</p> <h3><a href="https://securityaffairs.co/wordpress/138068/security/cisco-addressed-multiple-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補旗下身分驗證系統、電子郵件防護解決方案漏洞</span></strong></a></h3> <p>思科於11月2日針對旗下多項產品發布資安通告，其中最為嚴重的漏洞為CVE-2022-20961，屬跨網站偽造請求（CSRF）弱點，出現在網路安全存取管理解決方案Identity Services Engine（ISE），未經身分驗證的攻擊者可用於遠端執行任意行動，起因是ISE的網頁管理介面的CSRF保護不足，CVSS風險評分為8.8分。</p> <p>該公司同日亦公告其他資安產品的漏洞修補，範圍包括：郵件安全閘道Email Security Appliance、上網安全閘道Secure Web Appliance，以及Secure Email and Web Manager，修補的弱點為CVE-2022-20868、CVE-2022-20868。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.cna.com.tw/news/ahel/202211040029.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">擴大培育校園資安人才管道，112年度大學推甄首度新增資安組</span></strong></a></h3> <p>大學甄選入學委員會於11月4日發布112學年度的大學「繁星推薦」與「申請入學」招生簡章，但與過往招生最為不同之處在於，教育部在申請入學的部分首度增加了「資安組」，共有16個校系、招生68人，報名者在第一階段將會使用「大學程式設計先修檢測（APCS）」做為評比的依據。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.theregister.com/2022/11/03/ransomware_summit_cryptocurrency/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">第二屆反勒索軟體倡議高峰會落幕，37國決議透過管制加密貨幣金流來打擊犯罪</span></strong></a></h3> <p>為因應勒索軟體威脅，美國白宮今年於10月31日至11月1日，<a href="http://www.ithome.com.tw/news/153961#cri-2nd">第2次舉辦反勒索軟體倡議高峰會（CRI）</a>，共有37國、13家企業參與，各國代表最後達成一項共識，為了遏止勒索軟體犯罪，會將加密貨幣的生態系統列為重點項目，各國政府也支持共享用於洗錢的加密貨幣錢包情資，並聯手阻止駭客透過加密貨幣的生態系統取得贖金。此外，CRI亦打算制訂共通的框架和指南來預防及因應勒索軟體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://thehackernews.com/2022/11/cisa-warns-of-critical-vulnerabilities.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對ETIC Telecom、Nokia、Delta工控系統漏洞發出警告</span></span></strong></a></p> <p><a href="https://7news.com.au/news/cyber-attack/victorians-data-at-risk-after-cyber-attack-on-tech-company-pnors-technology-group-c-8772485"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲科技集團Pnors遭到遭到網路攻擊，維多利亞州居民個資外洩</span></span></strong></a></p> <p><a href="https://securityaffairs.co/wordpress/138136/cyber-crime/lockbit-ransomware-kearney-company.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">IT服務業者Kearney & Company傳出遭到勒索軟體LockBit攻擊</span></span></strong></a></p> <p><a href="https://www.ironnet.com/blog/robin-banks-still-might-be-robbing-your-bank-part-2"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路釣魚工具訂閱服務Robin Banks捲土重來</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154039">【2022年11月4日】美國財政部傳出遭親俄駭客組織Killnet攻擊、勒索軟體Black Basta疑與駭客組織FIN7有關</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154000">【2022年11月3日】國防安全科技集團Thales疑似遭勒索軟體LockBit 3.0攻擊、數百個美國新聞網站遭到供應鏈攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/153972">【2022年11月2日】 Dropbox證實130個GitHub儲存庫遭竊、Azure Cosmos資料庫被發現存在身分驗證漏洞</a></strong></strong></strong></p> </div></div></div>
2022/11/7 17:06作者周峻佑https://www.ithome.com.tw/news/154071
第三屆FHIR聯測今開跑！首次採衛福部Core IG規格來互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第三屆臺灣FHIR聯測今日（11/7）在林口新創園區展開，今年很不一樣，不只首次納入衛福部制定的臺灣核心實作指引（TW Core IG）作為互通規格，測試賽道（Track）還比去年多元、新增緊急醫療救護，參與機構也從去年的33家增加至39家，電信、集團、製造大廠都加入，國網中心、臺灣人工智慧實驗室、衛福部推動FHIR電子病歷的專案辦公室也在名單上。</p> <p>衛福部近年力推電子病歷採用FHIR標準，衛福部資訊處副處長王復中指出，今年衛福部首次聯手臺灣醫療影像資訊標準協會，以部內制定的FHIR規格書（IG）作為測試互通標準，未來將繼續擴大，讓參與團隊在後續應用更有信心外，也呼應電子病歷上雲和次世代HIS政策方向。</p> <p><span style="font-size:26px;"><strong>電信、集團、製造大廠都加入，衛福部FHIR推動辦公室也在名單上</strong></span></p> <p>FHIR聯測的目的，是要讓醫院、醫資廠商的系統，用符合HL7組織制定的國際醫療資料標準來互通資料，利於系統的複製、擴散和商業化應用。</p> <p>臺灣醫療影像資訊標準協會（MISAT）是推動臺灣FHIR聯測的一大核心推手，協會秘書長連中岳分析3年籌辦聯測的數據，指出參與規模連年增長，從2020年的20家、交易量約1萬，到2021年的33家、交易量約3萬，到今年共39家機構參加，範圍涵蓋企業、學校、法人和醫院。</p> <p>其中，企業內的廠商和新創增加最多，前者分別從7家到今年的15家，新創則從5家、12家到這次的14家。不只康統、緯謙等醫資廠商參加今年聯測，這次還有中華電信、遠傳等跨入智慧醫療領域的電信業者加入，仁寶電腦、上銀科技等製造大廠也不例外，而專攻醫療的臺灣人工智慧實驗室（Taiwan AI Labs）、國泰集團也在參與名單上。</p> <p>醫院部分，這2年則維持6家參與，包括三總、部立桃園醫院、臺中榮總、童綜合醫院、林口長庚、花蓮慈濟。法人部分則有負責推動電子病歷FHIR標準的衛福部智慧健康雲專案辦公室，以及工研院生醫所和國網中心。隨著參與者的增加，負責聯測的MI-TW工作小組，也將原本配置的10位督察員，增加至19位。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AE%E4%BD%8D.jpg" /></p> <p><span style="font-size:26px;"><strong>今年亮點：納入衛福部Core IG為部分測試規格、連接雲端系統驗證</strong></span></p> <p>連中岳表示，今年聯測的特別之處，在於部分測試類別採用<a href="http://hitstdio.ntunhs.edu.tw/ig/twcore/">衛福部TW Core IG互通規格</a>，也就是電子病歷交換中心新設置的交換規格。</p> <p>這份TW Core IG是衛福部最近建立的FHIR實作指引，用來定義適用於臺灣健康照護資料交換需求的規格，包括資源（Resources，類似資料表）、資料項目（也就是欄位）、基數、資料類型（文字、時間、代碼等）、可綁定代碼和查詢參數等，目的是要讓開發者以TW Core IG為基礎，來訂定實務專案所需的資料交換格式。</p> <p>今年聯測共有7個賽道，可分為Track 1病人基本資料、Track 2生理量測數據、Track 3處方用藥及文件打包、Track 4影像、Track 5數位病理影像、Track 6基因體標記、Track 7緊急醫療。其中，Track 3採電子病歷交換中心（EEC）檢驗檢查表單，而Track 4不只有影像，還包括AI標記、報告、影像檢查流程，且採EEC放射影像報告表單和DICOM影像標準，目的是要測試AI或人工產生的影像標記，能否與DICOM標準整合，以及，FHIR醫療影像報告及DICOM影像能否整合。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5849.jpg" /></p> <p>而Track 7的緊急救護，則有核心資料交換、重大傷病資料交換、生理量測資料交換等3種情境，其中的重大傷病資料交換情境，是要先實作4大急重症表單中的OHCA和Trauma病摘，並採用TW Core IG規格。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7(9).jpg" /></p> <p>這次聯測的Track 1、3、4、7，都以衛福部TW Core IG為互通規格。也就是說，參加者要通過這幾個賽道，就得在符合TW Core IG的條件下，成功互通資料。</p> <p>不過在驗證部分，還有分為3個等級。首先是能力聲明驗證，也就是參加者要通過賽道的指定情境，比如Track 1病人基本資料互通，就有病人身分確認、聯繫病人、院外系統等3種互通情境。</p> <p>第2個等級是互通性驗證，也就是參加者與其他參測單位，要能進行功能性驗證和指定情境驗證，甚至，一個系統還得與至少3家廠商交互認證。而第3個等級，則是未來將納入的資安授權（OAuth2），也就是參測系統要能支援OAuth2認證，產品也要具備動態身份驗證機制，這是MI-TW明年預計納入的驗證等級。</p> <p>不只如此，連中岳點出，今年還有雲端電子病歷廠商加入，MI-TW也特別設置VPN，來虛擬化連線聯測場域，讓廠商可在遠端聯測。這種方式，也能適用於其他雲端電子病歷系統廠，方便未來進行遠端聯測。另一方面，為因應今年聯測規模擴大，除原本的聯測主機Gazelle外，還新增一臺FHIR/DICOM資料主機來支援。</p> <p><span style="font-size:26px;"><strong>明年要新添電子病歷跨院交換、PHR與電子病歷交換</strong></span></p> <p>連中岳揭露2023年的聯測計畫，預計新添2個聯測賽道，也就是電子病歷跨院交換（EHR to EHR），來互通檢驗委外和影像報告委外這2種情境，再來是健康管理與電子病歷交換（PHR to EHR），要驗證IoT數據的FHIR互通性，以及線上醫病互動應用情境（如居家或遠距醫療）的互通。</p> <p>另外，MI-TW也徵求專案聯測主題（Projecthon），要針對各團隊提出的互通情境，規畫聯測使用情境。有興趣的業者或醫院，可在2023年1月31日前向MI-TW提案。</p> <p>連中岳點出，MI-TW希望透過「標準-實作-聯測-實證」的發展方式，由國內公共標準制定夥伴，產出出FHIR Profile或IG後，透過開源團隊實作各種開源應用和工具，來讓醫院和企業參考使用。同時透過聯測小組發展聯測測試案例，來讓企業、醫院實作，聯測小組也會根據使用需求，制定使用案例，最後再進行場域驗證。他們希望以此，打造出臺灣智慧醫療生態圈。</p> <p>最後，他也提供團隊開發的免費開源格式轉換工具，來讓使用者快速將資料轉換為FHIR、CDA R2等格式。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E5%85%B7.jpg" /></p> </div></div></div>
2022/11/7 17:53作者王若樸https://www.ithome.com.tw/news/154073
Google Cloud成為Solana區塊鏈驗證節點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/googlecloud/status/1588927875314499590" target="_blank">Google Cloud周日（11/6）宣布</a>，已參與並成為Solana區塊鏈的驗證節點，且旗下的區塊鏈節點代管服務<a href="https://twitter.com/googlecloud/status/1588927896911069184" target="_blank">Blockchain Node Engine會在明年支援Solana區塊</a>鏈，<a href="https://twitter.com/googlecloud/status/1588927901281517568" target="_blank">明年的BigQuery 亦會支援Solana資料</a>。</p> <p>Solana為一公共區塊鏈平臺，其原生加密貨幣為SOL，理念在2017年誕生，首個區塊是在2020年3月才被創造。它採用權益證明（Proof of Stake，PoS）與歷史證明（Proof of History），以進行安全、去中心化及快速的交易，因而又被稱為以太坊殺手。只是，Solana成為熱門新聞的原因，<a href="https://www.ithome.com.tw/news/152291" target="_blank">卻多半是</a>該區塊鏈上的應用<a href="https://www.ithome.com.tw/news/153623" target="_blank">遭到駭客入侵</a>。</p> <p>打造Solana的Solana Labs對該平臺有些有趣的規畫，例如準備在明年初推出全球首款專為Web3設計的<a href="https://solana.com/news/saga-reveal" target="_blank">Android手機Saga</a>，Saga將會內建去中心化程式市集（dApp）、Solana SDK，以及硬體的私鑰安全機制等，可用來下載去中心化的交易平臺、NFT市集及各種分散式應用，訂價為1,000美元。</p> <p>Google Cloud在10月28日發表了Blockchain Node Engine，這是一個區塊鏈節點代管服務，目前仍為僅供申請試用的預覽版，首個支援的區塊鏈為以太坊（Ethereum），Solana則可望成為Blockchain Node Engine下一波服務。</p> <p>以市值來看，SOL為全球前第十大加密貨幣，僅次於比特幣、以太坊、USDT、BNB、USDC、XRP、BUSD、DOGE與Cardano（ADA），每個SOL目前的價格為30.96美元。</p> </div></div></div>
2022/11/7 16:35作者陳曉莉https://www.ithome.com.tw/news/154070
Meta重利用漸進式編碼結果，大幅降低最小功能編碼影片轉碼成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2022/11/04/video-engineering/instagram-video-processing-encoding-reduction/">Meta工程師調整Instagram影片的編碼流程，大幅節省低壓縮率影片編碼所需要的資源</a>，釋放的資源則可用於提供更多用戶高解析度影片。Meta針對不同使用者裝置，需要創建多種Instagram影片編碼版本，而影片龐大的轉碼運算資源需求，讓Meta在2021年初評估時，認為在12個月內，他們將沒有足夠的容量替所有使用者提供影片上傳功能。</p> <p>而Meta透過重新利用其中一種編碼版本生成另一個版本，由於不需要重新完整計算兩份類似的編碼影片，可以大幅減少資源需求，這些省下來的資源，讓Instagram得以向更多用戶提供使用進階編碼，清晰且流暢的影片，也使得網際網路速度較慢地區的使用者受益。</p> <p>過去Meta因應不同使用者的需求，對Instagram影片進行不同類型的編碼，由於要與所有Instagram客戶端相容，Meta會使用最小功能編碼，將影片以低效率壓縮成所有舊裝置，都能解碼並播放的影片版本，另外，也會以更新壓縮技術的進階編碼，支援較新裝置的影片播放。</p> <p>Meta花費80％以上的編碼運算資源在最小功能編碼上，進階編碼僅占總觀看時間的15％，如果依照這樣的趨勢繼續發展，幾乎所有計算資源都將花費在最低功能版本上，使得影片需要更長的時間才能發布，甚至是完全無法發布，很快地Instagram就無法提供進階編碼影片。</p> <p>最小功能編碼又分為兩類，每一個影片都會生成ABR編碼版本和漸進式編碼。ABR版本能夠支援穩定播放，客戶端可以選擇最適合連接速度的版本，避免頻寬變化導致影片播放停頓，另一個最小功能編碼是漸進式編碼，官方之所以繼續生成該編碼，是為了讓不支援ABR編碼的舊版Instagram應用程式，也能夠繼續播放影片。</p> <p>當客戶端將影片原始檔案上傳至伺服器後，Instagram會替影片創建ABR和漸進式兩種最低功能編碼版本的影片，以23秒的影片轉碼為720p影片為例，總共需要86.17秒的CPU時間。但因為Meta發現，這兩類最低功能編碼配置相似，僅有編碼配置文件和預設值上的差異，因此工程師透過將漸進式編碼影片影格，重新打包成ABR相容的版本，而這便能夠消除生成ABR編碼影片的成本，從漸進式編碼打包成ABR編碼檔案僅需要0.36秒。</p> <p>官方提到，這個方法釋放了大量的運算能力，儘管利用打包方式生成的ABR編碼版本，較直接轉碼生成的ABR編碼版本壓縮率更差，但是有多的運算資源生成進階編碼影片，將讓更多人看到更清晰的影片。經過Meta的測試，以降低ABR編碼的壓縮效率為代價，的確獲得更高的進階編碼影片觀看時間。</p> <p>新方法使生成ABR編碼影片的成本下降94％，進階編碼的整體觀看時間覆蓋率提高到了33％，Meta表示，這個資料代表更多Instagram用戶，能夠看到更清晰的影片。</p> </div></div></div>
2022/11/7 16:48作者李建興https://www.ithome.com.tw/news/154069
微軟：中國漏洞揭露政策可能助長國家級駭客濫用零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2022/11/04/microsoft-digital-defense-report-2022-ukraine/" target="_blank">微軟上周五（11/4）發表了2022年的《數位防禦報告》</a>，指出今年以來，來自全球權威領導人所指示的網路攻擊愈來愈多，也直接懷疑中國的漏洞揭露政策助長了當地國家級駭客濫用零時差漏洞的行為。</p> <p>中國政府在去年9月1日正式實施了<a href="http://www.cac.gov.cn/2021-07/13/c_1627761607640342.htm" target="_blank">《網路產品安全漏洞管理規定》</a>，要求發現或得知網路產品安全漏洞的研究人員或組織，必須在2日內向中國的工業和信息化部的「網絡安全威脅和漏洞信息共享平臺」提報漏洞資訊，也要求相關人員不得將未公開的網路產品安全漏洞資訊提供給供應商以外的境外組織或個人。</p> <p>然而，去年阿里巴巴集團旗下的阿里雲發現開源的Apache網頁伺服器中的Log4j紀錄檔工具，含有一個重大安全漏洞CVE-2021-44228，這是個遠端程式攻擊漏洞，CVSS風險等級為最高的10，波及包括AWS、Cloudflare與 iCloud等眾多服務，被視為10年來最嚴重的漏洞。</p> <p>阿里雲於2011年的11月24日向Apache通報CVE-2021-44228，Apache在12月6日修補了該漏洞，但中國政府卻在12月13日才收到阿里雲的通知，使得中國工信部一怒之下<a href="https://www.ithome.com.tw/news/148540" target="_blank">暫停與阿里雲合作</a>，為期6個月。<a href="https://www.ithome.com.tw/news/148587" target="_blank">之後阿里雲還公開澄清</a>，早期並未意識到該漏洞的嚴重性，而沒能及時共享漏洞資訊，未來將強化漏洞管理，積極協同各方做好網路安全風險防範工作，向中國官方輸誠。</p> <p>其實不管是《網路產品安全漏洞管理規定》或是中國對阿里雲的處分，都只是讓外界懷疑中國政府想藉由來自中國境內的第一手漏洞資料，以供國家級駭客使用，但並未掌握任何證據。</p> <p>微軟亦於<a href="https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE5bUvv?culture=en-us&country=us" target="_blank">《數位防禦報告》</a>中指出，儘管有許多國家級駭客都利用了未知漏洞，但中國駭客特別擅長發現與打造零時差攻擊程式，《網路產品安全漏洞管理規定》是全球第一個要求資安研究人員在發現漏洞之際，必須先經過政府機關審核，才能與產品或服務供應商分享的法令。</p> <p>微軟表示，此一新規定可能讓中國政府囤積研究人員所提報的安全漏洞，並將它們武器化，而這一年來中國駭客所使用零時差攻擊程式的增加，很可能反映出該法令問世的第一年，讓中國得以優先存取零時差攻擊程式的結果。</p> <p>此外，由於俄羅斯與烏克蘭之間的戰爭同時涉及實體及網路攻擊，再加上中國、伊朗及北韓等國家級駭客的擴大攻擊，都讓今年微軟所偵測到的國家級攻擊中，鎖定重大基礎設施的比例從去年的20%增加到今年的40%。</p> <p class="rtecenter"><img alt="" src="https://blogs.microsoft.com/wp-content/uploads/prod/sites/5/2022/11/MDDR1-1920x1013.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2022/11/7 15:57作者陳曉莉https://www.ithome.com.tw/news/154067
蘋果證實，富士康鄭州廠的疫情波及iPhone 14 Pro與iPhone 14 Pro Max出貨時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約莫在富士康（臺灣稱鴻海）中國鄭州廠傳出員工集體逃離事件的一周後，<a href="https://www.apple.com/newsroom/2022/11/update-on-supply-of-iphone-14-pro-and-iphone-14-pro-max/" target="_blank">蘋果本周日（11/6）證</a>實，中國鄭州的iPhone 14 Pro與iPhone 14 Pro Max組裝工廠受到COVID-19疫情限制的影響，產能顯著下滑，相關產品的出貨量將低於預期，新客戶必須等待更久才能收到裝置。</p> <p>日前的富士康鄭州廠員工逃離事件，據傳是因擁有逾20萬名員工的鄭州園區爆發了COVID-19疫情，員工或許擔心染病，或許不想行動受限而選擇離職，許多員工徒步出走的情景在網路上大量流傳。</p> <p>臺灣鴻海曾於10月30日對此發布了公告，先駁斥逾2萬人染疫的報導是不實消息，並說該園區正持續落實防疫措施，包括閉環管理、點對點通勤、每日核酸及抗原篩檢，同時強調會保障員工的生產安全與健康照護，且園區內的相關物資供應無虞。當時鴻海也說只有少部分員工受到疫情影響，且園區內的生產營運相對穩定。</p> <p>另也傳出富士康祭出了高額獎金及加班費來挽留員工，對此鴻海則未直接證實。</p> <p>不過，本周蘋果則說，疫情限制讓鄭州廠的產能明顯下滑，但他們將以供應鏈員工的健康與安全為重，iPhone 14 Pro與iPhone 14 Pro Max仍有強勁的市場需求，但因出貨量低於預期，客戶需要等待更久的時間才能拿到產品。此外，蘋果正與供應商密切合作，以恢復正常的生產水準。</p> <p>外界則預期鴻海會在11月10日舉行的第三季法說會揭露更多細節。</p> </div></div></div>
2022/11/7 16:06作者陳曉莉https://www.ithome.com.tw/news/154068
汽車零件大廠大陸集團疑似遭LockBit駭客竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體LockBit駭客組織宣稱手中握有德國汽車零件大廠大陸集團（Continental）的資料，揚言公布全部資料。</p> <p><a href="https://www.securityweek.com/ransomware-group-threatens-leak-data-stolen-car-parts-giant-continental" target="_blank">LockBit上周五（11/4）透過其資料洩露網站聲稱</a>，將在協調時間15:46:36公布大陸集團的資料。不過駭客並未說明擁有什麼資料或多少資料。</p> <p><a href="https://www.continental.com/en/press/continental-informs/" target="_blank">大陸集團8月間曾公布</a>遭網路攻擊，駭客已存取「一些」IT系統。當時大陸集團稱，是在8月初偵測到攻擊，但已經解決，這場攻擊也未影響公司任何業務活動，IT系統也是在公司全權掌握中。除此之外，大陸集團並未提供任何資訊，也未說明有資料損失。</p> <p>LockBit駭客也說會公布雙方的對話紀錄。如果8月初大陸集團網路攻擊是由LockBit所為，則可能是大陸集團與駭客談判破裂，導致後者公布手中資料。</p> <p>這家德國汽車零件大廠不願對此評論。</p> <p>不過到11月5日，駭客似乎仍未公布大陸集團的資料。</p> <p>LockBit是今年最囂張的勒索軟體之一，光是今年1到4月就有超過300家企業受害。他們若是勒索不成，就會公布受害者資料使其名譽受損。臺灣亦有鴻海集團位於美墨邊境的工廠遭到LockBit 2.0勒索軟體的攻擊。10月底<a href="https://www.ithome.com.tw/news/154000" target="_blank">LockBit也宣稱</a>已駭入法國航太、國防、交通及安全系統的製造集團達利斯（Thales），並威脅受害者若不付贖金，將在11月7日公布竊得的檔案。</p> </div></div></div>
2022/11/7 10:51作者林妍溱https://www.ithome.com.tw/news/154053
帶領過Windows及Office部門的32年老將Joe Belfiore將從微軟退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾主導過Windows Phone、Zune等產品的<a href="https://twitter.com/joebelfiore/status/1585751411543138304" target="_blank">微軟企業副總裁Joe Belfiore宣布</a>將自服務32年的微軟退休。</p> <p><a href="https://www.zdnet.com/article/office-corporate-vice-president-joe-belfiore-to-leave-microsoft-after-32-years/" target="_blank">ZDNet報導</a>，Belfiore 10月底對內發公開信，以及公布此事。Belfiore並透過推特指出他會留到明年夏天協助交接，未來將以照顧家中2個小孩及1個剛上大學的孩子為主。</p> <p>報導引述Belfiore的內部信件，解釋他是因為今天夏天送第一個小孩上大學開始意識到陪伴小孩及家人的時間所剩不多，因此而決定將32年和微軟同事打造軟體和服務的精彩生涯畫下句點。</p> <p>Belfiore於1990年代加入微軟，主要生涯是在Windows開發部門，歷經Internet Explorer（IE）、Window XP及家庭娛樂軟、硬體開發，領導的作品包括Windows Media Center、數位播放器Zune及Windows Phone，以及取代IE的Edge。2017年也是<a href="https://www.ithome.com.tw/news/117319" target="_blank">由他宣布</a>Windows Phone終止開發的訊息。</p> <p>Belfiore也歷經了多次微軟組織變動，包括Nadella上任後，<a href="https://www.ithome.com.tw/news/122155" target="_blank">微軟由Windows優先變成以Azure智慧雲端及前端軟體導向的組織改</a>造。2020年微軟再次組織變動，Belfiore職位由Windows 調任Office體驗事業群（OXO）主管，並領導開發Edge和iOS/Android app開發的單位Essential Products Inclusive Community。</p> <p>在其帶領下Office也正經歷重大轉變，包括由桌機生產力軟體套件Office轉變為Office/Windows 365。而隨著新功能愈來愈多，如文件協同工具Loop、設計平臺Designer、企業影音分享平臺Stream等，<a href="https://www.ithome.com.tw/news/153630" target="_blank">微軟也在上個月宣布</a>Office品牌也將走入歷史，逐步改成Microsoft 365，預計2023年初就會全部改頭換面，並推出Microsoft 365 App作為存取生產力軟體的入口。</p> </div></div></div>
2022/11/7 11:26作者王珮瑤https://www.ithome.com.tw/news/154054
全球最大盜版電子書Z-Library網址被美國扣押了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>號稱是全球最大電子書圖書館的<a href="https://z-lib.org/" target="_blank">Z-Library所使用的網址z-lib.org</a>在周末被美國政府扣押了，與其相關的鏡像網站3lib.net與b-ok.org的首頁，同樣也出現遭到美國法院及美國聯邦調查局扣押的文字說明。</p> <p>Z-Library成立於2009年，提供包括英文、法文、簡體中文及繁體中文在內的逾20種文字的學術論文、教科書及大眾圖書供使用者免費下載，在今年10月初時，該平臺總計供應了逾1,100萬本電子書及超過8,000萬篇文章。</p> <p>英國的出版商協會（The Publishers Association）在2015年就企圖要求當地的ISP業者封鎖Z-Library，去年3月中國ISP業者也曾在哈佛商學院出版社的要求下封鎖Z-Library，法國出版商協會Syndicat national de l’édition（SNE）則在今年9月成功讓法院下令ISP業者封鎖Z-Library，<a href="https://torrentfreak.com/images/USTR-Authors.pdf" target="_blank">美國作家協會（Authors Guild）亦曾多次指責Z-Library正在殺死作家</a>。</p> <p>Authors Guild在此一提交給美國貿易代表處（USTR）的文件中指出，盜版的數位圖書是作者所面臨的最大威脅之一，因為作者的收入都是來自於書籍，而且最近幾十年來因為出版市場的萎縮，作者收入已達到歷史低點，2018年的調查顯示，平均一個美國專職作家的年收入為20,300美元，比10年前少了42%。</p> <p>紐約暢銷作家Sarina Bowen於該文件中表示，Z-Library正在殺死他們這些作家，早上所發表的新書，大約中午就會出現在Z-Library上，而且該平臺上有他的所有著作。</p> <p>讓Z-Library成為熱門盜版電子書網站的原因除了它的介面友善，支援PDF、EPUB與Mobi等電子書格式之外，更有愛用者在TikTok上大力推廣Z-Library，而讓不少高中生與大學生湧入該平臺。</p> <p>過去Z-Library面對被封鎖的因應之道就是撤下被投訴的著作，之後就能繼續運作，但現在所使用的網址則已直接被美國司法部扣押，不確定是否會死灰復燃，惟目前已有部分Z-Library的鏡像網站選擇直接遁入了Tor網路。</p> </div></div></div>
2022/11/7 11:53作者陳曉莉https://www.ithome.com.tw/news/154057
推特裁員遭員工集體提告，更多廣告客戶暫停合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在馬斯克接手剛滿一周，推特就已經滿城風雨，馬斯克正式啟動據傳50%的裁員措施，遭員工集體控告，同時有更多廣告客戶暫停合作。</p> <p><a href="https://www.ithome.com.tw/news/153939" target="_blank">媒體報導</a>，以馬斯克為首的新管理團隊裁員計畫50%後，上周五已經有員工分別發生無法登入公司筆電、<a href="https://twitter.com/SBkcrn/status/1588357614211158018" target="_blank">被從Slack頻道移除</a>，以及<a href="https://twitter.com/ruchowdh/status/1588365045158727681" target="_blank">無法登入郵件帳號</a>，顯示遭到公司解僱。</p> <p>馬斯克本人也出面證實推特裁員的消息。<a href="https://twitter.com/elonmusk/status/1588671155766194176" target="_blank">他說</a>，他別無選擇，因為公司每天一開門就要損失400萬美元。但他表示，每位受影響的員工都可以獲得三個月的資遣費，比法令要求的還多50%。</p> <p>多名遭解僱的推特員工已經準備對馬斯克提出集體控告。承辨的<a href="https://twitter.com/LisaBloom/status/1588537389630521345" target="_blank">加州律師Lisa Bloom表示</a>，馬斯克在推特所為，已經違反加州法令。根據加州WARN（Worker Adjustment and Retraining Notification）法令，僱主在大規模裁員之前，應在60天前提出預告。這法令適用於30天之內裁員50人以上的企業，違法的僱主一天面臨每件每天500美元的罰則，以及賠償損失的薪水、醫療保險和其他補助等。</p> <p>Bloom要求推特員工不要簽任何文件，也警告馬斯克，一場風暴即將展開。</p> <p><a href="https://www.theverge.com/2022/11/4/23439790/elon-musk-twitter-layoffs-trust-and-safety-teams-severance" target="_blank">The Verge周五引述消息人士報導</a>，推特員工已經被裁了一半。根據知情人士以及推特員工在推特上的發言，影響的角色包括產品信任與安全、政策、溝通、推文排序、道德AI（ethical AI）、資料科學、機器學習、社群公益、無障礙功能甚至核心的工程部門。此外，重要主管包括消費產品工程副總裁Arnaud Weber、產品管理資深總監Tony Haile也都被砍了。</p> <p>按照推特7,500多名員工推算，此波受影響人數可能達近4,000人。此外上周華盛頓郵報報導，馬斯克也要求縮減基礎架構成本，包括服務每日2億用戶的雲端資料中心。</p> <p>還是有不少人贊成馬斯克的作法，<a href="https://twitter.com/JeffTutorials/status/1588671608826507264" target="_blank">因為推特已經負債數十億美元</a>，他們相信即使馬斯克不裁員，這家社群平臺也可能會申請破產。</p> <p>不過，若裁員影響基礎架構及平臺管理人力，推特要如何維持平臺上的言論秩序，將是一大問題。上周有員工警告，裁掉這麼多人，推特首要擔心的可能很快就成為暴力、仇恨言論、假新聞及陰謀論充斥的混亂狀態。</p> <p>而且，顯然客戶也不相信推特易主後仍能維持平臺的品質，而開始醞釀出走。繼<a href="https://www.ithome.com.tw/news/153909" target="_blank">通用汽車</a>後，CNBC報導，廣告經紀業龍頭公司IPG（Interpublic Group）在馬斯克完成收購後，建議客戶暫停在推特所有付費廣告至少一周。此外，美國全國有色人種協進會（NAACP）則著眼推特去管制化可能使推特成為「不道德、危險、傷害民主」的平臺，而<a href="https://twitter.com/DerrickNAACP/status/1588600470259789824" target="_blank">呼籲廣告主抵制直到推特採取行動</a>。</p> <p><a href="https://www.prweek.com/article/1804306/brands-paused-advertising-twitter" target="_blank">媒體報導</a>，至少有9家知名企業已表示會在評估推特未來發展期間暫停投資，包括通用磨坊（General Mills）、奧迪、福斯汽車、生產Oreo餅乾的億滋國際（Mondelez International）、輝瑞等。</p> </div></div></div>
2022/11/7 10:21作者林妍溱https://www.ithome.com.tw/news/154052
老字號友通改造智慧工廠為何先跟電商學？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960tu_feng_mian_gu_shi_1_open-zhi_hao__0.jpg?itok=JH2BNPqy" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>40年本土老字號工業電腦廠，從2年前決定轉型，要打造工業4.0智慧工廠，來解決生產痛點，但是做為工廠轉型第一步，竟是先向電商學習，翻轉產線備料流程，就是用來解決製造業生產製造的新課題</p> </div></div></div>
2022/11/7 09:40作者余至浩https://www.ithome.com.tw/article/154049
Gmail將新增包裏追蹤功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gmail/package-tracking/" target="_blank">Google上周宣布</a>，未來幾周將於Gmail推出包裏追蹤功能，正好迎接即將來臨的年底購物季。</p> <p>Google產品副總裁Ilya Brown說明，隨著購物季的來臨，使用者可能會在網路上購買各種禮物，接著信箱便會充斥著愈來愈多的訂單或送貨確認信件、送貨追蹤編號、或者是延後出貨的通知等訊息，為了避免使用者錯過這些郵件，抑或是必須點選郵件才能瀏覽內容，Gmail將會在未來幾周推出新的包裏追蹤功能。</p> <p>在該功能上線之後，Gmail用戶必須於設定或是收件匣中主動啟用包裏追蹤（Track your package in Gmail），之後Gmail只要偵測到具備追蹤編號的訂單，就會直接在收件匣中的主旨上顯示編號、遞送狀態及預計到達的日期，若點進郵件，則可於郵件最上方看到該訂單的摘要。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1104-gmail-track%20package-600.png" style="width: 423px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Brown說，包裏追蹤功能將會支援美國絕大多數的物流業者，也會盡量於標題上提供重要資訊，像是「今天出貨」或是「明天到貨」等。</p> <p>在包裏追蹤功能上線的幾個月之後，Gmail則會再新增延後出貨的標籤，而且會將該郵件置放在收件匣的最上方，以免使用者枯等。</p> </div></div></div>
2022/11/7 09:41作者陳曉莉https://www.ithome.com.tw/news/154050
微軟Azure Quantum服務開始提供Rigetti量子雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudblogs.microsoft.com/quantum/2022/10/27/azure-quantum-now-offers-rigettis-qcs-and-superconducting-qpus/">微軟擴展量子運算服務Azure Quantum</a>用戶所能運用的硬體，現在提供Rigetti的量子雲端服務，以及超導QPU，用戶將能夠在80量子位元的處理器上，開發和執行量子和古典電腦混合應用。</p> <p>微軟於Azure Quantum平臺提供創新量子硬體供應商和處理單元，使開發者能夠運用多樣化組合開發量子應用，現在用戶已經可以使用Rigetti的量子雲端服務，研究人員現在可以在Azure Quantum按需取用，在超導量子處理器上，探索量子和古典電腦混合工作流程。</p> <p>用戶可以選擇取用Aspen-M-2 80量子位元和Aspen-11 40量子位元的超導QPU，以開發和執行量子應用程式。Rigetti最新的Aspen-M系列處理器採用特有的多晶片技術，由兩個40量子位元的晶片組裝而成，Rigetti通用量子閘超導量子處理器屬於可調校系統，適用於混合量子運算工作流程，用戶可以進行精細的調控，探索化學模擬、機器學習和組合最佳化等領域。</p> <p>Rigetti QPU藉由量子中繼表示（QIR）和Azure Quantum整合，支援熱門的量子程式開發框架，包括Q#和Qiskit。QIR是由QIR聯盟所維護的開放規範，可以支援低延遲場景和平行執行應用。</p> </div></div></div>
2022/11/7 09:43作者李建興https://www.ithome.com.tw/news/154040
遊戲平臺Steam在Chromebook上開始Beta測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromeos.dev/en/posts/steam-on-chromeos-beta">遊戲平臺Steam於Chromebook 108進行Beta測試</a>，玩家現在可以在Chromebook上以Steam遊玩遊戲，雖然Steam早前已經在ChromeOS開發頻道開始Alpha測試，但是因為開發頻道不穩定的因素，可以測試的玩家數量受限，現在於Beta頻道開放，可提供更廣泛的可用性和體驗。</p> <p>只要是ChromeOS Beta 108.0.5359.24或是以上版本支援的裝置，都能夠開始使用Steam玩遊戲，在這個版本，Google還增加對AMD Ryzen 5000 C-Series，以及Intel 12th Gen Core CPU的支援，並且將最低CPU要求降低至i3或是Ryzen 3，使得支援Steam的裝置數量擴增至3倍。</p> <p>Google調整了在ChromeOS環境管理Steam儲存容量的方法，過去Google根據Steam上所提供的遊戲安裝大小來管理儲存，但是這卻會阻擋從Steam外部下載遊戲內容所需要的儲存空間，現在Google以採用新方法解決這個問題。</p> <p>另外，Google還改進了電源管理，避免玩家因電腦電池沒電關機而失去遊戲紀錄，現在全螢幕遊戲也會顯示電量通知，另外，支援Vulkan和DirectX的遊戲在執行時，系統也會降低CPU開銷來延長遊戲時的電池壽命。</p> <p>在這次更新中，Google提到最大範圍的效能更新，就是在高解析度顯示器的處理上，過去即便遊戲以較低的解析度在高解析度螢幕上運作，效能也會受到嚴重影響，Google透過改進縮放系統，使玩家可以在QHD和UHD顯示器上高效能地遊玩遊戲。</p> </div></div></div>
2022/11/7 09:54作者李建興https://www.ithome.com.tw/news/154042
Mozilla創立風險基金投資新創公司，鼓勵開發促進網際網路良性發展的技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla推出一個風險投資基金<a href="https://blog.mozilla.org/en/mozilla/mozilla-launches-first-of-its-kind-venture-fund-to-fuel-responsible-tech-companies-products/">Mozilla Ventures</a>計畫，這是第一個影響力風險基金，目標是要投資推動網際網路和科技產業，朝向更好方向發展的新創公司，Mozilla Ventures會支援早期（A輪）階段新創公司，這些公司必須要發展符合Mozilla價值觀的產品或技術，包括隱私、包容、透明度、可存取性和人類尊嚴，Mozilla Ventures長期戰略是要推動尊重用戶，使網際網路能夠健康發展的產品和技術生態系。</p> <p>Mozilla Ventures將投入初始資金3,500萬美元，鼓勵網際網路公司發展保護隱私、分散數位權力技術，並建構值得信任的人工智慧，隨著Mozilla Ventures消息的發布，Mozilla也宣布了三項初始投資，第一項是SAIL（Secure AI Labs），SAIL目標是利用先進且安全的人工智慧技術，來確保患者資料安全。</p> <p>第二項則是社交媒體安全應用程式Block Party，該應用可讓在社交媒體遭到騷擾的使用者，設定內容邊界在網路上安全地公開參與談話，第三項投資heylogin則是針對企業設計的登入密碼管理解決方案，針對中小企業，使企業方便管理共享密碼和個人帳戶。</p> </div></div></div>
2022/11/7 09:56作者李建興https://www.ithome.com.tw/news/154045
駭客集團Opera1er自金融與電信業盜走了1,100萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.group-ib.com/media-center/press-releases/opera1er/" target="_blank">新加坡資安業者Group-IB上周公布了駭客集團Opera1er的研究報</a>告，指出此一駭客集團即使只使用市場上已知的各種工具，卻依然在4年內成功執行逾30次的攻擊，自主要位於非洲的銀行、金融服務及電信公司盜走了至少1,100萬美元。</p> <p>雖然Opera1er在2016年就註冊了網址，但實際展開攻擊行動則是在2018年，該集團的特色之一是僅使用既有的開源工具、於暗網中可免費取得的惡意程式，以及熱門的Metasploit與Cobalt Strike的框架，也因此，Opera1er必須採用與眾不同的攻擊手法，其中一個例子是在入侵組織之後，利用基礎設施中所部署的防毒更新伺服器作為支撐。</p> <p>Opera1er的另一個特色是具備非常高級的魚叉式網釣攻擊技術，先以網釣郵件攻擊目標組織的特定團隊，多數郵件是以法文撰寫，可能是假冒稅務機關的通知，或是西非國家中央銀行的招聘報價，藉由這些郵件的附加檔案來散布各種遠端存取木馬，或者是密碼竊取程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1104-Group-IB-OPERA1ER-phishing%20email.png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／Group-IB</span></p> <p>在取得初步的存取權限之後，Opera1er會再利用該帳號存取電子郵件內容與內部文件，以展開下一階段的網釣攻擊。由於Opera1er所瞄準的通常是採用複雜數位貨幣平臺的組織，因此通常會花費大量的精力來研究內部文件，以了解內部程序的關鍵人物，所部署的保護機制，以及後端系統與提款之間的連結。</p> <p>在這4年間，就有12個非洲國家受害，成功攻擊次數為32次，光是象牙海岸（Ivory Coast）就被攻擊了14次，有些組織甚至重複被成功攻擊。</p> <p>Opera1er鎖定的是存有大量金額的機構帳戶，使用盜來的憑證將金錢轉到Channel User 帳戶，繼之再移轉至由Opera1er控制的人頭帳戶。Group-IB的研究顯示，Opera1er聘請了一個擁有逾400個人頭帳戶的錢螺，他們則透過ATM將錢領出。</p> <p>Group-IB建議，要阻擋Opera1er攻擊的三大關鍵步驟分別是偵測惡意郵件與網釣連結，監控基礎設施的可疑行動，以及確保安全漏洞的修補。</p> </div></div></div>
2022/11/7 10:02作者陳曉莉https://www.ithome.com.tw/news/154051
中興大學靠IT奠定紮實的基礎，讓招生系統不用一個月就推上線
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月初，中興大學剛收到教育部核准，可以開設新學士後醫學系後，教務處馬上就遇到考驗，系統3月30日就要推出上線，只有不到一個月時間準備。不光是這套招生系統，中興大學今年一年就有3套新的招生系統的需求。</p> <p>2年來，招生系統成為了中興大學計算機及資訊網路中心（計資中心）的重要任務。中興大學計資中心主任陳育毅強調，過去IT奠定基礎，就是中興大學能快速推出好用的招生系統的關鍵。</p> <p>資訊科技背景出身的陳育毅，十分了解老學校的資訊系統所背負的包袱，許多系統都用舊技術開發，已經跟不上時代，尤其校內許多資訊服務不支援RWD網頁，學生因此抱怨用手機瀏覽很不方便，陳育毅上任後就要求資訊團隊，只要新開發的系統一律採RWD設計，他還親自開課教他們學習如何開發RWD網頁，來運用到校內資訊服務。這個能力，也讓計資中心在打造新的碩士班招生系統時，只需要根據所需報名流程、欄位資料以及不同條件設定修改後，就可以完成，大幅縮短了開發時程。</p> <p><span style="font-size:28px;"><strong>鼓勵IT人員應持續學習新技術，更藉由自行開發替學校省成本</strong></span></p> <p>為了持續發展更多校內服務，陳育毅不僅鼓勵IT人員持續學習新技術，更要求他們除了例行性工作以外，每年都要向他報告未來一年規劃嘗試的創新方案或實驗，藉由資訊人員發想的方案中，來解決其所面對的各種IT難題。</p> <p>他解釋，這麼做的原因，一方面是讓資訊人員能不斷嘗試新技術，才能跟上現代的腳步，若是實驗成功後，也能省下購買套裝產品的成本。正因為透過這個方式，「從我擔任主任以來，從來沒有跟學校多要過一塊錢。」陳育毅自豪地說。</p> <p>這些年來，陳育毅一方面透過爭取政府計畫的補助案，幫助學校完成許多校園資訊服務建置與升級；另一方面也讓計資中心透過自主開發的方式，來支援各種行政業務上需求。他表示，目前校內行政業務相關系統，超過6～7成都是計資中心自行開發。</p> <p>像是碩士班招生資訊系統，就是計資中心2年前自行開發完成。這套系統舊版是由教務處負責建置，後來計資中心接手全面翻新，這是中興大學歷年來最重要一次招生系統全面大改版。</p> <p>陳育毅表示，新版招生系統除了改用RWD網頁設計，方便學生用行動裝置來操作，更新後的介面也變得更簡潔，更容易填寫。不僅如此，學生線上填完報名資料後，系統後臺會根據每個系所最關注學生資料欄位的清單彙整出一張總表，因此更方便審查老師查看學生詳細資料。新版招生系統上線後，馬上就獲得不少的好評，就連其他學校學生用過後都稱讚。</p> <p>不光是打造這套線上招生系統，計資中心後來只要接到教育部擴增招生管道的消息時，就必須迅速配合教務處招生期程，開發相關招生系統，以便在教育部一核准後，短時間就能將系統推出上線，提供學生線上報名，甚至今年以來，計資中心一次上了三套線上招生系統，因應新設的學士後醫學、國防學士班、以及循環經濟學院碩博班學制的招生需求。</p> <p><span style="font-size:28px;"><strong>用Google工具建線上考試範本，幫助教師線上教學測驗更容易</strong></span></p> <p>2021年時，學校因為疫情嚴峻改採線上教學後，如何進行線上教學測驗與成績評量，難倒了許多教師。為了幫助教師線上出題、改考卷，計資中心使用Google雲端硬碟平臺開發出一個線上測驗卷範本製作工具，讓老師只需照著文件中的表格輸入試卷題目、答案和配分，就能自動產出線上測驗卷。</p> <p>學生考試完後，就會自動計算成績，並將測驗結果和分數寄信給班上學生。計資中心不只將這套工具提供給該校教師，後來公開給各校，也廣受好評，如今許多國中小教師線上教學測驗都靠它。</p> <p>受到疫情衝擊，過去2年來，許多學校教師採用線上授課，中興大學教務處多年前就有建置了iLearning遠距教學平臺，部署在計資中心的機房內，但系統資源有限，無法提供全校師生同時登入。</p> <p>當時，陳育毅評估後，認為市面上已有不少選擇能支援全校師生規模的線上教學，不需架設新系統，所以改將重點放在對現有線上視訊產品的評估、測試，來確保安全無虞，並將測試結果揭露到學校網站，再提供給教師們做為選用的參考，後來還拍教學影片，「這些都由計資中心一手包辦，而不是教務處來完成。」他說。</p> <p>除了擴充校內網路基礎設施，疫情爆發後，為了因應疫情居家辦公需求，計資中心也擴增SSLVPN連線數，比原本高出一倍，最多可以同時500人連線，方便行政人員在家辦公。</p> <p>中興大學原本在計資中心機房內就設置多條連外線路，包含ADSL、學術網路TANet、學研網路TWAREN等，來提供全校對外連線使用。但過去網路架構缺乏彈性，無法根據尖峰和離峰流量變化動態調配，直到幾年前，導入SDN軟體定義網路技術，可以透過軟體方式來調整來自不同網路管道做到動態調整，這個問題才獲得解決。</p> <p>比如，現在學生白天上課，宿舍頻寬流量不需要這麼高時，就能調整ADSL線路支援校園對外網路，反過來，到了晚上，宿舍ADSL頻寬吃緊不夠用時，就可以用校園學術網路管道，來支援學生對外連網的頻寬需求。甚至早在疫情之前就導入這項軟體定義技術，所以不像其他學校疫情期間容易出現網路擁塞，中興大學就沒有這個問題。</p> <p>不只透過SDN因應不同時段校內網路用量，疫情爆發之前，計資中心也配合學生宿舍擴建，把對外ADSL專線增加到24條，使得對外頻寬達到7,200Mbps，同時更換宿舍網路頻寬管理器，增強網路流量管理能力，還因應疫情線上課程所需而放寬網路流量限制，就算學校改為線上教學後，住宿學生也都沒有抱怨網路有卡頓的情況。</p> <p>儘管，過去2年來，計資中心採取各種IT抗疫做法來幫助學校渡過疫情危機，但似乎沒有獲得大家更多注意，但陳育毅一點也不在意，「對大學IT而言，沒有人想起我們，反而是件好事，代表學校網路不斷、系統也沒當，我們存在感才那麼低。」他笑著說。</p> <p>中興計資中心平時不只要支援校內行政業務，還負責TANet臺灣學術網路在中部區網中心基礎維運和資安。</p> <p>舉例來說，以往教育體系的資安通報要求一小時內就要完成通報，但中部區網中心過去是以電話或E-mail聯繫各校窗口人員，沒辦法很快找到要聯絡的人，計資中心後來運用Line Bot建立資安事件通報機制，來解決這個問題，只要區網中心收到疑似攻擊的訊息，就會藉由Line自動轉發給各校負責窗口，讓他們能更快應變。</p> <p>他表示，導入Line Bot以後，只要15分鐘就可以完成通報，比原本1小時的期限還要快許多。<span style="text-align: center;"></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/400-%E4%B8%AD%E8%88%88%E5%A4%A7%E5%AD%B8_20221007.jpg" style="width: 400px;" /></p> <p><strong><span style="color:#696969;">中興大學計資中心主任陳育毅表示，對於大學IT而言，沒有人想起IT，反而是件好事，網路不斷、系統也沒當，IT存在感才那麼低。</span></strong></p> <p><span style="font-size:28px;"><strong>2019年資安法上路後要求公立大學需配合加強資安防護作為</strong></span></p> <p>2019年臺灣資安法實施後，對於國立大學的資安管理要求，從原本資訊單位擴大到全校範圍，也為各校帶來新的資安管理挑戰，校內IT部門也得配合資安管理的法遵要求，持續加強自身資安防護作為。</p> <p>陳育毅就表示，以往大學導入教版ISO 27001資安管理，驗證範圍大多以計中為主，但是資安法要求全機關，以學校而言，就是全校，但各單位一般認為這是計中的事，老師學生也覺得與他們無關，所以要在校內推動這件事，挑戰難度就很高。</p> <p>由於中興大學自2015年接下教育部教育機構資安驗證中心業務，陳育毅身兼該中心主任，在資安法實施後，他同時負責相關稽核工作。在確保學校網路、系統都維持正常穩定的情況下，近幾年，他投入更多心力，協助教育部推動大學資安相關業務。陳育毅更親自帶領計資中心團隊，與校內資安專責人員，以自己學校為示範場域，做為未來各國立大學推動全機關資安管理的參考。</p> <p>在推動執行上，陳育毅一開始先從e化作業做起，使用Google Apps Script寫出一套工具，把各單位用來填寫、評估自己資安狀況的紙本作業，全都轉變成e化表單，進而讓這個作業流程更簡化。</p> <p>他指出，使用數位化工具的好處是，當以後要推到全校範圍，不論是在資料回收和匯整上都很方便，對於資安負責人來說，也能因此減輕不少負擔。甚至因為使用Google工具來開發，其他學校日後想要移植也更容易許多。</p> <p>中興大學從2020年開始落實新法資安管理的要求，並採先行政後教學單位的策略來推動，系統上也配合新法，以有個資相關的系統優先推動。並開始對校內各單位系統管理者、委外承辦人員展開教育訓練，就連陳育毅自己也都親自上場，協助這群人做訓練。</p> <p>陳育毅表示，資安法實施前，通常只對計資中心自行開發或委外系統，才有相關資安要求，但資安法上路後，對於各單位開發或委外的系統，都有相關的要求，因此，這兩類人必須負起相應的責任，做好該有的資安管理作為。</p> <p>陳育毅表示，接下來將積極擁抱開源工具，幫助學校持續發展更多資安管理工具。例如計資中心開始實驗pfSense這套開源防火牆及路由工具，使用它來建立跳板機，來防止外部入侵直接竊取伺服器內資料。另外也將嘗試利用OpenNMS開源分散式網路監控工具，強化校園網路管理等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>中興大學計資中心主任陳育毅</strong></p> <p>學歷：中興大學應用數學所資訊組博士</p> <p>經歷：2015年擔任中興大學計資中心主任迄今，任內不只推動資訊機房改造，也強化了中興大學網路基礎建設與資安管理，更運用IT克服疫情挑戰，他目前不只擔任中興大學資管系教授和計資中心主任，也身兼教育機構資安驗證中心主任</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關名稱 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/300-%E4%B8%AD%E8%88%88%E5%A4%A7%E5%AD%B8_2.jpg" style="width: 400px;" /></p> <p><strong>中興大學</strong></p> <p>地址：臺中市南區興大路145號</p> <p>網址：<a href="http://www.nchu.edu.tw">www.nchu.edu.tw</a></p> <p>成立時間：1919年</p> <p>教職員人數：約800人（另配置700名行政人員）</p> <p>學生人數：約1.5萬人</p> <p>主要業務：教學、研究</p> <p>校長：薛富盛</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：計算機及資訊網路中心主任</p> <p>資訊部門主管姓名：陳育毅</p> <p>資訊部門人數：35人</p> <p>資訊部門分工：服務諮詢組、資源管理組、校務系統組、資訊網路組、研究發展組</p> <p>IT預算：3,000多萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1991年：開始負責TANet臺中區域網路中心基礎維運與資安管理</p> <p>2008年：機房開始導入伺服器虛擬化，逐步改用VM提供校內資訊服務</p> <p>2013年：導入PIMS全校個人資訊管理系統，並取得BS10012認證。</p> <p>2015年：接掌教育部教育機構資安驗證中心業務、推動為期2年資訊機房改造計畫，提升節能效果，將PUE降至1.6</p> <p>2017年：通過教育部推動的新版「教育體系資通安全暨個人資料管理規範」驗證</p> <p>2019年：導入SDN軟體定義網路服務鏈，動態調配校內對外ADSL、TWAREN及TANET學術網路流量、用Line Bot建立中部區網資安事件通報機制，縮短通報時間</p> <p>2020年：新版碩士班招生資訊系統推出上線</p> <p>2021年：因應疫情居家辦公需求，擴增SSLVPN連線數、擴充宿舍連外頻寬，加強網路流量管理能力、協助國教署推動高中校務及委外建置資安檢測計畫、以Google雲端硬碟平臺開發線上測驗範本，可供教師進行線上命題與測驗</p> <p>2022年：國防學士班招生系統上線、學士後醫學招生系統上線、循環經濟學院碩博班招生系統上線、境外生安心就學預選系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhu_tu__11.jpg" width="960" height="420" alt="" title="中興大學計資中心主任陳育毅" /></div></div></div>
2022/11/7 07:00作者余至浩https://www.ithome.com.tw/people/154013
【直擊友通首座智慧工廠】用自動化倉儲結合AGV翻轉產線備料流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>友通去年啟用了桃園首座智慧工廠，最近也首度對外公開一年的智慧製造成果，不只整合OT與IT系統，從物料備料、SMT產線生產，到製造品質管控，都導入許多自動化、智慧化應用，讓工廠生產產能及產品品質都因而提升不少，來因應未來更加彈性且多樣的生產製造模式。</p> <p>友通花了一年才打造完成這座工業4.0智慧工廠，更是這家40年老字號工業電腦廠為轉型跨出關鍵一步。但是這座智慧工廠中，雖然採用許多OT製造系統及自動化生產設備，但它最關鍵的系統，竟然是來自電商的出貨物流經驗。</p> <p><span style="font-size:28px;"><strong>為何友通智慧工廠要向電商物流經驗取經？</strong></span></p> <p>走進友通智慧工廠的3樓，上千坪的SMT產線，正忙錄的加緊趕工，把一片片PCB板送進機臺，經過一道道的製程，最後產出成品。不只是產線生產高度自動化，就在樓下一樓的物料倉儲區，也有一群自動化機器人此時正在分工合作，在上百坪倉儲內來回穿梭，身上還載著貨架等著排隊進到工作站，等待人員揀料，將製造生產需要的電子材料（如電阻、電容、IC）自貨架中取出直送產線，就像電商常見的自動化揀貨作業場景，在友通這座智慧工廠中也看得到。</p> <p>為何友通轉型智慧工廠第一個優先解決的產線製造新課題，就是先學電商物流導入AS/RS自動化倉儲系統，來翻轉產線備料流程？</p> <p>關鍵就是，友通生產模式這些年有了截然不同的改變，逐步轉為少量多樣訂單的生產模式，不僅生產訂單需求更多元，每張訂單少到20～50片，多到上千片都有，生產產品也更加多樣，高達1.8萬種產品組合，來服務全球上千家客戶。甚至於如今友通6成訂單需求，都來自微型化產品或標準品，傳統ODM的訂單比重只剩4成，和5年前相比可說是完全顛倒。</p> <p>這個生產模式的大轉變，對於友通工廠備料作業的考驗也更大，單是所有產品展開來的BOM表，累計就有上萬顆料號，更以每日數百顆料號頻率增加，因此光靠舊有人工備料做法已無法應付，而必須要建立更自動化、甚至智慧化的備料做法，這也是友通要解決少量多樣生產挑戰的第一個關鍵。</p> <p>電商很早就導入AS/RS自動倉儲系統，用來解決物流配送的瓶頸，來提供更快速交貨的能力，大型電商如PChome、Momo早在4年多前就在自有物流倉儲內導入這項技術，如今製造業也將電商自動化揀貨的能力，帶到了生產線上，來克服少量多樣的備料考驗。儘管友通不是第一家導入這套系統的製造業者，但卻是少數公開展示該系統導入工廠後最新應用成果。</p> <p>製造業不像電商處理訂單是小時為單位，揀貨作業流程因此需要高度自動化，相較之下，電子製造業交期大多以天或周為單位，對產線壓力相對較小，也因此，傳統上大多是採用人工作業備料居多。</p> <p>但是，友通資訊副董事長李昌鴻就表示：「為了轉型智慧工廠，這是非做不可的事，因為備料速度要快，就必須要有智慧倉儲才行。」這正是友通之所以要把轉型最關鍵的變革，放在這套系統上的原因。</p> <p>友通在這座智慧工廠中，導入AS/RS自動化倉儲系統，結合AGV無人搬運車的做法，用來解決工廠在揀料、備料作業流程的挑戰，李昌鴻在智慧製造成果發表會上，對於這套已經用了一年自動倉儲系統，更指出：「這不是技術展示，而是已經實際在運作了。」</p> <p><span style="font-size:28px;"><strong>揀料作業系統化結合AGV無人搬運車，加快倉儲備料任務</strong></span></p> <p>這座AS/RS自動倉內，一共配有28臺AGV無人搬運車，來執行揀料任務，如同電商倉儲常見的AGV或AMR無人車，同樣是基於以物就人的思維，揀料人員只需站在定點揀料，AGV就會自動把工單上需要的物料的貨架運送到揀貨站，揀料員只需依系統提示取料，再將料件放置於料架上，甚至不用管現在取的料是哪一張工單。揀完後接著做工單集結、分料，就能完成備料，再送到產線生產。不只是出料，入料上架的作業，都是透過AGV搬運來完成入庫。</p> <p>這個自動倉儲有兩層樓高，分上下層共有773座貨架，目前存放卷料數約7萬筆，為了要取料，AGV還會自己搭升降梯上到2樓夾層，將要取出的貨架搬出，再運到一樓工作站，全程自動化作業。一樓倉儲入口處設有4個工作站，提供物料出倉或入倉作業，不論是搬運1樓或2樓貨架，AGV平均每趟都能在2~5分鐘內完成。</p> <p>導入AS/RS系統過程中，友通也有遇到挑戰，像是因為部署WiFi AP數量太過密集，導致AGV車從一個AP離開，要尋找另一個AP時，就容易會進到漫遊狀態，而停在原地不動。後來，經過優化，改以每15~30公尺間隔部署AP，讓AGV可以明確選擇到下一個AP，才將這個問題解決。</p> <p>經過一年使用，友通表示，這座AS/RS自動倉目前已可處理工廠每天30筆工單、單筆230種料件的備料需求，因應未來工單數成長，這座倉儲還可以再持續擴充。</p> <p>在啟用智慧自動化倉儲後，友通資訊營運中心總經理詹信仲感受到最明顯的差別是，備料作業效率大幅提升許多，舉例來說，以前舊廠每天備料15筆工單，需人工花8～10小時，大量走動及尋料，無法有效提升人均備料產能，且新手在揀料過程容易出錯，但現在新廠就沒有這個問題，不僅能應付比舊廠更多一倍工單數的備料量，而且作業時間更短，約6～8小時就能完成所有備料的工作，也能降低人為出錯率。</p> <p>不只備料作業效率的提升，就連倉儲物料管控也變得容易許多，因為改用系統管控物料，取代過去人控的做法，執行物料先進先出、庫存物料使用期限的管理規範，需要人員到儲存位置來確認物料狀況並記錄，但現在透過倉儲系統搭配OT/IT系統，人員從系統上就能管控物料的使用情況，包括庫存項目與數量等，進而提升備料過程品質。</p> <p><span style="font-size:28px;"><strong>發展智慧製造一年來的成果</strong></span></p> <p>這座智慧工廠內還有不少產線智慧應用，來提高產線製程控制能力。像是機臺供料流程結合新型智慧供料器，來避免放錯料並快速精準的取放料。每次生產完後的剩料盤點，也能透過X-ray點料機設備自動清點剩餘數量，大大提高點料的準確性。所有物料、產品的生產履歷也能靠一套生產追溯系統來管控。每條產線都有結合資訊看板，方便管理者即時掌握生產進度。</p> <p>友通也揭露智慧製造1年來的成效，包括生產成本降低30%，工單備料物料周轉效率提升20％，SMT產線機臺產出率有30%改善，生產品質直通率提升至99.6%，對生產料件情況掌握也有達到99.9%準確率。</p> <p>除了在智慧工廠裡導入AS/RS自動化倉儲系統，友通其他工廠未來也將跟進採用，甚至將來更希望把這些在內場域製造轉型經驗輸出。智慧倉儲方案就是其中之一。</p> <p>友通向電商的出貨物流經驗學習，只是智慧工廠轉型第一步，這家40年老公司將持續向更多異業學習，李昌鴻就舉例，可以學習星巴克全球3萬家門店的跨國管理經驗，為友通未來擴廠全球管理布局，又或是做到像7-Eleven新進員工72小時訓練就能上線，「我們還差得很遠。」李昌鴻坦言。但他強調，公司想要持續成長，地基（基礎建設）就要打好，這得靠數位轉型。</p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/154020" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span></span></a> <a href="https://www.ithome.com.tw/article/154020" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960tu_feng_mian_gu_shi_1_open-zhi_hao_.jpg?itok=pwdeBZyy" style="width: 550px;" /></a></strong></span></p> </div></div></div>
2022/11/7 07:00作者余至浩https://www.ithome.com.tw/news/154014
友通智慧工廠如何靠AS/RS自動化倉儲，迎戰少量多樣產線備料挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程1 </span></span></strong> <span style="color:#3399ff;"><strong>多工單合併接單，支援多種備料模式</strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#3399ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3(1).png" style="width: 600px;" /></strong></span></span></p> <p><span style="color:#696969;"><strong>單日30筆工單備料件數，每筆工單使用電子材料種類就有230種。當遇到有多筆PCB料號相同的工單，AS/RS自動化倉儲系統就會啟動多工單合併接單程序，讓具有相同料號的該批工單材料能一次集結，在分發到各自工單中，不用按一筆筆工單來揀。因為可使用系統接單，比起傳統人工備料，可以支援多種備料模式，提升工單備料效率。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程2 </span></span> <span style="color:#3399ff;">靠AGV無人搬運車加快出料速度</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>AS/RS系統匯整所有工單後，就會按出單需求定位材料儲存位置以及規畫搬運順序，然後指派AGV無人搬運車執行揀料任務。AGV車接到指令後，就會靠倉儲地面的QR碼定位，駛至要搬運貨架下方，將其抬起，搬運至揀料工作站。貨架底部也有QR碼，AGV車移出貨架前會先確認為貨架資訊正確後，再將其搬出。這座倉儲中最多一次能同時28臺AGV執行揀料任務。每趟搬運任務都能在2～5分鐘內完成。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程3 </span> </span><span style="color:#3399ff;">專用AGV升降梯供垂直上下樓搬貨</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>倉儲內共有773座貨架，常用的電子材料會放在距離揀料站最近的貨架上，方便AGV車來搬運；至於使用頻率較少的材料或較大零件，則會放置於2樓夾層的貨架中。AGV要上樓前必須搭乘專用升降貨梯，才能上到2樓夾層將貨架搬出。AGV車來到升降梯前，門就會自動感應打開，進了電梯，等待AGV停到指定位置，電梯才關門上樓，全程都是自動化完成，不需要人為介入，下樓也是走同樣流程，再搬運至揀料站，排隊等待人員揀料。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程4 </span></span> <span style="color:#3399ff;">揀料流程結合虛擬分揀播種牆</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>貨架送達揀貨站後，AGV車會自動發送通知給WMS系統，揀料員只要從觸控螢幕上按下確認，螢幕畫面裡播種牆的格子欄位，就會更新成現在貨架資訊，包括儲位格數和儲位編號，都與揀料員眼前的實體貨架格局一致，方便人員根據系統提示依序揀取。倉儲裡有三種類型的貨架，用於儲存各種尺寸的材料零件，每個貨架格局皆不同，對應到虛擬播種牆的格數也有所不同。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程5 </span></span> <span style="color:#3399ff;">系統引導加快人工揀料速度</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%965%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>確認貨架類型後，揀料員會依據WMS系統的引導，從螢幕裡被標記為綠色的播種牆儲格，依序將工單所需的材料自貨架中取出。裝有材料的卷盤被取出後，人員會掃描料盤上的條碼，來確認螢幕上的材料資訊，並更新到系統資料庫記錄的該筆工單處理進度。一座貨架揀完後，AGV車會自動送貨架回倉儲原來位置，下一臺AGV就會移動到原本停放這臺AGV的位置，讓揀料員接續揀料。揀出來的料，會放置於備料架上等待做工單集結，再交由分料員進行剪料、分料動作。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 流程6 </span></span> <span style="color:#3399ff;">依工單完成分料送到產線</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%966%E3%80%91%E5%B0%81%E9%9D%A2-1P-asrs%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>這批工單備料材料集結後，會再由分料員依據生產工單清算材料盤數量，並依每張工單所需要的材料零件顆數，從每個料盤中進行剪料的動作。由於一個7寸材料盤約有3,000～10,000顆零件不等，因此目前這個作業環節，還是人工作業。如果是屬於高單價的材料零件，分料後多餘的料件就會再透過AGV車進行返倉動作。分料員分完所有材料後，會將這批料連同工單放置於備料臺車上，接著透過貨梯送上三樓，提供給SMT產線做生產使用。</strong></span></p> <p><strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/154020" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a> <a href="https://www.ithome.com.tw/article/154020" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960tu_feng_mian_gu_shi_1_open-zhi_hao_.jpg?itok=pwdeBZyy" style="width: 550px;" /></a></strong></p> </div></div></div>
2022/11/7 07:00作者余至浩https://www.ithome.com.tw/news/154016
友通新智慧工廠物料周轉率提高20%的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span> <span style="color:#3399ff;">工單揀料流程高度自動化，大幅提高產線備料速度</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%961%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>傳統舊廠備料都是人工作業，生產工單產生後，會將發料單據分配給7名備料人員，平均一天15張工單，需花8～10小時完成，但新廠導入AS/RS系統後，倉儲人員不用進到物料區，AGV搬運車就會自動把裝有工單物料需求的貨架一個個送過來，人員只要站在定點揀料就行，不像以往備料都是人推著臺車到每個物料架來挑料，因此能應付比舊廠更多一倍工單數的備料量，而且作業時間更短，僅需約6～8小時就能完成所有備料的工作。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色2 </span></span> <span style="color:#3399ff;">數十座線邊倉供產線就近調度</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%962%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／友通資訊</span><br /> <strong>除了一樓AS/RS自動倉，靠近3樓產線附近還有建立約21座線邊倉，供各種7寸卷盤材料、被動元件存放，用來提供產線生產就近調度使用。材料配發過程中，遇到整合性工單時，系統會計算特定材料未來一周工單會需要多少盤材料，如20盤～30盤，就會透過AS/RS系統一次發料，領完料後就會從自動倉送到線邊倉做暫時的存放，再從這個地方發給各工單做生產使用。若是產線有零件缺損或備料上的損耗，就能立即使用線邊倉來補充，亦可存放產後剩餘的材料，再提供其他工單來用。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色3 </span></span> <span style="color:#3399ff;">產線機臺物料的供給方式整合智慧型供料器</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%963%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>備完料送到生產線後，生產線上機臺物料的供給方式，會先把一盤盤料卷裝進SMT供料器中，再由備料臺車直接推到打件置建機內，置件機裡上一套工單的車子就會退出來，藉此加快產線換線速度。在新廠導入智慧型供料器，使用兩道智慧雙重確認系統，來避免放錯料並快速精準的取放料，增加作業效率。這個智慧型供料器有個資料庫，BOM表所有料號都已事先被輸入到這個資料庫中，操作人員掃碼就能知道料有沒有放錯，一旦有錯，機器就會暫停下來，等到問題解決後，才會繼續運作生產。這條產線中的兩臺SMT置建機，每小時就能打完12萬5千顆電阻元件到PCB板上，共有4臺，能因應更多工單生產需求。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色4 </span></span> <span style="color:#3399ff;">生產後剩餘卷料清點全面自動化，更快掌握整體物料庫存數量</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%964%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>當一筆工單投產完畢後，會先清點自置件機退料下來的零件數量，回邊倉前會先以X-ray自動化點料機對於每一卷盤還沒用完的7寸卷物料（被動元件）做餘數數量清點，每個料卷都有其獨立Reel ID，可清楚掌握從物料開始使用到此卷盤使用完畢的所有記錄（包含工單和使用機種），並即時對線上設備拋料損耗做卡控，再更新到ERP系統，讓物控單位可清楚知道整體物料庫存數量，就可以馬上提供給下一筆工單來使用。該廠設備拋料損耗率低於千分之二。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色5 </span></span> <span style="color:#3399ff;">不只導入生產追溯系統，更結合資訊看板即時掌握生產進度</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%965%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><span style="color:#696969;"><strong>新廠導入一套生產追溯系統，可以提供完整物料、產品的追溯能力。倉儲每卷料件皆有條碼，從產品的原物料、製造、包裝、出貨及顧客反饋等過程，都能透過系統做到層層記錄管控，將材料與產品間建立完整關聯記錄進行追蹤管控。每條SMT產線上都設有資訊看板，透過系統能即時呈現當前生產資訊，如產出數、拋料率等，讓管理者能隨時掌握生產進度做更好的運籌帷幄，來根據產線異動快速調整生產計畫與排程，來提高生產效率。</strong></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色6 </span></span> <span style="color:#3399ff;">加快物料二次返倉作業提高周轉率</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E3%80%90%E7%B6%B2%E9%A0%81%E5%85%A7%E6%96%87%E5%9C%966%E3%80%91%E5%B0%81%E9%9D%A2-1P-%E5%91%A8%E8%BD%89%E5%9C%96%E8%A7%A3.png" style="width: 600px;" /></span></strong></span></p> <p><strong><span style="color:#696969;">工單物料送至生產線後，對於生產後的餘料，除了放置線邊倉提供下個工單的產線來用，少部分工單異動會有物料二次返倉作業，比如工單之間的退補料作業或是客戶需求時間延期，這時就會將原本放在產線的這批物料送回到一樓自動倉，藉由AGV車進行返倉，可提高工單備料物料周轉效率。</span></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/article/154020" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></a> <a href="https://www.ithome.com.tw/article/154020" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960tu_feng_mian_gu_shi_1_open-zhi_hao_.jpg?itok=pwdeBZyy" style="width: 550px;" /></a></strong></p> </div></div></div>
2022/11/7 07:00作者余至浩https://www.ithome.com.tw/news/154019
老字號友通改造智慧工廠為何先跟電商學？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/wang_ye_960tu_feng_mian_gu_shi_1_open-zhi_hao_.jpg?itok=pwdeBZyy" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>40年本土老字號工業電腦廠，從2年前決定轉型，要打造工業4.0智慧工廠，來解決生產痛點，但是做為工廠轉型第一步，竟是先向電商學習，翻轉產線備料流程，就是用來解決製造業生產製造的新課題</p> </div></div></div>
2022/11/7 07:00作者余至浩https://www.ithome.com.tw/article/154020
可雜湊與不可變
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在一些語言實作物件相等性時，例如Java，必須重新定義hashCode、equals方法，前者傳回的整數可用於一些雜湊運算場合，例如，作為HashSet的元素，或者是HashMap的鍵，按照Java的API文件規範：物件相等比較成立時（equals為true），hashCode傳回的雜湊值必須相同；hashCode的雜湊值不同的話，物件必不相等；hashCode的雜湊值相同，物件不一定相等，需要再進一步透過equals比較相等性。</p> <p>這些應該是Java開發者都知道的基本常識，如果是更嚴謹的開發者，或許會提及API文件上規範的反身性（reflexive）、對稱性（symmetric）、傳遞性（transitive），以及一致性（consistent），而且，建議在定義相等性之際，要同時重新定義equals與hashCode方法。</p> <p><span style="font-size:28px;"><strong>物件雜湊與相等性</strong></span></p> <p>API文件規範寫著：若實作equals時用到的資料成員沒有改變，hashCode傳回的雜湊值就不會改變。這似乎暗示著，hashCode、equals在實作時，可以使用到可變動的資料成員？實際上，Java標準API裡確實有這類實作，例如ArrayList的hashCode，會因為收納的元素不同或長度不同，而有不同的傳回值。</p> <p>然而，我在先前專欄文章〈<a href="https://www.ithome.com.tw/voice/75742" target="_blank">Wat？為何不相等？</a>〉曾經提過，重新定義equasl與hashCode時，應避免使用會變動的資料成員，以免因為資料成員變動，造成hashCode傳回值不同，使得在雜湊計算的場合出現意料之外的臭蟲。</p> <p>〈<a href="https://www.ithome.com.tw/voice/75742" target="_blank">Wat？為何不相等？</a>〉談到了簡單的臭蟲案例，另一個情況是，想想看將ArrayList實例lt放入HashSet，ArrayList在收集了新元素後，明明是同一個實例，透過set.contains(lt)處理之後是false，然而，set.stream().findFirst().get().equals(lt)卻會是true的尷尬案例。</p> <p><span style="font-size:28px;"><strong>Python的可雜湊物件</strong></span></p> <p>在Python中，若我們將list放入set，如{[1, 2, 3]}，會引發TypeError，錯誤訊息將指出list不是可雜湊型態（unhashable type），而且Python在官方術語表<a href="https://bit.ly/3MqFx4i" target="_blank">（Glossary）</a>也定義hashable型態的實例：其存活週期的雜湊值絕不會改變，並且可以比較相等性。因此對於list、set、dict這類狀態可變的物件，不會有雜湊值，具體而言，Python內建的可變物件，__hash__會被設為None。</p> <p>既然如此，狀態不可變的物件，不就是可雜湊型態嗎？確實地，Python內建的不可變型態，例如tuple、frozenset等，都是可雜湊型態（這類容器裡的元素也要是可雜湊型態）；然而，有趣的是，使用者自訂類別時，若沒有定義__eq__與__hash__，預設也會是可雜湊型態。</p> <p>這是因為，在未重新定義的情況下，會繼承object的__eq__與__hash__，前者使用is比較，後者是基於物件id計算而來（在Python 3，目前是id(self)//16），在整個物件的生命週期內，id值不變、雜湊值也就不變，因此是可雜湊物件，可應用於雜湊計算場合，使用預設的__eq__與__hash__，也代表你想比較物件是否為同一實例。</p> <p>在必須依類別值域進行相等性比較的場合，要重新定義__eq__，而在未重新定義__hash__的情況下，__hash__會設為None，也就是說，只定義__eq__的類別，是不可雜湊型態，這是因為，在雜湊計算場合，如實例放入set時，若真的使用object預設的__hash__，由於id每個實例是不同的，結果就是值域相同的兩個實例，也會被放到不同的雜湊桶裡了，為了避免這類問題，Python就將__hash__設為None了。</p> <p>不應該只有重新定義__hash__，因為方才提到，物件相等比較成立時，雜湊碼必須相同，如果__hash__實作時根據值域計算，同一實例將會有不同的雜湊碼，也就是__eq__為True時，__hash__卻是不同，這本身就違反了__hash__的協定。</p> <p>雖然在自定義類別之際，若同時重新定義__eq__與__hash__，Python直譯器就會視其為可雜湊型態，不過對於狀態可變物件而言，若__hash__的計算使用到可變動的值域，就無法滿足存活週期雜湊值絕不改變這個約定，所以，面對狀態可變物件，只能重新定義__eq__，不應該重新定義__hash__。</p> <p><span style="font-size:28px;"><strong>可雜湊就是不可變</strong></span></p> <p>事實已經很明顯了，在Python的定義裡，可雜湊物件就是不可變動物件，雖然自定義類別時，在沒有特別對值域做任何處理的情況下，值域的狀態都是可變動，然而，如果我們想重新定義__hash__、__eq__，也就是定義可雜湊型態時，就是在定義不可變動型態，對於這種自定義類別，生成實例後，就不該改變其狀態，畢竟Python之父說過「We are all consenting adults」，對吧！</p> <p>另一方面，這也意謂著，能加入set或者作為dict鍵的物件，就是不可變物件，關於這一點，與〈<a href="https://www.ithome.com.tw/voice/75742" target="_blank">Wat？為何不相等？</a>〉談到「重新定義equasl與hashCode時，應避免使用會變動的資料成員」相符。</p> <p>先前我在專欄文章〈<a href="https://www.ithome.com.tw/voice/140475" target="_blank">Python資料類別方案</a>〉談過NamedTuple，在自定義類別時若繼承它，就可以定義有欄位名稱的tuple，因為本質上還是tuple，自定義的NamedTuple就是可雜湊型態；Python 3.7新增了dataclasses模組，可以透過@dataclass裝飾器、field函式等來定義資料類別，對於一個資料類別，會根據欄位來定義__eq__，不過預設不會有__hash__。</p> <p>如果想要使資料類別成為可雜湊型態，此時，我們可以設定@dataclass(frozen=True)來凍結欄位，成為不可變型態，或者是設定@dataclass(eq=False)令其不產生__eq__，這時，就是直接繼承object的__hash__、__eq__。</p> <p>如果資料類別只是想要形式上的可雜湊，那麼，我們可以設定@dataclass(unsafe_hash=True)，這會根據欄位來產生__hash__，只不過正如unsafe_hash明示的，這是不安全的選項；當然，還有一個方式，那就是自定義__hash__，只不過這也是單純符合Python直譯器要求的協定罷了。</p> <p><span style="font-size:28px;"><strong>雜湊計算就是要求不可變</strong></span></p> <p>那麼Java的ArrayList，它的hashCode實現是錯的嗎？這要看ArrayList如何應用，如果像方才談到的，將ArrayList實例lt放入HashSet，後續又用ArrayList收集新元素，顯然就是不正確的做法；然而，如果已經收集了元素才放入HashSet，後續不再改變ArrayList，或者甚至透過List.of轉換為不可變的List，再放入HashSet，那就是合理的做法。</p> <p>這也提醒了Java（或其他有hashCode、equals類似協定的語言）開發者，雖然過往有許多文件指出，equals與hashCode最好同時實作，不過，若是可變動物件，只定義equals，並在hashCode實作時拋出例外，或許可以是一種方式，同時，能以此提醒使用者，不應該將可變動物件，用於雜湊計算的場合。</p> <p>也就是說，當你將物件用於雜湊計算場合，就應當意識到此時就是要求不可變特性，當然，若是不可變動物件，就不會有這類問題。從Java 16以後，記錄類別（record class）成為正式特性，因為欄位不可變，可以自動產生equals、hashCode方法，也就適用於雜湊計算的場合。</p> <p>雖然其他語言，不像Python會在某些情況下，自定義類別時能自動決定__hash__是否為None，從而確定是否為可雜湊型態，不過，在重新定義equals、hashCode時，也可以多思考一下Python裡處理可雜湊型態的方式，獲得實作時的啟發。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E4%BA%BA">程式人</a></div><div class="field-item odd"><a href="/tags/%E6%9E%97%E4%BF%A1%E8%89%AF">林信良</a></div><div class="field-item even"><a href="/tags/%E7%A8%8B%E5%BC%8F%E5%AD%B8%E7%BF%92">程式學習</a></div><div class="field-item odd"><a href="/tags/%E9%9B%9C%E6%B9%8A">雜湊</a></div></div></div>
2022/11/7 07:00作者林信良https://www.ithome.com.tw/voice/154022
【資安月報】2022年10月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球資料外洩事件頻傳，本月國內傳出2300萬國民資料被兜售於資料外洩地下論壇的情形，受到國人極大關注，在初期被公開的部分資訊中，當中就包含了宜蘭縣20萬筆個資。</p> <p>消息曝光隔日，數位發展部資安署公布了初步調查，他們指出，比對該資料格式後，發現與內政部戶政資料差異很大，研判非戶政資料外流。不過，目前尚未公布這批資料是如何取得或拼湊而成，也有學者認為這批資料可能是之前政府要求資料介接時，由其他單位流出去，但還未獲得證實。關於後續的調查結果，有待數位發展部資安署進一步揭露。</p> <p>值得關注的是，近年國內每隔幾年就傳出大規模資料被兜售，或是資料外洩事件的相關消息，像是<a href="http://www.ithome.com.tw/news/137980">2020年時，美國資安威脅情報公司Cyble研究人員曾揭露，暗網有人兜售臺灣2千萬筆戶政資料，時任行政院資通安全處處長簡宏偉表示，經他們調查後，研判該次資料外洩的內容，是早年外洩流傳的多個個資資料庫整併而成</a>。</p> <p>而現在2022年的這批資料，究竟是如何取得或拼湊而成，如今的數位發展部資安署雖然提到研判非戶政資料外流，但應該還是要釐清這些資料來源，有待政府能公布進一步的調查結果。</p> <p>關於近年國內政府機關個資外洩事件，我們首先也還會聯想到，<a href="https://www.ithome.com.tw/news/131450">2019年銓敘部主動發出個資外洩公告通知</a>，說明他們接獲外部情資，得知有國外網站揭露該機關所擁有的59萬筆個人資料，並表示疑似外洩資料的資訊系統，其實早就在2015年3月下線，因此不確定外洩時間與過程。</p> <p>對於政府機關擁有的國民資料外洩，其影響性引發大眾憂心，例如我們可以想像到，政府官員可能處於危險，民眾可能遭受詐騙，</p> <h3><strong>國際上，大規模國民資料被兜售情形仍持續不斷</strong></h3> <p>不只是臺灣，最近一段期間，在國際間，不少國家發生政府機關個資外洩事件，也反映這樣的狀況仍持續不斷。例如，<a href="https://www.ithome.com.tw/news/151769">今年6月，中國也爆發史無前例的大規模資料外洩事件</a>，有人在資料外洩地下論壇兜售該國10億國民個資，不僅標榜資料來自當地政府機關，且內含犯罪記錄與就醫情形，引發全球關注。</p> <p>而在今年5月，<a href="https://www.thestar.com.my/tech/tech-news/2022/05/18/data-of-malaysians-born-between-1940-and-2004-allegedly-being-sold-for-over-rm40000">馬來西亞也傳出這樣大規模國民資料被兜售</a>，有人出售該國2千萬國民的個人資料，並宣稱資料取自於馬來西亞國家註冊局，包含從1940年到2004年的出生人口資料。</p> <p>而歐美各國的政府機關，其實也都有陸續有這樣的消息，除了有國家或地方政府民眾資料外洩、政府委外廠商遭駭使民眾資料外洩，也有像是大型電信業、保險業的大規模個人資料外洩事件。例如，<a href="https://www.ithome.com.tw/news/135768">在2017年美國消費者信用報告公司Equifax的1.5億美國民眾個資發現被駭客竊取</a>，該國司法部積極介入調查，直到2020年確認並指控是4名中國軍人所為。</p> <p>特別的是，近期還有一項消息格外引發我們關注，今年10月澳洲媒體揭露南美哥倫比亞政府遭駭，導致執法單位資料外洩一事，令人意外的是，這起資料外洩事件，連帶影響了該國與澳洲等其他國家的打擊犯罪行動，因為被竊取的資料中，包含毒販洗錢網路、臥底警探身分資訊，以及警方採用策略。</p> <p>此外，澳洲聯邦警察之所以得知此事，是經過澳洲雪梨晨鋒報通知才知曉，而且報社也配合讓警方能緊急因應，而推延了報導上刊時程，這也展現出公私聯防。</p> <h3><strong>新舊資料外洩狀況複雜，已是現今時常看到的情況</strong></h3> <p>再回頭看看國內民間企業，不只是政府機關，還有國內企業也傳出大規模個資外洩，特別是求職網站服務業者，其擁有的國人個資內容也不少。包括2019年10月，有人在暗網出售兩家求職網站所擁有的個人資料，均多達數百萬的個資數量，像是一零四資訊科技指出該批資料是2013年的舊資料，1111人力銀行指出是9年前舊資料。</p> <p>對於普遍民眾而言，更有感受的是電商平臺疑資料外洩引發的詐騙，因為許多詐騙集團不只知道民眾個資，還知道會員的近期訂單資訊，可以藉此取得受害者的進一步信任。</p> <p>因此，刑事警察局165反詐騙每周都會公布解除分期民眾通報高風險賣場名單，只是鮮少有業者公布資料外洩或公布調查。究竟是平臺端、還是平臺配合物流端，還是使用者端資料外洩，若以如此大量通報情況來看，理應不是使用者端的問題。</p> <p>甚至，去年國內還發生委託同一資訊系統商的數十個愛心協會，發生捐款個資外洩事件，這也突顯非營利機構如何在資源有限下做資安的議題。</p> <h3><strong>外洩資料若被重複利用兜售，或許我們該想想怎麼做</strong></h3> <p>無論如何，個資外洩是不可逆的，畢竟個資無法輕易修改，在這樣的環境之下，也讓我們思考，隨著資料不斷被彙整拼湊，這樣的事件是否也會沒完沒了的情形。</p> <p>這也讓我們想到近期國際資安事件中，有攻擊者採取MFA疲勞轟炸攻擊的手段，不斷觸發非採實體安全金鑰的MFA核准通知去嘗試非法登入，導致企業員工應接不暇誤按中招，也有類似的意味。</p> <p>資料外洩是否也會有如此情形，一再有外洩資料被重複、調整形式或整併而兜售，是否也可能造就一種疲勞轟炸地攻擊方式，讓政府或企業單位不得不每次應對，造成人力與時間成本的耗損。</p> <p>或許，這就要由一開始發現兜售情形的資安業者或資安研究人員就能識別兜售者的可信度。</p> <p>另外這裡再舉一個例子，雖然不是屬於個資外洩的事件，但也有同樣外洩資料被再三利用的議題，或許也讓我們反思。這裡要談的是一起勒索軟體攻擊事件，眾所周知，近年來勒索軟體攻擊都演進為多重勒索手段，也就是不僅藉由惡意加密檔案勒索贖金，還會藉由外洩機敏資料來要脅贖金。</p> <p>值得關注的是，今年7月開始，我們看到<a href="https://www.ithome.com.tw/news/152041">有資安業者發現，勒索軟體駭客組織開始打造出給受害者查詢資料庫，接下來，更多駭客組織則是想到建立給犯罪生態圈的外洩資料庫</a>，目的是讓犯罪社群更能有機會充分運用這些竊得的資料。</p> <p>特別的是，國內似乎也有企業遭遇這樣的問題，例如，在今年10月初，勒索軟體駭客組織RansomHouse聲稱攻擊國內記憶體模組大廠威剛，聲稱竊取1TB的資料，但威剛調查後表示，經檔案比對，是去年勒索軟體駭客Ragnar Locker攻擊事故竊取的資料。而這樣的狀況，也令業者的應對成為挑戰。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/153544"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月3日到10月7日</strong></span></a></h3> <p>在10月初的資安新聞中，微軟Exchange伺服器的零時差漏洞ProxyNotShell（CVE-2022-41040、CVE-2022-41082）最受關注，在資安業者的事件調查中才使此漏洞曝光，儘管微軟公布緩解措施，又傳出緩解能被繞過的消息，以及一再釋出新緩解對應的消息，讓企業人員可說是疲於奔命。</p> <p>在攻擊態勢上，利用已知漏洞的問題不斷，較特別的是，關於利用驅動程式漏洞的攻擊有兩起，一是北韓駭客組織Lazarus成功利用了CVE-2021-21551漏洞，一是在勒索軟體BlackByte亦利用了自帶驅動程式攻擊手法（Bring Your Own Vulnerable Driver，BYOVD），在電腦植入具有漏洞的驅動程式用以提升權限。此外，本周美國公布了一份中國駭客最常利用漏洞的清單，共有20個，Log4Shell居於第一，Pulse Secure VPN漏洞CVE-2019-11510居於第二，當中大部分為2021年揭露的漏洞。</p> <p>在攻擊手法方面，受關注的包括：駭客組織Witchetty將惡意軟體埋藏在Windows圖案的BMP圖片檔案格式，以及有駭客打造針對微軟SQL Server的後門程式Maggie，還有，國家級駭客利用惡意軟體CovalentStealer及滲透測試工具Impacket鎖定國防單位入侵，這些攻擊行動相當值得留意。</p> <p>另外，還有一起美國FTC定罪判刑案件受關注，原因是2016年遭駭當時的Uber資安長蓄意隱瞞公司與FTC，這導致了駭客免於落網，之後駭客又得以成功入侵另家公司，美國司法部此舉，強調保護使用者，以及資安事件通報主管機關重要性。</p> <h3><a href="https://www.ithome.com.tw/news/153646"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月11日到10月14日</strong></span></a></h3> <p>本週的資安新聞中，又傳出針對微軟Exchange伺服器、Zimbra零時差漏洞入侵的消息，突顯企業電子郵件系統持續成為駭客組織的鎖定目標。此外，Fortinet的CVE-2022-40684漏洞修補通知亦成焦點，該公司相隔三日才公布於官方資安通告網站，並說明已有相關攻擊行動。</p> <p>在威脅趨勢上，滲透測試工具Brute Ratel C4出現破解版並在網路犯罪圈散布，最受注目，還有簡體中文管理介面Alchimist的C2框架與Insekt惡意軟體被揭露，以及名為Caffeine的網釣攻擊套件租賃服務（PhaaS）興起的消息。</p> <p>在國際的資安事件中，美國10多座機場網站遭DDoS攻擊，Toyota揭露一起關於委外管理與稽核不足的情形，以及三家澳洲公司近期接連揭露發生資安事件的消息，引發不小的關注。</p> <p>至於資安產業防護動向上，Google將推出的FIDO Passkey受到極大關注，以及半導體產業中的SEMI E187的設備資安標準的Reference Practice指引本週釋出。</p> <h3><a href="https://www.ithome.com.tw/news/153772"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月17日到10月21日</strong></span></a></h3> <p>本週資安新聞中，以Apache軟體基金會（ASF）呼籲用戶盡速更新，以修補CVE-2022-42889漏洞的消息最受注目，因為有研究人員指出這樣的漏洞，有可能會引發類似Log4Shell的效應，因此又被稱之為Text4Shell。</p> <p>在威脅趨勢上，勒索軟體危害是最大焦點，本周新聞中就有多項消息，例如，烏克蘭、波蘭物流業者，澳洲保險業，印度藥廠，以及日本兩家科技業者都是新的受害者，甚至德國報社集團旗下多間媒體的紙本電子作業都停擺；另外，在勒索軟體攻擊態勢上，有研究人員揭露，近期勒索軟體Venus鎖定遠端桌面連線服務的行動，以及勒索軟體Magniber利用夾帶惡意JavaScript指令檔方式以及迂迴手段發動攻擊的行動。</p> <p>不過也有好消息，勒索軟體DeadBolt被國際執法單位與資安業者智取，成功拿回150個解密金鑰，9成NAS設備受害者有機會解密。</p> <p>還有值得關注的一些威脅，像是印度Tata Power發電廠遭網路攻擊，關鍵基礎設施安全防護受注目；哥倫比亞警方遭駭導致跨國合作緝毒曝光，甚至危及澳洲臥底警探身分；通常為國家級駭客使用的UEFI惡意程式，近期有駭客正在兜售一款BlackLotus；竊密軟體Ducktail透過記憶體內執行PHP指令碼，竊取瀏覽器的帳密資料與受害者臉書帳號。</p> <p>國內方面，行政院修正禁用中國資通產品條例受關注，擴大禁用範圍並要求例外使用需經2位資安長同意。</p> <h3><a href="https://www.ithome.com.tw/news/153907"><span style="color: rgb(178, 34, 34);"><strong style="font-size: 22px;">【資安週報】2022年10月24日到10月28日</strong></span></a></h3> <p>本周國內傳出戶政資料被放在駭客論壇Breach Forums（breached.to）上兜售的消息，在<a href="https://www.moi.gov.tw/News_Content.aspx?n=8&sms=9224&s=267333">10月29日數位發展部表示</a>，經初步比對該論壇提供的個資資料，該資料格式與戶役政資料差異甚大，相關資料並非從內政部戶政司全球資訊網(<a href="http://www.ris.gov.tw">www.ris.gov.tw</a>)洩漏，目前檢調單位已進行調查，儘管強調戶役政資訊系統採內外網實體隔離架構，資料並未流出，但實際情形，政府必須明查。目前<a href="https://www.rfi.fr/tw/%E6%B8%AF%E6%BE%B3%E5%8F%B0/20221030-%E9%BB%91%E5%AE%A2%E7%AB%8A%E5%8F%96%E5%8F%B0%E7%81%A3%E5%85%A7%E6%94%BF%E9%83%A8%E6%88%B6%E7%B1%8D%E8%B3%87%E6%96%99%E8%B2%A9%E8%B3%A3%E8%AA%BF%E6%9F%A5%E5%B1%80%E5%B1%95%E9%96%8B%E8%BF%BD%E6%9F%A5">已有消息指出</a>，這批資料可能是2018年內政部應行政院主計總處要求數據介接時，由其他單位流出去，但還未獲得證實。</p> <p>在漏洞利用新態勢方面，在<a href="https://www.cisa.gov/known-exploited-vulnerabilities-catalog">20日到25日之間有多項已知漏洞</a>，開始被駭客組織用於攻擊行動，必須盡速修補的消息，包括2020年技嘉、思科AnyConnect Secure的各兩個漏洞，2021年Linux Kernel的一項漏洞，以及今年Zimbra ZCS與蘋果iOS、iPadOS修補的一項漏洞。</p> <p>其他已出現攻擊行動的消息，包括近期的Apache Commons Text重大漏洞Text4Shell，以及幾個月前的微軟MoTW漏洞。另外，OpenSSL預告在11月1日修補重大漏洞，成為下個月首要關注焦點。</p> <p>在威脅態勢上，近來有網路攻擊行動是鎖定Docker與K8s，還有殭屍網路Emotet最新攻擊出現，以及GitHub上的PoC被揭露，平均十個就有一個是惡意軟體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/153504">2022年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152874">2022年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/152206">2022年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151838">2022年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/151486">2022年5月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>
2022/11/4 14:27作者羅正漢https://www.ithome.com.tw/news/154033